Eingangs- und Ausgangsschutz

Wichtig

Der Eingabe- und Ausgabeschutz befindet sich in der Vorschau. Rechtliche Bestimmungen, die für Features gelten, die sich in der Betaversion, Vorschau oder anderweitig noch nicht für die allgemeine Verfügbarkeit freigegeben befinden, finden Sie in den ergänzenden Nutzungsbedingungen für Microsoft Azure Previews. Besuchen Sie diese Seite, um mehr über Vorschauen in Windows 365 zu erfahren

Gilt für:

  • Windows 365 Cloud-PCs
  • Azure Virtual Desktop-Sitzungshosts

Übersicht

Der Eingabe- und Ausgabeschutz besteht aus einer Reihe von Sicherheitsfeatures, die einen sicheren Kanal für die Tastatureingabe und -ausgabe zwischen dem Endpunktgerät und Windows 365 Cloud-PCs oder Azure Virtual Desktop-Sitzungshosts einrichten. Sie trägt dazu bei, dass Sitzungsdaten sicher zwischen dem Endpunkt und der Cloud übertragen werden, wodurch das Risiko durch Bedrohungen reduziert wird, die sich auf dem Verbindungsgerät befinden können, wie z. B. Keylogger und Bildschirmaufnahmetools. Der Eingabe- und Ausgabeschutz ist keine Antivirensoftware. Anstatt Schadsoftware zu erkennen oder zu entfernen, sichert er die Ein- und Ausgabekanäle, sodass Sitzungsdaten geschützt bleiben, während sie zwischen dem Endpunkt und der Remotesitzung verschoben werden.

Der Eingangs- und Ausgangsschutz umfasst zwei unabhängig voneinander konfigurierte Komponenten:

  • Eingabeschutz: Schützt Tastatureingaben, indem Tastenanschläge sicher direkt an den Cloud-PC oder Sitzungshost weitergeleitet werden und Betriebssystemebenen auf dem Endpunkt umgangen werden, die anfällig für Keylogger-Malware sind.
  • Display-Schutz (Output Protection): Schützt die Bildschirmausgabe der Remote-Sitzung vor unbefugter Bildschirmaufnahme und -aufzeichnung auf dem Endpunktgerät.

Jede Komponente kann basierend auf den Sicherheitsanforderungen Ihrer Organization separat aktiviert werden. Der Eingabeschutz verwendet einen Treiber auf Kernelebene auf dem Endpunktgerät und erfordert, dass die Eingabeschutz-MSI-Datei installiert wird. Für den Anzeigeschutz ist eine aktualisierte Version der Windows-App auf dem Endpunkt erforderlich.

Eingangs- und Ausgangsschutzwert

Windows 365 Cloud-PCs und Azure Virtual Desktop-Sitzungshosts verschlüsseln den Sitzungsdatenverkehr und erzwingen identitätsbasierte Authentifizierungsmethoden wie die mehrstufige Authentifizierung (MFA). Diese Maßnahmen schützen vor dem Abfangen des Netzwerks und unbefugtem Zugriff. Sie behandeln jedoch keine Bedrohungen, die direkt auf dem Endpunktgerät ausgeführt werden, wie z. B.:

  • Keylogger-Malware: Software, die Tastenanschläge auf dem Endpunkt abfängt, bevor sie an die Remote-Sitzung übertragen werden.
  • Schadsoftware für Bildschirmaufnahmen: Software, die die Anzeigeausgabe der Remotesitzung aufzeichnet oder erfasst, während sie auf dem Endpunkt gerendert wird.

Diese endpunktresidenten Bedrohungen können vertrauliche Daten auch dann exponieren, wenn Schutzmaßnahmen auf Netzwerkebene vorhanden sind. Der Eingangs- und Ausgabeschutz schließt diese Lücke, indem die Ein- und Ausgabepfade auf Kernel- oder Hardwareebene gesichert werden.

Funktionen zum Schutz der Eingabe und Ausgabe

In der folgenden Tabelle sind die Funktionen der einzelnen Komponenten zusammengefasst:

Funktion Eingabeschutz Displayschutz
Risikominderung Abfangen von Tastenanschlägen (Keylogger) Bildschirmaufnahme und -aufzeichnung
Schutzbereich Tastatureingabe für die Remotesitzung Ausgabe der Remotesitzung anzeigen
Erzwingungsmechanismus Kernelebene Hardware- oder Softwareschutz, je nach Konfiguration
Erfordert MSI auf dem Endpunkt Ja Nein
Konfigurationsmethode Intune (Windows 365) oder Azure-Portal (Azure Virtual Desktop) Intune (Windows 365) oder Azure-Portal (Azure Virtual Desktop)
Unabhängig konfiguriert Ja Ja

Eingabeschutz

Der Eingabeschutz sichert Tastatureingaben, indem Tastenanschläge direkt vom Kerneltreiber des Endpunkts zum Cloud-PC oder Sitzungshost weitergeleitet werden. Dadurch werden Betriebssystemebenen auf dem Endpunkt umgangen, die anfällig für das Abfangen durch Keylogger-Schadsoftware sind.

Nur Endpunkte, auf denen die Eingabeschutz-MSI installiert ist, können eine Verbindung mit einem geschützten Cloud-PC oder Sitzungshost herstellen. Wenn die MSI-Datei nicht installiert ist, ist die Verbindung blockiert.

