Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel werden die Einstellungen der App-Schutzrichtlinie für Android-Geräte beschrieben. Die beschriebenen Richtlinieneinstellungen können im Bereich Einstellungen im Portal für eine App-Schutzrichtlinie konfiguriert werden. Es gibt drei Kategorien von Richtlinieneinstellungen: Datenschutzeinstellungen, Zugriffsanforderungen und bedingter Start. In diesem Artikel bezieht sich der Begriff "richtlinienverwaltete Apps " auf Apps, die mit App-Schutzrichtlinien konfiguriert sind.
Wichtig
Das Intune-Unternehmensportal ist auf dem Gerät erforderlich, um App-Schutzrichtlinien für Android-Geräte zu erhalten.
Datenschutz
Datenübertragung
| Setting | Anleitung | Standardwert |
|---|---|---|
| Sichern von Organisationsdaten in Android Sicherungsdienste | Wählen Sie "Blockieren " aus, um zu verhindern, dass diese App Geschäfts-, Schul- oder Unidaten im Android-Sicherungsdienst sichert. Wählen Sie "Zulassen " aus, um dieser App das Sichern von Geschäfts-, Schul- oder Unidaten zu erlauben. |
Zulassen |
| Senden von Organisationsdaten an andere Apps | Geben Sie an, welche Apps Daten von dieser App empfangen können:
Es gibt einige ausgenommene Apps und Dienste, bei denen Intune standardmäßig die Datenübertragung zulassen kann. Darüber hinaus können Sie Ihre eigenen Ausnahmen erstellen, wenn Sie zulassen müssen, dass Daten an eine App übertragen werden, welche die Intune-App nicht unterstützt. Weitere Informationen finden Sie unter Ausnahmen für die Datenübertragung. Diese Richtlinie kann auch für Android-App-Links gelten. Hinweis Intune unterstützt derzeit das Android Instant Apps-Feature nicht. Intune blockiert jede Datenverbindung mit oder von der App. Weitere Informationen finden Sie unter Android Instant Apps in der Android Developer-Dokumentation. Wenn das Senden von Organisationsdaten an andere Apps für "Alle Apps" konfiguriert ist, können Textdaten weiterhin über die Betriebssystemfreigabe in die Zwischenablage übertragen werden. |
Alle Apps |
|
Diese Option ist dann verfügbar, wenn Sie die vorherige Option auf Richtlinienverwaltete Apps festgelegt haben. | |
|
Klicken Sie auf Block (Blockieren), um die Verwendung der Option „Speichern unter“ in dieser App zu deaktivieren. Klicken Sie auf Allow (Zulassen), wenn die Verwendung von Speichern unter zulässig sein soll. Wenn für diese Einstellung Block (Blockieren) festgelegt ist, können Sie die Einstellung Benutzer das Speichern von Kopien in den ausgewählten Diensten ermöglichen konfigurieren. Hinweis:
|
Zulassen |
|
Benutzer können in den ausgewählten Diensten speichern (OneDrive, SharePoint, Fotobibliothek, Box, iManage, Egnyte und lokaler Speicher). Alle anderen Dienste werden blockiert. | 0 ausgewählt |
|
Wenn ein Benutzer eine verlinkte Telefonnummer in einer App auswählt, wird normalerweise eine Dialer-App geöffnet, in der die Telefonnummer bereits ausgefüllt und zum Anruf bereit ist. Legen Sie für diese Einstellung fest, wie diese Art der Inhaltsübertragung behandelt werden soll, wenn sie von einer richtlinienverwalteten App initiiert wird:
|
Any dialer app (Jede Telefon-App) |
|
Wenn eine bestimmte Dialer-App ausgewählt wurde, müssen Sie die App-Paket-ID angeben. | Blank |
|
Wenn eine bestimmte Dialer-App ausgewählt wurde, müssen Sie den Namen der Dialer-App angeben. | Blank |
|
Wenn ein Benutzer eine Hyperlink-Telefonnummer für eine Messaging-App in einer App auswählt, wird eine Messaging-App geöffnet, mit der Telefonnummer bereits ausgefüllt und bereit, eine Nachricht zu senden. Legen Sie für diese Einstellung fest, wie diese Art der Inhaltsübertragung behandelt werden soll, wenn sie von einer richtlinienverwalteten App initiiert wird:
|
Beliebige Messaging-App |
|
Wenn eine bestimmte Messaging-App ausgewählt wurde, müssen Sie die App-Paket-ID angeben. | Blank |
|
Wenn eine bestimmte Nachrichten-App ausgewählt wurde, müssen Sie den Namen der Nachrichten-App angeben. | Blank |
| Daten von anderen Apps empfangen | Geben Sie an, welche Apps Daten an diese App übertragen können:
