Sophos Mobile on Premise Benutzerhandbuch

Samsung-Knox-Lizenz registrieren (Seite 40)

(Seite 85)

• Samsung Knox license

—

• SCEP

—

SCEP konfigurieren

(Seite 40)

• User setup

—

Benutzerverzeichnis konfigurieren

(Seite 41)

• SGN

—

Synchronisierung des Unternehmens-Schlüsselbundes aktivieren

(Seite 364)

• Duo Security

—

Die Integration von Duo Security für iOS-Geräte konfigurieren

(Seite 95)

• Microsoft Azure

—

Integration mit Microsoft Intune einrichten (Seite 341)

• Third-party EMM

—

Sophos Mobile Security auf Geräten mit Fremd-EMM-Software verwalten (Seite 357)

• Samsung KME

Sophos Mobile on Premise

—

Knox Mobile Enrollment einrichten

(Seite 81)

• Zero-touch

—

Zero-Touch-Registrierung einrichten

(Seite 78)

11.1 Lizenzen prüfen

Sophos Mobile verwendet ein benutzerbasiertes Lizenzschema. Eine einzelne Benutzerlizenz ist für alle Geräte gültig, die dem betreffenden Benutzer zugewiesen sind. Für Geräte, die keinem Benutzer zugewiesen sind, ist jeweils eine Lizenz erforderlich.

So überprüfen Sie Ihre verfügbaren Lizenzen:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen .

2. Öffnen Sie auf der Seite Systemeinstellungen die Registerkarte Lizenzen .

Die folgenden Informationen werden angezeigt:

• Maximale Anzahl von Lizenzen : Maximale Anzahl von Gerätebenutzern (und nicht zugewiesenen Geräten), die verwaltet werden können.

Falls der Superadministrator für einen Kunden keinen Höchstwert angegeben hat, ist die

Lizenzanzahl durch die Gesamtzahl für den Sophos Mobile Server begrenzt.

• Genutzte Lizenzen : Anzahl der verwendeten Lizenzen.

• Gültig bis : Das Lizenzablaufdatum.

• Advanced-Lizenz : Der Superadministrator hat für den Kunden eine Lizenz vom Typ Mobile

Advanced aktiviert.

Wenn Sie Fragen zu den Lizenzinformationen haben, oder wenn die angezeigten Informationen

Ihrer Meinung nach nicht korrekt sind, wenden Sie sich an Ihren Sophos Vertriebspartner.

11.2 Zertifikate für den Push-

Benachrichtigungsdienst von Apple (APNs)

Um das integrierte Mobile Device Management (MDM) Protokoll von iOS- und macOS-Geräten verwenden zu können, muss Sophos Mobile den Push-Benachrichtigungsdienst von Apple (APNs) zum Triggern der Geräten benutzen.

APNs-Zertifikate haben eine Gültigkeit von einem Jahr.

Die folgenden Abschnitte beschreiben die Voraussetzungen und die nötigen Schritte, um Zugang zu den APNs-Servern mit Ihrem eigenen Client-Zertifikat zu bekommen.

11.2.1 Anforderungen

Für die Kommunikation mit dem Push-Benachrichtigungsdienst von Apple (APNs) muss TCP-

Datenverkehr über folgende Ports erlaubt werden:

• Der Sophos Mobile Server muss sich mit gateway.push.apple.com:2195 TCP

(17.0.0.0/8) verbinden.

• Jedes iOS-Gerät, das ausschließlich über eine WLAN-Verbindung verfügt, muss sich mit

*.push.apple.com:5223 TCP (17.0.0.0/8) verbinden können.

Sophos Mobile on Premise

11.2.2 APNs-Zertifikat erstellen

Voraussetzung: Sie haben noch kein Zertifikat für den Push-Benachrichtigungsdienst von Apple

(APNs) zu Sophos Mobile hochgeladen.

Informationen zur Erneuerung eines vorhandenen Zertifikats finden Sie in APNs-Zertifikat erneuern

(Seite 36).

Tipp

Sie können dasselbe Zertifikat für mehrere Kunden verwenden. Siehe APNs-Zertifikat in einen anderen Kunden kopieren (Seite 37).

1. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte APNs .

2. Klicken Sie auf APNs certificate wizard .

3. Klicken Sie auf der Seite Mode auf Create a new APNs certificate .

4. Klicken Sie auf der Seite CSR auf Download certificate signing request .

Hierdurch wird die CSR-Datei apple.csr

auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.

5. Sie benötigen eine Apple-ID. Auch wenn Sie bereits eine Apple-ID haben, empfehlen wir Ihnen, für den Gebrauch mit Sophos Mobile eine separate ID zu erstellen. Klicken Sie auf der Seite Apple ID auf Create Apple ID in the Apple portal .

Hierdurch wird die Apple-Internetseite geöffnet, auf der Sie eine Apple-ID für Ihr Unternehmen erstellen können.

Hinweis

Verwahren Sie die Anmeldedaten an einem sicheren Ort, auf den auch Ihre Arbeitskollegen zugreifen können. Ihr Unternehmen benötigt diese Anmeldedaten jedes Jahr, um das Zertifikat zu erneuern.

6. Geben Sie im Feld Apple ID des Assistenten Ihre neue Apple-ID ein.

7. Klicken Sie auf der Seite Certificate auf Create certificate on the Apple portal .

Hierdurch wird das Apple Push Certificates Portal geöffnet.

8. Melden Sie sich mit Ihrer Apple-ID an und laden Sie die CSR-Datei apple.csr

hoch.

9. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem

herunter und speichern Sie diese.

10. Klicken Sie auf der Seite Upload auf Upload certificate und wählen Sie die Datei mit der Endung

.pem

aus, die Sie vom Apple Push Certificates Portal erhalten haben.

11. Klicken Sie auf Save .

Sophos Mobile liest das Zertifikat ein und zeigt die Zertifikatdetails auf der Registerkarte APNs an.

11.2.3 APNs-Zertifikat erneuern

Voraussetzung: Sie haben ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) zu

Sophos Mobile hochgeladen, das abläuft und erneuert werden muss.

Informationen zum Erstellen und Hochladen eines neuen Zertifikats finden Sie in

APNs-Zertifikat erstellen

(Seite 36).

Sophos Mobile on Premise

Wichtig

Es ist wichtig, dass Sie im Apple-Portal das korrekte APNs-Zertifikat zum Erneuern auswählen.

Falls Sie ein falsches Zertifikat erneuern, müssen Sie möglicherweise sämtliche iOS- und macOS-

Geräte erneut registrieren.

1. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte APNs .

2. Klicken Sie auf APNs certificate wizard .

3. Klicken Sie auf der Seite Mode auf Renew my APNs certificate .

4. Klicken Sie auf der Seite CSR auf Download certificate signing request .

Hierdurch wird die CSR-Datei apple.csr

auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.

5. Auf der Seite Apple ID wird die Apple-ID angezeigt, die bei der erstmaligen Erstellung des APNs-

Zertifikats verwendet wurde.

Sie benötigen diese ID für die Anmeldung am Apple-Portal.

6. Klicken Sie auf der Seite Certificate auf Renew certificate on the Apple portal .

Hierdurch wird das Apple Push Certificates Portal geöffnet.

7. Melden Sie sich mit der Apple-ID an, die im Assistenten angezeigt wird.

8. Klicken Sie im Apple Push Certificates Portal auf Renew neben Ihrem Sophos Mobile APNs-

Zertifikat.

9. Laden Sie die zuvor erzeugte CSR-Datei apple.csr

hoch.

10. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem

herunter und speichern Sie diese.

11. Klicken Sie auf der Seite Upload auf Upload certificate und wählen Sie die Datei mit der Endung

.pem

aus, die Sie vom Apple Push Certificates Portal erhalten haben.

12. Klicken Sie auf Save .

Wichtig

Falls folgende Meldung angezeigt wird, erneuern Sie nicht das richtige Zertifikat:

Das Topic des neuen Zertifikats stimmt nicht mit dem alten Zertifikat

überein. Wenn mit dem vorherigen Zertifikat Geräte eingerichtet worden sind, müssen diese erneut eingerichtet werden. Wollen Sie Ihre Änderungen wirklich speichern?

Diese Meldung macht Sie darauf aufmerksam, dass Sie dabei sind, ein neues APNs-Zertifikat mit einer abweichenden Kennung zu erstellen. Wenn Sie die Meldung bestätigen, können alle vorhandenen iOS- und macOS-Geräte nicht mehr verwaltet werden und Sie müssen diese erneut registrieren.

Informationen, wie Sie das richtige Zertifikat ermitteln, finden Sie in Zu erneuerndes APNs-Zertifikat bestimmen

(Seite 38).

11.2.4 APNs-Zertifikat in einen anderen Kunden kopieren

Sie können ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) in einen anderen

Kunden derselben oder einer anderen Installation von Sophos Mobile kopieren.

Sophos Mobile on Premise

Wichtig

Falls am Kopierziel bereits ein APNs-Zertifikat vorhanden ist, ist es wichtig, dass die

Zertifikateigenschaft Topic des zu kopierenden Zertifikats mit dem Topic des vorhandenen

Zertifikats übereinstimmt. Falls Sie ein falsches Zertifikat kopieren, müssen Sie möglicherweise sämtliche iOS- und macOS-Geräte des Kunden erneut registrieren.

Laden Sie das Zertifikat herunter:

1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, dessen APNs-Zertifikat Sie kopieren wollen.

2. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte APNs .

3. Notieren Sie sich den unter APNs certificate angezeigten Wert für Topic .

4. Klicken Sie auf Download certificate as PKCS #12 file .

5. Im Bestätigungsdialog wird das Kennwort für die Zertifikat-Datei angezeigt. Notieren Sie sich dieses Kennwort und klicken Sie anschließend auf Herunterladen .

Die Zertifikatdatei apns_cert.p12

wird auf Ihrem Computer gespeichert.

Laden Sie das Zertifikat in einen anderen Kunden hoch:

6. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, zu dem Sie das Zertifikat hochladen wollen.

7. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte APNs .

8. Falls bereits ein Zertifikat vorhanden ist, überprüfen Sie, dass der Wert für Topic mit dem Wert des zu kopierenden Zertifikats übereinstimmt.

9. Klicken Sie auf APNs certificate wizard .

10. Klicken Sie auf der Seite Mode auf Ein APNs-Zertifikat von einem anderen Sophos-Mobile-

Kunden hochladen .

11. Geben Sie auf der Seite Apple ID die Apple-ID ein, mit der das APNs-Zertifikat erstellt wurde, das

Sie hochladen wollen.

12. Klicken Sie auf der Seite Upload auf Upload certificate und wählen Sie die Datei apns_cert.p12

aus, die Sie von dem anderen Kunden heruntergeladen haben.

13. Geben Sie das Kennwort ein und klicken Sie auf Anwenden .

14. Klicken Sie auf Save .

11.2.5 Zu erneuerndes APNs-Zertifikat bestimmen

Wenn Sie, wie in

APNs-Zertifikat erneuern (Seite 36) beschrieben, Ihr Zertifikat für den Push-

Benachrichtigungsdienst von Apple (APNs) für Sophos Mobile erneuern, ist es wichtig, dass Sie im

Apple-Portal das richtige APNs-Zertifikat zum Erneuern auswählen.

Dieser Abschnitt beschreibt, wie Sie das aktuell auf den Sophos Mobile Server hochgeladene APNs-

Zertifikat bestimmen.

Ermitteln Sie die Zertifikat-Kennung:

1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, dessen APNs-Zertifikat erneuert werden muss.

2. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte APNs .

3. Notieren Sie sich den unter APNs certificate angezeigten Wert für Topic .

Ermitteln Sie das Zertifikat:

Sophos Mobile on Premise

4. Öffnen Sie in Ihrem Webbrowser die URL des Apple Push Certificates Portal, https:// identity.apple.com/pushcert/ .

Falls Sie den Microsoft Internet Explorer verwenden und Probleme mit bestimmten Funktionen des Apple-Portals haben, empfehlen wir Ihnen, stattdessen eine aktuelle Version der Webbrowser

Firefox, Opera, Chrome oder Safari zu verwenden.

5. Melden Sie sich mit Ihrer Apple-ID an, die Sie auch bei der erstmaligen Erstellung des Zertifikats verwendet haben.

Klicken Sie in der Liste der APNs-Zertifikate auf das Symbol Zertifikat-Info neben einem

Zertifikat.

Die Zertifikatdetails werden angezeigt.

7. Ermitteln Sie, welcher Wert im Feld Subject DN nach der Zeichenkette UID= steht. Wenn dieser

Wert mit der Kennung übereinstimmt, die Sie in Sophos Mobile Admin ermittelt haben, haben Sie das richtige Zertifikat identifiziert.

11.2.6 APNs-Verbindung von Geräten überprüfen

Unter iOS können Benutzer der App Sophos Mobile Control überprüfen, ob ihre Geräte sich mit dem

Push-Benachrichtigungsdienst von Apple (APNs) verbinden können.

1. Tippen Sie in der App Sophos Mobile Control auf das Symbol Information , um die Ansicht Über zu

öffnen.

2. Tippen Sie auf APNs überprüfen .

Die App versucht, eine Verbindung zum Apple-APNs-Server aufzubauen. Dies kann bis zu 5

Sekunden dauern.

Wenn Sie einen Hinweis erhalten, dass der APNs-Server erreicht werden konnte, kann das Gerät

Kommandos vom Sophos Mobile Server mittels APNs erhalten.

Wenn Sie einen Hinweis erhalten, dass der APNs-Server nicht erreicht werden konnte, ist die APNs-

Kommunikation in Ihrem Netzwerk nicht möglich. In diesem Fall kann Sophos Mobile keine iOS-

Geräte verwalten. Um dies zu beheben, müssen Sie sicherstellen, dass die in Anforderungen

(Seite

35) beschriebenen Voraussetzungen erfüllt sind.

11.3 iOS-AirPlay-Wiedergabegeräte konfigurieren

Mit Sophos Mobile können Sie das Spiegeln von Inhalten per AirPlay zwischen einem iOS-Gerät und einem vordefinierten AirPlay-Wiedergabegerät (zum Beispiel AppleTV) ferngesteuert auslösen.

Hinweis

AirPlay funktioniert nur innerhalb eines Netzwerks.

Sie können die Wiedergabegeräte für die Spiegelung per AirPlay definieren.

1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Einrichtung und danach auf

Systemeinstellungen . Öffnen Sie anschließend die Registerkarte iOS AirPlay .

2. Klicken Sie im Abschnitt AirPlay-Wiedergabegeräte auf AirPlay-Wiedergabegeräte erstellen .

Die Seite AirPlay-Wiedergabegerät wird angezeigt.

3. Geben Sie den Namen und optional die MAC-Adresse des AirPlay-Wiedergabegerätes ein. Falls erforderlich, geben Sie das Gerätekennwort ein.

4. Klicken Sie auf Anwenden .

Sophos Mobile on Premise

Das Gerät wird unter AirPlay-Wiedergabegeräte auf der Registerkarte iOS AirPlay der Seite

Systemeinstellungen angezeigt.

5. Klicken Sie auf Speichern .

Sie können die Spiegelung per AirPlay zwischen einem iOS-Gerät und diesem Wiedergabegerät auslösen, indem Sie auf der Seite Gerät anzeigen für das gewünschte Gerät im Menü Aktionen auf

AirPlay-Wiedergabe anfordern klicken.

11.4 Samsung-Knox-Lizenz registrieren

Wenn Ihr Unternehmen eine Samsung-Knox-Premium-Lizenz erworben hat, geben Sie auf der

Registerkarte Samsung-Knox-Lizenz den Lizenzschlüssel, die Lizenzanzahl und das Ablaufdatum ein, um den Knox-Container auf Ihren Samsung-Knox-Geräten mit Sophos Mobile zu verwalten.

11.5 Simple Certificate Enrollment Protocol (SCEP)

Mit Sophos Mobile können Sie Zertifikate mittels SCEP (Simple Certificate Enrollment Protocol) an

Geräte verteilen.

Die für Geräte benötigten SCEP-Einstellungen legen Sie in einer Konfiguration vom Typ SCEP fest; entweder in einem Geräteprofil (für Android und iOS) oder in einer Richtlinie (für Windows Mobile).

11.5.1 Voraussetzungen

Um das Simple Certificate Enrollment Protocol (SCEP) nutzen zu können, müssen die folgenden

Voraussetzungen erfüllt sein:

• In der Netzwerk-Umgebung muss eine SCEP-fähige Windows-CA vorhanden sein.

• Die Anmeldedaten für einen Benutzer, der einen Challenge-Code erstellen kann, sind verfügbar.

• Der Sophos Mobile hat http- oder https-Zugriff auf die folgenden Adressen:

— https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN

— https://IHR-SCEP-SERVER/CertSrv/MSCEP

11.5.2 SCEP konfigurieren

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte SCEP .

2. Machen Sie die folgenden Angaben: a) Geben Sie im Feld SCEP Server URL https://IHR-SCEP-SERVER/CertSrv/MSCEP ein.

b) Geben Sie im Feld Challenge URL https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN ein.

Hinweis

Wenn Sie einen Windows 2003-Server als SCEP-Server verwenden, geben Sie https://

IHR-SCEP-SERVER/CertSrv/MSCEP ein.

Sophos Mobile on Premise c) Geben Sie in den Feldern Benutzer und Kennwort die Zugangsdaten des Benutzers ein, der einen Challenge-Code erstellen kann.

Hinweis

Geben Sie im Feld Benutzer einen Benutzer ein, der über die erforderlichen

Berechtigungen für die Bereitstellung von Zertifikaten verfügt. Verwenden Sie folgendes

Anmeldeformat: benutzername@domäne d) Wählen Sie im Feld Challenge-Zeichen die Zeichenklassen aus, die für das Challenge-

Kennwort verwendet werden.

e) Akzeptieren Sie im Feld Challenge-Länge die Standardlänge.

f) Optional: Deaktivieren Sie die Option HTTP-Proxy verwenden , damit Sophos Mobile für

Verbindungen mit dem SCEP-Server den HTTP-Proxy umgeht. Diese Option ist nur verfügbar, wenn der HTTP-Proxy aktiviert ist.

Für Sophos Mobile on Premise kann der Superadministrator einen HTTP-Proxy konfigurieren, den Sophos Mobile für ausgehende HTTP- und SSL/TLS-Verbindungen verwendet. Siehe das

Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Für Sophos Mobile as a Service ist der HTTP-Proxy standardmäßig aktiviert.

3. Klicken Sie auf Speichern .

Sophos Mobile testet die Verbindung zu Ihrem SCEP-Server.

Um mittels SCEP ein Profil zu übertragen, müssen Sie eine Konfiguration vom Typ SCEP zu einem

Geräteprofil (für Android oder iOS) oder einer Richtlinie (für Windows Mobile) hinzufügen.

11.6 Benutzerverzeichnis konfigurieren

Auf der Registerkarte Benutzerverzeichnis können Sie die Einstellungen für die

Benutzerverwaltung ändern. Für weitere Informationen, siehe

Self-Service-Portal-Benutzer verwalten

(Seite 29) und das Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Sophos Mobile on Premise

12 Compliance-Richtlinien

Mit Compliance-Richtlinien können Sie:

• Bestimmte Funktionen eines Gerätes erlauben, verbieten oder erzwingen.

• Aktionen definieren, die ausgeführt werden, wenn gegen eine Compliance-Regel verstoßen wird.

Sie können unterschiedliche Compliance-Richtlinien erstellen und unterschiedlichen Gerätegruppen zuweisen. Somit können Sie verschiedene Sicherheitsstufen auf Ihre verwalteten Geräte anwenden.

Tipp

Wenn Sie sowohl Firmengeräte als auch Privatgeräte verwalten möchten, empfehlen wir, zumindest für diese beiden Gerätetypen unterschiedliche Compliance-Richtlinien zu definieren.

12.1 Compliance-Richtlinie erstellen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance policies .

2. Klicken Sie auf der Seite Compliance policies auf Create compliance policy und wählen Sie anschließend eine Vorlage für die Richtlinie aus:

• Default template : Eine Auswahl an Compliance-Regeln ohne vordefinierte Aktionen.

• PCI template , HIPAA template : Compliance-Regeln und Aktionen, die auf den

Sicherheitsstandards HIPAA bzw. PCI DSS basieren.

Die Wahl der Vorlage beschränkt nicht Ihre Konfigurationsmöglichkeiten.

3. Geben Sie einen Namen und optional eine Beschreibung für die Compliance-Richtlinie ein.

Wiederholen Sie die folgenden Schritte für alle benötigten Plattformen.

4. Stellen Sie sicher, dass das Kontrollkästchen Plattform aktivieren aktiviert ist.

Wenn dieses Kontrollkästchen nicht aktiviert ist, werden die Geräte der Plattform nicht auf

Compliance überprüft.

5. Konfigurieren Sie unter Regel die Compliance-Regeln für die ausgewählte Plattform.

Hinweis

Jede Compliance-Regel hat einen bestimmten Schweregrad (hoch, mittel, niedrig), der durch blaue Balken dargestellt wird. Die erlaubt Ihnen, die Wichtigkeit jeder Regel zu beurteilen und so eine angemessene Aktion für den Fall eines Regelverstoßes zu definieren.

Hinweis

Für Geräte, auf denen Sophos Mobile den Sophos-Container verwaltet anstatt das gesamte

Gerät, ist nur ein Teil der Compliance-Regeln durchsetzbar. Wählen Sie in Highlight rules einen Management-Typ aus, um die für diesen Typ relevanten Regeln hervorzuheben.

6. Definieren Sie unter Wenn gegen die Regel verstoßen wird , welche Aktionen bei einem

Regelverstoß ausgeführt werden:

Option

Deny email

Lock container

Deny network

Create alert

Transfer task bundle

Sophos Mobile on Premise

Beschreibung

E-Mail-Zugriff verweigern.

Diese Aktion kann nur ausgeführt werden, wenn der

Superadministrator eine Verbindung zum internen oder zum

Standalone-EAS-Proxy konfiguriert hat. Siehe das Dokument

Sophos Mobile Superadministrator-Anleitung (englisch) .

Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, Windows, Windows Mobile.

Sophos Secure Workspace und Secure Email deaktivieren.

Dies wirkt sich auf den durch diese Apps verwalteten Zugang zu

Dokumenten, E-Mails und Internet aus.

Diese Aktion kann nur ausgeführt werden, wenn Sie eine

Lizenz vom Typ Mobile Advanced aktiviert haben.

Diese Aktion ist nur für Android- und iOS-Geräte verfügbar.

Netzwerkzugriff verbieten.

Diese Aktion kann nur ausgeführt werden, wenn der

Superadministrator Network Access Control konfiguriert hat.

Siehe das Dokument Sophos Mobile Superadministrator-

Anleitung (englisch) .

Dieser Aktion ist nicht für Geräte verfügbar, auf denen Sophos

Mobile nur den Sophos-Container verwaltet.

Einen Alarm erstellen.

Die Alarme werden auf der Seite Alerts angezeigt.

Übermitteln Sie ein bestimmtes Auftragspaket an das Gerät

(optional).

Wählen Sie ein Auftragspaket aus der Liste aus oder wählen

Sie Keine aus, um kein Auftragspaket zu übertragen, wenn ein

Regelverstoß festgestellt wird.

Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, macOS, Windows.

Wichtig

Bei falscher Anwendung werden durch Auftragspakete unter

Umständen Geräte falsch konfiguriert oder sogar auf den

Auslieferungszustand zurückgesetzt. Für die Zuweisung der richtigen Auftragspakete zu Compliance-Richtlinien ist weitreichende Erfahrung mit dem System notwendig.

Hinweis

Wenn ein Android-Enterprise-Gerät im Modus „Gerätebesitzer“ nicht den

Unternehmensrichtlinien entspricht, werden alle Apps deaktiviert.

7. Wenn Sie alle Einstellungen für alle erforderlichen Plattformen vorgenommen haben klicken Sie auf

Speichern , um die Compliance-Richtlinie unter dem gewählten Namen zu speichern.

Sophos Mobile on Premise

Die neue Compliance-Richtlinie wird auf der Seite Compliance policies angezeigt.

12.2 Verfügbare Compliance-Regeln

Dieser Abschnitt beschreibt die Compliance-Regeln, die Sie für die einzelnen Plattformen auswählen können.

Regel

Managed required

Minimum SMC version

Root access allowed

Beschreibung

Legen Sie fest, welche Aktionen ausgeführt werden, wenn ein Gerät nicht mehr den Status „Verwaltet“ hat.

Geben Sie die Mindestversion der

App Sophos Mobile Control ein, die auf dem Gerät installiert sein muss.

Wählen Sie aus, ob gerootete Geräte zulässig sind.

Plattformen

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT

Android

Android Things iOS

Windows Mobile

Android

Hinweis

Bei Sony-Geräten mit Enterprise

API 4 oder höher und bei Samsung-

Geräten mit Knox 5.5 oder niedriger beinhaltet das auch Geräte, die von der jeweiligen MDM-API als Insecure klassifiziert werden, zum Beispiel, weil der Bootloader entsperrt ist.

Apps from unknown sources allowed

Android Debug Bridge (ADB) allowed

Allow jailbreak

Wählen Sie aus, ob Apps aus unbekannten Quellen erlaubt sind.

Diese Regel betrifft nur Geräte mit

Android 7.x oder älter. Mit Android

8 wurde die Systemeinstellung zur

Beschränkung der Installationsquelle entfernt.

Wählen Sie aus, ob ADB (Android

Debug Bridge) erlaubt ist.

Wählen Sie aus, ob Geräte mit

Jailbreak zulässig sind.

Android

Android iOS

Regel

Screen lock required

Minimum OS version

Maximum OS version

Mandatory OS updates

Sophos Mobile on Premise

Beschreibung

Wählen Sie aus, ob ein

Gerätekennwort oder eine andere

Art der Displaysperre (zum Beispiel

Muster oder PIN) erforderlich ist.

Bei Android umfasst dies die

Displaysperre-Arten Muster, PIN und

Passwort, aber nicht Wischen.

Windows-Mobile-Geräte, denen keine Kennwortrichtlinie zugewiesen ist, werden immer als nicht richtlinienkonform eingestuft. Dies liegt an einer Beschränkung in

Windows.

Wählen Sie die mindestens erforderliche Betriebssystemversion aus.

Plattformen

Android iOS

Windows Mobile

Windows

Wählen Sie die neueste erlaubte

Betriebssystemversion aus.

Wählen Sie aus, ob auf den Geräten die neueste verfügbare bzw. neueste erforderliche Aktualisierung installiert sein muss.

Manche Aktualisierungen werden von

Apple als erforderlich eingestuft. Die neueste verfügbare Aktualisierung ist eventuell neuer als die neueste erforderliche Aktualisierung.

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT iOS

Sophos Mobile on Premise

Regel

Maximum synchronization gap

Maximum SMC synchronization gap

Maximum SMSec synchronization gap

Maximum SMSec scan gap

Denial of SMSec permissions allowed

Malware apps allowed

Suspicious apps allowed

PUAs allowed

Beschreibung

Die maximal erlaubte Zeitspanne zwischen Gerätesynchronisierungen.

Die maximal erlaubte Zeitspanne zwischen Synchronisierungen der

App Sophos Mobile Control.

Die maximal erlaubte Zeitspanne zwischen Synchronisierungen der

App Sophos Mobile Security.

Android iOS

Die maximal erlaubte Zeitspanne zwischen Malware-Scans der App

Sophos Mobile Security.

Sophos Mobile Security benötigt auf dem Gerät bestimmte

Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese Berechtigungen bei der App-

Installation gewähren.

Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein

Compliance-Verstoß ist.

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte Malware-

Apps erlaubt sind.

Android

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte verdächtige

Apps erlaubt sind.

Android

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte potentiell unerwünschte Apps (PUAs) erlaubt sind.

Android

Plattformen

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT iOS

Windows Mobile

Regel

Encryption required

Data roaming allowed

Container configured

Locate permission required

Denial of SMC permissions allowed

Sophos Mobile on Premise

Beschreibung

Wählen Sie aus, ob für Geräte

Verschlüsselung erforderlich ist.

Benutzer müssen bei der Einrichtung einer Displaysperre zusätzlich die Einstellung PIN zum Starten des Gerätes erforderlich oder

Passwort zum Starten des Gerätes erforderlich aktivieren. Siehe den

Sophos Knowledge-Base-Artikel

123947 .

Für macOS betrifft diese Einstellung die vollständige FileVault-

Festplattenverschlüsselung.

Für Windows Mobile wird eine

Regelverletzung nur dann gemeldet, wenn gleichzeitig die Einschränkung

Forbid unencrypted device aktiv ist.

Dies liegt an einer Beschränkung in

Windows.

Wählen Sie aus, ob für Geräte Daten-

Roaming zulässig ist.

Plattformen

Android iOS macOS

Windows Mobile

Windows

Android iOS

Wählen Sie aus, ob auf dem Gerät ein Container eingerichtet und aktiviert sein muss. Dies kann der

Sophos-Container, ein Samsung-

Knox-Container oder ein Android-

Arbeitsprofil sein.

Diese Einstellung bezieht sich auf die Lokalisieren Funktion. Legen Sie fest, ob der Benutzer der App Sophos

Mobile Control bei der Installation gestatten muss, Ortsdaten abzurufen, damit das Gerät richtlinienkonform ist.

Android

Die App Sophos Mobile Control benötigt auf dem Gerät bestimmte

Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese Berechtigungen bei der App-

Installation gewähren.

Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein

Compliance-Verstoß ist.

Android

Sophos Mobile on Premise

Regel

App is able to locate

Firewall required

System Integrity Protection required

Security updates required

Beschreibung

Ortungsdienste müssen aktiviert sein und von der App Sophos Mobile

Control verwendet werden dürfen.

Für Windows Mobile betrifft diese

Regel nur Geräte mit Windows Phone

8.1.

Die macOS-Firewall muss aktiviert sein.

Systemintegritäts-Schutz muss aktiviert sein.

Plattformen iOS

Windows Mobile macOS macOS

Hinweis

Systemintegritäts-Schutz ist eine

Sicherheitsfunktion in macOS, mit der die erlaubten Aktionen für den

Root-Benutzer beschränkt werden.

Systemintegritäts-Schutz kann konfiguriert werden, wenn der Mac im Modus macOS-Wiederherstellung gestartet wird.

Die automatische Installation von macOS-Sicherheitsupdates muss aktiviert sein.

macOS

Sophos Mobile on Premise

Regel

Allowed apps / Forbidden apps

Beschreibung

Sie können entweder Erlaubte Apps oder Unzulässige Apps angeben.

Wählen Sie zunächst aus der ersten

Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten Liste die App-

Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Informationen zur Erstellung von App-

Gruppen finden Sie in

App-Gruppen

(Seite 316).

Wenn Sie Erlaubte Apps angeben, sind nur die aufgeführten Apps erlaubt. Wenn andere Apps erkannt werden, ist das Gerät nicht mehr richtlinienkonform.

Plattformen

Android iOS macOS

Hinweis

Android-System-Apps sind automatisch erlaubt.

Mandatory apps

Windows Defender must be turned on

Clean status from Windows

Defender required

Up-to-date Windows Defender definitions required

Wenn Sie Unzulässige Apps angeben, ist das Gerät nicht mehr richtlinienkonform, falls diese Apps erkannt werden.

Geben Sie Apps an, die installiert sein müssen. Wählen Sie die App-

Gruppe mit den erforderlichen Apps aus der Liste aus. Informationen zur

Erstellung von App-Gruppen finden

Sie in App-Gruppen

(Seite 316).

Die Windows-Defender-Einstellung

Echtzeitschutz muss eingeschaltet sein.

Das Gerät ist nicht richtlinienkonform, wenn Windows Defender Warnungen anzeigt.

Windows Defender muss die neuesten Antispyware-Definitionen verwenden.

Android iOS macOS

Windows

12.3 Eine Compliance-Richtlinie Gerätegruppen zuweisen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen .

Sophos Mobile on Premise

Die Seite Gerätegruppen wird angezeigt.

2. Klicken Sie auf die Gerätegruppe, der Sie eine Compliance-Richtlinie zuweisen wollen.

Die Gerätegruppe Default ist standardmäßig vorhanden. Weitere Informationen zum Erstellen

eigener Gerätegruppen finden Sie in Gerätegruppen erstellen (Seite 97).

3. Wählen Sie unter Compliance policies die Compliance-Richtlinien aus, die Sie auf Firmen- und

Privatgeräte anwenden wollen.

4. Klicken Sie auf Speichern .

Die ausgewählten Compliance-Richtlinien werden auf der Seite Gerätegruppen für die jeweilige

Gerätegruppe unter Compliance policy (corporate) und Compliance policy (personal) angezeigt.

12.4 Geräte auf Compliance-Verstöße prüfen

Wenn Sie Compliance-Richtlinien konfiguriert haben, können Sie prüfen, ob registrierte Geräte diesen Richtlinien entsprechen.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance policies .

2. Klicken Sie auf Jetzt prüfen .

Alle registrierten Geräte werden auf Compliance-Verstöße geprüft. Die festgelegten Aktionen werden ausgeführt.

Hinweis

Wenn ein Android-Enterprise-Gerät im Modus „Gerätebesitzer“ nicht den Unternehmensrichtlinien entspricht, werden alle Apps deaktiviert.

Sophos Mobile on Premise

13 Geräte

13.1 Geräte hinzufügen

Sie können Geräte auf folgende Weisen zu Sophos Mobile hinzufügen:

•

Geräte manuell hinzufügen. Siehe Gerät hinzufügen

(Seite 51).

• Geräte aus einer CSV-Datei importieren. Siehe

Geräte importieren (Seite 52).

• Mit dem Assistenten Add device ein Gerät zu Sophos Mobile hinzufügen, es einem Benutzer

zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen. Siehe Den Assistenten

Add device verwenden (Seite 55).

•

Benutzern ermöglichen, Geräte eigenständig im Self Service Portal zu registrieren. Siehe Self

Service Portal konfigurieren

(Seite 23). Dieses Portal verringert den Aufwand für die IT, weil die

Benutzer Aufgaben ausführen können, ohne sich an das Helpdesk wenden zu müssen. Die Geräte

werden durch das Ausführen vordefinierter Auftragspakete provisioniert. Siehe Auftragspakete

(Seite 284).

Zur Vereinfachung der Geräteverwaltung empfehlen wir Ihnen, Geräte in Gerätegruppen zu organisieren. Siehe

Gerätegruppen (Seite 97).

13.1.1 Gerät hinzufügen

Wir empfehlen, dass Sie eine oder mehrere Gerätegruppen erstellen, bevor Sie das erste Gerät zu

Sophos Mobile hinzufügen. Um die Geräteverwaltung zu vereinfachen, können Sie jedes Gerät einer

Gerätegruppe zuweisen. Siehe

Gerätegruppen erstellen

(Seite 97).

So fügen Sie ein neues Gerät zu Sophos Mobile hinzu:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

Die Seite Geräte wird angezeigt.

2. Klicken Sie auf Hinzufügen und wählen Sie anschließend im Menüabschnitt Gerät manuell hinzufügen die Plattform aus.

Die Seite Gerät bearbeiten wird angezeigt.

3. Geben Sie auf der Seite Gerät bearbeiten die folgenden Gerätedetails ein: a) Geben Sie im Feld Name einen eindeutigen Namen für das neue Gerät ein.

b) Geben Sie im Feld Beschreibung eine Beschreibung für das neue Gerät ein.

c) Wählen Sie unter Eigentümer Corporate oder Personal aus.

d) Geben Sie im Feld E-Mail-Adresse eine E-Mail-Adresse ein.

e) Geben Sie im Feld Telefonnummer die Telefonnummer des neuen Gerätes ein. Geben Sie die

Telefonnummer in internationaler Schreibweise ein, zum Beispiel +491701234567 .

f) Wählen Sie unter Gerätegruppe die Gerätegruppe, zu der das Gerät hinzugefügt werden soll.

Für weitere Informationen zum Erstellen von Gerätegruppen, siehe Gerätegruppen erstellen

(Seite 97).

4. Um dem Gerät einen Benutzer zuzuweisen, klicken Sie auf das Symbol Benutzerzuweisung bearbeiten neben dem Feld Benutzer und anschließend auf Benutzer zuweisen . Weitere

Informationen finden Sie in

Benutzer einem Gerät zuweisen

(Seite 67).

Sophos Mobile on Premise

5. Um benutzerdefinierte Eigenschaften zum Gerät hinzuzufügen, öffnen Sie die Registerkarte

Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen . Weitere Informationen finden Sie in

Benutzerdefinierte Geräteeigenschaften hinzufügen

(Seite 76).

6. Wenn Sie alle erforderlichen Gerätedetails angegeben haben, klicken Sie auf Speichern .

Das neue Gerät wird zu Sophos Mobile hinzufügt und auf der Seite Geräte unter VERWALTEN angezeigt. Sie können das Gerät nun provisionieren und verwalten.

Hinweis

Wenn Sie in Sophos Mobile konfiguriert haben, dass der Name von iOS-Geräten mit dem Gerät

synchronisiert wird (siehe Einstellungen für iOS konfigurieren

(Seite 19)), wird der Name, den

Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten Namen ersetzt.

13.1.2 Geräte importieren

Sie können neue Geräte hinzufügen, indem Sie die Daten von bis zu 500 Geräten aus einer UTF-8kodierte CSV-Datei importieren.

Hinweis

Verwenden Sie einen Text-Editor, um die CSV-Datei zu bearbeiten. Wenn Sie Microsoft Excel verwenden, werden die eingegebenen Werte u. U. nicht korrekt aufgelöst. Achten Sie beim

Speichern darauf, dass die Datei die Endung .csv

besitzt.

Hinweis

Die in der CSV-Datei enthaltenen Benutzer müssen schon in Sophos Mobile angelegt worden sein.

Tipp

Auf der Seite Geräte importieren steht eine Musterdatei mit den korrekten Spaltennamen und der richtigen Spaltenreihenfolge zum Download zur Verfügung.

So importieren Sie Geräte aus einer CSV-Datei:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf der Seite Geräte auf Hinzufügen > Geräte importieren .

3. Klicken Sie auf der Seite Geräte importieren auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.

Die Einträge werden aus der Datei eingelesen und angezeigt.

4. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen

Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.

5. Klicken Sie auf Fertigstellen , um die Geräte anzulegen.

Die in der CSV-Datei aufgeführten Geräte werden importiert und auf der Seite Devices angezeigt.

Anschließend können Sie die Geräte registrieren und konfigurieren.

Sophos Mobile on Premise

13.2 Geräte registrieren

Nachdem Sie in Sophos Mobile Admin neue Geräte hinzugefügt haben, müssen diese bei Sophos

Mobile registriert werden.

Registrierungsarten

Sophos Mobile unterstützt zwei Arten von Registrierung:

Gerät registrieren

Sophos-Container registrieren

Diese Registrierungsart ermöglicht eine umfassende MDM-Geräteverwaltung (Mobile

Device Management). Sophos Mobile kann das gesamte Gerät verwalten.

Sophos Mobile verwaltet nur den Sophos-

Container auf dem Gerät, nicht das gesamte

Gerät.

Der Sophos-Container ist für Android und iOS verfügbar.

Die Sophos-Container-Registrierung ist in folgenden Situationen nützlich:

• Sie wollen ein Bring-Your-Own-Device-

Szenario (BYOD) unterstützen. Bei der

Sophos-Container-Registrierung erhält

Ihr Unternehmen nur sehr begrenzte

Geräteinformationen und keine Informationen zu privaten Apps oder Daten.

• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzlich

Funktionen nutzen, die vom Sophos-

Container bereitgestellt werden, wie zum Beispiel die Synchronisierung des

Unternehmens-Schlüsselbundes mit Sophos

SafeGuard Enterprise.

• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzliche

E-Mail-Konten einrichten. Dies ist zum

Beispiel für Beraterfirmen interessant, deren

Mitarbeiter E-Mail-Konten auf den Exchange-

Servern ihrer Kunden haben.

Registrierungsverfahren

Sie haben folgende Möglichkeiten, Geräte zu registrieren:

• Mit der Funktion Geräte können Sie einzelne nicht verwaltete Geräte registrieren. Weitere

Informationen finden Sie in

Einzelne Geräte registrieren

(Seite 54).

Sophos Mobile on Premise

• Mit dem Assistenten Add device können Sie ein Gerät zu Sophos Mobile hinzufügen, es einem

Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen. Siehe

Den

Assistenten Add device verwenden

(Seite 55).

Hinweis

Bei Bedarf können Sie den Assistenten Add device oder eine automatische Registrierung verwenden, um iOS-Geräte zu registrieren, auf denen keine Apple-ID eingerichtet ist.

Dies ist zum Beispiel nützlich, um ein Gerät vor der Übergabe an einen Endbenutzer vorzukonfigurieren. Siehe

iOS-Geräte ohne Apple-ID registrieren (Seite 57).

Empfehlungen

Für eine effiziente Registrierung und Konfiguration mehrerer Geräte empfehlen wir folgende

Methoden:

• Sie können die Aufträge zusammenfassen, die erforderlich sind, Geräte zu registrieren, erforderliche Richtlinien zuzuweisen und erforderliche Apps zu installieren (zum Beispiel verwaltete

Apps im Falle von iOS-Geräten). Weitere Informationen finden Sie in Auftragspakete

(Seite 284).

• Sie können Benutzern ermöglichen, Geräte im Self Service Portal zu registrieren. Nehmen Sie hierzu bei der Konfiguration der Einstellungen für das Self Service Portal ein Auftragspaket für die Registrierung auf. Weitere Informationen dazu, wie Sie die für die Registrierung erforderlichen

Auftragspakete erstellen, finden Sie in den Dokumenten Sophos Mobile Schnellstartanleitung bzw.

Sophos Mobile as a Service Schnellstart-Anleitung . Weitere Informationen zum Auswählen des

Auftragspakets in den Einstellungen Self Service Portal

finden Sie in Einstellungen für das Self

Service Portal konfigurieren

(Seite 24).

13.2.1 Einzelne Geräte registrieren

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices und anschließend auf das Gerät, das

Sie registrieren wollen.

2. Wählen Sie auf der Seite Show device einen Registrierungstyp aus:

• Um das Gerät bei Sophos Mobile zu registrieren, klicken Sie auf Actions > Enroll .

• Um den Sophos-Container zu registrieren, klicken Sie auf Actions > Enroll Sophos container .

3. Für die Registrierung des Sophos-Containers wählen Sie ein Auftragspaket oder eine Richtlinie aus.

Der Einrichtungsauftrag wird gestartet und auf der Seite Task view angezeigt. Eine E-Mail mit

Registrierungsanweisungen wird an den Benutzer verschickt.

Hinweis

Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von Sophos

Mobile verwaltet werden soll. Für die Installation des Registrierungsprofils muss der Benutzer ein

Administratorkennwort eingeben.

Sophos Mobile on Premise

13.2.2 Den Assistenten Add device verwenden

Mit dem Assistenten Add device können Sie auf einfache Weise neue Geräte registrieren. Er führt

Sie durch folgende Arbeitsschritte:

• Ein neues Gerät zu Sophos Mobile hinzufügen.

• Optional: Dem Gerät einen Benutzer zuweisen.

• Das Gerät registrieren.

• Optional: Ein Auftragspaket an das Gerät übermitteln.

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices und anschließend auf Add > Add device wizard .

Tipp

Alternativ können Sie den Assistenten auch von der Seite Dashboard aus starten, indem Sie auf das Widget Add device klicken.

2. Geben Sie auf der Seite User entweder Suchkriterien ein, um nach einem Benutzer zu suchen, dem das Gerät zugewiesen werden soll, oder wählen Sie Skip user assignment aus, um ein

Gerät ohne Benutzerzuweisung zu registrieren.

3. Wählen Sie auf der Seite User selection den Benutzer aus.

4. Konfigurieren Sie auf der Seite Device details die folgenden Einstellungen.

Option

Platform

Name

Description

Phone number

Email address

Owner

Device group

Beschreibung

Das Betriebssystem des Gerätes.

