Konfigurieren von Aktionen für nicht konforme Geräte in Intune

Konformitätsrichtlinien können Aktionen für Nichtkonformität umfassen, d. h. Schritte, die die Richtlinie nach einem Zeitplan ergreift, wenn festgestellt wird, dass ein Gerät Ihre Sicherheitsanforderungen nicht erfüllt. Beispielsweise kann eine Richtlinie ein nicht konformes Gerät remote sperren, um es zu schützen, oder eine Benachrichtigung an die Benutzer senden, damit sie das Problem verstehen und beheben können.

Übersicht

Jede Konformitätsrichtlinie enthält " Gerät als nicht konform markieren " als integrierte Standardaktion, die sofort bei null Tagen ausgelöst werden soll. Wenn Intune erkennt, dass ein Gerät nicht kompatibel ist, markiert es das Gerät sofort als nicht kompatibel. Mit dem bedingten Zugriff auf Microsoft Entra kann das Gerät dann für den Zugriff auf die Ressourcen Ihrer Organization gehindert werden.

Durch das Hinzufügen weiterer Aktionen können Sie steuern, was wann mit nicht konformen Geräten geschieht. Sie können Benutzern beispielsweise eine Nachfrist einräumen, damit sie konform werden, bevor Sie ihren Zugriff sperren.

Für jede Aktion, die Sie festlegen, können Sie einen Zeitplan konfigurieren, der bestimmt, wann eine Aktion wirksam wird. Der Zeitplan basiert auf Tagen, nachdem das Gerät als nicht kompatibel gekennzeichnet wurde. Sie können dieselbe Aktion auch mehrmals hinzufügen. Wenn das Gerät weiterhin nicht konform ist, wird die Aktion zu jedem geplanten Zeitpunkt wiederholt.

Nicht alle Aktionen sind für alle Plattformen verfügbar.

Verfügbare Aktionen bei Nichtkonformität

Die folgenden Aktionen stehen bei Nichtkonformität zur Verfügung:

• Gerät als nicht kompatibel markieren: Diese integrierte Standardaktion ist in jeder Konformitätsrichtlinie enthalten und auf null (0) Tage festgelegt, sodass Geräte sofort als nicht konform gekennzeichnet werden.

  Wenn Sie den Standardzeitplan ändern, sehen Sie eine Nachfrist vor, in der ein Benutzer Probleme beheben oder konform werden kann, ohne als nicht konform gekennzeichnet zu werden.

  Diese Aktion wird auf allen Plattformen unterstützt, die von Intune unterstützt werden.

• E-Mail an Endbenutzer senden: Diese Aktion sendet eine E-Mail-Benachrichtigung an den Benutzer. Wenn Sie diese Aktion aktivieren, haben Sie folgende Optionen:

  • Wählen Sie eine Benachrichtigungsvorlage aus, die mit dieser Aktion gesendet wird. Sie erstellen eine Benachrichtigungsvorlage , bevor Sie dieser Aktion eine zuweisen können. Wenn Sie die benutzerdefinierte Benachrichtigung erstellen, passen Sie das Nachrichtengebietsschema, den Betreff, den Nachrichtentext und das Firmenlogo, den Firmennamen und andere Kontaktinformationen an.
  • Wählen Sie diese Option aus, um die Nachricht an weitere Empfänger zu senden, indem Sie eine oder mehrere Ihrer Microsoft Entra-Gruppen auswählen.

  Intune verwendet die E-Mail-Adresse im Profil des Endbenutzers, nicht seinen Benutzerprinzipalnamen (UPN). Wenn keine E-Mail-Adresse hinterlegt ist, sendet Intune die Benachrichtigung nicht. Wenn die E-Mail gesendet wurde, bezieht Intune Einzelheiten zu dem nicht konformen Gerät in die E-Mail-Benachrichtigung ein.

  Diese Aktion wird auf allen Plattformen unterstützt, die von Intune unterstützt werden.