Es gibt einige ausgenommene Apps und Dienste, von denen Intune die Datenübertragung zulassen kann. Eine vollständige Liste der Apps und Dienste finden Sie unter Ausnahmen für die Datenübertragung. |
Alle Apps |
|
Wählen Sie Blockieren aus, um die Verwendung der Option Öffnen oder anderer Optionen zum Teilen von Daten zwischen Konten in dieser App zu deaktivieren. Klicken Sie auf Zulassen, wenn die Verwendung von Öffnen zulässig sein soll. Wenn diese Option auf Blockieren festgelegt ist, können Sie die Option Benutzern das Öffnen von Daten aus ausgewählten Diensten erlauben konfigurieren, um anzugeben, welche Dienste für Organisationsdatenspeicherorte zulässig sind. Hinweis:
|
Zulassen |
|
Wählen Sie Anwendungsspeicherdienste aus, aus denen Benutzer Daten öffnen können. Alle anderen Dienste werden blockiert. Wenn Sie "Keine Dienste" auswählen, können Benutzer keine Daten öffnen. Unterstützte Dienste:
|
Alle ausgewählten |
| Ausschneiden, Kopieren und Einfügen zwischen Apps einschränken | Geben Sie an, wann Ausschneide-, Kopier- und Einfügeaktionen in dieser App erlaubt sind. Wählen Sie zwischen:
|
Alle Apps |
|
Geben Sie die Anzahl der Zeichen an, die aus Organisationsdaten und Konten ausgeschnitten oder kopiert werden können. Dadurch wird die Freigabe der angegebenen Anzahl von Zeichen für jede App (auch für nicht verwaltete Apps) ermöglicht, wenn dies andernfalls durch die Einstellung "Ausschneiden, Kopieren und Einfügen mit anderen Apps einschränken" blockiert würde. Standardwert = 0 Hinweis: Erfordert Intune-Unternehmensportal Version 5.0.4364.0 oder höher. |
0 |
| Bildschirmaufnahme und Google Assistant | Wählen Sie "Blockieren " aus, um die Bildschirmaufnahme zu blockieren, "Kreis zum Suchen" blockieren und den Zugriff von Google Assistant auf Organisationsdaten auf dem Gerät zu blockieren, wenn Sie diese App verwenden. Wenn Sie "Block" auswählen, wird auch das Vorschaubild des App-Wechsels unscharf, wenn Sie diese App mit einem Geschäfts-, Schul- oder Unikonto verwenden. Hinweis: Google Assistant kann für Benutzer für Szenarien, die nicht auf Organisationsdaten zugreifen, zugänglich sein. |
Zulassen |
| Zugelassene Tastaturen | Wählen Sie "Erforderlich " aus, und geben Sie dann eine Liste der für diese Richtlinie zugelassenen Tastaturen an. Benutzer, die keine genehmigte Tastatur verwenden, erhalten eine Aufforderung, eine genehmigte Tastatur herunterzuladen und zu installieren, bevor sie die geschützte App verwenden können. Für diese Einstellung benötigt die App das Intune SDK für Android, Version 6.2.0 oder höher. |
Nicht erforderlich |
|
Diese Option ist verfügbar, wenn Sie für die vorherige Option "Erforderlich " auswählen. Wählen Sie "Auswählen " aus, um die Liste der Tastaturen und Eingabemethoden zu verwalten, die mit Apps verwendet werden können, die durch diese Richtlinie geschützt sind. Sie können der Liste weitere Tastaturen hinzufügen und alle Standardoptionen entfernen. Sie benötigen mindestens eine genehmigte Tastatur, um die Einstellung speichern zu können. Im Laufe der Zeit wird Microsoft möglicherweise weitere Tastaturen zur Liste für neue App-Schutzrichtlinien hinzufügen, was erfordert, dass Administratoren vorhandene Richtlinien überprüfen und bei Bedarf aktualisieren. Um eine Tastatur hinzuzufügen, geben Sie Folgendes an:
Hinweis: Ein Benutzer, dem mehrere App-Schutzrichtlinien zugewiesen sind, darf nur die genehmigten Tastaturen verwenden, die allen Richtlinien gemeinsam sind. |
Verschlüsselung
| Setting | Anleitung | Standardwert |
|---|---|---|
| Organisationsdaten verschlüsseln | Wählen Sie "Erforderlich" aus, um die Verschlüsselung von Geschäfts-, Schul- oder Unidaten in dieser App zu aktivieren. Intune verwendet ein wolfSSL-256-Bit-AES-Verschlüsselungsschema zusammen mit dem Android Keystore-System, um App-Daten sicher zu verschlüsseln. Die Daten werden während Datei-E/A-Aufgaben synchron verschlüsselt. Inhalte im Gerätespeicher sind immer verschlüsselt und können nur von Apps geöffnet werden, die die App-Schutzrichtlinien von Intune unterstützen und denen eine Richtlinie zugewiesen wurde. Neue Dateien werden mit 256-Bit-Schlüsseln verschlüsselt. Vorhandene 128-Bit-verschlüsselte Dateien werden einem Migrationsversuch auf 256-Bit-Schlüssel unterzogen, der Vorgang ist jedoch nicht garantiert. Mit 128-Bit-Schlüsseln verschlüsselte Files bleiben lesbar. Die Verschlüsselungsmethode ist FIPS 140-2-validiert. Weitere Informationen finden Sie unter wolfCrypt FIPS 140-2 und FIPS 140-3. |