Sie können nur Plattformen auswählen, die für den Kunden aktiviert sind.

Ein eindeutiger Name, unter dem das Gerät von Sophos Mobile verwaltet wird.

Eine optionale Beschreibung des Gerätes.

Eine optionale Telefonnummer. Geben Sie die Telefonnummer in internationaler Schreibweise ein, zum Beispiel

+491701234567 .

Die E-Mail-Adresse, an welche die Registrierungsinformationen gesendet werden.

Wenn für den Kunden eine Benutzerverwaltung konfiguriert ist, ist dies die E-Mail-Adresse des Benutzers, der dem Gerät zugewiesen ist.

Wenn keine Benutzerverwaltung konfiguriert ist, geben Sie hier eine E-Mail-Adresse ein.

Wählen Sie die Art des Gerätebesitzers: entweder Corporate oder Personal .

Wählen Sie die Gerätegruppe, zu der das Gerät hinzugefügt werden soll. Wenn Sie noch keine Gerätegruppe erstellt haben, können Sie die Gerätegruppe Default wählen, die immer verfügbar ist.

Sophos Mobile on Premise

5. Wählen Sie auf der Seite Enrollment type aus, ob Sie das Gerät oder nur den Sophos Container registrieren wollen.

Siehe Sophos-Container-Registrierung konfigurieren

(Seite 360).

6. Wählen Sie ein Auftragspaket oder eine Richtlinie aus, die an das Gerät übertragen werden.

Oder wählen Sie Nur Gerät registrieren aus, um nach der Registrierung kein Auftragspaket zu

übertragen.

7. Folgen Sie auf der Seite Enrollment den Anweisungen, um die Registrierung abzuschließen.

Hinweis

Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von

Sophos Mobile verwaltet werden soll. Für die Installation des Registrierungsprofils muss der

Benutzer ein Administratorkennwort eingeben.

8. Klicken Sie nach erfolgreicher Registrierung auf Finish .

Hinweis

• Nachdem Sie alle Einstellungen vorgenommen haben, können Sie den Assistenten schließen, ohne darauf warten zu müssen, dass die Schaltfläche Fertigstellen erscheint. Ein

Registrierungsauftrag wird erstellt und im Hintergrund ausgeführt.

• Wenn Sie ein Auftragspaket ausgewählt haben, dass nach der Registrierung auf das Gerät

übertragen wird, können Sie auf der Seite Auftragsstatus den Auftragsstatus überwachen.

Siehe Nicht abgeschlossene, fehlgeschlagene und kürzlich abgeschlossene Aufträge anzeigen

(Seite 10).

• Wenn Sie konfiguriert haben, dass Sophos Mobile den Gerätenamen von iOS-Geräten mit

dem Gerät synchronisiert (siehe Einstellungen für iOS konfigurieren

(Seite 19)), wird der

Name, den Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten

Namen ersetzt.

13.2.3 iOS-Geräte automatisch registrieren

Sie können iOS-Geräte so konfigurieren, dass sie sich während der Geräteaktivierung automatisch bei Sophos Mobile registrieren. Dazu müssen Sie die Geräte mit Hilfe der Software Apple

Configurator 2 dem MDM-Server von Sophos Mobile zuweisen. Wenn die Benutzer die Geräte erstmalig einschalten, startet der iOS-Einrichtungsassistent. Während der Einrichtung werden die

Geräte automatisch bei Sophos Mobile registriert.

Hinweis

Detaillierte Informationen zu Apple Configurator 2 finden Sie in der Apple Configurator 2 Hilfe .

So konfigurieren Sie die automatische Registrierung von iOS-Geräten bei Sophos Mobile:

1. Zur Vorbereitung der automatischen Registrierung müssen Sie einmalig eine Gerätegruppe erstellen, die Geräten zugewiesen wird, die sich automatisch bei Sophos Mobile registrieren.

Wählen Sie in den Eigenschaften der Gerätegruppe die Option iOS-Auto-Registrierung aktivieren

aus. Siehe Gerätegruppen erstellen

(Seite 97).

2. Notieren Sie sich die URL, die im Feld URL für Auto-Registrierung angezeigt wird.

Sie benötigen diese URL bei der Konfiguration von Geräten mit Apple Configurator 2.

3. Verbinden Sie das iOS-Gerät, das Sie für die automatische Registrierung konfigurieren wollen, mit einem USB-Anschluss eines Macs, auf dem Apple Configurator 2 installiert ist.

Sophos Mobile on Premise

4. Verwenden Sie in Apple Configurator 2 den Vorbereitungsassistenten, um die Gerätekonfiguration einzurichten.

5. Wählen Sie Manuelle Registrierung aus und geben Sie anschließend die Registrierungs-URL der

Gerätegruppe ein.

6. Folgen Sie den weiteren Schritten des Vorbereitungsassistenten. Optional können Sie folgende

Bereiche der Geräteaktivierung konfigurieren:

• Gerät als betreut definieren (Supervision mode).

• Computer festlegen, mit denen sich das Gerät per USB koppeln darf.

• Bei betreuten Geräten eine Betreuungsidentität (Supervision Identity) erstellen oder auswählen.

• Schritte des iOS-Einrichtungsassistenten deaktivieren.

Nachdem Sie die Konfiguration abgeschlossen haben, übergeben Sie das Gerät an den Benutzer.

Wenn der Benutzer das Gerät erstmalig einschalten, wird die iOS-Einrichtung und die Registrierung bei Sophos Mobile so durchgeführt, wie Sie es konfiguriert haben.

Tipp

Standardmäßig verwaltet Sophos Mobile die automatisch registrierten Geräte unter einem

Namen, der aus der Geräte-ID und dem Gerätetyp gebildet wird. Alternativ kann Sophos Mobile den Namen verwenden, der auf dem Gerät konfiguriert ist. Siehe die Option Gerätename synchronisieren in

Einstellungen für iOS konfigurieren (Seite 19).

13.2.4 iOS-Geräte ohne Apple-ID registrieren

Sie können ein iOS-Gerät bei Sophos Mobile registrieren, auf dem noch keine Apple-ID eingerichtet ist. Dies ist zum Beispiel nützlich, um Geräte vor der Übergabe an einen Endbenutzer vorzukonfigurieren.

Das Standard-Registrierungsverfahren beinhaltet die Installation der App Sophos Mobile Control auf dem Gerät. Da die App aus dem App Store installiert wird und für den Zugriff auf den App Store eine

Apple-ID erforderlich ist, müssen Sie vor der Registrierung das Gerät mit einer Apple-ID verknüpfen.

Alternativ können Sie ein iOS-Gerät auch registrieren, ohne die App Sophos Mobile Control zu installieren. In diesem Fall müssen Sie das Gerät nicht mit einer Apple-ID verknüpfen. Dies ist auf folgende Arten möglich:

• Mit der automatischen Registrierung. Siehe

iOS-Geräte automatisch registrieren (Seite 56).

• Mit dem Assistenten Add device

. Siehe Den Assistenten Add device verwenden

(Seite 55).

Gehen Sie im Assistenten folgendermaßen vor:

1. Öffnen Sie auf der Seite Registrierung die Registerkarte Registrierung ohne Apple-ID .

2. Öffnen Sie im Webbrowser des Gerätes die Registrierungs-URL. Dies öffnet ein Webformular für die Registrierung bei Sophos Mobile.

3. Geben Sie in diesem Formular das Token ein und klicken Sie anschließend auf Registrieren .

4. Folgen Sie den auf dem Gerät angezeigten Anweisungen, um das Registrierungs-Auftragspaket zu installieren.

Sophos Mobile on Premise

13.2.5 Android-Enterprise-Geräte registrieren

Android-Enterprise-Geräte werden üblicherweise im Self Service Portal registriert. Wenn Sie Android

Enterprise in Sophos Mobile für das Szenario „Managed Google Play Account“ eingerichtet haben, können Sie Geräte auch mit dem Assistenten Add device registrieren.

Voraussetzungen:

• Sie haben Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 323).

• Sie haben ein Registrierungs-Auftragspaket erstellt.

Je nach dem Typ der Richtlinie, die von dem Auftragspaket installiert wird, wird das Gerät im Android-Enterprise-Modus „Gerätebesitzer“ oder „Profilbesitzer“ registriert. Siehe

Geräteregistrierung für Android Enterprise konfigurieren

(Seite 328).

So registrieren Sie ein Gerät im Android-Enterprise-Modus:

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices und anschließend auf Add > Add device wizard .

2. Verwenden Sie (wie in Den Assistenten Add device verwenden (Seite 55) beschrieben)

den Assistenten Add device , um die Registrierung zu starten. Gehen Sie bei einem Android-

Enterprise-Gerät folgendermaßen vor: a) Wählen Sie auf der Seite User die Option Search for user aus und geben Sie anschließend

Suchparameter ein, um den Benutzer zu finden, der dem Gerät zugewiesen werden soll.

b) Wählen Sie auf der Seite User selection den Benutzer aus.

c) Wählen Sie auf der Seite Device details im Feld Platform die Option Android aus.

d) Wählen Sie auf der Seite Enrollment type Ihr Registrierungs-Auftragspaket für Android

Enterprise aus.

Hinweis

Auf Android-Enterprise-Geräten, die im Modus „Gerätebesitzer“ registriert sind, stehen nur folgende

Apps zur Verfügung:

• Einstellungen

• Telefon

• Play Store

• Sophos Mobile Control

• Kamera (sofern Sie in der Konfiguration Restrictions die Einstellung Allow camera aktiviert haben)

13.2.6 Massenregistrierung von Android-Enterprise-Geräten

Mit der App Sophos NFC Provisioning führen Sie eine Massenregistrierung von Android-

Firmengeräten bei Sophos Mobile durch. Sie installieren die App Sophos NFC Provisioning auf einem Gerät ( Master-Gerät ) und übertragen dann die Registrierungseinstellungen per NFC auf die zu registrierenden Geräte. Die Geräte werden bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert.

Voraussetzungen:

Sophos Mobile on Premise

• Sie haben Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 323).

• Das Master-Gerät unterstützt NFC.

• Die zu registrierenden Geräte sind neu oder auf Werkseinstellungen zurückgesetzt und unterstützen NFC.

1. Installieren Sie die App Sophos NFC Provisioning aus Google Play auf dem Master-Gerät.

2. Konfigurieren Sie in der App Sophos NFC Provisioning die folgenden Einstellungen:

• Verbindungsdetails Ihres Unternehmens-WLAN.

• Zeitzone und Sprache für die neuen Geräte.

• Optional: Die URL für das Self Service Portal.

• Optional: Überspringen der Geräteverschlüsselung.

• Optional: Überspringen herstellerspezifischer Einrichtungsschritte.

3. Tippen Sie auf Bereit zur Übertragung und halten Sie anschließend das Master-Gerät und das zu registrierende Gerät so Rücken an Rücken, dass die NFC-Sensoren aneinander ausgerichtet sind.

Das Gerät wird eingerichtet und bei Sophos Mobile registriert.

Um weitere Geräte zu registrieren, tippen Sie erneut auf Bereit zur Übertragung .

13.2.7 Android-Things-Geräte registrieren

Um ein Android-Things-Gerät bei Sophos zu registrieren, flashen Sie es mit einem angepassten

Android-Things-Image. Sie verwenden dasselbe Image für alle Geräte, die Sie bei Sophos Mobile registrieren.

Voraussetzung: Sie haben einen Computer eingerichtet, der mit Ihrem lokalen IP-Netzwerk verbunden ist und auf dem das Kommandozeilenwerkzeug „Android Debug Bridge“ ( adb ) installiert ist.

adb ist im Paket Android SDK Platform Tools enthalten. Sie können dieses Paket entweder als

Bestandteil des Android SDK oder als Standalone-Paket installieren. Für weitere Informationen, siehe die Google-Dokumentation zu Android Debug Bridge.

So registrieren Sie ein Android-Things-Gerät bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices und anschließend auf Add > Add device wizard .

2. Verwenden Sie (wie in Den Assistenten Add device verwenden (Seite 55) beschrieben) den

Assistenten Add device , um die Registrierung zu starten. Gehen Sie bei einem Android-Things-

Gerät folgendermaßen vor: a) Wählen Sie auf der Seite Device details des Assistenten im Feld Platform die Option Android

Things aus.

b) Klicken Sie auf der Seite Enrollment des Assistenten auf Sophos Mobile Downloadbereich

öffnen und laden Sie anschließend von dort die APK-Datei der aktuellsten SMC-App für

Android Things herunter.

3. Öffnen Sie die Google-Android-Things-Konsole.

4. Erstellen Sie ein Produkt und eine Build-Konfiguration für Android Things, wie in der Google-

Dokumentation für die Android-Things-Konsole beschrieben.

Fügen Sie auf der Seite Select apps der Android-Things-Konsole die APK-Datei der SMC-App für

Android Things hinzu.

Sophos Mobile on Premise

5. Nachdem Sie die Build-Konfiguration abgeschlossen haben, laden Sie Ihr Android-Things-Image herunter.

6. Flashen Sie das Gerät mit dem Image.

7. Sofern noch nicht erfolgt, verbinden Sie das Gerät über Ethernet oder WLAN mit Ihrem lokalen IP-

Netzwerk.

8. Verbinden Sie sich von dem Computer aus, auf dem adb installiert ist, mit dem Gerät: adb connect <IP-Adresse>

Ersetzen Sie <IP-Adresse> durch die IP-Adresse des Gerätes.

9. Verwenden Sie das im Assistenten Add device oder in der Anweisungs-E-Mail angegebene

Kommando, um die SMC-App für Android Things zu konfigurieren: adb shell am start -d "<Konfigurationsparameter>"

Hinweis

Möglicherweise erhalten Sie eine Systemmeldung Warning: Activity not started, its current task has been brought to the front . Diese können Sie ignorieren.

Die SMC-App für Android Things verbindet sich mit Ihrem Sophos Mobile Server. Nach Abschluss der

Registrierung wird das Gerät in Sophos Mobile mit dem Status Managed angezeigt.

Zugehörige Informationen

Google-Android-Things-Konsole (externer Link)

Google-Dokumentation für die Android-Things-Konsole (englisch) (externer Link)

Google-Dokumentation zu Android Debug Bridge (adb) (englisch) (externer Link)

13.2.8 Windows-IoT-Geräte registrieren

Dieser Abschnitt beschreibt die Registrierung eines Windows-IoT-Gerätes mit Hilfe des Assistenten

Add device .

Voraussetzungen:

• Sie haben ein Installations-Image für Windows 10 IoT Core auf das Gerät aufgespielt, das Sie registrieren wollen.

• Sie haben das Gerät über Ethernet oder WLAN mit Ihrem lokalen IP-Netzwerk verbunden.

So registrieren Sie das Windows-IoT-Gerät bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices und anschließend auf Add > Add device wizard .

2. Verwenden Sie (wie in Den Assistenten Add device verwenden (Seite 55) beschrieben) den

Assistenten Add device , um die Registrierung zu starten. Gehen Sie bei einem Windows-IoT-

Gerät folgendermaßen vor: a) Wählen Sie auf der Seite Device details des Assistenten im Feld Platform die Option

Windows IoT aus.

b) Klicken Sie auf der Seite Enrollment des Assistenten auf Download provisioning package , um eine PPKG-Datei mit dem Bereitstellungspaket für Sophos Mobile herunterzuladen. Der

Link befindet sich auch in der Anweisungs-E-Mail.

3. Verwenden Sie auf einem Windows-Computer, der sich im selben Netzwerk wie das Windows-IoT-

Gerät befindet, den Windows-Datei-Explorer, um sich mit dem Gerät zu verbinden.

Sophos Mobile on Premise

Geben Sie in der Adressleiste des Datei-Explorers folgende Adresse ein ( <ip-address> steht für die IP-Adresse des Gerätes):

\\<IP-Adresse>\c$

Wenn Sie dazu aufgefordert werden, geben Sie Benutzername und Kennwort für ein

Administratorkonto auf dem Gerät ein.

4. Kopieren Sie die PPKG-Datei, die Sie über den Assistenten Add device heruntergeladen haben, in den Ordner C:\Windows\Provisioning\Packages auf dem Gerät.

Hinweis

Der Ordner darf nur eine einzelne Datei mit Endung .ppkg enthalten.

5. Führen Sie einen Neustart des Gerätes aus.

Nach dem Neustart führt das Windows-IoT-Gerät die im Bereitstellungspaket enthaltenen Kommandos aus und verbindet sich mit Ihrem Sophos Mobile Server. Nach Abschluss der Registrierung wird das

Gerät in Sophos Mobile mit dem Status Managed angezeigt.

Wichtig

Führen Sie auf der Seite Show device die Aktionen Set to “Not managed” und Delete nur aus, wenn Sie das Gerät zuvor deregistriert haben. Andernfalls müssen Sie das Gerät zurücksetzen, bevor Sie es erneut registrieren können. Für das Zurücksetzen müssen Sie erneut ein Installations-Image für Windows 10 IoT Core auf das Gerät aufspielen.

13.3 Geräte deregistrieren

Sie können Geräte deregistrieren, wenn sie nicht mehr benutzt werden, zum Beispiel wenn der

Benutzer ein neues Gerät erhält. Dies ist nützlich, wenn Sie die Anzahl an Geräten, die ein Benutzer im Self Service Portal registrieren kann, begrenzt haben.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Wählen Sie das gewünschte Gerät aus, klicken Sie auf Aktionen und anschließend auf

Deregistrieren .

Eine Meldung wird angezeigt, die Sie zur Bestätigung des Deregistrierungsvorgangs auffordert.

Hinweis

Sie können mehrere Geräte auswählen, die deregistriert werden.

3. Klicken Sie auf Ja .

Das Gerät ist deregistriert. Dadurch werden folgende Vorgänge ausgelöst:

• Android-Geräte:

— Der Sophos Mobile Control Geräteadministrator wird deaktiviert.

— Die Server-Anmeldedaten und alle weiteren erhaltenen Daten werden entfernt.

— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email) sowie die App

Sophos Mobile Security werden zurückgesetzt.

• iOS-Geräte:

Sophos Mobile on Premise

— Alle Profile werden entfernt.

— Alle verwalteten Apps werden deinstalliert.

— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.

— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email) werden zurückgesetzt.

• Macs:

— Alle Richtlinien werden entfernt.

— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.

Hinweis

• Wenn Benutzer auf Android-Geräten Sophos Mobile Control als Geräteadministrator deaktivieren, deregistriert die App Sophos Mobile Control das Gerät.

• Für Android-Enterprise-Geräte, die im Modus „Gerätebesitzer“ registriert sind, gibt keine spezielle Aktion, das Gerät zu deregistrieren. Um ein solches Gerät zu deregistrieren, setzen

Sie es auf Werkseinstellungen zurück.

• Wenn Sie Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet haben, können Benutzer nur eine beschränkte Anzahl an Geräten registrieren. Manchmal kann es vorkommen, dass bei der Deregistrierung das Google-Konto mit dem Gerät verbunden bleibt und das Gerät weiterhin als registriert zählt. Falls dies passiert, entfernen Sie das Google-Konto manuell vom Gerät.

13.4 Geräte verwalten

In der Menüleiste können Sie unter VERWALTUNG > Geräte und Gerätegruppen Geräte und

Gerätegruppen verwalten und eine Reihe von administrativen Aufgaben ausführen. Nachdem Sie

Geräte zu Sophos Mobile hinzugefügt haben, können Sie zum Beispiel:

• Gerätedetails anzeigen und bearbeiten.

• E-Mail-Zugriff für Geräte erlauben oder verbieten.

• Geräte ferngesteuert sperren oder entsperren.

• Geräte-Kennwörter zurücksetzen.

• Geräte bei Verlust oder Diebstahl ferngesteuert in den Auslieferungszustand zurücksetzen.

• Geräte deregistrieren (Android und iOS).

• Geräte löschen.

13.4.1 Geräte anzeigen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf den Namen des gewünschten Gerätes.

Die Seite Gerät anzeigen für das ausgewählte Gerät wird angezeigt.

Sophos Mobile on Premise

Tipp

Auf der Seite Geräte können Sie sich zusätzliche Informationen anzeigen lassen, indem Sie auf bestimmte Elemente zeigen:

• Zeigen Sie auf das Symbol "Nicht verwaltet" eines Gerätes, um den genauen Status wie

Deregistriert oder Abgemeldet anzuzeigen.

• Zeigen Sie auf das Symbol "Nicht richtlinienkonform“ eines Gerätes, um den Schweregrad

(hoch, mittel, niedrig) anzuzeigen.

13.4.2 Die Seite „Gerät anzeigen“

Auf der Seite Gerät anzeigen werden alle relevanten Informationen für ein einzelnes Gerät angezeigt.

Im oberen Teil der Seite können Sie auf einen Blick die wichtigsten Geräteinformationen sehen.

Im unteren Teil der Seite werden in mehreren Registerkarten detaillierte Geräteinformationen angezeigt. Die angezeigten Registerkarten und Informationen hängen von der Geräteplattform ab.

Von der Seite Gerät anzeigen können Sie direkt auf die Seite Gerät bearbeiten wechseln. Um das angezeigte Gerät zu bearbeiten, klicken Sie auf Bearbeiten .

Status

Zeigt wichtige Geräteinformationen wie Management-Typ, Management-Status und Compliance-

Status.

Profiles

Zeigt die auf dem Gerät installierten Profile an (inklusive Provisionierungsprofile).

Die Registerkarte enthält auch Befehle für die Installation oder Deinstallation von Profilen auf

Geräten.

Hinweis iOS-Geräteprofile, die nur folgende Konfigurationen enthalten, werden auf der Registerkarte

Profiles nicht angezeigt:

• Roaming/Hotspot

• Wallpaper

Diese Konfigurationen werden nicht als Profile auf dem Gerät installiert. Sie nehmen nur

Einstellungen vor, die der Benutzer später wieder ändern kann.

Tipp

Mit dem Suchfeld oberhalb der Tabelle können Sie nach der Profilkennung suchen, auch wenn diese in der Tabelle nicht angezeigt wird.

