Übersicht über App-Schutzrichtlinien

Intune-App-Schutzrichtlinien stellen sicher, dass die Daten einer organization sicher bleiben oder in einer verwalteten App enthalten bleiben. Mit diesen Richtlinien können Sie steuern, wie Apps auf mobilen Geräten auf Daten zugreifen und diese freigeben. Eine Richtlinie kann Regeln erzwingen, wenn der Benutzer versucht, auf "Unternehmensdaten" zuzugreifen oder diese zu verschieben. Es kann auch Aktionen untersagen oder überwachen, wenn sich der Benutzer innerhalb der App befindet. Eine verwaltete App in Intune ist eine geschützte App, bei der Intune App-Schutzrichtlinien anwendet und die App verwaltet.

Intune-App-Schutzrichtlinien bieten mehrere Vorteile. Zu diesen Vorteilen gehören der Schutz von Unternehmensdaten auf mobilen Geräten, ohne dass eine Geräteregistrierung erforderlich ist, und die Kontrolle, wie Apps auf mobilen Geräten auf Daten zugreifen und diese freigeben.

Beispiele für die Verwendung von App-Schutzrichtlinien mit Microsoft Intune:

• Anfordern einer PIN oder eines Fingerabdrucks für den Zugriff auf Unternehmens-E-Mails auf einem mobilen Gerät
• Verhindern, dass Benutzer Unternehmensdaten kopieren und in persönliche Apps einfügen
• Beschränken des Zugriffs auf Unternehmensdaten auf genehmigte Apps

Intune MAM verwaltet viele Produktivitäts-Apps, z. B. die Microsoft 365 (Office)-Apps. Weitere Informationen finden Sie in der offiziellen Liste mit von Microsoft Intune geschützten Apps, die für die Öffentlichkeit verfügbar sind.

Wie Sie Ihre App-Daten schützen können

Ihre Mitarbeiter verwenden mobile Geräte sowohl für private als auch für berufliche Zwecke. Stellen Sie gleichzeitig sicher, dass Ihre Mitarbeiter produktiv sein können, und verhindern Sie Datenverluste. Dies schließt sowohl absichtlichen als auch unbeabsichtigten Datenverlust ein. Schützen Sie auch Unternehmensdaten, auf die von Geräten zugegriffen wird, die nicht von Ihnen verwaltet werden.

Sie können Intune-App-Schutzrichtlinien unabhängig von jeglicher mobilen Geräteverwaltungslösung verwenden. Diese Unabhängigkeit hilft Ihnen, die Daten Ihres Unternehmens mit oder ohne Registrierung von Geräten in einer Geräteverwaltungslösung zu schützen. Durch die Implementierung von Richtlinien auf App-Ebene können Sie den Zugriff auf Unternehmensressourcen einschränken und die Daten im Zuständigkeitsbereich Ihrer IT-Abteilung halten.

App-Schutzrichtlinien auf Geräten

Konfigurieren Sie App-Schutzrichtlinien für Apps, die auf Geräten ausgeführt werden, die:

• Registriert bei Microsoft Intune: Diese Geräte sind in der Regel unternehmenseigene Geräte.

• Bei einer MDM-Lösung (Mobile Device Management) registriert, die nicht von Microsoft stammt: Diese Geräte sind in der Regel unternehmenseigen.

  Hinweis

  Richtlinien für die Verwaltung mobiler Apps sollten nicht mit der Verwaltung mobiler Apps oder sicheren Containerlösungen verwendet werden, die nicht von Microsoft stammen.

• Nicht bei einer Lösung für die Verwaltung mobiler Geräte registriert: Diese Geräte sind in der Regel mitarbeitereigene Geräte, die weder bei Intune noch anderen MDM-Lösungen registriert sind oder dort verwaltet werden.

Vorteile der Verwendung von Appschutz-Richtlinien

Die wichtigsten Vorteile der Verwendung von App-Schutzrichtlinien sind die folgenden:

• Schutz Ihrer Unternehmensdaten auf App-Ebene. Da für die Verwaltung mobiler Apps keine Geräteverwaltung erforderlich ist, schützen Sie Unternehmensdaten sowohl auf verwalteten als auch auf nicht verwalteten Geräten. Bei der Verwaltung wird die Benutzeridentität in den Mittelpunkt gestellt, wodurch sich die Geräteverwaltung erübrigt.

• Die Produktivität der Benutzer ist nicht betroffen, und Richtlinien gelten nicht, wenn die App in einem persönlichen Kontext verwendet wird. Intune wendet Richtlinien nur in einem Arbeitskontext an, was Ihnen die Möglichkeit gibt, Unternehmensdaten zu schützen, ohne personenbezogene Daten zu berühren.

• App-Schutz-Richtlinien stellen sicher, dass die Schutzmaßnahmen der App-Ebene vorhanden sind. Zum Beispiel:

  • Anfordern einer PIN zum Öffnen einer App in einem geschäftlichen Kontext
  • Steuern des Teilens von Daten zwischen Apps
  • Verhindern des Speicherns von Unternehmens-App-Daten an einem privaten Speicherort

• MDM mit MAM stellt sicher, dass das Gerät geschützt ist. Sie können beispielsweise eine PIN für den Zugriff auf das Gerät anfordern oder verwaltete Apps auf dem Gerät bereitstellen. Stellen Sie außerdem Apps über Ihre MDM-Lösung auf Geräten bereit, um mehr Kontrolle über die App-Verwaltung zu erhalten.

Die Verwendung von MDM mit App-Schutzrichtlinien bietet weitere Vorteile, und Unternehmen können App-Schutzrichtlinien mit und ohne MDM gleichzeitig verwenden. Stellen Sie sich beispielsweise einen Mitarbeiter vor, der sowohl ein vom Unternehmen ausgegebenes Telefon als auch sein eigenes persönliches Tablet verwendet. Das Unternehmenstelefon ist bei MDM registriert und durch App-Schutzrichtlinien geschützt. Das persönliche Gerät ist nur durch App-Schutzrichtlinien geschützt.

Wenn Sie eine MAM-Richtlinie auf den Benutzer anwenden, ohne den Gerätestatus festzulegen, erhält der Benutzer die MAM-Richtlinie sowohl auf dem BYOD (Bring Your Own Device) als auch auf dem von Intune verwalteten Gerät. Anwenden von MAM-Richtlinien auch basierend auf dem Geräteverwaltungsstatus. Weitere Informationen finden Sie unter Ziel-App-Schutzrichtlinien basierend auf dem Geräteverwaltungsstatus. Wenn Sie eine App-Schutzrichtlinie erstellen, wählen Sie Nein neben "Ziel für alle App-Typen" aus. Führen Sie dann einen der folgenden Schritte aus:

• Wenden Sie eine weniger strenge MAM-Richtlinie auf mit Intune verwaltete Geräte an, und wenden Sie eine restriktivere MAM-Richtlinie auf nicht bei MDM registrierte Geräte an.
• Wenden Sie eine MAM-Richtlinie nur auf nicht registrierte Geräte an.

