Freigeben über


Einstellungen für App-Schutzrichtlinien für iOS

In diesem Artikel werden die Einstellungen für App-Schutzrichtlinien für iOS-/iPadOS-Geräte beschrieben. Die beschriebenen Richtlinieneinstellungen können im Portal im Bereich Einstellungen für eine App-Schutzrichtlinie konfiguriert werden, wenn Sie eine neue Richtlinie erstellen.

Es gibt drei Kategorien von Richtlinieneinstellungen: Datenverschiebung, Zugriffsanforderungen und Bedingter Start. In diesem Artikel bezieht sich der Begriff richtlinienverwaltete Apps auf Apps, die mit App-Schutzrichtlinien konfiguriert sind.

Wichtig

Der Intune Managed Browser wurde eingestellt. Verwenden Sie Microsoft Edge für Ihre geschützte Intune-Browserumgebung.

Datenschutz

Wichtig

Für Apps, die auf v19.7.6 oder höher für Xcode 15 und v20.2.1 oder höher für Xcode 16 des SDK aktualisiert wurden, wird der Bildschirmaufnahmeblock angewendet, wenn Sie die Einstellung Organisationsdaten an andere Apps senden auf einen anderen Wert als "Alle Apps" konfiguriert haben. Sie können die Richtlinieneinstellung com.microsoft.intune.mam.screencapturecontrol = Disabled für die App-Konfiguration konfigurieren (Apps>App-Konfigurationsrichtlinien>Verwaltete Apps>erstellen> im Schritt Einstellungen, Wählen Sie Allgemeine Konfigurationseinstellungen aus), wenn Sie die Bildschirmaufnahme für Ihre iOS-Geräte zulassen müssen.

Datenübertragung

Setting Anleitung Standardwert
Organisationsdaten in iTunes und iCloud sichern Klicken Sie auf Block (Blockieren), um zu verhindern, dass diese App Geschäfts-, Schul- oder Unidaten in iTunes und iCloud sichert. Klicken Sie auf Zulassen, um dieser App zu erlauben, Geschäfts-, Schul- oder Unidaten in iTunes und iCloud zu sichern. Zulassen
Organisationsdaten an andere Apps senden Geben Sie an, welche Apps Daten von dieser App empfangen können:
  • Alle Apps: Datenübertragung an beliebige Apps zulassen. Die empfangende App kann die Daten lesen und bearbeiten.
  • Keine: Lassen Sie keine Datenübertragung an apps zu, einschließlich anderer richtlinienverwalteter Apps. Führt der Benutzer die verwaltete Funktion „Öffnen in“ aus und überträgt ein Dokument, werden die Daten verschlüsselt und können nicht mehr gelesen werden.
  • Richtlinienverwaltete Apps: Datenübertragung nur an andere richtlinienverwaltete Apps zulassen.

    Hinweis:Benutzer können inhalte möglicherweise über Open-in- oder Share-Erweiterungen an nicht verwaltete Apps auf nicht registrierten Geräten oder registrierten Geräten übertragen, die die Freigabe für nicht verwaltete Apps ermöglichen. Übertragene Daten werden durch Intune verschlüsselt und von nicht verwalteten Apps nicht lesbar.

  • Per Richtlinie verwaltete Apps mit Betriebssystemfreigabe: Nur Datenübertragungen an andere richtlinienverwaltete Apps sowie Datenübertragungen an andere MDM-verwaltete Apps auf registrierten Geräten zulassen.

    Hinweis:Der Richtlinienverwaltete Apps mit dem Wert für die Betriebssystemfreigabe gilt nur für MDM-registrierte Geräte. Wenn diese Einstellung auf einen Benutzer auf einem nicht registrierten Gerät ausgerichtet ist, gilt das Verhalten des Werts für richtlinienverwaltete Apps. Benutzer können unverschlüsselte Inhalte über Open-In- oder Share-Erweiterungen an jede Anwendung übertragen, die von der iOS-MDM-Einstellung allowOpenFromManagedtoUnmanagedd zulässig ist, vorausgesetzt, für die sendende App sind IntuneMAMUPN und IntuneMAMOID konfiguriert; Weitere Informationen finden Sie unter Verwalten der Datenübertragung zwischen iOS-Apps in Microsoft Intune. Weitere Informationen zu dieser MDM-Einstellung für iOS/iPadOS finden Sie https://developer.apple.com/business/documentation/Configuration-Profile-Reference.pdf unter .

  • Per Richtlinie verwaltete Apps mit Filterung für „Öffnen in“/Freigabe: Übertragung nur an andere richtlinienverwaltete Apps zulassen und die Dialogfenster für „Öffnen in“/Freigabe des Betriebssystems so filtern, dass nur richtlinienverwaltete Apps angezeigt werden. Zum Konfigurieren der Filterung des Dialogfensters für Öffnen in/Freigabe ist es erforderlich, dass sowohl die Apps, die als Quelle für die Datei bzw. das Dokument dienen, als auch die Apps, mit denen die Datei bzw. das Dokument geöffnet werden kann, über Version 8.1.1 oder höher des Intune SDK für iOS verfügen.

    Hinweis:Benutzer können Möglicherweise Inhalte über Open-In- oder Share-Erweiterungen an nicht verwaltete Apps übertragen, wenn Intune privater Datentyp von der App unterstützt wird. Übertragene Daten werden von Intune verschlüsselt und von nicht verwalteten Apps nicht lesbar.


Spotlight-Suche (ermöglicht das Durchsuchen von Daten in Apps) und Siri-Tastenkombinationen werden blockiert, es sei denn, sie sind auf Alle Apps festgelegt.

Diese Richtlinie kann auch für universelle iOS-/iPadOS-Links gelten. Allgemeine Weblinks werden von der Richtlinieneinstellung App-Links in Intune Managed Browser öffnen verwaltet.

Es gibt einige ausgenommene Apps und Dienste, für die Intune möglicherweise die Datenübertragung zulässt. Darüber hinaus können Sie Ihre eigenen Ausnahmen erstellen, wenn Sie zulassen müssen, dass Daten an eine App übertragen werden, welche die Intune-App nicht unterstützt. Weitere Informationen finden Sie unter Datenübertragungsausnahmen.

Alle Apps
    Wählen Sie die Apps aus, die ausgenommen werden sollen
Diese Option ist dann verfügbar, wenn Sie die vorherige Option auf Richtlinienverwaltete Apps festgelegt haben.
    Universelle Links auswählen, die ausgenommen werden sollen
Geben Sie an, welche universellen iOS-/iPadOS-Links in der angegebenen nicht verwalteten Anwendung anstelle des geschützten Browsers geöffnet werden sollen, der durch die Einstellung Übertragung von Webinhalten mit anderen Apps einschränken festgelegt ist. Sie müssen sich an den Anwendungsentwickler wenden, um das richtige universelle Linkformat für die jeweilige Anwendung zu ermitteln.
    Verwaltete universelle Links auswählen
Geben Sie an, welche universellen iOS-/iPadOS-Links in der angegebenen verwalteten Anwendung anstelle des geschützten Browsers geöffnet werden sollen, der durch die Einstellung Übertragung von Webinhalten mit anderen Apps einschränken festgelegt ist. Sie müssen sich an den Anwendungsentwickler wenden, um das richtige universelle Linkformat für die jeweilige Anwendung zu ermitteln.
    Kopien von Organisationsdaten speichern
Klicken Sie auf Block (Blockieren), um die Verwendung der Option „Speichern unter“ in dieser App zu deaktivieren. Klicken Sie auf Allow (Zulassen), wenn die Verwendung von Speichern unter zulässig sein soll. Wenn für diese Einstellung Block (Blockieren) festgelegt ist, können Sie die Einstellung Benutzer das Speichern von Kopien in den ausgewählten Diensten ermöglichen konfigurieren.

