Sophos Mobile ist die EMM-Lösung für Unternehmen, die mobile Geräte einfacher und zeitsparender verwalten und schützen möchten. Mobile Geräte können gemeinsam mit Endpoint-,

Netzwerk- oder Server-Security über die benutzerfreundliche, webbasierte und zentrale Admin-

Oberfläche von Sophos Central verwaltet werden. Sichere Container-Anwendungen und

Unterstützung von mobiler Betriebssystem-Containerisierung in iOS, Android Enterprise und

Samsung Knox sorgen dafür, dass Unternehmensdaten von privaten Daten auf dem Gerät getrennt bleiben.

Mit branchenführendem Datenschutz, umfassender Sicherheit, erstklassigem Preis-Leistungs-

Verhältnis und flexiblen Verwaltungsoptionen bietet Sophos Mobile die optimalen Voraussetzungen für den sicheren Einsatz mobiler Geräte in Unternehmen: Benutzer bleiben produktiv,

Geschäftsdaten sicher und persönliche Daten privat.

Sophos Mobile Security

Sophos Mobile Security schützt Ihre Android-Geräte, ohne die Performance oder Akkulaufzeit zu beeinträchtigen. Sophos Mobile Security basiert auf leistungsstarker Anti-Malware-Technologie von

Sophos und bietet neben preisgekröntem Malware- und Virenschutz auch Erkennungsfunktionen für unerwünschte Apps, Privacy und Security Advisors, Schutz vor Verlust und Diebstahl, Web

Protection u.v.m.

Sophos Secure Workspace

Sophos Secure Workspace ist eine Container-basierte Mobile-Content-Management-App für iOS und Android, die eine sicheres und effizientes Schützen, Verwalten und Verteilen von

Geschäftsdokumenten und Web-Inhalten ermöglicht. Bearbeiten Sie Dokumente im Office-Format direkt in der Container-Umgebung – so bleiben verschlüsselte Inhalte sicher. Anti-Phishing-

Technologie schützt Benutzer vor Schadlinks in Dokumenten und Inhalten.

Bei einer Verwaltung durch Sophos Mobile können Administratoren mit Compliance-Regeln auf einfache Weise den Zugriff von Geräten auf Inhalte einschränken. In Kombination mit Sophos

SafeGuard Encryption ermöglicht Sophos Secure Workspace einen nahtlosen Austausch verschlüsselter Dateien zwischen Windows-, macOS-, iOS- und Android-Usern – sowohl bei lokaler

Speicherung als auch Speicherung in der Cloud.

Sophos Secure Email

Sophos Secure Email ist eine funktionsstarke, sichere Container-E-Mail- App für Android und iOS, mit der Sie bei einer Verwaltung durch Sophos Mobile geschäftliche E-Mails, Kalender und Kontakte von privaten Daten auf dem mobilen Gerät trennen können. Alle Unternehmensdaten sind mittels

AES-256-Verschlüsselung geschützt und der Zugriff kann auf Grundlage von Geräte-Compliance-

Regeln einfach gesperrt werden. Mit Sophos Secure Email kann die IT außerdem geschäftliche E-

Mails sicher und einheitlich auf verschiedenen Geräten und Betriebssystem-Varianten bereitstellen.

Sophos Mobile

3 Über Sophos Mobile Admin

Sophos Mobile Admin ist das zentrale Instrument für die Geräteverwaltung mit Sophos Mobile. Es ist die Web-Schnittstelle für den für die Geräteverwaltung benutzten Server. Mit der Web-Konsole können Sie eine unternehmensweite Richtlinie für die Gerätenutzung implementieren und sie auf die bei Sophos Mobile registrierten Geräte anwenden.

In Sophos Mobile Admin können Sie:

• Das System konfigurieren, zum Beispiel persönliche oder plattformspezifische Einstellungen.

• Compliance-Richtlinien konfigurieren und Aktionen festlegen, die ausgeführt werden, wenn Geräte

nicht mehr den festgelegten Regeln entsprechen. Siehe Compliance-Richtlinien (Seite 36).

• Geräte bei Sophos Mobile registrieren. Siehe

Geräte hinzufügen (Seite 45).

•

Neue Geräte provisionieren. Siehe Geräte registrieren

(Seite 47).

• Apps auf registrierten Geräten installieren. Siehe

Apps (Seite 308).

•

Sicherheitsrichtlinien für Geräte definieren. Siehe Profile und Richtlinien

(Seite 103).

• Auftragspakete zum Bündeln mehrerer Aufgaben erstellen und sie in einem Arbeitsschritt auf

Geräte übertragen. Siehe Auftragspakete

(Seite 296).

•

Einstellungen für das Self Service Portal konfigurieren. Siehe Self Service Portal konfigurieren

(Seite 30).

• Administrative Aufgaben bei Geräten ausführen, zum Beispiel das Kennwort für Geräte zurücksetzen, Geräte bei Verlust oder Diebstahl sperren oder zurücksetzen, Geräte deregistrieren.

Siehe

Geräte verwalten (Seite 57).

•

Berichte erstellen und anzeigen. Siehe Berichte

(Seite 8).

3.1 Seite „Übersicht“

Hinweis

Dieser Abschnitt beschreibt die Seite Übersicht für reguläre Administratoren. Beim

Superadministrator wird die Seite Übersicht für die Verwaltung von Kunden verwendet. Siehe das

Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Die konfigurierbare Seite Übersicht ist die Startansicht von Sophos Mobile. Die Seite erlaubt einen schnellen Überblick auf die wichtigsten Informationen. Es enthält mehrere Widgets, die

Informationen liefern über:

• Geräte, alle oder nach Gruppen unterteilt

• Compliance-Status nach Plattform oder für alle Geräte

• Verwaltungsstatus nach Plattform oder für alle Geräte

• SSP-Registrierungsstatus

• Plattformversionen

Sie können Geräte auch auf der Seite „Übersicht“ hinzufügen. Siehe

Den Assistenten Gerät hinzufügen verwenden

(Seite 49).

Sie können die Seite Übersicht auf folgende Arten anpassen:

Sophos Mobile

• Um ein Widget hinzuzufügen, klicken Sie auf Widget hinzufügen.

• Um ein Widget zu entfernen, klicken Sie auf die Schaltfläche Schließen in der Titelleiste des

Widgets.

• Um die Seite auf das Standardlayout zurückzusetzen, klicken Sie auf Standard-Layout

wiederherstellen.

• Um die Position der Widgets auf der Seite zu ändern, ziehen Sie die Titelleiste eines Widgets.

3.2 Tabellen-Ansichten

Auf vielen Seiten in Sophos Mobile Admin werden die Informationen in Tabellenform dargestellt.

Diese Tabellen haben einheitliche, interaktive Bedienelemente.

Oberhalb der Tabelle:

• Verwenden Sie das Symbol Spalten ein- oder ausblenden, um die Sichtbarkeit einzelner

Tabellenspalten zu konfigurieren.

• Geben Sie im Feld Alle Felder durchsuchen einen Text ein, um nur Zeilen anzuzeigen, die diesen Text (in einer beliebigen Spalte) enthalten.

Innerhalb der Tabelle:

• Klicken Sie auf eine Spaltenüberschrift, um die Tabellenzeilen nach dieser Eigenschaft zu sortieren. Klicken Sie erneut, um die Sortierreihenfolge umzukehren.

• Klicken Sie auf einen Eintrag, um die Standardaktion auszuführen (üblicherweise Bearbeiten).

• Klicken Sie auf das blaue Dreieck neben einem Eintrag, um weitere Aktionen auszuführen.

Unterhalb der Tabelle:

• Verwenden Sie die Navigationsschaltflächen, um eine bestimmte Tabellenseite anzuzeigen.

• Verwenden Sie das Symbol Export, um entweder die gesamte Tabelle oder die aktuell angezeigte Tabellenseite als Microsoft-Excel-Datei oder als CSV-Datei zu exportieren. Wenn ein

Filter aktiv ist, werden nur die aktuell sichtbaren Zeilen exportiert.

3.3 Voraussetzungen

Voraussetzungen, um Sophos Mobile Admin zu verwenden:

• Sie benötigen einen mit dem Internet verbundenen Computer mit einem Web-Browser.

Informationen zu den unterstützten Browsern und den relevanten Versionen finden Sie im

Dokument Sophos Mobile Versionshinweise.

• Der Superadministrator hat einen Kunden (Mandant) angelegt, dessen Geräte in Sophos

Mobile verwaltet werden. Weitere Informationen finden Sie im Dokument Sophos Mobile

Superadministrator-Anleitung (englisch) .

Hinweis

Für Sophos Mobile as a Service gibt es einen vordefinierten Kunden. Für Sophos Mobile as a

Service gibt es keinen Superadministrator.

• Sie benötigen ein Benutzerkonto in Sophos Mobile und die Anmeldeinformationen für Sophos

Mobile Admin. Die Anmeldeinformationen bestehen aus Kunde, Benutzer und Kennwort.

Sophos Mobile

3.4 Benutzerrollen

In Sophos Mobile haben Administratoren unterschiedliche Rollen. Die Rolle beeinflusst, welche

Aktionen ein Administrator ausführen kann.

Folgende Rollen sind verfügbar:

Rolle

Administrator

Limited Administrator

Reports

Content admin

Helpdesk

Read-only

App Group Administrator

Duo API

Beschreibung

Diese Rolle kann alle verfügbaren Aktionen ausführen.

Diese Rolle kann Geräte registrieren und verwalten. Es können aber keine grundlegenden Einstellungen geändert oder andere Administratoren verwaltet werden.

Diese Rolle kann die Geräteliste anzeigen und kann Berichte erstellen. Verwenden Sie diese Rolle zum Beispiel für einen

Auditor oder einen Mitarbeiter, der die Einstellungen von

Sophos Mobile dokumentieren muss.

Diese Rolle ist für Mitarbeiter geeignet, die Dokumente hochladen, aktualisieren oder löschen müssen. Diese

Rolle wird üblicherweise Personen außerhalb der IT-

Abteilung zugewiesen. Die Rechte sind so gesetzt, dass die

Einsichtsmöglichkeiten eingeschränkt sind und nur der Zugriff auf das Menü Dokumente möglich ist.

Diese Rolle kann Support-Aufgaben ausführen, wie z.B.

Geräte registrieren oder Apps installieren. Diese Rolle hat keinen Zugriff auf kritische Funktionen, wie die Definition von

Einstellungen und das Erstellen, Löschen oder Bearbeiten von

Geräten/Gerätegruppen, Paketen und Richtlinien.

Diese Rolle hat lesenden Zugriff auf alle Einstellungen, auf welche die Rolle „Administrator“ Zugriff hat.

Diese Rolle kann App-Gruppen verwalten. Ein typischer

Anwender ist ein Administrator, der auf die Webservice-

Schnittstelle von Sophos Mobile zugreift, um App-Gruppen zu erstellen, zu aktualisieren oder zu lesen.

Diese Rolle wird für die Integration mit der Authentisierungs-

Software Duo Security benötigt. Administratoren mit der Rolle

Duo API können auf die Webservice-Schnittstelle von Sophos

Mobile zugreifen, um Informationen zum Verwaltungsstatus von Geräten abzurufen.

Siehe

Integration von Duo Security

(Seite 90).

Sophos Mobile

Tipp

Ihre Produktinstallation von Sophos Mobile enthält das Werkzeug „Role Editor“. Mit dem

Role Editor können Sie auf einfache Weise vorhandene Rollen bearbeiten oder Ihre eigenen maßgeschneiderten Rollen erstellen. Der Role Editor befindet sich im Verzeichnis %MDM_HOME

%\tools\Wizard , dabei ist %MDM_HOME% das Installationsverzeichnis von Sophos Mobile.

Informationen zur Verwendung des Role Editor finden Sie im Sophos Knowledge-Base-Artikel

122066 , oder wenden Sie sich an den Sophos Support.

Zugehörige Aufgaben

Administratoren erstellen

(Seite 370)

3.5 Kennwort ändern

Sie können nach der Anmeldung an Sophos Mobile Admin Ihr Kennwort jederzeit ändern:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Kennwort ändern.

2. Geben Sie das alte Kennwort sowie ein neues Kennwort ein und bestätigen Sie das neue

Kennwort.

3. Klicken Sie auf Speichern.

3.6 Kennwort wiederherstellen

Falls Sie Ihr Kennwort für Sophos Mobile Admin vergessen haben, können Sie es zurücksetzen.

1. Klicken Sie im Dialogfeld Einloggen von Sophos Mobile Admin auf Kennwort vergessen?

Das Dialogfeld Kennwort zurücksetzen wird angezeigt.

2. Geben Sie Ihre Kontoinformationen ein und klicken Sie auf Kennwort zurücksetzen.

Sie erhalten eine E-Mail mit einem Link zum Zurücksetzen Ihres Kennworts.

3. Klicken Sie auf den Link.

Das Dialogfeld Kennwort ändern wird angezeigt.

4. Geben Sie ein neues Kennwort ein, bestätigen Sie es und klicken Sie auf Kennwort ändern.

Ihr Kennwort wird geändert und Sie werden an Sophos Mobile Admin angemeldet.

Sophos Mobile

4 Wichtige Schritte für die

Geräteverwaltung mit Sophos Mobile

Abhängig von den für Ihr Unternehmen relevanten Gerätetypen, Sicherheitsrichtlinien und spezifischen Anforderungen bietet Sophos Mobile eine breite Palette von Management-Funktionen.

Die wichtigsten Schritte für die Geräteverwaltung mit Sophos Mobile sind:

• Compliance-Richtlinien für Geräte konfigurieren. Siehe

Compliance-Richtlinien

(Seite 36).

•

Erstellen Sie Gerätegruppen. Siehe Gerätegruppen erstellen (Seite 93).

Gerätegruppen dienen zur Kategorisierung von Geräten. Wir empfehlen, Geräte zu gruppieren.

Da sich Aufträge auch für Gerätegruppen statt für Einzelgeräte ausführen lassen, können Sie

Geräte so effizient verwalten.

• Geräte registrieren und provisionieren. Siehe

Geräte hinzufügen

(Seite 45) und

Geräte registrieren

(Seite 47).

Geräte können entweder von Administratoren in Sophos Mobile Admin, oder von

Gerätebenutzern im Self Service Portal registriert und provisioniert werden.

• Richtlinien für Geräte einrichten. Siehe

Profile und Richtlinien

(Seite 103).

• Auftragspakete erstellen. Siehe

Auftragspakete (Seite 296).

• Verfügbare Funktionen für das Self Service Portal konfigurieren. Siehe

Self Service Portal konfigurieren (Seite 30).

• Neue oder aktualisierte Richtlinien auf registrierte Geräte anwenden.

Sophos Mobile

5 Berichte

Sie können Berichte über die von Sophos Mobile verwalteten Objekte erstellen.

1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Berichte, und anschließend auf den

Namen des gewünschten Berichts.

2. Klicken Sie im Dialog Format auswählen auf eines der verfügbaren Symbole, um das

Ausgabeformat auszuwählen:

•

Klicken Sie auf , um den Bericht als Microsoft-Excel-Datei zu exportieren.

•

Klicken Sie auf , um den Bericht als CSV-Datei zu exportieren.

Der Bericht wird auf Ihrem Computer gespeichert.

Sophos Mobile

6 Aufträge

Die Seite Auftragsstatus enthält eine Übersicht der von Ihnen erstellten oder gestarteten Aufträge mit ihrem aktuellen Status.

Sie können alle Ihre Aufträge überwachen und bei Problemen eingreifen. Sie können beispielsweise einen Auftrag löschen, der nicht abgeschlossen werden kann, aber das Gerät blockiert.

Um einen Auftrag zu löschen, klicken Sie auf das Löschen-Symbol neben dem Auftrag.

Sie können Aufträge nach Typ und Status filtern, und sie nach Gerätenamen, Paketnamen, Ersteller und Auftragsdatum sortieren.

6.1 Aufträge überwachen

In Sophos Mobile Admin können Sie alle vorhandenen Aufträge für Geräte überwachen.

• Die Seite Aufträge zeigt alle noch nicht abgeschlossenen und fehlgeschlagenen Aufträge sowie die abgeschlossenen Aufträge der letzten Tage an. Die Seite Auftragsstatus wird automatisch aktualisiert. Sie können somit den Fortschritt der Aufträge verfolgen.

• Die Seite Auftragsdetails zeigt allgemeine Informationen zu einem Auftrag aus der Seite

Aufträge oder der Seite Auftragsarchiv.

• Die Seite Auftragsarchiv zeigt alle Aufträge.

6.1.1 Nicht abgeschlossene, fehlgeschlagene und kürzlich abgeschlossene Aufträge anzeigen

1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Aufträge.

2. Die Spalte Status auf der Seite Auftragsansicht zeigt den Auftragsstatus an, zum Beispiel

Endgültig fehlgeschlagen.

3. Im Feld Aktualisierungsintervall (in Sek.) können Sie auswählen, wie oft die Seite

Auftragsstatus aktualisiert werden soll.

4. Um weitere Details zu einem Auftrag einzusehen, klicken Sie auf das Anzeigen Lupensymbol neben den gewünschten Auftrag.

Die Seite Auftragsdetails wird angezeigt. Neben allgemeinen Informationen zum Auftrag (zum

Beispiel Gerätename, Paketname, Ersteller) zeigt diese Ansicht die Status, die ein bestimmter

Auftrag durchlaufen hat, inklusive Zeitstempel und Fehlercodes. Wenn Kommandos vom Gerät auszuführen sind, wird auf der Seite Auftragsdetails zusätzlich eine Schaltfläche Details angezeigt.

5. Falls verfügbar, klicken Sie auf Details, um die vom Gerät auszuführenden Kommandos anzuzeigen.

Der Fehlercode 0 bedeutet, dass kein Fehler aufgetreten ist. Ist ein Kommando fehlgeschlagen, so wird der entsprechende Fehlercode angezeigt. Meistens werden auch Informationen dazu angezeigt, was den Fehlschlag verursacht haben könnte.

6. Um zur Seite Auftragsdetails zurückzukehren, klicken Sie auf Zurück.

Sophos Mobile

6.1.2 Auftragsarchiv anzeigen

1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Aufträge.

2. Klicken Sie auf der Seite Auftragsstatus auf Auftragsarchiv.

Die Seite Auftragsarchiv wird angezeigt. Sie zeigt alle abgeschlossenen und fehlgeschlagenen

Aufträge im System.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Klicken Sie auf Neu laden, um die Seite Auftragsarchiv zu aktualisieren.

• Löschen Sie einen Auftrag aus dem Archiv , indem Sie auf das Löschen-Symbol neben dem relevanten Auftrag klicken.

• Wählen Sie mehrere Aufträge aus und klicken Sie auf Gewählte löschen, um sie aus dem

Archiv zu löschen.

Um zur Seite Auftragsstatus zurückzugehen, klicken Sie in der Menüleiste auf Aufträge.

6.1.3 Auftragsstatus

Die folgende Tabelle bietet einen Überblick der Auftragsstatus, die auf den Seiten Auftragsstatus und Auftragsarchiv angezeigt werden.

Jedem Status ist eine Farbe zugeordnet, welche die Statuskategorie anzeigt.

Farbschlüssel Status

Angenommen

Beschreibung

Auftrag wurde erstellt.

Wiederholung geplant

Gestartet

In Bearbeitung

Auftragspaket wird bearbeitet

Benachrichtigt

Befehle gesendet

Ergebnisauswertung gestartet

Ergebnis unvollständig

Auftrag wird später wiederholt.

Auftrag wurde gestartet.

Auftragsausführung wird vorbereitet.

Auftragspaket-Ausführung wird vorbereitet.

Die App Sophos Mobile Control wurde benachrichtigt.

Die App Sophos Mobile Control hat das Paket und/ oder die Kommandos erhalten.

Die App Sophos Mobile Control hat geantwortet und die Auswertung des Ergebnisses wurde gestartet.

Ergebnisauswertung hat ergeben, dass noch nicht alle

Ergebnisse des Kommandos empfangen wurden.

Sophos Mobile

Farbschlüssel Status

Warte auf Benutzer-

Aktion

Warte auf

Auftragsausführung

Gerät ist gesperrt

Erfolgreich

Beschreibung

Eine Benutzer-Aktion auf dem Gerät steht aus.

Ein Installationsauftrag wurde an das Gerät gesendet, dessen Ausführung einige Zeit dauern kann.

Auftrag wartet darauf, dass das Gerät entsperrt wird

(iOS).

Paket wurde installiert oder die Kommandos wurden erfolgreich ausgeführt.

Hinweis

Für die Ersteinrichtung (Provisionierung) der App

Sophos Mobile Control muss der Auftrag mit dem

Status Installiert beendet werden.

Installiert

Ergebnisauswertung fehlgeschlagen

Auftrag teilweise fehlgeschlagen

Verschoben

Fehlgeschlagen (wird wiederholt)

Auftrag fehlgeschlagen

Endgültig fehlgeschlagen

Nicht gestartet

Übersprungen

Unbekannt

Die App Sophos Mobile Control wurde erfolgreich installiert. Das Gerät ist nun provisioniert.

Ergebnisauswertung konnte nicht durchgeführt werden.

Nicht alle Kommandos des Auftrags konnten erfolgreich ausgeführt werden.

Auftrag wird später erneut gestartet.

Auftrag ist fehlgeschlagen und wird später wiederholt.

Auftrag ist fehlgeschlagen und wird nicht wiederholt.

Auftrag ist fehlgeschlagen und kann nicht wiederholt werden.

Auftrag ist Teil eines Auftragspakets und wurde noch nicht ausgeführt.

Auftrag wird vom Gerät nicht unterstützt. Die

Ausführung des Auftragspakets wird mit dem nächsten Auftrag fortgesetzt.

Der Server hat keine Information zum Auftragsstatus.

Farbschlüssel Kategorie

Öffnen

Sophos Mobile

Farbschlüssel Kategorie

In Bearbeitung

Erfolgreich

Fehlgeschlagen

Sonstiges

Sophos Mobile

7 Warnhinweise

Auf der Seite Alarme sind die Alarme aufgelistet, die Ihre Aufmerksamkeit erfordern.

Angegeben sind jeweils das Ereignis, das den Alarm ausgelöst hat, der Zeitpunkt, sowie der betroffene Benutzer und das betroffene Gerät.

Die Liste zeigt auch den Schweregrad der Alarme:

Graues Infosymbol für Informations-Alarme

Oranges Warnsymbol für Alarme mittlerer Priorität

Rotes Warnsymbol für Alarme hoher Priorität

Alarme bestätigen

Wählen Sie einen oder mehrere Alarme aus und klicken Sie anschließend auf Als bestätigt

markieren, um die ausgewählten Alarme aus der Liste zu entfernen. Um bestätigte Alarme anzuzeigen, wählen Sie im Listenfeld oberhalb der Tabelle den Eintrag Bestätigte Alarme anzeigen aus.

Hinweis

Wenn Sie einen Alarm bestätigen, wird dadurch nicht das Problem behoben, das den Alarm ausgelöst hat.

Wichtig

Alle Alarme – auch solche, die Sie nicht bestätigt haben – werden nach 90 Tagen automatisch aus der Datenbank von Sophos Mobile entfernt.

E-Mail-Berichte für Alarme einrichten

Sophos Mobile verschickt E-Mail-Berichte für alle noch nicht bestätigten Alarme. Informationen, wie

Sie Empfänger und Zeitplan für diese Berichte einrichten, finden Sie in

E-Mail konfigurieren (Seite

16).

Welche Ereignisse lösen Alarme aus?

Alarme werden von folgenden Ereignissen ausgelöst:

• Compliance-Verstöße, für die Sie die Aktion Alarm erstellen aktiviert haben.

• Statusänderungen im Geräte-Lebenszyklus und wichtige Geräteaktionen.

• Der bevorstehende Ablauf von Lizenzen und Zertifikaten.

• Weitere Ereignisse, die Ihre Aufmerksamkeit erfordern.

Sophos Mobile

8 Einrichtung

Im Menüabschnitt Einrichtung konfigurieren Sie das allgemeine Verhalten von Sophos Mobile sowie die Interaktion mit Geräten und mit externen Komponenten wie Google- oder Apple-Portalen.

8.1 Persönliche Einstellungen konfigurieren

Sie können individuelle Einstellungen für Sophos Mobile Admin vornehmen. Zum Beispiel können Sie die Sprache, die Zeitzone und die angezeigten Geräteplattformen festlegen.

Hinweis

Diese Einstellungen gelten nur für den aktuell angemeldeten Administrator.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Persönlich.

2. Konfigurieren Sie folgende Einstellungen:

Option

Sprache

Beschreibung

Die Sprache der Benutzeroberfläche.

Zeitzone

Maßsystem

Datensätze pro

Tabellenseite

Expertenmodus

Die Zeitzone, in der Uhrzeiten angezeigt werden.

Das Maßsystem für Längenwerte (Metrisch oder Imperial).

Die Anzahl der Einträge pro Tabellenseite.

Aktivierte Plattformen

Diese Einstellung aktiviert zusätzliche Funktionen:

• Die Seite Gerät anzeigen enthält ein Tab

Benutzerdefinierte Eigenschaften mit benutzerdefinierten

Geräteeigenschaften.

• Die Seite Gerät anzeigen enthält ein Tab Interne

Eigenschaften mit zusätzlichen vom Gerät gemeldeten

Eigenschaften.

• Einige Konfigurationsseiten für Richtlinien enthalten einen

Abschnitt Zusätzliche Einstellungen, in dem Sie optionale

Einstellungen konfigurieren können.

Die Geräteplattformen, die angezeigt werden sollen.

In Sophos Mobile Admin werden nur Seiten und Einstellungen angezeigt, die für die ausgewählten Plattformen relevant sind.

3. Klicken Sie auf Speichern.

Sophos Mobile

8.2 Kennwortrichtlinien konfigurieren

Konfigurieren Sie zur Durchsetzung der Sicherheit von Kennwörtern Kennwortrichtlinien für Benutzer von Sophos Mobile Admin und Self Service Portal.

Hinweis

Die Kennwortrichtlinien gelten nicht für Benutzer eines externen LDAP-Verzeichnisses.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Kennwortrichtlinien.

2. Unter Regeln können Sie Mindestanforderungen definieren, zum Beispiel die Mindestanzahl der

Kleinbuchstaben, Großbuchstaben oder Ziffern, damit das Kennwort gültig ist.

3. Konfigurieren Sie unter Einstellungen folgende Einstellungen: a) Änderungsintervall (Tage): Geben Sie die Kennwort-Gültigkeitsdauer in Tagen ein (zwischen

1 und 730 ), oder lassen Sie das Feld leer, wenn Kennworte nicht ablaufen sollen.

b) Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen: Wählen Sie einen Wert zwischen 1 und 10 aus, oder wählen Sie -- aus, um diese Einschränkung zu deaktivieren.

c) Maximale Anzahl fehlerhafter Loginversuche: Wählen Sie die maximale Anzahl an fehlgeschlagenen Login-Versuchen aus, bevor das Konto gesperrt wird (zwischen 1 und 10 ), oder wählen Sie -- aus, um unbegrenzt viele Login-Versuche zuzulassen.

4. Klicken Sie auf Speichern.

8.3 Einstellungen der SMC-App konfigurieren

Auf dem Tab SMC App auf der Seite Allgemeine Einstellungen konfigurieren Sie Einstellungen für die App Sophos Mobile Control auf Android-, iOS- und Windows-Mobile-Geräten.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab SMC-App.

2. Konfigurieren Sie folgende Einstellungen:

Option

Deregistrierung über die App deaktivieren

Beschreibung

Entfernen Sie die Schaltfläche Deregistrieren in der App

Sophos Mobile Control, um zu verhindern, dass Benutzer ihr

Gerät aus der App heraus deregistrieren.

Hinweis

Um eine Deregistrierung durch den Benutzer vollständig zu verhindern, deaktivieren Sie zusätzlich die Option Gerät

deregistrieren in den Einstellungen für das Self Service

Portal. Siehe Einstellungen für das Self Service Portal konfigurieren

(Seite 30).

3. Klicken Sie auf Speichern.

Sophos Mobile

8.4 E-Mail konfigurieren

Auf dem Tab E-Mail-Konfiguration konfigurieren Sie die Einstellungen für E-Mails, die von Sophos

Mobile verschickt werden.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab E-Mail-Konfiguration.

2. Wählen Sie in Sprache die Sprache für die E-Mail aus.

3. Geben Sie in Absendername den Namen ein, der als Absender verwendet wird.

4. Optional: Konfigurieren Sie unter E-Mail-Einstellungen für Alarme Berichte für Alarme, die an

Administratoren gesendet werden: a) Wählen Sie in Schweregrad die Schweregrade der Alarme aus, die in den Berichten enthalten sind.

b) Geben Sie in E-Mail-Empfänger die Empfänger an, indem Sie eine oder mehrere gültige E-

Mail-Adressen eingeben.

c) Geben Sie in E-Mail-Zeitplan die Uhrzeit ein, zu welcher der Bericht gesendet wird. Klicken

Sie anschließend auf Hinzufügen.

Wiederholen Sie dies, um mehrere Berichte pro Tag zu senden.

Hinweis

Zeiten beziehen sich auf die für den Server konfigurierte Zeitzone.

5. Klicken Sie auf Speichern.

Zugehörige Konzepte

Warnhinweise (Seite 13)

8.5 IT-Kontakt konfigurieren

Stellen Sie Ihren Benutzern für Fragen oder Probleme die Kontaktdaten Ihrer IT-Abteilung zur

Verfügung.

Die Informationen, die Sie hier eingeben, werden im Self Service Portal und auf den Geräten der

Benutzer angezeigt.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab IT-Kontakt.

2. Geben Sie die Kontaktinformationen ein.

3. Klicken Sie auf Speichern.

8.6 Datenschutz-Einstellungen konfigurieren

Sie können in Sophos Mobile Admin folgende datenschutzrelevante Einstellungen deaktivieren:

Gerätestandort

Wenn dies deaktiviert ist, können Sie nicht den

Gerätestandort anzeigen. Benutzer können den

Sophos Mobile

Installierte Apps

Standort ihres Gerätes weiterhin im Self Service

Portal anzeigen.

Wenn dies deaktiviert ist, können Sie nicht die auf einem Gerät installierten Apps anzeigen.

In den Gerätedetails wird das Tab Installierte

Apps nicht angezeigt und der Bericht Apps pro

Gerät steht nicht zur Verfügung.

Sie können weiterhin Übersichtsberichte zu auf allen Geräten installierten Apps anzeigen.

So konfigurieren Sie die Datenschutz-Einstellungen:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Datenschutz.

2. Klicken Sie zum Deaktivieren der Anzeige von Gerätestandorten auf Administratoren dürfen

Geräte nicht orten.

3. Klicken Sie zum Deaktivieren der Anzeige installierter Apps auf Installierte Apps verbergen.

Hinweis

Sophos Mobile zeichnet folgende datenschutzrelevante Ereignisse auf:

• Ein Administrator fordert einen Gerätestandort an.

• Ein Benutzer fordert im Self Service Portal einen Gerätestandort an.

• Die Anzeige von Gerätestandorten in Sophos Mobile Admin wurde aktiviert oder deaktiviert.

• Die Anzeige installierter Apps in Sophos Mobile Admin wurde aktiviert oder deaktiviert.

8.7 Einstellungen für iOS konfigurieren

Auf dem Tab iOS auf der Seite Apple-Einrichtung konfigurieren Sie Einstellungen für iOS-Geräte.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab iOS.

2. Konfigurieren Sie folgende Einstellungen:

Option

Aktivierungssperre-

Umgehung

Beschreibung

Wählen Sie Aktivieren aus, um bei betreuten Geräten eine

Aktivierungssperre bei Bedarf umgehen zu können.

Wenn diese Option ausgewählt ist, ruft Sophos Mobile einen

Umgehungs-Code ab, wenn es sich mit einem betreuten Gerät synchronisiert, bei dem eine Aktivierungssperre eingerichtet ist. Bei Bedarf können Sie auf der Seite Gerät anzeigen des Gerätes die Aktion Aktivierungssperre-Umgehung ausführen, um die Aktivierungssperre zu entfernen, wenn das

Gerät zurückgesetzt und neu bereitgestellt werden soll.

Die Aktivierungssperre ist eine Sicherheitsfunktion von iOS, um im Falle eines Geräteverlustes oder Diebstahls eine neue Geräte-Aktivierung zu verhindern. Normalerweise benötigen Sie die bei der Einrichtung angegebene Apple-ID und das Kennwort, um eine Aktivierungssperre zu entfernen.

Mit Hilfe der Aktivierungssperre-Umgehung können Sie

Sophos Mobile

Option

Gerätenamen synchronisieren

Beschreibung die Aktivierungssperre entfernen, indem Sie lediglich den

Umgehungs-Code angeben.

Wählen Sie Aktivieren aus, um iOS-Geräte unter dem Namen zu verwalten, der im Gerät konfiguriert ist.

Wenn diese Option aktiviert ist, wird der von Sophos Mobile verwendete Gerätename bei jeder Synchronisierung mit

Sophos Mobile aktualisiert.

Wenn diese Option deaktiviert ist, legen Sie den Gerätenamen bei der Registrierung fest.

3. Klicken Sie auf Speichern.

8.8 Zertifikate für den Push-

Benachrichtigungsdienst von Apple (APNs)

Um das integrierte Mobile Device Management (MDM) Protokoll von iOS- und macOS-Geräten verwenden zu können, muss Sophos Mobile den Push-Benachrichtigungsdienst von Apple (APNs) zum Triggern der Geräten benutzen.

Sophos Mobile verwaltet APNs-Zertifikate pro Kunde. Sie müssen die Zertifikate für jeden Kunden, den Sie verwenden, erstellen und hochladen.

APNs-Zertifikate haben eine Gültigkeit von einem Jahr.

8.8.1 APNs-Zertifikat erstellen

Voraussetzung: Sie haben noch kein Zertifikat für den Push-Benachrichtigungsdienst von Apple

(APNs) zu Sophos Mobile hochgeladen.

Informationen zur Erneuerung eines vorhandenen Zertifikats finden Sie in APNs-Zertifikat erneuern

(Seite 19).

Tipp

Sie können dasselbe Zertifikat für mehrere Kunden verwenden. Siehe APNs-Zertifikat in einen anderen Kunden kopieren (Seite 20).

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

2. Klicken Sie auf Assistent „APNs Zertifikat“.

3. Klicken Sie auf der Seite Modus auf Ein neues APNs-Zertifikat erzeugen.

4. Klicken Sie auf der Seite CSR auf CSR herunterladen.

Hierdurch wird die CSR-Datei apple.csr

auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.

5. Sie benötigen eine Apple-ID. Auch wenn Sie bereits eine Apple-ID haben, empfehlen wir Ihnen, für den Gebrauch mit Sophos Mobile eine separate ID zu erstellen. Klicken Sie auf der Seite Apple-ID auf Im Apple-Portal eine Apple-ID erstellen.

Hierdurch wird die Apple-Internetseite geöffnet, auf der Sie eine Apple-ID für Ihr Unternehmen erstellen können.

Sophos Mobile

Hinweis

Verwahren Sie die Anmeldeinformationen an einem sicheren Ort, auf den auch Ihre

Arbeitskollegen zugreifen können. Ihr Unternehmen benötigt diese Anmeldeinformationen jedes Jahr, um das Zertifikat zu erneuern.

6. Geben Sie im Feld Apple-ID des Assistenten Ihre neue Apple-ID ein.

7. Klicken Sie auf der Seite Zertifikat auf Zertifikat im Apple-Portal erstellen.

Hierdurch wird das Apple Push Certificates Portal geöffnet.

8. Melden Sie sich mit Ihrer Apple-ID an und laden Sie die CSR-Datei apple.csr

hoch.

9. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem

herunter und speichern Sie diese.

10. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei mit der

Endung .pem

aus, die Sie vom Apple Push Certificates Portal erhalten haben.

11. Klicken Sie auf Speichern.

Sophos Mobile liest das Zertifikat ein und zeigt die Zertifikatdetails auf dem Tab APNs an.

8.8.2 APNs-Zertifikat erneuern

Voraussetzung: Sie haben ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) zu Sophos Mobile hochgeladen, das abläuft und erneuert werden muss.

Informationen zum Erstellen und Hochladen eines neuen Zertifikats finden Sie in

APNs-Zertifikat erstellen

(Seite 18).

Wichtig

Es ist wichtig, dass Sie im Apple-Portal das korrekte APNs-Zertifikat zum Erneuern auswählen.

Falls Sie ein falsches Zertifikat erneuern, müssen Sie möglicherweise sämtliche iOS- und macOS-

Geräte erneut registrieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

2. Klicken Sie auf Assistent „APNs Zertifikat“.

3. Klicken Sie auf der Seite Modus auf Mein APNs-Zertifikat erneuern.

4. Klicken Sie auf der Seite CSR auf CSR herunterladen.

Hierdurch wird die CSR-Datei apple.csr

auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.

5. Auf der Seite Apple-ID wird die Apple-ID angezeigt, die bei der erstmaligen Erstellung des APNs-

Zertifikats verwendet wurde.

Sie benötigen diese ID für die Anmeldung am Apple-Portal.

6. Klicken Sie auf der Seite Zertifikat auf Zertifikat im Apple-Portal erneuern.

Hierdurch wird das Apple Push Certificates Portal geöffnet.

7. Melden Sie sich mit der Apple-ID an, die im Assistenten angezeigt wird.

8. Klicken Sie im Apple Push Certificates Portal auf Renew neben Ihrem Sophos Mobile APNs-

Zertifikat.

9. Laden Sie die zuvor erzeugte CSR-Datei apple.csr

hoch.

10. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem

herunter und speichern Sie diese.

11. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei mit der

Endung .pem

aus, die Sie vom Apple Push Certificates Portal erhalten haben.

Sophos Mobile

12. Klicken Sie auf Speichern.

Wichtig

Falls folgende Meldung angezeigt wird, erneuern Sie nicht das richtige Zertifikat:

Das Topic des neuen Zertifikats stimmt nicht mit dem alten Zertifikat

überein. Wenn mit dem vorherigen Zertifikat Geräte eingerichtet worden sind, müssen diese erneut eingerichtet werden. Wollen Sie Ihre Änderungen wirklich speichern?

Diese Meldung macht Sie darauf aufmerksam, dass Sie dabei sind, ein neues APNs-Zertifikat mit einer abweichenden Kennung zu erstellen. Wenn Sie die Meldung bestätigen, können alle vorhandenen iOS- und macOS-Geräte nicht mehr verwaltet werden und Sie müssen diese erneut registrieren.

Informationen, wie Sie das richtige Zertifikat ermitteln, finden Sie in Zu erneuerndes APNs-Zertifikat bestimmen

(Seite 21).

8.8.3 APNs-Zertifikat in einen anderen Kunden kopieren

Sie können ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) in einen anderen

Kunden derselben oder einer anderen Installation von Sophos Mobile kopieren.

Wichtig

Falls am Kopierziel bereits ein APNs-Zertifikat vorhanden ist, ist es wichtig, dass die

Zertifikateigenschaft Topic des zu kopierenden Zertifikats mit dem Topic des vorhandenen

Zertifikats übereinstimmt. Falls Sie ein falsches Zertifikat kopieren, müssen Sie möglicherweise sämtliche iOS- und macOS-Geräte des Kunden erneut registrieren.

Laden Sie das Zertifikat herunter:

1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, dessen APNs-Zertifikat Sie kopieren wollen.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

3. Notieren Sie sich den unter APNs-Zertifikat angezeigten Wert für Topic.

4. Klicken Sie auf Zertifikat als PKCS#12-Datei herunterladen.

5. Im Bestätigungsdialog wird das Kennwort für die Zertifikat-Datei angezeigt. Notieren Sie sich dieses Kennwort und klicken Sie anschließend auf Herunterladen.

Die Zertifikatdatei apns_cert.p12

wird auf Ihrem Computer gespeichert.

Laden Sie das Zertifikat in einen anderen Kunden hoch:

6. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, zu dem Sie das Zertifikat hochladen wollen.

7. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

8. Falls bereits ein Zertifikat vorhanden ist, überprüfen Sie, dass der Wert für Topic mit dem Wert des zu kopierenden Zertifikats übereinstimmt.

9. Klicken Sie auf Assistent „APNs Zertifikat“.

10. Klicken Sie auf der Seite Modus auf Ein APNs-Zertifikat von einem anderen Sophos-Mobile-

Kunden hochladen.

11. Geben Sie auf der Seite Apple-ID die Apple-ID ein, mit der das APNs-Zertifikat erstellt wurde, das

Sie hochladen wollen.

Sophos Mobile

12. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei apns_cert.p12

aus, die Sie von dem anderen Kunden heruntergeladen haben.

13. Geben Sie das Kennwort ein und klicken Sie auf Anwenden.

14. Klicken Sie auf Speichern.

8.8.4 Zu erneuerndes APNs-Zertifikat bestimmen

Wenn Sie, wie in

APNs-Zertifikat erneuern (Seite 19) beschrieben, Ihr Zertifikat für den Push-

Benachrichtigungsdienst von Apple (APNs) für Sophos Mobile erneuern, ist es wichtig, dass Sie im

Apple-Portal das richtige APNs-Zertifikat zum Erneuern auswählen.

Dieser Abschnitt beschreibt, wie Sie das aktuell auf den Sophos Mobile Server hochgeladene APNs-

Zertifikat bestimmen.

Ermitteln Sie die Zertifikat-Kennung:

1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, dessen APNs-Zertifikat erneuert werden muss.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab APNs.

3. Notieren Sie sich den unter APNs-Zertifikat angezeigten Wert für Topic.

Ermitteln Sie das Zertifikat:

4. Öffnen Sie in Ihrem Webbrowser die URL des Apple Push Certificates Portal, https:// identity.apple.com/pushcert/ .

Falls Sie den Microsoft Internet Explorer verwenden und Probleme mit bestimmten Funktionen des Apple-Portals haben, empfehlen wir Ihnen, stattdessen eine aktuelle Version der Webbrowser

Firefox, Opera, Chrome oder Safari zu verwenden.

5. Melden Sie sich mit Ihrer Apple-ID an, die Sie auch bei der erstmaligen Erstellung des Zertifikats verwendet haben.

Klicken Sie in der Liste der APNs-Zertifikate auf das Symbol Zertifikat-Info neben einem

Zertifikat.

Die Zertifikatdetails werden angezeigt.

7. Ermitteln Sie, welcher Wert im Feld Subject DN nach der Zeichenkette UID= steht. Wenn dieser

Wert mit der Kennung übereinstimmt, die Sie in Sophos Mobile Admin ermittelt haben, haben Sie das richtige Zertifikat identifiziert.

8.8.5 APNs-Verbindung von Geräten überprüfen

Unter iOS können Benutzer der App Sophos Mobile Control überprüfen, ob ihre Geräte sich mit dem

Push-Benachrichtigungsdienst von Apple (APNs) verbinden können.

1. Tippen Sie in der App Sophos Mobile Control auf das Symbol Information, um die Ansicht Über zu

öffnen.

2. Tippen Sie auf APNs überprüfen.

Die App versucht, eine Verbindung zum Apple-APNs-Server aufzubauen. Dies kann bis zu 5

Sekunden dauern.

Prüfen Sie Ihre Firewall-Regeln, falls keine Verbindung zum APNs-Server möglich ist. Eine Liste der erforderlichen Verbindungen finden Sie im Dokument Sophos Mobile Serverbereitstellungs-Anleitung

(englisch) .

Sophos Mobile

8.9 iOS-AirPlay-Wiedergabegeräte konfigurieren

Mit Sophos Mobile können Sie das Spiegeln von Inhalten per AirPlay zwischen einem iOS-Gerät und einem vordefinierten AirPlay-Wiedergabegerät (zum Beispiel AppleTV) ferngesteuert auslösen.

Hinweis

AirPlay funktioniert nur innerhalb eines Netzwerks.

Sie können die Wiedergabegeräte für die Spiegelung per AirPlay definieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab iOS AirPlay.

2. Klicken Sie im Abschnitt AirPlay-Wiedergabegeräte auf AirPlay-Wiedergabegeräte erstellen.

Die Seite AirPlay-Wiedergabegerät wird angezeigt.

3. Geben Sie den Namen und optional die MAC-Adresse des AirPlay-Wiedergabegerätes ein. Falls erforderlich, geben Sie das Gerätekennwort ein.

4. Klicken Sie auf Anwenden.

Das Gerät wird unter AirPlay-Wiedergabegeräte auf dem Tab iOS AirPlay auf der Seite Apple-

Einrichtung angezeigt.

5. Klicken Sie auf Speichern.

Sie können die Spiegelung per AirPlay zwischen einem iOS-Gerät und diesem Wiedergabegerät auslösen, indem Sie auf der Seite Gerät anzeigen für das gewünschte Gerät im Menü Aktionen auf

AirPlay-Wiedergabe anfordern klicken.

8.10 Android-Einstellungen

Auf dem Tab Android auf der Seite Android-Einrichtung konfigurieren Sie Einstellungen für

Android-Geräte:

•

Verwaltungsmodus für Android festlegen

(Seite 22)

•

Baidu Cloud Push aktivieren

(Seite 24)

•

Sophos-Apps auf Ihrem Webserver bereitstellen

(Seite 23).

•

Das Synchronisierungsintervall der App Sophos Mobile Control konfigurieren

(Seite 23).

8.11 Verwaltungsmodus für Android festlegen

Android-Geräte können Sie in einem der Modi Geräteadministrator und Android Enterprise verwalten.

Geräteadministrator

Android Enterprise

Sophos Mobile Control ist ein Geräteadministrator und verwendet Android Mobile Device

Management (MDM), um das Gerät zu verwalten.

Sophos Mobile Control ist der Geräte- oder

Profilbesitzer und verwendet Android Enterprise, um das Gerät oder einen Arbeitsbereich auf dem

Gerät zu verwalten.

Sophos Mobile

Wir empfehlen, Android Enterprise zu verwenden.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Android.

2. Wählen Sie in Verwaltungsmodus den Verwaltungsmodus für Android-Geräte aus.

3. Klicken Sie auf Speichern.

Durch diese Einstellung wird festgelegt, welche Arten von Richtlinien in der Benutzeroberfläche verfügbar sind.

Wenn Sie den Modus Android Enterprise ausgewählt haben, müssen Sie erst Android Enterprise

für Ihr Unternehmen einrichten, bevor Sie Geräte registrieren können. Siehe Android Enterprise einrichten - Übersicht

(Seite 334).

8.12 Sophos-Apps auf Ihrem Webserver bereitstellen

Die Sophos-Apps, die Benutzer während der Registrierung installieren, können Sie auf einem internen Webserver bereitstellen anstatt in Google Play.

Wichtig

• Diese Option stellt ein Sicherheitsrisiko dar. Wenn Sie die Sophos-Apps auf einem internen

Webserver bereitstellen, müssen Sie generell die Installation von Apps außerhalb Google Play erlauben.

• Stellen Sie sicher, dass auf den mobilen Geräten die jeweils aktuellste App-Version installiert ist. Laden Sie regelmäßig neue Versionen von der Sophos-Webseite Downloads und

Updates auf Ihren Webserver herunter und installieren Sie diese auf den Geräten mit einem

Auftragspaket.

1. Melden Sie sich in Sophos Mobile Admin als Superadministrator an.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Android.

3. Wählen Sie unter Installationsquelle auswählen die Option Gehostete APK-Datei aus.

4. Geben Sie in URL der SMC-APK-Datei die URL der App Sophos Mobile Control ein.

Wenn Sie zum Beispiel die APK-Datei in ein Unterverzeichnis smc Ihres Webserver-

Deployment-Verzeichnisses kopiert haben, geben Sie diese URL ein: <Webserver_Adresse>/ smc/smc.apk

Die Geräte müssen auf die URL zugreifen können.

5. Geben Sie analog in URL der SMSec-APK-Datei die URL der App Sophos Mobile Security ein.

Dies erfordert eine Lizenz vom Typ Mobile Advanced.

6. Klicken Sie auf Speichern.

8.13 Das Synchronisierungsintervall der App

Sophos Mobile Control konfigurieren

Die App Sophos Mobile Control synchronisiert sich mit dem Sophos Mobile Server in folgenden

Situationen:

Sophos Mobile

• Sofort, wenn es Änderungen an der Gerätekonfiguration mitteilen muss.

• Wenn es vom Server durch den Push-Benachrichtigungsdienst Google Cloud Messaging (GCM) oder Baidu Cloud Push dazu aufgefordert wird.

• Zeitgesteuert alle 24 Stunden.

Falls erforderlich, können Sie für die zeitgesteuerte Synchronisierung ein kürzeres Intervall verwenden.

Bei Sophos Mobile on Premise wird dies vom Superadministrator konfiguriert.

Wichtig

Der Standardwert von 24 Stunden ist in den meisten Fällen ausreichend. Wir empfehlen, ein kürzeres Intervall nur dann zu verwenden, falls der Pushbenachrichtigungsdienst für Sie nicht funktioniert. Kürzere Intervalle wirken sich negativ auf Akkulaufzeit und Datenverbrauch aus und verursachen eine höhere Server-Last.

So konfigurieren Sie das Synchronisierungsintervall für die App Sophos Mobile Control auf Android-

Geräten:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Android.

2. Wählen Sie unter Synchronisierungsintervall der SMC-App einen Wert zwischen 15 Minuten und 24 Stunden aus der Liste Synchronisierungsintervall aus.

3. Klicken Sie auf Speichern.

8.14 Baidu Cloud Push aktivieren

Sophos Mobile verwendet den Dienst Google Firebase Cloud Messaging (FCM), um Push-

Benachrichtigungen an Android-Geräte zu senden, damit diese sich mit dem Sophos Mobile Server verbinden. In China funktioniert FCM wahrscheinlich nicht. Sophos Mobile kann darum zusätzlich

Baidu Cloud Push verwenden, einen chinesischen Dienst für Push-Benachrichtigungen.

Falls Sie Android-Geräte verwalten, die sich in China befinden, aktivieren Sie folgendermaßen Baidu

Cloud Push:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Android.

2. Wählen Sie im Abschnitt Baidu Cloud Push die Option Baidu Cloud Push aktivieren aus.

3. Klicken Sie auf Speichern.

Wenn Baidu Cloud Push aktiviert ist, sendet Sophos Mobile alle Push-Benachrichtigungen sowohl über

FCM als auch über Baidu Cloud Push.

8.15 Samsung-Knox-Lizenz registrieren

Wenn Sie eine Lizenz für Samsung Knox Premium erworben haben, können Sie mit Sophos Mobile den Knox-Container auf Ihren Samsung-Geräten verwalten.

So registrieren Sie einen Lizenzschlüssel für Samsung Knox Premium:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Samsung-Knox-Lizenz.

2. Geben Sie Ihren Lizenzschlüssel für Samsung Knox Premium ein.

Sophos Mobile

Sie können einen Lizenzschlüssel vom Typ KPE Premium oder KLM Workspace verwenden.

3. Klicken Sie auf Speichern.

Wenn Sie sich später entscheiden, Ihre Lizenz für Samsung Knox Premium nicht mit Sophos Mobile verwenden zu wollen, klicken Sie auf Entfernen, um den Lizenzschlüssel zu deregistrieren.

8.16 Poll-Intervall für Windows-Geräte konfigurieren

Für Windows-Geräte können Sie das Poll-Intervall konfigurieren, in dem sich der Windows-MDM-

Client mit dem Sophos Mobile Server verbindet. Normalerweise verwendet der Server Push-

Benachrichtungen, um sich mit den Clients zu verbinden. Polling wird nur zur Sicherheit verwendet, falls der Push-Benachrichtigungsdienst nicht verfügbar ist.

Hinweis

Die Standardwerte sind in den meisten Fällen ausreichend. Kürzere Intervalle wirken sich negativ auf Akkulaufzeit und Datenverbrauch aus und verursachen eine höhere Server-Last.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Microsoft-Einrichtung und öffnen Sie anschließend das Tab Windows.

2. Wählen Sie Poll-Intervalle für die verschiedenen Windows-Betriebssysteme aus. Sie können individuelle Einstellungen vornehmen für:

• Geräte mit Windows 10 Mobile und Windows Phone 8.1

• Windows-10-Computer

3. Klicken Sie auf Speichern.

8.17 Lizenzen prüfen

Sophos Mobile verwendet ein benutzerbasiertes Lizenzschema. Eine einzelne Benutzerlizenz ist für alle Geräte gültig, die dem betreffenden Benutzer zugewiesen sind. Für Geräte, die keinem Benutzer zugewiesen sind, ist jeweils eine Lizenz erforderlich.

Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und

öffnen Sie anschließend das Tab Lizenz.

Die folgenden Informationen werden angezeigt:

• Maximale Anzahl von Lizenzen: Maximale Anzahl von Gerätebenutzern (und nicht zugewiesenen Geräten), die verwaltet werden können.

Falls der Superadministrator für einen Kunden keinen Höchstwert angegeben hat, ist die

Lizenzanzahl durch die Gesamtzahl für den Sophos Mobile Server begrenzt.

• Genutzte Lizenzen: Anzahl der verwendeten Lizenzen.

• Gültig bis: Das Lizenzablaufdatum.

• Advanced-Lizenz: Der Superadministrator hat für den Kunden eine Lizenz vom Typ Mobile

Advanced aktiviert.

Wenn Sie Fragen zu den Lizenzinformationen haben, oder wenn die angezeigten Informationen

Ihrer Meinung nach nicht korrekt sind, wenden Sie sich an Ihren Sophos Vertriebspartner.

Sophos Mobile

8.18 Simple Certificate Enrollment Protocol (SCEP)

Mit Sophos Mobile können Sie Zertifikate mittels SCEP (Simple Certificate Enrollment Protocol) an

Geräte verteilen.

Die für Geräte benötigten SCEP-Einstellungen legen Sie in einer Konfiguration vom Typ SCEP fest; entweder in einem Geräteprofil (für Android und iOS) oder in einer Richtlinie (für Windows Mobile).

8.18.1 Voraussetzungen

Um das Simple Certificate Enrollment Protocol (SCEP) nutzen zu können, müssen die folgenden

Voraussetzungen erfüllt sein:

• In der Netzwerk-Umgebung muss eine SCEP-fähige Windows-CA vorhanden sein.

• Die Anmeldeinformationen für einen Benutzer, der einen Challenge-Code erstellen kann, sind verfügbar.

• Der Sophos Mobile hat http- oder https-Zugriff auf die folgenden Adressen:

— https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN

— https://IHR-SCEP-SERVER/CertSrv/MSCEP

8.18.2 SCEP konfigurieren

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab SCEP.

2. Machen Sie die folgenden Angaben: a) Geben Sie im Feld SCEP Server URL https://IHR-SCEP-SERVER/CertSrv/MSCEP ein.

b) Geben Sie im Feld Challenge URL https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN ein.

Hinweis

Wenn Sie einen Windows 2003-Server als SCEP-Server verwenden, geben Sie https://

IHR-SCEP-SERVER/CertSrv/MSCEP ein.

c) Geben Sie in den Feldern Benutzer und Kennwort die Anmeldeinformationen des Benutzers ein, der einen Challenge-Code erstellen kann.

Hinweis

Geben Sie im Feld Benutzer einen Benutzer ein, der über die erforderlichen

Berechtigungen für die Bereitstellung von Zertifikaten verfügt. Verwenden Sie folgendes

Anmeldeformat: benutzername@domäne d) Wählen Sie im Feld Challenge-Zeichen die Zeichenklassen aus, die für das Challenge-

Kennwort verwendet werden.

e) Akzeptieren Sie im Feld Challenge-Länge die Standardlänge.

Sophos Mobile f) Optional: Deaktivieren Sie die Option HTTP-Proxy verwenden, damit Sophos Mobile für

Verbindungen mit dem SCEP-Server den HTTP-Proxy umgeht. Diese Option ist nur verfügbar, wenn der HTTP-Proxy aktiviert ist.

Für Sophos Mobile on Premise kann der Superadministrator einen HTTP-Proxy konfigurieren, den Sophos Mobile für ausgehende HTTP- und SSL/TLS-Verbindungen verwendet. Siehe das

Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Für Sophos Mobile as a Service ist der HTTP-Proxy standardmäßig aktiviert.

3. Klicken Sie auf Speichern.

Sophos Mobile testet die Verbindung zu Ihrem SCEP-Server.

Um mittels SCEP ein Profil zu übertragen, fügen Sie eine Konfiguration vom Typ SCEP zu einem

Geräteprofil (Android, iOS) oder einer Richtlinie (Windows Mobile) hinzu.

Tipp

In dem Profil bzw. der Richtlinie können Sie ein Intervall für die automatische Erneuerung des

Zertifikats konfigurieren

8.19 Kundeneigenschaften erstellen

Sie können für jeden Kunden spezifische Eigenschaften erstellen.

Wenn Sie eine Eigenschaft Meine Eigenschaft erstellen, können Sie in Profilen und

Richtlinien den Wert der Eigenschaft einfügen, indem Sie den Platzhalter %_CUSTPROP(Meine

Eigenschaft)_% verwenden. Sie können dies zum Beispiel verwenden, um Domänen zu referenzieren, die nur für den Kunden gelten.

Details zu Platzhaltern finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 109).

So erstellen Sie eine Kundeneigenschaft:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Kundeneigenschaften.

2. Klicken Sie auf Kundeneigenschaft hinzufügen.

3. Geben Sie einen Namen und einen Wert für die Kundeneigenschaft ein.

4. Klicken Sie auf Anwenden.

5. Klicken Sie auf Speichern.

Die Kundeneigenschaft wird dem Kunden in Sophos Mobile hinzugefügt.

8.20 SSL/TLS-Zertifikate konfigurieren

Auf dem Tab SSL/TLS auf der Seite Sophos-Einrichtung konfigurieren Sie SSL/TLS-Zertifikate für die sichere Verbindung zwischen dem Sophos Mobile Server und Geräten.

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Sophos Mobile

8.21 EAS-Proxy konfigurieren

Auf dem Tab EAS-Proxy auf der Seite Sophos-Einrichtung konfigurieren Sie einen EAS-

Proxyserver. Dieser wird verwendet, um den E-Mail-Verkehr von den verwalteten Geräten zu Ihrem

E-Mail-Server zu filtern.

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

8.22 Netzwerkzugriff konfigurieren

Auf dem Tab Network Access Control auf der Seite Sophos-Einrichtung konfigurieren Sie die

Verbindung zu einem Network-Access-Control-System (NAC-System).

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

8.23 E-Mail-Server-Verbindung konfigurieren

Auf dem Tab SMTP auf der Seite Sophos-Einrichtung konfigurieren Sie die Verbindung zu einem

SMTP-E-Mail-Server.

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

8.24 Proxy-Server-Verbindung konfigurieren

Auf dem Tab HTTP-Proxy auf der Seite Sophos-Einrichtung konfigurieren Sie die Verbindung zu einem Proxy-Server, den Sophos Mobile für HTTP- und SSL/TLS-Verbindungen verwendet.

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

8.25 Portal-Zugriff konfigurieren

Auf dem Tab Web-Portale auf der Seite Sophos-Einrichtung konfigurieren Sie den Zugriff auf

Sophos Mobile Admin und auf das Self Service Portal.

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

8.26 Einschränkungen für das Hochladen von

Dateien konfigurieren

Auf dem Tab Datei-Uploads auf der Seite Sophos-Einrichtung konfigurieren Sie die maximal erlaubte Größe hochgeladener Apps und Dokumente.

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Sophos Mobile

8.27 Audit-Protokollierung aktivieren

Auf dem Tab Audit-Logging auf der Seite Sophos-Einrichtung aktivieren Sie die Protokollierung aller Aktionen, die Benutzer in Sophos Mobile Admin ausführen.

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

8.28 Systemnachrichten erstellen

Auf dem Tab Systemmeldungen auf der Seite Sophos-Einrichtung erstellen Sie

Systemnachrichten, die auf den Anmeldeseiten von Sophos Mobile Admin und Self Service Portal angezeigt werden.

Details hierzu finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Sophos Mobile

9 Self Service Portal konfigurieren

Mit dem Self Service Portal können Sie IT-Aufwände reduzieren, indem Sie den Benutzern ermöglichen, eigenständig Geräte zu registrieren und andere Aufgaben auszuführen, ohne dazu den

Helpdesk zu kontaktieren.

Mit einer Konfiguration vom Typ „Self Service Portal“ legen Sie folgendes fest:

• Welche Benutzergruppen berechtigt sind, das Self Service Portal zu verwenden.

• Welche Typen von Geräten Benutzer registrieren können.

• Welche Aktionen Benutzer ausführen können.

Im Self Service Portal können Geräte folgender Plattformen verwaltet werden:

• Android

• iOS

• macOS

• Windows Mobile

• Windows

9.1 Einstellungen für das Self Service Portal konfigurieren

Wichtig

Aufgrund der komplexen Konfigurationsmöglichkeiten für das Self Service Portal empfehlen wir, dass Sie die Geräteregistrierung mit verschiedenen Benutzergruppen testen, bevor Sie die

Einstellungen Ihren Benutzern zur Verfügung stellen.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Self Service Portal.

2. Klicken Sie auf Registrierungstexte und fügen Sie anschließend Nutzungsbedingungen und einen

Registrierungsabschlusstext hinzu.

Wenn Sie diese Texte Ihrer Konfiguration für das Self Service Portal zuweisen, werden sie zu Beginn bzw. am Ende der Registrierung angezeigt. Für weitere Informationen siehe

Registrierungstexte erstellen

(Seite 32).

3. Klicken Sie auf der Seite Self-Service-Portal-Konfigurationen auf Hinzufügen, um eine

Konfiguration zu erstellen.

Sie können mehrere Konfigurationen erstellen, um sie unterschiedlichen Benutzergruppen zuzuweisen.

4. Konfigurieren Sie folgende Einstellungen:

Option

Name

Beschreibung

Der Name der Konfiguration.

Anhand dieses Namens wählen Benutzer im Self Service

Portal eine Konfiguration aus.

Sophos Mobile

Option

Benutzergruppen

Beschreibung

Klicken Sie auf Hinzufügen und geben Sie anschließend eine

Benutzergruppe ein. Die Konfiguration wird für alle Mitglieder dieser Gruppe verwendet.

Sie können einer Konfiguration mehrere Benutzergruppen hinzufügen, aber Sie können nicht dieselbe Benutzergruppe für verschiedene Konfigurationen verwenden.

Die maximale Anzahl an Geräten, die ein Benutzer im Self

Service Portal registrieren kann.

Maximale Anzahl an

Geräten

Aktionen Klicken Sie auf Anzeigen und wählen Sie anschließend die

Aktionen aus, die Benutzer im Self Service Portal ausführen können.

Informationen, welche Aktionen von den einzelnen Plattformen

unterstützt werden, finden Sie in Verfügbare Aktionen im Self

Service Portal

(Seite 32).

5. Klicken Sie auf Hinzufügen und anschließend auf die Geräteplattform, die Sie konfigurieren wollen.

6. Konfigurieren Sie im Dialog Plattform-Einstellungen konfigurieren die folgenden Einstellungen:

Option

Angezeigter Name

Beschreibung

Der Name der Plattform-Einstellungen.

Anhand dieses Namens wählen Benutzer im Self Service

Portal den Registrierungstyp aus.

Beschreibung Eine Beschreibung der Plattform-Einstellungen.

Diese Beschreibung wird im Self Service Portal neben dem

Namen angezeigt.

Besitzer

Gerätegruppe

Registrierungspaket

Nutzungsbedingungen

Der Besitzertyp (Firmengerät oder Privatgerät) von Geräten, die mit dieser Konfiguration registriert werden.

Die Gerätegruppe, der das Gerät hinzugefügt wird.

Das an das Gerät gesendete Auftragspaket (Android, iOS, macOS) bzw. Richtlinie (Windows, Windows Mobile).

Der Text, der im Self Service Portal zu Beginn der

Registrierung angezeigt wird.

Wenn Sie das Feld leer lassen, wird kein Text angezeigt.

Benutzer müssen dem Text zustimmen, um mit der

Registrierung fortzufahren.

Registrierungsabschlusstext Der Text, der im Self Service Portal am Ende der

Registrierung angezeigt wird.

Wenn Sie das Feld leer lassen, wird kein Text angezeigt.

7. Klicken Sie auf Anwenden, um die Plattform-Einstellungen zu der Konfiguration für das Self

Service Portal hinzuzufügen.

Sophos Mobile

8. Konfigurieren Sie bei Bedarf weitere Plattformen.

Für jede Plattform können Sie unterschiedliche Einstellungen für Firmengeräte und Privatgeräte konfigurieren.

9. Klicken Sie auf der Seite Self-Service-Portal-Konfiguration bearbeiten auf Speichern.

Fügen Sie bei Bedarf weitere Einstellungen für andere Benutzergruppen hinzu.

Auf der Seite Self-Service-Portal-Konfigurationen können Sie mit den Pfeilsymbolen neben einer

Konfiguration deren Priorität ändern. Falls mehrere Konfigurationen für einen Benutzer zutreffen

(weil der Benutzer Mitglied mehrerer Gruppen ist), wird die Konfiguration mit der höchsten Priorität verwendet.

Es gibt immer eine Konfiguration Default. Diese Konfiguration hat die niedrigste Priorität, d.h. sie wird nur verwendet, wenn keine andere Konfiguration für einen Benutzer zutrifft.

9.2 Registrierungstexte erstellen

Für das Self Service Portal können Sie Nutzungsbedingungen und einen Registrierungsabschlusstext festlegen, die vor bzw. nach der Geräteregistrierung angezeigt werden. Sie erstellen diese Texte unabhängig von der Self-Service-Portal-Konfiguration und weisen sie dann bei Bedarf einer

Konfiguration zu.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Self Service Portal.

2. Klicken Sie auf Registrierungstexte und anschließend auf den Typ des zu erstellenden Textes:

• Nutzungsbedingungen: Eine Richtlinie, ein Haftungshinweis oder eine Vereinbarung. Dieser

Text wird vor der Registrierung angezeigt. Benutzer müssen dem Text zustimmen, um mit der

Registrierung fortzufahren.

• Registrierungsabschlusstext: Ein Text, der nach der Registrierung angezeigt wird, zum

Beispiel eine Erläuterung weiterer Schritte, die Benutzer ausführen müssen.

3. Geben Sie auf der Seite Registrierungstext bearbeiten einen Namen für den Text ein und dann den Text selber.

Sie können für den Text HTML-Formatierungen verwenden.

4. Klicken Sie auf Speichern.

Bei der Self-Service-Portal-Konfiguration können Sie für jeden Registrierungstyp einen eigenen

Nutzungsbedingungen-Text und Registrierungsabschlusstext auswählen.

Zugehörige Aufgaben

Einstellungen für das Self Service Portal konfigurieren

(Seite 30)

9.3 Verfügbare Aktionen im Self Service Portal

Im Self Service Portal verwalten Benutzer ihre Geräte. Welche Aktionen verfügbar sind, legen Sie in der Konfiguration für das Self Service Portal fest.

Aktion

Gerät orten

Gerät sperren

Neukonfiguration

Compliance-Verstöße anzeigen

Daten aktualisieren

Sophos Mobile

Beschreibung

Ein Gerät bei Verlust oder Diebstahl orten.

Ein Gerät bei Verlust oder Diebstahl sperren.

Die App Sophos Mobile Control neu konfigurieren, zum Beispiel, wenn der

Benutzer sie versehentlich deinstalliert hat.

Details zu Richtlinienverstößen anzeigen.

Ein Gerät mit dem Sophos Mobile Server synchronisieren.

Geräte, die über einen längeren Zeitraum ausgeschaltet waren, verstoßen gegen Ihre

Compliance-Richtlinie, wenn diese eine regelmäßige Synchronisierung vorschreibt.

Benutzer können diese Aktion verwenden, um das Gerät wieder richtlinienkonform zu machen.

Plattformen

Android iOS

Windows Mobile

Windows

Android iOS macOS

Windows Mobile

Android iOS macOS

Windows Mobile

Windows

Android iOS macOS

Windows Mobile

Windows

Android iOS macOS

Windows Mobile

Windows

Hinweis

Diese Funktion ist nicht für Geräte verfügbar, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Sophos Mobile

Aktion

Kennwort zurücksetzen

Zurücksetzen

Android-Arbeitsprofil entfernen

Gerät deregistrieren

Nicht verwaltetes Gerät löschen

App-Protection-Kennwort zurücksetzen

Beschreibung

Das Kennwort für den Sperrbildschirm zurücksetzen.

Bei Android- und iOS-Geräten erzeugt

Sophos Mobile ein temporäres Kennwort.

Nachdem der Benutzer das Gerät entsperrt hat, muss er ein neues Kennwort festlegen.

Für Android-Enterprise-Geräte im Modus

„Profilbesitzer“ wird das Kennwort für das

Arbeitsprofil zurückgesetzt.

Bei iOS-Geräten löscht Sophos Mobile das

Kennwort. Der Benutzer muss innerhalb von

60 Minuten ein neues Kennwort festlegen.

Ein Gerät bei Verlust oder Diebstahl auf

Werkseinstellungen zurücksetzen.

Alle Daten auf dem Gerät werden gelöscht.

Plattformen

Android iOS

Windows Mobile

Android iOS macOS

Windows Mobile

Windows

Android Das Arbeitsprofil von einem Gerät entfernen.

Dadurch wird das Gerät auch bei Sophos

Mobile deregistriert.

Ein Gerät bei Sophos Mobile deregistrieren.

Ein Gerät aus Sophos Mobile löschen.

Das Kennwort für App Protection zurücksetzen.

Benutzer müssen dieses Kennwort eingeben, um von Ihnen festgelegte geschützte Apps zu verwenden.

Android iOS macOS

Windows Mobile

Windows

Android iOS macOS

Windows Mobile

Windows

Android

Sophos Mobile

Aktion

Sophos-Container-

Kennwort zurücksetzen

SMC-App neu konfigurieren

Verwalteter Modus

„Verloren“

„Verloren“-Ton abspielen

Beschreibung

Das Kennwort für den Sophos-Container zurücksetzen.

Benutzer müssen dieses Kennwort eingeben, um die Sophos-Container-Apps Sophos

Secure Email und Sophos Secure Workspace zu verwenden.

Eine bereits installierte App Sophos Mobile

Control erneut konfigurieren.

Plattformen

Android iOS iOS

Windows Mobile iOS Den verwalteten Modus „Verloren“ aktivieren oder deaktivieren.

Auf einem Gerät, das sich im verwalteten

Modus „Verloren“ befindet, einen Ton abspielen.

iOS

Zugehörige Aufgaben

Einstellungen für das Self Service Portal konfigurieren

(Seite 30)

Sophos Mobile

10 Compliance-Richtlinien

Mit Compliance-Richtlinien können Sie:

• Bestimmte Funktionen eines Gerätes erlauben, verbieten oder erzwingen.

• Aktionen definieren, die ausgeführt werden, wenn gegen eine Compliance-Regel verstoßen wird.

Sie können unterschiedliche Compliance-Richtlinien erstellen und unterschiedlichen Gerätegruppen zuweisen. Somit können Sie verschiedene Sicherheitsstufen auf Ihre verwalteten Geräte anwenden.

Tipp

Wenn Sie sowohl Firmengeräte als auch Privatgeräte verwalten möchten, empfehlen wir, zumindest für diese beiden Gerätetypen unterschiedliche Compliance-Richtlinien zu definieren.

10.1 Compliance-Richtlinie erstellen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance-Richtlinien.

2. Klicken Sie auf der Seite Compliance-Richtlinien auf Compliance-Richtlinie erstellen und wählen Sie anschließend eine Vorlage für die Richtlinie aus:

• Standardvorlage: Eine Auswahl an Compliance-Regeln ohne vordefinierte Aktionen.

• PCI-Vorlage, HIPAA-Vorlage: Compliance-Regeln und Aktionen, die auf den

Sicherheitsstandards HIPAA bzw. PCI DSS basieren.

Unabhängig davon, mit welcher Vorlage Sie starten, haben Sie immer die selben

Konfigurationsmöglichkeiten.

3. Geben Sie einen Namen und optional eine Beschreibung für die Compliance-Richtlinie ein.

Wiederholen Sie die folgenden Schritte für alle benötigten Plattformen.

4. Stellen Sie sicher, dass das Kontrollkästchen Plattform aktivieren aktiviert ist.

Wenn dieses Kontrollkästchen nicht aktiviert ist, werden die Geräte der Plattform nicht auf

Compliance überprüft.

5. Konfigurieren Sie unter Regel die Compliance-Regeln für die ausgewählte Plattform.

Hinweis

Jede Compliance-Regel hat einen bestimmten Schweregrad (hoch, mittel, niedrig), der durch blaue Balken dargestellt wird. Die erlaubt Ihnen, die Wichtigkeit jeder Regel zu beurteilen und so eine angemessene Aktion für den Fall eines Regelverstoßes zu definieren.

Hinweis

Für Geräte, auf denen Sophos Mobile den Sophos-Container verwaltet anstatt das gesamte Gerät, ist nur ein Teil der Compliance-Regeln durchsetzbar. Wählen Sie in Regeln

hervorheben einen Management-Typ aus, um die für diesen Typ relevanten Regeln hervorzuheben.

6. Definieren Sie unter Wenn gegen die Regel verstoßen wird, welche Aktionen bei einem

Regelverstoß ausgeführt werden:

Option

E-Mail verbieten

Container sperren

Netzwerkzugriff verbieten

Alarm erstellen

Auftragspaket übertragen

Sophos Mobile

Beschreibung

E-Mail-Zugriff verweigern.

Diese Aktion kann nur ausgeführt werden, wenn der

Superadministrator eine Verbindung zum internen oder zum

Standalone-EAS-Proxy konfiguriert hat. Siehe das Dokument

Sophos Mobile Superadministrator-Anleitung (englisch) .

Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, Windows, Windows Mobile.

Sophos Secure Workspace und Secure Email deaktivieren.

Dies wirkt sich auf den durch diese Apps verwalteten Zugang zu

Dokumenten, E-Mails und Internet aus.

Diese Aktion kann nur ausgeführt werden, wenn Sie eine

Lizenz vom Typ Mobile Advanced aktiviert haben.

Diese Aktion ist nur für Android- und iOS-Geräte verfügbar.

Netzwerkzugriff verbieten.

Diese Aktion kann nur ausgeführt werden, wenn der

Superadministrator Network Access Control konfiguriert hat.

Siehe das Dokument Sophos Mobile Superadministrator-

Anleitung (englisch) .

Dieser Aktion ist nicht für Geräte verfügbar, auf denen Sophos

Mobile nur den Sophos-Container verwaltet.

Einen Alarm auslösen.

Die Alarme werden auf der Seite Alarme angezeigt.

Übermitteln Sie ein bestimmtes Auftragspaket an das Gerät

(optional).

Wählen Sie ein Auftragspaket aus der Liste aus oder wählen

Sie Keine aus, um kein Auftragspaket zu übertragen, wenn ein

Regelverstoß festgestellt wird.

Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, macOS, Windows.

Wichtig

Bei falscher Anwendung werden durch Auftragspakete unter

Umständen Geräte falsch konfiguriert oder sogar auf den

Auslieferungszustand zurückgesetzt. Für die Zuweisung der richtigen Auftragspakete zu Compliance-Richtlinien ist weitreichende Erfahrung mit dem System notwendig.

Hinweis

Wenn ein Android-Enterprise-Gerät im Modus „Gerätebesitzer“ nicht den

Unternehmensrichtlinien entspricht, werden alle Apps deaktiviert.

7. Wenn Sie alle Einstellungen für alle erforderlichen Plattformen vorgenommen haben klicken Sie auf

Speichern, um die Compliance-Richtlinie unter dem gewählten Namen zu speichern.

Sophos Mobile

10.2 Verfügbare Compliance-Regeln

Dieser Abschnitt beschreibt die Compliance-Regeln, die Sie für die einzelnen Plattformen auswählen können.

Regel

Status „Verwaltet“ erforderlich

Minimale SMC-Version

Root-Zugriff erlaubt

Beschreibung

Legen Sie fest, welche Aktionen ausgeführt werden, wenn ein Gerät nicht mehr den Status „Verwaltet“ hat.

Geben Sie die Mindestversion der

App Sophos Mobile Control ein, die auf dem Gerät installiert sein muss.

Wählen Sie aus, ob gerootete Geräte zulässig sind.

Plattformen

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT

Android

Android Things iOS

Windows Mobile

Android

Hinweis

Bei Sony-Geräten mit Enterprise

API 4 oder höher und bei Samsung-

Geräten mit Knox 5.5 oder niedriger beinhaltet das auch Geräte, die von der jeweiligen MDM-API als Insecure klassifiziert werden, zum Beispiel, weil der Bootloader entsperrt ist.