Unterstützte Plattformen für App-Schutzrichtlinien

Intune bietet eine Reihe von Funktionen, die Ihnen dabei helfen, die benötigten Apps auf jene Geräte zu übertragen, auf denen sie ausgeführt werden sollen. Weitere Informationen finden Sie unter App-Verwaltungsfunktionen nach Plattform.

Die Plattform für Schutzrichtlinien für Intune-Apps ist auf die Plattformunterstützung für mobile Office-Anwendungen für Android- und iOS/iPadOS-Geräte ausgerichtet. Weitere Informationen finden Sie im Abschnitt Mobile Apps unter Systemanforderungen für Office.

Erstellen Sie außerdem App-Schutzrichtlinien für Windows-Geräte. Weitere Informationen finden Sie unter App-Schutz für Windows-Geräte.

Datenschutzframework für App-Schutzrichtlinien

Mithilfe der in den App-Schutzrichtlinien verfügbaren Auswahlmöglichkeiten können Organisationen den Schutz an ihre spezifischen Anforderungen anpassen. Für einige ist es möglicherweise nicht offensichtlich, welche Richtlinieneinstellungen erforderlich sind, um ein vollständiges Szenario zu implementieren. Um Organisationen bei der Priorisierung der Endpunkthärtung mobiler Clients zu unterstützen, führt Microsoft die Taxonomie für seine App-Schutzrichtlinien ein. Das Datenschutzframework für die Verwaltung mobiler iOS- und Android-Apps dient dazu.

Das Datenschutzframework für App-Schutzrichtlinien ist in drei verschiedene Konfigurationsebenen unterteilt, wobei jede Ebene auf der vorherigen Ebene aufbaut:

• Einfacher Datenschutz für Unternehmen (Ebene 1): Diese Ebene stellt sicher, dass Apps mit einer PIN geschützt und verschlüsselt sind, und dient zum Durchführen selektiver Löschvorgänge. Bei Android-Geräten überprüft diese Ebene den Android-Gerätenachweis. Die Konfiguration der Ebene 1 ist eine Einstiegskonfiguration, die eine ähnliche Datenschutzkontrolle in Exchange Online-Postfachrichtlinien bietet und die IT und die Benutzerpopulation in APP einführt.
• Der erweiterte Datenschutz für Unternehmen (Stufe 2) führt App-Schutzrichtlinien ein, Mechanismen zur Verhinderung von Datenlecks und Mindestanforderungen an das Betriebssystem. Die Konfiguration der Stufe 2 gilt für die meisten mobilen Benutzer, die auf Geschäfts-, Schul- oder Unidaten zugreifen.
• Enterprise High Data Protection (Stufe 3) führt erweiterte Datenschutzmechanismen, erweiterte PIN-Konfiguration und Richtlinien zum Schutz von Apps ein Mobile Threat Defense. Die Konfiguration der Stufe 3 ist für Benutzer wünschenswert, die auf Daten mit hohem Risiko zugreifen.

Die spezifischen Empfehlungen für jede Konfigurationsebene sowie die minimalen zu schützenden Apps finden Sie unter Datenschutzframework mithilfe von App-Schutzrichtlinien.

So schützen App-Schutzrichtlinien Ihre App-Daten

Apps ohne App-Schutzrichtlinien

Wenn Sie Apps ohne Einschränkungen verwenden, können Unternehmens- und personenbezogene Daten miteinander vermischt werden. Unternehmensdaten können damit an Speicherorten wie dem persönlichen Speicher abgelegt oder an Apps außerhalb Ihres Zuständigkeitsbereichs übermittelt werden, was Datenverlust bedeuten würde. Die Pfeile im folgenden Diagramm zeigen die uneingeschränkte Datenverschiebung zwischen sowohl unternehmenseigenen als auch persönlichen Apps sowie zu Speicherorten.

Datenschutz mit App-Schutzrichtlinien

Verwenden Sie App-Schutz-Richtlinien, um zu verhindern, dass Unternehmensdaten im lokalen Speicher des Geräts gespeichert werden (siehe folgende Abbildung). Beschränken Sie die Datenverschiebung auch auf andere Apps, die nicht durch App-Schutz-Richtlinien geschützt sind. Einstellungen für App-Schutzrichtlinien:

• Datenverschiebungsrichtlinien wie "Kopien von Organisationsdaten speichern" und "Ausschneiden, Kopieren und Einfügen einschränken".
• Einstellungen von Zugriffsrichtlinien wie Einfache PIN für den Zugriff erforderlich und Ausführen verwalteter Apps auf mit Jailbreak oder Rooting manipulierten Geräten blockieren.

Schutz von Daten mit App-Schutzrichtlinien auf Geräten, die durch eine MDM-Lösung verwaltet werden

Die folgende Abbildung zeigt die Schutzebenen, die MDM- und App-Schutz-Richtlinien zusammen bieten.

Die MDM-Lösung bietet einen Mehrwert durch Folgendes:

• Registrieren das Gerät
• Stellt die Apps auf dem Gerät bereit
• Sorgt für kontinuierliche Gerätekonformität und -verwaltung

Die App-Schutzrichtlinien bieten einen Mehrwert durch Folgendes:

• Schutz der Unternehmensdaten vor dem Zugriff durch Verbraucher-Apps und -Dienste
• Anwenden von Einschränkungen, z. B. für Speichern unter, Zwischenablage oder PIN, auf Client-Apps
• Löschen von Unternehmensdaten aus Apps bei Bedarf, ohne die Apps vom Gerät zu entfernen

Schutz von Daten mit App-Schutzrichtlinien für Geräte ohne Registrierung

Das folgende Diagramm zeigt, wie die Datenschutzrichtlinien auf App-Ebene ohne MDM funktionieren.

Bei BYOD-Geräten, die nicht in einer MDM-Lösung registriert sind, können App-Schutzrichtlinien dazu beitragen, Unternehmensdaten auf App-Ebene zu schützen. Es gibt jedoch einige Einschränkungen, die Sie kennen sollten:

• Apps werden nicht auf dem Gerät bereitgestellt. Der Benutzer ruft die Apps aus dem Store ab.
• Zertifikatprofile werden auf diesen Geräten nicht bereitgestellt.
• Die Wi-Fi und VPN-Einstellungen des Unternehmens werden auf diesen Geräten nicht bereitgestellt.

Apps, die mit App-Schutzrichtlinien verwaltet werden können

Jede App, die in das Intune SDK integriert ist oder von der Intune App Wrapping Tool umschlossen wird, kann mithilfe Intune App-Schutzrichtlinien verwaltet werden. Sehen Sie sich die offizielle Liste der durch Microsoft Intune geschützten Apps an, die diese Tools verwenden und für die öffentliche Verwendung verfügbar sind.

Das Intune SDK-Entwicklungsteam testet und verwaltet aktiv die Unterstützung für Apps, die mit den nativen Android- und iOS/iPadOS-Plattformen (Obj-C, Swift) erstellt wurden. Während einige Kunden Erfolg mit der Integration des Intune SDK mit anderen Plattformen wie React Native und NativeScript hatten, werden App-Entwicklern, die andere als die unterstützten Plattformen verwenden, keine expliziten Anleitungen oder Plug-Ins zur Verfügung gestellt.