Hinweis:
  • Diese Einstellung wird für Microsoft Excel, OneNote, Outlook, PowerPoint, Word und Microsoft Edge unterstützt. Es kann auch von Drittanbieter- und BRANCHEN-Apps unterstützt werden.
  • Diese Einstellung ist nur konfigurierbar, wenn die Einstellung Organisationsdaten an andere Apps senden auf Richtlinienverwaltete Apps, Per Richtlinie verwaltete Apps mit Betriebssystemfreigabe oder Per Richtlinie verwaltete Apps mit Filterung für „Öffnen in“/„Freigabe“ festgelegt ist.
  • Diese Einstellung lautet "Zulassen", wenn die Einstellung Organisationsdaten an andere Apps senden auf Alle Apps festgelegt ist.
  • Diese Einstellung lautet "Blockieren" ohne zulässige Dienstspeicherorte, wenn die Einstellung Organisationsdaten an andere Apps senden auf Keine festgelegt ist.
Zulassen
      Benutzer das Speichern von Kopien in den ausgewählten Diensten ermöglichen
Benutzer können in den ausgewählten Diensten (OneDrive for Business, SharePoint, Fotobibliothek und lokaler Speicher) speichern. Alle anderen Dienste werden blockiert. OneDrive for Business: Sie können Dateien in OneDrive for Business und SharePoint Online speichern. SharePoint: Sie können Dateien in der lokalen SharePoint-Instanz speichern. Fotobibliothek: Sie können Dateien lokal in der Fotobibliothek speichern. Lokaler Speicher: Verwaltete Apps können Kopien von Organisationsdaten lokal speichern. Dies umfasst NICHT das Speichern von Dateien an lokalen, nicht verwalteten Speicherorten wie der Datei-App auf dem Gerät. 0 ausgewählt
    Transfer telecommunication data to (Telekommunikationsdaten übertragen an):
Wenn ein Benutzer in einer App eine Telefonnummer mit Hyperlink auswählt, wird in der Regel eine Telefon-App mit der vorab eingestellten und verwendbaren Telefonnummer geöffnet. Bei dieser Einstellung können Sie festlegen, wie Inhaltsübertragungen dieser Art behandelt werden sollen, wenn sie von einer durch Richtlinien verwalteten App initiiert werden:
  • Keine, diese Daten nicht zwischen Apps übertragen: Übertragen Sie keine Kommunikationsdaten, wenn eine Telefonnummer erkannt wird.
  • Eine bestimmte Wähl-App: Zulassen, dass eine bestimmte verwaltete Wähl-App Kontakt initiiert, wenn eine Telefonnummer erkannt wird.
  • Beliebige Wähl-App: Lassen Sie zu, dass jede verwaltete Wähl-App zum Initiieren von Kontakten verwendet wird, wenn eine Telefonnummer erkannt wird.

Hinweis: Diese Einstellung erfordert Intune SDK 12.7.0 und höher. Wenn Ihre Apps auf die Wählfunktion angewiesen sind und nicht die richtige Intune SDK-Version verwenden, sollten Sie als Problemumgehung erwägen, "tel; telprompt" als Datenübertragungsausnahme. Sobald die Apps die richtige Intune SDK-Version unterstützen, kann die Ausnahme entfernt werden.

Any dialer app (Jede Telefon-App)
      URL-Schema der Telefon-App
Wenn eine bestimmte Telefon-App ausgewählt wurde, müssen Sie das URL-Schema der Telefon-App bereitstellen, das zum Starten der Telefon-App auf iOS-Geräten verwendet wird. Weitere Informationen finden Sie in der Apple-Dokumentation zu Telefonverknüpfungen. Blank
    Übertragen von Messagingdaten an
Wenn ein Benutzer einen linkierten Messaginglink in einer App auswählt, wird in der Regel eine Messaging-App mit der telefonnummer geöffnet, die bereits aufgefüllt und zum Senden bereit ist. Wählen Sie für diese Einstellung aus, wie diese Art der Inhaltsübertragung behandelt werden soll, wenn sie von einer richtlinienverwalteten App initiiert wird. Möglicherweise sind zusätzliche Schritte erforderlich, damit diese Einstellung wirksam wird. Vergewissern Sie sich zunächst, dass sms aus der Liste Ausnehmende Apps auswählen entfernt wurde. Stellen Sie dann sicher, dass die Anwendung eine neuere Version des Intune SDK (Version > 19.0.0) verwendet. Bei dieser Einstellung können Sie festlegen, wie Inhaltsübertragungen dieser Art behandelt werden sollen, wenn sie von einer durch Richtlinien verwalteten App initiiert werden:
  • Keine, diese Daten nicht zwischen Apps übertragen: Übertragen Sie keine Kommunikationsdaten, wenn eine Telefonnummer erkannt wird.
  • Eine bestimmte Messaging-App: Zulassen, dass eine bestimmte verwaltete Messaging-App den Kontakt initiiert, wenn eine Telefonnummer erkannt wird.
  • Beliebige Messaging-App: Lassen Sie zu, dass jede verwaltete Messaging-App verwendet wird, um den Kontakt zu initiieren, wenn eine Telefonnummer erkannt wird.

Hinweis: Diese Einstellung erfordert Intune SDK 19.0.0 und höher.

Beliebige Messaging-App
      URL-Schema der Messaging-App
Wenn eine bestimmte Messaging-App ausgewählt wurde, müssen Sie das URL-Schema der Messaging-App angeben, das zum Starten der Messaging-App auf iOS-Geräten verwendet wird. Weitere Informationen finden Sie in der Apple-Dokumentation zu Telefonverknüpfungen. Blank
Daten von anderen Apps empfangen Geben Sie an, welche Apps Daten an diese App übertragen können:
  • Alle Apps: Datenübertragung von beliebigen Apps zulassen
  • Keine: Lassen Sie keine Datenübertragung von apps zu, einschließlich anderer richtlinienverwalteter Apps.
  • Richtlinienverwaltete Apps: Datenübertragung nur von anderen richtlinienverwalteten Apps zulassen
  • Alle Apps mit eingehenden Organisationsdaten: Datenübertragung von beliebigen Apps zulassen. Alle eingehende Daten ohne eine Benutzeridentität werden als Daten aus Ihrer Organisation behandelt. Die Daten werden mit der Identität des von der MDM registrierten Benutzers gemäß der Einstellung IntuneMAMUPN gekennzeichnet.

    Hinweis:Der Wert Alle Apps mit eingehenden Organisationsdaten gilt nur für GERÄTE, die für MDM registriert sind. Wenn diese Einstellung auf einen Benutzer auf einem nicht registrierten Gerät ausgerichtet ist, gilt das Verhalten des Werts Beliebige Apps.

MAM-fähige Anwendungen mit mehreren Identitäten versuchen beim Empfang nicht verwalteter Daten zu einem nicht verwalteten Konto zu wechseln, wenn diese Einstellung auf Keine oder Richtlinienverwaltete Apps festgelegt ist. Wenn kein nicht verwaltetes Konto bei der App angemeldet ist oder die App nicht wechseln kann, werden die eingehenden Daten blockiert.