Sophos Mobile on Premise

Policies

Zeigt die dem Gerät zugewiesenen Richtlinien an.

Auf dieser Registerkarte steht die Schaltfläche Richtlinie zuweisen zur Verfügung, um eine

Richtlinie einem Gerät zuzuweisen.

Device properties

Zeigt die Geräteeigenschaften wie z. B. Eigenschaften für Modell, Modellname oder

Betriebssystemversion an. Bei Android-Geräten werden gerootete Smartphones ermittelt und die relevante Eigenschaft wird angezeigt. Bei iOS-Geräten werden Smartphones mit „Jailbreak“ ermittelt.

Die relevante Eigenschaft wird in der Ansicht angezeigt.

Custom properties

Zeigt benutzerdefinierte Geräteeigenschaften an. Dies sind die Eigenschaften, die Sie selbst anlegen können. Benutzerdefinierte Geräteeigenschaften können zum Beispiel in Platzhaltern verwendet werden, wenn kein Active Directory zur Verfügung steht. Wenn Sie ein Gerät bearbeiten, können Sie hier auch benutzerspezifische Informationen hinzufügen.

Internal properties

Zeigt interne Geräteeigenschaften, zum Beispiel die IMEI, oder ob Active-Sync-Datenverkehr erlaubt ist.

Compliance violations

Diese Registerkarte wird nur für Geräte angezeigt, die gegen Compliance-Regeln verstoßen.

Angezeigt werden die Compliance-Verstöße des Gerätes und die deshalb ausgeführten

Maßnahmen.

Zur Konfiguration dieser Aktionen siehe

Compliance-Richtlinie erstellen (Seite 42).

Installed apps

Zeigt die auf dem Gerät installierte Software. Je nach Plattform werden unterschiedliche

Informationen angezeigt.

In der Spalte Größe wird der Speicherbedarf für die App selber angezeigt. In der Spalte Daten wird der zusätzliche Speicherbedarf der App anzeigt, zum Beispiel für Nutzerdaten, Konfigurationen oder

Ähnliches.

Mit der Schaltfläche App installieren können Sie Software auf dem Gerät installieren. Sie können auch Apps vom Gerät deinstallieren, indem Sie auf das Symbol Löschen neben der gewünschten

App klicken.

Sophos Mobile on Premise

Hinweis

• Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, werden Apps außerhalb des Containers nicht aufgeführt. Dies beinhaltet auch Apps, die der Benutzer aus dem Enterprise App Store installiert hat.

• Für iOS können Apps, die als Verwaltet gekennzeichnet sind, stillschweigend deinstalliert werden. Siehe

Verwaltete iOS-Apps (Seite 308)

• Für Macs sind Apps aus allen Benutzerkonten aufgeführt.

• Für Windows können Sie nur Apps deinstallieren, die von Sophos Mobile installiert wurden.

Wenn Sie versuchen, eine vom Benutzer installierte App zu deinstallieren, schlägt der Auftrag fehl.

• Sie können die Registerkarte Installed apps

deaktivieren. Siehe Datenschutz-Einstellungen konfigurieren

(Seite 21).

System apps

Zeigt die Android-System-Apps auf dem Gerät an.

Hinweis

System-Apps können nicht vom Gerät entfernt werden.

Knox apps

Diese Registerkarte enthält die Apps, die vom Benutzer im Samsung-Knox-Container installiert wurden.

Knox system apps

Diese Registerkarte enthält die System-Apps, die im Samsung-Knox-Container installiert sind.

Scan results

Diese Registerkarte zeigt die Ergebnisse des letzten Sophos Mobile Security Scan-Vorgangs auf dem Gerät.

Die Registerkarte ist nur verfügbar, wenn die App Sophos Mobile Security von Sophos Mobile

verwaltet wird. Siehe Sophos Mobile Security verwalten (Seite 356).

Certificates

Zeigt die auf dem Gerät benutzten Zertifikate an.

Für Macs sind Gerätezertifikate aufgeführt aber keine Benutzerzertifikate.

Für Windows-Computer sind nur Zertifikate aus dem Benutzerspeicher (User Store) aufgeführt, keine Zertifikate aus dem Computerspeicher (Device Store).

Sophos Mobile on Premise

Tipp

Zeigen Sie in der Tabelle auf den Wert für Subject oder Issuer , um die Zertifikatdetails anzuzeigen.

Tasks

Diese Registerkarte zeigt alle noch nicht abgeschlossenen und fehlgeschlagenen Aufträge sowie die abgeschlossenen Aufträge der letzten Tage an. Diese Aufträge werden Ihnen auch auf der Seite

Auftragsstatus

angezeigt, zusammen mit den Aufträgen aller anderen Geräte. Siehe Aufträge

überwachen

(Seite 10).

13.4.3 Intelligente Gruppen verwenden

Intelligente Gruppen sind dynamisch erzeugte Gerätegruppen, basierend auf von Ihnen festgelegten

Filterkriterien. Zum Beispiel könnten Sie eine intelligente Gruppe Alle in den letzten drei Monaten

erstellten Android-Firmengeräte definieren.

So definieren Sie eine intelligente Gruppe:

1. Klicken Sie auf der Seite Devices auf Extended filter oberhalb der Geräteliste.

2. Legen Sie die Filterkriterien fest.

3. Geben Sie in Smart group einen Namen für die intelligente Gruppe ein und klicken Sie auf Create .

4. Gehen Sie wie folgt vor:

• Um eine intelligente Gruppe auf die Geräteliste anzuwenden, klicken Sie auf Filter .

• Um das Filterfenster zu schließend, ohne die intelligente Gruppe anzuwenden, klicken Sie auf

Reset .

5. Um die intelligente Gruppe später anzuwenden, klicken Sie auf Smart groups oberhalb der

Geräteliste und wählen Sie anschließend einen Eintrag aus.

Tipp

• Wenn eine intelligente Gruppe oder ein erweiterter Filter aktiv ist, ändert das Filter-Symbol im

Tabellenkopf seine Farbe von Blau nach Grün.

• Denken Sie daran, einen Filter wieder zurückzusetzen, wenn er nicht mehr benötigt wird.

Andernfalls enthalten Listen oder Berichte unter Umständen nicht die erwarteten Ergebnisse.

Andere Aktionen mit intelligenten Gruppen:

• Um die Anwendung einer intelligenten Gruppe zu beenden und wieder alle Geräte anzuzeigen, klicken Sie auf Extended filter und anschließend auf Reset .

• Um eine intelligente Gruppe zu löschen, klicken Sie auf Smart groups und anschließend auf das

Mülleimer-Symbol neben dem Eintrag, den Sie löschen wollen.

• Um eine intelligente Gruppe zu bearbeiten, wenden Sie diese zunächst an. Klicken Sie anschließend auf Extended filter , machen Sie die gewünschten Änderungen, und klicken Sie anschließend auf Create .

• Um einen Ad-Hoc-Filter anzuwenden ohne eine intelligente Gruppe zu erstellen, klicken Sie auf

Extended filter , legen Sie die Filterkriterien fest, und klicken Sie anschließend auf Filter .

Sophos Mobile on Premise

13.4.4 Geräte bearbeiten

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf

Bearbeiten .

Die Seite Gerät bearbeiten für das ausgewählte Gerät wird angezeigt.

3. Nehmen Sie die notwendigen Änderungen vor (zum Beispiel Installation oder Deinstallation von

Software auf der Registerkarte Installierte Apps ). Klicken Sie anschließend auf Speichern .

Ihre Änderungen werden auf das bearbeitete Gerät angewendet.

Hinweis

An Eigenschaften vorgenommene Änderungen treten erst in Kraft, nachdem Sie auf Speichern geklickt haben. Wenn Sie die vorgenommenen Änderungen nicht speichern, haben sie keinerlei

Auswirkungen.

13.4.5 Benutzer einem Gerät zuweisen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten .

Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten neben dem Feld Benutzer und anschließend auf den gewünschten Eintrag in der Auswahlliste:

• Um einem Gerät ohne Benutzerzuweisung einen Benutzer zuzuweisen, klicken Sie auf Gerät einem Benutzer zuweisen .

• Um einem Gerät mit bestehender Benutzerzuweisung einen anderen Benutzer zuzuweisen, klicken Sie auf Gerät einem anderen Benutzer zuweisen .

• Klicken Sie auf Update user list , um die Benutzerliste erneut aus dem LDAP-Verzeichnis zu laden.

4. Geben Sie auf der Seite Enter user search parameters des Zuweisungsdialogs einen oder mehrere Suchbegriffe ein, um den Benutzer zu finden, dem das Gerät zugewiesen werden soll.

Geben Sie zum Beispiel einen Namen oder Teilnamen ein.

5. Wählen Sie auf der Seite Benutzer auswählen den Benutzer aus und klicken Sie anschließend auf Anwenden .

6. Klicken Sie auf der Seite Gerät bearbeiten auf Speichern .

13.4.6 Benutzerzuweisung für ein Gerät aufheben

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten .

3. Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten

neben dem Feld Benutzer und anschließend auf Zuweisung des Benutzers zum Gerät aufheben .

Sophos Mobile on Premise

4. Klicken Sie im Bestätigungsdialog auf Ja .

5. Klicken Sie auf Speichern .

13.4.7 Netzwerkzugriff konfigurieren

Damit Sie den Netzwerkzugriff für ein Gerät konfigurieren können, muss Network Access Control

(NAC) in Sophos Mobile aktiviert werden.

Bei Sophos Mobile on Premise wird NAC vom Superadministrator aktiviert. Siehe das Dokument

Sophos Mobile Superadministrator-Anleitung (englisch) .

Bei Sophos Mobile as a Service ist NAC standardmäßig aktiviert.

Sie können den Netzwerkzugriff für ein Gerät auf zwei Weisen konfigurieren:

1. Netzwerkzugriff immer erlauben oder sperren.

2. Netzwerkzugriff grundsätzlich erlauben, aber sperren, wenn das Gerät nicht richtlinienkonform ist.

Hinweis

Sophos Mobile schränkt den Netzwerkzugriff nicht selbst ein. Stattdessen stellt es einen Status

Netzwerk verbieten zur Verfügung, der von einer externen NAC-Software wie zum Beispiel

Sophos UTM verwendet werden kann, um die Netzwerkkommunikation zu blockieren.

Hinweis

NAC ist nicht für Macs verfügbar, die per Ethernet verbunden sind. Sophos Mobile kann für Macs nur die MAC-Adresse des WLAN-Netzwerkadapters ermitteln, nicht die des Ethernet-Adapters. Da

Geräte anhand ihrer MAC-Adresse identifiziert werden, wird ein Mac, der über seinen Ethernet-

Port mit dem Internet verbunden ist, als unbekanntes Gerät behandelt, wenn Ihre externe NAC-

Software Sophos Mobile nach dem Netzwerkstatus des Gerätes fragt.

So konfigurieren Sie den Netzwerkzugriff für ein Gerät:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie den Netzwerkzugriffsmodus einstellen wollen.

3. Klicken Sie auf Aktionen und anschließend auf Netzwerkzugriff .

4. Wählen Sie den Netzwerkzugriffsmodus aus:

• Erlauben : Netzwerkzugriff ist für die ausgewählten Geräte erlaubt.

• Sperren : Netzwerkzugriff ist für die ausgewählten Geräte gesperrt.

• Automatischer Modus : Netzwerkzugriff für die ausgewählten Geräte wird durch den

Compliance-Status der Geräte festgelegt.

5. Klicken Sie auf Ja , um die Änderungen zu speichern.

Hinweis

Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, können Sie den

Netzwerkzugriff nicht sperren.

Informationen zur Konfiguration des Netzwerkzugriff über Compliance-Richtlinien finden Sie in

Compliance-Richtlinie erstellen

(Seite 42).

Sophos Mobile on Premise

13.4.8 Gerät scannen

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Sie können Android-Geräte scannen, auf denen Sophos Mobile die App Sophos Mobile Security verwaltet.

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

2. Klicken Sie auf das Gerät, das Sie scannen wollen.

3. Klicken Sie auf der Seite Show device auf Actions > Trigger SMSec scan .

Ein Auftrag zum Scannen des Gerätes wird erstellt und an die App Sophos Mobile Security

übertragen.

Die Scan-Ergebnisse werden auf der Registerkarte Scan results der Seite Show device angezeigt.

Klicken Sie auf den Namen einer Bedrohung, um zusätzliche Informationen von SophosLabs anzuzeigen.

Um mehrere Geräte zu scannen, erstellen Sie ein Auftragspaket mit einem Auftrag Trigger SMSec scan und übertragen Sie dieses an die gewünschten Geräte oder Gerätegruppen.

13.4.9 Gerät sperren

Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert sperren. Dadurch wird die

Bildschirmsperre aktiviert.

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

2. Klicken Sie auf der Seite Devices auf das blaue Dreieck neben dem Gerät, das Sie sperren oder entsperren wollen, und anschließend auf Show .

3. Klicken Sie auf der Seite Show device auf Actions > Lock .

4. Für macOS: Legen Sie einen 6-stelligen PIN-Code fest, der zum Entsperren auf dem Mac eingegeben werden muss.

5. Für einige Gerätetypen können Sie optional eine Nachricht eingeben, die auf dem Sperrbildschirm angezeigt wird.

Ein Auftrag zum Aktiveren der Bildschirmsperre wird erstellt und an das Gerät übertragen.

• Für alle Plattformen außer macOS: Der Benutzer muss sein Gerätekennwort eingeben (bzw. PIN oder Muster), um das Gerät zu entsperren.

• Für macOS: Der Mac startet neu. Der Benutzer muss den von Ihnen festgelegten PIN eingeben, um das Gerät zu entsperren.

Hinweis

Auch auf Geräten, auf denen Sophos Mobile nur das Android-Arbeitsprofil verwaltet, sperrt die

Aktion Lock das Gerät, nicht nur das Arbeitsprofil.

Hinweis

Sie können nicht Geräte sperren, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Sophos Mobile on Premise

Hinweis

Ein Mac, den Sie ferngesteuert gesperrt haben, kann nicht zurückgesetzt werden.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Device properties > Unlock passcode angezeigt, sowie auf der Seite Task details unter Lock

PIN .

13.4.10 Gerätekennwort zurücksetzen

Bei folgenden Geräten können Sie das Kennwort ferngesteuert zurücksetzen:

• Android-Geräte mit Android 6.x oder älter

• Android-Enterprise-Geräte

• iOS-Geräte

• Windows-Mobile-Geräte

Dies gilt aber nicht für folgenden Geräte:

• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Geräte, auf denen nur die App Sophos Mobile Security bei Sophos Mobile registriert ist.

• Android-Enterprise-Geräte mit Android 8.x oder neuer, falls der Benutzer das Gerätekennwort nicht bestätigt hat.

Auf einigen Geräten legt der Benutzer das Kennwort während der erstmaligen Einrichtung fest, bevor die App Sophos Mobile Control installiert wird. In diesem Fall fordert die App Sophos

Mobile Control den Benutzer bei jeder Synchronisierung auf, das Kennwort zu bestätigen.

Solange der Benutzer das Kennwort nicht bestätigt hat, können Sie das Gerät nicht ferngesteuert zurücksetzen.

So setzen Sie das Kennwort eines Gerätes zurück:

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

2. Klicken Sie auf das Gerät, für das Sie das Kennwort zurücksetzen wollen.

3. Klicken Sie auf der Seite Show device auf Actions > Reset password .

4. Falls im Bestätigungsdialog ein Einmal-Kennwort zum Entsperren des Gerätes angezeigt wird, teilen Sie dieses dem Benutzer mit.

Android und Windows Mobile: Der Benutzer muss das Gerät mit dem Einmal-Kennwort entsperren und anschließend ein neues Kennwort festlegen.

iOS: Das Kennwort wird entfernt und das Gerät entsperrt.

13.4.11 Gerätestandort anzeigen

Wichtig

Aus Datenschutzgründen werden alle Ereignisse zu Geräteortungen für eventuelle spätere

Untersuchungen aufgezeichnet.

Sophos Mobile on Premise

Hinweis

Sie können die Anzeige von Gerätestandorten in Sophos Mobile Admin deaktivieren. Siehe

Datenschutz-Einstellungen konfigurieren

(Seite 21).

Sie können den Standort von Android- und iOS-Geräten in Google Maps anzeigen, wenn folgende

Bedingungen erfüllt sind:

Android-Geräte:

• Die App Sophos Mobile Control läuft.

• Ortungsdienste sind eingeschaltet.

• Für Android-Enterprise-Geräte im Modus „Profilbesitzer“: Ortungsdienste für das Arbeitsprofil sind eingeschaltet.

• Die App Sophos Mobile Control besitzt die Berechtigung Standort .

iOS-Geräte:

• Die App Sophos Mobile Control läuft.

• Ortungsdienste sind eingeschaltet und können von der App Sophos Mobile Control verwendet werden.

• Im verwalteten Modus „Verloren“ können Sie den Gerätestandort immer anzeigen.

Tipp

Verwenden Sie die Compliance-Regel Locate permission required , um sicherzustellen, dass die

App Sophos Mobile Control den Gerätestandort ermitteln kann. Siehe Verfügbare Compliance-

Regeln (Seite 44).

So zeigen Sie den Standort eines Gerätes an:

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

2. Klicken Sie auf das Gerät, dessen Standort Sie anzeigen wollen.

3. Klicken Sie auf Actions > Show location .

Fall Show location nicht vorhanden ist, überprüfen Sie, ob die App Sophos Mobile Control den

Gerätestandort ermitteln kann.

4. Geben Sie eine Begründung für die Standort-Ermittlung ein und klicken Sie anschließend auf Yes .

Ein Auftrag zur Standort-Ermittlung wird erstellt und an das Gerät übertragen.

5. Nachdem der Auftrag abgeschlossen wurde, klicken Sie auf Actions > Show location > Show location , um den Gerätestandort in Google Maps anzuzeigen.

13.4.12 Gerät zurücksetzen

Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert zurücksetzen. Dadurch wird das

Gerät auf Werkseinstellungen zurückgesetzt.

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

2. Klicken Sie auf der Seite Devices auf das blaue Dreieck neben dem Gerät, das Sie zurücksetzen wollen, und anschließend auf Show .

3. Klicken Sie auf der Seite Show device auf Actions > Wipe .

4. Für einige Gerätetypen müssen Sie weitere Einstellungen konfigurieren:

Sophos Mobile on Premise a) Android-Enterprise-Geräte im Modus „Gerätebesitzer“: Aktivieren Sie bei Bedarf FRP (Factory

Reset Protection). Siehe Android Factory Reset Protection

(Seite 332).

Wichtig

Wenn die Google-Konten, die Sie für FRP konfiguriert haben, ungültig sind oder wenn

Sie die Anmeldedaten für die Konten nicht mehr kennen, kann das Gerät nach dem

Zurücksetzen nicht mehr verwendet werden.

b) iOS-Geräte: Konfigurieren Sie im Bestätigungsdialog folgende Einstellungen:

• Preserve data plan : Wenn für das Gerät ein mobiler Datentarif eingerichtet ist, bleibt dieser nach dem Zurücksetzen auf Werkseinstellungen erhalten.

• Forbid Quick Start : Beim ersten Gerätestart nach dem Zurücksetzen auf

Werkseinstellungen nicht den Schritt „Schnellstart“ im Einrichtungsassistenten anzeigen, mit dem Inhalte von einem anderen iPhone übertragen können.

c) Macs: Legen Sie eine 6-stellige PIN fest, die auf dem Mac eingegeben werden muss, um ihn zu entsperren.

5. Klicken Sie im Bestätigungsdialog auf Yes .

Ein Auftrag zum Zurücksetzen wird erstellt und an das Gerät übertragen.

Hinweis

Folgende Geräte können nicht zurückgesetzt werden:

• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Android-Enterprise-Geräte im Modus „Profilbesitzer“.

• Geräte mit Android Things oder Windows IoT.

• Macs, die Sie ferngesteuert gesperrt haben.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Device properties > Unlock passcode angezeigt, sowie auf der Seite Task details unter Lock

PIN .

13.4.13 Android FRP aktivieren/deaktivieren

Hinweis

Dieser Abschnitt gilt für Geräte, die bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert sind.

Wenn Sie FRP (Factory Reset Protection, d.h. Schutz vor dem Zurücksetzen auf

Werkseinstellungen) für Geräte konfigurieren, die bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert sind, ist es standardmäßig aktiviert. Wenn Sie sicher sind, dass ein Gerät nicht verloren oder gestohlen wurde, können Sie FRP deaktivieren, um die Einrichtungsprozedur zu vereinfachen.

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

2. Klicken Sie auf das Gerät, für das Sie den FRP-Status einstellen wollen.

Sophos Mobile on Premise

3. Klicken Sie auf der Seite Show device auf Actions > Set Factory Reset Protection .

4. Wählen Sie Turn on FRP oder Turn off FRP aus.

Wenn FRP aktiviert ist, muss das Gerät nach dem Zurücksetzen auf Werkseinstellungen mit einem für FRP konfigurierten Google-Konto entsperrt werden.

Details zu FRP finden Sie in

Android Factory Reset Protection (Seite 332).

Wichtig

Wenn Sie FRP für das Gerät aktivieren und es nicht richtig konfiguriert ist, kann das Gerät nach dem Zurücksetzen nicht mehr verwendet werden.

Tipp

Sie können den FRP-Status eines Gerätes auf der Registerkarte Status der Seite Show device

überprüfen.

13.4.14 Telecom Expense Management konfigurieren

Mit Telecom Expense Management (TEM) können Sie den Verbrauch mobiler Daten einzelner

Geräte überwachen. Diese Funktion ist für Android- und iOS-Geräte verfügbar.

Hinweis

Sie können nicht Telecom Expense Management für Android-Enterprise-Geräte im Modus

„Profilbesitzer“ konfigurieren.

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

2. Wählen Sie auf der Seite Devices die Geräte aus, für die Sie Telecom Expense Management konfigurieren wollen.

Hinweis

Wählen Sie nur Geräte mit demselben mobilen Datentarif aus.