Google-SafetyNet-Kompatibilität erforderlich

Apps aus unbekannten Quellen erlaubt

Android Debug Bridge (ADB) erlaubt

Das Gerät muss die Compatibility-

Test-Suite-Prüfung (CTS) bestehen.

Dies ist ein Google-SafetyNet-Test für die Kompatibilität mit Android.

Android

Android Wählen Sie aus, ob Apps aus unbekannten Quellen erlaubt sind.

Diese Regel betrifft nur Geräte mit

Android 7.x oder älter. Mit Android

8 wurde die Systemeinstellung zur

Beschränkung der Installationsquelle entfernt.

Wählen Sie aus, ob ADB (Android

Debug Bridge) erlaubt ist.

Android

Regel

Jailbreak erlauben

Displaysperre erforderlich

Minimale OS-Version

Maximale OS-Version

Erforderliche Betriebssystem-

Aktualisierungen

Sophos Mobile

Beschreibung

Wählen Sie aus, ob Geräte mit

Jailbreak zulässig sind.

Wählen Sie aus, ob ein

Gerätekennwort oder eine andere

Art der Displaysperre (zum Beispiel

Muster oder PIN) erforderlich ist.

Bei Android umfasst dies die

Displaysperre-Arten Muster, PIN und

Passwort, aber nicht Wischen.

Windows-Mobile-Geräte, denen keine Kennwortrichtlinie zugewiesen ist, werden immer als nicht richtlinienkonform eingestuft. Dies ist eine Beschränkung von Windows.

Wählen Sie die mindestens erforderliche Betriebssystemversion aus.

Plattformen iOS

Android iOS

Windows Mobile

Windows

Wählen Sie die neueste erlaubte

Betriebssystemversion aus.

Wählen Sie aus, ob auf den Geräten die neueste verfügbare bzw. neueste erforderliche Aktualisierung installiert sein muss.

Manche Aktualisierungen werden von

Apple als erforderlich eingestuft. Die neueste verfügbare Aktualisierung ist eventuell neuer als die neueste erforderliche Aktualisierung.

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT iOS

Sophos Mobile

Regel

Maximaler

Synchronisierungsabstand

Maximaler Abstand von SMC-

Synchronisierungen

Maximaler Abstand von SMSec-

Synchronisierungen

Maximaler Abstand von SMSec-

Scans

Ablehnung von SMSec-

Berechtigungen erlaubt

Malware-Apps erlaubt

Verdächtige Apps erlaubt

PUAs erlaubt

Beschreibung

Die maximal erlaubte Zeitspanne zwischen Gerätesynchronisierungen.

Die maximal erlaubte Zeitspanne zwischen Synchronisierungen der

App Sophos Mobile Control.

Die maximal erlaubte Zeitspanne zwischen Synchronisierungen der

App Sophos Mobile Security.

Android iOS

Die maximal erlaubte Zeitspanne zwischen Malware-Scans der App

Sophos Mobile Security.

Sophos Mobile Security benötigt auf dem Gerät bestimmte

Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese Berechtigungen bei der App-

Installation gewähren.

Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein

Compliance-Verstoß ist.

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte Malware-

Apps erlaubt sind.

Android

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte verdächtige

Apps erlaubt sind.

Android

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte potentiell unerwünschte Apps (PUAs) erlaubt sind.

Android

Plattformen

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT iOS

Windows Mobile

Sophos Mobile

Regel

Verschlüsselung erforderlich

Fremdprofile erlaubt

Daten-Roaming erlauben

Container konfiguriert

Ortungsberechtigung erforderlich

Beschreibung

Wählen Sie aus, ob für Geräte

Verschlüsselung erforderlich ist.

Benutzer müssen bei der Einrichtung einer Displaysperre zusätzlich die Einstellung PIN zum Starten

des Gerätes erforderlich oder

Passwort zum Starten des Gerätes

erforderlich aktivieren. Siehe den

Sophos Knowledge-Base-Artikel

123947 .

Für macOS betrifft diese Einstellung die vollständige FileVault-

Festplattenverschlüsselung.

Für Windows Mobile wird ein

Verstoß nur dann gemeldet, wenn zusätzlich die Einschränkung

Unverschlüsseltes Gerät verbieten aktiv ist. Dies ist eine Beschränkung von Windows.

Diese Regel ist für iOS nicht verfügbar, da iPhones und iPads immer verschlüsselt sind.

Nicht von Sophos Mobile verwaltete

Konfigurationsprofile sind erlaubt.

Daten-Roaming ist erlaubt.

Plattformen

Android macOS

Windows Mobile

Windows iOS

Android iOS

Ein Container muss auf dem Gerät eingerichtet und aktiviert sein. Dies kann der Sophos-Container, ein

Samsung-Knox-Container oder ein

Android-Arbeitsprofil sein.

Diese Einstellung bezieht sich auf die Lokalisieren Funktion. Legen Sie fest, ob der Benutzer der App Sophos

Mobile Control bei der Installation gestatten muss, Ortsdaten abzurufen, damit das Gerät richtlinienkonform ist.

Android

Sophos Mobile

Regel

Ablehnung von SMC-

Berechtigungen erlaubt

App kann das Gerät orten

Firewall erforderlich

Systemintegritäts-Schutz erforderlich

Sicherheitsupdates erforderlich

Beschreibung

Die App Sophos Mobile Control benötigt auf dem Gerät bestimmte

Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese Berechtigungen bei der App-

Installation gewähren.

Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein

Compliance-Verstoß ist.

Ortungsdienste müssen aktiviert sein und von der App Sophos Mobile

Control verwendet werden dürfen.

Für Windows Mobile betrifft diese

Regel nur Geräte mit Windows Phone

8.1.

Plattformen

Android iOS

Windows Mobile

Die macOS-Firewall muss aktiviert sein.

Systemintegritäts-Schutz muss aktiviert sein.

macOS macOS

Hinweis

Systemintegritäts-Schutz ist eine

Sicherheitsfunktion in macOS, mit der eingeschränkt werden kann, welche

Aktionen für den Root-Benutzer erlaubt sind. Systemintegritäts-Schutz kann konfiguriert werden, wenn der Mac im Modus macOS-Wiederherstellung gestartet wird.

Die automatische Installation von macOS-Sicherheitsupdates muss aktiviert sein.

macOS

Sophos Mobile

Regel

Erlaubte Apps / Verbotene Apps

Beschreibung

Sie können entweder Erlaubte Apps oder Unzulässige Apps angeben.

Wählen Sie zunächst aus der ersten

Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten Liste die App-

Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Informationen zur Erstellung von App-

Gruppen finden Sie in

App-Gruppen

(Seite 328).

Wenn Sie Erlaubte Apps angeben, sind nur die aufgeführten Apps erlaubt. Wenn andere Apps erkannt werden, ist das Gerät nicht mehr richtlinienkonform.

Plattformen

Android iOS macOS

Vorgeschriebene Apps

Nicht verwaltete Nicht-Store-Apps erlaubt

Web Filtering ist aktiviert

Windows Defender muss eingeschaltet sein

Windows Defender darf keine

Probleme melden

Hinweis

Android-System-Apps sind automatisch erlaubt.

Wenn Sie Unzulässige Apps angeben, ist das Gerät nicht mehr richtlinienkonform, falls diese Apps erkannt werden.

Geben Sie Apps an, die installiert sein müssen. Wählen Sie die App-

Gruppe mit den erforderlichen Apps aus der Liste aus. Informationen zur

Erstellung von App-Gruppen finden

Sie in App-Gruppen

(Seite 328).

Android iOS macOS

Windows

Apps sind erlaubt, die manuell mit einer IPA-Datei installiert wurden.

Dies sind selbst-entwickelte Apps, die mit einem

ad hoc provisioning profile

signiert sind.

iOS

Die Funktion Web Filtering der App

Sophos Mobile Security muss aktiviert sein.

iOS

Windows Die Windows-Defender-Einstellung

Echtzeitschutz muss eingeschaltet sein.

Das Gerät ist nicht richtlinienkonform, wenn Windows Defender Warnungen anzeigt.

Windows

Sophos Mobile

Regel

Windows-Defender-Definitionen müssen aktuell sein

Beschreibung

Windows Defender muss die neuesten Antispyware-Definitionen verwenden.

Plattformen

Windows

10.3 Eine Compliance-Richtlinie Gerätegruppen zuweisen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen.

Die Seite Gerätegruppen wird angezeigt.

2. Klicken Sie auf die Gerätegruppe, der Sie eine Compliance-Richtlinie zuweisen wollen.

Die Gerätegruppe Default ist standardmäßig vorhanden. Weitere Informationen zum Erstellen

eigener Gerätegruppen finden Sie in Gerätegruppen erstellen (Seite 93).

3. Wählen Sie unter Compliance-Richtlinien die Compliance-Richtlinien aus, die Sie auf Firmenund Privatgeräte anwenden wollen.

4. Klicken Sie auf Speichern.

Die ausgewählten Compliance-Richtlinien werden auf der Seite Gerätegruppen für die jeweilige

Gerätegruppe unter Compliance-Richtlinie (Firmengeräte) und Compliance-Richtlinie

(Privatgeräte) angezeigt.

10.4 Geräte auf Compliance-Verstöße prüfen

Wenn Sie Compliance-Richtlinien konfiguriert haben, können Sie prüfen, ob registrierte Geräte diesen Richtlinien entsprechen.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance-Richtlinien.

2. Klicken Sie auf Jetzt prüfen.

Alle registrierten Geräte werden auf Compliance-Verstöße geprüft. Die festgelegten Aktionen werden ausgeführt.

Hinweis

Wenn ein Android-Enterprise-Gerät im Modus „Gerätebesitzer“ nicht den Unternehmensrichtlinien entspricht, werden alle Apps deaktiviert.

Sophos Mobile

11 Geräte

11.1 Geräte hinzufügen

Sie können Geräte auf folgende Weisen zu Sophos Mobile hinzufügen:

•

Geräte manuell hinzufügen. Siehe Gerät hinzufügen

(Seite 45).

• Geräte aus einer CSV-Datei importieren. Siehe

Geräte importieren (Seite 46).

• Mit dem Assistenten Gerät hinzufügen ein Gerät zu Sophos Mobile hinzufügen, es einem

Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen. Siehe

Den

Assistenten Gerät hinzufügen verwenden

(Seite 49).

•

Benutzern ermöglichen, Geräte eigenständig im Self Service Portal zu registrieren. Siehe Self

Service Portal konfigurieren

(Seite 30). Dieses Portal verringert den Aufwand für die IT, weil die

Benutzer Aufgaben ausführen können, ohne sich an das Helpdesk wenden zu müssen. Die Geräte

werden durch das Ausführen vordefinierter Auftragspakete provisioniert. Siehe Auftragspakete

(Seite 296).

Zur Vereinfachung der Geräteverwaltung empfehlen wir Ihnen, Geräte in Gerätegruppen zu organisieren. Siehe

Gerätegruppen (Seite 93).

11.1.1 Gerät hinzufügen

Wir empfehlen, dass Sie eine oder mehrere Gerätegruppen erstellen, bevor Sie das erste Gerät zu

Sophos Mobile hinzufügen. Um die Geräteverwaltung zu vereinfachen, können Sie jedes Gerät einer

Gerätegruppe zuweisen. Siehe

Gerätegruppen erstellen

(Seite 93).

So fügen Sie ein neues Gerät zu Sophos Mobile hinzu:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

Die Seite Geräte wird angezeigt.

2. Klicken Sie auf Hinzufügen und wählen Sie anschließend im Menüabschnitt Gerät manuell

hinzufügen die Plattform aus.

Die Seite Gerät bearbeiten wird angezeigt.

3. Geben Sie auf der Seite Gerät bearbeiten die folgenden Gerätedetails ein: a) Geben Sie im Feld Name einen eindeutigen Namen für das neue Gerät ein.

b) Geben Sie im Feld Beschreibung eine Beschreibung für das neue Gerät ein.

c) Wählen Sie unter Eigentümer Firmengerät oder Privat aus.

d) Geben Sie im Feld E-Mail-Adresse eine E-Mail-Adresse ein.

e) Geben Sie im Feld Telefonnummer die Telefonnummer des neuen Gerätes ein. Geben Sie die

Telefonnummer in internationaler Schreibweise ein, zum Beispiel +491701234567 .

f) Wählen Sie unter Gerätegruppe die Gerätegruppe, zu der das Gerät hinzugefügt werden soll.

Für weitere Informationen zum Erstellen von Gerätegruppen, siehe Gerätegruppen erstellen

(Seite 93).

4. Um dem Gerät einen Benutzer zuzuweisen, klicken Sie auf das Symbol Benutzerzuweisung

bearbeiten neben dem Feld Benutzer und anschließend auf Benutzer zuweisen. Weitere

Informationen finden Sie in

Benutzer einem Gerät zuweisen

(Seite 61).

Sophos Mobile

5. Um benutzerdefinierte Eigenschaften zum Gerät hinzuzufügen, öffnen Sie das Tab

Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft

hinzufügen. Weitere Informationen finden Sie in

Benutzerdefinierte Geräteeigenschaften hinzufügen

(Seite 71).

6. Wenn Sie alle erforderlichen Gerätedetails angegeben haben, klicken Sie auf Speichern.

Das neue Gerät wird zu Sophos Mobile hinzufügt und auf der Seite Geräte unter VERWALTEN angezeigt. Sie können das Gerät nun provisionieren und verwalten.

Hinweis

Wenn Sie in Sophos Mobile konfiguriert haben, dass der Name von iOS-Geräten mit dem Gerät

synchronisiert wird (siehe Einstellungen für iOS konfigurieren

(Seite 17)), wird der Name, den

Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten Namen ersetzt.

11.1.2 Geräte importieren

Sie können neue Geräte hinzufügen, indem Sie diese aus einer CSV-Datei importieren.

Sie können bis zu 500 Geräte importieren.

Benutzer und Gerätegruppen müssen bereits in Sophos Mobile vorhanden sein.

Für die CSV-Datei gilt folgendes:

• Die erste Zeile enthält die Spaltenüberschriften und wird nicht importiert.

• Als Trennzeichen wird ein Semikolon verwendet, kein Komma.

• Alle Zeilen haben die korrekte Anzahl an Semikolons. Dies gilt auch, wenn optionale Werte fehlen.

• Die Dateiendung ist .csv

• Damit nicht englische Zeichen korrekt importiert werden, muss die Datei UTF-8-kodiert sein.

Tipp

Klicken Sie auf der Seite Geräte importieren auf Beispiel-CSV, um eine Beispieldatei herunterzuladen.

So importieren Sie Geräte aus einer CSV-Datei:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf der Seite Geräte auf HinzufügenGeräte importieren.

3. Klicken Sie auf der Seite Geräte importieren auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.

Die Einträge werden aus der Datei eingelesen und angezeigt.

4. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen

Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.

5. Klicken Sie auf Fertigstellen, um die Geräte anzulegen.

Die in der CSV-Datei aufgeführten Geräte werden importiert und auf der Seite Devices angezeigt.

Anschließend können Sie die Geräte registrieren und konfigurieren.

Sophos Mobile

11.2 Geräte registrieren

Nachdem Sie in Sophos Mobile Admin neue Geräte hinzugefügt haben, müssen diese bei Sophos

Mobile registriert werden.

Registrierungsarten

Sophos Mobile unterstützt zwei Arten von Registrierung:

Gerät registrieren

Sophos-Container registrieren

Diese Registrierungsart ermöglicht eine umfassende MDM-Geräteverwaltung (Mobile

Device Management). Sophos Mobile kann das gesamte Gerät verwalten.

Sophos Mobile verwaltet nur den Sophos-

Container auf dem Gerät, nicht das gesamte

Gerät.

Der Sophos-Container ist für Android und iOS verfügbar.

Die Sophos-Container-Registrierung ist in folgenden Situationen nützlich:

• Sie wollen ein Bring-Your-Own-Device-

Szenario (BYOD) unterstützen. Bei der

Sophos-Container-Registrierung erhält

Ihr Unternehmen nur sehr begrenzte

Geräteinformationen und keine Informationen zu privaten Apps oder Daten.

• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzlich

Funktionen nutzen, die vom Sophos-

Container bereitgestellt werden, wie zum Beispiel die Synchronisierung des

Unternehmens-Schlüsselbundes mit Sophos

SafeGuard Enterprise.

• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzliche

E-Mail-Konten einrichten. Dies ist zum

Beispiel für Beraterfirmen interessant, deren

Mitarbeiter E-Mail-Konten auf den Exchange-

Servern ihrer Kunden haben.

Registrierungsverfahren

Sie haben folgende Möglichkeiten, Geräte zu registrieren:

• Mit der Funktion Geräte können Sie einzelne nicht verwaltete Geräte registrieren. Weitere

Informationen finden Sie in

Einzelne Geräte registrieren

(Seite 48).

Sophos Mobile

• Mit dem Assistenten Gerät hinzufügen können Sie ein Gerät zu Sophos Mobile hinzufügen, es einem Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen.

Siehe

Den Assistenten Gerät hinzufügen verwenden (Seite 49).

Hinweis

Bei Bedarf können Sie den Assistenten Gerät hinzufügen oder eine automatische

Registrierung verwenden, um iOS-Geräte zu registrieren, auf denen keine Apple-ID eingerichtet ist. Dies ist zum Beispiel nützlich, um ein Gerät vor der Übergabe an einen

Endbenutzer vorzukonfigurieren. Siehe iOS-Geräte ohne Apple-ID registrieren

(Seite 51).

Empfehlungen

Für eine effiziente Registrierung und Konfiguration mehrerer Geräte empfehlen wir folgende

Methoden:

• Sie können die Aufträge zusammenfassen, die erforderlich sind, Geräte zu registrieren, Richtlinien zuzuweisen und Apps zu installieren (zum Beispiel verwaltete Apps im Falle von iOS-Geräten).

Siehe

Auftragspakete

(Seite 296).

• Sie können Benutzern ermöglichen, Geräte im Self Service Portal zu registrieren. Nehmen Sie hierzu bei der Konfiguration der Einstellungen für das Self Service Portal ein Auftragspaket für die

Registrierung auf. Weitere Informationen zum Auswählen des Auftragspakets in den Einstellungen

Self Service Portal finden Sie in

Einstellungen für das Self Service Portal konfigurieren

(Seite 30).

11.2.1 Einzelne Geräte registrieren

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf das Gerät, das Sie registrieren wollen.

2. Wählen Sie auf der Seite Gerät anzeigen einen Registrierungstyp aus:

• Um das Gerät bei Sophos Mobile zu registrieren, klicken Sie auf Aktionen > Registrieren.

• Um den Sophos-Container zu registrieren, klicken Sie auf Aktionen > Sophos-Container

registrieren.

3. Für die Registrierung des Sophos-Containers wählen Sie ein Auftragspaket oder eine Richtlinie aus.

Der Einrichtungsauftrag wird gestartet und auf der Seite Auftragsstatus angezeigt. Eine E-Mail mit

Registrierungsanweisungen wird an den Benutzer verschickt.

Wichtig

Ab iOS 12.2 müssen Sie in die App „Einstellungen” wechseln, um das heruntergeladene

Konfigurationsprofil zu installieren. Falls Sie das Profil nicht innerhalb von acht Minuten installieren, wird es gelöscht und Sie müssen von Neuem beginnen.

Diese Beschränkung gilt nicht, wenn Sie das Apple-Programm zur Geräteregistrierung (DEP) oder

Apple Configurator verwenden, um das Gerät mit Sophos Mobile zu verbinden.

Sophos Mobile

Hinweis

Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von Sophos

Mobile verwaltet werden soll. Für die Installation des Registrierungsprofils muss der Benutzer ein

Administratorkennwort eingeben.

11.2.2 Den Assistenten Gerät hinzufügen verwenden

Mit dem Assistenten Gerät hinzufügen können Sie auf einfache Weise neue Geräte registrieren. Er führt Sie durch folgende Arbeitsschritte:

• Ein neues Gerät zu Sophos Mobile hinzufügen.

• Optional: Dem Gerät einen Benutzer zuweisen.

• Das Gerät registrieren.

• Optional: Ein Auftragspaket an das Gerät übermitteln.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“.

Tipp

Alternativ können Sie den Assistenten auch von der Seite Übersicht aus starten, indem Sie auf das Widget Gerät hinzufügen klicken.

2. Geben Sie auf der Seite Benutzer entweder Suchkriterien ein, um nach einem Benutzer zu suchen, dem das Gerät zugewiesen werden soll, oder wählen Sie Benutzerzuweisung

überspringen aus, um ein Gerät ohne Benutzerzuweisung zu registrieren.

3. Wählen Sie auf der Seite Benutzerauswahl den Benutzer aus.

4. Konfigurieren Sie auf der Seite Gerätedetails die folgenden Einstellungen.

Option

Plattform

Name

Beschreibung

Telefonnummer

E-Mail-Adresse

Beschreibung

Das Betriebssystem des Gerätes.

Sie können nur Plattformen auswählen, die für den Kunden aktiviert sind.

Ein eindeutiger Name, unter dem das Gerät von Sophos Mobile verwaltet wird.

Eine optionale Beschreibung des Gerätes.

Eine optionale Telefonnummer. Geben Sie die Telefonnummer in internationaler Schreibweise ein, zum Beispiel

+491701234567 .

Die E-Mail-Adresse, an welche die Registrierungsinformationen gesendet werden.

Wenn für den Kunden eine Benutzerverwaltung konfiguriert ist, ist dies die E-Mail-Adresse des Benutzers, der dem Gerät zugewiesen ist.

Wenn keine Benutzerverwaltung konfiguriert ist, geben Sie hier eine E-Mail-Adresse ein.

Sophos Mobile

Option

Besitzer

Gerätegruppe

Beschreibung

Wählen Sie die Art des Gerätebesitzers: entweder Firmengerät oder Privat.

Wählen Sie die Gerätegruppe, zu der das Gerät hinzugefügt werden soll. Wenn Sie noch keine Gerätegruppe erstellt haben, können Sie die Gerätegruppe Default wählen, die immer verfügbar ist.

5. Wählen Sie auf der Seite Registrierungstyp aus, ob Sie das Gerät oder nur den Sophos

Container registrieren wollen.

Siehe Sophos-Container-Registrierung konfigurieren

(Seite 372).

6. Wählen Sie ein Auftragspaket oder eine Richtlinie aus, die an das Gerät übertragen werden.

Oder wählen Sie Nur Gerät registrieren aus, um nach der Registrierung kein Auftragspaket zu

übertragen.

7. Folgen Sie auf der Seite Registrierung den Anweisungen, um die Registrierung abzuschließen.

Wichtig

Ab iOS 12.2 müssen Sie in die App „Einstellungen” wechseln, um das heruntergeladene

Konfigurationsprofil zu installieren. Falls Sie das Profil nicht innerhalb von acht Minuten installieren, wird es gelöscht und Sie müssen von Neuem beginnen.

Diese Beschränkung gilt nicht, wenn Sie das Apple-Programm zur Geräteregistrierung (DEP) oder Apple Configurator verwenden, um das Gerät mit Sophos Mobile zu verbinden.

Hinweis

Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von

Sophos Mobile verwaltet werden soll. Für die Installation des Registrierungsprofils muss der

Benutzer ein Administratorkennwort eingeben.

8. Klicken Sie nach erfolgreicher Registrierung auf Fertigstellen.

Hinweis

• Nachdem Sie alle Einstellungen vorgenommen haben, können Sie den Assistenten schließen, ohne darauf warten zu müssen, dass die Schaltfläche Fertigstellen erscheint. Ein

Registrierungsauftrag wird erstellt und im Hintergrund ausgeführt.

• Wenn Sie ein Auftragspaket ausgewählt haben, dass nach der Registrierung auf das Gerät

übertragen wird, können Sie auf der Seite Auftragsstatus den Auftragsstatus überwachen.

Siehe Nicht abgeschlossene, fehlgeschlagene und kürzlich abgeschlossene Aufträge anzeigen

(Seite 9).

• Wenn Sie konfiguriert haben, dass Sophos Mobile den Gerätenamen von iOS-Geräten mit

dem Gerät synchronisiert (siehe Einstellungen für iOS konfigurieren

(Seite 17)), wird der

Name, den Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten

Namen ersetzt.

11.2.3 iOS-Geräte automatisch registrieren

Sie können iOS-Geräte so konfigurieren, dass sie sich während der Geräteaktivierung automatisch bei Sophos Mobile registrieren. Dazu müssen Sie die Geräte mit Hilfe der Software Apple

Configurator 2 dem MDM-Server von Sophos Mobile zuweisen. Wenn die Benutzer die Geräte

Sophos Mobile erstmalig einschalten, startet der iOS-Einrichtungsassistent. Während der Einrichtung werden die

Geräte automatisch bei Sophos Mobile registriert.

Hinweis

Detaillierte Informationen zu Apple Configurator 2 finden Sie im Apple Configurator 2

Benutzerhandbuch (externer Link) .

So konfigurieren Sie die automatische Registrierung von iOS-Geräten bei Sophos Mobile:

1. Zur Vorbereitung der automatischen Registrierung müssen Sie einmalig eine Gerätegruppe erstellen, die Geräten zugewiesen wird, die sich automatisch bei Sophos Mobile registrieren.

Wählen Sie in den Eigenschaften der Gerätegruppe die Option iOS-Auto-Registrierung

aktivieren aus. Siehe Gerätegruppen erstellen

(Seite 93).

2. Notieren Sie sich die URL, die im Feld URL für Auto-Registrierung angezeigt wird.

Sie benötigen diese URL bei der Konfiguration von Geräten mit Apple Configurator 2.

3. Verbinden Sie das iOS-Gerät, das Sie für die automatische Registrierung konfigurieren wollen, mit einem USB-Anschluss eines Macs, auf dem Apple Configurator 2 installiert ist.

4. Verwenden Sie in Apple Configurator 2 den Vorbereitungsassistenten, um die Gerätekonfiguration einzurichten.

5. Wählen Sie Manuelle Registrierung aus und geben Sie anschließend die Registrierungs-URL der

Gerätegruppe ein.

6. Folgen Sie den weiteren Schritten des Vorbereitungsassistenten. Optional können Sie folgende

Bereiche der Geräteaktivierung konfigurieren:

• Gerät als betreut definieren (Supervision mode).

• Computer festlegen, mit denen sich das Gerät per USB koppeln darf.

• Bei betreuten Geräten eine Betreuungsidentität (Supervision Identity) erstellen oder auswählen.

• Schritte des iOS-Einrichtungsassistenten deaktivieren.

Nachdem Sie die Konfiguration abgeschlossen haben, übergeben Sie das Gerät an den Benutzer.

Wenn der Benutzer das Gerät erstmalig einschalten, wird die iOS-Einrichtung und die Registrierung bei Sophos Mobile so durchgeführt, wie Sie es konfiguriert haben.

Tipp

Standardmäßig verwaltet Sophos Mobile die automatisch registrierten Geräte unter einem

Namen, der aus der Geräte-ID und dem Gerätetyp gebildet wird. Alternativ kann Sophos Mobile den Namen verwenden, der auf dem Gerät konfiguriert ist. Siehe die Option Gerätename

synchronisieren in

Einstellungen für iOS konfigurieren (Seite 17).

11.2.4 iOS-Geräte ohne Apple-ID registrieren

Sie können ein iOS-Gerät bei Sophos Mobile registrieren, auf dem noch keine Apple-ID eingerichtet ist. Dies ist zum Beispiel nützlich, um Geräte vor der Übergabe an einen Endbenutzer vorzukonfigurieren.

Das Standard-Registrierungsverfahren beinhaltet die Installation der App Sophos Mobile Control auf dem Gerät. Da die App aus dem App Store installiert wird und für den Zugriff auf den App Store eine

Apple-ID erforderlich ist, müssen Sie vor der Registrierung das Gerät mit einer Apple-ID verknüpfen.

Alternativ können Sie ein iOS-Gerät auch registrieren, ohne die App Sophos Mobile Control zu installieren. In diesem Fall müssen Sie das Gerät nicht mit einer Apple-ID verknüpfen. Dies ist auf folgende Arten möglich:

Sophos Mobile

• Mit der automatischen Registrierung. Siehe

iOS-Geräte automatisch registrieren (Seite 50).

•

Mit dem Assistenten Gerät hinzufügen. Siehe Den Assistenten Gerät hinzufügen verwenden

(Seite 49).

Gehen Sie im Assistenten folgendermaßen vor:

1. Öffnen Sie auf der Seite Registrierung das Tab Registrierung ohne Apple-ID.

2. Öffnen Sie im Webbrowser des Gerätes die Registrierungs-URL. Dies öffnet ein Webformular für die Registrierung bei Sophos Mobile.

3. Geben Sie in diesem Formular das Token ein und klicken Sie anschließend auf Registrieren.

4. Folgen Sie den auf dem Gerät angezeigten Anweisungen, um das Registrierungs-Auftragspaket zu installieren.

Wichtig

Ab iOS 12.2 müssen Sie in die App „Einstellungen” wechseln, um das heruntergeladene

Konfigurationsprofil zu installieren. Falls Sie das Profil nicht innerhalb von acht Minuten installieren, wird es gelöscht und Sie müssen von Neuem beginnen.

Diese Beschränkung gilt nicht, wenn Sie das Apple-Programm zur Geräteregistrierung (DEP) oder

Apple Configurator verwenden, um das Gerät mit Sophos Mobile zu verbinden.

11.2.5 Android-Enterprise-Geräte registrieren

Android-Enterprise-Geräte werden üblicherweise im Self Service Portal registriert. Wenn Sie Android

Enterprise in Sophos Mobile für das Szenario „Managed Google Play Account“ eingerichtet haben, können Sie Geräte auch mit dem Assistenten Gerät hinzufügen registrieren.

Voraussetzungen:

• Sie haben Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 335).

• Sie haben ein Registrierungs-Auftragspaket erstellt.

Je nach dem Typ der Richtlinie, die von dem Auftragspaket installiert wird, wird das Gerät im Android-Enterprise-Modus „Gerätebesitzer“ oder „Profilbesitzer“ registriert. Siehe

Geräteregistrierung für Android Enterprise konfigurieren

(Seite 340).

So registrieren Sie ein Gerät im Android-Enterprise-Modus:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“.

2. Verwenden Sie (wie in Den Assistenten Gerät hinzufügen verwenden

(Seite 49) beschrieben) den Assistenten Gerät hinzufügen, um die Registrierung zu starten. Gehen Sie bei einem

Android-Enterprise-Gerät folgendermaßen vor: a) Wählen Sie auf der Seite Benutzer die Option Nach Benutzer suchen aus und geben Sie anschließend Suchparameter ein, um den Benutzer zu finden, der dem Gerät zugewiesen werden soll.

b) Wählen Sie auf der Seite Benutzerauswahl den Benutzer aus.

c) Wählen Sie auf der Seite Gerätedetails im Feld Plattform die Option Android aus.

d) Wählen Sie auf der Seite Registrierungstyp Ihr Registrierungs-Auftragspaket für Android

Enterprise aus.

Sophos Mobile

Hinweis

Auf Android-Enterprise-Geräten, die im Modus „Gerätebesitzer“ registriert sind, stehen nur folgende

Apps zur Verfügung:

• Einstellungen

• Telefon

• Play Store

• Sophos Mobile Control

• Kamera (sofern Sie in der Konfiguration Einschränkungen die Einstellung Kamera erlauben aktiviert haben)

11.2.6 Massenregistrierung von Android-Enterprise-Geräten

Mit der App Sophos NFC Provisioning führen Sie eine Massenregistrierung von Android-

Firmengeräten bei Sophos Mobile durch. Sie installieren die App Sophos NFC Provisioning auf einem Gerät ( Master-Gerät ) und übertragen dann die Registrierungseinstellungen per NFC auf die zu registrierenden Geräte. Die Geräte werden bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert.

Voraussetzungen:

• Sie haben Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 335).

• Das Master-Gerät unterstützt NFC.

• Die zu registrierenden Geräte sind neu oder auf Werkseinstellungen zurückgesetzt und unterstützen NFC.

1. Installieren Sie die App Sophos NFC Provisioning aus Google Play auf dem Master-Gerät.

2. Konfigurieren Sie in der App Sophos NFC Provisioning die folgenden Einstellungen:

• Verbindungsdetails Ihres Unternehmens-WLAN.

• Zeitzone und Sprache für die neuen Geräte.

• Optional: Die URL für das Self Service Portal.

• Optional: Überspringen der Geräteverschlüsselung.

• Optional: Überspringen herstellerspezifischer Einrichtungsschritte.

• Optional: Aktivieren Sie System-Apps.

Wenn Sie dies aktivieren, sind alle vom Hersteller vorinstallierten Apps verfügbar.

Wenn Sie dies deaktivieren, sind nur folgende Apps verfügbar: Google Play Store, Kontakte,

Nachrichten, Telefon. Google empfiehlt diese Einstellung für Geräte, die im Android-

Enterprise-Modus „Gerätebesitzer“ registriert sind.

3. Tippen Sie auf Bereit zur Übertragung und halten Sie anschließend das Master-Gerät und das zu registrierende Gerät so Rücken an Rücken, dass die NFC-Sensoren aneinander ausgerichtet sind.

Das Gerät wird eingerichtet und bei Sophos Mobile registriert.

Um weitere Geräte zu registrieren, tippen Sie erneut auf Bereit zur Übertragung.

Sophos Mobile

11.2.7 Android-Things-Geräte registrieren

Um ein Android-Things-Gerät bei Sophos zu registrieren, flashen Sie es mit einem angepassten

Android-Things-Image. Sie verwenden dasselbe Image für alle Geräte, die Sie bei Sophos Mobile registrieren.

Voraussetzung: Sie haben einen Computer eingerichtet, der mit Ihrem lokalen IP-Netzwerk verbunden ist und auf dem das Kommandozeilenwerkzeug „Android Debug Bridge“ ( adb ) installiert ist.

adb ist im Paket Android SDK Platform Tools enthalten. Sie können dieses Paket entweder als

Bestandteil des Android SDK oder als Standalone-Paket installieren. Für weitere Informationen, siehe die Google-Dokumentation zu Android Debug Bridge.

So registrieren Sie ein Android-Things-Gerät bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“.

2. Verwenden Sie (wie in Den Assistenten Gerät hinzufügen verwenden

(Seite 49) beschrieben) den Assistenten Gerät hinzufügen, um die Registrierung zu starten. Gehen Sie bei einem

Android-Things-Gerät folgendermaßen vor: a) Wählen Sie auf der Seite Gerätedetails des Assistenten im Feld Plattform die Option Android

Things aus.

b) Klicken Sie auf der Seite Registrierung des Assistenten auf Sophos Mobile

Downloadbereich öffnen und laden Sie anschließend von dort die APK-Datei der aktuellsten

SMC-App für Android Things herunter.

3. Öffnen Sie die Google-Android-Things-Konsole.

4. Erstellen Sie ein Produkt und eine Build-Konfiguration für Android Things, wie in der Google-

Dokumentation für die Android-Things-Konsole beschrieben.

Fügen Sie auf der Seite Select apps der Android-Things-Konsole die APK-Datei der SMC-App für

Android Things hinzu.

5. Nachdem Sie die Build-Konfiguration abgeschlossen haben, laden Sie Ihr Android-Things-Image herunter.

6. Flashen Sie das Gerät mit dem Image.

7. Sofern noch nicht erfolgt, verbinden Sie das Gerät über Ethernet oder WLAN mit Ihrem lokalen IP-

Netzwerk.

8. Verbinden Sie sich von dem Computer aus, auf dem adb installiert ist, mit dem Gerät: adb connect <IP-Adresse>

Ersetzen Sie <IP-Adresse> durch die IP-Adresse des Gerätes.

9. Verwenden Sie das im Assistenten Gerät hinzufügen oder in der Anweisungs-E-Mail angegebene

Kommando, um die SMC-App für Android Things zu konfigurieren: adb shell am start -d "<Konfigurationsparameter>"

Hinweis

Möglicherweise erhalten Sie eine Systemnachricht Warning: Activity not started, its current task has been brought to the front . Diese können Sie ignorieren.

Die SMC-App für Android Things verbindet sich mit Ihrem Sophos Mobile Server. Nach Abschluss der

Registrierung wird das Gerät in Sophos Mobile mit dem Status Verwaltet angezeigt.

Sophos Mobile

Verwandte Informationen

Google-Android-Things-Konsole (externer Link)

Google-Dokumentation für die Android-Things-Konsole (englisch) (externer Link)

Google-Dokumentation zu Android Debug Bridge (adb) (englisch) (externer Link)

11.2.8 Windows-IoT-Geräte registrieren

Dieser Abschnitt beschreibt die Registrierung eines Windows-IoT-Gerätes mit Hilfe des Assistenten

Gerät hinzufügen.

Voraussetzungen:

• Sie haben ein Installations-Image für Windows 10 IoT Core auf das Gerät aufgespielt, das Sie registrieren wollen.

• Sie haben das Gerät über Ethernet oder WLAN mit Ihrem lokalen IP-Netzwerk verbunden.

So registrieren Sie das Windows-IoT-Gerät bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“.

2. Verwenden Sie (wie in Den Assistenten Gerät hinzufügen verwenden

(Seite 49) beschrieben) den Assistenten Gerät hinzufügen, um die Registrierung zu starten. Gehen Sie bei einem

Windows-IoT-Gerät folgendermaßen vor: a) Wählen Sie auf der Seite Gerätedetails des Assistenten im Feld Plattform die Option

Windows IoT aus.

b) Klicken Sie auf der Seite Registrierung des Assistenten auf Bereitstellungspaket

herunterladen, um eine PPKG-Datei mit dem Bereitstellungspaket für Sophos Mobile herunterzuladen. Der Link befindet sich auch in der Anweisungs-E-Mail.

3. Verwenden Sie auf einem Windows-Computer, der sich im selben Netzwerk wie das Windows-IoT-

Gerät befindet, den Datei-Explorer, um sich mit dem Gerät zu verbinden.

Geben Sie in der Adressleiste des Datei-Explorers folgende Adresse ein ( <ip-address> steht für die IP-Adresse des Gerätes):

\\<IP-Adresse>\c$

Wenn Sie dazu aufgefordert werden, geben Sie Benutzername und Kennwort für ein

Administratorkonto auf dem Gerät ein.

4. Kopieren Sie die PPKG-Datei, die Sie über den Assistenten Gerät hinzufügen heruntergeladen haben, in den Ordner C:\Windows\Provisioning\Packages auf dem Gerät.

Hinweis

Der Ordner darf nur eine einzelne Datei mit Endung .ppkg enthalten.

5. Führen Sie einen Neustart des Gerätes aus.

Nach dem Neustart führt das Windows-IoT-Gerät die im Bereitstellungspaket enthaltenen Kommandos aus und verbindet sich mit Ihrem Sophos Mobile Server. Nach Abschluss der Registrierung wird das

Gerät in Sophos Mobile mit dem Status Verwaltet angezeigt.

Sophos Mobile

Wichtig

Führen Sie auf der Seite Gerät anzeigen die Aktionen Als „Nicht verwaltet“ festlegen und

Löschen nur aus, wenn Sie das Gerät zuvor deregistriert haben. Andernfalls müssen Sie das

Gerät zurücksetzen, bevor Sie es erneut registrieren können. Für das Zurücksetzen müssen Sie erneut ein Installations-Image für Windows 10 IoT Core auf das Gerät aufspielen.

11.3 Geräte deregistrieren

Sie können Geräte deregistrieren, wenn sie nicht mehr benutzt werden, zum Beispiel wenn der

Benutzer ein neues Gerät erhält. Dies ist nützlich, wenn Sie die Anzahl an Geräten, die ein Benutzer im Self Service Portal registrieren kann, begrenzt haben.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Wählen Sie das gewünschte Gerät aus, klicken Sie auf Aktionen und anschließend auf

Deregistrieren.

Eine Meldung wird angezeigt, die Sie zur Bestätigung des Deregistrierungsvorgangs auffordert.

Hinweis

Sie können mehrere Geräte auswählen, die deregistriert werden.

3. Klicken Sie auf Ja.

Das Gerät ist deregistriert. Dadurch werden folgende Vorgänge ausgelöst:

• Android-Geräte:

— Der Sophos Mobile Control Geräteadministrator wird deaktiviert.

— Die Server-Zugangsdaten und alle weiteren erhaltenen Daten werden entfernt.

— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email) sowie die App

Sophos Mobile Security werden zurückgesetzt.

• iOS-Geräte:

— Alle Profile werden entfernt.

— Alle verwalteten Apps werden deinstalliert.

— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.

— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email) werden zurückgesetzt.

• Macs:

— Alle Richtlinien werden entfernt.

— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.

Sophos Mobile

Hinweis

• Wenn Benutzer auf Android-Geräten Sophos Mobile Control als Geräteadministrator deaktivieren, deregistriert die App Sophos Mobile Control das Gerät.

• Für Android-Enterprise-Geräte, die im Modus „Gerätebesitzer“ registriert sind, gibt keine spezielle Aktion, das Gerät zu deregistrieren. Um ein solches Gerät zu deregistrieren, setzen

Sie es auf Werkseinstellungen zurück.

• Wenn Sie Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet haben, können Benutzer nur eine beschränkte Anzahl an Geräten registrieren. Manchmal kann es vorkommen, dass bei der Deregistrierung das Google-Konto mit dem Gerät verbunden bleibt und das Gerät weiterhin als registriert zählt. Falls dies passiert, entfernen Sie das Google-Konto manuell vom Gerät.

11.4 Geräte verwalten

In der Menüleiste können Sie unter VERWALTUNG > Geräte und Gerätegruppen Geräte und

Gerätegruppen verwalten und eine Reihe von administrativen Aufgaben ausführen.

Nachdem Sie Geräte zu Sophos Mobile hinzugefügt haben, können Sie zum Beispiel:

• Gerätedetails anzeigen und bearbeiten.

• E-Mail-Zugriff für Geräte erlauben oder verbieten.

• Geräte ferngesteuert sperren oder entsperren.

• Geräte-Kennwörter zurücksetzen.

• Geräte bei Verlust oder Diebstahl ferngesteuert in den Auslieferungszustand zurücksetzen.

• Geräte deregistrieren (Android und iOS).

• Geräte löschen.

11.4.1 Geräte anzeigen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf den Namen des gewünschten Gerätes.

Die Seite Gerät anzeigen für das ausgewählte Gerät wird angezeigt.

Tipp

Auf der Seite Geräte können Sie sich zusätzliche Informationen anzeigen lassen, indem Sie auf bestimmte Elemente zeigen:

• Zeigen Sie auf das Symbol "Nicht verwaltet" eines Gerätes, um den genauen Status wie

Deregistriert oder Abgemeldet anzuzeigen.

• Zeigen Sie auf das Symbol "Nicht richtlinienkonform“ eines Gerätes, um den Schweregrad

(hoch, mittel, niedrig) anzuzeigen.

Sophos Mobile

11.4.2 Die Seite „Gerät anzeigen“

Auf der Seite Gerät anzeigen werden alle relevanten Informationen für ein einzelnes Gerät angezeigt.

Im oberen Teil der Seite können Sie auf einen Blick die wichtigsten Geräteinformationen sehen.

Im unteren Teil der Seite werden auf mehreren Tabs detaillierte Geräteinformationen angezeigt. Die angezeigten Tabs und Informationen hängen von der Geräteplattform ab.

Von der Seite Gerät anzeigen können Sie direkt auf die Seite Gerät bearbeiten wechseln. Um das angezeigte Gerät zu bearbeiten, klicken Sie auf Bearbeiten.

Status

Zeigt wichtige Geräteinformationen wie Management-Typ, Management-Status und Compliance-

Status.

Profile

Zeigt die auf dem Gerät installierten Profile an (inklusive Provisionierungsprofile).

Das Tab enthält auch Befehle für die Installation oder Deinstallation von Profilen auf Geräten.

Hinweis iOS-Geräteprofile, die nur folgende Konfigurationen enthalten, werden auf dem Tab Profile nicht angezeigt:

• Roaming/Hotspot

• Hintergrundbild

Diese Konfigurationen werden nicht als Profile auf dem Gerät installiert. Sie nehmen nur

Einstellungen vor, die der Benutzer später wieder ändern kann.

Tipp

Mit dem Suchfeld oberhalb der Tabelle können Sie nach der Profilkennung suchen, auch wenn diese in der Tabelle nicht angezeigt wird.

Richtlinien

Zeigt an, welche Richtlinien dem Gerät zugewiesen sind und lässt Sie weitere Richtlinien zuweisen.

Geräteeigenschaften

Zeigt Geräteeigenschaften an (z.B. Modell, Modellname, Betriebssystemversion) und ob das Gerät gerootet ist (Android) oder ein Jailbreak vorhanden ist (iOS).

Sophos Mobile

Benutzerdefinierte Eigenschaften

Zeigt benutzerdefinierte Geräteeigenschaften an. Dies sind die Eigenschaften, die Sie selbst anlegen können. Benutzerdefinierte Geräteeigenschaften können zum Beispiel in Platzhaltern verwendet werden, wenn kein Active Directory zur Verfügung steht. Wenn Sie ein Gerät bearbeiten, können Sie hier auch benutzerspezifische Informationen hinzufügen.

Interne Eigenschaften

Zeigt interne Geräteeigenschaften, zum Beispiel die IMEI, oder ob Active-Sync-Datenverkehr erlaubt ist.

Compliance-Verstöße

Dieses Tab wird nur für Geräte angezeigt, die gegen Compliance-Regeln verstoßen. Angezeigt werden die Compliance-Verstöße des Gerätes und die deshalb ausgeführten Maßnahmen.

Zur Konfiguration dieser Aktionen siehe

Compliance-Richtlinie erstellen (Seite 36).

Installierte Apps

Zeigt die auf dem Gerät installierte Software. Je nach Plattform werden unterschiedliche

Informationen angezeigt.

In der Spalte Größe wird der Speicherbedarf für die App selber angezeigt. In der Spalte Daten wird der zusätzliche Speicherbedarf der App anzeigt, zum Beispiel für Nutzerdaten, Konfigurationen oder

Ähnliches.

Mit der Schaltfläche App installieren können Sie Software auf dem Gerät installieren. Sie können auch Apps vom Gerät deinstallieren, indem Sie auf das Icon Löschen neben der gewünschten App klicken.

Hinweis

• Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, werden Apps außerhalb des Containers nicht aufgeführt. Dies beinhaltet auch Apps, die der Benutzer aus dem Enterprise App Store installiert hat.

• Für iOS können Apps, die als Verwaltet gekennzeichnet sind, stillschweigend deinstalliert werden. Siehe

Verwaltete iOS-Apps (Seite 321).

• Für Macs sind Apps aus allen Benutzerkonten aufgeführt.

• Für Windows können Sie nur Apps deinstallieren, die von Sophos Mobile installiert wurden.

Wenn Sie versuchen, eine vom Benutzer installierte App zu deinstallieren, schlägt der Auftrag fehl.

• Sie können das Tab Installierte Apps deaktivieren. Siehe

Datenschutz-Einstellungen konfigurieren

(Seite 16).

Sophos Mobile

System-Apps

Zeigt die Android-System-Apps auf dem Gerät an.

Hinweis

System-Apps können nicht vom Gerät entfernt werden.

Knox-Apps

Dieses Tab enthält die Apps, die vom Benutzer im Samsung-Knox-Container installiert wurden.

Knox-System-Apps

Dieses Tab enthält die System-Apps, die im Samsung-Knox-Container installiert sind.

Scan-Ergebnisse

Dieses Tab zeigt die Scan-Ergebnisse der App Sophos Mobile Security auf dem Gerät.

Das Tab ist nur verfügbar, wenn die App Sophos Mobile Security von Sophos Mobile verwaltet wird.

Siehe Sophos Mobile Security verwalten (Seite 366).

Zertifikate

Zeigt die auf dem Gerät benutzten Zertifikate an.

Für Macs sind Gerätezertifikate aufgeführt aber keine Benutzerzertifikate.

Für Windows-Computer sind nur Zertifikate aus dem Benutzerspeicher (User Store) aufgeführt, keine Zertifikate aus dem Computerspeicher (Device Store).

Tipp

Zeigen Sie in der Tabelle auf den Wert für Betreff oder Aussteller, um die Zertifikatdetails anzuzeigen.

Aufträge

Dieses Tab zeigt alle noch nicht abgeschlossenen und fehlgeschlagenen Aufträge sowie die abgeschlossenen Aufträge der letzten Tage an. Diese Aufträge werden Ihnen auch auf der Seite

Auftragsstatus angezeigt, zusammen mit den Aufträgen aller anderen Geräte. Siehe Aufträge

überwachen

(Seite 9).

Sophos Mobile

11.4.3 Intelligente Gruppen verwenden

Intelligente Gruppen sind dynamisch erzeugte Gerätegruppen, basierend auf von Ihnen festgelegten

Filterkriterien. Zum Beispiel könnten Sie eine intelligente Gruppe Alle in den letzten drei Monaten

erstellten Android-Firmengeräte definieren.

So definieren Sie eine intelligente Gruppe:

1. Klicken Sie auf der Seite Geräte auf Erweiterter Filter oberhalb der Geräteliste.

2. Legen Sie die Filterkriterien fest.

3. Geben Sie in Intelligente Gruppe einen Namen für die intelligente Gruppe ein und klicken Sie auf

Erstellen.

4. Gehen Sie wie folgt vor:

• Um eine intelligente Gruppe auf die Geräteliste anzuwenden, klicken Sie auf Filter.

• Um das Filterfenster zu schließend, ohne die intelligente Gruppe anzuwenden, klicken Sie auf

Zurücksetzen.

5. Um die intelligente Gruppe später anzuwenden, klicken Sie auf Intelligente Gruppen oberhalb der

Geräteliste und wählen Sie anschließend einen Eintrag aus.

Tipp

• Wenn eine intelligente Gruppe oder ein erweiterter Filter aktiv ist, ändert das Filter-Symbol im

Tabellenkopf seine Farbe von Blau nach Grün.

• Denken Sie daran, einen Filter wieder zurückzusetzen, wenn er nicht mehr benötigt wird.

Andernfalls enthalten Listen oder Berichte unter Umständen nicht die erwarteten Ergebnisse.

Andere Aktionen mit intelligenten Gruppen:

• Um die Anwendung einer intelligenten Gruppe zu beenden und wieder alle Geräte anzuzeigen, klicken Sie auf Erweiterter Filter und anschließend auf Zurücksetzen.

• Um eine intelligente Gruppe zu löschen, klicken Sie auf Intelligente Gruppen und anschließend auf das Mülleimer-Symbol neben dem Eintrag, den Sie löschen wollen.

• Um eine intelligente Gruppe zu bearbeiten, wenden Sie diese zunächst an. Klicken Sie anschließend auf Erweiterter Filter, machen Sie die gewünschten Änderungen, und klicken Sie anschließend auf Erstellen.

• Um einen Ad-Hoc-Filter anzuwenden ohne eine intelligente Gruppe zu erstellen, klicken Sie auf

Erweiterter Filter, legen Sie die Filterkriterien fest, und klicken Sie anschließend auf Filter.

11.4.4 Geräte bearbeiten

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf

Bearbeiten.

3. Nehmen Sie die erforderlichen Änderungen vor.

4. Klicken Sie auf Speichern.

11.4.5 Benutzer einem Gerät zuweisen

Sophos Mobile

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten.

Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten neben dem Feld Benutzer und anschließend auf den gewünschten Eintrag in der Auswahlliste:

• Um einem Gerät ohne Benutzerzuweisung einen Benutzer zuzuweisen, klicken Sie auf Gerät

einem Benutzer zuweisen.

• Um einem Gerät mit bestehender Benutzerzuweisung einen anderen Benutzer zuzuweisen, klicken Sie auf Gerät einem anderen Benutzer zuweisen.

• Klicken Sie auf Benutzerliste aktualisieren, um die Benutzerliste erneut aus dem LDAP-

Verzeichnis zu laden.

4. Geben Sie auf der Seite Suchparameter für Benutzer eingeben des Zuweisungsdialogs einen oder mehrere Suchbegriffe ein, um den Benutzer zu finden, dem das Gerät zugewiesen werden soll. Geben Sie zum Beispiel einen Namen oder Teilnamen ein.

5. Wählen Sie auf der Seite Benutzer auswählen den Benutzer aus und klicken Sie anschließend auf Anwenden.

6. Klicken Sie auf der Seite Gerät bearbeiten auf Speichern.

11.4.6 Benutzerzuweisung für ein Gerät aufheben

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten.

3. Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten

neben dem Feld Benutzer und anschließend auf Zuweisung des Benutzers zum Gerät

aufheben.

4. Klicken Sie im Bestätigungsdialog auf Ja.

5. Klicken Sie auf Speichern.

11.4.7 Netzwerkzugriff konfigurieren

Damit Sie den Netzwerkzugriff für ein Gerät konfigurieren können, muss Network Access Control

(NAC) in Sophos Mobile aktiviert werden.

Bei Sophos Mobile on Premise wird NAC vom Superadministrator aktiviert. Siehe das Dokument

Sophos Mobile Superadministrator-Anleitung (englisch) .

Bei Sophos Mobile as a Service ist NAC standardmäßig aktiviert.

Sie können den Netzwerkzugriff für ein Gerät auf zwei Weisen konfigurieren:

1. Netzwerkzugriff immer erlauben oder sperren.

2. Netzwerkzugriff grundsätzlich erlauben, aber sperren, wenn das Gerät nicht richtlinienkonform ist.

Sophos Mobile

Hinweis

Sophos Mobile schränkt den Netzwerkzugriff nicht selbst ein. Stattdessen stellt es einen Status

Netzwerk verbieten zur Verfügung, der von einer externen NAC-Software wie zum Beispiel

Sophos UTM verwendet werden kann, um die Netzwerkkommunikation zu blockieren.

Hinweis

NAC ist nicht für Macs verfügbar, die per Ethernet verbunden sind. Sophos Mobile kann für Macs nur die MAC-Adresse des WLAN-Netzwerkadapters ermitteln, nicht die des Ethernet-Adapters. Da

Geräte anhand ihrer MAC-Adresse identifiziert werden, wird ein Mac, der über seinen Ethernet-

Port mit dem Internet verbunden ist, als unbekanntes Gerät behandelt, wenn Ihre externe NAC-

Software Sophos Mobile nach dem Netzwerkstatus des Gerätes fragt.

So konfigurieren Sie den Netzwerkzugriff für ein Gerät:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie den Netzwerkzugriffsmodus einstellen wollen.

3. Klicken Sie auf Aktionen und anschließend auf Netzwerkzugriff.

4. Wählen Sie den Netzwerkzugriffsmodus aus:

• Erlauben: Netzwerkzugriff ist für die ausgewählten Geräte erlaubt.

• Sperren: Netzwerkzugriff ist für die ausgewählten Geräte gesperrt.

• Automatischer Modus: Netzwerkzugriff für die ausgewählten Geräte wird durch den

Compliance-Status der Geräte festgelegt.

5. Klicken Sie auf Ja, um die Änderungen zu speichern.

Hinweis

Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, können Sie den

Netzwerkzugriff nicht sperren.

Informationen zur Konfiguration des Netzwerkzugriff über Compliance-Richtlinien finden Sie in

Compliance-Richtlinie erstellen

(Seite 36).

11.4.8 Gerät scannen

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Sie können Android-Geräte scannen, auf denen Sophos Mobile die App Sophos Mobile Security verwaltet.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, das Sie scannen wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > SMSec-Scan auslösen.

Ein Auftrag zum Scannen des Gerätes wird erstellt und an die App Sophos Mobile Security

übertragen.

Sophos Mobile

Die Scan-Ergebnisse werden auf dem Tab Scan-Ergebnisse auf der Seite Gerät anzeigen angezeigt. Klicken Sie auf den Namen einer Bedrohung, um zusätzliche Informationen von

SophosLabs anzuzeigen.

Um mehrere Geräte zu scannen, erstellen Sie ein Auftragspaket mit einem Auftrag SMSec-Scan

auslösen und übertragen Sie dieses an die gewünschten Geräte oder Gerätegruppen.

11.4.9 Gerät sperren

Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert sperren. Dadurch wird die

Bildschirmsperre aktiviert.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie sperren oder entsperren wollen, und anschließend auf Anzeigen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Sperren.

4. Für macOS: Legen Sie einen 6-stelligen PIN-Code fest, der zum Entsperren auf dem Mac eingegeben werden muss.

5. Für einige Gerätetypen können Sie optional eine Nachricht eingeben, die auf dem Sperrbildschirm angezeigt wird.

Ein Auftrag zum Aktiveren der Bildschirmsperre wird erstellt und an das Gerät übertragen.

• Für alle Plattformen außer macOS: Der Benutzer muss sein Gerätekennwort eingeben (bzw. PIN oder Muster), um das Gerät zu entsperren.

• Für macOS: Der Mac startet neu. Der Benutzer muss den von Ihnen festgelegten PIN eingeben, um das Gerät zu entsperren.

Hinweis

Auch auf Geräten, auf denen Sophos Mobile nur das Android-Arbeitsprofil verwaltet, sperrt die

Aktion Sperren das Gerät, nicht nur das Arbeitsprofil.

Hinweis

Sie können nicht Geräte sperren, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Hinweis

Ein Mac, den Sie ferngesteuert gesperrt haben, kann nicht zurückgesetzt werden.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter

Sperr-PIN.

11.4.10 Gerätekennwort zurücksetzen

Bei folgenden Geräten können Sie das Kennwort ferngesteuert zurücksetzen:

• Android-Geräte mit Android 6.x oder älter

• Android-Enterprise-Geräte

Sophos Mobile

• iOS-Geräte

• Windows-Mobile-Geräte

Dies gilt aber nicht für folgenden Geräte:

• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Geräte, auf denen nur die App Sophos Mobile Security bei Sophos Mobile registriert ist.

• Android-Enterprise-Geräte mit Android 8.x oder neuer, falls der Benutzer das Gerätekennwort nicht bestätigt hat.

Auf einigen Geräten legt der Benutzer das Kennwort während der erstmaligen Einrichtung fest, bevor die App Sophos Mobile Control installiert wird. In diesem Fall fordert die App Sophos

Mobile Control den Benutzer bei jeder Synchronisierung auf, das Kennwort zu bestätigen.

Solange der Benutzer das Kennwort nicht bestätigt hat, können Sie das Gerät nicht ferngesteuert zurücksetzen.

So setzen Sie das Kennwort eines Gerätes zurück:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, für das Sie das Kennwort zurücksetzen wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Kennwort zurücksetzen.

4. Falls im Bestätigungsdialog ein Einmal-Kennwort zum Entsperren des Gerätes angezeigt wird, teilen Sie dieses dem Benutzer mit.

Android und Windows Mobile: Der Benutzer muss das Gerät mit dem Einmal-Kennwort entsperren und anschließend ein neues Kennwort festlegen.

iOS: Das Kennwort wird entfernt und das Gerät entsperrt.

11.4.11 Gerätestandort anzeigen

Wichtig

Aus Datenschutzgründen werden alle Ereignisse zu Geräteortungen für eventuelle spätere

Untersuchungen aufgezeichnet.

Hinweis

Sie können die Anzeige von Gerätestandorten in Sophos Mobile Admin deaktivieren. Siehe

Datenschutz-Einstellungen konfigurieren

(Seite 16).

Sie können den Standort von Android- und iOS-Geräten in Google Maps anzeigen, wenn folgende

Bedingungen erfüllt sind:

Android-Geräte:

• Die App Sophos Mobile Control läuft.

• Ortungsdienste sind eingeschaltet.

• Für Android-Enterprise-Geräte im Modus „Profilbesitzer“: Ortungsdienste für das Arbeitsprofil sind eingeschaltet.

• Die App Sophos Mobile Control besitzt die Berechtigung Standort.

iOS-Geräte:

• Die App Sophos Mobile Control läuft.

Sophos Mobile

• Ortungsdienste sind eingeschaltet und können von der App Sophos Mobile Control verwendet werden.

• Im verwalteten Modus „Verloren“ können Sie den Gerätestandort immer anzeigen.

Tipp

Verwenden Sie die Compliance-Regel Ortungsberechtigung erforderlich, um sicherzustellen,

dass die App Sophos Mobile Control den Gerätestandort ermitteln kann. Siehe Verfügbare

Compliance-Regeln (Seite 38).

So zeigen Sie den Standort eines Gerätes an:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, dessen Standort Sie anzeigen wollen.

3. Klicken Sie auf Aktionen > Standort anzeigen.

Fall Standort anzeigen nicht vorhanden ist, überprüfen Sie, ob die App Sophos Mobile Control den Gerätestandort ermitteln kann.

4. Geben Sie eine Begründung für die Standort-Ermittlung ein und klicken Sie anschließend auf Ja.

Ein Auftrag zur Standort-Ermittlung wird erstellt und an das Gerät übertragen.

5. Nachdem der Auftrag abgeschlossen wurde, klicken Sie auf Aktionen > Standort anzeigen >

Standort anzeigen, um den Gerätestandort in Google Maps anzuzeigen.

11.4.12 Gerät zurücksetzen

Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert zurücksetzen. Dadurch wird das

Gerät auf Werkseinstellungen zurückgesetzt.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie zurücksetzen wollen, und anschließend auf Anzeigen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Zurücksetzen.

4. Für einige Gerätetypen müssen Sie weitere Einstellungen konfigurieren: a) Android-Enterprise-Geräte im Modus „Gerätebesitzer“: Aktivieren Sie bei Bedarf FRP (Factory

Reset Protection). Siehe Android Factory Reset Protection

(Seite 344).

Wichtig

Wenn die Google-Konten, die Sie für FRP konfiguriert haben, ungültig sind oder wenn Sie die Anmeldeinformationen für die Konten nicht mehr kennen, kann das Gerät nach dem

Zurücksetzen nicht mehr verwendet werden.

b) iOS-Geräte: Konfigurieren Sie im Bestätigungsdialog folgende Einstellungen:

• Datentarif beibehalten: Wenn für das Gerät ein mobiler Datentarif eingerichtet ist, bleibt dieser nach dem Zurücksetzen auf Werkseinstellungen erhalten.

• Schnellstart verbieten: Beim ersten Gerätestart nach dem Zurücksetzen auf

Werkseinstellungen nicht den Schritt „Schnellstart“ im Einrichtungsassistenten anzeigen, mit dem Inhalte von einem anderen iPhone übertragen können.

c) Macs: Legen Sie eine 6-stellige PIN fest, die auf dem Mac eingegeben werden muss, um ihn zu entsperren.

5. Klicken Sie im Bestätigungsdialog auf Ja.

Sophos Mobile

Ein Auftrag zum Zurücksetzen wird erstellt und an das Gerät übertragen.

Hinweis

Folgende Geräte können nicht zurückgesetzt werden:

• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Android-Enterprise-Geräte im Modus „Profilbesitzer“.

• Geräte mit Android Things oder Windows IoT.

• Macs, die Sie ferngesteuert gesperrt haben.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter

Sperr-PIN.

11.4.13 Android FRP aktivieren/deaktivieren

Hinweis

Dieser Abschnitt gilt für Geräte, die bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert sind.

Wenn Sie FRP (Factory Reset Protection, d.h. Schutz vor dem Zurücksetzen auf

Werkseinstellungen) für Geräte konfigurieren, die bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert sind, ist es standardmäßig aktiviert. Wenn Sie sicher sind, dass ein Gerät nicht verloren oder gestohlen wurde, können Sie FRP deaktivieren, um die Einrichtungsprozedur zu vereinfachen.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, für das Sie den FRP-Status einstellen wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Factory Reset Protection einstellen.

4. Wählen Sie FRP aktivieren oder FRP deaktivieren aus.

Wenn FRP aktiviert ist, muss das Gerät nach dem Zurücksetzen auf Werkseinstellungen mit einem für FRP konfigurierten Google-Konto entsperrt werden.

Details zu FRP finden Sie in

Android Factory Reset Protection (Seite 344).

Wichtig

Wenn Sie FRP für das Gerät aktivieren und es nicht richtig konfiguriert ist, kann das Gerät nach dem Zurücksetzen nicht mehr verwendet werden.

Tipp

Sie können den FRP-Status eines Gerätes auf dem Tab Status auf der Seite Gerät anzeigen

überprüfen.

Sophos Mobile

11.4.14 Telecom Expense Management konfigurieren

Mit Telecom Expense Management (TEM) können Sie den Verbrauch mobiler Daten einzelner

Geräte überwachen. Diese Funktion ist verfügbar für Geräte mit Android 6.0 (und neuer) und iOS-

Geräte.

Hinweis

Sie können nicht Telecom Expense Management für Android-Enterprise-Geräte im Modus

„Profilbesitzer“ konfigurieren.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie Telecom Expense Management konfigurieren wollen.

Hinweis

Wählen Sie nur Geräte mit demselben mobilen Datentarif aus.

3. Klicken Sie auf Aktionen > Telecom Expense Management konfigurieren.

4. Konfigurieren Sie folgende Einstellungen:

Option

Überwachung aktivieren

Beschreibung

Aktivieren Sie dies, um die Überwachung des mobilen

Datenverbrauchs für die ausgewählten Geräte zu aktiveren.

Verfügbares Datenvolumen Das Datenvolumen Ihres mobilen Datentarifs in MB.

Alarm-Schwellwert

Rechnungszyklus

Ein Datenvolumen-Grenzwert in MB. Wenn das verbrauchte

Datenvolumen bei einem Gerät diesen Wert überschreitet, wird ein Alarm erzeugt.

Wert zwischen 1 und 31, der angibt, an welchem Tag im

Monat das Datenvolumen zurückgesetzt wird.

Hinweis

Bei Monaten mit weniger Tagen wird das Datenvolumen am letzten Tag des Monats zurückgesetzt.

5. Klicken Sie auf Speichern, um die Einstellungen auf die ausgewählten Geräte anzuwenden.

Der mobile Datenverbrauch wird von einem Gerät bei jeder Synchronisation mit dem Sophos Mobile

Server übertragen.

Um den aktuellen mobilen Datenverbrauch eines Gerätes festzustellen, öffnen Sie die Seite

Gerät anzeigen des Gerätes und klicken Sie anschließend auf Aktionen > Telecom Expense

Management konfigurieren.

Sophos Mobile

Wichtig

Der angezeigte Datenverbrauch weicht möglicherweise von dem Wert ab, den Ihnen Ihr

Mobilfunkanbieter berechnet. Es wird nur der von installierten Apps verursachte Datenverbrauch berücksichtigt, aber keine Systemaktualisierungen, Aktualisierungen von System-Apps, oder

ähnliches.

Tipp

Verwenden Sie den Bericht Mobile Datennutzung, um den Datenverbrauch aller Geräte

festzustellen, für die Telecom Expense Management aktiviert ist. Siehe Berichte

(Seite 8).

Hinweis

• Der Wert für den Datenverbrauch wird zu folgenden Zeitpunkten zurückgesetzt:

— Regelmäßig jeden Monat am Ende des von Ihnen festgelegten Tages.

— Wenn Sie Telecom Expense Management für das Gerät deaktivieren.

— Wenn das Gerät bei Sophos Mobile deregistriert wird.

• Für iOS wird kein Datenverbrauch ermittelt, wenn die App Sophos Mobile Control nicht läuft, zum Beispiel, wenn der Benutzer die App nach einem Geräteneustart nicht gestartet hat.

11.4.15 iOS aktualisieren

Auf folgenden Geräten können Sie eine iOS-Aktualisierung durchführen:

• Betreute Geräte

• Betreute Apple-DEP-Geräte

Hinweis

Dieser Abschnitt beschreibt, wie Sie die iOS-Aktualisierung für ein einzelnes Gerät durchführen.

Um die iOS-Aktualisierung für eine Gerätegruppe durchzuführen, verwenden Sie ein Auftragspaket mit einem Auftrag Letzte iOS-Aktualisierung installieren. Siehe

Verfügbare Auftragstypen (iOS)

(Seite 301).

So führen Sie auf einem Gerät eine iOS-Aktualisierung durch:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät und anschließend auf

Anzeigen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Verfügbare Aktualisierungen

anzeigen.

Eine Liste der für das Gerät verfügbaren iOS-Aktualisierungen wird angezeigt. Aktualisierungen mit dem Kennzeichen Kritisch sind von Apple als kritische Sicherheits-Aktualisierungen eingestuft.

4. Um die letzte verfügbare Aktualisierung zu installieren, klicken Sie auf Letzte verfügbare

Aktualisierung installieren.

Ein Auftrag für die iOS-Aktualisierung wird erstellt und an das Gerät übertragen.

Sophos Mobile

Tipp

• Um den Aktualisierungsstatus eines einzelnen Gerätes zu prüfen, öffnen Sie die Seite Gerät

anzeigen für das Gerät. Neben dem Feld Betriebssystem wird ein Warnsymbol angezeigt, falls auf dem Gerät nicht die neueste verfügbare Version von iOS installiert ist.

• Um den Aktualisierungsstatus aller iOS-Geräte zu prüfen, gibt es im Bericht Geräte die Spalte

OsUpdateAvailable.

11.4.16 Für iOS den verwalteten Modus „Verloren“ konfigurieren

Sie können ein verwaltetes iOS-Gerät in den verwalteten Modus „Verloren“ versetzen. Das Gerät kann dann solange nicht mehr verwendet werden, bis der verwaltete Modus „Verloren“ in Sophos

Mobile wieder deaktiviert wird.

Im verwalteten Modus „Verloren“ können mit dem Gerät nur folgende Aktion ausgeführt werden:

• Eine von Ihnen konfigurierte Telefonnummer anrufen.

• Einen Notruf tätigen.

Hinweis

• Der verwaltete Modus „Verloren“ ist eine andere Art von Sperrmodus als der Modus

„Verloren“, den ein Benutzer in iCloud aktivieren kann. Wenn Sie den verwalteten Modus

„Verloren“ in Sophos Mobile aktivieren, kann das Gerät nicht in iCloud entsperrt werden.

• Die Geräteortung funktioniert im verwalteten Modus „Verloren“ zuverlässiger als im normalen

Sperrmodus. Der Gerätestandort wird durch eine iOS-Systemfunktion ermittelt. Es ist nicht erforderlich, dass die App Sophos Mobile Control läuft.

So aktivieren Sie den verwalteten Modus „Verloren“:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie in den verwalteten Modus „Verloren“ versetzen wollen, und anschließend auf Anzeigen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Verwalteten Modus „Verloren“

aktivieren.

4. Konfigurieren Sie folgende Einstellungen:

Option

Sperrbildschirm-Nachricht

Beschreibung

Text, der auf dem Sperrbildschirm angezeigt wird.

Telefonnummer Eine Telefonnummer, die vom Sperrbildschirm aus angerufen werden kann.

Fußzeile Ein Fußzeilentext, der am unteren Rand des Sperrbildschirms angezeigt wird.

Wenn Sie keine Fußzeile konfigurieren, wird ein

Standardhinweis zum Kontaktieren eines Administrators angezeigt.

Ein Auftrag zum Aktivieren des verwalteten Modus „Verloren“ wird erstellt und an das Gerät

übertragen. Der verwaltete Modus „Verloren“ wird sofort aktiviert, nachdem das Gerät den Auftrag erhalten hat.

Sophos Mobile

Wenn sich ein Gerät im verwalteten Modus „Verloren“ befindet, können Sie auf der Seite Gerät

anzeigen folgende Aktionen ausführen:

• Um das Gerät zu orten, verwenden Sie Aktionen > Ortung.

• Um auf dem Gerät einen Ton abzuspielen, verwenden Sie Aktionen > „Verloren“-Ton abspielen.

• Um den verwalteten Modus „Verloren“ zu deaktivieren, verwenden Sie Aktionen > Verwalteten

Modus „Verloren“ deaktivieren.

Tipp

Um festzustellen, ob der verwaltete Modus „Verloren“ aktiv ist, prüfen Sie die Geräteeigenschaft

IsMDMLostModeEnabled.

11.5 Benutzerdefinierte Geräteeigenschaften

Zusätzlich zu den von einem Gerät gemeldeten Eigenschaften können Sie dem Gerät benutzerdefinierte Eigenschaften hinzufügen.

Wenn Sie eine Eigenschaft mit dem Namen Meine Eigenschaft hinzufügen, können Sie den

Platzhalter %_DEVPROP(Meine Eigenschaft)_% verwenden, um den Wert der Eigenschaft

einzufügen. Details zu Platzhaltern finden Sie in Platzhalter in Profilen und Richtlinien (Seite 109).

Sie können benutzerdefinierte Eigenschaften auf folgende Arten zu einem Gerät hinzufügen:

• Sie fügen benutzerdefinierte Eigenschaften zu einem einzelnen Gerät hinzu. Siehe

Benutzerdefinierte Geräteeigenschaften hinzufügen (Seite 71).

• Sie erstellen Standard-Eigenschaften, die jedem Gerät bei der Erstellung als benutzerdefinierte

Eigenschaften zugewiesen werden. Siehe

Standard-Geräteeigenschaften erstellen (Seite 72).

11.5.1 Benutzerdefinierte Geräteeigenschaften hinzufügen

Zusätzlich zu den von einem Gerät gemeldeten Eigenschaften können Sie dem Gerät benutzerdefinierte Eigenschaften hinzufügen.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf

Bearbeiten.

3. Öffnen Sie auf der Seite Gerät bearbeiten das Tab Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen.

Wenn das Tab Benutzerdefinierte Eigenschaften nicht vorhanden ist, überprüfen Sie, ob die

Systemeinstellungen Expertenmodus aktiviert ist (unter Einrichtung > Allgemein > Persönlich).

4. Geben Sie einen Namen und einen Wert für die Eigenschaft ein.

5. Klicken Sie auf Anwenden.

6. Klicken Sie auf Speichern.

Die benutzerdefinierte Eigenschaft wird dem Gerät hinzugefügt.

Hinweis

Eine benutzerdefinierte Geräteeigenschaft kann nicht denselben Namen wie eine Standard-

Geräteeigenschaft haben.

Sophos Mobile

11.5.2 Standard-Geräteeigenschaften erstellen

Sie können Standard-Eigenschaften erstellen, die jedem Gerät bei der Erstellung als benutzerdefinierte

Eigenschaften zugewiesen werden.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend das Tab Standard-Geräteeigenschaften.

2. Klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen.

3. Geben Sie einen Namen und einen Wert für die Eigenschaft ein.

4. Klicken Sie auf Anwenden.

5. Klicken Sie auf Speichern.

Hinweis

Eine benutzerdefinierte Geräteeigenschaft kann nicht denselben Namen wie eine Standard-

Geräteeigenschaft haben.

Hinweis

Falls dieselbe Eigenschaft sowohl für den Kunden als auch für den Superadministrator-Kunden definiert ist, wird der für den Kunden definierte Wert verwendet.

11.6 Zero-Touch-Registrierung

Mit der Android-Zero-Touch-Registrierung können Sie eine Massenregistrierung von Android-

Firmengeräten durchführen. Zero-Touch-fähige Geräte registrieren sich automatisch bei Ihrem

Sophos Mobile Server, wenn der Benutzer sie einschaltet.

Anforderungen

• Sie haben ein Konto für das Google-Portal für die Zero-Touch-Registrierung. Üblicherweise erstellt der Händler dieses Konto für Sie, wenn Sie Ihre ersten Geräte erwerben.

• Sie haben Android Enterprise in Sophos Mobile für das Szenario Managed Google Play Account

eingerichtet. Siehe Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite

335).

Einrichtungsschritte

Führen Sie folgende Schritte aus, um die Zero-Touch-Registrierung zu verwenden:

1. Aktivieren Sie die Zero-Touch-Registrierung in Sophos Mobile Admin und konfigurieren Sie die

Registrierungsdetails. Siehe

Zero-Touch-Registrierung einrichten (Seite 73).

2. Erstellen Sie im Google-Portal für die Zero-Touch-Registrierung eine Konfiguration für Sophos

Mobile. Siehe Zero-Touch-Konfiguration erstellen (Seite 73).

3. Erwerben Sie Zero-Touch-fähige Android-Geräte von einem Google-Enterprise-Händler.

4. Weisen Sie den Geräten die Zero-Touch-Konfiguration für Sophos Mobile zu. Siehe Zero-Touch-

Geräte bereitstellen (Seite 74).

Sophos Mobile

Verwandte Informationen

Google-Webseite zu Zero-Touch-Registrierung (externer Link)

Google-Hilfe für die Zero-Touch-Registrierung (externer Link)

11.6.1 Zero-Touch-Registrierung einrichten

Sie richten die Zero-Touch-Registrierung in Sophos Mobile Admin ein, indem Sie die Einstellungen konfigurieren, die auf Zero-Touch-fähige Android-Geräte (kurz „Zero-Touch-Geräte“) angewendet werden, wenn sich diese bei Ihrem Sophos Mobile Server registrieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Zero-Touch.