  Hinweis

  Benachrichtigungs-E-Mails werden gesendet von microsoft-noreply@microsoft.com.

  Stellen Sie sicher, dass keine Postfachrichtlinien vorhanden sind, die die Zustellung von E-Mails von diesen Adressen verhindern. Andernfalls erhalten Endbenutzer die E-Mail-Benachrichtigung möglicherweise nicht. Es wird erwartet, dass E-Mails zur Compliancebenachrichtigung innerhalb von 6 Stunden gesendet werden, nachdem ein Gerät als nicht kompatibel markiert wurde.

• Remotesperrung des nicht konformen Geräts: Verwenden Sie diese Aktion, um ein Gerät remote zu sperren. Zum Entsperren des Geräts wird der Benutzer dann zur Eingabe einer PIN oder eines Kennworts aufgefordert. Weitere Informationen finden Sie unter Remotesperre.

  Folgende Plattformen unterstützen diese Aktion:

  • Android-Geräteadministrator
  • Android (AOSP)
  • Android Enterprise:
    • Vollständig verwaltet
    • Dediziert
    • Unternehmenseigenes Arbeitsprofil
    • Persönliches Arbeitsprofil
  • iOS/iPadOS
  • macOS

• Gerät zur Stilllegungsliste hinzufügen: Wenn diese Aktion auf einem Gerät ausgeführt wird, wird das Gerät einer Liste eingestellter, nicht konformer Geräte im Intune Admin Center hinzugefügt. Sie können zur Gerätekompatibilität> wechseln und die Registerkarte "Nicht konforme Geräte zurückziehen" auswählen, um die Liste anzuzeigen. Das Gerät wird jedoch erst dann zurückgezogen, wenn ein Administrator den Deaktivierungsprozess explizit initiiert. Wenn ein Administrator das Gerät aus dieser Liste entfernt, werden mit der Einstellung alle Unternehmensdaten vom Gerät entfernt und das Gerät aus der Intune-Verwaltung entfernt.

  Folgende Plattformen unterstützen diese Aktion:

  • Android-Geräteadministrator
  • Android (AOSP)
  • Android Enterprise:
    • Vollständig verwaltet
    • Dediziert
    • Unternehmenseigenes Arbeitsprofil
    • Persönliches Arbeitsprofil
  • iOS/iPadOS
  • macOS
  • Windows

  Hinweis

  Nur Geräte, für die die Aktion "Gerät zum Zurückziehen hinzufügen" ausgelöst wird, erscheinen auf der Registerkarte "Ausgewählte Geräte zurückziehen ". Eine Liste aller Geräte, die nicht kompatibel sind, finden Sie im Bericht "Nicht konforme Geräte ", der in der Überwachungsrichtlinie für Geräte erwähnt wird.

  Wenn Sie ein oder mehrere Geräte aus der Liste außer Betrieb nehmen möchten, wählen Sie die zu löschenden Geräte und dann die ausgewählten Geräte zurückziehen. Wenn Sie eine Aktion auswählen, die Geräte außer Betrieb nimmt, wird ein Bestätigungsdialogfeld angezeigt. Erst nach der Bestätigung der Absicht, die Geräte außer Betrieb zu nehmen, werden Unternehmensdaten auf ihnen gelöscht und sie werden aus der Intune-Verwaltung entfernt.

  Weitere Optionen sind: "Alle Geräte zurückziehen", "Status der Zurückhaltung aller Geräte löschen" und "Status der Zurückhaltung ausgewählter Geräte löschen". Wenn Sie den Status "Zurückziehen" für ein Gerät löschen, wird das Gerät aus der Liste der Geräte entfernt, die eingestellt werden können, bis die Aktion "Gerät zur Zurückziehungsliste hinzufügen " erneut auf dieses Gerät angewendet wird.

  Weitere Informationen zum Außerbetriebnehmen von Geräten.