3. Klicken Sie auf Actions > Configure telecom expense management .

4. Konfigurieren Sie folgende Einstellungen:

Option

Turn on monitoring

Beschreibung

Aktivieren Sie dies, um die Überwachung des mobilen

Datenverbrauchs für die ausgewählten Geräte zu aktiveren.

Das Datenvolumen Ihres mobilen Datentarifs in MB.

Data volume of plan

Alert threshold

Usage cycle reset date

Ein Datenvolumen-Grenzwert in MB. Wenn das verbrauchte

Datenvolumen bei einem Gerät diesen Wert überschreitet, wird ein Alarm erzeugt.

Wert zwischen 1 und 31, der angibt, an welchem Tag im

Monat das Datenvolumen zurückgesetzt wird.

Sophos Mobile on Premise

Option Beschreibung

Hinweis

Bei Monaten mit weniger Tagen wird das Datenvolumen am letzten Tag des Monats zurückgesetzt.

5. Klicken Sie auf Save , um die Einstellungen auf die ausgewählten Geräte anzuwenden.

Der mobile Datenverbrauch wird von einem Gerät bei jeder Synchronisation mit dem Sophos Mobile

Server übertragen.

Um den aktuellen mobilen Datenverbrauch eines Gerätes festzustellen, öffnen Sie die Seite Show device des Gerätes und klicken Sie anschließend auf Actions > Telecom expense management .

Wichtig

Der angezeigte Datenverbrauch weicht möglicherweise von dem Wert ab, den Ihnen Ihr

Mobilfunkanbieter berechnet. Es wird nur der von installierten Apps verursachte Datenverbrauch berücksichtigt, aber keine Systemaktualisierungen, Aktualisierungen von System-Apps, oder

ähnliches.

Tipp

Verwenden Sie den Bericht Cellular data usage , um den Datenverbrauch aller Geräte

festzustellen, für die Telecom Expense Management aktiviert ist. Siehe Berichte

(Seite 9).

Hinweis

• Der Wert für den Datenverbrauch wird zu folgenden Zeitpunkten zurückgesetzt:

— Regelmäßig jeden Monat am Ende des von Ihnen festgelegten Tages.

— Wenn Sie Telecom Expense Management für das Gerät deaktivieren.

— Wenn das Gerät bei Sophos Mobile deregistriert wird.

• Für iOS wird kein Datenverbrauch ermittelt, wenn die App Sophos Mobile Control nicht läuft, zum Beispiel, wenn der Benutzer die App nach einem Geräteneustart nicht gestartet hat.

13.4.15 iOS aktualisieren

Auf folgenden Geräten können Sie eine iOS-Aktualisierung durchführen:

• Betreute Geräte mit iOS 10.3 oder neuer

• Betreute Apple-DEP-Geräte

Hinweis

Dieser Abschnitt beschreibt, wie Sie die iOS-Aktualisierung für ein einzelnes Gerät durchführen.

Um die iOS-Aktualisierung für eine Gerätegruppe durchzuführen, verwenden Sie ein Auftragspaket mit einem Auftrag Install latest iOS update . Siehe

Verfügbare Auftragstypen (iOS) (Seite 289).

So führen Sie auf einem Gerät eine iOS-Aktualisierung durch:

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

Sophos Mobile on Premise

2. Klicken Sie auf der Seite Devices auf das blaue Dreieck neben dem Gerät und anschließend auf

Show .

3. Klicken Sie auf der Seite Show device auf Actions > Show available updates .

Eine Liste der für das Gerät verfügbaren iOS-Aktualisierungen wird angezeigt. Aktualisierungen mit dem Kennzeichen Critical sind von Apple als kritische Sicherheits-Aktualisierungen eingestuft.

4. Um die letzte verfügbare Aktualisierung zu installieren, klicken Sie auf Install latest available update .

Ein Auftrag für die iOS-Aktualisierung wird erstellt und an das Gerät übertragen.

Tipp

• Um den Aktualisierungsstatus eines einzelnen Gerätes zu prüfen, öffnen Sie die Seite Show device für das Gerät. Neben dem Feld Operating system wird ein Warnsymbol angezeigt, falls auf dem Gerät nicht die neueste verfügbare Version von iOS installiert ist.

• Um den Aktualisierungsstatus aller iOS-Geräte zu prüfen, gibt es im Bericht Devices die

Spalte OsUpdateAvailable .

13.4.16 Für iOS den verwalteten Modus „Verloren“ konfigurieren

Sie können ein verwaltetes iOS-Gerät in den verwalteten Modus „Verloren“ versetzen. Das Gerät kann dann solange nicht mehr verwendet werden, bis der verwaltete Modus „Verloren“ in Sophos

Mobile wieder deaktiviert wird.

Im verwalteten Modus „Verloren“ können mit dem Gerät nur folgende Aktion ausgeführt werden:

• Eine von Ihnen konfigurierte Telefonnummer anrufen.

• Einen Notruf tätigen.

Hinweis

• Der verwaltete Modus „Verloren“ ist eine andere Art von Sperrmodus als der Modus

„Verloren“, den ein Benutzer in iCloud aktivieren kann. Wenn Sie den verwalteten Modus

„Verloren“ in Sophos Mobile aktivieren, kann das Gerät nicht in iCloud entsperrt werden.

• Die Geräteortung funktioniert im verwalteten Modus „Verloren“ zuverlässiger als im normalen

Sperrmodus. Der Gerätestandort wird durch eine iOS-Systemfunktion ermittelt. Es ist nicht erforderlich, dass die App Sophos Mobile Control läuft.

So aktivieren Sie den verwalteten Modus „Verloren“:

1. Klicken Sie in der Menüleiste unter MANAGE auf Devices .

2. Klicken Sie auf der Seite Devices auf das blaue Dreieck neben dem Gerät, das Sie in den verwalteten Modus „Verloren“ versetzen wollen, und anschließend auf Show .

3. Klicken Sie auf der Seite Show device auf Actions > Turn on Managed Lost Mode .

4. Konfigurieren Sie folgende Einstellungen:

Option

Lock screen message

Beschreibung

Text, der auf dem Sperrbildschirm angezeigt wird.

Phone number Eine Telefonnummer, die vom Sperrbildschirm aus angerufen werden kann.

Sophos Mobile on Premise

Option

Footnote

Beschreibung

Ein Fußzeilentext, der am unteren Rand des Sperrbildschirms angezeigt wird.

Wenn Sie keine Fußzeile konfigurieren, wird ein

Standardhinweis zum Kontaktieren eines Administrators angezeigt.

Ein Auftrag zum Aktivieren des verwalteten Modus „Verloren“ wird erstellt und an das Gerät

übertragen. Der verwaltete Modus „Verloren“ wird sofort aktiviert, nachdem das Gerät den Auftrag erhalten hat.

Wenn sich ein Gerät im verwalteten Modus „Verloren“ befindet, können Sie auf der Seite Show device folgende Aktionen ausführen:

• Um das Gerät zu orten, verwenden Sie Actions > Locate .

• Um auf dem Gerät einen Ton abzuspielen, verwenden Sie Actions > Play Lost Mode sound . Dies erfordert iOS 10.3 oder neuer.

• Um den verwalteten Modus „Verloren“ zu deaktivieren, verwenden Sie Actions > Turn off

Managed Lost Mode .

Tipp

Die Geräteeigenschaft IsMDMLostModeEnabled zeigt an, ob der verwaltete Modus „Verloren“ aktiv ist.

13.5 Benutzerdefinierte Geräteeigenschaften

Zusätzlich zu den von einem Gerät gemeldeten Eigenschaften können Sie dem Gerät benutzerdefinierte Eigenschaften hinzufügen.

Wenn Sie eine Eigenschaft mit dem Namen Meine Eigenschaft hinzufügen, können Sie in

Profilen und Richtlinien den Platzhalter %_DEVPROP(Meine Eigenschaft)_% verwenden, um den

Wert der Eigenschaft zu referenzieren. Einzelheiten zur Verwendung von Platzhaltern in Profilen und

Richtlinien finden Sie in

Platzhalter in Profilen und Richtlinien (Seite 104).

Sie können benutzerdefinierte Eigenschaften auf folgende Arten zu einem Gerät hinzufügen:

• Sie fügen benutzerdefinierte Eigenschaften zu einem einzelnen Gerät hinzu. Siehe

Benutzerdefinierte Geräteeigenschaften hinzufügen (Seite 76).

• Sie erstellen Standard-Eigenschaften, die jedem Gerät bei der Erstellung als benutzerdefinierte

Eigenschaften zugewiesen werden. Siehe

Standard-Geräteeigenschaften erstellen (Seite 77).

13.5.1 Benutzerdefinierte Geräteeigenschaften hinzufügen

Zusätzlich zu den von einem Gerät gemeldeten Eigenschaften können Sie dem Gerät benutzerdefinierte Eigenschaften hinzufügen.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf

Bearbeiten .

3. Öffnen Sie auf der Seite Gerät bearbeiten die Registerkarte Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen .

Sophos Mobile on Premise

Wenn die Registerkarte Custom properties nicht vorhanden ist, überprüfen Sie, ob die

Systemeinstellungen Show extended device details aktiviert ist (unter Setup > General >

Personal ).

4. Geben Sie einen Namen und einen Wert für die Eigenschaft ein.

5. Klicken Sie auf Apply .

6. Klicken Sie auf Save .

Die benutzerdefinierte Eigenschaft wird dem Gerät hinzugefügt.

Hinweis

Eine benutzerdefinierte Geräteeigenschaft kann nicht denselben Namen wie eine Standard-

Geräteeigenschaft haben.

13.5.2 Standard-Geräteeigenschaften erstellen

Sie können Standard-Eigenschaften erstellen, die jedem Gerät bei der Erstellung als benutzerdefinierte

Eigenschaften zugewiesen werden.

1. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > General und öffnen Sie anschließend die Registerkarte Default device properties .

2. Klicken Sie auf Add custom property .

3. Geben Sie einen Namen und einen Wert für die Eigenschaft ein.

4. Klicken Sie auf Apply .

5. Klicken Sie auf Save .

Hinweis

Eine benutzerdefinierte Geräteeigenschaft kann nicht denselben Namen wie eine Standard-

Geräteeigenschaft haben.

Hinweis

Falls dieselbe Eigenschaft sowohl für den Kunden als auch für den Superadministrator-Kunden definiert ist, wird der für den Kunden definierte Wert verwendet.

13.6 Zero-Touch-Registrierung

Mit der Android-Zero-Touch-Registrierung können Sie eine Massenregistrierung von Android-

Firmengeräten durchführen. Zero-Touch-fähige Geräte registrieren sich automatisch bei Ihrem

Sophos Mobile Server, wenn der Benutzer sie einschaltet.

Anforderungen

• Sie haben ein Konto für das Google-Portal für die Zero-Touch-Registrierung. Üblicherweise erstellt der Händler dieses Konto für Sie, wenn Sie Ihre ersten Geräte erwerben.

• Sie haben Android Enterprise in Sophos Mobile für das Szenario Managed Google Play Account

eingerichtet. Siehe Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite

323).

Sophos Mobile on Premise

Einrichtungsschritte

Führen Sie folgende Schritte aus, um die Zero-Touch-Registrierung zu verwenden:

1. Aktivieren Sie die Zero-Touch-Registrierung in Sophos Mobile Admin und konfigurieren Sie die

Registrierungsdetails. Siehe

Zero-Touch-Registrierung einrichten (Seite 78).

2. Erstellen Sie im Google-Portal für die Zero-Touch-Registrierung eine Konfiguration für Sophos

Mobile. Siehe Zero-Touch-Konfiguration erstellen (Seite 79).

3. Erwerben Sie Zero-Touch-fähige Android-Geräte von einem Google-Enterprise-Händler.

4. Weisen Sie den Geräten die Zero-Touch-Konfiguration für Sophos Mobile zu. Siehe Zero-Touch-

Geräte bereitstellen (Seite 79).

Zugehörige Informationen

Google-Webseite zu Zero-Touch-Registrierung (externer Link)

Google-Hilfe für die Zero-Touch-Registrierung (externer Link)

13.6.1 Zero-Touch-Registrierung einrichten

Sie richten die Zero-Touch-Registrierung in Sophos Mobile Admin ein, indem Sie die Einstellungen konfigurieren, die auf Zero-Touch-fähige Android-Geräte (kurz „Zero-Touch-Geräte“) angewendet werden, wenn sich diese bei Ihrem Sophos Mobile Server registrieren.

1. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte Zero-touch .

2. Klicken Sie auf Use zero-touch enrollment .

3. Klicken Sie unter Zero-touch configuration settings auf DPC extras , um Einstellungen für das

Gerät zu konfigurieren:

• Language : Die Sprache für die Android-Benutzeroberfläche.

• Time zone : Die auf dem Gerät eingestellte Zeitzone.

• Enable system apps : Standardmäßig werden System-Apps, die ein Start-Icon besitzen, deaktiviert, wenn ein Gerät im Android-Enterprise-Modus „Gerätebesitzer“ eingerichtet wird.

Wenn Sie diese Einstellung auswählen, bleiben alle System-Apps aktiviert.

Basierend auf Ihren Einstellungen erstellt Sophos Mobile einen Konfigurations-Code, den Sie im

Google-Portal für die Zero-Touch-Registrierung eingeben müssen.

4. Konfigurieren Sie unter Enrollment settings die Registrierung von Zero-Touch-Geräten bei

Sophos Mobile:

• Device group : Die Gerätegruppe, der Zero-Touch-Geräte zugewiesen werden.

• Task bundle : Das Auftragspaket, das an das Gerät übertragen wird. Die Liste zeigt

Auftragspakete, die keinen Auftrag vom Typ Enroll enthalten.

5. Klicken Sie auf Save , um die Registrierungs-Einstellungen zu speichern.

Um die Konfiguration der Zero-Touch-Registrierung abzuschließen, erstellen Sie im Google-Portal für die Zero-Touch-Registrierung eine Konfiguration für Sophos Mobile.

Sophos Mobile on Premise

13.6.2 Zero-Touch-Konfiguration erstellen

Eine Zero-Touch-Konfiguration enthält Informationen für Geräte zur Registrierung bei Ihrem Sophos

Mobile Server. Sie erstellen diese Konfiguration im Google-Portal für die Zero-Touch-Registrierung.

Diese Prozedur setzt voraus, dass Sie Google-Zero-Touch-Registrierung in Sophos Mobile Admin eingerichtet haben. Siehe

Zero-Touch-Registrierung einrichten (Seite 78).

1. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte Zero-touch .

2. Klicken Sie neben DPC extras auf Copy , um den Konfigurations-Code in die Zwischenablage zu kopieren.

3. Öffnen Sie das Google-Portal für die Zero-Touch-Registrierung in einem neuen Browserfenster.

4. Erstellen Sie eine neue Konfiguration für Sophos Mobile:

• Wählen Sie für EMM DPC den Eintrag Sophos Mobile Control aus.

• Geben Sie in DPC extras den Konfigurations-Code ein, den Sie in die Zwischenablage kopiert haben.

5. Optional: Wählen Sie die Konfiguration als Standardkonfiguration aus. Sie wird dann automatisch allen neuen Geräten zugewiesen.

Zugehörige Informationen

Google-Portal für die Zero-Touch-Registrierung (externer Link)

Google-Hilfe für die Zero-Touch-Registrierung (externer Link)

13.6.3 Zero-Touch-Geräte bereitstellen

Damit sich ein Zero-Touch-fähiges Gerät (kurz „Zero-Touch-Gerät“) bei Ihrem Sophos Mobile Server registriert, weisen Sie ihm die Konfiguration für Sophos Mobile zu.

1. Überprüfen Sie, dass die Geräte, die Sie bereitstellen wollen, im Google-Portal für die Zero-Touch-

Registrierung vorhanden sind.

Üblicherweise fügt der Händler die Geräte für Sie hinzu.

2. Weisen Sie im Google-Portal für die Zero-Touch-Registrierung den Geräten die Konfiguration für

Sophos Mobile zu.

Sie können die Konfiguration für Sophos Mobile auch als Standardkonfiguration festlegen, damit sie automatisch allen neuen Geräten zugewiesen wird.

3. Verteilen Sie die Geräte an Ihre Benutzer.

Die Benutzer müssen ein Konto in Sophos Mobile haben.

Wenn ein Benutzer das Gerät erstmalig einschaltet, startet der Android-Einrichtungsassistent.

Nachdem sich das Gerät mit dem Internet verbunden hat, registriert es sich bei Sophos Mobile im

Android-Enterprise-Modus „Gerätebesitzer“.

Hinweis

Falls ein Gerät bereits eingerichtet ist, wenn Sie es im Google-Portal für die Zero-Touch-

Registrierung hinzufügen, wird es auf Werkseinstellungen zurückgesetzt.

Sophos Mobile on Premise

13.6.4 Zero-Touch-Registrierung deaktivieren

So deaktivieren Sie die automatische Registrierung von Zero-Touch-fähigen Android-Geräten (kurz

„Zero-Touch-Geräten“) bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte Zero-touch .

2. Klicken Sie auf Revoke zero-touch configuration .

Zero-Touch-Geräte verbinden sich danach weiterhin mit Ihrem Sophos Mobile Server, um sich zu registrieren. Der Server lehnt diese Anfrage jedoch ab.

Um die Verbindung zwischen Sophos Mobile und Android Zero Touch vollständig zu trennen, löschen Sie im Google-Portal für die Zero-Touch-Registrierung die Konfiguration für Sophos Mobile.

13.7 Knox Mobile Enrollment

Mit Samsung Knox Mobile Enrollment (KME) können Sie eine Massenregistrierung von Samsung-

Firmengeräten bei Sophos Mobile durchführen. KME-fähige Geräte registrieren sich automatisch bei

Ihrem Sophos Mobile Server, wenn der Benutzer sie einschaltet.

Anforderungen

• Sie haben ein Samsung-Konto.

• Sie haben ein Konto für das Samsung-Knox-Portal.

• Die zu registrierenden Geräte haben Knox 2.4 oder neuer, je nach Registrierungsszenario, das Sie verwenden wollen. Zum Beispiel ist für die Registrierung im Android-Enterprise-Modus

„Gerätebesitzer“ Knox 2.8 oder neuer erforderlich.

• Wenn Sie die Registrierung im Android-Enterprise-Modus durchführen wollen, müssen Sie in

Sophos Mobile Android Enterprise für das Szenario Managed Google Play Account eingerichtet haben. Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite

323).

Einrichtungsschritte

Führen Sie folgende Schritte aus, um Knox Mobile Enrollment zu verwenden:

1. Aktivieren Sie Knox Mobile Enrollment in Sophos Mobile Admin und konfigurieren Sie die

Registrierungsdetails. Siehe

Knox Mobile Enrollment einrichten (Seite 81).

2. Erstellen Sie in der Samsung-Konsole für Knox Mobile Enrollment ein Profil für Sophos Mobile.

Siehe

KME-Profil erstellen

(Seite 81).

3. Erwerben Sie KME-fähige Geräte.

4. Weisen Sie den Geräten das KME-Profil für Sophos Mobile zu. Siehe KME-Geräte bereitstellen

(Seite 82).

Zugehörige Informationen

Samsung-Webseite zu Knox Mobile Enrollment (externer Link)

Samsung-Benutzerhilfe zu Knox Mobile Enrollment (englisch) (externer Link)

Sophos Mobile on Premise

13.7.1 Knox Mobile Enrollment einrichten

Sie richten Samsung Knox Mobile Enrollment (KME) in Sophos Mobile Admin ein, indem Sie die

Einstellungen konfigurieren, die auf KME-Geräte angewendet werden, wenn sich diese bei Ihrem

Sophos Mobile Server registrieren.

1. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte Samsung KME .

2. Klicken Sie auf Use Knox Mobile Enrollment .

3. Konfigurieren Sie unter Enrollment settings die Registrierung von KME-Geräten bei Sophos

Mobile:

• Device group : Die Gerätegruppe, der KME-Geräte zugewiesen werden.

• Task bundle (Android) : Das Auftragspaket, das an das Gerät übertragen wird, wenn es als

Standard-Android-Gerät registriert wird.

• Task bundle (Android enterprise device owner) : Das Auftragspaket, das an das Gerät

übertragen wird, wenn es im Android-Enterprise-Modus „Gerätebesitzer“ registriert wird.

Die Listen zeigen Auftragspakete, die keinen Auftrag vom Typ Enroll enthalten.

Sie konfigurieren den Registrierungsmodus, wenn Sie in der Samsung-Konsole für Knox

Mobile Enrollment ein MDM-Profil anlegen.

• User authentication : Wenn dies selektiert ist, muss der Benutzer während der Geräte-

Einrichtung seine Anmeldeinformationen für Sophos Mobile eingeben. In Sophos Mobile wird der Benutzer dem Gerät zugewiesen.

Wenn dies deselektiert ist, registriert sich das Gerät bei Sophos Mobile ohne

Benutzerzuweisung.

4. Klicken Sie auf Save , um die Registrierungs-Einstellungen zu speichern.

Um die Konfiguration von Knox Mobile Enrollment abzuschließen, erstellen Sie in der Samsung-

Konsole für Knox Mobile Enrollment ein MDM-Profil für Sophos Mobile.

13.7.2 KME-Profil erstellen

Ein Profil für Knox Mobile Enrollment (KME-Profil) enthält Informationen für Geräte zur Registrierung bei Ihrem Sophos Mobile Server. Sie erstellen dieses Profil in der Samsung-Konsole für Knox Mobile

Enrollment.

Diese Prozedur setzt voraus, dass Sie Samsung Knox Mobile Enrollment in Sophos Mobile Admin eingerichtet haben. Siehe

Knox Mobile Enrollment einrichten

(Seite 81).

1. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte Samsung KME .

2. Öffnen Sie das Samsung-Knox-Portal in einem neuen Browserfenster und navigieren Sie zur Knox-

Mobile-Enrollment-Konsole.

3. Erstellen Sie in der Konsole für Knox Mobile Enrollment ein MDM-Profil für Sophos Mobile.

Wenn Sie sowohl die Android-Standardregistrierung als auch die Android-Enterprise-Registrierung

(Modus „Gerätebesitzer“) verwenden wollen, erstellen Sie zwei Profile und aktivieren Sie für eines der Profile die Gerätebesitzer-Option.