Alle Apps
    Daten in Organisationsdokumenten öffnen
Wählen Sie Blockieren aus, um die Verwendung der Option Öffnen oder anderer Optionen zum Teilen von Daten zwischen Konten in dieser App zu deaktivieren. Klicken Sie auf Zulassen, wenn die Verwendung von Öffnen zulässig sein soll.

Wenn sie auf Blockieren festgelegt ist, können Sie benutzer das Öffnen von Daten aus ausgewählten Diensten zulassen konfigurieren, um anzugeben, welche Dienste für Organisationsdatenspeicherorte zulässig sind.

Hinweis:
  • Diese Einstellung kann nur konfiguriert werden, wenn die Einstellung Daten von anderen Apps empfangen auf Richtlinienverwaltete Apps festgelegt ist.
  • Diese Einstellung lautet "Zulassen", wenn die Einstellung Daten von anderen Apps empfangen auf Alle Apps oder Alle Apps mit eingehenden Organisationsdaten festgelegt ist.
  • Diese Einstellung lautet „Blockieren“ ohne zulässige Dienstspeicherorte, wenn die Einstellung Daten von anderen Apps empfangen auf Keine festgelegt ist.
  • Diese Einstellung wird von den folgenden Apps unterstützt:
    • OneDrive 11.45.3 oder höher.
    • Outlook für iOS 4.60.0 oder höher.
    • Teams für iOS 3.17.0 oder höher.
Zulassen
      Benutzern das Öffnen von Daten aus ausgewählten Diensten gestatten
Wählen Sie Anwendungsspeicherdienste aus, aus denen Benutzer Daten öffnen können. Alle anderen Dienste werden blockiert. Wenn Sie keine Dienste auswählen, werden Benutzer am Öffnen von Daten aus externen Speicherorten gehindert.
Anmerkung: Dieses Steuerelement ist für die Arbeit mit Daten konzipiert, die sich außerhalb des Unternehmenscontainers befinden.

Unterstützte Dienste:
  • OneDrive for Business
  • SharePoint Online
  • Kamera
  • Fotomediathek
Anmerkung: Die Kamera enthält keinen Zugriff auf Fotos oder Fotogalerien. Durch Auswahl von Fotobibliothek in der Intune-Einstellung Benutzern erlauben, Daten von ausgewählten Diensten zu öffnen können Sie verwalteten Konten gestatten, eingehende Daten aus der Fotobibliothek ihres Geräts in ihre verwalteten Apps zuzulassen.
Alle ausgewählten
Ausschneiden, Kopieren und Einfügen zwischen Apps einschränken Geben Sie an, wann Ausschneide-, Kopier- und Einfügeaktionen in dieser App erlaubt sind. Wählen Sie zwischen:
  • Blockiert: Keine Ausschneid-, Kopier- und Einfügeaktionen zwischen dieser App und anderen Apps zulassen.
  • Richtlinienverwaltete Apps: Ausschneide-, Kopier- und Einfügeaktionen nur zwischen dieser App und anderen richtlinienverwalteten Apps zulassen.
  • Richtlinienverwaltete Apps mit Einfügen: Ausschneiden oder Kopieren zwischen dieser App und anderen richtlinienverwalteten Apps zulassen. Einfügen von Daten aus beliebigen Apps in diese App zulassen.
  • Alle Apps: Keine Einschränkungen für das Ausschneiden, Kopieren und Einfügen in und aus dieser App.
Alle Apps
    Zeichenlimit für Ausschneiden und Kopieren für alle Apps
Legen Sie die Anzahl von Zeichen fest, die aus Unternehmensdaten und -konten ausgeschnitten oder kopiert werden können. Damit kann die festgelegte Zeichenanzahl unabhängig von der Einstellung Ausschneiden, Kopieren und Einfügen mit anderen Apps einschränken mit einer beliebigen Anwendung geteilt werden.

Standardwert = 0

Hinweis: Die App muss Version 9.0.14 oder höher des Intune SDK aufweisen.

0
Tastaturen von Drittanbietern Wählen Sie Blockieren aus, um die Verwendung von Tastaturen von Drittanbietern in verwalteten Apps zu verhindern.

Wenn diese Einstellung aktiviert ist, erhält der Benutzer eine einmalige Meldung, die angibt, das die Verwendung von Tastaturen von Drittanbietern gesperrt ist. Diese Meldung wird angezeigt, wenn der Benutzer zum ersten Mal mit Unternehmensdaten interagiert, bei denen die Verwendung einer Tastatur erforderlich ist. Bei der Verwendung verwalteter Anwendungen ist nur die Standardtastatur von iOS/iPadOS verfügbar, alle anderen Tastaturen sind deaktiviert. Diese Einstellung betrifft sowohl Organisationskonten als auch persönliche Konten für Anwendungen mit mehreren Identitäten. Diese Einstellung wirkt sich nicht auf die Verwendung von Tastaturen von Drittanbietern in nicht verwalteten Anwendungen aus.

Hinweis: Zur Verwendung dieses Features muss Version 12.0.16 oder höher des Intune SDK installiert sein. Für Apps mit SDK-Versionen von 8.0.14 bis einschließlich 12.0.15 gilt dieses Feature nicht ordnungsgemäß für Apps mit mehreren Identitäten. Weitere Informationen finden Sie unter Bekanntes Problem: Tastaturen von Drittanbietern werden in iOS/iPadOS für persönliche Konten nicht blockiert.

Zulassen

Hinweis

Für IntuneMAMUPN ist eine Appschutz-Richtlinie für verwaltete Geräte erforderlich. Dies gilt auch für alle Einstellungen, für die registrierte Geräte erforderlich sind.

Verschlüsselung

Setting Anleitung Standardwert
Organisationsdaten verschlüsseln Wählen Sie „Require“ (Erforderlich) aus, um die Verschlüsselung von Geschäfts-, Schul- oder Unidaten in dieser App zu aktivieren. Intune erzwingt die Verschlüsselung auf iOS-/iPadOS-Geräteebene, um App-Daten zu schützen, während das Gerät gesperrt ist. Zusätzlich können Anwendungen App-Daten optional mithilfe der Intune APP SDK-Verschlüsselung verschlüsseln. Das Intune App SDK verwendet iOS-/iPadOS-Kryptografiemethoden, um eine 256-Bit-AES-Verschlüsselung auf App-Daten anzuwenden.

Wenn Sie diese Einstellung aktivieren, muss der Benutzer eine Geräte-PIN einrichten und verwenden, um auf sein Gerät zuzugreifen. Wenn keine Geräte-PIN vorliegt und die Verschlüsselung erforderlich ist, wird der Benutzer mit der Meldung „Ihre Organisation hat festgelegt, dass Sie zuerst eine Geräte-PIN aktivieren müssen, um auf diese App zugreifen zu können“ aufgefordert, eine PIN einzurichten.

Besuchen Sie die offizielle Apple-Dokumentation , um mehr über ihre Datenschutzklassen im Rahmen der Apple Platform Security zu erfahren.
Erforderlich

Funktionalität

Setting Anleitung Standardwert
Per Richtlinie verwaltete App-Daten mit nativen Apps oder Add-Ins synchronisieren Wählen Sie Blockieren aus, um zu verhindern, dass richtlinienverwaltete Apps Daten in den nativen Apps des Geräts (Kontakte, Kalender und Widgets) speichern und die Verwendung von Add-Ins in den richtlinienverwalteten Apps verhindern. Wenn von der Anwendung nicht unterstützt wird, sind das Speichern von Daten in nativen Apps und die Verwendung von Add-Ins zulässig.

