- Artikel
- 8Minuten Lesedauer
Eine Kernkomponente der Sicherheit auf Unternehmensebene ist das Verwalten und Schützen von Geräten. Unabhängig davon, ob Sie eine Zero Trust-Sicherheitsarchitektur erstellen, Ihre Umgebung vor Ransomware härten oder Schutzmaßnahmen zur Unterstützung von Remotemitarbeitern aufbauen, die Verwaltung von Geräten ist Bestandteil der Strategie.Obwohl Microsoft 365 mehrere Tools und Methoden zum Verwalten und Schützen von Geräten enthält, werden in diesem Leitfaden die Empfehlungen von Microsoft mithilfe von Microsoft Intune erläutert. Dies ist der richtige Leitfaden für Sie, wenn Sie:
- Planen, Geräte bei Intune über Azure AD Join (einschließlich Azure AD Hybrid Join) zu registrieren.
- Planen, Geräte manuell bei Intune zu registrieren.
- Erlauben Sie BYOD-Geräten mit Plänen, Schutz für Apps und Daten zu implementieren, und/oder registrieren Sie diese Geräte bei Intune.
Wenn Ihre Umgebung andererseits Pläne für die Co-Verwaltung einschließlich Microsoft Endpoint Configuration Manager enthält, lesen Sie die Co-Verwaltungsdokumentation, um den besten Weg für Ihre Organisation zu entwickeln. Wenn Ihre Umgebung Pläne für Windows 365 Cloud-PC enthält, lesen Sie die Windows 365 Enterprise-Dokumentation, um den besten Weg für Ihre Organisation zu entwickeln.
Schauen Sie sich dieses Video an, um einen Überblick über den Bereitstellungsprozess zu erhalten.
Warum Endpunkte verwalten?
Das moderne Unternehmen verfügt über eine unglaubliche Vielfalt von Endpunkten, die auf ihre Daten zugreifen. Dieses Setup erstellt eine riesige Angriffsfläche, und somit können Endpunkte leicht zum schwächsten Glied in Ihrer Zero Trust-Sicherheitsstrategie werden.
Vor allem aus der Notwendigkeit heraus, weil sich die Welt zu einem Remote- oder Hybridarbeitsmodell verlagerte, arbeiten Benutzer von überall und von jedem Gerät aus, mehr als je zuvor in der Geschichte. Angreifer passen ihre Taktiken schnell an, um diese Änderung auszunutzen. Viele Organisationen sehen sich bei der Bewältigung dieser neuen geschäftlichen Herausforderungen mit eingeschränkten Ressourcen konfrontiert. Nahezu über Nacht haben Unternehmen die digitale Transformation beschleunigt. Einfach ausgedrückt hat sich die Art und Weise geändert, wie Personen arbeiten – wir erwarten nicht mehr, nur im Büro und über unternehmenseigene Geräte auf die unzähligen Unternehmensressourcen zuzugreifen.
Das Gewinnen von Sichtbarkeit in die Endpunkte, die auf Ihre Unternehmensressourcen zugreifen, ist der erste Schritt in Ihrer Zero Trust-Gerätestrategie. In der Regel schützen Unternehmen PCs proaktiv vor Sicherheitsrisiken und Angriffen, während mobile Geräte häufig nicht überwacht werden und über keine Schutzmaßnahmen verfügen. Um sicherzustellen, dass Sie Ihre Daten nicht einem Risiko aussetzen, müssen wir jeden Endpunkt auf Risiken überwachen und präzise Zugriffssteuerungen verwenden, um die entsprechende Zugriffsebene basierend auf der Unternehmensrichtlinie bereitzustellen. Wenn beispielsweise für ein persönliches Gerät ein Jailbreak ausgeführt wurde, können Sie den Zugriff blockieren, um sicherzustellen, dass Unternehmensanwendungen nicht bekannten Sicherheitsrisiken ausgesetzt sind.