4. Verwenden Sie die in Sophos Mobile Admin unter MDM profile configuration angezeigten Werte, um das Profil zu konfigurieren.

Sophos Mobile on Premise

Klicken Sie in Sophos Mobile Admin neben einem Feld auf Copy , um den Wert in die

Zwischenablage zu kopieren.

Sie können auch noch weitere Profileinstellungen konfigurieren. Siehe hierzu die Samsung-

Benutzerhilfe zu Knox Mobile Enrollment.

5. Speichern Sie das Profil.

Zugehörige Informationen

Samsung-Konsole für Knox Mobile Enrollment (externer Link)

Samsung-Benutzerhilfe zu Knox Mobile Enrollment (englischsprachig) (externer Link)

13.7.3 KME-Geräte bereitstellen

Damit sich ein Knox-Mobile-Enrollment-fähiges Gerät (kurz „KME-Gerät“) bei Ihrem Sophos Mobile

Server registriert, weisen Sie ihm das Profil für Sophos Mobile zu.

1. Weisen Sie in der Knox-Mobile-Enrollment-Konsole den Geräten das Profil für Sophos Mobile zu.

Falls die Geräte nicht in der Knox-Mobile-Enrollment-Konsole angezeigt werden, wenden Sie sich an Ihren Händler.

2. Verteilen Sie die Geräte an Ihre Benutzer.

Wenn Sie in den KME-Registrierungseinstellungen in Sophos Mobile Admin die Option User authentication ausgewählt haben, müssen die Benutzer ein Konto in Sophos Mobile haben.

Wenn ein Benutzer das Gerät erstmalig einschaltet, startet ein Einrichtungsassistent für Knox Mobile

Enrollment. Nachdem sich das Gerät mit dem Internet verbunden hat, registriert es sich bei Sophos

Mobile.

Hinweis

Je nachdem, welchen Registrierungsmodus Sie in der Knox-Mobile-Enrollment-Konsole im Profil für Sophos Mobile konfiguriert haben, registriert sich das Gerät entweder im Android-Enterprise-

Modus „Gerätebesitzer“ oder als normales Android-Gerät.

13.7.4 Knox Mobile Enrollment deaktivieren

So deaktivieren Sie die automatische Registrierung von Knox-Mobile-Enrollment-fähigen Geräten

(kurz „KME-Geräten“) bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte Samsung KME .

2. Klicken Sie auf Revoke KME configuration .

KME-Geräte verbinden sich danach weiterhin mit Ihrem Sophos Mobile Server, um sich zu registrieren. Der Server lehnt diese Anfrage jedoch ab.

Um die Verbindung zwischen Sophos Mobile und Knox Mobile Enrollment vollständig zu trennen, löschen Sie in der Samsung-Konsole für Knox Mobile Enrollment das Profil für Sophos Mobile.

Sophos Mobile on Premise

13.8 Apple DEP

Mit dem Apple-Programm zur Geräteregistrierung (Device Enrollment Program, kurz DEP) können

Sie iPhones, iPads und Macs in größeren Mengen kaufen und in Ihrem Unternehmen bereitstellen.

DEP vereinfacht mit folgenden Funktionen die Bereitstellung von Mobilgeräten:

• Konfigurierbarer Aktivierungsprozess.

• Drahtlose Aktivierung des Betreuungsmodus (Supervision mode).

• Over-The-Air-Konfiguration.

• Automatische Registrierung von iOS-Geräten bei Sophos Mobile während der Geräteaktivierung.

Tipp

Detaillierte Informationen zu DEP finden Sie auf der Apple-Website unter http://www.apple.com/ de/business/programs/ .

Vorbereitungsschritte

Um die Verwaltung von DEP-Geräten mit Sophos Mobile einzurichten, führen Sie einmalig die folgenden Schritte aus:

1. Erstellen Sie im Apple-DEP-Web-Portal einen virtuellen MDM-Server und verknüpfen Sie diesen

mit Sophos Mobile. Siehe Apple DEP einrichten (Seite 84).

2. Erstellen Sie in Sophos Mobile ein oder mehrere DEP-Profile, mit denen verschiedene,

DEP-spezifische Geräteeigenschaften konfiguriert werden. Mit einem DEP-Profil können Sie außerdem den iOS-Einrichtungsassistenten anpassen, der nach dem ersten Einschalten eines

Gerätes startet. Siehe DEP-Profil erstellen (Seite 85).

Bereitstellungsschritte

Der typische Ablauf zur Bereitstellung gekaufter DEP-Geräte beinhaltet die folgenden Schritte:

1. Kaufen Sie die Geräte von Apple oder einem zugelassenen DEP-Händler.

2. Weisen Sie im Apple-DEP-Portal die Geräte dem MDM-Server von Sophos Mobile zu.

Informationen zu diesem und dem folgenden Schritt finden Sie in DEP-Geräte bereitstellen

(Seite

86).

3. Weisen Sie in Sophos Mobile Admin den Geräten ein DEP-Profil zu.

4. Verteilen Sie die Geräte an Ihre Benutzer.

5. Wenn die Benutzer die Geräte erstmalig einschalten, startet der angepasste

Einrichtungsassistent. Während der Einrichtung werden die Geräte bei Sophos Mobile registriert und der Benutzer wird dem Gerät zugewiesen.

6. Bei Bedarf können Sie zusätzliche Auftragspakete auf die Geräte übertragen, um die

Provisionierung zu vervollständigen.

Sophos Mobile on Premise

13.8.1 Apple DEP einrichten

Voraussetzung: Sie haben sich für das Apple-Programm zur Geräteregistrierung (DEP) registriert und ein Administratorkonto für das Apple-DEP-Webportal eingerichtet.

Hinweis

Detaillierte Informationen zur DEP-Registrierung finden Sie auf der Apple-DEP-Website unter http://www.apple.com/de/business/programs/ oder in der Hilfe zu den Apple

Bereitstellungsprogrammen .

Tipp

Wenn Sie sich bereits für das Apple-Programm für Volumenlizenzen (VPP) registriert haben, können Sie dieselbe Apple-ID auch für DEP verwenden.

Um Apple DEP mit Sophos Mobile zu verwenden, müssen Sie im Apple-DEP-Webportal einen virtuellen MDM-Server erstellen und mit dem Sophos Mobile Server verknüpfen. Dies beinhaltet einen Verifizierungsprozess, um eine sichere Verbindung zwischen Sophos Mobile und dem Apple-

DEP-Webservice herzustellen.

So richten Sie einen virtuellen MDM-Server für Sophos Mobile ein:

1. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte Apple DEP .

2. Klicken Sie auf Öffentlichen Schlüssel herunterladen , um den öffentlichen Schlüssel von

Sophos Mobile für Apple DEP herunterzuladen.

Die Datei wird abhängig von den Download-Einstellungen Ihres Webbrowsers auf Ihrem Computer gespeichert.

3. Rufen Sie in einem Browser-Fenster das Apple-DEP-Webportal unter https:// deploy.apple.com

auf.

Sie können hierzu auf den Link Apple-DEP-Webportal in Sophos Mobile klicken.

4. Melden Sie sich am Apple-DEP-Webportal mit der Apple-ID Ihres Unternehmens an.

5. Navigieren Sie im Portal zu Device Enrollment Program > Server verwalten und klicken Sie anschließend auf MDM-Server hinzufügen .

6. Geben Sie einen Namen für den MDM-Server ein, zum Beispiel Sophos Mobile .

7. Laden Sie im nächsten Schritt die Datei mit dem öffentlichen Schlüssel hoch, die Sie zuvor von

Sophos Mobile heruntergeladen haben.

8. Laden Sie im nächsten Schritt das Server-Token herunter.

Anschließend können Sie sich vom DEP-Portal abmelden.

9. Klicken Sie in Sophos Mobile auf der Registerkarte Apple DEP auf Datei hochladen und wählen

Sie das Server-Token aus, das Sie vom Apple-DEP-Portal heruntergeladen haben.

Die Details Ihres virtuellen MDM-Servers werden angezeigt.

10. Klicken Sie auf Speichern , um Ihre Änderungen zu speichern.

Das DEP-Server-Token ist ein Jahr gültig.

Wichtig

Wenn Sie im Apple-DEP-Webportal ein neues Server-Token erstellen, müssen Sie dieselbe

Apple-ID verwenden, die Sie für die Erstausstellung des Tokens verwendet haben.

Sophos Mobile on Premise

13.8.2 Apple DEP zurücksetzen

Setzen Sie die in Sophos Mobile gespeicherten Informationen für Apple DEP zurück, um Ihr

Apple-DEP-Token aus Sophos Mobile zu entfernen, zum Beispiel, wenn Sie ein falsches Token hochgeladen haben.

1. Klicken Sie in der Menüleiste unter SETTINGS auf Setup > System setup und öffnen Sie anschließend die Registerkarte Apple DEP .

2. Klicken Sie auf Reset DEP .

Das Apple-DEP-Token, alle Apple-DEP-Geräte und alle Apple-DEP-Profile werden aus Sophos

Mobile gelöscht.

Um Ihre Apple-DEP-Geräte nicht mehr mit Sophos Mobile zu verwalten, entfernen Sie Apple-DEP-

Webportal Sophos Mobile als MDM-Server.

13.8.3 DEP-Profil erstellen

Bevor Sie DEP-Profile erstellen können, müssen Sie das Apple-Programm zur Geräteregistrierung

(DEP) einrichten. Siehe Apple DEP einrichten (Seite 84).

Ein DEP-Profil wird einem DEP-Gerät zugewiesen und vom Apple-Server während der

Geräteaktivierung ausgewertet. Es enthält folgende Informationen:

• Den MDM-Server (also der Sophos Mobile Server), mit dem das Gerät verwaltet wird.

• Konfigurationseinstellungen für die Registrierung bei Sophos Mobile.

• Eine Liste der Host-Geräte, mit denen das Gerät gekoppelt werden darf.

• Benutzerdefinierte Einstellungen für den Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Bei Bedarf können Sie mehrere DEP-Profile erstellen, um verschiedene Einrichtungs- und

Konfigurations-Einstellungen für Ihre DEP-Geräte zu verwenden.

So erstellen Sie ein DEP-Profil:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend die Registerkarte Apple-DEP-Profile .

2. Klicken Sie auf Hinzufügen .

3. Geben Sie im Dialog Edit DEP profile die erforderlichen Einstellungen ein.

4. Um das Profil allen neuen DEP-Geräten zuzuweisen, denen kein Profil manuell zugewiesen wurde, wählen Sie es in der Liste Standard-DEP-Profil für neue Geräte aus.

Wenn Sie Keine auswählen, müssen Sie neuen DEP-Geräten ein DEP-Profil manuell zuweisen wie in

DEP-Geräte bereitstellen

(Seite 86) beschrieben. Andernfalls werden DEP-Geräte bei der

Aktivierung nicht bei Sophos Mobile registriert.

5. Klicken Sie auf Speichern , um Ihre Änderungen zu speichern.

Zugehörige Referenzinformationen

Einstellungen für DEP-Profile (iOS) (Seite 89)

Einstellungen für DEP-Profile (macOS) (Seite 92)

Sophos Mobile on Premise

13.8.4 DEP-Geräte bereitstellen

Führen Sie diese Prozedur aus, um Ihre Geräte mit Apple DEP zu verbinden und bei Sophos Mobile zu registrieren.

Sie können Geräte verwalten, die Sie entweder bei Apple oder bei einem zugelassenen DEP-

Händler erworben haben. Bevor Sie Geräte mit Apple DEP verbinden können, müssen Sie den

Händler am Apple-DEP-Portal einrichten.

Hinweis

Normalerweise führen Sie diese Prozedur aus, bevor Sie die DEP-Geräte an Ihre Benutzer

übergeben und diese die Geräte aktivieren und verwenden.

Hinweis

Detaillierte Informationen zum Apple-DEP-Portal finden Sie in der Hilfe zu den Apple

Bereitstellungsprogrammen .

So weisen Sie Ihre Geräte Sophos Mobile zu und weisen ihnen ein DEP-Profil zu:

1. Geben Sie in Ihrem Webbrowser die URL https://deploy.apple.com

ein, um das Webportal für die Apple-Bereitstellungsprogramme zu öffnen, und melden Sie sich anschließend mit der

Apple-ID Ihres Unternehmens an.

2. Navigieren Sie im Portal zu Device Enrollment Program > Geräte verwalten .

3. Wählen Sie im Punkt Geräte auswählen nach Ihre neuen Geräte über die Seriennummer oder die

Bestellnummer aus, oder laden Sie eine CSV-Datei mit den Seriennummern hoch.

Hinweis

Falls Sie die Geräte bei einem Händler erworben haben, sind diese innerhalb von 24 Stunden, nachdem der Händler Ihre Bestellung an Apple übermittelt hat, im DEP-Portal verfügbar.

4. Wählen Sie im Punkt Aktion auswählen die Option Server zuweisen aus und wählen Sie anschließend den virtuellen MDM-Server aus, den Sie für Sophos Mobile eingerichtet haben, wie in

Apple DEP einrichten (Seite 84) beschrieben.

5. Klicken Sie auf OK , um die Zuweisung auszuführen.

Anschließend können Sie sich vom DEP-Portal abmelden.

Wenn Sie ein Standard-DEP-Profil eingerichtet haben wie in DEP-Profil erstellen (Seite 85)

beschrieben, können Sie die weiteren Schritte überspringen.

6. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, für den Sie DEP-Geräte verwalten wollen.

7. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple

DEP .

Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-

DEP-Webportal zugewiesen haben.

8. Falls Geräte nicht angezeigt werden, die Sie Sophos Mobile erst vor Kurzem zugewiesen haben, klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren .

Sophos Mobile on Premise

Hinweis

Um die Belastung des Apple-DEP-Servers zu begrenzen, müssen Sie nach jeder

Synchronisierung eine kurze Zeit warten, bevor Sie erneut synchronisieren können.

9. Wählen Sie die neuen Geräte aus und klicken Sie anschließend auf Aktionen > Profil zuweisen .

10. Wählen Sie im Bestätigungsdialog das DEP-Profil aus, das Sie den Geräten zuweisen wollen, und klicken Sie anschließend auf OK .

Wenn die erworbenen Geräte in Ihrem Unternehmen eintreffen, können Sie sie an Ihre Benutzer

übergeben. Es ist keine weitere Konfiguration erforderlich. Wenn die Benutzer die Geräte erstmalig einschalten, werden die iOS-Einrichtung und die Registrierung bei Sophos Mobile so durchgeführt, wie Sie es im zugewiesenen DEP-Profil konfiguriert haben.

Falls Sie im Profil die Option Benutzer zuweisen

ausgewählt haben wie in DEP-Profil erstellen

(Seite 85) beschrieben, werden die Benutzer automatisch ihren Geräten zugewiesen.

13.8.5 DEP-Geräte verwalten

DEP-Geräte werden in Sophos Mobile genauso wie Nicht-DEP-Geräte verwaltet. Siehe

Geräte verwalten (Seite 62).

DEP-Geräten können Sie zusätzlich ein DEP-Profil zuweisen. Das DEP-Profil wird vom Apple-

Server während der Geräteaktivierung ausgewertet. Siehe

Gerät muss sich im Status verwaltet befinden. Siehe VPP-

(Seite 85).

Hinweis

Das in Sophos Mobile angezeigte DEP-Profil ist unter Umständen nicht das Profil, das tatsächlich auf dem Gerät verwendet wird. Wenn Sie nach der Geräteaktivierung die Zuweisung ändern, wird solange das ursprünglich zugewiesene Profil verwendet, bis das Gerät zurückgesetzt und erneut aktiviert wird.

So ändern Sie das DEP-Profil eines Gerätes:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple

DEP .

Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-

DEP-Webportal zugewiesen haben.

2. Klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren , um die DEP-Informationen zu aktualisieren.

3. Wählen Sie die Geräte aus, denen Sie ein anderes DEP-Profil zuweisen wollen.

4. Klicken Sie auf Aktionen und anschließend auf die gewünschte Aktion:

• Profil zuweisen : Wählen Sie das DEP-Profil aus, das den Geräten bei der nächsten

Aktivierung zugewiesen wird.

• Profilzuweisung aufheben : Bei der nächsten Geräte-Aktivierung kein DEP-Profil zuweisen.

Die neue Profilzuweisung wird auf der Seite Apple-DEP-Geräte angezeigt. Die Änderungen werden beim nächsten Zurücksetzen und Aktivieren der Geräte angewendet.

Sophos Mobile on Premise

13.8.6 DEP-Gerät manuell hinzufügen

Sie können ein Gerät manuell für das Apple-Programm zur Geräteregistrierung (DEP) registrieren.

Dies ist zum Beispiel nützlich, wenn Sie das Gerät nicht direkt von Apple oder einem zugelassenen

DEP-Händler erworben haben. Das Gerät muss Android 11 oder neuer verwenden.

Wichtig

Das Gerät wird auf den Werkszustand zurückgesetzt.

1. Verbinden Sie das Gerät per USB mit einem Mac, auf dem Apple Configurator 2.5 oder neuer installiert ist.

2. Gehen Sie in Apple Configurator zu Datei > Neues Profil > WLAN , um ein Netzwerkprofil für Ihre

WLAN-Verbindung zu erstellen.

Das Gerät benötigt dieses Profil, um sich mit dem Server für die Apple-DEP-Registrierung zu verbinden.

3. Gehen Sie zu Einstellungen > Firmen und klicken Sie auf die Schaltfläche Plus , um einen Eintrag für Ihre Organisation zu erstellen.

Verwenden Sie die Apple-ID und das Kennwort Ihres Apple-DEP-Kontos. Wählen Sie auch aus, eine neue Betreuungsidentität zu erstellen.

4. Gehen Sie zu Einstellungen > Server und klicken Sie auf die Schaltfläche Plus , um einen

Servereintrag zu erstellen.

Hinweis

Im Feld Registrierungs-UTR können Sie einen beliebigen Wert eingeben. Apple Configurator verwendet diesen Wert nicht für die Registrierung von DEP-Geräten.

5. Wählen Sie das Gerät aus und klicken Sie anschließend auf Vorbereiten .

6. Wählen Sie Manuelle Konfiguration und folgen Sie den Schritten im Assistenten, um das Gerät vorzubereiten.

• Wählen Sie den Server und das Netzwerkprofil aus, die sie zuvor erstellt haben.

• Überspringen Sie die Konfiguration des iOS-Einrichtungsassistenten. Sie konfigurieren dies im

DEP-Profil von Sophos Mobile.

7. Warten Sie, bis die Vorbereitungsprozedur beendet ist. Schalten Sie das Gerät während dieses

Vorgangs nicht aus.

Nachdem das Gerät registriert wurde, können Sie es im Apple-DEP-Portal über die Seriennummer auswählen.

Bevor Sie das Gerät an einen Benutzer übergeben, registrieren Sie es bei Sophos Mobile wie in

DEP-

Geräte bereitstellen

(Seite 86) beschrieben.

Zugehörige Informationen

Apple Configurator Hilfe - Manuelles Vorbereiten von Geräten (externer Link)

Sophos Mobile on Premise

13.8.7 Einstellungen für DEP-Profile (iOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Description

Device group

Task bundle

Beschreibung

Der Name des DEP-Profils.

Eine optionale Beschreibung des DEP-Profils.

Eine Gerätegruppe, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.

Informationen zu Gerätegruppen finden Sie in

Gerätegruppen

(Seite 97).

Hinweis

Wir empfehlen, zur Vereinfachung der Geräteverwaltung eine eigene Gerätegruppe für DEP-Geräte zu verwenden.

Ein Auftragspaket, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.

Die Liste enthält alle iOS-Auftragspakete, die keinen

Registrierungsauftrag enthalten.

Informationen zu Auftragspaketen finden Sie in

Auftragspakete

(Seite 284).

Enrollment

Einstellung/Feld

Supervise device

User can remove MDM profile

Beschreibung

Das Gerät ist betreut (Supervision mode).

Der Benutzer kann das Sophos Mobile Registrierungsprofil

über die iOS-Benutzeroberfläche entfernen.

Diese Option kann nur für betreute Geräte deaktiviert werden.

Sophos Mobile on Premise

Einstellung/Feld

Install SMC app

User can skip MDM profile assignment

Assign user to device

Beschreibung

Die App Sophos Mobile Control wird auf dem Gerät installiert.

Wenn Sie diese Option aktivieren, müssen Sie außerdem auf der Registerkarte iOS setup die Option

Apple ID deaktivieren. Dies stellt sicher, dass Sophos

Mobile die App aus dem App Store installieren kann.

Hinweis

Alternativ, falls Sie sich für das Apple-Programm für

Volumenlizenzen (VPP) registriert haben, kann die App

Sophos Mobile als VPP-App installiert werden, auch wenn das Gerät nicht mit einer Apple-ID verknüpft ist. Das

Apps für iOS automatisch zuweisen (Seite 313).

Der Benutzer kann den Einrichtungsschritt überspringen, in dem das Sophos Mobile Registrierungsprofil angewendet wird.

Während der Registrierung bei Sophos Mobile wird der

Benutzer nach seinen Anmeldeinformationen für das

Self Service Portal gefragt und anschließend dem Gerät zugewiesen.

Mit dieser Option können Sie eine automatische

Zuweisung des Benutzers zum Gerät vornehmen.

iOS setup

Auf der Registerkarte iOS setup deaktivieren Sie Schritte des Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Hinweis

Diese Einstellungen wirken sich nur auf die iOS-Einrichtung aus. Wenn Sie einen

Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine

Konfiguration Restrictions

. Siehe Konfiguration „Einschränkungen“ (iOS-Geräteprofil)

(Seite

177).

Einstellung/Feld

Restore from backup

Disable “Move Data from Android”

Diagnostics

Location services

Siri

Beschreibung

Das Wiederherstellen von Daten aus einem iCloudoder iTunes-Backup oder von einem Android-Gerät wird

übersprungen.

Die Option zum Übertragen von Daten von einem Android-

Gerät ist nicht verfügbar.

