So erstellen und weisen Sie App-Schutzrichtlinien zu

Erfahren Sie, wie Sie Microsoft Intune-App-Schutzrichtlinien für Benutzer Ihrer organization erstellen und zuweisen. Außerdem wird beschrieben, wie Sie Änderungen an bestehenden Richtlinien vornehmen.

Bevor Sie beginnen

Richtlinien zum App-Schutz können für Apps gelten, die auf Geräten ausgeführt werden, die von Intune verwaltet werden können oder auch nicht. Eine ausführlichere Beschreibung der Funktionsweise von App-Schutzrichtlinien und der Szenarien, die von Intune-App-Schutzrichtlinien unterstützt werden, finden Sie unter Übersicht über App-Schutz-Richtlinien.

Mithilfe der in den App-Schutzrichtlinien verfügbaren Auswahlmöglichkeiten können Organisationen den Schutz an ihre spezifischen Anforderungen anpassen. Für einige Organisationen ist es jedoch möglicherweise nicht offensichtlich, welche Richtlinieneinstellungen genau erforderlich sind, um ein vollständiges Szenario zu implementieren. Um Organisationen bei der Priorisierung der Endpunkthärtung mobiler Clients zu unterstützen, hat Microsoft die Taxonomie für seine App-Schutzrichtlinien eingeführt Datenschutzframework für die Verwaltung mobiler iOS- und Android-Apps.

Das Datenschutzframework für App-Schutzrichtlinien ist in drei verschiedene Konfigurationsebenen unterteilt, wobei jede Ebene auf der vorherigen Ebene aufbaut:

  • Einfacher Datenschutz für Unternehmen (Ebene 1): Diese Ebene stellt sicher, dass Apps mit einer PIN geschützt und verschlüsselt sind, und dient zum Durchführen selektiver Löschvorgänge. Bei Android-Geräten überprüft diese Ebene den Android-Gerätenachweis. Dies ist eine Einstiegskonfiguration, die eine ähnliche Datenschutzkontrolle in Exchange Online-Postfachrichtlinien bietet und die IT und die Benutzerpopulation in App-Schutzrichtlinien einführt.
  • Der erweiterte Datenschutz für Unternehmen (Stufe 2) führt App-Schutzrichtlinien ein, Mechanismen zur Verhinderung von Datenlecks und Mindestanforderungen an das Betriebssystem. Dies ist die Konfiguration, die für die meisten mobilen Benutzer gilt, die auf Geschäfts-, Schul- oder Unidaten zugreifen.
  • Enterprise High Data Protection (Stufe 3) führt erweiterte Datenschutzmechanismen, erweiterte PIN-Konfiguration und Richtlinien zum Schutz von Apps ein Mobile Threat Defense. Diese Konfiguration ist für Benutzer vorgesehen, die auf Hochrisikodaten zugreifen.

Die spezifischen Empfehlungen für jede Konfigurationsebene sowie die minimalen zu schützenden Apps finden Sie unter Datenschutzframework mithilfe von App-Schutzrichtlinien.

Eine Liste der Apps, in die das Intune SDK integriert ist, finden Sie unter Microsoft Intune-geschützte Apps.

Informationen zum Hinzufügen der Branchen-Apps Ihrer Organisation zu Microsoft Intune zur Vorbereitung auf App-Schutzrichtlinien finden Sie unter Hinzufügen von Apps zu Microsoft Intune.

Hinweis

Um sicherzustellen, dass Richtlinien erzwungen werden, wird empfohlen, den bedingten Zugriff zusammen mit Intune-App-Schutzrichtlinien zu verwenden.

App-Schutz-Richtlinien für iOS/iPadOS- und Android-Apps

Wenn Sie eine App-Schutzrichtlinie für iOS/iPadOS- und Android-Apps erstellen, folgen Sie einem modernen Intune-Prozessablauf, der zu einer neuen App-Schutzrichtlinie führt. Informationen zum Erstellen von App-Schutzrichtlinien für Windows-Apps finden Sie unter Einstellungen für App-Schutz-Richtlinien für Windows.

Erstellen einer App-Schutzrichtlinie für iOS/iPadOS oder Android

  1. Melden Sie sich beim Microsoft Intune Admin Center an.

  2. Wählen Sie "App-Schutz>" aus. Durch diese Auswahl werden die Schutzdetails geöffnet, in denen Sie neue Richtlinien erstellen und vorhandene Richtlinien bearbeiten können.

  3. Wählen Sie Richtlinie erstellen und dann entweder iOS/iPadOS oder Android aus. Der Bereich Richtlinie erstellen wird angezeigt.