Benutzeranforderungen zur Verwendung von App-Schutzrichtlinien

Die folgende Liste enthält die Benutzeranforderungen für die Verwendung von App-Schutzrichtlinien in einer von Intune verwalteten App:

• Der Benutzer muss über ein Microsoft Entra Konto verfügen. Weitere Informationen zum Erstellen von Intune-Benutzern in Microsoft Entra ID finden Sie unter Hinzufügen von Benutzern und Erteilen von Administratorrechten für Intune.

• Der Benutzer muss über eine Lizenz für Microsoft Intune verfügen, die seinem Microsoft Entra-Konto zugewiesen ist. Weitere Informationen zum Zuweisen von Intune-Lizenzen zu Benutzern finden Sie unter Verwalten von Intune-Lizenzen.

• Der Benutzer muss einer Sicherheitsgruppe angehören, auf die eine App-Schutzrichtlinie abzielt. Die selbe App-Schutzrichtlinie muss auf die App angewendet werden, die verwendet werden soll. App-Schutz-Richtlinien können im Microsoft Intune Admin Center erstellt und bereitgestellt werden. Sicherheitsgruppen können zurzeit im Microsoft 365 Admin Center erstellt werden.

• Der Benutzer muss sich mit seinem Microsoft Entra-Konto bei der App anmelden.

App-Schutz-Richtlinien für Microsoft 365 (Office)-Apps

Es gibt einige weitere Anforderungen, die Sie beachten sollten, wenn Sie App-Schutz-Richtlinien mit Microsoft 365 (Office)-Apps verwenden.

Mobile Outlook-App

Die Verwendung der mobilen Outlook-App umfasst die folgenden Voraussetzungen:

• Der Benutzer muss die mobile Outlook-App auf seinem Gerät installiert haben.

• Der Benutzer muss über ein Microsoft 365 Exchange Online-Postfach und eine Microsoft 365 Lizenz verfügen, die mit seinem Microsoft Entra-Konto verknüpft sind.

  Hinweis

  Die mobile Outlook-App unterstützt derzeit nur den Intune-App-Schutz für Microsoft Exchange Online und Exchange Server mit hybrider moderner Authentifizierung und unterstützt Exchange in Office 365 dediziert nicht.

Word, Excel und PowerPoint

Die Verwendung der Word-, Excel- und PowerPoint-Apps umfasst die folgenden Voraussetzungen:

• Der Benutzer muss über eine Lizenz für Microsoft 365 Apps for Business oder Enterprise verfügen, die mit seinem Microsoft Entra-Konto verknüpft ist. Das Abonnement muss die Microsoft 365-Apps auf mobilen Geräten umfassen und kann ein Cloudspeicherkonto mit Microsoft OneDrive umfassen. Microsoft 365-Lizenzen können im Microsoft 365 Admin Center zugewiesen werden. Befolgen Sie dazu diese Anweisungen.

• Der Benutzer muss über einen verwalteten Speicherort verfügen, der mit der präzisen Funktion "Speichern unter" unter der Richtlinieneinstellung "Kopien von Organisationsdaten speichern" konfiguriert wurde. Wenn der verwaltete Speicherort beispielsweise OneDrive ist, sollte die OneDrive-App in der Word-, Excel- oder PowerPoint-App des Benutzers konfiguriert werden.

• Wenn der verwaltete Speicherort OneDrive ist, muss die für den Benutzer bereitgestellte App-Schutzrichtlinie auf die App abzielen.

  Hinweis

  Die mobilen Office-Apps unterstützen zurzeit nur SharePoint Online, nicht jedoch SharePoint lokal.

Verwalteter Speicherort für Office erforderlich

Für Office wird ein verwalteter Speicherort (d. h. OneDrive) benötigt. Intune markiert alle Daten in der App entweder als "geschäftlich" oder "persönlich". Daten gelten als "unternehmensbezogen", wenn sie von einem Unternehmensstandort stammen. Für die Microsoft 365-Apps betrachtet Intune die folgenden Standorte als Geschäftsstandorte: E-Mail (Exchange) oder Cloudspeicher (OneDrive-App mit einem OneDrive für Geschäfts-, Schul- oder Unikonto).

Skype for Business

Es gibt weitere Voraussetzungen für die Verwendung von Skype for Business. Informationen hierzu finden Sie in den Lizenzanforderungen für Skype for Business. Informationen zu hybriden und lokalen Konfigurationen von Skype for Business (SfB) finden Sie unter Hybrid Modern Auth für SfB und Exchange goes GA und Modern Auth für SfB lokal mit Microsoft Entra ID.

Globale App-Schutzrichtlinie

Wenn ein OneDrive-Administrator zu admin.onedrive.com navigiert und Gerätezugriff auswählt, kann er Steuerelemente für die Mobile Anwendungsverwaltung für die OneDrive- und SharePoint-Client-Apps festlegen.

Mit den Einstellungen, die der OneDrive-Admin-Konsole zur Verfügung gestellt werden, wird eine spezielle Intune-App-Schutzrichtlinie konfiguriert, die als globale Richtlinie bezeichnet wird. Diese globale Richtlinie gilt für alle Benutzer in Ihrem Mandanten und kann nicht eingeschränkt angewendet werden.

Sobald sie aktiviert ist, werden die OneDrive- und SharePoint-Apps für iOS/iPadOS und Android standardmäßig über die ausgewählten Einstellungen geschützt. Ein IT-Experte kann diese Richtlinie im Microsoft Intune Admin Center bearbeiten, um gezieltere Apps hinzuzufügen und Richtlinieneinstellungen zu ändern.

Standardmäßig darf nur eine globale Richtlinie pro Mandant vorhanden sein. Intune Graph-APIs können Sie jedoch verwenden, um zusätzliche globale Richtlinien pro Mandant zu erstellen, was jedoch nicht empfohlen wird. Das Erstellen zusätzlicher globaler Richtlinien wird nicht empfohlen, da die Problembehandlung bei der Implementierung einer solchen Richtlinie sehr kompliziert sein kann.

Während die globale Richtlinie für alle Benutzer Ihres Mandanten gilt, überschreibt jede standardmäßige Intune-App-Schutzrichtlinie diese Einstellungen.

App-Schutzfunktionen

Mehrere Identitäten

Mit der Unterstützung mehrerer Identitäten kann eine App mehrere Zielgruppen unterstützen. Hierbei kann es sich sowohl um „Unternehmensbenutzer“ als auch um „persönliche Benutzer“ handeln. "Unternehmens"-Zielgruppen verwenden Geschäfts-, Schul- oder Unikonten, während Verbraucherzielgruppen wie Microsoft 365 (Office)-Benutzer persönliche Konten verwenden würden. Eine App, die mehrere Identitäten unterstützt, kann öffentlich freigegeben werden. Dabei werden App-Schutzrichtlinien nur angewendet, wenn die App im Kontext eines Geschäfts-, Schul- und Unikontos („Unternehmen“) verwendet wird. Die Unterstützung für mehrere Identitäten verwendet das Intune SDK, um App-Schutzrichtlinien nur auf das Geschäfts-, Schul- oder Unikonto anzuwenden, das bei der App angemeldet ist. Wenn ein persönliches Konto in der App angemeldet ist, bleiben die Daten unberührt. App-Schutzrichtlinien können verwendet werden, um zu verhindern, dass Daten von Geschäfts-, Schul- oder Unikonten an persönliche Konten innerhalb der App mit mehreren Identitäten, an persönliche Konten mit anderen Apps oder persönliche Apps übertragen werden.