Diese Artikelreihe führt Sie durch einen empfohlenen Prozess zum Verwalten von Geräten, die auf Ihre Ressourcen zugreifen. Wenn Sie die empfohlenen Schritte befolgen, erreicht Ihr Unternehmen einen sehr ausgefeilten Schutz für Ihre Geräte und die Ressourcen, auf welche die Geräte zugreifen.
Implementieren der Schutzebenen auf und für Geräte
Der Schutz der Daten und Apps auf Geräten und der Geräte selbst ist ein mehrschichtiger Prozess. Es gibt einige Schutzmaßnahmen, die Sie auf nicht verwalteten Geräten ergreifen können. Nachdem Sie Geräte für die Verwaltung registriert haben, können Sie komplexere Kontrollen implementieren. Wenn der Bedrohungsschutz über Ihre Endpunkte hinweg bereitgestellt wird, erhalten Sie noch mehr Erkenntnisse und die Möglichkeit, einige Angriffe automatisch abzuwehren. Wenn sich Ihr Unternehmen die Mühe gemacht hat, vertrauliche Daten zu identifizieren, Klassifizierungen und Kennzeichnungen vorzunehmen und Microsoft Purview-Richtlinien zum Schutz vor Datenverlust zu konfigurieren, können Sie die Daten auf Ihren Endgeräten sogar noch detaillierter schützen.
Das folgende Diagramm veranschaulicht Bausteine, um einen Zero Trust-Sicherheitsstatus für Microsoft 365- und andere SaaS-Apps zu erreichen, die Sie in diese Umgebung einführen. Die Elemente, die sich auf Geräte beziehen, sind von 1 bis 7 nummeriert. Dies sind die Schutzebenen, die Geräteadministratoren mit anderen Administratoren koordinieren, um sie zu erreichen.
In dieser Abbildung:
Schritt | Beschreibung | Lizenzierungsanforderungen | |
---|---|---|---|
1 | Konfigurieren des Startpunkts – Richtlinien für Zero Trust-Identität und Gerätezugriff | Arbeiten Sie mit Ihrem Identitätsadministrator zusammen, um Appschutz-Richtlinien (App Protection Policies, APP) für den Datenschutz der Ebene 2 zu implementieren. Diese Richtlinien erfordern nicht, dass Sie Geräte verwalten. Sie konfigurieren die APP-Richtlinien in Intune. Ihr Identitätsadministrator konfiguriert eine Richtlinie für bedingten Zugriff, damit genehmigte Apps erforderlich sind. | E3, E5, F1, F3, F5 |
2 | Registrieren von Geräten bei Intune | Diese Aufgabe erfordert mehr Planung und Zeit für die Implementierung. Microsoft empfiehlt die Verwendung von Intune zum Registrieren von Geräten, da dieses Tool eine optimale Integration bietet. Je nach Plattform gibt es mehrere Optionen Geräte zu registrieren. Windows-Geräte können beispielsweise mit Azure AD Join oder mit Autopilot registriert werden. Sie müssen die Optionen für jede Plattform überprüfen und entscheiden, welche Registrierungsoption für Ihre Umgebung am besten geeignet ist. Weitere Informationen finden Sie unter Schritt 2. Registrieren von Geräten bei Intune. | E3, E5, F1, F3, F5 |
3 | Konfigurieren von Compliancerichtlinien | Sie sollten sicherstellen, dass Geräte, die auf Ihre Apps und Daten zugreifen, die Mindestanforderungen erfüllen, z. B. dass die entsprechenden Geräte mit Kennwort oder PIN geschützt sind und das Betriebssystem auf dem neuesten Stand ist. Compliancerichtlinien sind die Möglichkeit, die Anforderungen zu definieren, welche die Geräte erfüllen müssen. Der Schritt 3. Einrichten von Compliancerichtlinien unterstützt Sie beim Konfigurieren dieser Richtlinien. | E3, E5, F3, F5 |
