Datenschutz für Windows MAM

Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

Sie können den geschützten Zugriff auf Organisationsdaten auf persönlichen Windows-Geräten aktivieren. Diese Funktion verwendet die folgende Funktionalität:

  • Intune-Anwendungskonfigurationsrichtlinien (ACP) zum Anpassen der Benutzeroberfläche der Organisation
  • Intune-App-Schutzrichtlinien zum Schutz von Organisationsdaten und zur Sicherstellung der Integrität des Clientgeräts
  • Windows-Sicherheit-App Client Threat Defense integriert in Intune APP zur Erkennung lokaler Gesundheitsbedrohungen auf persönlichen Windows-Geräten
  • Bedingter Zugriff für Anwendungsschutz, um sicherzustellen, dass das Gerät geschützt und fehlerfrei ist, bevor der geschützte Dienstzugriff über Microsoft Entra ID gewährt wird

Bevor Sie beginnen

Übersicht

Sowohl Endbenutzer als auch Organisationen benötigen geschützten organisatorischen Zugriff von persönlichen Geräten. Organisationen müssen sicherstellen, dass Unternehmensdaten auf persönlichen, nicht verwalteten Geräten geschützt sind. Als Intune-Administrator sind Sie dafür verantwortlich, zu bestimmen, wie Mitglieder (Endbenutzer) Ihrer organization auf geschützte Weise von einem nicht verwalteten Gerät aus auf Unternehmensressourcen zugreifen können. Sie müssen beim Zugriff auf Organisationsdaten sicherstellen, dass die nicht verwalteten Geräte fehlerfrei sind, die Anwendungen den Datenschutzrichtlinien Ihrer organization entsprechen und dass die nicht verwalteten Ressourcen des Endbenutzers auf ihrem Gerät nicht von den Richtlinien Ihrer organization betroffen sind.

Als Intune-Administrator benötigen Sie die folgenden App-Verwaltungsfunktionen:

  • Möglichkeit zum Bereitstellen von App-Schutzrichtlinien für Apps/Benutzer, die durch das Intune APP SDK geschützt sind, einschließlich der folgenden:
    • Datenschutzeinstellungen
    • Einstellungen für Integritätsprüfungen (auch bekannt als bedingter Start)
  • Möglichkeit, Richtlinien zum Schutz von Apps über bedingten Zugriff anzufordern
  • Möglichkeit zur zusätzlichen Überprüfung der Clientintegrität über das Windows-Sicherheit-Center wie folgt:
    • Festlegen der Risikostufe für Windows-Sicherheit Center, um Endbenutzern den Zugriff auf Unternehmensressourcen zu ermöglichen
    • Einrichten des mandantenbasierten Connectors zu Microsoft Intune für Windows-Sicherheit Center
  • Möglichkeit zum Bereitstellen eines Befehls zum selektiven Löschen für geschützte Anwendungen

Mitglieder Ihrer Organization (Endbenutzer) erwarten, dass ihre Konten über die folgenden Funktionen verfügen:

  • Möglichkeit zum Anmelden bei Microsoft Entra ID, um auf Websites zuzugreifen, die durch bedingten Zugriff geschützt sind
  • Möglichkeit zum Überprüfen der Integrität status des Clientgeräts, falls ein Gerät als fehlerhaft eingestuft wird
  • Möglichkeit, den Zugriff auf Ressourcen zu widerrufen, wenn ein Gerät fehlerhaft bleibt
  • Die Möglichkeit, mit klaren Korrekturschritten informiert zu werden, wenn der Zugriff durch eine Administratorrichtlinie gesteuert wird

Hinweis

Informationen zu Microsoft Entra ID finden Sie unter Erfordern einer App-Schutzrichtlinie auf Windows-Geräten.

Compliance für bedingten Zugriff

Die Verhinderung von Datenverlust ist ein Teil des Schutzes Ihrer Unternehmensdaten. Die Verhinderung von Datenverlust (Data loss prevention, DLP) ist nur wirksam, wenn von keinem ungeschützten System oder Gerät aus auf die Daten Ihrer Organisation zugegriffen werden kann. App-Schutz Der bedingte Zugriff verwendet den bedingten Zugriff, um sicherzustellen, dass App-Schutzrichtlinien in einer Clientanwendung unterstützt und erzwungen werden, bevor der Zugriff auf geschützte Ressourcen (z. B. Organisationsdaten) zugelassen wird. Der bedingte Zugriff für App-Schutz ermöglicht Endbenutzern mit persönlichen Windows-Geräten, mithilfe von App-Schutzrichtlinien verwaltete Anwendungen, einschließlich Microsoft Edge, auf Microsoft Entra-Ressourcen zuzugreifen, ohne ihr persönliches Gerät vollständig verwalten zu müssen.

Dieser MAM-Dienst synchronisiert den Konformitätsstatus pro Benutzer, pro App und pro Gerät mit dem Microsoft Entra CA-Dienst. Dazu gehören die Bedrohungsinformationen, die Sie von den Mobile Threat Defense(MTD)-Anbietern erhalten haben, beginnend mit dem Windows-Sicherheits Center.

Hinweis

Dieser MAM-Dienst verwendet denselben Workflow für die Einhaltung des bedingten Zugriffs, der für die Verwaltung von Microsoft Edge auf iOS- und Android-Geräten verwendet wird.

