Sophos Mobile Benutzerhandbuch

Verfügbare Funktionen für das Sophos Mobile Self Service Portal konfigurieren. Siehe Self Service

•

Portal konfigurieren

(Seite 28).

• Neue oder aktualisierte Richtlinien auf registrierte Geräte anwenden.

Sophos Mobile

5 Berichte

Sie können Berichte über die von Sophos Mobile verwalteten Objekte erstellen.

1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Berichte, und anschließend auf den

Namen des gewünschten Berichts.

2. Klicken Sie im Dialog Format auswählen auf eines der verfügbaren Symbole, um das

Ausgabeformat auszuwählen:

•

Klicken Sie auf , um den Bericht als Microsoft-Excel-Datei zu exportieren.

•

Klicken Sie auf , um den Bericht als CSV-Datei zu exportieren.

Der Bericht wird auf Ihrem Computer gespeichert.

Sophos Mobile

6 Aufträge

Die Seite Auftragsstatus enthält eine Übersicht der von Ihnen erstellten oder gestarteten Aufträge mit ihrem aktuellen Status.

Sie können alle Ihre Aufträge überwachen und bei Problemen eingreifen. Sie können beispielsweise einen Auftrag löschen, der nicht abgeschlossen werden kann, aber das Gerät blockiert.

Um einen Auftrag zu löschen, klicken Sie auf das Löschen-Symbol neben dem Auftrag.

Sie können Aufträge nach Typ und Status filtern, und sie nach Gerätenamen, Paketnamen, Ersteller und Auftragsdatum sortieren.

6.1 Aufträge überwachen

In Sophos Mobile Admin können Sie alle vorhandenen Aufträge für Geräte überwachen.

• Die Seite Aufträge zeigt alle noch nicht abgeschlossenen und fehlgeschlagenen Aufträge sowie die abgeschlossenen Aufträge der letzten Tage an. Die Seite Auftragsstatus wird automatisch aktualisiert. Sie können somit den Fortschritt der Aufträge verfolgen.

• Die Seite Auftragsdetails zeigt allgemeine Informationen zu einem Auftrag aus der Seite

Aufträge oder der Seite Auftragsarchiv.

• Die Seite Auftragsarchiv zeigt alle Aufträge.

6.1.1 Nicht abgeschlossene, fehlgeschlagene und kürzlich abgeschlossene Aufträge anzeigen

1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Aufträge.

2. Die Spalte Status auf der Seite Auftragsansicht zeigt den Auftragsstatus an, zum Beispiel

Endgültig fehlgeschlagen.

3. Im Feld Aktualisierungsintervall (in Sek.) können Sie auswählen, wie oft die Seite

Auftragsstatus aktualisiert werden soll.

4. Um weitere Details zu einem Auftrag einzusehen, klicken Sie auf das Anzeigen Lupensymbol neben den gewünschten Auftrag.

Die Seite Auftragsdetails wird angezeigt. Neben allgemeinen Informationen zum Auftrag (zum

Beispiel Gerätename, Paketname, Ersteller) zeigt diese Ansicht die Status, die ein bestimmter

Auftrag durchlaufen hat, inklusive Zeitstempel und Fehlercodes. Wenn Kommandos vom Gerät auszuführen sind, wird auf der Seite Auftragsdetails zusätzlich eine Schaltfläche Details angezeigt.

5. Falls verfügbar, klicken Sie auf Details, um die vom Gerät auszuführenden Kommandos anzuzeigen.

Der Fehlercode 0 bedeutet, dass kein Fehler aufgetreten ist. Ist ein Kommando fehlgeschlagen, so wird der entsprechende Fehlercode angezeigt. Meistens werden auch Informationen dazu angezeigt, was den Fehlschlag verursacht haben könnte.

6. Um zur Seite Auftragsdetails zurückzukehren, klicken Sie auf Zurück.

Sophos Mobile

6.1.2 Auftragsarchiv anzeigen

1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Aufträge.

2. Klicken Sie auf der Seite Auftragsstatus auf Auftragsarchiv.

Die Seite Auftragsarchiv wird angezeigt. Sie zeigt alle abgeschlossenen und fehlgeschlagenen

Aufträge im System.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Klicken Sie auf Neu laden, um die Seite Auftragsarchiv zu aktualisieren.

• Löschen Sie einen Auftrag aus dem Archiv , indem Sie auf das Löschen-Symbol neben dem relevanten Auftrag klicken.

• Wählen Sie mehrere Aufträge aus und klicken Sie auf Gewählte löschen, um sie aus dem

Archiv zu löschen.

Um zur Seite Auftragsstatus zurückzugehen, klicken Sie in der Menüleiste auf Aufträge.

6.1.3 Auftragsstatus

Die folgende Tabelle bietet einen Überblick der Auftragsstatus, die auf den Seiten Auftragsstatus und Auftragsarchiv angezeigt werden.

Jedem Status ist eine Farbe zugeordnet, welche die Statuskategorie anzeigt.

Farbschlüssel Status

Angenommen

Beschreibung

Auftrag wurde erstellt.

Wiederholung geplant

Gestartet

In Bearbeitung

Auftragspaket wird bearbeitet

Benachrichtigt

Befehle gesendet

Ergebnisauswertung gestartet

Ergebnis unvollständig

Auftrag wird später wiederholt.

Auftrag wurde gestartet.

Auftragsausführung wird vorbereitet.

Auftragspaket-Ausführung wird vorbereitet.

Die App Sophos Mobile Control wurde benachrichtigt.

Die App Sophos Mobile Control hat das Paket und/ oder die Kommandos erhalten.

Die App Sophos Mobile Control hat geantwortet und die Auswertung des Ergebnisses wurde gestartet.

Ergebnisauswertung hat ergeben, dass noch nicht alle

Ergebnisse des Kommandos empfangen wurden.

Sophos Mobile

Farbschlüssel Status

Warte auf Benutzer-

Aktion

Warte auf

Auftragsausführung

Gerät ist gesperrt

Erfolgreich

Beschreibung

Eine Benutzer-Aktion auf dem Gerät steht aus.

Ein Installationsauftrag wurde an das Gerät gesendet, dessen Ausführung einige Zeit dauern kann.

Auftrag wartet darauf, dass das Gerät entsperrt wird

(iOS).

Paket wurde installiert oder die Kommandos wurden erfolgreich ausgeführt.

Hinweis

Für die Ersteinrichtung (Provisionierung) der App

Sophos Mobile Control muss der Auftrag mit dem

Status Installiert beendet werden.

Installiert

Ergebnisauswertung fehlgeschlagen

Auftrag teilweise fehlgeschlagen

Verschoben

Fehlgeschlagen (wird wiederholt)

Auftrag fehlgeschlagen

Endgültig fehlgeschlagen

Nicht gestartet

Übersprungen

Unbekannt

Die App Sophos Mobile Control wurde erfolgreich installiert. Das Gerät ist nun provisioniert.

Ergebnisauswertung konnte nicht durchgeführt werden.

Nicht alle Kommandos des Auftrags konnten erfolgreich ausgeführt werden.

Auftrag wird später erneut gestartet.

Auftrag ist fehlgeschlagen und wird später wiederholt.

Auftrag ist fehlgeschlagen und wird nicht wiederholt.

Auftrag ist fehlgeschlagen und kann nicht wiederholt werden.

Auftrag ist Teil eines Auftragspakets und wurde noch nicht ausgeführt.

Auftrag wird übersprungen, da er vom Gerät nicht unterstützt wird.

Der Server hat keine Information zum Auftragsstatus.

Farbschlüssel Kategorie

Öffnen

Sophos Mobile

Farbschlüssel Kategorie

In Bearbeitung

Erfolgreich

Fehlgeschlagen

Sonstiges

Sophos Mobile

7 Warnhinweise

Auf der Seite Alarme sind die Alarme aufgelistet, die Ihre Aufmerksamkeit erfordern.

Angegeben sind jeweils das Ereignis, das den Alarm ausgelöst hat, der Zeitpunkt, sowie der betroffene Benutzer und das betroffene Gerät.

Die Liste zeigt auch den Schweregrad der Alarme:

Graues Infosymbol für Informations-Alarme

Oranges Warnsymbol für Alarme mittlerer Priorität

Rotes Warnsymbol für Alarme hoher Priorität

Alarme bestätigen

Wählen Sie einen oder mehrere Alarme aus und klicken Sie anschließend auf Als bestätigt

markieren, um die ausgewählten Alarme aus der Liste zu entfernen. Um bestätigte Alarme anzuzeigen, wählen Sie im Listenfeld oberhalb der Tabelle den Eintrag Bestätigte Alarme anzeigen aus.

Hinweis

Wenn Sie einen Alarm bestätigen, wird dadurch nicht das Problem behoben, das den Alarm ausgelöst hat.

Warnung

Alle Alarme – auch solche, die Sie nicht bestätigt haben – werden nach 90 Tagen automatisch aus der Datenbank von Sophos Mobile entfernt.

E-Mail-Berichte für Alarme einrichten

Sophos Mobile verschickt E-Mail-Berichte für alle noch nicht bestätigten Alarme. Informationen, wie

Sie Empfänger und Zeitplan für diese Berichte einrichten, finden Sie in

E-Mail konfigurieren (Seite

16).

Welche Ereignisse lösen Alarme aus?

Alarme werden von folgenden Ereignissen ausgelöst:

• Compliance-Verstöße, für die Sie die Aktion Alarm erstellen aktiviert haben.

• Statusänderungen im Geräte-Lebenszyklus und wichtige Geräteaktionen.

• Der bevorstehende Ablauf von Lizenzen und Zertifikaten.

• Weitere Ereignisse, die Ihre Aufmerksamkeit erfordern.

Wenn Sophos Intercept X for Mobile von Sophos Mobile verwaltet wird, erstellt es Warnmeldungen für Sicherheitsprobleme und blockierte Webseiten.

Sophos Mobile

8 Einrichtung

Im Menüabschnitt Einrichtung konfigurieren Sie das allgemeine Verhalten von Sophos Mobile sowie die Interaktion mit Geräten und mit externen Komponenten wie Google- oder Apple-Portalen.

8.1 Persönliche Einstellungen konfigurieren

Sie können individuelle Einstellungen für Sophos Mobile Admin vornehmen. Zum Beispiel können Sie die Sprache, die Zeitzone und die angezeigten Geräteplattformen festlegen.

Hinweis

Diese Einstellungen gelten nur für den aktuell angemeldeten Administrator.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Persönlich.

2. Konfigurieren Sie folgende Einstellungen:

Option

Sprache

Beschreibung

Die Sprache der Benutzeroberfläche.

Zeitzone

Maßsystem

Datensätze pro

Tabellenseite

Expertenmodus

Die Zeitzone, in der Uhrzeiten angezeigt werden.

Das Maßsystem für Längenwerte (Metrisch oder Imperial).

Die Anzahl der Einträge pro Tabellenseite.

Aktivierte Plattformen

Diese Einstellung aktiviert zusätzliche Funktionen:

• Die Seite Gerät anzeigen enthält ein Tab

Benutzerdefinierte Eigenschaften mit benutzerdefinierten

Geräteeigenschaften.

• Die Seite Gerät anzeigen enthält ein Tab Interne

Eigenschaften mit zusätzlichen vom Gerät gemeldeten

Eigenschaften.

• Einige Konfigurationsseiten für Richtlinien enthalten einen

Abschnitt Zusätzliche Einstellungen, in dem Sie optionale

Einstellungen konfigurieren können.

Die Geräteplattformen, die angezeigt werden sollen.

In Sophos Mobile Admin werden nur Seiten und Einstellungen angezeigt, die für die ausgewählten Plattformen relevant sind.

3. Klicken Sie auf Speichern.

Sophos Mobile

8.2 Kennwortrichtlinien konfigurieren

Konfigurieren Sie zur Durchsetzung der Sicherheit von Kennwörtern Kennwortrichtlinien für Benutzer von Sophos Mobile Admin und Sophos Mobile Self Service Portal.

Hinweis

Die Kennwortrichtlinien gelten nicht für Benutzer eines externen LDAP-Verzeichnisses.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Kennwortrichtlinien.

2. Unter Regeln können Sie Mindestanforderungen definieren, zum Beispiel die Mindestanzahl der

Kleinbuchstaben, Großbuchstaben oder Ziffern, damit das Kennwort gültig ist.

3. Konfigurieren Sie unter Einstellungen folgende Einstellungen: a) Änderungsintervall (Tage): Geben Sie die Kennwort-Gültigkeitsdauer in Tagen ein (zwischen

1 und 730 ), oder lassen Sie das Feld leer, wenn Kennworte nicht ablaufen sollen.

b) Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen: Wählen Sie einen Wert zwischen 1 und 10 aus, oder wählen Sie -- aus, um diese Einschränkung zu deaktivieren.

c) Maximale Anzahl fehlerhafter Loginversuche: Wählen Sie die maximale Anzahl an fehlgeschlagenen Login-Versuchen aus, bevor das Konto gesperrt wird (zwischen 1 und 10 ), oder wählen Sie -- aus, um unbegrenzt viele Login-Versuche zuzulassen.

4. Klicken Sie auf Speichern.

8.3 Einstellungen der SMC-App konfigurieren

Auf dem Tab SMC App auf der Seite Allgemeine Einstellungen konfigurieren Sie Einstellungen für die Sophos Mobile Control-App auf Android-Geräten, Windows-Mobile-Geräten, iPhones und iPads.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab SMC-App.

2. Konfigurieren Sie folgende Einstellungen:

Option

Deregistrierung über die App deaktivieren

Beschreibung

Entfernen Sie die Schaltfläche Deregistrieren in der App

Sophos Mobile Control, um zu verhindern, dass Benutzer ihr

Gerät aus der App heraus deregistrieren.

Hinweis

Um eine Deregistrierung durch den Benutzer vollständig zu verhindern, deaktivieren Sie zusätzlich die Option Gerät

deregistrieren in den Einstellungen für das Self Service

Portal. Siehe Self-Service-Portal-Konfigurationen erstellen

(Seite 28).

3. Klicken Sie auf Speichern.

Sophos Mobile

8.4 E-Mail konfigurieren

Auf dem Tab E-Mail-Konfiguration konfigurieren Sie die Einstellungen für E-Mails, die von Sophos

Mobile verschickt werden.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab E-Mail-Konfiguration.

2. Wählen Sie in Sprache die Sprache für die E-Mail aus.

3. Geben Sie in Absendername den Namen ein, der als Absender verwendet wird.

4. Optional: Konfigurieren Sie unter E-Mail-Einstellungen für Alarme Berichte für Alarme, die an

Administratoren gesendet werden: a) Wählen Sie in Schweregrad die Schweregrade der Alarme aus, die in den Berichten enthalten sind.

b) Geben Sie in E-Mail-Empfänger die Empfänger an, indem Sie eine oder mehrere gültige E-

Mail-Adressen eingeben.

c) Geben Sie in E-Mail-Zeitplan die Uhrzeit ein, zu welcher der Bericht gesendet wird. Klicken

Sie anschließend auf Hinzufügen.

Wiederholen Sie dies, um mehrere Berichte pro Tag zu senden.

Hinweis

Zeiten beziehen sich auf die für den Server konfigurierte Zeitzone.

5. Klicken Sie auf Speichern.

Zugehörige Konzepte

Warnhinweise (Seite 13)

8.5 IT-Kontakt konfigurieren

Stellen Sie Ihren Benutzern für Fragen oder Probleme die Kontaktdaten Ihrer IT-Abteilung zur

Verfügung.

Die Informationen, die Sie hier eingeben, werden im Self Service Portal und auf den Geräten der

Benutzer angezeigt.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab IT-Kontakt.

2. Geben Sie die Kontaktinformationen ein.

3. Klicken Sie auf Speichern.

8.6 Datenschutz-Einstellungen konfigurieren

Sie können Administratoren daran hindern, datenschutzrelevante Geräteinformationen einzusehen.

Sie können folgende datenschutzrelevante Einstellungen deaktivieren:

• Gerätestandort

Sophos Mobile

Wenn dies deaktiviert ist, können Sie nicht den Gerätestandort anzeigen. Benutzer können den

Standort ihres Gerätes weiterhin im Sophos Mobile Self Service Portal anzeigen.

Sie können weiterhin den Bericht Gerätestandort anzeigen, der den letzten bekannten Standort aller Geräte anzeigt.

• Installierte Apps

Wenn dies deaktiviert ist, können Sie nicht die auf einem Gerät installierten Apps anzeigen.

Sie können weiterhin Übersichtsberichte zu auf allen Geräten installierten Apps anzeigen.

So konfigurieren Sie die Datenschutz-Einstellungen:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Datenschutz.

2. Klicken Sie zum Deaktivieren der Anzeige von Gerätestandorten auf Administratoren dürfen

Geräte nicht orten.

3. Klicken Sie zum Deaktivieren der Anzeige installierter Apps auf Installierte Apps verbergen.

Hinweis

Sophos Mobile zeichnet folgende datenschutzrelevante Ereignisse auf:

• Ein Administrator fordert einen Gerätestandort an.

• Ein Benutzer fordert im Sophos Mobile Self Service Portal einen Gerätestandort an.

• Die Anzeige von Gerätestandorten in Sophos Mobile Admin wurde aktiviert oder deaktiviert.

• Die Anzeige installierter Apps in Sophos Mobile Admin wurde aktiviert oder deaktiviert.

8.7 Einstellungen für iPhones und iPads

Auf dem Tab iOS & iPadOS auf der Seite Apple-Einrichtung konfigurieren Sie Einstellungen für iPhones und iPads.

Einstellung

Aktivierungssperre-Umgehung

Gerätenamen synchronisieren

Beschreibung

Betreute (supervised) Geräte mit

Aktivierungssperre senden ihren

Umgehungscode an Sophos Mobile.

Mit dem Umgehungscode können Sie das Gerät ohne Apple-ID und Kennwort des vorherigen

Benutzers reaktivieren.

Sophos Mobile verwendet den Namen, den der

Benutzer auf dem Gerät festgelegt hat.

Wenn Sie diese Einstellung deaktivieren, verwendet Sophos Mobile den Namen, den Sie bei der Geräteregistrierung festgelegt haben.

Verwandte Informationen

Apple-Aktivierungssperre umgehen (Seite 62)

Sie können die Apple-Aktivierungssperre umgehen und iPhones und iPads ohne Apple-ID und

Kennwort des vorherigen Benutzers reaktivieren.

Sophos Mobile

8.8 Zertifikate für den Push-

Benachrichtigungsdienst von Apple (APNs)

Um das integrierte Mobile Device Management (MDM) Protokoll von iPhones, iPads und Macs verwenden zu können, muss Sophos Mobile den Push-Benachrichtigungsdienst von Apple (APNs) zum Triggern der Geräten benutzen.

Sophos Mobile verwaltet APNs-Zertifikate pro Kunde. Sie müssen die Zertifikate für jeden Kunden, den Sie verwenden, erstellen und hochladen.

APNs-Zertifikate haben eine Gültigkeit von einem Jahr.

8.8.1 APNs-Zertifikat erstellen

Voraussetzung: Sie haben noch kein Zertifikat für den Push-Benachrichtigungsdienst von Apple

(APNs) zu Sophos Mobile hochgeladen.

Informationen zur Erneuerung eines vorhandenen Zertifikats finden Sie in APNs-Zertifikat erneuern

(Seite 19).

Tipp

Sie können dasselbe Zertifikat für mehrere Kunden verwenden. Siehe APNs-Zertifikat in einen anderen Kunden kopieren (Seite 20).

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

2. Klicken Sie auf Assistent „APNs Zertifikat“.

3. Klicken Sie auf der Seite Modus auf Ein neues APNs-Zertifikat erzeugen.

4. Klicken Sie auf der Seite CSR auf Certificate Signing Request herunterladen.

Hierdurch wird die CSR-Datei apple.csr

auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.

5. Sie benötigen eine Apple-ID. Auch wenn Sie bereits eine Apple-ID haben, empfehlen wir Ihnen, für den Gebrauch mit Sophos Mobile eine separate ID zu erstellen. Klicken Sie auf der Seite Apple-ID auf Im Apple-Portal eine Apple-ID erstellen.

Hierdurch wird die Apple-Internetseite geöffnet, auf der Sie eine Apple-ID für Ihr Unternehmen erstellen können.

Hinweis

Verwahren Sie die Anmeldeinformationen an einem sicheren Ort, auf den auch Ihre

Arbeitskollegen zugreifen können. Ihr Unternehmen benötigt diese Anmeldeinformationen jedes Jahr, um das Zertifikat zu erneuern.

6. Geben Sie im Feld Apple-ID des Assistenten Ihre neue Apple-ID ein.

7. Klicken Sie auf der Seite Zertifikat auf Zertifikat im Apple-Portal erstellen.

Hierdurch wird das Apple Push Certificates Portal geöffnet.

8. Melden Sie sich mit Ihrer Apple-ID an und laden Sie die CSR-Datei apple.csr

hoch.

9. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem

herunter und speichern Sie diese.

Sophos Mobile

10. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei mit der

Endung .pem

aus, die Sie vom Apple Push Certificates Portal erhalten haben.

11. Klicken Sie auf Speichern.

Sophos Mobile liest das Zertifikat ein und zeigt die Zertifikatdetails auf dem Tab APNs an.

8.8.2 APNs-Zertifikat erneuern

Voraussetzung: Sie haben ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) zu Sophos Mobile hochgeladen, das abläuft und erneuert werden muss.

Informationen zum Erstellen und Hochladen eines neuen Zertifikats finden Sie in

APNs-Zertifikat erstellen

(Seite 18).

Achtung

Es ist wichtig, dass Sie im Apple-Portal das korrekte APNs-Zertifikat zum Erneuern auswählen.

Falls Sie ein falsches Zertifikat erneuern, müssen Sie möglicherweise sämtliche iPhones, iPads und Macs erneut registrieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

2. Klicken Sie auf Assistent „APNs Zertifikat“.

3. Klicken Sie auf der Seite Modus auf Mein APNs-Zertifikat erneuern.

4. Klicken Sie auf der Seite CSR auf Certificate Signing Request herunterladen.

Hierdurch wird die CSR-Datei apple.csr

auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.

5. Auf der Seite Apple-ID wird die Apple-ID angezeigt, die bei der erstmaligen Erstellung des APNs-

Zertifikats verwendet wurde.

Sie benötigen diese ID für die Anmeldung am Apple-Portal.

6. Klicken Sie auf der Seite Zertifikat auf Zertifikat im Apple-Portal erneuern.

Hierdurch wird das Apple Push Certificates Portal geöffnet.

7. Melden Sie sich mit der Apple-ID an, die im Assistenten angezeigt wird.

8. Klicken Sie im Apple Push Certificates Portal auf Renew neben Ihrem Sophos Mobile APNs-

Zertifikat.

9. Laden Sie die zuvor erzeugte CSR-Datei apple.csr

hoch.

10. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem

herunter und speichern Sie diese.

11. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei mit der

Endung .pem

aus, die Sie vom Apple Push Certificates Portal erhalten haben.

12. Klicken Sie auf Speichern.

Sophos Mobile

Achtung

Falls folgende Meldung angezeigt wird, erneuern Sie nicht das richtige Zertifikat:

Das Topic des neuen Zertifikats stimmt nicht mit dem alten Zertifikat

überein. Wenn mit dem vorherigen Zertifikat Geräte eingerichtet worden sind, müssen diese erneut eingerichtet werden. Wollen Sie Ihre Änderungen wirklich speichern?

Diese Meldung macht Sie darauf aufmerksam, dass Sie dabei sind, ein neues APNs-Zertifikat mit einer abweichenden Kennung zu erstellen. Wenn Sie die Meldung bestätigen, können alle vorhandenen iPhones, iPads und Macs nicht mehr verwaltet werden und Sie müssen diese erneut registrieren.

Informationen, wie Sie das richtige Zertifikat ermitteln, finden Sie in Zu erneuerndes APNs-Zertifikat bestimmen

(Seite 21).

8.8.3 APNs-Zertifikat in einen anderen Kunden kopieren

Sie können ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) in einen anderen

Kunden derselben oder einer anderen Installation von Sophos Mobile kopieren.

Achtung

Falls am Kopierziel bereits ein APNs-Zertifikat vorhanden ist, ist es wichtig, dass die

Zertifikateigenschaft Topic des zu kopierenden Zertifikats mit dem Topic des vorhandenen

Zertifikats übereinstimmt. Falls Sie ein falsches Zertifikat kopieren, müssen Sie möglicherweise sämtliche iPhones, iPads und Macs des Kunden erneut registrieren.

Laden Sie das Zertifikat herunter:

1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, dessen APNs-Zertifikat Sie kopieren wollen.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

3. Notieren Sie sich den unter APNs-Zertifikat angezeigten Wert für Topic.

4. Klicken Sie auf Zertifikat als PKCS#12-Datei herunterladen.

5. Im Bestätigungsdialog wird das Kennwort für die Zertifikat-Datei angezeigt. Notieren Sie sich dieses Kennwort und klicken Sie anschließend auf Herunterladen.

Die Zertifikatdatei apns_cert.p12

wird auf Ihrem Computer gespeichert.

Laden Sie das Zertifikat in einen anderen Kunden hoch:

6. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, zu dem Sie das Zertifikat hochladen wollen.

7. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

8. Falls bereits ein Zertifikat vorhanden ist, überprüfen Sie, dass der Wert für Topic mit dem Wert des zu kopierenden Zertifikats übereinstimmt.

9. Klicken Sie auf Assistent „APNs Zertifikat“.

10. Klicken Sie auf der Seite Modus auf Ein APNs-Zertifikat von einem anderen Sophos-Mobile-

Kunden hochladen.

11. Geben Sie auf der Seite Apple-ID die Apple-ID ein, mit der das APNs-Zertifikat erstellt wurde, das

Sie hochladen wollen.

Sophos Mobile

12. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei apns_cert.p12

aus, die Sie von dem anderen Kunden heruntergeladen haben.

13. Geben Sie das Kennwort ein und klicken Sie auf Anwenden.

14. Klicken Sie auf Speichern.

8.8.4 Zu erneuerndes APNs-Zertifikat bestimmen

Wenn Sie, wie in

APNs-Zertifikat erneuern (Seite 19) beschrieben, Ihr Zertifikat für den Push-

Benachrichtigungsdienst von Apple (APNs) für Sophos Mobile erneuern, ist es wichtig, dass Sie im

Apple-Portal das richtige APNs-Zertifikat zum Erneuern auswählen.

Dieser Abschnitt beschreibt, wie Sie das aktuell auf den Sophos Mobile Server hochgeladene APNs-

Zertifikat bestimmen.

Ermitteln Sie die Zertifikat-Kennung:

1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, dessen APNs-Zertifikat erneuert werden muss.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

3. Notieren Sie sich den unter APNs-Zertifikat angezeigten Wert für Topic.

Ermitteln Sie das Zertifikat:

4. Öffnen Sie in Ihrem Webbrowser die URL des Apple Push Certificates Portal, https:// identity.apple.com/pushcert/ .

Falls Sie den Microsoft Internet Explorer verwenden und Probleme mit bestimmten Funktionen des Apple-Portals haben, empfehlen wir Ihnen, stattdessen eine aktuelle Version der Webbrowser

Firefox, Opera, Chrome oder Safari zu verwenden.

5. Melden Sie sich mit Ihrer Apple-ID an, die Sie auch bei der erstmaligen Erstellung des Zertifikats verwendet haben.

Klicken Sie in der Liste der APNs-Zertifikate auf das Symbol Zertifikat-Info neben einem

Zertifikat.

Die Zertifikatdetails werden angezeigt.

7. Ermitteln Sie, welcher Wert im Feld Subject DN nach der Zeichenkette UID= steht. Wenn dieser

Wert mit der Kennung übereinstimmt, die Sie in Sophos Mobile Admin ermittelt haben, haben Sie das richtige Zertifikat identifiziert.

8.8.5 APNs-Verbindung von Geräten überprüfen

Auf iPhones und iPads können Benutzer überprüfen, ob ihre Geräte sich mit dem Push-

Benachrichtigungsdienst von Apple (APNs) verbinden können.

1. Tippen Sie in der App Sophos Mobile Control auf das Symbol Information, um die Ansicht Über zu

öffnen.

2. Tippen Sie auf APNs überprüfen.

Die App versucht, eine Verbindung zum Apple-APNs-Server aufzubauen. Dies kann bis zu 5

Sekunden dauern.

Prüfen Sie Ihre Firewall-Regeln, falls keine Verbindung zum APNs-Server möglich ist. Eine Liste der erforderlichen Verbindungen finden Sie im Dokument Sophos Mobile Serverbereitstellungs-Anleitung

(englisch) .

Sophos Mobile

8.9 AirPlay-Wiedergabegeräte konfigurieren

Mit Sophos Mobile können Sie das Spiegeln von Inhalten per AirPlay zwischen einem iPhone oder iPad und einem vordefinierten AirPlay-Wiedergabegerät (zum Beispiel AppleTV) ferngesteuert auslösen.

Hinweis

AirPlay funktioniert nur innerhalb eines Netzwerks.

So definieren Sie ein Ziel für das Spiegeln von Inhalten per AirPlay:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab AirPlay.

2. Klicken Sie unter AirPlay-Wiedergabegeräte auf AirPlay-Wiedergabegerät erstellen.

Die Seite AirPlay-Wiedergabegerät wird angezeigt.

3. Geben Sie den Namen und optional die MAC-Adresse des AirPlay-Wiedergabegerätes ein. Falls erforderlich, geben Sie das Gerätekennwort ein.

4. Klicken Sie auf Anwenden.

Das Gerät wird unter AirPlay-Wiedergabegeräte auf dem Tab AirPlay der Seite Apple-

Einrichtung angezeigt.

5. Klicken Sie auf Speichern.

Um das Spiegeln von Inhalten per AirPlay mit diesem Ziel auszulösen, rufen Sie die Seite Gerät

anzeigen des Gerätes auf und klicken Sie auf Aktionen > AirPlay-Wiedergabe anfordern.

8.10 Android-Einstellungen

Auf dem Tab Android auf der Seite Android-Einrichtung konfigurieren Sie Einstellungen für

Android-Geräte:

•

Verwaltungsmodus für Android festlegen

(Seite 22)

•

Sophos-Apps auf Ihrem Webserver bereitstellen

(Seite 23).

•

Synchronisierung von Android-Geräten konfigurieren

(Seite 24).

•

Baidu Cloud Push aktivieren

(Seite 24)

8.10.1 Verwaltungsmodus für Android festlegen

Android-Geräte können Sie in einem der Modi Android Enterprise und Geräteadministrator

(Legacy-Feature) verwalten.

Android Enterprise

Geräteadministrator (Legacy-Feature)

Sophos Mobile Control ist der Geräte- oder

Profilbesitzer und verwendet Android Enterprise, um das Gerät oder einen Arbeitsbereich auf dem

Gerät zu verwalten.

Sophos Mobile Control ist ein Geräteadministrator und verwendet Android Mobile Device

Management (MDM), um das Gerät zu verwalten.

Sophos Mobile

Google hat den Verwaltungsmodus

„Geräteadministrator“ abgekündigt und reduziert seinen Funktionsumfang. Wir empfehlen, stattdessen den Android-Enterprise-

Verwaltungsmodus zu verwenden.

Gehen Sie wie folgt vor, um den Android-Verwaltungsmodus festzulegen:

1. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Android-

Einrichtung und anschließend das Tab Android aus.

2. Wählen Sie in Verwaltungsmodus den Verwaltungsmodus für Android-Geräte aus.

3. Klicken Sie auf Speichern.

Durch diese Einstellung wird festgelegt, welche Arten von Richtlinien in der Benutzeroberfläche verfügbar sind.

Sie müssen Android Enterprise für Ihre Organisation einrichten, bevor Sie Geräte registrieren können.

Zugehörige Konzepte

Android Enterprise einrichten - Übersicht (Seite 369)

8.10.2 Sophos-Apps auf Ihrem Webserver bereitstellen

Die Android-Apps Sophos Mobile Control and Sophos Intercept X for Mobile, die Benutzer während der Registrierung installieren, können Sie auf einem internen Webserver bereitstellen anstatt in Google

Play.

Warnung

• Diese Option stellt ein Sicherheitsrisiko dar. Wenn Sie Sophos-Apps auf einem internen

Webserver bereitstellen, müssen Sie generell die Installation von Apps außerhalb Google Play erlauben.

• Stellen Sie sicher, dass auf den mobilen Geräten die jeweils aktuellste App-Version installiert ist. Laden Sie regelmäßig die neueste Version von der Sophos-Webseite „Downloads und Updates“ auf Ihren Webserver herunter und installieren Sie diese mit Hilfe eines

Auftragspakets auf den Geräten.

So konfigurieren Sie die Installationsquelle für Sophos Mobile Control und Sophos Intercept X for

Mobile:

1. Melden Sie sich in Sophos Mobile Admin als Superadministrator an.

2. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Android-

Einrichtung und anschließend das Tab Android aus.

3. Wählen Sie unter Installationsquelle auswählen die Option Gehostete APK-Datei aus.

4. Geben Sie in URL der SMC-APK-Datei die URL von Sophos Mobile Control ein.

Wenn Sie zum Beispiel die APK-Datei in ein Unterverzeichnis smc Ihres Webserver-

Deployment-Verzeichnisses kopiert haben, geben Sie diese URL ein: <Webserver_Adresse>/ smc/smc.apk

5. Geben Sie analog in URL der Intercept X for Mobile APK-Datei die URL der App Intercept X ein.

Dies erfordert eine Lizenz vom Typ Mobile Advanced.

6. Klicken Sie auf Speichern.

Sophos Mobile

Verwandte Informationen

Sophos Downloads und Updates

8.10.3 Synchronisierung von Android-Geräten konfigurieren

Sie können das Synchronisierungsintervall der Android-App von Sophos Mobile Control konfigurieren.

Die App Sophos Mobile Control synchronisiert sich mit dem Sophos Mobile Server in folgenden

Situationen:

• Sofort, wenn es Änderungen an der Gerätekonfiguration mitteilen muss.

• Wenn es vom Server durch den Push-Benachrichtigungsdienst Google Cloud Messaging (GCM) oder Baidu Cloud Push dazu aufgefordert wird.

• Zeitgesteuert alle 24 Stunden.

Falls erforderlich, können Sie für die zeitgesteuerte Synchronisierung ein kürzeres Intervall verwenden.

Bei Sophos Mobile on Premise wird dies vom Superadministrator konfiguriert.

Warnung

Der Standardwert von 24 Stunden ist in den meisten Fällen ausreichend. Wir empfehlen, ein kürzeres Intervall nur dann zu verwenden, falls der Pushbenachrichtigungsdienst für Sie nicht funktioniert. Kürzere Intervalle wirken sich negativ auf Akkulaufzeit und Datenverbrauch aus und verursachen eine höhere Server-Last.

So konfigurieren Sie das Synchronisierungsintervall für die App Sophos Mobile Control auf Android-

Geräten:

1. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Android-

Einrichtung und anschließend das Tab Android aus.

2. Wählen Sie unter Synchronisierungsintervall der SMC-App einen Wert aus der Liste

Synchronisierungsintervall aus.

3. Klicken Sie auf Speichern.

8.10.4 Baidu Cloud Push aktivieren

Sophos Mobile verwendet den Dienst Google Firebase Cloud Messaging (FCM), um Push-

Benachrichtigungen an Android-Geräte zu senden, damit diese sich mit dem Sophos Mobile Server verbinden. In China funktioniert FCM wahrscheinlich nicht. Sophos Mobile kann darum zusätzlich

Baidu Cloud Push verwenden, einen chinesischen Dienst für Push-Benachrichtigungen.

Falls Sie Android-Geräte verwalten, die sich in China befinden, aktivieren Sie Baidu Cloud Push wie folgt:

1. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Android-

Einrichtung und anschließend das Tab Android aus.

2. Wählen Sie im Abschnitt Baidu Cloud Push die Option Baidu Cloud Push aktivieren aus.

3. Klicken Sie auf Speichern.

Wenn Baidu Cloud Push aktiviert ist, sendet Sophos Mobile alle Push-Benachrichtigungen sowohl über

FCM als auch über Baidu Cloud Push.

Sophos Mobile

8.11 Samsung-Knox-Lizenz registrieren

Wenn Sie eine Lizenz für Samsung Knox Premium erworben haben, können Sie mit Sophos Mobile den Knox-Container auf Ihren Samsung-Geräten verwalten.

So registrieren Sie einen Lizenzschlüssel für Samsung Knox Premium:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Samsung-Knox-Lizenz.

2. Geben Sie Ihren Lizenzschlüssel für Samsung Knox Premium ein.

Sie können einen Lizenzschlüssel vom Typ KPE Premium oder KLM Workspace verwenden.

3. Klicken Sie auf Speichern.

Wenn Sie sich später entscheiden, Ihre Lizenz für Samsung Knox Premium nicht mit Sophos Mobile verwenden zu wollen, klicken Sie auf Entfernen, um den Lizenzschlüssel zu deregistrieren.

8.12 Poll-Intervall für Windows-Geräte konfigurieren

Für Windows-Geräte können Sie das Poll-Intervall konfigurieren, in dem sich der Windows-MDM-

Client mit dem Sophos Mobile Server verbindet. Normalerweise verwendet der Server Push-

Benachrichtungen, um sich mit den Clients zu verbinden. Polling wird nur zur Sicherheit verwendet, falls der Push-Benachrichtigungsdienst nicht verfügbar ist.

Hinweis

Die Standardwerte sind in den meisten Fällen ausreichend. Kürzere Intervalle wirken sich negativ auf Akkulaufzeit und Datenverbrauch aus und verursachen eine höhere Server-Last.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Microsoft-Einrichtung und öffnen Sie anschließend das Tab MDM-Synchronisierungsintervall.

2. Wählen Sie Poll-Intervalle für die verschiedenen Windows-Betriebssysteme aus.

3. Klicken Sie auf Speichern.

8.13 Lizenzen prüfen

Sophos Mobile verwendet ein benutzerbasiertes Lizenzschema. Eine einzelne Benutzerlizenz ist für alle Geräte gültig, die dem betreffenden Benutzer zugewiesen sind. Für Geräte, die keinem Benutzer zugewiesen sind, ist jeweils eine Lizenz erforderlich.

Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und

öffnen Sie anschließend das Tab Lizenz.

Die folgenden Informationen werden angezeigt:

• Maximale Anzahl von Lizenzen: Maximale Anzahl von Gerätebenutzern (und nicht zugewiesenen Geräten), die verwaltet werden können.

Falls der Superadministrator für einen Kunden keinen Höchstwert angegeben hat, ist die

Lizenzanzahl durch die Gesamtzahl für den Sophos Mobile Server begrenzt.

Sophos Mobile

• Genutzte Lizenzen: Anzahl der verwendeten Lizenzen.

• Gültig bis: Das Lizenzablaufdatum.

• Advanced-Lizenz: Der Superadministrator hat für den Kunden eine Lizenz vom Typ Mobile

Advanced aktiviert.

Wenn Sie Fragen zu den Lizenzinformationen haben, oder wenn die angezeigten Informationen

Ihrer Meinung nach nicht korrekt sind, wenden Sie sich an Ihren Sophos Vertriebspartner.

8.14 Simple Certificate Enrollment Protocol (SCEP)

Mit SCEP (Simple Certificate Enrollment Protocol) können Sie Zertifikate an Android-, iOS- und

Windows-Mobile-Geräte verteilen.

8.14.1 Voraussetzungen

Um das Simple Certificate Enrollment Protocol (SCEP) nutzen zu können, müssen die folgenden

Voraussetzungen erfüllt sein:

• In der Netzwerk-Umgebung muss eine SCEP-fähige Windows-CA vorhanden sein.

• Die Anmeldeinformationen für einen Benutzer, der einen Challenge-Code erstellen kann, sind verfügbar.

• Der Sophos Mobile hat http- oder https-Zugriff auf die folgenden Adressen:

— https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN

— https://IHR-SCEP-SERVER/CertSrv/MSCEP

8.14.2 SCEP konfigurieren

Bevor Sie SCEP für Ihre Geräte verwenden können, müssen Sie die Verbindung zu Ihrem SCEP-

Server konfigurieren.

So konfigurieren Sie SCEP:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab SCEP.

2. Machen Sie die folgenden Angaben: a) Geben Sie im Feld SCEP Server URL https://IHR-SCEP-SERVER/CertSrv/MSCEP ein.

b) Geben Sie im Feld Challenge URL https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN ein.

Hinweis

Wenn Sie einen Windows 2003-Server als SCEP-Server verwenden, geben Sie https://

IHR-SCEP-SERVER/CertSrv/MSCEP ein.

c) Geben Sie in den Feldern Benutzer und Kennwort die Anmeldeinformationen des Benutzers ein, der einen Challenge-Code erstellen kann.

Sophos Mobile

Hinweis

Geben Sie im Feld Benutzer einen Benutzer ein, der über die erforderlichen

Berechtigungen für die Bereitstellung von Zertifikaten verfügt. Verwenden Sie folgendes

Anmeldeformat: benutzername@domäne d) Wählen Sie im Feld Challenge-Zeichen die Zeichenklassen aus, die für das Challenge-

Kennwort verwendet werden.

e) Akzeptieren Sie im Feld Challenge-Länge die Standardlänge.

f) Optional: Deaktivieren Sie die Option HTTP-Proxy verwenden, damit Sophos Mobile für

Verbindungen mit dem SCEP-Server den HTTP-Proxy umgeht. Diese Option ist nur verfügbar, wenn der HTTP-Proxy aktiviert ist.

Für Sophos Mobile on Premise kann der Superadministrator einen HTTP-Proxy konfigurieren, den Sophos Mobile für ausgehende HTTP- und SSL/TLS-Verbindungen verwendet. Siehe das

Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Für Sophos Mobile as a Service ist der HTTP-Proxy standardmäßig aktiviert.

3. Klicken Sie auf Speichern.

Sophos Mobile testet die Verbindung zu Ihrem SCEP-Server.

Um mittels SCEP ein Zertifikat bereitzustellen, fügen Sie eine Konfiguration vom Typ SCEP zu einer

Android-, iOS- oder Windows-Mobile-Richtlinie hinzu.

Tipp

In der Richtlinie können Sie ein Intervall für die automatische Erneuerung des Zertifikats konfigurieren.

8.15 Kundeneigenschaften erstellen

Sie können für jeden Kunden spezifische Eigenschaften erstellen.