2. Klicken Sie auf Zero-Touch-Registrierung verwenden.

3. Klicken Sie unter Konfigurationseinstellungen für Zero-Touch auf DPC extras, um

Einstellungen für das Gerät zu konfigurieren:

• Sprache: Die Sprache für die Android-Benutzeroberfläche.

• Zeitzone: Die auf dem Gerät eingestellte Zeitzone.

• System-Apps aktivieren: Standardmäßig werden System-Apps, die ein Symbol auf dem

Home-Bildschirm besitzen, deaktiviert, wenn ein Gerät im Android-Enterprise-Modus

„Gerätebesitzer“ eingerichtet wird. Wenn Sie diese Einstellung auswählen, bleiben alle System-

Apps aktiviert.

Basierend auf Ihren Einstellungen erstellt Sophos Mobile einen Konfigurations-Code, den Sie im

Google-Portal für die Zero-Touch-Registrierung eingeben müssen.

4. Konfigurieren Sie unter Registrierungseinstellungen die Registrierung von Zero-Touch-Geräten bei Sophos Mobile:

• Gerätegruppe: Die Gerätegruppe, der Zero-Touch-Geräte zugewiesen werden.

• Auftragspaket: Das Auftragspaket, das an das Gerät übertragen wird. Die Liste zeigt

Auftragspakete, die keinen Auftrag vom Typ Registrieren enthalten.

5. Klicken Sie auf Speichern, um die Registrierungs-Einstellungen zu speichern.

Um die Konfiguration der Zero-Touch-Registrierung abzuschließen, erstellen Sie im Google-Portal für die Zero-Touch-Registrierung eine Konfiguration für Sophos Mobile.

11.6.2 Zero-Touch-Konfiguration erstellen

Eine Zero-Touch-Konfiguration enthält Informationen für Geräte zur Registrierung bei Ihrem Sophos

Mobile Server. Sie erstellen diese Konfiguration im Google-Portal für die Zero-Touch-Registrierung.

Diese Prozedur setzt voraus, dass Sie Google-Zero-Touch-Registrierung in Sophos Mobile Admin eingerichtet haben. Siehe

Zero-Touch-Registrierung einrichten (Seite 73).

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Zero-Touch.

2. Klicken Sie neben DPC extras auf Kopieren, um den Konfigurations-Code in die Zwischenablage zu kopieren.

3. Öffnen Sie das Google-Portal für die Zero-Touch-Registrierung in einem neuen Browserfenster.

4. Erstellen Sie eine neue Konfiguration für Sophos Mobile:

• Wählen Sie für EMM DPC den Eintrag Sophos Mobile Control aus.

Sophos Mobile

• Geben Sie in DPC extras den Konfigurations-Code ein, den Sie in die Zwischenablage kopiert haben.

5. Optional: Wählen Sie die Konfiguration als Standardkonfiguration aus. Sie wird dann automatisch allen neuen Geräten zugewiesen.

Verwandte Informationen

Google-Portal für die Zero-Touch-Registrierung (externer Link)

Google-Hilfe für die Zero-Touch-Registrierung (externer Link)

11.6.3 Zero-Touch-Geräte bereitstellen

Damit sich ein Zero-Touch-fähiges Gerät (kurz „Zero-Touch-Gerät“) bei Ihrem Sophos Mobile Server registriert, weisen Sie ihm die Konfiguration für Sophos Mobile zu.

1. Überprüfen Sie, dass die Geräte, die Sie bereitstellen wollen, im Google-Portal für die Zero-Touch-

Registrierung vorhanden sind.

Üblicherweise fügt der Händler die Geräte für Sie hinzu.

2. Weisen Sie im Google-Portal für die Zero-Touch-Registrierung den Geräten die Konfiguration für

Sophos Mobile zu.

Sie können die Konfiguration für Sophos Mobile auch als Standardkonfiguration festlegen, damit sie automatisch allen neuen Geräten zugewiesen wird.

3. Verteilen Sie die Geräte an Ihre Benutzer.

Die Benutzer müssen ein Konto in Sophos Mobile haben.

Wenn ein Benutzer das Gerät erstmalig einschaltet, startet der Android-Einrichtungsassistent.

Nachdem sich das Gerät mit dem Internet verbunden hat, registriert es sich bei Sophos Mobile im

Android-Enterprise-Modus „Gerätebesitzer“.

Hinweis

Falls ein Gerät bereits eingerichtet ist, wenn Sie es im Google-Portal für die Zero-Touch-

Registrierung hinzufügen, wird es auf Werkseinstellungen zurückgesetzt.

11.6.4 Zero-Touch-Registrierung deaktivieren

So deaktivieren Sie die automatische Registrierung von Zero-Touch-fähigen Android-Geräten (kurz

„Zero-Touch-Geräten“) bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Zero-Touch.

2. Klicken Sie auf Zero-Touch-Konfiguration widerrufen.

Zero-Touch-Geräte verbinden sich danach weiterhin mit Ihrem Sophos Mobile Server, um sich zu registrieren. Der Server lehnt diese Anfrage jedoch ab.

Um die Verbindung zwischen Sophos Mobile und Android Zero Touch vollständig zu trennen, löschen Sie im Google-Portal für die Zero-Touch-Registrierung die Konfiguration für Sophos Mobile.

Sophos Mobile

11.7 Knox Mobile Enrollment

Mit Samsung Knox Mobile Enrollment (KME) können Sie eine Massenregistrierung von Samsung-

Firmengeräten bei Sophos Mobile durchführen. KME-fähige Geräte registrieren sich automatisch bei

Ihrem Sophos Mobile Server, wenn der Benutzer sie einschaltet.

Anforderungen

• Sie haben ein Samsung-Konto.

• Sie haben ein Konto für das Samsung-Knox-Portal.

• Die zu registrierenden Geräte haben Knox 2.4 oder neuer, je nach Registrierungsszenario, das Sie verwenden wollen. Zum Beispiel ist für die Registrierung im Android-Enterprise-Modus

„Gerätebesitzer“ Knox 2.8 oder neuer erforderlich.

• Wenn Sie die Registrierung im Android-Enterprise-Modus durchführen wollen, müssen Sie in

Sophos Mobile Android Enterprise für das Szenario Managed Google Play Account eingerichtet haben. Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite

335).

Einrichtungsschritte

Führen Sie folgende Schritte aus, um Knox Mobile Enrollment zu verwenden:

1. Aktivieren Sie Knox Mobile Enrollment in Sophos Mobile Admin und konfigurieren Sie die

Registrierungsdetails. Siehe

Knox Mobile Enrollment einrichten (Seite 75).

2. Erstellen Sie in der Samsung-Konsole für Knox Mobile Enrollment ein Profil für Sophos Mobile.

Siehe

KME-Profil erstellen

(Seite 76).

3. Erwerben Sie KME-fähige Geräte.

4. Weisen Sie den Geräten das KME-Profil für Sophos Mobile zu. Siehe KME-Geräte bereitstellen

(Seite 77).

Verwandte Informationen

Samsung-Webseite zu Knox Mobile Enrollment (externer Link)

Samsung-Benutzerhilfe zu Knox Mobile Enrollment (englisch) (externer Link)

11.7.1 Knox Mobile Enrollment einrichten

Sie richten Samsung Knox Mobile Enrollment (KME) in Sophos Mobile Admin ein, indem Sie die

Einstellungen konfigurieren, die auf KME-Geräte angewendet werden, wenn sich diese bei Ihrem

Sophos Mobile Server registrieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Samsung KME.

2. Klicken Sie auf Knox Mobile Enrollment verwenden.

3. Konfigurieren Sie unter Registrierungseinstellungen die Registrierung von KME-Geräten bei

Sophos Mobile:

• Gerätegruppe: Die Gerätegruppe, der KME-Geräte zugewiesen werden.

Sophos Mobile

• Auftragspaket (Android): Das Auftragspaket, das an das Gerät übertragen wird, wenn es als Standard-Android-Gerät registriert wird.

• Auftragspaket (Android Enterprise, Modus „Gerätebesitzer“): Das Auftragspaket, das an das Gerät übertragen wird, wenn es im Android-Enterprise-Modus „Gerätebesitzer“ registriert wird.

Die Listen zeigen Auftragspakete, die keinen Auftrag vom Typ Registrieren enthalten.

Sie konfigurieren den Registrierungsmodus, wenn Sie in der Samsung-Konsole für Knox

Mobile Enrollment ein MDM-Profil anlegen.

• Benutzer-Authentifizierung: Wenn dies selektiert ist, muss der Benutzer während der

Geräte-Einrichtung seine Anmeldeinformationen für Sophos Mobile eingeben. In Sophos

Mobile wird der Benutzer dem Gerät zugewiesen.

Wenn dies deselektiert ist, registriert sich das Gerät bei Sophos Mobile ohne

Benutzerzuweisung.

4. Klicken Sie auf Speichern, um die Registrierungs-Einstellungen zu speichern.

Um die Konfiguration von Knox Mobile Enrollment abzuschließen, erstellen Sie in der Samsung-

Konsole für Knox Mobile Enrollment ein MDM-Profil für Sophos Mobile.

11.7.2 KME-Profil erstellen

Ein Profil für Knox Mobile Enrollment (KME-Profil) enthält Informationen für Geräte zur Registrierung bei Ihrem Sophos Mobile Server. Sie erstellen dieses Profil in der Samsung-Konsole für Knox Mobile

Enrollment.

Diese Prozedur setzt voraus, dass Sie Samsung Knox Mobile Enrollment in Sophos Mobile Admin eingerichtet haben. Siehe

Knox Mobile Enrollment einrichten

(Seite 75).

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Samsung KME.

2. Öffnen Sie das Samsung-Knox-Portal in einem neuen Browserfenster und navigieren Sie zur Knox-

Mobile-Enrollment-Konsole.

3. Erstellen Sie in der Konsole für Knox Mobile Enrollment ein MDM-Profil für Sophos Mobile.

Wenn Sie sowohl die Android-Standardregistrierung als auch die Android-Enterprise-Registrierung

(Modus „Gerätebesitzer“) verwenden wollen, erstellen Sie zwei Profile und aktivieren Sie für eines der Profile die Gerätebesitzer-Option.

4. Verwenden Sie die in Sophos Mobile Admin unter MDM-Profilkonfiguration angezeigten Werte, um das Profil zu konfigurieren.

Klicken Sie in Sophos Mobile Admin neben einem Feld auf Kopieren, um den Wert in die

Zwischenablage zu kopieren.

Sie können auch noch weitere Profileinstellungen konfigurieren. Siehe hierzu die Samsung-

Benutzerhilfe zu Knox Mobile Enrollment.

5. Speichern Sie das Profil.

Verwandte Informationen

Samsung-Konsole für Knox Mobile Enrollment (externer Link)

Samsung-Benutzerhilfe zu Knox Mobile Enrollment (englisch) (externer Link)

Sophos Mobile

11.7.3 KME-Geräte bereitstellen

Damit sich ein Knox-Mobile-Enrollment-fähiges Gerät (kurz „KME-Gerät“) bei Ihrem Sophos Mobile

Server registriert, weisen Sie ihm das Profil für Sophos Mobile zu.

1. Weisen Sie in der Knox-Mobile-Enrollment-Konsole den Geräten das Profil für Sophos Mobile zu.

Falls die Geräte nicht in der Knox-Mobile-Enrollment-Konsole angezeigt werden, wenden Sie sich an Ihren Händler.

2. Verteilen Sie die Geräte an Ihre Benutzer.

Wenn Sie in den KME-Registrierungseinstellungen in Sophos Mobile Admin die Option Benutzer-

Authentifizierung ausgewählt haben, müssen die Benutzer ein Konto in Sophos Mobile haben.

Wenn ein Benutzer das Gerät erstmalig einschaltet, startet ein Einrichtungsassistent für Knox Mobile

Enrollment. Nachdem sich das Gerät mit dem Internet verbunden hat, registriert es sich bei Sophos

Mobile.

Hinweis

Je nachdem, welchen Registrierungsmodus Sie in der Knox-Mobile-Enrollment-Konsole im Profil für Sophos Mobile konfiguriert haben, registriert sich das Gerät entweder im Android-Enterprise-

Modus „Gerätebesitzer“ oder als normales Android-Gerät.

11.7.4 Knox Mobile Enrollment deaktivieren

So deaktivieren Sie die automatische Registrierung von Knox-Mobile-Enrollment-fähigen Geräten

(kurz „KME-Geräten“) bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Samsung KME.

2. Klicken Sie auf KME-Konfiguration widerrufen.

KME-Geräte verbinden sich danach weiterhin mit Ihrem Sophos Mobile Server, um sich zu registrieren. Der Server lehnt diese Anfrage jedoch ab.

Um die Verbindung zwischen Sophos Mobile und Knox Mobile Enrollment vollständig zu trennen, löschen Sie in der Samsung-Konsole für Knox Mobile Enrollment das Profil für Sophos Mobile.

11.8 Apple DEP

Mit dem Apple-Programm zur Geräteregistrierung (Device Enrollment Program, kurz DEP) können

Sie iPhones, iPads und Macs in größeren Mengen kaufen und in Ihrem Unternehmen bereitstellen.

DEP vereinfacht mit folgenden Funktionen die Bereitstellung von Mobilgeräten:

• Konfigurierbarer Aktivierungsprozess.

• Drahtlose Aktivierung des Betreuungsmodus (Supervision mode).

• Over-The-Air-Konfiguration.

• Automatische Registrierung von Geräten bei Sophos Mobile während der Geräteaktivierung.

Sophos Mobile

Tipp

Detaillierte Informationen zu DEP finden Sie auf der Apple-Website unter http://www.apple.com/ de/business/programs/ .

Vorbereitungsschritte

Um die Verwaltung von DEP-Geräten mit Sophos Mobile einzurichten, führen Sie einmalig die folgenden Schritte aus:

1. Erstellen Sie im Apple-DEP-Web-Portal einen virtuellen MDM-Server und verknüpfen Sie diesen

mit Sophos Mobile. Siehe Apple DEP einrichten (Seite 78).

2. Erstellen Sie in Sophos Mobile ein oder mehrere DEP-Profile, mit denen verschiedene,

DEP-spezifische Geräteeigenschaften konfiguriert werden. Mit einem DEP-Profil können Sie außerdem den Einrichtungsassistenten anpassen, der nach dem ersten Einschalten eines

Gerätes startet. Siehe DEP-Profil erstellen (Seite 80).

Bereitstellungsschritte

Der typische Ablauf zur Bereitstellung gekaufter DEP-Geräte beinhaltet die folgenden Schritte:

1. Kaufen Sie die Geräte von Apple oder einem zugelassenen DEP-Händler.

2. Weisen Sie im Apple-DEP-Portal die Geräte dem MDM-Server von Sophos Mobile zu.

Informationen zu diesem und dem folgenden Schritt finden Sie in DEP-Geräte bereitstellen

(Seite

80).

3. Weisen Sie in Sophos Mobile Admin den Geräten ein DEP-Profil zu.

4. Verteilen Sie die Geräte an Ihre Benutzer.

5. Wenn die Benutzer die Geräte erstmalig einschalten, startet der angepasste

Einrichtungsassistent. Während der Einrichtung werden die Geräte bei Sophos Mobile registriert und der Benutzer wird dem Gerät zugewiesen.

6. Bei Bedarf können Sie zusätzliche Auftragspakete auf die Geräte übertragen, um die

Provisionierung zu vervollständigen.

11.8.1 Apple DEP einrichten

Voraussetzung: Sie haben sich für das Apple-Programm zur Geräteregistrierung (DEP) registriert und ein Administratorkonto für das Apple-DEP-Webportal eingerichtet.

Hinweis

Detaillierte Informationen zur DEP-Registrierung finden Sie auf der Apple-DEP-Website unter http://www.apple.com/de/business/programs/ oder in der Hilfe zu den Apple

Bereitstellungsprogrammen .

Tipp

Wenn Sie sich bereits für das Apple-Programm für Volumenlizenzen (VPP) registriert haben, können Sie dieselbe Apple-ID auch für DEP verwenden.

Sophos Mobile

Um Apple DEP mit Sophos Mobile zu verwenden, müssen Sie im Apple-DEP-Webportal einen virtuellen MDM-Server erstellen und mit dem Sophos Mobile Server verknüpfen. Dies beinhaltet einen Verifizierungsprozess, um eine sichere Verbindung zwischen Sophos Mobile und dem Apple-

DEP-Webservice herzustellen.

So richten Sie einen virtuellen MDM-Server für Sophos Mobile ein:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple DEP.

2. Klicken Sie auf Öffentlichen Schlüssel herunterladen, um den öffentlichen Schlüssel von

Sophos Mobile für Apple DEP herunterzuladen.

Die Datei wird abhängig von den Download-Einstellungen Ihres Webbrowsers auf Ihrem Computer gespeichert.

3. Rufen Sie in einem Browser-Fenster das Apple-DEP-Webportal unter https:// deploy.apple.com

auf.

Sie können hierzu auf den Link Apple-DEP-Webportal in Sophos Mobile klicken.

4. Melden Sie sich am Apple-DEP-Webportal mit der Apple-ID Ihres Unternehmens an.

5. Navigieren Sie im Portal zu Device Enrollment ProgramServer verwalten und klicken Sie anschließend auf MDM-Server hinzufügen.

6. Geben Sie einen Namen für den MDM-Server ein, zum Beispiel Sophos Mobile .

7. Laden Sie im nächsten Schritt die Datei mit dem öffentlichen Schlüssel hoch, die Sie zuvor von

Sophos Mobile heruntergeladen haben.

8. Laden Sie im nächsten Schritt das Server-Token herunter.

Anschließend können Sie sich vom DEP-Portal abmelden.

9. Klicken Sie in Sophos Mobile auf dem Tab Apple DEP auf Datei hochladen und wählen Sie das

Server-Token aus, das Sie vom Apple-DEP-Portal heruntergeladen haben.

Die Details Ihres virtuellen MDM-Servers werden angezeigt.

10. Klicken Sie auf Speichern, um Ihre Änderungen zu speichern.

Das DEP-Server-Token ist ein Jahr gültig.

Wichtig

Wenn Sie im Apple-DEP-Webportal ein neues Server-Token erstellen, müssen Sie dieselbe

Apple-ID verwenden, die Sie für die Erstausstellung des Tokens verwendet haben.

11.8.2 Apple DEP zurücksetzen

Setzen Sie die in Sophos Mobile gespeicherten Informationen für Apple DEP zurück, um Ihr

Apple-DEP-Token aus Sophos Mobile zu entfernen, zum Beispiel, wenn Sie ein falsches Token hochgeladen haben.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple DEP.

2. Klicken Sie auf Apple DEP zurücksetzen.

Das Apple-DEP-Token, alle Apple-DEP-Geräte und alle Apple-DEP-Profile werden aus Sophos

Mobile gelöscht.

Um Ihre Apple-DEP-Geräte nicht mehr mit Sophos Mobile zu verwalten, entfernen Sie Apple-DEP-

Webportal Sophos Mobile als MDM-Server.

Sophos Mobile

11.8.3 DEP-Profil erstellen

Bevor Sie DEP-Profile erstellen können, müssen Sie das Apple-Programm zur Geräteregistrierung

(DEP) einrichten. Siehe Apple DEP einrichten (Seite 78).

Ein DEP-Profil wird einem DEP-Gerät zugewiesen und vom Apple-Server während der

Geräteaktivierung ausgewertet. Es enthält folgende Informationen:

• Den MDM-Server (also der Sophos Mobile Server), mit dem das Gerät verwaltet wird.

• Konfigurationseinstellungen für die Registrierung bei Sophos Mobile.

• Eine Liste der Host-Geräte, mit denen das Gerät gekoppelt werden darf.

• Benutzerdefinierte Einstellungen für den Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Bei Bedarf können Sie mehrere DEP-Profile erstellen, um verschiedene Einrichtungs- und

Konfigurations-Einstellungen für Ihre DEP-Geräte zu verwenden.

So erstellen Sie ein DEP-Profil:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple-DEP-Profile.

2. Klicken Sie auf Hinzufügen.

3. Geben Sie im Dialog DEP-Profil bearbeiten die erforderlichen Einstellungen ein.

4. Um das Profil allen neuen DEP-Geräten zuzuweisen, denen kein Profil manuell zugewiesen wurde, wählen Sie es in der Liste Standard-DEP-Profil für neue Geräte aus.

Wenn Sie Keine auswählen, müssen Sie neuen DEP-Geräten ein DEP-Profil manuell zuweisen wie in

DEP-Geräte bereitstellen

(Seite 80) beschrieben. Andernfalls werden DEP-Geräte bei der

Aktivierung nicht bei Sophos Mobile registriert.

5. Klicken Sie auf Speichern, um Ihre Änderungen zu speichern.

Verwandte Referenzinformationen

Einstellungen für DEP-Profile (iOS) (Seite 84)

Einstellungen für DEP-Profile (macOS) (Seite 88)

11.8.4 DEP-Geräte bereitstellen

Führen Sie diese Prozedur aus, um Ihre Geräte mit Apple DEP zu verbinden und bei Sophos Mobile zu registrieren.

Sie können Geräte verwalten, die Sie entweder bei Apple oder bei einem zugelassenen DEP-

Händler erworben haben. Bevor Sie Geräte mit Apple DEP verbinden können, müssen Sie den

Händler am Apple-DEP-Portal einrichten.

Hinweis

Normalerweise führen Sie diese Prozedur aus, bevor Sie die DEP-Geräte an Ihre Benutzer

übergeben und diese die Geräte aktivieren und verwenden.

Sophos Mobile

Hinweis

Detaillierte Informationen zum Apple-DEP-Portal finden Sie in der Hilfe zu den Apple

Bereitstellungsprogrammen .

So weisen Sie Ihre Geräte Sophos Mobile zu und weisen ihnen ein DEP-Profil zu:

1. Geben Sie in Ihrem Webbrowser die URL https://deploy.apple.com

ein, um das Webportal für die Apple-Bereitstellungsprogramme zu öffnen, und melden Sie sich anschließend mit der

Apple-ID Ihres Unternehmens an.

2. Navigieren Sie im Portal zu Device Enrollment ProgramGeräte verwalten.

3. Wählen Sie im Punkt Geräte auswählen nach Ihre neuen Geräte über die Seriennummer oder die

Bestellnummer aus, oder laden Sie eine CSV-Datei mit den Seriennummern hoch.

Hinweis

Falls Sie die Geräte bei einem Händler erworben haben, sind diese innerhalb von 24 Stunden, nachdem der Händler Ihre Bestellung an Apple übermittelt hat, im DEP-Portal verfügbar.

4. Wählen Sie im Punkt Aktion auswählen die Option Server zuweisen aus und wählen Sie anschließend den virtuellen MDM-Server aus, den Sie für Sophos Mobile eingerichtet haben, wie in

Apple DEP einrichten (Seite 78) beschrieben.

5. Klicken Sie auf OK, um die Zuweisung auszuführen.

Anschließend können Sie sich vom DEP-Portal abmelden.

Wenn Sie ein Standard-DEP-Profil eingerichtet haben wie in DEP-Profil erstellen (Seite 80)

beschrieben, können Sie die weiteren Schritte überspringen.

6. Melden Sie sich in Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, für den Sie DEP-Geräte verwalten wollen.

7. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple

DEP.

Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-

DEP-Webportal zugewiesen haben.

8. Falls Geräte nicht angezeigt werden, die Sie Sophos Mobile erst vor Kurzem zugewiesen haben, klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren.

Hinweis

Um die Belastung des Apple-DEP-Servers zu begrenzen, müssen Sie nach jeder

Synchronisierung eine kurze Zeit warten, bevor Sie erneut synchronisieren können.

9. Wählen Sie die neuen Geräte aus und klicken Sie anschließend auf AktionenProfil zuweisen.

10. Wählen Sie im Bestätigungsdialog das DEP-Profil aus, das Sie den Geräten zuweisen wollen, und klicken Sie anschließend auf OK.

Wenn die erworbenen Geräte in Ihrem Unternehmen eintreffen, können Sie sie an Ihre Benutzer

übergeben. Es ist keine weitere Konfiguration erforderlich. Wenn die Benutzer die Geräte erstmalig einschalten, werden die iOS-Einrichtung und die Registrierung bei Sophos Mobile so durchgeführt, wie Sie es im zugewiesenen DEP-Profil konfiguriert haben.

Falls Sie im Profil die Option Benutzer zuweisen ausgewählt haben wie in DEP-Profil erstellen

(Seite 80) beschrieben, werden die Benutzer automatisch ihren Geräten zugewiesen.

Sophos Mobile

11.8.5 DEP-Geräte verwalten

DEP-Geräte werden in Sophos Mobile genauso wie Nicht-DEP-Geräte verwaltet. Siehe

Geräte verwalten (Seite 57).

DEP-Geräten können Sie zusätzlich ein DEP-Profil zuweisen. Das DEP-Profil wird vom Apple-

Server während der Geräteaktivierung ausgewertet. Siehe

DEP-Profil erstellen

(Seite 80).

Hinweis

Das in Sophos Mobile angezeigte DEP-Profil ist unter Umständen nicht das Profil, das tatsächlich auf dem Gerät verwendet wird. Wenn Sie nach der Geräteaktivierung die Zuweisung ändern, wird solange das ursprünglich zugewiesene Profil verwendet, bis das Gerät zurückgesetzt und erneut aktiviert wird.

So ändern Sie das DEP-Profil eines Gerätes:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple

DEP.

Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-

DEP-Webportal zugewiesen haben.

2. Klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren, um die DEP-Informationen zu aktualisieren.

3. Wählen Sie die Geräte aus, denen Sie ein anderes DEP-Profil zuweisen wollen.

4. Klicken Sie auf Aktionen und anschließend auf die gewünschte Aktion:

• Profil zuweisen: Wählen Sie das DEP-Profil aus, das den Geräten bei der nächsten

Aktivierung zugewiesen wird.

• Profilzuweisung aufheben: Bei der nächsten Geräte-Aktivierung kein DEP-Profil zuweisen.

Die neue Profilzuweisung wird auf der Seite Apple-DEP-Geräte angezeigt. Die Änderungen werden beim nächsten Zurücksetzen und Aktivieren der Geräte angewendet.

11.8.6 iOS-DEP-Gerät manuell hinzufügen

Sie können ein iPhone oder iPad manuell für das Apple-Programm zur Geräteregistrierung (DEP) registrieren. Dies ist zum Beispiel nützlich, wenn Sie das Gerät nicht direkt von Apple oder einem zugelassenen DEP-Händler erworben haben.

Wichtig

Das Gerät wird auf den Werkszustand zurückgesetzt.

1. Verbinden Sie das Gerät per USB mit einem Mac, auf dem Apple Configurator 2.5 oder neuer installiert ist.

2. Gehen Sie in Apple Configurator zu Datei > Neues Profil > WLAN, um ein Netzwerkprofil für Ihre

WLAN-Verbindung zu erstellen.

Das Gerät benötigt dieses Profil, um sich mit dem Server für die Apple-DEP-Registrierung zu verbinden.

3. Gehen Sie zu Einstellungen > Firmen und klicken Sie auf die Schaltfläche Plus, um einen Eintrag für Ihre Organisation zu erstellen.

Sophos Mobile

Verwenden Sie die Apple-ID und das Kennwort Ihres Apple-DEP-Kontos. Wählen Sie auch aus, eine neue Betreuungsidentität zu erstellen.

4. Gehen Sie zu Einstellungen > Server und klicken Sie auf die Schaltfläche Plus, um einen

Servereintrag zu erstellen.

Hinweis

Im Feld Registrierungs-UTR können Sie einen beliebigen Wert eingeben. Apple Configurator verwendet diesen Wert nicht für die Registrierung von DEP-Geräten.

5. Wählen Sie das Gerät aus und klicken Sie anschließend auf Vorbereiten.

6. Wählen Sie Manuelle Konfiguration und folgen Sie den Schritten im Assistenten, um das Gerät vorzubereiten.

• Wählen Sie den Server und das Netzwerkprofil aus, die Sie zuvor erstellt haben.

• Überspringen Sie die Konfiguration des iOS-Einrichtungsassistenten. Sie konfigurieren dies im

DEP-Profil von Sophos Mobile.

7. Warten Sie, bis die Vorbereitungsprozedur beendet ist. Schalten Sie das Gerät während dieses

Vorgangs nicht aus.

Nachdem das Gerät registriert wurde, können Sie es im Apple-DEP-Portal über die Seriennummer auswählen.

Bevor Sie das Gerät an einen Benutzer übergeben, registrieren Sie es bei Sophos Mobile wie in

DEP-

Geräte bereitstellen

(Seite 80) beschrieben.

Verwandte Informationen

Apple Configurator 2 Benutzerhandbuch - Manuelles Vorbereiten von Geräten (externer Link)

11.8.7 Supervision Hosts konfigurieren

Sie können Supervision Hosts für Ihre iOS-DEP-Geräte konfigurieren, d.h. Computer, die eine sogenannte Betreuungsidentität für Ihre iOS-DEP-Geräte haben. iOS-DEP-Geräte können mit einem

Supervision Host auch dann gekoppelt werden, wenn Sie die USB-Kopplung grundsätzlich blockiert haben.

Nur Macs können Supervision Host sein.

Um einen Mac zum Supervision Host zu machen, laden Sie das Zertifikat seiner Betreuungsidentität nach Sophos Mobile hoch.

1. Erstellen Sie auf dem Mac in Apple Configurator eine neue Organisation oder verwenden Sie eine vorhandene Organisation.

2. Öffnen Sie die App Schlüsselbundverwaltung.

3. Exportieren Sie unter Meine Zertifikate das Zertifikat der Organisation.

Jede Organisation, die Sie in Apple Configurator konfiguriert haben, hat ein eigenes Zertifikat.

Stellen Sie im Exportdialog sicher, dass das Zertifikat im Format CER (Dateiendung .cer) exportiert wird.

4. Öffnen Sie in Sophos Mobile Ihr iOS-DEP-Profil und konfigurieren Sie auf dem Tab USB-

Kopplung folgende Einstellungen: a) Deaktivieren Sie das Kontrollkästchen USB-Kopplung mit beliebigen Host-Computern

erlauben.

b) Klicken Sie auf Host-Zertifikat hochladen, um die Zertifikatdatei hochzuladen.

Sophos Mobile

5. Optional: Um einen weiteren Mac zum Supervision Host zu machen, haben Sie folgende

Möglichkeiten:

• Laden Sie ein weiteres Zertifikat in das iOS-DEP-Profil hoch.

• Verwenden Sie auf beiden Macs dieselbe Organisation. Gehen Sie dazu folgendermaßen vor:

Exportieren Sie auf dem ersten Mac die Organisation aus Apple Configurator und importieren Sie sie auf dem zweiten Mac.

• Verwenden Sie auf beiden Macs dieselbe Betreuungsidentität. Gehen Sie dazu folgendermaßen vor:

Exportieren Sie auf dem ersten Mac die Betreuungsidentität aus Apple Configurator im

Format PKCS #12 (Dateiendung .p12). Öffnen Sie auf dem zweiten Mac die p12-Datei mit der App Schlüsselbundverwaltung.

Zugehörige Aufgaben

DEP-Profil erstellen

(Seite 80)

Verwandte Referenzinformationen

Einstellungen für DEP-Profile (iOS) (Seite 84)

Verwandte Informationen

Apple Configurator 2 Benutzerhandbuch - Organisationsbezogene Einstellungen (Externer Link)

11.8.8 Einstellungen für DEP-Profile (iOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Beschreibung

Gerätegruppe

Auftragspaket

Beschreibung

Der Name des DEP-Profils.

Eine optionale Beschreibung des DEP-Profils.

Eine Gerätegruppe, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.

Informationen zu Gerätegruppen finden Sie in

Gerätegruppen

(Seite 93).

Hinweis

Wir empfehlen, zur Vereinfachung der Geräteverwaltung eine eigene Gerätegruppe für DEP-Geräte zu verwenden.

Ein Auftragspaket, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.

Die Liste enthält alle Auftragspakete, die keinen

Registrierungsauftrag enthalten.

Informationen zu Auftragspaketen finden Sie in

Auftragspakete

(Seite 296).

Sophos Mobile

Registrierung

Einstellung/Feld

Gerät betreuen

Benutzer kann MDM-Profil entfernen

SMC-App installieren

Beschreibung

Das Gerät ist betreut (Supervision mode).

Der Benutzer kann das Sophos Mobile Registrierungsprofil

über die iOS-Benutzeroberfläche entfernen.

Diese Option kann nur für betreute Geräte deaktiviert werden.

Die App Sophos Mobile Control wird auf dem Gerät installiert.

Wenn Sie diese Option aktivieren, müssen Sie außerdem auf dem Tab iOS-Einrichtung die Option

Apple-ID deaktivieren. Dies ist erforderlich, damit

Sophos Mobile die App aus dem App Store installieren kann.

Hinweis

Alternativ, falls Sie sich für das Apple-Programm für

Volumenlizenzen (VPP) registriert haben, kann die App

Sophos Mobile als VPP-App installiert werden, auch wenn das Gerät nicht mit einer Apple-ID verknüpft ist. Das

Gerät muss sich im Status verwaltet befinden. Siehe VPP-

Apps automatisch zuweisen (Seite 326).

Benutzer kann Zuweisung des MDM-Profils

überspringen

Gerätebenutzer zuweisen

Der Benutzer kann den Einrichtungsschritt überspringen, in dem das Sophos Mobile Registrierungsprofil angewendet wird.

Während der Registrierung bei Sophos Mobile wird der

Benutzer nach seinen Anmeldeinformationen für das

Self Service Portal gefragt und anschließend dem Gerät zugewiesen.

Mit dieser Option können Sie eine automatische

Zuweisung des Benutzers zum Gerät vornehmen.

iOS-Einrichtung

Auf dem Tab iOS-Einrichtung deaktivieren Sie Schritte des Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Hinweis

Diese Einstellungen wirken sich nur auf die iOS-Einrichtung aus. Wenn Sie einen

Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine

Konfiguration Einschränkungen. Siehe Konfiguration „Einschränkungen“ (iOS-Geräteprofil)

(Seite

185).

Sophos Mobile

Einstellung/Feld

Aus Backup wiederherstellen

„Daten von Android übertragen“ deaktivieren

Diagnose

Standortdienste

Siri

Anzeigezoom

Tastaturlayout

Apple-ID

Apple Pay

Touch-ID

Kennung

Geschäftsbedingungen

Watch-Migration

Home-Button-Feedback

Beschreibung

Das Wiederherstellen von Daten aus einem iCloudoder iTunes-Backup oder von einem Android-Gerät wird

übersprungen.

Die Option zum Übertragen von Daten von einem Android-

Gerät ist nicht verfügbar.

Die Konfiguration „Diagnostics“ wird übersprungen. Es werden keine Diagnose- und Nutzungsdaten an Apple gesendet.

Die Konfiguration von Ortungsdiensten wird übersprungen.

Ortungsdienste sind ausgeschaltet.

Die Konfiguration von Siri wird übersprungen. Siri ist ausgeschaltet.

Die Konfiguration „Anzeigezoom“ zum Einstellen einer vergrößerten Anzeige mit größeren Symbolen, Beschriftungen und Schaltflächen wird übersprungen.

Die Konfiguration des Tastaturlayouts wird übersprungen.

Die Konfiguration einer Apple-ID wird übersprungen. Der

Benutzer kann sich nicht mit seiner Apple-ID an Apple-

Diensten anmelden.

Die Konfiguration „Apple Pay“ wird übersprungen. Der

Benutzer kann keine Kreditkarten- oder Guthabenkarten-

Informationen für das Bezahlen mit Apple Pay in Stores oder

Apps hinzufügen.

Die Konfiguration „Touch ID“ wird übersprungen. Der Benutzer kann keinen Fingerabdruck als Passcode-Ersatz einrichten.

Die Erstellung eines Passcodes zum Entsperren des Gerätes wird übersprungen.

Die Anzeige der Seite Nutzungsbedingungen wird

übersprungen.

Das Wiederherstellen von Apple-Watch-Daten aus einem iCloud- oder iTunes-Backup wird übersprungen.

Für iPhone 7 und neuer: Die Konfiguration des Home-Button-

Feedback, d.h. der Berührungsrückmeldung beim Klicken des virtuellen Home-Buttons, wird übersprungen.

Support-Informationen

Einstellung/Feld

Abteilung

Beschreibung

Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.

Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der

Geräteeinrichtung auf Über Konfiguration klickt.

Einstellung/Feld

Telefonnummer

E-Mail

Sophos Mobile

Beschreibung

Die Support-Telefonnummer für Ihr Unternehmen.

Das Feld ist mit der Telefonnummer aus den

Kontaktdetails für technische Unterstützung

vorausgefüllt. Siehe IT-Kontakt konfigurieren

(Seite

16).

Hinweis

Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Die Support-E-Mail-Adresse für Ihr Unternehmen.

Das Feld ist mit der E-Mail-Adresse aus den

Kontaktdetails für technische Unterstützung

vorausgefüllt. Siehe IT-Kontakt konfigurieren

(Seite

16).

Hinweis

Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

USB-Kopplung

Auf dem Tab USB-Kopplung können Sie festlegen, dass die USB-Kopplung von iOS-DEP-Geräten nur mit ausgewählten Macs möglich ist. USB-Kopplung wird benötigt, um das Gerät mit iTunes oder

Apple Configurator zu verbinden.

Einstellung/Feld

USB-Kopplung mit beliebigen Host-

Computern erlauben

Host-Zertifikat hochladen

Beschreibung

Wenn Sie das Kontrollkästchen aktivieren, können Sie das Gerät mit allen Computern koppeln.

Wenn Sie das Kontrollkästchen deaktivieren, können

Sie das Gerät nur mit Macs koppeln, die Supervision

Host sind. Sie können das Gerät nicht mit Windows-

Computern koppeln.

Laden Sie ein Zertifikat für die Betreuungsidentität hoch.

Dadurch wird ein Mac, der das Zertifikat in seinem

Schlüsselbund hat, zum Supervision Host. Siehe

Supervision Hosts konfigurieren (Seite 83).

Sie können mehrere Zertifikate hochladen.

Hinweis

Wenn Sie USB-Kopplung mit beliebigen Host-Computern erlauben deaktivieren und kein

Zertifikat hochladen, können Sie das Gerät nicht mit iTunes oder Apple Configurator verbinden.

Sophos Mobile

Zugehörige Aufgaben

DEP-Profil erstellen

(Seite 80)

11.8.9 Einstellungen für DEP-Profile (macOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Beschreibung

Gerätegruppe

Auftragspaket

Beschreibung

Der Name des DEP-Profils.

Eine optionale Beschreibung des DEP-Profils.

Eine Gerätegruppe, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.

Informationen zu Gerätegruppen finden Sie in

Gerätegruppen

(Seite 93).

Hinweis

Wir empfehlen, zur Vereinfachung der Geräteverwaltung eine eigene Gerätegruppe für DEP-Geräte zu verwenden.

Ein Auftragspaket, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.

Die Liste enthält alle Auftragspakete, die keinen

Registrierungsauftrag enthalten.

Informationen zu Auftragspaketen finden Sie in

Auftragspakete

(Seite 296).

Registrierung

Einstellung/Feld

Benutzer kann Zuweisung des MDM-Profils

überspringen

Gerätebenutzer zuweisen

Beschreibung

Der Benutzer kann den Einrichtungsschritt überspringen, in dem das Sophos Mobile Registrierungsprofil angewendet wird.

Während der Registrierung bei Sophos Mobile wird der

Benutzer nach seinen Anmeldeinformationen für das

Self Service Portal gefragt und anschließend dem Gerät zugewiesen.

Mit dieser Option können Sie eine automatische

Zuweisung des Benutzers zum Gerät vornehmen.

macOS-Einrichtung

Auf dem Tab macOS-Einrichtung deaktivieren Sie Schritte des Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Sophos Mobile

Hinweis

Diese Einstellungen wirken sich nur auf die macOS-Einrichtung aus. Wenn Sie einen

Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine Konfiguration Einschränkungen. Siehe

Konfiguration „Einschränkungen“ (macOS-

Geräterichtlinie) (Seite 233) und

Konfiguration „Einschränkungen“ (macOS-Benutzerrichtlinie)

(Seite 251).

Einstellung/Feld

Aus Backup wiederherstellen

Apple-ID iCloud-Analyse

Standortdienste

Geschäftsbedingungen

Registrierung

Diagnose

FileVault-Festplattenverschlüsselung

Siri

Beschreibung

Das Wiederherstellen von Daten aus einem iCloudoder iTunes-Backup oder von einem Android-Gerät wird

übersprungen.

Die Konfiguration einer Apple-ID wird übersprungen. Der

Benutzer kann sich nicht mit seiner Apple-ID an Apple-

Diensten anmelden.

Die Konfiguration der iCloud-Analyse wird übersprungen.

Es werden keine Diagnose- und Nutzungsdaten des iCloud-

Kontos an Apple gesendet.

Die Konfiguration von Ortungsdiensten wird übersprungen.

Ortungsdienste sind ausgeschaltet.

Die Anzeige der Seite Nutzungsbedingungen wird

übersprungen.

Die Erstellung eines Computerkontos wird übersprungen.

Die Konfiguration „Diagnostics“ wird übersprungen. Es werden keine Diagnose- und Nutzungsdaten an Apple gesendet.

Die Konfiguration der FileVault-Festplattenverschlüsselung wird übersprungen. FileVault ist ausgeschaltet.

Die Konfiguration von Siri wird übersprungen. Siri ist ausgeschaltet.

Support-Informationen

Einstellung/Feld

Abteilung

Beschreibung

Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.

Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der

Geräteeinrichtung auf Über Konfiguration klickt.

Sophos Mobile

Einstellung/Feld

Telefonnummer

E-Mail

Beschreibung

Die Support-Telefonnummer für Ihr Unternehmen.

Das Feld ist mit der Telefonnummer aus den

Kontaktdetails für technische Unterstützung

vorausgefüllt. Siehe IT-Kontakt konfigurieren

(Seite

16).

Hinweis

Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Die Support-E-Mail-Adresse für Ihr Unternehmen.

Das Feld ist mit der E-Mail-Adresse aus den

Kontaktdetails für technische Unterstützung

vorausgefüllt. Siehe IT-Kontakt konfigurieren

(Seite

16).

Hinweis

Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Zugehörige Aufgaben

DEP-Profil erstellen

(Seite 80)

11.9 Integration von Duo Security

Sie können Sophos Mobile mit der Authentisierungssoftware Duo Security verbinden. Dies ermöglicht

Duo Security, Geräte anhand ihres Verwaltungsstatus in Sophos Mobile als vertrauensvoll zu identifizieren.

Duo Security benutzt für Android und iOS unterschiedliche Verfahren, um den Vertrauensstatus eines Gerätes zu bestimmen:

• Für Android-Geräte ermittelt Duo Security den Vertrauensstatus über die Webservice-Schnittstelle von Sophos Mobile.

• Für iOS-Geräte ermittelt Duo Security den Vertrauensstatus, indem es das Vorhandensein eines bestimmten Zertifikats auf dem Gerät prüft.

Hinweis

Weitere Informationen zu vertrauenswürdigen Geräten finden Sie in der Dokumentation zu Duo

Security.

Sophos Mobile

11.9.1 Die Integration von Duo Security für Android-Geräte konfigurieren

Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer Android-Geräte bestimmen kann.

1. Erstellen Sie in Sophos Mobile einen Administrator mit der Rolle Duo API.

2. Geben Sie im Duo Admin Panel den Namen und das Kennwort dieses Administrators ein.

Weitere Informationen hierzu finden Sie in der Dokumentation zu Duo Security.

Um den Vertrauensstatus eines Android-Gerätes zu bestimmen, sendet die Android-App Duo Mobile die Geräte-ID an den Duo-Security-Server. Der Duo-Security-Server ruft dann den Gerätestatus über die Webservice-Schnittstelle von Sophos Mobile ab und klassifiziert das Gerät als vertrauenswürdig.

Zugehörige Konzepte

Benutzerrollen

(Seite 5)

Zugehörige Aufgaben

Administratoren erstellen

(Seite 370)

11.9.2 Die Integration von Duo Security für iOS-Geräte konfigurieren

Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer iOS-Geräte bestimmen kann.

1. Konfigurieren Sie die Verbindung zum Duo-Zertifikatsserver: a) Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-

Einrichtung und öffnen Sie anschließend das Tab Duo Security.

b) Geben Sie die von Duo bereitgestellten Einstellungen ein.

2. Fügen Sie dem iOS-Geräteprofil, welches Sie für Ihre iOS-Geräte verwenden, eine Konfiguration

Duo-Gerätezertifikat hinzu.

3. Aktualisieren Sie das iOS-Geräteprofil auf den Geräten.

Hierdurch wird ein Duo-Gerätezertifikat auf den Geräten installiert. Die iOS-App Duo Mobile erkennt das Zertifikat und klassifiziert das Gerät als vertrauenswürdig.

Zugehörige Aufgaben

Profile auf Geräten installieren

(Seite 109)

Verwandte Referenzinformationen

Duo-Gerätezertifikat (iOS-Geräteprofil)

(Seite 217)

11.10 Fernsteuerung mit TeamViewer

TeamViewer ist eine externe Fernsteuerungssoftware. Mit der TeamViewer-Integration können Sie in

Sophos Mobile eine Fernsteuerungs-Sitzung mit einem verwalteten Android- oder iOS-Gerät starten, ohne Sitzungs-ID oder Kennwort verwenden zu müssen.

Sophos Mobile

11.10.1 TeamViewer-Integration einrichten

Damit Sie in Sophos Mobile TeamViewer-Sitzungen starten können, müssen Sie eine TeamViewer-

Anwendung erstellen und diese mit Sophos Mobile verknüpfen.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab TeamViewer.

2. Klicken Sie auf TeamViewer-Konfigurationsassistent.

Der Assistent leitet Sie durch die Einrichtungsprozedur.

a) Erstellen Sie ein TeamViewer-Konto.

b) Erstellen Sie in der TeamViewer Management Console eine Anwendung und verknüpfen Sie diese mit Sophos Mobile.

3. Installieren Sie die TeamViewer-Software: a) Falls erforderlich, wechseln Sie zu dem Computer, auf dem Sie Sophos Mobile verwenden.

Installieren Sie den TeamViewer-Client für Windows von der TeamViewer-Website.

b) Installieren Sie auf den Geräten, die Sie steuern wollen, die App TeamViewer QuickSupport aus Google Play bzw. aus dem App Store.

Nachdem Sie die TeamViewer-Integration eingerichtet haben, steht die Geräteaktion Fernzugriff

anfordern zur Verfügung.

Verwandte Informationen

TeamViewer-Webseite (externer Link)

TeamViewer Management Console (externer Link)

11.10.2 TeamViewer-Sitzung starten

Hinweis

Sie benötigen eine TeamViewer-Lizenz und das Add-on „Support für mobile Geräte“.

Sophos Mobile unterstützt TeamViewer-Sitzungen mit Android- und iOS-Geräten.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

2. Klicken Sie auf das Gerät, das Sie steuern wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Fernzugriff anfordern.

Dies startet eine TeamViewer-Sitzung auf Ihrem Computer und auf dem ausgewählten Gerät.

Nachdem der Benutzer der Verbindung zugestimmt hat, können Sie das Gerät fernsteuern.

Sophos Mobile

12 Gerätegruppen

Gerätegruppen dienen zur Kategorisierung von Geräten. Da sich Aufgaben auch für Gerätegruppen statt für Einzelgeräte ausführen lassen, können Sie Geräte so effizient verwalten.

Ein Gerät gehört jeweils immer exakt zu einer Gerätegruppe. Sie weisen ein Gerät einer

Gerätegruppe zu, wenn Sie es zu Sophos Mobile hinzufügen.

Tipp

Gruppieren Sie nur Geräte mit demselben Betriebssystem. Gruppen lassen sich dadurch leichter für Installationen und andere betriebssystemspezifische Aufgaben verwenden.

12.1 Gerätegruppen erstellen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen und anschließend auf

Gerätegruppe erstellen.

2. Geben Sie auf der Seite Gerätegruppe bearbeiten einen Namen und eine Beschreibung für die neue Gerätegruppe ein.

3. Wählen Sie unter Compliance-Richtlinien die Compliance-Richtlinien aus, die auf Firmen- und

Privatgeräte angewendet werden.

4. Klicken Sie auf Speichern.

Hinweis

Die Einstellungen für die Gerätegruppen enthalten die Option iOS-Auto-Registrierung

aktivieren. Mit dieser Option können Sie iOS-Geräte mit dem Apple Configurator bereitstellen.

Siehe iOS-Geräte automatisch registrieren

(Seite 50).

Die neue Gerätegruppe wird angelegt und auf der Seite Gerätegruppen angezeigt.

12.2 Gerätegruppen löschen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen.

2. Klicken Sie auf der Seite Gerätegruppen auf das blaue Dreieck neben der zu löschenden

Gerätegruppe, und anschließend auf Löschen.

3. Wählen Sie im Bestätigungsdialog eine der verbleibenden Gerätegruppen aus, der die Geräte der aktuellen Gerätegruppe zugewiesen werden.

Diese Auswahl ist nur verfügbar, wenn der aktuellen Gerätegruppe Geräte zugewiesen sind.

4. Klicken Sie auf Ja, um die Gerätegruppe zu löschen.

Hinweis

Wenn nur eine Gerätegruppe vorhanden ist und dieser Geräte zugewiesen sind, können Sie die

Gerätegruppe nicht löschen.

Sophos Mobile

13 Benutzer

Auf der Seite Personen verwalten Sie die Benutzerkonten für Sophos Mobile.

Benutzerverwaltung

Wenn Sie in Sophos Mobile einen Kunden einrichten, können Sie zwischen folgenden Arten der

Benutzerverwaltung auswählen:

Interne Benutzerverwaltung

Externe Benutzerverwaltung

Föderierte Authentifizierung

Sie erstellen Benutzerkonten in Sophos Mobile.

Sie erstellen Benutzerkonten in einem LDAP-

Verzeichnis (z.B. in Active Directory) und verbinden dieses Verzeichnis anschließend mit Sophos Mobile. Siehe

Externes

Benutzerverzeichnis konfigurieren (Seite 96).

Sie erstellen Benutzerkonten in Azure Active

Directory (Azure AD). Wenn sich Benutzer im

Self Service Portal anmelden, authentisieren sie sich gegenüber Azure AD. Siehe

Föderierte

Authentifizierung konfigurieren

(Seite 98).

Benutzerinformationen

Bei interner Benutzerverwaltung zeigt die Seite Personen die Benutzer, die Sie zu Sophos Mobile hinzugefügt haben.

Bei externer Benutzerverwaltung und bei föderierter Authentifizierung zeigt die Seite Personen nur die für Sophos Mobile relevanten Benutzer:

• Benutzer, denen Sie ein Gerät zugewiesen haben.

• Benutzer, denen Sie eine über das Apple-Programm für Volumenlizenzen (VPP) erworbene App zugewiesen haben.

Klicken Sie auf den Namen eines Benutzers, um dessen Kontoinformationen anzuzeigen.

Benutzer importieren

Bei interner Benutzerverwaltung können Sie Benutzer aus einer CSV-Datei importieren. Siehe

Benutzer importieren (Seite 101).

Benutzergruppen

Mit Benutzergruppen legen Sie fest, welche Benutzer das Self Service Portal verwenden können und welche Registrierungsoptionen verfügbar sind. Um eine Konfiguration für das Self Service Portal zu erstellen, die nur für bestimmte Benutzer gilt, fügen Sie die Benutzer zu einer Benutzergruppe hinzu und weisen Sie die Gruppe der Konfiguration zu. Siehe

Self Service Portal konfigurieren

(Seite

30).

Sophos Mobile

Bei interner Benutzerverwaltung verwenden Sie Sophos Mobile Admin, um Benutzer zu Gruppen hinzuzufügen. Siehe

Benutzergruppen erstellen (Seite 101).

Bei externer Benutzerverwaltung verwendet Sophos Mobile die in Ihrem LDAP-Verzeichnis angelegten Gruppen.

Bei föderierter Authentifizierung verwendet Sophos Mobile die in Azure AD angelegten Gruppen.

13.1 Self-Service-Portal-Benutzerverwaltung konfigurieren

Hinweis

Für Sophos Mobile on Premise wird die Benutzerverwaltung für das Self Service Portal vom

Superadministrator festgelegt, wenn ein Kunde erstellt wird. Siehe das Dokument Sophos

Mobile Superadministrator-Anleitung (englisch) .

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Benutzerverzeichnis.

2. Wählen Sie unter Gerätezuweisung aus, was passieren soll, wenn Sie einen Benutzer löschen, der einem Gerät zugewiesen ist:

Option

Benutzerzuweisung aufheben

Gerät deregistrieren und löschen

Gerät deregistrieren

Beschreibung

Die Benutzerzuweisung wird entfernt. Der

Gerätestatus ändert sich nicht.

Das Gerät wird bei Sophos Mobile deregistriert und gelöscht.

Das Gerät wird bei Sophos Mobile deregistriert.

Der Gerätestatus ändert sich zu Deregistriert.

Diese Einstellung steht bei externer Benutzerverwaltung nicht zur Verfügung.

3. Wählen Sie unter Benutzerverwaltungsmodus aus, wie Sophos Mobile Benutzerkonten verwaltet:

Option Beschreibung

Kein Verzeichnis. SSP, benutzerspezifische

Profile und LDAP-Administratoren sind nicht verfügbar.

Die Benutzerverwaltung ist deaktiviert. Sie können Geräten keine Benutzer zuweisen und Sie können nicht das Self Service Portal verwenden.

Internes Verzeichnis Sie erstellen Benutzerkonten und

Benutzergruppen in Sophos Mobile.

Externes LDAP-Verzeichnis

Föderierte Authentifizierung mit Azure AD

Sophos Mobile verwendet Benutzerkonten und

Benutzergruppen aus einem LDAP-Verzeichnis.

Sie erstellen Benutzerkonten und

Benutzergruppen in Azure Active Directory

(Azure AD). Wenn sich Benutzer im Self

Service Portal anmelden, authentisieren sie sich gegenüber Azure AD.

Sophos Mobile

Option Beschreibung

Siehe

Föderierte Authentifizierung konfigurieren (Seite 98).

4. Für die externe Benutzerverwaltung klicken Sie auf Externes Benutzerverzeichnis (LDAP)

konfigurieren, um die Verbindung zu Ihrem LDAP-Verzeichnis zu konfigurieren.

Siehe

Externes Benutzerverzeichnis konfigurieren (Seite 96).

5. Klicken Sie auf Speichern.

Nachdem Sie den Benutzerverwaltungsmodus festgelegt haben, können Sie nicht direkt zu einem anderen Modus wechseln. Stattdessen müssen Sie zunächst Kein Verzeichnis. SSP,

benutzerspezifische Profile und LDAP-Administratoren sind nicht verfügbar. auswählen, damit wieder alle Optionen verfügbar sind.

Hinweis

In folgenden Fällen können Sie den Benutzerverwaltungsmodus nicht ändern:

• Wenn Sie Geräten Benutzer zugewiesen haben.

• Wenn Sie Benutzern eine über das Apple-Programm für Volumenlizenzen (VPP) erworbene

App zugewiesen haben.

13.2 Externes Benutzerverzeichnis konfigurieren

Um Benutzerkonten für Sophos Mobile Admin und für das Self Service Portal aus einem vorhandenen

LDAP-Benutzerverzeichnis zu verwenden, müssen Sie die Verbindung zu Ihrem LDAP-Server konfigurieren.

Sophos Mobile kann sich mit folgenden LDAP-Servern verbinden:

• Active Directory

• Google Cloud Directory

• IBM Domino

• NetIQ eDirectory

• Red Hat Directory Server

• Zimbra

Informationen zu unterstützten Versionen finden Sie im Dokument Sophos Mobile 9

Versionshinweise (englisch) .

Hinweis

Zwischen dem LDAP-Verzeichnis und Sophos Mobile findet keine Synchronisierung statt. Sophos

Mobile greift auf das LDAP-Verzeichnis nur zu, um Benutzerinformationen nachzuschlagen.

Änderungen an einem LDAP-Benutzerkonto wirken sich nicht auf die Datenbank von Sophos

Mobile aus, und umgekehrt.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Benutzerverzeichnis.

2. Wählen Sie Externes LDAP-Verzeichnis aus.

3. Klicken Sie auf Externes Benutzerverzeichnis (LDAP) konfigurieren.

Sophos Mobile

Die Konfiguration hängt vom Typ des LDAP-Servers ab. Die folgende Anleitung gilt für Active

Directory.

4. Konfigurieren Sie auf der Seite LDAP-Server-Details die folgenden Einstellungen.

a) Wählen Sie im Feld LDAP-Typ den Typ des LDAP-Servers aus.

b) Geben Sie im Feld Primäre URL die IP-Adresse oder den Namen des primären

Verzeichnisservers ein.

Wählen Sie SSL/TLS aus, um die Server-Verbindung mit SSL oder TLS zu sichern (je nachdem, was der Server unterstützt).

c) Optional: Geben Sie im Feld Sekundäre URL die IP-Adresse oder den Namen eines

Verzeichnisservers ein, den Sophos Mobile verwendet, falls der primäre Server nicht erreichbar ist.

d) Geben Sie in den Feldern Benutzer und Kennwort die Anmeldeinformationen ein, die Sophos

Mobile verwendet, um sich am LDAP-Server zu authentisieren.

Verwenden Sie eines der folgenden Formate:

• <Domäne>\<Benutzername>

• <Benutzername>@<Domäne>.<Domänen-Code>

Hinweis

Aus Sicherheitsgründen empfehlen wir, ein Konto zu verwenden, dass keine Schreibrechte für das Verzeichnis besitzt.

5. Geben Sie auf der Seite Suchbasis den distinguished name (DN) des Suchbasisobjekts ein.

Das Suchbasisobjekt definiert den Ausgangspunkt im Verzeichnis für die LDAP-Suche.

6. Konfigurieren Sie auf der Seite Suchfelder, welche Verzeichnis-Attribute Sophos Mobile für die

Benutzereigenschaften verwendet.

Wählen Sie die Attribute aus der Liste aus oder geben Sie sie manuell ein.

Für Active Directory verwenden Sie folgende Zuordnung:

Eigenschaft in Sophos Mobile

Benutzername

Vorname

Nachname

Attribut in Active Directory sAMAccountName givenName sn

E-Mail mail

7. Geben Sie auf der Seite SSP-Konfiguration an, welche Benutzer sich am Self Service Portal anmelden dürfen. Geben Sie die relevanten Informationen im Feld LDAP-Gruppe ein. Sie haben folgende Möglichkeiten:

• Geben Sie den Namen einer auf dem Verzeichnis-Server definierten Gruppe ein, damit sich alle Mitglieder dieser Gruppe am Self Service Portal anmelden dürfen. Wenn Sie die

Gruppe eingegeben haben, klicken Sie auf Gruppe testen, um den Gruppennamen in einen

Distinguished Name (DN) aufzulösen.

• Lassen Sie das Feld leer, damit sich keine Benutzer des Verzeichnis-Servers am Self Service

Portal anmelden dürfen. Verwenden Sie diese Option, um eine externe Benutzerverwaltung für

Sophos Mobile Admin aber nicht für das Self Service Portal zu verwenden.

Sophos Mobile

Hinweis

Die Gruppe, die Sie hier angeben, ist unabhängig von der Benutzergruppe, die Sie auf dem

Tab Gruppeneinstellungen der Seite Self Service Portal definieren. Mit den Einstellungen dort definieren Sie Auftragspakete, Gruppenzugehörigkeit in Sophos Mobile und die für jede

Benutzergruppe verfügbaren Geräteplattformen.

8. Klicken Sie auf Anwenden.

9. Klicken Sie auf dem Tab Benutzerverzeichnis auf Speichern.

Verwandte Informationen

So verbinden Sie einen Sophos Mobile 8.0 Server mit einem Azure Active Directory (englisch) (Sophos

Knowledge-Base-Artikel 128081)

Connecting Sophos Mobile to Google Cloud Identity / Google Cloud Directory using Secure LDAP

(Sophos-Knowledge-Base-Artikel 132870)

13.3 Föderierte Authentifizierung

Föderierte Authentifizierung mit Azure Active Directory (Azure AD) ist ein alternativer

Benutzerverwaltungsmodus neben interner oder externer (LDAP) Benutzerverwaltung.

Wenn sich Benutzer im Self Service Portal anmelden, gibt es zwischen externer Benutzerverwaltung und föderierter Authentifizierung einen grundlegenden Unterschied:

• Bei externer Benutzerverwaltung authentisieren sich Benutzer gegenüber Sophos Mobile mit ihren

LDAP-Anmeldeinformationen.

• Bei föderierter Authentisierung authentisieren sich Benutzer direkt gegenüber Azure AD.

Dies hat folgende Vorteile:

• Azure AD unterstützt moderne Anmeldefunktionen wie z.B. Mehrfaktor-Authentifizierung, Smart-

Card-Authentifizierung oder zertifikatbasierte Authentifizierung.

• Plattformübergreifendes Single-Sign-On: Benutzer melden sich nur einmal an und können dann auf das Self Service Portal und auf andere Anwendungen und Ressourcen zugreifen, die Sie für

Azure-AD-Authentisierung konfiguriert haben.

• Sie müssen nicht die Netzwerkports 389 (LDAP) oder 636 (LDAPS) für die Kommunikation zwischen Sophos Mobile und Ihrem LDAP-Server öffnen.

13.3.1 Föderierte Authentifizierung konfigurieren

Um föderierte Authentifizierung mit Azure Active Directory (Azure AD) zu verwenden, müssen Sie

Sophos Mobile als Microsoft-Azure-Anwendung registrieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Microsoft Azure.

2. Klicken Sie auf Microsoft-Azure-Registrierungsassistent.

Der Assistent leitet Sie durch den Registrierungsvorgang im Microsoft-Azure-Portal und in Sophos

Mobile Admin: a) Erstellen Sie im Microsoft-Azure-Portal eine Anwendung für Sophos Mobile.

b) Geben Sie in Sophos Mobile die Anwendungs-ID ein.

Sophos Mobile c) Laden Sie das Server-Zertifikat für Sophos Mobile in Ihre Anwendung hoch.

d) Registrieren Sie eine Antwort-URL für Sophos Mobile. Nachdem sich Benutzer gegenüber

Azure AD authentisiert haben, werden sie zu dieser Seite in Sophos Mobile weitergeleitet.

e) Gewähren Sie der Anwendung die erforderlichen Berechtigungen.

3. Klicken Sie auf der Seite Sophos-Einrichtung auf das Tab Benutzerverzeichnis.

4. Wählen Sie Föderierte Authentifizierung mit Azure AD als Benutzerverwaltungsmodus aus.

Falls föderierte Authentifizierung nicht vorhanden ist, wechseln Sie zunächst zu Kein Verzeichnis.

SSP, benutzerspezifische Profile und LDAP-Administratoren sind nicht verfügbar..

Hinweis

Sie können die Anwendung für Sophos Mobile, die Sie im Azure-Portal erstellt haben, auch für den Intune-App-Schutz verwenden. Beachten Sie, dass für den Intune-App-Schutz zusätzliche

Lizenzbedingungen gelten. Siehe Intune App-Schutz

(Seite 353).

13.3.2 Standardkunden für das Self Service Portal festlegen

Als Superadministrator können Sie einen Standardkunden festlegen, der automatisch ausgewählt wird, wenn sich Benutzer am Self Service Portal anmelden.

In Sophos Mobile können Sie mehrere Kunden einrichten, um verschiedene Bereiche Ihres

Unternehmens unabhängig voneinander zu verwalten. Wenn sich Benutzer im Self Service

Portal anmelden, müssen sie vor der Eingabe ihrer Anmeldeinformation zunächst einen Kunden auswählen.

Indem Sie einen Standardkunden festlegen, vereinfachen Sie den Anmeldevorgang für Ihre

Benutzer. Dies ist für alle Benutzerverwaltungsmodi möglich. Besonders nützlich ist es aber bei der

Verwendung von föderierter Authentifizierung: Wenn Benutzer sich bereits gegenüber Azure Active

Directory (Azure AD) authentisiert haben, sehen sie überhaupt keinen Anmeldedialog.

So legen Sie einen Standardkunden für das Self Service Portal fest:

1. Melden Sie sich in Sophos Mobile Admin als Superadministrator an.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Web-Portale.

3. Wählen Sie unter Self Service Portal die Option Vorgabe Kunde aus und wählen Sie anschließend einen Kunden aus der Liste aus.

4. Optional: Deaktivieren Sie Sichtbar und bearbeitbar, um die Anmeldeseite für Benutzer zu

überspringen, die sich bereits gegenüber Azure AD authentisiert haben.

Hinweis

Wenn Sie diese Option deaktivieren, können nur Benutzer des Standardkunden das Self

Service Portal verwenden.

5. Klicken Sie auf Speichern.

13.4 LDAP-Verbindung konfigurieren

Wenn Sie die föderierte Authentifizierung eingerichtet haben, können Sie eine LDAP-Verbindung zwischen Sophos Mobile und Azure Active Directory (Azure AD) konfigurieren. Dies ist erforderlich, wenn Sie Apple DEP, Google Zero-Touch oder Samsung KME verwenden wollen.

Sophos Mobile

Folgende Geräte registrieren sich automatisch bei Sophos Mobile, wenn Benutzer sie einrichten:

• iPhones, iPads und Macs, die für das Apple-Programm zur Geräteregistrierung (DEP) registriert sind.

• Android-Geräte, die für die Zero-Touch-Registrierung von Google registriert sind.

• Samsung-Android-Geräte, die für Knox Mobile Enrollment (KME) registriert sind.

Während der Registrierung verbindet sich Sophos Mobile mit Azure AD, um den Benutzer zu authentifizieren.

So konfigurieren Sie eine LDAP-Verbindungen:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab LDAP-Verbindung.

2. Klicken Sie auf Externes Benutzerverzeichnis (LDAP) konfigurieren.

3. Konfigurieren Sie auf der Seite LDAP-Server-Details die folgenden Einstellungen.

a) Geben Sie im Feld Primäre URL die IP-Adresse oder den Namen des primären

Verzeichnisservers ein.

Der Server muss LDAPS (LDAP über SSL/TLS) unterstützen.

b) Optional: Geben Sie im Feld Sekundäre URL die IP-Adresse oder den Namen eines

Verzeichnisservers ein, den Sophos Mobile verwendet, falls der primäre Server nicht erreichbar ist.

c) Geben Sie in den Feldern Benutzer und Kennwort die Anmeldeinformationen ein, die Sophos

Mobile verwendet, um sich am LDAP-Server zu authentisieren.

Verwenden Sie eines der folgenden Formate:

• <Domäne>\<Benutzername>

• <Benutzername>@<Domäne>.<Domänen-Code>

Hinweis

Aus Sicherheitsgründen empfehlen wir, ein Konto zu verwenden, dass keine Schreibrechte für das Verzeichnis besitzt.

4. Geben Sie auf der Seite Suchbasis den distinguished name (DN) des Suchbasisobjekts ein.

Das Suchbasisobjekt definiert den Ausgangspunkt im Verzeichnis für die LDAP-Suche.

5. Klicken Sie auf Anwenden.

13.5 Benutzer erstellen

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Personen.

2. Klicken Sie auf Benutzer erstellen.

3. Wählen Sie auf der Seite Benutzer bearbeiten das Kontrollkästchen Registrierungs-E-Mail

senden aus.

4. Geben Sie die Kontodetails ein.

Das Feld Benutzername darf nur Buchstaben (Lateinisches Alphabet), Ziffern, Leerzeichen, oder die Zeichen \!._-# enthalten.

5. Klicken Sie auf Speichern.

Eine Registrierungs-E-Mail wird an den neuen Benutzer gesendet.

Sophos Mobile

Wenn Sie auf das blaue Dreieck neben dem betreffenden Benutzer klicken, können Sie die

Benutzerinformationen anzeigen (Anzeigen) oder den Benutzer Bearbeiten oder Löschen.

Hinweis

Wenn Sie auf einen Benutzernamen klicken, wird die Seite Benutzer bearbeiten angezeigt. Diese

Seite enthält eine Schaltfläche Registrierungs-E-Mail erneut senden, mit der Sie die E-Mail erneut senden können, falls der Benutzer diese nicht erhalten oder verloren hat.

13.6 Benutzer importieren

Sie können Benutzer hinzufügen, indem Sie diese aus einer CSV-Datei importieren.

Sie können bis zu 500 Benutzer importieren.

Wenn Sie eine Gruppe angeben, die nicht vorhanden ist, legt Sophos Mobile diese an.

Für die CSV-Datei gilt folgendes:

• Die erste Zeile enthält die Spaltenüberschriften und wird nicht importiert.

• Als Trennzeichen wird ein Semikolon verwendet, kein Komma.

• Alle Zeilen haben die korrekte Anzahl an Semikolons. Dies gilt auch, wenn optionale Werte fehlen.

• Die Dateiendung ist .csv

• Damit nicht englische Zeichen korrekt importiert werden, muss die Datei UTF-8-kodiert sein.

Tipp

Klicken Sie auf der Seite Benutzer importieren auf Beispiel-CSV, um eine Beispieldatei herunterzuladen.

So importieren Sie Benutzer aus einer CSV-Datei:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Personen.

2. Klicken Sie auf Benutzer importieren.

3. Wählen Sie auf der Seite Benutzer importieren die Option Registrierungs-E-Mails senden aus.

4. Klicken Sie auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.

Die Einträge werden aus der Datei eingelesen und angezeigt.

5. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen

Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.

6. Klicken Sie auf Fertigstellen, um die Benutzerkonten zu erstellen.

Die Benutzer werden importiert und auf der Seite Personen angezeigt. Jeder Benutzer erhält eine E-

Mail mit seinen Anmeldeinformationen für das Self Service Portal.

13.7 Benutzergruppen erstellen

Mit Benutzergruppen legen Sie fest, welche Benutzer das Self Service Portal verwenden können und welche Registrierungsoptionen verfügbar sind.

Sophos Mobile

Hinweis

Wenn Sie Ihre Benutzerkonten in einem externen LDAP-Verzeichnis verwalten, erstellen Sie Ihre

Benutzergruppen dort.

Wenn Sie föderierte Authentifizierung verwenden, erstellen Sie Ihre Benutzergruppen in Azure

Active Directory.

So erstellen Sie eine Benutzergruppe:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Personen.

2. Klicken Sie auf Benutzergruppen anzeigen.

3. Klicken Sie auf der Seite Benutzergruppen anzeigen auf Gruppe erstellen.

4. Geben Sie einen Namen für die Gruppe ein.

5. Klicken Sie auf Speichern.

Nachdem Sie eine Benutzergruppe erstellt haben, können Sie Benutzer hinzufügen.

Wenn Sie die Gruppe einer Konfiguration Self Service Portal zuweisen, gilt diese Konfiguration nur

für die Mitglieder der Gruppe. Siehe Self Service Portal konfigurieren (Seite 30).

Sophos Mobile

14 Profile und Richtlinien

Profile

Profile sind Einstellungen, die Sie festlegen und anschließend auf einem Gerät oder einer

Gerätegruppe installieren.

Für die Installation eines Profils auf einem oder mehreren Geräten erstellt Sophos Mobile einen

Auftrag und führt ihn zu einem festgelegten Zeitpunkt aus. Wenn Sie ein Profil aktualisieren, müssen

Sie es erneut installieren, damit die geänderten Einstellungen auf dem Gerät wirksam werden.

Es gibt folgende Arten von Profilen:

Konfigurationen für Android-Geräteprofile

(Seite 111)

Konfigurationen für Knox-Container-Profile (Seite 177)

Konfigurationen für iOS-Geräteprofile (Seite 183)

Richtlinien

Richtlinien sind Einstellungen, die Sie festlegen und anschließend einem Gerät oder einer

Gerätegruppe zuweisen. Sie können einem Gerät nicht zwei Richtlinien desselben Typs zuweisen.

Wenn Sie einem Gerät eine Richtlinie zuweisen, löst dies eine Synchronisierung aus und die

Einstellungen werden sofort angewendet. Zugewiesene Richtlinien werden jedes Mal aktualisiert, wenn sich ein Gerät mit dem Sophos Mobile Server verbindet. Daher muss eine Richtlinie nicht explizit erneut angewendet werden, wenn Sie diese aktualisieren.

Es gibt folgende Arten von Richtlinien:

Konfigurationen für Android-Enterprise-Geräterichtlinien

(Seite 147)

Konfigurationen für Richtlinien für Android Enterprise Arbeitsprofile (Seite 132)

Konfigurationen für Sophos-Container-Richtlinien (Android) (Seite 162)

Konfigurationen für Mobile-Security-Richtlinien (Android)

(Seite 174)

Konfigurationen für Android-Things-Richtlinien (Seite 183)

Konfigurationen für Sophos-Container-Richtlinien (iOS)

(Seite 217)

Konfigurationen für Mobile-Security-Richtlinien (iOS) (Seite 229)

Konfigurationen für macOS-Geräterichtlinien

(Seite 231)

Konfigurationen für macOS-Benutzerrichtlinien

(Seite 249)

Konfigurationen für Windows-Mobile-Richtlinien

(Seite 269)

Konfigurationen für Windows-Richtlinien (Seite 281)

Konfigurationen für Windows-IoT-Richtlinien (Seite 293)

Sophos Mobile

104

14.1 Erste Schritte mit Geräterichtlinien

Der Assistent Richtlinien-Schnellstart hilft Ihnen, grundlegende Geräterichtlinien für alle Plattformen zu erstellen. Sie können die Richtlinien später erweitern.

Hinweis

Je nach Plattform konfigurieren Sie Geräteeinstellungen entweder mit einem Geräteprofil (Android, iOS) oder einer Geräterichtlinie (macOS, Windows, Windows Mobile). Der Einfachheit halber wird in diesem Abschnitt der Ausdruck Richtlinie sowohl für Profile als auch für Richtlinien verwendet.

Zu den Unterschieden zwischen Profilen und Richtlinien siehe

Profile und Richtlinien (Seite 103).

1. Klicken Sie auf der Seite „Übersicht“ im Widget Aufgaben auf Assistent „Richtlinien-

Schnellstart“.

Tipp

Falls das Widget nicht angezeigt wird, klicken Sie auf Widget hinzufügen > Erste Schritte.

2. Wählen Sie auf der Seite Plattformen die Geräteplattformen aus, für die Sie eine Richtlinie erstellen wollen.

3. Für Android können Sie einen Verwaltungsmodus auswählen.

Diese Einstellung bestimmt, welche Arten von Richtlinien verfügbar sind. Wir empfehlen, den

Modus Android Enterprise zu verwenden.

4. Konfigurieren Sie auf der Seite Richtlinien die folgenden Einstellungen.

a) Geben Sie einen Namen für die Richtlinie ein.

Für jede Plattform wird eine Richtlinie mit diesem Namen erstellt.

b) Wählen Sie die von der Richtlinie verwalteten Bereiche aus.

Wenn Sie ein Kontrollkästchen deselektieren, wird die zugehörige Seite im Assistenten

übersprungen. Sie können die übersprungenen (und weitere) Bereiche später konfigurieren.

5. Auf der Seite Kennwörter konfigurieren Sie Anforderung an das Gerätekennwort.

6. Auf der Seite Einschränkungen konfigurieren Sie Einschränkungen, die auf die Geräte angewendet werden, zum Beispiel das Abschalten der Kamera oder anderer Gerätefunktionen, die ein Sicherheitsrisiko darstellen könnten.

7. Auf der Seite WLAN konfigurieren Sie die Verbindung zu Ihrem Unternehmens-WLAN.

Sie können die Einstellung später ändern, falls Ihr WLAN eine andere Sicherungsart als WPA/

WPA2 PSK verwendet.

8. Auf der Seite E-Mail konfigurieren Sie die Verbindung zu Ihrem Microsoft Exchange E-Mail-Server.

Die Platzhalter %_USERNAME_% und %_EMAILADDRESS_% werden durch den Namen und die E-

Mail-Adresse des dem Gerät zugewiesenen Benutzers ersetzt.

9. Klicken Sie auf Fertigstellen.

Für jede von Ihnen ausgewählte Plattform erstellt der Assistent eine Richtlinie.

Um die Richtlinie zu betrachten, klicken Sie in der Menüleiste auf Profile, Richtlinien und anschließend auf die Geräteplattform.

