Verwalten des Zugriffs auf die Messagingzusammenarbeit mithilfe von Outlook für iOS und Android mit Microsoft Intune

Die Outlook für iOS und Android-App ermöglicht Kunden in Ihrer Organisation, mehr Aufgaben über ihre Mobilgeräte zu erledigen, indem Zugriff auf E-Mails, Kalender, Kontakte und andere Dateien ermöglicht wird.

Die umfangreichsten und umfassendsten Schutzfunktionen für Microsoft 365-Daten sind verfügbar, wenn Sie die Enterprise Mobility + Security-Suite abonnieren, die Features wie Microsoft Intune und Microsoft Entra ID P1 oder P2 wie bedingten Zugriff umfasst. Sie sollten mindestens eine Richtlinie für bedingten Zugriff bereitstellen, die die Konnektivität mit Outlook für iOS und Android von mobilen Geräten aus ermöglicht, sowie eine Intune-App-Schutzrichtlinie, die sicherstellt, dass die Zusammenarbeit geschützt ist.

Bedingten Zugriff anwenden

Organisationen können Microsoft Entra-Richtlinien für bedingten Zugriff verwenden, um sicherzustellen, dass Benutzer nur über Outlook für iOS und Android auf Geschäfts-, Schul- oder Uniinhalte zugreifen können. Dazu benötigen Sie eine Richtlinie für bedingten Zugriff, die auf alle potenziellen Benutzer abzielt. Diese Richtlinien werden unter Bedingter Zugriff: Genehmigte Client-Apps oder App-Schutzrichtlinie erforderlich beschrieben.

1. Folgen Sie den Schritten unter Anfordern genehmigter Client-Apps oder App-Schutzrichtlinie bei mobilen Geräten. Diese Richtlinie lässt Outlook für iOS und Android zu, blockiert jedoch OAuth- und standardauthentifizierungsfähige mobile Exchange ActiveSync-Clients, die eine Verbindung mit Exchange Online herstellen.

   Hinweis

   Diese Richtlinie stellt sicher, dass mobile Benutzer mithilfe von entsprechenden Apps auf alle Microsoft 365-Endpunkte zugreifen können.

2. Führen Sie die Schritte unter Blockieren von Exchange ActiveSync auf allen Geräten aus, wodurch verhindert wird, dass Exchange ActiveSync-Clients, die die Standardauthentifizierung auf nicht mobilen Geräten verwenden, eine Verbindung mit Exchange Online herstellen.

   Die oben genannten Richtlinien nutzen die Richtlinie "Zugriff gewähren" App-Schutz erforderlich, die sicherstellt, dass vor dem Gewähren des Zugriffs eine Intune-App-Schutzrichtlinie auf das zugeordnete Konto in Outlook für iOS und Android angewendet wird. Wenn dem Benutzer keine Intune-App-Schutzrichtlinie zugewiesen ist, er nicht für Intune lizenziert ist oder die App nicht in der Intune-App-Schutzrichtlinie enthalten ist, verhindert die Richtlinie, dass der Benutzer ein Zugriffstoken erhält und Zugriff auf Messagingdaten erhält.

3. Folgen Sie den Schritten in Gewusst wie: Blockieren der Legacyauthentifizierung bei Microsoft Entra ID mit bedingtem Zugriff um die Legacyauthentifizierung für andere Exchange-Protokolle auf iOS- und Android-Geräten zu blockieren; diese Richtlinie sollte nur auf die Microsoft Exchange Online Cloud-App sowie iOS- und Android-Geräteplattformen abzielen. Dadurch wird sichergestellt, dass mobile Apps, die Exchange-Webdienste, IMAP4- oder POP3-Protokolle mit Standardauthentifizierung verwenden, keine Verbindung mit Exchange Online herstellen können.

Intune-App-Schutzrichtlinien erstellen

App-Schutz-Richtlinien definieren, welche Apps zulässig sind und welche Aktionen sie mit den Daten Ihrer organization ausführen können. Mithilfe der in den App-Schutzrichtlinien verfügbaren Auswahlmöglichkeiten können Organisationen den Schutz an ihre spezifischen Anforderungen anpassen. Für einige Organisationen ist es jedoch möglicherweise nicht offensichtlich, welche Richtlinieneinstellungen genau erforderlich sind, um ein vollständiges Szenario zu implementieren. Um Organisationen bei der Priorisierung der Endpunkthärtung mobiler Clients zu unterstützen, hat Microsoft die Taxonomie für seine App-Schutzrichtlinien eingeführt Datenschutzframework für die Verwaltung mobiler iOS- und Android-Apps.