Wenn Sie eine Eigenschaft Meine Eigenschaft erstellen, können Sie in Profilen und

Richtlinien den Wert der Eigenschaft einfügen, indem Sie den Platzhalter %_CUSTPROP(Meine

Eigenschaft)_% verwenden. Sie können dies zum Beispiel verwenden, um Domänen zu referenzieren, die nur für den Kunden gelten.

Details zu Platzhaltern finden Sie in Platzhalter in Richtlinien

(Seite 117).

So erstellen Sie eine Kundeneigenschaft:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Kundeneigenschaften.

2. Klicken Sie auf Kundeneigenschaft hinzufügen.

3. Geben Sie einen Namen und einen Wert für die Kundeneigenschaft ein.

4. Klicken Sie auf Anwenden.

5. Klicken Sie auf Speichern.

Die Kundeneigenschaft wird dem Kunden in Sophos Mobile hinzugefügt.

Sophos Mobile

9 Self Service Portal konfigurieren

Mit dem Self Service Portal können Sie IT-Aufwände reduzieren, indem Sie den Benutzern ermöglichen, eigenständig Geräte zu registrieren und andere Aufgaben auszuführen, ohne dazu den

Helpdesk zu kontaktieren.

Mit einer Konfiguration vom Typ „Self Service Portal“ legen Sie folgendes fest:

• Welche Benutzergruppen berechtigt sind, das Self Service Portal zu verwenden.

• Welche Typen von Geräten Benutzer registrieren können.

• Welche Aktionen Benutzer ausführen können.

Im Self Service Portal können Geräte folgender Plattformen verwaltet werden:

• Android

• iOS & iPadOS

• macOS

• Windows Mobile

• Windows

• Chrome OS

9.1 Self-Service-Portal-Konfigurationen erstellen

Mit einer Self-Service-Portal-Konfiguration konfigurieren Sie, welche Arten von Geräten Benutzer registrieren können, die Registrierungsdetails und die Geräteaktionen, die Benutzer im Self-Service-

Portal ausführen können.

Sie können verschiedene Self-Service-Portal-Konfigurationen für verschiedene Benutzer verwenden.

Fügen Sie dazu Benutzer zu einer Benutzergruppe hinzu und verknüpfen Sie die Gruppe mit einer

Konfiguration. Details zu Benutzergruppen finden Sie unter „Verwandte Informationen“.

Wenn ein Benutzer zu mehreren Gruppen gehört, die alle mit Self-Service-Portal-Konfigurationen verknüpft sind, gilt die Konfiguration mit der höchsten Priorität.

Warnung

Aufgrund der Komplexität von Self-Service-Portal-Konfigurationen empfehlen wir, dass Sie die

Geräteregistrierung mit verschiedenen Benutzergruppen testen, bevor Sie die Einstellungen Ihren

Benutzern zur Verfügung stellen.

So erstellen Sie eine Self-Service-Portal-Konfiguration:

1. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Self Service

Portal aus.

2. Wählen Sie Registrierungstexte aus und fügen Sie anschließend Nutzungsbedingungen und einen Registrierungsabschlusstext hinzu.

Wenn Sie diese Texte Ihrer Konfiguration für das Self Service Portal zuweisen, werden sie zu Beginn bzw. am Ende der Registrierung angezeigt. Für weitere Informationen siehe

Registrierungstexte erstellen

(Seite 30).

Sophos Mobile

3. Wählen Sie auf der Seite Self-Service-Portal-Konfigurationen die Option Hinzufügen aus, um eine Konfiguration zu erstellen.

Sie können mehrere Konfigurationen erstellen, um sie unterschiedlichen Benutzergruppen zuzuweisen.

4. Konfigurieren Sie folgende Einstellungen:

Option

Name

Beschreibung

Der Name der Konfiguration.

Anhand dieses Namens wählen Benutzer im Self Service

Portal eine Konfiguration aus.

Benutzergruppen Wählen Sie Hinzufügen aus und geben Sie anschließend eine

Benutzergruppe ein. Die Konfiguration wird für alle Mitglieder dieser Gruppe verwendet.

Sie können einer Konfiguration mehrere Benutzergruppen hinzufügen, aber Sie können nicht dieselbe Benutzergruppe für verschiedene Konfigurationen verwenden.

Maximale Anzahl an

Geräten

Die maximale Anzahl an Geräten, die ein Benutzer im Self

Service Portal registrieren kann.

Aktionen Wählen Sie Anzeigen aus und anschließend die Aktionen, die

Benutzer im Self Service Portal ausführen können.

Informationen, welche Aktionen von den einzelnen Plattformen

unterstützt werden, finden Sie in Verfügbare Aktionen im Self

Service Portal

(Seite 31).

5. Wählen Sie Hinzufügen und anschließend eine Geräteplattform aus.

6. Konfigurieren Sie im Dialog Plattform-Einstellungen konfigurieren die folgenden Einstellungen:

Option

Angezeigter Name

Beschreibung

Der Name der Plattform-Einstellungen.

Anhand dieses Namens wählen Benutzer im Self Service

Portal den Registrierungstyp aus.

Beschreibung

Besitzer

Eine Beschreibung der Plattform-Einstellungen.

Diese Beschreibung wird im Self Service Portal neben dem

Namen angezeigt.

Der Besitzertyp (Firmengerät oder Privatgerät) von Geräten, die mit dieser Konfiguration registriert werden.

Gerätegruppe

Registrierungspaket

Nutzungsbedingungen

Die Gerätegruppe, der das Gerät hinzugefügt wird.

Das an das Gerät gesendete Auftragspaket (Android, iOS, macOS) bzw. Richtlinie (Windows, Windows Mobile).

Der Text, der im Self Service Portal zu Beginn der

Registrierung angezeigt wird.

Wenn Sie das Feld leer lassen, wird kein Text angezeigt.

Sophos Mobile

Option Beschreibung

Benutzer müssen dem Text zustimmen, um mit der

Registrierung fortzufahren.

Registrierungsabschlusstext Der Text, der im Self Service Portal am Ende der

Registrierung angezeigt wird.

Wenn Sie das Feld leer lassen, wird kein Text angezeigt.

7. Wählen Sie Anwenden aus, um die Plattform-Einstellungen zu der Self-Service-Portal-

Konfiguration hinzuzufügen.

8. Konfigurieren Sie bei Bedarf weitere Plattformen.

Für jede Plattform können Sie unterschiedliche Einstellungen für Firmengeräte und Privatgeräte konfigurieren.

9. Klicken Sie auf der Seite Self-Service-Portal-Konfiguration bearbeiten auf Speichern.

Fügen Sie bei Bedarf weitere Self-Service-Portal-Konfigurationen für andere Benutzergruppen hinzu.

Auf der Seite Self-Service-Portal-Konfigurationen können Sie mit den Pfeilsymbolen neben einer

Konfiguration deren Priorität ändern. Falls mehrere Konfigurationen für einen Benutzer zutreffen

(weil der Benutzer Mitglied mehrerer Gruppen ist), wird die Konfiguration mit der höchsten Priorität verwendet.

Es gibt immer eine Konfiguration Default. Diese Konfiguration hat die niedrigste Priorität, d.h. sie wird nur verwendet, wenn keine andere Konfiguration für einen Benutzer zutrifft.

Zugehörige Aufgaben

Benutzergruppen erstellen

(Seite 109)

Mit Benutzergruppen legen Sie fest, welche Benutzer das Sophos Mobile Self Service Portal verwenden können und welche Registrierungsoptionen verfügbar sind.

9.2 Registrierungstexte erstellen

Für das Self Service Portal können Sie Nutzungsbedingungen und einen Registrierungsabschlusstext festlegen, die vor bzw. nach der Geräteregistrierung angezeigt werden. Sie erstellen diese Texte unabhängig von der Self-Service-Portal-Konfiguration und weisen sie dann bei Bedarf einer

Konfiguration zu.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Self Service Portal.

2. Klicken Sie auf Registrierungstexte und anschließend auf den Typ des zu erstellenden Textes:

• Nutzungsbedingungen: Eine Richtlinie, ein Haftungshinweis oder eine Vereinbarung. Dieser

Text wird vor der Registrierung angezeigt. Benutzer müssen dem Text zustimmen, um mit der

Registrierung fortzufahren.

• Registrierungsabschlusstext: Ein Text, der nach der Registrierung angezeigt wird, zum

Beispiel eine Erläuterung weiterer Schritte, die Benutzer ausführen müssen.

3. Geben Sie auf der Seite Registrierungstext bearbeiten einen Namen für den Text ein und dann den Text selber.

Sie können für den Text HTML-Formatierungen verwenden.

4. Klicken Sie auf Speichern.

Bei der Self-Service-Portal-Konfiguration können Sie für jeden Registrierungstyp einen eigenen

Nutzungsbedingungen-Text und Registrierungsabschlusstext auswählen.

Sophos Mobile

Zugehörige Aufgaben

Self-Service-Portal-Konfigurationen erstellen

(Seite 28)

Portal ausführen können.

9.3 Verfügbare Aktionen im Self Service Portal

Im Self Service Portal verwalten Benutzer ihre Geräte. Welche Aktionen verfügbar sind, legen Sie in der Konfiguration für das Self Service Portal fest.

Aktion

Gerät orten

Gerät sperren

Neukonfiguration

Compliance-Verstöße anzeigen

Beschreibung

Ein Gerät bei Verlust oder Diebstahl orten.

Ein Gerät bei Verlust oder Diebstahl sperren.

Die App Sophos Mobile Control neu konfigurieren, zum Beispiel, wenn der

Benutzer sie versehentlich deinstalliert hat.

Details zu Richtlinienverstößen anzeigen.

Plattformen

Android iOS, iPadOS

Windows Mobile

Windows

Chrome OS

Android iOS, iPadOS macOS

Windows Mobile

Android iOS, iPadOS macOS

Windows Mobile

Windows

Android iOS, iPadOS macOS

Windows Mobile

Windows

Sophos Mobile

Aktion

Daten aktualisieren

Kennwort zurücksetzen

Zurücksetzen

Android-Arbeitsprofil entfernen

Gerät deregistrieren

Beschreibung

Ein Gerät bei Verlust oder Diebstahl auf

Werkseinstellungen zurücksetzen.

Alle Daten auf dem Gerät werden gelöscht.

Plattformen

Ein Gerät mit dem Sophos Mobile Server synchronisieren.

Geräte, die über einen längeren Zeitraum ausgeschaltet waren, verstoßen gegen Ihre

Compliance-Richtlinie, wenn diese eine regelmäßige Synchronisierung vorschreibt.

Benutzer können diese Aktion verwenden, um das Gerät wieder richtlinienkonform zu machen.

Diese Funktion ist nicht für Geräte verfügbar, auf denen Sophos Mobile nur den Sophos-

Container verwaltet.

Android iOS, iPadOS macOS

Windows Mobile

Windows

Chrome OS

Das Kennwort für den Sperrbildschirm zurücksetzen.

Bei Android-Geräten, iPhones und iPads legt Sophos Mobile ein Einmalkennwort fest.

Nachdem der Benutzer das Gerät entsperrt hat, muss er das Kennwort ändern.

Für Android-Enterprise-Geräte mit

Arbeitsprofil wird das Kennwort für das

Arbeitsprofil zurückgesetzt.

Bei iPhones und iPads löscht Sophos Mobile das Kennwort. Der Benutzer muss innerhalb von 60 Minuten ein neues Kennwort festlegen.

Android iOS, iPadOS

Windows Mobile

Android iOS, iPadOS macOS

Windows Mobile

Windows

Android Das Arbeitsprofil von einem Gerät entfernen.

Dadurch wird das Gerät auch bei Sophos

Mobile deregistriert.

Ein Gerät bei Sophos Mobile deregistrieren.

Android iOS, iPadOS macOS

Windows Mobile

Windows

Chrome OS

Sophos Mobile

Aktion

Nicht verwaltetes Gerät löschen

App-Protection-Kennwort zurücksetzen

Sophos-Container-

Kennwort zurücksetzen

SMC-App neu konfigurieren

Verwalteter Modus

„Verloren“

„Verloren“-Ton abspielen

Beschreibung

Ein Gerät aus Sophos Mobile löschen.

Plattformen

Android iOS, iPadOS macOS

Windows Mobile

Windows

Chrome OS

Android Das Kennwort für App Protection zurücksetzen.

Benutzer müssen dieses Kennwort eingeben, um von Ihnen festgelegte geschützte Apps zu verwenden.

Das Kennwort für den Sophos-Container zurücksetzen.

Benutzer müssen dieses Kennwort eingeben, um die Sophos-Container-Apps Sophos

Secure Email und Sophos Secure Workspace zu verwenden.

Eine bereits installierte App Sophos Mobile

Control erneut konfigurieren.

Android iOS, iPadOS iOS, iPadOS

Windows Mobile iOS, iPadOS Den verwalteten Modus „Verloren“ aktivieren oder deaktivieren.

Auf einem Gerät, das sich im verwalteten

Modus „Verloren“ befindet, einen Ton abspielen.

iOS, iPadOS

Zugehörige Aufgaben

Self-Service-Portal-Konfigurationen erstellen

(Seite 28)

Portal ausführen können.

Sophos Mobile

10 Compliance-Richtlinien

Mit Compliance-Richtlinien können Sie:

• Bestimmte Funktionen eines Gerätes erlauben, verbieten oder erzwingen.

• Aktionen definieren, die ausgeführt werden, wenn gegen eine Compliance-Regel verstoßen wird.

Sie können unterschiedliche Compliance-Richtlinien erstellen und unterschiedlichen Gerätegruppen zuweisen. Somit können Sie verschiedene Sicherheitsstufen auf Ihre verwalteten Geräte anwenden.

Tipp

Wenn Sie sowohl Firmengeräte als auch Privatgeräte verwalten möchten, empfehlen wir, zumindest für diese beiden Gerätetypen unterschiedliche Compliance-Richtlinien zu definieren.

10.1 Compliance-Richtlinie erstellen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance-Richtlinien.

2. Klicken Sie auf der Seite Compliance-Richtlinien auf Compliance-Richtlinie erstellen und wählen Sie anschließend eine Vorlage für die Richtlinie aus:

• Standardvorlage: Eine Auswahl an Compliance-Regeln ohne vordefinierte Aktionen.

• PCI-Vorlage, HIPAA-Vorlage: Compliance-Regeln und Aktionen, die auf den

Sicherheitsstandards HIPAA bzw. PCI DSS basieren.

Unabhängig davon, mit welcher Vorlage Sie starten, haben Sie immer die selben

Konfigurationsmöglichkeiten.

3. Geben Sie einen Namen und optional eine Beschreibung für die Compliance-Richtlinie ein.

Wiederholen Sie die folgenden Schritte für alle benötigten Plattformen.

4. Stellen Sie sicher, dass das Kontrollkästchen Plattform aktivieren aktiviert ist.

Wenn dieses Kontrollkästchen nicht aktiviert ist, werden die Geräte der Plattform nicht auf

Compliance überprüft.

5. Konfigurieren Sie unter Regel die Compliance-Regeln für die ausgewählte Plattform.

Hinweis

Jede Compliance-Regel hat einen bestimmten Schweregrad (hoch, mittel, niedrig), der durch blaue Balken dargestellt wird. Die erlaubt Ihnen, die Wichtigkeit jeder Regel zu beurteilen und so eine angemessene Aktion für den Fall eines Regelverstoßes zu definieren.

Hinweis

Für Geräte, auf denen Sophos Mobile den Sophos-Container verwaltet anstatt das gesamte Gerät, ist nur ein Teil der Compliance-Regeln durchsetzbar. Wählen Sie in Regeln

hervorheben einen Management-Typ aus, um die für diesen Typ relevanten Regeln hervorzuheben.

6. Definieren Sie unter Wenn gegen die Regel verstoßen wird, welche Aktionen bei einem

Regelverstoß ausgeführt werden:

Option

E-Mail verbieten

Container sperren

Netzwerkzugriff verbieten

Alarm erstellen

Auftragspaket übertragen

Sophos Mobile

Beschreibung

E-Mail-Zugriff verweigern.

Diese Aktion kann nur ausgeführt werden, wenn der

Superadministrator eine Verbindung zum internen oder zum

Standalone-EAS-Proxy konfiguriert hat. Siehe das Dokument

Sophos Mobile Superadministrator-Anleitung (englisch) .

Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, Windows, Windows Mobile.

Sophos Secure Workspace und Secure Email deaktivieren.

Dies wirkt sich auf den durch diese Apps verwalteten Zugang zu

Dokumenten, E-Mails und Internet aus.

Diese Aktion kann nur ausgeführt werden, wenn Sie eine

Lizenz vom Typ Mobile Advanced aktiviert haben.

Diese Funktion ist nur für Android-Geräte, iPhones und iPads verfügbar.

Netzwerkzugriff verbieten.

Diese Aktion kann nur ausgeführt werden, wenn der

Superadministrator Network Access Control konfiguriert hat.

Siehe das Dokument Sophos Mobile Superadministrator-

Anleitung (englisch) .

Dieser Aktion ist nicht für Geräte verfügbar, auf denen Sophos

Mobile nur den Sophos-Container verwaltet.

Einen Alarm auslösen.

Die Alarme werden auf der Seite Alarme angezeigt.

Übermitteln Sie ein bestimmtes Auftragspaket an das Gerät

(optional).

Wählen Sie ein Auftragspaket aus der Liste aus oder wählen

Sie Keine aus, um kein Auftragspaket zu übertragen, wenn ein

Regelverstoß festgestellt wird.

Achtung

Bei falscher Anwendung werden durch Auftragspakete unter

Umständen Geräte falsch konfiguriert oder sogar auf den

Auslieferungszustand zurückgesetzt. Für die Zuweisung der richtigen Auftragspakete zu Compliance-Richtlinien ist weitreichende Erfahrung mit dem System notwendig.

Hinweis

Wenn ein vollständig verwaltetes Android-Enterprise-Gerät nicht den Unternehmensrichtlinien entspricht, werden alle Apps deaktiviert.

7. Wenn Sie alle Einstellungen für alle erforderlichen Plattformen vorgenommen haben klicken Sie auf

Speichern, um die Compliance-Richtlinie unter dem gewählten Namen zu speichern.

Sophos Mobile

10.2 Verfügbare Compliance-Regeln

Dieser Abschnitt beschreibt die Compliance-Regeln, die Sie für die einzelnen Plattformen auswählen können.

Regel

Status „Verwaltet“ erforderlich

Beschreibung

Wählen Sie Aktionen aus, die ausgeführt werden, wenn ein Gerät nicht mehr verwaltet wird.

Plattformen

Android iOS, iPadOS macOS

Windows Mobile

Windows

Chrome OS

Android Verwaltungsmodus

„Geräteadministrator“ erlaubt

Wählen Sie Aktionen aus, die für Geräte ausgeführt werden, auf denen Sophos Mobile ein

Geräteadministrator ist.

Google hat den Verwaltungsmodus

„Geräteadministrator“ abgekündigt und reduziert seinen

Funktionsumfang. Wir empfehlen, stattdessen den Android-Enterprise-

Verwaltungsmodus zu verwenden.

Manipulationsschutz ist deaktiviert Wählen Sie Aktionen aus, die ausgeführt werden, wenn die

Chrome-Security-Richtlinie manipuliert wurde.

Minimale SMC-Version Die älteste erlaubte Version der App

Sophos Mobile Control.

Chrome OS

Minimale Version von Sophos

Chrome Security

Die älteste erlaubte Version der

Erweiterung Sophos Chrome

Security.

Android iOS, iPadOS

Windows Mobile

Android iOS, iPadOS

Windows Mobile

Regel

Root-Zugriff erlaubt

Google-SafetyNet-Kompatibilität erforderlich

Apps aus unbekannten Quellen erlaubt

Android Debug Bridge (ADB) erlaubt

Jailbreak erlauben

Displaysperre erforderlich

Minimale OS-Version

Sophos Mobile

Beschreibung Plattformen

Wählen Sie aus, ob gerootete Geräte zulässig sind.

Dies lässt auch die folgenden Geräte zu, wenn sie vom Betriebssystem als unsicher eingestuft werden:

• Sony-Geräte mit Enterprise API Level 4 oder neuer

• Samsung-Geräte mit Knox Standard

SDK 5.5 (API Level 17) oder älter

Android

Das Gerät muss die Compatibility-

Test-Suite-Prüfung (CTS) bestehen.

Dies ist ein Google-SafetyNet-Test für die Kompatibilität mit Android.

Android

Chrome OS

Wählen Sie aus, ob Apps zulässig sind, die nicht aus Google Play

(Android) bzw. dem Chrome Web

Store (Chrome OS) installiert wurden.

Für Android gilt diese Regel nur für

Geräte mit Android 7.x oder älter.

Wählen Sie aus, ob ADB (Android

Debug Bridge) erlaubt ist.

Android

Wählen Sie aus, ob Geräte mit

Jailbreak zulässig sind.

Wählen Sie aus, ob ein

Gerätekennwort oder eine andere

Art der Displaysperre (zum Beispiel

Muster oder PIN) erforderlich ist.

Für Android umfasst dies die

Displaysperre-Arten Muster, PIN und

Passwort, aber nicht Wischen.

Windows-Mobile-Geräte, denen keine Kennwortrichtlinie zugewiesen ist, werden immer als nicht richtlinienkonform eingestuft. Dies ist eine Beschränkung von Windows.

Die älteste erlaubte Version des

Betriebssystems.

iOS, iPadOS

Android iOS, iPadOS

Windows Mobile

Windows

Android iOS, iPadOS macOS

Windows Mobile

Windows

Chrome OS

Sophos Mobile

Regel

Maximale OS-Version

Erforderliche Betriebssystem-

Aktualisierungen

Maximales

Synchronisierungsintervall

Maximales SMC-

Synchronisierungsintervall

Maximales

Synchronisierungsintervall für

Intercept X for Mobile

Maximales Scanintervall für

Intercept X for Mobile

Berechtigungen dürfen verweigert werden

Beschreibung Plattformen

Die neueste erlaubte Version des

Betriebssystems.

Android iOS, iPadOS macOS

Windows Mobile

Windows

Chrome OS

Wählen Sie aus, ob auf den Geräten die neueste verfügbare bzw. neueste erforderliche Aktualisierung installiert sein muss.

Manche Aktualisierungen werden von

Apple als erforderlich eingestuft. Die neueste verfügbare Aktualisierung ist eventuell neuer als die neueste erforderliche Aktualisierung.

Für iOS 14 und iPadOS 14 (oder neuer) ist diese Regel nur für betreute

(supervised) Geräte verfügbar.

iOS, iPadOS

Die maximale Zeitdauer, nach der sich das Gerät erneut mit Sophos

Mobile synchronisieren muss.

Android iOS, iPadOS macOS

Windows Mobile

Windows

Chrome OS

Die maximale Zeitdauer, nach der sich Sophos Mobile Control erneut mit

Sophos Mobile synchronisieren muss.

iOS, iPadOS

Windows Mobile

Android iOS, iPadOS

Die maximale Zeitdauer, nach der sich Sophos Intercept X for

Mobile erneut mit Sophos Mobile synchronisieren muss.

Die maximale Zeitdauer, nach der

Sophos Intercept X for Mobile einen

Malware-Scan durchführen muss.

Wählen Sie aus, ob das Gerät nicht den Unternehmensrichtlinien entspricht, wenn der Benutzer die

App-Berechtigungen für Sophos

Intercept X for Mobile nicht gewährt.

Android

Regel

Malware-Apps erlaubt

Verdächtige Apps erlaubt

PUAs erlaubt

Verschlüsselung erforderlich

Fremdprofile erlaubt

Daten-Roaming erlauben

Container konfiguriert

Sophos Mobile

Beschreibung

Wählen Sie aus, ob von Sophos

Intercept X for Mobile gefundene

Malware-Apps erlaubt sind.

Wählen Sie aus, ob von Sophos

Intercept X for Mobile gefundene verdächtige Apps erlaubt sind.

Plattformen

Android

Wählen Sie aus, ob von Sophos

Intercept X for Mobile gefundene potenziell unerwünschte Apps (PUAs) erlaubt sind.

Android

Wählen Sie aus, ob für Geräte

Verschlüsselung erforderlich ist.

Benutzer müssen bei der Einrichtung einer Displaysperre zusätzlich die Einstellung PIN zum Starten

des Gerätes erforderlich oder

Passwort zum Starten des Gerätes

erforderlich aktivieren. Siehe den

Sophos-Support-Artikel 123947 .

Für macOS betrifft diese Einstellung die vollständige FileVault-

Festplattenverschlüsselung.

Für Windows Mobile wird ein

Verstoß nur dann gemeldet, wenn zusätzlich die Einschränkung

Unverschlüsseltes Gerät verbieten aktiv ist. Dies ist eine Beschränkung von Windows.

Diese Regel ist für iOS nicht verfügbar, da iPhones und iPads immer verschlüsselt sind.

Nicht von Sophos Mobile verwaltete

Konfigurationsprofile sind erlaubt.

Daten-Roaming ist erlaubt.

Android macOS

Windows Mobile

Windows iOS, iPadOS

Android iOS, iPadOS

Android Ein Container muss auf dem Gerät eingerichtet und aktiviert sein. Dies kann der Sophos-Container, ein

Samsung-Knox-Container oder ein

Android-Arbeitsprofil sein.

Sophos Mobile

Regel

Ortungsberechtigung erforderlich

SMC-Berechtigungen dürfen verweigert werden

App kann das Gerät orten

Firewall erforderlich

Systemintegritäts-Schutz erforderlich

Beschreibung

Diese Einstellung bezieht sich auf die Lokalisieren Funktion. Legen Sie fest, ob der Benutzer der App Sophos

Mobile Control bei der Installation gestatten muss, Ortsdaten abzurufen, damit das Gerät richtlinienkonform ist.

Die App Sophos Mobile Control benötigt auf dem Gerät bestimmte

Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese Berechtigungen bei der App-

Installation gewähren.

Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein

Compliance-Verstoß ist.

Plattformen

Android

Ortungsdienste müssen aktiviert sein und von der App Sophos Mobile

Control verwendet werden dürfen.

Für Windows Mobile betrifft diese

Regel nur Geräte mit Windows Phone

8.1.

iOS, iPadOS

Windows Mobile

Die macOS-Firewall muss aktiviert sein.

Systemintegritäts-Schutz muss aktiviert sein.

macOS macOS

Hinweis

Systemintegritäts-Schutz ist eine

Sicherheitsfunktion in macOS, mit der eingeschränkt werden kann, welche

Aktionen für den Root-Benutzer erlaubt sind. Systemintegritäts-Schutz kann konfiguriert werden, wenn der Mac im Modus macOS-Wiederherstellung gestartet wird.

Sicherheitsupdates erforderlich Die automatische Installation von macOS-Sicherheitsupdates muss aktiviert sein.

macOS

Regel

Installierte Apps

Vorgeschriebene Apps

Nicht verwaltete Apps aus unbekannten Quellen erlaubt

Web Filtering ist aktiviert

Windows Defender muss eingeschaltet sein

Windows Defender darf keine

Probleme melden

Windows-Defender-Definitionen müssen aktuell sein

Sophos Mobile

Beschreibung

Wählen Sie entweder Erlaubte Apps oder Verbotene Apps aus, und wählen Sie dann die App-Gruppe mit den Apps aus, die Sie zulassen oder verbieten wollen.

Android-System-Apps sind immer erlaubt.

Für Chrome OS können App-

Gruppen sowohl Apps als auch

Erweiterungen enthalten.

Geben Sie Apps an, die installiert sein müssen. Wählen Sie die App-

Gruppe mit den erforderlichen Apps aus der Liste aus.

Konfigurieren Sie für iOS keine

System-App als erforderlich. Sophos

Mobile Sie kann nicht feststellen, ob eine System-App installiert ist und stuft alle Geräte als nicht richtlinienkonform ein.

Für Chrome OS können App-

Gruppen sowohl Apps als auch

Erweiterungen enthalten.

Plattformen

Android iOS, iPadOS macOS

Chrome OS

Android iOS, iPadOS macOS

Windows

Chrome OS

Apps sind erlaubt, die manuell mit einer IPA-Datei installiert wurden.

Dies sind selbst-entwickelte Apps, die mit einem

ad hoc provisioning profile

signiert sind.

Die Funktion Web Filtering von

Intercept X muss aktiviert sein.

iOS, iPadOS iOS, iPadOS

Windows Die Windows-Defender-Einstellung

Echtzeitschutz muss eingeschaltet sein.

Das Gerät ist nicht richtlinienkonform, wenn Windows Defender Warnungen anzeigt.

Windows Defender muss die neuesten Antispyware-Definitionen verwenden.

Windows

Sophos Mobile

10.3 Eine Compliance-Richtlinie Gerätegruppen zuweisen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen.

Die Seite Gerätegruppen wird angezeigt.

2. Klicken Sie auf die Gerätegruppe, der Sie eine Compliance-Richtlinie zuweisen wollen.

Die Gerätegruppe Default ist standardmäßig vorhanden. Weitere Informationen zum Erstellen

eigener Gerätegruppen finden Sie in Gerätegruppen erstellen (Seite 100).

3. Wählen Sie unter Compliance-Richtlinien die Compliance-Richtlinien aus, die Sie auf Firmenund Privatgeräte anwenden wollen.

4. Klicken Sie auf Speichern.

Die ausgewählten Compliance-Richtlinien werden auf der Seite Gerätegruppen für die jeweilige

Gerätegruppe unter Compliance-Richtlinie (Firmengeräte) und Compliance-Richtlinie

(Privatgeräte) angezeigt.

10.4 Geräte auf Compliance-Verstöße prüfen

Wenn Sie Compliance-Richtlinien konfiguriert haben, können Sie prüfen, ob registrierte Geräte diesen Richtlinien entsprechen.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance-Richtlinien.

2. Klicken Sie auf Jetzt prüfen.

Alle registrierten Geräte werden auf Compliance-Verstöße geprüft. Die festgelegten Aktionen werden ausgeführt.

Hinweis

Wenn ein vollständig verwaltetes Android-Enterprise-Gerät nicht den Unternehmensrichtlinien entspricht, werden alle Apps deaktiviert.

Sophos Mobile

11 Geräte

11.1 Geräte hinzufügen

Sie können Geräte auf folgende Weisen zu Sophos Mobile hinzufügen:

•

Geräte manuell hinzufügen. Siehe Gerät hinzufügen

(Seite 43).

• Geräte aus einer CSV-Datei importieren. Siehe

Geräte importieren (Seite 44).

• Mit dem Assistenten Gerät hinzufügen ein Gerät zu Sophos Mobile hinzufügen, es einem

Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen. Siehe

Den

Assistenten Gerät hinzufügen verwenden

(Seite 47).

• Benutzern ermöglichen, Geräte eigenständig im Sophos Mobile Self Service Portal zu registrieren.

Siehe

Self Service Portal konfigurieren (Seite 28). Dieses Portal verringert den Aufwand für

die IT, weil die Benutzer Aufgaben ausführen können, ohne sich an das Helpdesk wenden zu müssen. Die Geräte werden durch das Ausführen vordefinierter Auftragspakete provisioniert. Siehe

Gerätegruppen (Seite 100).

Zur Vereinfachung der Geräteverwaltung empfehlen wir Ihnen, Geräte in Gerätegruppen zu organisieren. Siehe

11.1.1 Gerät hinzufügen

Wir empfehlen, dass Sie eine oder mehrere Gerätegruppen erstellen, bevor Sie das erste Gerät zu

Sophos Mobile hinzufügen. Um die Geräteverwaltung zu vereinfachen, können Sie jedes Gerät einer

Gerätegruppe zuweisen. Siehe

Gerätegruppen erstellen

(Seite 100).

So fügen Sie ein neues Gerät zu Sophos Mobile hinzu:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

Die Seite Geräte wird angezeigt.

2. Klicken Sie auf Hinzufügen und wählen Sie anschließend im Menüabschnitt Gerät manuell

hinzufügen die Plattform aus.

Die Seite Gerät bearbeiten wird angezeigt.

3. Geben Sie auf der Seite Gerät bearbeiten die folgenden Gerätedetails ein: a) Geben Sie im Feld Name einen eindeutigen Namen für das neue Gerät ein.

b) Geben Sie im Feld Beschreibung eine Beschreibung für das neue Gerät ein.

c) Wählen Sie unter Eigentümer Firmengerät oder Privat aus.

d) Geben Sie im Feld E-Mail-Adresse eine E-Mail-Adresse ein.

e) Geben Sie im Feld Telefonnummer die Telefonnummer des neuen Gerätes ein. Geben Sie die

Telefonnummer in internationaler Schreibweise ein, zum Beispiel +491701234567 .

f) Wählen Sie unter Gerätegruppe die Gerätegruppe, zu der das Gerät hinzugefügt werden soll.

Für weitere Informationen zum Erstellen von Gerätegruppen siehe Gerätegruppen erstellen

(Seite 100).

4. Um dem Gerät einen Benutzer zuzuweisen, klicken Sie auf das Symbol Benutzerzuweisung

bearbeiten neben dem Feld Benutzer und anschließend auf Benutzer zuweisen. Weitere

Informationen finden Sie in

Benutzer einem Gerät zuweisen

(Seite 57).

Sophos Mobile

5. Um benutzerdefinierte Eigenschaften zum Gerät hinzuzufügen, öffnen Sie das Tab

Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft

hinzufügen. Weitere Informationen finden Sie in

Benutzerdefinierte Geräteeigenschaften hinzufügen

(Seite 72).

6. Wenn Sie alle erforderlichen Gerätedetails angegeben haben, klicken Sie auf Speichern.

Das neue Gerät wird zu Sophos Mobile hinzufügt und auf der Seite Geräte unter VERWALTEN angezeigt. Sie können das Gerät nun provisionieren und verwalten.

Hinweis

Wenn Sie in Sophos Mobile konfiguriert haben, dass der Name von iPhones und iPads mit dem

Gerät synchronisiert wird (siehe Einstellungen für iPhones und iPads

(Seite 17)), wird der Name, den Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten Namen ersetzt.

11.1.2 Geräte importieren

Sie können neue Geräte hinzufügen, indem Sie diese aus einer CSV-Datei importieren.

Sie können bis zu 500 Geräte importieren.

Benutzer und Gerätegruppen müssen bereits in Sophos Mobile vorhanden sein.

Für die CSV-Datei gilt folgendes:

• Die erste Zeile enthält die Spaltenüberschriften und wird nicht importiert.

• Als Trennzeichen wird ein Semikolon verwendet, kein Komma.

• Alle Zeilen haben die korrekte Anzahl an Semikolons. Dies gilt auch, wenn optionale Werte fehlen.

• Die Dateiendung ist .csv

• Damit nicht englische Zeichen korrekt importiert werden, muss die Datei UTF-8-kodiert sein.

Tipp

Klicken Sie auf der Seite Geräte importieren auf Beispiel-CSV, um eine Beispieldatei herunterzuladen.

So importieren Sie Geräte aus einer CSV-Datei:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf der Seite Geräte auf Hinzufügen > Geräte importieren.

3. Klicken Sie auf der Seite Geräte importieren auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.

Die Einträge werden aus der Datei eingelesen und angezeigt.

4. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen

Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.

5. Klicken Sie auf Fertigstellen, um die Geräte anzulegen.

Die in der CSV-Datei aufgeführten Geräte werden importiert und auf der Seite Devices angezeigt.

Anschließend können Sie die Geräte registrieren und konfigurieren.

Sophos Mobile

11.2 Geräte registrieren

Nachdem Sie in Sophos Mobile Admin neue Geräte hinzugefügt haben, müssen diese bei Sophos

Mobile registriert werden.

Registrierungsarten

Sophos Mobile unterstützt zwei Arten von Registrierung:

Gerät registrieren

Sophos-Container registrieren

Diese Registrierungsart ermöglicht eine umfassende MDM-Geräteverwaltung (Mobile

Device Management). Sophos Mobile kann das gesamte Gerät verwalten.

Sophos Mobile verwaltet nur den Sophos-

Container auf dem Gerät, nicht das gesamte

Gerät.

Der Sophos-Container ist für Android und iOS verfügbar.

Die Sophos-Container-Registrierung ist in folgenden Situationen nützlich:

• Sie wollen ein Bring-Your-Own-Device-

Szenario (BYOD) unterstützen. Bei der

Sophos-Container-Registrierung erhält

Ihre Organisation nur sehr begrenzte

Geräteinformationen und keine Informationen zu privaten Apps oder Daten.

• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzlich

Funktionen nutzen, die vom Sophos-

Container bereitgestellt werden, wie zum Beispiel die Synchronisierung des

Unternehmens-Schlüsselbundes mit Sophos

SafeGuard Enterprise.

• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzliche

E-Mail-Konten einrichten. Dies ist zum

Beispiel für Beraterfirmen interessant, deren

Mitarbeiter E-Mail-Konten auf den Exchange-

Servern ihrer Kunden haben.

Registrierungsverfahren

Sie haben folgende Möglichkeiten, Geräte zu registrieren:

• Mit der Funktion Geräte können Sie einzelne nicht verwaltete Geräte registrieren. Weitere

Informationen finden Sie in

Einzelne Geräte registrieren

(Seite 46).

Sophos Mobile

• Mit dem Assistenten Gerät hinzufügen können Sie ein Gerät zu Sophos Mobile hinzufügen, es einem Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen.

Siehe

Den Assistenten Gerät hinzufügen verwenden (Seite 47).

Hinweis

Bei Bedarf können Sie den Assistenten Gerät hinzufügen oder die automatische

Registrierung verwenden, um iPhones und iPads ohne Apple-ID zu registrieren. Dies ist zum

Beispiel nützlich, wenn Sie das Gerät konfigurieren wollen, bevor Sie es an den Benutzer

übergeben. Siehe iPhones und iPads ohne Apple ID registrieren (Seite 49).

Empfehlungen

Für eine effiziente Registrierung und Konfiguration mehrerer Geräte empfehlen wir folgende

Methoden:

• Sie können die Aufträge zusammenfassen, die erforderlich sind, Geräte zu registrieren, Richtlinien zuzuweisen und Apps zu installieren (zum Beispiel verwaltete Apps für iPhones und iPads). Siehe

Auftragspakets in den Einstellungen Self Service Portal finden Sie in Self-Service-Portal-

• Sie können Benutzern ermöglichen, Geräte im Sophos Mobile Self Service Portal zu registrieren.

Nehmen Sie hierzu bei der Konfiguration der Einstellungen für das Sophos Mobile Self Service

Portal ein Auftragspaket für die Registrierung auf. Weitere Informationen zum Auswählen des

Konfigurationen erstellen (Seite 28).

11.2.1 Einzelne Geräte registrieren

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf das Gerät, das Sie registrieren wollen.

2. Wählen Sie auf der Seite Gerät anzeigen einen Registrierungstyp aus:

• Um das Gerät bei Sophos Mobile zu registrieren, klicken Sie auf Aktionen > Registrieren.

• Um den Sophos-Container zu registrieren, klicken Sie auf Aktionen > Sophos-Container

registrieren.

3. Für die Registrierung des Sophos-Containers wählen Sie ein Auftragspaket oder eine Richtlinie aus.

Der Einrichtungsauftrag wird gestartet und auf der Seite Auftragsstatus angezeigt. Eine E-Mail mit

Registrierungsanweisungen wird an den Benutzer verschickt.

Warnung

Sie müssen in die App „Einstellungen” wechseln, um das heruntergeladene Konfigurationsprofil zu installieren. Falls Sie das Profil nicht innerhalb von acht Minuten installieren, wird es gelöscht und

Sie müssen von Neuem beginnen.

Diese Beschränkung gilt nicht, wenn Sie das Apple-Programm zur Geräteregistrierung (DEP) oder

Apple Configurator verwenden, um das Gerät mit Sophos Mobile zu verbinden oder auf iPhones mit iOS 12.1.x oder älter.

Sophos Mobile

Hinweis

Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von Sophos

Mobile verwaltet werden soll. Für die Installation der Registrierungsrichtlinie muss der Benutzer ein

Administratorkennwort eingeben.

11.2.2 Den Assistenten Gerät hinzufügen verwenden

Mit dem Assistenten Gerät hinzufügen können Sie auf einfache Weise neue Geräte registrieren. Er führt Sie durch folgende Arbeitsschritte:

• Ein neues Gerät zu Sophos Mobile hinzufügen.

• Optional: Dem Gerät einen Benutzer zuweisen.

• Das Gerät registrieren.

• Optional: Ein Auftragspaket an das Gerät übermitteln.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“.

Tipp

Sie können den Assistenten auch starten, wenn Sie auf der Seite Übersicht das Widget Gerät

hinzufügen auswählen.

2. Geben Sie auf der Seite Benutzer entweder Suchkriterien ein, um nach einem Benutzer zu suchen, dem das Gerät zugewiesen werden soll, oder wählen Sie Benutzerzuweisung

überspringen aus, um ein Gerät ohne Benutzerzuweisung zu registrieren.

3. Wählen Sie auf der Seite Benutzerauswahl den Benutzer aus.

4. Konfigurieren Sie auf der Seite Gerätedetails die folgenden Einstellungen:

Option

Plattform

Name

Beschreibung

Telefonnummer

E-Mail-Adresse

Beschreibung

Das Betriebssystem des Gerätes.

Sie können nur Plattformen auswählen, die für den Kunden aktiviert sind.

Ein eindeutiger Name, unter dem das Gerät von Sophos Mobile verwaltet wird.

Eine optionale Beschreibung des Gerätes.

Eine optionale Telefonnummer. Geben Sie die Telefonnummer in internationaler Schreibweise ein, zum Beispiel

+491701234567 .

Die E-Mail-Adresse, an welche die Registrierungsinformationen gesendet werden.

Wenn für den Kunden eine Benutzerverwaltung konfiguriert ist, ist dies die E-Mail-Adresse des Benutzers, der dem Gerät zugewiesen ist.

Wenn keine Benutzerverwaltung konfiguriert ist, geben Sie hier eine E-Mail-Adresse ein.

Sophos Mobile

Option

Besitzer

Gerätegruppe

Beschreibung

Wählen Sie aus, ob das Gerät ein Firmengerät (Firmengerät) oder Privatgerät (Privat) ist.

Wählen Sie die Gerätegruppe, zu der das Gerät hinzugefügt werden soll. Wenn Sie noch keine Gerätegruppe erstellt haben, können Sie die Gerätegruppe Default wählen, die immer verfügbar ist.