Um die verwalteten Bereiche zu ändern, klicken Sie auf den Namen der Richtlinie und anschließend auf Konfiguration hinzufügen.

Sophos Mobile

Wenn Sie den Modus Android Enterprise ausgewählt haben, müssen Sie erst Android Enterprise

für Ihr Unternehmen einrichten, bevor Sie Geräte registrieren können. Siehe Android Enterprise einrichten - Übersicht

(Seite 334).

14.2 Profil oder Richtlinie erstellen

Profile und Richtlinien bestehen aus einer oder mehrerer Konfigurationen. Indem Sie Konfigurationen hinzufügen, definieren Sie den Aufgabenbereich des Profils bzw. der Richtlinie, d.h. die auf den

Geräten verwalteten Bereiche.

1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Profile, Richtlinien und anschließend auf die Plattform, für die Sie ein Profil oder eine Richtlinie erstellen wollen.

2. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen. Wenn es für eine Plattform mehrere Arten von Profilen oder Richtlinien gibt, öffnet Erstellen ein Menü, aus dem Sie die gewünschte Option auswählen können.

Eine Liste der verfügbaren Arten von Profilen und Richtlinien finden Sie in

Profile und Richtlinien

(Seite 103).

3. Geben Sie einen Namen und eine Beschreibung ein.

4. Für iOS- und macOS-Geräteprofile: Geben Sie den Namen Ihres Unternehmens ein.

5. Sophos-Container-Richtlinien enthalten immer eine Konfiguration Allgemein. Klicken Sie auf der

Seite Richtlinie bearbeiten auf Allgemein, um die Konfiguration anzuzeigen und bei Bedarf anzupassen.

6. Richtlinien für Android Enterprise enthalten immer eine Konfiguration Einschränkungen. Klicken

Sie auf der Seite Richtlinie bearbeiten auf Einschränkungen, um die Konfiguration anzuzeigen und bei Bedarf anzupassen.

7. Mobile-Security-Richtlinien enthalten immer eine Konfiguration Netzwerk. Klicken Sie auf der

Seite Richtlinie bearbeiten auf Netzwerk, um die Konfiguration anzuzeigen und bei Bedarf anzupassen.

8. Um weitere Konfiguration zu dem Profil oder der Richtlinie hinzuzufügen, klicken Sie auf

Konfiguration hinzufügen und wählen Sie anschließend die gewünschte Konfiguration aus.

Hinweis

Einige Konfigurationen werden nur für bestimmte Betriebssystemversionen oder

Gerätemerkmale unterstützt. Solche Einschränkungen sind in Sophos Mobile Control durch blaue Label gekennzeichnet.

9. Nehmen Sie auf der Einstellungsseite der Konfiguration die gewünschten Einstellungen vor.

10. Optional: Wiederholen Sie die vorhergehenden Schritte, um weitere Konfigurationen hinzuzufügen.

11. Wenn Sie eine Konfiguration vom Typ SCEP oder Duo-Gerätezertifikat hinzugefügt haben, können Sie optional in SCEP-Erneuerung ein Intervall für die Zertifikaterneuerung auswählen.

Nach Ablauf des Intervalls fordert das Gerät automatisch eine Erneuerung des Zertifikats an.

Stichdatum ist dabei der Zeitpunkt, an dem das Profil oder die Richtlinie dem Gerät zugewiesen wurden. Das Intervall gilt für alle Konfigurationen vom Typ SCEP und Duo-Gerätezertifikat, die

Sie dem Profil oder der Richtlinie hinzugefügt haben.

12. Wenn Sie alle erforderlichen Konfigurationen hinzugefügt haben, klicken Sie auf Speichern.

Das Profil oder die Richtlinie wird erstellt. Informationen, wie Sie das Profil oder die Richtlinie auf

Geräte anwenden, finden Sie in

Profile auf Geräten installieren

(Seite 109) bzw. Richtlinien Geräten zuweisen

(Seite 110).

Sophos Mobile

Tipp

Wenn Sie ein Profil aktualisieren, können Sie die Änderungen einfach auf alle Geräte anwenden, auf denen das Profil installiert ist: Klicken Sie auf der Seite Profile und Richtlinien auf das blaue

Dreieck neben dem Profil und anschließend auf Geräte aktualisieren.

Wenn Sie eine Richtlinie aktualisieren, werden die Änderungen automatisch auf alle Geräte angewendet, denen die Richtlinie zugewiesen ist.

14.3 Mit Apple Configurator erstellte iOS-

Geräteprofile importieren

Sie können mit dem Apple Configurator erstellte Profile nach Sophos Mobile importieren.

Der Apple Configurator kann vom App Store heruntergeladen werden.

Hinweis

Geräteprofile werden auf dieselbe Weise importiert wie Provisionierungsprofile für selbstentwickelte iOS-Apps. Wenn Sie eine Profildatei hochladen, analysiert Sophos Mobile den

Inhalt und verarbeitet die beiden Profilarten entsprechend.

1. Nachdem Sie ein Profil im Apple Configurator erstellt haben, exportieren Sie es (unverschlüsselt und unsigniert) und speichern Sie es auf Ihrem Computer.

2. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > iOS.

3. Klicken Sie auf der Seite Profile und Richtlinien auf ErstellenProfil importieren.

Die Seite Profil bearbeiten wird angezeigt.

4. Geben Sie in den jeweiligen Feldern einen Namen und eine Beschreibung für das neue Profil ein.

5. Klicken Sie auf Datei hochladen und navigieren Sie zu der Datei, die Sie auf Ihrem Computer gespeichert haben. Wählen Sie diese aus und klicken Sie auf Öffnen.

6. Klicken Sie auf Speichern.

Das Profil wird erstellt. Es kann auf Geräten installiert werden. Siehe Profile auf Geräten installieren

(Seite 109).

14.4 Provisionierungsprofile für iOS-Apps importieren

Wenn Sie eigene iOS-Apps entwickeln, erstellen Sie Provisionierungsprofile, um Ihre Apps

über eine IPA-Datei installieren zu können anstatt über den App Store. Sie können diese

Provisionierungsprofile auf den Sophos Mobile Server hochladen, um sie anschließend an Ihre

Geräte zu verteilen.

Details zu Provisionierungsprofilen finden Sie in der iOS Developer Library.

Sophos Mobile

Hinweis

Sie importieren Provisionierungsprofile auf dieselbe Weise wie mit dem Apple Configurator erstellte Geräteprofile. Wenn Sie eine Profildatei hochladen, analysiert Sophos Mobile den Inhalt und verarbeitet die beiden Profilarten entsprechend.

1. Nachdem Sie in Ihrer iOS-Entwicklungsumgebung ein Provisionierungsprofil erstellt haben, speichern Sie dieses auf Ihrem Computer.

2. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > iOS.

3. Klicken Sie auf der Seite Profile und Richtlinien auf ErstellenProfil importieren.

Die Seite Profil bearbeiten wird angezeigt.

4. Geben Sie in den jeweiligen Feldern einen Namen und eine Beschreibung für das neue Profil ein.

5. Klicken Sie auf Datei hochladen und navigieren Sie zu der Datei, die Sie auf Ihrem Computer gespeichert haben. Wählen Sie diese aus und klicken Sie auf Öffnen.

6. Klicken Sie auf Speichern.

Das Profil wird erstellt. Es kann auf Geräten installiert werden. Siehe Profile auf Geräten installieren

(Seite 109).

14.5 Über macOS-Richtlinien

Für Macs gibt es zwei Arten von Richtlinien:

• Geräterichtlinie: Wenn Sie einem Mac eine Geräterichtlinie zuweisen, gelten die Einstellungen für alle Benutzer, die sich an dem Mac anmelden - unabhängig davon, ob diese Benutzer von Sophos

Mobile verwaltet werden oder nicht.

• Benutzerrichtlinie: Wenn Sie einem Mac eine Benutzerrichtlinie zuweisen, gelten die

Einstellungen für alle verwalteten Benutzer, die sich an dem Mac anmelden.

Verwaltete Benutzer sind:

• Der lokale Benutzer, der den Mac bei Sophos Mobile registriert hat.

• Alle Netzwerk-Benutzer, die Sophos Mobile bekannt sind. Dies sind die Benutzer des externen

LDAP-Verzeichnisses, welches Sie für das Self Service Portal konfiguriert haben.

Über Geräte- und Benutzerrichtlinien

• Zusätzlich zu der Registrierungsrichtlinie (die eine Geräterichtlinie ist) können Sie einem Mac eine

Geräterichtlinie und eine Benutzerrichtlinie zuweisen.

• Wenn es konkurrierende Einstellungen in der Geräte- und der Benutzerrichtlinie gibt, wird die restriktivere Einstellung angewendet.

• Auf dem Mac werden die zugewiesenen Richtlinien unter Systemeinstellungen > Profile angezeigt.

• Wenn Sie eine Geräterichtlinie aktualisieren, werden die Änderungen bei der nächsten

Synchronisierung übernommen.

• Wenn Sie eine Benutzerrichtlinie aktualisieren, werden die Änderungen übernommen, wenn sich der Benutzer das nächste Mal am Mac anmeldet.

• Benutzer können zwar die Benutzerrichtlinie vom Mac entfernen. Diese wird aber automatisch erneut zugewiesen, wenn sich der Benutzer das nächste Mal anmeldet.

Sophos Mobile

• Benutzer können nicht die Geräterichtlinie entfernen.

• Wenn ein Benutzer die Registrierungsrichtlinie entfernt, wird der Mac bei Sophos Mobile deregistriert. Hierfür sind Administratorrechte erforderlich.

Zugehörige Konzepte

Konfigurationen für macOS-Geräterichtlinien (Seite 231)

Konfigurationen für macOS-Benutzerrichtlinien (Seite 249)

14.6 Komplexitätsregeln für Windows-Kennwörter

Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von

Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden können. Es gelten unterschiedlicher Regeln für lokale und für Microsoft-Konten.

Lokale Konten

• Kennwort darf nicht den Anmeldenamen oder mehr als zwei aufeinanderfolgende Zeichen des

Benutzernamens enthalten.

• Kennwort muss sechs oder mehr Zeichen lang sein.

• Kennwort muss Zeichen aus drei der folgenden vier Kategorien enthalten:

— Großbuchstaben A-Z (Lateinisches Alphabet)

— Kleinbuchstaben a-z (Lateinisches Alphabet)

— Ziffern 0-9

— Sonderzeichen (!, $, #, %, etc.)

Microsoft-Konten

• Kennwort muss acht oder mehr Zeichen lang sein.

• Kennwort muss Zeichen aus zwei der folgenden vier Kategorien enthalten:

— Großbuchstaben A-Z (Lateinisches Alphabet)

— Kleinbuchstaben a-z (Lateinisches Alphabet)

— Ziffern 0-9

— Sonderzeichen (!, $, #, %, etc.)

14.7 Unterstützung von Samsung Knox

Sie können Ihre Samsung-Knox-Geräte mit Sophos Mobile verwalten.

Um die Unterstützung für Samsung Knox zu aktivieren, müssen Sie in Sophos Mobile einen

Lizenzschlüssel vom Typ Samsung Knox Premium registrieren. Siehe Samsung-Knox-Lizenz registrieren (Seite 24).

Informationen zur Konfiguration des Knox-Containers auf Samsung-Geräten finden Sie in

Konfigurationen für Knox-Container-Profile

(Seite 177).

Sophos Mobile

Informationen zur Installation von Apps in einen Samsung-Knox-Container finden Sie in

App hinzufügen (Seite 308).

Zur Verwaltung Ihrer Samsung-Knox-Geräte können Sie Auftragspakete für die folgenden Aktionen erstellen:

• Knox-Container: sperren

• Knox-Container: entsperren

• Knox-Container: Kennwort zurücksetzen

• Knox-Container: entfernen (entfernt den Container und alle zugehörigen Einstellungen vom

Gerät)

Informationen zum Erstellen eines Auftragspakets für ein Samsung-Knox-Gerät finden Sie in

Auftragspakete erstellen

(Seite 296).

14.8 Platzhalter in Profilen und Richtlinien

Profile und Richtlinien können Platzhalter enthalten, die zum Zeitpunkt der Auftragsausführung durch die eigentlichen Daten ersetzt werden.

Sie können folgende Platzhalter verwenden:

• Platzhalter für Benutzerinformationen:

— %_EMAILADDRESS_%

— %_USERNAME_%

• Platzhalter für Geräteeigenschaften:

— %_DEVPROP(Eigenschaftsname)_%

Eigenschaftsname ist entweder eine Standardeigenschaft oder eine benutzerdefinierte

Eigenschaft des Gerätes. Siehe

Benutzerdefinierte Geräteeigenschaften (Seite 71).

• Platzhalter für Kundeneigenschaften:

— %_CUSTPROP(Eigenschaftsname)_%

Siehe

Kundeneigenschaften erstellen (Seite 27).

Bei macOS werden Benutzerinformationen folgendermaßen ersetzt:

• Für das lokale Mac-Konto werden die Informationen des Benutzers verwendet, der dem Gerät in

Sophos Mobile zugewiesen ist.

• Für Netzwerkkonten werden die Informationen des LDAP-Benutzerkontos verwendet.

14.9 Profile auf Geräten installieren

1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf eine Geräteplattform, die Profile unterstützt:

• Android

• iOS

Die Seite Profile und Richtlinien für die ausgewählte Plattform wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem Profil, das installiert werden soll, und danach auf

Installieren.

Sophos Mobile

Die Seite Geräte auswählen wird angezeigt.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Wählen Sie einzelne Geräte aus, auf denen Sie die App installieren wollen.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Weiter.

Die Seite Ausführungszeit wählen wird angezeigt.

5. Wählen Sie unter Datum die Option Sofort oder geben Sie ein Datum und eine Uhrzeit für die

Ausführung des Auftrags an.

6. Klicken Sie auf Fertigstellen.

Die Seite Auftragsstatus wird angezeigt.

Das Profil wird zum angegebenen Zeitpunkt auf den ausgewählten Geräten installiert.

Tipp

Sie können ein Profil auch folgendermaßen installieren:

• Um ein Profil auf allen Geräten zu aktualisieren, auf denen es installiert ist: Klicken Sie auf der

Seite Profile und Richtlinien auf das blaue Dreieck neben dem Profil und anschließend auf

Geräte aktualisieren.

• Um ein Profil auf einem einzelnen Gerät zu installieren: Öffnen Sie auf der Seite Gerät

anzeigen des Gerätes das Tab Profile und klicken Sie auf Profil installieren.

• Um ein Profil auf mehreren Geräten zu installieren: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > Profil installieren.

• Um ein Profil auf einem oder mehreren Geräten als Teil eines Auftragspakets zu installieren:

Fügen Sie dem Auftragspaket einen Auftrag Profil installieren hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

14.10 Richtlinien Geräten zuweisen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien und anschließend auf eine Geräteplattform.

2. Klicken Sie auf das blaue Dreieck neben einer Richtlinie und anschließend auf Zuweisen.

3. Auf der Seite Geräte auswählen haben Sie folgende Optionen:

• Wählen Sie einzelne Geräte aus, denen die Richtlinie zugewiesen werden soll.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie eine oder mehrere Gerätegruppen für die Zuweisung der Richtlinie aus.

4. Klicken Sie auf Fertigstellen.

Die Richtlinie wird den ausgewählten Geräten zugewiesen.

Hinweis

Sophos Mobile kann Richtlinien nicht von Geräten entfernen. Um eine Richtlinie zu deaktivieren, ersetzen Sie sie durch eine leere Richtlinie.

Sophos Mobile

Tipp

Sie können eine Richtlinie auch folgendermaßen zuweisen:

• Um eine Richtlinie einem einzelnen Gerät zuzuweisen: Öffnen Sie auf der Seite Gerät

anzeigen des Gerätes das Tab Richtlinien und klicken Sie auf Richtlinie zuweisen.

• Um eine Richtlinie mehreren Geräten zuzuweisen: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > Profil installieren

oder Richtlinie zuweisen.

• Um eine Richtlinie einem oder mehreren Geräten als Teil eines Auftragspakets zuzuweisen:

Fügen Sie dem Auftragspaket einen Auftrag Profil installieren oder Richtlinie zuweisen hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

14.11 Profile deinstallieren

Sie können ein Profil auf eine der beiden folgenden Weisen von einem Gerät deinstallieren:

• Um ein Profil von einem einzelnen Gerät zu deinstallieren: Öffnen Sie auf der Seite Gerät

anzeigen des Gerätes das Tab Profile. Klicken Sie auf das blaue Dreieck neben dem Profil, das

Sie entfernen wollen, und anschließend auf Deinstallieren.

• Um ein Profil von allen Geräten zu deinstallieren, auf denen es installiert ist: Klicken Sie auf der

Seite Profile und Richtlinien einer Plattform auf das blaue Dreieck neben dem Profil, das Sie entfernen wollen, und anschließend auf Deinstallieren.

• Um ein Profil von ausgewählten Geräten zu deinstallieren: Erstellen Sie ein Auftragspaket mit einem Auftrag Profil deinstallieren und übertragen Sie dieses an die gewünschten Geräte oder

Gerätegruppen.

14.12 Profile und Richtlinien herunterladen

Sie können Profile und Richtlinien herunterladen. Dies ist zum Beispiel nützlich, wenn Sie

Einstellungen an den Sophos Support weiterleiten müssen.

1. Gehen Sie in der Menüleiste zu Profile, Richtlinien und klicken Sie auf eine Geräteplattform.

2. Klicken Sie auf das blaue Dreieck neben einem Profil oder einer Richtlinie und klicken Sie auf

Herunterladen.

Das Profil bzw. die Richtlinie wird auf Ihrem Computer gespeichert.

14.13 Konfigurationen für Android-Geräteprofile

Mit einem Android-Geräteprofil konfigurieren Sie verschiedene Bereiche von Android-Geräten, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen eines Geräteprofils finden Sie in

Profil oder Richtlinie erstellen (Seite

105).

Sophos Mobile

14.13.1 Konfiguration „Kennwortrichtlinien“ (Android-

Geräteprofil)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Kennwort für die

Displaysperre.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

112

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Sophos Mobile

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Maximale Anmeldeversuche

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird das Gerät zurückgesetzt.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Sophos Mobile

Biometrische Authentisierung

Einstellung/Feld

Fingerabdruck-Authentisierung erlauben

Iris-Authentisierung erlauben

Beschreibung

Falls vom Gerät unterstützt, kann der Benutzer das Gerät mittels Fingerabdruck-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer das

Gerät mittels Iris-Authentisierung entsperren.

14.13.2 Konfiguration „Einschränkungen“ (Android-Geräteprofil)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sicherheit

Einstellung/Feld

Verschlüsselung erzwingen

Verschlüsselung von SD-Karten erzwingen

Beschreibung

Benutzer müssen ihre Geräte verschlüsseln.

Nachdem das Profil auf einem Gerät installiert wurde, wird der Benutzer aufgefordert, die SD-Karte zu verschlüsseln.

Hinweis

Bei manchen Geräten kann der Benutzer den

Verschlüsselungsvorgang abbrechen. In diesem

Fall wird er beim nächsten Einbinden der SD-Karte erneut aufgefordert.

Schnellverschlüsselung erlauben

Auf Werkseinstellungen zurücksetzen erlauben

Entwickleroptionen erlauben

Safe-Modus erlauben

Benutzer können in den Geräte-Einstellungen die

Optionen zur Schnellverschlüsselung ändern.

Benutzer können das Gerät auf Werkseinstellungen zurücksetzen.

Benutzer können die Entwickleroptionen ändern.

Benutzer können das Gerät im Safe-Modus starten.

Sophos Mobile

Einstellung/Feld

USB-Debugging erlauben

Beschreibung

Benutzer können USB-Debugging aktivieren.

Hinweis

Für Sony-Geräte mit Enterprise API Version 9 oder höher gilt: Wenn das Kontrollkästchen USB-

Debuggen erlauben deaktiviert ist, sind keine

Entwickleroptionen verfügbar.

Firmware-Wiederherstellung erlauben Alle Arten von Firmware-Updates (wie Over-The-Air,

Download etc.) sind erlaubt.

Sicherung erlauben

Einstellungen ändern erlauben

Benutzer können Systemsicherungen erstellen.

Wenn das Kontrollkästchen deaktiviert ist, ist Google

Backup deaktiviert. Andere Backup-Methoden (zum

Beispiel Backups durch Sophos Mobile) sind weiterhin verfügbar.

Benutzer können Geräte-Einstellungen ändern.

Hinweis

Sie müssen dies für Samsung-Geräte aktivieren, auf denen Sie einen Knox-Container konfigurieren wollen.

Zwischenablage erlauben

Gemeinsame Zwischenablage aktivieren

Screenshot erlauben

Simulierte Standorte erlauben

Das Kopieren von Inhalten in die Zwischenablage ist nicht eingeschränkt.

Benutzer können Inhalte aus einer App kopieren und in eine andere App einfügen.

Wenn das Kontrollkästchen deaktiviert ist, verwendet jede App eine eigene Zwischenablage.

Diese Einstellung ist nur verfügbar, wenn Sie

Zwischenablage erlauben aktivieren.

Benutzer können Screenshots machen.

Benutzer können in den Android-Entwickleroptionen eine Pseudo-Standort-App auswählen.

Firmware-Aktualisierungen „Over-the-Air“ sind erlaubt.

Over-The-Air Firmware-Aktualisierung erlauben

Audioaufnahmen erlauben

Videoaufnahmen erlauben

Benutzer können Tonaufnahmen machen.

Benutzer können Videos aufnehmen.

Wenn das Kontrollkästchen deaktiviert ist, sind

Fotoaufnahmen und das Abspielen von Videos weiterhin erlaubt.

Sophos Mobile

Einstellung/Feld

Aktivierungssperre erlauben

S Beam erlauben

S Voice erlauben

„Teilen über“ erlauben

Beschreibung

Benutzer können in den Geräte-Einstellungen die

Optionen zur Aktivierungssperre ändern.

Benutzer können die Samsung-App „S Beam“ starten.

Benutzer können die Samsung-App „S Voice“ starten.

Die Funktion Teilen über ist verfügbar.

Konten

Einstellung/Feld

Mehrere Benutzerkonten erlauben

Hinzufügen von E-Mail-Konten erlauben

Entfernen des Google-Kontos erlauben

Auto-Sync für Google-Konten erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann auf den Geräten nur ein einzelnes Benutzerkonto eingerichtet werden. Benutzer oder andere Apps können keine weiteren Benutzerkonten erstellen.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine E-Mail-Konten hinzufügen.

Dies betrifft nicht das Erstellen von Konten über ein

Geräteprofil.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht das Google-Konto von ihren Geräten entfernen.

Wenn das Kontrollkästchen deaktiviert ist, werden

Google-Konten nicht automatisch synchronisiert.

Benutzer können aber weiterhin eine manuelle

Synchronisierung durchführen, zum Beispiel über die

App Gmail.

Netzwerk und Kommunikation

Einstellung/Feld

Flugmodus erlauben

Synchronisierung bei Roaming erlauben

Nur Notrufe erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Flugmodus aktivieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Synchronisierung bei Mobilfunk-Roaming deaktiviert.

Es sind nur Notrufe möglich. Sonstige Anrufe werden gesperrt.

Sophos Mobile

Einstellung/Feld

Bei Roaming nur manuell synchronisieren

Mobile Datenverbindung erzwingen

SMS erlauben

Datenverbindungen bei Roaming erlauben

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine SMS senden.

Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine mobilen Datenverbindungen möglich.

Sprachanrufe bei Roaming erlauben Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine Sprachanrufe möglich.

Mobildatenlimit für Benutzer erlauben Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer kein Limit für mobile Daten einstellen.

VPN erlauben

Wi-Fi Direct erlauben

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine VPN-Verbindungen verwenden.

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über „Wi-Fi Direct“ möglich.

Android Beam erlauben

Miracast-Richtlinie erlauben

Bluetooth erlauben

Advanced Audio Distribution Profile

(A2DP) erlauben

Audio/Video Remote Control Profile

(AVRCP) erlauben

Hands-Free Profile (HFP) erlauben

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über „Android Beam“ möglich. Dies betrifft auch die Samsung-App „S Beam“.

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über Miracast möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist Bluetooth deaktiviert.

Um einzelne Bluetooth-Profile zu erlauben, aktivieren

Sie Bluetooth erlauben und wählen Sie anschließend die Profile aus, die Sie erlauben wollen.

Wenn Bluetooth erlauben deaktiviert ist, haben die

Einstellungen keine Wirkung, d.h. alle Profile sind verboten.

Headset Profile (HSP) erlauben

Phone Book Access Profile (PBAP) erlauben

Serial Port Profile (SPP) erlauben

Beschreibung

Bei Roaming ist die automatische

Datensynchronisierung deaktiviert. Dies gilt für alle eingerichteten Konten, wie zum Beispiel Google oder

Exchange.

Benutzer können mobile Datenverbindungen nicht deaktivieren.

Sophos Mobile

Einstellung/Feld

NFC erlauben

WLAN erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist NFC

(Near-Field Communication) deaktiviert.

Wenn das Kontrollkästchen deaktiviert ist, sind keine

WLAN-Verbindungen möglich.

Tethering

Einstellung/Feld

Tethering erlauben

WLAN-Tethering erlauben

USB-Tethering erlauben

Bluetooth-Tethering erlauben

Konfigurieren von WLAN-Tethering erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist kein

Tethering möglich. Dies beinhaltet Tethering über

WLAN, USB und Bluetooth.

Hinweis

Wenn das Kontrollkästchen deaktiviert ist, haben die Einstellungen WLAN-Tethering erlauben,

USB-Tethering erlauben und Bluetooth-

Tethering erlauben keine Wirkung.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

WLAN-Tethering (WLAN-Hotspot) möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

USB-Tethering möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

Bluetooth-Tethering möglich.

Der Benutzer kann die Einstellungen des WLAN-

Hotspots konfigurieren.

Hardware

Einstellung/Feld

Kamera erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar.

Kamera auf Sperrbildschirm erlauben Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera bei aktiver Displaysperre nicht verfügbar.

Um bei aktiviertem Sperrbildschirm die Kamera zu erlauben, müssen Sie zusätzlich die Option Kamera

erlauben auswählen.

Sophos Mobile

Einstellung/Feld

GPS für Standortabfragen erzwingen

SD-Karte erlauben

Verschieben von Apps auf SD-Karte erlauben

Schreiben auf unverschlüsselte SD-

Karte erlauben

Mikrofon erlauben

USB erlauben

USB-Media-Player erlauben

Stromsparmodus erlauben

USB-Host-Modus erlauben

Beschreibung

Für Standortabfragen werden GPS-Informationen verwendet.

Wenn das Kontrollkästchen deaktiviert ist, können in den Geräten keine SD-Karten verwendet werden.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps vom internen Speicher auf die

SD-Karte verschieben.

Wenn das Kontrollkästchen deaktiviert ist, kann nicht auf eine unverschlüsselte SD-Karte geschrieben werden.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Mikrofon nicht verfügbar.

USB-Speichermodus und USB-Mediendaten-Modus

(MTP) sind auf den Geräten verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist das

MTPO (Media Transfer Protocol) nicht verfügbar.

Da Android MTP für die Datenübertragung per USB verwendet, ist auch keine Datenübertragungen per

USB möglich.

Wenn das Kontrollkästchen deaktiviert ist, wechselt das Gerät nicht in den Stromsparmodus.

Alle externen Speichermedien, die der Benutzer anschließt, werden gemountet. Dies beinhaltet portable

USB-Speichermedien, externe Festplatten und SD-

Kartenleser.

Wenn das Kontrollkästchen deaktiviert ist, werden externe Speichermedien nicht gemountet.

Anwendungen

Einstellung/Feld

Installation von Apps erlauben

Deinstallation von Apps erlauben

Installation unsignierter Apps erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps installieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nur signierte APK-Dateien installieren.

Sophos Mobile

Einstellung/Feld

Play Store erlauben

Apps aus unbekannten Quellen erlauben

Nativen Browser erlauben

App-Absturzberichte erlauben

Hintergrundbild-Wechsel erlauben

Anruferinfo anzeigen

Autovervollständigung im Browser erlauben

Cookies im Browser erlauben

JavaScript im Browser erlauben

Popups im Browser erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die App

Google Play Store nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps nur über die App Google Play Store installieren.

Wenn das Kontrollkästchen deaktiviert ist, ist der native Browser nicht verfügbar. Browser-Apps von

Drittanbietern sind nicht betroffen.

Wenn das Kontrollkästchen deaktiviert ist, können

Apps keine Absturzberichte senden.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Display-Hintergrund ändern.

Wenn das Kontrollkästchen deaktiviert ist, werden bei eingehenden Anrufen keine Anruferinformationen angezeigt. Alle Anrufer werden als „unbekannt“ angezeigt.

Der Benutzer kann für den nativen Browser die Autovervollständigung aktivieren. Wenn die

Autovervollständigung aktiviert ist, können Webseiten

Vorschläge für das Ausfüllen von Formularen machen.

Wenn das Kontrollkästchen deaktiviert ist, ist die Autovervollständigung deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser Cookies aktivieren. Wenn Cookies aktiviert sind, können

Webseiten Cookies auf dem Gerät speichern.

Wenn das Kontrollkästchen deaktiviert ist, sind

Cookies deaktiviert und die entsprechende Browser-

Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser JavaScript aktivieren. Wenn JavaScript aktiviert ist, können

Webseiten JavaScript-Code auf dem Gerät ausführen.

Wenn das Kontrollkästchen deaktiviert ist, ist

JavaScript deaktiviert und die entsprechende Browser-

Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser Popups aktivieren. Wenn Popups aktiviert sind, können

Webseiten neue Browserfenster öffnen.

Wenn das Kontrollkästchen deaktiviert ist, sind Popups deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.

Einstellung/Feld

Ändern von Datums- und

Zeiteinstellungen erlauben

Erlaubte Apps / Unzulässige Apps

Sophos Mobile

Beschreibung

Der Benutzer kann Datums- und Zeiteinstellungen

ändern.

Sie können entweder Erlaubte Apps oder

Unzulässige Apps konfigurieren. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Diese Einschränkungen betreffen nicht die App-

Installationen, die vom Sophos Mobile Server initiiert werden.

Informationen zur Erstellung von App-Gruppen finden

Sie in

App-Gruppen (Seite 328).

14.13.3 Konfiguration „Knox-Premium-

Einschränkungen“ (Android-Geräteprofil)

Mit der Konfiguration Knox-Premium-Einschränkungen definieren Sie Einschränkungen für

Samsung-Knox-Geräte. Diese Einschränkungen gelten für das Gerät, nicht für den Knox-Container.

Hinweis

Für die Durchsetzung der Knox-Premium-Einschränkungen müssen Sie in Sophos Mobile eine

Lizenz vom Typ Samsung Knox Premium registrieren und das Gerät muss Knox Premium SDK 2.x

unterstützen.

Option

Optionen für automatische Firmware-

Updates erlauben

ODE-Trusted-Boot-Verifizierung aktivieren

Installation einer anderen Administrations-

App verhindern

Beschreibung

Das Gerät prüft automatisch, ob Firmware-

Updates verfügbar sind. Benutzer können dies nicht in den Geräteeinstellungen ändern.

Beim Starten des Gerätes wird die

Datenpartition nur entschlüsselt, wenn

Binary und Kernel offizielle Versionen des

Geräteherstellers sind, d.h., wenn das Gerät nicht gerootet ist.

Wenn das Kontrollkästchen deaktiviert ist, wird beim Starten die Datenpartition immer entschlüsselt.

Es können keine Apps installiert werden, die

Geräteadministrator-Rechte benötigen. Dies betrifft nicht die Apps, die von Sophos Mobile installiert werden.

Sophos Mobile

Option

Aktivierung einer anderen Administrations-

App verhindern

Common-Criteria-Modus erlauben

Beschreibung

Geräteadministrator-Rechte für Apps können nicht aktiviert werden.

Auf den Geräten wird der Common-Criteria-

Modus (CC Mode) aktiviert. Dies stellt sicher, dass die Geräte die im Mobile Device

Fundamentals Protection Profile (MDFPP) festgelegten Sicherheitseinstellungen erfüllen.

Hinweis: Der CC Mode wird nur angewendet, wenn zusätzlich folgende Bedingungen erfüllt sind:

• Die Geräteverschlüsselung ist aktiviert.

• Die Schnellverschlüsselung ist deaktiviert.

• Die Verschlüsselung des externen Speichers ist aktiviert.

• Die Anzahl fehlerhafter Anmeldeversuche, nach der das Gerät zurückgesetzt wird, ist festgelegt.

• Der Zertifikat-Widerruf ist aktiviert.

• Kennworthistorie (d.h., Verwendung desselben

Kennworts nach Ablauf der Gültigkeit) ist deaktiviert.

14.13.4 Konfiguration „Exchange-Konto“ (Android-Geräteprofil)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Einstellung/Feld

E-Mail-Adresse

Absender

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Standardkonto

Alle Zertifikate erlauben

Client-Zertifikat

E-Mail-Weiterleitung erlauben

HTML-Format erlauben

Max. Größe von Anhängen in MB

Inhalte

Sophos Mobile

Beschreibung

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Das Konto wird als Standard-E-Mail-Konto verwendet.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

E-Mail-Weiterleitung erlauben.

E-Mails im HTML-Format sind zugelassen.

Die maximale Größe einer einzelnen E-Mail-

Nachricht (1, 3, 5, 10, Unbegrenzt).

Die zu synchronisierenden Inhalte.

Sophos Mobile

Hinweis

Auf Geräten mit LG GATE, Samsung Knox oder Sony Enterprise API wird die E-Mail-App automatisch konfiguriert. Auf anderen Geräten werden die Benutzer durch eine Nachricht aufgefordert, die E-Mail-App zu konfigurieren. Die Konfigurationsdetails stehen in der App Sophos

Mobile Control zur Verfügung.

Hinweis

Bei Sony-Geräten mit Enterprise API Version 6.x oder niedriger ist es wichtig, dass die

Benutzerinformation des Exchange-Kontos mit dem Benutzer übereinstimmt, der dem Gerät zugewiesen ist.

Auf diesen Geräten ist die App Sophos Mobile Control nicht in der Lage, die ActiveSync-ID an den Sophos Mobile Server zu schicken. Wenn das Gerät zum ersten Mal eine Anfrage an den

EAS-Proxy sendet, kennt Sophos Mobile nicht die vom E-Mail-Client übermittelte ActiveSync-ID.

Um die Benutzerdaten zu verifizieren, sucht der EAS-Proxy nach einem Gerät mit unbekannter

ActiveSync-ID, dem ein Benutzer zugewiesen ist, der mit dem vom E-Mail-Client übermittelten

Benutzer übereinstimmt. Wird ein solches Gerät gefunden, wird ihm die ActiveSync-ID zugewiesen und die E-Mail-Anforderung wird an den Exchange-Server weitergeleitet. Andernfalls wird die

Anforderung abgewiesen.

Weitere Informationen finden Sie im Sophos Knowledge-Base-Artikel 121360 .

14.13.5 Konfiguration „WLAN“ (Android-Geräteprofil)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Sicherheitstyp

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp der WLAN-Verbindung:

• Ohne

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Einstellung/Feld

Phase-2-Authorisierung

Identität

Anonyme Identität

Kennwort

Identitätszertifikat

Vertrauenswürdiges Zertifikat

Proxy-Server und -Port

Sophos Mobile

Beschreibung

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• Ohne

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Name oder IP-Adresse und Port eines Proxy-

Servers für die WLAN-Verbindung.

14.13.6 Konfiguration „App Protection“ (Android-Geräteprofil)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps zu schützen.

Sophos Mobile

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Komplexität des Kennworts

Gültigkeitsdauer in Minuten

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

App-Gruppen (Seite 328).

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

14.13.7 Konfiguration „App Control“ (Android-Geräteprofil)

Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen. Hiermit können Sie zum Beispiel unerwünschte Apps blockieren, die vom Gerätehersteller vorinstalliert worden sind und nicht deinstalliert werden können.

Einstellung/Feld

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

finden Sie in App-Gruppen

(Seite 328).

14.13.8 Konfiguration „App-Berechtigungen“ (Android)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App während der

Ausführung eine Berechtigung anfordert.

Einstellung/Feld

App-spezifische

Berechtigungsanfragen zur Laufzeit

Sophos Mobile

Beschreibung

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf

Hinzufügen und konfigurieren Sie anschließend die

Einstellungen für eine App:

Geben Sie im Feld App-ID die interne App-Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Auswählbar: Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Zugelassen: Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.

• Verweigert: Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.

14.13.9 Konfiguration „Kiosk-Modus“ (Android-Geräteprofil)

Mit der Konfiguration Kiosk-Modus definieren Sie Einschränkungen für Geräte, um einen Kiosk-Modus zu realisieren.

Um eine App festzulegen, die ausgeführt wird, wenn das Profil auf ein Gerät übertragen wird, klicken

Sie auf Quelle auswählen und gehen Sie anschließend auf eine der folgenden Weisen vor:

• Wählen Sie Benutzerdefiniert aus und geben Sie eine App-Kennung ein.

• Wählen Sie App-Liste aus und wählen Sie anschließend in der Liste Kennung eine App aus. Die

Liste enthält alle Apps, die Sie auf der Seite Apps konfiguriert haben. Siehe

App hinzufügen

(Seite

308).

• Wählen Sie Keine App aus, um keine bestimmte App im Kiosk-Modus auszuführen. Die Kiosk-

Modus-Einschränkungen werden auf das Gerät übertragen, aber es wird keine App gestartet.

Unter Optionen deaktivieren Sie Hardware- und Software-Funktionen, die im Kiosk-Modus deaktiviert sein sollen.

Wenn das Profil auf ein Gerät übertragen wird, wird die festgelegte App gestartet. Der Benutzer kann jedoch die App verlassen und das Gerät normal verwenden, falls Sie keine der verfügbaren

Hardware- oder Software-Funktionen deaktiviert haben. Um tatsächlich einen Kiosk-Modus zu realisieren, müssen Sie mindestens die Kontrollkästchen Schaltfläche Startbildschirm erlauben und Task-Manager erlauben deaktivieren.

Hinweis

• Die festgelegte App muss auf dem Gerät vorhanden sein. Ist dies nicht der Fall, verbleiben die zu übertragenden Aufträge im Status Unvollständig, bis die App installiert worden ist. Um die App zu installieren, erstellen Sie zum Beispiel ein Auftragspaket mit einem Auftrag App

installieren und übertragen dieses an Ihre Geräte.

• Für Sony-Geräte mit Enterprise API Version 9 oder niedriger gilt: Wenn Sie eines der

Kontrollkästchen Lautstärke erhöhen erlauben, Lautstärke verringern erlauben oder

Stummschalten erlauben deaktivieren, werden alle Gerätetasten zum Steuern der

Lautstärke deaktiviert.

Sophos Mobile

128

14.13.10 Konfiguration „Zugangspunkt (APN)“ (Android-

Geräteprofil)

Mit der Konfiguration Zugangspunkt (APN) konfigurieren Sie einen Zugangspunkt (Access

Point Name - APN) für Mobilgeräte. Eine APN-Konfiguration legt fest, wie sich Geräte mit einem

Mobilfunknetz verbinden.

Wichtig

Wir empfehlen, die benötigten Einstellungen von Ihrem Netzbetreiber zu erfragen. Wenn Sie Als

Standard-Zugangspunkt verwenden auswählen und die Einstellungen fehlerhaft sind, kann das

Gerät keine mobilen Daten empfangen.

Hinweis

Außer dem Feld APN sind alle Einstellungen optional. Sie sollten nur jene Einstellungen konfigurieren, die von Ihrem Mobilfunkbetreiber benötigt werden.

Einstellung/Feld

APN

Benutzerfreundlicher Name

Proxy-Server und -Port

Benutzername, Benutzer-Kennwort

Server

MMSC

Beschreibung

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Ein optionaler Name, der auf dem Gerät zusätzlich zum APN angezeigt wird.

Adresse und Portnummer des HTTP-Servers, der für Web-Datenverkehr verwendet wird.

Ein Benutzername und Kennwort für die

Verbindung mit dem Zugangspunkt.

Der WAP-Gateway-Server.

Das Multimedia Messaging Service Center

(MMSC).

MMS-Proxy-Server und -Port

Mobile Country Code (MCC), Mobile Network

Code (MNC)

Authentifizierung-Typ

Adresse und Portnummer des HTTP-Servers, der für die Kommunikation mit dem MMSC verwendet wird.

Mit MCC und MNC legen Sie einen

Netzbetreiber fest.

Der Zugangspunkt wird nur für diesen

Netzbetreiber verwendet.

Die Authentifizierungsmethode für PPP-

Verbindungen.

Einstellung/Feld

APN-Typ

Träger

Protokoll

Roaming-Protokoll

Als Standard-Zugangspunkt verwenden

Sophos Mobile

Beschreibung

Die Datenarten für diesen APN.

Um den APN für alle Datenarten zu verwenden, tragen Sie * ein oder lassen das Feld leer.

Die vom Netzbetreiber verwendete Radio

Access Technology (RAT).

Das vom Netzbetreiber unterstützte

Netzwerkprotokoll.

Das vom Netzbetreiber unterstützte

Netzwerkprotokoll bei Roaming in fremden

Mobilfunknetzen.

Wählen Sie diese Option aus, um den APN als

Standard zu verwenden.

Wenn Sie mehrere Konfigurationen

Zugangspunkt (APN) verwenden, dürfen

Sie diese Option nur in einer Konfiguration auswählen.

14.13.11 Konfiguration „VPN“ (Android-Geräteprofil)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld Beschreibung

Verbindungsname Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Server Der Host-Name oder die IP-Adresse des Servers.

Verbindungstyp Der Typ der VPN-Verbindung:

• L2TP/IPsec (PSK)

Wenn Sie diesen Typ auswählen, werden die Felder Benutzer,

Kennwort und L2TP/IPsec (PSK) angezeigt. Geben Sie den Benutzer und das Kennwort ein. Geben Sie im Feld L2TP/IPsec (PSK) den Preshared Key für die Authentisierung ein.

• L2TP/IPsec (Zertifikat)

Wenn Sie diesen Typ auswählen, werden die Felder Client-Zertifikat,

Root-Zertifikat, Benutzer und Kennwort angezeigt. Wählen Sie in den

Feldern Client-Zertifikat und Root-Zertifikat die relevanten Zertifikate.

Geben Sie außerdem den Benutzer und das zugehörige Kennwort ein.

• Cisco AnyConnect

Wenn Sie diesen Typ auswählen, können Sie XML-Dateien mit einem

AnyConnect-VPN-Profil und/oder einem NVM-Profil (Network Visibility

Module) hochladen. Informationen zu diesen Profilen finden Sie in der

Cisco AnyConnect Administrator-Dokumentation.

Sophos Mobile

14.13.12 Konfiguration „Root-Zertifikat“ (Android-Geräteprofil)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.13.13 Konfiguration „Client-Zertifikat“ (Android-Geräteprofil)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.13.14 Konfiguration „SCEP“ (Android-Geräteprofil)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Einstellung/Feld

Aliasname

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Sophos Mobile

Beschreibung

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Platzhalter in Profilen und

Richtlinien

(Seite 109).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Sophos Mobile

Einstellung/Feld

Root-Zertifikat

Schlüsselgröße

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Beschreibung

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

14.14 Konfigurationen für Richtlinien für Android

Enterprise Arbeitsprofile

Mit einer Richtlinie für Android Enterprise Arbeitsprofile konfigurieren Sie das Arbeitsprofil eines

Gerätes. Die Richtlinie kann auf Android-Enterprise-Geräte im Modus „Profilbesitzer“ angewendet werden.

Informationen zur Erstellung einer Android-Enterprise-Richtlinie für Arbeitsprofile finden Sie in Profil oder Richtlinie erstellen

(Seite 105).

14.14.1 Konfiguration „Kennwortrichtlinien – Gerät“ (Android-

Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration Kennwort-Richtlinien - Gerät definieren Sie Anforderungen an das Kennwort für die Displaysperre.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Sophos Mobile

Einstellung/Feld

Muster, PIN oder Kennwort

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Sophos Mobile

Einstellung/Feld

Maximale Anmeldeversuche

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird das Gerät zurückgesetzt.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

14.14.2 Konfiguration „Kennwortrichtlinien –

Arbeitsprofil“ (Android-Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration Kennwort-Richtlinien - Arbeitsprofil definieren Sie Anforderungen an das

Kennwort des Arbeitsprofils. Der Benutzer muss das Kennwort eingeben, um eine App zu öffnen, wenn das Arbeitsprofil gesperrt ist.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Sophos Mobile

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Schwache biometrische Erkennung

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Benutzer dürfen schwache biometrische

Erkennungsverfahren, wie z.B.

Gesichtserkennung, verwenden, um das

Arbeitsprofil zu entsperren.

Hinweis

Schwache biometrische

Erkennungsverfahren bieten eine vergleichbare Sicherheit wie eine 3-stellige

PIN. Das heißt, für ein unberechtigtes

Entsperren sind etwa 1000 Versuche erforderlich.

Sophos Mobile

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Arbeitsprofil gesperrt wird, wenn es nicht benutzt wird. Das Profil lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere

Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Maximale Anmeldeversuche

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird das Arbeitsprofil gelöscht.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Sophos Mobile

14.14.3 Konfiguration „Einschränkungen“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Einschränkungen konfigurieren Sie Einschränkungen und zugehörige

Einstellungen für Android-Arbeitsprofile.

Sicherheit

Einstellung/Feld

Bildschirmaufnahme erlauben

Benutzer dürfen Anmeldeinformation bearbeiten

Arbeits-Zwischenablage darf in private Apps kopiert werden

Smart Lock erlauben

Beschreibung

Benutzer können Screenshots von Apps machen, die im Arbeitsprofil installiert sind.

Benutzer können im Arbeitsprofil Zertifikate installieren oder deinstallieren.

Benutzer können Text aus einer App im Arbeitsprofil kopieren und in eine private App einfügen.

Das Einfügen von Text aus einer privaten App in eine

App im Arbeitsprofil ist immer möglich.

Benutzer können die Android-Funktion „Smart

Lock“ aktivieren, durch die das Gerät in bestimmten

Situationen automatisch entsperrt wird.

Hinweis

Diese Einstellungen wirkt sich auf die Gerätesperre aus.

Das Gerät ignoriert die Einstellung, wenn zusätzlich eine

Sperre für das Arbeitsprofil konfiguriert ist.

„Standort teilen“ erlauben

Internet-Links dürfen in privaten Apps geöffnet werden

Apps im Arbeitsprofil können auf die Ortungsdienste des Gerätes zugreifen.

Wenn das Kontrollkästchen deaktiviert ist, können Apps im Arbeitsprofil selbst dann nicht auf

Standortdienste zugreifen, wenn der Benutzer die

Einstellung „Standort teilen“ aktiviert hat.

Internet-Links, auf die der Benutzer in einer App im

Arbeitsprofil tippt, können in einer privaten Browser-

App geöffnet werden.

Debugging erlauben

Entsperren mit Fingerabdruck erlauben

Benutzer können die Debugging-Funktionen in den

Android-Entwicklereinstellungen aktivieren.

Benutzer können das Gerät mit ihrem Fingerabdruck entsperren.

Sophos Mobile

Einstellung/Feld

Details zu beruflichen Kontakten für private Anrufe erlauben

Details zu beruflichen Kontakten für

Bluetooth-Geräte erlauben

Suche nach beruflichen Kontakten im privaten Profil erlauben

Beschreibung

Die private Telefon-App zeigt bei eingehenden

Gesprächen von beruflichen Kontakten den

Anrufernamen an.

Verbundene Bluetooth-Geräte zeigen bei eingehenden

Privatgesprächen von beruflichen Kontakten den

Anrufernamen an.

Die private Telefon-App zeigt bei der Suche nach

Anrufernamen auch berufliche Kontakte an.

Konten

Einstellung/Feld

Kontenverwaltung erlauben

Beschreibung

Benutzer können Konten dem Work-Profil hinzufügen oder daraus entfernen, ausgenommen das Google-

Konto.

Netzwerk und Kommunikation

Einstellung/Feld

VPN erlauben

Android Beam erlauben

Beschreibung

Benutzer können für Apps im Arbeitsprofil VPN-

Verbindungen verwenden.

Benutzer können Android Beam (NFC-

Datenübertragung) verwenden, um Daten aus Apps im

Arbeitsprofil zu senden.

Hardware

Einstellung/Feld

Kamera erlauben

Beschreibung

Apps im Arbeitsprofil können auf die Kamera zugreifen.

Anwendungen

Einstellung/Feld

Deinstallation von Apps erlauben

Beschreibung

Benutzer können Apps im Arbeitsprofil deinstallieren.

Einstellung/Feld

Installation von Apps aus unbekannten Quellen erlauben

App-Verwaltung erlauben

Deaktivieren von Google-

Sicherheitsscans erlauben

Hinweis (kurz)

Hinweis (lang)

Sophos Mobile

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps im Arbeitsprofil nur aus Google Play installieren, nicht aus unbekannten Quellen oder über

Android Debug Bridge (ADB).

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer für Apps im Arbeitsprofil folgende Aufgaben nicht ausführen:

• Apps deinstallieren

• Apps deaktivieren

• Apps beenden

• App-Cache leeren

• App-Daten löschen

• Einstellung Standardmäßig öffnen löschen

Benutzer können die Google-Sicherheitseinstellung

Gerät auf Sicherheitsbedrohungen durchsuchen deaktivieren.

Die Einstellung befindet sich in der App

Einstellungen, unter Google > Sicherheit > Google

Play Protect.

Ein unternehmensspezifischer Hinweis, der dem

Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.

Hinweis

Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.

Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen

Hinweistextes auf Weitere Informationen tippt.

Hinweis

Dieser Text wird außerdem auf der Seite

Geräteadministrator für die App Sophos Mobile

Control angezeigt.

14.14.4 Konfiguration „Exchange-Konto“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein. Diese Einstellungen gelten für die App Gmail im Arbeitsprofil.

Sophos Mobile

Einstellung/Feld

Kontoname

Exchange-Server

Domäne

Benutzer

140

E-Mail-Adresse

Absender

Synchronisierungszeitraum

SSL/TLS

Alle Zertifikate erlauben

Client-Zertifikat

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Hinweis

Das Kennwort wird vom Benutzer eingegeben.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

Sophos Mobile

14.14.5 Konfiguration „WLAN“ (Android-Enterprise-Arbeitsprofil-

Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Sicherheitstyp

Phase-2-Authorisierung

Identität

Anonyme Identität

Kennwort

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp der WLAN-Verbindung:

• Ohne

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• Ohne

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Sophos Mobile

Einstellung/Feld

Identitätszertifikat

Vertrauenswürdiges Zertifikat

Beschreibung

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

14.14.6 Konfiguration „App Protection“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, mit denen Apps aus Managed Google Play geschützt werden, d.h. Apps, die im Arbeitsprofil installiert sind.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Komplexität des Kennworts

Gültigkeitsdauer in Minuten

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

App-Gruppen (Seite 328).

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

Sophos Mobile

14.14.7 Konfiguration „App Control“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen.

Einstellung/Feld

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

finden Sie in App-Gruppen

(Seite 328).

14.14.8 Konfiguration „App-Berechtigungen“ (Android-

Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App aus Managed

Google Play während der Ausführung eine Berechtigung anfordert.

Einstellung/Feld

Standardantwort auf

Berechtigungsanforderungen zur

Laufzeit

Beschreibung

Die Standard-Reaktion auf zukünftige

Berechtigungsanforderungen während der Ausführung:

• Abfragen: Apps fordern den Benutzer auf, die

Berechtigung zu gewähren.

• Auto-Bestätigen: Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch gewährt.

• Auto-Verweigern: Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch verweigert.

Der Benutzer kann die Berechtigung nicht nachträglich

ändern.

Sophos Mobile

Einstellung/Feld

App-spezifische

Berechtigungsanforderungen zur

Laufzeit

Beschreibung

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf

Hinzufügen und konfigurieren Sie anschließend die

Einstellungen für eine App:

Geben Sie im Feld Kennung die interne App-Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Auswählbar: Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Zugelassen: Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.

• Verweigert: Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.

14.14.9 Konfiguration VPN (Android-Enterprise-Arbeitsprofil-

Richtlinie)

Mit der Konfiguration VPN wählen Sie einen VPN-Client für Android-Enterprise-Geräte aus.

Einstellung/Feld

VPN-Client

Beschreibung

Die ID der VPN-App

Der VPN-Client muss eine App aus Managed Google Play sein, die bereits auf dem Gerät installiert ist.

Sie konfigurieren die VPN-Verbindung in der verwalteten

Konfiguration der App. Details hierzu finden Sie in der

Dokumentation der jeweiligen App.

14.14.10 Konfiguration „Root-Zertifikat“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Dieses Zertifikat steht Apps aus Managed Google Play zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile

14.14.11 Konfiguration „Client-Zertifikat“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Dieses Zertifikat steht Apps aus Managed Google Play zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.14.12 Konfiguration „SCEP“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen Apps zur

Verfügung, die im Arbeitsprofil installiert sind.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Sophos Mobile

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Platzhalter in Profilen und

Richtlinien

(Seite 109).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Sophos Mobile

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

14.15 Konfigurationen für Android-Enterprise-

Geräterichtlinien

Mit einer Android-Enterprise-Geräterichtlinie konfigurieren Sie verschiedene Bereiche von Android-

Geräten, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die

Richtlinie kann auf Android-Enterprise-Geräte im Modus „Gerätebesitzer“ angewendet werden.

Informationen zur Erstellung einer Android-Enterprise-Geräterichtlinie finden Sie in Profil oder

Richtlinie erstellen

(Seite 105).

14.15.1 Konfiguration „Kennwortrichtlinien“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Kennwort für die

Displaysperre.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Einfaches Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Sophos Mobile

Einstellung/Feld

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Maximale Anmeldeversuche

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird das Gerät zurückgesetzt.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Sophos Mobile

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

14.15.2 Konfiguration „Einschränkungen“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sicherheit

Einstellung/Feld

Verschlüsselung erzwingen

Auf Werkseinstellungen zurücksetzen erlauben

Safe-Modus erlauben

Debugging erlauben

Screenshot erlauben

Benutzer dürfen Anmeldeinformation bearbeiten

Beschreibung

Benutzer müssen ihre Geräte verschlüsseln.

Benutzer können das Gerät auf Werkseinstellungen zurücksetzen.

Benutzer können das Gerät im Safe-Modus starten.

Benutzer können die Debugging-Funktionen in den

Android-Entwicklereinstellungen aktivieren.

Benutzer können Screenshots machen.

Benutzer können Zertifikate installieren oder entfernen.

Sophos Mobile

Einstellung/Feld

Smart Lock erlauben

„Standort teilen“ erlauben

Entsperren mit Fingerabdruck erlauben

Ändern des Kontobildes erlauben

Sensible Informationen auf

Sperrbildschirm verbergen

System-Update-Richtlinie

Beschreibung

Benutzer können die Android-Funktion „Smart

Lock“ aktivieren, durch die das Gerät in bestimmten

Situationen automatisch entsperrt wird.

Hinweis

Diese Einstellungen wirkt sich auf die Gerätesperre aus.

Das Gerät ignoriert die Einstellung, wenn zusätzlich eine

Sperre für das Arbeitsprofil konfiguriert ist.

Benutzer können das Teilen des Standorts aktivieren.

Benutzer können das Gerät mit ihrem Fingerabdruck entsperren.

Benutzer können das Foto ihres Benutzerkontos

ändern.

Wenn Benachrichtungen auf dem Sperrbildschirm aktiviert sind, werden keine sensiblen Inhalte angezeigt.

Wählen Sie aus, wann Systemaktualisierungen installiert werden:

• Keine Richtlinie: Der Benutzer entscheidet, wann

Systemaktualisierungen installiert werden.

• Automatische Installation: Systemaktualisierungen werden automatisch installiert, sobald sie verfügbar sind.

• Installation im Wartungszeitraum:

Systemaktualisierungen werden innerhalb eines

Wartungsfensters automatisch installiert. Geben

Sie Uhrzeiten für den Beginn und das Ende des

Wartungsfensters ein.

• Verschieben: Systemaktualisierungen (ausgenommen

Sicherheitsaktualisierungen) werden für 30 Tage zurückgehalten.

Konten

Einstellung/Feld

Kontenverwaltung erlauben

Beschreibung

Benutzer können auf dem Gerät Konten hinzufügen oder entfernen, ausgenommen das Google-Konto.

Sophos Mobile

Netzwerk und Kommunikation

Einstellung/Feld

SMS erlauben

Datenverbindungen bei Roaming erlauben

VPN erlauben

Android Beam erlauben

Bluetooth erlauben

Ausgehende Telefonanrufe erlauben

Zurücksetzen der

Netzwerkeinstellungen erlauben

WLAN-Einstellungen aktivieren

Cell-Broadcast-Konfiguration erlauben

Einstellungen für mobile Netzwerke aktivieren

Tethering-Einstellungen aktivieren

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine SMS senden.

Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine mobilen Datenverbindungen möglich.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine VPN-Verbindungen verwenden.

Benutzer können Android Beam (NFC-

Datenübertragung) verwenden, um Daten aus Apps zu senden.

Wenn das Kontrollkästchen deaktiviert ist, ist Bluetooth deaktiviert.

Benutzer können Telefonanrufe tätigen.

Benutzer können die Netzwerkeinstellungen auf

Standardwerte zurücksetzen.

Benutzer können die WLAN-Einstellungen ändern.

Benutzer können Cell Broadcast (CB) in ihrer

Nachrichten-App aktivieren oder deaktivieren.

Benutzer können die Einstellungen für mobile Netze

ändern.

Benutzer können die Einstellungen für Tethering und mobilen Hotspot ändern.

Hardware

Einstellung/Feld

Kamera erlauben

Mikrofon erlauben

Externe Medien erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Mikrofon nicht verfügbar.

Benutzer können externe Medien wie z.B. USB-

Speicher mit dem Gerät verbinden.

Sophos Mobile

Einstellung/Feld

USB-Speicher zulassen

Dateitransfer über USB erlauben

Beschreibung

Benutzer können das Gerät im USB-Modus „Mass

Storage“ (USB MSC) mit einem Host-Computer verbinden, d.h. als externe Festplatte.

Wenn Sie das Kontrollkästchen deaktivieren, können

Benutzer das Gerät weiterhin im USB-Modus „Media

Transfer“ (USB MTP) oder „Picture Transfer“ (USB

PTP) verbinden, um Dateien zu übertragen.

Benutzer können Dateien zwischen dem Gerät und einem externen USB-Speichermedium übertragen.

Anwendungen

Einstellung/Feld

Deinstallation von Apps erlauben

Installation von Apps aus unbekannten Quellen erlauben

System-Apps aktivieren

Hintergrundbild-Wechsel erlauben

App-Verwaltung erlauben

Beschreibung

Benutzer können Apps deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps nur aus Google Play installieren, nicht aus unbekannten Quellen oder über Android Debug

Bridge (ADB).

Wenn das Kontrollkästchen deaktiviert ist, sind nur folgende Apps verfügbar: Google Play Store,

Kontakte, Nachrichten, Telefon. Google empfiehlt diese Einstellung für Geräte, die im Android-Enterprise-

Modus „Gerätebesitzer“ registriert sind.

Wenn Sie das Kontrollkästchen aktivieren, sind alle vom Hersteller vorinstallierten Apps verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Display-Hintergrund ändern.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer für Apps folgende Aufgaben nicht ausführen:

• Apps deinstallieren

• Apps deaktivieren

• Apps beenden

• App-Cache leeren

• App-Daten löschen

• Einstellung Standardmäßig öffnen löschen

Einstellung/Feld

Deaktivieren von Google-

Sicherheitsscans erlauben

Ändern von Datum und Uhrzeit erlauben

Hinweis (kurz)

Hinweis (lang)

Erlaubte Bedienungshilfen

Sophos Mobile

Beschreibung

Benutzer können die Google-Sicherheitseinstellung

Gerät auf Sicherheitsbedrohungen durchsuchen deaktivieren.

Die Einstellung befindet sich in der App

Einstellungen, unter Google > Sicherheit > Google

Play Protect.

Benutzer können Datum und Uhrzeit einstellen.

Wenn das Kontrollkästchen deaktiviert ist, werden

Datum und Uhrzeit aus dem Netzwerk bezogen.

Ein unternehmensspezifischer Hinweis, der dem

Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.

Hinweis

Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.

Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen

Hinweistextes auf Weitere Informationen tippt.

Hinweis

Dieser Text wird außerdem auf der Seite

Geräteadministrator für die App Sophos Mobile

Control angezeigt.

Schränken Sie ein, welche Apps Bedienungshilfen anbieten dürfen:

• Wenn Sie Alle verfügbaren Apps auswählen, können

Benutzer alle Bedienungshilfen verwenden.

• Wenn Sie Nur System-Apps auswählen, können

Benutzer nur Bedienungshilfen von System-Apps verwenden.

• Wenn Sie eine App-Gruppe auswählen, können Benutzer nur Bedienungshilfen von den enthaltenen Apps und von

System-Apps verwenden.

14.15.3 Konfiguration „Exchange-Konto“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Sophos Mobile

Einstellung/Feld

Kontoname

Exchange-Server

Domäne

Benutzer

154

E-Mail-Adresse

Absender

Synchronisierungszeitraum

SSL/TLS

Alle Zertifikate erlauben

Client-Zertifikat

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Hinweis

Das Kennwort wird vom Benutzer eingegeben.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

Sophos Mobile

14.15.4 Konfiguration „WLAN“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Sicherheitstyp

Phase-2-Authorisierung

Identität

Anonyme Identität

Kennwort

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp der WLAN-Verbindung:

• Ohne

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• Ohne

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Sophos Mobile

Einstellung/Feld

Identitätszertifikat

Vertrauenswürdiges Zertifikat

Beschreibung

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

14.15.5 Konfiguration „App Protection“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps aus

Managed Google Play zu schützen.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Komplexität des Kennworts

Gültigkeitsdauer in Minuten

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

App-Gruppen (Seite 328).

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

Sophos Mobile

14.15.6 Konfiguration „App Control“ (Android-Enterprise-

Geräterichtlinie)

Einstellung/Feld

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

finden Sie in App-Gruppen

(Seite 328).

14.15.7 Konfiguration „App-Berechtigungen“ (Android-

Enterprise-Geräterichtlinie)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App während der

Ausführung eine Berechtigung anfordert.

Einstellung/Feld

Standardantwort auf

Berechtigungsanforderungen zur

Laufzeit

Beschreibung

Die Standard-Reaktion auf zukünftige

Berechtigungsanforderungen während der Ausführung:

• Abfragen: Apps fordern den Benutzer auf, die

Berechtigung zu gewähren.

• Auto-Bestätigen: Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch gewährt.

• Auto-Verweigern: Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch verweigert.

Der Benutzer kann die Berechtigung nicht nachträglich

ändern.

Sophos Mobile

Einstellung/Feld

App-spezifische

Berechtigungsanforderungen zur

Laufzeit

Beschreibung

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf

Hinzufügen und konfigurieren Sie anschließend die

Einstellungen für eine App:

Geben Sie im Feld Kennung die interne App-Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Auswählbar: Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Zugelassen: Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.

• Verweigert: Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.

14.15.8 Konfiguration „Kiosk-Modus“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Kiosk-Modus definieren Sie Einschränkungen für Geräte, um einen Kiosk-Modus zu realisieren.

Einstellung/Feld

Quelle auswählen

App-ID

App-Gruppe

Lautstärke-Änderung erlauben

Bildschirmsperre deaktivieren

Beim Laden aktiv bleiben

Beschreibung

• Ohne: Alle Apps erlauben. Die Kiosk-Modus-

Einschränkungen werden auf das Gerät übertragen, aber der Benutzer kann jede auf dem Gerät verfügbare App starten.

• Benutzerdefiniert, App-Liste : Nur eine bestimmte App erlauben.

• App-Gruppe: Mehrere Apps erlauben.

Die App, die im Kiosk-Modus verfügbar ist.

Abhängig von Ihrer Auswahl in Quelle auswählen geben Sie entweder die App-Kennung an oder wählen

Sie die App aus der Liste verfügbarer Apps aus.

Die Apps, die im Kiosk-Modus verfügbar sind.

Wählen Sie eine der verfügbaren App-Gruppen aus.

Wenn das Kontrollkästchen deaktiviert ist, sind alle

Gerätetasten zum Steuern der Lautstärke deaktiviert.

Der Gerätebildschirm wird niemals gesperrt.

Der Gerätebildschirm bleibt eingeschaltet, solange das

Gerät mit einer Stromquelle verbunden ist.

Sophos Mobile

14.15.9 Konfiguration „Globaler HTTP-Proxy“ (Android-

Enterprise-Geräterichtlinie)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server und Port

PAC-URL

Beschreibung

Wählen Sie Manuell aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

14.15.10 Konfiguration „VPN“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration VPN wählen Sie einen VPN-Client für Android-Enterprise-Geräte aus.

Einstellung/Feld

VPN-Client

Beschreibung

Die ID der VPN-App

Der VPN-Client muss eine App aus Managed Google Play sein, die bereits auf dem Gerät installiert ist.

Sie konfigurieren die VPN-Verbindung in der verwalteten

Konfiguration der App. Details hierzu finden Sie in der

Dokumentation der jeweiligen App.

14.15.11 Konfiguration „Root-Zertifikat“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile

14.15.12 Konfiguration „Client-Zertifikat“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.15.13 Konfiguration „SCEP“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Sophos Mobile

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Platzhalter in Profilen und

Richtlinien

(Seite 109).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Sophos Mobile

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

14.16 Konfigurationen für Sophos-Container-

Richtlinien (Android)

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für die Sophos-Container-Apps

Sophos Secure Email und Sophos Secure Workspace.

Informationen zum Erstellen einer Sophos-Container-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 105).

Hinweis

Wenn Sie diese Richtlinie einem Android-Enterprise-Gerät zuweisen, wird dadurch auch die

App Sophos Secure Workspace installiert. Wenn die Richtlinie eine Konfiguration Berufliche E-

Mail enthält, wird auch die App Sophos Secure Email installiert. Sie müssen diese Apps zuvor in

Managed Google Play genehmigen.

14.16.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für Android)

Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.

Einstellung/Feld

Sophos-Container-Kennwort aktivieren

Beschreibung

Benutzer müssen ein zusätzliches Kennwort eingeben, um eine Sophos-Container-App zu starten. Sobald die erste Container-App gestartet wird nachdem die Konfiguration angewendet wurde, muss das Kennwort definiert werden. Dieses Kennwort gilt für alle

Container-Apps.

Sophos Mobile

Einstellung/Feld

Komplexität des Kennworts

Zeichen in Kennwort-Eingabefeldern immer verstecken

Gültigkeitsdauer des Kennworts in Tagen

Fehlgeschlagene Anmeldungen bis Sperre

Fingerabdruck erlauben

Gültigkeitsdauer in Minuten

Beschreibung

Die minimale Komplexität des Kennworts für den Sophos-Container. Sicherere

Kennwörter sind immer erlaubt. Kennwörter

(eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs (nur numerische

Zeichen).

• Beliebig: Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.

• 4-Ziffern-PIN

• 6-Ziffern-PIN

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.

Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.

Die erlaubte Anzahl fehlgeschlagener

Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden.

Falls konfiguriert, können die Apps auch vom

Benutzer im Self Service Portal entsperrt werden.

Benutzer können die App mit ihrem

Fingerabdruck entsperren.

Die Zeitspanne, während der kein Sophos-

Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im

Vordergrund angezeigt wird.

Die Toleranzfrist gilt für alle Container-Apps.

Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.

Sophos Mobile

Einstellung/Feld

Mit Gerät sperren

Letzte Verbindung zum Server

Beschreibung

Wenn das Gerät gesperrt wird, wird auch der

Sophos-Container gesperrt.

Wenn das Kontrollkästchen deaktiviert ist, wird der Sophos-Container nur nach Ablauf der

Toleranzfrist gesperrt.

Die Zeitspanne, innerhalb derer Benutzer eine

Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile

Server aufgebaut wurde.

Wenn eine Sophos-Container-App aktiviert wird und innerhalb der definierten Zeitspanne keinen Kontakt mit dem Server hatte, wird ein Sperrbildschirm angezeigt. Der Benutzer kann die App durch Tippen auf Wiederholen entsperren. Hierdurch verbindet sich die App mit dem Server. Kann die Verbindung aufgebaut werden, wird die App entsperrt. Falls nicht, wird der Zugriff verweigert.

• Bei jedem Zugriff: Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.

• 1 Stunde: Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.

• 3 Stunden

• 6 Stunden

• 12 Stunden

• 1 Tag

• 3 Tage

• Ohne: Keine regelmäßige Verbindung ist notwendig.

Sophos Mobile

Einstellung/Feld

Offline-Starts ohne Serververbindung

Beschreibung

In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.

Hinweis

Diese Einstellung setzt voraus, dass ein

Sophos-Container-Kennwort eingerichtet ist.

Root-Zugriff erlaubt Die Container-Apps dürfen auf gerooteten

Geräten ausgeführt werden.

App-Nutzungs-Beschränkungen

Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken

Sie auf Hinzufügen, um Beschränkungen einzugeben.

Räumliche Beschränkungen

Es wird mitgezählt, wie oft Benutzer das

Sophos-Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe Sperrbildschirm wie für die

Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum Sophos Mobile Server hergestellt wird.

• Unbegrenzt: Es ist keine Serververbindung notwendig.

• 0: Das Starten der App ohne Serververbindung ist nicht möglich.

• 1: Nach einem Start der App ist eine erfolgreiche

Serververbindung notwendig.

• 3

• 5

• 10

• 20

Zeitliche Beschränkungen

Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.

Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-

Container-Apps verwendet werden können.

Sie können auch spezifizieren, an welchen

Wochentagen die Apps verwendet werden können.

Sophos Mobile

Einstellung/Feld

WLAN-Beschränkungen

Beschreibung

Wenn Sie WLAN-Verbindung erforderlich auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.

Wenn Sie WLAN-Verbindungen zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das Gerät mit einem nicht aufgeführten WLAN verbunden ist.

Wichtig

Wir empfehlen, sich nicht auf WLAN-

Beschränkungen als einzigen

Sicherheitsmechanismus zu verlassen, da WLAN-

Namen sehr leicht gefälscht werden können (Wi-Fi

Spoofing).

14.16.2 Konfiguration „Unternehmens-E-Mail“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmens-E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft

Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im

Sophos-Container installiert ist.

Einstellung/Feld

Exchange-Server

Beschreibung

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Benutzer

E-Mail-Adresse

Domäne

Support-E-Mail-Kontakt

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Die Domäne für dieses Konto.

Die Adresse für E-Mails, die über die Funktion

„Kontaktiere Support“ gesendet werden.

Einstellung/Feld

Kontakte auf das Gerät exportieren

Unternehmensnamen exportieren

Benachrichtigungsdetails

In Zwischenablage kopieren verbieten

Screenshots verbieten

Maximale E-Mail-Größe

Sophos Mobile

Beschreibung

Benutzer können Exchange-Kontakte als lokale

Kontakte auf das Gerät übertragen, damit bei Anrufen von Firmenkontakten der Name angezeigt wird.

Diese Kontakte werden von Sophos Secure

Email synchronisiert.

Hinweis

Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:

• Wenn die Konfiguration

Unternehmens-E-Mail aus der

Sophos-Container-Richtlinie entfernt wird (nach dem nächsten Neustart der

App Sophos Secure Email).

• Wenn der Sophos-Container vom Gerät entfernt wird.

• Wenn das Gerät bei Sophos Mobile deregistriert wird.

Beim Export von Firmenkontakten in lokale

Kontakte wird auch der Firmenname exportiert.

Wenn das Kontrollkästchen deaktiviert ist, werden nur Name und Telefonnummer exportiert.

Wählen Sie den Umfang der Informationen aus, der in E-Mail-Benachrichtigungen angezeigt wird.

Diese Einstellung wirkt sich auch auf

Terminerinnerungen aus. Wenn Sie Keine

Benachrichtigungen auswählen, sind

Terminerinnerungen deaktiviert. Wenn

Sie einen anderen Wert auswählen, sind

Terminerinnerungen aktiviert und enthalten

Datum/Uhrzeit, Ort und Titel.

Benutzer können Texte aus Sophos Secure

Email weder kopieren noch ausschneiden.

Benutzer können keine Screenshots der App

Sophos Secure Email machen.

E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte

Wert, werden nicht vom Exchange-Server heruntergeladen.

167

Sophos Mobile

Einstellung/Feld

Öffnen/Teilen erlauben

Anhänge öffnen

Anhänge teilen

Zusätzliche Einstellungen

Beschreibung

Benutzer können E-Mail-Anhänge betrachten und teilen.

Wählen Sie aus, in welchen Apps Anhänge betrachtet werden können: In allen Apps oder nur in den Sophos-Container-Apps Secure

Workspace und Secure Email.

Mit allen Apps: Anhänge können mit allen

Apps geteilt werden, die das Dateiformat unterstützen.

Mit Container-Apps: Anhänge werden mit einem Geräteschlüssel verschlüsselt und können nur mit Sophos Secure Workspace geöffnet werden. Das Teilen mit anderen Apps bleibt auswählbar.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

Hinweis

Falls Sophos Secure Email nicht installiert ist, werden die Benutzer aufgefordert, die App zu installieren. Wenn sie die App zum ersten Mal starten, konfiguriert sie sich automatisch.

14.16.3 Konfiguration „Unternehmensdokumente“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmensdokumente konfigurieren Sie Einstellung für die Funktion

Unternehmensdokumente der App Sophos Secure Workspace.

Online-Speicher konfigurieren

Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:

Einstellung/Feld

Aktivieren

Offline

Verschlüsselt teilen

Beschreibung

Der Speicheranbieter ist in der App verfügbar.

Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.

Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Einstellung/Feld

Unverschlüsselt teilen

Zwischenablage

Sophos Mobile

Beschreibung

Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.

Einstellungen für Unternehmens-Anbieter

Für Speicheranbieter vom Typ WebDAV, auch als Unternehmens-Anbieter bezeichnet, können

Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den

Benutzern nicht geändert werden.

Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.

Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das

Kennwort-Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den Speicheranbieter zu bekommen.

Einstellung/Feld

Name

Server

Benutzername

Kennwort

Zielordner

Beschreibung

Der Anbietername, wie er in der App Sophos

Secure Workspace angezeigt wird.

Geben Sie in diesem Feld Folgendes ein:

• Die URL des Root-Ordners auf dem WebDAV-Server für

Unternehmensdokumente.

• Die URL des Root-Ordners auf dem

WebDAV-Server.

Verwenden Sie folgendes Format: https:// server.firma.com

Nur das Protokoll https wird unterstützt.

Der Anmeldename für den Server. Sie können auch die Variable %_USERNAME_% verwenden.

Das Anmeldekennwort.

Der Ordner, in den Dokumente hochgeladen werden.

Sophos Mobile

Weitere Einstellungen

Einstellung/Feld

Dokumente aktivieren

Komplexität des Kennworts

Screenshots verbieten

Zusätzliche Einstellungen

Beschreibung

Aktiviert die Funktion Dokumente, um

Unternehmensdokumente auf sichere Weise auszutauschen.

Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere

Passphrasen sind immer erlaubt.

Sie können folgende Einstellungen auswählen:

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

Benutzer können keine Screenshots der App

Sophos Secure Workspace machen.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

14.16.4 Konfiguration „Unternehmens-Browser“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmens-Browser konfigurieren Sie Einstellung für die Funktion

Unternehmens-Browser der App Sophos Secure Workspace.

Mit dem Unternehmens-Browser können Sie auf sichere Weise auf Intranetseiten Ihres

Unternehmens und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von Domänen.

Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.

Allgemeine Einstellungen

Einstellung/Feld

Screenshots verbieten

Beschreibung

Benutzer können keine Screenshots aufnehmen, die den Unternehmensbrowser zeigen.

Sophos Mobile

Einstellungen für Domänen

Einstellung/Feld

URL

Kopieren/Einfügen erlauben

„Öffnen mit“ erlauben

Kennwort-Speichern erlauben

Beschreibung

Die Domäne, die Sie erlauben wollen.

Benutzer können Text aus dem Unternehmens-

Browser kopieren und in anderen Apps einfügen.

Benutzer können Anhänge herunterladen oder an andere Apps weiterleiten.

Benutzer können ihre Kennwörter im

Unternehmens-Browser speichern.

Einstellungen für Lesezeichen

Einstellung/Feld

Name

URL

Beschreibung

Der Name für das Lesezeichen.