Erforderlich |
|
Wählen Sie "Anfordern" aus, um die Verschlüsselung von Organisationsdaten mit der Intune-App-Layer-Verschlüsselung auf allen Geräten zu erzwingen. Wählen Sie "Nicht erforderlich" aus, um die Verschlüsselung von Organisationsdaten mit der Intune-App-Layer-Verschlüsselung auf registrierten Geräten nicht zu erzwingen. | Erforderlich |
Funktionalität
| Setting | Anleitung | Standardwert |
|---|---|---|
| Per Richtlinie verwaltete App-Daten mit nativen Apps oder Add-Ins synchronisieren | Wählen Sie "Blockieren" aus, um zu verhindern, dass richtlinienverwaltete Apps Daten in den nativen Apps des Geräts (Kontakte, Kalender und Widgets) speichern, und um die Verwendung von Add-Ins innerhalb der richtlinienverwalteten Apps zu verhindern. Wenn dies von der Anwendung nicht unterstützt wird, ist das Speichern von Daten in nativen Apps und die Verwendung von Add-Ins zulässig. Wenn Sie „Zulassen“ auswählen, kann die von Richtlinien verwaltete App Daten in den nativen Apps speichern oder Add-Ins verwenden, wenn diese Features in der von Richtlinien verwalteten App unterstützt und aktiviert werden. Anwendungen können zusätzliche Steuerelemente bereitstellen, um das Datensynchronisierungsverhalten an bestimmte native Apps anzupassen, oder diese Kontrolle nicht berücksichtigen. Hinweis: Wenn Sie eine selektive Zurücksetzung durchführen, um Geschäfts-, Schul- oder Unidaten aus der App zu entfernen, werden Daten entfernt, die direkt von der richtlinienverwalteten App mit der nativen App synchronisiert wurden. Daten, die von der nativen App mit einer anderen externen Quelle synchronisiert werden, werden nicht gelöscht. Hinweis: Die folgenden Apps unterstützen dieses Feature:
|
Zulassen |
| Organisationsdaten drucken | Wählen Sie "Block " aus, um zu verhindern, dass die App Geschäfts-, Schul- oder Unidaten druckt. Wenn Sie diese Einstellung auf Zulassen, den Standardwert, festlegen, können Benutzer alle Organisationsdaten exportieren und drucken. | Zulassen |
| Übertragung von Webinhalten mit anderen Apps einschränken | Legen Sie fest, wie Webinhalte (HTTP-/HTTPS-Links) über mit Richtlinien verwaltete Anwendungen geöffnet werden. Wählen Sie zwischen:
Android-App-Links werden über die Richtlinieneinstellung "App das Übertragen von Daten an andere Apps erlauben" verwaltet.
Geräteregistrierung mit Intune
Microsoft Edge: mit Richtlinien verwaltet |
Nicht konfiguriert |
|
Geben Sie die Anwendungs-ID für einen einzelnen Browser ein. Webinhalte (HTTP/HTTPS-Links) von richtlinienverwalteten Anwendungen werden im angegebenen Browser geöffnet. Der Webinhalt wird im Zielbrowser nicht verwaltet. | Blank |
|
Geben Sie den Anwendungsnamen für den Browser ein, der der nicht verwalteten Browser-ID zugeordnet ist. Dieser Name wird Benutzern angezeigt, wenn der angegebene Browser nicht installiert ist. | Blank |
| Benachrichtigungen zu Organisationsdaten | Geben Sie an, wie viele Organisationsdaten über Betriebssystembenachrichtigungen für Organisationskonten freigegeben werden. Diese Richtlinieneinstellung wirkt sich auf das lokale Gerät und alle verbundenen Geräte aus, z. B. Wearables und Smart Speaker. Apps können zusätzliche Steuerelemente zum Anpassen des Benachrichtigungsverhaltens bereitstellen oder nicht alle Werte berücksichtigen. Wählen Sie zwischen:
Hinweis: Für diese Einstellung ist App-Unterstützung erforderlich:
|
Zulassen |
Datenübertragungsausnahmen
Es gibt einige ausgenommene Apps und Plattformdienste, für die Intune-App-Schutzrichtlinien die Datenübertragung erlauben. Beispielsweise müssen alle von Intune verwalteten Apps unter Android Daten zu und von Google Text-to-Speech übertragen können, damit Text vom Bildschirm Ihres Mobilgeräts laut vorgelesen werden kann. Diese Liste unterliegt Änderungen und gibt die Dienste und Apps wieder, die als nützlich für eine sichere Produktivität gelten.