Wenn Sie „Zulassen“ auswählen, kann die von Richtlinien verwaltete App Daten in den nativen Apps speichern oder Add-Ins verwenden, wenn diese Features in der von Richtlinien verwalteten App unterstützt und aktiviert werden.

Anwendungen können zusätzliche Steuerelemente bereitstellen, um das Datensynchronisierungsverhalten für bestimmte native Apps anzupassen oder dieses Steuerelement nicht zu berücksichtigen.

Hinweis: Wenn Sie eine selektive Zurücksetzung durchführen, um Geschäfts-, Schul- oder Unidaten aus der App zu entfernen, werden Daten entfernt, die direkt aus der richtlinienverwalteten App mit der nativen App synchronisiert werden. Alle Daten, die von der nativen App mit einer anderen externen Quelle synchronisiert werden, werden nicht zurückgesetzt.

Hinweis: Die folgenden Apps unterstützen dieses Feature:
Zulassen
Organisationsdaten drucken Wählen Sie Blockieren aus, um zu verhindern, dass die App Geschäfts-, Schul- oder Unidaten druckt. Wenn Sie für diese Einstellung den Standardwert Zulassen übernehmen, können die Benutzer alle Organisationsdaten exportieren und drucken. Zulassen
Übertragung von Webinhalten mit anderen Apps einschränken Legen Sie fest, wie Webinhalte (HTTP-/HTTPS-Links) über mit Richtlinien verwaltete Anwendungen geöffnet werden. Wählen Sie zwischen:
  • Any App (Alle Apps): Weblinks in jeder beliebigen App zulassen
  • Intune Managed Browser: Webinhalte dürfen nur im Intune Managed Browser geöffnet werden. Dieser Browser ist ein durch Richtlinien verwalteter Browser.
  • Microsoft Edge: Webinhalte dürfen nur in Microsoft Edge geöffnet werden. Dieser Browser ist ein durch Richtlinien verwalteter Browser.
  • Nicht verwalteter Browser: Webinhalte dürfen nur in dem nicht verwalteten Browser geöffnet werden, der in der Einstellung Protokoll von nicht verwaltetem Browser definiert wurde. Der Webinhalt wird im Zielbrowser nicht verwaltet.
    Hinweis: Die App muss Version 11.0.9 oder höher des Intune SDK aufweisen.
Wenn Sie Intune zum Verwalten Ihrer Geräte verwenden, lesen Sie Verwalten des Internetzugriffs mittels Richtlinien für verwaltete Browser mit Microsoft Intune.

Wenn ein richtlinienverwalteter Browser erforderlich, aber nicht installiert ist, werden Ihre Endbenutzer aufgefordert, Microsoft Edge zu installieren.

Wenn ein richtlinienverwalteter Browser erforderlich ist, werden universelle iOS-/iPadOS-Links durch die Richtlinieneinstellung Organisationsdaten an andere Apps senden verwaltet.

Geräteregistrierung mit Intune
Wenn Sie Intune zum Verwalten Ihrer Geräte verwenden, erhalten Sie weitere Informationen unter „Verwalten des Internetzugriffs durch einen mittels Richtlinien geschützten Microsoft Intune-Browser“.

Microsoft Edge: mit Richtlinien verwaltet
Microsoft Edge für mobile Geräte (iOS/iPadOS und Android) unterstützt Intune-App-Schutzrichtlinien. Benutzer, die sich mit ihrem Unternehmens-Microsoft Entra-Konto in der Microsoft Edge-Browseranwendung anmelden, werden durch Intune geschützt. Microsoft Edge integriert das Intune SDK und unterstützt alle Datenschutzrichtlinien. Folgende Vorgänge werden jedoch verhindert:

  • Speichern unter: Der Microsoft Edge-Browser erlaubt es einem Benutzer nicht, direkte In-App-Verbindungen zu Cloudspeicheranbietern (z. B. OneDrive) hinzuzufügen.
  • Kontaktsynchronisierung: Der Microsoft Edge-Browser speichert nicht in nativen Kontaktlisten.

Hinweis: Das Intune SDK kann nicht ermitteln, ob es sich bei einer Ziel-App um einen Browser handelt. Auf iOS-/iPadOS-Geräten sind keine anderen verwalteten Browser-Apps zulässig.
Nicht konfiguriert
    Protokoll von nicht verwaltetem Browser
Geben Sie das Protokoll für einen einzelnen nicht verwalteten Browser ein. Webinhalte (HTTP/HTTPS-Links) aus richtlinienverwalteten Anwendungen werden in jeder App geöffnet, die dieses Protokoll unterstützt. Der Webinhalt wird im Zielbrowser nicht verwaltet.

Dieses Feature sollte nur verwendet werden, wenn Sie geschützte Inhalte für einen bestimmten Browser freigeben möchten, der nicht mit Intune App-Schutzrichtlinien aktiviert ist. Sie müssen beim Browseranbieter erfragen, welches Protokoll vom gewünschten Browser unterstützt wird.

Hinweis:Schließen Sie nur das Protokollpräfix ein. Wenn Ihr Browser Links der Art mybrowser://www.microsoft.com erfordert, geben Sie mybrowser an.
Links werden folgendermaßen übersetzt:
  • http://www.microsoft.com > mybrowser://www.microsoft.com
  • https://www.microsoft.com > mybrowsers://www.microsoft.com
Blank
Benachrichtigungen zu Organisationsdaten Geben Sie an, wie Organisationsdaten über Benachrichtigungen des Betriebssystems für Organisationskonten freigegeben werden. Diese Richtlinieneinstellung wirkt sich auf das lokale Gerät und alle verbundenen Geräte, wie Wearables und intelligente Lautsprecher, aus. In Apps werden möglicherweise zusätzliche Steuerelemente zum Anpassen des Benachrichtigungsverhaltens bereitgestellt, oder es werden nicht alle Werte berücksichtigt. Wählen Sie zwischen:
  • Blockiert: Geben Sie keine Benachrichtigungen weiter.
    • Wenn dies von der App nicht unterstützt wird, sind Benachrichtigungen zulässig.
  • Organisationsdaten blockieren: Geben Sie z. B. keine Organisationsdaten in Benachrichtigungen frei.
    • „Sie haben eine neue E-Mail“, „Sie haben ein Meeting“.
    • Wenn dies von der App nicht unterstützt wird, sind Benachrichtigungen zulässig.
  • Zulassen: Organisationsdaten werden in Benachrichtigungen geteilt.

Hinweis:
Diese Einstellung erfordert die folgende App-Unterstützung:

  • Outlook für iOS 4.34.0 oder höher
  • Teams für iOS 2.0.22 oder höher
  • Microsoft 365 (Office) für iOS 2.72 oder höher
Zulassen

Hinweis

Keine der Datenschutzeinstellungen steuert das von Apple verwaltete Feature „Öffnen in“ auf iOS-/iPadOS-Geräten. Informationen zum Verwalten der Apple-Funktion „Öffnen in“ finden Sie unter Verwalten der Datenübertragung zwischen iOS-/iPadOS-Apps in Microsoft Intune.

Datenübertragungsausnahmen

Die App-Schutzrichtlinie von Intune erlaubt unter bestimmten Umständen die Datenübertragung zu und von einigen ausgenommenen Apps und Plattformdiensten. Diese Liste unterliegt Änderungen und gibt die Dienste und Apps wieder, die als nützlich für eine sichere Produktivität gelten.