Die Webadresse für das Lesezeichen.

14.16.5 Konfiguration „Root-Zertifikat“ (Sophos-Container-

Richtlinie für Android)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Das Zertifikat steht den Apps „Sophos Secure Email“ und „Sophos Secure Workspace“ zur Verfügung, wenn diese im Sophos-Container installiert sind.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.16.6 Konfiguration „Client-Zertifikat“ (Sophos-Container-

Richtlinie für Android)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Dieses Zertifikat steht der App Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.

Sophos Mobile

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.16.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für

Android)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate sind stehen der

Komponente „Beruflicher Browser“ in der App Sophos Secure Workspace zur Verfügung.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Sophos Mobile

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Platzhalter in Profilen und

Richtlinien

(Seite 109).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Sophos Mobile

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

14.17 Konfigurationen für Mobile-Security-

Richtlinien (Android)

Mit einer Mobile-Security-Richtlinie konfigurieren Sie die App Sophos Mobile Security.

Informationen zum Erstellen einer Mobile-Security-Richtlinie finden Sie in

Profil oder Richtlinie erstellen

(Seite 105).

Hinweis

Wenn Sie diese Richtlinie einem Android-Enterprise-Gerät zuweisen, wird dadurch auch die

App Sophos Mobile Security installiert. Sie müssen diese App zuvor in Managed Google Play genehmigen.

14.17.1 Netzwerkkonfiguration (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Netzwerk verwalten Sie die Einstellungen der App Sophos Mobile Security für den Schutz vor netzwerkbasierten Bedrohungen.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

„Man-In-The-Middle“-Schutz

Zusätzliche Einstellungen

Beschreibung

Sophos Mobile Security überprüft die WLAN-Verbindung auf Man-in-the-Middle-Angriffe.

Konfigurieren Sie diese Einstellungen nur, wenn Sie vom

Sophos Support dazu aufgefordert werden.

Sophos Mobile

14.17.2 Konfiguration „Antivirus“ (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Antivirus verwalten Sie die Einstellungen der App Sophos Mobile Security zum

Malware-Schutz.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

Cloud-Scan-Modus

Häufigkeit geplanter Scans

System-Apps scannen

Speicher scannen

PUAs erkennen

Benutzer darf Apps erlauben

Beschreibung

Wählen Sie aus, wann Sophos Mobile Security die neusten Malware-Informationen vom Sophos-Server lädt.

Wählen Sie die Häufigkeit von Malware-Scans aus.

Wenn Sie Täglich beim Laden auswählen, wird ein Scan ausgeführt, wenn das Gerät länger als 30 Minuten an einer Stromquelle angeschlossen ist.

System-Apps werden gescannt.

System Apps werden standardmäßig nicht gescannt, da diese durch das Android-Betriebssystem geschützt sind und nicht vom Benutzer deinstalliert werden können.

Zusätzlich zum standardmäßigen Scan aller installierten

Anwendungen werden alle Datei in folgenden

Speicherbereichen auf Bedrohungen gescannt: Interner geteilter Speicher, SD-Karte, verbundene USB-Geräte.

Potenziell unerwünschte Anwendungen (PUAs) werden gescannt.

PUAs sind Apps, die zwar nicht schädlich sind, jedoch für Unternehmensnetzwerke als ungeeignet angesehen werden. Dazu gehören beispielsweise Adware, Dialer

(Einwahlprogramme), Systemmonitore, Remote-

Verwaltungs- und Hacking-Tools. Einige Apps, die unter

PUAs fallen, können für manche Benutzer jedoch hilfreich sein.

Benutzer können als PUA klassifizierte Apps erlauben. Bei nachfolgenden Scans werden erlaubte Apps ignoriert.

Sophos Mobile

Einstellung/Feld

Modus

Scan-Benachrichtigungen

Speicher überwachen

App-Gruppe

Beschreibung

Wählen Sie das Verhalten für Apps mit niedriger

Reputation aus:

Erlauben: Scannen nach Apps niedriger Reputation deaktivieren.

Warnen: Eine Warnung am Gerät anzeigen, wenn eine

App niedriger Reputation erkannt wurde. Die Benutzer können wählen, wie mit der App verfahren werden soll. Sie können sie zu einer Liste von erlaubten Apps hinzufügen, so dass keine weiteren Warnungen angezeigt werden, wenn diese App erkannt wird.

Blockieren: Benutzer können Apps mit niedriger

Reputation nicht starten.

Sophos Mobile Security erzeugt eine Benachrichtigung, wenn eine App nach der Installation gescannt wird.

Wenn das Kontrollkästchen deaktiviert ist, werden keine

Benachrichtigungen für saubere Apps erzeugt.

Folgende Speicherbereiche werden auf Änderungen

überwacht: Interner geteilter Speicher, SD-Karte, verbundene USB-Geräte. Wenn neue Dateien in diesen

Bereichen gespeichert werden, werden diese gescannt.

Wählen Sie eine Gruppe erlaubter Apps aus. Apps aus dieser Gruppe werden nicht gescannt.

14.17.3 Konfiguration „Web Filtering“ (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Webfilter verwalten Sie die Funktion Web Filtering der App Sophos Mobile

Security. Dies schützt die Gerätebenutzer vor Seiten mit schädlichem, unerwünschtem oder illegalem

Inhalt.

Wichtig

Sie müssen außerdem die Compliance-Regel Ablehnung von SMSec-Berechtigungen erlaubt aktivieren. Andernfalls könnten Benutzer Web Filtering beenden, indem sie Sophos Accessibility

Service deaktivieren.

Einstellungen

Einstellung/Feld

Schädliche Webseiten filtern

Beschreibung

Wählen Sie aus, ob Benutzer Webseiten mit schädlichem

Inhalt besuchen können.

Sophos Mobile

Einstellung/Feld

Webseiten nach Kategorien filtern

Beschreibung

Wählen Sie aus, ob Benutzer Webseiten besuchen können, die in eine bestimmte Kategorie fallen.

Sophos Mobile Security kategorisiert Webseiten basierend auf Daten von SophosLabs. Die Daten werden laufend aktualisiert.

Tipp

Um das Filtern von Webseiten zu testen, können Sie die

Sophos-Website sophostest.com

verwenden. Diese enthält

Beispielseiten für alle Kategorien. Auch wenn einige der

Seiten als potentiell offensiv oder gefährlich klassifiziert sind, ist der tatsächliche Seiteninhalt immer harmlos.

Website-Ausschlüsse Konfigurieren Sie Ausnahmen für die Kategorie-Filter:

Erlaubte Domänen: Webseiten, die erlaubt sind, obwohl die zugehörige Kategorie blockiert wird.

Blockierte Domänen: Webseiten, die blockiert werden, obwohl die zugehörige Kategorie erlaubt ist.

Sie können Domänen-Namen oder IP-Adressen eingeben.

Beispiele:

• www.example.com

• *.example.com

• 198.51.100.1

• 198.51.100.0/24

Unterstützte Browser

Web Filtering kann zusammen mit folgenden Webbrowsern verwendet werden:

• Android-Web-Browser

• Firefox

• Google Chrome

• Microsoft Edge

Andere Browser funktionieren möglicherweise auch, wurden aber nicht getestet.

14.18 Konfigurationen für Knox-Container-Profile

Mit einem Knox-Container-Profil konfigurieren Sie Einstellungen für den Knox-Container auf Samsung-

Geräten.

Informationen zum Erstellen eines Knox-Container-Profils finden Sie in

Profil oder Richtlinie erstellen

(Seite 105).

Sophos Mobile

14.18.1 Konfiguration „Kennwortrichtlinien“ (Knox-Container-

Profil)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Knox-Container-

Kennwort.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

178

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster, PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort, PIN oder Kennwort, Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Sophos Mobile

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der der Knox-Container gesperrt wird, wenn er nicht benutzt wird. Der Container lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere

Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Maximale Anmeldeversuche

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Nach dieser Anzahl fehlgeschlagener

Anmeldeversuche wird der Knox-Container gelöscht.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Sophos Mobile

Biometrische Authentisierung

Einstellung/Feld

Fingerabdruck-Authentisierung erlauben

Iris-Authentisierung erlauben

Gesichts-Authentisierung erlauben

Beschreibung

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Fingerabdruck-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Iris-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Gesichts-Authentisierung entsperren.

180

14.18.2 Konfiguration „Einschränkungen“ (Knox-Container-

Profil)

Mit der Konfiguration Einschränkungen konfigurieren Sie Einschränkungen und zugehörige

Einstellungen für den Knox-Container auf Samsung-Geräten.

Einstellung/Feld

Bildschirmaufnahme erlauben

Kamera erlauben

Zwischenablage erlauben

„Teilen über“ erlauben

Mikrofon erlauben

Beschreibung

Benutzer können Screenshots von Apps im Samsung-

Knox-Container machen.

Apps im Samsung-Knox-Container können auf die

Kamera zugreifen.

Das Kopieren von Inhalten in die Zwischenablage ist nicht eingeschränkt.

Die von manchen Apps verwendete Funktion Teilen

über ist verfügbar.

Apps im Samsung-Knox-Container können auf das

Mikrofon zugreifen.

Benutzer müssen die sichere Tastatur verwenden.

Verwendung der sicheren Tastatur erzwingen

Hinzufügen neuer E-Mail-Konten erlauben

Daten-Export erlauben

Kopieren von Dateien in den

Container erlauben

Benutzer können zusätzlich zu den über ein Sophos

Mobile Profil konfigurierten Konten weitere E-Mail-

Konten hinzufügen.

Private Apps können auf Daten aus dem Samsung-

Knox-Container zugreifen.

Private Dateien können in den Samsung-Knox-

Container kopiert oder verschoben werden.

Sophos Mobile

Einstellung/Feld

Bluetooth erlauben

NFC erlauben

Beschreibung

Apps im Samsung-Knox-Container können Bluetooth-

Verbindungen verwenden.

Apps im Samsung-Knox-Container können NFC-

Verbindungen (Near-Field Communication) verwenden.

Multifaktor-Authentisierung erzwingen Zum Entsperren des Samsung-Knox-Containers sind mehrere Authentisierungsarten erforderlich, zum

Beispiel Kennwort und Fingerabdruck.

Erlaubte Apps / Unzulässige Apps Sie können entweder Erlaubte Apps oder

Unzulässige Apps konfigurieren. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Diese Einschränkungen betreffen nicht die App-

Installationen, die vom Sophos Mobile Server initiiert werden.

Informationen zur Erstellung von App-Gruppen finden

Sie in

App-Gruppen (Seite 328).

14.18.3 Konfiguration „Exchange-Konto“ (Knox-Container-Profil)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein. Diese Einstellungen gelten für den Samsung-Knox-Container.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Sophos Mobile

182

Einstellung/Feld

E-Mail-Adresse

Absender

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Standardkonto

Alle Zertifikate erlauben

Weiterleitung von anderen Konten erlauben

HTML-Format erlauben

Beschreibung

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Das Konto wird als Standard-E-Mail-Konto verwendet.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Mit diesem Konto können E-Mails anderer Konten weitergeleitet werden.

Beispiel: Wenn dies Konto A ist und der Knox-

Container ein weiteres Konto B enthält, kann eine von Konto B erhaltene E-Mail von Konto

A weitergeleitet werden, d.h. Konto A wird als

Absender der Weiterleitung verwendet.

Hinweis

Diese Einstellung wird nur von der nativen Android-

E-Mail-App verwendet.

E-Mails im HTML-Format sind zugelassen.

Einstellung/Feld

Max. Größe von Anhängen in MB

Inhalte

Sophos Mobile

Beschreibung

Die maximale Größe einer einzelnen E-Mail-

Nachricht (1, 3, 5, 10, Unbegrenzt).

Die zu synchronisierenden Inhalte.

14.19 Konfigurationen für Android-Things-

Richtlinien

Mit einer Android-Things-Richtlinie konfigurieren Sie verschiedene Bereiche von Android-Things-

Geräten. Derzeit werden nur WLAN-Einstellungen unterstützt.

Informationen zur Erstellung einer Android-Things-Richtlinie finden Sie in

Profil oder Richtlinie erstellen

(Seite 105).

14.19.1 Konfiguration „WLAN“ (Android-Things-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Sicherheitstyp

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp des WLAN:

• Ohne

• WEP

• WPA/WPA2

Wenn Sie WEP oder WPA/WPA2 auswählen, wird ein Feld Kennwort angezeigt. Geben Sie das relevante Kennwort ein.

14.20 Konfigurationen für iOS-Geräteprofile

Mit einem iOS-Geräteprofil konfigurieren Sie verschiedene Bereiche von iOS-Geräten, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen eines Geräteprofils finden Sie in

Profil oder Richtlinie erstellen (Seite

105).

14.20.1 Konfiguration „Kennwortrichtlinien“ (iOS-Geräteprofil)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Gerätekennwort.

Sophos Mobile

Hinweis

Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Einstellung/Feld

Einfache Werte erlauben

Alphanumerische Werte erforderlich

Minimale Länge des Kennworts

Mindestanzahl von komplexen Zeichen

Gültigkeitsdauer des Kennworts in Tagen

Automatische Sperre (Minuten)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Toleranzfrist für Gerätesperrung

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der Toleranzfrist für die Gerätesperrung legen Sie fest, wie lange nach einer Sperre das Gerät ohne Kennwort entsperrt werden kann. Wenn Sie Ohne auswählen, kann der Benutzer einen beliebigen verfügbaren Zeitraum wählen. Wenn Sie Sofort auswählen, müssen Benutzer immer, wenn sie ihre Geräte entsperren, ein Kennwort eingeben.

Sophos Mobile

Einstellung/Feld

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Beschreibung

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Versuchen wird eine Zeitverzögerung verhängt. Ein erneuter Versuch kann erst nach Ablauf der Verzögerung unternommen werden. Diese Verzögerung wird mit jedem fehlgeschlagenen Versuch größer. Nach dem letzten fehlgeschlagenen Versuch werden alle

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

14.20.2 Konfiguration „Einschränkungen“ (iOS-Geräteprofil)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Hinweis

Einige Optionen sind nur für bestimmte iOS-Versionen oder für betreute Geräte verfügbar. In

Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Gerät

Einstellung/Feld

Installation von Apps erlauben

App-Installation über die

Benutzeroberfläche erlauben

Verwendung der Kamera erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist der

App Store nicht verfügbar und sein Symbol wird vom

Home-Bildschirm entfernt. Benutzer können keine

Apps über den App Store oder Apple Configurator installieren oder aktualisieren.

Wenn das Kontrollkästchen deaktiviert ist, ist der

App Store nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Benutzer können weiterhin Apps über Apple Configurator installieren oder aktualisieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Sophos Mobile

Einstellung/Feld

FaceTime erlauben

Bildschirmaufnahme erlauben

Automatische Synchronisierung bei

Roaming erlauben

Siri erlauben

Siri erlauben, während das Gerät gesperrt ist

Websuche für Siri erlauben

Beschreibung

Benutzer können Videotelefonie über FaceTime durchführen.

Benutzer können Screenshots machen.

Wenn das Kontrollkästchen deaktiviert ist, synchronisieren sich Geräte bei Mobilfunk-Roaming nur dann, wenn der Benutzer auf ein Konto zugreift.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Siri, Sprachbefehle oder die Diktierfunktion nicht verwenden.

Wenn das Kontrollkästchen deaktiviert ist, müssen

Benutzer ihre Geräte durch Eingabe ihres Kennworts entsperren, damit sie Siri benutzen können.

Wenn das Kontrollkästchen deaktiviert ist, führt Siri keine Websuche durch.

Filtern von anstößiger Sprache für Siri erzwingen

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer das Filtern von anstößiger Sprache für Siri deaktivieren.

Sprachwahl bei gesperrtem Gerät erlauben

Wenn das Kontrollkästchen deaktiviert ist, sind Anrufe mittels Sprachkommandos nicht möglich, wenn das

Gerät mit einem Kennwort gesperrt ist.

Hinweis

Falls kein Gerätekennwort konfiguriert ist, sind

Anrufe mittels Sprachkommandos immer möglich.

Passbook bei Gerätesperre erlauben

In-App-Käufe erlauben

Benutzer muss für alle Einkäufe das

Store-Kennwort eingeben

Mehrspielermodus erlauben

Game Center erlauben

Passbook-Benachrichtigungen werden auch bei gesperrtem Gerät angezeigt.

Benutzer können In-App-Käufe durchführen.

Benutzer müssen für Käufe ihr Apple-ID-Kennwort eingeben.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer innerhalb einer kurzen Toleranzfrist mehrere

Käufe durchführen, ohne ihr Kennwort jedes Mal neu einzugeben.

Benutzer können im Game Center Multiplayer-Spiele spielen.

Wenn das Kontrollkästchen deaktiviert ist, ist Game

Center nicht verfügbar.

Sophos Mobile

Einstellung/Feld

Hinzufügen von Game-Center-

Freunden erlauben

Änderung der „Freunde suchen“-

Einstellungen erlauben

USB-Kopplung erlauben

Kopplung mit Apple Watch erlauben

Handgelenkerkennung erzwingen

AirDrop erlauben

Zugriff auf das Kontrollzentrum im

Sperrbildschirm erlauben

Zugriff auf die Mitteilungszentrale im

Sperrbildschirm erlauben

Zugriff auf die Heute-Ansicht im

Sperrbildschirm erlauben

News erlauben

Over-the-air PKI Updates erlauben

Einkauf von Büchern in iBooks erlauben

Einkauf von Büchern mit anstößigen

Inhalten in iBooks erlauben

Installation von

Konfigurationsprofilen durch den

Benutzer erlauben iMessage erlauben

Beschreibung

Benutzer können im Game Center Freunde hinzufügen.

Wenn das Kontrollkästchen deaktiviert ist, können die

Einstellungen der App „Meine Freunde suchen“ nicht geändert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist ein

Datenaustausch per Kabel (Host Pairing) deaktiviert, außer mit dem „Supervision Host“. Wenn kein

Supervision-Host-Zertifikat konfiguriert ist, ist kein Host

Pairing möglich.

Wenn das Kontrollkästchen deaktiviert ist, kann das

Geräte nicht mit einer Apple Watch gekoppelt werden.

Für bereits gekoppelte Apple-Watch-Geräte wird die

Kopplung aufgehoben.

Eine gekoppelte Apple Watch muss

Handgelenkerkennung verwenden.

Inhalte können mittels AirDrop geteilt werden.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Kontrollzentrum bei aktiver Displaysperre nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Mitteilungszentrale bei aktiver Displaysperre nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist die Heute-Ansicht bei aktiver Displaysperre nicht verfügbar.

Die App „News“ ist verfügbar.

PKI-Aktualisierungen sind „Over-the-Air“ möglich.

Benutzer können in iBooks Bücher kaufen.

Wenn das Kontrollkästchen deaktiviert ist, sind iBooks mit anstößigem Inhalt gesperrt.

Benutzer können Konfigurationsprofile installieren.

Benutzer können mit iMessage SMS senden oder empfangen.

Sophos Mobile

Einstellung/Feld

Deinstallation von Apps erlauben

Deinstallation von System-Apps erlauben

Löschen aller Inhalte und

Einstellungen erlauben

Ändern des Gerätenamens erlauben

Hintergrundbild-Änderung erlauben

Ändern von

Benachrichtigungseinstellungen erlauben

Tastenkürzel erlauben

Beschreibung

Benutzer können Apps vom Gerät deinstallieren.

Benutzer können System-Apps vom Gerät deinstallieren.

Internetsuchergebnis für Spotlight erlauben

Aktivierung der Beschränkungsoption erlauben

Wenn das Kontrollkästchen deaktiviert ist, ist auf der Seite „Zurücksetzen“ die Option Inhalte und

Einstellungen löschen nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Handoff erlauben

Wenn das Kontrollkästchen deaktiviert ist, ist auf der

Seite „Zurücksetzen“ die Option Einschränkungen

aktivieren nicht verfügbar.

Die Apple-Integrations-Funktion „Handoff“ ist verfügbar. Mit „Handoff“ können Benutzer die

Bearbeitung von Dokumenten, E-Mails oder

Nachrichten, die sie auf einem Gerät begonnen haben, auf einem anderen Gerät fortsetzen.

Benutzer können den Gerätenamen ändern.

Benutzer können das Hintergrundbild ändern.

Benutzer können die Benachrichtigungseinstellungen

ändern.

Diktieren von Tastatureingaben erlauben

Tastaturvorschläge erlauben

Benutzer können Tastenkürzel verwenden.

Benutzer können die Tastatureinstellung

Diktierfunktion aktivieren verwenden.

Auto-Korrektur erlauben

Rechtschreibprüfung erlauben

Automatisches Herunterladen von

Apps erlauben

Benutzer können die Tastatureinstellung Vorschläge aktivieren.

Benutzer können die Tastatureinstellung Auto-

Korrektur aktivieren.

Benutzer können die Tastatureinstellung

Rechtschreibprüfung aktivieren.

Wenn das Kontrollkästchen deaktiviert ist, werden

Apps, die auf anderen Geräten erworben wurden, nicht automatisch heruntergeladen. Dies betrifft nicht die

Aktualisierung bereits vorhandener Apps.

Apple Music erlauben

Apple Music Radio erlauben

Der Dienst „Apple Music“ ist verfügbar.

Der Dienst „Apple Music Radio“ ist verfügbar.

Sophos Mobile

Einstellung/Feld

Ändern der Bluetooth-Einstellungen erlauben

VPN-Erstellung erlauben

Automatisches Datum/automatische

Uhrzeit erzwingen

Verzögerung von iOS-

Aktualisierungen

Beschreibung

Benutzer können die Bluetooth-Einstellungen ändern.

Benutzer könne VPN-Konfigurationen hinzufügen.

Die iOS-Einstellung Automatisch einstellen für

Datum & Uhrzeit ist aktiviert und kann vom Benutzer nicht deaktiviert werden.

Anzahl an Tagen, die eine iOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

Firmendaten

Einstellung/Feld

Öffnen von Dokumenten nur innerhalb von verwalteten Apps/Konten erlauben

Beschreibung

Dies beschränkt das Öffnen von Dokumenten auf

Apps oder Konten, die von Sophos Mobile verwaltet werden (z.B. ein Firmen-E-Mail-Konto).

Wenn Benutzer über ein von Sophos Mobile verwaltetes E-Mail-Konto und von Sophos Mobile verwaltete Apps auf Ihren Geräten verfügen, können die Anhänge aus dem verwalteten E-Mail-Konto nur mit verwalteten Apps geöffnet werden.

Auf diese Weise können Sie verhindern, dass

Unternehmensdokumente mit nicht verwalteten Apps geöffnet werden.

Wenn Sie diese Einstellung deaktivieren, sind die beiden nächsten Einstellungen nicht verfügbar.

Kontakte aus verwalteten Konten können mit nicht verwalteten Apps geteilt werden.

Verwaltete Apps können Kontakte in nicht verwaltete

Konten schreiben.

Verwalteten Apps erlauben, Kontakte in nicht verwaltete Konten zu schreiben

Nicht verwalteten Apps erlauben,

Kontakte aus verwalteten Konten zu lesen

Nicht verwaltete Apps können Kontakte aus verwalteten Konten lesen.

Sophos Mobile

Einstellung/Feld Beschreibung

Öffnen von Dokumenten nur innerhalb von nicht verwalteten Apps/Konten erlauben

Verwendung von AirDrop-

Dokumenten als nicht verwaltete

Dokumente erzwingen

Dies beschränkt das Öffnen von Dokumenten auf

Apps oder Konten, die nicht von Sophos Mobile verwaltet werden (z.B. ein privates E-Mail-Konto).

Wenn Benutzer auf ihren Geräten E-Mail-Konten und Apps haben, die nicht von Sophos Mobile verwaltet werden, können die Anhänge aus dem nicht verwalteten E-Mail-Konto nur mit nicht verwalteten

Apps geöffnet werden.

Auf diese Weise können Sie verhindern, dass persönliche Dokumente mit verwalteten Apps geöffnet werden.

Mittels AirDrop geteilte Dokumente sind keine verwalteten Dokumente.

Verwalteten Apps die

Synchronisierung mit iCloud erlauben

Sicherung für Enterprise-Books erlauben

Enterprise Books Notes und

Highlights-Sync erlauben

Verwaltete Apps können iCloud für die

Synchronisierung verwenden.

Enterprise-Books werden gesichert.

Notizen und Hervorhebungen in Enterprise-Books werden synchronisiert.

Anwendungen

Einstellung/Feld

Verwendung des iTunes Store erlauben

Verwendung von Safari erlauben

Automatisches Ausfüllen aktivieren

Betrugswarnung erzwingen

Pop-Up-Fenster blockieren

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist der iTunes Store nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Benutzer können

Inhalte weder in der Vorschau ansehen, noch kaufen oder herunterladen.

Wenn das Kontrollkästchen deaktiviert ist, ist der

Browser Safari nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Dies verhindert auch, dass Benutzer Web Clips öffnen.

Wenn das Kontrollkästchen deaktiviert ist, werden in

Safari Webformulare nicht automatisch ausgefüllt.

Die Safari-Sicherheitseinstellung zum Warnen des

Benutzers vor möglichen Phishing-Websites ist immer aktiviert.

Safari blockiert Popups.

Einstellung/Feld

JavaScript im Browser erlauben

Cookies akzeptieren

Änderung der Einstellungen für mobile Datenverbindungen pro App erlauben

Erlaubte Apps / Unzulässige Apps

Sophos Mobile

Beschreibung

Webseiten können JavaScript-Code auf dem Gerät ausführen.

In diesem Feld legen Sie fest, ob Safari Cookies akzeptiert.

Wenn Sie Cookies erlauben, können Sie festlegen, ob nur Cookies der aktuellen Seite, der zuletzt besuchten

Seiten oder aller Seiten akzeptiert werden.

Benutzer können für einzelne Apps die Einstellungen für mobile Datenverbindungen ändern.

Sie können entweder Erlaubte Apps oder

Unzulässige Apps angeben. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält. Informationen zur

Erstellung von App-Gruppen finden Sie in App-

Gruppen (Seite 328).

iCloud

Einstellung/Feld

Sicherung erlauben

Dokumentensynchronisierung erlauben

Fotostream erlauben iCloud-Fotomediathek erlauben

Freigegebene Fotostreams erlauben

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können Fotos zu Mein Fotostream hochladen.

Hinweis

Wenn Sie das Kontrollkästchen deaktivieren, um Mein Fotostream zu verbieten, werden existierende Fotos von allen Geräten gelöscht, auf denen diese über Mein Fotostream geteilt wurden. Wenn keine anderen Kopien dieser Fotos existieren, gehen diese verloren.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können ihre Fotostreams anderen Benutzern zur Betrachtung freigeben und freigegebene

Fotostreams anderer Benutzer betrachten.

Sophos Mobile

Einstellung/Feld iCloud-

Schlüsselbundsynchronisierung erlauben

Beschreibung

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Sicherheit und Privatsphäre

Einstellung/Feld

Senden von Diagnosedaten an Apple erlauben

Annehmen nicht vertrauenswürdiger

TLS-Zertifikate durch Benutzer erlauben

Enterprise-Apps vertrauen

Kennwort-Änderung erlauben

Kontoänderungen erlauben

Touch ID zum Entsperren des Gerätes erlauben

Beschränken von Ad-Tracking erzwingen

Verschlüsselte Sicherungen erzwingen

Konfigurierte WLAN-Netzwerke erzwingen

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, werden keine iOS-Diagnosedaten an Apple gesendet.

Wenn das Kontrollkästchen deaktiviert ist, werden

Benutzer nicht gefragt, ob sie einem Zertifikat vertrauen möchten, das nicht verifiziert werden kann.

Diese Einstellung gilt für Safari, Mail-Kontakte und

Kalender-Konten.

Enterprise-Apps wird vertraut.

Benutzer können ein Gerätekennwort definieren,

ändern und löschen.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Konten bearbeiten. Das Menü Konten ist nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Apps für anonyme Benutzerdaten, die für die

Adressierung von Werbung verwendet werden, sind nicht mehr verfügbar.

Benutzer müssen iTunes-Backups verschlüsseln.

AirPrint erlauben

Speichern von AirPrint-

Anmeldeinformationen erlauben

Geräte können sich nur mit WLAN-Netzwerken verbinden, die über ein Sophos Mobile Profil konfiguriert wurden.

Benutzer können Dateien an AirPrint-Drucker senden.

Benutzername und Kennwort für AirPrint können im

Systemschlüsselbund gespeichert werden.

Sophos Mobile

Einstellung/Feld iBeacon-Erkennung von AirPrint-

Druckern erlauben

Beschreibung

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

Vertrauenswürdige Zertifikate für

AirPrint über TLS erzwingen

Schnellstart-Einrichtung neuer Geräte erlauben

Automatisches Ausfüllen von

Kennwörtern erlauben

Authentifizierung für automatisches

Ausfüllen

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

Der Benutzer kann mit Hilfe der Funktion „Schnellstart“ des iOS-Einrichtungsassistenten Daten von dem Gerät auf ein neues Gerät übertragen.

Benutzer können die Einstellung Automatisch

ausfüllen aktivieren, um gespeicherte Kennwörter oder Kreditkarteninformationen in Safari und anderen

Apps zu verwenden.

Wenn das Kontrollkästchen deaktiviert ist, wird auch das automatische Vorschlagen von sicheren

Kennwörtern deaktiviert.

Benutzer müssen sich vor dem automatische Ausfüllen authentisieren.

Diese Einstellung wirkt sich nur bei Geräten aus, die

Face ID oder Touch ID unterstützen.

WLAN-Kennwörter von nahen Geräten anfordern

AirDrop-Kennwortfreigabe erlauben

Das Gerät versucht bei der Einrichtung einer

WLAN-Verbindung, das Kennwort von in der Nähe befindlichen Geräten zu erhalten.

Benutzer können Kennwörter aus dem Password

Manager per AirDrop mit anderen Benutzern teilen.

Inhaltsbewertung

Einstellung/Feld

Anstößige Musik und Podcasts erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, werden im iTunes Store keine anstößigen Musik- oder Video-

Inhalte angezeigt. Anstößige Inhalte werden von den jeweiligen Anbietern, zum Beispiel Plattenfirmen, bei der Auflistung im iTunes Store entsprechend gekennzeichnet.

Sophos Mobile

194

14.20.3 Konfiguration „Exchange-Konto“ (iOS-Geräteprofil)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Kennwort

OAuth

Synchronisierungszeitraum

SSL/TLS

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Das Konto verwendet OAuth für die

Authentisierung, d.h. Benutzer authentisieren sich mit ihren Microsoft-Anmeldeinformationen.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Einstellung/Feld

Verschieben erlauben

Synchronisierung letzter Adressen erlauben

Nur mit Mail verwenden

Identitätszertifikat

S/MIME aktivieren

Signaturzertifikat

Verschlüsselungszertifikat

Benutzer darf unverschlüsselte E-Mails senden

Sophos Mobile

Beschreibung

Benutzer können E-Mails von diesem Konto in ein anderes verschieben. Dies erlaubt Benutzern außerdem, ein anderes Konto für das Antworten auf oder das Weiterleiten von Nachrichten aus diesem Konto zu verwenden.

Das Konto wird in die iCloud-Synchronisierung kürzlich verwendeter Adressen mit anderen

Geräten einbezogen.

Für das Senden von Nachrichten mit diesem

Konto kann nur die App „Mail“ verwendet werden.

Das Konto kann nicht als Absender-Konto für mit anderen Apps erstellten Nachrichten (zum

Beispiel Fotos oder Safari) verwendet werden.

Das Identitätszertifikat für die Verbindung zum

Exchange-Server.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat im aktuellen Profil.

Unterstützung des Verschlüsselungsstandards S/

MIME.

Die für E-Mail-Signierung und -Verschlüsselung verwendeten Zertifikate.

Um ein Zertifikat auszuwählen, müssen Sie dieses zunächst in einer Konfiguration Client-

Zertifikat des aktuellen Profils hochladen.

Der Benutzer bei jeder ausgehenden E-Mail entscheiden, ob sie verschlüsselt gesendet werden soll oder nicht.

14.20.4 Konfiguration „WLAN“ (iOS-Geräteprofil)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Sophos Mobile

Einstellung/Feld

Sicherheitstyp

196

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (persönlich)

• WPA/WPA2 (persönlich)

• Beliebig (persönlich)

• WEP (Enterprise)

• WPA/WPA2 (Enterprise)

• Beliebig (Enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf

Betrieblich endet, werden die Tabs Protokolle,

Authentifizierung und Vertrauen angezeigt.

Konfigurieren Sie auf dem Tab Protokolle folgende

Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die

EAP-Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf diesem Tab ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die

Anmeldeeinstellungen für EAP FAST Protected Access.

• Wählen Sie in Minimale TLS-Version und Maximale

TLS-Version die minimale und die maximale TLS -

Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf dem Tab Authentifizierung

Einstellungen für die Client-Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat-Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf dem Tab Vertrauen

Einstellungen für die Server-Authentifizierung:

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Einstellung/Feld

Proxy

Sophos Mobile

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• Kein Proxy

• Manuell

• Automatisch

Wenn Sie Manuell auswählen, werden die

Felder Server und Port, Authentifizierung and

Kennwort angezeigt. Geben Sie die erforderlichen

Proxy-Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld PAC-URL angezeigt.

Geben Sie die URL des Proxy-Servers ein.

14.20.5 Konfiguration „Kioskmodus“ (iOS-Geräteprofil)

Mit der Konfiguration Kioskmodus definieren Sie Einstellungen für den Kioskmodus. In diesem Modus kann nur eine einzige App verwendet werden.

Einstellung/Feld

Quelle auswählen

Kennung

Touchscreen deaktivieren

Bildschirmrotation deaktivieren

Lautstärketasten deaktivieren

Lautlos-Schalter deaktivieren

Standby-Taste deaktivieren

Automatische Bildschirmsperre deaktivieren

VoiceOver aktivieren

Beschreibung

Wählen Sie aus, wie Sie die App für den Kioskmodus festlegen wollen:

• App-Liste: Wählen Sie die App aus der Liste der verfügbaren iOS-Apps aus.

• Benutzerdefiniert: Geben Sie manuell die Bundle-

ID der App ein.

Die App für den Kioskmodus.

Wählen Sie entweder eine App aus der Liste aus oder geben Sie eine Bundle-ID ein.

Touch-Gesten sind nicht verfügbar.

Die Bildschirmorientierung kann nicht geändert werden.

Die Gerätetasten zur Lautstärkesteuerung sind nicht verfügbar.

Der Lautlos-Modus kann nicht aktiviert werden.

Die Standby-Taste ist nicht verfügbar.

Die automatische Bildschirmsperre, mit der das

Gerät nach einer bestimmten Inaktivitätsdauer in den

Standbymodus wechselt, ist deaktiviert.

Die Funktion „VoiceOver“ ist verfügbar.

Sophos Mobile

Einstellung/Feld

Zoom aktivieren

„Farben umkehren“ aktivieren

AssistiveTouch aktivieren

„Auswahl sprechen“ aktivieren

Mono-Audio aktivieren

VoiceOver

Zoom

Farben umkehren

AssistiveTouch

Beschreibung

Die Funktion „Zoom“ ist verfügbar.

Die Funktion „Farben umkehren“ ist verfügbar.

Die Funktion „AssistiveTouch“ ist verfügbar.

Die Funktion „Auswahl sprechen“ ist verfügbar.

Die Funktion „Mono-Audio“ ist verfügbar.

Der Benutzer kann die Funktion „VoiceOver“ anpassen.

Der Benutzer kann die Funktion „Zoom“ anpassen.

Der Benutzer kann die Funktion „Farben umkehren“ anpassen.

Der Benutzer kann die Funktion „AssistiveTouch“ anpassen.

14.20.6 Konfiguration „Zugangspunkt (APN)“ (iOS-Geräteprofil)

Mit der Konfiguration Zugangspunkt (APN) konfigurieren Sie einen Access Point Name (APN) für iOS-

Geräte. Eine APN-Konfiguration legt fest, wie sich Geräte mit einem Mobilfunknetz verbinden.

Hinweis

Die Konfiguration Zugangspunkt (APN) ist veraltet. Verwenden Sie stattdessen die Konfiguration

Mobilfunk. Siehe

Konfiguration „Mobilfunk“ (iOS-Geräteprofil) (Seite 199).

Wichtig

Wenn diese Einstellungen nicht korrekt sind, kann das Gerät nicht auf Daten über ein

Mobilnetzwerk zugreifen. Wenn Sie die Einstellungsänderungen rückgängig machen wollen, müssen Sie das Profil vom Gerät entfernen.

Einstellung/Feld

APN

Beschreibung

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz mittels GPRS verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Einstellung/Feld

Benutzername für Zugangspunkt

Kennwort für Zugangspunkt

Proxy-Server und -Port

Sophos Mobile

Beschreibung

Der Nutzername für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Benutzernamen mit bis zu 64 Zeichen.

Das Kennwort für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Kennwörter mit bis zu 64 Zeichen.

Die Adresse und die Portnummer des Proxy-

Servers.

14.20.7 Konfiguration „Roaming/Hotspot“ (iOS-Geräteprofil)

Mit der Konfiguration Roaming/Hotspot definieren Sie Einstellungen für Roaming-Verbindungen und für persönliche Hotspots.

Hinweis

Benutzer können diese Einstellungen auf ihren Geräten jederzeit ändern.

Einstellung/Feld

Sprach-Roaming aktivieren

Daten-Roaming aktivieren

Persönlichen Hotspot aktivieren

Beschreibung

Sprach-Roaming ist verfügbar.

Diese Einstellung wird ignoriert, falls der

Mobilfunknetzbetreiber kein Sprach-Roaming unterstützt.

Daten-Roaming ist verfügbar.

Der Benutzer kann das Gerät als persönlichen

Hotspot konfigurieren.

Diese Einstellung wird ignoriert, falls der

Mobilfunknetzbetreiber keine persönlichen

Hotspots unterstützt.

14.20.8 Konfiguration „Mobilfunk“ (iOS-Geräteprofil)

Mit der Konfiguration Mobilfunk definieren Sie Einstellungen auf iOS-Geräten für Mobilfunknetze.

Sophos Mobile

Hinweis

Eine Konfiguration vom Typ Mobilfunk kann nicht auf Geräten installiert werden, auf denen bereits eine Konfiguration Zugangspunkt (APN) vorhanden ist.

Einstellung/Feld

Authentifizierung

APN

Benutzername für Zugangspunkt

Beschreibung

PAP

CHAP

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz mittels GPRS verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Der Nutzername für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Benutzernamen mit bis zu 64 Zeichen.

Kennwort für Zugangspunkt

Proxy-Server und -Port

Das Kennwort für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Kennwörter mit bis zu 64 Zeichen.

Die Adresse und die Portnummer des Proxy-

Servers.

14.20.9 Konfiguration „Netzwerk-Nutzungsregeln“ (iOS-

Geräteprofil)

Mit der Konfiguration Netzwerk-Nutzungsregeln legen Sie für verwaltete Apps fest, wie

Datenverbindungen in Mobilfunknetzen verwendet werden dürfen.

Allgemeine Regeln

Unter Regeln für alle verwalteten Apps geben Sie Einstellungen für verwaltete Apps im

Allgemeinen ein.

Einstellung/Feld

Mobilfunkdaten erlauben

Daten-Roaming erlauben

Sophos Mobile

Beschreibung

Verwaltete Apps dürfen Datenverbindungen in

Mobilfunknetzen verwenden.

Verwaltete Apps dürfen Datenverbindungen bei Roaming in fremden Mobilfunknetzen verwenden.

Ausnahmen

Ausnahmen überschreiben die allgemeinen Regeln. Verwenden Sie Ausnahme hinzufügen, um

Regeln zu definieren, die für eine bestimmte App-Gruppe gelten.

Einstellung/Feld

App-Gruppe

Mobilfunkdaten erlauben

Daten-Roaming erlauben

Beschreibung

Wählen Sie eine App-Gruppe aus.

Die Ausnahme gilt für alle verwalteten Apps aus dieser

Gruppe.

Verwaltete Apps in der ausgewählten App-Gruppe dürfen

Datenverbindungen in Mobilfunknetzen verwenden.

Verwaltete Apps in der ausgewählten App-Gruppe dürfen Datenverbindungen bei Roaming in fremden

Mobilfunknetzen verwenden.

Hinweis

Für jede App-Gruppe können Sie nur eine Ausnahmeregel anlegen.

14.20.10 Konfiguration „VPN“ (iOS-Geräteprofil)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Verbindungsname

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Sophos Mobile

202

Einstellung/Feld

Verbindungstyp

Identifier (Reverse-DNS-Format)

Server

Konto

Drittanbieter-Einstellungen

Alle Daten über VPN übertragen

Gruppe

Benutzer-Authentifizierung

Beschreibung

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• SSL/TLS (benutzerdefiniert)

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

Einstellung/Feld

Geräte-Authentifizierung

Proxy

Sophos Mobile

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname, Schlüssel

(Shared Secret), Hybrid-Authentifizierung

verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung

verwenden und Kennwort verlangen.

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• Kein Proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port, Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Sophos Mobile

Einstellung/Feld

Provider-Typ

Beschreibung

Der VPN-Verbindungstyp.

• App-Proxy: Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Paket-Tunnel: Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

14.20.11 Konfiguration „VPN pro App“ (iOS-Geräteprofil)

Mit der Konfiguration VPN pro App definieren Sie VPN-Einstellungen für einzelne Apps.

Sie können konfigurieren, dass bestimmte Apps beim Starten automatisch eine VPN-Verbindung verwenden. Somit können Sie zum Beispiel sicherstellen, das von verwalteten Apps übermittelte

Daten über VPN übertragen werden.

Wenn Sie App-spezifische VPN-Konfigurationen eingerichtet haben, können Sie auf der Seite Paket

bearbeiten einer App eine Konfiguration auswählen. Siehe

Einer iOS-App eine VPN-Verbindung zuweisen

(Seite 327).

Einstellung/Feld

Verbindungsname

Verbindungstyp

Identifier (Reverse-DNS-Format)

Server

Konto

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• F5

• Check Point

• SSL/TLS (benutzerdefiniert)

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Einstellung/Feld

Drittanbieter-Einstellungen

Alle Daten über VPN übertragen

Gruppe

Benutzer-Authentifizierung

Proxy

Sophos Mobile

Beschreibung

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-

Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die

Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-

Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein Zertifikat aus.

Die Proxy-Einstellungen für die Verbindung:

• Kein Proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port, Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

205

Sophos Mobile

Einstellung/Feld

Provider-Typ

Safari-Domänen

Beschreibung

Der VPN-Verbindungstyp.

• App-Proxy: Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Paket-Tunnel: Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

In diesem Feld können Sie eine Liste von

Zeichenfolgen eingeben, um Domänen zu spezifizieren. Verwenden Sie eine neue Zeile für jede Domänen-Zeichenfolge.

Wenn eine Domäne, auf die eine der

Zeichenfolgen passt, in Safari oder in einer anderen Browser-App geöffnet wird, wird die

VPN-Verbindung verwendet.

Domänen werden gemäß der folgenden Regeln mit den Zeichenfolgen verglichen:

• Punkte am Anfang und Ende werden ignoriert. Beispiel: Die Zeichenfolge

.beispiel.com

passt auf dieselben

Domänen wie die Zeichenfolge beispiel.com

• Jeder Namensteil einer Zeichenfolge muss auf einen vollständigen Namensteil einer

Domäne passen. Beispiel: Die Zeichenfolge beispiel.com

passt auf die Domäne www.beispiel.com

, aber nicht auf www.mein-beispiel.com

• Zeichenfolgen, die aus einem einzelnen

Namensteil bestehen, passen nur auf genau diese Domäne. Beispiel: Die

Zeichenfolge beispiel passt auf die

Domäne beispiel , aber nicht auf www.beispiel.com

14.20.12 Konfiguration „Web Clip“ (iOS-Geräteprofil)

Mit der Konfiguration Web Clip definieren Sie Web Clips, die zum Home-Bildschirm hinzugefügt werden. Web Clips bieten schnellen Zugriff auf favorisierte Webseiten. Sie können jedoch zum Beispiel auch einen Web Clip mit einer Support-Telefonnummer hinzufügen, damit die Benutzer schnell den

Helpdesk kontaktieren können.

Einstellung/Feld

Beschreibung

Beschreibung

Eine Beschreibung des Web Clips.

Einstellung/Feld

URL

Darf entfernt werden

Bildschirmfüllend

Symbol

Sophos Mobile

Beschreibung

Die Webadresse des Web Clips.

Wenn das Kontrollkästchen deaktiviert ist, kann der Benutzer den Web Clip nicht entfernen. Der

Webclip kann nur durch Entfernen des Profils, das den Webclip installiert hat, entfernt werden.

Der Web Clip wird auf dem Gerät bildschirmfüllend geöffnet. Ein bildschirmfüllender Web Clip öffnet die URL als

Web-App.

Wählen Sie ein Bild für das Web-Clip-Icon auf dem Home-Bildschirm aus. Dies muss eine

Bilddatei im Format PNG, GIF oder JPEG mit einer maximalen Größe von 1 MB sein.

Das Bild wird quadratisch beschnitten und je nach Bildschirmauflösung skaliert. Beste

Resultate erhalten Sie bei einer Bildgröße von

180 Pixel mal 180 Pixel.

Hinweis

Wenn im HTML-Code der Webseite ein favicon definiert ist, verwendet das Gerät möglicherweise dieses favicon als Web-Clip-Icon. Dies betrifft nicht alle Webseiten und hängt davon ab, auf welche Weise das favicon im Code der Webseite konfiguriert ist.

14.20.13 Konfiguration „Hintergrundbild“ (iOS-Geräteprofil)

Mit der Konfiguration Hintergrundbild definieren Sie Hintergrundbilder für den Sperrbildschirm und/ oder den Home-Bildschirm von iOS-Geräten.

Einstellung/Feld

Anwenden auf

Beschreibung

Wählen Sie aus, ob das Bild für den Sperrbildschirm, für den

Home-Bildschirm, oder für beides verwendet wird.

Sophos Mobile

Einstellung/Feld

Bild

Beschreibung

Wählen Sie ein PNG- oder JPEG-Bild (max. 5 MB) aus, das als

Hintergrundbild verwendet wird.

Das Bild wird von iOS nach Bedarf beschnitten und skaliert.

Beste Ergebnisse erhalten Sie bei folgenden Bildgrößen (in

Pixeln):

• 640 × 1136 (iPhone 5)

• 750 × 1334 (iPhone 6/7)

• 1242 × 2208 (iPhone 6/7 Plus)

• 1536 × 2048 (iPad, iPad mini, iPad Air)

• 2048 × 2732 (iPad Pro)

Hinweis

Benutzer können das Hintergrundbild jederzeit ändern.

14.20.14 Konfiguration „Webfilter“ (iOS-Geräteprofil)

Mit der Konfiguration Webfilter definieren Sie blockierte URLs und erlaubte URLs mit Lesezeichen.

Einstellung/Feld

Blockierte URLs

Erlaubte URLs mit Lesezeichen

Nicht-jugendfreie Inhalte blockieren

Beschreibung

Wenn Sie das Kontrollkästchen aktivieren, können Sie eine Liste mit blockierten URLs definieren, auf die nicht zugegriffen werden kann.

Klicken Sie auf Weiter, um die Seite Webfilter anzuzeigen. Auf dieser Seite können Sie einzelne URLs hinzufügen.

Verwenden Sie eine neue Zeile für jede URL.

Wenn Sie das Kontrollkästchen aktivieren, können Sie erlaubte URLs mit Lesezeichen definieren, die im Browser Safari verfügbar sind. Alle anderen Webseiten werden blockiert.

Klicken Sie auf Weiter, um die Seite Webfilter anzuzeigen. Klicken Sie auf Hinzufügen, um individuelle URLs als Lesezeichen zu definieren.

Mit dieser Option auf der Seite Webfilter aktivieren Sie einen Apple-Filter, der nicht-jugendfreie Inhalte blockiert. Zum

Beispiel Webseiten, die Kraftausdrücke oder pornografische Formulierungen verwenden.

Sophos Mobile

14.20.15 Konfiguration „Globaler HTTP-Proxy“ (iOS-

Geräteprofil)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server und Port

Authentifizierung

Kennwort

PAC-URL

Beschreibung

Wählen Sie Manuell aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

14.20.16 Konfiguration „Verwaltete Domänen“ (iOS-Geräteprofil)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für iOS-Geräte.

E-Mail-Domänen

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

Web-Domänen

Dateien, die von einer der konfigurierten Domänen heruntergeladen werden, werden als „Verwaltete

Dokumente“ behandelt. Wenn Sie die Einschränkung Öffnen von Dokumenten nur innerhalb von

verwalteten Apps/Konten erlauben aktivieren, können diese Dokumente nur von verwalteten Apps geöffnet werden.

Informationen zu verwalteten Apps finden Sie in

Verwaltete iOS-Apps

(Seite 321).

Hinweis

Wenn ein Eintrag für eine verwaltete Web-Domäne eine Portnummer enthält, werden nur

Adressen mit dieser Portnummer als verwaltet berücksichtigt. Andernfalls werden nur die

Standardports als verwaltet berücksichtigt (Port 80 für http und 443 für https).

Sophos Mobile

14.20.17 Konfiguration „CalDAV“ (iOS-Geräteprofil)

Mit der Konfiguration CalDAV konfigurieren Sie die Synchronisierung von Kalenderdaten mit einem

CalDAV-Server. Sie können so zum Beispiel Google Kalender mit einem iOS-Gerät synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Benutzername, Kennwort

SSL/TLS

Beschreibung

Der auf dem Gerät angezeigte Name des CalDAV-Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CalDAV-Servers.

Geben Sie zum Beispiel für Google Kalender folgendes ein: calendar.google.com:443

Falls vom CalDAV-Server benötigt, geben Sie die

Principal URL der Kalender-Ressource ein.

Geben Sie zum Beispiel folgendes ein, um einen anderen als den Haupt-Kalender eines Google-Kontos zu synchronisieren: https://apidata.googleusercontent.com/ caldav/

v2/calendar_id/user wobei calendar_id die ID des Kalenders ist, den Sie synchronisieren wollen. Wenn Sie Google Kalender in

Ihrem Webbrowser öffnen, wird die Kalender-ID in den

Kalendereinstellungen angezeigt. Einzelheiten finden Sie in der Hilfe zu Google Kalender.

Die Anmeldeinformationen des CalDAV-Kontos.

Geben Sie zum Beispiel für Google Kalender die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CalDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

14.20.18 Konfiguration „CardDAV“ (iOS-Geräteprofil)

Mit der Konfiguration CardDAV konfigurieren Sie die Synchronisierung von Kontaktdaten mit einem

CardDAV-Server. Sie können so zum Beispiel Google Kontakte mit einem iOS-Gerät synchronisieren.

Einstellung/Feld

Kontoname

Beschreibung

Der auf dem Gerät angezeigte Name des CardDAV-

Kontos.

Einstellung/Feld

Konto-Host-Name und -Port

Principal URL

Benutzername, Kennwort

SSL/TLS

Sophos Mobile

Beschreibung

Hostname oder IP-Adresse und (optional) der Port des

CardDAV-Servers.

Geben Sie zum Beispiel für Google Kontakte folgendes ein: google.com

Falls vom CardDAV-Server benötigt, geben Sie die

Principal URL der Kontakte-Ressource ein.

Zum Beispiel unterstützt die Google-CardDAV-API folgende Principal URL: https://www.googleapis.com/carddav/

v1/ principals/account_name@gmail.com

wobei account_name der Name des Google-Kontos ist.

Die Anmeldeinformationen des CardDAV-Kontos.

Geben Sie zum Beispiel für Google Kontakte die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CardDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

14.20.19 Konfiguration „IMAP/POP“ (iOS-Geräteprofil)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem iOS-Gerät hinzu.

Einstellung/Feld

Kontoname

Typ des Accounts

Angezeigter Benutzername

E-Mail-Adresse

Beschreibung

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Der Typ des E-Mail-Servers für eingehende E-Mails

(IMAP oder POP).

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Sophos Mobile

Einstellung/Feld

Verschieben erlauben

Synchronisierung letzter Adressen erlauben

Nur mit Mail verwenden

Mail Drop erlauben

S/MIME aktivieren

Signaturzertifikat

Verschlüsselungszertifikat

Benutzer darf unverschlüsselte E-

Mails senden

Eingehende E-Mail

E-Mail-Server und -Port

Beschreibung

Benutzer können E-Mails von diesem Konto in ein anderes verschieben. Dies erlaubt Benutzern außerdem, ein anderes Konto für das Antworten auf oder das

Weiterleiten von Nachrichten aus diesem Konto zu verwenden.

Das Konto wird in die Synchronisierung der Liste zuletzt verwendeter Adressen einbezogen.

Für das Senden von Nachrichten mit diesem Konto kann nur die App „Mail“ verwendet werden. Das Konto kann nicht als Absender-Konto für mit anderen Apps erstellten

Nachrichten (zum Beispiel Fotos oder Safari) verwendet werden.

Apple Mail Drop für dieses Konto erlauben.

Unterstützung des Verschlüsselungsstandards S/MIME.

Die für E-Mail-Signierung und -Verschlüsselung verwendeten Zertifikate.

Um ein Zertifikat auszuwählen, müssen Sie dieses zunächst in einer Konfiguration Client-Zertifikat des aktuellen Profils hochladen.

Der Benutzer bei jeder ausgehenden E-Mail entscheiden, ob sie verschlüsselt gesendet werden soll oder nicht.

Benutzername

Authentifizierung-Typ

Kennwort

SSL/TLS

Hostname oder IP-Adresse und Port des

Posteingangsservers.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Posteingangsserver.

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Die Verbindung zum Posteingangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Ausgehende E-Mail

E-Mail-Server und -Port Hostname oder IP-Adresse und Port des

Postausgangsservers.

Einstellung/Feld

Benutzername

Authentifizierung-Typ

Kennwort

Das selbe Kennwort wie für eingehende E-Mail verwenden

SSL/TLS

Sophos Mobile

Beschreibung

Der Benutzername für die Verbindung mit dem

Postausgangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Postausgangsserver.

Das Kennwort für die Verbindung mit dem

Postausgangsserver (falls erforderlich).

Das selbe Kennwort wie für den Posteingangsserver verwenden.

Die Verbindung zum Postausgangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

14.20.20 Konfiguration „Exchange-Konto“ (iOS-Geräteprofil)

Mit der Konfiguration Google-Konto richten Sie ein Google-Konto ein. Nachdem die Konfiguration dem

Gerät zugewiesen wurde, muss der Benutzer sich an dem Google-Konto anmelden. Anschließend wird das Google-Konto auf dem Gerät eingerichtet und der Benutzer kann Google-Dienste aktivieren.

Einstellung/Feld

Google-E-Mail-Adresse

Kontobeschreibung

Benutzername

Beschreibung

Die vollständige E-Mail-Adresse des Google-

Kontos.

Eine optionale Beschreibung des Kontos. Der

Wert wird in der E-Mail-App und in den Geräte-

Einstellungen angezeigt.

Der Benutzername. Der Wert wird als

Absendername in E-Mail-Nachrichten verwendet.

14.20.21 Konfiguration „Single-Sign-On“ (iOS-Geräteprofil)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos-Principal-Name

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Sophos Mobile

Einstellung/Feld

Realm

URLs

App-IDs

Beschreibung

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Ein einzelnes Sternchen (*) steht für beliebige Werte. Beispiel: Der URL-Präfix https://*.beispiel.de/ passt auf https://

www.beispiel.de/ und https://m.beispiel.de/.

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

14.20.22 Konfiguration „AirPrint“ (iOS-Geräteprofil)

Mit der Konfiguration AirPrint fügen Sie der Druckerliste eines Benutzers AirPrint-Drucker hinzu.

Einstellung/Feld

IP-Adresse

Ressource

Port

TLS erzwingen

Beschreibung

Die IP-Adresse des AirPrint-Druckers.

Die mit dem Drucker verbundene Ressource.

Beispiele:

• printers/<printer model>

• ipp/print

Der Lauschport des AirPrint-Druckers.

AirPrint-Verbindungen werden mit TLS gesichert.

14.20.23 Konfiguration „Root-Zertifikat“ (iOS-Geräteprofil)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Sophos Mobile

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.20.24 Konfiguration „Client-Zertifikat“ (iOS-Geräteprofil)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.20.25 Konfiguration „SCEP“ (iOS-Geräteprofil)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

URL

CA-Name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Sophos Mobile

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(SerialNumber)_% ein, um ein iPhone oder iPad zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 109).

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Sophos Mobile

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

14.20.26 Duo-Gerätezertifikat (iOS-Geräteprofil)

Mit der Konfiguration Duo-Gerätezertifikat ermöglichen Sie Geräten, ein Zertifikat vom SCEP-

Server von Duo Security anzufordern. Wenn dieses Zertifikat auf einem Gerät installiert ist, klassifiziert die App Duo Mobile das Gerät als vertrauenswürdig.

Die erforderlichen Einstellungen sind für alle Duo-Security-Konten gleich. Ändern Sie nicht die vorausgefüllten Werte.

14.21 Konfigurationen für Sophos-Container-

Richtlinien (iOS)

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für die Sophos-Container-Apps

Sophos Secure Email und Sophos Secure Workspace.

Informationen zum Erstellen einer Sophos-Container-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 105).

14.21.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für iOS)

Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.

Einstellung/Feld

Sophos-Container-Kennwort aktivieren

Beschreibung

Container-Apps.

Sophos Mobile

Einstellung/Feld

Komplexität des Kennworts

Zeichen in Kennwort-Eingabefeldern immer verstecken

Gültigkeitsdauer des Kennworts in Tagen

Fehlgeschlagene Anmeldungen bis Sperre

Fingerabdruck erlauben

Gültigkeitsdauer in Minuten

Beschreibung

Die minimale Komplexität des Kennworts für den Sophos-Container. Sicherere

Kennwörter sind immer erlaubt. Kennwörter

(eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs (nur numerische

Zeichen).

• Beliebig: Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.

• 4-Ziffern-PIN

• 6-Ziffern-PIN

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.

Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.

Die erlaubte Anzahl fehlgeschlagener

Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden.

Falls konfiguriert, können die Apps auch vom

Benutzer im Self Service Portal entsperrt werden.

Benutzer können die App mit ihrem

Fingerabdruck entsperren.

Die Zeitspanne, während der kein Sophos-

Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im

Vordergrund angezeigt wird.

Die Toleranzfrist gilt für alle Container-Apps.

Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.

Einstellung/Feld

Letzte Verbindung zum Server

Sophos Mobile

Beschreibung

Die Zeitspanne, innerhalb derer Benutzer eine

Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile

Server aufgebaut wurde.

• Bei jedem Zugriff: Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.

• 1 Stunde: Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.

• 3 Stunden

• 6 Stunden

• 12 Stunden

• 1 Tag

• 3 Tage

• Ohne: Keine regelmäßige Verbindung ist notwendig.

Sophos Mobile

Einstellung/Feld

Offline-Starts ohne Serververbindung

Beschreibung

In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.

Hinweis

Diese Einstellung setzt voraus, dass ein

Sophos-Container-Kennwort eingerichtet ist.

Jailbreak erlaubt Die Container-Apps können auf Geräten mit

Jailbreak laufen.

App-Nutzungs-Beschränkungen

Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken

Sie auf Hinzufügen, um Beschränkungen einzugeben.

Räumliche Beschränkungen

Es wird mitgezählt, wie oft Benutzer das

Sophos-Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe Sperrbildschirm wie für die

Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum Sophos Mobile Server hergestellt wird.

• Unbegrenzt: Es ist keine Serververbindung notwendig.

• 0: Das Starten der App ohne Serververbindung ist nicht möglich.

• 1: Nach einem Start der App ist eine erfolgreiche

Serververbindung notwendig.

• 3

• 5

• 10

• 20

Zeitliche Beschränkungen

Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.

Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-

Container-Apps verwendet werden können.

Sie können auch spezifizieren, an welchen

Wochentagen die Apps verwendet werden können.

Einstellung/Feld

WLAN-Beschränkungen

Sophos Mobile

Beschreibung

Wenn Sie WLAN-Verbindung erforderlich auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.

Wenn Sie WLAN-Verbindungen zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das Gerät mit einem nicht aufgeführten WLAN verbunden ist.

Wichtig

Wir empfehlen, sich nicht auf WLAN-

Beschränkungen als einzigen

Sicherheitsmechanismus zu verlassen, da WLAN-

Namen sehr leicht gefälscht werden können (Wi-Fi

Spoofing).

14.21.2 Konfiguration „Unternehmens-E-Mail“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmens-E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft

Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im

Sophos-Container installiert ist.

Einstellung/Feld

Exchange-Server

Beschreibung

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Benutzer

E-Mail-Adresse

Domäne

Support-E-Mail-Kontakt

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Die Domäne für dieses Konto.

Die Adresse für E-Mails, die über die Funktion

„Kontaktiere Support“ gesendet werden.

Sophos Mobile

Einstellung/Feld

Sichere Textfelder verwenden

Kontakte auf das Gerät exportieren

Anrufer-Erkennung

Beschreibung

Der Inhalt von Eingabefeldern wird geschützt.

Auto-Vervollständigung und Auto-Korrektur werden in der App „Sophos Secure Email“ deaktiviert, um zu verhindern, dass sensible

Daten im Gerätespeicher abgelegt werden.

Benutzer können Exchange-Kontakte als lokale

Kontakte auf das Gerät übertragen, damit bei Anrufen von Firmenkontakten der Name angezeigt wird.

Diese Kontakte werden von Sophos Secure

Email synchronisiert.

Hinweis

Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:

• Wenn die Konfiguration

Unternehmens-E-Mail aus der

Sophos-Container-Richtlinie entfernt wird (nach dem nächsten Neustart der

App Sophos Secure Email).

• Wenn der Sophos-Container vom Gerät entfernt wird.

• Wenn das Gerät bei Sophos Mobile deregistriert wird.

Eingehende Anrufe von Firmenkontakten können anhand der Kontaktdaten aus Sophos

Secure Email identifiziert werden, ohne dass

Kontakte aus Sophos Secure Email in die

Gerätekontakte exportiert werden müssen.

Für die Verwendung müssen Benutzer folgende

Einstellungen vornehmen:

• In der App „Einstellungen“: Telefon > Anrufe blockieren u. identifizieren > Email

• In der App Sophos Secure Email: Einstellungen >

Kontakte > Identifizieren von Anrufen

Einstellung/Feld

Benachrichtigungen

In Zwischenablage kopieren verbieten

Anhänge öffnen

Maximale E-Mail-Größe

Zusätzliche Einstellungen

Sophos Mobile

Beschreibung

Der Benachrichtigungstyp für neue E-Mails:

• System: Benachrichtigungen werden von iOS verwaltet. Benachrichtigungen enthalten keine Details wie Absender oder Betreff.

• App: Benachrichtigungen werden von der App Sophos Secure Email verwaltet.

Sie können bestimmen, welche Details angezeigt werden. Wenn die App nicht läuft, werden keine Benachrichtigungen angezeigt.

• Ohne: Es werden keine Benachrichtigungen angezeigt.

Diese Einstellung wirkt sich auch auf

Terminerinnerungen aus:

• System, Ohne: Terminerinnerungen enthalten nur Datum und Uhrzeit.

• App: Terminerinnerungen enthalten Datum/

Uhrzeit, Ort und Titel.

Benutzer können Texte aus Sophos Secure

Email weder kopieren noch ausschneiden.

In allen Apps: Anhänge können mit allen

Apps geöffnet werden, die das Dateiformat unterstützen.

In Container-Apps: Anhänge werden mit einem Geräteschlüssel verschlüsselt und können nur mit Sophos Secure Workspace geöffnet werden. Die Aktion Öffnen in bleibt auswählbar.

E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte

Wert, werden nicht vom Exchange-Server heruntergeladen.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

14.21.3 Konfiguration „Unternehmensdokumente“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmensdokumente konfigurieren Sie Einstellung für die Funktion

Unternehmensdokumente der App Sophos Secure Workspace.

Sophos Mobile

Online-Speicher konfigurieren

Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:

Einstellung/Feld

Aktivieren

Offline

Verschlüsselt teilen

Unverschlüsselt teilen

Zwischenablage

Beschreibung

Der Speicheranbieter ist in der App verfügbar.

Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.

Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.

Einstellungen für Unternehmens-Anbieter

Für Speicheranbieter vom Typ Egnyte und WebDAV, auch als Unternehmens-Anbieter bezeichnet, können Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den Benutzern nicht geändert werden.

Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.

Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das

Kennwort-Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den Speicheranbieter zu bekommen.

Einstellung/Feld

Name

Beschreibung

Der Anbietername, wie er in der App Sophos

Secure Workspace angezeigt wird.

Einstellung/Feld

Server

Benutzername

Kennwort

Zielordner

Weitere Einstellungen

Einstellung/Feld

Dokumente aktivieren

Komplexität des Kennworts

Zusätzliche Einstellungen

Sophos Mobile

Beschreibung

Geben Sie in diesem Feld Folgendes ein:

• Die URL des Root-Ordners auf dem WebDAV-Server für

Unternehmensdokumente.

• Die URL des Root-Ordners auf dem

Egnyte-Server.

• Die URL des Root-Ordners auf dem

WebDAV-Server.

Verwenden Sie folgendes Format: https:// server.firma.com

Der Anmeldename für den Server. Sie können auch die Variable %_USERNAME_% verwenden.

Das Anmeldekennwort.

Der Ordner, in den Dokumente hochgeladen werden.

Beschreibung

Aktiviert die Funktion Dokumente, um

Unternehmensdokumente auf sichere Weise auszutauschen.

Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere

Passphrasen sind immer erlaubt.

Sie können folgende Einstellungen auswählen:

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

Sophos Mobile

226

14.21.4 Konfiguration „Unternehmens-Browser“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmens-Browser konfigurieren Sie Einstellung für die Funktion

Unternehmens-Browser der App Sophos Secure Workspace.

Mit dem Unternehmens-Browser können Sie auf sichere Weise auf Intranetseiten Ihres

Unternehmens und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von Domänen.

Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.

Einstellungen für Domänen

Einstellung/Feld

URL

Kopieren/Einfügen erlauben

„Öffnen mit“ erlauben

Kennwort-Speichern erlauben

Beschreibung

Die Domäne, die Sie erlauben wollen.

Benutzer können Text aus dem Unternehmens-

Browser kopieren und in anderen Apps einfügen.

Benutzer können Anhänge herunterladen oder an andere Apps weiterleiten.

Benutzer können ihre Kennwörter im

Unternehmens-Browser speichern.

Einstellungen für Lesezeichen

Einstellung/Feld

Name

URL

Beschreibung

Der Name für das Lesezeichen.

Die Webadresse für das Lesezeichen.

14.21.5 Konfiguration „Root-Zertifikat“ (Sophos-Container-

Richtlinie für iOS)

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.21.6 Konfiguration „Client-Zertifikat“ (Sophos-Container-

Richtlinie für iOS)

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.21.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für iOS)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate sind stehen der

Komponente „Beruflicher Browser“ in der App Sophos Secure Workspace zur Verfügung.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Sophos Mobile

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(SerialNumber)_% ein, um ein iPhone oder iPad zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Platzhalter in Profilen und

Richtlinien

(Seite 109).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der

Seite Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Sophos Mobile

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

14.22 Konfigurationen für Mobile-Security-

Richtlinien (iOS)

Mit einer Mobile-Security-Richtlinie konfigurieren Sie die App Sophos Mobile Security.

Informationen zum Erstellen einer Mobile-Security-Richtlinie finden Sie in

Profil oder Richtlinie erstellen

(Seite 105).

14.22.1 Netzwerkkonfiguration (Sophos-Mobile-Security-

Richtlinie für iOS)

Mit der Konfiguration Netzwerk verwalten Sie die Einstellungen der App Sophos Mobile Security für den Schutz vor netzwerkbasierten Bedrohungen.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

„Man-In-The-Middle“-Schutz

Zusätzliche Einstellungen

Beschreibung

Sophos Mobile Security überprüft die WLAN-Verbindung auf Man-in-the-Middle-Angriffe.

Konfigurieren Sie diese Einstellungen nur, wenn Sie vom

Sophos Support dazu aufgefordert werden.

14.22.2 Konfiguration „Web Filtering“ (Sophos-Mobile-Security-

Richtlinie für iOS)

Mit der Konfiguration Webfilter verwalten Sie die Funktion Web Filtering der App Sophos Mobile

Security. Dies schützt die Gerätebenutzer vor Seiten mit schädlichem, unerwünschtem oder illegalem

Inhalt. Diese Konfiguration wirkt sich nur auf betreute Geräte aus.

Sophos Mobile

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

Schädliche Webseiten filtern

Webseiten nach Kategorien filtern

Beschreibung

Wählen Sie aus, ob Benutzer Webseiten mit schädlichem

Inhalt besuchen können.

Wählen Sie aus, ob Benutzer Webseiten besuchen können, die in eine bestimmte Kategorie fallen.

Sophos Mobile Security kategorisiert Webseiten basierend auf Daten von SophosLabs. Die Daten werden laufend aktualisiert.

Tipp

Um das Filtern von Webseiten zu testen, können Sie die

Sophos-Website sophostest.com

verwenden. Diese enthält

Beispielseiten für alle Kategorien. Auch wenn einige der

Seiten als potentiell offensiv oder gefährlich klassifiziert sind, ist der tatsächliche Seiteninhalt immer harmlos.

Website-Ausschlüsse Konfigurieren Sie Ausnahmen für die Kategorie-Filter:

Erlaubte Domänen: Webseiten, die erlaubt sind, obwohl die zugehörige Kategorie blockiert wird.

Blockierte Domänen: Webseiten, die blockiert werden, obwohl die zugehörige Kategorie erlaubt ist.

Sie können Domänen-Namen oder IP-Adressen eingeben.

Beispiele:

• www.example.com

• *.example.com

• 198.51.100.1

• 198.51.100.0/24

230

14.22.3 Konfiguration SMS Filtering (Sophos-Mobile-Security-

Richtlinie für iOS)

Mit der Konfiguration SMS Filtering legen Sie Domänen für die Funktion SMS Filtering der iOS-App

Sophos Mobile Security fest.

SMS Filtering schützt Benutzer vor SMS- und MMS-Angriffen. Nachrichten, die eine Fake-Domäne verwenden, werden in den Ordner SMS Junk verschoben, ausgenommen Nachrichten von

Absendern aus den Kontakten.

Eine Fake-Domäne sieht auf den ersten Blick wie Ihre richtige Domäne aus, unterscheidet sich aber in kleinen Details:

• Einzelne Zeichen sind geändert, eingefügt oder vertauscht.

Sophos Mobile

• Der Domänenname ist am Anfang oder Ende ergänzt.

• Die Top Level Domain (TLD) stimmt nicht überein.

Wenn zum Beispiel Ihre richtige Domäne sophos.com

ist, kann eine Fake-Domäne folgendermaßen aussehen:

• s0phos.com

(Zeichen ersetzt)

• soophos.com

(Zeichen eingefügt)

• sohpos.com

(Zeichen vertauscht)

• mysophos.com

(Anfang ergänzt)

• sophos.net

(falsche TLD)

Unterdomänen wie z.B. hr.sophos.com

werden nicht gefiltert.

14.23 Konfigurationen für macOS-Geräterichtlinien

Mit einer macOS-Geräterichtlinie konfigurieren Sie verschiedene Bereiche von Macs, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die Geräterichtlinie gilt für alle Benutzer, die sich an einem Mac anmelden, dem Sie die Richtlinie zuweisen - unabhängig davon, ob diese Benutzer von Sophos Mobile verwaltet werden oder nicht.

Zugehörige Konzepte

Über macOS-Richtlinien

(Seite 107)

Konfigurationen für macOS-Benutzerrichtlinien (Seite 249)

Zugehörige Aufgaben

Profil oder Richtlinie erstellen (Seite 105)

14.23.1 Konfiguration „Kennwortrichtlinien“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von Mac-

Benutzerkonten.

Hinweis

Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Einstellung/Feld

Einfache Werte erlauben

Alphanumerische Werte erforderlich

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Sophos Mobile

Einstellung/Feld

Minimale Länge des Kennworts

Mindestanzahl von komplexen Zeichen

Gültigkeitsdauer des Kennworts in Tagen

Automatische Sperre (Minuten)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Toleranzfrist für Gerätesperrung

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Beschreibung

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

Sophos Mobile

14.23.2 Konfiguration „Einschränkungen“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Macs.

Hinweis

Einige Optionen sind nur für bestimmte macOS-Versionen verfügbar. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Gerät

Einstellung/Feld

Verwendung der Kamera erlauben

Internetsuchergebnis für Spotlight erlauben

Apple Music erlauben

Verzögerung von macOS-

Aktualisierungen

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Der Dienst „Apple Music“ ist verfügbar.

Anzahl an Tagen, die eine macOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

iCloud

Einstellung/Feld

Sicherung erlauben iCloud-Fotomediathek erlauben iCloud-

Schlüsselbundsynchronisierung erlauben

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Sophos Mobile

Einstellung/Feld

Dokumentensynchronisierung erlauben

„Zugang zu meinem Mac“ erlauben

„Meinen Mac suchen“ erlauben iCloud-Lesezeichen erlauben iCloud Mail erlauben iCloud-Kalender erlauben iCloud-Erinnerungen erlauben iCloud-Adressbuch erlauben iCloud-Notizen erlauben iCloud Drive für Desktop und

Dokumente erlauben

Beschreibung

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können die iCloud-Funktion Zugang zu meinem Mac verwenden, d.h. Datei- und

Bildschirminhalte zwischen einem lokalen und einem entfernten Mac teilen.

Benutzer können die iCloud-Funktion Meinen Mac suchen verwenden, um ihren Mac ferngesteuert zu orten, zu sperren, oder auf Werkseinstellungen zurückzusetzen.

Benutzer können die iCloud-Funktion Lesezeichen verwenden, um Web-Lesezeichen zwischen Browsern und Plattformen zu synchronisieren.

Benutzer können auf ihrem Mac ein Konto für iCloud

Mail einrichten.

Benutzer können die iCloud-Funktion Kalender verwenden, um ihre Kalender auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Erinnerungen verwenden, um Erinnerungslisten auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Adressbuch verwenden, um Kontakte auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Notizen verwenden, um Notizen zu erstellen und diese auf ihren Geräten und mit anderen Benutzern zu teilen.

Benutzer können ihren Mac-Desktop und ihren Ordner

Dokumente in iCloud Drive speichern und darauf von anderen Geräten aus zugreifen.

Sicherheit und Privatsphäre

Einstellung/Feld

Touch ID zum Entsperren des Gerätes erlauben

Definitionsfunktionen erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Benutzer können Definitionen für markierte Wörter nachschlagen.

Sophos Mobile

Einstellung/Feld

Auto-Entsperren erlauben iTunes-Dateifreigabe erlauben

AirPrint erlauben iBeacon-Erkennung von AirPrint-

Druckern erlauben

Beschreibung

Benutzer können Auto-Entsperren verwenden, um ihren Mac automatisch von ihrer Apple Watch entsperren zu lassen.

Benutzer können die iCloud-Funktion Datenfreigabe verwenden, um Dateien zwischen ihrem Mac und einem iPhone oder iPad zu kopieren.

Benutzer können Dateien an AirPrint-Drucker senden.

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

Vertrauenswürdige Zertifikate für

AirPrint über TLS erzwingen

Automatisches Ausfüllen von

Kennwörtern erlauben

WLAN-Kennwörter von nahen Geräten anfordern

AirDrop-Kennwortfreigabe erlauben

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

Benutzer können die Einstellung Automatisch

ausfüllen aktivieren, um gespeicherte Kennwörter oder Kreditkarteninformationen in Safari und anderen

Apps zu verwenden.

Wenn das Kontrollkästchen deaktiviert ist, wird auch das automatische Vorschlagen von sicheren

Kennwörtern deaktiviert.

Das Gerät versucht bei der Einrichtung einer

WLAN-Verbindung, das Kennwort von in der Nähe befindlichen Geräten zu erhalten.

Benutzer können Kennwörter aus dem Password

Manager per AirDrop mit anderen Benutzern teilen.

14.23.3 Konfiguration „WLAN“ (macOS-Geräterichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Sophos Mobile

Einstellung/Feld

Sicherheitstyp

236

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (persönlich)

• WPA/WPA2 (persönlich)

• Beliebig (persönlich)

• WEP (Enterprise)

• WPA/WPA2 (Enterprise)

• Beliebig (Enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf

Betrieblich endet, werden die Tabs Protokolle,

Authentifizierung und Vertrauen angezeigt.