• Pushbenachrichtigung an Endbenutzer senden: Richten Sie diese Aktion ein, um eine Pushbenachrichtigung über Nichtkompatibilität über die Unternehmensportal-App oder die Intune-App auf dem Gerät an ein Gerät zu senden.

  Folgende Plattformen unterstützen diese Aktion:

  • Android-Geräteadministrator
  • Android Enterprise:
    • Vollständig verwaltet
    • Dediziert
    • Unternehmenseigenes Arbeitsprofil
    • Persönliches Arbeitsprofil
  • iOS/iPadOS

  Die Pushbenachrichtigung wird gesendet, wenn ein Gerät zum ersten Mal bei Intune eincheckt und festgestellt wird, dass es nicht mit der Richtlinie kompatibel ist. Wenn ein Benutzer die Benachrichtigung auswählt, wird die Unternehmensportal-App oder die Intune-App geöffnet und enthält Informationen darüber, warum sie nicht konform sind. Der Benutzer kann dann Maßnahmen ergreifen, um das Problem zu beheben. Die Meldungsdetails zur Nichtkompatibilität werden von Intune generiert und können nicht angepasst werden.

  Wichtig

  Intune, die Unternehmensportal-App und die Microsoft Intune-App können die Zustellung einer Pushbenachrichtigung nicht garantieren. Benachrichtigungen können, wenn überhaupt, erst mit mehrstündiger Verspätung eintreffen. Diese Einschränkung gilt auch, wenn Benutzer Pushbenachrichtigungen deaktivieren.

  Verlassen Sie sich nicht auf diese Benachrichtigungsmethode für dringende Nachrichten.

  Jede Instanz der Aktion sendet ein einziges Mal eine Benachrichtigung. Um dieselbe Benachrichtigung erneut von einer Richtlinie aus zu senden, konfigurieren Sie weitere Instanzen der Aktion in dieser Richtlinie, die jeweils einen anderen Zeitplan aufweisen.

  Sie können z. B. die erste Aktion für null Tage planen und dann eine zweite Instanz der Aktion hinzufügen, die für drei Tage geplant ist. Diese Verzögerung vor der zweiten Benachrichtigung gibt dem Benutzer einige Tage Zeit, um das Problem zu beheben und die zweite Benachrichtigung zu vermeiden.

  Um zu vermeiden, dass Benutzer zu viele doppelte Benachrichtigungen erhalten, beachten Sie die folgenden Punkte:

  • Eine einzelne Richtlinie mit mehreren Pushbenachrichtigungen, die für denselben Tag geplant sind, sendet nur eine Benachrichtigung an diesem Tag.
  • Mehrere Richtlinien mit denselben Konformitätsbedingungen und demselben Zeitplan senden jeweils eine separate Benachrichtigung, was zu mehreren Benachrichtigungen an dasselbe Gerät am selben Tag führt.

Bevor Sie beginnen

Sie können Aktionen für Nichtkompatibilität hinzufügen , wenn Sie eine Gerätekonformitätsrichtlinie konfigurieren, oder später, indem Sie die Richtlinie bearbeiten. Fügen Sie jeder Richtlinie zusätzliche Aktionen hinzu, um Ihre Anforderungen zu erfüllen. Beachten Sie, dass jede Konformitätsrichtlinie automatisch die Standardaktion für Nichtkompatibilität enthält, die Geräte als nicht konform kennzeichnet, wobei ein Zeitplan auf null Tage festgelegt ist.

Um Geräte von Unternehmensressourcen mithilfe von Gerätekonformitätsrichtlinien zu blockieren, richten Sie Microsoft Entra bedingten Zugriff ein. Anleitungen finden Sie unter Bedingter Zugriff in Microsoft Entra ID.