Die Konfiguration „Diagnostics“ wird übersprungen. Es werden keine Diagnose- und Nutzungsdaten an Apple gesendet.

Die Konfiguration von Ortungsdiensten wird übersprungen.

Ortungsdienste sind ausgeschaltet.

Die Konfiguration von Siri wird übersprungen. Siri ist ausgeschaltet.

Einstellung/Feld

Display Zoom

Keyboard layout

Apple ID

Apple Pay

Touch ID

Passcode

Terms and Conditions

Watch migration

Home button feedback

Support information

Einstellung/Feld

Department

Phone number

Sophos Mobile on Premise

Beschreibung

Die Konfiguration „Anzeigezoom“ zum Einstellen einer vergrößerten Anzeige mit größeren Symbolen, Beschriftungen und Schaltflächen wird übersprungen.

Die Konfiguration des Tastaturlayouts wird übersprungen.

Die Konfiguration einer Apple-ID wird übersprungen. Der

Benutzer kann sich nicht mit seiner Apple-ID an Apple-

Diensten anmelden.

Die Konfiguration „Apple Pay“ wird übersprungen. Der

Benutzer kann keine Kreditkarten- oder Guthabenkarten-

Informationen für das Bezahlen mit Apple Pay in Stores oder

Apps hinzufügen.

Die Konfiguration „Touch ID“ wird übersprungen. Der Benutzer kann keinen Fingerabdruck als Passcode-Ersatz einrichten.

Die Erstellung eines Passcodes zum Entsperren des Gerätes wird übersprungen.

Die Anzeige der Seite Nutzungsbedingungen wird

übersprungen.

Das Wiederherstellen von Apple-Watch-Daten aus einem iCloud- oder iTunes-Backup wird übersprungen.

Für iPhone 7 und später: Die Konfiguration des Home-Button-

Feedback, d.h. der Berührungsrückmeldung beim Klicken des virtuellen Home-Buttons, wird übersprungen.

Beschreibung

Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.

Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der

Geräteeinrichtung auf Über Konfiguration klickt.

Die Support-Telefonnummer für Ihr Unternehmen.

Das Feld ist mit der Telefonnummer aus den

Kontaktdetails für technische Unterstützung

(Seite

21).

Hinweis

Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Sophos Mobile on Premise

Einstellung/Feld

Email

Beschreibung

Die Support-E-Mail-Adresse für Ihr Unternehmen.

Das Feld ist mit der E-Mail-Adresse aus den

Kontaktdetails für technische Unterstützung

(Seite

21).

Hinweis

Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

USB pairing

Auf der Registerkarte USB pairing legen Sie Computer fest, mit denen sich das Gerät per USB koppeln darf. Dies kann verwendet werden, um das Gerät mit iTunes zu synchronisieren oder es mit

Apple Configurator zu verwalten.

Einstellung/Feld

Allow USB pairing with all hosts

Beschreibung

Um USB-Verbindungen zu verbieten oder auf bestimmte

Computer zu beschränken, deaktivieren Sie dieses

Kontrollkästchen und laden Sie anschließend für jeden

Computer, für den Sie die USB-Kopplung erlauben wollen, eine

Zertifikatdatei hoch.

Zugehörige Aufgaben

. Siehe Konfiguration „Einschränkungen“ (macOS-Geräterichtlinie)

(Seite 85)

13.8.8 Einstellungen für DEP-Profile (macOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Description

Device group

Beschreibung

Der Name des DEP-Profils.

Eine optionale Beschreibung des DEP-Profils.

Eine Gerätegruppe, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.

Informationen zu Gerätegruppen finden Sie in

Gerätegruppen

(Seite 97).

Hinweis

Wir empfehlen, zur Vereinfachung der Geräteverwaltung eine eigene Gerätegruppe für DEP-Geräte zu verwenden.

Einstellung/Feld

Task bundle

Sophos Mobile on Premise

Beschreibung

Ein Auftragspaket, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.

Die Liste enthält alle iOS-Auftragspakete, die keinen

Registrierungsauftrag enthalten.

Informationen zu Auftragspaketen finden Sie in

Auftragspakete

(Seite 284).

Enrollment

Einstellung/Feld

User can skip MDM profile assignment

Assign user to device

Beschreibung

Der Benutzer kann den Einrichtungsschritt überspringen, in dem das Sophos Mobile Registrierungsprofil angewendet wird.

Während der Registrierung bei Sophos Mobile wird der

Benutzer nach seinen Anmeldeinformationen für das

Self Service Portal gefragt und anschließend dem Gerät zugewiesen.

Mit dieser Option können Sie eine automatische

Zuweisung des Benutzers zum Gerät vornehmen.

macOS setup

Auf der Registerkarte iOS setup deaktivieren Sie Schritte des Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Hinweis

Diese Einstellungen wirken sich nur auf die macOS-Einrichtung aus. Wenn Sie einen

Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine

Konfiguration Restrictions

(Seite 223) und

Konfiguration „Einschränkungen“ (macOS-Benutzerrichtlinie)

(Seite 240).

Einstellung/Feld

Restore from backup

Apple ID iCloud Analytics

Location services

Beschreibung

Das Wiederherstellen von Daten aus einem iCloudoder iTunes-Backup oder von einem Android-Gerät wird

übersprungen.

Die Konfiguration einer Apple-ID wird übersprungen. Der

Benutzer kann sich nicht mit seiner Apple-ID an Apple-

Diensten anmelden.

Die Konfiguration der iCloud-Analyse wird übersprungen.

Es werden keine Diagnose- und Nutzungsdaten des iCloud-

Kontos an Apple gesendet.

Die Konfiguration von Ortungsdiensten wird übersprungen.

Ortungsdienste sind ausgeschaltet.

Sophos Mobile on Premise

Einstellung/Feld

Terms and Conditions

Registration

Diagnostics

FileVault disk encryption

Siri

Support information

Einstellung/Feld

Department

Phone number

Email

Beschreibung

Die Anzeige der Seite Nutzungsbedingungen wird

übersprungen.

Die Erstellung eines Computerkontos wird übersprungen.

Die Konfiguration „Diagnostics“ wird übersprungen. Es werden keine Diagnose- und Nutzungsdaten an Apple gesendet.

Die Konfiguration der FileVault-Festplattenverschlüsselung wird übersprungen. FileVault ist ausgeschaltet.

Die Konfiguration von Siri wird übersprungen. Siri ist ausgeschaltet.

Beschreibung

Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.

Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der

Geräteeinrichtung auf Über Konfiguration klickt.

Die Support-Telefonnummer für Ihr Unternehmen.

Das Feld ist mit der Telefonnummer aus den

Kontaktdetails für technische Unterstützung

(Seite

21).

Hinweis

Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Die Support-E-Mail-Adresse für Ihr Unternehmen.

Das Feld ist mit der E-Mail-Adresse aus den

Kontaktdetails für technische Unterstützung

(Seite

21).

Hinweis

Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Zugehörige Aufgaben

Administratoren erstellen

(Seite 85)

Sophos Mobile on Premise

13.9 Integration von Duo Security

Sie können Sophos Mobile mit der Authentisierungssoftware Duo Security verbinden. Dies ermöglicht Duo Security, Geräte anhand ihres Verwaltungsstatus in Sophos Mobile als vertrauensvoll zu identifizieren.

Duo Security benutzt für Android und iOS unterschiedliche Verfahren, um den Vertrauensstatus eines Gerätes zu bestimmen:

• Für Android-Geräte wird der Vertrauensstatus über die Webservice-Schnittstelle von Sophos

Mobile ermittelt.

• Für iOS-Geräte wird der Vertrauensstatus durch das Vorhandensein eines bestimmten

Zertifikats auf dem Gerät festgelegt.

Hinweis

Weitere Informationen zu vertrauenswürdigen Geräten finden Sie in der Dokumentation zu Duo

Security.

13.9.1 Die Integration von Duo Security für Android-Geräte konfigurieren

Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer Android-Geräte bestimmen kann.

1. Erstellen Sie in Sophos Mobile einen Administrator mit der Rolle Duo API .

2. Geben Sie im Duo Admin Panel den Namen und das Kennwort dieses Administrators ein.

Weitere Informationen hierzu finden Sie in der Dokumentation zu Duo Security.

Um den Vertrauensstatus eines Android-Gerätes zu bestimmen, sendet die Android-App Duo Mobile die Geräte-ID an den Duo-Security-Server. Der Duo-Security-Server ruft dann den Gerätestatus über die Webservice-Schnittstelle von Sophos Mobile ab und klassifiziert das Gerät als vertrauenswürdig.

Zugehörige Konzepte

Benutzerrollen

(Seite 4)

Zugehörige Aufgaben

(Seite 354)

13.9.2 Die Integration von Duo Security für iOS-Geräte konfigurieren

Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer iOS-Geräte bestimmen kann.

1. Navigieren Sie über die Menüleiste zu Setup > System setup > Duo Security und konfigurieren

Sie anschließend die Einstellungen für den SCEP-CA-Server mit den von Duo Security bereitgestellten Werten.

2. Fügen Sie dem iOS-Geräteprofil, welches Sie für Ihre iOS-Geräte verwenden, eine Konfiguration

Duo device certificate hinzu.

Sophos Mobile on Premise

3. Aktualisieren Sie das iOS-Geräteprofil auf den Geräten.

Hierdurch wird ein Duo-Gerätezertifikat auf den Geräten installiert. Die iOS-App Duo Mobile erkennt das Zertifikat und klassifiziert das Gerät als vertrauenswürdig.

Zugehörige Aufgaben

Profile auf Geräten installieren

(Seite 104)

Zugehörige Referenzinformationen

Duo-Gerätezertifikat (iOS-Geräteprofil)

(Seite 209)

Sophos Mobile on Premise

14 Gerätegruppen

Gerätegruppen dienen zur Kategorisierung von Geräten. Da sich Aufgaben auch für Gerätegruppen statt für Einzelgeräte ausführen lassen, können Sie Geräte so effizient verwalten.

Ein Gerät gehört jeweils immer exakt zu einer Gerätegruppe. Sie weisen ein Gerät einer

Gerätegruppe zu, wenn Sie es zu Sophos Mobile hinzufügen.

Tipp

Gruppieren Sie nur Geräte mit demselben Betriebssystem. Gruppen lassen sich dadurch leichter für Installationen und andere betriebssystemspezifische Aufgaben verwenden.

14.1 Gerätegruppen erstellen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen und anschließend auf

Gerätegruppe erstellen .

2. Geben Sie auf der Seite Gerätegruppe bearbeiten einen Namen und eine Beschreibung für die neue Gerätegruppe ein.

3. Wählen Sie unter Compliance policies die Compliance-Richtlinien aus, die auf Firmen- und

Privatgeräte angewendet werden.

4. Klicken Sie auf Speichern .

Hinweis

Die Einstellungen für die Gerätegruppen enthalten die Option iOS-Auto-Registrierung aktivieren . Mit dieser Option können Sie iOS-Geräte mit dem Apple Configurator bereitstellen.

Siehe iOS-Geräte automatisch registrieren

(Seite 56).

Die neue Gerätegruppe wird angelegt und auf der Seite Gerätegruppen angezeigt.

14.2 Gerätegruppen löschen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen .

2. Klicken Sie auf der Seite Gerätegruppen auf das blaue Dreieck neben der zu löschenden

Gerätegruppe, und anschließend auf Löschen .

3. Wählen Sie im Bestätigungsdialog eine der verbleibenden Gerätegruppen aus, der die Geräte der aktuellen Gerätegruppe zugewiesen werden.

Diese Auswahl ist nur verfügbar, wenn der aktuellen Gerätegruppe Geräte zugewiesen sind.

4. Klicken Sie auf Ja , um die Gerätegruppe zu löschen.

Hinweis

Wenn nur eine Gerätegruppe vorhanden ist und dieser Geräte zugewiesen sind, können Sie die

Gerätegruppe nicht löschen.

Sophos Mobile on Premise

15 Profile und Richtlinien

Profile

Profile sind Einstellungen, die Sie festlegen und anschließend auf einem Gerät oder einer

Gerätegruppe installieren.

Für die Installation eines Profils auf einem oder mehreren Geräten erstellt Sophos Mobile einen

Auftrag und führt ihn zu einem festgelegten Zeitpunkt aus. Wenn Sie ein Profil aktualisieren, müssen

Sie es erneut installieren, damit die geänderten Einstellungen auf dem Gerät wirksam werden.

Es gibt folgende Arten von Profilen:

Konfigurationen für Android-Geräteprofile

(Seite 106)

Konfigurationen für Knox-Container-Profile (Seite 169)

Konfigurationen für iOS-Geräteprofile (Seite 175)

Richtlinien

Richtlinien sind Einstellungen, die Sie festlegen und anschließend einem Gerät oder einer

Gerätegruppe zuweisen. Sie können einem Gerät nicht zwei Richtlinien desselben Typs zuweisen.

Wenn Sie einem Gerät eine Richtlinie zuweisen, löst dies eine Synchronisierung aus und die

Einstellungen werden sofort angewendet. Zugewiesene Richtlinien werden jedes Mal aktualisiert, wenn sich ein Gerät mit dem Sophos Mobile Server verbindet. Daher muss eine Richtlinie nicht explizit erneut angewendet werden, wenn Sie diese aktualisieren.

Es gibt folgende Arten von Richtlinien:

Konfigurationen für Android-Enterprise-Geräterichtlinien

(Seite 140)

Konfigurationen für Richtlinien für Android Enterprise Arbeitsprofile (Seite 127)

Konfigurationen für Sophos-Container-Richtlinien (Android) (Seite 154)

Konfigurationen für Mobile-Security-Richtlinien (Android)

(Seite 165)

Konfigurationen für Android-Things-Richtlinien (Seite 175)

Konfigurationen für Sophos-Container-Richtlinien (iOS)

(Seite 209)

Konfigurationen für macOS-Geräterichtlinien

(Seite 221)

Konfigurationen für macOS-Benutzerrichtlinien

(Seite 239)

Konfigurationen für Windows-Mobile-Richtlinien

(Seite 258)

Konfigurationen für Windows-Richtlinien (Seite 269)

Konfigurationen für Android-Things-Richtlinien (Seite 175)

Konfigurationen für Windows-IoT-Richtlinien (Seite 281)

Sophos Mobile on Premise

15.1 Erste Schritte mit Geräterichtlinien

Der Assistent Policies startup hilft Ihnen, grundlegende Geräterichtlinien für alle Plattformen zu erstellen. Sie können die Richtlinien später erweitern.

Hinweis

Je nach Plattform konfigurieren Sie Geräteeinstellungen entweder mit einem Geräteprofil (Android, iOS) oder einer Geräterichtlinie (macOS, Windows, Windows Mobile). Der Einfachheit halber wird in diesem Abschnitt der Ausdruck Richtlinie sowohl für Profile als auch für Richtlinien verwendet.

Zu den Unterschieden zwischen Profilen und Richtlinien siehe

Profile und Richtlinien (Seite 98).

1. Klicken Sie auf dem Dashboard im Widget Aufgaben auf Policies startup wizard .

Tipp

Falls das Widget nicht angezeigt wird, klicken Sie auf Add widget > Getting started .

2. Wählen Sie auf der Seite Platforms die Geräteplattformen aus, für die Sie eine Richtlinie erstellen wollen.

3. Konfigurieren Sie auf der Seite Policies die folgenden Einstellungen.

a) Geben Sie einen Namen für die Richtlinie ein.

Für jede Plattform wird eine Richtlinie mit diesem Namen erstellt.

b) Wählen Sie die von der Richtlinie verwalteten Bereiche aus.

Wenn Sie ein Kontrollkästchen deselektieren, wird die zugehörige Seite im Assistenten

übersprungen. Sie können die übersprungenen (und weitere) Bereiche später konfigurieren.

4. Auf der Seite Passwords konfigurieren Sie Anforderung an das Gerätekennwort.

5. Auf der Seite Restrictions konfigurieren Sie Einschränkungen, die auf die Geräte angewendet werden, zum Beispiel das Abschalten der Kamera oder anderer Gerätefunktionen, die ein

Sicherheitsrisiko darstellen könnten.

Wenn Sie Separate work and personal data on device auswählen, werden Einschränkungen aktiviert, die das Teilen beruflicher Daten mit privaten Apps und privater Daten mit beruflichen Apps verhindern - soweit dies vom Betriebssystem des Gerätes unterstützt wird.

6. Auf der Seite Wi-Fi konfigurieren Sie die Verbindung zu Ihrem Unternehmens-WLAN.

Sie können die Einstellung später ändern, falls Ihr WLAN eine andere Sicherungsart als WPA/

WPA2 PSK verwendet.

7. Auf der Seite Email konfigurieren Sie die Verbindung zu Ihrem Microsoft Exchange E-Mail-Server.

Die Platzhalter %_USERNAME_% und %_EMAILADDRESS_% werden durch den Namen und die E-

Mail-Adresse des dem Gerät zugewiesenen Benutzers ersetzt.

8. Klicken Sie auf Finish .

Für jede von Ihnen ausgewählte Plattform erstellt der Assistent eine Richtlinie.

Um die Richtlinie zu betrachten, klicken Sie in der Menüleiste auf Profiles, policies und anschließend auf die Geräteplattform.

Um die verwalteten Bereiche zu ändern, klicken Sie auf den Namen der Richtlinie und anschließend auf Add configuration .

Sophos Mobile on Premise

15.2 Profil oder Richtlinie erstellen

Profile und Richtlinien bestehen aus einer oder mehrerer Konfigurationen. Indem Sie Konfigurationen hinzufügen, definieren Sie den Aufgabenbereich des Profils bzw. der Richtlinie, d.h. die auf den

Geräten verwalteten Bereiche.

1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Profile, Richtlinien und anschließend auf die Plattform, für die Sie ein Profil oder eine Richtlinie erstellen wollen.

2. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen . Wenn es für eine Plattform mehrere Arten von Profilen oder Richtlinien gibt, öffnet Erstellen ein Menü, aus dem Sie die gewünschte Option auswählen können.

Eine Liste der verfügbaren Arten von Profilen und Richtlinien finden Sie in

Profile und Richtlinien

(Seite 98).

3. Geben Sie einen Namen und eine Beschreibung ein.

4. Für iOS- und macOS-Geräteprofile: Geben Sie den Namen Ihres Unternehmens ein.

5. Sophos-Container-Richtlinien enthalten immer eine Konfiguration Allgemein . Diese wird automatisch hinzugefügt. Klicken Sie auf der Seite Richtlinie bearbeiten auf Allgemein , um die

Konfiguration anzuzeigen und bei Bedarf anzupassen.

6. Richtlinien für Android Enterprise enthalten immer eine Konfiguration Einschränkungen . Diese wird automatisch der Richtlinie hinzugefügt. Klicken Sie auf der Seite Richtlinie bearbeiten auf

Einschränkungen , um die Konfiguration anzuzeigen und bei Bedarf anzupassen.

7. Um weitere Konfiguration zu dem Profil oder der Richtlinie hinzuzufügen, klicken Sie auf

Konfiguration hinzufügen und wählen Sie anschließend die gewünschte Konfiguration aus.

Hinweis

Einige Konfigurationen werden nur für bestimmte Betriebssystemversionen oder

Gerätemerkmale unterstützt. Solche Einschränkungen sind in Sophos Mobile Control durch blaue Label gekennzeichnet.

8. Nehmen Sie auf der Einstellungsseite der Konfiguration die gewünschten Einstellungen vor.

9. Optional: Wiederholen Sie die vorhergehenden Schritte, um weitere Konfigurationen hinzuzufügen.

10. Wenn Sie alle erforderlichen Konfigurationen hinzugefügt haben, klicken Sie auf Speichern .

Das Profil oder die Richtlinie wird erstellt. Informationen, wie Sie das Profil oder die Richtlinie auf

Geräte anwenden, finden Sie in

Profile auf Geräten installieren

(Seite 104) bzw. Richtlinien Geräten zuweisen

(Seite 105).

Tipp

Wenn Sie ein Profil aktualisieren, können Sie die Änderungen einfach auf alle Geräte anwenden, auf denen das Profil installiert ist: Klicken Sie auf der Seite Profiles and policies auf das blaue

Dreieck neben dem Profil und anschließend auf Update devices .

Wenn Sie eine Richtlinie aktualisieren, werden die Änderungen automatisch auf alle Geräte angewendet, denen die Richtlinie zugewiesen ist.

Sophos Mobile on Premise

15.3 Mit Apple Configurator erstellte iOS-

Geräteprofile importieren

Sie können mit dem Apple Configurator erstellte Profile nach Sophos Mobile importieren.

Der Apple Configurator kann vom App Store heruntergeladen werden.

Hinweis

Geräteprofile werden auf dieselbe Weise importiert wie Provisionierungsprofile für selbstentwickelte iOS-Apps. Wenn Sie eine Profildatei hochladen, analysiert Sophos Mobile den

Inhalt und verarbeitet die beiden Profilarten entsprechend.

1. Nachdem Sie ein Profil im Apple Configurator erstellt haben, exportieren Sie es (unverschlüsselt und unsigniert) und speichern Sie es auf Ihrem Computer.

2. Klicken Sie in der Menüleiste unter CONFIGURE auf Profiles, policies > iOS .

3. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen > Profil importieren .

Die Seite Profil bearbeiten wird angezeigt.

4. Geben Sie in den jeweiligen Feldern einen Namen und eine Beschreibung für das neue Profil ein.

5. Klicken Sie auf Datei hochladen und navigieren Sie zu der Datei, die Sie auf Ihrem Computer gespeichert haben. Wählen Sie diese aus und klicken Sie auf Öffnen .

6. Klicken Sie auf Speichern .

Das Profil wird erstellt. Es kann auf Geräten installiert werden. Siehe Profile auf Geräten installieren

(Seite 104).

15.4 Provisionierungsprofile für iOS-Apps importieren

Wenn Sie eigene iOS-Apps entwickeln, erstellen Sie Provisionierungsprofile, um Ihre Apps

über eine IPA-Datei installieren zu können anstatt über den App Store. Sie können diese

Provisionierungsprofile auf den Sophos Mobile Server hochladen, um sie anschließend an Ihre

Geräte zu verteilen.

