Anleitung: MDM und MAM mit Microsoft Intune

Viele Mitarbeiter greifen mit Notebooks, Tablets oder Smartphones auf Unternehmens-Daten und Anwendungen zu. Firmen können all diese mobilen Endgeräte sowie die installierten Apps mit der Cloud-Lösung Microsoft Intune zentral und sicher verwalten.

Der PC ist mittlerweile nur noch eines unter vielen Endgeräten beim vernetzten Arbeiten. Immer mehr Mitarbeiter greifen mit firmeneigenen oder privaten Notebooks, Tablets oder Smartphones auf geschäftliche Anwendungen, Informationen oder Kundendaten zu – aktuell vor allem aus dem Homeoffice, vor Corona auch am Flughafen, im Zug oder Hotel.

Für die IT-Abteilung entstehen dadurch große Herausforderungen. Wie kann sie die Vielzahl und Vielfalt der mobilen Endgeräte und Konfigurationen unter Kontrolle bringen? Ist der Zugriff berechtigt? Wie sieht es mit dem Datenschutz oder der Trennung privater und geschäftlicher Daten aus? Wie verwaltet sie die Geräte effizient und sicher? Schließlich geraten auch mobile Geräte immer stärker ins Fadenkreuz von Angreifern, da sie Funktionen für geschäftskritische Prozesse bieten und mit dem Backend des Unternehmens verbunden sind. Hier kommt Microsoft Intune ins Spiel.

MDM und MAM mit Microsoft Intune

Microsoft Intune ist ein cloudbasierter Dienst für die Verwaltung mobiler Geräte (MDM, Mobile Device Management) und mobiler Anwendungen (MAM, Mobile Application Management). Der Service ist fester Bestandteil von Microsoft 365 (Lizenzen Microsoft 365 Business Premium + Microsoft 365 Enterprise E3, F5 und F1) und eine Komponente von Microsoft Enterprise Mobility and Security (EMS). Intune ist in Azure Active Directory (Azure AD) zur Verwaltung der Identitäten integriert sowie mit Azure Information Protection verbunden, um die Vertraulichkeit von Daten einschließlich der Verschlüsselung zu gewährleisten. Die Konfiguration und Bedienung von Intune erfolgt meist über das Microsoft Endpoint Manager Admin Center.

Über die MDM-Funktionen von Microsoft Intune erfolgen Inventarisierung und Asset Management. Zudem ist es möglich, zentral Sicherheitseinstellungen und Richtlinien für Smartphones oder Tablets festzulegen, Konfigurationen zu verändern oder Zugriffsrechte zu definieren. Verlorene oder gestohlene Geräte lassen sich sperren oder aus der Ferne löschen. MAM regelt, auf welche Anwendungen die Nutzer zugreifen dürfen, und gewährleistet, dass die Installation und der Zugriff auf alle Apps nur nach den Unternehmensrichtlinien erfolgen.

Firmen können Microsoft Intune über die Cloud für folgende Bereiche einsetzen:

• Zugriff auf Daten und Netzwerke regeln über einheitliche Richtlinien zum Schutz der Unternehmensdaten: Welche Benutzer dürfen was?
• Ressourcen steuern und Mindeststandards für kompatible Geräte und Apps (Konformitätsrichtlinien) definieren
• Bereitstellen und Authentifizieren von passenden Apps auf den Geräten
• Windows 10 bereitstellen etwa über Windows Autopilot

MDM: Verwalten von Geräten

Mit Microsoft Intune lassen sich sowohl unternehmenseigene als auch die privaten Geräte der Mitarbeiter (BYOD Bring Your Own Device) verwalten.

Firmeneigene Geräte und deren Nutzer werden grundsätzlich in Intune registriert. Damit hat die IT-Abteilung jederzeit Einblick in den Gerätebestand, die installierte Software, genutzte Lizenzen und die Zugriffe auf das Unternehmensnetzwerk. Zudem kann sie in Intune für verschiedene Plattformen (iOS, Windows, Android) Profile mit bestimmten Regeln, Einstellungen und Funktionen konfigurieren, die den Richtlinien entsprechen. Es ist beispielsweise möglich, Kennwort- und PIN-Anforderungen festzulegen, eine VPN-Verbindung zu erstellen oder den Virenschutz einzurichten. Zudem lassen sich Zertifikate per Push an Geräte übermitteln, damit Benutzer problemlos auf Ihr WLAN zugreifen oder über ein VPN eine Verbindung mit Ihrem Netzwerk herstellen können. Das entsprechende Profil wird auf das Gerät übertragen, nachdem es bei Intune registriert ist.

