Mobilgeräteverwaltung mit Hilfe Microsoft Intune

Während unsere persönlichen Geräte mit Sicherheit zur Entfaltung unseres Geistes und unserer Talente beigetragen haben, ist der Schutz sensibler Daten zu einer echten Herausforderung für Unternehmen geworden.

Unternehmenssicherheit vs. Privatleben: Die ultimative Wahl

In den letzten Jahren mehren sich Cyberthreats, sodass die Sicherheit für alle Unternehmen eine hohe Priorität einnimmt.

Stellen Sie sich die Frage: Gibt es da einen Raum für die Koexistenz, wenn wir über die Sicherheit und das Privatleben sprechen? Wenn Mitarbeiter remote oder in einer verteilten Umgebung arbeiten, wenn persönliche Geräte mit wichtigen Unternehmensinformationen verloren gehen, wollen Sie wirklich, dass Ihre Mitarbeiter ein persönliches Laptop, Tablet oder Smartphone als Arbeitsgerät verwenden?

An dieser Stelle ist es wirklich eine grundsätzliche Wahl. Sie können Ihren Mitarbeitern vertrauen und nichts dagegen tun. Sie können einen Schritt weiter gehen und extreme Maßnahmen einführen, die die Nutzung persönlicher Geräte während der Arbeitszeit nicht zulassen. Beide Ansätze wären eine Art zweischneidiges Schwert.

Die Trennung von persönlichen und korporativen Daten und der Schutz der letzteren sind die ultimativen Herausforderungen, wenn wir die Sache sicher und mitarbeiterfreundlich gestalten wollen. Microsoft Intune könnte die perfekte Antwort auf diese und andere Fragen sein.

Wahrung der Firmengeheimnisse durch die Mobilgeräteverwaltung

Bring Your Own Device (BYOD, dt. “eigenes Gerät mitbringen”) ist ein relativ neuer Unternehmenstrend, der die Sicherheitsbedenken eliminiert und die Grenzen zwischen Arbeit und Privatleben verwischt. Das Ermöglichen der Nutzung persönlicher Geräte für die Arbeitsaufgaben ist die perfekte Methode, die Loyalität der Mitarbeiter zu stärken, die für jedes Unternehmen wichtig ist.

Obwohl BYOD viele Vorteile hat, bringt die Einführung von BYOD gewisse Sicherheits- und Verwaltbarkeitsprobleme mit sich. Es besteht immer die Wahrscheinlichkeit, dass persönliche Geräte verloren gehen, gestohlen oder mit Malware infiziert werden können. Genau in diesem Fall ist das Mobile-Device-Management die Rettung.

Heutzutage bieten Dutzende von Unternehmen MDM-Dienstleistungen. Ihre Lösungen ermöglichen handhabbaren Schutz der Unternehmensinformationen, indem sie die persönlichen Geräte der Mitarbeiter entsprechend den Unternehmensrichtlinien konfigurieren. Statt extreme administrative Maßnahmen einzuführen, sensibilisieren Sie Ihre Mitarbeiter in Bezug auf die Datensicherheit und lassen die IT-Spezialisten den Rest erledigen. Dennoch ist die Auswahl des MDM und seine richtige Einstellung eine anspruchsvolle Aufgabe.

In der folgenden Übersicht stellen wir das Mobile-Device-Management für SMBs mit Hilfe von Microsoft Intune ein.

Was ist Microsoft Intune?

Microsoft Intune ist ein leistungsstarker Cloud-Service für die Verwaltung von Windows-, iOS-, Android-Mobilgeräten und Windows-basierten Workstations. Es ist möglich, die Geräteeinstellungen zu verwalten, Berechtigungen und die Datencodierung festzulegen, Anwendungen einzuschränken, die Gerätedaten remote zu löschen, falls sie gestohlen wurden etc.

Einige der wichtigsten Vorteile von Intune sind:

• Einfache Verwaltung – der Cloud-Service impliziert vereinfachte Bereitstellung.
• Zuverlässigkeit – Intune erhält ständige Updates und Verbesserungen von Microsoft.
• Skalierbarkeit – der Service ist leicht skalierbar.

Während die Konfiguration ziemlich flexibel ist, gibt es zwei primäre Setup-Versionen:

• Stand-Alone-Version von MS Intune
• Hybrides Modell:Intune + SCCM 2012 ODER Intune + SCCM 2012 + Azure

Diesmal konzentrieren wir uns auf die Stand-Alone-Version, die eher für kleine und mittlere Unternehmen geeignet ist.

Anmeldung im Intune-Service

Das Anmeldeverfahren im Intune-Service ist vereinfacht. Bei einer monatlichen Gebühr von $ 6,00 pro Benutzer erlaubt Microsoft bis zu 15 Geräte pro Benutzer und bietet bis zu 20 GB Cloud-Speicher für die Apps.