Richtlinien zum App-Schutz werden für mehrere verwaltete Konten (Multiple Managed Accounts, MMA) unterstützt, mit denen Benutzer mehr als ein Geschäfts-, Schul- oder Unikonto innerhalb einer unterstützten App hinzufügen können, wobei die Richtlinie für jedes Konto unabhängig durchgesetzt wird.

Als Beispiel für einen "persönlichen" Kontext betrachten Sie einen Benutzer, der ein neues Dokument in Word beginnt. Dies wird als persönlicher Kontext betrachtet, sodass keine Richtlinien zum Schutz von Intune-Apps angewendet werden. Sobald das Dokument unter dem OneDrive-Konto "geschäftlich" gespeichert ist, wird es als "Unternehmenskontext" betrachtet, und die Richtlinien zum Schutz von Intune-Apps werden angewendet.

Sehen Sie sich die folgenden Beispiele für die Arbeit oder den Unternehmenskontext an:

• Ein Benutzer startet die OneDrive-App über sein Geschäftskonto. Im geschäftlichen Kontext kann er keine Dateien an einen privaten Speicherort verschieben. Wenn der Benutzer OneDrive später jedoch mit einem persönlichen Konto verwendet, kann er Daten ohne Einschränkung aus dem persönlichen OneDrive kopieren und verschieben.
• Ein Benutzer beginnt, eine E-Mail in der Outlook-App zu verfassen. Sobald der Betreff oder der Nachrichtentext aufgefüllt ist, kann der Benutzer die FROM-Adresse („An“) nicht mehr vom Arbeitskontext in den persönlichen Kontext umstellen, da der Betreff und der Nachrichtentext durch die App-Schutzrichtlinie geschützt sind.

Intune-App-PIN

Die PIN (Personal Identification Number) ist eine Kennung, mit der sichergestellt wird, dass der richtige Benutzer in einer Anwendung auf die Daten der Organisation zugreift.

Aufforderung zur Eingabe der PIN
Intune fordert den Benutzer zur Eingabe seiner App-PIN auf, wenn dieser versucht, auf „unternehmenseigene“ Daten zuzugreifen. In Apps mit Unterstützung mehrerer Identitäten – z. B. Word, Excel oder PowerPoint – wird der Benutzer zur PIN-Eingabe aufgefordert, wenn er versucht, ein „unternehmenseigenes“ Dokument oder eine „unternehmenseigene“ Datei zu öffnen. In Single-Identity-Apps, z. B. Branchen-Apps, die mit dem Intune App Wrapping Tool verwaltet werden, wird die PIN beim Start abgefragt, da das Intune SDK weiß, dass die Benutzererfahrung in der App immer "unternehmensbezogen" ist.

Häufigkeit der Aufforderung zur Eingabe der PIN oder Administratoranmeldeaufforderung eines Unternehmens
Der IT-Administrator kann die Richtlinieneinstellung für den Intune-App-Schutz definieren Überprüfen Sie die Zugriffsanforderungen nach (Minuten) erneut im Microsoft Intune Admin Center. Diese Einstellung gibt die Zeitspanne an, nach der die Zugriffsanforderungen auf dem Gerät überprüft werden und der Bildschirm zur Eingabe der PIN oder Administratoranmeldeaufforderung eines Unternehmens erneut angezeigt wird. Wichtige Details zur PIN, die sich darauf auswirken, wie oft der Benutzer aufgefordert wird, sind jedoch:

• Eine PIN wird für alle Apps des gleichen Herausgebers genutzt, um die Benutzerfreundlichkeit zu erhöhen:
  Unter iOS/iPadOS wird eine App-PIN von allen Apps desselben App-Herausgebers gemeinsam genutzt. Beispielsweise verwenden alle Microsoft-Apps dieselbe PIN. Unter Android wird eine App-PIN von allen Apps gemeinsam verwendet.
• Das Verhalten von Zugriffsanforderungen nach (Minuten) erneut überprüfen nach einem Geräteneustart:
  Ein Timer zählt die Anzahl von Minuten der Inaktivität, die angeben, wann die Intune-App-PIN oder Administratoranmeldeaufforderung eines Unternehmens das nächste Mal angezeigt werden soll. Unter iOS/iPadOS hat ein Neustart des Geräts keine Auswirkung auf den Timer. Daher hat der Geräteneustart keinen Einfluss auf die Anzahl der Minuten, die der Benutzer aus einer iOS/iPadOS-App mit gezielter Intune-PIN-Richtlinie (oder Unternehmensanmeldeinformationsrichtlinie) inaktiv bleibt. Unter Android wird der Timer beim Neustart des Geräts zurückgesetzt. Daher fordern Android-Apps mit einer Intune-PIN-Richtlinie (oder einer Aufforderung für Unternehmensanmeldeinformationen) wahrscheinlich zur Eingabe einer App-PIN oder einer Aufforderung für Unternehmensanmeldeinformationen auf, unabhängig vom Einstellungswert "Zugriffsanforderungen nach (Minuten) erneut überprüfen" nach einem Neustart des Geräts.
• Das Wiederholungsverhalten des Timers für die PIN:
  Wenn für den Zugriff auf eine App (App A) eine PIN eingegeben wurde und diese App auf dem Gerät nicht mehr im Vordergrund (Haupteingabefokus) ausgeführt wird, wird der Timer für diese PIN zurückgesetzt. Alle Apps (App B), die diese PIN teilen, fordern den Benutzer nicht zur PIN-Eingabe auf, da der Timer zurückgesetzt wurde. Die Eingabeaufforderung wird erneut angezeigt, sobald der Wert "Zugriffsanforderungen erneut überprüfen nach (Minuten)" erreicht ist.

Auf iOS-/iPadOS-Geräten wird die Eingabeaufforderung erneut angezeigt, wenn der Wert " Zugriffsanforderungen erneut überprüfen nach (Minuten)" für die App erfüllt ist, die nicht der Haupteingabefokus ist. Beispiel: Der Benutzer verfügt über die App A von Herausgeber X und über die App B von Herausgeber Y, und für diese Apps wird die gleiche PIN verwendet. Der Benutzer verwendet App A (im Vordergrund), und die App B ist minimiert. Nachdem der Wert " Zugriffsanforderungen erneut überprüft nach (Minuten)" erreicht ist und der Benutzer zu App B wechselt, ist die PIN erforderlich.