5. Wählen Sie auf der Seite Registrierungsart aus, ob Sie das Gerät oder nur den Sophos Container registrieren wollen.

Siehe Sophos-Container-Registrierung konfigurieren

(Seite 409).

6. Wählen Sie ein Auftragspaket oder eine Richtlinie aus, die an das Gerät übertragen werden.

Oder wählen Sie Nur Gerät registrieren aus, um nach der Registrierung kein Auftragspaket zu

übertragen.

7. Folgen Sie auf der Seite Registrierung den Anweisungen, um die Registrierung abzuschließen.

Warnung

Sie müssen in die App „Einstellungen” wechseln, um das heruntergeladene

Konfigurationsprofil zu installieren. Falls Sie das Profil nicht innerhalb von acht Minuten installieren, wird es gelöscht und Sie müssen von Neuem beginnen.

Diese Beschränkung gilt nicht, wenn Sie das Apple-Programm zur Geräteregistrierung (DEP) oder Apple Configurator verwenden, um das Gerät mit Sophos Mobile zu verbinden oder auf iPhones mit iOS 12.1.x oder älter.

Hinweis

Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von

Sophos Mobile verwaltet werden soll. Für die Installation der Registrierungsrichtlinie muss der

Benutzer ein Administratorkennwort eingeben.

8. Klicken Sie nach erfolgreicher Registrierung auf Fertigstellen.

Hinweis

• Nachdem Sie alle Einstellungen vorgenommen haben, können Sie den Assistenten schließen, ohne darauf warten zu müssen, dass die Schaltfläche Fertigstellen erscheint. Ein

Registrierungsauftrag wird erstellt und im Hintergrund ausgeführt.

• Wenn Sie ein Auftragspaket ausgewählt haben, dass nach der Registrierung auf das Gerät

übertragen wird, können Sie auf der Seite Auftragsstatus den Auftragsstatus überwachen.

Siehe Nicht abgeschlossene, fehlgeschlagene und kürzlich abgeschlossene Aufträge anzeigen

(Seite 9).

• Wenn Sie konfiguriert haben, dass Sophos Mobile den Gerätenamen von iPhones und iPads

synchronisiert (siehe Einstellungen für iPhones und iPads

(Seite 17)), wird der Name, den Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten Namen ersetzt.

11.2.3 iPhones und iPads automatisch registrieren

Sie können iPhones und iPads so konfigurieren, dass sie sich während der Geräteaktivierung automatisch bei Sophos Mobile registrieren.

Sophos Mobile

Dazu müssen Sie die Geräte mit Hilfe der Software Apple Configurator 2 dem MDM-Server von Sophos Mobile zuweisen. Wenn die Benutzer die Geräte erstmalig einschalten, startet der

Einrichtungsassistent. Während der Einrichtung werden die Geräte automatisch bei Sophos Mobile registriert.

Hinweis

Detaillierte Informationen zu Apple Configurator 2 finden Sie im Apple Configurator 2

Benutzerhandbuch (externer Link) .

So konfigurieren Sie die automatische Registrierung von iPhones und iPads bei Sophos Mobile:

1. Zur Vorbereitung der automatischen Registrierung müssen Sie einmalig eine Gerätegruppe erstellen, die Geräten zugewiesen wird, die sich automatisch bei Sophos Mobile registrieren.

Wählen Sie in den Eigenschaften der Gerätegruppe die Option iOS-Auto-Registrierung

aktivieren aus. Siehe Gerätegruppen erstellen

(Seite 100).

2. Notieren Sie sich die URL, die im Feld URL für Auto-Registrierung angezeigt wird.

Sie benötigen diese URL bei der Konfiguration von Geräten mit Apple Configurator 2.

3. Verbinden Sie das Gerät, das Sie für die automatische Registrierung konfigurieren wollen, mit einem USB-Anschluss eines Macs, auf dem Apple Configurator 2 installiert ist.

4. Verwenden Sie in Apple Configurator 2 den Vorbereitungsassistenten, um die Gerätekonfiguration einzurichten.

5. Wählen Sie Manuelle Registrierung aus und geben Sie anschließend die Registrierungs-URL der

Gerätegruppe ein.

6. Folgen Sie den weiteren Schritten des Vorbereitungsassistenten. Optional können Sie folgende

Bereiche der Geräteaktivierung konfigurieren:

• Gerät als betreut definieren (Supervision mode).

• Computer festlegen, mit denen sich das Gerät per USB koppeln darf.

• Bei betreuten Geräten eine Betreuungsidentität (Supervision Identity) erstellen oder auswählen.

• Schritte des Einrichtungsassistenten deaktivieren.

Nachdem Sie die Konfiguration abgeschlossen haben, übergeben Sie das Gerät an den Benutzer.

Wenn der Benutzer das Gerät erstmalig einschalten, wird die Einrichtung und die Registrierung bei

Sophos Mobile so durchgeführt, wie Sie es konfiguriert haben.

Tipp

Standardmäßig verwaltet Sophos Mobile die automatisch registrierten Geräte unter einem

Namen, der aus der Geräte-ID und dem Gerätetyp gebildet wird. Alternativ kann Sophos Mobile den Namen verwenden, der auf dem Gerät konfiguriert ist. Siehe die Option Gerätename

synchronisieren in

Einstellungen für iPhones und iPads (Seite 17).

11.2.4 iPhones und iPads ohne Apple ID registrieren

Sie können ein iPhone oder iPad bei Sophos Mobile registrieren, auf dem noch keine Apple-ID eingerichtet ist. Dies ist zum Beispiel nützlich, um ein Gerät vor der Übergabe an einen Endbenutzer zu konfigurieren.

Das Standard-Registrierungsverfahren beinhaltet die Installation der App Sophos Mobile Control auf dem Gerät. Da die App aus dem App Store installiert wird und für den Zugriff auf den App Store eine

Apple-ID erforderlich ist, müssen Sie vor der Registrierung das Gerät mit einer Apple-ID verknüpfen.

Sophos Mobile

Alternativ können Sie ein iPhone oder iPad auch registrieren, ohne die App Sophos Mobile Control zu installieren. In diesem Fall müssen Sie das Gerät nicht mit einer Apple-ID verknüpfen. Dies ist auf folgende Arten möglich:

• Mit der automatischen Registrierung. Siehe

iPhones und iPads automatisch registrieren

(Seite

48).

•

Mit dem Assistenten Gerät hinzufügen. Siehe Den Assistenten Gerät hinzufügen verwenden

(Seite 47).

Gehen Sie im Assistenten wie folgt vor:

1. Öffnen Sie auf der Seite Registrierung das Tab Registrierung ohne Apple-ID.

2. Öffnen Sie im Webbrowser des Gerätes die Registrierungs-URL. Dies öffnet ein Webformular für die Registrierung bei Sophos Mobile.

3. Geben Sie in diesem Formular das Token ein und klicken Sie anschließend auf Registrieren.

4. Folgen Sie den auf dem Gerät angezeigten Anweisungen, um das Registrierungs-Auftragspaket zu installieren.

Warnung

Sie müssen von Neuem beginnen.

Diese Beschränkung gilt nicht, wenn Sie das Apple-Programm zur Geräteregistrierung (DEP) oder

Apple Configurator verwenden, um das Gerät mit Sophos Mobile zu verbinden oder auf iPhones mit iOS 12.1.x oder älter.

11.2.5 Android-Enterprise-Geräte registrieren

Android-Enterprise-Geräte werden üblicherweise im Sophos Mobile Self Service Portal registriert.

Hinweis

Wenn Sie Android Enterprise in Sophos Mobile für das Szenario „Managed Google Play Account“ eingerichtet haben, können Sie Geräte auch mit dem Assistenten Gerät hinzufügen oder mit einem QR-Code registrieren.

Voraussetzungen:

• Sie haben Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 370).

• Sie haben ein Registrierungs-Auftragspaket erstellt.

So registrieren Sie ein Android-Enterprise-Gerät:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“.

2. Gehen Sie im Assistenten Gerät hinzufügen wie folgt vor: a) Wählen Sie auf der Seite Benutzer die Option Nach Benutzer suchen aus und geben Sie anschließend Suchparameter ein, um den Benutzer zu finden, der dem Gerät zugewiesen werden soll.

b) Wählen Sie auf der Seite Benutzerauswahl den Benutzer aus.

c) Wählen Sie auf der Seite Gerätedetails im Feld Plattform die Option Android aus.

Sophos Mobile d) Wählen Sie auf der Seite Registrierungsart Ihr Registrierungs-Auftragspaket für Android

Enterprise aus.

Je nach Typ der Richtlinie, die vom Auftragspaket zugewiesen wird, wird das Gerät als vollständig verwaltetes Android-Enterprise-Gerät oder mit einem Android-Enterprise-Arbeitsprofil registriert.

Hinweis

Auf vollständig verwalteten Android-Enterprise-Geräten sind nur die folgenden Apps verfügbar:

• Einstellungen

• Telefon

• Play Store

• Sophos Mobile Control

• Kamera (sofern Sie in der Konfiguration Einschränkungen die Einstellung Kamera erlauben aktiviert haben)

Zugehörige Aufgaben

Geräteregistrierung für Android Enterprise konfigurieren (Seite 374)

Den Assistenten Gerät hinzufügen verwenden (Seite 47)

Geräte mittels QR-Code registrieren (Seite 74)

Um ein vollständig verwaltetes Android-Enterprise-Gerät mittels QR-Code zu registrieren, scannen Sie den QR-Code während der erstmaligen Geräteeinrichtung.

11.2.6 Massenregistrierung von Android-Enterprise-Geräten

Mit der App Sophos NFC Provisioning führen Sie eine Massenregistrierung von vollständig verwaltete

Android-Enterprise-Geräten bei Sophos Mobile durch.

Einschränkung

Die Registrierung über NFC wird von Android 10 und neuer nicht unterstützt.

Voraussetzungen:

• Sie haben Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet. Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“) (Seite 370).

• Die zu registrierenden Geräte sind neu oder auf Werkseinstellungen zurückgesetzt und unterstützen NFC.

So registrieren Sie Geräte über NFC:

1. Installieren Sie die App Sophos NFC Provisioning von Google Play auf einem Gerät mit NFC. Dies ist das Master-Gerät.

2. Konfigurieren Sie in der App Sophos NFC Provisioning die folgenden Einstellungen:

• Verbindungsdetails Ihres Unternehmens-WLAN.

• Zeitzone und Sprache für die neuen Geräte.

• Optional: Die URL für das Self Service Portal.

• Optional: Überspringen der Geräteverschlüsselung.

Sophos Mobile

• Optional: Überspringen herstellerspezifischer Einrichtungsschritte.

• Optional: Aktivieren Sie System-Apps.

Wenn Sie dies aktivieren, sind alle vom Hersteller vorinstallierten Apps verfügbar.

Wenn Sie dies deaktivieren, sind nur folgende Apps verfügbar: Google Play Store, Kontakte,

Nachrichten, Telefon. Google empfiehlt diese Einstellung für vollständig verwaltete Android-

Enterprise-Geräte.

3. Tippen Sie auf Bereit zur Übertragung und halten Sie anschließend das Master-Gerät und das zu registrierende Gerät so Rücken an Rücken, dass die NFC-Sensoren aneinander ausgerichtet sind.

Das Gerät wird eingerichtet und bei Sophos Mobile registriert.

Um weitere Geräte zu registrieren, tippen Sie erneut auf Bereit zur Übertragung.

11.3 Geräte deregistrieren

Sie können Geräte deregistrieren, wenn sie nicht mehr benutzt werden, zum Beispiel wenn der

Benutzer ein neues Gerät erhält. Dies ist nützlich, wenn Sie die Anzahl an Geräten, die ein Benutzer im Sophos Mobile Self Service Portal registrieren kann, begrenzt haben.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Wählen Sie das gewünschte Gerät aus, klicken Sie auf Aktionen und anschließend auf

Deregistrieren.

Eine Meldung wird angezeigt, die Sie zur Bestätigung des Deregistrierungsvorgangs auffordert.

Hinweis

Sie können mehrere Geräte auswählen, die deregistriert werden.

3. Klicken Sie auf Ja.

Das Gerät ist deregistriert. Dadurch werden folgende Vorgänge ausgelöst:

• Android-Geräte:

— Der Sophos Mobile Control Geräteadministrator wird deaktiviert.

— Die Server-Zugangsdaten und alle weiteren erhaltenen Daten werden entfernt.

— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email ) und Sophos

Intercept X for Mobile werden zurückgesetzt.

• iPhones und iPads:

— Alle Richtlinien werden entfernt.

— Alle verwalteten Apps werden deinstalliert.

— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.

— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email ) und Sophos

Intercept X for Mobile werden zurückgesetzt.

• Macs:

— Alle Richtlinien werden entfernt.

— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.

Sophos Mobile

Hinweis

• Wenn Benutzer auf Android-Geräten Sophos Mobile Control als Geräteadministrator deaktivieren, deregistriert die App Sophos Mobile Control das Gerät.

• Um ein vollständig verwaltetes Android-Enterprise-Gerät zu deregistrieren, müssen Sie es auf

Werkseinstellungen zurücksetzen.

• Wenn Sie Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet haben, können Benutzer nur eine beschränkte Anzahl an Geräten registrieren. Manchmal kann es vorkommen, dass bei der Deregistrierung das Google-Konto mit dem Gerät verbunden bleibt und das Gerät weiterhin als registriert zählt. Falls dies passiert, entfernen Sie das Google-Konto manuell vom Gerät.

11.4 Geräte verwalten

In der Menüleiste können Sie unter VERWALTUNG > Geräte und Gerätegruppen Geräte und

Gerätegruppen verwalten und eine Reihe von administrativen Aufgaben ausführen.

Nachdem Sie Geräte zu Sophos Mobile hinzugefügt haben, können Sie zum Beispiel:

• Gerätedetails anzeigen und bearbeiten.

• E-Mail-Zugriff für Geräte erlauben oder verbieten.

• Geräte ferngesteuert sperren oder entsperren.

• Geräte-Kennwörter zurücksetzen.

• Geräte bei Verlust oder Diebstahl ferngesteuert in den Auslieferungszustand zurücksetzen.

• Geräte deregistrieren (Android und iOS).

• Geräte löschen.

11.4.1 Geräte anzeigen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf den Namen des gewünschten Gerätes.

Die Seite Gerät anzeigen für das ausgewählte Gerät wird angezeigt.

Tipp

Auf der Seite Geräte können Sie sich zusätzliche Informationen anzeigen lassen, indem Sie auf bestimmte Elemente zeigen:

• Zeigen Sie auf das Symbol "Nicht verwaltet" eines Gerätes, um den genauen Status wie

Deregistriert oder Abgemeldet anzuzeigen.

• Zeigen Sie auf das Symbol "Nicht richtlinienkonform“ eines Gerätes, um den Schweregrad

(hoch, mittel, niedrig) anzuzeigen.

11.4.2 Die Seite „Gerät anzeigen“

Auf der Seite Gerät anzeigen werden alle relevanten Informationen für ein einzelnes Gerät angezeigt.

Im oberen Teil der Seite können Sie auf einen Blick die wichtigsten Geräteinformationen sehen.

Sophos Mobile

Im unteren Teil der Seite werden auf mehreren Tabs detaillierte Geräteinformationen angezeigt. Die angezeigten Tabs und Informationen hängen von der Geräteplattform ab.

Von der Seite Gerät anzeigen können Sie direkt auf die Seite Gerät bearbeiten wechseln. Um das angezeigte Gerät zu bearbeiten, klicken Sie auf Bearbeiten.

Status

Zeigt wichtige Geräteinformationen wie Management-Typ, Management-Status und Compliance-

Status.

Richtlinien

Zeigt die auf dem Gerät installierten Richtlinien und Bereitstellungsprofile.

Das Tab enthält auch Befehle zum Zuweisen oder Entfernen von Richtlinien.

Hinweis iOS-Geräterichtlinien, die nur folgende Konfigurationen enthalten, werden auf dem Tab

Richtlinien nicht angezeigt:

• Roaming/Hotspot

• Hintergrundbild

Diese Konfigurationen werden nicht auf dem Gerät installiert. Durch sie werden Einstellungen vorgenommen, die der Benutzer später ändern kann.

Tipp

Mit dem Suchfeld oberhalb der Tabelle können Sie nach der Kennung suchen, auch wenn diese in der Tabelle nicht angezeigt wird.

Geräteeigenschaften

Zeigt Geräteeigenschaften an (z.B. Modell, Modellname, Betriebssystemversion) und ob das Gerät gerootet ist (Android) oder ein Jailbreak vorhanden ist (iOS).

Benutzerdefinierte Eigenschaften

Zeigt benutzerdefinierte Geräteeigenschaften an. Dies sind die Eigenschaften, die Sie selbst anlegen können. Benutzerdefinierte Geräteeigenschaften können zum Beispiel in Platzhaltern verwendet werden, wenn kein Active Directory zur Verfügung steht. Wenn Sie ein Gerät bearbeiten, können Sie hier auch benutzerspezifische Informationen hinzufügen.

Interne Eigenschaften

Zeigt interne Geräteeigenschaften, zum Beispiel die IMEI, oder ob Active-Sync-Datenverkehr erlaubt ist.

Sophos Mobile

Compliance-Verstöße

Dieses Tab wird nur für Geräte angezeigt, die gegen Compliance-Regeln verstoßen. Angezeigt werden die Compliance-Verstöße des Gerätes und die deshalb ausgeführten Maßnahmen.

Installierte Apps

Zeigt die auf dem Gerät installierte Software. Je nach Plattform werden unterschiedliche

Informationen angezeigt.

In der Spalte Größe wird der Speicherbedarf für die App selber angezeigt. In der Spalte Daten wird der zusätzliche Speicherbedarf der App anzeigt, zum Beispiel für Nutzerdaten, Konfigurationen oder

Ähnliches.

Sie können auf diesem Tab auch Apps installieren oder deinstallieren.

Hinweis

• Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, werden Apps außerhalb des Containers nicht aufgeführt. Dies beinhaltet auch Apps, die der Benutzer aus dem Enterprise App Store installiert hat.

• Für iOS können Apps, die als Verwaltet gekennzeichnet sind, stillschweigend deinstalliert werden.

• Für Macs sind Apps aus allen Benutzerkonten aufgeführt.

• Auf Windows-Computern können Sie nur Apps deinstallieren, die von Sophos Mobile installiert wurden. Wenn Sie versuchen, eine vom Benutzer installierte App zu deinstallieren, schlägt der

Auftrag fehl.

• Sie können das Tab Installierte Apps deaktivieren.

System-Apps

Zeigt die Android-System-Apps auf dem Gerät an.

Hinweis

System-Apps können nicht vom Gerät entfernt werden.

Knox-Apps

Dieses Tab enthält die Apps, die vom Benutzer im Samsung-Knox-Container installiert wurden.

Knox-System-Apps

Dieses Tab enthält die System-Apps, die im Samsung-Knox-Container installiert sind.

Sophos Mobile

Scan-Ergebnisse

Dieses Tab zeigt die Ergebnisse des letzten Scans, den Sophos Intercept X for Mobile auf dem

Gerät durchgeführt hat.

Der Tab wird nur angezeigt, wenn Sophos Intercept X for Mobile von Sophos Mobile verwaltet wird.

Zertifikate

Zeigt die auf dem Gerät benutzten Zertifikate an.

Für Macs sind Gerätezertifikate aufgeführt aber keine Benutzerzertifikate.

Für Windows-Computer sind nur Zertifikate aus dem Benutzerspeicher (User Store) aufgeführt, keine Zertifikate aus dem Computerspeicher (Device Store).

Tipp

Zeigen Sie in der Tabelle auf den Wert für Betreff oder Aussteller, um die Zertifikatdetails anzuzeigen.

Aufträge

Dieses Tab zeigt alle noch nicht abgeschlossenen und fehlgeschlagenen Aufträge sowie die abgeschlossenen Aufträge der letzten Tage an. Diese Aufträge werden Ihnen auch auf der Seite

Auftragsstatus angezeigt, zusammen mit den Aufträgen aller anderen Geräte.

Zugehörige Konzepte

Verwaltete Apps für iPhones und iPads (Seite 355)

Sie können Apps für iPhones und iPads als verwaltete oder als nicht verwaltete Apps installieren.

Mobile Threat Defense mit Sophos Intercept X for Mobile

(Seite 388)

Sophos Intercept X for Mobile ist eine MTD-Lösung (Mobile Threat Defense) für Ihre Android-Geräte, iPhones und iPads.

Aufträge überwachen

(Seite 9)

Zugehörige Aufgaben

Compliance-Richtlinie erstellen

(Seite 34)

Datenschutz-Einstellungen konfigurieren (Seite 16)

Sie können Administratoren daran hindern, datenschutzrelevante Geräteinformationen einzusehen.

11.4.3 Intelligente Gruppen verwenden

Intelligente Gruppen sind dynamisch erzeugte Gerätegruppen, basierend auf von Ihnen festgelegten

Filterkriterien.

Zum Beispiel könnten Sie eine intelligente Gruppe „Alle in den letzten drei Monaten erstellten

Android-Firmengeräte“ definieren.

So definieren Sie eine intelligente Gruppe:

1. Wählen Sie auf der Seite Geräte die Schaltfläche Erweiterter Filter oberhalb der Geräteliste aus.

2. Legen Sie die Filterkriterien fest.

Sophos Mobile

3. Geben Sie in Intelligente Gruppe einen Namen für die intelligente Gruppe ein und wählen Sie

Speichern aus.

4. Gehen Sie wie folgt vor:

• Um die intelligente Gruppe auf die Geräteliste anzuwenden, wählen Sie Filter aus.

• Um das Filterfenster zu schließen, ohne die intelligente Gruppe anzuwenden, Wählen Sie

Schließen aus.

5. Um die intelligente Gruppe später anzuwenden, wählen Sie Intelligente Gruppen oberhalb der

Geräteliste aus und wählen Sie anschließend einen Eintrag aus.

Tipp

• Wenn eine intelligente Gruppe oder ein erweiterter Filter aktiv ist, ändert das Filter-Symbol im

Tabellenkopf seine Farbe von Blau nach Grün.

• Denken Sie daran, einen Filter wieder zurückzusetzen, wenn er nicht mehr benötigt wird.

Andernfalls enthalten Listen oder Berichte unter Umständen nicht die erwarteten Ergebnisse.

Andere Aktionen mit intelligenten Gruppen:

• Um die Anwendung einer intelligenten Gruppe zu beenden und wieder alle Geräte anzuzeigen, wählen Sie Erweiterter Filter und anschließend Zurücksetzen aus.

• Um eine intelligente Gruppe zu löschen, wählen Sie Intelligente Gruppen aus und anschließend das Mülleimer-Symbol neben der intelligenten Gruppe, die Sie löschen wollen.

• Um eine intelligente Gruppe zu bearbeiten, wenden Sie diese zunächst an. Wählen Sie anschließend Erweiterter Filter aus, machen Sie die gewünschten Änderungen, und wählen Sie

Speichern aus.

• Um einen Ad-Hoc-Filter anzuwenden ohne eine intelligente Gruppe zu erstellen, wählen Sie

Erweiterter Filter aus, legen Sie die Filterkriterien fest, und wählen sie anschließend Filter aus.

11.4.4 Geräte bearbeiten

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf

Bearbeiten.

3. Nehmen Sie die erforderlichen Änderungen vor.

4. Klicken Sie auf Speichern.

11.4.5 Benutzer einem Gerät zuweisen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten.

Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten neben dem Feld Benutzer und anschließend auf den gewünschten Eintrag in der Auswahlliste:

• Um einem Gerät ohne Benutzerzuweisung einen Benutzer zuzuweisen, klicken Sie auf Gerät

einem Benutzer zuweisen.

• Um einem Gerät mit bestehender Benutzerzuweisung einen anderen Benutzer zuzuweisen, klicken Sie auf Gerät einem anderen Benutzer zuweisen.

Sophos Mobile

• Klicken Sie auf Benutzerinformationen aktualisieren, um die Benutzerliste erneut aus dem

LDAP-Verzeichnis zu laden.

4. Geben Sie auf der Seite Suchparameter für Benutzer eingeben des Zuweisungsdialogs einen oder mehrere Suchbegriffe ein, um den Benutzer zu finden, dem das Gerät zugewiesen werden soll. Geben Sie zum Beispiel einen Namen oder Teilnamen ein.

5. Wählen Sie auf der Seite Benutzer auswählen den Benutzer aus und klicken Sie anschließend auf Anwenden.

6. Klicken Sie auf der Seite Gerät bearbeiten auf Speichern.

11.4.6 Benutzerzuweisung für ein Gerät aufheben

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten.

3. Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten

neben dem Feld Benutzer und anschließend auf Zuweisung des Benutzers zum Gerät

aufheben.

4. Klicken Sie im Bestätigungsdialog auf Ja.

5. Klicken Sie auf Speichern.

11.4.7 Netzwerkzugriff konfigurieren

Damit Sie den Netzwerkzugriff für ein Gerät konfigurieren können, muss Network Access Control

(NAC) in Sophos Mobile aktiviert werden.

Bei Sophos Mobile on Premise wird NAC vom Superadministrator aktiviert. Siehe das Dokument

Sophos Mobile Superadministrator-Anleitung (englisch) .

Bei Sophos Mobile as a Service ist NAC standardmäßig aktiviert.

Sie können den Netzwerkzugriff für ein Gerät auf zwei Weisen konfigurieren:

1. Netzwerkzugriff immer erlauben oder sperren.

2. Netzwerkzugriff grundsätzlich erlauben, aber sperren, wenn das Gerät nicht richtlinienkonform ist.

Hinweis

Sophos Mobile schränkt den Netzwerkzugriff nicht selbst ein. Stattdessen stellt es einen Status

Netzwerk verbieten zur Verfügung, der von einer externen NAC-Software wie zum Beispiel

Sophos UTM verwendet werden kann, um die Netzwerkkommunikation zu blockieren.

Hinweis

NAC ist nicht für Macs verfügbar, die per Ethernet verbunden sind. Sophos Mobile kann für Macs nur die MAC-Adresse des WLAN-Netzwerkadapters ermitteln, nicht die des Ethernet-Adapters. Da

Geräte anhand ihrer MAC-Adresse identifiziert werden, wird ein Mac, der über seinen Ethernet-

Port mit dem Internet verbunden ist, als unbekanntes Gerät behandelt, wenn Ihre externe NAC-

Software Sophos Mobile nach dem Netzwerkstatus des Gerätes fragt.

So konfigurieren Sie den Netzwerkzugriff für ein Gerät:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

Sophos Mobile

2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie den Netzwerkzugriffsmodus einstellen wollen.

3. Klicken Sie auf Aktionen und anschließend auf Netzwerkzugriff.

4. Wählen Sie den Netzwerkzugriffsmodus aus:

• Erlauben: Netzwerkzugriff ist für die ausgewählten Geräte erlaubt.

• Sperren: Netzwerkzugriff ist für die ausgewählten Geräte gesperrt.

• Automatischer Modus: Netzwerkzugriff für die ausgewählten Geräte wird durch den

Compliance-Status der Geräte festgelegt.

5. Klicken Sie auf Ja, um die Änderungen zu speichern.

Hinweis

Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, können Sie den

Netzwerkzugriff nicht sperren.

Informationen zur Konfiguration des Netzwerkzugriff über Compliance-Richtlinien finden Sie in

Compliance-Richtlinie erstellen

(Seite 34).

11.4.8 Gerät scannen

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Sie können Android-Geräte scannen, auf denen Sophos Mobile die App Sophos Intercept X for Mobile verwaltet.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, das Sie scannen wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Auf Malware scannen.

Ein Auftrag zum Scannen des Gerätes wird erstellt und an Sophos Intercept X for Mobile übertragen.

Die Scan-Ergebnisse werden auf dem Tab Scan-Ergebnisse auf der Seite Gerät anzeigen angezeigt. Klicken Sie auf den Namen einer Bedrohung, um zusätzliche Informationen von

SophosLabs anzuzeigen.

Um mehrere Geräte zu scannen, erstellen Sie ein Auftragspaket mit einem Auftrag Auf Malware

scannen und übertragen Sie dieses an die gewünschten Geräte oder Gerätegruppen.

11.4.9 Gerät sperren

Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert sperren. Dadurch wird die

Bildschirmsperre aktiviert.

Einschränkung

Diese Anweisungen gelten nicht für Chrome-Geräte.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie sperren oder entsperren wollen, und anschließend auf Anzeigen.

Sophos Mobile

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Sperren.

4. Für macOS: Legen Sie einen 6-stelligen PIN-Code fest, der zum Entsperren auf dem Mac eingegeben werden muss.

5. Für einige Gerätetypen können Sie optional eine Nachricht eingeben, die auf dem Sperrbildschirm angezeigt wird.

Ein Auftrag zum Aktiveren der Bildschirmsperre wird erstellt und an das Gerät übertragen.

• Für alle Plattformen außer macOS: Der Benutzer muss sein Gerätekennwort eingeben (bzw. PIN oder Muster), um das Gerät zu entsperren.

• Für macOS: Der Mac startet neu. Der Benutzer muss den von Ihnen festgelegten PIN eingeben, um das Gerät zu entsperren.

Hinweis

Auch auf Geräten, auf denen Sophos Mobile nur das Android-Arbeitsprofil verwaltet, sperrt die

Aktion Sperren das Gerät, nicht nur das Arbeitsprofil.

Hinweis

Sie können nicht Geräte sperren, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Hinweis

Ein Mac, den Sie ferngesteuert gesperrt haben, kann nicht zurückgesetzt werden.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter

Sperr-PIN.

11.4.10 Gerätekennwort zurücksetzen

Bei folgenden Geräten können Sie das Kennwort ferngesteuert zurücksetzen:

• Android-Geräte mit Android 6.x oder älter

• Android-Enterprise-Geräte

• iPhones und iPads

• Windows-Mobile-Geräte

Dies gilt aber nicht für folgenden Geräte:

• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Geräte, auf denen nur Sophos Intercept X for Mobile bei Sophos Mobile registriert ist.

• Android-Enterprise-Geräte mit Android 8.x oder neuer, falls der Benutzer das Gerätekennwort nicht bestätigt hat.

Auf einigen Geräten legt der Benutzer das Kennwort während der erstmaligen Einrichtung fest, bevor die App Sophos Mobile Control installiert wird. In diesem Fall fordert die App Sophos

Mobile Control den Benutzer bei jeder Synchronisierung auf, das Kennwort zu bestätigen.

Solange der Benutzer das Kennwort nicht bestätigt hat, können Sie das Gerät nicht ferngesteuert zurücksetzen.

Sophos Mobile

So setzen Sie das Kennwort eines Gerätes zurück:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, für das Sie das Kennwort zurücksetzen wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Kennwort zurücksetzen.

4. Falls im Bestätigungsdialog ein Einmal-Kennwort zum Entsperren des Gerätes angezeigt wird, teilen Sie dieses dem Benutzer mit.

Android und Windows Mobile: Der Benutzer muss das Gerät mit dem Einmal-Kennwort entsperren und anschließend ein neues Kennwort festlegen.

iOS: Das Kennwort wird entfernt und das Gerät entsperrt.

11.4.11 Gerät finden

Sie können ein Gerät finden und seine Position in Google Maps anzeigen.

Einschränkung

Sie können keinen Mac finden.

Hinweis

Aus Datenschutzgründen werden alle Ereignisse zu Geräteortungen für eventuelle spätere

Untersuchungen aufgezeichnet.

Sie können die Anzeige von Gerätestandorten in den Datenschutz-Einstellungen von Sophos

Mobile deaktivieren.

Voraussetzungen:

Android iOS und iPadOS

Windows Mobile

• Sophos Mobile Control läuft.

• Ortungsdienste sind eingeschaltet.

• Sophos Mobile Control verfügt über die Berechtigung Standort.

Verwenden Sie die Compliance-Regel Ortungsberechtigung

erforderlich, um sicherzustellen, dass die App Sophos Mobile Control den Gerätestandort ermitteln kann.

• Sophos Mobile Control läuft.

• Ortungsdienste sind eingeschaltet.

• Sophos Mobile Control verfügt über die Berechtigung Standort.

Verwenden Sie die Compliance-Regel App kann das Gerät orten, um sicherzustellen, dass die App Sophos Mobile Control den Gerätestandort ermitteln kann.

Diese Voraussetzungen sind für Geräte im verwalteten Modus „Verloren“ nicht erforderlich.

• Sophos Mobile Control läuft.

• Ortungsdienste sind eingeschaltet.

• Sophos Mobile Control verfügt über die Berechtigung Standort.

Sophos Mobile

Chrome OS • Sophos Chrome Security Ist aktiviert.

• Ortungsdienste sind eingeschaltet.

So finden Sie ein Gerät:

1. Wählen Sie in der Menüleiste unter VERWALTUNG den Eintrag Geräte aus.

2. Wählen Sie das Gerät aus, dessen Standort Sie anzeigen wollen.

3. Wählen Sie Aktionen > Finden aus.

Fall Finden nicht vorhanden ist, überprüfen Sie, ob die App Sophos Mobile Control den

Gerätestandort ermitteln kann.

4. Geben Sie eine Begründung für die Standort-Ermittlung ein und wählen Sie anschließend Ja.

Ein Auftrag zur Standort-Ermittlung wird erstellt und an das Gerät übertragen.

Wenn das Gerät offline ist, behält der Auftrag so lange den Status Benachrichtigt, bis das

Gerät eine Verbindung zum Server herstellt.

5. Nachdem der Auftrag abgeschlossen wurde, wählen Sie Aktionen > Finden > Finden aus, um den Gerätestandort in Google Maps anzuzeigen.

Um den Standort mehrerer Geräte anzuzeigen, wählen Sie diese auf der Seite Geräte aus und wählen Sie anschließend Aktionen > Finden aus. Alternativ können Sie den Bericht

Gerätestandort verwenden.

Sie können nicht den zeitlichen Verlauf des Gerätestandorts verfolgen, da Sophos Mobile nur die letzte bekannte Position speichert.

Zugehörige Aufgaben

Datenschutz-Einstellungen konfigurieren (Seite 16)

Sie können Administratoren daran hindern, datenschutzrelevante Geräteinformationen einzusehen.

Verwandte Referenzinformationen

Verfügbare Compliance-Regeln (Seite 36)

Dieser Abschnitt beschreibt die Compliance-Regeln, die Sie für die einzelnen Plattformen auswählen können.

11.4.12 Apple-Aktivierungssperre umgehen

Sie können die Apple-Aktivierungssperre umgehen und iPhones und iPads ohne Apple-ID und

Kennwort des vorherigen Benutzers reaktivieren.

Voraussetzungen:

• Das Gerät ist betreut (supervised).

• Sie haben in Sophos Mobile Admin die Umgehung der Aktivierungssperre aktiviert, und das Gerät hat sich seitdem mit Sophos Mobile synchronisiert.

Die Aktivierungssperre ist eine Sicherheitsfunktion von Apple, welche die Aktivierung von gestohlenen oder verloren gegangenen Geräten verhindert. Wenn die Aktivierungssperre auf einem

Gerät aktiviert ist, müssen Sie Apple-ID und Kennwort des vorherigen Benutzers eingeben, um das

Gerät zu reaktivieren.

Wenn ein Benutzer ein Gerät zurück gibt, bei dem die Aktivierungssperre aktiviert ist, und Sie Apple-

ID und Kennwort des Benutzers nicht kennen, haben Sie in Sophos Mobile zwei Möglichkeiten, das

Gerät zu reaktivieren.

Sophos Mobile

Verwandte Referenzinformationen

Einstellungen für iPhones und iPads

(Seite 17)

Auf dem Tab iOS & iPadOS auf der Seite Apple-Einrichtung konfigurieren Sie Einstellungen für iPhones und iPads.

Aktivierungssperre entfernen

Wenn das Gerät noch bei Sophos Mobile registriert ist, können Sie die Aktivierungssperre per

Fernzugriff entfernen.

1. Wählen Sie in der Menüleiste Geräte aus.

2. Öffnen Sie das Gerät, auf dem Sie die Aktivierungssperre entfernen wollen.

3. Wählen Sie auf der Seite Gerät anzeigen die Aktion Aktionen > Aktivierungssperre-Umgehung aus.

Sophos Mobile sendet einen Auftrag zum Entfernen der Aktivierungssperre an das Gerät.

4. Wenn der Auftrag abgeschlossen ist, setzen Sie das Gerät auf Werkseinstellungen zurück.

Sie können das Gerät jetzt aktivieren, ohne Apple-ID und Kennwort des vorherigen Benutzers eingeben zu müssen.

Aktivierungssperre umgehen

Wenn das Gerät bereits von Sophos Mobile deregistriert ist, zum Beispiel, weil der Benutzer es auf

Werkseinstellungen zurückgesetzt hat, können Sie es mit einem Umgehungscode reaktivieren.

1. Wählen Sie in der Menüleiste Geräte aus.

2. Öffnen Sie das Gerät, dessen Aktivierungssperre Sie umgehen wollen.

3. Öffnen Sie auf der Seite Gerät anzeigen das Tab Geräteeigenschaften.

4. Suchen Sie in der Liste der Eigenschaften nach ActivationLockBypassCode.

Dies ist der Umgehungscode.

5. Schalten Sie das Gerät ein, nachdem Sie es auf Werkseinstellungen zurückgesetzt haben.

6. Auf der Seite, auf der Sie Apple-ID und Kennwort des vorherigen Benutzers eingeben müssen, geben Sie im Feld Passwort den Umgehungscode ein (ohne Bindestriche).

Lassen Sie das Feld Apple-ID leer.

7. Führen Sie die restlichen Schritte des Aktivierungsvorgangs durch.

11.4.13 Client-Protokollierungsstufe festlegen

Mit der Protokollierungsstufe legen Sie fest, wie viele Protokollinformationen der Sophos Mobile Client auf einem Gerät sammelt.

Einschränkung

Diese Anweisungen gelten nur für Plattformen, für die es einen Sophos Mobile Client gibt:

• Android

• iOS, iPadOS

• Chrome OS

Wenn Sie die Protokollierungsstufe nicht festlegen, kann der Benutzer diese im Sophos Mobile

Client festlegen.

Sophos Mobile

So legen Sie die Protokollierungsstufe fest:

1. Wählen Sie in der Menüleiste unter VERWALTUNG den Eintrag Geräte aus.

2. Wählen Sie den Namen des Gerätes aus, für das Sie die Protokollierungsstufe festlegen wollen.

3. Wählen Sie Aktionen > Protokolliergrad festlegen aus.

4. Wählen Sie eine Protokollierungsstufe (Fehler, Warnungen, Info, Debugging, Ablaufverfolgung) aus, oder wählen Sie Gerätestandard aus, damit der Benutzer die Protokollierungsstufe festlegen kann.

Die Menge der Protokollinformationen erhöht sich von Fehler zu Ablaufverfolgung.

Nachdem Sie die Protokollierungsstufe festgelegt haben, wird diese als Eigenschaft client.log.level.serverOverride

auf dem Tab Interne Eigenschaften angezeigt.

Um die Protokollierungsstufe für mehrere Geräte festzulegen, wählen Sie die Geräte auf der Seite

Geräte aus und wählen Sie anschließend Aktionen > Protokolliergrad festlegen aus.

Verwandte Informationen

App-Protokolle abrufen (Seite 64)

Sie können die Protokolldateien aller verwalteten Sophos Mobile Apps abrufen, entweder per

Fernzugriff mit Sophos Mobile Admin oder auf dem Gerät mit Sophos Mobile Control.

11.4.14 App-Protokolle abrufen

Sie können die Protokolldateien aller verwalteten Sophos Mobile Apps abrufen, entweder per

Fernzugriff mit Sophos Mobile Admin oder auf dem Gerät mit Sophos Mobile Control.

Für Android-Geräte, iPhones und iPads können Sie die Protokolldateien der folgenden Apps abrufen, sofern Sophos Mobile diese verwaltet:

• Sophos Mobile Control

• Sophos Secure Workspace

• Sophos Secure Email

• Sophos Intercept X for Mobile

Für Chrome-Geräte können Sie die Protokolldateien von Sophos Chrome Security abrufen.

Bei Apps, die nicht von Sophos Mobile verwalten werden, können Sie die Protokolldateien aus der jeweiligen App exportieren.

Informationen zum Herunterladen der Systemprotokolldateien eines iPhones oder iPads finden Sie im Support-Artikel KB-000034154 .

Verwandte Informationen

Wie Sie Protokolle unter Android und iOS abrufen (Video)

Support-Artikel KB-000034154

Sophos Mobile Protokolle per Fernzugriff abrufen

Tipp

Wir empfehlen, dass Sie vor dem Abrufen der Protokolldateien die ausführlichste

Protokollierungsstufe Ablaufverfolgung einstellen. Siehe Client-Protokollierungsstufe festlegen .

Sophos Mobile

Um mit Sophos Mobile Admin die Protokolldateien aller verwalteten Sophos Mobile Apps auf einem

Gerät abzurufen, gehen Sie wie folgt vor:

1. Wählen Sie in der Menüleiste Geräte aus.

2. Öffnen Sie das Gerät, für das Sie die Protokolldateien abrufen wollen.

Sie können Protokolldateien für Android-Geräte, iPhones, iPads und Chrome-Geräte abrufen.

3. Wählen Sie auf der Seite Gerät anzeigen die Aktion Aktionen > Protokolldateien anfordern aus.

Sophos Mobile sendet Ihnen eine E-Mail mit den Protokolldateien.

Bei Android-Enterprise-Geräte enthält die E-Mail auch einen Android-Fehlerbericht.

Bei iPhones und iPads muss der Benutzer innerhalb von 72 Stunden, nachdem Sie die Aktion ausgeführt haben, Sophos Mobile Control öffnen. Andernfalls schlägt die Aktion fehl.

Zugehörige Aufgaben

Client-Protokollierungsstufe festlegen (Seite 63)

Mit der Protokollierungsstufe legen Sie fest, wie viele Protokollinformationen der Sophos Mobile Client auf einem Gerät sammelt.

Abrufen Sophos Mobile von Protokollen auf einem Gerät

Um mit Sophos Mobile Control die Protokolldateien aller verwalteten Sophos Mobile Apps abzurufen, gehen Sie wie folgt vor:

1. Öffnen Sie Sophos Mobile Control auf dem Gerät.

2. Öffnen Sie das App-Menü und wählen Sie Sende Protokoll aus.