Wenn eine Änderung erkannt wird, aktualisiert der MAM-Dienst sofort den Konformitätsstatus des Geräts. Der Dienst umfasst auch den MTD-Integritätsstatus als Teil des Konformitätsstatus.

Hinweis

Der MAM-Dienst wertet den MTD-Status im Dienst aus. Dies geschieht unabhängig vom MAM-Client und der Client-Plattform.

Der MAM-Client übermittelt dem MAM-Dienst beim Einchecken den Gesundheitszustand (oder die Integritätsmetadaten) des Kunden. Der Integritätsstatus umfasst alle Fehler von APP-Integritätsprüfungen für Block - oder Löschbedingungen . Darüber hinaus führt Microsoft Entra ID Endbenutzer durch Korrekturschritte, wenn sie versuchen, auf eine blockierte CA-Ressource zuzugreifen.

Compliance für bedingten Zugriff

Organisationen können Microsoft Entra-Richtlinien für bedingten Zugriff verwenden, um sicherzustellen, dass Benutzer nur über richtlinienverwaltete Anwendungen unter Windows auf Geschäfts-, Schul- oder Uniinhalte zugreifen können. Dazu benötigen Sie eine Richtlinie für bedingten Zugriff, die auf alle potenziellen Benutzer ausgerichtet ist. Folgen Sie den Schritten unter Erfordern einer App-Schutzrichtlinie auf Windows-Geräten, die Microsoft Edge für Windows zulässt, aber verhindert, dass andere Webbrowser eine Verbindung mit Microsoft 365-Endpunkten herstellen.

Mit dem bedingten Zugriff können Sie auch lokale Sites als Ziel verwenden, die Sie über den Microsoft Entra-Anwendungsproxy für externe Benutzer verfügbar gemacht haben.

Weitere Informationen finden Sie unter Verwenden des Microsoft Entra-Anwendungsproxys zum Veröffentlichen lokaler Apps für Remotebenutzer

Threat Defense Health

Der Status eines persönlichen Geräts wird überprüft, bevor der Zugriff auf Ihre Organisationsdaten zugelassen wird. Die MAM-Bedrohungserkennung kann mit dem Windows-Sicherheit Center verbunden werden. Windows-Sicherheit Center ermöglicht der Intune-APP über einen Dienst-zu-Dienst-Connector eine Integritätsbewertung des Clientgeräts. Diese Bewertung unterstützt das Gating des Flusses und den Zugriff auf Organisationsdaten auf persönlichen, nicht verwalteten Geräten.

Der Integritätsstatus enthält die folgenden Details:

  • Benutzer-, App- und Gerätebezeichner
  • Ein vordefinierter Integritätszustand
  • Der Zeitpunkt der letzten Aktualisierung des Integritätsstatus

Der Integritätsstatus wird nur für MAM-registrierte Benutzer gesendet. Endbenutzer können das Senden von Daten beenden, indem sie sich von ihrem Organisationskonto in geschützten Anwendungen abmelden. Administratoren können das Senden von Daten beenden, indem sie den Windows-Sicherheits Connector aus Microsoft Intune entfernen.

Weitere Informationen finden Sie unter Erstellen einer MTD-App-Schutzrichtlinie für Windows.

Intune-App-Schutzrichtlinien erstellen

App-Schutz-Richtlinien definieren, welche Apps zulässig sind und welche Aktionen sie mit den Daten Ihrer organization ausführen können. Mithilfe der in den App-Schutzrichtlinien verfügbaren Auswahlmöglichkeiten können Organisationen den Schutz an ihre spezifischen Anforderungen anpassen. Für einige Organisationen ist es jedoch möglicherweise nicht offensichtlich, welche Richtlinieneinstellungen genau erforderlich sind, um ein vollständiges Szenario zu implementieren.

Als Administrator können Sie konfigurieren, wie Daten durch App-Schutzrichtlinien geschützt werden. Diese Konfiguration gilt für die native Windows-Anwendungsinteraktion mit den Daten. Richtlinieneinstellungen für den App-Schutz sind in drei Kategorien unterteilt:

  • Datenschutz – Über diese Einstellungen wird gesteuert, wie Daten für den Benutzer in und aus einem Organisationskontext (Konto, Dokument, Standort, Dienste) verschoben werden können.
  • Integritätsprüfungen (bedingter Start) – Diese Einstellungen steuern die Gerätebedingungen, die für den Zugriff auf Organisationsdaten erforderlich sind, und die Korrekturaktionen, wenn die Bedingungen nicht erfüllt werden.

Um Organisationen bei der Priorisierung der Client-Endpunkthärtung zu unterstützen, hat Microsoft die Taxonomie für seine App-Schutzrichtlinien eingeführt Datenschutzframework für die Verwaltung mobiler Apps.

Die spezifischen Empfehlungen für jede Konfigurationsebene sowie die minimalen zu schützenden Apps finden Sie unter Datenschutzframework mithilfe von App-Schutzrichtlinien.

Weitere Informationen zu den verfügbaren Einstellungen finden Sie unter Richtlinieneinstellungen für den Schutz von Windows-Apps.

Nächste Schritte

  • Last updated on