Integrierte App-PINs für Outlook und OneDrive
Die Intune-PIN funktioniert basierend auf einem Inaktivitäts-basierten Timer (der Wert von Zugriffsanforderungen erneut überprüfen nach (Minuten)). Daher werden Intune-PIN-Eingabeaufforderungen unabhängig von den integrierten App-PIN-Eingabeaufforderungen für Outlook und OneDrive angezeigt, die häufig standardmäßig an den App-Start gebunden sind. Wenn der Benutzer beide PIN-Aufforderungen gleichzeitig erhält, hat die Intune-PIN voraussichtlich Vorrang.

Sicherheit für Intune-PINs
Mit der PIN wird sichergestellt, dass nur der richtige Benutzer in der App auf Daten der Organisation zugreifen kann. Daher muss sich ein Benutzer mit seinem Geschäfts-, Schul- oder Unikonto anmelden, bevor er seine Intune-App-PIN festlegen oder zurücksetzen kann. Microsoft Entra ID verarbeitet diese Authentifizierung über den sicheren Tokenaustausch, und das Intune SDK sieht sie nicht. Hinsichtlich der Sicherheit ist die beste Möglichkeit, ein Geschäfts-, Uni- oder Schulkonto zu schützen, das Konto zu verschlüsseln. Die Verschlüsselung hängt nicht mit der App-PIN zusammen, sondern ist eine eigene App-Schutzrichtlinie.

Schutz vor Brute-Force-Angriffen und der Intune-PIN
Im Rahmen der App-PIN-Richtlinie kann der IT-Administrator festlegen, wie oft ein Benutzer versuchen kann, die PIN zu authentifizieren, bevor die App gesperrt wird. Nachdem die Anzahl der Versuche erreicht wurde, kann das Intune SDK die "Unternehmensdaten" in der App löschen.

Intune-PIN und selektives Zurücksetzen
Unter iOS/iPadOS werden die PIN-Informationen auf App-Ebene im Schlüsselbund gespeichert, der von Apps desselben Herausgebers, wie z. B. allen Apps von Microsoft als Erstanbieter, gemeinsam genutzt wird. Diese PIN-Informationen sind ebenfalls an ein Benutzerkonto gebunden. Ein selektives Zurücksetzen einer App wirkt sich nicht auf eine andere App aus.

Beispielsweise wird eine für Outlook festgelegte PIN für den angemeldeten Benutzer in einem gemeinsam genutzten Schlüsselbund gespeichert. Wenn sich der Benutzer bei OneDrive anmeldet (ebenfalls von Microsoft veröffentlicht), wird die gleiche PIN wie in Outlook angezeigt, da dafür derselbe freigegebene Schlüsselbund verwendet wird. Wenn Sie sich von Outlook abmelden oder die Benutzerdaten in Outlook löschen, löscht das Intune SDK diesen Schlüsselbund nicht, da OneDrive diese PIN möglicherweise weiterhin verwendet. Aus diesem Grund wird bei selektiven Zurücksetzungen der freigegebene Schlüsselbund, einschließlich der PIN, nicht gelöscht. Dieses Verhalten bleibt auch dann unverändert, wenn nur eine App eines Herausgebers auf dem Gerät vorhanden ist.

Da die PIN von Apps mit demselben Herausgeber gemeinsam genutzt wird, weiß das Intune SDK nicht, ob andere Apps mit demselben Herausgeber auf dem Gerät vorhanden sind, wenn das Zurücksetzen zu einer einzelnen App geht. Daher löscht das Intune SDK die PIN nicht, da sie möglicherweise weiterhin für andere Apps verwendet wird. Die Erwartung ist, dass die App-PIN gelöscht wird, wenn die letzte App von diesem Herausgeber schließlich im Rahmen einer Betriebssystembereinigung entfernt wird.

Wenn Sie beobachten, dass die PIN auf einigen Geräten zurückgesetzt wird, ist wahrscheinlich das folgende Verhalten der Fall: Da die PIN an eine Identität gebunden ist, wird der Benutzer aufgefordert, eine neue PIN einzugeben, wenn er sich nach einer Zurücksetzung mit einem anderen Konto anmeldet. Wenn sie sich jedoch mit einem bereits vorhandenen Konto anmelden, kann eine im Schlüsselbund gespeicherte PIN zur Anmeldung verwendet werden.

Doppeltes Festlegen einer PIN für Apps vom gleichen Herausgeber?
MAM (unter iOS/iPadOS) ermöglicht derzeit eine PIN auf Anwendungsebene mit alphanumerischen Zeichen und Sonderzeichen (als "Passcode" bezeichnet), was die Teilnahme von Anwendungen (d. h. WXP, Outlook, Viva Engage) erfordert, um das Intune SDK für iOS zu integrieren. Ohne dies werden die Passcodeeinstellungen für die Zielanwendungen nicht ordnungsgemäß erzwungen. Dieses Feature wurde im Intune SDK für iOS v. 7.1.12 veröffentlicht.

Um dieses Feature zu unterstützen und die Abwärtskompatibilität mit früheren Versionen des Intune SDK für iOS/iPadOS sicherzustellen, werden alle PINs (entweder numerisch oder Passcode) in 7.1.12+ getrennt von der numerischen PIN in früheren Versionen des SDK behandelt. Eine weitere Änderung wurde im Intune SDK für iOS v 14.6.0 eingeführt, die bewirkt, dass alle PINs in 14.6.0+ getrennt von PINS in früheren Versionen des SDK behandelt werden.

Wenn ein Gerät Anwendungen mit Intune SDK für iOS-Versionen vor 7.1.12 UND nach 7.1.12 vom selben Herausgeber (oder Versionen vor 14.6.0 UND nach 14.6.0) enthält, müssen sie daher zwei PINs einrichten. Die beiden PINs (für jede App) sind in keiner Weise miteinander verbunden (das heißt, sie müssen der App-Schutzrichtlinie entsprechen, die auf die App angewendet wird). Wenn also für die Apps A und B die gleichen Richtlinien gelten (in Bezug auf die PIN), kann es passieren, dass der Benutzer dieselbe PIN zweimal einrichtet.

Dieses Verhalten gilt speziell für die PIN für iOS/iPadOS-Anwendungen, die mit der Intune-Verwaltung mobiler Apps aktiviert sind. Wenn Anwendungen im Laufe der Zeit höhere Intune SDK-Versionen für iOS/iPadOS annehmen, ist das zweimalige Festlegen einer PIN für Apps desselben Herausgebers weniger entscheidend.

Verschlüsselung von App-Daten

IT-Administratoren können eine App-Schutzrichtlinie bereitstellen, die erzwingt, dass App-Daten verschlüsselt werden. Im Rahmen einer solchen Richtlinie kann ein IT-Administrator auch angeben, wann die Inhalte verschlüsselt werden.

Intune-Verfahren für die Datenverschlüsselung
Ausführliche Informationen zur Verschlüsselungseinstellung im Rahmen von App-Schutzrichtlinien finden Sie unter Einstellungen für App-Schutzrichtlinien in Microsoft Intune und Einstellungen für App-Schutzrichtlinien für iOS.

