Firewallrichtlinie für Endpunktsicherheit in Intune

Verwenden Sie die Endpunktsicherheits-Firewallrichtlinie in Intune, um eine integrierte Firewall für Geräte zu konfigurieren, auf denen macOS- und Windows-Geräte ausgeführt werden.

Sie können zwar die gleichen Firewalleinstellungen konfigurieren, indem Sie Endpoint Protection-Profile für die Gerätekonfiguration verwenden, die Gerätekonfigurationsprofile enthalten jedoch zusätzliche Kategorien von Einstellungen. Diese zusätzlichen Einstellungen haben nichts mit Firewalls zu tun und können die Konfiguration nur der Firewalleinstellungen für Ihre Umgebung erschweren.

Im Microsoft Intune Admin Center finden Sie im Knoten Endpunktsicherheit unter Verwalten die Endpunktsicherheitsrichtlinien für Firewalls.

Voraussetzungen für Firewallprofile

• Windows
• Windows Server 2012 R2 oder höher (über das Verwaltungsszenario für die Sicherheitseinstellungen von Microsoft Defender for Endpoint)
• Jede unterstützte Version von macOS

Rollenbasierte Zugriffssteuerung (RBAC)

Anleitungen zum Zuweisen der richtigen Berechtigungs- und Rechtestufe zum Verwalten von Intune-Firewallrichtlinien finden Sie unter Rollenbasierte Zugriffssteuerung für Endpunktsicherheit.

Firewallprofile

Anleitungen zum Erstellen von Endpunktsicherheitsprofilen finden Sie unter Erstellen einer Endpunktsicherheitsrichtlinie.

Von Intune verwaltete Geräte

Plattform: macOS:

• macOS-Firewall – Aktivieren und konfigurieren Sie Einstellungen für die integrierte Firewall unter macOS.

Plattform: Windows:

Informationen zum Konfigurieren von Einstellungen in den folgenden Profilen finden Sie unter Firewall-Konfigurationsdienstanbieter (CSP).

• Windows-Firewall – Konfigurieren Sie die Einstellungen für die Windows-Firewall mit erweiterter Sicherheit. Die Windows-Firewall bietet eine hostbasierte, bidirektionale Filterung von Netzwerkdatenverkehr für ein Gerät und kann nicht autorisierten Netzwerkverkehr blockieren, der in das oder aus dem lokalen Gerät fließt.

• Windows-Firewallregeln : Definieren Sie präzise Firewallregeln, einschließlich bestimmter Ports, Protokolle, Anwendungen und Netzwerke, und um Netzwerkdatenverkehr zuzulassen oder zu blockieren. Jede Instance dieses Profils unterstützt bis zu 150 benutzerdefinierte Regeln.

  Tipp

  Die Verwendung der Einstellung für die Richtlinien-App-ID , die im CSP MdmStore/FirewallRules/{FirewallRuleName}/PolicyAppId beschrieben wird, erfordert, dass Ihre Umgebung die Windows Defender Application Control (WDAC)-Markierung verwendet. Weitere Informationen finden Sie in den folgenden Windows Defender-Artikeln:

  • Info zur Anwendungssteuerung für Windows
  • WDAC-Anwendungs-ID (AppId) Tagginghandbuch

• Regeln für die Windows Hyper-V-Firewall Mit der Vorlage "Windows Hyper-V-Firewallregeln" können Sie Firewallregeln steuern, die für bestimmte Hyper-V-Container unter Windows gelten, einschließlich Anwendungen wie das Windows-Subsystem für Linux (WSL) und das Windows-Subsystem für Android (WSA)

Hinzufügen wiederverwendbarer Einstellungsgruppen zu Profilen für Firewallregeln

In der Public Preview unterstützen Windows-Firewallregelprofile die Verwendung wiederverwendbarer Einstellungsgruppen für die folgenden Plattformen:

• Windows

Die folgenden Profileinstellungen für Firewallregeln sind in wiederverwendbaren Einstellungsgruppen verfügbar:

• Remote-IP-Adressbereiche
• FQDN-Definitionen und automatische Auflösung

Wenn Sie eine Firewallregel so konfigurieren, dass eine oder mehrere wiederverwendbare Einstellungsgruppen hinzugefügt werden, konfigurieren Sie auch die Regelaktion, um zu definieren, wie die Einstellungen in diesen Gruppen verwendet werden.