3. Wählen Sie die E-Mail-App aus.

4. Geben Sie Absender und Empfänger der E-Mail ein.

In Android ist der Standard-Absender das Google-Konto des Benutzers und der Standard-

Empfänger ist der IT-Kontakt, den Sie in Sophos Mobile Admin konfiguriert haben.

5. Senden Sie die E-Mail.

Hinweis

Bei Samsung-Geräten können Sie keine Log-Dateien exportieren, wenn Sie diesen eine Knox-

Container-Richtlinie zugewiesen haben, in der „Teilen über“ erlauben deaktiviert ist.

Zugehörige Aufgaben

IT-Kontakt konfigurieren (Seite 16)

Protokolle von Sophos Secure Workspace abrufen (Android)

Um die Protokolldateien von Sophos Secure Workspace unter Android abzurufen, gehen Sie wie folgt vor:

1. Öffnen Sie Sophos Secure Workspace.

2. Öffnen Sie das App-Menü und wählen Sie Einstellungen > Sende Protokolldaten per E-Mail aus.

3. Wählen Sie die E-Mail-App aus.

4. Geben Sie Absender und Empfänger der E-Mail ein.

Standard-Absender ist das Google-Konto des Benutzers.

5. Senden Sie die E-Mail.

Sophos Mobile

Protokolle von Sophos Secure Workspace abrufen (iOS)

Um die Protokolldateien von Sophos Secure Workspace unter iOS oder iPadOS abzurufen, gehen

Sie wie folgt vor:

1. Öffnen Sie Sophos Secure Workspace.

2. Wählen Sie die drei Punkte oben rechts aus, um das App-Menü zu öffnen.

3. Wählen Sie Einstellungen > Protokolldateien senden aus.

4. Geben Sie Absender und Empfänger der E-Mail ein.

5. Wählen Sie Senden aus.

Protokolle von Sophos Intercept X for Mobile abrufen (Android)

Um die Protokolldateien von Sophos Intercept X for Mobile unter Android abzurufen, gehen Sie wie folgt vor:

1. Öffnen Sie Sophos Intercept X for Mobile.

2. Öffnen Sie das App-Menü und wählen Sie Einstellungen > Sende Protokolldaten per E-Mail aus.

3. Wählen Sie die E-Mail-App aus.

4. Geben Sie Absender und Empfänger der E-Mail ein.

Standard-Absender ist das Google-Konto des Benutzers.

5. Senden Sie die E-Mail.

Protokolle von Sophos Intercept X for Mobile abrufen (iOS)

Um die Protokolldateien von Sophos Intercept X for Mobile unter iOS oder iPadOS abzurufen, gehen

Sie wie folgt vor:

1. Öffnen Sie Sophos Intercept X for Mobile.

2. Öffnen Sie das App-Menü und wählen Sie Einstellungen > Protokolldateien senden aus.

3. Wählen Sie Mail aus.

4. Geben Sie Absender und Empfänger der E-Mail ein.

Standard-Absender ist die E-Mail-Adresse des Google-Kontos.

5. Wählen Sie Senden aus.

Protokolle von Sophos Chrome Security abrufen

Um die Protokolldateien von Sophos Chrome Security abzurufen, gehen Sie wie folgt vor:

1. Öffnen Sie Chrome.

2. Wählen Sie in der Leiste mit den Erweiterungen Sophos Chrome Security aus.

Sophos Mobile

3. Wählen Sie Über > Protokoll exportieren aus.

Sophos Chrome Security speichert die Protokolldateien im Download-Ordner des Gerätes.

11.4.15 Gerät zurücksetzen

Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert zurücksetzen. Dadurch wird das

Gerät auf Werkseinstellungen zurückgesetzt.

Einschränkung

Folgende Geräte können nicht zurückgesetzt werden:

• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Android-Enterprise-Geräte mit Arbeitsprofil.

• Macs, die Sie ferngesteuert gesperrt haben.

So setzen Sie ein Gerät per Fernzugriff auf Werkseinstellungen zurück:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie zurücksetzen wollen, und anschließend auf Anzeigen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Zurücksetzen.

4. Für einige Gerätetypen müssen Sie weitere Einstellungen konfigurieren: a) Für vollständig verwaltete Android-Enterprise-Geräte aktivieren Sie bei Bedarf FRP (Factory

Reset Protection).

Achtung

Wenn die Google-Konten, die Sie für FRP konfiguriert haben, ungültig sind oder wenn Sie die Anmeldeinformationen für die Konten nicht mehr kennen, kann das Gerät nach dem

Zurücksetzen nicht mehr verwendet werden.

b) Für iPhones und iPads konfigurieren Sie im Bestätigungsdialog folgende Einstellungen:

• Datentarif beibehalten: Wenn für das Gerät ein mobiler Datentarif eingerichtet ist, bleibt dieser nach dem Zurücksetzen auf Werkseinstellungen erhalten.

• Schnellstart verbieten: Beim ersten Gerätestart nach dem Zurücksetzen auf

Werkseinstellungen nicht den Schritt „Schnellstart“ im Einrichtungsassistenten anzeigen, mit dem Inhalte von einem anderen iPhone übertragen können.

c) Macs: Legen Sie eine 6-stellige PIN fest, die auf dem Mac eingegeben werden muss, um ihn zu entsperren.

5. Klicken Sie im Bestätigungsdialog auf Ja.

Ein Auftrag zum Zurücksetzen wird erstellt und an das Gerät übertragen.

Sophos Mobile

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter

Sperr-PIN.

Zugehörige Konzepte

Android Factory Reset Protection

(Seite 378)

FRP (Factory Reset Protection) ist eine Android-Sicherheitsfunktion, die einen unberechtigten Zugriff nach dem Zurücksetzen auf Werkseinstellungen verhindert.

11.4.16 Android FRP aktivieren/deaktivieren

Einschränkung

Diese Anweisungen gelten nur für vollständig verwaltete Android-Enterprise-Geräte.

Wenn Sie FRP (Factory Reset Protection, d.h. Schutz vor dem Zurücksetzen auf

Werkseinstellungen) für ein vollständig verwaltetes Android-Enterprise-Gerät konfigurieren, ist FRP standardmäßig aktiviert. Wenn Sie sicher sind, dass das Gerät nicht verloren oder gestohlen wurde, können Sie FRP deaktivieren, um die Einrichtungsprozedur zu vereinfachen.

So aktivieren oder deaktivieren Sie FRP:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, für das Sie den FRP-Status einstellen wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Factory Reset Protection einstellen.

4. Wählen Sie FRP aktivieren oder FRP deaktivieren aus.

Wenn FRP aktiviert ist, muss das Gerät nach dem Zurücksetzen auf Werkseinstellungen mit einem für FRP konfigurierten Google-Konto entsperrt werden.

Details zu FRP finden Sie in

Android Factory Reset Protection (Seite 378).

Achtung

Wenn Sie FRP für das Gerät aktivieren und es nicht richtig konfiguriert ist, kann das Gerät nach dem Zurücksetzen nicht mehr verwendet werden.

Tipp

Sie können den FRP-Status eines Gerätes auf dem Tab Status auf der Seite Gerät anzeigen

überprüfen.

11.4.17 Telecom Expense Management konfigurieren

Mit Telecom Expense Management (TEM) können Sie den Verbrauch mobiler Daten einzelner Geräte

überwachen.

Sophos Mobile

Einschränkung

Telecom Expense Management ist nicht verfügbar für:

• Geräte mit Android 5.1.1 oder älter.

• Android-Enterprise-Geräte mit Arbeitsprofil.

• Macs.

• Windows- und Windows-Mobile-Geräte.

• Chrome-Geräte.

So konfigurieren Sie Telecom Expense Management für einzelne Geräte:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie Telecom Expense Management konfigurieren wollen.

Wählen Sie nur Geräte mit demselben mobilen Datentarif aus.

3. Klicken Sie auf Aktionen > Telecom Expense Management konfigurieren.

4. Konfigurieren Sie folgende Einstellungen:

Option

Überwachung aktivieren

Beschreibung

Aktivieren Sie dies, um die Überwachung des mobilen

Datenverbrauchs für die ausgewählten Geräte zu aktiveren.

Verfügbares Datenvolumen Das Datenvolumen Ihres mobilen Datentarifs in MB.

Alarm-Schwellwert

Rechnungszyklus

Ein Datenvolumen-Grenzwert in MB. Wenn das verbrauchte

Datenvolumen bei einem Gerät diesen Wert überschreitet, wird ein Alarm erzeugt.

Wert zwischen 1 und 31, der angibt, an welchem Tag im

Monat das Datenvolumen zurückgesetzt wird.

Hinweis

Bei Monaten mit weniger Tagen wird das Datenvolumen am letzten Tag des Monats zurückgesetzt.

5. Klicken Sie auf Speichern, um die Einstellungen auf die ausgewählten Geräte anzuwenden.

Der mobile Datenverbrauch wird von einem Gerät bei jeder Synchronisation mit dem Sophos Mobile

Server übertragen.

Um den aktuellen mobilen Datenverbrauch eines Gerätes festzustellen, öffnen Sie die Seite

Gerät anzeigen des Gerätes und klicken Sie anschließend auf Aktionen > Telecom Expense

Management konfigurieren.

Hinweis

Der angezeigte Datenverbrauch weicht möglicherweise von dem Wert ab, den Ihnen Ihr

Mobilfunkanbieter berechnet. Es wird nur der von installierten Apps verursachte Datenverbrauch berücksichtigt, aber keine Systemaktualisierungen, Aktualisierungen von System-Apps, oder

ähnliches.

Sophos Mobile

Tipp

Verwenden Sie den Bericht Mobile Datennutzung, um den Datenverbrauch aller Geräte

festzustellen, für die Telecom Expense Management aktiviert ist. Siehe Berichte

(Seite 8).

Hinweis

• Der Wert für den Datenverbrauch wird zu folgenden Zeitpunkten zurückgesetzt:

— Regelmäßig jeden Monat am Ende des von Ihnen festgelegten Tages.

— Wenn Sie Telecom Expense Management für das Gerät deaktivieren.

— Wenn das Gerät bei Sophos Mobile deregistriert wird.

• Für iOS wird kein Datenverbrauch ermittelt, wenn die App Sophos Mobile Control nicht läuft, zum Beispiel, wenn der Benutzer die App nach einem Geräteneustart nicht gestartet hat.

11.4.18 iOS und iPadOS aktualisieren

Sie können iOS und iPadOS auf betreuten (supervised) Geräten aktualisieren.

Verwenden Sie diese Methode, um iOS oder iPadOS auf einem einzelnen Gerät zu aktualisieren.

Um eine Gerätegruppe zu aktualisieren, verwenden Sie ein Auftragspaket mit einem Auftrag vom

Typ Letzte iOS-Aktualisierung installieren.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf der Seite Geräte neben dem Gerät auf den Nach-Unten-Pfeil und anschließend auf

Anzeigen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Verfügbare Aktualisierungen

anzeigen.

Eine Liste der für das Gerät verfügbaren Aktualisierungen wird angezeigt. Aktualisierungen mit dem Kennzeichen Kritisch sind von Apple als kritische Sicherheits-Aktualisierungen eingestuft.

4. Um die letzte verfügbare Aktualisierung zu installieren, klicken Sie auf Letzte verfügbare

Aktualisierung installieren.

Sophos Mobile erstellt einen Auftrag und überträgt ihn an das Gerät.

Tipp

Um den Aktualisierungsstatus eines einzelnen Gerätes zu prüfen, öffnen Sie die Seite Gerät

anzeigen für das Gerät. Neben dem Feld Betriebssystem wird ein Warnsymbol angezeigt, falls auf dem Gerät nicht die neueste verfügbare Betriebssystemversion installiert ist. Ab iOS 14 und iPadOS 14 melden nur betreute Geräte ihren Aktualisierungsstatus.

Den Aktualisierungsstatus aller iPhones und iPads finden Sie im Bericht Geräte in der Spalte

OsUpdateAvailable.

Zugehörige Konzepte

Auftragstypen (iOS, iPadOS)

(Seite 334)

Sophos Mobile

11.4.19 Den verwalteten Modus „Verloren“ konfigurieren

Sie können ein betreutes iPhone oder iPad in den verwalteten Modus „Verloren“ versetzen. Das

Gerät kann dann solange nicht mehr verwendet werden, bis der verwaltete Modus „Verloren“ in

Sophos Mobile wieder deaktiviert wird.

Im verwalteten Modus „Verloren“ können mit dem Gerät nur folgende Aktion ausgeführt werden:

• Eine von Ihnen konfigurierte Telefonnummer anrufen.

• Einen Notruf tätigen.

Hinweis

• Der verwaltete Modus „Verloren“ ist eine andere Art von Sperrmodus als der Modus

„Verloren“, den ein Benutzer in iCloud aktivieren kann. Wenn Sie den verwalteten Modus

„Verloren“ in Sophos Mobile aktivieren, kann das Gerät nicht in iCloud entsperrt werden.

• Die Geräteortung funktioniert im verwalteten Modus „Verloren“ zuverlässiger als im normalen

Sperrmodus. Der Gerätestandort wird durch eine Systemfunktion ermittelt. Es ist nicht erforderlich, dass die App Sophos Mobile Control läuft.

So aktivieren Sie den verwalteten Modus „Verloren“:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie in den verwalteten Modus „Verloren“ versetzen wollen, und anschließend auf Anzeigen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Verwalteten Modus „Verloren“

aktivieren.

4. Konfigurieren Sie folgende Einstellungen:

Option

Sperrbildschirm-Nachricht

Beschreibung

Text, der auf dem Sperrbildschirm angezeigt wird.

Telefonnummer Eine Telefonnummer, die vom Sperrbildschirm aus angerufen werden kann.

Fußzeile Ein Fußzeilentext, der am unteren Rand des Sperrbildschirms angezeigt wird.

Wenn Sie keine Fußzeile konfigurieren, wird ein

Standardhinweis zum Kontaktieren eines Administrators angezeigt.

Ein Auftrag zum Aktivieren des verwalteten Modus „Verloren“ wird erstellt und an das Gerät

übertragen. Der verwaltete Modus „Verloren“ wird sofort aktiviert, nachdem das Gerät den Auftrag erhalten hat.

Wenn sich ein Gerät im verwalteten Modus „Verloren“ befindet, können Sie auf der Seite Gerät

anzeigen folgende Aktionen ausführen:

• Um das Gerät zu orten, verwenden Sie Aktionen > Ortung.

• Um auf dem Gerät einen Ton abzuspielen, verwenden Sie Aktionen > „Verloren“-Ton abspielen.

• Um den verwalteten Modus „Verloren“ zu deaktivieren, verwenden Sie Aktionen > Verwalteten

Modus „Verloren“ deaktivieren.

Sophos Mobile

Tipp

Um festzustellen, ob der verwaltete Modus „Verloren“ aktiv ist, prüfen Sie die Geräteeigenschaft

IsMDMLostModeEnabled.

11.5 Benutzerdefinierte Geräteeigenschaften

Zusätzlich zu den von einem Gerät gemeldeten Eigenschaften können Sie dem Gerät benutzerdefinierte Eigenschaften hinzufügen.

Wenn Sie eine Eigenschaft mit dem Namen Meine Eigenschaft hinzufügen, können Sie den

Platzhalter %_DEVPROP(Meine Eigenschaft)_% verwenden, um den Wert der Eigenschaft

einzufügen. Details zu Platzhaltern finden Sie in Platzhalter in Richtlinien

(Seite 117).

Sie können benutzerdefinierte Eigenschaften auf folgende Arten zu einem Gerät hinzufügen:

• Sie fügen benutzerdefinierte Eigenschaften zu einem einzelnen Gerät hinzu. Siehe

Benutzerdefinierte Geräteeigenschaften hinzufügen (Seite 72).

• Sie erstellen Standard-Eigenschaften, die jedem Gerät bei der Erstellung als benutzerdefinierte

Eigenschaften zugewiesen werden. Siehe

Standard-Geräteeigenschaften erstellen (Seite 72).

11.5.1 Benutzerdefinierte Geräteeigenschaften hinzufügen

Zusätzlich zu den von einem Gerät gemeldeten Eigenschaften können Sie dem Gerät benutzerdefinierte Eigenschaften hinzufügen.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf

Bearbeiten.

3. Öffnen Sie auf der Seite Gerät bearbeiten das Tab Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen.

Wenn das Tab Benutzerdefinierte Eigenschaften nicht vorhanden ist, überprüfen Sie, ob die

Systemeinstellungen Expertenmodus aktiviert ist (unter Einrichtung > Allgemein > Persönlich).

4. Geben Sie einen Namen und einen Wert für die Eigenschaft ein.

5. Klicken Sie auf Anwenden.

6. Klicken Sie auf Speichern.

Die benutzerdefinierte Eigenschaft wird dem Gerät hinzugefügt.

Hinweis

Eine benutzerdefinierte Geräteeigenschaft kann nicht denselben Namen wie eine Standard-

Geräteeigenschaft haben.

11.5.2 Standard-Geräteeigenschaften erstellen

Sie können Standard-Eigenschaften erstellen, die jedem Gerät bei der Erstellung als benutzerdefinierte

Eigenschaften zugewiesen werden.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Standard-Geräteeigenschaften.

Sophos Mobile

2. Klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen.

3. Geben Sie einen Namen und einen Wert für die Eigenschaft ein.

4. Klicken Sie auf Anwenden.

5. Klicken Sie auf Speichern.

Hinweis

Eine benutzerdefinierte Geräteeigenschaft kann nicht denselben Namen wie eine Standard-

Geräteeigenschaft haben.

Hinweis

Falls dieselbe Eigenschaft sowohl für den Kunden als auch für den Superadministrator-Kunden definiert ist, wird der für den Kunden definierte Wert verwendet.

11.6 QR-Code-Registrierung

Sie können vollständig verwaltete Android-Enterprise-Geräte registrieren, indem Sie während der Geräte-Einrichtung einen QR-Code scannen. Verwenden Sie dies zum Beispiel, um Geräte vorzubereiten, bevor Sie diese Ihren Benutzern bereitstellen.

Voraussetzungen:

• Sie haben Android Enterprise in Sophos Mobile für das Szenario „Managed Google Play Account“ eingerichtet.

• Die zu registrierenden Geräte verwenden Android 7 oder neuer.

Zugehörige Aufgaben

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 370)

11.6.1 QR-Code-Registrierung einrichten

Sie müssen die Einstellungen konfigurieren, die für die Erstellung des QR-Codes und für die

Registrierung von Geräten erforderlich sind.

Voraussetzung:

Sie haben ein Auftragspaket für die QR-Code-Registrierung erstellt. Das Auftragspaket muss einen

Auftrag Richtlinie zuweisen für eine Android-Enterprise-Geräterichtlinie enthalten und darf keinen

Auftrag Registrieren enthalten.

So richten Sie die QR-Code-Registrierung ein:

1. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Android-

Einrichtung und anschließend das Tab QR-Code-Registrierung aus.

2. Wählen Sie QR-Code-Registrierung von Android-Enterprise-Geräten konfigurieren aus.

3. Konfigurieren Sie unter QR-Code konfigurieren die Einstellungen für die Geräteeinrichtung:

• System-Apps aktivieren: Auf vollständig verwalteten Android-Enterprise-Geräten sind

System-Apps, die ein Start-Icon haben, standardmäßig deaktiviert. Wenn Sie diese Einstellung auswählen, bleiben alle System-Apps aktiviert.

• Sprache: Die Sprache für die Android-Benutzeroberfläche.

Sophos Mobile

• WLAN-Einstellungen: Wählen Sie den Sicherheitstyp der WLAN-Verbindung aus, oder wählen Sie WLAN nicht konfigurieren aus, um kein Netzwerk im QR-Code zu konfigurieren.

In diesem Fall müssen sich Benutzer manuell mit einem WLAN-Netzwerk verbinden, wenn sie ihr Gerät einrichten.

• WLAN-SSID: Die ID des WLAN.

• SSID ist versteckt: Wählen Sie diese Option aus, wenn das WLAN-Netzwerk versteckt ist.

• WLAN-Kennwort: Das WLAN-Kennwort.

Geräte verbinden sich automatisch mit dem WLAN-Netzwerk, falls es verfügbar ist.

4. Konfigurieren Sie unter Registrierung konfigurieren, wie Sophos Mobile das Gerät verwaltet:

• Auftragspaket: Das Auftragspaket, das an das Gerät übertragen wird.

• Gerätegruppe: Die Gerätegruppe, der die Geräte zugewiesen werden.

Der QR-Code wird auf dem Tab QR-Code-Registrierung angezeigt. Sie können den Code ausdrucken, um ihn außerhalb von Sophos Mobile Admin verwenden zu können.

Hinweis

• Sie können alle Geräte mit demselben QR-Code registrieren.

• Sie können den QR-Code zurückziehen, um zukünftige Registrierungen zu verhindern. Der

Code wird auch aufgehoben, wenn Sie einen neuen erstellen.

Zugehörige Aufgaben

Geräte mittels QR-Code registrieren (Seite 74)

Um ein vollständig verwaltetes Android-Enterprise-Gerät mittels QR-Code zu registrieren, scannen Sie den QR-Code während der erstmaligen Geräteeinrichtung.

11.6.2 Geräte mittels QR-Code registrieren

Um ein vollständig verwaltetes Android-Enterprise-Gerät mittels QR-Code zu registrieren, scannen Sie den QR-Code während der erstmaligen Geräteeinrichtung.

Einschränkung

Die Registrierung mittels QR-Codes erfordert Android 7 oder neuer.

Voraussetzungen:

• Sie haben ein Benutzerkonto in Sophos Mobile. Sie müssen für die Registrierung die

Anmeldeinformationen des Kontos eingeben.

• Sie haben den Registrierungs-QR-Code.

So registrieren Sie ein Gerät:

1. Schalten Sie ein neues Gerät ein, bzw. setzen Sie ein bereits eingerichtetes Gerät auf

Werkseinstellungen zurück.

2. Tippen Sie auf der Seite Willkommen des Android-Einrichtungsassistenten sechsmal auf dieselbe

Stelle.

Dadurch wird ein QR-Code-Leser geöffnet.

Auf einigen Geräten müssen Sie sich mit einem WLAN-Netzwerk verbinden, damit Android den

QR-Code-Leser herunterladen kann.

Sophos Mobile

3. Scannen Sie den QR-Code.

4. Falls der QR-Code keine WLAN-Konfiguration enthält oder das WLAN-Netzwerk nicht verfügbar ist, verbinden Sie sich manuell mit einem Netzwerk.

5. Folgen Sie den Registrierungs-Anweisungen.

Das Gerät wird bei Sophos Mobile als vollständig verwaltetes Android-Enterprise-Gerät registriert.

Je nach Gerät ist der Einrichtungsvorgang möglicherweise kürzer als bei manueller Einrichtung. Zum

Beispiel werden herstellerspezifische Konfigurationsschritte eventuell übersprungen.

11.7 Zero-Touch-Registrierung

Mit der Android-Zero-Touch-Registrierung können Sie eine Massenregistrierung von Android-

Firmengeräten durchführen.

Zero-Touch-fähige Geräte registrieren sich automatisch bei Sophos Mobile als vollständig verwaltete

Android-Enterprise-Geräte, wenn der Benutzer sie einschaltet.

Anforderungen

• Sie haben ein Konto für das Google-Portal für die Zero-Touch-Registrierung. Üblicherweise erstellt der Händler dieses Konto für Sie, wenn Sie Ihre ersten Geräte erwerben.

• Sie haben Android Enterprise in Sophos Mobile für das Szenario Managed Google Play Account

eingerichtet. Siehe Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite

370).

Einrichtungsschritte

Führen Sie folgende Schritte aus, um die Zero-Touch-Registrierung zu verwenden:

1. Aktivieren Sie die Zero-Touch-Registrierung in Sophos Mobile Admin und konfigurieren Sie die

Registrierungsdetails. Siehe

Zero-Touch-Registrierung einrichten (Seite 75).

2. Erstellen Sie im Google-Portal für die Zero-Touch-Registrierung eine Konfiguration für Sophos

Mobile. Siehe Zero-Touch-Konfiguration erstellen (Seite 76).

3. Erwerben Sie Zero-Touch-fähige Android-Geräte von einem Google-Enterprise-Händler.

4. Weisen Sie den Geräten die Zero-Touch-Konfiguration für Sophos Mobile zu. Siehe Zero-Touch-

Geräte bereitstellen (Seite 77).

Verwandte Informationen

Google-Webseite zu Zero-Touch-Registrierung (externer Link)

Google-Hilfe für die Zero-Touch-Registrierung (externer Link)

11.7.1 Zero-Touch-Registrierung einrichten

Sie richten die Zero-Touch-Registrierung in Sophos Mobile Admin ein, indem Sie die Einstellungen konfigurieren, die auf Zero-Touch-fähige Android-Geräte (kurz „Zero-Touch-Geräte“) angewendet werden, wenn sich diese bei Ihrem Sophos Mobile Server registrieren.

Voraussetzung:

Sophos Mobile

Sie haben ein Auftragspaket für die QR-Code-Registrierung erstellt. Das Auftragspaket muss einen

Auftrag Richtlinie zuweisen für eine Android-Enterprise-Geräterichtlinie enthalten und darf keinen

Auftrag Registrieren enthalten.

So richten Sie die Zero-Touch-Registrierung ein:

1. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Android-

Einrichtung und anschließend das Tab Zero-Touch aus.

2. Wählen Sie Zero-Touch-Registrierung verwenden aus.

3. Wählen Sie unter Konfigurationseinstellungen für Zero-Touch die Option DPC extras aus, um

Einstellungen für das Gerät zu konfigurieren:

• Sprache: Die Sprache für die Android-Benutzeroberfläche.

• Zeitzone: Die auf dem Gerät eingestellte Zeitzone.

• System-Apps aktivieren: Auf vollständig verwalteten Android-Enterprise-Geräten sind

System-Apps, die ein Start-Icon haben, standardmäßig deaktiviert. Wenn Sie diese Einstellung auswählen, bleiben alle System-Apps aktiviert.

Basierend auf Ihren Einstellungen erstellt Sophos Mobile einen Konfigurations-Code, den Sie im

Google-Portal für die Zero-Touch-Registrierung eingeben müssen.

4. Konfigurieren Sie unter Registrierungseinstellungen die Registrierung von Zero-Touch-Geräten bei Sophos Mobile:

• Gerätegruppe: Die Gerätegruppe, der die Geräte zugewiesen werden.

• Auftragspaket: Das Auftragspaket, das an das Gerät übertragen wird.

5. Wählen Sie Speichern aus, um die Registrierungs-Einstellungen zu speichern.

Um die Konfiguration der Zero-Touch-Registrierung abzuschließen, erstellen Sie im Google-Portal für die Zero-Touch-Registrierung eine Konfiguration für Sophos Mobile.

11.7.2 Zero-Touch-Konfiguration erstellen

Eine Zero-Touch-Konfiguration enthält Informationen für Geräte zur Registrierung bei Ihrem Sophos

Mobile Server. Sie erstellen diese Konfiguration im Google-Portal für die Zero-Touch-Registrierung.

Diese Prozedur setzt voraus, dass Sie Google-Zero-Touch-Registrierung in Sophos Mobile Admin eingerichtet haben. Siehe

Zero-Touch-Registrierung einrichten (Seite 75).

1. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Android-

Einrichtung und anschließend das Tab Zero-Touch aus.

2. Klicken Sie neben DPC extras auf Kopieren, um den Konfigurations-Code in die Zwischenablage zu kopieren.

3. Öffnen Sie das Google-Portal für die Zero-Touch-Registrierung in einem neuen Browserfenster.

4. Erstellen Sie eine neue Konfiguration für Sophos Mobile:

• Wählen Sie für EMM DPC den Eintrag Sophos Mobile Control aus.

• Geben Sie in DPC extras den Konfigurations-Code ein, den Sie in die Zwischenablage kopiert haben.

5. Optional: Wählen Sie die Konfiguration als Standardkonfiguration aus. Sie wird dann automatisch allen neuen Geräten zugewiesen.

Verwandte Informationen

Google-Portal für die Zero-Touch-Registrierung (externer Link)

Google-Hilfe für die Zero-Touch-Registrierung (externer Link)

Sophos Mobile

11.7.3 Zero-Touch-Geräte bereitstellen

Damit sich ein Zero-Touch-fähiges Gerät (kurz „Zero-Touch-Gerät“) bei Ihrem Sophos Mobile Server registriert, weisen Sie ihm die Konfiguration für Sophos Mobile zu.

1. Überprüfen Sie, dass die Geräte, die Sie bereitstellen wollen, im Google-Portal für die Zero-Touch-

Registrierung vorhanden sind.

Üblicherweise fügt der Händler die Geräte für Sie hinzu.

2. Weisen Sie im Google-Portal für die Zero-Touch-Registrierung den Geräten die Konfiguration für

Sophos Mobile zu.

Sie können die Konfiguration für Sophos Mobile auch als Standardkonfiguration festlegen, damit sie automatisch allen neuen Geräten zugewiesen wird.

3. Verteilen Sie die Geräte an Ihre Benutzer.

Die Benutzer müssen ein Konto in Sophos Mobile haben.

Wenn ein Benutzer das Gerät erstmalig einschaltet, startet der Android-Einrichtungsassistent.

Nachdem sich das Gerät mit dem Internet verbunden hat, registriert es sich bei Sophos Mobile als vollständig verwaltetes Android-Enterprise-Gerät.

Hinweis

Falls ein Gerät bereits eingerichtet ist, wenn Sie es im Google-Portal für die Zero-Touch-

Registrierung hinzufügen, wird es auf Werkseinstellungen zurückgesetzt.

11.7.4 Zero-Touch-Registrierung deaktivieren

So deaktivieren Sie die automatische Registrierung von Zero-Touch-fähigen Android-Geräten (kurz

„Zero-Touch-Geräten“) bei Sophos Mobile:

1. Wählen Sie in der Menüleiste unter EINSTELLUNGEN den Eintrag Einrichtung > Android-

Einrichtung und anschließend das Tab Zero-Touch aus.

2. Klicken Sie auf Zero-Touch-Konfiguration widerrufen.

Zero-Touch-Geräte verbinden sich danach weiterhin mit Ihrem Sophos Mobile Server, um sich zu registrieren. Der Server lehnt diese Anfrage jedoch ab.

Um die Verbindung zwischen Sophos Mobile und Android Zero Touch vollständig zu trennen, löschen Sie im Google-Portal für die Zero-Touch-Registrierung die Konfiguration für Sophos Mobile.

11.8 Knox Mobile Enrollment

Mit Samsung Knox Mobile Enrollment (KME) können Sie eine Massenregistrierung von Samsung-

Firmengeräten bei Sophos Mobile durchführen. KME-fähige Geräte registrieren sich automatisch bei

Ihrem Sophos Mobile Server, wenn der Benutzer sie einschaltet.

Anforderungen

• Sie haben ein Samsung-Konto.

• Sie haben ein Konto für das Samsung-Knox-Portal.

Sophos Mobile

• Die zu registrierenden Geräte haben Knox 2.4 oder neuer, je nach Registrierungsszenario, das Sie verwenden wollen. Zum Beispiel ist für die vollständige Android-Enterprise-Geräteverwaltung Knox

2.8 oder neuer erforderlich.

• Wenn Sie die Registrierung im Android-Enterprise-Modus durchführen wollen, müssen Sie in

Sophos Mobile Android Enterprise für das Szenario Managed Google Play Account eingerichtet haben. Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite

370).

Einrichtungsschritte

Führen Sie folgende Schritte aus, um Knox Mobile Enrollment zu verwenden:

1. Aktivieren Sie Knox Mobile Enrollment in Sophos Mobile Admin und konfigurieren Sie die

Registrierungsdetails. Siehe

Knox Mobile Enrollment einrichten (Seite 78).

2. Erstellen Sie in der Samsung-Konsole für Knox Mobile Enrollment ein Profil für Sophos Mobile.

Siehe

KME-Profil erstellen

(Seite 79).

3. Erwerben Sie KME-fähige Geräte.

4. Weisen Sie den Geräten das KME-Profil für Sophos Mobile zu. Siehe KME-Geräte bereitstellen

(Seite 79).

Verwandte Informationen

Samsung-Webseite zu Knox Mobile Enrollment (externer Link)

Samsung-Benutzerhilfe zu Knox Mobile Enrollment (englisch) (externer Link)

11.8.1 Knox Mobile Enrollment einrichten

Sie richten Samsung Knox Mobile Enrollment (KME) in Sophos Mobile Admin ein, indem Sie die

Einstellungen konfigurieren, die auf KME-Geräte angewendet werden, wenn sich diese bei Ihrem

Sophos Mobile Server registrieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Samsung KME.

2. Klicken Sie auf Knox Mobile Enrollment verwenden.

3. Konfigurieren Sie unter Registrierungseinstellungen die Registrierung von KME-Geräten bei

Sophos Mobile:

• Gerätegruppe: Die Gerätegruppe, der KME-Geräte zugewiesen werden.

• Auftragspaket (Android): Das Auftragspaket für Geräte, die Sophos Mobile als Android-

Geräteadministrator verwaltet.

• Auftragspaket (Android Enterprise vollständige Geräteverwaltung): Das Auftragspaket für vollständig verwaltete Android-Enterprise-Geräte.

Die Listen zeigen Auftragspakete, die keinen Auftrag vom Typ Registrieren enthalten.

Sie konfigurieren den Registrierungsmodus, wenn Sie in der Samsung-Konsole für Knox

Mobile Enrollment ein MDM-Profil anlegen.

• Benutzer-Authentifizierung: Wenn dies selektiert ist, muss der Benutzer während der

Geräte-Einrichtung seine Anmeldeinformationen für Sophos Mobile eingeben. In Sophos

Mobile wird der Benutzer dem Gerät zugewiesen.

Wenn dies deselektiert ist, registriert sich das Gerät bei Sophos Mobile ohne

Benutzerzuweisung.

Sophos Mobile

4. Klicken Sie auf Speichern, um die Registrierungs-Einstellungen zu speichern.

Um die Konfiguration von Knox Mobile Enrollment abzuschließen, erstellen Sie in der Samsung-

Konsole für Knox Mobile Enrollment ein MDM-Profil für Sophos Mobile.

11.8.2 KME-Profil erstellen

Ein Profil für Knox Mobile Enrollment (KME-Profil) enthält Informationen für Geräte zur Registrierung bei Ihrem Sophos Mobile Server. Sie erstellen dieses Profil in der Samsung-Konsole für Knox Mobile

Enrollment.

Diese Prozedur setzt voraus, dass Sie Samsung Knox Mobile Enrollment in Sophos Mobile Admin eingerichtet haben. Siehe

Knox Mobile Enrollment einrichten

(Seite 78).

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Samsung KME.

2. Öffnen Sie das Samsung-Knox-Portal in einem neuen Browserfenster und navigieren Sie zur Knox-

Mobile-Enrollment-Konsole.

3. Erstellen Sie in der Konsole für Knox Mobile Enrollment ein MDM-Profil für Sophos Mobile.

Aktivieren Sie die Gerätebesitzer-Option, wenn Sie die vollständige Android-Enterprise-

Geräteverwaltung verwenden wollen.

4. Verwenden Sie die in Sophos Mobile Admin unter MDM-Profilkonfiguration angezeigten Werte, um das Profil zu konfigurieren.

Klicken Sie in Sophos Mobile Admin neben einem Feld auf Kopieren, um den Wert in die

Zwischenablage zu kopieren.

Sie können auch noch weitere Profileinstellungen konfigurieren. Siehe hierzu die Samsung-

Benutzerhilfe zu Knox Mobile Enrollment.

5. Speichern Sie das Profil.

Verwandte Informationen

Samsung-Konsole für Knox Mobile Enrollment (externer Link)

Samsung-Benutzerhilfe zu Knox Mobile Enrollment (englisch) (externer Link)

11.8.3 KME-Geräte bereitstellen

Damit sich ein Knox-Mobile-Enrollment-fähiges Gerät (kurz „KME-Gerät“) bei Ihrem Sophos Mobile

Server registriert, weisen Sie ihm das Profil für Sophos Mobile zu.

1. Weisen Sie in der Knox-Mobile-Enrollment-Konsole den Geräten das Profil für Sophos Mobile zu.

Falls die Geräte nicht in der Knox-Mobile-Enrollment-Konsole angezeigt werden, wenden Sie sich an Ihren Händler.

2. Verteilen Sie die Geräte an Ihre Benutzer.

Wenn Sie in den KME-Registrierungseinstellungen in Sophos Mobile Admin die Option Benutzer-

Authentifizierung ausgewählt haben, müssen die Benutzer ein Konto in Sophos Mobile haben.

Wenn ein Benutzer das Gerät erstmalig einschaltet, startet ein Einrichtungsassistent für Knox Mobile

Enrollment. Nachdem sich das Gerät mit dem Internet verbunden hat, registriert es sich bei Sophos

Mobile.

Abhängig vom Registrierungsmodus, den Sie im Profil Sophos Mobile in der Konsole für Knox

Mobile Enrollment konfiguriert haben, verwendet Sophos Mobile entweder die vollständige Android-

Enterprise-Geräteverwaltung oder die Android-Geräteadministrator-Berechtigung, um das Gerät zu verwalten.

Sophos Mobile

11.8.4 Knox Mobile Enrollment deaktivieren

So deaktivieren Sie die automatische Registrierung von Knox-Mobile-Enrollment-fähigen Geräten

(kurz „KME-Geräten“) bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Samsung KME.

2. Klicken Sie auf KME-Konfiguration widerrufen.

KME-Geräte verbinden sich danach weiterhin mit Ihrem Sophos Mobile Server, um sich zu registrieren. Der Server lehnt diese Anfrage jedoch ab.

Um die Verbindung zwischen Sophos Mobile und Knox Mobile Enrollment vollständig zu trennen, löschen Sie in der Samsung-Konsole für Knox Mobile Enrollment das Profil für Sophos Mobile.

11.9 Apple DEP

Mit dem Apple-Programm zur Geräteregistrierung (Device Enrollment Program, kurz DEP) können Sie iPhones, iPads und Macs in größeren Mengen kaufen und in Ihrem Unternehmen bereitstellen.

DEP vereinfacht mit folgenden Funktionen die Bereitstellung von Mobilgeräten:

• Konfigurierbarer Aktivierungsprozess.

• Over-The-Air-Konfiguration.

• Automatische Registrierung von Geräten bei Sophos Mobile während der Geräteaktivierung.

Vorbereitungsschritte

Um die Verwaltung von DEP-Geräten mit Sophos Mobile einzurichten, führen Sie einmalig die folgenden Schritte aus:

1. Erstellen Sie im Apple-DEP-Web-Portal einen virtuellen MDM-Server und verknüpfen Sie diesen mit Sophos Mobile.

2. Erstellen Sie in Sophos Mobile ein oder mehrere DEP-Profile, mit denen verschiedene,

DEP-spezifische Geräteeigenschaften konfiguriert werden. Mit einem DEP-Profil können Sie außerdem den Einrichtungsassistenten anpassen, der nach dem ersten Einschalten eines

Gerätes startet.

Bereitstellungsschritte

Der typische Ablauf zur Bereitstellung gekaufter DEP-Geräte beinhaltet die folgenden Schritte:

1. Kaufen Sie die Geräte von Apple oder einem zugelassenen DEP-Händler.

2. Weisen Sie im Apple-DEP-Portal die Geräte dem MDM-Server von Sophos Mobile zu.

3. Weisen Sie in Sophos Mobile Admin den Geräten ein DEP-Profil zu.

4. Verteilen Sie die Geräte an Ihre Benutzer.

5. Wenn die Benutzer die Geräte erstmalig einschalten, startet der angepasste Einrichtungsassistent.

Während der Einrichtung werden die Geräte bei Sophos Mobile registriert und der Benutzer wird dem Gerät zugewiesen. Die Geräte werden betreut.

6. Bei Bedarf können Sie zusätzliche Auftragspakete auf die Geräte übertragen, um die

Provisionierung zu vervollständigen.

Sophos Mobile

11.9.1 Apple DEP einrichten

Um Apple-DEP-Geräte zu verwalten, müssen Sie im Apple-DEP-Webportal einen virtuellen MDM-

Server erstellen und mit dem Sophos Mobile Server verknüpfen.

Voraussetzungen:

• Sie haben sich für das Apple-Programm zur Geräteregistrierung (DEP) registriert und ein

Administratorkonto für das Apple-DEP-Webportal eingerichtet. Informationen hierzu finden Sie auf der Apple-DEP-Website http://www.apple.com/de/business/programs/ oder in der Hilfe zu den Apple-Bereitstellungsprogrammen .

• Sie haben ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) zu Sophos

Mobile hochgeladen. Siehe APNs-Zertifikat erstellen (Seite 18).

Tipp

Wenn Sie sich bereits für das Apple-Programm für Volumenlizenzen (VPP) registriert haben, können Sie dieselbe Apple-ID auch für DEP verwenden.

So richten Sie Apple DEP ein:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple DEP.

2. Klicken Sie auf Öffentlichen Schlüssel herunterladen, um den öffentlichen Schlüssel von

Sophos Mobile für Apple DEP herunterzuladen.

Die Datei wird auf Ihrem lokalen Computer gespeichert.

3. Rufen Sie in einem Browser-Fenster das Apple-DEP-Webportal unter https:// deploy.apple.com

auf.

Sie können hierzu in Sophos Mobile auf den Link Apple Business Manager klicken.

4. Melden Sie sich am Apple-DEP-Webportal mit der Apple-ID Ihres Unternehmens an.

5. Navigieren Sie im Portal zu Device Enrollment Program > Server verwalten und klicken Sie anschließend auf MDM-Server hinzufügen.

6. Geben Sie einen Namen für den MDM-Server ein, zum Beispiel Sophos Mobile .

7. Laden Sie im nächsten Schritt die Datei mit dem öffentlichen Schlüssel hoch, die Sie zuvor von

Sophos Mobile heruntergeladen haben.

8. Laden Sie im nächsten Schritt das Server-Token herunter.

Anschließend können Sie sich vom DEP-Portal abmelden.

9. Klicken Sie in Sophos Mobile auf dem Tab Apple DEP auf Datei hochladen und wählen Sie das

Server-Token aus, das Sie vom Apple-DEP-Portal heruntergeladen haben.

10. Klicken Sie auf Speichern.

Das DEP-Server-Token ist ein Jahr gültig.