Dank Microsoft Intune können die Mitarbeiter auch ihre persönlichen Geräte nutzen. Hier sorgt Intune dafür, dass die Unternehmensdaten von den persönlichen Daten getrennt sind, oder gibt nur bestimmte Ressourcen frei, wenn sich der Nutzer mit seinem persönlichen Profil anmeldet. Wichtig: Persönliche Daten sind für die IT-Abteilung der Organisation nicht sichtbar. Daten, auf die der Zugriff mithilfe von Anmeldeinformationen der Firma erfolgt, erhalten zusätzlichen Sicherheitsschutz.

Wenn die Nutzer auf alle Firmen-Ressourcen zugreifen wollen, müssen sie sich mit ihrem Firmenprofil bei Intune registrieren. Wollen sie etwa nur auf E-Mail oder Microsoft Teams zugreifen, reichen App-Schutzrichtlinien, die mehrstufige Authentifizierung (Multi-Faktor-Authentication/ MFA) erfordern, um diese Apps zu verwenden.

MAM: Verwalten von Apps

Auch die Verwaltung mobiler Anwendungen (Mobile Application Management, MAM) erfolgt sowohl für unternehmenseigene als auch für persönliche Geräte. Die IT-Abteilung kann bestimmte Richtlinien konfigurieren, um Anwendungen zu steuern. Es ist möglich, Apps so zu konfigurieren, dass sie mit bestimmten Einstellungen gestartet oder ausgeführt werden. So lässt sich etwa verhindern, dass E-Mails an Personen außerhalb des Unternehmens gesendet werden, oder es lassen sich Aktionen einschränken, die Beschäftigte ausführen können, etwa Kopieren und Einfügen, Speichern und Anzeigen.

Microsoft Intune erlaubt zudem, mobile Apps bestimmten Benutzergruppen, einzelnen Nutzern und Geräten hinzufügen und zuzuweisen, vorhandene Anwendungen zu aktualisieren sowie Unternehmens-Daten selektiv aus Apps zu löschen. Zudem erzeugt Intune Berichte, welche Apps wie und wie lange verwendet werden, um die Nutzung nachzuverfolgen und eine Übersicht zu erhalten.

Für umfassenderen Schutz und mehr Sicherheit in Windows 10, Microsoft 365 und auch auf Microsoft-fremden Lösungen lässt sich Intune in Kombination mit den anderen Diensten von Microsoft EMS nutzen. Dazu gehören beispielsweise Azure Active Directory für die Identitäts- und Zugriffsverwaltung, Microsoft Endpoint Configuration Manager zur Verwaltung lokaler PCs oder Server, Azure Information Protection zum Schutz von Daten in der Cloud oder Microsoft Advanced Threat Analytics zur Abwehr von komplexen zielgerichteten Cyberangriffen

Kombination mit Windows Autopilot

In Kombination mit Windows Autopilot bildet Intune zudem ein effizientes Duo für die effiziente und sichere Bereitstellung von (mobilen) Endgeräten. Diese Aufgabe ist für die IT-Abteilung oft mit hohem manuellem Aufwand verbunden, um Windows-Images zu entwickeln, anzupassen und später auf den Geräten zu installieren. Windows Autopilot vereinfacht und automatisiert diesen Prozess weitgehend, indem er Geräte remote vorkonfiguriert und einrichtet, damit Mitarbeiter direkt damit arbeiten können. Windows Autopilot lässt sich auch zum Zurücksetzen und Wiederherstellen von Geräten verwenden.

Wenn der IT-Admin den Client für einen Mitarbeiter vorab in der Azure Cloud registriert, erkennt das System beim ersten Start des Gerätes durch die Eingabe der Zugangsdaten automatisch, wie es über Windows Autopilot konfiguriert werden soll. Nach der vordefinierten Konfiguration kann der Nutzer direkt mit dem System arbeiten und hat Zugriff auf alle wichtigen Unternehmensanwendungen.

Microsoft Intune sorgt bei dieser cloudbasierten Bereitstellung und Verwaltung von Firmengeräten und -anwendungen für die notwendige Sicherheit durch die zentrale Durchsetzung von einheitlichen Richtlinien – mit allen oben beschriebenen Funktionen. Damit können Firmen den gesamten Lebenszyklus eines Endgeräts sicher und transparent in der Cloud abbilden – vom ersten Setup über regelmäßige Updates bis hin zum Zurücksetzen auf Werkseinstellungen.

Für weitere Auskünfte oder ein unverbindliches Gespräch stehen wir Ihnen gerne zur Verfügung.