Konfigurieren Sie auf dem Tab Protokolle folgende

Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die

EAP-Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf diesem Tab ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die

Anmeldeeinstellungen für EAP FAST Protected Access.

• Wählen Sie in Minimale TLS-Version und Maximale

TLS-Version die minimale und die maximale TLS -

Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf dem Tab Authentifizierung

Einstellungen für die Client-Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat-Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf dem Tab Vertrauen

Einstellungen für die Server-Authentifizierung:

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Einstellung/Feld

Proxy

Sophos Mobile

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• Kein Proxy

• Manuell

• Automatisch

Wenn Sie Manuell auswählen, werden die

Felder Server und Port, Authentifizierung and

Kennwort angezeigt. Geben Sie die erforderlichen

Proxy-Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld PAC-URL angezeigt.

Geben Sie die URL des Proxy-Servers ein.

14.23.4 Konfiguration „Gatekeeper“ (macOS-Geräterichtlinie)

Mit der Konfiguration Gatekeeper konfigurieren Sie die macOS-Funktion Gatekeeper, mit der Apps blockiert werden, die aus verbotenen Quellen installiert wurden.

Einstellung/Feld

Apps aus Download-Quellen erlauben

Beschreibung

Wählen Sie die gewünschte Einstellung aus:

• Alle Quellen: Benutzer können alle Apps

öffnen, unabhängig davon, aus welcher

Quelle sie installiert wurden.

• Mac App Store: Benutzer können nur Apps

öffnen, die aus dem Mac App Store installiert wurden.

• Mac App Store und verifizierte Entwickler:

Benutzer können nur Apps öffnen, die aus dem Mac App Store installiert wurden oder die von verifizierten Entwicklern stammen, d.h. von Entwicklern, die von Apple zugelassen wurden.

14.23.5 Konfiguration Kernel-Erweiterungs-Richtlinie

(macOS-Geräterichtlinie)

Mit der Konfiguration Kernel-Erweiterungs-Richtlinie genehmigen oder blockieren Sie bestimmte

Kernel-Erweiterungen (Third-Party Kernel Extensions, KEXTs). Ohne diese Konfiguration muss der

Benutzer den Vorgang genehmigen, wenn eine App eine Kernel-Erweiterung installieren will.

Sophos Mobile

Einstellung/Feld

Vom Benutzer genehmigte

Erweiterungen erlauben

Beschreibung

Wenn eine App eine Kernel-Erweiterung installieren will, die nicht in dieser Konfiguration genehmigt ist, muss der Benutzer den

Vorgang genehmigen.

Wenn das Kontrollkästchen deaktiviert ist, werden

Erweiterungen, die nicht in dieser Konfiguration genehmigt sind, blockiert.

Kernel-Erweiterungen von Sophos sind genehmigt.

Sophos-Erweiterungen genehmigen

Genehmigte Team-IDs Eine Liste mit Werten für

Team ID

Kernel-Erweiterungen, die mit einer dieser IDs signiert sind, sind genehmigt.

Um die Team ID einer Kernel-Erweiterung zu ermitteln, installieren Sie diese auf einem Mac in Ihrer

Testumgebung. Geben Sie anschließend folgende zwei Befehle in der Terminal-App ein: sqlite3 /var/db/SystemPolicyConfiguration/KextPolicy

SELECT * FROM kext_policy;

Mit der Tastenkombination STRG-D können Sie die sqlite3-Sitzung beenden.

Sie erhalten für jede installierte Kernel-Erweiterung eine Ausgabezeile. Der erste Wert in jeder Zeile ist die Team ID.

14.23.6 Konfiguration „VPN“ (macOS-Geräterichtlinie)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Verbindungsname

Verbindungstyp

Identifier (Reverse-DNS-Format)

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• SSL/TLS (benutzerdefiniert)

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Einstellung/Feld

Server

Konto

Drittanbieter-Einstellungen

Alle Daten über VPN übertragen

Gruppe

Benutzer-Authentifizierung

Sophos Mobile

Beschreibung

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

Sophos Mobile

Einstellung/Feld

Geräte-Authentifizierung

Proxy

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname, Schlüssel

(Shared Secret), Hybrid-Authentifizierung

verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung

verwenden und Kennwort verlangen.

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• Kein Proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port, Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Einstellung/Feld

Provider-Typ

Sophos Mobile

Beschreibung

Der VPN-Verbindungstyp.

• App-Proxy: Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Paket-Tunnel: Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

14.23.7 Konfiguration Firewall (macOS-Geräterichtlinie)

Mit der Konfiguration Firewall legen Sie Einstellungen für die in macOS enthaltene Anwendungs-

Firewall fest.

Einstellung/Feld

Anwendungs-Firewall aktivieren

Alle eingehenden

Verbindungen blockieren

Beschreibung

Die Anwendungs-Firewall ist aktiviert.

Tarnmodus verwenden

System-Apps automatisch erlauben

Signierte heruntergeladene

Apps automatisch erlauben

Erlaubte Verbindungen

Abgelehnte Verbindungen

Eingehende Verbindungen für Freigabedienste (z.B.

Dateifreigabe oder Bildschirmfreigabe) werden blockiert.

Folgende Systemdienste sind davon ausgenommen:

• configd (DHCP und andere Netzwerkkonfigurations-Dienste)

• mDNSResponder (Bonjour)

• racoon (IPSec)

Der Computer ignoriert nicht erwartete Anforderungen wie z.B.

Ping-Anforderungen.

System-Apps wie z.B. iTunes werden zu der Liste der Apps hinzugefügt, die Verbindungen erhalten dürfen.

Diese Einstellung können Sie nicht deaktivieren.

Apps, die von einer gültigen Zertifizierungsstelle (CA) signiert wurden, werden zu der Liste der Apps hinzugefügt, die

Verbindungen erhalten dürfen.

Diese Einstellung können Sie nicht deaktivieren.

Eine App-Gruppe mit den Apps, die Verbindungen empfangen dürfen.

Verbindungen für andere Apps können vom Benutzer erlaubt oder abgelehnt werden.

Eine App-Gruppe mit den Apps, die keine Verbindungen empfangen dürfen.

Verbindungen für andere Apps können vom Benutzer erlaubt oder abgelehnt werden.

Sophos Mobile

242

14.23.8 Konfiguration „Webfilter“ (macOS-Geräterichtlinie)

Mit der Konfiguration Webfilter definieren Sie Einstellungen für eine Drittanbieter-App zum Filtern von

Web-Inhalten.

Einstellung/Feld

Filtername

Filter-ID

Server

Organisation

Beschreibung

Ein freier Name für die Filterkonfiguration.

Die Bundle-ID der Drittanbieter-App.

Der Server, auf dem der Filterdienst läuft (Host-Name, IP-

Adresse oder URL).

Der Name Ihres Unternehmens. Der Wert wird an den

Filterdienst weitergeleitet.

Benutzername

Kennwort

Zertifikat

Filterumfang

Die Anmeldeinformationen für den Filterdienst.

Drittanbieter-Einstellungen

Ein Zertifikat für die Authentisierung beim Filterdienst.

Der von der Drittanbieter-App zu filternde Datenverkehr:

• Browser-Datenverkehr filtern: WebKit-Browserdaten werden gefiltert.

• Socket-Datenverkehr filtern: Socket-Daten werden gefiltert.

• Browser- und Socket-Datenverkehr filtern: WebKit- und

Socket-Daten werden gefiltert.

Weitere Konfigurationseinstellungen (falls von der Drittanbieter-

App benötigt).

14.23.9 Konfiguration „Globaler HTTP-Proxy“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server und Port

Beschreibung

Wählen Sie Manuell aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Einstellung/Feld

Authentifizierung

Kennwort

PAC-URL

Sophos Mobile

Beschreibung

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

14.23.10 Konfiguration „Verwaltete Domänen“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für Macs.

E-Mail-Domänen

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

14.23.11 Konfiguration „Single-Sign-On“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos-Principal-Name

Realm

URLs

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Sophos Mobile

Einstellung/Feld

App-IDs

Beschreibung

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

14.23.12 Konfiguration „AirPrint“ (macOS-Geräterichtlinie)

Mit der Konfiguration AirPrint fügen Sie der Druckerliste eines Benutzers AirPrint-Drucker hinzu.

Einstellung/Feld

IP-Adresse

Ressource

Beschreibung

Die IP-Adresse des AirPrint-Druckers.

Die mit dem Drucker verbundene Ressource.

Beispiele:

• printers/<printer model>

• ipp/print

14.23.13 Konfiguration „Verzeichnisdienst“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Verzeichnisdienst geben Sie eine Active-Directory-Domäne an, der ein Mac beitritt, wenn ihm die Richtlinie zugewiesen wird.

Hinweis

Wenn Sie hier dieselbe Domäne konfigurieren, die Sie für das Self Service Portal verwenden, wird die dem Mac zugewiesene macOS-Benutzerrichtlinie auf alle Active-Directory-Benutzer angewendet, die sich an dem Mac anmelden.

Allgemeine Einstellungen

Einstellung/Feld

Domain-Hostname

AD-Administratorname

Kennwort

Beschreibung

Der DNS-Host-Name der Active-Directory-

Domäne.

Die Anmeldeinformationen des Kontos, das für die Verbindung mit dem Active-Directory-Server verwendet wird.

Dieser Benutzer muss berechtigt sein, Geräte zur

Active-Directory-Datenbank hinzuzufügen.

Einstellung/Feld

Organisationseinheit (OU)

Sophos Mobile

Beschreibung

Die Organizational Unit (OU) in der Active-

Directory-Datenbank, welcher der beitretende

Computer hinzugefügt wird.

Benutzereinstellungen

Einstellung/Feld

Mobilen Account erstellen

Beschreibung macOS erstellt einen mobilen Account, wenn sich ein Netzwerk-Benutzer zum ersten Mal anmeldet.

Bei einem mobilen Account können sich

Benutzer auch dann ihre Active-Directory-

Anmeldeinformationen verwenden, wenn der Mac nicht mit dem Active-Directory-Server verbunden ist.

Der Benutzer entscheidet, ob ein mobiler Account erstellt wird.

Bestätigung vor Erstellung mobiler

Accounts einholen

Lokalen Benutzerordner erzwingen Wenn Sie dieses Kontrollkästchen aktivieren, werden Benutzerprofile immer auf dem

Startvolume angelegt. Dies ist für mobile

Accounts erforderlich.

Wenn Sie das Kontrollkästchen deaktivieren, werden reine Netzwerk-Benutzerordner verwendet.

UNC-Pfad von Active Directory verwenden macOS verwendet den im Active-Directory-

Benutzerkonto angegebenen Benutzerordner.

Netzwerkprotokoll

Standardmäßige Benutzer-Shell

Das Mount-Protokoll für den Benutzerordner.

Die Kommando-Shell des Benutzers.

Wenn Sie keinen Wert angeben, wird /bin/ bash verwendet.

Pfade

Einstellung/Feld

UID-Attribut

GID-Attribut Benutzer

Beschreibung

Das Active-Directory-Attribut, das für die eindeutige Benutzerkennung (UID) in macOS verwendet wird.

Das Active-Directory-Attribut, das für die

Kennung der primären Gruppe (Primary Group

ID) von macOS-Benutzerkonten verwendet wird.

245

Sophos Mobile

Einstellung/Feld

GID-Attribut Gruppe

Beschreibung

Das Active-Directory-Attribut, das für die

Kennung von macOS-Gruppenkonten (Group ID) verwendet wird.

Wichtig

Wenn Sie diese Zuordnungen später ändern, können Benutzer möglicherweise nicht mehr auf ihre

Dateien zugreifen.

Administration

Einstellung/Feld

Bevorzugter DC-Server

Kennwort-Vertrauensintervall (Tage)

Namespace

Beschreibung

Der vorrangig anzufragende Active-Directory-

Domänen-Controller (DC).

Wenn Sie keinen Wert angeben, wählt macOS den Domänen-Controller anhand von Site-

Informationen und Reaktionszeiten aus.

Geben Sie an, wie häufig macOS das Kennwort seines Active-Directory-Computer-Accounts

ändert.

Wenn Sie keinen Wert angeben, ändert macOS sein Kennwort alle 14 Tage.

Wenn Sie den Wert 0 angeben, ändert macOS das Kennwort nicht automatisch.

• Forest

Namespace-Unterstützung wird aktiviert.

Es können sich Benutzer mit dem gleichen

Anmeldenamen aus verschiedenen Domänen des Active Directory Forest anmelden.

Benutzer müssen ihren Anmeldenamen in der

Form DOMAIN\name eingeben.

• Domäne

Namespace-Unterstützung wird deaktiviert.

Benutzer müssen einen eindeutigen

Anmeldenamen haben.

Einstellung/Feld

Paket-Signierung

Paket-Verschlüsselung

Multi-Domänen-Autorisierung

Domänenadministrator-Gruppen

DDNS beschränken

Sophos Mobile

Beschreibung macOS kann die für die Active-Directory-

Kommunikation verwendeten LDAP-

Verbindungen signieren und verschlüsseln.

• Erlauben: macOS entscheidet, of die LDAP-

Verbindungen signiert und/oder verschlüsselt werden.

• Deaktivieren: macOS signiert oder verschlüsselt die

LDAP-Verbindungen nicht.

• Benötigen: macOS signiert und verschlüsselt die

LDAP-Verbindungen immer.

• SSL/TLS: macOS verwendet immer LDAP über

SSL/TLS.

Benutzer aus allen Domänen des Active Directory

Forest können sich anmelden.

Eine Liste von Active-Directory-Gruppen.

Mitglieder dieser Gruppen erhalten Admin-Rechte auf dem Mac.

Um mehr als eine Gruppe einzugeben, drücken

Sie nach jedem Wert die Taste Eingabe.

Eine Liste von Netzwerk-Schnittstellen.

Standardmäßig verwendet macOS für alle

Netzwerk-Schnittstellen Dynamic DNS (DDNS).

Um DDNS auf bestimmte Schnittstellen zu beschränken, geben Sie deren BSD-Namen ein.

Um zum Beispiel DDNS auf den internen

Ethernet-Port zu beschränken, geben Sie en0 ein.

Um mehr als eine Schnittstelle einzugeben, drücken Sie nach jedem Wert die Taste Eingabe.

14.23.14 Konfiguration „Root-Zertifikat“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Macs.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile

14.23.15 Konfiguration „Client-Zertifikat“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Macs.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.23.16 Konfiguration „SCEP“ (macOS-Geräterichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

URL

CA-Name

Betreff

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(SerialNumber)_% ein, um einen Mac zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 109).

Sophos Mobile

Einstellung/Feld

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Beschreibung

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

14.24 Konfigurationen für macOS-

Benutzerrichtlinien

Mit einer macOS-Benutzerrichtlinie konfigurieren Sie verschiedene Bereiche von Macs, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die Benutzerrichtlinie gilt für alle verwalteten Benutzer des Macs, dem Sie die Richtlinie zuweisen.

Zugehörige Konzepte

Über macOS-Richtlinien

(Seite 107)

Konfigurationen für macOS-Geräterichtlinien (Seite 231)

Zugehörige Aufgaben

Profil oder Richtlinie erstellen (Seite 105)

Sophos Mobile

14.24.1 Konfiguration „Kennwortrichtlinien“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von Mac-

Benutzerkonten.

Hinweis

Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Einstellung/Feld

Einfache Werte erlauben

Alphanumerische Werte erforderlich

Minimale Länge des Kennworts

Mindestanzahl von komplexen Zeichen

Gültigkeitsdauer des Kennworts in Tagen

Automatische Sperre (Minuten)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Sophos Mobile

Einstellung/Feld

Toleranzfrist für Gerätesperrung

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Beschreibung

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

14.24.2 Konfiguration „Einschränkungen“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Macs.

Hinweis

Einige Optionen sind nur für bestimmte macOS-Versionen verfügbar. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Gerät

Einstellung/Feld

Verwendung der Kamera erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Sophos Mobile

Einstellung/Feld

Internetsuchergebnis für Spotlight erlauben

Apple Music erlauben

Verzögerung von macOS-

Aktualisierungen

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Der Dienst „Apple Music“ ist verfügbar.

Anzahl an Tagen, die eine macOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

iCloud

Einstellung/Feld

Sicherung erlauben iCloud-Fotomediathek erlauben iCloud-

Schlüsselbundsynchronisierung erlauben

Dokumentensynchronisierung erlauben

„Zugang zu meinem Mac“ erlauben

„Meinen Mac suchen“ erlauben iCloud-Lesezeichen erlauben iCloud Mail erlauben iCloud-Kalender erlauben

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können die iCloud-Funktion Zugang zu meinem Mac verwenden, d.h. Datei- und

Bildschirminhalte zwischen einem lokalen und einem entfernten Mac teilen.

Benutzer können die iCloud-Funktion Meinen Mac suchen verwenden, um ihren Mac ferngesteuert zu orten, zu sperren, oder auf Werkseinstellungen zurückzusetzen.

Benutzer können die iCloud-Funktion Lesezeichen verwenden, um Web-Lesezeichen zwischen Browsern und Plattformen zu synchronisieren.

Benutzer können auf ihrem Mac ein Konto für iCloud

Mail einrichten.

Benutzer können die iCloud-Funktion Kalender verwenden, um ihre Kalender auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Einstellung/Feld iCloud-Erinnerungen erlauben iCloud-Adressbuch erlauben iCloud-Notizen erlauben iCloud Drive für Desktop und

Dokumente erlauben

Sophos Mobile

Beschreibung

Benutzer können die iCloud-Funktion Erinnerungen verwenden, um Erinnerungslisten auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Adressbuch verwenden, um Kontakte auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Notizen verwenden, um Notizen zu erstellen und diese auf ihren Geräten und mit anderen Benutzern zu teilen.

Benutzer können ihren Mac-Desktop und ihren Ordner

Dokumente in iCloud Drive speichern und darauf von anderen Geräten aus zugreifen.

Sicherheit und Privatsphäre

Einstellung/Feld

Touch ID zum Entsperren des Gerätes erlauben

Definitionsfunktionen erlauben

Auto-Entsperren erlauben iTunes-Dateifreigabe erlauben

AirPrint erlauben iBeacon-Erkennung von AirPrint-

Druckern erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Benutzer können Definitionen für markierte Wörter nachschlagen.

Benutzer können Auto-Entsperren verwenden, um ihren Mac automatisch von ihrer Apple Watch entsperren zu lassen.

Benutzer können die iCloud-Funktion Datenfreigabe verwenden, um Dateien zwischen ihrem Mac und einem iPhone oder iPad zu kopieren.

Benutzer können Dateien an AirPrint-Drucker senden.

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

Vertrauenswürdige Zertifikate für

AirPrint über TLS erzwingen

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

Sophos Mobile

Einstellung/Feld

Automatisches Ausfüllen von

Kennwörtern erlauben

WLAN-Kennwörter von nahen Geräten anfordern

AirDrop-Kennwortfreigabe erlauben

Beschreibung

Benutzer können die Einstellung Automatisch

ausfüllen aktivieren, um gespeicherte Kennwörter oder Kreditkarteninformationen in Safari und anderen

Apps zu verwenden.

Wenn das Kontrollkästchen deaktiviert ist, wird auch das automatische Vorschlagen von sicheren

Kennwörtern deaktiviert.

Das Gerät versucht bei der Einrichtung einer

WLAN-Verbindung, das Kennwort von in der Nähe befindlichen Geräten zu erhalten.

Benutzer können Kennwörter aus dem Password

Manager per AirDrop mit anderen Benutzern teilen.

14.24.3 Konfiguration „Exchange-Konto“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Exchange-Konto richten Sie ein Exchange-Web-Services-Konto (EWS-Konto) für Kontakte, Mail, Erinnerungen und Kalender ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Einstellung/Feld

Kennwort

OAuth

OAuth Anmelde-URL

SSL/TLS

Sophos Mobile

Beschreibung

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Das Konto verwendet OAuth für die

Authentisierung, d.h. Benutzer authentisieren sich mit ihren Microsoft-Anmeldeinformationen.

Die URL der Anmeldeseite für die OAuth-

Authentisierung.

Verwenden Sie diese Einstellung, wenn der

Autodiscover-Dienst des Exchange-Servers deaktiviert ist.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

14.24.4 Konfiguration „WLAN“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Sophos Mobile

Einstellung/Feld

Sicherheitstyp

256

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (persönlich)

• WPA/WPA2 (persönlich)

• Beliebig (persönlich)

• WEP (Enterprise)

• WPA/WPA2 (Enterprise)

• Beliebig (Enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf

Betrieblich endet, werden die Tabs Protokolle,

Authentifizierung und Vertrauen angezeigt.

Konfigurieren Sie auf dem Tab Protokolle folgende

Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die

EAP-Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf diesem Tab ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die

Anmeldeeinstellungen für EAP FAST Protected Access.

• Wählen Sie in Minimale TLS-Version und Maximale

TLS-Version die minimale und die maximale TLS -

Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf dem Tab Authentifizierung

Einstellungen für die Client-Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat-Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf dem Tab Vertrauen

Einstellungen für die Server-Authentifizierung:

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Einstellung/Feld

Proxy

Sophos Mobile

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• Kein Proxy

• Manuell

• Automatisch

Wenn Sie Manuell auswählen, werden die

Felder Server und Port, Authentifizierung and

Kennwort angezeigt. Geben Sie die erforderlichen

Proxy-Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld PAC-URL angezeigt.

Geben Sie die URL des Proxy-Servers ein.

14.24.5 Konfiguration „VPN“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Verbindungsname

Verbindungstyp

Identifier (Reverse-DNS-Format)

Server

Konto

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• SSL/TLS (benutzerdefiniert)

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Sophos Mobile

Einstellung/Feld

Drittanbieter-Einstellungen

Alle Daten über VPN übertragen

Gruppe

Benutzer-Authentifizierung

Beschreibung

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

Einstellung/Feld

Geräte-Authentifizierung

Proxy

Sophos Mobile

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname, Schlüssel

(Shared Secret), Hybrid-Authentifizierung

verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung

verwenden und Kennwort verlangen.

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• Kein Proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port, Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Sophos Mobile

Einstellung/Feld

Provider-Typ

Beschreibung

Der VPN-Verbindungstyp.

• App-Proxy: Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Paket-Tunnel: Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

14.24.6 Konfiguration „Web Clip“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration Web Clip definieren Sie Web Clips, die zum macOS-Desktop hinzugefügt werden. Web Clips bieten schnellen Zugriff auf favorisierte Webseiten. Sie können jedoch zum Beispiel auch einen Web Clip mit einer Support-Telefonnummer hinzufügen, damit die Benutzer schnell den

Helpdesk kontaktieren können.

Einstellung/Feld

Beschreibung

URL

Darf entfernt werden

Bildschirmfüllend

Symbol

Beschreibung

Eine Beschreibung des Web Clips.

Die Webadresse des Web Clips.

Wenn das Kontrollkästchen deaktiviert ist, kann der Benutzer den Web Clip nicht entfernen. Der

Webclip kann nur durch Entfernen des Profils, das den Webclip installiert hat, entfernt werden.

Der Web Clip wird auf dem Gerät bildschirmfüllend geöffnet. Ein bildschirmfüllender Web Clip öffnet die URL als

Web-App.

Wählen Sie ein Bild für das Web-Clip-Icon auf dem Home-Bildschirm aus. Dies muss eine

Bilddatei im Format PNG, GIF oder JPEG mit einer maximalen Größe von 1 MB sein.

Das Bild wird quadratisch beschnitten und je nach Bildschirmauflösung skaliert. Beste

Resultate erhalten Sie bei einer Bildgröße von

180 Pixel mal 180 Pixel.

Hinweis

Sophos Mobile

14.24.7 Konfiguration „Webfilter“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration Webfilter definieren Sie Einstellungen für eine Drittanbieter-App zum Filtern von

Web-Inhalten.

Einstellung/Feld

Filtername

Filter-ID

Server

Organisation

Beschreibung

Ein freier Name für die Filterkonfiguration.

Die Bundle-ID der Drittanbieter-App.

Der Server, auf dem der Filterdienst läuft (Host-Name, IP-

Adresse oder URL).

Der Name Ihres Unternehmens. Der Wert wird an den

Filterdienst weitergeleitet.

Benutzername

Kennwort

Zertifikat

Filterumfang

Die Anmeldeinformationen für den Filterdienst.

Drittanbieter-Einstellungen

Ein Zertifikat für die Authentisierung beim Filterdienst.

Der von der Drittanbieter-App zu filternde Datenverkehr:

• Browser-Datenverkehr filtern: WebKit-Browserdaten werden gefiltert.

• Socket-Datenverkehr filtern: Socket-Daten werden gefiltert.

• Browser- und Socket-Datenverkehr filtern: WebKit- und

Socket-Daten werden gefiltert.

Weitere Konfigurationseinstellungen (falls von der Drittanbieter-

App benötigt).

14.24.8 Konfiguration „Globaler HTTP-Proxy“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server und Port

Beschreibung

Wählen Sie Manuell aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Sophos Mobile

Einstellung/Feld

Authentifizierung

Kennwort

PAC-URL

Beschreibung

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

262

14.24.9 Konfiguration „Verwaltete Domänen“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für Macs.

E-Mail-Domänen

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

14.24.10 Konfiguration „CalDAV“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration CalDAV konfigurieren Sie die Synchronisierung von Kalenderdaten mit einem

CalDAV-Server. Sie können so zum Beispiel Google Kalender mit einem Mac synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Beschreibung

Der auf dem Gerät angezeigte Name des CalDAV-Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CalDAV-Servers.

Geben Sie zum Beispiel für Google Kalender folgendes ein: calendar.google.com:443

Falls vom CalDAV-Server benötigt, geben Sie die

Principal URL der Kalender-Ressource ein.

Geben Sie zum Beispiel folgendes ein, um einen anderen als den Haupt-Kalender eines Google-Kontos zu synchronisieren: https://apidata.googleusercontent.com/ caldav/

v2/calendar_id/user wobei calendar_id die ID des Kalenders ist, den Sie synchronisieren wollen. Wenn Sie Google Kalender in

Ihrem Webbrowser öffnen, wird die Kalender-ID in den

Kalendereinstellungen angezeigt. Einzelheiten finden Sie in der Hilfe zu Google Kalender.

Einstellung/Feld

Benutzername, Kennwort

SSL/TLS

Sophos Mobile

Beschreibung

Die Anmeldeinformationen des CalDAV-Kontos.

Geben Sie zum Beispiel für Google Kalender die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CalDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

14.24.11 Konfiguration „CardDAV“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration CardDAV konfigurieren Sie die Synchronisierung von Kontaktdaten mit einem

CardDAV-Server. Sie können so zum Beispiel Google Kontakte mit einem Mac synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Benutzername, Kennwort

SSL/TLS

Beschreibung

Der auf dem Gerät angezeigte Name des CardDAV-

Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CardDAV-Servers.

Geben Sie zum Beispiel für Google Kontakte folgendes ein: google.com

Falls vom CardDAV-Server benötigt, geben Sie die

Principal URL der Kontakte-Ressource ein.

Zum Beispiel unterstützt die Google-CardDAV-API folgende Principal URL: https://www.googleapis.com/carddav/

v1/ principals/account_name@gmail.com

wobei account_name der Name des Google-Kontos ist.

Die Anmeldeinformationen des CardDAV-Kontos.

Geben Sie zum Beispiel für Google Kontakte die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CardDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

14.24.12 Konfiguration „IMAP/POP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Mac hinzu.

Sophos Mobile

Einstellung/Feld

Kontoname

Typ des Accounts

Angezeigter Benutzername

E-Mail-Adresse

Eingehende E-Mail

E-Mail-Server und -Port

Benutzername

Authentifizierung-Typ

Kennwort

SSL/TLS

Ausgehende E-Mail

E-Mail-Server und -Port

Benutzername

Authentifizierung-Typ

Kennwort

Das selbe Kennwort wie für eingehende E-Mail verwenden

Beschreibung

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Der Typ des E-Mail-Servers für eingehende E-Mails

(IMAP oder POP).

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Hostname oder IP-Adresse und Port des

Posteingangsservers.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Posteingangsserver.

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Die Verbindung zum Posteingangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Der Benutzername für die Verbindung mit dem

Postausgangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Postausgangsserver.

Das Kennwort für die Verbindung mit dem

Postausgangsserver (falls erforderlich).

Das selbe Kennwort wie für den Posteingangsserver verwenden.

Einstellung/Feld

SSL/TLS

Sophos Mobile

Beschreibung

Die Verbindung zum Postausgangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

14.24.13 Konfiguration „Single-Sign-On“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos-Principal-Name

Realm

URLs

App-IDs

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

14.24.14 Konfiguration „LDAP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration LDAP stellen Sie Benutzerinformationen aus einem LDAP-Verzeichnis in der macOS-App Adressbuch zur Verfügung.

Sophos Mobile

Hinweis

Für den Beitritt eines Macs zu einer Active-Directory-Domäne verwenden Sie die Konfiguration

Verzeichnisdienst. Siehe Konfiguration „Verzeichnisdienst“ (macOS-Geräterichtlinie) (Seite

244).

Einstellung/Feld

Kontobeschreibung

Servername

Benutzername

Kennwort

SSL/TLS verwenden

Sucheinstellungen

Base

Bereich

Beschreibung

Beschreibung

Eine Beschreibung der LDAP-Verbindung.

Der Host-Name oder die IP-Adresse des LDAP-

Servers.

Die Anmeldeinformationen, die Sophos Mobile verwendet, um sich mit dem LDAP-Server zu verbinden.

Die Verbindung zum LDAP-Server wird mit SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Die Information, von welchen Knoten im LDAP-

Verzeichnisbaum eine Suche startet und welche

Knoten durchsucht werden.

Der Pfad des Startknotens für die Suche.

Beispiel: ou=users,o=my company

Eine Angabe, welche Unterknoten in die Suche eingeschlossen werden:

• Nur Basisknoten: Nur der Basisknoten.

• Basisknoten und direkte Kindknoten: Der

Basisknoten und seine Kindknoten, d.h. die

Unterknoten erster Ordnung.

• Basisknoten und alle Unterknoten: Der

Basisknoten und alle Unterknoten.

Eine Beschreibung der Sucheinstellungen.

14.24.15 Konfiguration App Store (macOS-Benutzerrichtlinie)

Mit der Konfiguration App Store schränken Sie die Verwendung des App Store ein.

Einstellung/Feld

Administrator-Kennwort erforderlich

Beschreibung

Benutzer benötigen ein Administratorkennwort, um Apps zu installieren oder zu aktualisieren.

Einstellung/Feld

Auf Aktualisierungen beschränken

App-Übernahme verbieten

Aktualisierungsbenachrichtigungen deaktivieren

Sophos Mobile

Beschreibung

Benutzer können Apps aktualisieren, aber keine neuen Apps installieren.

App-Übernahme bezeichnet die Verknüpfung von

Apps, die nicht aus dem App Store installierten wurden, mit der Apple-ID eines Benutzers. Wenn

Sie die App-Übernahme verbieten, können

Benutzer diese Apps nicht aktualisieren.

Dies betrifft zum Beispiel die mit einem Mac gebündelten iLife- und iWorks-Apps.

Benutzer erhalten keine Benachrichtigungen über verfügbare Aktualisierungen.

14.24.16 Konfiguration „Root-Zertifikat“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Macs.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.24.17 Konfiguration „Client-Zertifikat“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Macs.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.24.18 Konfiguration „SCEP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Sophos Mobile

Einstellung/Feld

URL

CA-Name

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(SerialNumber)_% ein, um einen Mac zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 109).

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822-Name: Eine gültige E-Mail-Adresse.

• DNS-Name: Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI): Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Einstellung/Feld

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Sophos Mobile

Beschreibung

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

14.25 Konfigurationen für Windows-Mobile-

Richtlinien

Mit einer Windows-Mobile-Richtlinien konfigurieren Sie verschiedene Bereiche von Windows-Mobile-

Geräten, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-Mobile-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 105).

14.25.1 Konfiguration „Kennwortrichtlinien“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Gerätekennwort.

Einstellung/Feld

Kennworttyp

Beschreibung

Die Art des Kennworts, dass Benutzer definieren müssen:

• Alphanumerisch: Kennwort muss Ziffern und Buchstaben enthalten

• Numerisch: Kennwort darf nur Ziffern enthalten

Für Windows Phone 8.1 erlaubt

Alphanumerisch auch Kennwörter, die Ziffern oder Buchstaben enthalten.

Sophos Mobile

Einstellung/Feld

Mindestkomplexität alphanumerischer

Kennwörter

Einfache Werte erlauben

Minimale Länge des Kennworts

Maximale Anzahl an Fehlversuchen

Inaktivitätszeit in Minuten bis zur Abfrage des Kennworts

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Dies legt fest, welche Zeichenklassen in alphanumerischen Kennwörtern verwendet werden müssen.

Für Windows 10 Mobile:

• 1: Nicht anwendbar (falls ausgewählt, wird 2 angewendet)

• 2: Ziffern und Kleinbuchstaben erforderlich

• 3: Ziffern, Klein- und Großbuchstaben erforderlich

• 4: Ziffern, Klein- und Großbuchstaben sowie

Sonderzeichen erforderlich

Für Windows Phone 8.1 legt der der Wert fest, wie viele verschiedene Zeichenklassen im

Kennwort vorkommen müssen. Zeichenklassen sind:

• Stellen

• Kleinbuchstaben

• Großbuchstaben

• Sonderzeichen

Kennwörter dürfen aufeinanderfolgende oder wiederholte Zeichnen enthalten, zum Beispiel abcde oder 1111 .

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Anzahl fehlgeschlagener Anmeldeversuche mit falschem Kennwort, nach der das Gerät zurückgesetzt wird.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Zeit (in Minuten), nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Der

Benutzer kann das Gerät entsperren.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Sophos Mobile

Einstellung/Feld

Gültigkeitsdauer des Kennworts in Tagen

Festlegen der Toleranzfrist bis zur erneuten

Kennworteingabe erlauben

Beschreibung

Die Anzahl an Tagen, nach denen Benutzer ihr

Kennwort ändern müssen.

Geben Sie einen Wert zwischen 1 und 730 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Benutzer dürfen die Toleranzfrist festlegen, innerhalb derer keine erneute Kennworteingabe erfolgen muss.

14.25.2 Konfiguration „Einschränkungen“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Gerät

Einstellung/Feld

SD-Karte verbieten

Unverschlüsseltes Gerät verbieten

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Die Verschlüsselung des internen Speichers ist aktiviert.

Wichtig

Wenn auf einem Gerät die Verschlüsselung des internen Speichers aktiviert ist, können

Sie dies nicht mehr über eine Richtlinie deaktivieren.

Hinweis

Auf dem Gerät muss zuvor BitLocker aktiviert worden sein, damit die Richtlinie angewendet werden kann.

Action-Center-Benachrichtigungen auf dem

Sperrbildschirm verbieten

Manuelles Hinzufügen von Nicht-Microsoft-

E-Mail-Konten verbieten

Auf dem Sperrbildschirm des Gerätes werden keine Action-Center-Benachrichtigungen angezeigt.

Hinzufügen aller Arten von E-Mail-Konten sowie von Exchange-, Office 365- und Outlook.com-

Konten nicht erlauben.

Sophos Mobile

Einstellung/Feld

Microsoft-Konto-Verbindung verbieten

272

Entwicklerfunktionen verbieten

Microsoft Store verbieten

Nativen Browser verbieten

Kamera verbieten

Telemetriestufe

Beschreibung

Die Verbindung zu Microsoft-Diensten wie z.B.

Synchronisierung, Skype oder Microsoft Store ist nicht möglich.

Wichtig

Diese Einstellung wirkt sich nur auf Microsoft-

Konten aus, die auf dem Gerät nach der

Zuweisung der Richtlinie eingerichtet werden.

Der Windows-Entwicklermodus ist deaktiviert.

Der Windows-App-Store ist nicht verfügbar.

Der Browser Microsoft Edge ist nicht verfügbar.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

Windows 10:

• Vollständig: Alle Daten, die zum Finden und

Beheben von Problemen erforderlich sind.

• Verbessert: Daten zur Nutzung und Leistung von

Windows und Apps.

• Einfach: Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Deaktiviert (nur Windows Phone 8.1): Von

Windows 10 nicht unterstützt. Wenn Sie diese

Option wählen, wird Stufe Einfach verwendet.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der

Stufe Einfach.

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

Windows Phone 8.1 unterstützt keine unterschiedlichen Telemetriestufen:

• Vollständig, Verbessert, Einfach: Benutzer können Telemetrie aktivieren oder deaktivieren.

• Deaktiviert (nur Windows Phone 8.1): Es werden keine Telemetriedaten übertragen.

Sophos Mobile

Verschiedenes

Einstellung/Feld

Kopieren und Einfügen verbieten

Cortana verbieten

Als Office-Dateien speichern verbieten

Screenshot verbieten

Teilen von Office-Dateien verbieten

„Einstellungen synchronisieren“ verbieten

Audioaufzeichnungen verbieten

Beschreibung

Die Zwischenablage ist nicht verfügbar.

Cortana ist deaktiviert.

Benutzer können Dateien auf dem Gerät nicht als Office-Dateien speichern.

Screenshots sind nicht möglich.

Office-Dateien können nicht geteilt werden.

Geräteeinstellungen können nicht mit anderen

Windows-Geräten synchronisiert werden.

Audioaufzeichnungen sind deaktiviert.

WLAN

Einstellung/Feld

WLAN verbieten

Tethering verbieten

WLAN-Optimierung (Hotspot-

Autoverbindung) verbieten

Hotspot-Reporting verbieten

Manuelle Konfiguration verbieten

Beschreibung

WLAN-Verbindungen sind deaktiviert.

ICS (Internet Connection Sharing) ist deaktiviert.

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Das Gerät sendet keine Informationen bezüglich WLAN-Verbindungen.

Benutzer können keine WLAN-Verbindungen konfigurieren. Dies betrifft nicht die von Sophos

Mobile konfigurierten Verbindungen.

Vorhandene von Benutzern oder von der

WLAN-Optimierung (Wi-Fi Sense) angelegte

WLAN-Profile werden gelöscht.

Konnektivität

Einstellung/Feld

NFC verbieten

Beschreibung

NFC (Near-Field Communication) ist deaktiviert.

Sophos Mobile

Einstellung/Feld

Bluetooth verbieten

USB-Verbindung verbieten

Beschreibung

Bluetooth ist deaktiviert.

USB-Verbindungen zwischen dem Gerät und einem Computer zur Synchronisierung von Dateien oder zur Verwendung von

Entwicklertools für die Installation oder das

Debugging von Apps sind nicht verfügbar. Dies betrifft nicht das Laden des Geräteakkus über

USB.

Roaming und Kosten

Einstellung/Feld

Daten-Roaming verbieten

VPN über Mobilfunk verbieten

VPN-Roaming über Mobilfunk verbieten

Beschreibung

Datenverbindungen über fremde

Mobilfunknetze sind deaktiviert.

VPN-Verbindungen über Mobilfunknetze sind deaktiviert.

VPN-Verbindungen über fremde Mobilfunknetze sind deaktiviert.

Sicherheit und Privatsphäre

Einstellung/Feld

Bing Vision das Speichern von Bildern aus der Suche verbieten

Ortung bei der Suche verbieten

Manuelle Installation von Root-Zertifikaten verbieten

Ortung verbieten

Beschreibung

Bing Vision speichert nicht die Bilder, die es bei

Suchvorgängen anfertigt.

Für die Suche werden keine

Standortinformationen verwendet.

Benutzer können nicht manuell Root-Zertifikate oder vorläufige CA-Zertifikate installieren.

Alle Datenschutzeinstellungen in der Kategorie

„Standort“ sind deaktiviert. Apps können nicht den Standortdienst verwenden. Wenn diese

Option aktiviert ist, kann auch Sophos Mobile das Gerät nicht orten.

Einstellung/Feld

SafeSearch-Einstellung

Sophos Mobile

Beschreibung

Wählen Sie den Grad der Suchergebnis-

Filterung auf den Geräten aus:

• Moderat: Moderates Filtern von erotischen

Inhalten. Gültige Suchergebnisse werden nicht gefiltert.

• Streng: Maximales Filtern von erotischen

Inhalten.

Deregistrierung

Einstellung/Feld

Auf Werkseinstellungen zurücksetzen verbieten

Manuelle MDM-Deregistrierung verbieten

Beschreibung

Benutzer können das Gerät nicht

über die Systemsteuerung oder

über Tastenkombinationen auf den

Auslieferungszustand zurücksetzen.

Benutzer können das Arbeitsplatzkonto nicht löschen.

14.25.3 Konfiguration „Exchange-Konto“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Sophos Mobile

Einstellung/Feld

E-Mail-Adresse

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Inhalte

Beschreibung

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Die zu synchronisierenden Inhalte.

14.25.4 Konfiguration „WLAN“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Sicherheitstyp

Proxy

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

Wenn Sie Manuell aus der Liste auswählen, müssen Sie einen Server und einen Port angeben.

Sophos Mobile

14.25.5 Konfiguration „App-Einschränkungen“ (Windows-

Mobile-Richtlinie)

Mit der Konfiguration App-Einschränkungen legen Sie Apps fest, die auf den Geräten erlaubt sind oder blockiert werden.

Einstellung/Feld

Erlaubte Apps

Unzulässige Apps

App-Gruppe

Beschreibung

Enthält eine Liste bestimmter Apps, die vom Benutzer auf dem Gerät installiert und verwendet werden dürfen. Benutzer können keine Apps installieren oder verwenden, die nicht explizit aufgeführt sind.

Verwenden Sie Erlaubte Apps, wenn die Apps bekannt sind, die erlaubt werden sollen, und alle anderen Apps blockiert werden sollen.

Enthält eine Liste bestimmter Apps, die vom

Benutzer auf dem Gerät nicht installiert werden dürfen. Benutzer können alle Apps installieren, die nicht explizit aufgeführt sind.

Verwenden Sie Unzulässige Apps, wenn die

Apps bekannt sind, die blockiert werden sollen, und alle anderen Apps erlaubt werden sollen.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die erlaubt oder blockiert werden sollen.

Hinweis

Die App-Gruppe muss zuvor erstellt

worden sein. Siehe App-Gruppen

(Seite

328).

14.25.6 Konfiguration „IMAP/POP“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Gerät hinzu.

Einstellung/Feld

Typ des Accounts

Kontoname

Beschreibung

Der Typ des E-Mail-Servers für eingehende E-Mails

(IMAP oder POP).

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Sophos Mobile

Einstellung/Feld

E-Mail-Adresse

Angezeigter Benutzername

Benutzername

Domäne

Kennwort

Posteingangsserver

Beschreibung

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Domänenangabe in den Anmeldeinformationen für den Posteingangsserver (falls erforderlich).

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Format: Servername:Portnummer

Den Port müssen Sie nur angeben, wenn es nicht der

Standardport ist:

• 143 (IMAP)

• 993 (IMAP mit SSL)

• 110 (POP3)

• 995 (POP3 mit SSL)

Secure Sockets Layer für eingehende E-Mails verwenden.

SSL/TLS für Posteingangsserver verwenden

Postausgangsserver

SSL/TLS für Postausgangsserver verwenden

Authentisierung für ausgehende

Verbindung erforderlich

Hostname (oder IP-Adresse) und Port des

Postausgangsservers.

Format: Servername:Portnummer

Secure Sockets Layer für ausgehende E-Mails verwenden.

Der Postausgangsserver verlangt eine Benutzer-

Authentisierung.

Es werden dieselben Anmeldeinformationen wie für den

Posteingangsserver verwendet, d.h. die Werte, die Sie in den Feldern Benutzername, Domäne und Kennwort angegeben haben.

Einstellung/Feld

Synchronisierungszeitraum

Automatische Synchronisierung

Sophos Mobile

Beschreibung

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses

Zeitraums mit dem Posteingang auf den Geräten synchronisiert.

Das Intervall für die automatische E-Mail-

Synchronisierung.

14.25.7 Konfiguration „Root-Zertifikat“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

14.25.8 Konfiguration „SCEP“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

Beschreibung

URL

Beschreibung

Eine Beschreibung der Konfiguration.

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Sophos Mobile

280

Einstellung/Feld

Betreff

Subject Alternative Name

Challenge

Root-Zertifikat

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 109).

Konfigurieren Sie bei Bedarf einen oder mehrere

Werte für den Subject Alternative Name (SAN).

Klicken Sie auf Hinzufügen und geben Sie anschließend einen SAN-Typ und einen SAN-

Wert ein.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Hash-Algorithmus

Sophos Mobile

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

Wählen Sie einen oder mehrere Hash-

Algorithmen aus, die vom SCEP-Server unterstützt werden.

Warnung

Wir empfehlen Ihnen, den Algorithmus

SHA-1 nicht zu verwenden, da dieser als unsicher gilt.

14.26 Konfigurationen für Windows-Richtlinien

Mit einer Windows-Richtlinie konfigurieren Sie verschiedene Bereiche von Windows-Computern, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 105).

14.26.1 Konfiguration „Kennwortrichtlinien“ (Windows-Richtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von

Windows-Benutzerkonten.

Hinweis

Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von

Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden

können. Detailinformationen finden Sie unter Komplexitätsregeln für Windows-Kennwörter

(Seite

108).

Hinweis

Kennwortrichtlinien können Windows-Computern nicht zugewiesen werden, wenn beide der folgenden Bedingungen erfüllt sind:

• Neben dem Benutzer, der bei Sophos Mobile registriert ist, sind auf dem Gerät weitere lokale

Benutzer konfiguriert.

• Mindestens einer dieser weiteren Benutzer darf sein Kennwort nicht ändern.

Sophos Mobile

Einstellung/Feld

Maximale Anzahl an Fehlversuchen

Inaktivitätszeit in Minuten bis zur Abfrage des Kennworts

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Gültigkeitsdauer des Kennworts in Tagen

Beschreibung

Die Anzahl fehlgeschlagener Anmeldeversuche mit falschem Kennwort, nach der das Gerät zurückgesetzt wird.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Zeit (in Minuten), nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Der

Benutzer kann das Gerät entsperren.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Die Anzahl an Tagen, nach denen Benutzer ihr

Kennwort ändern müssen.

Geben Sie einen Wert zwischen 1 und 730 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

14.26.2 Konfiguration „Einschränkungen“ (Windows-Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Gerät

Einstellung/Feld

SD-Karte verbieten

Manuelles Hinzufügen von Nicht-Microsoft-

E-Mail-Konten verbieten

Entwicklerfunktionen verbieten

Kamera verbieten

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Hinzufügen aller Arten von E-Mail-Konten sowie von Exchange-, Office 365- und Outlook.com-

Konten nicht erlauben.

Der Windows-Entwicklermodus ist deaktiviert.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Einstellung/Feld

Auto-Ausfüllen in Edge deaktivieren

Edge-F12-Entwicklertools deaktivieren

Edge-Popupblocker deaktivieren

Einstellungen „AutoPlay“ deaktivieren

Einstellungen „Datum und Uhrzeit“ deaktivieren

Einstellungen „Sprachen“ deaktivieren

Einstellungen „Netzbetrieb und

Energiesparen“ deaktivieren

Einstellungen „Region“ deaktivieren

Einstellungen „Anmeldeoptionen“ deaktivieren

Einstellungen „VPN“ deaktivieren

Einstellungen „Arbeitsplatzzugriff“ deaktivieren

Einstellungen „Konten“ deaktivieren

Sophos Mobile

Beschreibung

Die Einstellung Formulareinträge speichern im Webbrowser Edge ist deaktiviert und kann vom Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die F12-Entwicklertools im Webbrowser Edge sind nicht verfügbar.

Die Einstellung Popups blockieren im

Webbrowser Edge ist deaktiviert und kann vom

Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die relevanten Bereiche in der Windows-

Systemsteuerung sind nicht verfügbar. Der

Benutzer kann diese Einstellungen nicht ändern, nachdem die Richtlinie dem Gerät zugewiesen wurde.

Hinweis

Einstellungen „AutoPlay“ deaktivieren wirkt sich nicht auf angeschlossene Geräte wie zum Beispiel Mobiltelefone aus.

Sophos Mobile

Einstellung/Feld

Telemetriestufe

Beschreibung

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

• Vollständig: Alle Daten, die zum Finden und

Beheben von Problemen erforderlich sind.

• Verbessert: Daten zur Nutzung und Leistung von

Windows und Apps.

• Einfach: Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Sicherheit: Daten, die benötigt werden, um das Gerät mit den neuesten

Sicherheitsaktualisierungen zu schützen.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der

Stufen Einfach und Sicherheit.

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

Verschiedenes

Einstellung/Feld

Cortana verbieten

„Einstellungen synchronisieren“ verbieten

Windows-Tipps deaktivieren

Beschreibung

Cortana ist deaktiviert.

Geräteeinstellungen können nicht mit anderen

Windows-Geräten synchronisiert werden.

Die Windows-Einstellung Tipps zu Windows

anzeigen ist deaktiviert und nicht verfügbar.

WLAN

Einstellung/Feld

Tethering verbieten

WLAN-Optimierung (Hotspot-

Autoverbindung) verbieten

Beschreibung

ICS (Internet Connection Sharing) ist deaktiviert.

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Einstellung/Feld

Manuelle Konfiguration verbieten

Sophos Mobile

Beschreibung

Benutzer können keine WLAN-Verbindungen konfigurieren. Dies betrifft nicht die von Sophos

Mobile konfigurierten Verbindungen.

Vorhandene von Benutzern oder von der

WLAN-Optimierung (Wi-Fi Sense) angelegte

WLAN-Profile werden gelöscht.

Konnektivität

Einstellung/Feld

Bluetooth verbieten

Sicherheit und Privatsphäre

Einstellung/Feld

Ortung bei der Suche verbieten

Beschreibung

Bluetooth ist deaktiviert.

Beschreibung

Für die Suche werden keine

Standortinformationen verwendet.

Deregistrierung

Einstellung/Feld

Manuelle MDM-Deregistrierung verbieten

Beschreibung

Benutzer können das Arbeitsplatzkonto nicht löschen.

14.26.3 Konfiguration „Exchange ActiveSync“ (Windows-

Richtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Wichtig

Wenn Sie mehrere Exchange-E-Mail-Konten einrichten, können die Geräte möglicherweise nur E-Mails von einem dieser Konten abrufen. Dies passiert typischerweise, wenn die Konten auf unterschiedlichen Exchange-Servern liegen und auf diesen Servern unterschiedliche

Postfachrichtlinien definiert sind. Da Windows-Computer nur eine einzelne Postfachrichtlinie erzwingen können, schlägt die Verbindung zu Konten fehl, die eine abweichende Richtlinie verwenden.

Sophos Mobile

Hinweis

Wenn Sie Änderungen an der Konfiguration „Exchange-Konto“ machen, fragt Windows die

Benutzer, ob sie die Änderungen annehmen oder ablehnen wollen.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Inhalte

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Die zu synchronisierenden Inhalte.

Sophos Mobile

14.26.4 Konfiguration „WLAN“ (Windows-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Sicherheitstyp

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

14.26.5 Konfiguration „Kiosk-Modus“ (Windows-Richtlinie)

Mit der Konfiguration Kiosk-Modus richten Sie auf einem Windows-Computer einen Kiosk-Modus ein.

Im Kiosk-Modus läuft nur eine einzige App (die Kiosk-App). Der Kiosk-Modus wird aktiviert, wenn sich der für den Kiosk-Modus konfigurierte Benutzer (der Kiosk-Benutzer) anmeldet.

Hinweis

Standardmäßig bleibt der Computer nach einem Neustart im Kiosk-Modus. Um dieses Verhalten zu ändern, melden Sie sich als Kiosk-Benutzer an dem Computer an, gehen Sie zu Einstellungen

> Konten > Anmeldeoptionen und deaktivieren Sie Die Einrichtung meines Geräts soll nach einem Update oder Neustart mit meinen Anmeldeinformationen automatisch

abgeschlossen werden..

Einstellung/Feld

Benutzerkonto

AUMID der App

Beschreibung

Der für den Kiosk-Modus konfigurierte Benutzer (der Kiosk-

Benutzer).

Format:

<Computername>\<Benutzername> (lokales Konto)

<Domäne>\<Benutzername> (Domänenkonto)

Sie brauchen <Domäne> nicht anzugeben, wenn der

Benutzername eindeutig bezüglich aller Domänen ist.

Die Application User Model ID (AUMID) der App, die bei

Aktivierung des Kiosk-Modus gestartet wird (die Kiosk-App).

Informationen zur Bestimmung des AUMID-Wertes finden Sie im Microsoft-Dokument Find the Application User Model ID of an installed app .

Sophos Mobile

14.26.6 Konfiguration „IMAP/POP“ (Windows-Richtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Windows-

Computer hinzu.

Einstellung/Feld

Typ des Accounts

Kontoname

E-Mail-Adresse

Angezeigter Benutzername

Benutzername

Domäne

Kennwort

Posteingangsserver

SSL/TLS für Posteingangsserver verwenden

Postausgangsserver

Beschreibung

Der Typ des E-Mail-Servers für eingehende E-Mails

(IMAP oder POP).

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Domänenangabe in den Anmeldeinformationen für den Posteingangsserver (falls erforderlich).

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Format: Servername:Portnummer

Den Port müssen Sie nur angeben, wenn es nicht der

Standardport ist:

• 143 (IMAP)

• 993 (IMAP mit SSL)

• 110 (POP3)

• 995 (POP3 mit SSL)

Secure Sockets Layer für eingehende E-Mails verwenden.

Hostname (oder IP-Adresse) und Port des

Postausgangsservers.

Format: Servername:Portnummer

Sophos Mobile

Einstellung/Feld

SSL/TLS für Postausgangsserver verwenden

Authentisierung für ausgehende

Verbindung erforderlich

Synchronisierungszeitraum

Automatische Synchronisierung

Beschreibung

Secure Sockets Layer für ausgehende E-Mails verwenden.

Der Postausgangsserver verlangt eine Benutzer-

Authentisierung.

Es werden dieselben Anmeldeinformationen wie für den

Posteingangsserver verwendet, d.h. die Werte, die Sie in den Feldern Benutzername, Domäne und Kennwort angegeben haben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses

Zeitraums mit dem Posteingang auf den Geräten synchronisiert.

Das Intervall für die automatische E-Mail-

Synchronisierung.

14.26.7 Konfiguration „Device Guard“ (Windows-Richtlinie)

Mit der Konfiguration Device Guard konfigurieren Sie virtualisierungsbasierte Sicherheit (VBS) auf

Windows-Computern.

Hinweis

Die Einstellungen werden beim nächsten Neustart des Windows-Computers angewendet, nachdem die Richtlinie zugewiesen wurde.

Einstellung/Feld

Virtualisierungsbasierte Sicherheit (VBS) aktivieren

Beschreibung

Virtualisierungsbasierte Sicherheit (VBS) wird aktiviert.

Sophos Mobile

Einstellung/Feld

Credential-Guard-Konfiguration

Plattform-Sicherheitsstufe

•

Beschreibung

Deaktivieren: Credential Guard wird deaktiviert.

Die Deaktivierung ist nicht möglich, wenn

Credential Guard mit der Option Aktivieren

mit UEFI-Sperre aktiviert wurde.

Aktivieren mit UEFI-Sperre: Credential

Guard wird deaktiviert und kann nicht ferngesteuert deaktiviert werden.

Credential Guard kann nur wieder in den

BIOS-Einstellungen deaktiviert werden. Dies erfordert einen physischen Zugriff auf den

Computer.

Aktivieren ohne Sperre: Credential Guard wird aktiviert.

Credential Guard kann mit der Option

Deaktivieren oder mit einer Windows-

Gruppenrichtlinie wieder deaktiviert werden.

•

Sicherer Start: VBS wird mit dem maximalen von der Computerhardware unterstützten

Schutz aktiviert.

Wenn der Computer keine IOMMUs (I/

O Memory Management Units) besitzt, verwendet VBS die UEFI-Funktion „Sicherer

Start“.

Wenn der Computer IOMMUs besitzt, verwendet VBS die UEFI-Funktion „Sicherer

Start“ mit DMA-Schutz (Direct Memory

Access).

Sicherer Start und DMA-Schutz: VBS verwendet die UEFI-Funktion „Sicherer Start“ mit DMA-Schutz (Direct Memory Access).

Falls der Computer DMA nicht unterstützt, wird VBS nicht aktiviert.

14.26.8 Konfiguration „Root-Zertifikat“ (Windows-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile

14.26.9 Konfiguration „Client-Zertifikat“ (Windows-Richtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Windows-Computern.

Einstellung/Feld

Datei

Beschreibung

Das zu installierende Zertifikat.

Sie können Zertifikate in den Formaten PEM und PKCS #12 hochladen.

Klicken Sie auf Datei hochladen und navigieren Sie anschließend zu der Datei mit dem Zertifikat.

Tipp

Alternativ können Sie die Datei aus dem Datei-Explorer in den

Bereich Datei hochladen ziehen.

Zertifikatsname

Ziel-Store

Schlüsselort

Schlüssel kann exportiert werden

Containername

Nachdem Sie die Zertifikatdatei hochgeladen haben, steht in diesem Feld der Wert subject des Zertifikats.

Der Zertifikatspeicher, in dem das Zertifikat installiert wird:

Benutzer: Das Zertifikat steht dem Benutzer zur Verfügung, der bei Sophos Mobile registriert ist.

Gerät: Das Zertifikat steht allen Computerbenutzern zur

Verfügung.

Der Ort, an dem der private Schlüssel des Zertifikats gespeichert wird:

Software: Der Schlüssel wird Software-basiert in einer Keystore-

Datei gespeichert.

TPM oder Software: Sofern verfügbar, wird der Schlüssel in

TPM gespeichert. Andernfalls wird der Schlüssel Software-basiert in einer Keystore-Datei gespeichert.

TPM: Der Schlüssel wird im TPM-Hardwarechip (Trusted

Platform Module) gespeichert. Falls der Computer keinen TPM-

Chip besitzt oder TPM im BIOS deaktiviert ist, wird das Zertifikat nicht installiert.

Windows Hello for Business: Der Schlüssel wird in einem

Windows-Hello-for-Business-Container gespeichert.

Benutzer können beim Export des Zertifikats auch den privaten

Schlüssel exportieren.

Der Name des Windows-Hello-for-Business-Containers, in dem der private Schlüssel des Zertifikats gespeichert wird.

Sophos Mobile

292

14.26.10 Konfiguration „SCEP“ (Windows-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

Beschreibung

URL

Betreff

Subject Alternative Name

Challenge

Root-Zertifikat

Beschreibung

Eine Beschreibung der Konfiguration.

Die Webadresse des CA-Servers.

Verwenden Sie den Platzhalter

%_SCEPPROXYURL_% , um die Server-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 109).

Konfigurieren Sie bei Bedarf einen oder mehrere

Werte für den Subject Alternative Name (SAN).

Klicken Sie auf Hinzufügen und geben Sie anschließend einen SAN-Typ und einen SAN-

Wert ein.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie den Platzhalter

%_CACHALLENGE_% , um die Challenge-URL einzufügen, die auf dem Tab SCEP auf der Seite

Sophos-Einrichtung konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Einstellung/Feld

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Hash-Algorithmus

Sophos Mobile

Beschreibung

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

Wählen Sie einen oder mehrere Hash-

Algorithmen aus, die vom SCEP-Server unterstützt werden.

Warnung

Wir empfehlen Ihnen, den Algorithmus

SHA-1 nicht zu verwenden, da dieser als unsicher gilt.

14.27 Konfigurationen für Windows-IoT-Richtlinien

Mit einer Windows-IoT-Richtlinie konfigurieren Sie verschiedene Bereiche von Windows-IoT-Geräten, wie zum Beispiel Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-IoT-Richtlinie finden Sie in

Profil oder Richtlinie erstellen

(Seite 105).

14.27.1 Konfiguration „Einschränkungen“ (Windows-IoT-

Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sophos Mobile

Gerät

Einstellung/Feld

SD-Karte verbieten

Entwicklerfunktionen verbieten

Kamera verbieten

Auto-Ausfüllen in Edge deaktivieren

294

Edge-Popupblocker deaktivieren

Telemetriestufe

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Der Windows-Entwicklermodus ist deaktiviert.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Die Einstellung Formulareinträge speichern im Webbrowser Edge ist deaktiviert und kann vom Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die Einstellung Popups blockieren im

Webbrowser Edge ist deaktiviert und kann vom

Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

• Vollständig: Alle Daten, die zum Finden und

Beheben von Problemen erforderlich sind.

• Verbessert: Daten zur Nutzung und Leistung von

Windows und Apps.

• Einfach: Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Sicherheit: Daten, die benötigt werden, um das Gerät mit den neuesten

Sicherheitsaktualisierungen zu schützen.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der

Stufen Einfach und Sicherheit.

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

Sophos Mobile

WLAN

Einstellung/Feld

Tethering verbieten

WLAN-Optimierung (Hotspot-

Autoverbindung) verbieten

Konnektivität

Einstellung/Feld

Bluetooth verbieten

Beschreibung

ICS (Internet Connection Sharing) ist deaktiviert.

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Beschreibung

Bluetooth ist deaktiviert.

14.27.2 Konfiguration „WLAN“ (Windows-IoT-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Sicherheitstyp

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

14.27.3 Konfiguration „Root-Zertifikat“ (Windows-IoT-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Wählen Sie im Feld Datei eine Zertifikatsdatei vom Typ PKCS #12 (.pfx) aus und klicken Sie auf

Datei hochladen. Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das

Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile

296

15 Auftragspakete

Mit Auftragspaketen können Sie mehrere Aufträge in einer Transaktion bündeln. Somit können Sie alle Aufträge bündeln, die für die Registrierung und Konfiguration eines Gerätes notwendig sind:

• Gerät registrieren.

• Erforderliche Profile anwenden.

• Erforderliche Richtlinien anwenden.

• Erforderliche Apps installieren (zum Beispiel verwaltete Apps bei iOS-Geräten).

Sie können auch Wipe-Befehle in Auftragspakete einbeziehen, um Geräte, die gegen

Compliance-Regeln verstoßen (zum Beispiel Geräte mit Jailbreak oder gerootete Geräte), auf den

Auslieferungszustand zurückzusetzen. Weitere Informationen finden Sie in Compliance-Richtlinien

(Seite 36).

Auftragspakete sind für die folgenden Plattformen verfügbar:

• Android

• iOS

• macOS

• Windows

15.1 Auftragspakete erstellen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf die Plattform, für die Sie ein Auftragspaket erstellen wollen.

2. Klicken Sie auf der Seite Auftragspakete auf Auftragspaket erstellen.

Die Seite Auftragspaket bearbeiten wird angezeigt.

3. Geben Sie in den jeweiligen Feldern einen Namen und optional eine Beschreibung für das neue

Auftragspaket ein.

Die Version wird beim Speichern des Auftragspakets jedes Mal automatisch erhöht.

4. Optional: Wenn Sie Auswählbar als Compliance-Aktion auswählen, kann das Auftragspaket auf Geräte übertragen werden, wenn diese gegen eine Compliance-Regel verstoßen. Siehe

Compliance-Richtlinien

(Seite 36).

Hinweis

Diese Option ist deaktiviert, wenn Sie ein vorhandenes Auftragspaket bearbeiten, das bereits als Compliance-Aktion verwendet wird.

5. Optional: Für iOS-Auftragspakete wählen Sie Fehlgeschlagene App-Installationen ignorieren aus, damit die Verarbeitung des Auftragspakets nicht abgebrochen wird, wenn eine App-Installation fehlschlägt.

Diese Option ist deaktiviert, wenn das Auftragspaket keinen Auftrag vom Typ App installieren enthält.

6. Klicken Sie auf Auftrag erstellen.

7. Wählen Sie den Auftragstyp und klicken Sie auf Weiter.

Sophos Mobile

Die nächste Ansicht hängt vom gewählten Auftragstyp ab. In jeder Ansicht können Sie eigene aussagekräftige Auftragsnamen angeben. Diese Auftragsnamen werden während der Installation im Self Service Portal angezeigt.

8. Folgen Sie den Schritten im Assistenten, um den gewünschten Auftrag hinzuzufügen. Klicken Sie auf Anwenden, um den Auftrag zu erstellen.

9. Optional: Fügen Sie weitere Aufgaben zu dem Auftragspaket hinzu.

Hinweis

Sie können nicht gleichzeitig Android- und Android-Enterprise-Aufträge verwenden.

Tipp

Mit den Sortier-Pfeilsymbolen auf der rechten Seite der Auftragsliste können Sie die

Installationsreihenfolge der Aufträge festlegen.

10. Wenn Sie alle erforderlichen Aufträge zum Auftragspaket hinzugefügt haben, klicken Sie auf der

Seite Auftragspaket bearbeiten auf Speichern.

Das Auftragspaket steht für die Übertragung zur Verfügung. Es wird auf der Seite Auftragspakete angezeigt.

Hinweis

Wenn Sie ein vorhandenes Auftragspaket bearbeiten, das als Einrichtungspaket in den Self

Service Portal-Einstellungen verwendet wird, kann der Einrichtungsauftrag nicht gelöscht werden.

Siehe

Einstellungen für das Self Service Portal konfigurieren

(Seite 30).

Zugehörige Konzepte

Verfügbare Auftragstypen (Android)

(Seite 297)

Verfügbare Auftragstypen (iOS) (Seite 301)

Verfügbare Auftragstypen (macOS) (Seite 304)

Verfügbare Auftragstypen (Windows)

(Seite 305)

15.2 Verfügbare Auftragstypen (Android)

Für Android-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird er übersprungen.

Sophos-Container registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Sophos Mobile

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird er übersprungen.

Profil installieren oder Richtlinie zuweisen

Wählen Sie ein Profil oder eine Richtlinie aus. Informationen, wie Sie Profile oder Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und Richtlinien (Seite 103).

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend installiert, d.h. ohne

Benutzerinteraktion, bzw. die Richtlinie wird stillschweigend zugewiesen.

Profil deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein Profil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Sie können auch Profile deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten deinstallieren wollen.

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend deinstalliert.

Hinweis

Eine Sophos-Container-Richtlinie oder eine Mobile-Security-Richtlinie kann nicht auf diese Weise von Geräten deinstalliert werden. Verwenden Sie stattdessen die Geräteaktion Sophos-Container

deregistrieren bzw. SMSec deregistrieren. Dadurch wird auch die jeweils zugehörige Richtlinie vom Gerät entfernt.

App installieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

App hinzufügen

(Seite 308).

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App installieren möchte. Benutzer können auf

OK tippen, um die Installation durchzuführen, oder auf Nicht jetzt, um nach Ablauf einer kurzen

Zeitspanne erneut aufgefordert zu werden.

Falls Benutzer auf OK tippen, aber dann im nächsten Schritt auf Abbrechen tippen, schlägt der

Auftrag fehl.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

App aus Managed Google Play installieren

Dieser Auftragstyp ist verfügbar, wenn Sie Android Enterprise für den Kunden konfiguriert haben.

Wählen Sie eine App aus der Liste der Apps aus, die Sie in Managed Google Play für Ihr

Unternehmen genehmigt haben. Informationen, wie Sie Apps zu dieser Liste hinzufügen, finden Sie

in App aus Managed Google Play bearbeiten

(Seite 347).

Sophos Mobile

Der Installationsauftrag wird an Google gesendet. Die eigentliche Installation der App auf dem Gerät wird von Google verwaltet. Auf der Seite Auftragsstatus wird der Auftrag mit Status erfolgreich angezeigt, sobald er an Google gesendet wurde.

Alternativ können Sie Apps auch über die Seite Genehmigte Apps installieren. Siehe

App aus

Managed Google Play installieren (Seite 349).

Informationen, wie Sie eine App von Geräten deinstallieren, finden Sie in Apps aus Managed Google

Play deinstallieren

(Seite 350).

App deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Apps, um aus der Liste der verfügbaren Apps eine

App auszuwählen.

Neben den Apps, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Apps angezeigt, die auf einem verwalteten Gerät in Verwendung sind - ausgenommen Android-System-

Apps und vom Gerätehersteller vorinstallierte Apps.

Sie können auch Apps deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend den Paketnamen der App ein, die Sie von Geräten deinstallieren wollen. Wenn Sie Knox-Container-App auswählen, wird die App aus dem Samsung-Knox-

Container deinstalliert.

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App deinstallieren möchte. Benutzer können auf OK tippen, um die Installation durchzuführen, oder auf Nicht jetzt, um nach Ablauf einer kurzen

Zeitspanne erneut aufgefordert zu werden.

Falls Benutzer auf OK tippen, aber dann im nächsten Schritt auf Abbrechen tippen, schlägt der

Auftrag fehl.

Falls die App nicht auf einem Gerät installiert ist, das den Auftrag erhält, wird keine Benachrichtigung angezeigt.

Nachricht senden

Geben Sie einen Text ein, der auf den Geräten angezeigt werden soll.

Wenn der Auftrag an Geräte übertragen wird, wird der Hinweistext in einem

Benachrichtigungsfenster angezeigt. Benutzer können ältere Nachrichten in der App Sophos Mobile

Control lesen.

Deregistrieren

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

Geräte deregistrieren

(Seite 56). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Zurücksetzen

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sophos Mobile

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Hinweis

Wenn ein Auftrag vom Typ Zurücksetzen an ein Android-Enterprise-Gerät im Modus

„Profilbesitzer“ übertragen wird, werden nur das Arbeitsprofil und alle Apps aus Managed

Google Play entfernt.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Knox-Container: sperren

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container gesperrt.

Knox-Container: entsperren

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container entsperrt.

Knox-Container: Kennwort zurücksetzen

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird das

Knox-Container-Kennwort zurückgesetzt. Benutzer müssen ein neues Kennwort festlegen, um den

Knox-Container zu entsperren.

Knox-Container: entfernen

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container (inklusive aller zugehörigen Einstellungen) entfernt.

SMSec-Scan auslösen

Wenn der Auftrag an Geräte übertragen wird, wird die App Sophos Mobile Security stillschweigend angewiesen, das Gerät auf Malware und PUAs (Potentally Unwanted Apps) zu scannen.

Dieser Auftrag kann nur ausgeführt werden, wenn Sophos Mobile Security von Sophos Mobile

verwaltet wird, d.h., wenn dem Gerät eine Mobile-Security-Richtlinie zugewiesen ist. Siehe Sophos

Mobile Security verwalten

(Seite 366).

Falls der Auftrag an ein Gerät übertragen wird, auf dem Sophos Mobile Security nicht von Sophos

Mobile verwaltet wird, d.h., wenn dem Gerät keine Mobile-Security-Richtlinie zugewiesen ist, verbleibt der Auftrag im Status Wiederholung geplant.

Sophos Mobile

15.3 Verfügbare Auftragstypen (iOS)

Für iOS-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird er übersprungen.

Sophos-Container registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird er übersprungen.

Profil installieren oder Richtlinie zuweisen

Wählen Sie ein Profil oder eine Richtlinie aus. Informationen, wie Sie Profile oder Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und Richtlinien (Seite 103).

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend installiert, d.h. ohne

Benutzerinteraktion, bzw. die Richtlinie wird stillschweigend zugewiesen.

Profil deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein Profil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend deinstalliert.

Hinweis

Eine Sophos-Container-Richtlinie kann nicht auf diese Weise von Geräten deinstalliert werden.

Verwenden Sie stattdessen die Geräteaktion Sophos-Container deregistrieren. Dadurch wird auch die zugehörige Richtlinie vom Gerät entfernt.

Sophos Mobile

Provisionierungsprofil installieren

Wählen Sie ein App-Provisionierungsprofil aus der Liste der verfügbaren Profile aus. Informationen,

wie Sie Profile zu dieser Liste hinzufügen, finden Sie in Provisionierungsprofile für iOS-Apps importieren (Seite 106).

Wenn der Auftrag an Geräte übertragen wird, wird das Provisionierungsprofil stillschweigend installiert.

Provisionierungsprofil deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein

Provisionierungsprofil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Sie können auch Provisionierungsprofile entfernen, die nicht in der Liste enthalten sind. Wählen

Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten entfernen wollen.

Wenn der Auftrag an Geräte übertragen wird, wird das Provisionierungsprofil stillschweigend entfernt.

SMC-App neu konfigurieren

Wenn der Auftrag an ein Gerät übertragen wird, wird der Benutzer aufgefordert, einen QR-Code zu scannen oder Konfigurationsdetails manuell einzugeben. Dadurch wird eine zuvor deinstallierte App

Sophos Mobile Control wieder mit dem Server verbunden.

Hinweis

Sie sollten vor diesem Auftrag einen Auftrag App installieren für die App Sophos Mobile Control ausführen.

App installieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

App hinzufügen

(Seite 308).

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App installieren möchte. Benutzer können auf Installieren tippen, um die Installation durchzuführen, oder auf Abbrechen, um die Installation abzulehnen.

Falls Benutzer die Installation ablehnen, schlägt der Auftrag fehl.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

Sophos Mobile

App deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Apps, um aus der Liste der verfügbaren Apps eine

App auszuwählen.

Neben den Apps, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Apps angezeigt, die auf einem verwalteten Gerät in Verwendung sind - ausgenommen iOS-System-Apps.

Sie können auch Apps deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Bundle-ID der App ein, die Sie von Geräten deinstallieren wollen.

Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend deinstalliert.

Letzte iOS-Aktualisierung installieren

Wenn der Auftrag an Geräte übertragen wird, wird die neueste verfügbare Aktualisierung für iOS installiert. Abhängig vom Gerätemodell können verschiedene Aktualisierungen installiert werden.

Auf folgenden Geräten können Sie eine iOS-Aktualisierung durchführen:

• Betreute Geräte

• Betreute Apple-DEP-Geräte

Bei anderen Geräten schlägt der Auftrag fehl.

Nachricht senden

Geben Sie einen Text ein, der auf den Geräten angezeigt werden soll.

Wenn der Auftrag an Geräte übertragen wird, wird der Hinweistext in einem

Benachrichtigungsfenster angezeigt. Benutzer können ältere Nachrichten in der App Sophos Mobile

Control lesen.

Deregistrieren

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

Geräte deregistrieren

(Seite 56). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Zurücksetzen

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Sophos Mobile

15.4 Verfügbare Auftragstypen (macOS)

Für macOS-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird er übersprungen.

Geräterichtlinie zuweisen

Wählen Sie aus der Liste der verfügbaren macOS-Geräterichtlinien eine Richtlinie aus.

Informationen, wie Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und Richtlinien

(Seite 103).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Geräterichtlinie zugewiesen ist, wird diese ersetzt.

Benutzerrichtlinie zuweisen

Wählen Sie aus der Liste der verfügbaren macOS-Benutzerrichtlinien eine Richtlinie aus.

Informationen, wie Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und Richtlinien

(Seite 103).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Benutzerrichtlinie zugewiesen ist, wird diese ersetzt.

Benutzerrichtlinien werden auf Benutzer angewendet, wenn sich diese das nächste Mal am Mac anmelden.

App installieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

App hinzufügen

(Seite 308).

Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend installiert.

PKG-Paketdateien können mehrere Apps enthalten. In diesem Fall werden alle Apps installiert.

Hinweis

Der Auftragsstatus Erfolgreich bedeutet, dass das Gerät damit begonnen hat, die App herunterzuladen. Um zu kontrollieren, dass die App erfolgreich installiert wurde, synchronisieren

Sie das Gerät und prüfen Sie in den Gerätedetails die Liste der installierten Apps.

Sophos Mobile

VPP-Appzuweisung aufheben

Wählen Sie eine App aus der Liste der verfügbaren macOS-VPP-Apps aus.

Wenn der Auftrag an Geräte übertragen wird, wird die VPP-Lizenz allen Geräten entzogen, denen sie zugewiesen war.

Benutzer können die App noch für 30 Tage nutzen.

Deregistrieren

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

Geräte deregistrieren

(Seite 56). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Zurücksetzen

Legen Sie eine 6-stellige PIN für die Systemsperre fest.

Wenn der Auftrag an einen Mac übertragen wird, startet dieser neu und beginnt damit, die Festplatte zu löschen. Der Benutzer muss die PIN eingeben, um den Mac zu entsperren.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter

Sperr-PIN.

15.5 Verfügbare Auftragstypen (Windows)

Für Windows-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird er übersprungen.

Sophos Mobile

Richtlinie zuweisen

Wählen Sie aus der Liste der verfügbaren Geräterichtlinien eine Richtlinie aus. Informationen, wie

Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in Profile und Richtlinien

(Seite 103).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Geräterichtlinie zugewiesen ist, wird diese ersetzt.

App installieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

App hinzufügen

(Seite 308).

Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend installiert.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

App deinstallieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus.