Achtung

Wenn Sie im Apple-DEP-Webportal ein neues Server-Token erstellen, müssen Sie dieselbe

Apple-ID verwenden, die Sie für die Erstausstellung des Tokens verwendet haben.

Sophos Mobile

11.9.2 Apple DEP zurücksetzen

Setzen Sie die in Sophos Mobile gespeicherten Informationen für Apple DEP zurück, um Ihr

Apple-DEP-Token aus Sophos Mobile zu entfernen, zum Beispiel, wenn Sie ein falsches Token hochgeladen haben.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple DEP.

2. Klicken Sie auf Apple DEP zurücksetzen.

Das Apple-DEP-Token, alle Apple-DEP-Geräte und alle Apple-DEP-Profile werden aus Sophos

Mobile gelöscht.

Um Ihre Apple-DEP-Geräte nicht mehr mit Sophos Mobile zu verwalten, entfernen Sie Apple-DEP-

Webportal Sophos Mobile als MDM-Server.

11.9.3 DEP-Profil erstellen

Bevor Sie DEP-Profile erstellen können, müssen Sie das Apple-Programm zur Geräteregistrierung

(DEP) einrichten. Siehe Apple DEP einrichten (Seite 81).

Ein DEP-Profil wird einem DEP-Gerät zugewiesen und vom Apple-Server während der

Geräteaktivierung ausgewertet. Es enthält folgende Informationen:

• Den MDM-Server (also der Sophos Mobile Server), mit dem das Gerät verwaltet wird.

• Konfigurationseinstellungen für die Registrierung bei Sophos Mobile.

• Eine Liste von Hosts, die mit dem Gerät gekoppelt werden können.

• Benutzerdefinierte Einstellungen für den Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Bei Bedarf können Sie mehrere DEP-Profile erstellen, um verschiedene Einrichtungs- und

Konfigurations-Einstellungen für Ihre DEP-Geräte zu verwenden.

So erstellen Sie ein DEP-Profil:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple-DEP-Profile.

2. Klicken Sie auf Hinzufügen.

3. Geben Sie im Dialog DEP-Profil bearbeiten die erforderlichen Einstellungen ein.

4. Um das Profil allen neuen DEP-Geräten zuzuweisen, denen kein Profil manuell zugewiesen wurde, wählen Sie es in der Liste Standard-DEP-Profil für neue Geräte aus.

Wenn Sie Keine auswählen, müssen Sie neuen DEP-Geräten ein DEP-Profil manuell zuweisen wie in

DEP-Geräte vorbereiten

(Seite 83) beschrieben. Andernfalls werden DEP-Geräte bei der

Aktivierung nicht bei Sophos Mobile registriert.

5. Klicken Sie auf Speichern, um Ihre Änderungen zu speichern.

Verwandte Referenzinformationen

Einstellungen für DEP-Profile (iOS) (Seite 86)

Einstellungen für DEP-Profile (macOS) (Seite 91)

Sophos Mobile

11.9.4 DEP-Geräte vorbereiten

Bevor Sie DEP-Geräte an Ihre Benutzer übergeben, müssen Sie sie Sophos Mobile zuweisen und ihnen ein DEP-Profil zuweisen.

1. Geben Sie in Ihrem Webbrowser die URL https://deploy.apple.com

ein, um das Webportal für die Apple-Bereitstellungsprogramme zu öffnen, und melden Sie sich anschließend mit der

Apple-ID Ihres Unternehmens an.

2. Navigieren Sie im Portal zu Device Enrollment Program > Geräte verwalten.

3. Wählen Sie im Punkt Geräte auswählen nach Ihre neuen Geräte über die Seriennummer oder die

Bestellnummer aus, oder laden Sie eine CSV-Datei mit den Seriennummern hoch.

Hinweis

Falls Sie die Geräte bei einem Händler erworben haben, sind diese innerhalb von 24 Stunden, nachdem der Händler Ihre Bestellung an Apple übermittelt hat, im DEP-Portal verfügbar.

4. Wählen Sie im Punkt Aktion auswählen die Option Server zuweisen aus und wählen Sie anschließend den virtuellen MDM-Server aus, den Sie für Sophos Mobile eingerichtet haben, wie in

Apple DEP einrichten beschrieben.

5. Klicken Sie auf OK, um die Zuweisung auszuführen.

Anschließend können Sie sich vom DEP-Portal abmelden.

Wenn Sie ein Standard-DEP-Profil eingerichtet haben wie in DEP-Profil erstellen beschrieben, können

Sie die weiteren Schritte überspringen.

6. Melden Sie sich in Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, für den Sie DEP-Geräte verwalten wollen.

7. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Apple DEP.

Auf der Seite Apple DEP sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-DEP-

Webportal zugewiesen haben.

8. Falls Geräte nicht angezeigt werden, die Sie erst vor Kurzem Sophos Mobile zugewiesen haben, klicken Sie auf Mit Apple Business Manager synchronisieren.

Hinweis

Um die Belastung des Apple-DEP-Servers zu begrenzen, müssen Sie nach jeder

Synchronisierung eine kurze Zeit warten, bevor Sie erneut synchronisieren können.

9. Wählen Sie die neuen Geräte aus und klicken Sie anschließend auf Aktionen > Profil zuweisen.

10. Wählen Sie im Bestätigungsdialog das DEP-Profil aus, das Sie den Geräten zuweisen wollen.

Wenn die erworbenen Geräte in Ihrem Unternehmen eintreffen, können Sie sie an Ihre Benutzer

übergeben. Es ist keine weitere Konfiguration erforderlich. Wenn die Benutzer die Geräte erstmalig einschalten, werden die iOS-Einrichtung und die Registrierung bei Sophos Mobile so durchgeführt, wie Sie es im zugewiesenen DEP-Profil konfiguriert haben. Die Geräte werden betreut.

Falls Sie im Profil die Option Gerätebenutzer zuweisen ausgewählt haben wie in DEP-Profil erstellen beschrieben, werden die Benutzer automatisch ihren Geräten zugewiesen.

Zugehörige Aufgaben

Apple DEP einrichten

(Seite 81)

Sophos Mobile

Um Apple-DEP-Geräte zu verwalten, müssen Sie im Apple-DEP-Webportal einen virtuellen MDM-

Server erstellen und mit dem Sophos Mobile Server verknüpfen.

Geräte verwalten (Seite 53).

(Seite 82)

11.9.5 DEP-Geräte verwalten

DEP-Geräte werden in Sophos Mobile genauso wie Nicht-DEP-Geräte verwaltet. Siehe

DEP-Geräten können Sie zusätzlich ein DEP-Profil zuweisen. Das DEP-Profil wird vom Apple-

Server während der Geräteaktivierung ausgewertet. Siehe

Geräte vorbereiten (Seite 83) beschrieben.

(Seite 82).

Hinweis

Das in Sophos Mobile angezeigte DEP-Profil ist unter Umständen nicht das Profil, das tatsächlich auf dem Gerät verwendet wird. Wenn Sie nach der Geräteaktivierung die Zuweisung ändern, wird solange das ursprünglich zugewiesene Profil verwendet, bis das Gerät zurückgesetzt und erneut aktiviert wird.

So ändern Sie das DEP-Profil eines Gerätes:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple

DEP.

Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-

DEP-Webportal zugewiesen haben.

2. Klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren, um die DEP-Informationen zu aktualisieren.

3. Wählen Sie die Geräte aus, denen Sie ein anderes DEP-Profil zuweisen wollen.

4. Klicken Sie auf Aktionen und anschließend auf die gewünschte Aktion:

• Profil zuweisen: Wählen Sie das DEP-Profil aus, das den Geräten bei der nächsten

Aktivierung zugewiesen wird.

• Profilzuweisung aufheben: Bei der nächsten Geräte-Aktivierung kein DEP-Profil zuweisen.

Die neue Profilzuweisung wird auf der Seite Apple-DEP-Geräte angezeigt. Die Änderungen werden beim nächsten Zurücksetzen und Aktivieren der Geräte angewendet.

11.9.6 iOS-DEP-Gerät manuell hinzufügen

Sie können ein iPhone oder iPad manuell für das Apple-Programm zur Geräteregistrierung (DEP) registrieren. Dies ist zum Beispiel nützlich, wenn Sie das Gerät nicht direkt von Apple oder einem zugelassenen DEP-Händler erworben haben.

Achtung

Das Gerät wird auf den Werkszustand zurückgesetzt.

1. Verbinden Sie das Gerät per USB mit einem Mac, auf dem Apple Configurator 2.5 oder neuer installiert ist.

2. Gehen Sie in Apple Configurator zu Datei > Neues Profil > WLAN, um ein Netzwerkprofil für Ihre

WLAN-Verbindung zu erstellen.

Das Gerät benötigt dieses Profil, um sich mit dem Server für die Apple-DEP-Registrierung zu verbinden.

Sophos Mobile

3. Gehen Sie zu Einstellungen > Firmen und klicken Sie auf die Schaltfläche Plus, um einen Eintrag für Ihre Organisation zu erstellen.

Verwenden Sie die Apple-ID und das Kennwort Ihres Apple-DEP-Kontos. Wählen Sie auch aus, eine neue Betreuungsidentität zu erstellen.

4. Gehen Sie zu Einstellungen > Server und klicken Sie auf die Schaltfläche Plus, um einen

Servereintrag zu erstellen.

Hinweis

Im Feld Registrierungs-UTR können Sie einen beliebigen Wert eingeben. Apple Configurator verwendet diesen Wert nicht für die Registrierung von DEP-Geräten.

5. Wählen Sie das Gerät aus und klicken Sie anschließend auf Vorbereiten.

6. Wählen Sie Manuelle Konfiguration und folgen Sie den Schritten im Assistenten, um das Gerät vorzubereiten.

• Wählen Sie den Server und das Netzwerkprofil aus, die Sie zuvor erstellt haben.

• Überspringen Sie die Konfiguration des iOS-Einrichtungsassistenten. Sie konfigurieren dies im

DEP-Profil von Sophos Mobile.

7. Warten Sie, bis die Vorbereitungsprozedur beendet ist. Schalten Sie das Gerät während dieses

Vorgangs nicht aus.

Nachdem das Gerät registriert wurde, können Sie es im Apple-DEP-Portal über die Seriennummer auswählen.

Bevor Sie das Gerät an einen Benutzer übergeben, registrieren Sie es bei Sophos Mobile wie in

DEP-

Verwandte Informationen

Apple Configurator 2 Benutzerhandbuch - Manuelles Vorbereiten von Geräten (externer Link)

11.9.7 Gerätebetreuung (Supervision) konfigurieren

Sie können Macs für die Betreuung (Supervision) Ihrer iOS-DEP-Geräte konfigurieren. Diese Macs können auch dann mit einem iOS-DEP-Geräte gekoppelt werden, wenn Sie die USB-Kopplung grundsätzlich blockiert haben.

Um einen Mac für die Gerätebetreuung zu konfigurieren, laden Sie das Zertifikat seiner

Betreuungsidentität nach Sophos Mobile hoch.

1. Erstellen Sie auf dem Mac in Apple Configurator eine neue Organisation oder verwenden Sie eine vorhandene Organisation.

2. Öffnen Sie die App Schlüsselbundverwaltung.

3. Exportieren Sie unter Meine Zertifikate das Zertifikat der Organisation.

Jede Organisation, die Sie in Apple Configurator konfiguriert haben, hat ein eigenes Zertifikat.

Stellen Sie im Exportdialog sicher, dass das Zertifikat im Format CER (Dateiendung .cer) exportiert wird.

4. Öffnen Sie in Sophos Mobile Ihr iOS-DEP-Profil und konfigurieren Sie auf dem Tab USB-

Kopplung folgende Einstellungen: a) Deaktivieren Sie das Kontrollkästchen USB-Kopplung mit beliebigen Host-Computern

erlauben.

b) Wählen Sie Host-Zertifikat hochladen aus, um die Zertifikatdatei hochzuladen.

Sophos Mobile

5. Optional: Um einen weiteren Mac für die Gerätebetreuung zu konfigurieren, haben Sie folgende

Möglichkeiten:

• Laden Sie ein weiteres Zertifikat in das iOS-DEP-Profil hoch.

• Verwenden Sie auf beiden Macs dieselbe Organisation. Gehen Sie dazu wie folgt vor:

Exportieren Sie auf dem ersten Mac die Organisation aus Apple Configurator und importieren Sie sie auf dem zweiten Mac.

• Verwenden Sie auf beiden Macs dieselbe Betreuungsidentität. Gehen Sie dazu wie folgt vor:

Exportieren Sie auf dem ersten Mac die Betreuungsidentität aus Apple Configurator im

Format PKCS #12 (Dateiendung .p12). Öffnen Sie auf dem zweiten Mac die p12-Datei mit der App Schlüsselbundverwaltung.

Zugehörige Aufgaben

Einstellungen für DEP-Profile (iOS) (Seite 86)

(Seite 82)

Verwandte Referenzinformationen

Verwandte Informationen

Apple Configurator 2 Benutzerhandbuch - Organisationsbezogene Einstellungen (Externer Link)

11.9.8 Einstellungen für DEP-Profile (iOS)

Allgemeine Einstellungen

Einstellung

Name

Beschreibung

Gerätegruppe

Auftragspaket

Beschreibung

Der Name des DEP-Profils.

Eine optionale Beschreibung des DEP-Profils.

Eine Gerätegruppe, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.

Informationen zu Gerätegruppen finden Sie in

Gerätegruppen (Seite 100).

Wir empfehlen, zur Vereinfachung der

Geräteverwaltung eine eigene Gerätegruppe für

DEP-Geräte zu verwenden.

Ein Auftragspaket, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.

Die Liste enthält alle Auftragspakete, die keinen

Registrierungsauftrag enthalten.

Informationen zu Auftragspaketen finden Sie in

VPP-Apps automatisch zuweisen

Sophos Mobile

Registrierung

Einstellung

Benutzer kann MDM-Richtlinie entfernen

SMC-App installieren

Benutzer kann Zuweisung der MDM-Richtlinie

überspringen

Gerätebenutzer zuweisen

Beschreibung

Der Benutzer kann das Sophos Mobile

Registrierungsprofil über die Benutzeroberfläche entfernen.

Diese Option kann nur für betreute Geräte deaktiviert werden.

Die App Sophos Mobile Control wird auf dem

Gerät installiert.

Wenn Sie diese Option aktivieren, müssen

Sie außerdem auf dem Tab iOS-Einrichtung die Option Apple-ID deaktivieren. Dies ist erforderlich, damit Sophos Mobile die App aus dem App Store installieren kann.

Alternativ, falls Sie sich für das Apple-

Programm für Volumenlizenzen (VPP) registriert haben, kann die App Sophos Mobile als VPP-

App installiert werden, auch wenn das Gerät nicht mit einer Apple-ID verknüpft ist. Das Gerät muss sich im Status „Verwaltet“ befinden. Siehe

(Seite 360).

Der Benutzer kann den Einrichtungsschritt

überspringen, in dem das Sophos Mobile

Registrierungsprofil angewendet wird.

Während der Registrierung bei Sophos

Mobile wird der Benutzer nach seinen

Anmeldeinformationen für das Self Service

Portal gefragt und anschließend dem Gerät zugewiesen.

Mit dieser Option können Sie eine automatische

Zuweisung des Benutzers zum Gerät vornehmen.

iOS-Einrichtung

Auf dem Tab iOS-Einrichtung deaktivieren Sie Schritte des Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Sophos Mobile

Hinweis

Diese Einstellungen wirken sich nur auf den Einrichtungsassistenten aus. Wenn Sie einen

Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine

Konfiguration Einschränkungen. Siehe Konfiguration „Einschränkungen“ (iOS-Geräterichtlinie)

(Seite 203).

Einstellung

Apple-ID

Apple Pay

Standortdienste

Geschäftsbedingungen

Tastaturlayout

Datenschutz

Neue Funktionen

Aus Backup wiederherstellen

„Daten von Android übertragen“ deaktivieren

Kennung

Anzeigezoom

Beschreibung

Die Konfiguration einer Apple-ID wird

übersprungen. Der Benutzer kann sich nicht mit seiner Apple-ID an Apple-Diensten anmelden.

Die Konfiguration „Apple Pay“ wird

übersprungen. Der Benutzer kann keine

Kreditkarten- oder Guthabenkarten-

Informationen für das Bezahlen mit Apple Pay in

Stores oder Apps hinzufügen.

Die Konfiguration von Ortungsdiensten wird übersprungen. Ortungsdienste sind ausgeschaltet.

Die Seite Nutzungsbedingungen wird

übersprungen.

Die Konfiguration des Tastaturlayouts wird

übersprungen.

Die Seite, die das Symbol Daten und

Datenschutz beschreibt, wird übersprungen.

Die Seiten, die neue iOS-Funktionen erläutern, werden übersprungen.

Das Wiederherstellen von Daten aus einem iCloud- oder iTunes-Backup oder von einem

Android-Gerät wird übersprungen.

Die Option zum Übertragen von Daten von einem Android-Gerät ist nicht verfügbar.

Die Erstellung eines Passcodes zum

Entsperren des Gerätes wird übersprungen.

Die Konfiguration „Anzeigezoom“ zum

Einstellen einer vergrößerten Anzeige mit größeren Symbolen, Beschriftungen und

Schaltflächen wird übersprungen.

Einstellung

Home-Button-Feedback

Mobilfunktarif

Screen Time

Diagnose

Touch ID & Face ID

Siri

Watch-Migration

True Tone iMessage und FaceTime iOS-Aktualisierungsinformationen

Support-Informationen

Einstellung

Abteilung

Sophos Mobile

Beschreibung

Für iPhone 7 und neuer: Die Konfiguration des Home-Button-Feedback, d.h. der

Berührungsrückmeldung beim Klicken des virtuellen Home-Buttons, wird übersprungen.

Die Konfiguration eines mobilen Datentarifs wird

übersprungen.

Die Konfiguration „Bildschirmzeit“ (Berichte und Zeitbeschränkungen für die mit dem Gerät verbrachte Zeit) wird übersprungen.

Die Konfiguration „Diagnostics“ wird

übersprungen. Es werden keine Diagnose- und

Nutzungsdaten an Apple gesendet.

Die Konfiguration von Touch ID und Face ID wird übersprungen. Der Benutzer kann keine biometrische Authentisierung als Passcode-

Ersatz einrichten.

Die Konfiguration von Siri wird übersprungen.

Siri ist ausgeschaltet.

Das Wiederherstellen von Apple-Watch-Daten aus einem iCloud- oder iTunes-Backup wird

übersprungen.

Die Aktivierung von True Tone (automatische

Anpassung der Anzeigefarben an die

Umgebungslichtverhältnisse) wird

übersprungen.

Die Aktivierung von iMessage und FaceTime wird übersprungen.

Die Seite, die Benutzer auf die automatische

Installation von iOS-Aktualisierungen hinweist, wird übersprungen.

Beschreibung

Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.

Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der

Geräteeinrichtung auf Über Konfiguration klickt.

Sophos Mobile

Einstellung

Telefonnummer

E-Mail

Beschreibung

Die Support-Telefonnummer für Ihr

Unternehmen.

Das Feld ist mit der Telefonnummer aus den

Kontaktdetails für technische Unterstützung vorausgefüllt. Siehe

(Seite 16).

Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Die Support-E-Mail-Adresse für Ihr

Unternehmen.

Das Feld ist mit der E-Mail-Adresse aus den

Kontaktdetails für technische Unterstützung vorausgefüllt. Siehe

(Seite 16).

Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

USB-Kopplung

Auf dem Tab USB-Kopplung können Sie festlegen, dass die USB-Kopplung von iOS-DEP-Geräten nur mit ausgewählten Macs möglich ist. USB-Kopplung wird benötigt, um das Gerät mit iTunes oder

Apple Configurator zu verbinden.

Einstellung

USB-Kopplung mit beliebigen Host-

Computern erlauben

Host-Zertifikat hochladen

Beschreibung

Wenn Sie das Kontrollkästchen aktivieren, können Sie das Gerät mit allen Computern koppeln.

Wenn Sie das Kontrollkästchen deaktivieren, können Sie das Gerät nur mit Macs koppeln, die Sie für die Gerätebetreuung (Supervision) konfiguriert haben. Sie können das Gerät nicht mit Windows-Computern koppeln.

Laden Sie ein Zertifikat für die

Betreuungsidentität hoch.

Alle Macs, die das Zertifikat in ihrem

Schlüsselbund enthalten, können das Gerät betreuen.

Sie können mehrere Zertifikate hochladen.

Sophos Mobile

Hinweis

Wenn Sie USB-Kopplung mit beliebigen Host-Computern erlauben deaktivieren und kein

Zertifikat hochladen, können Sie das Gerät nicht mit iTunes oder Apple Configurator verbinden.

Zugehörige Aufgaben

Gerätebetreuung (Supervision) konfigurieren

(Seite 82)

(Seite 85)

11.9.9 Einstellungen für DEP-Profile (macOS)

Allgemeine Einstellungen

Einstellung

Name

Beschreibung

Gerätegruppe

Auftragspaket

Beschreibung

Der Name des DEP-Profils.

Eine optionale Beschreibung des DEP-Profils.

Eine Gerätegruppe, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.

Informationen zu Gerätegruppen finden Sie in

Gerätegruppen (Seite 100).

Wir empfehlen, zur Vereinfachung der

Geräteverwaltung eine eigene Gerätegruppe für

DEP-Geräte zu verwenden.

Ein Auftragspaket, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.

Die Liste enthält alle Auftragspakete, die keinen

Registrierungsauftrag enthalten.

Informationen zu Auftragspaketen finden Sie in

Konfiguration „Einschränkungen“ (macOS-

Registrierung

Einstellung

Benutzer kann Zuweisung der MDM-Richtlinie

überspringen

Beschreibung

Der Benutzer kann den Einrichtungsschritt

überspringen, in dem das Sophos Mobile

Registrierungsprofil angewendet wird.

Sophos Mobile

Einstellung

Gerätebenutzer zuweisen

Beschreibung

Während der Registrierung bei Sophos

Mobile wird der Benutzer nach seinen

Anmeldeinformationen für das Self Service

Portal gefragt und anschließend dem Gerät zugewiesen.

Mit dieser Option können Sie eine automatische

Zuweisung des Benutzers zum Gerät vornehmen.

macOS-Einrichtung

Auf dem Tab macOS-Einrichtung deaktivieren Sie Schritte des Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Hinweis

Diese Einstellungen wirken sich nur auf die macOS-Einrichtung aus. Wenn Sie einen

Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine Konfiguration Einschränkungen. Siehe

Geräterichtlinie) (Seite 260) und

Konfiguration „Einschränkungen“ (macOS-Benutzerrichtlinie)

(Seite 282).

Einstellung

Apple-ID

Apple Pay

FileVault-Festplattenverschlüsselung

Geschäftsbedingungen

Kennung

Erscheinungsbild

Aus Backup wiederherstellen

Beschreibung

Die Konfiguration einer Apple-ID wird

übersprungen. Der Benutzer kann sich nicht mit seiner Apple-ID an Apple-Diensten anmelden.

Die Konfiguration „Apple Pay“ wird

übersprungen. Der Benutzer kann keine

Kreditkarten- oder Guthabenkarten-

Informationen für das Bezahlen mit Apple Pay in

Stores oder Apps hinzufügen.

Die Konfiguration der FileVault-

Festplattenverschlüsselung wird übersprungen.

FileVault ist ausgeschaltet.

Die Seite Nutzungsbedingungen wird

übersprungen.

Die Erstellung eines Passcodes zum

Entsperren des Gerätes wird übersprungen.

Die Konfiguration der Benutzeroberfläche (hell oder dunkel) überspringen.

Das Wiederherstellen von Apple-Watch-Daten aus einem iCloud- oder iTunes-Backup überspringen.

Einstellung

Diagnose

Standortdienste

Touch ID & Face ID

Datenschutz iCloud Drive

Registrierung iCloud-Analyse

Siri

True Tone

Anzeigezoom

Support-Informationen

Einstellung

Abteilung

Sophos Mobile

Beschreibung

Die Konfiguration „Diagnostics“ wird

übersprungen. Es werden keine Diagnose- und

Nutzungsdaten an Apple gesendet.

Die Konfiguration von Ortungsdiensten wird übersprungen. Ortungsdienste sind ausgeschaltet.

Die Konfiguration von Touch ID und Face ID wird übersprungen. Der Benutzer kann keine biometrische Authentisierung als Passcode-

Ersatz einrichten.

Die Seite, die das Symbol Daten und

Datenschutz beschreibt, wird übersprungen.

Die Aktivierung des automatischen Hochladens von

Dateien aus „Dokumente und Desktop“ nach iCloud

Drive überspringen.

Die Erstellung eines Computerkontos wird

übersprungen.

Die Konfiguration der iCloud-Analyse wird

übersprungen. Es werden keine Diagnose- und

Nutzungsdaten des iCloud-Kontos an Apple gesendet.

Die Konfiguration von Siri wird übersprungen.

Siri ist ausgeschaltet.

Die Aktivierung von True Tone (automatische

Anpassung der Anzeigefarben an die

Umgebungslichtverhältnisse) wird

übersprungen.

Die Konfiguration „Anzeigezoom“ zum

Einstellen einer vergrößerten Anzeige mit größeren Symbolen, Beschriftungen und

Schaltflächen wird übersprungen.

Beschreibung

Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.

Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der

Geräteeinrichtung auf Über Konfiguration klickt.

Sophos Mobile

Einstellung

Telefonnummer

E-Mail

Beschreibung

Die Support-Telefonnummer für Ihr

Unternehmen.

Das Feld ist mit der Telefonnummer aus den

Kontaktdetails für technische Unterstützung vorausgefüllt. Siehe

(Seite 16).

Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Die Support-E-Mail-Adresse für Ihr

Unternehmen.

Das Feld ist mit der E-Mail-Adresse aus den

Kontaktdetails für technische Unterstützung vorausgefüllt. Siehe

(Seite 16).

Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Zugehörige Aufgaben

Administratoren erstellen

(Seite 82)

11.10 Integration von Duo Security

Sie können Sophos Mobile mit der Authentisierungssoftware Duo Security verbinden. Dies ermöglicht

Duo Security, Geräte anhand ihres Verwaltungsstatus in Sophos Mobile als vertrauensvoll zu identifizieren.

Duo Security benutzt für Android und iOS unterschiedliche Verfahren, um den Vertrauensstatus eines Gerätes zu bestimmen:

• Für Android-Geräte ermittelt Duo Security den Vertrauensstatus über die Webservice-Schnittstelle von Sophos Mobile.

• Für iPhones und iPads ermittelt Duo Security den Vertrauensstatus, indem es das Vorhandensein eines bestimmten Zertifikats auf dem Gerät prüft.

Hinweis

Weitere Informationen zu vertrauenswürdigen Geräten finden Sie in der Dokumentation zu Duo

Security.

11.10.1 Die Integration von Duo Security für Android-Geräte konfigurieren

Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer Android-Geräte bestimmen kann.

Sophos Mobile

1. Erstellen Sie in Sophos Mobile einen Administrator mit der Rolle Duo API.

2. Geben Sie im Duo Admin Panel den Namen und das Kennwort dieses Administrators ein.

Weitere Informationen hierzu finden Sie in der Dokumentation zu Duo Security.

Um den Vertrauensstatus eines Android-Gerätes zu bestimmen, sendet die Android-App Duo Mobile die Geräte-ID an den Duo-Security-Server. Der Duo-Security-Server ruft dann den Gerätestatus über die Webservice-Schnittstelle von Sophos Mobile ab und klassifiziert das Gerät als vertrauenswürdig.

Zugehörige Konzepte

Benutzerrollen

(Seite 5)

Zugehörige Aufgaben

(Seite 407)

11.10.2 Die Integration von Duo Security für iPhones und iPads konfigurieren

Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer iPhones und iPads bestimmen kann.

1. Konfigurieren Sie die Verbindung zum Duo-Zertifikatsserver: a) Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-

Einrichtung und öffnen Sie anschließend das Tab Duo Security.

b) Geben Sie die von Duo bereitgestellten Einstellungen ein.

2. Fügen Sie der Geräterichtlinie, die Sie für Ihre iPhones und iPads verwenden, eine Konfiguration

Duo-Gerätezertifikat hinzu.

3. Führen Sie die Geräteaktion Geräte aktualisieren aus.

Hierdurch wird ein Duo-Gerätezertifikat auf den Geräten installiert. Die App Duo Mobile erkennt das

Zertifikat und klassifiziert das Gerät als vertrauenswürdig.

Zugehörige Aufgaben

Duo-Gerätezertifikat (iOS-Geräterichtlinie) (Seite 239)

(Seite 118)

Sie weisen Geräten eine Richtlinie zu, um deren Einstellungen anzuwenden.

Verwandte Referenzinformationen

11.11 Fernsteuerung mit TeamViewer

TeamViewer ist eine externe Fernsteuerungssoftware. Mit der TeamViewer-Integration können Sie in

Sophos Mobile eine Fernsteuerungs-Sitzung mit einem Android-Gerät, einem iPhone oder einem iPad starten, ohne Sitzungs-ID oder Kennwort verwenden zu müssen.

11.11.1 TeamViewer-Integration einrichten

Um in Sophos Mobile TeamViewer-Sitzungen starten zu können, müssen Sie eine TeamViewer-

Anwendung erstellen und diese mit Sophos Mobile verknüpfen.

Um TeamViewer mit Sophos Mobile zu verwenden, benötigen Sie Folgendes:

Sophos Mobile

• Eine TeamViewer-Lizenz

• Das Lizenz-Add-On für die Unterstützung mobiler Geräte

So richten Sie die TeamViewer-Integration ein:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab TeamViewer.

2. Klicken Sie auf TeamViewer-Konfigurationsassistent.

Der Assistent leitet Sie durch die Einrichtungsprozedur: a) Erstellen Sie ein TeamViewer-Konto.

b) Erstellen Sie in der TeamViewer Management Console eine Anwendung und verknüpfen Sie diese mit Sophos Mobile.

3. Installieren Sie die TeamViewer-Software: a) Falls erforderlich, wechseln Sie zu dem Computer, auf dem Sie Sophos Mobile verwenden.

Installieren Sie den TeamViewer-Client für Windows von der TeamViewer-Website.

b) Installieren Sie auf den Geräten, die Sie steuern wollen, die App TeamViewer QuickSupport aus Google Play bzw. aus dem App Store.

Nachdem Sie die TeamViewer-Integration eingerichtet haben, steht die Geräteaktion

Fernsteuerung anfordern zur Verfügung.

Verwandte Informationen

TeamViewer-Webseite (externer Link)

TeamViewer Management Console (externer Link)

11.11.2 TeamViewer-Sitzung starten

Sie können aus Sophos Mobile Admin eine TeamViewer-Sitzung mit einem Android-Gerät, einem iPhone oder einem iPad starten.

Je nach TeamViewer-Lizenz können Sie nur eine begrenzte Anzahl von Sitzungen pro Stunde starten.

So starten Sie eine TeamViewer-Sitzung:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, das Sie steuern wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Fernsteuerung anfordern.

Dies startet eine TeamViewer-Sitzung auf Ihrem Computer und auf dem ausgewählten Gerät.

Nachdem der Benutzer der Verbindung zugestimmt hat, können Sie das Gerät fernsteuern.

Um eine Folgesitzung mit demselben Gerät starten zu können, muss der Benutzer zuerst den

TeamViewer-Client schließen.

11.12 Sophos Chrome Security

Sophos Chrome Security ist eine Sicherheitserweiterung für Chrome-Geräte.

Einschränkung

Diese Funktion ist nicht für den Lizenztyp Mobile Standard verfügbar.

Sophos Mobile

Wenn Sie Sophos Chrome Security bei Sophos Mobile registrieren, können Sie folgende Aufgaben ausführen:

• Das Gerät finden.

• Eine Nachricht an das Gerät senden.

• Websites konfigurieren, auf die Benutzer zugreifen dürfen.

Registrierungsarten

• Manuelle Registrierung:

Um ein Chrome-Gerät bei Sophos Mobile zu registrieren, können Sie den Assistenten Gerät

hinzufügen oder das Sophos Mobile Self Service Portal verwenden. Der Benutzer muss Sophos

Chrome Security auf dem Gerät installieren und ein Registrierungs-Token eingeben.

• Automatische Registrierung:

Wenn Sie Google Workspace (vormals G Suite) verwenden, können Sie Sophos Chrome

Security so konfigurieren, dass es sich automatisch bei Sophos Mobile registriert, wenn sich ein

Google Workspace Benutzer an einem Chrome-Gerät anmeldet.

Tipp

Bei der manuellen Registrierung braucht der Benutzer, den Sie dem Gerät zuweisen, nicht mit dem Google-Benutzer übereinzustimmen, der Sophos Chrome Security registriert. Den Google-

Benutzernamen finden Sie in der Geräteeigenschaft system_user_account auf der Seite Gerät

anzeigen.

Zugehörige Konzepte

Die Seite „Gerät anzeigen“

(Seite 53)

Auf der Seite Gerät anzeigen werden alle relevanten Informationen für ein einzelnes Gerät angezeigt.

Zugehörige Aufgaben

Den Assistenten Gerät hinzufügen verwenden (Seite 47)

Automatische Registrierung von Sophos Chrome Security konfigurieren (Seite 97)

Wenn Sie Google Workspace (vormals G Suite) verwenden, können Sie Sophos Chrome Security so konfigurieren, dass es sich automatisch bei Sophos Mobile registriert, wenn sich ein Google

Workspace Benutzer an einem Chrome-Gerät anmeldet.

11.12.1 Automatische Registrierung von Sophos Chrome

Security konfigurieren

Wenn Sie Google Workspace (vormals G Suite) verwenden, können Sie Sophos Chrome Security so konfigurieren, dass es sich automatisch bei Sophos Mobile registriert, wenn sich ein Google

Workspace Benutzer an einem Chrome-Gerät anmeldet.

So konfigurieren Sie die automatische Registrierung von Sophos Chrome Security:

1. Wählen Sie in der Menüleiste Einrichtung > Chrome-OS-Einrichtung aus und anschließend das

Tab G Suite.

2. Wählen Sie Verbindungscode erzeugen aus.

3. Konfigurieren Sie folgende Einstellungen:

Sophos Mobile

Option

Besitzer

Gerätegruppe

Beschreibung

Wählen Sie aus, ob die Geräte Firmengeräte

(Firmengerät) oder Privatgeräte (Privat) sind.

Die Gerätegruppe in Sophos Mobile, der Sie die Geräte zuweisen wollen.

Chrome-Security-Richtlinie Optional: Eine Chrome-Security-Richtlinie, die

Sie der Erweiterung nach der Registrierung zuweisen wollen.

Nur auf Chrome-Enterprise-Geräten registrieren

Optional: Sophos Chrome Security registriert sich automatisch bei Sophos Mobile nur auf

Chrome-Enterprise-Geräten.

Um Chrome-Enterprise-Geräte registrieren zu können, müssen Sie von Google das Chrome-

Enterprise-Upgrade erwerben.

Weitere Informationen zu Chrome Enterprise finden Sie in der Hilfe zu Google Chrome

Enterprise .

4. Klicken Sie auf Speichern.

5. Wählen Sie neben Verbindungscode die Schaltfläche Kopieren aus, um den Wert in die

Zwischenablage zu kopieren.

Führen Sie die restlichen Schritte in der Google-Admin-Konsole aus:

6. Melden Sie sich mit Ihrem Google Workspace Konto an der Google-Admin-Konsole an.

7. Öffnen Sie Geräte > Chrome-Verwaltung > Apps und Erweiterungen.

8. Optional: Wählen Sie eine Organisationseinheit aus.

Sophos Chrome Security registriert sich nur für Benutzer in dieser Organisationseinheit automatisch.

9. Wählen Sie die Schaltfläche + unten rechts aus und anschließend Aus dem Chrome Web Store

hinzufügen.

10. Suchen Sie nach Sophos Chrome Security und wählen Sie Auswählen aus.

11. Geben Sie in Richtlinie für Erweiterungen den Verbindungscode aus Sophos Mobile ein.

12. Wählen Sie in Installationsrichtlinien eine der folgenden Optionen aus:

• Installation erzwingen: Sophos Chrome Security automatisch installieren und Benutzern nicht erlauben, es zu entfernen.

• Installation und Anpinnen erzwingen: Wie Installation erzwingen und zusätzlich wird

Sophos Chrome Security an die Chrome-Taskleiste angeheftet.

13. Speichern Sie Ihre Einstellungen.

Wenn sich ein Google Workspace Benutzer an einem beliebigen Chrome-Gerät anmeldet, wird Sophos

Chrome Security automatisch installiert und bei Sophos Mobile registriert. In Sophos Mobile Admin können Sie die App auf der Seite Geräte verwalten.

Falls erforderlich, können Sie den Verbindungscode zurückziehen, um zukünftige Registrierungen zu verhindern. Bereits registrierte Sophos Chrome Security Erweiterungen sind davon nicht betroffen.

Verwandte Informationen

Google-Admin-Konsole

Google-Chrome-Enterprise-Hilfe: Einführung in Chrome Enterprise

Sophos Mobile

12 Gerätegruppen

Gerätegruppen dienen zur Kategorisierung von Geräten. Da sich Aufgaben auch für Gerätegruppen statt für Einzelgeräte ausführen lassen, können Sie Geräte so effizient verwalten.

Ein Gerät gehört jeweils immer exakt zu einer Gerätegruppe. Sie weisen ein Gerät einer

Gerätegruppe zu, wenn Sie es zu Sophos Mobile hinzufügen.

Tipp

Gruppieren Sie nur Geräte mit demselben Betriebssystem. Gruppen lassen sich dadurch leichter für Installationen und andere betriebssystemspezifische Aufgaben verwenden.

12.1 Gerätegruppen erstellen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen und anschließend auf

Gerätegruppe erstellen.

2. Geben Sie auf der Seite Gerätegruppe bearbeiten einen Namen und eine Beschreibung für die neue Gerätegruppe ein.

3. Wählen Sie unter Compliance-Richtlinien die Compliance-Richtlinien aus, die auf Firmen- und

Privatgeräte angewendet werden.

4. Klicken Sie auf Speichern.

Hinweis

Die Einstellungen für die Gerätegruppen enthalten die Option iOS-Auto-Registrierung

aktivieren. Mit dieser Option können Sie iPhones und iPads mit dem Apple Configurator

bereitstellen. Siehe iPhones und iPads automatisch registrieren (Seite 48).

Die neue Gerätegruppe wird angelegt und auf der Seite Gerätegruppen angezeigt.

12.2 Gerätegruppen löschen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen.

2. Klicken Sie auf der Seite Gerätegruppen auf das blaue Dreieck neben der zu löschenden

Gerätegruppe, und anschließend auf Löschen.

3. Wählen Sie im Bestätigungsdialog eine der verbleibenden Gerätegruppen aus, der die Geräte der aktuellen Gerätegruppe zugewiesen werden.

Diese Auswahl ist nur verfügbar, wenn der aktuellen Gerätegruppe Geräte zugewiesen sind.

4. Klicken Sie auf Ja, um die Gerätegruppe zu löschen.

Hinweis

Wenn nur eine Gerätegruppe vorhanden ist und dieser Geräte zugewiesen sind, können Sie die

Gerätegruppe nicht löschen.

Sophos Mobile

13 Benutzer

Auf der Seite Personen verwalten Sie die Benutzerkonten für Sophos Mobile.

Benutzerverwaltung

Wenn Sie in Sophos Mobile einen Kunden einrichten, können Sie zwischen folgenden Arten der

Benutzerverwaltung auswählen:

Interne Benutzerverwaltung

Externe Benutzerverwaltung

Föderierte Authentifizierung

Sie erstellen Benutzerkonten in Sophos Mobile.

Sie erstellen Benutzerkonten in einem LDAP-

Verzeichnis (z.B. in Active Directory) und verbinden dieses Verzeichnis anschließend mit Sophos Mobile. Siehe

Externes

Benutzerverzeichnis konfigurieren (Seite 103).

Sie erstellen Benutzerkonten in Azure Active

Directory (Azure AD). Wenn sich Benutzer am

Sophos Mobile Self Service Portal anmelden, authentisieren sie sich gegenüber Azure AD.

Siehe Föderierte Authentifizierung konfigurieren

(Seite 106).

Benutzerinformationen

Bei interner Benutzerverwaltung zeigt die Seite Personen die Benutzer, die Sie zu Sophos Mobile hinzugefügt haben.

Bei externer Benutzerverwaltung und bei Verbundauthentifizierung zeigt die Seite Personen nur die für Sophos Mobile relevanten Benutzer:

• Benutzer, denen Sie ein mit Sophos Mobile verwaltetes Gerät zugewiesen haben.

• Benutzer, denen Sie eine über das Apple-Programm für Volumenlizenzen (VPP) erworbene App zugewiesen haben.

Klicken Sie auf den Namen eines Benutzers, um dessen Kontoinformationen anzuzeigen.

Benutzer importieren

Bei interner Benutzerverwaltung können Sie Benutzer aus einer CSV-Datei importieren. Siehe

Benutzer importieren (Seite 108).

Benutzergruppen

Mit Benutzergruppen legen Sie fest, welche Benutzer das Sophos Mobile Self Service Portal verwenden können und welche Registrierungsoptionen verfügbar sind. Um eine Konfiguration für das Sophos Mobile Self Service Portal zu erstellen, die nur für bestimmte Benutzer gilt, fügen Sie die

Benutzer zu einer Benutzergruppe hinzu und weisen Sie die Gruppe der Konfiguration zu. Siehe

Self

Service Portal konfigurieren (Seite 28).

Sophos Mobile

Bei interner Benutzerverwaltung verwenden Sie Sophos Mobile Admin, um Benutzer zu Gruppen hinzuzufügen. Siehe

Benutzergruppen erstellen (Seite 109).

Bei externer Benutzerverwaltung verwendet Sophos Mobile die in Ihrem LDAP-Verzeichnis angelegten Gruppen.

Bei Verbundauthentifizierung verwendet Sophos Mobile die in Azure AD angelegten Gruppen.

13.1 Self-Service-Portal-Benutzerverwaltung konfigurieren

Hinweis

Für Sophos Mobile on Premise wird die Benutzerverwaltung für das Self Service Portal vom Superadministrator festgelegt, wenn ein Kunde erstellt wird. Siehe die Sophos Mobile

Superadministrator-Anleitung (englisch) .

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Benutzerverzeichnis.