Vollständige Ausnahmen
Diese Apps und Dienste sind für die Datenübertragung zu und von Intune-verwalteten Apps vollständig zugelassen.
| Name der App/des Diensts | Beschreibung |
|---|---|
| com.android.phone | Native Telefon-App |
| com.android.vending | Google Play Store |
| com.google.android.webview | WebView, die für viele Apps, einschließlich Outlook, erforderlich ist. |
| com.android.webview | Webview, die für viele Apps einschließlich Outlook erforderlich ist. |
| com.google.android.tts | Google Text-to-speech |
| com.android.providers.settings | Android-Systemeinstellungen |
| com.android.settings | Android-Systemeinstellungen |
| com.azure.authenticator | Azure Authenticator-App, die für eine erfolgreiche Authentifizierung in vielen Szenarien erforderlich ist. |
| com.microsoft.windowsintune.companyportal | Intune-Unternehmensportal |
| com.android.providers.contacts | Native Kontakte-App |
| com.samsung.android.providers.contacts | Samsung Kontaktanbieter. Zugelassen für Samsung-Geräte. |
| com.android.providers.blockednumber | Anbieter von Android-Blocknummern. Zugelassen für Android-Geräte. |
Bedingte Ausnahmen
Diese Apps und Dienste dürfen nur unter bestimmten Bedingungen Daten an von und aus von Intune verwalteten Apps übertragen.
| Name der App/des Diensts | Beschreibung | Ausnahmebedingung |
|---|---|---|
| com.android.chrome | Google Chrome-Browser | Chrome wird für einige WebView-Komponenten unter Android 7.0+ verwendet und ist nie ausgeblendet. Der Datenfluss zur und von der App ist jedoch immer eingeschränkt. |
| com.skype.raider | Skype | Die Skype-App ist nur für bestimmte Aktionen zulässig, die zu einem Telefonanruf führen. |
| com.android.providers.media | Anbieter von Android-Medieninhalten | Der Anbieter von Medieninhalten ist nur für die Klingeltonauswahlaktion zulässig. |
| com.google.android.gms; com.google.android.gsf | Google Play Services-Pakete | Diese Pakete sind für Google Cloud Messaging-Aktionen zulässig, z. B. Pushbenachrichtigungen. |
| com.google.android.apps.maps | Google Maps | Adressen sind für die Navigation zulässig. |
| com.android.documentsui | Android-Dokumentauswahl | Zulässig beim Öffnen oder Erstellen einer Datei. |
| com.google.android.documentsui | Android-Dokumentauswahl (Android 10+) | Zulässig beim Öffnen oder Erstellen einer Datei. |
Weitere Informationen finden Sie unter Ausnahmen für Datenübertragungsrichtlinien für Apps.
Erforderliche Zugriffsberechtigungen
| Setting | Anleitung |
|---|---|
| PIN für Zugriff | Klicken Sie auf Require (Erforderlich), um für die Verwendung dieser App eine PIN anzufordern. Benutzer werden beim ersten Ausführen der App in einem Geschäfts-, Schul- oder Unikontext aufgefordert, diese PIN einzurichten. Standardwert = Erforderlich Sie können die PIN-Sicherheit mithilfe der Einstellungen im Abschnitt PIN for access (PIN für Zugriff) konfigurieren. Hinweis: Endbenutzer, die auf die App zugreifen dürfen, können die App-PIN zurücksetzen. Diese Einstellung ist auf Android-Geräten möglicherweise in einigen Fällen nicht sichtbar. Für Android-Geräte ist eine maximale Beschränkung von vier Tastenkombinationen verfügbar. Wenn das Maximum erreicht wurde, muss der Endbenutzer alle personalisierten Verknüpfungen entfernen (oder über eine andere verwaltete App-Ansicht auf die Verknüpfung zugreifen), um die APP-PIN-Zurücksetzung anzuzeigen. Alternativ kann der Endbenutzer die Verknüpfung an seine Startseite anheften. |
PIN-Typ |
Legen Sie fest, dass eine numerische PIN oder ein Passcode eingegeben werden muss, bevor Benutzer auf eine App zugreifen können, für die App-Schutzrichtlinien gelten. Numerische Anforderungen enthalten nur Zahlen, während ein Passcode mit mindestens einem Buchstaben oder mindestens einem Sonderzeichen definiert werden kann. Standardwert = Numerisch Hinweis: Zulässige Sonderzeichen sind die Sonderzeichen und Symbole auf der englischen Android-Tastatur. |
|