Jede Regel, die Sie dem Profil hinzufügen, kann sowohl wiederverwendbare Einstellungsgruppen als auch einzelne Einstellungen enthalten, die der Regel direkt hinzugefügt werden. Erwägen Sie jedoch, jede Regel entweder für wiederverwendbare Einstellungsgruppen oder zum Verwalten von Einstellungen zu verwenden, die Sie der Regel direkt hinzufügen. Diese Trennung kann dazu beitragen, zukünftige Konfigurationen oder Änderungen zu vereinfachen, die Sie möglicherweise vornehmen.

Voraussetzungen und Anleitungen zum Konfigurieren wiederverwendbarer Gruppen und deren anschließendem Hinzufügen zu diesem Profil finden Sie unter Verwenden wiederverwendbarer Gruppen von Einstellungen mit Intune-Richtlinien.

Mit Konfigurations-Manager verwaltete Geräte

Firewall

Der Support für Geräte, die von Konfigurations-Manager verwaltet werden, befindet sich in der Vorschauphase.

Verwalten der Firewallrichtlinieneinstellungen für Konfigurations-Manager-Geräte, wenn Sie Mandantenanschluss verwenden.

Richtlinienpfad:

• Endpunktsicherheit > Firewall

Steckbriefe:

• Windows-Firewall (ConfigMgr)

Erforderliche Version von Konfigurations-Manager:

• Konfigurations-Manager Current Branch, Version 2006 oder höher, mit konsoleninternem Update Konfigurations-Manager 2006 Hotfix (KB4578605)

Unterstützte Konfigurations-Manager-Geräteplattformen:

• Windows (x86, x64, ARM64)

  Wichtig

  Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

Zusammenführung von Firewallregeln und Richtlinienkonflikte

Planen Sie die Anwendung von Firewallrichtlinien auf ein Gerät mit nur einer Richtlinie. Die Verwendung einer einzigen Richtlinien-instance und eines einzigen Richtlinientyps trägt dazu bei, zu vermeiden, dass zwei separate Richtlinien unterschiedliche Konfigurationen auf dieselbe Einstellung anwenden, was zu Konflikten führt. Wenn ein Konflikt zwischen zwei Richtlinieninstanzen oder Richtlinientypen besteht, die dieselbe Einstellung mit unterschiedlichen Werten verwalten, wird die Einstellung nicht an das Gerät gesendet.

• Diese Form von Richtlinienkonflikt gilt für das Windows-Firewallprofil , das mit anderen Windows-Firewallprofilen in Konflikt stehen kann, oder für eine Firewallkonfiguration, die von einem anderen Richtlinientyp bereitgestellt wird, z. B. der Gerätekonfiguration.

  Profile der Windows-Firewall stehen nicht in Konflikt mit Profilen mit Windows-Firewallregeln .

Wenn Sie Regelprofile der Windows-Firewall verwenden, können Sie mehrere Regelprofile auf dasselbe Gerät anwenden. Wenn jedoch unterschiedliche Regeln für dieselbe Sache mit unterschiedlichen Konfigurationen existieren, werden beide an das Gerät gesendet und verursachen einen Konflikt auf diesem Gerät.

• Wenn beispielsweise eine Regel Teams.exe durch die Firewall blockiert und eine zweite Regel Teams.exezulässt, werden beide Regeln an den Client übermittelt. Dieses Ergebnis unterscheidet sich von Konflikten, die durch andere Richtlinien für Firewalleinstellungen entstehen.

Wenn Regeln aus mehreren Regelprofilen nicht miteinander in Konflikt stehen, führen Geräte die Regeln aus jedem Profil zusammen, um eine kombinierte Firewallregelkonfiguration auf dem Gerät zu erstellen. Durch dieses Verhalten können Sie mehr als die 150 Regeln bereitstellen, die jedes einzelne Profil für ein Gerät unterstützt.

• Sie haben z. B. zwei Profile für Windows-Firewallregeln. Das erste Profil ermöglicht Teams.exe durch die Firewall. Das zweite Profil ermöglicht Outlook.exe durch die Firewall. Wenn ein Gerät beide Profile empfängt, wird es so konfiguriert, dass beide Apps die Firewall passieren können.

Berichte zu Firewallrichtlinien

Die Berichte für Firewallrichtlinien zeigen Statusdetails zum Firewall-Status für Ihre verwalteten Geräte an. Firewallberichte unterstützen verwaltete Geräte unter den folgenden Betriebssystemen.