Nicht verwaltete Drittanbieter-Apps können zur Ausnahmeliste hinzugefügt werden, die Datenübertragungsausnahmen zulassen kann. Weitere Informationen und Beispiele finden Sie unter Erstellen von Ausnahmen für die Datenübertragungsrichtlinie des Intune-App-Schutzes. Die ausgenommene nicht verwaltete App muss basierend auf dem iOS-URL-Protokoll aufgerufen werden. Wenn z. B. die Datenübertragungsausnahme für eine nicht verwaltete App hinzugefügt wird, würde sie dennoch verhindern, dass Benutzer Ausschneide-, Kopier- und Einfügevorgänge durchführen, wenn eine Beschränkung durch eine Richtlinie besteht. Diese Art von Ausnahme würde auch weiterhin verhindern, dass Benutzer die Aktion Öffnen in einer verwalteten App verwenden, um Daten freizugeben oder zu speichern, da sie nicht auf dem iOS-URL-Protokoll basiert. Weitere Informationen zu Öffnen in finden Sie unter Verwenden des App-Schutzes mit iOS-Apps.

Name der App/des Diensts Beschreibung
skype Skype
app-settings Geräteeinstellungen
itms; itmss; itms-apps; itms-appss; itms-services App Store
calshow Nativer Kalender

Wichtig

Richtlinien für den Intune-App-Schutz, die vor dem 15. Juni 2020 erstellt wurden, enthalten die URL-Schemas tel und telprompt in den Standardausnahmen für die Datenübertragung. Diese URL-Schemas ermöglichen es verwalteten Apps, die Telefonfunktionalität zu initiieren. Die Richtlinieneinstellung Transfer telecommunication data to (Telekommunikationsdaten übertragen an) für den App-Schutz hat diese Funktionalität ersetzt. Administratoren sollten tel;telprompt; aus den Datenübertragungsausnahmen entfernen und sich auf die Richtlinieneinstellung für den App-Schutz verlassen, sofern die verwalteten Anwendungen, deren Telefonfunktionalität initiiert wird, das Intune SDK 12.7.0 oder höher enthalten.

Wichtig

In Intune SDK 14.5.0 oder höher (einschließlich sms- und mailto-URL-Schemata in den Datenübertragungsausnahmen) ist zudem die Freigabe von Organisationsdaten für die Ansichtscontroller „MFMessageCompose“ (für sms) und „MFMailCompose“ (für mailto) innerhalb von Anwendungen zulässig, die mit Richtlinien verwaltet werden.

Universelle Links ermöglichen dem Benutzer das direkte Starten einer Anwendung, die dem Link zugeordnet ist, anstelle eines geschützten Browsers, der durch die Einstellung Übertragung von Webinhalten mit anderen Apps einschränken angegeben wurde. Sie müssen sich an den Anwendungsentwickler wenden, um das richtige universelle Linkformat für die jeweilige Anwendung zu ermitteln.

Standardmäßige App-Cliplinks werden auch von einer Richtlinie für universelle Links verwaltet.

Durch Hinzufügen von universellen Links zu nicht verwalteten Apps können Sie die angegebene Anwendung starten. Um die App hinzuzufügen, müssen Sie den Link zur Ausnahmeliste hinzufügen.

Achtung

Die Zielanwendungen für diese universellen Links sind nicht verwaltet, und das Hinzufügen einer Ausnahme kann zu Datensicherheitslecks führen.

Die standardmäßigen Ausnahmen für universelle App-Links sind die folgenden:

Universeller App-Link Beschreibung
http://maps.apple.com; https://maps.apple.com Karten-App
http://facetime.apple.com; https://facetime.apple.com FaceTime-App

Wenn Sie die standardmäßigen Ausnahmen für universelle Links nicht zulassen möchten, können Sie diese löschen. Sie können auch universelle Links für Drittanbieter- oder Branchen-Apps hinzufügen. Die ausgenommenen universellen Links erlauben Platzhalter wie http://*.sharepoint-df.com/*.

Durch Hinzufügen von universellen Links zu verwalteten Apps können Sie die angegebene Anwendung sicher starten. Um die App hinzuzufügen, müssen Sie den universellen Link der App zur verwalteten Liste hinzufügen. Wenn die Zielanwendung Intune App-Schutzrichtlinie unterstützt, wird durch Auswählen des Links versucht, die App zu starten. Wenn die App nicht geöffnet werden kann, wird der Link im geschützten Browser geöffnet. Wenn die Zielanwendung das Intune SDK nicht integriert, wird durch Auswählen des Links der geschützte Browser gestartet.

Die standardmäßigen verwalteten universellen Links sind die folgenden:

Universeller Link für verwaltete Apps Beschreibung
http://*.onedrive.com/*; https://*.onedrive.com/*; Microsoft OneDrive-App
http://*.appsplatform.us/*; http://*.powerapps.cn/*; http://*.powerapps.com/*; http://*.powerapps.us/*; https://*.powerbi.com/*; https://app.powerbi.cn/*; https://app.powerbigov.us/*; https://app.powerbi.de/*; PowerApps
http://*.powerbi.com/*; http://app.powerbi.cn/*; http://app.powerbigov.us/*; http://app.powerbi.de/*; https://*.appsplatform.us/*; https://*.powerapps.cn/*; https://*.powerapps.com/*; https://*.powerapps.us/*; Power BI
http://*.service-now.com/*; https://*.service-now.com/*; ServiceNow
http://*.sharepoint.com/*; http://*.sharepoint-df.com/*; https://*.sharepoint.com/*; https://*.sharepoint-df.com/*; SharePoint
http://web.microsoftstream.com/video/*; http://msit.microsoftstream.com/video/*; https://web.microsoftstream.com/video/*; https://msit.microsoftstream.com/video/*; Stream
http://*teams.microsoft.com/l/*; http://*devspaces.skype.com/l/*; http://*teams.live.com/l/*; http://*collab.apps.mil/l/*; http://*teams.microsoft.us/l/*; http://*teams-fl.microsoft.com/l/*; https://*teams.microsoft.com/l/*; https://*devspaces.skype.com/l/*; https://*teams.live.com/l/*; https://*collab.apps.mil/l/*; https://*teams.microsoft.us/l/*; https://*teams-fl.microsoft.com/l/*; Teams
http://tasks.office.com/*; https://tasks.office.com/*; http://to-do.microsoft.com/sharing*; https://to-do.microsoft.com/sharing*; ToDo
http://*.yammer.com/*; https://*.yammer.com/*; Viva Engage
http://*.zoom.us/*; https://*.zoom.us/*; Zoom

Wenn Sie die standardmäßigen verwalteten universellen Links nicht zulassen möchten, können Sie diese löschen. Sie können auch universelle Links für Drittanbieter- oder Branchen-Apps hinzufügen.

Erforderliche Zugriffsberechtigungen

Setting Anleitung Standardwert
PIN für Zugriff Klicken Sie auf Require (Erforderlich), um für die Verwendung dieser App eine PIN anzufordern. Benutzer werden beim ersten Ausführen der App in einem Geschäfts-, Schul- oder Unikontext aufgefordert, diese PIN einzurichten. Die PIN wird entweder beim Online- oder beim Offlinearbeiten angewendet.

Sie können die PIN-Sicherheit mithilfe der Einstellungen im Abschnitt PIN for access (PIN für Zugriff) konfigurieren.