Wählen Sie "Zulassen " aus, um Benutzern die Verwendung einfacher PIN-Sequenzen wie 1234, 1111, abcd oder aaaa zu ermöglichen. Klicken Sie auf Block (Blockieren), um zu verhindern, dass einfache Sequenzen verwendet werden. Einfache Sequenzen werden in gleitenden Fenstern mit drei Zeichen überprüft. Wenn Block konfiguriert ist, würde 1235 oder 1112 vom Endbenutzer nicht als PIN akzeptiert, aber 1122 wäre zulässig. Standardwert = Zulassen Hinweis: Wenn die PIN vom Typ Passcode konfiguriert und die einfache PIN auf Zulassen festgelegt ist, benötigt der Benutzer mindestens einen Buchstaben oder mindestens ein Sonderzeichen in seiner PIN. Wenn die PIN vom Typ "Kenncode" konfiguriert und die einfache PIN auf "Blockieren" festgelegt ist, benötigt der Benutzer mindestens eine Zahl, einen Buchstaben und mindestens ein Sonderzeichen in seiner PIN. |
|
Geben Sie die Mindestanzahl von Ziffern in einer PIN-Sequenz an. Standardwert = 4 |
|
Wählen Sie "Zulassen " aus, um dem Benutzer die Verwendung biometrischer Daten zur Authentifizierung auf Android-Geräten zu erlauben. Wenn dies zulässig ist, werden biometrische Daten für den Zugriff auf die App auf Geräten mit Android 10 oder höher verwendet. |
|
Klicken Sie auf Require (Erforderlich), und konfigurieren Sie ein Inaktivitätstimeout, um diese Einstellung zu verwenden. Standardwert = Erforderlich |
|
Geben Sie eine Zeit in Minuten an, nach der entweder ein Passcode oder eine numerische PIN (wie konfiguriert) die Verwendung einer biometrischen Angabe außer Kraft setzt. Dieser Timeoutwert sollte größer sein als der unter "Zugriffsanforderungen erneut überprüfen nach (Minuten der Inaktivität)" angegebene Wert. Standardwert = 30 |
|
Wählen Sie "Anfordern " aus, damit sich der Benutzer mit Biometrie der Klasse 3 anmelden muss. Weitere Informationen zu Biometrie der Klasse 3 finden Sie unter Biometrie in der Google-Dokumentation. |
|
Wählen Sie "Anfordern " aus, um die Verwendung biometrischer Daten mit PIN außer Kraft zu setzen, wenn eine Änderung der biometrischen Daten erkannt wird.
HINWEIS: |
|
Klicken Sie auf Yes (Ja), damit die Benutzer nach einem bestimmten Zeitraum die App-PIN ändern müssen. Wenn Sie diese Einstellung auf Ja festlegen, können Sie die Anzahl der Tage festlegen, nach denen die PIN zurückgesetzt werden muss. Standardwert = Nein |
|
Konfigurieren Sie die Anzahl der Tage, nach denen die PIN zurückgesetzt werden muss. Standardwert = 90 |
|
Diese Einstellung gibt die Anzahl der vorherigen PINs an, die Intune verwaltet. Alle neuen PINs müssen sich von denen unterscheiden, die Intune verwaltet. Standardwert = 0 |
|
Wählen Sie "Nicht erforderlich" aus, um die App-PIN zu deaktivieren, wenn eine Gerätesperre auf einem registrierten Gerät erkannt wird, für das das Unternehmensportal konfiguriert ist. Standardwert = Required. |
| Anmeldeinformationen für Geschäfts-, Schul- oder Unikonto für Zugriff | Wählen Sie "Anfordern " aus, damit sich der Benutzer mit seinem Geschäfts-, Schul- oder Unikonto anmelden muss, anstatt eine PIN für den App-Zugriff einzugeben. Wenn diese Option auf "Erforderlich" festgelegt ist und PIN- oder biometrische Eingabeaufforderungen aktiviert sind, werden sowohl Unternehmensanmeldeinformationen als auch die PIN- oder biometrischen Eingabeaufforderungen angezeigt. Standardwert = Nicht erforderlich |
| Recheck the access requirements after (minutes of inactivity) (Zugriffsanforderungen nach (Minuten der Inaktivität) prüfen) | Konfigurieren Sie die folgende Einstellung:
|
Hinweis
Weitere Informationen darüber, wie mehrere Intune-App-Schutzeinstellungen, die im Abschnitt Zugriff auf denselben Satz von Apps und Benutzern konfiguriert sind, unter Android funktionieren, finden Sie unter Häufig gestellte Fragen zu Intune MAM und Selektives Löschen von Daten mithilfe von App-Schutzrichtlinienzugriffsaktionen in Intune.
Bedingter Start
Konfigurieren Sie Einstellungen für bedingten Start, um die Sicherheitsanforderungen für die Anmeldung für Ihre App-Schutzrichtlinie festzulegen.
Standardmäßig werden mehrere Einstellungen mit vorkonfigurierten Werten und Aktionen bereitgestellt. Sie können einige Einstellungen löschen, z. B. die Mindestversion des Betriebssystems. Sie können auch weitere Einstellungen aus der Dropdownliste "Eine auswählen " auswählen.
