Zentrale und sichere Geräteverwaltung mit Microsoft Intune

Die Nutzung mobiler Endgeräte ist im Arbeitsalltag zum Standard geworden. Bring your own device (BYOD) oder Corporate owned private enabled (COPE) zählen zu den beliebtesten Modellen für die Bereitstellung von Smartphones und Tablets. So greifen immer mehr Mitarbeitende sowohl mit firmeneigenen als auch mit privaten Tablets oder Smartphones auf das Unternehmensnetzwerk zu. Doch während diese Ansätze die Produktivität und Zufriedenheit der Mitarbeitenden steigern und die Hardwarekosten der Unternehmen senken, stellen sie auch erhebliche Herausforderungen für den Datenschutz und die IT-Sicherheit dar.

Microsoft Intune bietet hier eine Lösung, die Unternehmen dabei unterstützt, die Geräte der Mitarbeitenden zu verwalten und den Schutz sensibler Unternehmensdaten zu gewährleisten, ohne die Benutzerfreundlichkeit und Privatsphäre der Mitarbeitenden zu beeinträchtigen.
In diesem Beitrag beleuchten wir, was Intune leistet, wie es den Datenschutz in BYOD- und COPE-Szenarien sicherstellt und welche Best Practices Unternehmen anwenden können, um eine sichere und effiziente mobile Arbeitsumgebung zu schaffen.

Ein Mobile Device Management (MDM) ermöglicht die Verwaltung mobiler Endgeräte wie Tablets, Laptops und Smartphones, die für den Zugriff auf interne Anwendungen, Unternehmensdaten und geschäftliche Informationen genutzt werden. Mit Microsoft Intune kann der gesamte Lebenszyklus dieser Geräte am Arbeitsplatz überwacht werden. Durch die Integration in Microsoft Entra ID und Azure Information Protection, können Identitäten verwaltet und  der Schutz geschäftlicher Daten gewährleistet werden. Die Bedienung und Konfiguration erfolgen direkt über r Intune , wo Einstellungen verändert, Zugriffe definiert  und Richtlinien sowie Sicherheitseinstellungen zentral festgelegt werden können.

Einheitliche Regelungen ermöglichen dabei eine effiziente Kontrolle des Daten- und Netzwerkzugriffs, die Steuerung von Ressourcen und die Definition von Konformitätsrichtlinien. Zudem können passende Apps einfach auf den Endgeräten bereitgestellt und authentifiziert werden. Administratoren haben jederzeit Einblick in wichtige Informationen wie beispielsweise genutzte Lizenzen, den Gerätebestand und installierte Software. Außerdem können für verschiedene Plattformen spezifische Profile mit festgelegten Regeln, Funktionen und Einstellungen konfiguriert werden. Darüber hinaus bietet Intune auch die Möglichkeit, gestohlene oder verlorene Geräte zu sperren oder deren Daten zu löschen.

Für Unternehmen, die bereits Microsoft-Lösungen im Einsatz haben, ist Intune wahrscheinlich die beste Wahl unter den MDM-Systemen. Mit Intune können IT-Administratoren Kennwortanforderungen, Verschlüsselungsstandards und VPN-Einstellungen festlegen, um Geräte sicher zu halten und gleichzeitig einheitliche Standards durchzusetzen. Ein zusätzlicher Bonus ist, dass Aufgaben, die früher manuell erledigt werden mussten, wie z. B. die Einrichtung eines neuen Benutzergeräts, automatisiert werden können, was den Arbeitsaufwand erheblich reduziert.

Jedoch kann Intune mit seiner Vielzahl von möglichen Konfigurationsoptionen, auch ziemlich komplex sein, weshalb wir hier ein paar Best Practices zur Orientierung geben:

1. Conditional Access einrichten

Der Conditional Access ist eine vom Unternehmen festgelegte Richtlinie, die besagt, dass Gerätebenutzer in einer bestimmten Gruppe oder einem bestimmten Profil nur dann auf Unternehmens-E-Mails oder andere Cloud-Anwendungen zugreifen können, wenn die Geräte bestimmte Bedingungen erfüllen. Zu diesen Bedingungen gehören zum Beispiel:

• Anforderungen an Länge und Komplexität Passworts
• Ausführen der neusten Versionen bestimmter Anwendungen
• Eine sichere Wi-Fi-Verbindung
• Keine Ausführung unautorisierten oder nicht genehmigter Apps
• Verwendung von Zwei-Faktor-Authentifizierung oder MFA (Multi-Faktor-Authentifizierung)

Die Richtlinien für die Zugriffssteuerung hängen dabei von der Art des Unternehmens und seinen potenziellen Schwachstellen ab (stärker regulierte Unternehmen haben oft mehr Anforderungen an die Zugriffssteuerung).

2. Intune Enrollment festsetzten

Neben den Conditional-Access-Richtlinien lohnt es sich, den Ablauf und die Anforderungen für die Registrierung neuer Geräte festzulegen. Dazu sollten die Geräte, die im Netzwerk des Unternehmens registriert sind, überprüft werden, um sicherzustellen, dass die Anforderungen für jeden Gerätetyp erfüllt werden können. Dies ist ein grundlegender Baustein für die Einführung von Microsoft Intune, da ohne eine korrekt durchgeführte Geräteregistrierung die definierten Richtlinien nicht durchgesetzt werden können:

• Apple-Geräte: Für Apple-Geräte muss bei Apple ein Zertifikat für Push-Benachrichtigungen, das sog. Apple-MDM-Push-Zertifikat eingerichtet werden. Dazu muss Microsoft die Erlaubnis erteilen, Benutzer- und Gerätedaten an Apple zu senden, und dann das entsprechende Zertifikat erstellen und hochladen.
• Android-Geräte: Bei Android-Geräten müssen Intune-Administratoren ein verwaltetes Google Play-Konto einrichten, um Android Enterprise zu aktivieren.

3. Sicherheitsbaselines nutzen

Viele IT-Adminitratoren stehen vor der Herausforderung, Sicherheitsanforderungen vollständig zu bewerten und zu implementieren – vor allem, wenn es um Einstellungen für die Remote-Geräteverwaltung geht. Deshalb bietet Microsoft eine Reihe vorkonfigurierter Sicherheitsgrundlagen, die Administratoren für verschiedene Gruppen oder Benutzer erstellen können, um mit einer Grundkonfiguration zu beginnen, die hohe Sicherheitsstandards gewährleistet. Diese Baselines dienen als Ausgangspunkt für Administratoren, die die Konfigurationen weiter anpassen möchten, sind aber oft auch für sich allein schon gut geeignet. Darüber hinaus werden sie von Microsoft regelmäßig aktualisiert, um den neuesten Sicherheitsrichtlinien zu entsprechen.