Anmerkung: Endbenutzer, die auf die App zugreifen dürfen, können die App-PIN zurücksetzen. Diese Einstellung ist in einigen Fällen auf iOS-Geräten möglicherweise nicht sichtbar. iOS-Geräte haben eine maximale Beschränkung von vier verfügbaren Tastenkombinationen. Um die Verknüpfung zum Zurücksetzen der APP-PIN anzuzeigen, muss der Endbenutzer möglicherweise über eine andere verwaltete App auf die Verknüpfung zugreifen.
Erforderlich
    PIN-Typ
Legen Sie fest, dass eine numerische PIN oder ein Passcode eingegeben werden muss, bevor Benutzer auf eine App zugreifen können, für die App-Schutzrichtlinien gelten. Numerische Anforderungen enthalten nur Zahlen, während ein Passcode mit mindestens einem Buchstaben oder mindestens einem Sonderzeichen definiert werden kann.

Hinweis:Zum Konfigurieren des Kennungstyps muss die App über Intune SDK-Version 7.1.12 oder höher verfügen. Der numerische Typ hat keine Intune SDK-Versionseinschränkung. Zu den zulässigen Sonderzeichen gehören Sonderzeichen und Symbole auf der englischsprachigen iOS/iPadOS-Tastatur.
Numeric
    Einfache PIN
Klicken Sie auf Zulassen, um Benutzern das Verwenden einfacher PIN-Sequenzen wie „1234“, „1111“, „abcd“ oder „aaaa“ zu erlauben. Klicken Sie auf Block (Blockieren), um zu verhindern, dass einfache Sequenzen verwendet werden. Einfache Sequenzen werden in gleitenden Fenstern mit drei Zeichen überprüft. Wenn Block konfiguriert ist, würde 1235 oder 1112 nicht als VOM Endbenutzer festgelegte PIN akzeptiert, aber 1122 wäre zulässig.

Hinweis:Wenn die Passcodetyp-PIN konfiguriert und "Einfache PIN zulassen" auf "Ja" festgelegt ist, muss der Benutzer in seiner PIN mindestens einen Buchstaben oder mindestens ein Sonderzeichen verwenden. Wenn die Passcodetyp-PIN konfiguriert und "Einfache PIN zulassen" auf "Nein" festgelegt ist, muss der Benutzer in seiner PIN mindestens eine Zahl und einen Buchstaben sowie mindestens 1 Sonderzeichen verwenden.
Zulassen
    Auswählen der PIN-Mindestlänge
Geben Sie die Mindestanzahl von Ziffern in einer PIN-Sequenz an. 4
    Touch ID anstelle von PIN für Zugriff (iOS 8 und höher)
Klicken Sie auf Zulassen, um Benutzern für den Zugriff auf die App das Verwenden von Touch ID anstelle einer PIN zu erlauben. Zulassen
      PIN setzt Touch ID nach Timeout außer Kraft
Klicken Sie auf Require (Erforderlich), und konfigurieren Sie ein Inaktivitätstimeout, um diese Einstellung zu verwenden. Erforderlich
        Timeout (Minuten der Inaktivität)
Geben Sie einen Zeitraum in Minuten an, nach dem entweder ein Passcode oder eine numerische PIN (wie konfiguriert) die Verwendung eines Fingerabdrucks oder Gesichts als Zugriffsmethode außer Kraft setzt. Dieser Timeoutwert sollte größer als der unter „Zugriffsanforderungen nach (Minuten der Inaktivität) erneut überprüfen“ angegebene Wert sein. 30
      Face ID anstelle von PIN für Zugriff (iOS 11 und höher)
Klicken Sie auf Zulassen, damit die Benutzer die Gesichtserkennungstechnologie zur Benutzerauthentifizierung auf iOS-/iPadOS-Geräten verwenden können. Wenn Sie diese Option zulassen, muss Face ID verwendet werden, damit auf einem mit Face ID kompatiblen Gerät auf die App zugegriffen werden kann. Zulassen
    Anzahl von Tagen für PIN-Zurücksetzung
Klicken Sie auf Yes (Ja), damit die Benutzer nach einem bestimmten Zeitraum die App-PIN ändern müssen.

Wenn Sie diese Einstellung auf Ja festlegen, können Sie die Anzahl der Tage festlegen, nach denen die PIN zurückgesetzt werden muss.
Nein
      Anzahl von Tagen
Konfigurieren Sie die Anzahl der Tage, nach denen die PIN zurückgesetzt werden muss. 90
    App-PIN, wenn Geräte-PIN festgelegt ist
Klicken Sie auf Deaktivieren, um die App-PIN zu deaktivieren, wenn eine Gerätesperre auf einem registrierten Gerät erkannt wird, auf dem das Unternehmensportal konfiguriert ist.

Hinweis:Erfordert, dass die App Intune SDK-Version 7.0.1 oder höher aufweist. Die IntuneMAMUPN-Einstellung muss für Anwendungen konfiguriert werden, um den Registrierungsstatus zu erkennen.

Auf iOS-/iPadOS-Geräten können Sie Benutzern erlauben, ihre Identität mithilfe von Touch ID oder Face ID statt einer PIN nachzuweisen. Intune verwendet die LocalAuthentication-API, um die Benutzer mithilfe von Touch ID und Face ID zu authentifizieren. Weitere Informationen zu Touch ID und Face ID finden Sie im iOS Security-Handbuch.

Wenn der Benutzer versucht, diese App mit seinem Geschäfts-, Schul- oder Unikonto zu nutzen, wird er aufgefordert, seine Identität per Fingerabdruck oder Gesichtserkennung anstatt durch Eingabe einer PIN nachzuweisen. Wenn diese Einstellung aktiviert ist, wird das Vorschaubild für den App-Schnellzugriff unscharf, wenn ein Geschäfts-, Schul- oder Unikonto verwendet wird. Wenn sich die biometrische Datenbank des Geräts ändert, fordert Intune den Benutzer zur Eingabe einer PIN auf, wenn der nächste Inaktivitätstimeoutwert erreicht wird. Änderungen an biometrischen Daten umfassen das Hinzufügen oder Entfernen eines Fingerabdrucks oder Gesichts zur Authentifizierung. Wenn der Intune Benutzer keine PIN festgelegt hat, wird er aufgefordert, eine Intune PIN einzurichten.
Enable
Anmeldeinformationen für Geschäfts-, Schul- oder Unikonto für Zugriff Klicken Sie auf Require (Erforderlich), um anzufordern, dass sich der Benutzer für den Zugriff auf die App mit seinem Geschäfts-, Schul- oder Unikonto anmeldet, anstatt eine PIN einzugeben. Wenn Sie Require (Erforderlich) festgelegt haben und eine PIN oder biometrische Eingabeaufforderungen aktiviert sind, werden die Unternehmensanmeldeinformationen und entweder die PIN oder die biometrischen Eingabeaufforderungen angezeigt. Nicht erforderlich
Recheck the access requirements after (minutes of inactivity) (Zugriffsanforderungen nach (Minuten der Inaktivität) prüfen) Konfigurieren Sie die Minuten der Inaktivität, bevor die App anfordert, dass der Benutzer die Zugriffsanforderungen erneut angibt.

Ein Administrator aktiviert z. B. pin und blockiert geräte mit Rootzugriff in der Richtlinie, ein Benutzer öffnet eine Intune verwaltete App, muss eine PIN eingeben und die App auf einem Gerät ohne Stammbasis verwenden. Wenn Sie diese Einstellung verwenden, muss der Benutzer für einen Zeitraum, der dem konfigurierten Wert entspricht, keine PIN eingeben oder einer anderen Überprüfung der Stammerkennung für eine Intune verwaltete App unterzogen werden.