Die Liste enthält Apps, die Sie am Sophos Mobile Server konfiguriert haben und Apps, die auf mindestens einem der verwalteten Windows-Computer installiert sind - ausgenommen Windows-

System-Apps.

Wenn der Auftrag an Geräte übertragen wird, wird die ausgewählte App stillschweigend deinstalliert.

Hinweis

Sie können nur Apps deinstallieren, die von Sophos Mobile installiert wurden. Wenn Sie versuchen, eine vom Benutzer installierte App zu deinstallieren, schlägt der Auftrag fehl.

306

Deregistrieren

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

Geräte deregistrieren

(Seite 56). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Zurücksetzen

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Sophos Mobile

15.6 Auftragspakete duplizieren

Da das Erstellen eines Auftragspakets zeitaufwändig sein kann, können Sie bereits vorhandene

Auftragspakete duplizieren. Diese Funktion ist hilfreich, wenn mehrere umfangreiche Auftragspakete mit ähnlichen Aufträgen erforderlich sind. Es müssen dann nur wenige Aufträge gelöscht oder hinzugefügt werden.

Hinweis

Sie können Auftragspakete nur dann duplizieren, wenn sie nicht gleichzeitig bearbeitet werden.

Die Kopien werden mit „Copy of“ und dem Namen des Originalprofils benannt. Sie können die

Namen der Pakete nach Ihren Anforderungen ändern.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf

Android oder iOS.

Die Seite Auftragspakete wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem Auftragspaket, das Sie duplizieren möchten, und anschließend auf Duplizieren.

Das Auftragspaket wird dupliziert und auf der Seite Auftragspakete angezeigt. Klicken Sie auf das duplizierte Auftragspaket, um es zu bearbeiten.

15.7 Auftragspakete an einzelne Geräte oder

Gerätegruppen übertragen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf

Android oder iOS.

Die Seite Auftragspakete wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem betreffenden Auftrag und anschließend auf

Übertragen.

Die Seite Geräte auswählen wird angezeigt.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Wählen Sie einzelne Geräte aus, an die das Auftragspaket übertragen werden soll.

• Klicken Sie auf Gerätegruppen auswählen, um die Seite Gerätegruppen auswählen zu öffnen. Wählen Sie dann eine oder mehrere Gerätegruppen für die Übertragung des

Auftragspakets aus.

4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Weiter.

Die Seite Ausführungszeit wählen wird angezeigt.

5. Wählen Sie unter Datum die Option Sofort oder geben Sie ein Datum und eine Uhrzeit für die

Ausführung dieses Auftrags an.

6. Klicken Sie auf Fertigstellen.

Die Seite Auftragsstatus wird angezeigt.

Das Auftragspaket wird zum angegebenen Zeitpunkt auf die ausgewählten Geräte übertragen.

Sophos Mobile

16 Apps

Sie konfigurieren Apps, damit diese mit Sophos Mobile Admin (Administrator-initiiert) oder mit der

App Sophos Mobile Control (Benutzer-initiiert) installiert werden können.

Die Verwaltung von Apps ist für die folgenden Plattformen verfügbar:

• Android

• iOS

• macOS

• Windows

• Windows Mobile

Gehen Sie wie folgt vor, um eine App in Sophos Mobile verfügbar zu machen:

• Das App-Paket auf den Sophos Mobile Server hochladen. Diese Option ist nicht verfügbar für

Windows-Mobile-Apps und für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Einen Link zu der App im jeweiligen App Store angeben.

Eine Beschreibung beider Arten finden Sie im Abschnitt

App hinzufügen (Seite 308).

Um eine App auf einem Gerät zu installieren, erstellen Sie ein Auftragspaket, das einen Auftrag App

installieren enthält. Für Android- und iOS-Geräte können Sie ein solches Auftragspaket direkt auf der Seite Apps erstellen. Siehe

App installieren

(Seite 309).

Hinweis

Damit App-Pakete, die auf dem Sophos Mobile Server gespeichert sind, installiert werden können, im Gegensatz zur Installation aus dem jeweiligen App-Store, müssen die folgenden Bedingungen erfüllt sein:

• Android: Auf den Geräten muss die Android-Sicherheitseinstellung Unbekannte Herkunft aktiviert sein. Falls Unbekannte Herkunft deaktiviert ist während Sie versuchen, eine APK-

Datei zu installieren, erhalten die Benutzer von der App Sophos Mobile Control einen Hinweis, wie sie diese Einstellung aktivieren können. Diese Einschränkung gilt nicht für Geräte mit LG

GATE, Samsung Knox oder Sony Enterprise API.

• iOS: Die App-Installation über IPA-Dateien ist nur für selbstentwickelte Apps möglich. Wenn die App fertiggestellt ist und verteilt werden kann, müssen Sie ein Provisionierungsprofil für die App erstellen dieses auf den Geräten verfügbar machen, entweder, indem Sie es vorab separat installieren, oder, indem Sie es in die IPA-Datei der App integrieren. Sie können Sophos Mobile verwenden, um Provisionierungsprofile an Ihre iOS-Geräte zu

verteilen. Siehe Provisionierungsprofile für iOS-Apps importieren

(Seite 106). Details zu

Provisionierungsprofilen finden Sie in der iOS Developer Library.

308

16.1 App hinzufügen

Sie stellen eine App für die Installation zur Verfügung, indem Sie entweder das App-Paket hochladen oder den App-Link im jeweiligen App Store angeben.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die

Plattform, für die Sie die App hinzufügen wollen.

Sophos Mobile

2. Klicken Sie auf App hinzufügen und wählen Sie anschließend die gewünschte Option aus:

• Android-Link: Hinzufügen einer Android-App durch Verlinken zu Google Play.

• Android-Paket: Hinzufügen einer Android-App durch Hochladen der APK-Datei zu Sophos

Mobile.

• iOS-Link: Hinzufügen einer iOS-App durch Verlinken zum App Store.

• iOS-Paket: Hinzufügen einer iOS-Enterprise-App durch Hochladen der IPA-Datei zu Sophos

Mobile.

• macOS-Paket: Hinzufügen einer macOS-Enterprise-App durch Hochladen der PKG-Datei zu

Sophos Mobile.

• Windows-Mobile-Link: Hinzufügen einer Windows-Mobile-App durch Verlinken zum Microsoft

Store.

• Windows-MSI-Link: Hinzufügen einer Windows-App durch Verlinken zur MSI-

Installationsdatei.

• Microsoft-Store-Link: Hinzufügen einer Windows-App durch Verlinken zum Microsoft Store.

3. Für iOS- und macOS-VPP-Apps klicken Sie auf VPP-Apps importieren, um die Liste der Apps zu laden, die Sie über das Apple-Programm für Volumenlizenzen (VPP) erworben haben. Siehe

Apple-VPP-Apps verwalten (Seite 321).

4. Konfigurieren Sie die gewünschten App-Einstellungen.

5. Klicken Sie auf Speichern, um die App-Einstellungen zu speichern und zur Seite Apps zurückzukehren.

Die App steht für die Installation zur Verfügung. Sie wird auf der Seite Apps angezeigt. Falls Sie das

Feld Verfügbar für Gerätegruppen konfiguriert haben, wird die App auch im Enterprise App Store der

App Sophos Mobile Control angezeigt und kann von dort von den Benutzern installiert werden. Der

Installationsvorgang läuft ohne oder nur mit sehr geringer Benutzerinteraktion.

Hinweis

Auf Geräten, auf denen Sophos Mobile nur den Sophos-Container verwaltet, sind keine Apps verfügbar, die Sie durch Hochladen der APK-Datei (für Android) bzw. der IPA-Datei (für iOS) hinzugefügt haben.

Verwandte Referenzinformationen

App-Einstellungen (Android)

(Seite 312)

App-Einstellungen (iOS)

(Seite 314)

App-Einstellungen (macOS)

(Seite 316)

App-Einstellungen (Windows Mobile) (Seite 317)

App-Einstellungen (Windows)

(Seite 318)

16.2 App installieren

Hinweis

Dieser Abschnitt gilt nicht für Android Enterprise. Zur Installation von Apps für Android Enterprise

siehe App aus Managed Google Play installieren (Seite 349).

Sophos Mobile

Hinweis

Dieser Abschnitt gilt nicht für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Eine App, die Sie wie in

App hinzufügen

(Seite 308) beschrieben zu Sophos Mobile hinzugefügt haben, können Sie manuell auf ausgewählten Geräten oder Gerätegruppen installieren.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die

Plattform, für die Sie eine App installieren wollen.

2. Klicken Sie auf der Seite Apps auf das blaue Dreieck neben der gewünschten App und anschließend auf Installieren.

3. Wählen Sie die Geräte aus, auf denen Sie die App installieren wollen. Gehen Sie wie folgt vor:

• Wählen Sie einzelne Geräte aus.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

Wenn Sie fertig sind, klicken Sie auf Weiter.

4. Legen Sie auf der Seite Ausführungszeit wählen den Zeitpunkt fest, zu dem die App installiert wird:

• Für eine sofortige Ausführung wählen Sie Sofort aus.

• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und

Uhrzeit ein.

5. Klicken Sie auf Fertigstellen.

Die ausgewählte App wird zum festgelegten Zeitpunkt auf den ausgewählten Geräten installiert.

Hinweis

Auf folgenden Geräten werden verwaltete Apps stillschweigend, d.h. ohne Benutzer-Interaktion, installiert:

• Betreute iOS-Geräte

• Android-Enterprise-Geräte

• Android-Geräte mit Samsung Knox Standard SDK 5.1 oder neuer

• Android-Geräte mit LG GATE

• Android-Geräte mit Sony Enterprise API Version 8 oder neuer

• Macs

• Windows-Computer, wenn Sie für die App die Installationsoption /quiet konfiguriert haben.

Auf den zuvor aufgeführten Geräten von Samsung, LG und Sony werden nur APK-Dateien stillschweigend installiert, aber keine Apps aus Google Play.

Tipp

Der Status des Installationsauftrags wird auf der Seite Auftragsstatus angezeigt.

Sophos Mobile

Tipp

Sie können eine App auch folgendermaßen installieren:

• Um eine App auf einem einzelnen Gerät zu installieren: Öffnen Sie auf der Seite Gerät

anzeigen des Gerätes das Tab Installierte Apps und klicken Sie auf App installieren.

• Um eine App auf mehreren Geräten zu installieren: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > App installieren.

• Um eine App auf einem oder mehreren Geräten als Teil eines Auftragspakets zu installieren:

Fügen Sie dem Auftragspaket einen Auftrag App installieren hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

16.3 App deinstallieren

Hinweis

Dieser Abschnitt gilt nicht für Android Enterprise. Zur Deinstallation von Apps für Android

Enterprise siehe

Apps aus Managed Google Play deinstallieren

(Seite 350).

Hinweis

Dieser Abschnitt gilt nicht für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Eine App, die Sie wie in

App hinzufügen

(Seite 308) beschrieben zu Sophos Mobile hinzugefügt haben, können Sie manuell von ausgewählten Geräten oder Gerätegruppen deinstallieren.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die

Plattform, für die Sie eine App deinstallieren wollen.

2. Klicken Sie auf der Seite Apps auf Deinstallieren.

3. Wählen Sie die Geräte aus, von denen Sie die App deinstallieren wollen. Gehen Sie wie folgt vor:

• Wählen Sie einzelne Geräte aus.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

Wenn Sie fertig sind, klicken Sie auf Weiter.

4. Wählen Sie auf der Seite App auswählen die gewünschte App aus.

5. Legen Sie auf der Seite Ausführungszeit wählen den Zeitpunkt fest, zu dem die App deinstalliert wird:

• Für eine sofortige Ausführung wählen Sie Sofort aus.

• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und

Uhrzeit ein.

6. Klicken Sie auf Fertigstellen.

Die ausgewählte App wird zum festgelegten Zeitpunkt von den ausgewählten Geräten deinstalliert.

Sophos Mobile

Hinweis

Von folgenden Geräten werden verwaltete Apps stillschweigend, d.h. ohne Benutzer-Interaktion, deinstalliert:

• Verwaltete Apps auf betreuten iOS-Geräten

• Windows-Computer, wenn Sie für die App die Installationsoption /quiet konfiguriert haben.

Tipp

Alternativ können Sie mit der folgenden Methode eine App von einem einzelnen Gerät deinstallieren: Öffnen Sie die Seite Gerät anzeigen für das gewünschte Gerät, wechseln Sie auf das Tab Installierte Apps und klicken Sie auf das Mülleimer-Symbol neben dem App-Namen.

16.4 App-Einstellungen (Android)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

App-ID ist bereits vorhanden.

App-Kategorie

Verfügbar für Gerätegruppen

Beschreibung

Der Name der App.

Die Version, die im Enterprise App Store angezeigt wird.

Für App-Links: Sophos Mobile verwendet die

Version aus Google Play.

Die interne Kennung der App.

Für App-Links: Klicken Sie auf Informationen

abrufen, um den Wert aus Google Play zu verwenden.

Für App-Pakete: Sophos Mobile verwendet den

Wert aus der APK-Datei.

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf

Anzeigen und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Einstellung/Feld

Beschreibung

In Knox-Container installieren

Sophos Mobile

Beschreibung

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus Google

Play angezeigt.

Für Samsung-Knox-Geräte wird die App im

Knox-Container installiert.

Diese Einstellung ist nur verfügbar, wenn Sie eine Samsung-Knox-Lizenz konfiguriert haben.

Einstellungen für App-Links

Einstellung/Feld

Link

Beschreibung

Die URL der App in Google Play.

Um die URL zu bestimmen, klicken Sie auf

Google Play öffnen, um Google Play in einem neuen Browser-Tab zu öffnen, und navigieren

Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das Feld Link.

Nachdem Sie die URL eingegeben haben, klicken Sie auf Informationen abrufen, um das Feld App-ID ist bereits vorhanden. automatisch auszufüllen.

Einstellungen für App-Pakete

Einstellung/Feld

Datei hochladen

Beschreibung

Klicken Sie auf Datei hochladen, um die

App zum Sophos Mobile Server hochzuladen.

Navigieren Sie zu der APK-Datei und klicken

Sie auf Öffnen.

Tipp

Alternativ können Sie die Datei aus dem

Datei-Explorer in den Bereich Datei

hochladen ziehen.

Sophos Mobile

Zugehörige Aufgaben

App hinzufügen (Seite 308)

16.5 App-Einstellungen (iOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

App-ID ist bereits vorhanden.

App-Kategorie

Verfügbar für Gerätegruppen

Installation verwaltet von Sophos Mobile

Beschreibung

Der Name der App.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Die Version, die im Enterprise App Store angezeigt wird.

Für App-Links: Sophos Mobile verwendet die

Version aus dem App Store.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Die interne Kennung der App.

Sophos Mobile ermittelt diesen Wert aus dem

App Store bzw. aus der IPA-Datei.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf

Anzeigen und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Die App wird als verwaltete App installiert.

Siehe

Verwaltete iOS-Apps (Seite 321).

Diese Einstellung beeinflusst nur Apps, die vom Benutzer über den Enterprise App Store installiert werden. Apps, die Sie über Sophos

Mobile Admin installieren, sind immer verwaltet.

Einstellung/Feld

Beschreibung

Sophos Mobile

Beschreibung

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus dem App

Store angezeigt.

Einstellungen für App-Links

Einstellung/Feld

Im App Store suchen

Link

Einstellungen und VPN

VPP-Lizenzen

Beschreibung

Klicken Sie auf Im App Store suchen, um in der App-Store-Datenbank nach der App zu suchen.

Wenn Sie eine App in den Suchergebnissen auswählen, werden folgende Felder automatisch ausgefüllt:

• App-ID ist bereits vorhanden.

• App-Kategorie

• Link

Die URL der App im App Store.

Um die URL zu bestimmen, klicken Sie auf App

Store öffnen, um iTunes Link Maker in einem neuen Browser-Tab zu öffnen. Navigieren Sie in Link Maker zu der App und kopieren Sie anschließend die unter Directlink angezeigte

URL in das Feld Link in Sophos Mobile Admin.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Klicken Sie auf Anzeigen, um eine VPN-

Verbindung zu konfigurieren, die beim

Starten der App aktiviert wird, oder, um benutzerdefinierte App-Einstellungen zu konfigurieren.

Klicken Sie auf Anzeigen, um die App

Benutzern oder Geräten manuell zuzuweisen.

Siehe

VPP-Apps manuell zuweisen

(Seite

325).

Sophos Mobile

Einstellungen für App-Pakete

Einstellung/Feld

Datei hochladen

Beschreibung

Klicken Sie auf Datei hochladen, um die

App zum Sophos Mobile Server hochzuladen.

Navigieren Sie zu der IPA-Datei und klicken Sie auf Öffnen.

Tipp

Alternativ können Sie die Datei aus dem

Datei-Explorer in den Bereich Datei

hochladen ziehen.

316

Zugehörige Aufgaben

App hinzufügen (Seite 308)

16.6 App-Einstellungen (macOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

App-ID ist bereits vorhanden.

App-Kategorie

Beschreibung

Der Name der App.

Für App-Pakete: Sophos Mobile verwendet den

Wert aus der PKG-Datei.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Die Version der App aus dem App Store.

Für App-Pakete: Sophos Mobile verwendet den

Wert aus der PKG-Datei.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Die interne Kennung der App.

Für App-Pakete: Sophos Mobile verwendet den

Wert aus der PKG-Datei.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Eine Kategorie, zum Beispiel Produktivität .

Der Wert wird derzeit nicht verwendet.

Einstellung/Feld

Beschreibung

Sophos Mobile

Beschreibung

Eine Beschreibung der App.

Der Wert wird derzeit nicht verwendet.

Einstellungen für VPP-App-Links

Einstellung/Feld

Link

VPP-Lizenzen

Beschreibung

Die URL der App im App Store.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Klicken Sie auf Anzeigen, um die App

Benutzern oder Geräten manuell zuzuweisen.

Siehe

VPP-Apps manuell zuweisen

(Seite

325).

Einstellungen für App-Pakete

Einstellung/Feld

Datei hochladen

Beschreibung

Klicken Sie auf Datei hochladen, um die

App zum Sophos Mobile Server hochzuladen.

Navigieren Sie zu der PKG-Datei und klicken

Sie auf Öffnen.

Hinweis

PKG-Paketdateien können mehrere Apps enthalten. In diesem Fall werden nur für eine App

Name, Version und interne Kennung angezeigt.

16.7 App-Einstellungen (Windows Mobile)

Einstellung/Feld

Name

Version

Beschreibung

Der Name der App.

Die App-Version.

Sophos Mobile verwendet die Version aus dem

Microsoft Store.

Sophos Mobile

Einstellung/Feld

App-Kategorie

Beschreibung

Verfügbar für Gerätegruppen

Link

Beschreibung

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus dem

Microsoft Store angezeigt.

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf

Anzeigen und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Die URL der App im Microsoft Store.

Um die URL zu bestimmen, klicken Sie auf

Microsoft Store öffnen, um den Microsoft

Store für Windows-Phone-Apps in einem neuen Browser-Tab zu öffnen, und navigieren

Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das Feld Link.

Zugehörige Aufgaben

App hinzufügen (Seite 308)

16.8 App-Einstellungen (Windows)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

App-Kategorie

Beschreibung

Der Name der App.

Die App-Version.

Für App-Links verwendet Sophos Mobile die

Version aus dem Microsoft Store.

Eine Kategorie, zum Beispiel Produktivität .

Sophos Mobile

Einstellung/Feld

Beschreibung

Beschreibung

Eine Beschreibung der App.

Einstellungen für MSI-Links

Einstellung/Feld

ProductCode GUID

Beschreibung

Die ProductCode -GUID der MSI-Datei.

Hinweis

Wenn Sie einen falschen Wert eingeben, kann die

App nicht deinstalliert werden.

Link

SHA-256-Hashwert

Die URL der MSI-Datei.

Der SHA-256-Hash-Wert der MSI-Datei.

Hinweis

Wenn Sie einen falschen Hash-Wert eingeben, kann die App nicht installiert werden.

Installationsoptionen Die Kommandozeilen-Optionen für das

Installationsprogramm msiexec.exe

Mit der Standardoption /quiet wird die App ohne Benutzer-Interaktion installiert.

Weitere Informationen zu diesen Einstellungen finden Sie in Einstellungen für Windows-MSI-Links ermitteln

(Seite 320).

Einstellungen für Microsoft-Store-Links

Einstellung/Feld

Store ID

SKU ID

Beschreibung

Die Store ID der App im Microsoft Store. Der

Wert wird automatisch eingetragen, wenn Sie auf Informationen abrufen klicken.

Die SKU ID (Stock-Keeping Unit ID) der App im

Microsoft-Store-Katalog.

Eine App kann unterschiedliche SKU IDS haben, z.B. für Voll- und Testversionen oder für verschiedene Vermarktungsregionen.

Wenn Sie die SKU ID einer App nicht kennen, verwenden Sie den Standardwert 0010 .

Sophos Mobile

Einstellung/Feld

Package Family Name

Link

Beschreibung

Der Package Family Name (PFN) der App.

Der Wert wird automatisch eingetragen, wenn

Sie auf Informationen abrufen klicken.

Die URL der App im Microsoft Store.

Um die URL zu bestimmen, klicken Sie auf

Microsoft Store öffnen, um den Microsoft

Store für Windows-Apps in einem neuen

Browser-Tab zu öffnen, und navigieren Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das Feld Link.

Nachdem Sie die URL eingegeben haben, klicken Sie auf Informationen abrufen, um folgende Felder automatisch auszufüllen:

• Product ID

• Package Family Name

Zugehörige Aufgaben

App hinzufügen (Seite 308)

16.9 Einstellungen für Windows-MSI-Links ermitteln

Dieser Abschnitt enthält Informationen, wie Sie die App-Einstellungen für Windows-MSI-Links ermitteln.

• ProductCode GUID

—

Wenn Sie bereits das Microsoft Windows SDK installiert haben, verwenden

Sie das darin enthaltene Programm Orca , um den ProductCode-Wert einer MSI-Datei zu ermitteln.

Ein Beispiel hierfür finden Sie auf der Internetseite Use Orca to find MSI file GUID product code .

Alternativ können Sie ein PowerShell-Skript verwenden. Solche Skripte finden Sie im Internet, zum Beispiel auf der Internetseite How to get MSI file information with PowerShell .

Hinweis

Im Feld ProductCode GUID müssen Sie den Wert ohne geschweifte Klammern eingeben.

• SHA-256-Hashwert

—

Verwenden Sie den PowerShell-Befehl Get-FileHash , um den SHA-256-

Hash-Wert einer MSI-Datei zu ermitteln:

PS> Get-FileHash <Pfad-zur-MSI-Datei>

Weitere Informationen zum Befehl Get-FileHash finden Sie auf der Microsoft-Internetseite

Get-FileHash .

• Installationsoptionen

—

Informationen zu den Kommandozeilen-Optionen für die Installation von

MSI-Dateien finden Sie auf der Microsoft-Internetseite Standard Installer Command-Line Options .

Sophos Mobile

Verwandte Referenzinformationen

App-Einstellungen (Windows)

(Seite 318)

16.10 Verwaltete iOS-Apps

Wenn Sie iOS-Apps zu Sophos Mobile hinzufügen, können Sie einstellen, ob diese auf den Geräten der Benutzer verwaltet oder nicht verwaltet installiert werden.

Verwaltete Apps haben folgende Eigenschaften:

• Wenn Benutzer eine verwaltete App im Enterprise App Store auswählen, wird ein

Installationsauftrag erstellt, der von Sophos Mobile bearbeitet wird. Wenn Benutzer dagegen eine nicht verwaltete App auswählen, werden Sie für die Installation zum Apple App Store weitergeleitet.

• In Sophos Mobile Admin können Sie verwaltete Apps löschen. Für nicht verwaltete Apps ist dies nicht möglich.

• Auf betreuten (supervised) iOS-Geräten werden verwaltete Apps stillschweigend, d.h. ohne

Benutzer-Interaktion, installiert und deinstalliert.

• In iOS-Geräteprofilen sind einige Einstellungen nur für verwaltete Apps verfügbar.

• Wenn ein iOS-Gerät bei Sophos Mobile deregistriert wird, werden alle verwalteten Apps automatisch vom Gerät deinstalliert. Nicht verwaltete Apps bleiben auf dem Gerät.

Ob eine App verwaltet oder nicht verwaltet installiert wird, ergibt sich aus folgenden Regeln:

• Apps, die Sie über Sophos Mobile Admin installieren, sind immer verwaltet.

• Apps, die der Benutzer über den App Store installiert, sind immer nicht verwaltet.

• Apps, die der Benutzer über den Enterprise App Store installiert, sind verwaltet, wenn Sie in

den App-Eigenschaften die Einstellung SMC-verwaltete Installation aktiviert haben. Siehe App hinzufügen

(Seite 308).

Um den Status einer App auf einem Gerät festzustellen, gehen Sie auf die Seite Gerät anzeigen für

das Gerät und öffnen Sie das Tab Installierte Apps. Siehe Die Seite „Gerät anzeigen“ (Seite 58).

Tipp

Sie können Apps, die vom Benutzer nicht verwaltet installiert wurden, in verwaltete Apps umwandeln. Konfigurieren Sie hierzu die App in Sophos Mobile als verwaltet und erstellen Sie anschließend einen Installationsauftrag. Da die App bereits installiert ist, wird sie nicht erneut installiert. Allerdings ändert sich der Status von nicht verwaltet in verwaltet.

16.11 Apple-VPP-Apps verwalten

Mit dem Apple-Programm für Volumenlizenzen (VPP) können Sie Lizenzen für iOS- und macOS-

Apps erwerben. Diese Lizenzen können Sie dann innerhalb Ihrer Organisation zuweisen.

Nachdem die Bestellung abgeschlossen ist, können Sie ein Service-Token (sToken) herunterladen.

Dieses enthält die Lizenzen für die erworbenen Apps.

VPP-Apps Benutzern oder Geräten zuweisen

iOS-VPP-Apps können Sie entweder Benutzern oder Geräten zuweisen. macOS-VPP-Apps können

Sie Geräten zuweisen:

Sophos Mobile

• Wenn Sie eine iOS-VPP-App einem Benutzer zuweisen, kann dieser die App auf allen bei Sophos

Mobile registrierten iPhones und iPads installieren, die mit seiner Apple-ID verknüpft sind.

• Wenn Sie eine iOS-VPP-App einem Gerät zuweisen, brauchen Sie das Gerät nicht mit einer Apple-

ID zu verknüpfen.

• Wenn Sie eine macOS-VPP-App einem Mac zuweisen, steht sie allen Benutzern zur Verfügung, die sich an dem Mac anmelden.

Siehe

VPP-Apps manuell zuweisen

(Seite 325) und VPP-Apps automatisch zuweisen (Seite

326).

Benutzer zu Apple VPP einladen

Bevor Sie Benutzern eine VPP-App zuweisen können, müssen Sie sie zu VPP einladen. Siehe

Benutzer zu Apple VPP einladen

(Seite 323).

Geräte brauchen Sie nicht zu VPP einladen.

VPP-Apps installieren

Sie installieren VPP-Apps in Sophos Mobile Admin auf die gleiche Weise wie andere Apps. Siehe

App installieren

(Seite 309).

Benutzer können iOS-VPP-Apps über die App-Store-App aus der Liste erworbener Apps installieren.

Für macOS-VPP-Apps ist dies nicht möglich.

Zuweisung von VPP-Apps aufheben

Sie haben folgende Möglichkeiten, die Zuweisung einer VPP-App aufzuheben:

• Sie deselektieren die gewünschten Benutzer oder Geräte auf der Detailseite der App.

• iOS-Apps: Sie deselektieren die App auf der Detailseite eines Benutzers.

• macOS-Apps: Sie übertragen ein Auftragspaket mit einem Auftrag VPP-Appzuweisung aufheben an das Gerät.

VPP-Lizenzen werden in folgenden Situationen automatisch freigegeben:

• Wenn die App vom Gerät deinstalliert wird.

• Wenn das Gerät bei Sophos Mobile deregistriert wird.

Tipp

Wenn Sie die Zuweisung einer VPP-App aufheben, können Benutzer die App noch für 30 Tage verwenden.

322

16.11.1 Apple VPP einrichten

Für die Einrichtung von Apple VPP laden Sie das sToken (Service-Token) Ihres Apple-VPP-Kontos zu

Sophos Mobile hoch und konfigurieren Sie die Einstellungen für die App-Zuweisung.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple VPP.

2. Klicken Sie auf den Link Apple iTunes VPP Portal.

Sophos Mobile

Dies öffnet das Apple-VPP-Webportal in einem neuen Browser-Fenster.

3. Wählen Sie auf dieser Webseite den Punkt Unternehmen aus.

4. Geben Sie im Dialog Store für Unternehmen: Anmeldung Ihre Apple-ID und Ihr Kennwort ein.

5. Navigieren Sie zu der Seite Account Summary und klicken Sie auf Download Token.

Das sToken wird generiert und, abhängig von den Download-Einstellungen Ihres Webbrowsers, auf Ihrem lokalen Computer in einer Textdatei mit Endung .vpptoken

gespeichert.

6. Optional: Verschieben Sie die sToken-Datei an einen Ort, auf den Sie von Sophos Mobile Admin aus zugreifen können.

7. Öffnen Sie in Sophos Mobile Admin erneut das Tab Apple VPP, klicken Sie auf Datei hochladen, wählen Sie die sToken-Datei aus und klicken Sie anschließend auf Öffnen.

Sophos Mobile liest die Datei ein und füllt die Felder Organisation und Ablaufdatum mit den

Angaben aus dem sToken.

8. Konfigurieren Sie in VPP-Apps automatisch bei der Installation zuweisen die automatische

Zuweisung von VPP-Apps. Siehe VPP-Apps automatisch zuweisen

(Seite 326).

9. Optional: Wählen Sie Automatische Aktualisierung von iOS-VPP-Apps, die Geräten

zugewiesenen sind aus, um den Benutzer zu informieren, wenn für eine VPP-App eine

Aktualisierung verfügbar ist. Dies gilt für VPP-Apps, die einem iPhone oder iPad zugewiesen sind.

Für VPP-Apps, die einem Benutzer zugewiesen sind, muss der Benutzer im App Store prüfen, ob Aktualisierungen verfügbar sind.

10. Optional: Füllen Sie die weiteren Felder auf dem Tab Apple VPP aus.

Im Feld Country (Land) geben Sie Ihren zweistelligen Landescode ein, zum Beispiel DE für

Deutschland.

11. Klicken Sie auf Speichern.

16.11.2 Benutzer zu Apple VPP einladen

Bevor Sie Benutzer zum Apple-Programm für Volumenlizenzen (VPP) einladen können, müssen Sie ein sToken einrichten. Siehe

Apple VPP einrichten (Seite 322).

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Personen.

2. Auf der Seite Personen können Sie alle oder einzelne Benutzer zu Apple VPP einladen:

• Um alle Benutzter einzuladen: a) Klicken Sie oben auf der Seite Personen auf Benutzer zu Apple VPP einladen.

b) Klicken Sie im Bestätigungsdialog auf Ja.

• Um einen einzelnen Benutzer einzuladen: a) Klicken Sie auf den gewünschten Benutzer.

b) Klicken Sie auf der nächsten Seite auf Benutzer zu VPP einladen.

c) Klicken Sie im Bestätigungsdialog auf Ja.

• Um einen einzelnen Benutzer einzuladen, wenn Sie eine externe Benutzerverwaltung verwenden und der Benutzer noch keine Geräte registriert hat: a) Klicken Sie oben auf der Seite Personen auf Benutzer suchen und zu Apple VPP

einladen.

b) Geben Sie im Dialog Benutzer suchen entweder einen Namen oder eine E-Mail-Adresse ein, um nach dem Benutzer zu suchen.

c) Wählen Sie in der Liste der Suchergebnisse den Benutzer aus, den Sie zu Apple VPP einladen wollen.

Sophos Mobile d) Klicken Sie auf Anwenden.

Sophos Mobile schickt eine Einladungs-E-Mail an alle relevanten Benutzer.

Die Benutzer müssen den Link aus der Einladungs-E-Mail verwenden, um ihr Apple-iTunes-Konto mit Apple VPP zu verknüpfen. Danach können sie die von Ihrem Unternehmen lizenzierten Apps installieren und verwenden.

Hinweis

Wenn Sie ein externes Benutzerverzeichnis verwenden und alle Benutzer zu Apple VPP einladen, werden Benutzer, für die keine E-Mail-Adresse hinterlegt ist, zwar für Apple VPP registriert. Sie erhalten aber nicht den Link, mit dem sie ihr Apple-iTunes-Konto mit Apple VPP verknüpfen können.

Information, wie Sie in diesem Fall den Registrierungsprozess für Apple VPP abschließen können, finden Sie in

Benutzer ohne E-Mail-Adresse zu Apple VPP einladen (Seite 324).

324

16.11.3 Benutzer ohne E-Mail-Adresse zu Apple VPP einladen

Diese Prozedur setzt ein Superadministrator-Konto voraus und gilt daher nicht für Sophos Mobile as a

Service.

Wenn Sie Benutzer aus einem externen Benutzerverzeichnis wie in Benutzer zu Apple VPP einladen

(Seite 323) beschrieben zu Apple VPP einladen, werden Benutzer, für die keine E-Mail-Adresse hinterlegt ist, zwar für Apple VPP registriert. Sie erhalten aber nicht den Link, mit dem sie ihr AppleiTunes-Konto mit Apple VPP verknüpfen können.

Führen Sie in diesem Fall die folgenden Schritte aus, um die Apple-VPP-Registrierung abzuschließen.

1. Melden Sie sich als Sophos Mobile Superadministrator an und laden Sie die Logdateien des

Servers herunter.

Siehe das Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

2. Ermitteln Sie anhand der Logdateien die betroffenen Benutzerkonten.

3. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter VERWALTUNG auf Personen.

4. Klicken Sie auf einen betroffenen Benutzer.

5. Klicken Sie auf der nächsten Seite auf Einladungslink anzeigen.

Bei externen Benutzern ohne E-Mail-Adresse wird hierdurch keine Einladungs-E-Mail verschickt, sondern es wird der Einladungslink in einem Benachrichtigungsfenster angezeigt.

6. Teilen Sie diesen Link dem Benutzer mit.

7. Wiederholen Sie dies für alle betroffenen Benutzer.

Die Benutzer müssen den Link verwenden, um ihr Apple-iTunes-Konto mit Apple VPP zu verknüpfen.

16.11.4 Apple-VPP-Benutzer verwalten

Wenn Sie Apple VPP eingerichtet haben, gibt es auf der Seite Benutzer anzeigen einen Abschnitt

Apple-Programm für Volumenlizenzen (VPP).

Sie können für jeden Benutzer den VPP-Status anzeigen oder bearbeiten.

• Apple-VPP-Benutzerstatus anzeigen.

— Registriert: Der Benutzer wurde zu Apple VPP eingeladen, hat sein Apple-iTunes-Konto aber noch nicht mit Apple VPP verknüpft.

Sophos Mobile

— Verbunden: Der Benutzer hat sein Apple-iTunes-Konto mit Apple VPP verknüpft und kann

VPP-Apps installieren.

• Vom Benutzer installierte VPP-Apps anzeigen.

• Den Benutzer zu VPP einladen.

Eine E-Mail mit einem Einladungslink wird an den Benutzer verschickt. Wenn im Benutzerkonto keine E-Mail-Adresse hinterlegt ist, wird der Einladungslink in einem Hinweisfenster angezeigt.

• Falls erforderlich, können Sie die Einladungs-E-Mail erneut senden.

• Die Registrierung des Benutzers für Apple VPP aufheben.

16.11.5 VPP-Apps manuell zuweisen

Sie können VPP-Apps einzelnen Benutzern oder Geräten zuweisen.

Tipp

Sie können eine App automatisch bei der Installation zuweisen. Siehe

VPP-Apps automatisch zuweisen (Seite 326).

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > iOS bzw. Apps > macOS.

2. Klicken Sie auf VPP-Apps importieren.

Hierdurch werden vom Apple-VPP-Server Informationen zu Ihren Apps abgerufen und, falls erforderlich, neue App-Einträge in Sophos Mobile erstellt.

3. Klicken Sie auf die VPP-App, die Sie Benutzern oder Geräten zuweisen wollen.

Tipp

VPP-Apps sind in der Spalte VPP markiert.

4. Klicken Sie neben VPP-Lizenzen auf Anzeigen.

5. Wählen Sie die Benutzer oder Geräte aus, denen Sie die App zuweisen wollen.

Sie können alle Benutzer mit dem Apple-VPP-Status „Registriert“ oder „Verbunden“ auswählen und alle Geräte mit dem Status Verwaltet.

macOS-Apps können Sie nur Geräten zuweisen.

6. Optional können Sie die App Geräten zuweisen, indem Sie Gerätegruppen auswählen: a) Klicken Sie neben Verfügbar für Gerätegruppen auf Anzeigen.

b) Wählen Sie die Gerätegruppen aus.

7. Auf iOS-Geräten werden VPP-Apps standardmäßig als verwaltete Apps installiert. Um eine App als nicht verwaltete App zu installieren, deaktivieren Sie das Kontrollkästchen Installation verwaltet

von Sophos Mobile.

8. Klicken Sie auf Speichern. Hierdurch werden die App-Zuweisungen auch mit dem Apple-VPP-

Server synchronisiert.

Hinweis

Da der Status von VPP-Apps vom Apple-VPP-Server verwaltet wird, dauert es möglicherweise einige Zeit, bis Änderungen, die Sie in Sophos Mobile machen, auf den Geräten sichtbar werden.

Sophos Mobile

16.11.6 VPP-Apps automatisch zuweisen

Sie können VPP-Apps automatisch bei der Installation zuweisen.

Bei iOS-VPP-Apps können Sie wählen, ob die App dem Gerät zugewiesen wird oder dem Benutzer, der dem Gerät zugewiesen ist.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple VPP.

2. Wählen Sie in VPP-Apps automatisch bei der Installation zuweisen eine der folgenden

Optionen aus:

• Gerätezuweisung bevorzugen: iOS-VPP-Apps werden dem Gerät zugewiesen. Falls das

Gerät keine VPP-Zuweisung unterstützt, werden Apps dem Gerätebenutzer zugewiesen.

• Benutzerzuweisung bevorzugen: iOS-VPP-Apps werden dem Gerätebenutzer zugewiesen. Falls es keinen Gerätebenutzer gibt, werden Apps dem Gerät zugewiesen.

• Deaktiviert: Sie müssen VPP-Apps manuell zuweisen.

Hinweis macOS-VPP-Apps können Sie nicht Benutzern zuweisen. Durch beide Optionen

Gerätezuweisung bevorzugen und Benutzerzuweisung bevorzugen wird die automatische

Zuweisung aktiviert.

16.11.7 VPP-Lizenzinformationen synchronisieren

Aus Performance-Gründen verwaltet Sophos Mobile eine lokale Kopie der VPP-Lizenzinformationen.

Sie können bei Bedarf die in Sophos Mobile gespeicherten VPP-Informationen neu vom Apple-VPP-

Server laden.

Hinweis

Sie müssen die VPP-Informationen nur dann neu laden, wenn die für eine App angezeigten

Lizenz-Informationen falsch sind.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Apple-Einrichtung und

öffnen Sie anschließend das Tab Apple VPP.

2. Klicken Sie auf VPP-Cache löschen.

Sophos Mobile verwirft die lokalen VPP-Informationen für den Kunden und synchronisiert die Daten mit dem Apple-VPP-Server.

Hinweis

Informationen, wie Sie die Lizenzinformationen für eine VPP-App anzeigen, finden Sie in VPP-

Apps manuell zuweisen (Seite 325).

Sophos Mobile

16.12 Einer iOS-App eine VPN-Verbindung zuweisen

Wenn Sie einer iOS-App eine VPN-Verbindung zuweisen, verwendet die App diese Verbindung für ihre Netzwerkkommunikation.

Voraussetzung: Sie haben eine oder mehrere iOS-Geräteprofile mit einer Konfiguration VPN pro

App erstellt. Siehe

Konfiguration „VPN pro App“ (iOS-Geräteprofil) (Seite 204).

So weisen Sie einer iOS-App eine VPN-Verbindung zu:

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > iOS.

2. Klicken Sie auf der Seite Apps auf die gewünschte App.

3. Klicken Sie neben Einstellungen und VPN auf Anzeigen.

4. Wählen Sie in Von der App verwendete VPN-Verbindung eine VPN-Verbindung aus.

Die Liste enthält die Konfigurationen VPN pro App aus allen iOS-Geräteprofilen.

5. Klicken Sie auf der Seite Einstellungen und VPN bearbeiten auf Anwenden.

6. Klicken Sie auf Speichern.

16.13 Verwaltete App-Konfiguration (iOS)

Die verwaltete App-Konfiguration ist ein Feature von iOS-Apps, mit dem Sie eine App ferngesteuert konfigurieren können, d.h. ohne physischen Zugriff auf das Gerät, auf dem die App installiert ist.

Voraussetzungen:

• Der Entwickler der App hat die verwaltete App-Konfiguration eingebaut.

• Die App wurde als verwaltete App installiert. Siehe

Verwaltete iOS-Apps

(Seite 321).

So fügen Sie eine verwaltete App-Konfiguration hinzu:

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > iOS.

2. Klicken Sie auf der Seite Apps auf die gewünschte App.

3. Klicken Sie neben Einstellungen und VPN auf Anzeigen.

4. Klicken Sie unter Verwaltete Konfiguration auf Parameter hinzufügen.

5. Geben Sie die erforderlichen Informationen ein.

6. Klicken Sie auf der Seite Einstellungen und VPN bearbeiten auf Anwenden.

7. Klicken Sie auf Speichern.

Sophos Mobile

328

17 App-Gruppen

In Sophos Mobile können Sie App-Gruppen erstellen, um Listen von Apps für Profile, Geräte-

Richtlinien und Compliance-Richtlinien zu definieren.

App-Gruppen werden in folgenden Bereichen verwendet:

• In der Konfiguration App Protection von Android-Geräteprofilen.

• In der Konfiguration App Control von Android-Geräteprofilen.

• In der Konfiguration Einschränkungen von Android-Geräteprofilen, iOS-Geräteprofilen und Knox-

Container-Profilen.

• In der Konfiguration App-Einschränkungen von Windows Mobile Richtlinien.

• In Compliance-Richtlinien zur Angabe von Listen für erlaubte, unzulässige und erforderliche Apps.

17.1 App-Gruppen erstellen

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf App-Gruppen und anschließend auf die

Plattform, für die Sie die App-Gruppe erstellen wollen.

2. Klicken Sie auf App-Gruppe erstellen.

3. Geben Sie auf der Seite App-Gruppe bearbeiten einen Namen für die neue App-Gruppe ein und klicken Sie anschließend auf App hinzufügen.

4. Wählen Sie eine App aus, die Sie zur Gruppe hinzufügen wollen:

• Um eine App aus allen Apps auszuwählen, die aktuell auf einem der verwalteten Geräte installiert sind, klicken Sie auf App-Liste und wählen Sie eine App aus.

• Um eine App manuell hinzuzufügen, klicken Sie auf Benutzerdefiniert und konfigurieren Sie die App-Details.

Einstellungen für Android-Apps:

Name

Kennung

Link

Ein eindeutiger Name, um die App zu identifizieren.

Der Paketname der App.

Sie können den Paketnamen anhand der URL der App in Google Play ermitteln. Zum Beispiel hat die App Sophos Mobile Control die URL play.google.com/store/apps/details?

id=com.sophos.mobilecontrol.client.android

und damit den Paketnamen com.sophos.mobilecontrol.client.android

Für Apps aus Managed Google Play (d.h. Apps für Android-

Enterprise-Geräte) müssen Sie dem Paketnamen die

Zeichenfolge app: voranstellen.

Die URL der App in Google Play.

Einstellungen für iOS- und macOS-Apps:

Sophos Mobile

Name

Kennung

Link

Ein eindeutiger Name, um die App zu identifizieren.

Die Bundle-ID der App.

Die URL der App im App Store.

Einstellungen für Windows-Mobile-Apps:

Name

Kennung

Link

Ein eindeutiger Name, um die App zu identifizieren.

Der GUID-Wert der App.

Wenn Sie den GUID-Wert nicht kennen, können Sie alternativ das Feld Link ausfüllen.

Die URL der App im Microsoft Store.

Zum Beispiel hat die App Sophos Mobile Control die URL https://www.microsoft.com/de-de/store/p/ mobile-control-2017/9nblggh51qsj .

Einstellungen für Windows-Apps:

Name Ein eindeutiger Name, um die App zu identifizieren.

Kennung Die ID der App, wie sie von Windows angezeigt wird.

Für MSI-Apps ist dies die ProductCode -GUID der MSI-Datei.

Für Apps aus dem Microsoft Store ist dies der Package Family

Name (PFN) der App.

Link Die URL der App im Microsoft Store.

5. Klicken Sie auf Hinzufügen.

6. Optional: Wiederholen Sie die vorhergehenden Schritte, um weitere Apps hinzuzufügen.

7. Klicken Sie auf Speichern, um die App-Gruppe zu speichern.

17.2 App-Gruppen importieren

Sie können eine App-Gruppe erstellen, indem Sie eine Liste von Apps aus einer CSV-Datei importieren.

Sie können bis zu 10.000 Apps importieren.

Für die CSV-Datei gilt folgendes:

• Die erste Zeile enthält die Spaltenüberschriften und wird nicht importiert.

• Als Trennzeichen wird ein Semikolon verwendet, kein Komma.

• Alle Zeilen haben die korrekte Anzahl an Semikolons. Dies gilt auch, wenn optionale Werte fehlen.

• Die Dateiendung ist .csv

• Damit nicht englische Zeichen korrekt importiert werden, muss die Datei UTF-8-kodiert sein.

Sophos Mobile

Tipp

Klicken Sie auf der Seite Apps importieren auf Beispiel-CSV, um eine Beispieldatei herunterzuladen.

So importieren Sie Apps aus einer CSV-Datei und fügen sie einer App-Gruppe hinzu:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf App-Gruppen und anschließend auf die

Plattform, für die Sie die App-Gruppe erstellen wollen.

2. Klicken Sie auf der Seite App-Gruppen auf App-Gruppe erstellen.

3. Geben Sie auf der Seite App-Gruppe bearbeiten im Feld Name einen Namen für die neue App-

Gruppe ein und klicken Sie anschließend auf App importieren.

4. Klicken Sie auf der Seite Apps importieren auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.

Die Einträge werden aus der Datei eingelesen und angezeigt.

5. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen

Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.

6. Klicken Sie auf Fertigstellen, um die Apps zu der App-Gruppe hinzuzufügen.

7. Klicken Sie auf der Seite App-Gruppe bearbeiten auf Speichern.

Sophos Mobile

18 Unternehmensdokumente

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

In Sophos Mobile können Sie Dateien hochladen, damit diese an die Geräte Ihrer Benutzer verteilt werden.

• In Sophos Mobile verwaltete Dokumente werden automatisch dem Speicheranbieter

Unternehmensdokumente in Sophos Secure Workspace hinzugefügt.

• Sie können jedem Dokument in Unternehmensdokumente eine Kategorie zuweisen.

• Dokumente in Unternehmensdokumente sind schreibgeschützt.

• Wenn Sophos Secure Workspace nicht von Sophos Mobile verwaltet wird, ist der Speicheranbieter

Unternehmensdokumente nicht verfügbar.

So verteilen Sie Unternehmensdokumente:

1. Installieren Sie die App „Sophos Secure Workspace“ auf den Geräten. Siehe

Apps (Seite 308).

2. Ordnen Sie eine Sophos-Container-Richtlinie mit einer Konfiguration Unternehmensdokumente zu.

3. Laden Sie die Dokumente nach Sophos Mobile hoch.

18.1 Unternehmensdokumente hinzufügen

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

So verteilen Sie Dokumente an Geräte:

1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Dokumente.

Die Seite Dokumente wird angezeigt.

2. Klicken Sie auf Dokument hinzufügen.

Die Seite Dokument bearbeiten wird angezeigt.

3. Geben Sie im Feld Kategorie den Namen des Ordners ein, in dem das Dokument unter

Unternehmensdokumente auf dem Gerät angezeigt wird.

Wenn Sie dieses Feld leer lassen, wird die Datei im Root-Ordner von Unternehmensdokumente angezeigt.

4. Legen Sie die Einstellungen für das Dokument fest:

• Wählen Sie In die Zwischenablage kopieren aus, um Benutzern zu erlauben, das Dokument in die Zwischenablage zu kopieren.

• Wählen Sie Dokument teilen aus, um Benutzern zu erlauben, das Dokument zu teilen.

• Wählen Sie Dokument offline verwenden aus, damit Benutzer das Dokument zu der Liste

Favoriten hinzufügen können.

Wenn ein unverschlüsseltes Dokument aus Unternehmensdokumente zu der Liste

Favoriten hinzugefügt wird, wird die lokale Kopie verschlüsselt gespeichert. Wenn das

Teilen des Dokuments erlaubt ist, wird die Datei automatisch entschlüsselt, bevor sie

Sophos Mobile an andere Apps weitergeleitet wird. Wenn Sie das Kontrollkästchen Dokument offline

verwenden deaktivieren, werden lokale Kopien bei der nächsten Synchronisierung automatisch entfernt.

5. Klicken Sie auf Anzeigen neben Zugewiesene Gruppen und wählen Sie die Gruppe aus, die

Zugriff auf das Dokument haben soll.

6. Fügen Sie eine Beschreibung für das Dokument hinzu.

7. Klicken Sie auf Datei hochladen und navigieren Sie zu dem Dokument. Wählen Sie es aus und klicken Sie auf Öffnen.

8. Wiederholen Sie diesen Schritt für alle Dokumente, die Sie verteilen möchten.

Das Dokument wird der Dokumentenliste hinzugefügt. Es wird an die Benutzer verteilt, die es sich in der App „Sophos Secure Workspace“ anschauen können.

Sophos Mobile

19 Android Enterprise

Android enthält Funktionen, welche die Integration von Geräten in Ihr Unternehmensnetzwerk erleichtern und es Ihren Benutzer erlauben, auf ihren Geräten private Daten von

Unternehmensdaten zu trennen. Dies wird als Android Enterprise bezeichnet (vormals Android for

Work ).

Hinweis

Sophos Mobile unterstützt Android Enterprise für Geräte mit Android 6 oder neuer.

Sophos Mobile unterstützt die Android-Enterprise-Registrierungsmodi Gerätebesitzer und

Profilbesitzer .

Gerätebesitzer

Wenn ein Gerät im Modus „Gerätebesitzer“ registriert wird, wird Sophos Mobile als Gerätebesitzer registriert. Sophos Mobile kann Einstellungen, Apps und Daten auf dem gesamten Gerät

überwachen und verwalten.

Der Modus „Gerätebesitzer“ unterscheidet sich in folgenden Punkten von einer

Standardregistrierung:

• Der von den Benutzern durchzuführende Registrierungsprozess ist vereinfacht.

• Benutzer müssen kein persönliches Google-Konto auf dem Gerät einrichten.

• Benutzer können nur Apps aus Managed Google Play installieren, und Sie bestimmen das Store-

Layout.

• Nur eine begrenzte Anzahl Apps ist standardmäßig aktiv: Google Play Store, Kontakte,

Nachrichten, Telefon.

• Sie können Apps ohne Benutzer-Interaktion installieren, deinstallieren und aktualisieren.

• Sie können App-Berechtigungen konfigurieren, so dass die Benutzer bei der Verwendung einer

App nicht mehr aufgefordert werden, Berechtigungen zu gewähren.

• Sie können benutzerdefinierte App-Einstellungen konfigurieren (falls die App dies unterstützt).

• Sie können das Kennwort für die Displaysperre zurücksetzen. Bei der Standardregistrierung ist dies für Android 7.0 oder neuer nicht möglich.

• Sie können einen Kioskmodus konfigurieren, bei dem eine Auswahl an Apps genutzt werden kann, anstatt nur eine einzelne App.

• Sie können nur Geräte registrieren, die noch nicht eingerichtet wurden oder die auf

Werkseinstellungen zurückgesetzt wurden.

• Es gibt keine spezielle Möglichkeit, ein registriertes Gerät zu deregistrieren. Um das Gerät zu deregistrieren, setzen Sie es auf Werkseinstellungen zurück.

Profilbesitzer

Wenn ein Gerät im Modus „Profilbesitzer“ registriert wird, wird auf dem Gerät ein Arbeitsprofil erstellt. Sophos Mobile kann nur die Einstellungen, Apps und Daten innerhalb des Arbeitsprofils

überwachen und verwalten.

Sophos Mobile

Der Modus „Profilbesitzer“ eignet sich für ein BYOD-Szenario („Bring Your Own Device“).

Verwandte Informationen

Android-Enterprise-Hilfe (externer Link)

19.1 Android Enterprise einrichten - Übersicht

Bei der Einrichtung von Android Enterprise für Ihr Unternehmen können Sie zwischen zwei

Szenarien wählen:

Szenario Managed Google Play Account

Dies ist die einfachste Methode, Android Enterprise für Ihr Unternehmen einzurichten.

• Sophos Mobile führt Sie durch den Prozess, ein Android-Enterprise-Konto für Ihr Unternehmen einzurichten.

• Falls erforderlich, können Sie für Ihr Unternehmen mehrere Android-Enterprise-Konten erstellen.

• Sophos Mobile verwaltet den Lebenszyklus der Benutzerkonten.

• Geräte können im Self Service Portal oder in Sophos Mobile Admin registriert werden.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 335).

Szenario Managed Google Domain

Verwenden Sie diese Methode, wenn Sie bereits eine Managed Google Domain besitzen oder wenn

Sie die Konten Ihrer Android-Enterprise-Benutzer außerhalb von Sophos Mobile verwalten wollen.

• Sie registrieren eine Managed Google Domain bei Google und weisen nach, dass Sie Inhaber dieser Domain sind.

• Sie verbinden Sophos Mobile als externen EMM-Anbieter (Enterprise Mobility Management) mit

Ihrer Managed Google Domain.

• Sophos Mobile erstellt nach Bedarf Benutzerkonten. Davon abgesehen, verwaltet Sophos Mobile nicht den Lebenszyklus der Konten.

• Geräte können nur im Self Service Portal registriert werden, nicht in Sophos Mobile Admin.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Domain“)

(Seite 335).

Hinweis

Nach der Einrichtung von Android Enterprise können Sie die Art der Benutzerverwaltung nicht mehr ändern. Zum Beispiel können Sie nicht von einer internen Benutzerverwaltung zu einem externen LDAP-Verzeichnis wechseln.

Tipp

Nach der Einrichtung von Android Enterprise wird das aktive Szenario unter Einrichtung >

Android-Einrichtung > Android Enterprise > Android-Enterprise-Modus angezeigt.

Sophos Mobile

19.2 Android Enterprise einrichten (Szenario

„Managed Google Play Account“)

Für das Szenario Managed Google Play Account leitet Sie Sophos Mobile durch die notwendigen

Schritte, um Android Enterprise für Ihr Unternehmen einzurichten.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Android Enterprise.

3. Klicken Sie auf Konfigurieren.

4. Wählen Sie Szenario „Managed Google Play Account“ aus und klicken Sie anschließend auf

Weiter.

5. Wählen Sie Konto registrieren aus.

Sie werden auf eine Google-Webseite weitergeleitet, auf der Sie Ihr Unternehmen für Android

Enterprise registrieren.

6. Melden Sie sich an der Google-Webseite mit Ihrem Google-Konto an.

Hinweis

Wir empfehlen, für diesen Zweck ein neues Google-Konto anzulegen.

7. Folgenden Sie den Schritten auf der Google-Webseite, um Ihr Unternehmen zu registrieren.

Tipp

Bei der Angabe Ihres Unternehmensnamens sollten Sie den Ausdruck SMC sowie den Namen des Kunden aus hinzufügen, zum Beispiel Mein Unternehmen (SMC/Mein Sophos-

Mobile-Kundenname) . Ansonsten enthalten die Kontoinformationen keinen Hinweis darauf, das das Konto mit Sophos Mobile verbunden ist.

Nach der Registrierung leitet Sie die Google-Webseite wieder zurück zu Sophos Mobile.

8. Klicken Sie in Sophos Mobile auf Einrichtung abschließen, um den Registrierungsprozess abzuschließen.

Damit ist die Einrichtung von Android Enterprise für Ihr Unternehmen abgeschlossen.

Hinweis

Nach der Einrichtung von Android Enterprise können Sie die Art der Benutzerverwaltung nicht mehr ändern, zum Beispiel von interner Benutzerverwaltung zu einem externen LDAP-

Verzeichnis.

19.3 Android Enterprise einrichten (Szenario

„Managed Google Domain“)

Für das Szenario Managed Google Play Account richten Sie Android Enterprise folgendermaßen für

Ihr Unternehmen ein:

1. Sie registrieren eine Managed Google Domain bei Google.

Sophos Mobile

2. Sie erstellen ein Unternehmens-Dienstkonto und konfigurieren Sie die APIs, die für die

Kommunikation mit den Google-Diensten benötigt werden.

3. Sie verbinden Sophos Mobile als externen EMM-Anbieter (Enterprise Mobility Management) mit

Ihrer Managed Google Domain.

Hinweis

Nach der Einrichtung von Android Enterprise können Sie die Art der Benutzerverwaltung nicht mehr ändern, zum Beispiel von interner Benutzerverwaltung zu einem externen LDAP-

Verzeichnis.

336

19.3.1 Domäne bei Google registrieren

Als erste Phase der Einrichtung von Android Enterprise für Ihr Unternehmen registrieren Sie eine

Domäne bei Google (Managed Google Domain), erstellen einen Domänen-Administrator (Managed

Google Account) und bestätigen Ihre Domänen-Inhaberschaft.

Hinweis

Falls Sie bereits eine Managed Google Domain registriert haben, zum Beispiel, weil Sie sich für „G

Suite“ (vormals „Google Apps“) angemeldet haben, können Sie diesen Abschnitt überspringen.

1. Klicken Sie auf den nachfolgenden Link https://www.google.com/a/signup/?

enterprise_product=ANDROID_WORK&hl=de , um eine Managed Google Domain einzurichten.

2. Tragen Sie im Webformular die erforderlichen Informationen ein.

• Im Abschnitt Über Ihr Unternehmen tragen Sie im Feld Geschäftliche Domainadresse die

Domäne ein, die als Managed Google Domain verwendet wird. Verwenden Sie zum Beispiel die Domäne Ihres Sophos Mobile Servers.

Hinweis

Falls Sie Android Enterprise für mehrere Kunden in Sophos Mobile konfigurieren wollen, müssen Sie für jeden Kunden eine eigene Domäne verwenden.

• Im Abschnitt Ihr Google Admin-Konto tragen Sie die Anmeldeinformationen für einen neuen

Domänen-Administrator ein.

Hinweis

Notieren Sie sich die Anmeldeinformationen. Sie benötigen diese im weiteren Verlauf der

Einrichtung.

3. Klicken Sie die Schaltfläche zum Erstellen eines neuen Kontos.

Dies öffnet die Google-Admin-Konsole.

4. Starten Sie in der Google-Admin-Konsole die Prozedur zur Bestätigung Ihrer Domänen-

Inhaberschaft.

Folgen Sie den Anweisungen von Google, um Ihre Domäne zu bestätigen.

Nachdem Sie Ihre Domänen-Inhaberschaft bestätigt haben, erhalten Sie ein Token, mit dem Sie Ihre

Managed Google Domain mit Ihrem EMM-Anbieter (also mit Sophos Mobile) verbinden.

Als nächstes müssen Sie ein Google-Dienstkonto erstellen und die relevanten Google APIs

konfigurieren. Siehe Google-Dienstkonto konfigurieren (Seite 337).

Sophos Mobile

19.3.2 Google-Dienstkonto konfigurieren

Als zweite Phase der Einrichtung von Android Enterprise für Ihr Unternehmen erstellen und konfigurieren Sie ein Google-Dienstkonto.

Voraussetzung: Sie haben ein Administratorkonto für Ihre Managed Google Domain.

Ein Google-Dienstkonto ist ein spezielles Google-Konto, das von Anwendungen benutzt wird. Dieses

Konto wird von Sophos Mobile für die Kommunikation mit den Google APIs verwendet.

Erstellen Sie ein Projekt:

1. Klicken Sie auf den nachfolgenden Link https://console.developers.google.com/apis/library , um die

Google-API-Konsole zu öffnen. Melden Sie sich mit den Anmeldeinformationen Ihres Domänen-

Administratorkontos an.

2. Klicken Sie in der Titelleiste der Google-API-Konsole auf ProjektProjekt erstellen.

Wenn Sie zuvor bereits ein Projekt erstellt haben, wird in der Titelzeile der Projektname angezeigt anstatt das Wort Projekt.

3. Geben Sie im Dialogfeld Neues Projekt einen Projektnamen ein, zum Beispiel Android

Enterprise und klicken Sie anschließend auf Erstellen.

Benötigte APIs aktivieren:

4. Klicken Sie in der seitlichen Menüleiste auf Bibliothek und geben Sie anschließend admin sdk im Suchfeld ein.

5. Klicken Sie in der Ergebnisliste auf Admin SDK.

6. Klicken Sie oben auf der Seite Admin SDK auf Aktivieren.

7. Wiederholen Sie die vorherigen drei Schritte für die Google Play EMM API: a) Klicken Sie in der seitlichen Menüleiste auf Bibliothek und geben Sie anschließend emm im

Suchfeld ein.

b) Klicken Sie in der Ergebnisliste auf Google Play EMM API.

c) Klicken Sie oben auf der Seite Google Play EMM API auf Aktivieren.

Dienstkonto erstellen:

8. Klicken Sie auf der Seite Google Play EMM API auf Anmeldedaten erstellen.

9. Klicken Sie in Schritt 1 der Seite Anmeldedaten zu Projekt hinzufügen auf den Link

Dienstkonto.

10. Klicken Sie auf der Seite Dienstkonten auf Dienstkonto erstellen.

11. Geben Sie im Dialogfeld Dienstkonto erstellen die folgenden Einstellungen ein: a) Geben Sie in Name des Dienstkontos einen Namen ein, um das Konto zu identifizieren, zum

Beispiel Android Enterprise .

b) Wählen Sie Neuen privaten Schlüssel bereitstellen aus und wählen Sie anschließend JSON aus.

c) Wählen Sie Domainweite G Suite-Delegation aktivieren aus.

d) Geben Sie in Produktname für den Zustimmungsbildschirm zum Beispiel Android

Enterprise ein.

Wenn Sie auf Erstellen klicken, wird der private Schlüssel für Ihr Dienstkonto erzeugt und auf

Ihrem Computer in einer JSON-Datei gespeichert.

Sophos Mobile

338

Hinweis

Verwahren Sie die JSON-Datei an einem sicheren Ort. Sie benötigen die Datei, um Sophos

Mobile mit Ihrer Managed Google Domain zu verbinden.

API-Zugriff konfigurieren:

12. Klicken Sie auf den nachfolgenden Link https://admin.google.com

, um die Google-Admin-Konsole zu öffnen. Verwenden Sie die Anmeldeinformationen Ihres Domänen-Administrators.

13. Klicken Sie auf Sicherheit und anschließend auf Erweiterte Einstellungen.

Tipp

Sie müssen möglicherweise zunächst auf Mehr anzeigen klicken, um Erweiterte

Einstellungen anzuzeigen.

14. Klicken Sie auf API-Client-Zugriff verwalten.

15. Öffnen Sie in einem Texteditor die JSON-Datei und kopieren Sie den Wert von client_id in das

Feld Client-Name.

Beispiel: Ihre JSON-Datei enthält die Zeile

"client_id": "123456789"

Geben Sie 123456789 im Feld Client Name ein.

16. Geben Sie im Feld Ein oder mehrere API-Bereiche die folgenden beiden URLs ein, mit Komma getrennt: https://www.googleapis.com/auth/admin.directory.user, https://www.googleapis.com/auth/androidenterprise

17. Klicken Sie auf Autorisieren.

Verbinden Sie nun Sophos Mobile mit Ihrer Managed Google Domain. Siehe Sophos Mobile mit Ihrer

Domäne verbinden

(Seite 338).

19.3.3 Sophos Mobile mit Ihrer Domäne verbinden

Als dritte Phase der Einrichtung von Android Enterprise für Ihr Unternehmen verbinden Sie Sophos

Mobile mit Ihrer Managed Google Domain.

Voraussetzungen:

• Sie haben ein Administratorkonto für Ihre Managed Google Domain.

• Sie haben Ihre Domänen-Inhaberschaft bestätigt.

• Sie haben die relevanten Google APIs aktiviert.

• Sie haben ein Google-Dienstkonto erstellt.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Android Enterprise.

2. Klicken Sie auf Konfigurieren.

3. Wählen Sie Szenario „Managed Google Domain“ aus und klicken Sie anschließend auf Weiter.

4. Dies öffnet ein Dialogfeld. Konfigurieren Sie folgende Einstellungen:

Sophos Mobile

Option

Unternehmens-Domäne

Domänen-Administrator

EMM-Token

Beschreibung

Ihre gegenüber Google bestätigte Managed

Google Domain.

Der Name Ihres Domänen-Administratorkontos.

Dies ist der Administrator, den Sie erstellt haben, als Sie Ihre Domäne bei Google registriert haben.

Das Token, das Sie von Google erhalten haben, nachdem Sie Ihre Domänen-

Inhaberschaft bestätigt haben.

Das Token wird Ihnen angezeigt, wenn

Sie sich an der Google-Admin-Konsole

( https://admin.google.com

) mit den

Anmeldeinformationen des Domänen-

Administrators anmelden und zu Sicherheit

> EMM-Anbieter für Android verwalten navigieren.

5. Klicken Sie auf Datei hochladen und suchen Sie die JSON-Datei, die Sie von Google heruntergeladen haben, als Sie das Dienstkonto erstellt haben.

Sie müssen eine JSON-Datei mit der Dateiendung .json

auswählen.

6. Klicken Sie auf Verbinden.

Sophos Mobile kontaktiert den Google-Webservice, um sich als EMM-Anbieter mit Ihrer Managed

Google Domain zu verbinden.

Als letzte Phase der Einrichtung von Android Enterprise für Ihr Unternehmen müssen Sie die Google-

EMM-Einstellungen konfigurieren. Siehe EMM-Einstellungen konfigurieren

(Seite 339).

19.3.4 EMM-Einstellungen konfigurieren

Als letzte Phase der Einrichtung von Android Enterprise für Ihr Unternehmen konfigurieren Sie die

Google-EMM-Einstellungen.

Voraussetzung: Sie haben Sophos Mobile mit Ihrer Managed Google Domain verbunden.

1. Klicken Sie auf den nachfolgenden Link https://admin.google.com

, um die Google-Admin-Konsole zu öffnen. Verwenden Sie die Anmeldeinformationen Ihres Domänen-Administrators.

2. Klicken Sie auf Sicherheit und danach auf EMM-Anbieter für Android verwalten.

Tipp

Sie müssen möglicherweise zunächst auf Mehr anzeigen klicken, um EMM-Anbieter für

Android verwalten anzuzeigen.

3. Wählen Sie unter Allgemeine Einstellungen die Option EMM-Richtlinien auf Android-Geräten

erzwingen aus.

Damit ist die Einrichtung von Android Enterprise für Ihr Unternehmen abgeschlossen.

Sophos Mobile

Hinweis

Nach der Einrichtung von Android Enterprise können Sie die Art der Benutzerverwaltung nicht mehr ändern, zum Beispiel von interner Benutzerverwaltung zu einem externen LDAP-

Verzeichnis.

19.4 Geräteregistrierung für Android Enterprise konfigurieren

Voraussetzungen:

• Sie haben Android Enterprise für den Kunden konfiguriert.

Führen Sie die folgenden Schritte aus, um die Geräteregistrierung für Android Enterprise zu konfigurieren.

1. Erstellen Sie eine Richtlinie für jeden Android-Enterprise-Registrierungsmodus, den Sie unterstützen wollen.

• Für den Modus Gerätebesitzer erstellen Sie eine Richtlinie vom Typ Android-Enterprise-

Geräterichtlinie.

• Für den Modus Profilbesitzer erstellen Sie eine Richtlinie vom Typ Android-Enterprise-

Arbeitsprofil-Richtlinie.

Eine allgemeine Beschreibung zur Erstellung von Richtlinien finden Sie in Profil oder Richtlinie erstellen (Seite 105).

2. Erstellen Sie ein Auftragspaket für jeden Android-Enterprise-Registrierungsmodus, den Sie unterstützen wollen.

Das Auftragspaket muss mindestens einen Auftrag Registrieren und einen Auftrag Profil

installieren oder Richtlinie zuweisen für die zuvor erstellte Richtlinie enthalten.

Eine allgemeine Beschreibung zur Erstellung von Auftragspaketen finden Sie in

Auftragspakete erstellen (Seite 296).

3. Wählen Sie in den Gruppeneinstellungen für das Self Service Portal das erstellte Auftragspaket als

Einrichtungspaket aus.

Sie können unterschiedliche Pakete für Firmengeräte und Privatgeräte verwenden. Zum Beispiel können Sie für Firmengeräte den Registrierungsmodus Gerätebesitzer und für Privatgeräte den

Modus Profilbesitzer verwenden.

Eine allgemeine Beschreibung zur Konfiguration der Gruppeneinstellungen für das Self Service

Portal finden Sie in Einstellungen für das Self Service Portal konfigurieren (Seite 30).

Nachdem Sie die Geräteregistrierung konfiguriert haben, können Benutzer im Self Service Portal ihre Android-Geräte bei Sophos Mobile registrieren. Der Registrierungsmodus (Gerätebesitzer oder Profilbesitzer) ergibt sich aus dem Gerätetyp (Firmen- oder Privatgerät), basierend auf Ihren

Gruppeneinstellungen für das Self Service Portal.

Wenn Sie Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet haben,

können Sie Geräte auch mit dem Assistenten Gerät hinzufügen registrieren. Siehe Android-

Enterprise-Geräte registrieren (Seite 52).

Sophos Mobile

Wichtig

Beim Szenario „Managed Google Play Account“ können pro Benutzer maximal zehn Geräte gleichzeitig registriert sein. Diese Beschränkung wird von Google festgelegt und kann sich in der

Zukunft ändern.

Hinweis

Wenn Sie die Registrierung für Android Enterprise wie hier beschrieben für Firmengeräte und/oder

Privatgeräte konfigurieren, ist für den jeweiligen Gerätetyp im Self Service Portal keine normale

Registrierung von Android-Geräten möglich.

19.5 Benutzer für Android Enterprise verwalten

(Szenario „Managed Google Domain“)

Hinweis

Dieser Abschnitt beschreibt, wie Sie Google Benutzerkonten verwalten, wenn Sie Android

Enterprise basierend auf dem Szenario Managed Google Domain eingerichtet haben.

Beim Szenario Managed Google Play Account verwaltet Sophos Mobile die Google-Konten Ihrer

Benutzer für Sie transparent.

Ein Benutzer benötigt ein Konto vom Typ Managed Google Account, um ein Android-Enterprise-

Gerät zu registrieren. Dieses Konto ist mit Ihrer Managed Google Domain verknüpft, d.h. mit der

Domäne, die Sie bei Google registriert haben.

Kontonamen haben die Form von E-Mail-Adressen, zum Beispiel

Benutzer@Ihre_Managed_Google_Domain .

Wenn ein Benutzer im Self Service Portal ein Gerät registriert, prüft Sophos Mobile, ob auf dem

Google-Server bereits ein Managed Google Account für den Benutzer existiert. Dazu wird der linke

Teil der E-Mail-Adresse, die für den Benutzer in Sophos Mobile angelegt ist, mit Ihrer Managed

Google Domain kombiniert. Falls ein Konto mit diesem Namen nicht existiert, wird es von Sophos

Mobile erstellt.

Beispiel: Die E-Mail-Adresse des Benutzers in Sophos Mobile lautet Benutzer@Ihre_Firma.com

und Ihre Managed Google Domain lautet Ihre_Managed_Google_Domain .

In diesem Fall sucht Sophos Mobile auf dem Google-Server nach einem Konto

Benutzer@Ihre_Managed_Google_Domain .

Abgesehen von der Erstellung eines Managed Google Account für den Benutzer während der

Registrierung, verwaltet Sophos Mobile nicht den Lebenszyklus von Konten. Wenn Sie ein

Benutzerkonto in Sophos Mobile löschen, bleibt der Managed Google Account des Benutzers bestehen.

Sie können die Konten für Ihre Managed Google Domain in der Google-Admin-Konsole verwalten.

Falls erforderlich, können Sie GADS (Google Apps Directory Sync) verwenden, um Konten auf Basis

Ihres LDAP-Verzeichnisses zu erstellen.

Verwandte Informationen

Google-Admin-Konsole (externer Link)

Über Google Apps Directory Sync (externer Link)

Sophos Mobile

19.6 Arbeitsprofil erstellen

Ein Arbeitsprofil wird erstellt, wenn Benutzer ihr Gerät im Self Service Portal mit dem Android-

Enterprise-Modus „Profilbesitzer“ registrieren.

Sie können in Sophos Mobile Admin das Arbeitsprofil löschen, zum Beispiel, um

Unternehmensdaten vom Gerät zu entfernen, wenn es verloren gegangen ist oder gestohlen wurde.

19.7 Arbeitsprofil sperren

Sie können in Sophos Mobile Admin das Arbeitsprofil sperren und entsperren. Wenn Sie das

Arbeitsprofil sperren, sind keine der Apps im Arbeitsprofil mehr verfügbar und es werden auch keine

Benachrichtigungen dieser Apps angezeigt.

Hinweis

Dieser Abschnitt gilt nicht für Android-Geräte im Android-Enterprise-Modus „Gerätebesitzer“. Siehe

Android Enterprise

(Seite 333)

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf das blaue Dreieck neben dem Gerät, auf dem Sie das Arbeitsprofil sperren oder entsperren wollen, und anschließend auf Anzeigen.

3. Klicken Sie auf AktionenContainer-Zugriff festlegen.

4. Wählen Sie die Zugriffsrechte aus.

• Sperren: Das Arbeitsprofil ist gesperrt. Benutzer können nicht mehr auf Apps oder Daten innerhalb des Arbeitsprofils zugreifen.

• Erlauben: Das Arbeitsprofil ist entsperrt.

• Automatischer Modus: Das Arbeitsprofil ist gesperrt, wenn das Gerät gegen eine

Compliance-Regel verstößt, bei der die Aktion Container sperren aktiviert ist. Dies ist das

Standardverhalten, wenn Sie keine Zugriffsrechte festgelegt haben.

5. Klicken Sie auf Ja.

Das Gerät wird mit dem Sophos Mobile Server synchronisiert. Dadurch wird die Einstellung auf dem

Gerät angewendet.

Tipp

Um das gesamte Gerät zu sperren und nicht nur das Arbeitsprofil, verwenden Sie Aktionen >

Sperren.

Tipp

Benutzer können das Arbeitsprofil über die Schnelleinstellungsleiste ihres Gerätes sperren, zum

Beispiel im Urlaub.

Sophos Mobile

19.8 Arbeitsprofil vom Gerät entfernen

Hinweis

Dieser Abschnitt gilt nicht für Android-Geräte im Android-Enterprise-Modus „Gerätebesitzer“. Siehe

Android Enterprise

(Seite 333)

Sie können in Sophos Mobile Admin das Arbeitsprofil entfernen, um Unternehmensdaten vom Gerät zu entfernen, wenn es verloren gegangen ist oder gestohlen wurde.

Wenn Sie das Arbeitsprofil von einem Gerät entfernen, werden auch alle im Arbeitsprofil installierten

Apps (inklusive der App Sophos Mobile Control) entfernt. In Sophos Mobile Admin wird das Gerät mit dem Status Deregistriert angezeigt.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf das blaue Dreieck neben dem Gerät, von dem Sie das Arbeitsprofil entfernen wollen, und anschließend auf Anzeigen.

3. Klicken Sie auf Aktionen > Android-Arbeitsprofil entfernen.

Ein Auftrag zum Entfernen des Arbeitsprofils wird erstellt und an das Gerät übertragen.

Hinweis

Falls der Benutzer das Arbeitsprofil bereits manuell entfernt hat, schlägt der Auftrag fehl, da das

Gerät ihn nicht mehr empfangen kann.

Um das Arbeitsprofil erneut zu erstellen, muss der Benutzer die Registrierung im Self Service Portal wiederholen.