• Windows

Zusammenfassung

Die Zusammenfassung ist die Standardansicht, wenn Sie den Firewallknoten öffnen. Öffnen Sie dasMicrosoft Intune Admin Center, und wechseln Sie dann zu Endpunktsicherheit>>– Firewallzusammenfassung.

Diese Ansicht bietet Folgendes:

• Eine Gesamtanzahl von Geräten, bei denen die Firewall deaktiviert ist.
• Eine Liste Ihrer Firewallrichtlinien, einschließlich Name, Typ, ob sie zugewiesen ist und wann sie zuletzt geändert wurde.

MDM-Geräte unter Windows mit deaktivierter Firewall

Dieser Bericht befindet sich im Knoten Endpunktsicherheit. Öffnen Sie das Microsoft Intune Admin Center, und wechseln Sie dann zurEndpunktsicherheitsfirewall>>MDM-Geräte mit deaktivierter Firewall unter Windows 10 oder höher.

Die Daten werden über den Windows DeviceStatus-CSP gemeldet und identifizieren jedes Gerät, auf dem die Firewall deaktiviert ist. Standardmäßig sind folgende Details sichtbar:

• Gerätename
• Firewall-Status
• Benutzerprinzipalname
• Ziel (die Methode der Geräteverwaltung)
• Letzte Check-in-Zeit

MDM-Firewall-Status für Windows

Dieser Organisationsbericht wird auch in Intune-Berichten beschrieben.

Als Organisationsbericht ist dieser Bericht im Knoten Berichte verfügbar. Öffnen Sie das Microsoft Intune Admin Center, und wechseln Sie dann zu "Berichte>Firewall>"MDM Firewall-Status für Windows.

Die Daten werden über den DeviceStatus-Konfigurationsdienstanbieter von Windows gemeldet und melden den Status der Firewall auf Ihren verwalteten Geräten. Sie können die Rückgaben für diesen Bericht mit einer oder mehreren der Statusdetailkategorien filtern.

Zu den Statusdetails zählen:

• Aktiviert: Die Firewall ist aktiviert und die Berichterstattung erfolgreich.
• Deaktiviert: Die Windows-Firewall ist deaktiviert.
• Eingeschränkt – Die Firewall überwacht nicht alle Netzwerke, oder einige Regeln sind deaktiviert.
• Temporär deaktiviert (Standard): Die Firewall überwacht vorübergehend nicht alle Netzwerke.
• Nicht zutreffend – Das Gerät unterstützt keine Firewall-Berichterstellung.

Sie können die Rückgaben für diesen Bericht mit einer oder mehreren der Statusdetailkategorien filtern.

Untersuchen von Problemen für Firewallregeln

Weitere Informationen zu Firewallregeln in Intune und zur Behandlung häufiger Probleme finden Sie im folgenden Intune Customer Success-Blog:

• Nachverfolgen und Problembehandlung beim Erstellen von Regeln der Intune Endpoint Security Firewall

Weitere häufige Probleme mit Firewallregeln:

Ereignisanzeige: RemotePortRanges oder LocalPortRanges "Der Parameter ist falsch"

• Überprüfen Sie, ob konfigurierte Bereiche aufsteigend sind (Beispiel: 1–5 ist korrekt, 5–1 verursacht diesen Fehler)
• Überprüfen Sie, ob die konfigurierten Bereiche im Port-Gesamtbereich von 0 bis 65535 liegen
• Wenn in einer Regel entweder Remoteportbereiche oder lokale Portbereiche konfiguriert sind, muss das Protokoll auch mit 6 (TCP) oder 17 (UDP) konfiguriert sein

Ereignisanzeige: "... Name), Ergebnis: (Der Parameter ist falsch)"

• Wenn Edgeausnahme in einer Regel aktiviert ist, muss die Regelrichtung auf "Diese Regel gilt für eingehenden Datenverkehr" festgelegt werden.

Ereignisanzeige: "... InterfaceTypes), Ergebnis: (Der Parameter ist falsch)"

• Wenn in einer Regel der Schnittstellentyp "Alle" aktiviert ist, dürfen die anderen Schnittstellentypen nicht ausgewählt werden.

Nächste Schritte

Konfigurieren von Endpunktsicherheitsrichtlinien

Zeigen Sie Details für die Einstellungen in den veralteten Firewallprofilen für die veraltete Plattform von Windows 10 und höher an:

• Firewallprofileinstellungen.