Hinweis:Unter iOS/iPadOS wird die PIN für alle Intune verwalteten Apps desselben Herausgebers freigegeben. Der PIN-Timer für eine bestimmte PIN wird zurückgesetzt, sobald die App den Vordergrund auf dem Gerät verlässt. Der Benutzer muss für keine Intune verwaltete App, die seine PIN für die Dauer des in dieser Einstellung definierten Timeouts freigibt, eine PIN eingeben. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.
30

Hinweis

Weitere Informationen dazu, wie mehrere App-Schutzeinstellungen in Intune, die im Abschnitt „Zugriff“ für dieselbe Gruppe von Apps und Benutzern konfiguriert wurden, unter iOS/iPadOS funktionieren, finden Sie unter Häufig gestellte Fragen zu MAM und App-Schutz und Selektives Löschen von Daten in Intune über durch App-Schutzrichtlinien festgelegte bedingte Startaktionen.

Bedingter Start

Konfigurieren Sie die Einstellungen für einen bedingten Start, um die Sicherheitsanforderungen bei der Anmeldung für Ihre Zugriffsschutzrichtlinie festzulegen.

Standardmäßig werden mehrere Einstellungen mit vorkonfigurierten Werten und Aktionen bereitgestellt. Sie können einige davon löschen, z. B. Mindestversion für Betriebssystem. Außerdem können Sie zusätzliche Einstellungen in der Dropdownliste Auswählen auswählen.

Setting Anleitung
Maximale Betriebssystemversion Geben Sie zur Verwendung dieser App eine Höchstversion für das iOS-/iPadOS-Betriebssystem an.

Zu den Aktionen zählen:

  • Warnung: Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die iOS-/iPadOS-Version auf dem Gerät diese Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren: Der Zugriff des Benutzers wird blockiert, wenn die iOS-/iPadOS-Version auf dem Gerät diese Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.

Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Dieses Richtlinieneinstellungsformat unterstützt major.minor, major.minor.build oder major.minor.build.revision („Hauptversion.Nebenversion“, „Hauptversion.Nebenversion.Buildversion“ oder „Hauptversion.Nebenversion.Buildversion.Revisionsversion“).

Hinweis:Für die App muss Intune SDK-Version 14.4.0 oder höher verwendet werden.
Mindestversion für Betriebssystem Geben Sie zur Verwendung dieser App eine Mindestversion für das iOS-/iPadOS-Betriebssystem an.

Zu den Aktionen zählen:

  • Warnung: Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die iOS-/iPadOS-Version auf dem Gerät diese Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren: Der Zugriff des Benutzers wird blockiert, wenn die iOS-/iPadOS-Version auf dem Gerät diese Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Dieses Richtlinieneinstellungsformat unterstützt major.minor, major.minor.build oder major.minor.build.revision („Hauptversion.Nebenversion“, „Hauptversion.Nebenversion.Buildversion“ oder „Hauptversion.Nebenversion.Buildversion.Revisionsversion“).

Hinweis:Erfordert, dass die App Intune SDK-Version 7.0.1 oder höher aufweist.
Maximal zulässige PIN-Versuche Geben Sie die Anzahl der Versuche an, die der Benutzer zum erfolgreichen Eingeben seiner PIN hat, ehe die konfigurierte Aktion ausgeführt wird. Wenn der Benutzer es nicht schafft, seine PIN innerhalb der maximalen Anzahl der Versuche für die PIN-Eingabe einzugeben, muss er seine PIN zurücksetzen, nachdem er sich erfolgreich bei seinem Konto angemeldet und ggf. eine mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) durchgeführt hat. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.

Zu den Aktionen zählen:

  • PIN zurücksetzen: Der Benutzer muss die PIN zurücksetzen.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Standardwert = 5
Offline-Toleranzperiode Hierbei handelt es sich um die Anzahl an Minuten, während der von Richtlinien verwaltete Apps offline ausgeführt werden können. Geben Sie die Zeit (in Minuten) an, bevor die Zugriffsanforderungen der App erneut überprüft werden.

Zu den Aktionen zählen:

  • Zugriff blockieren (Minuten): Hierbei handelt es sich um die Anzahl der Minuten, während der von Richtlinien verwaltete Apps offline ausgeführt werden können. Geben Sie die Zeit (in Minuten) an, bevor die Zugriffsanforderungen der App erneut überprüft werden. Nach Ablauf des konfigurierten Zeitraums blockiert die App den Zugriff auf Geschäfts-, Schul- oder Unidaten, bis der Netzwerkzugriff verfügbar ist. Der Timer für die Offline-Toleranzperiode für das Blockieren des Datenzugriffs wird für jede App basierend auf dem letzten Einchecken beim Intune-Dienst einzeln berechnet. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.

    Standardwert = 1440 Minuten (24 Stunden)

    Anmerkung: Wenn sie den Timer für die Offline-Toleranzperiode für das Blockieren des Zugriffs kleiner als der Standardwert konfigurieren, kann dies zu häufigeren Benutzerunterbrechungen führen, wenn die Richtlinie aktualisiert wird. Die Auswahl eines Werts von weniger als 30 Minuten wird nicht empfohlen, da dies bei jedem Anwendungsstart oder -fortsetzen zu Benutzerunterbrechungen führen kann.

    Anmerkung: Das Beenden der Aktualisierung der Richtlinie für die Offline-Toleranzperiode, einschließlich des Schließens oder Anhaltens der Anwendung, führt beim nächsten Starten oder Fortsetzen der App zu einer Unterbrechung des Benutzers.

  • Daten löschen (Tage): Nach diesem Zeitraum (durch den Administrator definiert) im Offlinemodus muss der Benutzer für die App eine Verbindung mit dem Netzwerk herstellen und sich erneut authentifizieren. Wenn sich Benutzer erfolgreich authentifiziert haben, können sie weiterhin auf ihre Daten zugreifen, und das Offline-Intervall wird zurückgesetzt. Wenn sich der Benutzer nicht authentifizieren kann, führt die App eine selektive Zurücksetzung des Benutzerkontos und der -daten durch. Weitere Informationen darüber, welche Daten mit dem selektiven Zurücksetzen entfernt werden, finden Sie unter Löschen nur von Unternehmensdaten in einer in Intune verwalteten App. Der Timer für die Offlinetoleranzperiode für das Löschen von Daten wird individuell für jede App basierend auf der letzten Anmeldung beim Intune-Dienst berechnet. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl.

    Standardwert = 90 Tage
Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.
Geräte mit Jailbreak/entfernten Nutzungsbeschränkungen Für diese Einstellung gibt es keinen festzulegenden Wert.

Zu den Aktionen zählen:

  • Zugriff blockieren: Verhindert die Ausführung dieser App auf per Jailbreak oder Rootzugriff manipulierten Geräten. Der Benutzer kann diese App weiterhin für private Zwecke verwenden, muss jedoch für den Zugriff auf Geschäfts-, Schul- oder Unidaten ein anderes Gerät verwenden.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Deaktiviertes Konto Für diese Einstellung gibt es keinen festzulegenden Wert.

Zu den Aktionen zählen:

  • Zugriff blockieren: Wenn wir bestätigt haben, dass der Benutzer in Microsoft Entra ID deaktiviert wurde, blockiert die App den Zugriff auf Geschäfts-, Schul- oder Unidaten.
  • Daten zurücksetzen: Wenn wir bestätigt haben, dass der Benutzer in Microsoft Entra ID deaktiviert wurde, führt die App eine selektive Zurücksetzung des Kontos und der Daten des Benutzers durch.
Mindestversion für App Legen Sie einen Wert für die Mindestversion der Anwendung fest.