2. Wählen Sie unter Gerätezuweisung aus, was passieren soll, wenn Sie einen Benutzer löschen, der einem Gerät zugewiesen ist:

Option

Benutzerzuweisung aufheben

Gerät deregistrieren und löschen

Gerät deregistrieren

Beschreibung

Die Benutzerzuweisung wird entfernt. Der

Gerätestatus ändert sich nicht.

Das Gerät wird bei Sophos Mobile deregistriert und gelöscht.

Das Gerät wird bei Sophos Mobile deregistriert.

Der Gerätestatus ändert sich zu Deregistriert.

Diese Einstellung steht bei externer Benutzerverwaltung nicht zur Verfügung.

3. Wählen Sie unter Benutzerverwaltungsmodus aus, wie Sophos Mobile Benutzerkonten verwaltet:

Option

Kein Verzeichnis. SSP, benutzerspezifische

Richtlinien und LDAP-Administratoren sind nicht verfügbar.

Internes Verzeichnis

Externes LDAP-Verzeichnis

Verbundauthentifizierung mit Azure AD

Beschreibung

Die Benutzerverwaltung ist deaktiviert. Sie können Geräten keine Benutzer zuweisen und Sie können nicht das Sophos Mobile Self

Service Portal verwenden.

Sie erstellen Benutzerkonten und

Benutzergruppen in Sophos Mobile.

Sophos Mobile verwendet Benutzerkonten und

Benutzergruppen aus einem LDAP-Verzeichnis.

Sie erstellen Benutzerkonten und

Benutzergruppen in Azure Active Directory

(Azure AD). Wenn sich Benutzer im Sophos

Mobile Self Service Portal anmelden, authentisieren sie sich gegenüber Azure AD.

Sophos Mobile

Option Beschreibung

Siehe

Föderierte Authentifizierung konfigurieren (Seite 106).

4. Für die externe Benutzerverwaltung klicken Sie auf Externes Benutzerverzeichnis (LDAP)

konfigurieren, um die Verbindung zu Ihrem LDAP-Verzeichnis zu konfigurieren.

Siehe

Externes Benutzerverzeichnis konfigurieren (Seite 103).

5. Klicken Sie auf Speichern.

Nachdem Sie den Benutzerverwaltungsmodus festgelegt haben, können Sie nicht direkt zu einem anderen Modus wechseln. Stattdessen müssen Sie zunächst Kein Verzeichnis. SSP,

benutzerspezifische Richtlinien und LDAP-Administratoren sind nicht verfügbar. auswählen, damit wieder alle Optionen verfügbar sind.

Hinweis

In folgenden Fällen können Sie den Benutzerverwaltungsmodus nicht ändern:

• Wenn Sie Geräten Benutzer zugewiesen haben.

• Wenn Sie Benutzern eine über das Apple-Programm für Volumenlizenzen (VPP) erworbene

App zugewiesen haben.

13.2 Externes Benutzerverzeichnis konfigurieren

Um Benutzerkonten für Sophos Mobile Admin und für das Self Service Portal aus einem vorhandenen

LDAP-Benutzerverzeichnis zu verwenden, müssen Sie die Verbindung zu Ihrem LDAP-Server konfigurieren.

Sophos Mobile kann sich mit folgenden LDAP-Servern verbinden:

• Active Directory

• Google Cloud Directory

• HCL Domino

• NetIQ eDirectory

• Red Hat Directory Server

• Zimbra

Informationen zu unterstützten Versionen finden Sie im Dokument Sophos Mobile 9.6

Versionshinweise (englisch) .

Für Active Directory finden Sie zusätzliche Informationen im Support-Artikel 128081 .

Für Google Cloud Directory finden Sie zusätzliche Informationen im Support-Artikel 132870 .

Hinweis

Zwischen dem LDAP-Verzeichnis und Sophos Mobile findet keine Synchronisierung statt. Sophos

Mobile greift auf das LDAP-Verzeichnis nur zu, um Benutzerinformationen nachzuschlagen.

Änderungen an einem LDAP-Benutzerkonto wirken sich nicht auf die Datenbank von Sophos

Mobile aus, und umgekehrt.

So konfigurieren Sie eine LDAP-Verbindung zu einem externen Benutzerverzeichnis:

Sophos Mobile

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Benutzerverzeichnis.

2. Wählen Sie Externes LDAP-Verzeichnis aus.

3. Klicken Sie auf Externes Benutzerverzeichnis (LDAP) konfigurieren.

Die Konfiguration hängt vom Typ des LDAP-Servers ab. Die folgende Anleitung gilt für Active

Directory.

4. Konfigurieren Sie auf der Seite LDAP-Server-Details die folgenden Einstellungen: a) Wählen Sie im Feld LDAP-Typ den Typ des LDAP-Servers aus.

b) Geben Sie im Feld Primäre URL die IP-Adresse oder den Namen des primären

Verzeichnisservers ein.

Wählen Sie SSL/TLS aus, um LDAP über SSL (LDAPS) für die Server-Verbindung zu verwenden.

Hinweis

Für Active Directory ist LDAPS vorgeschrieben. Informationen zum Einrichten von LDAPS für Active Directory finden Sie im Microsoft Dokument Schritt-für-Schritt-Anleitung zum

Einrichten von LDAPS auf Windows Server (englisch) .

c) Optional: Geben Sie im Feld Sekundäre URL die IP-Adresse oder den Namen eines

Verzeichnisservers ein, den Sophos Mobile verwendet, falls der primäre Server nicht erreichbar ist.

d) Geben Sie in den Feldern Benutzer und Kennwort die Anmeldeinformationen ein, die Sophos

Mobile verwendet, um sich am LDAP-Server zu authentisieren.

Verwenden Sie eines der folgenden Formate:

• <Domäne>\<Benutzername>

• <Benutzername>@<Domäne>.<Domänen-Code>

Hinweis

Aus Sicherheitsgründen empfehlen wir, ein Konto zu verwenden, dass keine Schreibrechte für das Verzeichnis besitzt.

5. Geben Sie auf der Seite Suchbasis den distinguished name (DN) des Suchbasisobjekts ein.

Das Suchbasisobjekt definiert den Ausgangspunkt im Verzeichnis für die LDAP-Suche.

6. Konfigurieren Sie auf der Seite Suchfelder, welche Verzeichnis-Attribute Sophos Mobile für die

Benutzereigenschaften verwendet.

Wählen Sie die Attribute aus der Liste aus oder geben Sie sie manuell ein.

Für Active Directory verwenden Sie folgende Zuordnung:

Eigenschaft in Sophos Mobile

Benutzername

Vorname

Nachname

E-Mail

Attribut in Active Directory sAMAccountName givenName sn mail

Sophos Mobile

7. Geben Sie auf der Seite SSP-Konfiguration an, welche Benutzer sich am Self Service Portal anmelden können. Geben Sie die relevanten Informationen im Feld LDAP-Gruppe ein. Sie haben folgende Möglichkeiten:

• Wenn Sie eine Benutzergruppe aus Ihrem LDAP-Verzeichnis eingeben, sucht Sophos Mobile nach Benutzern in dieser Gruppe und allen Untergruppen.

Nachdem Sie die Gruppe eingegeben haben, klicken Sie auf Gruppe testen, um den

Distinguished Name (DN) der Gruppe zu ermitteln.

• Wenn Sie ein einzelnes Sternchen * eingeben, sucht Sophos Mobile nach Benutzern in allen

Gruppen Ihres LDAP-Verzeichnisses. Es sucht nicht nach Benutzern, die Mitglied keiner

Gruppe sind.

• Wenn Sie das Feld leer lassen, können sich keine Benutzer am Self Service Portal anmelden.

Verwenden Sie diese Option, um die externe Benutzerverwaltung nur für Sophos Mobile Admin zu verwenden, aber nicht für das Self Service Portal.

Hinweis

Die Gruppe, die Sie hier angeben, ist unabhängig von der Benutzergruppe, die Sie auf dem

Tab Gruppeneinstellungen der Seite Self Service Portal definieren. Mit den Einstellungen dort definieren Sie Auftragspakete, Gruppenzugehörigkeit in Sophos Mobile und die für jede

Benutzergruppe verfügbaren Geräteplattformen.

8. Klicken Sie auf Anwenden.

9. Klicken Sie auf dem Tab Benutzerverzeichnis auf Speichern.

Verwandte Informationen

Support-Artikel 128081

Support-Artikel 132870

Schritt-für-Schritt-Anleitung zum Einrichten von LDAPS auf Windows Server (Microsoft-Dokument, englisch)

13.3 Föderierte Authentifizierung

Föderierte Authentifizierung mit Azure Active Directory (Azure AD) ist ein alternativer

Benutzerverwaltungsmodus neben interner oder externer (LDAP) Benutzerverwaltung.

Wenn sich Benutzer im Sophos Mobile Self Service Portal anmelden, gibt es zwischen externer

Benutzerverwaltung und föderierter Authentifizierung einen grundlegenden Unterschied:

• Bei externer Benutzerverwaltung authentisieren sich Benutzer gegenüber Sophos Mobile mit ihren

LDAP-Anmeldeinformationen.

• Bei föderierter Authentisierung authentisieren sich Benutzer direkt gegenüber Azure AD.

Dies hat folgende Vorteile:

• Azure AD unterstützt moderne Anmeldefunktionen wie z.B. Mehrfaktor-Authentifizierung, Smart-

Card-Authentifizierung oder zertifikatbasierte Authentifizierung.

• Plattformübergreifendes Single-Sign-On: Benutzer melden sich nur einmal an und können dann auf das Sophos Mobile Self Service Portal und auf andere Anwendungen und Ressourcen zugreifen, die Sie für Azure-AD-Authentisierung konfiguriert haben.

• Sie müssen nicht die Netzwerkports 389 (LDAP) oder 636 (LDAPS) für die Kommunikation zwischen Sophos Mobile und Ihrem LDAP-Server öffnen.

Sophos Mobile

106

13.3.1 Föderierte Authentifizierung konfigurieren

Um die Verbundauthentifizierung mit Azure Active Directory (Azure AD) zu verwenden, müssen Sie

Sophos Mobile als Microsoft-Azure-Anwendung registrieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Microsoft Azure.

2. Klicken Sie auf Microsoft-Azure-Registrierungsassistent.

Der Assistent leitet Sie durch den Registrierungsvorgang im Microsoft-Azure-Portal und in Sophos

Mobile Admin: a) Erstellen Sie im Microsoft-Azure-Portal eine Anwendung für Sophos Mobile.

b) Geben Sie in Sophos Mobile die Anwendungs-ID ein.

c) Laden Sie das Server-Zertifikat für Sophos Mobile in Ihre Anwendung hoch.

d) Registrieren Sie eine Antwort-URL für Sophos Mobile. Nachdem sich Benutzer gegenüber

Azure AD authentisiert haben, werden sie zu dieser Seite in Sophos Mobile weitergeleitet.

e) Gewähren Sie der Anwendung die erforderlichen Berechtigungen.

3. Klicken Sie auf der Seite Sophos-Einrichtung auf das Tab Benutzerverzeichnis.

4. Wählen Sie Verbundauthentifizierung mit Azure AD als Benutzerverwaltungsmodus aus.

Falls die Verbundauthentifizierung nicht vorhanden ist, wechseln Sie zunächst zu Kein

Verzeichnis. SSP, benutzerspezifische Richtlinien und LDAP-Administratoren sind nicht

verfügbar..

Hinweis

Sie können die Anwendung für Sophos Mobile, die Sie im Azure-Portal erstellt haben, auch für den Intune-App-Schutz verwenden. Beachten Sie, dass für den Intune-App-Schutz zusätzliche

Lizenzbedingungen gelten. Siehe Intune App-Schutz

(Seite 393).

13.3.2 Standardkunden für das Self Service Portal festlegen

Als Superadministrator können Sie einen Standardkunden festlegen, der automatisch ausgewählt wird, wenn sich Benutzer am Self Service Portal anmelden.

In Sophos Mobile können Sie mehrere Kunden einrichten, um verschiedene Bereiche Ihrer

Organisation unabhängig voneinander zu verwalten. Wenn sich Benutzer im Sophos Mobile Self

Service Portal anmelden, müssen sie vor der Eingabe ihrer Anmeldeinformation zunächst einen

Kunden auswählen.

Indem Sie einen Standardkunden festlegen, vereinfachen Sie den Anmeldevorgang für Ihre

Benutzer. Dies ist für alle Benutzerverwaltungsmodi möglich. Besonders nützlich ist es aber bei der

Verwendung von föderierter Authentifizierung: Wenn Benutzer sich bereits gegenüber Azure Active

Directory (Azure AD) authentisiert haben, sehen sie überhaupt keinen Anmeldedialog.

So legen Sie einen Standardkunden für das Self Service Portal fest:

1. Melden Sie sich in Sophos Mobile Admin als Superadministrator an.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Web-Portale.

3. Wählen Sie unter Self Service Portal die Option Vorgabe Kunde aus und wählen Sie anschließend einen Kunden aus der Liste aus.

Sophos Mobile

4. Optional: Deaktivieren Sie Sichtbar und bearbeitbar, um die Anmeldeseite für Benutzer zu

überspringen, die sich bereits gegenüber Azure AD authentisiert haben.

Hinweis

Wenn Sie diese Option deaktivieren, können nur Benutzer des Standardkunden das Sophos

Mobile Self Service Portal verwenden.

5. Klicken Sie auf Speichern.

13.4 LDAP-Verbindung konfigurieren

Wenn Sie die Verbundauthentifizierung eingerichtet haben, können Sie eine LDAP-Verbindung zwischen Sophos Mobile und Azure Active Directory (Azure AD) konfigurieren. Dies ist erforderlich, wenn Sie Apple DEP, Google Zero-Touch oder Samsung KME verwenden wollen.

Folgende Geräte registrieren sich automatisch bei Sophos Mobile, wenn Benutzer sie einrichten:

• iPhones, iPads und Macs, die für das Apple-Programm zur Geräteregistrierung (DEP) registriert sind

• Android-Geräte, die für die Zero-Touch-Registrierung von Google registriert sind

• Samsung-Android-Geräte, die für Knox Mobile Enrollment (KME) registriert sind

Während der Registrierung verbindet sich Sophos Mobile mit Azure AD, um den Benutzer zu authentifizieren.

So konfigurieren Sie eine LDAP-Verbindungen:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab LDAP-Verbindung.

2. Klicken Sie auf Externes Benutzerverzeichnis (LDAP) konfigurieren.

3. Konfigurieren Sie auf der Seite LDAP-Server-Details die folgenden Einstellungen: a) Geben Sie im Feld Primäre URL die IP-Adresse oder den Namen des primären

Verzeichnisservers ein.

Der Server muss LDAPS (LDAP über SSL/TLS) unterstützen.

b) Optional: Geben Sie im Feld Sekundäre URL die IP-Adresse oder den Namen eines

Verzeichnisservers ein, den Sophos Mobile verwendet, falls der primäre Server nicht erreichbar ist.

c) Geben Sie in den Feldern Benutzer und Kennwort die Anmeldeinformationen ein, die Sophos

Mobile verwendet, um sich am LDAP-Server zu authentisieren.

Verwenden Sie eines der folgenden Formate:

• <Domäne>\<Benutzername>

• <Benutzername>@<Domäne>.<Domänen-Code>

Hinweis

Aus Sicherheitsgründen empfehlen wir, ein Konto zu verwenden, dass keine Schreibrechte für das Verzeichnis besitzt.

4. Geben Sie auf der Seite Suchbasis den distinguished name (DN) des Suchbasisobjekts ein.

Das Suchbasisobjekt definiert den Ausgangspunkt im Verzeichnis für die LDAP-Suche.

5. Klicken Sie auf Anwenden.

Sophos Mobile

13.5 Benutzer erstellen

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Personen.

2. Klicken Sie auf Benutzer erstellen.

3. Wählen Sie auf der Seite Benutzer bearbeiten das Kontrollkästchen Registrierungs-E-Mail

senden aus.

4. Geben Sie die Kontodetails ein.

5. Klicken Sie auf Speichern.

Eine Registrierungs-E-Mail wird an den neuen Benutzer gesendet.

Wenn Sie auf das blaue Dreieck neben dem betreffenden Benutzer klicken, können Sie die

Benutzerinformationen anzeigen (Anzeigen) oder den Benutzer Bearbeiten oder Löschen.

Hinweis

Wenn Sie auf einen Benutzernamen klicken, wird die Seite Benutzer bearbeiten angezeigt. Diese

Seite enthält eine Schaltfläche Registrierungs-E-Mail erneut senden, mit der Sie die E-Mail erneut senden können, falls der Benutzer diese nicht erhalten oder verloren hat.

108

13.6 Benutzer importieren

Sie können Benutzer hinzufügen, indem Sie diese aus einer CSV-Datei importieren.

Sie können bis zu 500 Benutzer importieren.

Wenn Sie eine Gruppe angeben, die nicht vorhanden ist, legt Sophos Mobile diese an.

Für die CSV-Datei gilt folgendes:

• Die erste Zeile enthält die Spaltenüberschriften und wird nicht importiert.

• Als Trennzeichen wird ein Semikolon verwendet, kein Komma.

• Alle Zeilen haben die korrekte Anzahl an Semikolons. Dies gilt auch, wenn optionale Werte fehlen.

• Die Dateiendung ist .csv

• Damit nicht englische Zeichen korrekt importiert werden, muss die Datei UTF-8-kodiert sein.

Tipp

Klicken Sie auf der Seite Benutzer importieren auf Beispiel-CSV, um eine Beispieldatei herunterzuladen.

So importieren Sie Benutzer aus einer CSV-Datei:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Personen.

2. Klicken Sie auf Benutzer importieren.

3. Klicken Sie auf der Seite Benutzer importieren auf Registrierungs-E-Mails senden.

4. Klicken Sie auf Datei hochladen und wählen Sie anschließend die vorbereitete CSV-Datei aus.

Die Einträge werden aus der Datei eingelesen und angezeigt.

5. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen

Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.

Sophos Mobile

6. Klicken Sie auf Fertigstellen, um die Benutzerkonten anzulegen.

Die Benutzer werden importiert und auf der Seite Personen angezeigt. Jeder Benutzer erhält eine E-

Mail mit seinen Anmeldeinformationen für das Self Service Portal.

13.7 Benutzergruppen erstellen

Mit Benutzergruppen legen Sie fest, welche Benutzer das Sophos Mobile Self Service Portal verwenden können und welche Registrierungsoptionen verfügbar sind.

Hinweis

Wenn Sie Ihre Benutzerkonten in einem externen LDAP-Verzeichnis verwalten, erstellen Sie Ihre

Benutzergruppen dort.

Wenn Sie föderierte Authentifizierung verwenden, erstellen Sie Ihre Benutzergruppen in Azure

Active Directory.

So erstellen Sie eine Benutzergruppe:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Personen.

2. Klicken Sie auf Benutzergruppen anzeigen.

3. Klicken Sie auf der Seite Benutzergruppen anzeigen auf Gruppe erstellen.

4. Geben Sie einen Namen für die Gruppe ein.

5. Klicken Sie auf Speichern.

Nachdem Sie eine Benutzergruppe erstellt haben, können Sie Benutzer hinzufügen.

Wenn Sie die Gruppe einer Konfiguration Sophos Mobile Self Service Portal zuweisen, gilt diese

Konfiguration nur für die Mitglieder der Gruppe. Siehe

Self Service Portal konfigurieren (Seite 28).

Sophos Mobile

110

14 Richtlinien

Eine Richtlinie enthält Einstellungen, die Sie auf ein Gerät oder eine Gerätegruppe anwenden können.

Es gibt zwei Arten von Richtlinien:

Richtlinien, die sofort wirksam werden, wenn Sie diese einem Gerät zuweisen. Diese Richtlinien werden jedes Mal synchronisiert, wenn sich das Gerät mit Sophos Mobile verbindet. Wenn

Sie die Richtlinie ändern, müssen Sie diese nicht auf dem Gerät aktualisieren. Um die durch die Richtlinie gemachten Einstellungen zu entfernen, müssen Sie entweder die Richtlinie aktualisieren oder eine andere Richtlinie zuweisen.

Richtlinien dieser Art sind:

• Android-Enterprise-Richtlinien

• Sophos-Container-Richtlinien

• Mobile-Threat-Defense-Richtlinien

• macOS-Richtlinien

• Windows-Richtlinien

• Windows-Mobile-Richtlinien

• Chrome-Security-Richtlinien

Richtlinien, die von Sophos Mobile installiert werden, wenn Sie diese einem Gerät zuweisen.

Wenn Sie die Richtlinie ändern, müssen Sie diese auf dem Gerät aktualisieren. Um die durch die Richtlinie gemachten Einstellungen zu entfernen, können Sie die Richtlinie vom Gerät deinstallieren.

Richtlinien dieser Art sind:

• Android-Geräterichtlinien

• Knox-Container-Richtlinien

• iOS-Geräterichtlinien

Zugehörige Konzepte

Konfigurationen für Android-Geräterichtlinien

(Seite 174)

Mit einer Android-Geräterichtlinie konfigurieren Sie Einstellungen für Android-Geräte, die bei Sophos

Mobile mit dem Verwaltungsmodus „Geräteadministrator“ registriert sind.

Konfigurationen für Knox-Container-Richtlinien (Seite 196)

Mit einer Knox-Container-Richtlinie konfigurieren Sie Einstellungen für den Knox-Container auf

Samsung-Geräten.

Konfigurationen für iOS-Geräterichtlinien (Seite 201)

Mit einer iOS-Geräterichtlinie konfigurieren Sie Einstellungen für iPhones und iPads.

Konfigurationen für Android-Enterprise-Geräterichtlinien (Seite 120)

Mit einer Android-Enterprise-Geräterichtlinie konfigurieren Sie Einstellungen für vollständig verwaltete

Android-Enterprise-Geräte.

Konfigurationen für Richtlinien für Android-Enterprise-Arbeitsprofile

(Seite 137)

Mit einer Richtlinie für Android-Enterprise-Arbeitsprofile konfigurieren Sie Einstellungen für Geräte mit

Android-Enterprise-Arbeitsprofil.

Konfigurationen für Sophos-Container-Richtlinien (Android)

(Seite 154)

Sophos Mobile

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für Sophos Secure Email und

Sophos Secure Workspace auf Geräten, auf denen Sophos Mobile den Sophos-Container verwaltet.

Konfigurationen für Mobile-Threat-Defense-Richtlinien (Android) (Seite 169)

Mit einer Mobile-Threat-Defense-Richtlinie konfigurieren Sie Sophos Intercept X for Mobile, wenn es bei Sophos Mobile registriert ist.

Konfigurationen für Sophos-Container-Richtlinien (iOS) (Seite 240)

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für Sophos Secure Email und

Sophos Secure Workspace auf Geräten, auf denen Sophos Mobile den Sophos-Container verwaltet.

Konfigurationen für Mobile-Threat-Defense-Richtlinien (iOS)

(Seite 255)

Mit einer Mobile-Threat-Defense-Richtlinie konfigurieren Sie Sophos Intercept X for Mobile, wenn es bei Sophos Mobile registriert ist.

Konfigurationen für macOS-Geräterichtlinien (Seite 258)

Mit einer macOS-Geräterichtlinie konfigurieren Sie Einstellungen für Macs, die für alle Benutzer gelten.

Konfigurationen für macOS-Benutzerrichtlinien (Seite 280)

Mit einer macOS-Benutzerrichtlinie konfigurieren Sie Einstellungen für Macs, die für Benutzer gelten, die von Sophos Mobile verwaltet werden.

Konfigurationen für Windows-Mobile-Richtlinien (Seite 301)

Mit einer Windows-Mobile-Richtlinie konfigurieren Sie Einstellungen für Windows-Mobile-Geräte.

Konfigurationen für Windows-Richtlinien

(Seite 312)

Mit einer Windows-Richtlinie konfigurieren Sie Einstellungen für Windows-Computer.

Konfigurationen für Chrome-Security-Richtlinien

(Seite 327)

Mit einer Chrome-Security-Richtlinie konfigurieren Sie Einstellungen für die Erweiterung Sophos

Chrome Security, wenn diese bei Sophos Mobile registriert ist.

14.1 Erste Schritte mit Geräterichtlinien

Der Assistent Richtlinien-Schnellstart hilft Ihnen, grundlegende Geräterichtlinien für alle Plattformen zu erstellen. Sie können die Richtlinien später erweitern.

Einschränkung

Diese Anweisungen gelten nicht für Chrome-Geräte.

So erstellen Sie Richtlinien mit dem Assistenten Richtlinien-Schnellstart:

1. Klicken Sie auf der Seite „Übersicht“ im Widget Aufgaben auf Assistent „Richtlinien-

Schnellstart“.

Tipp

Falls das Widget nicht angezeigt wird, klicken Sie auf Widget hinzufügen > Erste Schritte.

2. Wählen Sie auf der Seite Plattformen die Geräteplattformen aus, für die Sie eine Richtlinie erstellen wollen.

3. Für Android können Sie einen Verwaltungsmodus auswählen.

Diese Einstellung bestimmt, welche Arten von Richtlinien verfügbar sind. Wir empfehlen, den

Modus Android Enterprise zu verwenden.

4. Konfigurieren Sie auf der Seite Richtlinien die folgenden Einstellungen: a) Geben Sie einen Namen für die Richtlinie ein.

Für jede Plattform wird eine Richtlinie mit diesem Namen erstellt.

Sophos Mobile b) Wählen Sie die von der Richtlinie verwalteten Bereiche aus.

Wenn Sie ein Kontrollkästchen deselektieren, wird die zugehörige Seite im Assistenten

übersprungen. Sie können die übersprungenen (und weitere) Bereiche später konfigurieren.

5. Auf der Seite Kennwörter konfigurieren Sie Anforderung an das Gerätekennwort.

6. Auf der Seite Einschränkungen konfigurieren Sie Einschränkungen, die auf die Geräte angewendet werden, zum Beispiel das Abschalten der Kamera oder anderer Gerätefunktionen, die ein Sicherheitsrisiko darstellen könnten.

7. Auf der Seite WLAN konfigurieren Sie die Verbindung zu Ihrem Unternehmens-WLAN.

Sie können die Einstellung später ändern, falls Ihr WLAN eine andere Sicherungsart als WPA/

WPA2 PSK verwendet.

8. Auf der Seite E-Mail konfigurieren Sie die Verbindung zu Ihrem Microsoft Exchange E-Mail-Server.

Die Platzhalter %_USERNAME_% und %_EMAILADDRESS_% werden durch den Namen und die E-

Mail-Adresse des dem Gerät zugewiesenen Benutzers ersetzt.

9. Klicken Sie auf Fertigstellen.

Für jede von Ihnen ausgewählte Plattform erstellt der Assistent eine Richtlinie.

Um die Richtlinie zu betrachten, klicken Sie in der Menüleiste auf Richtlinien und anschließend auf die Geräteplattform.

Um die verwalteten Bereiche zu ändern, klicken Sie auf den Namen der Richtlinie und anschließend auf Konfiguration hinzufügen.

Sie müssen Android Enterprise für Ihre Organisation einrichten, bevor Sie Geräte registrieren können. Siehe

Android Enterprise einrichten - Übersicht (Seite 369).

14.2 Richtlinie erstellen

Sie erstellen Richtlinien, um Geräteeinstellungen zu konfigurieren. Erstellen Sie mehrere Richtlinien, wenn Sie verschiedene Gerätetypen verwalten wollen.

Richtlinien bestehen aus Konfigurationen. Indem Sie Konfigurationen zu einer Richtlinie hinzufügen, legen Sie fest, welche Bereiche eines Gerätes Sophos Mobile verwaltet.

So erstellen Sie eine Richtlinie:

1. Wählen Sie in der Menüleiste unter KONFIGURATION die Option Richtlinien aus und anschließend eine Geräteplattform.

2. Wählen Sie Erstellen aus und anschließend einen Richtlinientyp.

3. Geben Sie einen Namen und eine Beschreibung ein.

4. Geben Sie bei iOS- und macOS-Geräteprofilen den Namen Ihrer Organisation ein.

5. Optional: Überprüfen Sie die Konfigurationen, die Sophos Mobile automatisch zur Richtlinie hinzugefügt hat und passen Sie diese bei Bedarf an.

Sophos Mobile fügt folgende Konfigurationen automatisch hinzu:

• Eine Konfiguration Allgemein zu Sophos-Container-Richtlinien.

• Eine Konfiguration Einschränkungen zu Android-Enterprise-Richtlinien.

• Eine Konfiguration Netzwerk zu Mobile-Threat-Defense-Richtlinien.

6. Wählen Sie Konfiguration hinzufügen aus, um weitere Konfigurationen zu der Richtlinie hinzuzufügen.

7. Nehmen Sie auf der Einstellungsseite der Konfiguration die gewünschten Einstellungen vor.

8. Optional: Wählen Sie in SCEP-Erneuerung ein Erneuerungsintervall aus.

Sophos Mobile

Diese Option ist verfügbar, wenn die Richtlinie eine der Konfigurationen SCEP oder Duo-

Gerätezertifikat enthält.

Nach Ablauf des Intervalls fordert das Gerät automatisch eine Erneuerung des Zertifikats an.

Stichdatum ist dabei der Zeitpunkt, an dem die Richtlinie dem Gerät zugewiesen wurde. Das

Intervall gilt für alle Konfigurationen SCEP und Duo-Gerätezertifikat der Richtlinie.

9. Wenn Sie alle erforderlichen Konfigurationen hinzugefügt haben, wählen Sie Speichern aus.

Die Richtlinie wird erstellt. Sie können diese Geräten zuweisen.

Zugehörige Aufgaben

Richtlinienänderungen auf Geräte anwenden

(Seite 118)

Sie weisen Geräten eine Richtlinie zu, um deren Einstellungen anzuwenden.

(Seite 119)

Wenn Sie die Einstellungen bestimmter Richtlinien ändern, müssen Sie diese auf den Geräten aktualisieren, damit die Änderungen wirksam werden.

14.3 Richtlinie aus Apple Configurator importieren

Sie können eine in Apple Configurator erstellte Richtlinie importieren, oder eine Richtlinie, die Sie aus einer anderen Instanz von Sophos Mobile exportiert haben.

Voraussetzung: Erstellen Sie eine Richtlinie in Apple Configurator und exportieren Sie diese

(unverschlüsselt und unsigniert) auf Ihren Computer.

Hinweis

In Apple Configurator werden Richtlinien als Profile bezeichnet.

So importieren Sie die Richtlinie:

1. Wählen Sie in der Menüleiste unter KONFIGURATION den Eintrag Richtlinien > iOS & iPadOS aus.

2. Wählen Sie Erstellen > Richtlinie importieren aus.

3. Geben Sie einen Namen und eine Beschreibung ein.

4. Wählen Sie Datei hochladen aus und anschließend die Datei, die Sie aus Apple Configurator exportiert haben.

5. Wählen Sie auf der Seite Richtlinie importieren die Option Speichern aus.

Die Richtlinie wird importiert. Um die Richtlinie Geräten zuzuweisen, gehen Sie genauso vor wie bei

Richtlinien, die Sie in Sophos Mobile erstellt haben.

Zugehörige Aufgaben

(Seite 118)

Sie weisen Geräten eine Richtlinie zu, um deren Einstellungen anzuwenden.

14.4 Provisionierungsprofile importieren (iOS, iPadOS)

Sie können ein Bereitstellungsprofil für selbst entwickelte Apps importieren, um es auf Ihren iPhones und iPads zu installieren.

Sophos Mobile

Voraussetzung: Erzeugen Sie in Ihrer Entwicklungsumgebung ein Bereitstellungsprofil und speichern

Sie es auf Ihrem Computer.

So importieren Sie das Bereitstellungsprofil:

1. Wählen Sie in der Menüleiste unter KONFIGURATION den Eintrag Richtlinien > iOS & iPadOS aus.

2. Wählen Sie Erstellen > Richtlinie importieren aus.

3. Geben Sie einen Namen und eine Beschreibung ein.

4. Wählen Sie Datei hochladen aus und anschließend das Bereitstellungsprofil.

5. Wählen Sie auf der Seite Richtlinie importieren die Option Speichern aus.

Das Bereitstellungsprofil wird importiert. Sie installieren es auf Geräten auf die gleichen Weise, wie Sie

Richtlinien zuweisen.

Zugehörige Aufgaben

Konfigurationen für macOS-Geräterichtlinien (Seite 258)

(Seite 118)

Sie weisen Geräten eine Richtlinie zu, um deren Einstellungen anzuwenden.

14.5 Über macOS-Richtlinien

Für Macs gibt es zwei Arten von Richtlinien:

• : Wenn Sie einem Mac eine Geräterichtlinie zuweisen, gelten die Einstellungen für alle Benutzer, die sich an dem Mac anmelden.

• : Wenn Sie einem Mac eine Benutzerrichtlinie zuweisen, gelten die Einstellungen für alle verwalteten Benutzer, die sich an dem Mac anmelden.

Verwaltete Benutzer sind:

• Der lokale Benutzer, der den Mac bei Sophos Mobile registriert hat.

• Alle Netzwerk-Benutzer, die Sophos Mobile bekannt sind. Dies sind die Benutzer des externen

LDAP-Verzeichnisses, welches Sie für das Self Service Portal konfiguriert haben.

114

Über Geräte- und Benutzerrichtlinien

• Zusätzlich zu der Registrierungsrichtlinie (die eine Geräterichtlinie ist) können Sie einem Mac eine

Geräterichtlinie und eine Benutzerrichtlinie zuweisen.

• Wenn es konkurrierende Einstellungen in der Geräte- und der Benutzerrichtlinie gibt, wird die restriktivere Einstellung angewendet.

• Auf dem Mac werden die zugewiesenen Richtlinien unter Systemeinstellungen > Profile angezeigt.

• Wenn Sie eine Geräterichtlinie aktualisieren, werden die Änderungen bei der nächsten

Synchronisierung übernommen.

• Wenn Sie eine Benutzerrichtlinie aktualisieren, werden die Änderungen übernommen, wenn sich der Benutzer das nächste Mal am Mac anmeldet.

• Benutzer können zwar die Benutzerrichtlinie vom Mac entfernen. Diese wird aber automatisch erneut zugewiesen, wenn sich der Benutzer das nächste Mal anmeldet.

• Benutzer können nicht die Geräterichtlinie entfernen.

• Wenn ein Benutzer die Registrierungsrichtlinie entfernt, wird der Mac bei Sophos Mobile deregistriert. Hierfür sind Administratorrechte erforderlich.

Sophos Mobile

Zugehörige Konzepte

Mit einer macOS-Geräterichtlinie konfigurieren Sie Einstellungen für Macs, die für alle Benutzer gelten.

Konfigurationen für macOS-Benutzerrichtlinien (Seite 280)

Mit einer macOS-Benutzerrichtlinie konfigurieren Sie Einstellungen für Macs, die für Benutzer gelten, die von Sophos Mobile verwaltet werden.

14.6 Chrome-Sabotageschutz konfigurieren

Der Sabotageschutz stellt die Integrität der Chrome-Security-Richtlinie sicher.

Auf Chrome-Geräten können bösartige Benutzer möglicherweise die Chrome-Security-Richtlinie verändern, zum Beispiel durch Verwendung der Chrome-Entwicklertools. Wenn Sophos Mobile erkennt, dass die Richtlinie auf einem Gerät geändert wurde, wird die ursprüngliche Richtlinie erneut angewendet und es werden die Aktionen ausgeführt, die Sie in einer Compliance-Richtlinie konfiguriert haben.

So konfigurieren Sie den Sabotageschutz:

1. Erstellen oder bearbeiten Sie eine Compliance-Richtlinie für Chrome OS.

2. Konfigurieren Sie in der Compliance-Richtlinie Aktionen für die Regel Manipulationsschutz ist

deaktiviert.

Sie können einen Alarm erstellen oder ein Auftragspaket übertragen, wenn der Benutzer die

Richtlinie ändert.

3. Weisen Sie die Compliance-Richtlinie der Gerätegruppe zu, die Sie für Chrome-Geräte verwenden.

Hinweis

Der Sabotageschutz ist immer aktiviert, auch wenn Sie in einer Compliance-Richtlinie keine weiteren Aktionen konfigurieren.

Zugehörige Aufgaben

Compliance-Richtlinie erstellen

(Seite 34)

14.7 Komplexitätsregeln für Windows-Kennwörter

Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von

Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden können. Es gelten unterschiedlicher Regeln für lokale und für Microsoft-Konten.

Lokale Konten

• Kennwort darf nicht den Anmeldenamen oder mehr als zwei aufeinanderfolgende Zeichen des

Benutzernamens enthalten.

• Kennwort muss sechs oder mehr Zeichen lang sein.

• Kennwort muss Zeichen aus drei der folgenden vier Kategorien enthalten:

— Großbuchstaben A-Z (Lateinisches Alphabet)

Sophos Mobile

— Kleinbuchstaben a-z (Lateinisches Alphabet)

— Ziffern 0-9

— Sonderzeichen (!, $, #, %, etc.)

Microsoft-Konten

• Kennwort muss acht oder mehr Zeichen lang sein.

• Kennwort muss Zeichen aus zwei der folgenden vier Kategorien enthalten:

— Großbuchstaben A-Z (Lateinisches Alphabet)

— Kleinbuchstaben a-z (Lateinisches Alphabet)

— Ziffern 0-9

— Sonderzeichen (!, $, #, %, etc.)

14.8 Knox Service Plugin

Das Knox Service Plugin (KSP) ist eine App für Android-Enterprise-Geräte, mit der Sie Knox-

Richtlinien Geräten zuweisen können, die „Samsung Knox Platform for Enterprise“ (KPE) unterstützen.

Einschränkung

Das Knox Service Plugin unterstützt vollständig verwaltete Android-Enterprise-Geräte mit Android

8.0 (Knox 3.x) und neuer, sowie Android-Enterprise-Geräte mit Arbeitsprofil mit Android 9.0 (Knox

3.2.1) und neuer.

Weitere Informationen zum Knox Service Plugin und zu KPE finden Sie in der Dokumentation von

Samsung.

Führen Sie die folgenden Schritte aus, um das Knox Service Plugin mit Sophos Mobile zu verwenden:

1. Genehmigen Sie das Knox Service Plugin Managed Google Play für Ihr Android-Enterprise-Konto.

2. Konfigurieren Sie die Richtlinien im Knox Service Plugin.

3. Installieren Sie das Knox Service Plugin auf ausgewählten Geräten oder Gerätegruppen, oder lassen Sie Ihre Benutzer es in Managed Google Play installieren.

Zugehörige Aufgaben

App aus Managed Google Play genehmigen (Seite 380)

Um eine App für Ihre Benutzer verfügbar zu machen, müssen Sie diese genehmigen.

Richtlinien im Knox Service Plugin konfigurieren (Seite 117)

Die App „Knox Service Plugin“ enthält Einstellungen für Knox-Richtlinien, die Sie konfigurieren können.

App aus Managed Google Play installieren

(Seite 385)

Verwandte Informationen

Samsung-Dokumentation zum Knox Service Plugin

Samsung-Dokumentation zu KPE

Sophos Mobile

14.8.1 Richtlinien im Knox Service Plugin konfigurieren

Die App „Knox Service Plugin“ enthält Einstellungen für Knox-Richtlinien, die Sie konfigurieren können.

Voraussetzung: Sie haben das Knox Service Plugin in Managed Google Play genehmigt.

So konfigurieren Sie Knox-Richtlinien im Knox Service Plugin:

1. Wählen Sie in der Menüleiste unter KONFIGURATION den Eintrag Apps > Android aus.

2. Wählen Sie auf der Seite Apps - Android Enterprise die App Knox Service Plugin aus.

3. Konfigurieren Sie in Seite und App-Kategorie, an welcher Position im Google Play Store das Knox

Service Plugin für Ihre Benutzer angezeigt wird.

4. Wählen Sie Verwaltete Konfiguration verwenden aus.

5. Konfigurieren Sie unter Verwaltete Konfiguration die gewünschten Einstellungen.

Die verfügbaren Einstellungen sind im Knox Service Plugin definiert und können sich ändern, wenn Samsung eine neue App-Version veröffentlicht.

In KPE Premium License Key müssen Sie Ihren Knox-Lizenzschlüssel eingeben. Andernfalls werden die Richtlinien auf dem Gerät nicht angewendet.

6. Klicken Sie auf Speichern.

7. Wählen Sie App-Einstellungen an Google senden aus, um die Änderungen Ihren Benutzern zur

Verfügung zu stellen.

Wenn Sie das Knox Service Plugin auf einem Gerät installieren, werden die Knox-Richtlinien angewendet.

Wenn die App deinstalliert wird, werden die Knox-Richtlinien entfernt.

Zugehörige Aufgaben

App aus Managed Google Play genehmigen (Seite 380)

Um eine App für Ihre Benutzer verfügbar zu machen, müssen Sie diese genehmigen.

14.9 Platzhalter in Richtlinien

In den Richtlinieneinstellungen können Sie Platzhalter verwenden, die bei der Zuweisung der Richtlinie durch eine Benutzer-, Geräte- oder Kundeneigenschaft ersetzt werden.

• %_EMAILADDRESS_% wird durch die Eigenschaft E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

• %_USERNAME_% wird durch die Eigenschaft Benutzername des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

• %_DEVPROP()_% wird durch eine Geräteeigenschaft ersetzt.

Zum Beispiel wird %_DEVPROP(IMEI)_% durch den IMEI-Wert des Gerätes ersetzt (falls verfügbar).

Sie können alle Eigenschaften verwenden, die auf den Tabs Geräteeigenschaften und

Benutzerdefinierte Eigenschaften auf der Seite Gerät anzeigen des Gerätes aufgeführt sind.

• %_CUSTPROP()_% wird durch eine Kundeneigenschaft ersetzt.

Wenn Sie zum Beispiel eine Kundeneigenschaft „Interne_ID“ erstellt haben, können Sie diese mit %_CUSTPROP(Interne_ID)_% referenzieren.

Sophos Mobile

Sie können alle Eigenschaften verwenden, die in Einrichtung > Sophos-Einrichtung >

Kundeneigenschaften aufgeführt sind.

Bei macOS werden Benutzerinformationen wie folgt ersetzt:

• Für das lokale Mac-Konto werden die Informationen desjenigen Benutzers verwendet, der dem

Gerät in Sophos Mobile zugewiesen ist.

• Für Netzwerkkonten werden die Informationen des LDAP-Benutzerkontos verwendet.