  4. Fügen Sie auf der Seite Basics (Grundeinstellungen) die folgenden Werte hinzu:

    Wert Beschreibung
    Name Der Name dieser App-Schutzrichtlinie.
    Beschreibung [Optional] Die Beschreibung dieser App-Schutzrichtlinie.

    Screenshot der Seite

  5. Klicken Sie auf "Weiter ", um die Seite "Apps " anzuzeigen.

    Auf der Seite "Apps " können Sie auswählen, welche Apps von dieser Richtlinie erfasst werden sollen. Sie müssen mindestens eine App hinzufügen.

    Wert/Option Beschreibung
    Richtrichtlinie auf Wählen Sie im Dropdownfeld Zielrichtlinie aus, dass Ihre App-Schutzrichtlinie auf Alle Apps, Microsoft Apps oder Core Microsoft Apps ausgerichtet werden soll.

    • Alle Apps umfassen alle Microsoft- und Partner-Apps, die das Intune SDK integriert haben.
    • Microsoft Apps enthält alle Microsoft-Apps, die das Intune SDK integriert haben.
    • Zu den wichtigsten Microsoft Apps gehören die folgenden Apps: Microsoft Edge, Excel, Office, OneDrive, OneNote, Outlook, PowerPoint, SharePoint, Teams, To Do und Word.

    Als Nächstes können Sie "Liste der Apps anzeigen, auf die Sie abzielen " auswählen, um eine Liste der Apps anzuzeigen, die von dieser Richtlinie betroffen sind.
    Öffentliche Apps Wenn Sie keine der vordefinierten App-Gruppen auswählen möchten, können Sie einzelne Apps als Ziel auswählen, indem Sie im Dropdownfeld Zielrichtlinie zurDropdownliste die Option Ausgewählte Apps auswählen. Klicken Sie auf Öffentliche Apps auswählen , um öffentliche Apps als Ziel auszuwählen.
    Benutzerdefinierte Apps Wenn Sie keine der vordefinierten App-Gruppen auswählen möchten, können Sie einzelne Apps als Ziel auswählen, indem Sie im Dropdownfeld Zielrichtlinie zurDropdownliste die Option Ausgewählte Apps auswählen. Klicken Sie auf "Benutzerdefinierte Apps auswählen ", um benutzerdefinierte Apps auszuwählen, die basierend auf einer Bündel-ID als Ziel verwendet werden sollen. Sie können keine benutzerdefinierte App auswählen, wenn Sie auch auf die Optionen "Alle Apps", "Microsoft Apps" oder "Core Microsoft Apps" in derselben Richtlinie abzielen.

    Die von Ihnen ausgewählte(n) App(s) werden in der Liste der öffentlichen und benutzerdefinierten Apps angezeigt.

    Hinweis

    Öffentliche Apps werden unterstützt sind Apps von Microsoft und Partnern, die häufig mit Microsoft Intune verwendet werden. Diese Intune-geschützten Apps verfügen über umfangreiche Unterstützung für Richtlinien zum Schutz mobiler Anwendungen. Weitere Informationen finden Sie unter Microsoft Intune-geschützte Apps. Benutzerdefinierte Apps sind branchenspezifische Apps, die in das Intune SDK integriert oder vom Intune App Wrapping Tool umschlossen wurden. Weitere Informationen finden Sie unter Übersicht über das Microsoft Intune App SDK und Vorbereiten branchenspezifischer Apps für App-Schutzrichtlinien.

  6. Klicken Sie auf Weiter , um die Seite Datenschutz anzuzeigen.

    Diese Seite enthält Einstellungen für die Steuerelemente zur Verhinderung von Datenverlust (DLP), einschließlich Einschränkungen zum Ausschneiden, Kopieren, Einfügen und Speichern unter. Diese Einstellungen bestimmen, wie Benutzer mit Daten in den Apps interagieren, auf die diese Appschutz-Richtlinie angewendet wird.

    Datenschutzeinstellungen:

  7. Klicken Sie auf "Weiter ", um die Seite "Zugriffsvoraussetzungen " anzuzeigen.

    Diese Seite enthält Einstellungen, mit denen Sie die Anforderungen an die PIN und die Anmeldeinformationen konfigurieren können, die Benutzer erfüllen müssen, um im Arbeitskontext auf Apps zugreifen zu können.