Verschlüsselte Daten
Nur Daten, die als „unternehmenseigen“ markiert sind, werden gemäß der vom IT-Administrator eingerichteten App-Schutzrichtlinie verschlüsselt. Daten werden als „unternehmenseigen“ betrachtet, wenn sie von einem Speicherort des Unternehmens stammen. Für die Microsoft 365-Apps betrachtet Intune die folgenden Standorte als Unternehmensstandorte:

• E-Mail (Exchange)
• Cloudspeicher (OneDrive-App mit einem OneDrive für Geschäfts-, Schul- oder Unikonto)

Für Branchen-Apps, die vom Intune App Wrapping Tool verwaltet werden, werden alle App-Daten als "unternehmensbezogen" betrachtet.

Selektives Zurücksetzen

Löschen von Daten per Remotezugriff
Intune kann App-Daten auf drei verschiedene Arten löschen:

• Vollständiges Zurücksetzen des Geräts
• Selektives Zurücksetzen für MDM
• Selektives Zurücksetzen für MAM

Weitere Informationen zur Remotezurücksetzung der MDM finden Sie unter Entfernen von Geräten durch Zurücksetzen oder Abkoppeln. Weitere Informationen zum selektiven Zurücksetzen mit MAM finden Sie unter the Retire action (Die Aktion „Abkoppeln“) und Zurücksetzen von Unternehmensdaten in Apps.

Beim vollständigen Zurücksetzen des Geräts werden alle Benutzerdaten und -einstellungen vom Gerät entfernt, indem das Gerät auf die werkseitigen Standardeinstellungen zurückgesetzt wird. Das Gerät wird aus Intune entfernt.

Selektives Zurücksetzen für MDM
Informationen zum Entfernen von Unternehmensdaten finden Sie unter Remove devices – retire (Entfernen von Geräten: Abkoppeln).

Selektives Zurücksetzen für MAM
Die selektive Zurücksetzung für MAM entfernt Unternehmens-App-Daten aus einer App. Die Anforderung wird mit Intune initiiert. Informationen zum Initiieren einer Zurücksetzungsanforderung finden Sie unter So setzen Sie nur die Unternehmensdaten in einer App zurück.

Wenn das selektive Zurücksetzen initiiert wird, während ein Benutzer die App verwendet, überprüft das Intune SDK alle 30 Minuten, ob eine Anforderung zum selektiven Zurücksetzen vom Intune MAM-Dienst vorhanden ist. Das SDK überprüft auch, ob eine Anforderung zum selektiven Zurücksetzen vorhanden ist, wenn ein Benutzer eine App zum ersten Mal startet und sich mit einem Geschäfts-, Uni- oder Schulkonto anmeldet.

Wenn lokale Dienste nicht mit von Intune geschützten Apps funktionieren
Der Intune-App-Schutz hängt davon ab, dass die Identität des Benutzers in der App und im Intune SDK konsistent ist. Die einzige Möglichkeit, dies zu garantieren, ist eine moderne Authentifizierung. Es gibt Szenarien, in denen Apps möglicherweise mit einer lokalen Konfiguration funktionieren, jedoch nicht konsistent oder garantiert sind.

Eine sichere Möglichkeit zum Öffnen von Weblinks in verwalteten Apps
Ein IT-Administrator kann eine App-Schutzrichtlinie für Microsoft Edge bereitstellen und festlegen. Dieser Webbrowser kann problemlos mit Intune verwaltet werden. Der IT-Administrator kann verlangen, dass alle Weblinks in von Intune verwalteten Apps mit Microsoft Edge geöffnet werden.

App-Schutzfunktionen für iOS-Geräte

Erkennung von Fingerabdrücken oder Gesichtern auf dem Gerät

Die Richtlinien für den Intune-App-Schutz ermöglichen es Ihnen, den App-Zugriff nur auf Benutzer mit Intune-Lizenz zu beschränken. Eine der Möglichkeiten, den Zugriff auf die App zu steuern, besteht darin, Apple Touch ID oder Face ID auf unterstützten Geräten zu erfordern. Intune implementiert ein Verhalten, bei dem Intune den Benutzer bei Änderungen an der biometrischen Datenbank des Geräts zur Eingabe einer PIN auffordert, wenn der nächste Wert für ein Inaktivitäts-Timeout erreicht ist. Zu Änderungen an biometrischen Daten zählen das Hinzufügen oder Entfernen von Fingerabdrücken oder Gesichtern. Wenn der Intune-Benutzer keine PIN festgelegt hat, wird er aufgefordert, eine Intune-PIN einzurichten.

Zweck dieses Verfahrens ist es, die Daten Ihrer Organisation innerhalb der App und auf App-Ebene kontinuierlich zu schützen. Dieses Feature ist nur für iOS/iPadOS verfügbar und erfordert, dass das Intune SDK für iOS/iPadOS, Version 9.0.1 oder höher in betreffende Anwendungen integriert wird. Die Integration des SDK ist erforderlich, damit das Verhalten für die Zielanwendungen erzwungen werden kann. Diese Integration erfolgt kontinuierlich und ist abhängig von den jeweiligen Anwendungsteams. Einige Apps, die teilnehmen, sind WXP, Outlook und Viva Engage.

iOS-Freigabeerweiterung

Verwenden Sie die iOS/iPadOS-Freigabeerweiterung, um Geschäfts-, Schul- oder Unidaten in nicht verwalteten Apps zu öffnen, auch wenn die Datenübertragungsrichtlinie auf "Nur verwaltete Apps " oder "Keine Apps" festgelegt ist. Die Intune-App-Schutzrichtlinie kann die iOS/iPadOS-Freigabeerweiterung nicht steuern, ohne das Gerät zu verwalten. Daher verschlüsselt Intune „unternehmenseigene“ Daten, bevor diese außerhalb der App freigegeben werden. Überprüfen Sie dieses Verschlüsselungsverhalten, indem Sie versuchen, eine "Unternehmensdatei" außerhalb der verwalteten App zu öffnen. Die Datei sollte verschlüsselt sein und außerhalb der verwalteten App nicht geöffnet werden können.

Unterstützung für universelle Links

Standardmäßig verhindern Intune-App-Schutzrichtlinien den Zugriff auf nicht autorisierte Anwendungsinhalte. In iOS/iPadOS gibt es Funktionen zum Öffnen bestimmter Inhalte oder Anwendungen mithilfe von universellen Links.

Benutzer können die universellen Links einer App deaktivieren, indem sie in Safari zu diesen Links navigieren und auf In neuer Registerkarte öffnen oder Öffnen klicken. Um universelle Links mit App-Schutzrichtlinien in Intune zu verwenden, ist es wichtig, die universellen Links erneut zu aktivieren. Der Benutzer müsste einen Open in<App-Namen> in Safari ausführen, nachdem er lange auf einen entsprechenden Link gedrückt hat. Dies sollte jede geschützte App auffordern, alle universellen Links an die geschützte Anwendung auf dem Gerät weiterzuleiten.