14.10 Richtlinien zuweisen

Sie weisen Geräten eine Richtlinie zu, um deren Einstellungen anzuwenden.

Eine Richtlinie einem Gerät oder einer Gerätegruppe zuweisen:

1. Wählen Sie in der Menüleiste unter KONFIGURATION die Option Richtlinien aus und anschließend eine Geräteplattform.

2. Wählen Sie das blaue Dreieck neben einer Richtlinie aus und anschließend Zuweisen.

3. Führen Sie auf der Seite Geräte auswählen einen der folgenden Schritte aus:

• Wählen Sie einzelne Geräte aus.

• Wählen Sie Gerätegruppen auswählen aus und anschließend die gewünschten

Gerätegruppen.

4. Geben Sie auf der Seite Ausführungszeit wählen Datum und Uhrzeit der Auftragsausführung ein.

Dieser Schritt ist nur für die folgenden Richtlinien relevant:

• Android-Geräterichtlinien

• Knox-Container-Richtlinien

• iOS-Geräterichtlinien

5. Klicken Sie auf Fertigstellen.

Die Richtlinie wird den ausgewählten Geräten zugewiesen.

Wenn Sie kein Datum für die Auftragsausführung eingegeben haben, wird die Richtlinie sofort wirksam.

Sie können eine Richtlinie auch wie folgt zuweisen:

• Um eine Richtlinie einem einzelnen Gerät zuzuweisen: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes das Tab Richtlinien und klicken Sie auf Richtlinie zuweisen.

• Um eine Richtlinie mehreren Geräten zuzuweisen: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und anschließend Aktionen > Richtlinie zuweisen.

• Um eine Richtlinie in einem Auftragspaket zuzuweisen: Fügen Sie dem Auftragspaket einen

Auftrag Richtlinie zuweisen hinzu und und übertragen Sie es an die gewünschten Geräte oder

Gerätegruppen.

Zugehörige Aufgaben

Richtlinienänderungen auf Geräte anwenden

(Seite 119)

Wenn Sie die Einstellungen bestimmter Richtlinien ändern, müssen Sie diese auf den Geräten aktualisieren, damit die Änderungen wirksam werden.

Sophos Mobile

14.11 Richtlinienänderungen auf Geräte anwenden

Wenn Sie die Einstellungen bestimmter Richtlinien ändern, müssen Sie diese auf den Geräten aktualisieren, damit die Änderungen wirksam werden.

Sie müssen nur Änderungen folgender Richtlinien auf Geräte anwenden:

• Android-Geräterichtlinien

• Knox-Container-Richtlinien

• iOS-Geräterichtlinien

Alle anderen Richtlinien werden automatisch synchronisiert, wenn sich das Gerät mit Sophos Mobile verbindet.

So wenden Sie Richtlinienänderungen auf Geräte an:

1. Wählen Sie in der Menüleiste unter KONFIGURATION die Option Richtlinien aus und anschließend eine Geräteplattform.

2. Wählen Sie das blaue Dreieck neben einer Richtlinie aus und anschließend Geräte aktualisieren.

Sophos Mobile erstellt einen Auftrag, um die Richtlinie auf allen Geräten zu aktualisieren, denen sie zugewiesen ist.

14.12 Richtlinie von Geräten deinstallieren

Sie deinstallieren eine Richtlinie von einem Gerät, um die von der Richtlinie gemachten Einstellungen zu entfernen.

Sie können nur die folgenden Richtlinien von einem Gerät deinstallieren:

• Android-Geräterichtlinien

• Knox-Container-Richtlinien

• iOS-Geräterichtlinien

Bei anderen Richtlinien aktualisieren Sie entweder die Richtlinie, weisen Sie eine andere Richtlinie zu, oder deregistrieren Sie das Gerät.

Sie können eine Richtlinie auf eine der folgenden Weisen von einem Gerät deinstallieren:

• Um eine Richtlinie von einem einzelnen Gerät zu deinstallieren: a) Wählen Sie im Abschnitt VERWALTUNG der Menüleiste die Option Geräte.

b) Wählen Sie einen Gerätenamen aus.

c) Wählen Sie das Tab Richtlinien aus.

d) Wählen Sie Deinstallieren aus.

• Um eine Richtlinie von ausgewählten Geräten zu deinstallieren: a) Erstellen Sie ein Auftragspaket mit einem Auftrag Richtlinie deinstallieren.

b) Übertragen Sie das Auftragspaket auf die gewünschten Geräte oder Gerätegruppen.

• Um eine Richtlinie von allen Geräten zu deinstallieren: a) Wählen Sie in der Menüleiste unter KONFIGURATION die Option Richtlinien aus und anschließend eine Geräteplattform.

Sophos Mobile b) Klicken Sie auf das blaue Dreieck neben der Richtlinie, die Sie deinstallieren wollen.

c) Wählen Sie Zuweisung aufheben aus.

Zugehörige Konzepte

Die Seite „Gerät anzeigen“

(Seite 53)

Auf der Seite Gerät anzeigen werden alle relevanten Informationen für ein einzelnes Gerät angezeigt.

Zugehörige Aufgaben

Richtlinienänderungen auf Geräte anwenden

(Seite 118)

Sie weisen Geräten eine Richtlinie zu, um deren Einstellungen anzuwenden.

(Seite 119)

Wenn Sie die Einstellungen bestimmter Richtlinien ändern, müssen Sie diese auf den Geräten aktualisieren, damit die Änderungen wirksam werden.

Auftragspakete übertragen

(Seite 341)

Sie können Auftragspakete an einzelne Geräte oder Gerätegruppen übertragen.

14.13 Richtlinien herunterladen

Sie können Richtlinien herunterladen. Dies ist zum Beispiel nützlich, wenn Sie Einstellungen an den

Sophos Support weiterleiten müssen.

So laden Sie eine Richtlinie herunter:

1. Gehen Sie in der Menüleiste zu Richtlinien und klicken Sie auf eine Geräteplattform.

2. Klicken Sie auf das blaue Dreieck neben einer Richtlinie und anschließend auf Herunterladen.

Die Richtlinie wird auf Ihrem Computer gespeichert.

14.14 Konfigurationen für Android-Enterprise-

Geräterichtlinien

Mit einer Android-Enterprise-Geräterichtlinie konfigurieren Sie Einstellungen für vollständig verwaltete

Android-Enterprise-Geräte.

14.14.1 Konfiguration „Kennwortrichtlinien“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Kennwort für die

Displaysperre.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Sophos Mobile

Einstellung

Muster, PIN oder Kennwort

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Sophos Mobile

Einstellung

Maximale Anmeldeversuche

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird das Gerät zurückgesetzt.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

14.14.2 Konfiguration „Einschränkungen“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Einschränkungen legen Sie Einschränkungen für vollständig verwaltete Android-

Enterprise-Geräte fest.

Sicherheit

Einstellung

Verschlüsselung erzwingen

Beschreibung

Benutzer müssen ihre Geräte verschlüsseln.

Sophos Mobile

Einstellung

Auf Werkseinstellungen zurücksetzen erlauben

Safe-Modus erlauben

Debugging erlauben

Screenshot erlauben

Benutzer dürfen Anmeldeinformation bearbeiten

Smart Lock erlauben

Beschreibung

Benutzer können das Gerät auf

Werkseinstellungen zurücksetzen.

Benutzer können das Gerät im Safe-Modus starten.

Benutzer können die Debugging-Funktionen in den Android-Entwicklereinstellungen aktivieren.

Benutzer können Screenshots machen.

Benutzer können Zertifikate installieren oder entfernen.

Benutzer können die Android-Funktion „Smart

Lock“ aktivieren, durch die das Gerät in bestimmten Situationen automatisch entsperrt wird.

Hinweis

Diese Einstellungen wirkt sich auf die

Gerätesperre aus. Das Gerät ignoriert die

Einstellung, wenn zusätzlich eine Sperre für das

Arbeitsprofil konfiguriert ist.

„Standort teilen“ erlauben

Entsperren mit Fingerabdruck erlauben

Ändern des Kontobildes erlauben

Sensible Informationen auf Sperrbildschirm verbergen

Benutzer können das Teilen des Standorts aktivieren.

Benutzer können das Gerät mit ihrem

Fingerabdruck entsperren.

Benutzer können das Foto ihres

Benutzerkontos ändern.

Wenn Benachrichtungen auf dem

Sperrbildschirm aktiviert sind, werden keine sensiblen Inhalte angezeigt.

Sophos Mobile

Einstellung

System-Update-Richtlinie

Beschreibung

Wählen Sie aus, wann Systemaktualisierungen installiert werden:

• Keine Richtlinie: Der Benutzer entscheidet, wann

Systemaktualisierungen installiert werden.

• Automatische Installation:

Systemaktualisierungen werden automatisch installiert, sobald sie verfügbar sind.

• Installation im Wartungszeitraum:

Systemaktualisierungen werden innerhalb eines

Wartungsfensters automatisch installiert. Geben

Sie Uhrzeiten für den Beginn und das Ende des

Wartungsfensters ein.

• Verschieben: Systemaktualisierungen

(ausgenommen Sicherheitsaktualisierungen) werden für 30 Tage zurückgehalten.

Konten

Einstellung

Kontenverwaltung erlauben

Verwaltung von Google-Konten erlauben

Beschreibung

Benutzer können auf dem Gerät Konten (z.B.

App-Konten) hinzufügen oder entfernen, aber nicht das Google-Konto.

Benutzer können Google-Konten auf dem Gerät hinzufügen oder entfernen.

124

Netzwerk und Kommunikation

Einstellung

SMS erlauben

Datenverbindungen bei Roaming erlauben

VPN erlauben

Android Beam erlauben

Bluetooth erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer keine SMS senden.

Wenn das Kontrollkästchen deaktiviert ist, sind bei Roaming keine mobilen Datenverbindungen möglich.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer keine VPN-Verbindungen verwenden.

Benutzer können Android Beam (NFC-

Datenübertragung) verwenden, um Daten aus

Apps zu senden.

Wenn das Kontrollkästchen deaktiviert ist, ist

Bluetooth deaktiviert.

Einstellung

Ausgehende Telefonanrufe erlauben

Zurücksetzen der Netzwerkeinstellungen erlauben

WLAN-Einstellungen aktivieren

Cell-Broadcast-Konfiguration erlauben

Einstellungen für mobile Netzwerke aktivieren

Tethering-Einstellungen aktivieren

Sophos Mobile

Beschreibung

Benutzer können Telefonanrufe tätigen.

Benutzer können die Netzwerkeinstellungen auf

Standardwerte zurücksetzen.

Benutzer können die WLAN-Einstellungen

ändern.

Benutzer können Cell Broadcast (CB) in ihrer

Nachrichten-App aktivieren oder deaktivieren.

Benutzer können die Einstellungen für mobile

Netze ändern.

Benutzer können die Einstellungen für

Tethering und mobilen Hotspot ändern.

Hardware

Einstellung

Kamera erlauben

Mikrofon erlauben

Externe Medien erlauben

USB-Speicher zulassen

Dateitransfer über USB erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die Kamera nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist das Mikrofon nicht verfügbar.

Benutzer können externe Medien wie z.B. USB-

Speicher mit dem Gerät verbinden.

Benutzer können das Gerät im USB-Modus

„Mass Storage“ (USB MSC) mit einem Host-

Computer verbinden, d.h. als externe Festplatte.

Wenn Sie das Kontrollkästchen deaktivieren, können Benutzer das Gerät weiterhin im USB-

Modus „Media Transfer“ (USB MTP) oder

„Picture Transfer“ (USB PTP) verbinden, um

Dateien zu übertragen.

Benutzer können Dateien zwischen dem Gerät und einem externen USB-Speichermedium

übertragen.

Sophos Mobile

Anwendungen

Einstellung

Deinstallation von Apps erlauben

Installation von Apps aus unbekannten

Quellen erlauben

System-Apps aktivieren

Hintergrundbild-Wechsel erlauben

App-Verwaltung erlauben

Deaktivieren von Google-Sicherheitsscans erlauben

Ändern von Datum und Uhrzeit erlauben

Beschreibung

Benutzer können Apps deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer Apps nur aus Google Play installieren, nicht aus unbekannten Quellen oder

über Android Debug Bridge (ADB).

Wenn das Kontrollkästchen deaktiviert ist, sind nur folgende Apps verfügbar: Google Play

Store, Kontakte, Nachrichten, Telefon. Google empfiehlt diese Einstellung für vollständig verwaltete Android-Enterprise-Geräte.

Wenn Sie das Kontrollkästchen aktivieren, sind alle vom Hersteller vorinstallierten Apps verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer nicht den Display-Hintergrund

ändern.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer für Apps folgende Aufgaben nicht ausführen:

• Apps deinstallieren

• Apps deaktivieren

• Apps beenden

• App-Cache leeren

• App-Daten löschen

• Einstellung Standardmäßig öffnen löschen

Benutzer können die Google-

Sicherheitseinstellung Gerät auf

Sicherheitsbedrohungen durchsuchen deaktivieren.

Die Einstellung befindet sich in der App

Einstellungen, unter Google > Sicherheit >

Google Play Protect.

Benutzer können Datum und Uhrzeit einstellen.

Wenn das Kontrollkästchen deaktiviert ist, werden Datum und Uhrzeit aus dem Netzwerk bezogen.

Einstellung

Hinweis (kurz)

Hinweis (lang)

Erlaubte Bedienungshilfen

Sophos Mobile

Beschreibung

Ein unternehmensspezifischer Hinweis, der dem Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.

Hinweis

Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.

Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen Hinweistextes auf Weitere

Informationen tippt.

Hinweis

Dieser Text wird außerdem auf der Seite

Geräteadministrator für die App Sophos

Mobile Control angezeigt.

Schränken Sie ein, welche Apps

Bedienungshilfen anbieten dürfen:

• Wenn Sie Alle verfügbaren Apps auswählen, können Benutzer alle Bedienungshilfen verwenden.

• Wenn Sie Nur System-Apps auswählen, können

Benutzer nur Bedienungshilfen von System-Apps verwenden.

• Wenn Sie eine App-Gruppe auswählen, können Benutzer nur Bedienungshilfen von den enthaltenen Apps und von System-Apps verwenden.

14.14.3 Konfiguration „Exchange-Konto“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Exchange-Konto fügen Sie Gmail ein Exchange-Konto hinzu.

Warnung

Eine verwaltete Konfiguration der Gmail-App steht im Konflikt mit der Konfiguration Exchange-

Konto, sodass sie ab Sophos Mobile Version 9.6 und neuer nicht verfügbar ist. Wenn Sie eine verwaltete Konfiguration einer früheren Version verwenden, ignoriert Gmail die Konfiguration

Exchange-Konto. Dies geschieht selbst dann, wenn die verwaltete Konfiguration leer ist.

Einstellung

Kontoname

Beschreibung

Der Kontoname.

Sophos Mobile

Einstellung

Exchange-Server

Benutzer

E-Mail-Adresse

Absender

Standard-E-Mail-Signatur

Authentifizierung

Synchronisierungszeitraum

SSL/TLS

128

Alle Zertifikate erlauben

Beschreibung

Die Adresse des Exchange-Servers.

Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-Proxy-

Servers ein.

Der Benutzername für dieses Konto.

Beispiele:

• benutzername

• domain\benutzername

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Die Standard-E-Mail-Signatur.

Der Authentifizierungstyp, den Gmail für die

Verbindung mit Exchange verwendet.

• Moderne Authentifizierung: Eine moderne

Authentifizierung (OAuth 2.0) verwenden.

• Standardauthentifizierung: Eine

Standardauthentifizierung (Benutzername und Kennwort) verwenden.

• Standard- und moderne

Authentifizierung: Standard- und moderne

Authentifizierung verwenden, je nachdem, welche Exchange unterstützt.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Einstellung

Client-Zertifikat

Nicht verwaltete Konten erlauben

Sophos Mobile

Beschreibung

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

Benutzern erlauben, ein Exchange-Konto hinzuzufügen oder zu entfernen, mit Ausnahme des in dieser Konfiguration angegebenen

Kontos.

Wenn Sie diese Einstellung aktivieren, können

Sie die gemeinsame Nutzung von Daten zwischen anderen Apps und Exchange-Konten, die von Benutzern hinzugefügt wurden, nicht verhindern.

Zugehörige Konzepte

Verwaltete Konfiguration (Seite 387)

14.14.4 Konfiguration „WLAN“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung

SSID

Sicherheitstyp

Phase-2-Authorisierung

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp der WLAN-Verbindung:

• Ohne

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• Ohne

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Sophos Mobile

Einstellung

Identität

Anonyme Identität

Kennwort

Identitätszertifikat

Vertrauenswürdiges Zertifikat

Beschreibung

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

14.14.5 Google Play (Android-Enterprise-Geräterichtlinie)

Mit der Konfiguration Google Play können Sie die App „Google Play Store“ auf vollständig verwalteten

Android-Enterprise-Geräten verwalten.

Einstellung

Verfügbare Apps

Beschreibung

Apps, auf die Benutzer in ihrer App „Google

Play Store“ zugreifen können.

• Genehmigte Apps von Managed Google Play:

Benutzer können nur auf Apps zugreifen, die Sie in Managed Google Play für Ihre Organisation genehmigt haben.

• Apps von Google Play: Benutzer können über

Google Play auf alle Apps zugreifen, das bedeutet auf dieselben Apps, die für nicht verwaltete Geräte verfügbar sind.

Einstellung

Apps automatisch aktualisieren

Sophos Mobile

Beschreibung

Optionen für die automatische Aktualisierung von Apps.

• Über jedes beliebige Netzwerk: Apps werden automatisch über WLAN oder mobile Daten aktualisiert.

• Nur über WLAN: Apps werden nur automatisch aktualisiert, wenn das Gerät mit einem WLAN verbunden ist.

• Apps nicht automatisch aktualisieren: Apps werden nicht automatisch aktualisiert.

• Geräteeinstellung verwenden: Benutzer können automatische Updates in ihrer App „Google Play

Store“ konfigurieren.

14.14.6 Konfiguration „App Protection“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps aus

Managed Google Play zu schützen.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Sophos Mobile Self Service Portal zurücksetzen.

Einstellung

Komplexität des Kennworts

Gültigkeitsdauer in Minuten

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

Sophos Mobile

14.14.7 Konfiguration „App Control“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen. Hiermit können Sie zum Beispiel unerwünschte Apps blockieren, die vom Gerätehersteller vorinstalliert worden sind und nicht deinstalliert werden können.

Einstellung

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen finden Sie in

Verwaltete Konfiguration (Seite 387)

14.14.8 Konfiguration „App-Berechtigungen“ (Android-

Enterprise-Geräterichtlinie)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App während der

Ausführung eine Berechtigung anfordert.

Einstellung

Standardantwort auf

Berechtigungsanforderungen zur Laufzeit

Beschreibung

Die Standard-Reaktion auf

Berechtigungsanforderungen während der

Ausführung:

• Abfragen: Benutzer werden aufgefordert, eine

Berechtigung zu gewähren.

• Auto-Bestätigen: Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch gewährt.

• Auto-Verweigern: Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch verweigert.

Wenn Sie Auto-Bestätigen oder Auto-

Verweigern auswählen, können Benutzer

Berechtigungen später nicht ändern.

Sophos Mobile

Einstellung

Berechtigungsanforderungen während der

App-Verwendung

Beschreibung

Gewähren oder verweigern Sie

Berechtigungsanforderungen während der

Ausführung für bestimmte Apps.

Klicken Sie auf Hinzufügen, um eine App auszuwählen, und wählen Sie dann für jede

Berechtigung eine der folgenden Optionen aus:

• Auswählbar: Benutzer können die Berechtigung

ändern.

• Zugelassen: Die Berechtigung wird gewährt.

• Verweigert: Die Berechtigung wird verweigert.

14.14.9 Konfiguration „Kiosk-Modus“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Kiosk-Modus aktivieren Sie die Verwaltung zweckbestimmter Android-

Enterprise-Geräte.

Einstellung

Quelle auswählen

App-ID

App-Gruppe

Lautstärke-Änderung erlauben

Bildschirmsperre deaktivieren

Beim Laden aktiv bleiben

Beschreibung

• Ohne: Alle Apps erlauben. Die Kiosk-Modus-

Einschränkungen werden auf das Gerät

übertragen, aber der Benutzer kann jede auf dem

Gerät verfügbare App starten.

• Benutzerdefiniert, App-Liste : Nur eine bestimmte App erlauben.

• App-Gruppe: Mehrere Apps erlauben.

Die App, die im Kiosk-Modus verfügbar ist.

Abhängig von Ihrer Auswahl in Quelle

auswählen geben Sie entweder die App-

Kennung an oder wählen Sie die App aus der

Liste verfügbarer Apps aus.

Die Apps, die im Kiosk-Modus verfügbar sind.

Wählen Sie eine der verfügbaren App-Gruppen aus.

Wenn das Kontrollkästchen deaktiviert ist, sind alle Gerätetasten zum Steuern der Lautstärke deaktiviert.

Der Gerätebildschirm wird niemals gesperrt.

Der Gerätebildschirm bleibt eingeschaltet, solange das Gerät mit einer Stromquelle verbunden ist.

Sophos Mobile

134

14.14.10 Konfiguration „Globaler HTTP-Proxy“ (Android-

Enterprise-Geräterichtlinie)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung

Proxy

Server

Port

PAC-URL

Beschreibung

Wählen Sie Manuell aus, um die

Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine

Proxy-Auto-Config-Datei (PAC-Datei) haben.

Der Name oder die IP-Adresse des HTTP-

Proxys.

Die Portnummer des HTTP-Proxys.

Die URL der Proxy-Auto-Config-Datei (PAC-

Datei).

14.14.11 Konfiguration „VPN“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration VPN wählen Sie einen VPN-Client für Android-Enterprise-Geräte aus.

Einstellung

VPN-Client

Beschreibung

Die ID der VPN-App.

Der VPN-Client muss eine App aus Managed

Google Play sein, die bereits auf dem Gerät installiert ist.

Sie konfigurieren die VPN-Verbindung in der verwalteten Konfiguration der App. Details hierzu finden Sie in der Dokumentation der jeweiligen App.

14.14.12 Konfiguration „Root-Zertifikat“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Einstellung

Datei

Beschreibung

Wählen Sie Datei hochladen aus und anschließend eine

PKCS #12 (.pfx)-Zertifikatdatei.

Sophos Mobile

Einstellung

Zertifikatsname

Beschreibung

Der Name des Zertifikats.

Sophos Mobile ermittelt den Namen aus der

Zertifikatdatei.

Hinweis

Das Zertifikat ist für andere Konfigurationen derselben Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Richtlinien benötigen, müssen Sie diese erneut hochladen.

Tipp

Um ein Zertifikat hochzuladen, können Sie es auch aus dem Datei-Explorer in den Bereich Datei ziehen.

14.14.13 Konfiguration „Client-Zertifikat“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Einstellung

Datei

Zertifikatsname

Beschreibung

Wählen Sie Datei hochladen aus und anschließend eine

PKCS #12 (.pfx)-Zertifikatdatei.

Der Name des Zertifikats.

Sophos Mobile ermittelt den Namen aus der

Zertifikatdatei.

Hinweis

Das Zertifikat ist für andere Konfigurationen derselben Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Richtlinien benötigen, müssen Sie diese erneut hochladen.

Tipp

Um ein Zertifikat hochzuladen, können Sie es auch aus dem Datei-Explorer in den Bereich Datei ziehen.

14.14.14 Konfiguration „SCEP“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Sophos Mobile

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung

URL

Aliasname

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Einstellung

Challenge

Root-Zertifikat

Schlüsselgröße

Zertifikatsverwendung

Sophos Mobile

Beschreibung

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat in der aktuellen

Richtlinie.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wählen Sie aus, wofür das Zertifikat verwendet werden kann.

Als digitale Signatur verwenden: Das

Zertifikat kann als digitale Signatur verwendet werden.

Für Verschlüsselung verwenden: Das

Zertifikat kann zur Datenverschlüsselung verwendet werden.

14.15 Konfigurationen für Richtlinien für Android-

Enterprise-Arbeitsprofile

Mit einer Richtlinie für Android-Enterprise-Arbeitsprofile konfigurieren Sie Einstellungen für Geräte mit

Android-Enterprise-Arbeitsprofil.

14.15.1 Konfiguration „Kennwortrichtlinien – Gerät“ (Android-

Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration Kennwort-Richtlinien - Gerät definieren Sie Anforderungen an das Kennwort für die Displaysperre.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Sophos Mobile

Einstellung

Muster, PIN oder Kennwort

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Sophos Mobile

Einstellung

Maximale Anmeldeversuche

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird das Gerät zurückgesetzt.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

14.15.2 Konfiguration „Kennwortrichtlinien –

Arbeitsprofil“ (Android-Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration Kennwort-Richtlinien - Arbeitsprofil definieren Sie Anforderungen an das

Kennwort des Arbeitsprofils. Der Benutzer muss das Kennwort eingeben, um eine App zu öffnen, wenn das Arbeitsprofil gesperrt ist.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Sophos Mobile

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung

Muster, PIN oder Kennwort

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Schwache biometrische Erkennung

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Benutzer dürfen schwache biometrische

Erkennungsverfahren, wie z.B.

Gesichtserkennung, verwenden, um das

Arbeitsprofil zu entsperren.

Hinweis

Schwache biometrische

Erkennungsverfahren bieten eine vergleichbare Sicherheit wie eine 3-stellige

PIN. Das heißt, für ein unberechtigtes

Entsperren sind etwa 1000 Versuche erforderlich.

Sophos Mobile

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Arbeitsprofil gesperrt wird, wenn es nicht benutzt wird. Das Profil lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere

Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Maximale Anmeldeversuche

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird das Arbeitsprofil gelöscht.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Sophos Mobile

14.15.3 Konfiguration „Einschränkungen“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Einschränkungen legen Sie Einschränkungen für Android-Enterprise-Geräte mit

Arbeitsprofil fest.

Sicherheit

Einstellung

Bildschirmaufnahme erlauben

Benutzer dürfen Anmeldeinformation bearbeiten

Arbeits-Zwischenablage darf in private Apps kopiert werden

Smart Lock erlauben

Beschreibung

Benutzer können Screenshots von Apps machen, die im Arbeitsprofil installiert sind.

Benutzer können im Arbeitsprofil Zertifikate installieren oder deinstallieren.

Benutzer können Text aus einer App im

Arbeitsprofil kopieren und in eine private App einfügen.

Das Einfügen von Text aus einer privaten App in eine App im Arbeitsprofil ist immer möglich.

Benutzer können die Android-Funktion „Smart

Lock“ aktivieren, durch die das Gerät in bestimmten Situationen automatisch entsperrt wird.

Hinweis

Diese Einstellungen wirkt sich auf die

Gerätesperre aus. Das Gerät ignoriert die

Einstellung, wenn zusätzlich eine Sperre für das

Arbeitsprofil konfiguriert ist.

„Standort teilen“ erlauben

Internet-Links dürfen in privaten Apps geöffnet werden

Debugging erlauben

Apps im Arbeitsprofil können auf die

Ortungsdienste des Gerätes zugreifen.

Wenn das Kontrollkästchen deaktiviert ist, können Apps im Arbeitsprofil selbst dann nicht auf Standortdienste zugreifen, wenn der Benutzer die Einstellung „Standort teilen“ aktiviert hat.

Internet-Links, auf die der Benutzer in einer App im Arbeitsprofil tippt, können in einer privaten

Browser-App geöffnet werden.

Benutzer können die Debugging-Funktionen in den Android-Entwicklereinstellungen aktivieren.

Sophos Mobile

Einstellung

Entsperren mit Fingerabdruck erlauben

Details zu beruflichen Kontakten für private

Anrufe erlauben

Details zu beruflichen Kontakten für

Bluetooth-Geräte erlauben

Suche nach beruflichen Kontakten im privaten Profil erlauben

Beschreibung

Benutzer können das Gerät mit ihrem

Fingerabdruck entsperren.

Die private Telefon-App zeigt bei eingehenden

Gesprächen von beruflichen Kontakten den

Anrufernamen an.

Verbundene Bluetooth-Geräte zeigen bei eingehenden Privatgesprächen von beruflichen

Kontakten den Anrufernamen an.

Die private Telefon-App zeigt bei der Suche nach Anrufernamen auch berufliche Kontakte an.

Konten

Einstellung

Kontenverwaltung erlauben

Beschreibung

Benutzer können im Arbeitsprofil Konten (z.B.

App-Konten) hinzufügen oder entfernen, aber nicht das Google-Konto.

Netzwerk und Kommunikation

Einstellung

VPN erlauben

Android Beam erlauben

Beschreibung

Benutzer können für Apps im Arbeitsprofil VPN-

Verbindungen verwenden.

Benutzer können Android Beam (NFC-

Datenübertragung) verwenden, um Daten aus

Apps im Arbeitsprofil zu senden.

Hardware

Einstellung

Kamera erlauben

Beschreibung

Apps im Arbeitsprofil können auf die Kamera zugreifen.

Sophos Mobile

Anwendungen

Einstellung

Deinstallation von Apps erlauben

Installation von Apps aus unbekannten

Quellen erlauben

App-Verwaltung erlauben

Deaktivieren von Google-Sicherheitsscans erlauben

Hinweis (kurz)

Beschreibung

Benutzer können Apps im Arbeitsprofil deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer Apps im Arbeitsprofil nur aus

Google Play installieren, nicht aus unbekannten

Quellen oder über Android Debug Bridge (ADB).

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer für Apps im Arbeitsprofil folgende Aufgaben nicht ausführen:

• Apps deinstallieren

• Apps deaktivieren

• Apps beenden

• App-Cache leeren

• App-Daten löschen

• Einstellung Standardmäßig öffnen löschen

Benutzer können die Google-

Sicherheitseinstellung Gerät auf

Sicherheitsbedrohungen durchsuchen deaktivieren.

Die Einstellung befindet sich in der App

Einstellungen, unter Google > Sicherheit >

Google Play Protect.

Ein unternehmensspezifischer Hinweis, der dem Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.

Hinweis

Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.

Einstellung

Hinweis (lang)

Sophos Mobile

Beschreibung

Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen Hinweistextes auf Weitere

Informationen tippt.

Hinweis

Dieser Text wird außerdem auf der Seite

Geräteadministrator für die App Sophos

Mobile Control angezeigt.

14.15.4 Konfiguration „Exchange-Konto“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Exchange-Konto fügen Sie Gmail ein Exchange-Konto hinzu.

Warnung

Eine verwaltete Konfiguration der Gmail-App steht im Konflikt mit der Konfiguration Exchange-

Konto, sodass sie ab Sophos Mobile Version 9.6 und neuer nicht verfügbar ist. Wenn Sie eine verwaltete Konfiguration einer früheren Version verwenden, ignoriert Gmail die Konfiguration

Exchange-Konto. Dies geschieht selbst dann, wenn die verwaltete Konfiguration leer ist.

Einstellung

Kontoname

Exchange-Server

Benutzer

E-Mail-Adresse

Absender

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-Proxy-

Servers ein.

Der Benutzername für dieses Konto.

Beispiele:

• benutzername

• domain\benutzername

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Sophos Mobile

Einstellung

Standard-E-Mail-Signatur

Authentifizierung

Synchronisierungszeitraum

SSL/TLS

Alle Zertifikate erlauben

Client-Zertifikat

Beschreibung

Die Standard-E-Mail-Signatur.

Der Authentifizierungstyp, den Gmail für die

Verbindung mit Exchange verwendet.

• Moderne Authentifizierung: Eine moderne

Authentifizierung (OAuth 2.0) verwenden.

• Standardauthentifizierung: Eine

Standardauthentifizierung (Benutzername und Kennwort) verwenden.

• Standard- und moderne

Authentifizierung: Standard- und moderne

Authentifizierung verwenden, je nachdem, welche Exchange unterstützt.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

Zugehörige Konzepte

14.15.5 Konfiguration „WLAN“ (Android-Enterprise-Arbeitsprofil-

Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung

SSID

Beschreibung

Die ID des WLAN.

Einstellung

Sicherheitstyp

Phase-2-Authorisierung

Identität

Anonyme Identität

Kennwort

Identitätszertifikat

Vertrauenswürdiges Zertifikat

Sophos Mobile

Beschreibung

Der Sicherheitstyp der WLAN-Verbindung:

• Ohne

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• Ohne

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

147

Sophos Mobile

14.15.6 Google Play (Android-Enterprise-Arbeitsprofil-

Richtlinie)

Mit der Konfiguration Google Play können Sie die App „Google Play Store“ im Arbeitsprofil verwalten.

Einstellung

Verfügbare Apps

Apps automatisch aktualisieren

Beschreibung

Apps, auf die Benutzer in ihrer App „Google

Play Store“ zugreifen können.

• Genehmigte Apps von Managed Google Play:

Benutzer können nur auf Apps zugreifen, die Sie in Managed Google Play für Ihre Organisation genehmigt haben.

• Apps von Google Play: Benutzer können über

Google Play auf alle Apps zugreifen, das bedeutet auf dieselben Apps, die für nicht verwaltete Geräte verfügbar sind.

Optionen für die automatische Aktualisierung von Apps.

• Über jedes beliebige Netzwerk: Apps werden automatisch über WLAN oder mobile Daten aktualisiert.

• Nur über WLAN: Apps werden nur automatisch aktualisiert, wenn das Gerät mit einem WLAN verbunden ist.

• Apps nicht automatisch aktualisieren: Apps werden nicht automatisch aktualisiert.

• Geräteeinstellung verwenden: Benutzer können automatische Updates in ihrer App „Google Play

Store“ konfigurieren.

148

14.15.7 Konfiguration „App Protection“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, mit denen Apps aus Managed Google Play geschützt werden, d.h. Apps, die im Arbeitsprofil installiert sind.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Sophos Mobile Self Service Portal zurücksetzen.

Einstellung

Komplexität des Kennworts

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Einstellung

Gültigkeitsdauer in Minuten

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Sophos Mobile

Beschreibung

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

14.15.8 Konfiguration „App Control“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen.

Einstellung

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen finden Sie in

Mehrstufige Authentifizierung für Sophos Secure Email einrichten

14.15.9 Konfiguration „App-Berechtigungen“ (Android-

Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App aus Managed

Google Play während der Ausführung Berechtigungen anfordert.

Sophos Mobile

Einstellung

Standardantwort auf

Berechtigungsanforderungen zur Laufzeit

Berechtigungsanforderungen während der

App-Verwendung

Beschreibung

Die Standard-Reaktion auf

Berechtigungsanforderungen während der

Ausführung:

• Abfragen: Benutzer werden aufgefordert, eine

Berechtigung zu gewähren.

• Auto-Bestätigen: Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch gewährt.

• Auto-Verweigern: Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch verweigert.

Wenn Sie Auto-Bestätigen oder Auto-

Verweigern auswählen, können Benutzer

Berechtigungen später nicht ändern.

Gewähren oder verweigern Sie

Berechtigungsanforderungen während der

Ausführung für bestimmte Apps.

Klicken Sie auf Hinzufügen, um eine App auszuwählen, und wählen Sie dann für jede

Berechtigung eine der folgenden Optionen aus:

• Auswählbar: Benutzer können die Berechtigung

ändern.

• Zugelassen: Die Berechtigung wird gewährt.

• Verweigert: Die Berechtigung wird verweigert.

14.15.10 Konfiguration „VPN“ (Android-Enterprise-Arbeitsprofil-

Richtlinie)

Mit der Konfiguration VPN wählen Sie einen VPN-Client für Android-Enterprise-Geräte aus.

Einstellung

VPN-Client

Beschreibung

Die ID der VPN-App.

Der VPN-Client muss eine App aus Managed

Google Play sein, die bereits auf dem Gerät installiert ist.

Sie konfigurieren die VPN-Verbindung in der verwalteten Konfiguration der App. Details hierzu finden Sie in der Dokumentation der jeweiligen App.

Sophos Mobile

14.15.11 Konfiguration „Root-Zertifikat“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Dieses Zertifikat steht Apps aus Managed Google Play zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.

Einstellung

Datei

Zertifikatsname

Beschreibung

Wählen Sie Datei hochladen aus und anschließend eine

PKCS #12 (.pfx)-Zertifikatdatei.

Der Name des Zertifikats.

Sophos Mobile ermittelt den Namen aus der

Zertifikatdatei.

Hinweis

Das Zertifikat ist für andere Konfigurationen derselben Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Richtlinien benötigen, müssen Sie diese erneut hochladen.

Tipp

Um ein Zertifikat hochzuladen, können Sie es auch aus dem Datei-Explorer in den Bereich Datei ziehen.

14.15.12 Konfiguration „Client-Zertifikat“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Dieses Zertifikat steht Apps aus Managed Google Play zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.

Einstellung

Datei

Zertifikatsname

Beschreibung

Wählen Sie Datei hochladen aus und anschließend eine

PKCS #12 (.pfx)-Zertifikatdatei.

Der Name des Zertifikats.

Sophos Mobile ermittelt den Namen aus der

Zertifikatdatei.

Hinweis

Das Zertifikat ist für andere Konfigurationen derselben Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile

Tipp

Um ein Zertifikat hochzuladen, können Sie es auch aus dem Datei-Explorer in den Bereich Datei ziehen.

14.15.13 Konfiguration „SCEP“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen Apps zur

Verfügung, die im Arbeitsprofil installiert sind.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung

URL

Aliasname

Betreff

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Einstellung

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Zertifikatsverwendung

Sophos Mobile

Beschreibung

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat in der aktuellen

Richtlinie.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wählen Sie aus, wofür das Zertifikat verwendet werden kann.

Als digitale Signatur verwenden: Das

Zertifikat kann als digitale Signatur verwendet werden.

Für Verschlüsselung verwenden: Das

Zertifikat kann zur Datenverschlüsselung verwendet werden.

Sophos Mobile

14.16 Konfigurationen für Sophos-Container-

Richtlinien (Android)

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für Sophos Secure Email und

Sophos Secure Workspace auf Geräten, auf denen Sophos Mobile den Sophos-Container verwaltet.

Hinweis

Auf Android-Enterprise-Geräten wird durch diese Richtlinie Sophos Secure Workspace installiert sowie, falls die Richtlinie eine Konfiguration Berufliche E-Mail enthält, Sophos Secure Email.

Genehmigen Sie diese Apps in Managed Google Play, bevor Sie die Richtlinie zuweisen.

14.16.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für Android)

Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.

Einstellung

Sophos-Container-Kennwort aktivieren

Komplexität des Kennworts

Beschreibung

Benutzer müssen ein zusätzliches Kennwort eingeben, um eine Sophos-Container-App zu starten. Sobald die erste Container-App gestartet wird nachdem die Konfiguration angewendet wurde, muss das Kennwort definiert werden. Dieses Kennwort gilt für alle

Container-Apps.

Die minimale Komplexität des Kennworts für den Sophos-Container. Sicherere

Kennwörter sind immer erlaubt. Kennwörter

(eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs (nur numerische

Zeichen).

• Beliebig: Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.

• 4-Ziffern-PIN

• 6-Ziffern-PIN

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

Sophos Mobile

Einstellung

Zeichen in Kennwort-Eingabefeldern immer verstecken

Gültigkeitsdauer des Kennworts in Tagen

Fehlgeschlagene Anmeldungen bis Sperre

Fingerabdruck erlauben

Gültigkeitsdauer in Minuten

Mit Gerät sperren

Beschreibung

In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.

Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.

Die erlaubte Anzahl fehlgeschlagener

Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden.

Falls konfiguriert, können die Apps auch vom

Benutzer im Sophos Mobile Self Service Portal entsperrt werden.

Benutzer können die App mit ihrem

Fingerabdruck entsperren.

Die Zeitspanne, während der kein Sophos-

Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im

Vordergrund angezeigt wird.

Die Toleranzfrist gilt für alle Container-Apps.

Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.

Wenn das Gerät gesperrt wird, wird auch der

Sophos-Container gesperrt.

Wenn das Kontrollkästchen deaktiviert ist, wird der Sophos-Container nur nach Ablauf der

Toleranzfrist gesperrt.

Sophos Mobile

Einstellung

Letzte Verbindung zum Server

Beschreibung

Die Zeitspanne, innerhalb derer Benutzer eine

Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile

Server aufgebaut wurde.

Wenn eine Sophos-Container-App aktiviert wird und innerhalb der definierten Zeitspanne keinen Kontakt mit dem Server hatte, wird ein Sperrbildschirm angezeigt. Der Benutzer kann die App durch Tippen auf Wiederholen entsperren. Hierdurch verbindet sich die App mit dem Server. Kann die Verbindung aufgebaut werden, wird die App entsperrt. Falls nicht, wird der Zugriff verweigert.

• Bei jedem Zugriff: Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.

• 1 Stunde: Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.

• 3 Stunden

• 6 Stunden

• 12 Stunden

• 1 Tag

• 3 Tage

• Ohne: Keine regelmäßige Verbindung ist notwendig.

Sophos Mobile

Einstellung

Offline-Starts ohne Serververbindung

Beschreibung

In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.

Hinweis

Diese Einstellung setzt voraus, dass ein

Sophos-Container-Kennwort eingerichtet ist.

Root-Zugriff erlaubt Die Container-Apps dürfen auf gerooteten

Geräten ausgeführt werden.

App-Nutzungs-Beschränkungen

Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken

Sie auf Hinzufügen, um Beschränkungen einzugeben.

Räumliche Beschränkungen

Es wird mitgezählt, wie oft Benutzer das

Sophos-Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe Sperrbildschirm wie für die

Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum Sophos Mobile Server hergestellt wird.

• Unbegrenzt: Es ist keine Serververbindung notwendig.

• 0: Das Starten der App ohne Serververbindung ist nicht möglich.

• 1: Nach einem Start der App ist eine erfolgreiche

Serververbindung notwendig.

• 3

• 5

• 10

• 20

Zeitliche Beschränkungen

Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.

Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-

Container-Apps verwendet werden können.

Sie können auch spezifizieren, an welchen

Wochentagen die Apps verwendet werden können.

Sophos Mobile

Einstellung

WLAN-Beschränkungen

Beschreibung

Wenn Sie WLAN-Verbindung erforderlich auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.

Wenn Sie WLAN-Verbindungen zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das Gerät mit einem nicht aufgeführten WLAN verbunden ist.

Warnung

Wir empfehlen, sich nicht auf WLAN-

Beschränkungen als einzigen

Sicherheitsmechanismus zu verlassen, da WLAN-

Namen sehr leicht gefälscht werden können (Wi-Fi

Spoofing).