    Einstellungen für Zugriffsvoraussetzungen:

  8. Klicken Sie auf "Weiter ", um die Seite "Bedingter Start" anzuzeigen.

    Diese Seite enthält Einstellungen zum Festlegen der Anmeldesicherheitsanforderungen für Ihre Appschutz-Richtlinie. Wählen Sie eine Einstellung aus und geben Sie den Wert ein, den Benutzer erfüllen müssen, um sich bei Ihrer Unternehmens-App anmelden zu können. Wählen Sie dann die Aktion aus, die Sie ausführen möchten, wenn Benutzer Ihre Anforderungen nicht erfüllen. In einigen Fällen können mehrere Aktionen für eine einzelne Einstellung konfiguriert werden.

    Einstellungen für bedingten Start:

  9. Klicken Sie auf Weiter, um die Seite Zuweisungen anzuzeigen. Auf der Seite "Zuweisungen" können Sie die App-Schutzrichtlinie Benutzergruppen zuweisen. Sie müssen die Richtlinie auf eine Gruppe von Benutzern anwenden, damit die Richtlinie wirksam wird.

  10. Klicken Sie auf Weiter: Überprüfen + erstellen , um die Werte und Einstellungen zu überprüfen, die Sie für diese App-Schutzrichtlinie eingegeben haben.

  11. Wenn Sie fertig sind, klicken Sie auf Erstellen, um die App-Schutzrichtlinie in Intune zu erstellen.

    Tipp

    Diese Richtlinieneinstellungen werden nur erzwungen, wenn Apps im Arbeitskontext verwendet werden. Wenn Endbenutzer die App für persönliche Aufgaben verwenden, sind sie von diesen Richtlinien nicht betroffen. Beachten Sie, dass das Erstellen einer neuen Datei als persönliche Datei betrachtet wird.

    Wichtig

    Es kann einige Zeit dauern, bis Richtlinien zum Schutz von Apps auf vorhandenen Geräten angewendet werden. Endbenutzern wird eine Benachrichtigung auf dem Gerät angezeigt, wenn die App-Schutzrichtlinie angewendet wird. Wenden Sie Ihre App-Schutzrichtlinien auf Geräte an, bevor Sie Regeln für bedingten Zugriff anwenden.

Endbenutzer können die Apps aus dem App Store oder Google Play herunterladen. Weitere Informationen finden Sie unter:

Ändern vorhandener Richtlinien

Sie können eine vorhandene Richtlinie bearbeiten und auf die Zielbenutzer anwenden. Weitere Informationen zum Übermittlungszeitpunkt der Richtlinie finden Sie unter Grundlegendes zum Übermittlungszeitpunkt der App-Schutzrichtlinie.

So ändern Sie die Liste der Apps, die der Richtlinie zugeordnet sind

  1. Wählen Sie im Bereich "Schutz " die Richtlinie aus, die Sie ändern möchten.

  2. Wählen Sie im Bereich "Intune-App-Schutz" die Option "Eigenschaften" aus.

  3. Wählen Sie neben dem Abschnitt "Apps" die Option "Bearbeiten" aus.

  4. Auf der Seite "Apps " können Sie auswählen, welche Apps von dieser Richtlinie erfasst werden sollen. Sie müssen mindestens eine App hinzufügen.

    Wert/Option Beschreibung
    Öffentliche Apps Wählen Sie im Dropdownfeld Zielrichtlinie aus, dass Ihre App-Schutzrichtlinie auf Alle öffentlichen Apps, Microsoft Apps oder Core Microsoft Apps ausgerichtet werden soll. Als Nächstes können Sie "Liste der Apps anzeigen, auf die Sie abzielen " auswählen, um eine Liste der Apps anzuzeigen, die von dieser Richtlinie betroffen sind.

    Bei Bedarf können Sie einzelne Apps als Ziel auswählen, indem Sie auf Öffentliche Apps auswählen klicken.

    Benutzerdefinierte Apps Klicken Sie auf "Benutzerdefinierte Apps auswählen ", um benutzerdefinierte Apps auszuwählen, die basierend auf einer Bündel-ID als Ziel verwendet werden sollen.

    Die von Ihnen ausgewählte(n) App(s) werden in der Liste der öffentlichen und benutzerdefinierten Apps angezeigt.

  5. Klicken Sie auf Überprüfen + erstellen , um die für diese Richtlinie ausgewählten Apps zu überprüfen.

  6. Wenn Sie fertig sind, klicken Sie auf Speichern , um die App-Schutzrichtlinie zu aktualisieren.

So ändern Sie die Liste von Benutzergruppen

  1. Wählen Sie im Bereich "Schutz " die Richtlinie aus, die Sie ändern möchten.

  2. Wählen Sie im Bereich "Intune-App-Schutz" die Option "Eigenschaften" aus.

  3. Wählen Sie neben dem Abschnitt " Aufgaben" die Option "Bearbeiten" aus.

  4. Um der Richtlinie eine neue Benutzergruppe hinzuzufügen, wählen Sie auf der Registerkarte Einschließendie Option Gruppen auswählen, die einbezogen werden sollen, und wählen Sie dann die Benutzergruppe aus. Wählen Sie Select aus, um die Gruppe hinzuzufügen.