App-Bedingungen
| Setting | Anleitung |
|---|---|
| Maximal zulässige PIN-Versuche | Geben Sie die Anzahl der Versuche an, die der Benutzer zum erfolgreichen Eingeben seiner PIN hat, ehe die konfigurierte Aktion ausgeführt wird. Wenn der Benutzer seine PIN nach der maximalen Anzahl von PIN-Versuchen nicht erfolgreich eingeben kann, muss der Benutzer seine PIN zurücksetzen, nachdem er sich erfolgreich bei seinem Konto angemeldet und bei Bedarf eine Multi-Faktor-Authentifizierung (MFA) abgeschlossen hat. Dieses Richtlinieneinstellungsformat unterstützt eine positive ganze Zahl. Zu den Aktionen zählen:
|
| Offline-Toleranzperiode | Die Anzahl der Minuten, die verwaltete Apps offline ausgeführt werden können. Geben Sie die Zeit (in Minuten) an, bevor die Zugriffsanforderungen der App erneut überprüft werden. Zu den Aktionen zählen:
Hinweis: Der Offline-Kulanzzeit-Timer beginnt, wenn die App aktiv ist und erkennt, dass sie offline ist. |
| Mindestversion für App | Legen Sie einen Wert für die Mindestversion der Anwendung fest. Zu den Aktionen zählen:
Dieser Eintrag kann mehrfach vorkommen, wobei jede Instanz eine andere Aktion unterstützt. Dieses Richtlinieneinstellungsformat unterstützt major.minor, major.minor.build oder major.minor.build.revision („Hauptversion.Nebenversion“, „Hauptversion.Nebenversion.Buildversion“ oder „Hauptversion.Nebenversion.Buildversion.Revisionsversion“). Außerdem können Sie konfigurieren, wo Ihre Endbenutzer eine aktualisierte Version einer Branchen-App abrufen können. Endbenutzer sehen dies im Dialogfeld " App-Min.-Version , bedingter Start", in dem Endbenutzer aufgefordert werden, auf eine Mindestversion der Branchen-App zu aktualisieren. Unter Android verwendet dieses Feature das Unternehmensportal. Um zu konfigurieren, wo ein Endbenutzer eine LOB-App aktualisieren soll, muss eine verwaltete App-Konfigurationsrichtlinie mit dem Schlüssel com.microsoft.intune.myappstore an diese gesendet werden. Der gesendete Wert definiert, aus welchem Store der Endbenutzer die App herunterlädt. Wenn die App über das Unternehmensportal bereitgestellt wird, muss der Wert CompanyPortal sein. Für alle anderen Store müssen Sie eine vollständige URL eingeben. |
| Deaktiviertes Konto | Für diese Einstellung gibt es keinen Wert, der festgelegt werden kann. Zu den Aktionen zählen:
|
| Arbeitsfreie Zeit | Für diese Einstellung gibt es keinen Wert, der festgelegt werden kann. Zu den Aktionen zählen:
Die folgenden Apps unterstützen diese Funktion mit dem Unternehmensportal v5.0.5849.0 oder höher:
|
Gerätebedingungen
| Setting | Anleitung |
|---|---|
| Geräte mit Jailbreak/entfernten Nutzungsbeschränkungen | Geben Sie an, ob der Zugriff auf das Gerät blockiert werden soll oder ob die Gerätedaten für Geräte mit Jailbreak/Rooting gelöscht werden sollen. Zu den Aktionen zählen:
|
| Mindestversion für Betriebssystem | Geben Sie das kleinste Android-Betriebssystem an, mit dem eine App verwendet werden kann. Betriebssystemversionen unter der angegebenen Min. Betriebssystemversion lösen die Aktionen aus. Zu den Aktionen zählen:
Dieses Richtlinieneinstellungsformat unterstützt "Major" und "Major.Minor". Für eine große Android-Betriebssystemversion wie Android 16 empfehlen wir beispielsweise die Verwendung von "16.0". Verwenden Sie für eine Nebenversion wie CY25Q4 von Android 16 (auch als Quarterly Platform Release 2 (QPR2) für Android 16 bezeichnet) "16.1". |
| Maximale Betriebssystemversion | Geben Sie das maximale Android-Betriebssystem an, mit dem eine App verwendet werden kann. Betriebssystemversionen über der angegebenen max. Betriebssystemversion lösen die Aktionen aus. Zu den Aktionen zählen:
Dieses Richtlinieneinstellungsformat unterstützt "Major" und "Major.Minor". Für eine große Android-Betriebssystemversion wie Android 16 empfehlen wir beispielsweise die Verwendung von "16.0". Verwenden Sie für eine Nebenversion wie CY25Q4 von Android 16 (auch als Quarterly Platform Release 2 (QPR2) für Android 16 bezeichnet) "16.1". |
| Minimale Patchversion | Erfordern, dass die Geräte über einen von Google veröffentlichten Android-Mindestsicherheitspatch verfügen.