19.9 Entfernen des Arbeitsprofils durch den

Benutzer

Benutzer sind in der Lage, das Arbeitsprofil von ihren Geräten entfernen. Dies kann absichtlich als auch versehentlich geschehen. Wenn das Arbeitsprofil auf diese Weise entfernt wird, kann

Sophos Mobile dies nicht erkennen. Der Verwaltungsstatus des Gerätes wird weiterhin als Android

Enterprise (Profil-Inhaberschaft) angezeigt.

Nachdem der Benutzer das Arbeitsprofil entfernt hat, kann sich das Gerät nicht mehr mit dem

Sophos Mobile Server synchronisieren.

Tipp

Sie können den Bericht Geräte, die sich in den letzten 7 Tagen nicht synchronisiert haben verwenden, um potentiell betroffene Geräte zu finden.

Falls das Arbeitsprofil versehentlich entfernt wurde, können Sie es folgendermaßen erneut registrieren:

1. Sie löschen das Gerät aus Sophos Mobile.

2. Der Benutzer führt im Self Service Portal eine erneute Registrierung durch.

Sophos Mobile

344

19.10 Android Factory Reset Protection

Hinweis

Dieser Abschnitt gilt für Geräte, die bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert sind.

Android-Geräte haben die Sicherheitsfunktion Factory Reset Protection (FRP) zum Schutz vor unbefugtem Zurücksetzen. Wenn auf dem Gerät ein Google-Konto eingerichtet ist, muss das Gerät nach dem Zurücksetzen auf Werkseinstellungen mit dem Google-Kennwort entsperrt werden.

Auf Geräten, die bei Sophos Mobile im Android-Enterprise-Modus „Gerätebesitzer“ registriert sind, ist FRP standardmäßig nicht aktiv, da auf diesen Geräten kein Google-Konto eingerichtet ist. Um

FRP auf diesen Geräten zu verwenden, können Sie ein oder mehrere Google-Konten konfigurieren, die allen Ihren Geräten zugewiesen werden. Wenn ein Gerät mit aktiviertem FRP zurückgesetzt wird,

kann es mit einem beliebigen dieser Konten entsperrt werden. Siehe Android FRP konfigurieren

(Seite 344).

Wenn Sie FRP eingerichtet haben, werden Geräte folgendermaßen geschützt:

• Lokales Zurücksetzen: Wenn das Gerät in der App „Einstellungen“ oder über die Gerätetasten zurückgesetzt wird, ist FRP standardmäßig eingeschaltet. Verwenden Sie die Aktion Factory

Reset Protection einstellen, um dieses Verhalten für einzelne Geräte zu ändern. Siehe Android

FRP aktivieren/deaktivieren

(Seite 67).

• Ferngesteuertes Zurücksetzen: Wenn das Gerät ferngesteuert in Sophos Mobile Admin zurückgesetzt wird, ist FRP standardmäßig ausgeschaltet. Um bei einem ferngesteuerten

Zurücksetzen FRP zu aktiveren, wählen Sie im Bestätigungsdialog für das Zurücksetzen die

Option Factory Reset Protection aktivieren aus. Siehe Gerät zurücksetzen

(Seite 66).

19.10.1 Android FRP konfigurieren

Hinweis

Dieser Abschnitt gilt für Geräte, die bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert sind.

FRP (Factory Reset Protection, d.h. Schutz vor dem Zurücksetzen auf Werkseinstellungen) ist eine Android-Sicherheitsfunktion, die gewährleistet, dass ein Gerät nur auf Werkseinstellungen zurückgesetzt werden kann, wenn die Anmeldeinformationen für das Google-Konto bekannt sind.

Für Geräte, die bei Sophos Mobile im Android-Enterprise-Modus „Gerätebesitzer“ registriert sind, können Sie Google-Konten konfigurieren, mit denen jedes Gerät, bei dem FRP aktiviert ist, zurückgesetzt werden kann.

Bereiten Sie Ihre Google-Konten vor:

1. Erstellen Sie ein oder mehrere Google-Konten, die Sie für FRP verwenden wollen, oder verwenden

Sie existierende Konten.

Wichtig

Stellen Sie sicher, dass die Anmeldeinformationen für diese Konten in Ihrem Unternehmen bekannt sind. Diese Informationen sind erforderlich, um ein Gerät zu entsperren, das bei aktiviertem FRP auf Werkseinstellungen zurückgesetzt wurde.

Sophos Mobile

2. Bestimmen Sie die Google+ IDs Ihrer Google-Konten.

Jedes Google-Konto besitzt eine Google+ ID, auch wenn das Konto nicht für den Google+

Dienst registriert ist.

So bestimmen Sie die Google+ ID: a) Geben Sie folgende Adresse in Ihrem Webbrowser ein, um die Google-Anmeldeseite zu

öffnen: https://accounts.google.com/Login b) Melden Sie sich mit dem Google-Konto an, das Sie für FRP verwenden wollen. Wenn Sie bereits mit einem anderen Konto bei Google angemeldet sind, melden Sie sich vorher ab.

c) Geben Sie folgende Adresse in Ihrem Webbrowser ein: https://plus.google.com/me

Wenn das Konto für Google+ registriert ist, werden Sie zu einer Google+-Seite weitergeleitet.

Wenn das Konto nicht für Google+ registriert ist, sehen Sie eine Fehlerseite.

In beiden Fällen wird die Google+ ID des Kontos im Adressfeld des Browsers angezeigt, zum Beispiel https://plus.google.com/123456789012345678901 .

d) Notieren Sie sich die 21-stellige Zahl. Dies ist die Google+ ID.

Konfigurieren Sie Ihre Google-Konten in Sophos Mobile Admin:

3. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Android-Einrichtung und öffnen Sie anschließend das Tab Android Enterprise.

4. Klicken Sie unter Factory Reset Protection auf FRP verwenden.

5. Geben Sie in Google+ IDs die Google+ IDs der Google-Konten ein, die Sie für FRP verwenden wollen.

6. Klicken Sie auf Speichern.

FRP wird für alle Geräte aktiviert, die im Android-Enterprise-Modus „Gerätebesitzer“ registriert sind.

Dies passiert bei der nächsten Synchronisierung eines Gerätes mit dem Sophos Mobile Server.

Wichtig

Wenn Sie ungültige Google+ IDs in Sophos Mobile Admin eingeben oder die

Anmeldeinformationen der Google-Konten vergessen, können Sie Geräte, die mit aktiviertem FRP auf Werkseinstellungen zurückgesetzt wurden, nicht mehr verwendet.

19.11 Apps aus Managed Google Play

Auf Android-Enterprise-Geräten können nur Apps installiert werden, die Sie in Managed Google Play für Ihr Unternehmen genehmigt haben.

Um Ihren Benutzern Apps zur Verfügung zu stellen, führen Sie die folgenden Aufgaben in Managed

Google Play und in Sophos Mobile aus:

1. In Managed Google Play wählen Sie Apps für Ihr Unternehmen aus. Dies beinhaltet folgende

Aufgaben:

• Die App genehmigen.

• App-Lizenzen erwerben.

• App-Berechtigungen akzeptieren.

Siehe App aus Managed Google Play genehmigen

(Seite 346).

2. In Sophos Mobile konfigurieren Sie die App. Dies beinhaltet folgende Aufgaben:

• Den Ort festlegen, an dem die App in der App „Google Play Store“ auf den Geräten der

Benutzer angezeigt wird.

Sophos Mobile

• Benutzerdefinierte App-Einstellungen konfigurieren, falls die App dies unterstützt.

• Für kostenpflichtige Apps Benutzern eine Lizenz für die App zuweisen.

Siehe App aus Managed Google Play bearbeiten (Seite 347).

19.11.1 App aus Managed Google Play genehmigen

1. Öffnen Sie Managed Google Play ( https://play.google.com/work ) und melden Sie sich mit Ihrem

Administratorkonto für Android Enterprise an.

2. Wählen Sie die App aus, die Sie Ihren Benutzern zur Verfügung stellen wollen.

3. Klicken Sie auf Genehmigen (bei kostenlosen Apps) bzw. auf Kaufen (bei kostenpflichtigen Apps).

Hinweis

Kostenpflichtige Apps sind derzeit nur in den USA und in Kanada verfügbar.

4. Wenn die App Berechtigungen erfordert, müssen Sie diese für Ihr Unternehmen akzeptieren.

Wenn Ihre Benutzer die App installieren, werden sie nicht aufgefordert, Berechtigungen zuzulassen.

5. Für kostenpflichtige Apps geben Sie die Lizenz-Anzahl und die Bezahlmethode ein.

Hinweis

Falls Sie während des Kaufvorgangs eine Fehlermeldung erhalten, überprüfen Sie in der

Google-Admin-Konsole, ob die Google-Bezahldienste für Ihre Domäne oder Ihr Konto aktiviert sind.

Die App ist nun für Ihre Domäne genehmigt. Benutzer sind aber noch nicht in der Lage, die App zu

installieren. Sie müssen zuvor den Zuweisungsvorgang in Sophos Mobile fertigstellen. Siehe App aus

Managed Google Play bearbeiten (Seite 347).

Hinweis

Wenn durch die Aktualisierung einer genehmigten App zusätzliche Berechtigungen erforderlich werden, müssen Sie diesen zustimmen, bevor Ihre Benutzer die App aktualisieren können. Klicken

Sie im Menü von Google Play auf Aktualisierungen, um neue Berechtigungen anzuzeigen und zu akzeptieren.

Verwandte Informationen

Managed Google Play (externer Link)

Google-Admin-Konsole (externer Link)

Managed Google Play Hilfe (externer Link)

19.11.2 Genehmigung einer App aus Managed Google Play aufheben

Voraussetzung: Die App wird in keinem Android-Auftragspaket verwendet.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > Android.

Sophos Mobile

2. Klicken Sie auf Genehmigte Apps.

3. Klicken Sie auf das blaue Dreieck neben der App, deren Genehmigung Sie aufheben wollen, und anschließend auf Anzeigen.

4. Klicken Sie auf Genehmigung aufheben.

Tipp

Alternativ können Sie die Genehmigung von Apps auch in Managed Google Play aufheben.

19.11.3 App aus Managed Google Play bearbeiten

Nachdem Sie eine App in Managed Google Play für Ihr Unternehmen genehmigt haben, müssen Sie diese in Sophos Mobile konfigurieren, damit sie Ihren Benutzern zur Verfügung steht.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf AppsAndroid.

2. Klicken Sie auf der Seite Apps auf Genehmigte Apps.

Dies öffnet die Seite Genehmigte Apps, auf der die Apps angezeigt werden, die Sie in Managed

Google Play genehmigt haben.

3. Klicken Sie auf App-Liste von Google abrufen, um Änderungen zu laden, die Sie in Managed

Google Play gemacht haben. Nach der Synchronisierung können Benutzer die Apps über die App

„Managed Google Play Store“ installieren.

4. Klicken Sie auf die gewünschte App.

5. Konfigurieren Sie auf der Seite Genehmigte App bearbeiten die gewünschten Einstellungen.

Siehe

Einstellungen für Apps aus Managed Google Play (Seite 347).

Sie können maximal 30 Kategorien pro Seite und 100 Apps pro Kategorie konfigurieren.

6. Klicken Sie auf Speichern, um Ihre Änderungen zu speichern.

7. Klicken Sie auf der Seite Genehmigte Apps auf Konfiguration an Google senden, um die geänderten Layouteinstellungen und App-Einstellungen an Google zu senden.

Hinweis

Wenn Sie diesen letzten Schritt überspringen, wird die App-Konfiguration nur lokal in Sophos

Mobile gespeichert. Die Konfiguration wird nicht an Google übertragen und steht Ihren

Benutzern nicht zur Verfügung.

Nachdem die Daten an den Google-Server gesendet worden sind, steht die App in der App „Managed

Google Play Store“ zur Verfügung. Kostenlose Apps stehen allen Ihren Benutzern zur Verfügung.

Kostenpflichtige Apps stehen nur Benutzern zur Verfügung, denen Sie eine Lizenz zugewiesen haben.

19.11.4 Einstellungen für Apps aus Managed Google Play

In diesem Abschnitt werden die Einstellungen für die Apps aus Managed Google Play angezeigt, die

Sie für Ihr Unternehmen genehmigt haben.

Einstellung/Feld

Titel

Product ID

Beschreibung

Der externe Name der App, wie er in Managed

Google Play angezeigt wird.

Der interne Name der App.

Sophos Mobile

Einstellung/Feld

Preismodell

Verteilungsart

URL (Managed Google Play), URL (Google

Play)

Seite

App-Kategorie

Lizenzen

Beschreibung

Der Kostentyp:

• Kostenlos

• Kostenlos mit In-App-Käufen

• Kostenpflichtig

• Öffentlich (über Google bereitgestellt):

Die App ist in Managed Google Play

öffentlich verfügbar.

• Privat (über Google bereitgestellt): Eine von Ihnen entwickelte App, die nur für

Benutzer in Ihrer Managed Google Domain verfügbar ist. Die APK-Datei wurde zu

Managed Google Play hochgeladen.

• Privat (intern bereitgestellt): Wie Privat

(über Google bereitgestellt), aber die

APK-Datei wird von Ihrem lokalen Server installiert. Managed Google Play kümmert sich nur um die Verteilung der App.

Die Webadresse der App in Managed Google

Play beziehungsweise in Google Play.

Klicken Sie auf den Link, um die jeweilige Seite in einem neuen Browserfenster zu öffnen.

Die Seite, auf der die App auf dem Gerät in der

App „Google Play Store“ erscheint.

Die Werte sind von Sophos Mobile vorkonfiguriert und können nicht geändert werden.

Der Name der Kategorie, unter der die App auf dem Gerät in der App „Google Play Store“ erscheint.

Sobald Sie die ersten Zeichen eintippen, wird Ihnen eine Liste passender Kategorien angezeigt. Wenn Sie eine nicht vorhandene

Kategorie eingeben, wird diese erstellt.

Sie können maximal 30 Kategorien pro Seite und 100 Apps pro Kategorie konfigurieren.

Klicken Sie neben Lizenzen auf Anzeigen, um die Anzahl der zugewiesenen und verfügbaren

Lizenzen für die App sowie die Benutzer, denen eine Lizenz zugewiesen ist, anzuzeigen oder zu bearbeiten, .

Diese Einstellung ist nur für kostenpflichtige

Apps verfügbar.

Einstellung/Feld

Verwaltete Konfiguration

Sophos Mobile

Beschreibung

Klicken Sie auf App-Einstellungen, um Appspezifische Einstellungen anzuzeigen oder zu bearbeiten.

Informationen zu den verfügbaren Einstellungen finden Sie in der Dokumentation, die vom jeweiligen Entwickler der App bereitgestellt wird.

Diese Einstellung ist nur verfügbar, wenn die

App eine verwaltete Konfiguration unterstützt.

Tipp

Sie können die Platzhalter %_USERNAME_% und

%_EMAILADDRESS_% verwenden, die durch den jeweiligen Namen bzw. E-Mail-Adresse ersetzt werden.

19.11.5 App aus Managed Google Play installieren

Nachdem Sie in Managed Google Play eine App genehmigt haben und Ihren Benutzern Lizenzen zugewiesen haben, können Sie die App auf einzelnen Geräten oder Gerätegruppen installieren.

Hinweis

Benutzer können genehmigte Apps über die App „Managed Google Play Store“ installieren.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf AppsAndroid.

2. Klicken Sie auf der Seite Apps auf Genehmigte Apps.

3. Klicken Sie auf das blaue Dreieck neben der gewünschten App und dann auf Installieren.

4. Wählen Sie die Geräte aus, auf denen Sie die App installieren wollen. Gehen Sie wie folgt vor:

• Wählen Sie einzelne Geräte aus.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

Wenn Sie fertig sind, klicken Sie auf Weiter.

5. Legen Sie auf der Seite Ausführungszeit wählen den Zeitpunkt fest, zu dem die App installiert wird:

• Für eine sofortige Ausführung wählen Sie Sofort aus.

• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und

Uhrzeit ein.

6. Klicken Sie auf Fertigstellen.

Sophos Mobile

19.11.6 Apps aus Managed Google Play deinstallieren

Sie können eine App aus Managed Google Play von einzelnen Geräten oder Gerätegruppen deinstallieren.

1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Apps und anschließend auf

Android.

2. Klicken Sie auf der Seite Apps auf Genehmigte Apps.

3. Klicken Sie auf der Seite Genehmigte Apps auf Deinstallieren.

4. Wählen Sie die Geräte aus, von denen Sie die App deinstallieren wollen. Gehen Sie wie folgt vor:

• Wählen Sie einzelne Geräte aus.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

Wenn Sie fertig sind, klicken Sie auf Weiter.

5. Wählen Sie auf der Seite App auswählen die gewünschte App aus.

6. Legen Sie auf der Seite Ausführungszeit wählen den Zeitpunkt fest, zu dem die App deinstalliert wird:

• Für eine sofortige Ausführung wählen Sie Sofort aus.

• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und

Uhrzeit ein.

7. Klicken Sie auf Fertigstellen.

Ein Auftrag zur Deinstallation der App wird an einen Google-Dienst gesendet. Das eigentliche

Entfernen der App vom Gerät wird von Google verwaltet. Auf der Seite Auftragsstatus wird der

Auftrag mit Status erfolgreich angezeigt, nachdem er an Google gesendet wurde.

Tipp

19.11.7 Lizenzen für App aus Managed Google Play

Für kostenpflichtige Apps, die Sie in Managed Google Play genehmigt haben, müssen Sie

Benutzern eine App-Lizenz zuweisen, damit diese die App verwenden können.

Sie konfigurieren die Zuweisung von Lizenzen auf der Seite Genehmigte App bearbeiten. Siehe

App aus Managed Google Play bearbeiten

(Seite 347).

Sophos Mobile

Hinweis

• Für App-Installationen, die vom Administrator initiiert werden, brauchen Sie keine Lizenzen

zuzuweisen. Wenn Sie eine App wie in App aus Managed Google Play installieren (Seite

349) beschrieben installieren, wird eine Lizenz aus Ihrem Lizenzpool automatisch den jeweiligen Benutzern zugewiesen.

• Für kostenlose Apps, die Sie in Managed Google Play genehmigt haben, brauchen Sie keine Lizenzen zuzuweisen. Kostenlose Apps stehen automatisch allen Ihren Benutzern zur

Verfügung, sobald Sie die Liste Ihrer Apps von Google nach Sophos Mobile synchronisiert haben.

19.11.8 Layout von Managed Google Play

Sie können den Ort festlegen, wo verwaltete Google Play Apps in der App „Google Play Store“ der

Benutzer angezeigt wird.

Die konfigurierbaren Layout-Elemente sind Seiten und Kategorien.

• Seiten sind benannte, vertikal scrollbare Ansichten. Seiten und Seitennamen sind von Sophos

Mobile vordefiniert.

• Kategorien sind benannte, horizontal scrollbare Unterabschnitte einer von Ihnen definierten Seite.

Google bezeichnet diese Kategorien auch als Cluster.

• Jede Kategorie gehört zu einer bestimmten Seite und jede App gehört zu einer bestimmten

Kategorie.

• Seiten, auf denen sich keine App befindet, werden nicht angezeigt.

• Sie können maximal 30 Kategorien pro Seite und 100 Apps pro Kategorie konfigurieren.

Für jede App definieren Sie die Seite und optional die Kategorie, in der die App in Managed Google

Play auf den Geräten angezeigt wird. Standardmäßig werden Apps auf der Seite Sonstiges angezeigt.

Sie konfigurieren das Layout von Google Play for Work auf der Seite Genehmigte App bearbeiten.

Siehe App aus Managed Google Play bearbeiten (Seite 347).

19.11.9 Konfigurierbare Apps

Eine App aus Managed Google Play kann eine verwaltete Konfiguration anbieten. Diese Funktion wird vom jeweiligen Entwickler der App bereitgestellt und erlaubt Ihnen, benutzerdefinierte

Einstellungen für die App zu konfigurieren.

Wenn die App eine verwaltete Konfiguration unterstützt, wird in Managed Google Play zu der App ein Hinweis Diese App bietet eine verwaltete Konfiguration angezeigt.

Sie konfigurieren die Einstellungen der App auf der Seite Genehmigte App bearbeiten. Siehe

App aus Managed Google Play bearbeiten

(Seite 347).

19.11.10 Private und selbst gehostete Apps

Bei Android Enterprise müssen alle Apps, die Sie Ihren Benutzern zur Verfügung stehen wollen,

über Managed Google Play bereitgestellt werden.

Sophos Mobile

• Öffentliche Apps sind Apps, die allen Benutzer mit einem Managed Google Account zur

Verfügung stehen.

• Private Apps sind Apps, die Sie selbst entwickelt haben und die nur den Benutzern in Ihrer

Managed Google Domain zur Verfügung stehen.

• Selbst gehostete Apps sind private Apps, deren Paketdatei (d.h. die APK-Datei) auf einem Server

Ihres Unternehmens liegt anstatt auf dem Google-Server. Allerdings müssen bei selbst gehosteten

Apps die Store-Metadaten der App zu Google hochgeladen werden, damit die App über Managed

Google Play bereitgestellt werden kann.

Informationen zu privaten Apps finden Sie auf der Webseite Android in the Enterprise (externer

Link).

Sophos Mobile

20 Intune App-Schutz

Intune ist ein Microsoft-Dienst für die Verwaltung mobiler Geräte und Apps. Mit Intune App-Schutz können Sie Einschränkungen für die App-Nutzung festlegen und diese Ihren Benutzern zuweisen.

Da Intune App-Schutz auf der Benutzer-Identität basiert und für den Schutz Ihrer

Unternehmensdaten keine Geräteverwaltung erfordert, eignet es sich für BYOD-Programme (Bring

Your Own Device).

Sie können Ihre Intune-App-Schutz-Richtlinien in Sophos Mobile Admin verwalten.

Eigenschaften und Anforderungen

• Geräte müssen nicht bei Sophos Mobile registriert werden.

• Intune-App-Schutz-Richtlinien können auf Office-365-Apps angewendet werden und auf andere

Apps, in denen das Intune App SDK integriert ist.

• Richtlinien werden nur angewendet, wenn sich ein Benutzer an der App mit seinem

Unternehmenskonto anmeldet. Wenn sich ein Benutzer mit seinem privaten Konto anmeldet, gelten keine Nutzungsbeschränkungen.

• Sie müssen ein Abonnement für „Azure Active Directory (AD) Premium“ haben.

• Den Azure-AD-Konten der Benutzer muss eine Intune-Lizenz zugewiesen sein.

• Um Richtlinien auf die App Microsoft Outlook anzuwenden, muss den Azure-AD-Konten der

Benutzer ein E-Mail-Konto und eine Lizenz für Office 365 Exchange Online zugewiesen sein.

• Um Richtlinien auf die Apps Microsoft Word, Excel und PowerPoint anzuwenden, muss den Azure-

AD-Konten der Benutzer eine Lizenz vom Typ Office 365 Business oder Enterprise zugewiesen sein.

Verwandte Informationen

Microsoft-Intune-Dokumentation (externer Link)

Microsoft-Intune-Apps (externer Link)

20.1 Integration mit Microsoft Intune einrichten

Damit Sie in Sophos Mobile Admin Intune-App-Schutz-Richtlinien verwalten können, müssen Sie

Sophos Mobile als Microsoft-Azure-Anwendung registrieren. Wir empfehlen Ihnen, den Microsoft-

Azure-Registrierung zu verwenden.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Microsoft Azure.

2. Klicken Sie auf Microsoft-Azure-Registrierungsassistent.

Der Assistent leitet Sie durch den Registrierungsvorgang im Microsoft-Azure-Portal und in Sophos

Mobile Admin: a) Erstellen Sie im Microsoft-Azure-Portal eine Anwendung für Sophos Mobile.

b) Geben Sie in Sophos Mobile die Anwendungs-ID ein.

c) Laden Sie das Server-Zertifikat für Sophos Mobile in Ihre Anwendung hoch.

Sophos Mobile d) Gewähren Sie der Anwendung die erforderlichen Berechtigungen.

Der Assistent enthält auch eine Seite für die Konfiguration der Funktion „föderierte

Authentifizierung“. Führen Sie die Schritte auf dieser Seite nur durch, wenn Sie anstelle interner oder externer Benutzerverwaltung die föderierte Authentifizierung mit Azure Active Directory verwenden wollen. Siehe

Föderierte Authentifizierung

(Seite 98).

Nach Abschluss der Registrierung gibt es in der Menüleiste von Sophos Mobile Admin einen neuen

Eintrag Profile, Richtlinien > Intune App-Schutz.

20.2 Intune-App-Schutz-Richtlinie erstellen

Mit einer Intune-App-Schutz-Richtlinie schränken Sie in Abhängigkeit von der Benutzer-Identität den

Zugriff auf Daten ein. Die Einschränkungen gelten nur, wenn die App in einem beruflichen Kontext verwendet wird, d.h., wenn ein zugewiesener Benutzer die App mit seinem Unternehmenskonto verwendet.

Sie müssen separate Richtlinien für Android- und iOS-Apps erstellen.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > Intune App-

Schutz.

2. Bestätigen Sie den Hinweis zur Weiterleitung auf eine Microsoft-Seite und melden Sie sich dort mit

Ihrem Administratorkonto für Microsoft Azure an.

Dieser Schritt ist nicht notwendig, wenn Sie sich in der aktuellen Sitzung von Sophos Mobile Admin bereits bei Microsoft Azure angemeldet haben.

3. Klicken Sie in Sophos Mobile Admin auf der Seite Richtlinien auf Hinzufügen und anschließend auf Android-Richtlinie oder iOS-Richtlinie.

4. Geben Sie auf der Seite Richtlinie bearbeiten die erforderlichen Einstellungen ein.

Siehe

Einstellungen für Intune-App-Schutz-Richtlinien (Android) (Seite 355) und

Einstellungen für

Intune-App-Schutz-Richtlinien (iOS) (Seite 360).

5. Klicken Sie auf Speichern.

Die Richtlinie können Sie im Microsoft-Azure-Portal sehen. Möglicherweise müssen Sie sich erneut am Portal anmelden, um die angezeigten Informationen zu aktualisieren.

Nachdem Sie eine Intune-App-Schutz-Richtlinie erstellt haben, weisen Sie ihr Apps und Benutzer zu.

Siehe Apps einer Intune-App-Schutz-Richtlinie zuweisen (Seite 354) und

Benutzer einer Intune-

App-Schutz-Richtlinie zuweisen (Seite 355).

20.3 Apps einer Intune-App-Schutz-Richtlinie zuweisen

Eine Intune-App-Schutz-Richtlinie wird nur auf Apps angewendet, die Sie der Richtlinie zuweisen.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > Intune App-

Schutz.

2. Bestätigen Sie den Hinweis zur Weiterleitung auf eine Microsoft-Seite und melden Sie sich dort mit

Ihrem Administratorkonto für Microsoft Azure an.

Dieser Schritt ist nicht notwendig, wenn Sie sich in der aktuellen Sitzung von Sophos Mobile Admin bereits bei Microsoft Azure angemeldet haben.

3. Klicken Sie in Sophos Mobile Admin auf der Seite Richtlinien auf das blaue Dreieck neben der

Richtlinie, der Sie Apps zuweisen wollen, und anschließend auf Apps zuweisen.

Sophos Mobile

4. Wählen Sie die Apps aus, die Sie der Richtlinie zuweisen wollen.

Die Liste enthält alle Android- bzw. iOS-Apps, die Sie im Microsoft-Azure-Portal Ihrem Microsoft-

Intune-Konto hinzugefügt haben.

5. Klicken Sie auf Speichern.

Die App-Zuweisung können Sie im Microsoft-Azure-Portal sehen. Möglicherweise müssen Sie sich erneut am Portal anmelden, um die angezeigten Informationen zu aktualisieren.

20.4 Benutzer einer Intune-App-Schutz-Richtlinie zuweisen

Eine Intune-App-Schutz-Richtlinie wird nur auf eine App angewendet, wenn diese von einem zugewiesenen Benutzer verwendet wird. Sie weisen Benutzer nicht einzeln zu, sondern über

Sicherheitsgruppen aus Azure Active Directory (AD).

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > Intune App-

Schutz.

2. Bestätigen Sie den Hinweis zur Weiterleitung auf eine Microsoft-Seite und melden Sie sich dort mit

Ihrem Administratorkonto für Microsoft Azure an.

Dieser Schritt ist nicht notwendig, wenn Sie sich in der aktuellen Sitzung von Sophos Mobile Admin bereits bei Microsoft Azure angemeldet haben.

3. Klicken Sie in Sophos Mobile Admin auf der Seite Richtlinien auf das blaue Dreieck neben der

Richtlinie, der Sie Benutzer zuweisen wollen, und anschließend auf Benutzergruppen zuweisen.

4. Wählen Sie aus der Liste der verfügbaren Azure-AD-Sicherheitsgruppen die Gruppen aus, die Sie einschließen oder ausschließen wollen:

• Einschließen: Die Richtlinie gilt für Mitglieder dieser Gruppe.

• Ausschließen: Die Richtlinie gilt nicht für Mitglieder dieser Gruppe, auch dann nicht, wenn diese Mitglied einer Einschließen-Gruppe sind.

• Nicht zugewiesen: Die Richtlinie gilt nicht für Mitglieder dieser Gruppe, es sei denn, diese sind auch Mitglied einer Einschließen-Gruppe.

5. Klicken Sie auf Speichern.

Die Benutzerzuweisung können Sie im Microsoft-Azure-Portal sehen. Möglicherweise müssen Sie sich erneut am Portal anmelden, um die angezeigten Informationen zu aktualisieren.

Hinweis

Die Richtlinie gilt nur für Benutzer, deren Azure-AD-Konto eine Intune-Lizenz zugewiesen ist.

Andere Benutzer aus den ausgewählten Sicherheitsgruppen sind nicht betroffen.

20.5 Einstellungen für Intune-App-Schutz-

Richtlinien (Android)

Mit einer Richtlinie vom Typ Intune App-Schutz definieren Sie Einschränkungen für Apps, die mit

Intune verwaltet werden. Dieser Abschnitt beschreibt die verfügbaren Einstellungen für Android-Apps.

Sophos Mobile

Allgemeine Einstellungen

Einstellung/Feld

Name

Beschreibung

Beschreibung

Der Name der Richtlinie.

Eine kurze Beschreibung der Richtlinie.

Datenverschiebung

Unter Datenverschiebung konfigurieren Sie Regeln für den Import und Export von Daten in die

(bzw. aus der) App.

Hinweis

Alle Einstellungen gelten für Daten, auf die ein Benutzer zugreift, wenn er mit seinem

Unternehmenskonto angemeldet ist.

Einstellung/Feld

Android-Sicherungen verhindern

App Übertragung von Daten an andere Apps erlauben

Beschreibung

Die App verwendet nicht den Android-

Datensicherungsdienst.

Geben Sie an, welche Apps Daten von dieser App empfangen können:

Richtlinienverwaltete Apps: Datenübertragung nur an Apps erlauben, die mit einer Intune-Richtlinie verwaltet werden.

Alle Apps: Transfer an alle Apps erlauben

Keine Apps: Keinen Transfer an andere Apps erlauben.

Hinweis

• Zu einigen Apps oder Diensten ist die

Datenübertragung möglicherweise immer erlaubt. Zu Details siehe in der Microsoft-Intune-

Dokumentation die Beschreibung zu Ausnahmen für

Datenübertragungen.

• Die Datenübertragung zu einer Android Instant App ist immer blockiert.

Sophos Mobile

Einstellung/Feld

App Empfang von Daten aus anderen

Apps erlauben

Beschreibung

Geben Sie an, welche Apps Daten an diese App

übertragen können:

Richtlinienverwaltete Apps: Datenübertragung nur von Apps erlauben, die mit einer Intune-Richtlinie verwaltet werden.

Alle Apps: Transfer von allen Apps erlauben

Keine Apps: Keinen Transfer von anderen Apps erlauben.

Hinweis

• Von einigen Apps oder Diensten ist die

Datenübertragung möglicherweise immer erlaubt. Zu Details siehe in der Microsoft-Intune-

Dokumentation die Beschreibung zu Ausnahmen für

Datenübertragungen.

• Die Datenübertragung von einer Android Instant App ist immer blockiert.

„Speichern unter“ verhindern

Speicherorte

Beschränken von Ausschneiden,

Kopieren und Einfügen mit anderen

Apps

Anzeige von Web-Inhalten auf den

Managed Browser beschränken

App-Daten verschlüsseln

Die App-Funktion „Speichern unter“ ist deaktiviert.

Wenn „Speichern unter“ verhindern ausgewählt ist, wählen Sie die Speicherorte für Unternehmensdaten aus.

Benutzer können Daten an den ausgewählten Orten speichern. Andere Orte sind blockiert.

Geben Sie an, wann Ausschneide-, Kopier- und

Einfügeaktionen in dieser App erlaubt sind:

Blockiert: Ausschneide-, Kopier- und Einfügeaktionen zwischen dieser App und anderen Apps nicht zulassen.

Richtlinienverwaltete Apps: Nur Ausschneide-,

Kopier- und Einfügeaktionen zwischen dieser App und anderen mit einer Intune-Richtlinie verwalteten Apps zulassen.

Richtlinienverwaltete Apps mit Einfügen:

Ausschneiden oder Kopieren zwischen dieser App und anderen mit einer Intune-Richtlinie verwalteten Apps zulassen. Einfügen von Daten aus beliebigen Apps in diese App zulassen.

Alle Apps: Keine Einschränkungen für das

Ausschneiden, Kopieren und Einfügen in und aus dieser App.

Internet-Links in der App können nur mit dem Intune

Managed Browser geöffnet werden.

Daten werden mit einem von Intune festgelegten

Verschlüsselungsschema verschlüsselt.

Sophos Mobile

Einstellung/Feld Beschreibung

Kontaktsynchronisierung deaktivieren Die App speichert keine Daten in der App Kontakte.

Drucken deaktivieren Die App-Funktion „Drucken“ ist deaktiviert.

Zugriff

Unter Zugriff konfigurieren Sie Regeln für den App-Zugriff, wenn sich Benutzer mit ihrem

Unternehmenskonto anmelden.

Einstellung/Feld

PIN für Zugriff anfordern

Beschreibung

Zum Starten der App ist eine PIN erforderlich.

Benutzer werden aufgefordert, eine PIN festzulegen, wenn sie sich zum ersten Mal mit ihrem

Unternehmenskonto an der App anmelden.

Hinweis

Alle von Intune verwalteten Android-Apps verwenden dieselbe PIN.

Anzahl der Versuche vor dem

Zurücksetzen der PIN

Einfache PIN verbieten

PIN-Länge

Fingerabdruck verbieten

Unternehmensanmeldeinformationen für Zugriff erforderlich

Ausführung verwalteter Apps auf gerooteten Geräten blockieren

Timeout für Zugriffsanforderungen

Die Anzahl fehlerhafter Anmeldeversuche, nach der die PIN zurückgesetzt wird.

Benutzer dürfen keine einfachen PIN-Sequenzen wie z.B. 1234 oder 1111 verwenden.

Die Mindestanzahl an Ziffern in der PIN-Sequenz.

Benutzer können keinen Fingerabdruck anstelle der

PIN verwenden, um sich zu authentisieren.

Benutzer müssen ihr Unternehmenskennwort anstelle einer PIN eingeben.

Diese Einstellung überschreibt die anderen PIN-

Anforderungen.

Auf gerooteten Geräten können Benutzer sich nicht mit ihrem Unternehmenskonto anmelden.

Zeit in Minuten nach dem Start der App, bevor die (in dieser Richtlinie festgelegten) Zugriffsanforderungen erneut überprüft werden.

Hinweis

Nachdem Benutzer einmal die PIN eingegeben haben, können sie innerhalb dieser Zeitspanne andere von

Intune verwaltete Apps verwenden, ohne die PIN erneut eingeben zu müssen.

Sophos Mobile

Einstellung/Feld

Offline-Toleranzperiode

Offline-Intervall, bevor App-Daten zurückgesetzt werden

Beschreibung

Zeit in Minuten, die ein Gerät offline sein darf, bevor die Zugriffsanforderungen der App erneut überprüft werden.

Nach Ablauf dieser Zeitspanne muss der Benutzer das

Gerät mit dem Netzwerk verbinden und sich erneut authentisieren.

Anzahl an Tagen, die ein Gerät offline sein darf, bevor der Benutzer das Gerät mit dem Netzwerk verbinden und sich erneut authentisieren muss.

Wenn die Authentifizierung fehlschlägt, werden die

Unternehmensdaten vom Gerät gelöscht.

Hinweis

Es werden auch Daten in der App Kontakte gelöscht, die aus der App Microsoft Outlook stammen.

Screenshots und Android-Assistent blockieren

Erforderliche Android-Mindestversion Die niedrigste für die Verwendung der App erforderliche Android-Version.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Empfohlene Android-Mindestversion

Benutzer können keine Screenshots machen oder

Google Assistant verwenden.

Hierdurch wird auch die App-Voransicht in der Liste zuletzt verwendeter Apps maskiert.

Erforderliche App-Mindestversion

Die niedrigste für die Verwendung der App empfohlene

Android-Version.

Wenn das Gerät diese Anforderung nicht erfüllt, erhält der Benutzer einen Hinweis, den er aber ignorieren kann.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Die niedrigste für die Verwendung der App erforderliche App-Version.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Empfohlene App-Mindestversion Die niedrigste für die Verwendung der App empfohlene

App-Version.

Wenn die App diese Anforderung nicht erfüllt, erhält der Benutzer einen Hinweis, den er aber ignorieren kann.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Sophos Mobile

Einstellung/Feld

Erforderliche Android-

Sicherheitspatch-Mindestversion

Empfohlene Android-

Sicherheitspatch-Mindestversion

Beschreibung

Die niedrigste für die Verwendung der App erforderliche Android-Sicherheitspatch-Ebene.

Geben Sie das Sicherheitspatch-Datum im Format

JJJJ-MM-TT ein.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Die niedrigste für die Verwendung der App empfohlene

Android-Sicherheitspatch-Ebene.

Geben Sie das Sicherheitspatch-Datum im Format

JJJJ-MM-TT ein.

Wenn das Gerät diese Anforderung nicht erfüllt, erhält der Benutzer einen Hinweis, den er aber ignorieren kann.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

20.6 Einstellungen für Intune-App-Schutz-

Richtlinien (iOS)

Mit einer Richtlinie vom Typ Intune App-Schutz definieren Sie Einschränkungen für Apps, die mit

Intune verwaltet werden. Dieser Abschnitt beschreibt die verfügbaren Einstellungen für iOS-Apps.

Allgemeine Einstellungen

Einstellung/Feld

Name

Beschreibung

Beschreibung

Der Name der Richtlinie.

Eine kurze Beschreibung der Richtlinie.

Datenverschiebung

Unter Datenverschiebung konfigurieren Sie Regeln für den Import und Export von Daten in die

(bzw. aus der) App.

Hinweis

Alle Einstellungen gelten für Daten, auf die ein Benutzer zugreift, wenn er mit seinem

Unternehmenskonto angemeldet ist.

Sophos Mobile

Einstellung/Feld iTunes- und iCloud-Sicherungen verhindern

App Übertragung von Daten an andere Apps erlauben

Beschreibung

Die App sichert keine Daten in iTunes oder iCloud.

Geben Sie an, welche Apps Daten von dieser App empfangen können:

Richtlinienverwaltete Apps: Datenübertragung nur an Apps erlauben, die mit einer Intune-Richtlinie verwaltet werden.

Alle Apps: Transfer an alle Apps erlauben

Keine Apps: Keinen Transfer an andere Apps erlauben.

Hinweis

• Zu einigen Apps oder Diensten ist die

Datenübertragung möglicherweise immer erlaubt. Zu Details siehe in der Microsoft-Intune-

Dokumentation die Beschreibung zu Ausnahmen für

Datenübertragungen.

• Richtlinienverwaltete Apps und Keine Apps blockieren auch die Siri-Suche in der App.

App Empfang von Daten aus anderen

Apps erlauben

Geben Sie an, welche Apps Daten an diese App

übertragen können:

Richtlinienverwaltete Apps: Datenübertragung nur von Apps erlauben, die mit einer Intune-Richtlinie verwaltet werden.

Alle Apps: Transfer von allen Apps erlauben

Keine Apps: Keinen Transfer von anderen Apps erlauben.

Hinweis

• Von einigen Apps oder Diensten ist die

Datenübertragung möglicherweise immer erlaubt. Zu Details siehe in der Microsoft-Intune-

Dokumentation die Beschreibung zu Ausnahmen für

Datenübertragungen.

• Einige Apps ignorieren diese Einstellung und erlauben sämtliche eingehenden Daten.

„Speichern unter“ verhindern

Speicherorte

Die App-Funktion „Speichern unter“ ist deaktiviert.

Wenn „Speichern unter“ verhindern ausgewählt ist, wählen Sie die Speicherorte für Unternehmensdaten aus.

Benutzer können Daten an den ausgewählten Orten speichern. Andere Orte sind blockiert.

Sophos Mobile

Einstellung/Feld

Beschränken von Ausschneiden,

Kopieren und Einfügen mit anderen

Apps

Anzeige von Web-Inhalten auf den

Managed Browser beschränken

App-Daten verschlüsseln

Beschreibung

Geben Sie an, wann Ausschneide-, Kopier- und

Einfügeaktionen in dieser App erlaubt sind:

Blockiert: Ausschneide-, Kopier- und Einfügeaktionen zwischen dieser App und anderen Apps nicht zulassen.

Richtlinienverwaltete Apps: Nur Ausschneide-,

Kopier- und Einfügeaktionen zwischen dieser App und anderen mit einer Intune-Richtlinie verwalteten Apps zulassen.

Richtlinienverwaltete Apps mit Einfügen:

Ausschneiden oder Kopieren zwischen dieser App und anderen mit einer Intune-Richtlinie verwalteten Apps zulassen. Einfügen von Daten aus beliebigen Apps in diese App zulassen.

Alle Apps: Keine Einschränkungen für das

Ausschneiden, Kopieren und Einfügen in und aus dieser App.

Internet-Links in der App können nur mit dem Intune

Managed Browser geöffnet werden.

Wählen Sie aus, wie Daten verschlüsselt werden.

Daten werden mit dem von iOS festgelegten Geräte-

Verschlüsselungsschema verschlüsselt.

Wenn das Gerät gesperrt ist: App-Daten werden verschlüsselt, solange das Gerät gesperrt ist.

Wenn das Gerät gesperrt ist und Dateien geöffnet

sind: App-Daten werden verschlüsselt, solange das

Gerät gesperrt ist, mit Ausnahme von Dateien, die in der App geöffnet sind.

Nach Geräteneustart: App-Daten werden verschlüsselt, wenn das Gerät neu gestartet wird, und solange, bis das Gerät zum ersten Mal entsperrt wird.

Geräteeinstellungen verwenden: App-Daten werden basierend auf den Geräteeinstellungen verschlüsselt.

Kontaktsynchronisierung deaktivieren Die App speichert keine Daten in der App Kontakte.

Drucken deaktivieren Die App-Funktion „Drucken“ ist deaktiviert.

Zugriff

Unter Zugriff konfigurieren Sie Regeln für den App-Zugriff, wenn sich Benutzer mit ihrem

Unternehmenskonto anmelden.

Sophos Mobile

Einstellung/Feld

PIN für Zugriff anfordern

Kennworttyp

Beschreibung

Zum Starten der App ist eine PIN erforderlich.

Benutzer werden aufgefordert, eine PIN festzulegen, wenn sie sich zum ersten Mal mit ihrem

Unternehmenskonto an der App anmelden.

Hinweis

Alle von Intune verwalteten iOS-Apps desselben

Herausgebers verwenden dieselbe PIN.

Die Art der PIN, die Benutzer definieren müssen:

Numerisch: PIN darf nur Ziffern enthalten.

Kennung: PIN muss mindestens einen Buchstaben, ein Sonderzeichen oder ein Symbol enthalten, wie sie auf einer englischen iOS-Tastatur enthalten sind.

Hinweis

Kennung wird von einigen Apps nicht unterstützt.

Anzahl der Versuche vor dem

Zurücksetzen der PIN

Einfache PIN verbieten

PIN-Länge

Fingerabdruck verbieten

Gesichtserkennung verbieten

Unternehmensanmeldeinformationen für Zugriff erforderlich

Ausführung verwalteter Apps auf

Geräten mit Jailbreak blockieren

Die Anzahl fehlerhafter Anmeldeversuche, nach der die PIN zurückgesetzt wird.

Benutzer dürfen keine einfachen PIN-Sequenzen wie z.B. 1234 oder 1111 verwenden.

Wenn für Kennworttyp der Wert Kennung ausgewählt ist, muss die PIN mindestens sowohl eine

Ziffer, einen Buchstaben als auch ein Sonderzeichen oder Symbol enthalten.

Die Mindestanzahl an Zeichen in der PIN-Sequenz.

Benutzer können nicht Touch ID anstelle der PIN verwenden, um sich zu authentisieren.

Benutzer können nicht Face ID anstelle der PIN verwenden, um sich zu authentisieren.

Benutzer müssen ihr Unternehmenskennwort anstelle einer PIN eingeben.

Diese Einstellung überschreibt die anderen PIN-

Anforderungen.

Auf Geräten mit Jailbreak können Benutzer sich nicht mit ihrem Unternehmenskonto anmelden.

Sophos Mobile

Einstellung/Feld

Timeout für Zugriffsanforderungen

Offline-Toleranzperiode

Offline-Intervall, bevor App-Daten zurückgesetzt werden

Erforderliche iOS-Mindestversion

Empfohlene iOS-Mindestversion

Erforderliche App-Mindestversion

Beschreibung

Zeit in Minuten nach dem Start der App, bevor die (in dieser Richtlinie festgelegten) Zugriffsanforderungen erneut überprüft werden.

Hinweis

Nachdem Benutzer einmal die PIN eingegeben haben, können sie innerhalb dieser Zeitspanne andere von Intune verwaltete Apps desselben Herausgebers verwenden, ohne die PIN erneut eingeben zu müssen.

Zeit in Minuten, die ein Gerät offline sein darf, bevor die Zugriffsanforderungen der App erneut überprüft werden.

Nach Ablauf dieser Zeitspanne muss der Benutzer das

Gerät mit dem Netzwerk verbinden und sich erneut authentisieren.

Anzahl an Tagen, die ein Gerät offline sein darf, bevor der Benutzer das Gerät mit dem Netzwerk verbinden und sich erneut authentisieren muss.

Wenn die Authentifizierung fehlschlägt, werden die

Unternehmensdaten vom Gerät gelöscht.

Hinweis

Es werden auch Daten in der App Kontakte gelöscht, die aus der App Microsoft Outlook stammen.

Die niedrigste für die Verwendung der App erforderliche iOS-Version.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Die niedrigste für die Verwendung der App empfohlene iOS-Version.

Wenn das Gerät diese Anforderung nicht erfüllt, erhält der Benutzer einen Hinweis, den er aber ignorieren kann.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Die niedrigste für die Verwendung der App erforderliche App-Version.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Einstellung/Feld

Empfohlene App-Mindestversion

Erforderliche Mindestversion des „SDK für Intune-App-Schutz-

Richtlinien“

Sophos Mobile

Beschreibung

Die niedrigste für die Verwendung der App empfohlene

App-Version.

Wenn die App diese Anforderung nicht erfüllt, erhält der Benutzer einen Hinweis, den er aber ignorieren kann.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Die niedrigste für die Verwendung der App erforderliche Version des SDK für Intune-App-Schutz-

Richtlinien.

Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.

Sophos Mobile

366

21 Sophos Mobile Security verwalten

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Sophos Mobile Security ist eine Sicherheits-App für Android- und iOS-Geräte. Sie können die App auf Geräten verwalten, die bei Sophos Mobile registriert sind.

Sie können Sophos Mobile Security auch auf Geräten verwalten, die bei einer Fremd-EMM-Software registriert sind. Die Fremd-EMM-Software muss benutzerdefinierte App-Einstellungen unterstützen.

Siehe Die Integration mit Fremd-EMM-Software konfigurieren

(Seite 368).

Wenn Sophos Mobile Security von Sophos Mobile verwaltet wird, können Sie in Sophos Mobile

Admin folgende Aufgaben ausführen:

• Einstellungen für die App Sophos Mobile Security zentral und ferngesteuert konfigurieren. Siehe

Konfigurationen für Mobile-Security-Richtlinien (Android)

(Seite 174) und Konfigurationen für

Mobile-Security-Richtlinien (iOS) (Seite 229).

• Eine Compliance-Richtlinie zuweisen, um sicherstellen, dass die App Sophos Mobile Security

installiert ist und in festgelegten Intervallen Scans durchführt. Siehe Compliance-Regeln für

Sophos Mobile Security (Seite 366).

• Für Android: Gerätescans ausführen und die Ergebnisse betrachten. Siehe

Gerät scannen

(Seite

63).

21.1 Compliance-Regeln für Sophos Mobile

Security

Dieser Abschnitt beschreibt die Compliance-Regeln, die Sie für die einzelnen Plattformen auswählen können.

Regel

Status „Verwaltet“ erforderlich

Root-Zugriff erlaubt

Jailbreak erlauben

Minimale OS-Version

Maximale OS-Version

Beschreibung

Legen Sie fest, welche Aktionen ausgeführt werden, wenn ein Gerät nicht mehr den Status „Verwaltet“ hat.

Plattformen

Android iOS

Android Wählen Sie aus, ob gerootete Geräte zulässig sind.

Wählen Sie aus, ob Geräte mit

Jailbreak zulässig sind.

Wählen Sie die mindestens erforderliche Betriebssystemversion aus.

Wählen Sie die neueste erlaubte

Betriebssystemversion aus.

iOS

Android iOS

Regel

Maximaler Abstand von SMSec-

Synchronisierungen

Maximaler Abstand von SMSec-

Scans

Ablehnung von SMSec-

Berechtigungen erlaubt

Malware-Apps erlaubt

Verdächtige Apps erlaubt

PUAs erlaubt

Sophos Mobile

Beschreibung

Geben Sie das maximale

Intervall zwischen

Synchronisierungsvorgängen für

Geräte an.

Geben Sie den maximalen

Zeitabstand zwischen Malware-Scans an, die von der App „Sophos Mobile

Security“ auf dem Gerät ausgeführt werden.

Plattformen

Android iOS

Android

Sophos Mobile Security benötigt auf dem Gerät bestimmte

Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese Berechtigungen bei der App-

Installation gewähren.

Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein

Compliance-Verstoß ist.

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte Malware-

Apps erlaubt sind.

Android

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte verdächtige

Apps erlaubt sind.

Android

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte potentiell unerwünschte Apps (PUAs) erlaubt sind.

Android

Sophos Mobile

22 Die Integration mit Fremd-EMM-

Software konfigurieren

Sie können die App Sophos Mobile Security auf Geräten verwalten, die bei einer Fremd-EMM-

Software registriert sind. Hierfür müssen Sie sowohl die Fremd-EMM-Software als auch Sophos Mobile konfigurieren.

In der Fremd-EMM-Software müssen Sie eine benutzerdefinierte App-Konfiguration für Sophos

Mobile Security erstellen. Wenn die Fremd-EMM-Software die App installiert, registriert sich diese automatisch bei Sophos Mobile.

Hinweis

Android-Geräte müssen bei der Fremd-EMM-Software im Android-Enterprise-Modus registriert sein.

Führen Sie folgende Schritte in Sophos Mobile Admin aus:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab Fremd-EMM.

2. Klicken Sie auf Verbindungscode erzeugen.

Der Code enthält die von Sophos Mobile Security benötigten Informationen für die Registrierung bei Sophos Mobile.

3. Konfigurieren Sie folgende Einstellungen:

Option

Besitzer

Beschreibung

Der Eigentumstyp (Firmengerät oder Privat) der Geräte, die Sie bei Ihrer Fremd-EMM-

Software registrieren.

Gerätegruppe Die Gerätegruppe aus Sophos Mobile, der die

Geräte zugewiesen werden.

Mobile-Security-Richtlinie (Android) Optional: Die Richtlinie aus Sophos Mobile für

Sophos Mobile Security auf Android-Geräten.

Mobile-Security-Richtlinie (iOS) Optional: Die Richtlinie aus Sophos Mobile für Sophos Mobile Security auf iPhones und iPads.

4. Klicken Sie auf Speichern.

5. Klicken Sie neben Verbindungscode auf Kopieren, um den Wert in die Zwischenablage zu kopieren.

Sie benötigen den Verbindungscode für die Konfiguration der Fremd-EMM-Software.

Führen Sie folgende Schritte in der Fremd-EMM-Software aus:

6. Erstellen Sie eine App-Konfiguration für Sophos Mobile Security.

7. Fügen Sie der App-Konfiguration folgende benutzerdefinierte Einstellungen hinzu:

Sophos Mobile

Parameter-Name smcData deviceId deviceName email

Parameter-Wert

Der aus Sophos Mobile kopierte Verbindungscode.

Die von der Fremd-EMM-Software verwendete eindeutige Geräte-ID

Anhand dieses Wertes wird das in Sophos Mobile erstellte Gerät mit dem Gerät in der Fremd-EMM-Software verknüpft.

Optional: Der von der Fremd-EMM-Software verwendete Gerätename.

Optional: Die E-Mail-Adresse des Benutzers, den Sie dem Gerät in

Sophos Mobile zuweisen wollen.

Für Details zur Konfiguration einer benutzerdefinierten App-Konfiguration lesen Sie die

Dokumentation der Fremd-EMM-Software.

Tipp

Verwenden Sie für die Geräte- und Benutzerangaben Platzhalter, falls dies von Ihrer Fremd-

EMM-Software unterstützt wird.

8. Installieren Sie mit der Fremd-EMM-Software die App Sophos Mobile Security.

Beim ersten App-Start nach der Installation registriert sich Sophos Mobile Security bei Sophos Mobile.

Sie können die App in Sophos Mobile Admin auf der Seite Geräte verwalten.

Falls erforderlich, können Sie den Verbindungscode zurückziehen, um zukünftige App-Registrierungen zu verhindern. Dies hat keine Auswirkungen auf Sophos-Mobile-Security-Apps, die bereits bei Ihrem

Sophos Mobile Server registriert sind.

Sophos Mobile

23 Administratoren erstellen

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf EinrichtungAdministratoren, um die

Seite Administratoren anzeigen zu öffnen, und anschließend auf Administrator erstellen.

2. Konfigurieren Sie auf der Seite Administrator bearbeiten die Kontodaten für den Administrator.

• Wenn Externes LDAP-Verzeichnis als Benutzerverzeichnis für den Kunden ausgewählt ist, können Sie auf Benutzer mittels LDAP nachschlagen klicken, um einen bestehendes LDAP-

Konto auszuwählen.

• Wenn Sie kein externes Benutzerverzeichnis verwenden, geben Sie die relevanten

Informationen für Anmeldename, Vorname, Nachname, E-Mail-Adresse und Kennwort ein.

Das Kennwort, das Sie festlegen, kann nur einmal verwendet werden. Der Administrator muss das

Kennwort bei der ersten Anmeldung ändern.

Hinweis

Das Feld Anmeldename darf nur Buchstaben (Lateinisches Alphabet), Ziffern, Leerzeichen, oder die Zeichen \!._-# enthalten.

3. Wählen Sie aus der Liste Rolle eine der vorhandenen Rollen aus.

Über die Rolle werden die Zugriffsrechte des neuen Administrators in Sophos Mobile definiert.

Siehe

Benutzerrollen

(Seite 5).

4. Klicken Sie auf Speichern, um das Administrator-Konto anzulegen.

Der neue Administrator wird angelegt und auf der Seite Administratoren anzeigen angezeigt. Geben

Sie die Anmeldeinformationen (Benutzer, Kunde und Einmal-Kennwort) an den neuen Benutzer weiter. Der neue Benutzer kann sich an Sophos Mobile Admin anmelden und wird zum Ändern seines

Kennworts aufgefordert.

Sophos Mobile

24 Nachrichten an Geräte senden

Hinweis

Dieser Abschnitt gilt nicht für Windows-Computer und Windows-IoT-Geräte.

Sie können eine selbstdefinierte Nachricht an verwaltete Geräte senden.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte.

Die Seite Geräte wird angezeigt.

2. Wählen Sie ein oder mehrere Geräte aus, klicken Sie auf Aktionen und anschließend auf

Nachricht senden.

3. Geben Sie im Dialogfeld Mitteilungstext eingeben die gewünschte Mitteilung ein.

Die Nachricht kann bis zu 500 Zeichen enthalten.

4. Klicken Sie auf Fertigstellen.

Sophos Mobile

25 Sophos-Container

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Der Sophos-Container ist ein logischer Bereich auf einem Gerät, in dem die Apps Sophos Secure

Workspace, Sophos Secure Email und Sophos Mobile Security installiert sind, wenn sie von Sophos

Mobile verwaltet werden.

Der Sophos-Container ist auf folgenden Plattformen verfügbar:

• Android

• iOS

25.1 Sophos-Container-Registrierung konfigurieren

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Damit Geräte unter Verwendung des Registrierungstyps Sophos-Container bei Sophos Mobile registriert werden können, müssen Sie die folgenden Schritte durchführen. Führen Sie dies für alle

Plattformen (Android, iOS) durch, für welche Sie die Sophos-Container-Registrierung einsetzen wollen.

1. Erstellen Sie eine Container-Richtlinie. Siehe

Konfigurationen für Sophos-Container-Richtlinien

(Android) (Seite 162) und

Konfigurationen für Sophos-Container-Richtlinien (iOS) (Seite 217).

2. Verwenden Sie diese Container-Richtlinie in einem Auftragspaket.

Das Auftragspaket muss mindestens einen Auftrag Sophos-Container registrieren und einen

Auftrag Profil installieren enthalten. Siehe Auftragspakete erstellen (Seite 296).

3. Verwenden Sie dieses Auftragspaket als Einrichtungspaket für die Registrierung im Self Service

Portal:

In den Einstellungen für das Self Service Portal wählen Sie auf dem Tab Gruppeneinstellungen dieses Auftragspaket im Feld Einrichtungspaket - Firmengeräte oder Einrichtungspaket -

Privatgeräte aus. Siehe

Einstellungen für das Self Service Portal konfigurieren

(Seite 30).

25.2 Die Mobile Advanced Lizenz

Wenn Sie eine Lizenz vom Typ Mobile Advanced aktivieren, können Sie folgende zusätzlichen

Funktionen verwenden:

•

Die Apps Sophos Secure Workspace und Secure Email verwalten. Siehe Sophos-Container-

Apps verwalten (Seite 373).

• Die App Sophos Mobile Security auf Android-Geräten verwalten. Siehe

Sophos Mobile Security verwalten

(Seite 366).

Nachdem Sie Ihren Lizenzschlüssel erhalten haben, müssen Sie die Lizenz aktivieren.

Sophos Mobile

Eine Lizenz vom Typ Mobile Advanced für Sophos Mobile on Premise aktivieren

Für Sophos Mobile on Premise werden die Lizenzen vom Superadministrator in der

Kundenverwaltung verwaltet. Weitere Informationen finden Sie im Dokument Sophos Mobile

Superadministrator-Anleitung (englisch) .

Eine Lizenz vom Typ Mobile Advanced für Sophos Mobile as a Service aktivieren

Gehen Sie in Sophos Mobile Admin zu Einrichtung > Sophos-Einrichtung > Lizenz und geben Sie im Feld Advanced-Lizenzschlüssel Ihren Lizenzschlüssel ein.

25.3 Sophos-Container-Apps verwalten

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Für eine bessere Trennung der Daten auf den mit Sophos Mobile verwalteten Geräten stehen die

Sophos-Container-Apps Sophos Secure Email und Sophos Secure Workspace zur Verfügung:

• Sophos Secure Email ist eine App für Geräte mit Android oder iOS, die einen sicheren Container zur Verwaltung Ihrer E-Mails, Ihres Kalenders und Ihrer Kontakte bereitstellt.

• Sophos Secure Workspace ist eine App für Geräte mit Android oder iOS, die es Benutzern erlaubt, auf verschlüsselte Dateien zuzugreifen, die in der Cloud gespeichert sind. Dateien können nahtlos entschlüsselt und angezeigt werden. Verschlüsselte Dateien können von anderen Apps übergeben und zu einem der unterstützten Cloud-Speicheranbieter hochgeladen werden. Alternativ können die Dokumente lokal innerhalb der App gespeichert werden.

Mit Sophos Secure Workspace können Sie mit SafeGuard Cloud Storage oder SafeGuard

Data Exchange verschlüsselte Dateien lesen. SafeGuard Cloud Storage und SafeGuard

Data Exchange sind Module von SafeGuard Enterprise oder einer der verschiedenen

Produkteditionen. Mit diesen Modulen lassen sich Dateien mit einem lokalen Schlüssel verschlüsseln. Diese lokalen Schlüssel werden aus einer Passphrase abgeleitet, die von einem Benutzer eingegeben wird. Sie können eine Datei nur dann entschlüsseln, wenn Sie die

Passphrase kennen, mit der die Datei verschlüsselt wurde.

Durch den Sophos-Container wird folgendes verwaltet:

• Zentral festgelegte Kennwort-Regeln

• Kennwort-Regeln für alle Container-Apps

• Single-Sign-On für alle Container-Apps

• Dokumenteinstellungen für Sophos Secure Workspace

• Browser-Einstellungen für Sophos Secure Workspace

• Einstellungen für Sophos Secure Email

So verwalten Sie die Sophos-Apps mit Sophos Mobile:

Sophos Mobile

• Sie können die Einstellungen für die Sophos-Container-Apps auf allen verwalteten Geräten zentral und ferngesteuert in Sophos Mobile konfigurieren. Siehe

Konfigurationen für Sophos-Container-

Richtlinien (Android)

(Seite 162) und

Konfigurationen für Sophos-Container-Richtlinien (iOS)

(Seite

217).

• Mit Compliance-Richtlinien können Sie sicherstellen, dass die Sophos-Container-Apps auf den

Geräten installiert sind.

• Sie können die sichere Verteilung von Dokumenten aktivieren, indem Sie den Speicheranbieter

Unternehmensdokumente verwenden. Siehe Unternehmensdokumente (Seite 331).

• Sie können die Synchronisierung des Unternehmens-Schlüsselbundes zwischen Sophos Secure

Workspace und Sophos SafeGuard Enterprise aktivieren. Dadurch haben Benutzer in ihrem

Schlüsselbund in Sophos Secure Workspace auch Zugriff auf die Schlüssel ihres SafeGuard-

Schlüsselbundes. Siehe Synchronisierung des Unternehmens-Schlüsselbundes aktivieren (Seite

376).

Hinweis

Um die Sophos-Container-Apps verwalten zu können, müssen diese mit Sophos Mobile verteilt worden sein. Falls Benutzer bereits eine nicht verwaltete Version von Sophos Secure Workspace auf ihren Geräten installiert haben, müssen Sie diese zunächst deinstallieren und anschließend die verwaltete Version installieren.

Weitere Informationen zu Sophos Secure Workspace finden Sie in der Hilfe zu Sophos Secure

Workspace.

25.4 Sophos-Container-Kennwort zurücksetzen

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Hinweis

Dieser Abschnitt gilt nur für Geräte, denen eine Sophos-Container-Richtlinie zugewiesen ist.

Sie können das Sophos-Container-Kennwort zurücksetzen. Das ist zum Beispiel hilfreich, wenn

Benutzer ihr Kennwort vergessen haben. Wenn Sie ein Sophos-Container-Kennwort zurücksetzen, werden die Benutzer aufgefordert, ein neues Container-Kennwort festzulegen.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

Die Seite Geräte wird angezeigt.

2. Klicken Sie auf das Gerät, für das Sie das Sophos-Container-Kennwort zurücksetzen wollen.

Die Seite Gerät anzeigen wird angezeigt.

3. Klicken Sie auf Aktionen.

Das Aktionen Menü wird angezeigt.

4. Klicken Sie auf Sophos-Container-Kennwort zurücksetzen.

5. Klicken Sie im Dialogfeld auf Ja, um die Aktion zu bestätigen.

Das Sophos-Container-Kennwort wird zurückgesetzt. Der Benutzer muss ein neues Sophos-Container-

Kennwort eingeben.

Sophos Mobile

25.5 Sophos-Container sperren und entsperren

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Hinweis

Dieser Abschnitt gilt nur für Geräte, denen eine Sophos-Container-Richtlinie zugewiesen ist.

Sie können den Sophos-Container sperren oder entsperren, d.h. die Zugriffsrechte für die Sophos-

Container-Apps und für im Container vorhandene Daten festlegen.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte.

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, auf dem Sie den

Sophos-Container sperren oder entsperren wollen, und anschließend auf Anzeigen.

3. Klicken Sie auf der Seite Gerät anzeigen auf AktionenSophos-Container-Zugriff festlegen.

4. Im Dialogfeld zum Festlegen der Zugriffsrechte wählen Sie eine der folgenden Einstellungen aus:

• Sperren: Der Sophos-Container wird gesperrt. Benutzer können den Sophos-Container nicht mehr verwenden.

• Erlauben: Der Sophos-Container wird entsperrt.

• Automatischer Modus: Der Sophos-Container ist gesperrt, solange das Gerät gegen eine

Compliance-Regel verstößt, bei der die Aktion Container sperren aktiviert ist. Dies ist das

Standardverhalten, wenn Sie keine Zugriffsrechte festgelegt haben.

5. Klicken Sie auf Ja.

Das Gerät wird angewiesen, sich mit dem Sophos Mobile Server zu synchronisieren. Bei der

Synchronisierung wird die Einstellung auf dem Gerät angewendet.

25.6 Synchronisierung des Unternehmens-

Schlüsselbundes

Durch die Synchronisierung des Unternehmens-Schlüsselbundes sind folgende zusätzliche

Funktionen in der App „Sophos Secure Workspace“ verfügbar:

• Benutzer haben in ihrem Schlüsselbund in Sophos Secure Workspace (SSW-Schlüsselbund) auch

Zugriff auf die Schlüssel ihres Schlüsselbundes aus SafeGuard Enterprise.

• Benutzer der App können diese Schlüssel verwenden, um Dokumente zu entschlüsseln und zu betrachten, oder um Dokumente zu verschlüsseln.

• Nachdem Sie die Schlüsselbund-Synchronisierung aktiviert haben, können Benutzer weiterhin lokale Schlüssel aus ihrem SSW-Schlüsselbund verwenden.

• Benutzer können keine neuen lokale Schlüssel erstellen.

• Aus Sicherheitsgründen werden beim Sperren des Sophos-Containers alle Schlüssel vom Gerät entfernt, die aus dem SafeGuard-Schlüsselbund stammen.

Sophos Mobile

25.6.1 Synchronisierung des Unternehmens-Schlüsselbundes aktivieren

Voraussetzungen:

• Sie verwenden Sophos SafeGuard Enterprise 8.0 oder neuer.

• Sie haben eine externe Benutzerverwaltung für das Self Service Portal konfiguriert, mit derselben Active-Directory-Benutzerdatenbank wie für SafeGuard Enterprise.

• Sophos Secure Workspace wird von Sophos Mobile verwaltet. Dies erfordert eine Lizenz vom

Typ Mobile Advanced.

• Ihr Sophos Mobile Server kann sich mit Ihrem SafeGuard-Enterprise-Server über HTTPS verbinden.

Um die Synchronisierung des Unternehmens-Schlüsselbundes zu aktivieren, richten Sie eine

Verbindung zwischen Sophos Mobile und Sophos SafeGuard Enterprise ein:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung und öffnen Sie anschließend das Tab SGN.

2. Klicken Sie auf den Link Zertifikat, um das Zertifikat des Sophos Mobile Servers herunterzuladen.

3. Öffnen Sie das SafeGuard Management Center und navigieren Sie zu

ExtrasKonfigurationspakete.

4. Klicken Sie auf dem Tab Server auf Hinzufügen, wählen Sie die Zertifikatdatei aus und klicken Sie auf OK. Ändern Sie nicht den Wert im Feld Servername.

5. Optional: Wählen Sie Recovery via mobile aus, um die Synchronisierung von BitLocker und

FileVault Wiederherstellungsschlüsseln mit der App „Sophos Secure Workspace“ zu aktivieren.

6. Konfigurieren Sie auf dem Tab Pakete für Managed Clients folgende Einstellungen:

• Wählen Sie im Feld Name des Konfigurationspakets die Option Managed Client (Default) aus.

• Wählen Sie im Feld Primärer Server Ihren SGN-Server aus.

• Wählen Sie im Feld Transportverschlüsselung die Option SSL aus.

7. Klicken Sie auf Konfigurationspaket erstellen.

8. Klicken Sie in Sophos Mobile Admin auf dem Tab SGN auf Datei hochladen, um das im

SafeGuard Management Center erstellte Konfigurationspaket nach Sophos Mobile hochzuladen.

9. Klicken Sie auf Speichern, um die Einstellungen für die SafeGuard-Integration zu speichern.

Sophos Mobile

26 Elemente nach Sophos Central

übertragen

Um Objekte und Einstellungen von Sophos Mobile zu übertragen, exportieren Sie die Daten aus

Ihrem Sophos Mobile Server in eine Austauschdatei und importieren diese anschließend in Sophos

Central.

Folgende Elemente werden übertragen:

• Gerätegruppen

• Geräteprofile und Richtlinien

• Compliance-Richtlinien

• Auftragspakete

• App-Einstellungen (ohne App-Paketdateien)

• App-Gruppen

• Konfigurationen für das Self Service Portal (ohne Benutzergruppen-Zuordnungen)

• Die meisten Systemeinstellungen

Einige Einstellungen sind an den jeweiligen Sophos Mobile Server gebunden und können nicht

übertragen werden.

Details finden Sie in dem Dokument Sophos Mobile Migrationsanleitung (englisch) .

26.1 Elemente exportieren

Um Objekte und Einstellungen von Ihrem Sophos Mobile Server nach Sophos Central zu übertragen, können Sie diese in eine Austauschdatei exportieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Sophos-Einrichtung >

Export.

Unter Exportvorschau werden die zu exportierenden Elemente angezeigt.

2. Klicken Sie auf Export.

3. Legen Sie ein Kennwort für die Austauschdatei fest.

4. Klicken Sie auf Herunterladen.

Die Austauschdatei sophosmobile.export

wird auf Ihren Computer heruntergeladen. Diese Datei können Sie in Sophos Central importieren.

26.2 Elemente importieren

Nachdem Sie eine Austauschdatei für Objekte und Einstellungen eines Sophos Mobile Servers erstellt haben, können Sie diese in Sophos Central importieren.

1. Gehen Sie in Sophos Central Admin zu Mobile.

2. Klicken Sie auf Einrichtung > Sophos-Einrichtung > Importieren.

3. Klicken Sie auf Austauschdatei hochladen.

Sophos Mobile

4. Wählen Sie die Austauschdatei aus und geben Sie das Kennwort ein, das Sie bei der Erstellung der Datei festgelegt haben.

5. Klicken Sie auf Hochladen.

6. Unter Importvorschau werden die zu importierenden Elemente angezeigt. Prüfen Sie, ob

Warnungen angezeigt werden.

Wichtig

Vorhandene Elemente werden überschrieben, falls es in der Austauschdatei Elemente mit demselben Namen gibt.

7. Klicken Sie auf Importieren, um die Daten in Sophos Central zu importieren.

Nachdem Sie die Daten importiert haben, müssen Sie folgende manuelle Schritte ausführen:

• Für Apps, deren Paketdatei Sie zu Sophos Mobile hochgeladen haben, laden Sie die APK-Datei

(Android) bzw. die IPA-Datei (iOS) erneut hoch.

• Da Benutzergruppen nicht übertragen werden, müssen Sie jeder Konfiguration für das Self Service

Portal eine Benutzergruppe aus Sophos Central zuweisen.

Details finden Sie in dem Dokument Sophos Mobile Migrationsanleitung (englisch) .

27 Glossar

Ad-Hoc-Bereitstellungsprofil

Kunde

Registrierung

Enterprise App Store

Ersteinrichtung

Self Service Portal

Mobile-Advanced-Lizenz

SMSec

Sophos-Mobile-Client

Sophos-Mobile-Konsole

Sophos Mobile Security

Sophos Secure Email

Sophos Mobile

Ein Verteilungs-Bereitstellungsprofil (Distribution

Provisioning Profile), das Sie einer selbst entwickelten iOS-App hinzufügen. Dies erlaubt

Ihnen, die App auf ausgewählten Geräten zu installieren, ohne sie im App Store zu veröffentlichen.

Ein Kunde in Sophos Mobile repräsentiert einen abgeschlossenen Verwaltungsbereich. Sie können mehrere Kunden einrichten und deren

Geräte unabhängig voneinander verwalten. Dies wird auch als Mandantenfähigkeit bezeichnet.

Der Vorgang der Registrierung von Geräten bei

Sophos Mobile.

Ein App-Archiv auf dem Sophos Mobile Server.

Der Administrator kann in Sophos Mobile Admin

Apps zum Enterprise App Store hinzufügen.

Benutzer können diese Apps anschließend mit der App Sophos Mobile Control auf ihren Geräten installieren.

Der Installationsvorgang der App Sophos Mobile

Control auf einem Gerät.

Die Web-Benutzeroberfläche, über die Benutzer ihre eigenen Geräte registrieren und andere

Aufgaben ausführen können. Hierzu ist keine

Unterstützung durch den Helpdesk erforderlich.

Mit einer Lizenz vom Typ Mobile Advanced können Sie mit Sophos Mobile die Apps Sophos

Mobile Security, Sophos Secure Workspace und

Sophos Secure Email verwalten.

Abkürzung für Sophos Mobile Security.

Die App Sophos Mobile Control, die auf den von

Sophos Mobile verwalteten Geräten installiert ist.

Die Web-Oberfläche, mit der Sie Geräte verwalten.

Sicherheits-App für Android-Geräte. Sie können diese App mit Sophos Mobile verwalten, wenn Sie eine Lizenz vom Typ Mobile Advanced aktiviert haben.

Eine App für Geräte mit Android oder iOS, die eine geschützte Arbeitsumgebung für die

Verwaltung Ihrer E-Mails, Kontakte und Kalender bereitstellt. Sie können diese App mit Sophos

Mobile verwalten, wenn Sie eine Lizenz vom Typ

Mobile Advanced aktiviert haben.

379

Sophos Mobile

Sophos Secure Workspace

Auftragspaket

Team-ID

Eine App für Geräte mit Android oder iOS, die einen gesicherten Arbeitsbereich bereitstellt, um

Dokumente zu verwalten, zu bearbeiten, zu teilen, zu verschlüsseln, zu entschlüsseln, oder um auf sie in einem Browser zuzugreifen. Die Dokumente können bei verschiedenen Speicheranbietern abgelegt sein oder von Ihrem Unternehmen verteilt werden. Sie können diese App mit Sophos

Mobile verwalten, wenn Sie eine Lizenz vom Typ

Mobile Advanced aktiviert haben.

Sie erstellen ein Auftragspaket, um mehrere

Aufträge zu einem Vorgang zu bündeln.

Sie können alle Aufträge bündeln, die zur vollständigen Bereitstellung eines Gerätes notwendig sind.

Jede iOS- und macOS-App ist mit einer Team-

ID signiert. Die Team-ID wird von Apple vergeben und kennzeichnet eindeutig ein

Entwicklungsteam.

Sophos Mobile

28 Technische Unterstützung

Technische Unterstützung zu Sophos-Produkten erhalten Sie auf folgende Weise:

• Tauschen Sie sich in der Sophos Community unter community.sophos.com/ mit anderen Benutzern aus, die dasselbe Problem haben.

• Durchsuchen Sie die Wissensdatenbank des Sophos Support unter www.sophos.com/de-de/ support.aspx

• Lesen Sie die Produktdokumentation unter www.sophos.com/de-de/support/documentation.aspx

• Stellen Sie eine Support-Anfrage unter https://secure2.sophos.com/support/contact-support/ support-query.aspx

Sophos Mobile

29 Rechtliche Hinweise

Copyright © 2019 Sophos Limited. Alle Rechte vorbehalten. Diese Publikation darf weder elektronisch oder mechanisch reproduziert, elektronisch gespeichert oder übertragen, noch fotokopiert oder aufgenommen werden, es sei denn, Sie verfügen entweder über eine gültige Lizenz, gemäß der die Dokumentation in Übereinstimmung mit dem Lizenzvertrag reproduziert werden darf, oder Sie haben eine schriftliche Genehmigung des Copyright-Inhabers.

Sophos, Sophos Anti-Virus und SafeGuard sind eingetragene Marken von Sophos Limited, Sophos

Group und Utimaco Safeware AG. Alle anderen erwähnten Produkt- und Unternehmensnamen sind

Marken oder eingetragene Marken der jeweiligen Inhaber.