Zu den Aktionen zählen:

  • Warnung: Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die App-Version auf dem Gerät die Anforderung nicht erfüllt. Diese Benachrichtigung kann verworfen werden.
  • Zugriff blockieren: Der Zugriff durch den Benutzer wird blockiert, wenn die App-Version auf dem Gerät die Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Da Apps selbst häufig individuelle Versionsschemas aufweisen, erstellen Sie eine Richtlinie mit einer minimalen App-Version, die auf eine App abzielt (z. B. Outlook-Versionsrichtlinie).

Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.

Diese Richtlinieneinstellung unterstützt übereinstimmende iOS-App-Bundle-Versionsformate (Hauptversion.Nebenversion oder Hauptversion.Nebenversion.patch).

Hinweis:Erfordert, dass die App Intune SDK-Version 7.0.1 oder höher aufweist.

Sie können zusätzlich konfigurieren, wo Ihre Endbenutzer eine aktualisierte Version einer branchenspezifischen App (LOB, Line-of-Business) erhalten können. Endbenutzer sehen dies im bedingten Startdialogfeld App-Mindestversion, über das der Benutzer aufgefordert wird, auf eine Mindestversion der LOB-App zu aktualisieren. Unter iOS/iPadOS muss die App mit dem Intune SDK für iOS v. 10.0.7 oder höher integriert (oder mit dem Wrapping-Tool umschlossen werden). Um zu konfigurieren, wo ein Endbenutzer eine LOB-App aktualisieren soll, muss eine verwaltete App-Konfigurationsrichtlinie mit dem Schlüssel com.microsoft.intune.myappstore an diese gesendet werden. Der gesendete Wert definiert, aus welchem Store der Endbenutzer die App herunterladen wird. Wenn die App über das Unternehmensportal bereitgestellt wird, muss der Wert CompanyPortal sein. Für alle anderen Store müssen Sie eine vollständige URL eingeben.
Mindestversion für SDK Geben Sie einen Mindestwert für die Intune SDK-Version an.

Zu den Aktionen zählen:

  • Zugriff blockieren: Der Zugriff des Benutzers wird blockiert, wenn die Version des Intune-SDKs für App-Schutzrichtlinien der App die Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
  • Warnung : Dem Benutzer wird eine Benachrichtigung angezeigt, wenn die iOS/iPadOS SDK-Version für die App die SDK-Mindestanforderung nicht erfüllt. Der Benutzer wird angewiesen, auf die neueste Version der App zu aktualisieren. Diese Benachrichtigung kann verworfen werden.
Weitere Informationen zum Intune-SDK für App-Schutzrichtlinien finden Sie unter Übersicht über das Intune App SDK. Da Apps häufig verschiedene Versionen des Intune SDK aufweisen, erstellen Sie eine Richtlinie mit einer Mindestversion des Intune SDK für eine App (z. B. eine Versionsrichtlinie für die Intune SDK für Outlook).

Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt.
Gerätemodelle Geben Sie eine durch Semikolons getrennte Liste von Modellbezeichnern an. Bei diesen Werten wird die Groß-/Kleinschreibung nicht beachtet.

Zu den Aktionen zählen:

  • Angegebene zulassen (nicht Angegebene blockieren): Nur Geräte, die mit dem angegebenen Gerätemodell übereinstimmen, können die App verwenden. Alle anderen Gerätemodelle werden blockiert.
  • Angegebene zulassen (nicht Angegebene löschen): Das Benutzerkonto, das der Anwendung zugeordnet ist, wird vom Gerät gelöscht.
Weitere Informationen zur Verwendung dieser Einstellung finden Sie in der Auflistung bedingter Startaktionen.
Maximal zulässige Gerätebedrohungsstufe App-Schutzrichtlinien können die Vorteile des Intune-MTD-Connectors nutzen. Geben Sie eine maximale Bedrohungsstufe an, die für die Verwendung dieser App zulässig ist. Die Bedrohungen werden von der von Ihnen gewählten MTD-Anwendung (Mobile Threat Defense) des Anbieters auf dem Endbenutzergerät bestimmt. Geben Sie entweder Geschützt, Niedrig, Mittel oder Stark ein. Geschützt erfordert keine Bedrohungen auf dem Gerät und ist der restriktivste konfigurierbare Wert, während Stark im Wesentlichen eine aktive Verbindung zwischen Intune und MTD erfordert.

Zu den Aktionen zählen:

  • Zugriff blockieren: Der Benutzer wird für den Zugriff gesperrt, wenn die von der von Ihnen gewählten Mobile Threat Defense-App des Anbieters auf dem Benutzerendgerät festgelegte Bedrohungsstufe diese Anforderung nicht erfüllt.
  • Daten löschen: Das Benutzerkonto, das der Anwendung zugewiesen ist, wird vom Gerät gelöscht.
Hinweis:Erfordert, dass die App Intune SDK-Version 12.0.15 oder höher aufweist.

Weitere Informationen zu dieser Einstellung finden Sie unter Aktivieren von MTD auf nicht registrierten Geräten.
Primärer MTD-Dienst Wenn Sie mehrere Intune-MTD-Connectors konfiguriert haben, geben Sie die primäre MTD-Anbieter-App an, die auf dem Endbenutzergerät verwendet werden soll.

Zu den Werten gehören:

  • Microsoft Defender for Endpoint: Wenn der MTD-Connector konfiguriert ist, geben Sie an, Microsoft Defender for Endpoint Informationen zur Gerätebedrohungsstufe bereitstellt.
  • Mobile Threat Defense (nicht von Microsoft): Wenn der MTD-Connector konfiguriert ist, geben Sie an, dass das nicht von Microsoft stammende MTD informationen zur Bedrohungsstufe des Geräts bereitstellt.

Sie müssen die Einstellung "Max. zulässige Geräte-Bedrohungsstufe" konfigurieren, um diese Einstellung zu verwenden.

Für diese Einstellung gibt es keine Aktionen .

Arbeitsfreie Zeit Für diese Einstellung gibt es keinen festzulegenden Wert.

Zu den Aktionen zählen:

  • Zugriff blockieren : Der Zugriff des Benutzers wird blockiert, da sich das der Anwendung zugeordnete Benutzerkonto nicht in der Arbeitszeit befindet.
  • Warnung : Dem Benutzer wird eine Benachrichtigung angezeigt, wenn sich das der Anwendung zugeordnete Benutzerkonto außerhalb der Arbeitszeit befindet. Die Benachrichtigung kann verworfen werden.
Hinweis: Diese Einstellung darf nur konfiguriert werden, wenn der Mandant in die Arbeitszeit-API integriert wurde. Weitere Informationen zur Integration dieser Einstellung in die Arbeitszeit-API finden Sie unter Einschränken des Zugriffs auf Microsoft Teams, wenn Mitarbeiter außerhalb der Schicht arbeiten. Das Konfigurieren dieser Einstellung ohne Integration in die Arbeitszeit-API kann dazu führen, dass Konten aufgrund fehlender Arbeitszeit blockiert werden, status für das verwaltete Konto, das der Anwendung zugeordnet ist.

Die folgenden Apps unterstützen dieses Feature:

  • Teams für iOS v6.9.2 oder höher
  • Edge für iOS v126.2592.56 oder höher

Weitere Informationen