4 | Konfigurieren von Unternehmensrichtlinien (empfohlen) für Zero Trust-Identität und Gerätezugriff | Nachdem Ihre Geräte registriert wurden, können Sie mit Ihrem Identitätsadministrator zusammenarbeiten, um Richtlinien für bedingten Zugriff zu optimieren, um fehlerfreie und konforme Geräte zu erfordern. | E3, E5, F3, F5 |
5 | Konfigurationsprofile bereitstellen | Im Gegensatz zu Compliancerichtlinien für Geräte, die ein Gerät basierend auf den von Ihnen konfigurierten Kriterien einfach als kompatibel oder nicht kennzeichnen, ändern Konfigurationsprofile tatsächlich die Konfiguration der Einstellungen auf einem Gerät. Sie können Konfigurationsrichtlinien verwenden, um Geräte vor Cyberbedrohungen zu schützen. Siehe Schritt 5. Bereitstellen von Konfigurationsprofilen. | E3, E5, F3, F5 |
6 | Überwachung des Geräterisikos und der Einhaltung von Sicherheitsbasislinien | In diesem Schritt verbinden Sie Intune mit Microsoft Defender für Endpunkt. Mit dieser Integration können Sie dann das Geräterisiko als Bedingung für den Zugriff überwachen. Geräte, die sich in einem riskanten Zustand befinden, werden blockiert. Sie können auch die Einhaltung von Sicherheitsbaselines überwachen. Siehe Schritt 6. Überwachen des Geräterisikos und der Compliance mit Sicherheitsbaselines. | E5, F5 |
7 | Implementieren der Verhinderung von Datenverlust (Data Loss Prevention, DLP) mit Information Protection-Funktionen | Wenn Ihre Organisation sich mit der Identifizierung vertraulicher Daten und der Bezeichnung von Dokumenten befasst hat, können Sie mit Ihrem Information Protection-Administrator zusammenarbeiten, um vertrauliche Informationen und Dokumente auf Ihren Geräten zu schützen. | E5- und F5-Compliance-Add-On |
Koordinieren der Endpunktverwaltung mit Richtlinien für Zero Trust-Identität und Gerätezugriff
Dieser Leitfaden ist eng mit den empfohlenen Richtlinien für Zero Trust-Identität und Gerätezugriff koordiniert. Sie arbeiten mit Ihrem Identitätsteam zusammen, um die mit Intune konfigurierten Schutzmaßnahmen in Richtlinien für bedingten Zugriff in Azure AD umzusetzen.
Hier ist eine Abbildung des empfohlenen Richtliniensatzes mit Popups pro Schritt für die Arbeit, die Sie in Intune/MEM ausführen, und die zugehörigen Richtlinien für bedingten Zugriff, die Sie in Azure AD koordinieren werden.
In dieser Abbildung:
- In Schritt 1 Appschutz-Richtlinien (App Protection Policies, APP) für Ebene 2 implementieren konfigurieren Sie die empfohlene Ebene an Datenschutz mit APP-Richtlinien. Anschließend arbeiten Sie mit Ihrem Identitätsteam zusammen, um die zugehörige Regel für bedingten Zugriff so zu konfigurieren, dass dieser Schutz erforderlich ist.
- In den Schritten 2, 3 und 4 registrieren Sie Geräte für die Verwaltung mit Intune, definieren Gerätekonformitätsrichtlinien und stimmen sich dann mit Ihrem Identitätsteam ab, um die zugehörige Regel für bedingten Zugriff so zu konfigurieren, dass nur der Zugriff auf kompatible Geräte zugelassen wird.
Registrierung von Geräten im Vergleich zum Onboarding von Geräten
Wenn Sie diese Anleitung befolgen, registrieren Sie Geräte mit Intune für die Verwaltung, und Sie binden Geräte für die folgenden Microsoft 365-Funktionen ein:
- Microsoft Defender für Endpunkt
- Microsoft Purview (zur Verhinderung von Datenverlusten an Endpunkten (DLP))
Die folgende Abbildung zeigt, wie dies mit Intune funktioniert.
In der Abbildung sehen Sie Folgendes:
- Registrieren von Geräten in der Verwaltung mit Intune.