Um den Service zu testen, können Sie bis zu 60 Probetage erhalten, wobei er auf 100 gleichzeitig angemeldete Benutzer beschränkt sein wird. Nach Ablauf der ersten 30 Probetage können Sie um weitere 30 Tage verlängern, indem Sie die Zahlungsdaten angeben.

Nach der ersten Anmeldung erhalten Sie Zugriff auf das Intune-Service-Dashboard und das Portal Office 365.

Der nächste Schritt besteht darin, eine Liste der Intune-Appbenutzer zu erstellen. Um neue Benutzerdaten einzutragen oder zu importieren, sollten Administratoren das Portal Office 365 verwenden. Das Standardanmeldeformat für jeden Benutzer kann entweder BenutzerName@FirmenName.onmicrosoft.com sein oder auf einem Firmendomänennamen basieren.

MDM-Prozess

Der Prozess des Mobile-Device-Managements kann in 5 Hauptstufen unterteilt werden:

Lassen Sie uns jede einzelne Stufe Schritt für Schritt prüfen.

Benutzeranmeldung

Für die Anmeldung ist es zwingend erforderlich, dass die Unternehmensportal-Anwendung auf dem Gerät des Benutzers installiert ist:

• Microsoft Store für Windows-basierte Geräte
• Google Play für Android-Geräte
• App Store für iOS-Geräte

Um die Kommunikation mit den Benutzern zu erleichtern, bietet Microsoft einige grundlegende Anleitungen für Administratoren an, die bei der Anmeldung von Geräten in Intune und bei der Lösung verschiedener Aufgaben nach der Anmeldung nützlich sein können.

Nach der ersten App-Installation und der Benutzeranmeldung wird das Gerät für die Verwaltung mit Intune registriert.

Unterstützte Plattformen und die Übersicht der Intune-App

Momentan unterstützt Intune die Geräte auf iOS, Android, Windows 8.1 und 10 sowie Mac OS X.

Die Unternehmensportal-Anwendung enthält drei Hauptbereiche:

• Anwendungen – Liste der Anwendungen, die einem Benutzer zur Verfügung stehen
• Meine Geräte – Liste der Geräte des Benutzers (max. 15)
• Kontaktdaten IT-Service – Kontaktinformationen, um sich mit dem IT-Service in Verbindung zu setzen.

A Ein Gerät kann sofort nach der Erstanmeldung verwaltet werden. Alle angemeldeten Geräte und Benutzer werden in die entsprechenden Kategorien auf der Dashboard-Seite “Gruppen” eingegliedert. Der Administrator kann Geräte und Benutzer nach verschiedenen Kriterien gruppieren oder direkt eine bestimmte Gruppenmitgliedschaft für die weitere gemeinsame Gruppenverwaltung zuweisen (ähnlich wie bei SCCM 2012).

Windows 10:

Mac OS X:

Anwendungs-Deployment

Intune unterstützt die Installation von Anwendungen aus den App-Stores, Web-Anwendungen und internen Apps.

Derzeit ist es möglich, Apps auf zwei Wegen zu installieren:

• Über einen Installer – In diesem Fall benötigen Sie die Installationsdatei für die Anwendung, z.B. APK für Android.
• Über einen externen Link –In diesem Fall müssen Sie eine Verknüpfung zu der Anwendung im App-Store herstellen.

Sehen wir uns nun diese beiden Wege in den untenstehenden Guides an.

Anleitung zum Hinzufügen einer Anwendung zu MS Intune über das Installationsprogramm:

1) Wählen Sie die Installationsdatei aus:

2) Füllen Sie die Softwarebeschreibung aus:

3) Präzisieren Sie die Anforderungen an das Betriebssystem des Benutzergeräts:

4) Die Anwendung ist der Anwendungsliste auf dem Dashboard hinzugefügt:

Anleitung zum Hinzufügen einer Anwendung zu MS Intune über den externen Link:

1) Geben Sie den Link zu der Anwendung im App-Store an:

2) FFüllen Sie die Softwarebeschreibung aus:

3) Nach dem Hinzufügen der Anwendung zur Anwendungsliste müssen Sie diese auf den Geräten des Benutzers bereitstellen.
Wählen Sie dazu “Manage Deployment…” im Kontextmenü aus und weisen Sie die Anwendung einer Gruppe von Benutzern oder einer Gruppe von Geräten zu.

4) Für die Anwendungsbereitstellung stehen folgende Optionen zur Verfügung:

• Erforderliche Installation
• Verfügbare Installation
• Deinstallieren

5) Die Anwendung, die einer bestimmten Gruppe zugeordnet ist, erscheint auf den Geräten der Benutzer.