Das Datenschutzframework für App-Schutzrichtlinien ist in drei verschiedene Konfigurationsebenen unterteilt, wobei jede Ebene auf der vorherigen Ebene aufbaut:

• Einfacher Datenschutz für Unternehmen (Ebene 1): Diese Ebene stellt sicher, dass Apps mit einer PIN geschützt und verschlüsselt sind, und dient zum Durchführen selektiver Löschvorgänge. Bei Android-Geräten überprüft diese Ebene den Android-Gerätenachweis. Dabei handelt es sich um eine Konfiguration auf Einstiegsebene, die ähnliche Datenschutzkontrolle in Exchange Online-Postfachrichtlinien bereitstellt und der IT sowie dem Benutzerstamm eine Einführung in App-Schutzrichtlinien bietet.
• Der erweiterte Datenschutz für Unternehmen (Stufe 2) führt App-Schutzrichtlinien ein, Mechanismen zur Verhinderung von Datenlecks und Mindestanforderungen an das Betriebssystem. Dies ist die Konfiguration, die für die meisten mobilen Benutzer gilt, die auf Geschäfts-, Schul- oder Unidaten zugreifen.
• Enterprise High Data Protection (Stufe 3) führt erweiterte Datenschutzmechanismen, erweiterte PIN-Konfiguration und Richtlinien zum Schutz von Apps ein Mobile Threat Defense. Diese Konfiguration ist für Benutzer vorgesehen, die auf Hochrisikodaten zugreifen.

Die spezifischen Empfehlungen für jede Konfigurationsebene sowie die minimalen zu schützenden Apps finden Sie unter Datenschutzframework mithilfe von App-Schutzrichtlinien.

Unabhängig davon, ob das Gerät in einer UEM-Lösung (Unified Endpoint Management) registriert ist, muss eine Intune-App-Schutzrichtlinie für iOS- und Android-Apps erstellt werden. Führen Sie dazu die Schritte in Erstellen und Zuweisen von App-Schutzrichtlinienaus. Diese Richtlinien müssen mindestens die folgenden Bedingungen erfüllen:

• Sie umfassen alle mobilen Anwendungen von Microsoft 365, wie Edge, Outlook, OneDrive, Office oder Teams, da so sichergestellt wird, dass die Nutzer in jeder Microsoft-App sicher auf Arbeits- oder Schuldaten zugreifen und diese bearbeiten können.

• Sie sind für alle Benutzer zugewiesen. Dadurch wird sichergestellt, dass alle Benutzer geschützt sind, unabhängig davon, ob sie Outlook für iOS oder Android verwenden.

• Bestimmen Sie, welche Framework-Ebene Ihre Anforderungen erfüllt. Die meisten Organisationen sollten die Einstellungen implementieren, die unter Erweiterter Datenschutz für Unternehmen (Stufe 2) definiert sind, da dies die Steuerung von Datenschutz und Zugriffsanforderungen ermöglicht.

Weitere Informationen zu den verfügbaren Einstellungen finden Sie unter Einstellungen für App-Schutzrichtlinien für Android und Einstellungen für App-Schutzrichtlinien für iOS.

Verwenden der App-Konfiguration

Outlook für iOS und Android unterstützt App-Einstellungen, mit denen Unified Endpoint Management-Administratoren das Verhalten der App anpassen können. Microsoft Intune, eine einheitliche Endpunktverwaltungslösung, wird häufig verwendet, um Apps zu konfigurieren und den Endbenutzern der Organisation zuzuweisen.

Die App-Konfiguration kann entweder über den MDM-Betriebssystemkanal (Mobile Device Management) auf registrierten Geräten (Managed App Configuration Channel für iOS oder Android im Enterprise-Kanal für Android) oder über den Kanal „Intune-Appschutz-Richtlinie“ (APP) bereitgestellt werden. Outlook für iOS und Android unterstützt die folgenden Konfigurationsszenarien:

• Nur Geschäfts-, Schul- oder Unikonten zulassen
• Allgemeine App-Konfigurationseinstellungen
• S/MIME-Einstellungen
• Datenschutzeinstellungen

Spezifische Verfahrensschritte und eine ausführliche Dokumentation zu den von Outlook für iOS und Android unterstützten App-Konfigurationseinstellungen finden Sie unter Bereitstellen der App-Konfigurationseinstellungen von Outlook für iOS und Android.

Nächste Schritte

• Was sind App-Datenschutzrichtlinien?
• App-Konfigurationsrichtlinien für Microsoft Intune