14.16.2 Berufliche E-Mail (Android-Sophos-Container-

Richtlinie)

Mit der Konfiguration Berufliche E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft

Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im

Sophos-Container installiert ist.

Hinweis

Falls Sophos Secure Email nicht installiert ist, werden die Benutzer aufgefordert, die App zu installieren. Wenn sie die App zum ersten Mal starten, konfiguriert sie sich automatisch.

Haupt-E-Mail-Konto

Einstellung

Exchange-Server

Benutzer

Beschreibung

Die Adresse des Exchange-Servers.

Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-Proxy-

Servers ein.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Benutzer müssen das Konto-Kennwort auf ihren

Geräten eingeben.

Einstellung

E-Mail-Adresse

Domäne

Support-E-Mail-Kontakt

Sophos Mobile

Beschreibung

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Die Domäne für dieses Konto.

Die Adresse für E-Mails, die über die Funktion

„Kontaktiere Support“ gesendet werden.

Verwaltete Konten

Neben dem Haupt-E-Mail-Konto können Sie bis zu zwei Konten, die als Verwaltete Konten bezeichnet werden, zu Sophos Secure Email hinzufügen.

Beachten Sie Folgendes:

• Wenn Sie verwaltete Konten konfigurieren, können Benutzer Konten nicht manuell hinzufügen. Sie können Konten verwenden, die sie hinzugefügt haben, bevor Sie die Richtlinie zugewiesen haben.

• Wenn es ein bestehendes Konto mit derselben E-Mail-Adresse gibt, wird es in ein verwaltetes

Konto umgewandelt.

E-Mail-Einstellungen

Einstellung

Externen Inhalt erlauben

Maximale E-Mail-Größe

Benachrichtigungsdetails

Standardsignatur

Beschreibung

Benutzer können externe E-Mail-Inhalte wie

Bilder laden.

E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte

Wert, werden nicht vom Exchange-Server heruntergeladen.

Wählen Sie den Umfang der Informationen aus, der in E-Mail-Benachrichtigungen angezeigt wird.

Diese Einstellung wirkt sich auch auf

Terminerinnerungen aus. Wenn Sie Keine

Benachrichtigungen auswählen, sind

Terminerinnerungen deaktiviert. Wenn

Sie einen anderen Wert auswählen, sind

Terminerinnerungen aktiviert und enthalten

Datum/Uhrzeit, Ort und Titel.

Die Standard-E-Mail-Signatur.

Sophos Mobile

Einstellung

EWS-Server

Beschreibung

Die URL Ihres Exchange Web Services (EWS)

Server.

Wenn Sie dieses Feld leer lassen, verwendet

Sophos Secure Email die URL, die Sie in

Exchange-Server konfiguriert haben.

Funktionen

Einstellung

Outlook-Aufgaben und -Notizen synchronisieren

Aufgaben und Notizen sind schreibgeschützt

Kontakte auf das Gerät exportieren

Beschreibung

Benutzer können ihre Outlook-Aufgaben und -

Notizen in Sophos Secure Email anzeigen.

Standardmäßig können Benutzer auch

Aufgaben und Notizen erstellen, bearbeiten und löschen. Wählen Sie Aufgaben und

Notizen sind schreibgeschützt aus, um dies zu deaktivieren.

Benutzer können Outlook-Aufgaben und -

Notizen in Sophos Secure Email nicht erstellen, bearbeiten oder löschen.

Benutzer können Exchange-Kontakte als lokale

Kontakte auf das Gerät übertragen, damit bei Anrufen von Firmenkontakten der Name angezeigt wird.

Diese Kontakte werden von Sophos Secure

Email synchronisiert.

Hinweis

Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:

• Wenn die Konfiguration

Unternehmens-E-Mail aus der

Sophos-Container-Richtlinie entfernt wird (nach dem nächsten Neustart der

App Sophos Secure Email).

• Wenn der Sophos-Container vom Gerät entfernt wird.

• Wenn das Gerät bei Sophos Mobile deregistriert wird.

Einstellung

Unternehmensnamen exportieren

Sophos Mobile

Beschreibung

Beim Export von Firmenkontakten in lokale

Kontakte wird auch der Firmenname exportiert.

Wenn Sie diese Option deaktivieren, werden nur Name und Telefonnummer exportiert.

Datenschutz

Einstellung

In Zwischenablage kopieren verbieten

Screenshots verbieten

Öffnen/Teilen erlauben

Anhänge öffnen

Anhänge teilen

Beschreibung

Benutzer können Texte aus Sophos Secure

Email weder kopieren noch ausschneiden.

Benutzer können keine Screenshots der App

Sophos Secure Email machen.

Benutzer können E-Mail-Anhänge betrachten und teilen.

Wählen Sie aus, in welchen Apps Anhänge betrachtet werden können: In allen Apps oder nur in den Sophos-Container-Apps Secure

Workspace und Secure Email.

Mit allen Apps: Anhänge können mit allen

Apps geteilt werden, die das Dateiformat unterstützen.

Mit Container-Apps: Anhänge werden mit einem Geräteschlüssel verschlüsselt und können nur mit Sophos Secure Workspace geöffnet werden. Das Teilen mit anderen Apps bleibt auswählbar.

S/MIME

Einstellung

S/MIME-Verschlüsselung erlauben

Beschreibung

Benutzer können E-Mails senden und empfangen, die mit einem S/MIME-Zertifikat verschlüsselt sind.

S/MIME-Zertifikate müssen im Stammordner des internen Speichers gespeichert werden.

Diese Einstellung wirkt sich nicht auf die S/

MIME-Signatur aus. Benutzer können E-Mails signieren, wenn ihr S/MIME-Zertifikat auf dem

Gerät verfügbar ist.

Sophos Mobile

OAuth 2.0

Mit diesen Einstellungen richten Sie Sophos Secure Email so ein, dass Benutzer über die

Microsoft-365-Anmeldeprozedur Ihres Unternehmens auf ihre Exchange-Konten zugreifen.

Einstellung

OAuth 2.0 aktivieren

Autorisierungs-Endpunkt

Client-ID

Umleitungs-URI

Token-Endpunkt

Beschreibung

Microsoft-365-Authentifizierung aktivieren.

Der OAuth-Autorisierungsendpunkt Ihrer

Anwendung in Microsoft Azure.

Geben Sie den Wert ein, der im Azure Portal unter OAuth 2.0 Autorisierungsendpunkt (v2) angezeigt wird.

Die ID Ihrer Anwendung in Microsoft Azure.

Geben Sie den Wert ein, der im Azure Portal unter Anwendungs-ID (Client) angezeigt wird.

Der Speicherort, den die Microsoft-365-API für

Authentifizierungs-Antworten verwendet.

Geben Sie folgenden Text ein: sophos://sse/auth

OAuth-Token-Endpunkt Ihrer Anwendung in

Microsoft Azure.

Geben Sie den Wert ein, der im Azure Portal unter OAuth 2.0-Token-Endpunkt (v2) angezeigt wird.

Zusätzliche Einstellungen

Konfigurieren Sie diese Einstellungen nur, wenn Sie vom Sophos Support dazu aufgefordert werden.

Zugehörige Aufgaben

(Seite 413)

Wenn Sie für Sophos Secure Email die mehrstufige Authentifizierung (MFA, Multi-Factor

Authentication) einrichten, greifen Benutzer über die Microsoft-365-Anmeldeseite Ihres Unternehmens auf ihre Exchange-Konten zu.

14.16.3 Berufliche Dokumente (Android-Sophos-Container-

Richtlinie)

Mit der Konfiguration Berufliche Dokumente verwalten Sie die Berufliche Dokumente von Sophos

Secure Workspace.

Sophos Mobile

Online-Speicher konfigurieren

Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:

Einstellung

Aktivieren

Offline

Verschlüsselt teilen

Unverschlüsselt teilen

Zwischenablage

Beschreibung

Der Speicheranbieter ist in der App verfügbar.

Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.

Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.

Einstellungen für Unternehmens-Anbieter

Für Speicheranbieter vom Typ WebDAV, auch als Unternehmens-Anbieter bezeichnet, können

Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den

Benutzern nicht geändert werden.

Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.

Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das

Kennwort-Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den Speicheranbieter zu bekommen.

Einstellung

Name

Server

Beschreibung

Der Anbietername, wie er in der App Sophos

Secure Workspace angezeigt wird.

Geben Sie in diesem Feld Folgendes ein:

• Die URL des Root-Ordners auf dem WebDAV-Server für

Unternehmensdokumente.

• Die URL des Root-Ordners auf dem

WebDAV-Server.

Verwenden Sie folgendes Format: https:// server.firma.com

Nur das Protokoll https wird unterstützt.

Sophos Mobile

Einstellung

Benutzername

Kennwort

Zielordner

Beschreibung

Der Anmeldename für den Server. Sie können auch die Variable %_USERNAME_% verwenden.

Das Anmeldekennwort.

Der Ordner, in den Dokumente hochgeladen werden.

Weitere Einstellungen

Einstellung

Dokumente aktivieren

Komplexität des Kennworts

Screenshots verbieten

Zusätzliche Einstellungen

Beschreibung

Aktiviert die Funktion Dokumente, um

Unternehmensdokumente auf sichere Weise auszutauschen.

Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere

Passphrasen sind immer erlaubt.

Sie können folgende Einstellungen auswählen:

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

Benutzer können keine Screenshots der App

Sophos Secure Workspace machen.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

14.16.4 Beruflicher Browser (Android-Sophos-Container-

Richtlinie)

Mit der Konfiguration Beruflicher Browser verwalten Sie die Funktion Beruflicher Browser von

Sophos Secure Workspace.

Mit dem beruflichen Browser können Sie auf sichere Weise auf Intranetseiten Ihrer Organisation und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von

Domänen.

Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.

Sophos Mobile

Allgemeine Einstellungen

Einstellung

Screenshots verbieten

Einstellungen für Domänen

Einstellung

URL

Kopieren/Einfügen erlauben

„Öffnen mit“ erlauben

Kennwort-Speichern erlauben

Einstellungen für Lesezeichen

Einstellung

Name

URL

Beschreibung

Benutzer können keine Screenshots aufnehmen, die den beruflichen Browser zeigen.

Beschreibung

Die Domäne, die Sie erlauben wollen.

Benutzer können Text aus dem beruflichen

Browser kopieren und in anderen Apps einfügen.

Benutzer können heruntergeladene Dateien in anderen Apps öffnen.

Wenn Sie diese Einstellung deaktivieren, können Benutzer weiterhin Dateien herunterladen, die Sophos Secure Workspace

öffnen kann.

Der beruflichen Browser speichert heruntergeladene Dateien Bereich „Sicherer

Speicher“. Die „Öffnen mit“ erlauben-

Einstellung hat Vorrang vor den Einstellungen für den Bereich „Sicherer Speicher“ in einer

Berufliche Dokumente-Konfiguration.

Benutzer können ihre Kennwörter im beruflichen Browser speichern.

Beschreibung

Der Name für das Lesezeichen.

Die Webadresse für das Lesezeichen.

Sophos Mobile

14.16.5 Konfiguration „Root-Zertifikat“ (Sophos-Container-

Richtlinie für Android)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Das Zertifikat steht den Apps „Sophos Secure Email“ und „Sophos Secure Workspace“ zur Verfügung, wenn diese im Sophos-Container installiert sind.

Einstellung

Datei

Zertifikatsname

Beschreibung

Wählen Sie Datei hochladen aus und anschließend eine

PKCS #12 (.pfx)-Zertifikatdatei.

Der Name des Zertifikats.

Sophos Mobile ermittelt den Namen aus der

Zertifikatdatei.

Hinweis

Das Zertifikat ist für andere Konfigurationen derselben Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Richtlinien benötigen, müssen Sie diese erneut hochladen.

Tipp

Um ein Zertifikat hochzuladen, können Sie es auch aus dem Datei-Explorer in den Bereich Datei ziehen.

14.16.6 Konfiguration „Client-Zertifikat“ (Sophos-Container-

Richtlinie für Android)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Dieses Zertifikat steht der App Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.

Einstellung

Datei

Zertifikatsname

Beschreibung

Wählen Sie Datei hochladen aus und anschließend eine

PKCS #12 (.pfx)-Zertifikatdatei.

Der Name des Zertifikats.

Sophos Mobile ermittelt den Namen aus der

Zertifikatdatei.

Hinweis

Das Zertifikat ist für andere Konfigurationen derselben Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile

Tipp

Um ein Zertifikat hochzuladen, können Sie es auch aus dem Datei-Explorer in den Bereich Datei ziehen.

14.16.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für

Android)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen für die

Funktion Beruflicher Browser von Sophos Secure Workspace zur Verfügung.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung

URL

Aliasname

Betreff

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Sophos Mobile

Einstellung

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Zertifikatsverwendung

Beschreibung

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat in der aktuellen

Richtlinie.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wählen Sie aus, wofür das Zertifikat verwendet werden kann.

Als digitale Signatur verwenden: Das

Zertifikat kann als digitale Signatur verwendet werden.

Für Verschlüsselung verwenden: Das

Zertifikat kann zur Datenverschlüsselung verwendet werden.

Sophos Mobile

14.17 Konfigurationen für Mobile-Threat-Defense-

Richtlinien (Android)

Mit einer Mobile-Threat-Defense-Richtlinie konfigurieren Sie Sophos Intercept X for Mobile, wenn es bei Sophos Mobile registriert ist.

Warnung

Auf Android-Enterprise-Geräten wird hierdurch auch die App Intercept X installiert. Sie müssen die

App in Managed Google Play genehmigen, bevor Sie die Richtlinie zuweisen.

14.17.1 Netzwerkkonfiguration (Mobile-Threat-Defence-

Richtlinie für Android)

Mit der Konfiguration Netzwerk verwalten Sie die Funktion Wi-Fi Security von Sophos Intercept X for

Mobile. Diese schützt Benutzer vor netzwerkbasierten Bedrohungen.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in Sophos Intercept X for Mobile deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung

„Man-In-The-Middle“-Schutz

Zusätzliche Einstellungen

Beschreibung

Sophos Intercept X for Mobile überprüft die

WLAN-Verbindung auf Man-in-the-Middle-

Angriffe.

Sophos Mobile erzeugt einen Alarm, wenn ein

Man-in-the-Middle-Angriff erkannt wird.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

14.17.2 Konfiguration „Antivirus“ (Mobile-Threat-Defense-

Richtlinie für Android)

Mit der Konfiguration Antivirus verwalten Sie die Einstellungen von Sophos Intercept X for Mobile zum

Malware-Schutz.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in Sophos Intercept X for Mobile deaktiviert. Der Benutzer kann diese nicht ändern.

Sophos Mobile

Einstellung

Cloud-Scan-Modus

Häufigkeit geplanter Scans

System-Apps scannen

Speicher scannen

PUAs erkennen

Benutzer darf Apps erlauben

Beschreibung

Wählen Sie aus, wann Sophos Intercept X for

Mobile die neusten Malware-Informationen vom

Sophos-Server lädt.

Wählen Sie die Häufigkeit von Malware-Scans aus.

Wenn Sie Täglich beim Laden auswählen, wird ein Scan ausgeführt, wenn das Gerät länger als 30 Minuten an einer Stromquelle angeschlossen ist.

System-Apps werden gescannt.

System Apps werden standardmäßig nicht gescannt, da diese durch das Android-

Betriebssystem geschützt sind und nicht vom

Benutzer deinstalliert werden können.

Zusätzlich zum standardmäßigen Scan aller installierten Anwendungen werden alle Datei in folgenden Speicherbereichen auf Bedrohungen gescannt: Interner geteilter Speicher, SD-Karte, verbundene USB-Geräte.

Potenziell unerwünschte Anwendungen (PUAs) werden gescannt.

PUAs sind Apps, die zwar nicht schädlich sind, jedoch für Unternehmensnetzwerke als ungeeignet angesehen werden. Dazu gehören beispielsweise Adware, Dialer

(Einwahlprogramme), Systemmonitore, Remote-

Verwaltungs- und Hacking-Tools. Einige Apps, die unter PUAs fallen, können für manche

Benutzer jedoch hilfreich sein.

Benutzer können als PUA klassifizierte Apps erlauben. Bei nachfolgenden Scans werden erlaubte Apps ignoriert.

Einstellung

Modus

Scan-Benachrichtigungen

Speicher überwachen

App-Gruppe

Sophos Mobile

Beschreibung

Wählen Sie das Verhalten für Apps mit niedriger

Reputation aus:

Erlauben: Scannen nach Apps niedriger

Reputation deaktivieren.

Warnen: Eine Warnung am Gerät anzeigen, wenn eine App niedriger Reputation erkannt wurde. Die Benutzer können wählen, wie mit der App verfahren werden soll. Sie können sie zu einer Liste von erlaubten Apps hinzufügen, so dass keine weiteren Warnungen angezeigt werden, wenn diese App erkannt wird.

Blockieren: Benutzer können Apps mit niedriger Reputation nicht starten.

Sophos Intercept X for Mobile erzeugt eine

Benachrichtigung, wenn eine App nach der

Installation gescannt wird.

Wenn das Kontrollkästchen deaktiviert ist, werden keine Benachrichtigungen für saubere

Apps erzeugt.

Folgende Speicherbereiche werden auf

Änderungen überwacht: Interner geteilter

Speicher, SD-Karte, verbundene USB-Geräte.

Wenn neue Dateien in diesen Bereichen gespeichert werden, werden diese gescannt.

Wählen Sie eine Gruppe erlaubter Apps aus.

Apps aus dieser Gruppe werden nicht gescannt.

14.17.3 Konfiguration „Web Filtering“ (Mobile-Threat-Defense-

Richtlinie für Android)

Mit der Konfiguration Web Filtering verwalten Sie die Funktion Web Filtering von Sophos Intercept X for Mobile. Dies schützt die Gerätebenutzer vor Seiten mit schädlichem, unerwünschtem oder illegalem

Inhalt.

Warnung

Web Filtering blockiert alle Websites, wenn ein Gerät keine Verbindung zum Sophos-Website-

Klassifizierungsdienst https://4.sophosxl.net/lookup herstellen kann.

Einschränkung

Web Filtering funktioniert nicht mit Android-Enterprise-Geräten mit Arbeitsprofil. Dies liegt daran, dass für Web Filtering der Sophos Accessibility Service erforderlich ist, der nicht verfügbar ist, wenn Sophos Intercept X for Mobile im Arbeitsprofil installiert ist.

Sophos Mobile

Hinweis

Sie müssen außerdem die Compliance-Regel Intercept X for Mobile Berechtigungen dürfen

verweigert werden aktivieren. Andernfalls könnten Benutzer Web Filtering beenden, indem sie

Sophos Accessibility Service deaktivieren.

Tipp

Um das Filtern von Webseiten zu testen, können Sie die Sophos-Website sophostest.com

verwenden. Diese enthält Beispielseiten für alle Kategorien. Auch wenn einige der Seiten als potentiell offensiv oder gefährlich klassifiziert sind, ist der tatsächliche Seiteninhalt immer harmlos.

Wenn Sie Web Filtering aktivieren, blockiert Sophos Mobile grundsätzlich alle Webseiten, die als hochgradig verwerfliche kriminelle Aktivität kategorisiert sind, zum Beispiel Kinderpornographie. Um zu verhindern, dass andere Personen auf diese Seiten zugreifen, maskiert Sophos Mobile die URLs in Protokollen, Ereignissen und Berichten.

Einstellungen

Einstellung

Bösartige Webseiten filtern

Alarme erstellen

Webseiten nach Kategorien filtern

Website-Ausschlüsse

Beschreibung

Wählen Sie aus, ob Benutzer Webseiten mit schädlichem Inhalt besuchen können.

Wählen Sie aus, ob ein Alarm erzeugt wird, wenn der Benutzer versucht, auf eine gefilterte

Website zuzugreifen.

Sie können auswählen, ob Alarme nur für blockierte Seiten erstellt werden, oder auch für

Seiten, die nur eine Warnung auslösen.

Wählen Sie aus, auf welche Website-

Kategorien Benutzer zugreifen können.

Websites werden basierend auf Daten von

SophosLabs kategorisiert. Die Daten werden laufend aktualisiert.

Konfigurieren Sie Ausnahmen für die Kategorie-

Filter:

Erlaubte Domänen: Webseiten, die erlaubt sind, obwohl die zugehörige Kategorie blockiert wird.

Blockierte Domänen: Webseiten, die blockiert werden, obwohl die zugehörige Kategorie erlaubt ist.

Sophos Mobile

Website-Ausnahmen angeben

In Erlaubte Domänen und Blockierte Domänen können Sie pro Zeile eine der folgenden Angaben machen (ohne Trennzeichen):

• IPv4- oder IPv6-Adresse

203.0.113.0

2001:db8:85a3:0:0:8a2e:370:7334

• IPv4- oder IPv6-Subnetz

203.0.113.0/24

2001:db8::/32

• Domäne www.example.com

• Eine Wildcard-Domäne. Das Wildcard-Zeichen * muss das erste Zeichen sein.

*.example.com

*example.com

In Blockierte Domänen können Sie ein einzelnes Wildcard-Zeichen * eingeben, um alle Websites zu blockieren.

Filterlogik

Wenn Web Filtering bewertet, ob eine Website zugelassen oder gesperrt werden muss, haben „Ist erlaubt“-Regeln Vorrang vor „Ist verboten“-Regeln, und Regeln aus Richtlinien haben Vorrang vor benutzerdefinierten Regeln.

Filterregeln werden in der folgenden Reihenfolge angewendet:

1. Wenn die Website in Erlaubte Domänen enthalten ist, ist sie zulässig.

2. Wenn die Website in Blockierte Domänen enthalten ist, wird sie gesperrt.

3. Wenn der Benutzer die Website erlaubt hat, ist sie zulässig.

4. Wenn der Benutzer die Website verboten hat, wird sie gesperrt.

5. Wenn die Website zu einer verbotenen Kategorie gehört, wird sie gesperrt.

Unterstützte Browser

Web Filtering kann zusammen mit folgenden Webbrowsern verwendet werden:

• Android-Web-Browser

• Firefox

• Google Chrome

• Microsoft Edge

Andere Browser funktionieren möglicherweise auch, wurden aber nicht getestet.

Sophos Mobile

14.18 Konfigurationen für Android-Geräterichtlinien

Mit einer Android-Geräterichtlinie konfigurieren Sie Einstellungen für Android-Geräte, die bei Sophos

Mobile mit dem Verwaltungsmodus „Geräteadministrator“ registriert sind.

Google hat den Verwaltungsmodus „Geräteadministrator“ abgekündigt und reduziert seinen

Funktionsumfang. Wir empfehlen, stattdessen den Android-Enterprise-Verwaltungsmodus zu verwenden.

Zugehörige Konzepte

Konfigurationen für Android-Enterprise-Geräterichtlinien (Seite 120)

Mit einer Android-Enterprise-Geräterichtlinie konfigurieren Sie Einstellungen für vollständig verwaltete

Android-Enterprise-Geräte.

Konfigurationen für Richtlinien für Android-Enterprise-Arbeitsprofile

(Seite 137)

Mit einer Richtlinie für Android-Enterprise-Arbeitsprofile konfigurieren Sie Einstellungen für Geräte mit

Android-Enterprise-Arbeitsprofil.

Zugehörige Aufgaben

Verwaltungsmodus für Android festlegen (Seite 22)

Android-Geräte können Sie in einem der Modi Android Enterprise und Geräteadministrator

(Legacy-Feature) verwalten.

14.18.1 Konfiguration „Kennwortrichtlinien“ (Android-

Geräterichtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Kennwort für die

Displaysperre.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung

Muster, PIN oder Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Sophos Mobile

Einstellung

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Maximale Anmeldeversuche

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird das Gerät zurückgesetzt.

Sophos Mobile

Einstellung

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Biometrische Authentisierung

Einstellung

Fingerabdruck-Authentisierung erlauben

Iris-Authentisierung erlauben

Beschreibung

Falls vom Gerät unterstützt, kann der

Benutzer das Gerät mittels Fingerabdruck-

Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der

Benutzer das Gerät mittels Iris-Authentisierung entsperren.

14.18.2 Konfiguration „Einschränkungen“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Einschränkungen legen Sie Einschränkungen für Geräte fest.

Sophos Mobile

Sicherheit

Einstellung

Verschlüsselung erzwingen

Verschlüsselung von SD-Karten erzwingen

Beschreibung

Benutzer müssen ihre Geräte verschlüsseln.

Wenn die Richtlinie einem Gerät zugewiesen ist, muss der Benutzer die SD-Karte verschlüsseln.

Hinweis

Bei manchen Geräten kann der

Benutzer den Verschlüsselungsvorgang abbrechen. In diesem Fall wird er beim nächsten Einbinden der SD-Karte erneut aufgefordert.

Schnellverschlüsselung erlauben

Auf Werkseinstellungen zurücksetzen erlauben

Entwickleroptionen erlauben

Safe-Modus erlauben

USB-Debugging erlauben

Firmware-Wiederherstellung erlauben

Sicherung erlauben

Benutzer können in den Geräte-Einstellungen die Optionen zur Schnellverschlüsselung

ändern.

Benutzer können das Gerät auf

Werkseinstellungen zurücksetzen.

Benutzer können die Entwickleroptionen

ändern.

Benutzer können das Gerät im Safe-Modus starten.

Benutzer können USB-Debugging aktivieren.

Hinweis

Für Sony-Geräte mit Enterprise API Level 9 oder neuer gilt: Wenn das Kontrollkästchen

USB-Debugging erlauben deaktiviert ist, sind keine Entwickleroptionen verfügbar.

Alle Arten von Firmware-Updates (wie Over-

The-Air, Download etc.) sind erlaubt.

Benutzer können Systemsicherungen erstellen.

Wenn das Kontrollkästchen deaktiviert ist, ist

Google Backup deaktiviert. Andere Backup-

Methoden (zum Beispiel Backups durch Sophos

Mobile) sind weiterhin verfügbar.

Sophos Mobile

Einstellung

Einstellungen ändern erlauben

Zwischenablage erlauben

Gemeinsame Zwischenablage aktivieren

Screenshot erlauben

Simulierte Standorte erlauben

Over-The-Air Firmware-Aktualisierung erlauben

Audioaufnahmen erlauben

Videoaufnahmen erlauben

Aktivierungssperre erlauben

S Beam erlauben

S Voice erlauben

„Teilen über“ erlauben

Beschreibung

Benutzer können Geräte-Einstellungen ändern.

Hinweis

Sie müssen dies für Samsung-Geräte aktivieren, auf denen Sie einen Knox-Container konfigurieren wollen.

Das Kopieren von Inhalten in die

Zwischenablage ist nicht eingeschränkt.

Benutzer können Inhalte aus einer App kopieren und in eine andere App einfügen.

Wenn das Kontrollkästchen deaktiviert ist, verwendet jede App eine eigene

Zwischenablage.

Diese Einstellung ist nur verfügbar, wenn Sie

Zwischenablage erlauben aktivieren.

Benutzer können Screenshots machen.

Benutzer können in den Android-

Entwickleroptionen eine Pseudo-Standort-App auswählen.

Firmware-Aktualisierungen „Over-the-Air“ sind erlaubt.

Benutzer können Tonaufnahmen machen.

Benutzer können Videos aufnehmen.

Wenn das Kontrollkästchen deaktiviert ist, sind

Fotoaufnahmen und das Abspielen von Videos weiterhin erlaubt.

Benutzer können in den Geräte-Einstellungen die Optionen zur Aktivierungssperre ändern.

Benutzer können die Samsung-App „S Beam“ starten.

Benutzer können die Samsung-App „S Voice“ starten.

Die Funktion Teilen über ist verfügbar.

Sophos Mobile

Konten

Einstellung

Mehrere Benutzerkonten erlauben

Hinzufügen von E-Mail-Konten erlauben

Entfernen des Google-Kontos erlauben

Auto-Sync für Google-Konten erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann auf den Geräten nur ein einzelnes

Benutzerkonto eingerichtet werden. Benutzer oder andere Apps können keine weiteren

Benutzerkonten erstellen.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer keine E-Mail-Konten hinzufügen.

Dies betrifft nicht das Erstellen von Konten über eine Geräterichtlinie.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer nicht das Google-Konto von ihren Geräten entfernen.

Wenn das Kontrollkästchen deaktiviert ist, werden Google-Konten nicht automatisch synchronisiert. Benutzer können aber weiterhin eine manuelle Synchronisierung durchführen, zum Beispiel über die App Gmail.

Netzwerk und Kommunikation

Einstellung

Flugmodus erlauben

Synchronisierung bei Roaming erlauben

Nur Notrufe erlauben

Bei Roaming nur manuell synchronisieren

Mobile Datenverbindung erzwingen

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer nicht den Flugmodus aktivieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die Synchronisierung bei Mobilfunk-Roaming deaktiviert.

Es sind nur Notrufe möglich. Sonstige Anrufe werden gesperrt.

Bei Roaming ist die automatische

Datensynchronisierung deaktiviert. Dies gilt für alle eingerichteten Konten, wie zum Beispiel

Google oder Exchange.

Benutzer können mobile Datenverbindungen nicht deaktivieren.

Sophos Mobile

Einstellung

SMS erlauben

Datenverbindungen bei Roaming erlauben

Sprachanrufe bei Roaming erlauben

Mobildatenlimit für Benutzer erlauben

VPN erlauben

Wi-Fi Direct erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer keine SMS senden.

Wenn das Kontrollkästchen deaktiviert ist, sind bei Roaming keine mobilen Datenverbindungen möglich.

Wenn das Kontrollkästchen deaktiviert ist, sind bei Roaming keine Sprachanrufe möglich.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer kein Limit für mobile Daten einstellen.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer keine VPN-Verbindungen verwenden.

Wenn das Kontrollkästchen deaktiviert ist, ist keine Datenübertragung über „Wi-Fi Direct“ möglich.

Android Beam erlauben

Miracast-Richtlinie erlauben

Bluetooth erlauben

Advanced Audio Distribution Profile (A2DP) erlauben

Audio/Video Remote Control Profile

(AVRCP) erlauben

Hands-Free Profile (HFP) erlauben

Headset Profile (HSP) erlauben

Phone Book Access Profile (PBAP) erlauben

Serial Port Profile (SPP) erlauben

NFC erlauben

WLAN erlauben

Wenn das Kontrollkästchen deaktiviert ist, ist keine Datenübertragung über „Android Beam“ möglich. Dies betrifft auch die Samsung-App „S

Beam“.

Wenn das Kontrollkästchen deaktiviert ist, ist keine Datenübertragung über Miracast möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist

Bluetooth deaktiviert.

Um einzelne Bluetooth-Profile zu erlauben, aktivieren Sie Bluetooth erlauben und wählen

Sie anschließend die Profile aus, die Sie erlauben wollen.

Wenn Bluetooth erlauben deaktiviert ist, haben die Einstellungen keine Wirkung, d.h. alle

Profile sind verboten.

Wenn das Kontrollkästchen deaktiviert ist, ist

NFC (Near-Field Communication) deaktiviert.

Wenn das Kontrollkästchen deaktiviert ist, sind keine WLAN-Verbindungen möglich.

Sophos Mobile

Tethering

Einstellung

Tethering erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist kein Tethering möglich. Dies beinhaltet

Tethering über WLAN, USB und Bluetooth.

Hinweis

Wenn das Kontrollkästchen deaktiviert ist, haben die Einstellungen WLAN-Tethering

erlauben, USB-Tethering erlauben und

Bluetooth-Tethering erlauben keine

Wirkung.

WLAN-Tethering erlauben

USB-Tethering erlauben

Wenn das Kontrollkästchen deaktiviert ist, ist kein WLAN-Tethering (WLAN-Hotspot) möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist kein USB-Tethering möglich.

Bluetooth-Tethering erlauben Wenn das Kontrollkästchen deaktiviert ist, ist kein Bluetooth-Tethering möglich.

Konfigurieren von WLAN-Tethering erlauben Der Benutzer kann die Einstellungen des

WLAN-Hotspots konfigurieren.

Hardware

Einstellung

Kamera erlauben

Kamera auf Sperrbildschirm erlauben

GPS für Standortabfragen erzwingen

SD-Karte erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die Kamera nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist die Kamera bei aktiver Displaysperre nicht verfügbar.

Um bei aktiviertem Sperrbildschirm die Kamera zu erlauben, müssen Sie zusätzlich die Option

Kamera erlauben auswählen.

Für Standortabfragen werden GPS-

Informationen verwendet.

Wenn das Kontrollkästchen deaktiviert ist, können in den Geräten keine SD-Karten verwendet werden.

Sophos Mobile

Einstellung

Verschieben von Apps auf SD-Karte erlauben

Schreiben auf unverschlüsselte SD-Karte erlauben

Mikrofon erlauben

USB erlauben

USB-Media-Player erlauben

Stromsparmodus erlauben

USB-Host-Modus erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer keine Apps vom internen

Speicher auf die SD-Karte verschieben.

Wenn das Kontrollkästchen deaktiviert ist, kann nicht auf eine unverschlüsselte SD-Karte geschrieben werden.

Wenn das Kontrollkästchen deaktiviert ist, ist das Mikrofon nicht verfügbar.

USB-Speichermodus und USB-Mediendaten-

Modus (MTP) sind auf den Geräten verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist das MTPO (Media Transfer Protocol) nicht verfügbar. Da Android MTP für die

Datenübertragung per USB verwendet, ist auch keine Datenübertragungen per USB möglich.

Wenn das Kontrollkästchen deaktiviert ist, wechselt das Gerät nicht in den

Stromsparmodus.

Alle externen Speichermedien, die der Benutzer anschließt, werden gemountet. Dies beinhaltet portable USB-Speichermedien, externe

Festplatten und SD-Kartenleser.

Wenn das Kontrollkästchen deaktiviert ist, werden externe Speichermedien nicht gemountet.

Anwendungen

Einstellung

Installation von Apps erlauben

Deinstallation von Apps erlauben

Installation unsignierter Apps erlauben

Play Store erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer keine Apps installieren.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer keine Apps deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer nur signierte APK-Dateien installieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die App Google Play Store nicht verfügbar.

Sophos Mobile

Einstellung

Apps aus unbekannten Quellen erlauben

Nativen Browser erlauben

App-Absturzberichte erlauben

Hintergrundbild-Wechsel erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer Apps nur über die App Google

Play Store installieren.

Wenn das Kontrollkästchen deaktiviert ist, ist der native Browser nicht verfügbar. Browser-

Apps von Drittanbietern sind nicht betroffen.

Wenn das Kontrollkästchen deaktiviert ist, können Apps keine Absturzberichte senden.

Wenn das Kontrollkästchen deaktiviert ist, können Benutzer nicht den Display-Hintergrund

ändern.

Anruferinfo anzeigen Wenn das Kontrollkästchen deaktiviert ist, werden bei eingehenden Anrufen keine

Anruferinformationen angezeigt. Alle Anrufer werden als „unbekannt“ angezeigt.

Autovervollständigung im Browser erlauben Der Benutzer kann für den nativen Browser die Autovervollständigung aktivieren. Wenn die Autovervollständigung aktiviert ist, können

Webseiten Vorschläge für das Ausfüllen von

Formularen machen.

Wenn das Kontrollkästchen deaktiviert ist, ist die Autovervollständigung deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.

Cookies im Browser erlauben

JavaScript im Browser erlauben

Der Benutzer kann für den nativen Browser

Cookies aktivieren. Wenn Cookies aktiviert sind, können Webseiten Cookies auf dem Gerät speichern.

Wenn das Kontrollkästchen deaktiviert ist, sind

Cookies deaktiviert und die entsprechende

Browser-Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser

JavaScript aktivieren. Wenn JavaScript aktiviert ist, können Webseiten JavaScript-Code auf dem

Gerät ausführen.

Wenn das Kontrollkästchen deaktiviert ist, ist

JavaScript deaktiviert und die entsprechende

Browser-Einstellung ist nicht verfügbar.

Sophos Mobile

Einstellung

Popups im Browser erlauben

Ändern von Datums- und Zeiteinstellungen erlauben

Filterungsart

Beschreibung

Der Benutzer kann für den nativen Browser

Popups aktivieren. Wenn Popups aktiviert sind, können Webseiten neue Browserfenster öffnen.

Wenn das Kontrollkästchen deaktiviert ist, sind

Popups deaktiviert und die entsprechende

Browser-Einstellung ist nicht verfügbar.

Der Benutzer kann Datums- und

Zeiteinstellungen ändern.

Wählen Sie entweder Erlaubte Apps oder

Verbotene Apps aus, und wählen Sie dann die

App-Gruppe mit den Apps aus, die Sie zulassen oder verbieten wollen.

Anwendungen, die Sie mit Sophos Mobile installieren, sind durch diese Einstellung nicht eingeschränkt.

14.18.3 Konfiguration „Knox-Premium-

Einschränkungen“ (Android-Geräterichtlinie)

Mit der Konfiguration Knox-Premium-Einschränkungen definieren Sie Einschränkungen für

Samsung-Knox-Geräte. Diese Einschränkungen gelten für das Gerät, nicht für den Knox-Container.

Hinweis

Damit die Knox-Premium-Einschränkungen durchgesetzt werden können, müssen Sie in Sophos

Mobile eine Lizenz vom Typ Samsung Knox Premium registrieren.

Option

Optionen für automatische Firmware-

Updates erlauben

ODE-Trusted-Boot-Verifizierung aktivieren

Installation einer anderen Administrations-

App verhindern

Beschreibung

Das Gerät prüft automatisch, ob Firmware-

Updates verfügbar sind. Benutzer können dies nicht in den Geräteeinstellungen ändern.

Beim Starten des Gerätes wird die

Datenpartition nur entschlüsselt, wenn

Binary und Kernel offizielle Versionen des

Geräteherstellers sind, d.h., wenn das Gerät nicht gerootet ist.

Wenn das Kontrollkästchen deaktiviert ist, wird beim Starten die Datenpartition immer entschlüsselt.

Es können keine Apps installiert werden, die

Geräteadministrator-Rechte benötigen. Dies betrifft nicht die Apps, die von Sophos Mobile installiert werden.

Sophos Mobile

Option

Aktivierung einer anderen Administrations-

App verhindern

Common-Criteria-Modus erlauben

Beschreibung

Geräteadministrator-Rechte für Apps können nicht aktiviert werden.

Auf den Geräten wird der Common-Criteria-

Modus (CC Mode) aktiviert. Dies stellt sicher, dass die Geräte die im Mobile Device

Fundamentals Protection Profile (MDFPP) festgelegten Sicherheitseinstellungen erfüllen.

Hinweis: Der CC Mode wird nur angewendet, wenn zusätzlich folgende Bedingungen erfüllt sind:

• Die Geräteverschlüsselung ist aktiviert.

• Die Schnellverschlüsselung ist deaktiviert.

• Die Verschlüsselung des externen Speichers ist aktiviert.

• Die Anzahl fehlerhafter Anmeldeversuche, nach der das Gerät zurückgesetzt wird, ist festgelegt.

• Der Zertifikat-Widerruf ist aktiviert.

• Kennworthistorie (d.h., Verwendung desselben

Kennworts nach Ablauf der Gültigkeit) ist deaktiviert.

14.18.4 Konfiguration „Exchange-Konto“ (Android-

Geräterichtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server Mail-Server ein.

Einstellung

Kontoname

Exchange-Server

Domäne

Benutzer

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-Proxy-

Servers ein.

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Sophos Mobile

Einstellung

E-Mail-Adresse

Absender

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Standardkonto

Alle Zertifikate erlauben

Client-Zertifikat

E-Mail-Weiterleitung erlauben

HTML-Format erlauben

Max. Größe von Anhängen in MB

Inhalte

186

Beschreibung

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Das Konto wird als Standard-E-Mail-Konto verwendet.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

E-Mail-Weiterleitung erlauben.

E-Mails im HTML-Format sind zugelassen.

Die maximale Größe einer einzelnen E-Mail-

Nachricht.

Die zu synchronisierenden Inhalte.

Sophos Mobile

Hinweis

Auf Geräten mit LG GATE, Samsung Knox oder Sony Enterprise API wird die E-Mail-App automatisch konfiguriert. Auf anderen Geräten werden die Benutzer durch eine Nachricht aufgefordert, die E-Mail-App zu konfigurieren. Die Konfigurationsdetails stehen in der App Sophos

Mobile Control zur Verfügung.

Hinweis

Bei Sony-Geräten mit Enterprise API Level 6.x oder älter muss die Benutzerinformation des

Exchange-Kontos mit dem Benutzer übereinstimmen, der dem Gerät zugewiesen ist.

Auf diesen Geräten ist die App Sophos Mobile Control nicht in der Lage, die ActiveSync-ID an den Sophos Mobile Server zu schicken. Wenn das Gerät zum ersten Mal eine Anfrage an den

EAS-Proxy sendet, kennt Sophos Mobile nicht die vom E-Mail-Client übermittelte ActiveSync-ID.

Um die Benutzerdaten zu verifizieren, sucht der EAS-Proxy nach einem Gerät mit unbekannter

ActiveSync-ID, dem ein Benutzer zugewiesen ist, der mit dem vom E-Mail-Client übermittelten

Benutzer übereinstimmt. Wird ein solches Gerät gefunden, wird ihm die ActiveSync-ID zugewiesen und die E-Mail-Anforderung wird an den Exchange-Server weitergeleitet. Andernfalls wird die

Anforderung abgewiesen.

Weitere Informationen finden Sie im Sophos Knowledge-Base-Artikel 121360 .

14.18.5 Konfiguration „WLAN“ (Android-Geräterichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung

SSID

Sicherheitstyp

Phase-2-Authorisierung

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp der WLAN-Verbindung:

• Ohne

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• Ohne

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Sophos Mobile

Einstellung

Identität

Anonyme Identität

Kennwort

Identitätszertifikat

Vertrauenswürdiges Zertifikat

Proxy-Host

Proxy-Port

Beschreibung

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Der Name oder die IP-Adresse eines Proxy-

Servers für die WLAN-Verbindung.

Die Portnummer des Proxy-Servers.

14.18.6 Konfiguration „App Protection“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps zu schützen.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Sophos Mobile Self Service Portal zurücksetzen.

Einstellung

Komplexität des Kennworts

Gültigkeitsdauer in Minuten

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Sophos Mobile

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

14.18.7 Konfiguration „App Control“ (Android-Geräterichtlinie)

Einstellung

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen finden Sie in