- Verwenden Sie Intune, um Geräte in Defender für Endpunkt zu integrieren.
- Geräte, die in Defender für Endpoint integriert sind, sind auch für Microsoft Purview-Funktionen, einschließlich Endpoint DLP, integriert.
Beachten Sie, dass nur Intune Geräte verwaltet. Onboarding bezieht sich auf die Fähigkeit eines Geräts, Informationen mit einem bestimmten Dienst zu teilen. Die folgende Tabelle fasst die Unterschiede zwischen dem Registrieren von Geräten in der Verwaltung und dem Onboarding von Geräten für einen bestimmten Dienst zusammen.
Registrieren | Onboarding | |
---|---|---|
Beschreibung | Die Registrierung gilt für die Verwaltung von Geräten. Geräte werden für die Verwaltung mit Intune oder Configuration Manager registriert. | Beim Onboarding wird ein Gerät so konfiguriert, dass es mit einem bestimmten Satz von Funktionen in Microsoft 365 funktioniert. Derzeit gilt das Onboarding für Microsoft Defender für Endpunkt- und Microsoft-Compliance-Funktionen. Auf Windows-Geräten umfasst das Onboarding das Umschalten einer Einstellung in Windows Defender, die es Defender ermöglicht, eine Verbindung mit dem Onlinedienst herzustellen und Richtlinien zu akzeptieren, die für das Gerät gelten. |
Bereich | Diese Geräteverwaltungstools verwalten das gesamte Gerät, einschließlich der Konfiguration des Geräts, um bestimmte Ziele wie Sicherheit zu erfüllen. | Das Onboarding betrifft nur die zutreffenden Dienste. |
Empfohlene Methode | Azure Active Directory Join registriert Geräte automatisch bei Intune. | Intune ist die bevorzugte Methode für das Onboarding von Geräten in Windows Defender für Endpoint und somit für die Microsoft Purview-Funktionen. Beachten Sie, dass Geräte, die mit anderen Methoden in die Microsoft Purview-Funktionen integriert wurden, nicht automatisch für Defender für Endpoint angemeldet werden. |
Andere Methoden | Andere Registrierungsmethoden hängen von der Plattform des Geräts ab und davon, ob es Eigengerät ist oder von Ihrer Organisation verwaltet wird. | Weitere Methoden zum Onboarding von Geräten sind, in der empfohlenen Reihenfolge: |
Learning für Administratoren
Die folgenden Ressourcen helfen Administratoren dabei, Konzepte zur Verwendung von MDM und Intune zu erlernen.
Vereinfachen der Geräteverwaltung mit Microsoft Endpoint Manager Beschreibung: Erfahren Sie mehr über die moderne Verwaltung und den Microsoft Endpoint Manager und wie die Geschäftsverwaltungstools in Microsoft 365 die Verwaltung all Ihrer Geräte vereinfachen können.
Einrichten von Microsoft Intune Beschreibung: Microsoft Intune, das Teil von Microsoft Endpoint Manager ist, hilft Ihnen beim Schutz der Geräte, Apps und Daten, welche die Mitarbeiter in Ihrer Organisation verwenden, um produktiv zu sein. Nach Abschluss dieses Moduls werden Sie Microsoft Intune eingerichtet haben. Die Einrichtung umfasst das Überprüfen der unterstützten Konfigurationen, das Registrieren bei Intune, das Hinzufügen von Benutzern und Gruppen, das Zuweisen von Lizenzen zu Benutzern, das Erteilen von Administratorberechtigungen und das Festlegen der MDM-Autorität.
FAQs
Can Microsoft Intune see text messages? ›
Intune doesn't collect nor allow an Admin to see the following data: An end users' calling or web browsing history. Personal email. Text messages.
How do I force Windows Update through Intune? ›In the admin center, go to Devices > Windows > Quality updates for Windows 10 and later and select the policy that you want to manage.
Can Intune detect whether a device is jailbroken? ›Intune can't guarantee that each significant location change results in a jailbreak detection check, as the check depends on a device's network connection at the time.