|
| Gerätehersteller | Geben Sie eine durch Semikolons getrennte Liste von Herstellern an. Bei diesen Werten wird die Groß-/Kleinschreibung nicht beachtet. Zu den Aktionen zählen:
|
| Urteil zur Integrität der Wiedergabe | Richtlinien zum App-Schutz unterstützen einige der Google Play Integrity APIs. Mit dieser Einstellung wird insbesondere die Integritätsprüfung von Google Play auf Endbenutzergeräten konfiguriert, um die Integrität dieser Geräte zu überprüfen. Geben Sie entweder die grundlegende Integrität oder die grundlegende Integrität und Geräteintegrität an. Die grundlegende Integrität informiert Sie über die allgemeine Integrität des Geräts. Für gerootete Geräte, Emulatoren, virtuelle Geräte und Geräte, die Anzeichen von Manipulationen aufweisen, schlägt die Überprüfung der grundlegenden Integrität fehl. Die grundlegende Integrität & zertifizierten Geräten informiert Sie über die Kompatibilität des Geräts mit den Diensten von Google. Nur unveränderte Geräte, die von Google zertifiziert sind, können diese Prüfung bestehen. Wenn Sie " Integritätsurteil wiedergeben " als Voraussetzung für den bedingten Start auswählen, können Sie festlegen, dass eine strenge Integritätsprüfung als Bewertungstyp verwendet wird. Das Vorhandensein einer strengen Integritätsprüfung als Bewertungstyp weist auf eine höhere Integrität eines Geräts hin. Die MAM-Richtlinie blockiert Geräte, die keine strengen Integritätsprüfungen unterstützen, wenn sie von dieser Einstellung betroffen sind. Die strenge Integritätsprüfung bietet eine robustere Stammerkennung als Reaktion auf neuere Arten von Rooting-Tools und -Methoden, die nicht immer eine reine Softwarelösung erkennen können. In der APP wird der Hardwarenachweis aktiviert, indem der Bewertungstyp "Wiedergeben der Integrität überprüfen" auf "Starke Integrität überprüfen " festgelegt wird, sobald " Bewertung der Wiederspielintegrität" konfiguriert ist, und der erforderliche SafetyNet-Bewertungstyp auf "strenge Integritätsprüfung ", sobald die Geräteintegritätsprüfung konfiguriert ist. Hardwaregesicherter Nachweis verwendet eine hardwarebasierte Komponente, die mit Geräten ausgeliefert wurde, auf denen Android 8.1 und höher installiert ist. Geräte, für die ein Upgrade von einer älteren Version von Android auf Android 8.1 durchgeführt wurde, verfügen wahrscheinlich nicht über die hardwarebasierten Komponenten, die für den hardwaregestützten Nachweis erforderlich sind. Auch wenn diese Einstellung auf Geräten mit Android 8.1 und höher weitgehend unterstützt werden sollte, empfiehlt Microsoft dringend, die Geräte einzeln zu testen, bevor diese Richtlinieneinstellung allgemein aktiviert wird. Wichtig: Geräte, die diesen Bewertungstyp nicht unterstützen, werden basierend auf der Aktion zum Überprüfen der Geräteintegrität blockiert oder gelöscht. Organisationen, die diese Funktionalität verwenden möchten, müssen sicherstellen, dass die Benutzer über unterstützte Geräte verfügen. Weitere Informationen zu den von Google empfohlenen Geräten finden Sie unter Empfohlene Android Enterprise-Anforderungen. Zu den Aktionen zählen:
|
| Bedrohungsüberprüfung für Apps erforderlich | Die Richtlinien zum App-Schutz unterstützen einige APIs von Google Play Protect. Diese Einstellung stellt insbesondere sicher, dass der Verify Apps-Scan von Google für Endbenutzergeräte aktiviert ist. Wenn dies konfiguriert ist, wird der Endbenutzer für den Zugriff gesperrt, bis er das App-Scannen von Google auf seinem Android-Gerät aktiviert. Zu den Aktionen zählen:
|
| Erforderlicher SafetyNet-Auswertungstyp | Hardwaregesicherter Nachweis erweitert die bestehende Prüfung des SafetyNet-Nachweisdiensts. Sie können den Wert auf Hardwaregesicherter Schlüssel festlegen, nachdem Sie den SafetyNet-Gerätenachweis festgelegt haben. |
| Gerätesperre erforderlich | Diese Einstellung bestimmt, ob das Android-Gerät über eine Geräte-PIN verfügt, die die Mindestkennwortanforderungen erfüllt. Die Richtlinie zum App-Schutz kann Maßnahmen ergreifen, wenn die Gerätesperre die Mindestkennwortanforderungen nicht erfüllt.