  5. Um eine Benutzergruppe auszuschließen, wählen Sie auf der Registerkarte Ausschließendie Option Gruppen auswählen, die ausgeschlossen werden sollen, und wählen Sie dann die Benutzergruppe aus. Wählen Sie Select aus, um die Benutzergruppe zu entfernen.

  6. Wenn Sie Gruppen löschen möchten, die zuvor hinzugefügt wurden, wählen Sie auf den Registerkarten "Einschließen " oder " Ausschließen " die Auslassungspunkte (...) und dann "Löschen" aus.

  7. Klicken Sie auf Überprüfen + erstellen , um die für diese Richtlinie ausgewählten Benutzergruppen zu überprüfen.

  8. Nachdem Ihre Änderungen an den Zuweisungen fertig sind, wählen Sie Speichern aus, um die Konfiguration zu speichern und die Richtlinie für die neue Gruppe von Benutzern bereitzustellen. Wenn Sie vor dem Speichern der Konfiguration "Abbrechen " auswählen, verwerfen Sie alle Änderungen, die Sie an den Registerkarten "Einschließen " und " Ausschließen " vorgenommen haben.

So ändern Sie die Richtlinieneinstellungen

  1. Wählen Sie im Bereich "Schutz " die Richtlinie aus, die Sie ändern möchten.

  2. Wählen Sie anschließend Eigenschaften aus.

  3. Wählen Sie neben dem Abschnitt, der den Einstellungen entspricht, die Sie ändern möchten, die Option Bearbeiten aus. Ändern Sie dann die Einstellungen in neue Werte.

  4. Klicken Sie auf Überprüfen + erstellen , um die aktualisierten Einstellungen für diese Richtlinie zu überprüfen.

  5. Wählen Sie Speichern aus, um Ihre Änderungen zu speichern. Wiederholen Sie den Vorgang, um einen Einstellungsbereich auszuwählen und Ihre Änderungen zu ändern und dann zu speichern, bis alle Ihre Änderungen abgeschlossen sind. Anschließend können Sie den Bereich "Intune-App-Schutz – Eigenschaften" schließen.

App-Schutzrichtlinien basierend auf dem Geräteverwaltungsstatus ausrichten

In vielen Organisationen ist es üblich, Endbenutzern die Verwendung sowohl von Intune Mobile Geräteverwaltung (MDM) verwaltete Geräte zu erlauben, z. B. unternehmenseigene Geräte, als auch nicht verwaltete Geräte, die nur mit Intune-App-Schutzrichtlinien geschützt sind. Nicht verwaltete Geräte werden häufig als "Bring Your Own Devices" (BYOD) bezeichnet.

Da Intune-App-Schutzrichtlinien auf die Identität eines Benutzers abzielen, können die Schutzeinstellungen für einen Benutzer sowohl für registrierte (MDM-verwaltete) als auch für nicht registrierte Geräte (kein MDM) gelten. Daher können Sie eine Intune-App-Schutzrichtlinie mithilfe von Filtern auf entweder in Intune registrierte oder nicht registrierte iOS/iPadOS- und Android-Geräte ausrichten. Weitere Informationen zum Erstellen von Filtern finden Sie unter Verwenden von Filtern beim Zuweisen von Richtlinien . Sie können eine Schutzrichtlinie für nicht verwaltete Geräte verwenden, bei denen strenge DLP-Kontrollen (Data Loss Prevention, Verhinderung von Datenverlust) vorhanden sind, und eine separate Schutzrichtlinie für MDM-verwaltete Geräte, bei denen die DLP-Steuerelemente möglicherweise etwas lockerer sind. Weitere Informationen, wie dies auf persönlichen Android Enterprise-Geräten funktioniert, finden Sie unter Richtlinien für den App-Schutz und Arbeitsprofile.

Um diese Filter beim Zuweisen von Richtlinien zu verwenden, navigieren Sie im Intune Admin Center zu App-Schutz> und wählen Sie dann Richtlinie erstellen aus. Sie können auch eine vorhandene App-Schutzrichtlinie bearbeiten. Navigieren Sie zur Seite "Aufgaben", und wählen Sie "Filter bearbeiten " aus, um Filter für die zugewiesene Gruppe ein- oder auszuschließen.