What is retained on device1 after the wipe Intune? ›The Wipe action restores a device to its factory default settings. The user data is kept if you choose the Retain enrollment state and user account checkbox. Otherwise, all data, apps, and settings will be removed.
Can my boss see my messages? ›If you use a workplace messaging app, you can safely assume all chats are recorded in a log. Employers can remotely view your computer screen, and there are even apps that allow parties to track your keystrokes.
Can my employer see what I do on my personal phone? ›If you have a cell phone that your company issued, your employer may have the right to monitor those text messages. However, in general, the law does not allow an employer to monitor text conversations on an employee's personal cell phone.
How do I force a stuck Windows Update? ›- Go to Start – Settings – Updates & Security.
- Select Troubleshoot – Additional troubleshooters.
- Under Get up and running, click Windows Update – Run the troubleshooter.
- Restart your PC once the troubleshooting is completed.
- Install the new update after restarting.
- Free up some drive space so you can run updates. ...
- Restart to apply installed updates. ...
- Run Windows Update again. ...
- Disconnect external hardware. ...
- Update third-party drivers. ...
- Check Device Manager for errors. ...
- I received an error code while updating. ...
- My update got to 51-99% and won't complete installation.
- Select Start > Settings > Update & Security > Windows Update .
- Select either Pause updates for 7 days or Advanced options.
Your organization can't see your personal information when you enroll a device in Microsoft Intune. Enrolling your device makes certain information, such as device model and serial number, visible to IT administrators and support people with administrator access.
Can Intune track phone location? ›
Intune admins can't see phone call history, web surfing history, location information (except for iOS 9.3 and later devices when the device is in Lost Mode), email and text messages, contacts, passwords, calendar, and cameral roll.
Does Intune track user activity? ›Microsoft Azure portal for Intune provide you the information about user sign-in activities (includes usage of managed applications) and Audit Logs (information about users ,group management ,your managed applications and directory activities) through reporting.
Will Company Portal erase all data? ›Your personal data and settings aren't removed. Your company support can see the software installed on the device, including software you have personally installed. Set requirements on your device, like requiring you to have a device password or PIN to help protect company data.
What happens when you delete device from Intune? ›Your device is removed from Company Portal and the app is uninstalled from your device. You can't install apps from Company Portal. You lose access to work apps and data on your device. Changes to device settings (for example, disabling the camera or requiring a certain password length) are no longer required.
How often does a device check in with Intune? ›By default, Intune devices check in every 8 hours. If Last check in is more than 24 hours, there may be an issue with the device. A device that can't check in can't receive your policies from Intune.
How do you know if you are being monitored at work? ›- You're Secretly Planning to Quit & Your Boss Already Knows. ...
- You're Called Out for a Conversation You Thought Was Private. ...
- Your Boss Knows What You Did This Weekend Before You Tell Him. ...
- There's Some Suspicious Software on Your Devices.
Generally, employers are not allowed to listen to or record conversations of their employees without the consent of the parties involved. The Electronic Communications Privacy Act (ECPA) allows employers to listen in on business calls, but are not allowed to record or listen to private conversations.
Can my boss listen to me through my phone? ›Technically, employers are supposed to stop listening once they become aware that the phone call is personal. If there is a policy that there are no personal calls to be made during work hours, however, the employer can listen long enough to determine the purpose of the call.
Can your employer listen to you through your laptop microphone? ›Your employer does not have the right to “bug" your home, eavesdrop, or spy on you through a work computer or work phone. You have federal rights to privacy through the Electronic Communications Privacy Act (ECPA), and your work must legally ask for your consent to monitor your work calls or computer use while working.
Can my employer see me through the camera on my laptop? ›To monitor your home computer or a personal laptop, your employer has to obtain access. Access is required to install some kind of computer monitoring software. Remote desktop sessions do not grant any access without permission. Also your employer is not allowed to monitor your home computer without your consent.
How do employers track remote workers? ›
GPS tracking can also be used to monitor employees who work from home. While this may not be as common, some employers who allow employees to work from home may use GPS tracking to make sure employees are working from their homes and not somewhere else.