Plattformspezifische Anleitungen zum Erstellen einer Gerätekonformitätsrichtlinie finden Sie in den folgenden Artikeln:

• Android
• Android (AOSP)
• Android-Arbeitsprofile
• iOS
• macOS
• Windows

Erstellen einer Benachrichtigungsvorlage

Um E-Mails an Ihre Benutzer zu senden, erstellen Sie eine Benachrichtigungsvorlage, und ordnen Sie diese Vorlage Ihrer Compliancerichtlinie als Maßnahme bei Nichteinhaltung zu. Wenn ein Gerät nicht kompatibel ist, werden die Details, die Sie in der Vorlage eingeben, in der E-Mail an Ihre Benutzer angezeigt.

Eine Benachrichtigungsvorlage kann mehrere Nachrichten enthalten, die jeweils für ein anderes Gebietsschema gelten. Wenn Sie mehrere Nachrichten und Gebietsschemas angeben, erhalten nicht konforme Endbenutzer die entsprechende lokalisierte Nachricht basierend auf ihrer bevorzugten Microsoft 365-Sprache.

Fügen Sie der Nachricht Variablen hinzu, um eine personalisierte E-Mail mit dynamischem Inhalt zu erstellen. In der folgenden Tabelle werden die Variablen beschrieben, die Sie in der Betreffzeile und im Text der Nachricht verwenden können.

So erstellen Sie die Vorlage

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Klicken Sie auf Endpunktsicherheit>Gerätekonformität>Benachrichtigungen>Benachrichtigung erstellen.

3. Geben Sie unter Grundlagen einen Anzeigenamen für die Vorlage ein, damit Sie sie leichter identifizieren können. Wählen Sie dann Weiter aus.

4. Fügen Sie in den Kopf- und Fußzeileneinstellungen Ihre Firmendetails und Ihr Logo hinzu.

   

   Ihre Optionen:

   • E-Mail-Kopfzeile – Unternehmenslogo anzeigen (Standard = Aktivieren) – Laden Sie ein Logo hoch, um das Branding Ihrer organization zu den E-Mail-Vorlagen hinzuzufügen. Weitere Informationen zum Branding des Unternehmensportals finden Sie unter Anpassen des Unternehmensbrandings.
   • E-Mail-Fußzeile – Firmennamen anzeigen (Standard = Aktivieren): Aktivieren Sie diese Einstellung, um den Namen Ihres Unternehmens in der E-Mail anzuzeigen. Siehe Mandantenwert , um den eingetragenen Firmennamen anzuzeigen.
   • E-Mail-Fußzeile – Kontaktinformationen anzeigen (Standard = aktivieren): Aktivieren Sie diese Einstellung, um die Kontaktinformationen Ihrer organization (z. B. Name, Telefonnummer und E-Mail-Adresse) in der E-Mail anzuzeigen. Siehe Mandantenwert , um die eingetragenen Kontaktinformationen zu überprüfen.
   • E-Mail-Fußzeile – Link zur Unternehmensportal-Website anzeigen (Standard = Deaktivieren): Aktivieren Sie diese Einstellung, um einen Link zur Website des Unternehmensportals in die E-Mail einzuschließen. Siehe Mandantenwert , um den Websitelink zu überprüfen, der Benutzern angezeigt wird.

   Wählen Sie Weiter aus, um fortzufahren.

5. Konfigurieren Sie in den Vorlagen für Benachrichtigungsnachrichten eine oder mehrere Nachrichten. Geben Sie für jede Nachricht die folgenden Details an:

   • Gebietsschema: Wählen Sie die Sprache aus, die mit dem Gebietsschema des Gerätebenutzers korreliert.
   • Betreff: Fügen Sie die Betreffzeile für die E-Mail hinzu. Sie können bis zu 78 Zeichen eingeben.
   • Roh-HTML-Editor: Aktivieren Sie den HTML-Editor, um Vorschläge zu erhalten, während Sie Ihrer Nachricht HTML-Formatierungen und Links hinzufügen. Sie können das href Attribut verwenden, um einen Link hinzuzufügen (muss eine HTTPS-URL sein). Unterstützte HTML-Tags sind: <a>, <strong>, <b>, <u><p><br><code><table><tbody><ol><td><ul><th><li><tr><thead>. Sie müssen den HTML-Editor nicht verwenden, und Sie können unterstützten HTML-Code hinzufügen, ohne den Editor zu aktivieren.
   • Meldung: Erstellen Sie eine Nachricht, in der der Grund für die Nichteinhaltung erläutert wird. Sie können bis zu 2.000 Zeichen eingeben.