Zu den Werten gehören:
Dieser Komplexitätswert ist auf Android 12+ ausgerichtet. Für Geräte, die unter Android 11 und früher ausgeführt werden, entspricht das Festlegen eines Komplexitätswerts von niedrig, mittel oder hoch standardmäßig dem erwarteten Verhalten für niedrige Komplexität. Weitere Informationen finden Sie in der Entwicklerdokumentation von Google getPasswordComplexity, PASSWORD_COMPLEXITY_LOW, PASSWORD_COMPLEXITY_MEDIUM und PASSWORD_COMPLEXITY_HIGH. Zu den Aktionen zählen:
|
| Minimale Version des Unternehmensportals | Mithilfe der Mindestversion des Unternehmensportals können Sie eine bestimmte definierte Mindestversion des Unternehmensportals angeben, die auf einem Endbenutzergerät erzwungen wird. Diese Einstellung für bedingten Start ermöglicht es Ihnen, Werte wie "Zugriff blockieren", "Daten löschen" und "Warnen " als mögliche Aktionen festzulegen, wenn jeder Wert nicht erreicht wird. Die möglichen Formate für diesen Wert folgen dem Muster [Major].[ Moll], [Haupt].[ Minor]. [Build] oder [Major].[ Minor]. [Build]. [Revision]. Hinweis: Der Support für Android-Unternehmensportal-Versionen vor 5.0.5421.0 endete am 1. Oktober 2025. Da einige Endbenutzer möglicherweise keine erzwungene Aktualisierung von Apps vor Ort bevorzugen, ist die Option "Warnen" möglicherweise ideal für die Konfiguration dieser Einstellung. Der Google Play Store leistet gute Arbeit, indem er nur die Deltabytes für App-Updates sendet, aber dies kann immer noch eine große Datenmenge sein, die der Benutzer möglicherweise nicht verwenden möchte, wenn er sich zum Zeitpunkt des Updates auf Daten befindet. Das Erzwingen einer Aktualisierung und damit das Herunterladen einer aktualisierten App könnte zum Zeitpunkt des Updates zu unerwarteten Datengebühren führen. Weitere Informationen finden Sie unter Android-Richtlinieneinstellungen. |
| Max. Alter der Version des Unternehmensportals (Tage) | Sie können eine maximale Anzahl von Tagen als Alter der Unternehmensportal-Version (CP) für Android-Geräte festlegen. Diese Einstellung stellt sicher, dass sich Endbenutzer innerhalb eines bestimmten Bereichs von CP-Releases (in Tagen) befinden. Der Wert muss zwischen 0 und 365 Tagen liegen. Wenn die Einstellung für die Geräte nicht erfüllt wird, wird die Aktion für diese Einstellung ausgelöst. Zu den Aktionen gehören "Zugriff blockieren", "Daten löschen" oder "Warnen". Weitere Informationen finden Sie unter Android-Richtlinieneinstellungen. Hinweis: Das Alter des Unternehmensportal-Builds wird von Google Play auf dem Endgerät bestimmt. |
| Samsung Knox-Gerätenachweis | Geben Sie an, ob die Samsung Knox-Gerätenachweisprüfung erforderlich ist. Nur unveränderte Geräte, die von Samsung überprüft wurden, können diese Überprüfung bestehen. Eine Liste der unterstützten Geräte finden Sie unter samsungknox.com. Mithilfe dieser Einstellung überprüft Microsoft Intune auch, ob die Kommunikation vom Unternehmensportal zum Intune-Dienst von einem fehlerfreien Gerät gesendet wurde. Zu den Aktionen zählen:
Hinweis: Achten Sie bei der Auswahl der Aktionen "Warnen", "Zugriff blockieren" und "Daten löschen":
|
| Maximal zulässige Gerätebedrohungsstufe | App-Schutzrichtlinien können die Vorteile des Intune-MTD-Connectors nutzen. Geben Sie eine maximale Bedrohungsstufe an, die für die Verwendung dieser App zulässig ist. Die Bedrohungen werden von der von Ihnen gewählten MTD-Anwendung (Mobile Threat Defense) des Anbieters auf dem Endbenutzergerät bestimmt. Geben Sie entweder Geschützt, Niedrig, Mittel oder Stark ein.
Geschützt erfordert keine Bedrohungen auf dem Gerät und ist der restriktivste konfigurierbare Wert, während Stark im Wesentlichen eine aktive Verbindung zwischen Intune und MTD erfordert. Zu den Aktionen zählen:
|
| Primärer MTD-Dienst | Wenn Sie mehrere Intune-MTD-Connectors konfiguriert haben, geben Sie die primäre MTD-Anbieter-App an, die auf dem Endbenutzergerät verwendet werden soll.
Zu den Werten gehören:
Sie müssen die Einstellung "Max. zulässige Gerätebedrohungsstufe" konfigurieren, um diese Einstellung verwenden zu können. Für diese Einstellung gibt es keine Aktionen . |