Typen der Geräteverwaltung

Wichtig

Die Verwaltung des Android-Geräteadministrators (DA) ist veraltet und für Geräte mit Zugriff auf Google Mobile Services (GMS) nicht mehr verfügbar. Wenn Sie derzeit die DA-Verwaltung verwenden, empfehlen wir, zu einer anderen Android-Verwaltungsoption zu wechseln. Support- und Hilfedokumentation bleiben für einige Android 15- und frühere Geräte ohne GMS verfügbar. Weitere Informationen finden Sie unter Beenden der Unterstützung für den Android-Geräteadministrator auf GMS-Geräten.

  • Nicht verwaltet: Bei iOS-/iPadOS-Geräten sind nicht verwaltete Geräte alle Geräte, bei denen entweder die MDM-Verwaltung von Intune oder eine MDM/EMM-Lösung eines Drittanbieters den IntuneMAMUPN Schlüssel nicht übergibt. Bei Android-Geräten sind nicht verwaltete Geräte Geräte, auf denen die Intune-MDM-Verwaltung nicht erkannt wurde. Dies umfasst Geräte, die von MDM-Drittanbietern verwaltet werden.
  • Mit Intune verwaltete Geräte: Verwaltete Geräte werden mit Intune MDM verwaltet.
  • Android-Geräteadministrator: Mit Intune verwaltete Geräte mit der Android-Geräteverwaltungs-API.
  • Android Enterprise: Geräte, die von Intune mit Android Enterprise-Arbeitsprofilen oder vollständiger Android Enterprise-Geräteverwaltung verwaltet werden
  • Unternehmenseigene dedizierte Android Enterprise-Geräte mit dem Modus für freigegebene Microsoft Entra-Geräte: Mit Intune verwaltete Geräte, die dedizierte Android Enterprise-Geräte mit dem Modus "Gemeinsam genutzte Geräte" verwenden.
  • Android (AOSP)-Benutzergeräte: Mit Intune verwaltete Geräte mit benutzerbezogener AOSP-Verwaltung.
  • Benutzerlose Android-Geräte (AOSP): Mit Intune verwaltete Geräte, die benutzerlose AOSP-Geräte verwenden. Diese Geräte nutzen auch den freigegebenen Gerätemodus von Microsoft Entra.

Unter Android werden Android-Geräte aufgefordert, die Intune-Unternehmensportal-App zu installieren, unabhängig davon, welcher Typ der Geräteverwaltung ausgewählt wurde. Wenn Sie beispielsweise "Android Enterprise" auswählen, werden Benutzer mit nicht verwalteten Android-Geräten weiterhin aufgefordert.

Für iOS/iPadOS sind zusätzliche App-Konfigurationseinstellungen erforderlich, damit der Typ der Geräteverwaltung für von Intune verwaltete Geräte erzwungen wird. Diese Einstellungen kommunizieren mit dem App-Schutzrichtliniendienst, um anzugeben, dass die App verwaltet wird. Daher gelten die Einstellungen für App-Schutzrichtlinien erst, wenn Sie die App-Konfigurationsrichtlinie bereitstellen. Im Folgenden finden Sie die App-Konfigurationseinstellungen:

Wichtig

Ab der Dienstversion von Intune vom September (2409) werden die App-Konfigurationswerte IntuneMAMUPN,IntuneMAMOID und IntuneMAMDeviceID automatisch an verwaltete Anwendungen auf in Intune registrierten iOS-Geräten für die folgenden Apps gesendet: Microsoft Excel, Microsoft Outlook, Microsoft PowerPoint, Microsoft Teams und Microsoft Word. Intune wird diese Liste weiter um zusätzliche verwaltete Apps erweitern.

Wenn diese Werte für iOS-Geräte nicht ordnungsgemäß konfiguriert sind, besteht die Möglichkeit, dass die Richtlinie nicht an die App übermittelt wird oder die falsche Richtlinie übermittelt wird. Weitere Informationen finden Sie unter Supporttipp: Intune MAM-Benutzer auf benutzerlosen iOS/iPadOS-Geräten können in seltenen Fällen blockiert werden.

Richtlinieneinstellungen

Um eine vollständige Liste der Richtlinieneinstellungen für iOS/iPadOS und Android anzuzeigen, wählen Sie einen der folgenden Links aus:

Nächste Schritte

Überwachen Sie die Kompatibilität und den Benutzerstatus

Siehe auch

  • Last updated on