   Um eine Vorlage mit dynamischem Inhalt zu erstellen, fügen Sie das Token einer unterstützten Variablen in die Betreffzeile oder Nachricht ein. Eine Liste der unterstützten Variablen finden Sie in der Tabelle unter Erstellen einer Benachrichtigungsvorlage in diesem Artikel.

   Wichtig

   Achten Sie darauf, im Nachrichtentext nur Intune-unterstützte HTML-Tags und -Attribute zu verwenden. Intune sendet Nachrichten, die andere Arten von Tags, Elementen oder Formatvorlagen enthalten, als Klartext anstelle des HTML-Formats. Diese Bedingung umfasst Nachrichten, die Folgendes enthalten:

   • CSS
   • Tags und Attribute, die in diesem Artikel nicht aufgeführt sind

   Hinweis

   Intune konvertiert neue Zeilenzeichen im Windows-Stil in <br> HTML-Tags, ignoriert aber alle anderen Arten von neuen Zeilenzeichen, einschließlich derjenigen für macOS und Linux. Um sicherzustellen, dass Zeilenumbrüche in Vorlagen ordnungsgemäß gerendert werden, empfehlen wir, das <br> Tag zu verwenden, um das Ende einer Zeile anzugeben.

6. Aktivieren Sie das Kontrollkästchen für Ist Standard für eine der Nachrichten. Intune sendet Ihre Standardnachricht an Benutzer, die keine bevorzugte Sprache festgelegt haben, oder wenn die Vorlage keine spezielle Nachricht für ihr Gebietsschema enthält. Nur eine Nachricht kann als Standard festgelegt werden. Um eine Nachricht zu löschen, wählen Sie die Auslassungspunkte (...) und dann Löschen aus.

   Wählen Sie Weiter aus, um fortzufahren.

7. Wählen Sie unter "Bereichstags" Tags aus, um die Sichtbarkeit und Verwaltung dieser Nachricht auf bestimmte Intune-Administratorgruppen zu beschränken, z. BUS-NC IT Team. oder JohnGlenn_ITDepartment. Weitere Informationen zu Bereichstags finden Sie unter Verwenden der RBAC und von Bereichstags für verteilte IT.

   Wählen Sie Weiter aus, um fortzufahren.

8. Überprüfen Sie unter Überprüfen + Erstellen Ihre Konfigurationen, um sicherzustellen, dass die Vorlage für Benachrichtigungen einsatzbereit ist. Wählen Sie Erstellen aus, um die Erstellung der Benachrichtigung abzuschließen.

Anzeigen und Bearbeiten von Benachrichtigungen

Sie können Benachrichtigungen, die Sie erstellen, in Konformitätsrichtlinien>Benachrichtigungen anzeigen. Wählen Sie auf dieser Seite eine Benachrichtigung aus, um deren Konfiguration anzuzeigen und:

• Wählen Sie "Vorschau-E-Mail senden" aus, um eine Vorschau der Benachrichtigungs-E-Mail an das Konto zu senden, mit dem Sie sich bei Intune angemeldet haben.

  Um die Vorschau-E-Mail erfolgreich senden zu können, muss Ihr Konto über Berechtigungen verfügen, die denen der folgenden Microsoft Entra-Gruppen oder Intune-Rollen entsprechen: Intune-Administrator (auch bekannt als Intune-Dienstadministrator) oder Richtlinien- und Profil-Manager.