Konfigurationsschritte und ausführliche Informationen finden Sie unter Eingabeschutz.

Displayschutz

Der Anzeigeschutz ist eine Komponente des Ausgabeschutzes. Wenn sie auf einem Cloud-PC oder Sitzungshost aktiviert ist, verhindert sie, dass nicht autorisierte Anwendungen oder Schadsoftware die Anzeigeausgabe der Remotesitzung erfassen oder aufzeichnen.

Für den Anzeigeschutz ist eine aktualisierte Version der Windows-App auf dem Endpunktgerät erforderlich. Konfigurationsschritte und ausführliche Informationen finden Sie unter Anzeigeschutz für Windows 365 und Azure Virtual Desktop.

Allgemeine Anwendungsfälle

Erwägen Sie die Aktivierung des Eingabe- und Ausgabeschutzes in den folgenden Szenarien:

  • Zugriff auf sensible Daten: Benutzer greifen über Windows 365 Cloud-PCs oder Azure Virtual Desktop-Sitzungshosts auf Finanzunterlagen, Gesundheitsdaten oder andere vertrauliche Informationen zu.
  • Complianceanforderungen: Organisatorische oder gesetzliche Richtlinien erfordern Schutz vor dem Abfangen von Tastenanschlägen und Bildschirmaufnahmebedrohungen auf Endpunktgeräten.
  • Bring Your Own Device (BYOD): Benutzer stellen eine Verbindung von persönlichen oder nicht verwalteten Geräten her, und die organization möchte dazu beitragen, vertrauliche Informationen vor endpunktbasierten Bedrohungen wie Keyloggern und Bildschirmaufnahmetools zu schützen.
  • Tiefgreifende Abwehr: Sie möchten vorhandene Schutzmaßnahmen wie Sitzungsverschlüsselung, mehrstufige Authentifizierung (MFA) und bedingten Zugriff mit Kontrollen ergänzen, die dazu beitragen, vertrauliche Cloud-Sitzungsinhalte vor nicht autorisierter Bildschirmaufnahme oder -aufzeichnung zu schützen.

Konfigurieren des Eingangs- und Ausgabeschutzes

Eingabeschutz und Anzeigeschutz werden unabhängig voneinander konfiguriert. Jedes Feature ist auf dem Cloud-PC oder Sitzungshost aktiviert. Für den Eingabeschutz ist auch die MSI-Datei für den Eingabeschutz auf dem Endpunktgerät erforderlich. Für den Anzeigeschutz ist eine aktualisierte Version der Windows-App erforderlich.

Jede Komponente hat ihre eigenen Endpunktanforderungen, Schutzoptionen und Validierungsschritte. Um Duplikate zu vermeiden, werden diese Details in den Komponentenartikeln beibehalten. Voraussetzungen und schrittweise Konfiguration finden Sie unter:

Überwachen des Eingangs- und Ausgangsschutzes

Sie können den Eingabeschutz und die Anzeigeschutzaktivität in Ihrem gesamten Mandanten überwachen, indem Sie [Cloud PC-Überwachung] (cloud-pc-monitoring-overview.md (Vorschau) im Microsoft Intune Admin Center verwenden. Schutz status wird als Verbindungsereignisse gemeldet, die Sie auf der Seite Verbindungsintegrität überprüfen können.

Hinweis

Die Überwachung von Cloud-PCs befindet sich in der Vorschauphase. Schutzereignisse werden über die Verbindung angezeigt. Ereignisdaten und die verfügbaren Ereignisse und Werte können sich vor der allgemeinen Verfügbarkeit ändern.

So suchen Sie Schutzereignisse:

  1. Melden Sie sich beim Microsoft Intune Admin Center an, und wählen Sie Berichte>Cloud PC-Überwachung (Vorschau) aus.
  2. Wählen Sie die Registerkarte Verbindungsintegrität aus.
  3. Verwenden Sie die Zeitbereichsauswahl und -filter , um sich auf die Verbindungen zu konzentrieren, die Sie untersuchen möchten.
  4. Wählen Sie Daten anzeigen aus, um das Flyout zu erweitern, und öffnen Sie dann die Tabelle "Ereignisse".
  5. Fügen Sie die Spalte mit dem Ereignisnamen hinzu, wenn sie noch nicht angezeigt wird, oder verwenden Sie die Suche , um Schutzereignisse anhand des Namens zu suchen.

In der folgenden Tabelle ist das Verbindungsereignis für jede Komponente aufgeführt:

Komponente Verbindungsereignis
Eingabeschutz KeyboardInputProtectionState
Displayschutz DisplayProtectionState

Verwenden Sie diese Ereignisse, um zu bestätigen, ob für eine Verbindung Schutz ausgehandelt wurde, und um Verbindungen zu untersuchen, bei denen kein Schutz angewendet wurde. Weitere Informationen zur Seite "Verbindungsintegrität", zur Tabelle "Ereignisse " und zum Interpretieren von Ereignisdaten finden Sie unter Übersicht über die Cloud-PC-Überwachung, "Verbindungsintegrität" und "Daten anzeigen".

  • Zuletzt aktualisiert um