Is it okay to turn off PC while updating? ›Microsoft recommends that you don't turn off your computer during the installation phase to prevent damage. However, the updates might get stuck, leaving you no choice but to perform a hard shut down. To do so, long-press the power button for about ten seconds.
Why is my PC stuck on installing update? ›If you're certain the update has failed, the first troubleshooting step is to restart your computer. Restart it the usual way if at all possible: Click Start, followed by the Power icon and then Restart. If you've lost access to your Start menu, then press and hold the power button until the PC restarts.
Why is my laptop stuck on updating? ›Usually, a stuck update is the result of a software conflict or a preexisting issue that causes the screen to freeze and even the best Windows laptops can experience these issues from time to time.
How do I force a Windows 10 update manually? ›If you want to install the update now, select Start > Settings > Update & Security > Windows Update , and then select Check for updates. If updates are available, install them.
Why does Windows Update keep failing? ›There's a possibility that your system files were corrupted or deleted recently, which causes Windows Update to fail. Outdated drivers. Drivers are needed to handle components that don't natively come with Windows 10 compatibility such as graphic cards, network cards, and so on.
What would cause a Microsoft Window update to fail? ›A common cause of errors is inadequate drive space. If you need help freeing up drive space, see Tips to free up drive space on your PC. The steps in this guided walk-through should help with all Windows Update errors and other issues—you don't need to search for the specific error to solve it.
Can I skip a software update? ›Software updates can include security patches, bug fixes & even new features. You should not skip installing them, as they often include security features that can protect your system from attacks. By not installing updates, you're leaving your system vulnerable to attack.
Can my employer listen to me through my work computer? ›Is it legal to monitor remote employees in California? In California, employers can face criminal penalties for eavesdropping or recording their employees' private communications via telephone or email unless all parties to the communication consent to the monitoring (California Penal Code § 631).
Can work laptop be monitored at home? ›As a general rule, if you're using your employer's equipment while on your employer's network, your employer has the right to monitor everything you do, whether you're working remotely or in the workplace. Because your employer is providing the communications technology, they have the right to track your activities.
Can my employer track my activity if I am not connected to their VPN? ›
Whether it's on your company computer or your own device connected to a company network without a VPN, the employer can potentially see what websites you visit, when you visit them, and for how long. In some cases, tracking software may be installed on these devices to monitor more than you'd expect.
Can someone track my phone location without them knowing? ›You can track someone's location without them knowing by installing a spy app secretly on their target phone. These phone spying apps track almost all targeted phone activities like Calls, SMS messages, Google map's location, Web history, Social Media sites like Facebook, WhatsApp, Snapchat, Telegram, etc.
Can Intune block apps? ›Whatever the reason is, it might be a reason for companies to block the app on the end-users device which has access to corporate access. With Microsoft Intune (Endpoint Manager) we have the possibility to block such apps on iOS and Android.
How do I know if my boss is tracking my phone? ›You can go to Settings, General, Profiles and Device Management to see how they are monitoring the phone. For Android phones, Google allows organizations to "manage, secure, and monitor," activity, even if they're not on company-issued devices.
What can Intune company portal see on my phone? ›- Device owner.
- Device name.
- Device serial number.
- Device model, such as Google Pixel.
- Device manufacturer, such as Microsoft.
- Operating system and version, such as iOS 12.0.1.
- Device IMEI.
- App inventory and app names, such as Microsoft Word.
If you have a company-provided cell phone, your employer probably has the right to view your text messages, as well as other phone content and activities, such as your contacts and even what you do on social media.
What does Intune give access to? ›Intune allows you to see all devices enrolled and able to access company resources, giving you an inventory. Configure apps on user devices. For example, add and assign apps to users, configure app settings and automatically update apps on relevant devices. Track usage analytics for business use.
Can my company read my text messages on my Iphone? ›Your employer can see how many iMessages you sent or received, but they cannot open and view your messages remotely.