• Wählen Sie unter Grundlagen oder Bereichstags die Option Bearbeiten aus, um eine Änderung vorzunehmen.

Hinzufügen von Aktionen bei Nichtkonformität

Sie können beim Erstellen einer Konformitätsrichtlinie oder Aktualisieren einer vorhandenen Konformitätsrichtlinie weitere optionale Aktionen hinzufügen. Die Standardaktion "Als nicht konform markieren" wird automatisch hinzugefügt und kann nicht entfernt werden, aber Sie können ihren Zeitplan anpassen.

1. Melden Sie sich beim Microsoft Intune Admin Center an.

2. Wechseln Sie zu Gerätekompatibilität>.

3. Wählen Sie eine Richtlinie und dann Eigenschaften aus.

   Haben Sie noch keine Richtlinie? Erstellen Sie eine Richtlinie für Android, iOS, Windows oder eine andere Plattform.

   Hinweis

   Geräte, die von Drittanbieter-Gerätekompatibilitätspartnern verwaltet werden und auf Gerätegruppen ausgerichtet sind, können derzeit keine Konformitätsaktionen erhalten.

4. Wählen Sie Aktionen für Nichtkompatibilitätsbearbeitung>aus.

5. Wählen Sie Ihre Aktion aus:

   • Senden einer E-Mail an den Benutzer: Senden Sie dem Benutzer eine E-Mail, wenn das Gerät nicht konform ist. Ferner gilt Folgendes:

     • Wählen Sie die zuvor erstellte Nachrichtenvorlage aus
     • Geben Sie durch die Auswahl von Gruppen zusätzliche Empfänger ein

   • Remotesperren des nicht konformen Geräts: Sperren Sie das Gerät, wenn es nicht konform ist. Durch diese Aktion wird der Benutzer zur Eingabe einer PIN oder eines Kennworts gezwungen, um das Gerät zu entsperren.

   • Gerät zur Stilllegungsliste hinzufügen: Wenn das Gerät nicht kompatibel ist, wird es zu einer Stilllegungsliste im Admin Center hinzugefügt. Ein Administrator muss das Gerät explizit aus dieser Liste entfernen, bevor Unternehmensdaten entfernt und das Gerät aus der Intune-Verwaltung entfernt wird.

   • Pushbenachrichtigung an Endbenutzer senden: Richten Sie diese Aktion ein, um eine Pushbenachrichtigung über Nichtkompatibilität über die Unternehmensportal-App oder die Intune-App auf dem Gerät an ein Gerät zu senden.

6. Konfigurieren Sie einen Zeitplan: Geben Sie die Anzahl der Tage (0 bis 365) nach Nichtkonformität ein, um die Aktion auszulösen. Wenn Sie 0 eingeben, wird die Aktion sofort wirksam. Nach Ablauf dieses Aktivierungszeitraums können Sie eine Richtlinie für bedingten Zugriff erzwingen, um den Zugriff auf Ressourcen wie E-Mail und SharePoint zu blockieren.

   Ausführliche Informationen zur Standardaktion "Gerät als nicht konform markieren " und zu den Auswirkungen des Zeitplans auf Karenzzeiträume finden Sie unter Verfügbare Aktionen für Nichtkonformität.

   Fügen Sie z. B. die Aktion "E-Mail an Endbenutzer senden" mit einem Zeitplan von zwei Tagen hinzu. Wenn das Gerät am zweiten Tag immer noch nicht kompatibel ist, wird die E-Mail gesendet. Um am fünften Tag eine Folge-E-Mail zu senden, fügen Sie eine zweite instance der Aktion mit einem Zeitplan von fünf Tagen hinzu.

   Weitere Informationen zur Konformität und den integrierten Aktionen finden Sie in der Konformitätsübersicht.

7. Klicken Sie zum Speichern Ihrer Änderungen auf Hinzufügen>OK.

Nächste Schritte

Überwachen von Intune-Richtlinien zur Gerätekompatibilität.