Mehrere Zugriffseinstellungen des Intune-App-Schutzes für die gleiche Gruppe von Apps und Benutzern

Intune-App-Schutzrichtlinien für den Zugriff werden in einer bestimmten Reihenfolge auf Benutzergeräte angewendet, wenn sie versuchen, von ihrem Unternehmenskonto aus auf eine bestimmte App zuzugreifen. In der Regel hat ein Zurücksetzungsvorgang Vorrang vor einem Block. Verwerfbare Warnungen werden erst als letztes berücksichtigt. Wenn dies beispielsweise auf den jeweiligen Benutzer/die App zutrifft, wird eine Mindesteinstellung für das iOS/iPadOS-Betriebssystem, die einen Benutzer warnt, seine iOS/iPadOS-Version zu aktualisieren, nach der Mindesteinstellung für das iOS/iPadOS-Betriebssystem angewendet, die den Zugriff des Benutzers verhindert. In dem Szenario, in dem der IT-Administrator das Betriebssystem min iOS auf 11.0.0.0 und das min iOS-Betriebssystem (nur Warnung) auf 11.1.0.0 konfiguriert, während das Gerät, das versucht, auf die App zuzugreifen, unter iOS 10 war, würde der Benutzer basierend auf der restriktiveren Einstellung für die min. iOS-Betriebssystemversion blockiert, was zu einem blockierten Zugriff führt.

Wenn verschiedene Arten von Einstellungen verarbeitet werden müssen, haben die Anforderungen hinsichtlich bestimmter Versionen des Intune SDK Vorrang. Erst danach werden Anforderungen berücksichtigt, die eine Version einer App oder eines iOS/iPadOS-Betriebssystems betreffen. Anschließend werden in derselben Reihenfolge mögliche Warnungen für sämtliche Einstellungstypen überprüft. Konfigurieren Sie die Versionsanforderung des Intune SDK nur auf Anleitung des Intune-Produktteams für wesentliche Blockierungsszenarien.

App-Schutzfunktionen für Android-Geräte

Microsoft Teams-Android-Geräte

Die Teams-App auf Microsoft Teams-Android-Geräten unterstützt keine App-Schutzrichtlinien (sie empfängt keine Richtlinie über die Unternehmensportal-App). Dies bedeutet, dass Richtlinieneinstellungen für den App-Schutz nicht auf Teams auf Microsoft Teams Android-Geräten angewendet werden. Wenn Sie App-Schutzrichtlinien für diese Geräte konfiguriert haben, sollten Sie eine Gruppe von Teams-Gerätebenutzern erstellen und diese Gruppe aus den zugehörigen App-Schutzrichtlinien ausschließen. Erwägen Sie außerdem, Ihre Intune-Registrierungsrichtlinien, Richtlinien für bedingten Zugriff und Intune-Konformitätsrichtlinien so zu ändern, dass sie unterstützte Einstellungen enthalten. Wenn Sie Ihre vorhandenen Richtlinien nicht ändern können, müssen Sie Gerätefilter (Ausschluss) konfigurieren. Überprüfen Sie jede Einstellung anhand der vorhandenen Konfiguration für bedingten Zugriff und der Intune-Konformitätsrichtlinie, um festzustellen, ob Sie nicht unterstützte Einstellungen einschließen. Weitere Informationen finden Sie unter Unterstützter bedingter Zugriff und Intune-Gerätekonformitätsrichtlinien für Microsoft Teams-Räume und Teams-Android-Geräte. Informationen zu Microsoft Teams Rooms finden Sie unter Bedingter Zugriff und Intune-Compliance für Microsoft Teams Rooms.

Biometrische Geräteauthentifizierung

Ermöglichen Sie Benutzern für Android-Geräte, die die biometrische Authentifizierung unterstützen, die Verwendung von Fingerabdruck oder Gesichtsentsperrung, je nachdem, was ihr Android-Gerät unterstützt. Konfigurieren Sie, ob alle biometrischen Typen außer dem Fingerabdruck zur Authentifizierung verwendet werden können. Fingerabdruck und Gesichtsentsperrung sind nur für Geräte verfügbar, die diese biometrischen Typen unterstützen und auf denen die richtige Android-Version ausgeführt wird. Für Fingerabdrücke ist Android 6 erforderlich, für die Entsperrung per Gesichtserkennung ist Android 10 oder höher erforderlich.

Unternehmensportal-App und Intune-App-Schutz

Ein Großteil der App-Schutzfunktionen ist in die Unternehmensportal-App integriert. Eine Geräteregistrierung ist nicht erforderlich*, obwohl die Unternehmensportal-App immer erforderlich ist. Für die mobile Anwendungsverwaltung (Mobile Application Management, MAM) muss die Unternehmensportal-App auf dem Gerät installiert sein.

Mehrere Zugriffseinstellungen des Intune-App-Schutzes für die gleiche Gruppe von Apps und Benutzern

Intune-App-Schutzrichtlinien für den Zugriff werden in einer bestimmten Reihenfolge auf Benutzergeräte angewendet, wenn sie versuchen, von ihrem Unternehmenskonto aus auf eine bestimmte App zuzugreifen. Im Allgemeinen hat eine Blockierung Vorrang und dann eine verwerfbare Warnung. Wenn dies beispielsweise auf den jeweiligen Benutzer/die App zutrifft, wird nach der Einstellung für die Mindestversion des Android-Patches eine Einstellung angewendet, die einen Benutzer vor einem Patch-Upgrade warnt und den Zugriff des Benutzers verhindert. In dem Szenario, in dem der IT-Administrator die min. Android-Patch-Version 2018-03-01 und die Min. Android-Patch-Version (nur Warnung) 2018-02-01auf konfiguriert, während das Gerät, das versucht, auf die App zuzugreifen, mit einer Patch-Version 2018-01-01war, würde der Benutzer basierend auf der restriktiveren Einstellung für die Min. Android-Patch-Version blockiert, was zu einem blockierten Zugriff führt.

Bei verschiedenen Arten von Einstellungen hat eine App-Versionsanforderung Vorrang, gefolgt von einer Android-Betriebssystem-Versionsanforderung und einer Android-Patch-Versionsanforderung. Anschließend werden alle Warnungen für alle Einstellungstypen in derselben Reihenfolge überprüft.

Intune-App-Schutzrichtlinien und Geräteintegritätsprüfung von Google Play für Android-Geräte

Intune-App-Schutzrichtlinien bieten Administratoren die Möglichkeit, von Benutzergeräten zu verlangen, dass sie die Geräteintegritätsprüfung von Google Play für Android-Geräte bestehen. Eine neue Google Play-Dienstbestimmung wird dem IT-Administrator in einem vom Intune-Dienst festgelegten Intervall gemeldet. Gibt an, wie häufig der Dienstaufruf getätigt wird, wird aufgrund der Auslastung gedrosselt, sodass dieser Wert intern beibehalten wird und nicht konfigurierbar ist. Jede vom IT-Administrator konfigurierte Aktion für die Integritätseinstellung für Google-Geräte wird basierend auf dem zuletzt an den Intune-Dienst gemeldeten Ergebnis zum Zeitpunkt des bedingten Starts ausgeführt. Wenn keine Daten vorhanden sind, ist der Zugriff zulässig, sofern keine anderen bedingten Startprüfungen fehlschlagen, und der "Roundtrip" des Google Play-Diensts zum Ermitteln der Nachweisergebnisse beginnt im Backend und fordert den Benutzer asynchron auf, wenn das Gerät ausfällt. Wenn veraltete Daten vorhanden sind, wird der Zugriff je nach dem zuletzt gemeldeten Ergebnis blockiert oder zugelassen, und in ähnlicher Weise beginnt ein "Roundtrip" des Google Play Service zur Ermittlung der Nachweisergebnisse und fordert den Benutzer asynchron auf, wenn das Gerät ausfällt.