Konfiguration

Die Sicherheitsoptionen bei Intune ermöglichen das Erstellen flexibler Konfigurationen, Richtlinien und Betriebsmodi auf den Geräten der Benutzer:

• Geräteeinstellungen, wie z.B. die Berechtigung zum Verwenden von Bluetooth, Kamera, NFC usw.
• Kennworteinstellungen, einschließlich Kennwortlänge und -sicherheit
• Kodierungseinstellungen
• Browsereinstellungen, wie z.B. die Einschränkung beim Speichern von Cookies, Blockieren von JScripts usw.
• Zulässige und beschränkte Anwendungen.

Natürlich ist die Liste der verfügbaren Einstellungen bei jeder Hauptplattform unterschiedlich und kann sogar bei einer anderen Version der Plattform variieren. So kann der Administrator schon einige Zeit damit verbringen, alle Geräte der Mitarbeiter eines Unternehmens zu bearbeiten, wenn sie alle unterschiedliche Plattformen verwenden. Eine Aaufforderungsliste mit minimalen Plattformanforderungen kann in diesem Fall hilfreich sein.

Als Nächstes wollen wir die Einstellung einer Benutzerrichtlinie am Beispiel der Einschränkungen für eine Gerätekamera prüfen:

Wenn die Kamera gestartet wird, erhält der Benutzer den folgenden Sicherheitshinweis:

Bitte beachten Sie, dass, obwohl Intune eine breite Palette an Parametern für die Geräte-Konfiguration bietet, variiert die Verfügbarkeit einiger Optionen von Gerät zu Gerät. In den meisten Fällen kann dieses Problem durch die Optimierung der OMA-URI-Parameter behoben werden – es ist ein allgemeiner Standard für die Konfiguration mobiler Geräte, um notwendige Werte festzulegen.

Überwachung

Nach der Bereitstellung von Anwendungen und Richtlinien kann der Administrator den Gerätestatus überwachen.

Die Seite “Dashboard” zeigt den allgemeinen Status aller Komponenten an.

Detaillierte Informationen zum Anwendungsstatus finden Sie auf der Seite “APPS”.

Ein Klick auf eine Anwendung zeigt einige allgemeine Informationen dazu an:

Der Administrator erhält sofort eine Benachrichtigung bei schädlichen Aktivitäten und Vorfällen, wie den Nichtübereinstimmungen mit den Intune-Richtlinien, oder Alarmen wegen Malware auf einem PC.

Eine schnelle Filterliste kann Ihnen dabei helfen, bestimmte Geräte anhand ihres Status zu lokalisieren:

Sicherheit

Wenn ein Gerät verloren geht oder gestohlen wird, können alle Unternehmensdaten oder sogar alle Informationen vom Gerät gelöscht werden.

Sie können sogar den Passcode zurücksetzen oder das Gerät remote sperren.

Wählen Sie dazu einen Benutzer aus, nehmen Sie sich eines der Geräte vor und tätigen Sie eine Aktion aus dem Kontextmenü:

Fazit

Diese Kurzanleitung behandelt die Grundlagen des Mobile-Device-Managements mit Hilfe Microsoft Intune. Es ist zu betonen, dass Microsoft Intune in den letzten Jahren das Weiterentwickelungsniveau erreicht hat, um Unternehmensanforderungen zu genügen. Es ist eine der wenigen stabilen Lösungen, die derzeit mit umfassenden Support und Updates verfügbar ist. Darüber hinaus kann sie mit SCCM integriert werden, was die beste Option für große Konzerne darstellt.

N.B.: Es ist nie einfach, mit den technologischen Fortschritten Schritt zu halten. Dieses Jahr hat man den Aufstieg der Mixed-Reality-Geräte wie Magic Leap und Microsoft HoloLens gesehen, die im nächsten Jahr angeblich auf den Massenmarkt kommen sollen und möglicherweise unsere Wahrnehmung von Personal Computing verändern würden. Eine gute Idee in diesen Umständen wäre, von Anfang an eine gewisse Taktik zu haben und ihr zu folgen, bevor der Sturm mit voller Kraft einschlägt. Während neue Technologien erst im Anlauf sind, haben Unternehmen immer noch etwas Raum, um entsprechende Geräteverwaltungsstrategien zu entwerfen.

Nützliche Ressourcen

• https://docs.microsoft.com/en-us/intune/
• https://blogs.technet.microsoft.com/microsoftintune/

Verwenden Sie Intune für Unternehmenszwecke? Bitte teilen Sie uns Ihre Erfahrungen in den Kommentaren mit.