Intune-App-Schutzrichtlinien und die Verify Apps-API von Google für Android-Geräte

Intune-App-Schutzrichtlinien bieten Administratoren die Möglichkeit, Benutzergeräte zum Senden von Signalen über die Verify Apps API von Google für Android-Geräte zu verpflichten. Die dafür erforderlichen Schritte unterscheiden sich leicht je nach Gerät. Der allgemeine Vorgang besteht darin, zum Google Play Store zu wechseln, dann "Meine Apps & Spiele" auszuwählen und das Ergebnis der letzten App-Überprüfung auszuwählen, wodurch Sie zum Menü "Play Protect" gelangen. Sorgen Sie dafür, dass die Option Scan device for security threats (Gerät auf Sicherheitsbedrohungen überprüfen) aktiviert ist.

Googles Play Integrity-API

Intune verwendet die Play Integrity-APIs von Google, um vorhandene Stammerkennungsprüfungen für nicht registrierte Geräte zu ergänzen. Google entwickelt und verwaltet diesen API-Satz für Android-Apps, die nicht möchten, dass ihre Apps auf gerooteten Geräten ausgeführt werden. Die Android Pay App integriert dies zum Beispiel. Google teilt zwar nicht die Gesamtheit der stattfindenden Root-Erkennungsprüfungen, aber diese APIs erkennen Benutzer, die ihre Geräte rooten. Diesen Benutzern kann der Zugriff dann verwehrt werden, oder ihre Unternehmenskonten können aus den Apps entfernt werden, für die Richtlinien aktiviert sind. Die Option Check basic integrity (Grundlegende Integrität überprüfen) informiert Sie über die allgemeine Integrität des Geräts. Für gerootete Geräte, Emulatoren, virtuelle Geräte und Geräte, die Anzeichen von Manipulationen aufweisen, schlägt die Überprüfung der grundlegenden Integrität fehl. Die Option Check basic integrity & certified devices (Grundlegende Integrität und zertifizierte Geräte überprüfen) informiert Sie über die Kompatibilität des Geräts mit Google-Diensten. Nur unveränderte Geräte, die von Google zertifiziert werden, können diese Prüfung bestehen. Zu den fehlerhaften Geräten gehören die folgenden:

• Geräte, für die die Überprüfung der Basisintegrität fehlschlägt
• Geräte mit entsperrtem Bootloader
• Geräte mit einem benutzerdefinierten Systemimage/ROM
• Geräte, die der Hersteller nicht für die Google-Zertifizierung beantragt oder diese nicht bestanden hat
• Geräte mit einem Systemimage, das direkt aus den Quelldateien des Open Source-Programms für Android erstellt wurde
• Geräte mit einem Systemimage, das sich noch in der Betaversion oder in der Entwicklervorschau befindet

Technische Details finden Sie in der Google-Dokumentation zur Play Integrity-API von Google .

Einstellung für das Integritätsurteil wiedergeben und die Einstellung "Jailbreak/Rooted Devices"

Für ein Urteil zur Integrität der Wiedergabe muss der Benutzer mindestens während der Zeit online sein, während der "Roundtrip" zur Ermittlung der Nachweisergebnisse ausgeführt wird. Wenn der Benutzer offline ist, kann der IT-Administrator weiterhin damit rechnen, dass ein Ergebnis der Einstellung für Jailbreak-/gerootete Geräte erzwungen wird. Wenn der Benutzer jedoch zu lange offline bleibt, kommt der Offlinewert der Aktivierungszeit ins Spiel, und der gesamte Zugriff auf Geschäfts-, Schul- oder Unidaten wird blockiert, sobald dieser Timerwert erreicht ist, bis der Netzwerkzugriff verfügbar ist. Die Aktivierung beider Einstellungen ermöglicht einen mehrschichtigen Ansatz, um die Integrität von Benutzergeräten zu gewährleisten, was wichtig ist, wenn Benutzer auf Geschäfts-, Schul- oder Unidaten auf Mobilgeräten zugreifen.

Google Play Protect-APIs und Google Play Services

Die Einstellungen für App-Schutzrichtlinien, die Google Play Protect-APIs verwenden, erfordern Google Play Services, um zu funktionieren. Sowohl für die Integritätsurteil "Wiedergabe" als auch für die Einstellungen für die Bedrohungsüberprüfung in Apps ist eine von Google bestimmte Version der Google Play-Dienste erforderlich, um ordnungsgemäß zu funktionieren. Da diese Einstellungen in den Bereich der Sicherheit fallen, wird der Benutzer blockiert, wenn er mit diesen Einstellungen angegriffen wird und nicht die entsprechende Version der Google Play-Dienste erfüllt oder keinen Zugriff auf Google Play-Dienste hat.

App-Schutz für Windows-Geräte

Es gibt zwei Kategorien von Richtlinieneinstellungen: Datenschutz und Integritätsprüfungen. Der Begriff richtlinienverwaltete App bezieht sich auf Apps, die mit App-Schutzrichtlinien konfiguriert sind.

Datenschutz

Die Datenschutzeinstellungen wirken sich auf die Organisationsdaten und den Kontext aus. Als Administrator können Sie die Verschiebung von Daten in den und aus dem Kontext des Organisationsschutzes steuern. Der Organisationskontext wird durch Dokumente, Dienste und Websites definiert, auf die vom angegebenen Organisationskonto zugegriffen wird. Die folgenden Richtlinieneinstellungen helfen bei der Steuerung externer Daten, die in den Organisationskontext empfangen werden, und von Organisationsdaten, die aus dem Organisationskontext gesendet werden.

Health Checks

Mithilfe von Zustandsprüfungen können Sie Funktionen für bedingte Starts konfigurieren. Dazu müssen Sie die Bedingungen für die Integritätsprüfung für Ihre App-Schutzrichtlinie festlegen. Wählen Sie eine Einstellung aus, und geben Sie den Wert ein, den Benutzer erfüllen müssen, um auf Ihre Organisationsdaten zugreifen zu können. Wählen Sie dann die Aktion aus, die Sie ausführen möchten, wenn Benutzer Ihre Bedingungen nicht erfüllen. In einigen Fällen können mehrere Aktionen für eine einzelne Einstellung konfiguriert werden.

Nächste Schritte

Erstellen und Bereitstellen von App-Schutzrichtlinien mit Microsoft Intune

Verfügbare Einstellungen für Schutzrichtlinien für Android-Apps mit Microsoft Intune

Einstellungen für App-Schutzrichtlinien für iOS