Details zu Provisionierungsprofilen finden Sie in der iOS Developer Library.

Hinweis

Sie importieren Provisionierungsprofile auf dieselbe Weise wie mit dem Apple Configurator erstellte Geräteprofile. Wenn Sie eine Profildatei hochladen, analysiert Sophos Mobile den Inhalt und verarbeitet die beiden Profilarten entsprechend.

1. Nachdem Sie in Ihrer iOS-Entwicklungsumgebung ein Provisionierungsprofil erstellt haben, speichern Sie dieses auf Ihrem Computer.

2. Klicken Sie in der Menüleiste unter CONFIGURE auf Profiles, policies > iOS .

3. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen > Profil importieren .

Die Seite Profil bearbeiten wird angezeigt.

4. Geben Sie in den jeweiligen Feldern einen Namen und eine Beschreibung für das neue Profil ein.

Sophos Mobile on Premise

5. Klicken Sie auf Datei hochladen und navigieren Sie zu der Datei, die Sie auf Ihrem Computer gespeichert haben. Wählen Sie diese aus und klicken Sie auf Öffnen .

6. Klicken Sie auf Speichern .

Das Profil wird erstellt. Es kann auf Geräten installiert werden. Siehe Profile auf Geräten installieren

(Seite 104).

15.5 Über macOS-Richtlinien

Für Macs gibt es zwei Arten von Richtlinien:

• Device policy : Wenn Sie einem Mac eine Geräterichtlinie zuweisen, gelten die Einstellungen für alle Benutzer, die sich an dem Mac anmelden - unabhängig davon, ob diese Benutzer von Sophos

Mobile verwaltet werden oder nicht.

• User policy : Wenn Sie einem Mac eine Benutzerrichtlinie zuweisen, gelten die Einstellungen für alle verwalteten Benutzer, die sich an dem Mac anmelden.

Verwaltete Benutzer sind:

• Der lokale Benutzer, der den Mac bei Sophos Mobile registriert hat.

• Alle Netzwerk-Benutzer, die Sophos Mobile bekannt sind. Dies sind die Benutzer des externen

LDAP-Verzeichnisses, welches Sie für das Self Service Portal konfiguriert haben.

Über Geräte- und Benutzerrichtlinien

• Zusätzlich zu der Registrierungsrichtlinie (die eine Geräterichtlinie ist) können Sie einem Mac eine

Geräterichtlinie und eine Benutzerrichtlinie zuweisen.

• Wenn es konkurrierende Einstellungen in der Geräte- und der Benutzerrichtlinie gibt, wird die restriktivere Einstellung angewendet.

• Auf dem Mac werden die zugewiesenen Richtlinien unter Systemeinstellungen > Profile angezeigt.

• Wenn Sie eine Geräterichtlinie aktualisieren, werden die Änderungen bei der nächsten

Synchronisierung übernommen.

• Wenn Sie eine Benutzerrichtlinie aktualisieren, werden die Änderungen übernommen, wenn sich der Benutzer das nächste Mal am Mac anmeldet.

• Benutzer können zwar die Benutzerrichtlinie vom Mac entfernen. Diese wird aber automatisch erneut zugewiesen, wenn sich der Benutzer das nächste Mal anmeldet.

• Benutzer können nicht die Geräterichtlinie entfernen.

• Wenn ein Benutzer die Registrierungsrichtlinie entfernt, wird der Mac bei Sophos Mobile deregistriert. Hierfür sind Administratorrechte erforderlich.

Zugehörige Konzepte

Konfigurationen für macOS-Geräterichtlinien (Seite 221)

Konfigurationen für macOS-Benutzerrichtlinien (Seite 239)

Sophos Mobile on Premise

15.6 Komplexitätsregeln für Windows-Kennwörter

Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von

Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden können. Es gelten unterschiedlicher Regeln für lokale und für Microsoft-Konten.

Lokale Konten

• Kennwort darf nicht den Anmeldenamen oder mehr als zwei aufeinanderfolgende Zeichen des

Benutzernamens enthalten.

• Kennwort muss sechs oder mehr Zeichen lang sein.

• Kennwort muss Zeichen aus drei der folgenden vier Kategorien enthalten:

— Großbuchstaben A-Z (Lateinisches Alphabet)

— Kleinbuchstaben a-z (Lateinisches Alphabet)

— Ziffern 0-9

— Sonderzeichen (!, $, #, %, etc.)

Microsoft-Konten

• Kennwort muss acht oder mehr Zeichen lang sein.

• Kennwort muss Zeichen aus zwei der folgenden vier Kategorien enthalten:

— Großbuchstaben A-Z (Lateinisches Alphabet)

— Kleinbuchstaben a-z (Lateinisches Alphabet)

— Ziffern 0-9

— Sonderzeichen (!, $, #, %, etc.)

15.7 Unterstützung von Samsung Knox

Sie können Ihre Samsung-Knox-Geräte mit Sophos Mobile verwalten.

Um die Unterstützung für Samsung Knox zu aktivieren, müssen Sie in Sophos Mobile einen

Lizenzschlüssel vom Typ Samsung Knox Workspace registrieren. Siehe Samsung-Knox-Lizenz registrieren (Seite 40).

Informationen zur Konfiguration des Knox-Containers auf Samsung-Geräten finden Sie in

Konfigurationen für Knox-Container-Profile

(Seite 169).

Informationen zur Installation von Apps in einen Samsung-Knox-Container finden Sie in

App hinzufügen (Seite 296).

Zur Verwaltung Ihrer Samsung-Knox-Geräte können Sie Auftragspakete für die folgenden Aktionen erstellen:

• Knox-Container: sperren

• Knox-Container: entsperren

Sophos Mobile on Premise

• Knox-Container: Kennwort zurücksetzen

• Knox-Container: entfernen (entfernt den Container und alle zugehörigen Einstellungen vom

Gerät)

Informationen zum Erstellen eines Auftragspakets für ein Samsung-Knox-Gerät finden Sie in

Auftragspakete erstellen

(Seite 284).

15.8 Platzhalter in Profilen und Richtlinien

Profile und Richtlinien können Platzhalter enthalten, die zum Zeitpunkt der Auftragsausführung durch die eigentlichen Daten ersetzt werden. Sie können folgende Platzhalter verwenden:

• Platzhalter für Benutzerinformationen:

— %_EMAILADDRESS_%

— %_USERNAME_%

• Platzhalter für Geräteeigenschaften:

— %_DEVPROP(Eigenschaftsname)_%

Eigenschaftsname ist entweder eine Standardeigenschaft oder eine benutzerdefinierte

Eigenschaft des Gerätes. Siehe

Benutzerdefinierte Geräteeigenschaften (Seite 76).

• Platzhalter für Kundeneigenschaften:

— %_CUSTPROP(Eigenschaftsname)_%

Siehe

Kundeneigenschaften erstellen (Seite 21).

Bei macOS werden Benutzerinformationen folgendermaßen ersetzt:

• Für das lokale Mac-Konto werden die Informationen des Benutzers verwendet, der dem Gerät in

Sophos Mobile zugewiesen ist.

• Für Netzwerkkonten werden die Informationen des LDAP-Benutzerkontos verwendet.

15.9 Profile auf Geräten installieren

1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf eine Geräteplattform, die Profile unterstützt:

• Android

• iOS

Die Seite Profile und Richtlinien für die ausgewählte Plattform wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem Profil, das installiert werden soll, und danach auf

Installieren .

Die Seite Geräte auswählen wird angezeigt.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Wählen Sie einzelne Geräte aus, auf denen Sie die App installieren wollen.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Weiter .

Die Seite Ausführungszeit wählen wird angezeigt.

Sophos Mobile on Premise

5. Wählen Sie unter Datum die Option Sofort oder geben Sie ein Datum und eine Uhrzeit für die

Ausführung des Auftrags an.

6. Klicken Sie auf Fertigstellen .

Die Seite Auftragsstatus wird angezeigt.

Das Profil wird zum angegebenen Zeitpunkt auf den ausgewählten Geräten installiert.

Tipp

Sie können ein Profil auch folgendermaßen installieren:

• Um ein Profil auf allen Geräten zu aktualisieren, auf denen es installiert ist: Klicken Sie auf der

Seite Profiles and policies auf das blaue Dreieck neben dem Profil und anschließend auf

Update devices .

• Um ein Profil auf einem einzelnen Gerät zu installieren: Öffnen Sie auf der Seite Show device des Gerätes die Registerkarte Profiles und klicken Sie auf Install profile .

• Um ein Profil auf mehreren Geräten zu installieren: Wählen Sie auf der Seite Devices die gewünschten Geräte aus und klicken Sie anschließend auf Actions > Install profile .

• Um ein Profil auf einem oder mehreren Geräten als Teil eines Auftragspakets zu installieren:

Fügen Sie dem Auftragspaket einen Auftrag Install profile hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

15.10 Richtlinien Geräten zuweisen

1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf eine Geräteplattform, die Richtlinien unterstützt:

• Android

• Android Things

• iOS

• macOS

• Windows Mobile

• Windows

• Windows IoT

Die Seite Richtlinien für die ausgewählte Plattform wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben der Richtlinie, die zugewiesen werden soll, und anschließend auf Zuweisen .

Die Seite Geräte auswählen wird angezeigt.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Wählen Sie einzelne Geräte aus, denen die Richtlinie zugewiesen werden soll.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie eine oder mehrere Gerätegruppen für die Zuweisung der Richtlinie aus.

4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Fertigstellen .

Die Richtlinie wird den ausgewählten Geräten zugewiesen und ein Synchronisierungsvorgang wird ausgelöst.

Sophos Mobile on Premise

Hinweis

Richtlinien können nicht von einem Gerät entfernt werden. Um eine Richtlinie zu deaktivieren, müssen Sie dem Gerät eine andere Richtlinie zuweisen.

Tipp

Sie können eine Richtlinie auch folgendermaßen zuweisen:

• Um eine Richtlinie einem einzelnen Gerät zuzuweisen: Öffnen Sie auf der Seite Show device des Gerätes die Registerkarte Policies und klicken Sie auf Assign policy .

• Um eine Richtlinie mehreren Geräten zuzuweisen: Wählen Sie auf der Seite Devices die gewünschten Geräte aus und klicken Sie anschließend auf Actions > Install profile .

• Um eine Richtlinie einem oder mehreren Geräten als Teil eines Auftragspakets zuzuweisen:

Fügen Sie dem Auftragspaket einen Auftrag Install profile hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

106

15.11 Profile deinstallieren

Sie können ein Profil auf eine der beiden folgenden Weisen von einem Gerät deinstallieren:

• Um ein Profil von einem einzelnen Gerät zu deinstallieren: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Profile . Klicken Sie auf das blaue Dreieck neben dem

Profil, das Sie entfernen wollen, und anschließend auf Uninstall .

• Um ein Profil von allen Geräten zu deinstallieren, auf denen es installiert ist: Klicken Sie auf der

Seite Profile und Richtlinien einer Plattform auf das blaue Dreieck neben dem Profil, das Sie entfernen wollen, und anschließend auf Uninstall .

• Um ein Profil von ausgewählten Geräten zu deinstallieren: Erstellen Sie ein Auftragspaket mit einem Auftrag Uninstall Profile und übertragen Sie dieses an die gewünschten Geräte oder

Gerätegruppen.

15.12 Profile und Richtlinien herunterladen

Sie können Profile und Richtlinien, die Sie in Sophos Mobile Admin konfiguriert haben, herunterladen. Dies ist zum Beispiel nützlich, wenn Sie die definierten Einstellungen an den Sophos

Support weitergeben möchten.

1. Gehen Sie in der Menüleiste zu Profile, Richtlinien und klicken Sie auf eine Geräteplattform.

Die Seite Profile und Richtlinien für die ausgewählte Plattform wird angezeigt.

2. Klicken Sie auf den Namen des gewünschten Profils bzw. der gewünschten Richtlinie.

Die Seite Profil anzeigen bzw. die Seite Richtlinie anzeigen wird angezeigt.

3. Klicken Sie auf Herunterladen .

Das Profil bzw. die Richtlinie wird auf Ihrem lokalen Computer gespeichert.

15.13 Konfigurationen für Android-Geräteprofile

Mit einem Android-Geräteprofil konfigurieren Sie verschiedene Bereiche von Android-Geräten, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Sophos Mobile on Premise

Informationen zum Erstellen eines Geräteprofils finden Sie in

Profil oder Richtlinie erstellen (Seite

100).

15.13.1 Konfiguration „Kennwortrichtlinien“ (Android-

Geräteprofil)

Mit der Konfiguration Password policies definieren Sie Anforderungen an das Kennwort für die

Displaysperre.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Kennworttyp

Wählen Sie in der Liste Password type die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Pattern, PIN or password

Simple password

PIN or password

Alphanumeric password

Complex password

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Sophos Mobile on Premise

Wenn Sie Simple password , PIN or password , Alphanumeric password oder Complex password auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld Beschreibung

Minimale Länge des Kennworts Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Maximum idle time before password prompt Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Number of failed attempts until device wipe

Password history

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Complex password auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimum number of letters

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimum number of non-alphabetic characters

Minimum number of digits

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Einstellung/Feld

Minimale Anzahl von Sonderzeichen

Sophos Mobile on Premise

Beschreibung

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Biometric authentication

Einstellung/Feld

Allow fingerprint authentication

Allow iris authentication

Beschreibung

Falls vom Gerät unterstützt, kann der Benutzer das Gerät mittels Fingerabdruck-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer das

Gerät mittels Iris-Authentisierung entsperren.

15.13.2 Konfiguration „Einschränkungen“ (Android-Geräteprofil)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Security

Einstellung/Feld

Force encryption

Force SD card encryption

Allow fast encryption

Allow factory reset

Allow "Developer options"

Allow safe mode

Beschreibung

Benutzer müssen ihre Geräte verschlüsseln.

Nachdem das Profil auf einem Gerät installiert wurde, wird der Benutzer aufgefordert, die SD-Karte zu verschlüsseln.

Hinweis

Bei manchen Geräten kann der Benutzer den

Verschlüsselungsvorgang abbrechen. In diesem

Fall wird er beim nächsten Einbinden der SD-Karte erneut aufgefordert.

Benutzer können in den Geräte-Einstellungen die

Optionen zur Schnellverschlüsselung ändern.

Benutzer können das Gerät auf Werkseinstellungen zurücksetzen.

Benutzer können die Entwickleroptionen ändern.

Benutzer können das Gerät im Safe-Modus starten.

Sophos Mobile on Premise

Einstellung/Feld

Allow USB debugging

Allow firmware recovery

Allow backup

Allow settings changes

Allow clipboard

Enable shared clipboard

Allow screen capture

Allow mock GPS locations

Allow over-the-air firmware updates

Allow audio recording

Allow video recording

Beschreibung

Benutzer können USB-Debugging aktivieren.

Hinweis

Für Sony-Geräte mit Enterprise API Version 9 oder höher gilt: Wenn das Kontrollkästchen USB-

Debuggen erlauben deaktiviert ist, sind keine

Entwickleroptionen verfügbar.

Alle Arten von Firmware-Updates (wie Over-The-Air,

Download etc.) sind erlaubt.

Benutzer können Systemsicherungen erstellen.

Wenn das Kontrollkästchen deaktiviert ist, ist Google

Backup deaktiviert. Andere Backup-Methoden (zum

Beispiel Backups durch Sophos Mobile) sind weiterhin verfügbar.

Benutzer können Geräte-Einstellungen ändern.

Hinweis

Sie müssen dies für Samsung-Geräte aktivieren, auf denen Sie einen Knox-Container konfigurieren wollen.

Das Kopieren von Inhalten in die Zwischenablage ist nicht eingeschränkt.

Benutzer können Inhalte aus einer App kopieren und in eine andere App einfügen.

Wenn das Kontrollkästchen deaktiviert ist, verwendet jede App eine eigene Zwischenablage.

Diese Einstellung ist nur verfügbar, wenn Sie

Zwischenablage erlauben aktivieren.

Benutzer können Screenshots machen.

Benutzer können in den Android-Entwickleroptionen eine Pseudo-Standort-App auswählen.

Firmware-Aktualisierungen „Over-the-Air“ sind erlaubt.

Benutzer können Tonaufnahmen machen.

Benutzer können Videos aufnehmen.

Wenn das Kontrollkästchen deaktiviert ist, sind

Fotoaufnahmen und das Abspielen von Videos weiterhin erlaubt.

Einstellung/Feld

Allow Activation Lock

Allow S Beam

Allow S Voice

Allow "Share via"

Sophos Mobile on Premise

Beschreibung

Benutzer können in den Geräte-Einstellungen die

Optionen zur Aktivierungssperre ändern.

Benutzer können die Samsung-App „S Beam“ starten.

Benutzer können die Samsung-App „S Voice“ starten.

Die Funktion Teilen über ist verfügbar.

Accounts

Einstellung/Feld

Allow multiple user accounts

Allow adding email accounts

Allow removal of the Google account

Allow auto-sync for Google accounts

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann auf den Geräten nur ein einzelnes Benutzerkonto eingerichtet werden. Benutzer oder andere Apps können keine weiteren Benutzerkonten erstellen.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine E-Mail-Konten hinzufügen.

Dies betrifft nicht das Erstellen von Konten über ein

Geräteprofil.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht das Google-Konto von ihren Geräten entfernen.

Wenn das Kontrollkästchen deaktiviert ist, werden

Google-Konten nicht automatisch synchronisiert.

Benutzer können aber weiterhin eine manuelle

Synchronisierung durchführen, zum Beispiel über die

App Gmail.

Network and communication

Einstellung/Feld

Allow airplane mode

Allow sync while roaming

Allow emergency calls only

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Flugmodus aktivieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Synchronisierung bei Mobilfunk-Roaming deaktiviert.

Es sind nur Notrufe möglich. Sonstige Anrufe werden gesperrt.

Sophos Mobile on Premise

Einstellung/Feld

Force manual sync during roaming

Force mobile data connection

Allow SMS

Allow mobile data connection while roaming

Allow voice calls while roaming

Allow user mobile data limit

Allow VPN

Allow Wi-Fi Direct

Allow Android Beam

Allow Miracast policy

Allow Bluetooth

Allow Advanced Audio Distribution

Profile (A2DP)

Allow Audio/Video Remote Control

Profile (AVRCP)

Allow Hands-Free Profile (HFP)

Allow Headset Profile (HSP)

Allow Phone Book Access Profile

(PBAP)

Allow Serial Port Profile (SPP)

Beschreibung

Bei Roaming ist die automatische

Datensynchronisierung deaktiviert. Dies gilt für alle eingerichteten Konten, wie zum Beispiel Google oder

Exchange.

Benutzer können mobile Datenverbindungen nicht deaktivieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine SMS senden.

Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine mobilen Datenverbindungen möglich.

Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine Sprachanrufe möglich.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer kein Limit für mobile Daten einstellen.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine VPN-Verbindungen verwenden.

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über „Wi-Fi Direct“ möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über „Android Beam“ möglich. Dies betrifft auch die Samsung-App „S Beam“.

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über Miracast möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist Bluetooth deaktiviert.

Um einzelne Bluetooth-Profile zu erlauben, aktivieren

Sie Allow Bluetooth und wählen Sie anschließend die

Profile aus, die Sie erlauben wollen.

Wenn Allow Bluetooth deaktiviert ist, haben die

Einstellungen keine Wirkung, d.h. alle Profile sind verboten.

Einstellung/Feld

Allow NFC

Allow Wi-Fi

Hardware

Einstellung/Feld

Allow camera

Allow camera on lock screen

Sophos Mobile on Premise

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist NFC

(Near-Field Communication) deaktiviert.

Wenn das Kontrollkästchen deaktiviert ist, sind keine

WLAN-Verbindungen möglich.

Tethering

Einstellung/Feld

Allow tethering

Allow Wi-Fi tethering

Allow USB tethering

Allow Bluetooth tethering

Allow configuring Wi-Fi tethering

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist kein

Tethering möglich. Dies beinhaltet Tethering über

WLAN, USB und Bluetooth.

Hinweis

Wenn das Kontrollkästchen deaktiviert ist, haben die Einstellungen WLAN-Tethering erlauben ,

USB-Tethering erlauben und Bluetooth-

Tethering erlauben keine Wirkung.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

WLAN-Tethering (WLAN-Hotspot) möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

USB-Tethering möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

Bluetooth-Tethering möglich.

Der Benutzer kann die Einstellungen des WLAN-

Hotspots konfigurieren.

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera bei aktiver Displaysperre nicht verfügbar.

Um bei aktiviertem Sperrbildschirm die Kamera zu erlauben, müssen Sie zusätzlich die Option Allow camera auswählen.

Sophos Mobile on Premise

Einstellung/Feld

Force GPS for location queries

Allow SD card

Allow moving apps to the SD card

Allow writing to unencrypted SD card

Allow microphone

Allow USB

Allow USB media player

Allow power saving mode

Allow USB host storage

Beschreibung

Für Standortabfragen werden GPS-Informationen verwendet.

Wenn das Kontrollkästchen deaktiviert ist, können in den Geräten keine SD-Karten verwendet werden.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps vom internen Speicher auf die

SD-Karte verschieben.

Wenn das Kontrollkästchen deaktiviert ist, kann nicht auf eine unverschlüsselte SD-Karte geschrieben werden.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Mikrofon nicht verfügbar.

USB-Speichermodus und USB-Mediendaten-Modus

(MTP) sind auf den Geräten verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist das

MTPO (Media Transfer Protocol) nicht verfügbar.

Da Android MTP für die Datenübertragung per USB verwendet, ist auch keine Datenübertragungen per

USB möglich.

Wenn das Kontrollkästchen deaktiviert ist, wechselt das Gerät nicht in den Stromsparmodus.

Alle externen Speichermedien, die der Benutzer anschließt, werden gemountet. Dies beinhaltet portable

USB-Speichermedien, externe Festplatten und SD-

Kartenleser.

Wenn das Kontrollkästchen deaktiviert ist, werden externe Speichermedien nicht gemountet.

Applications

Einstellung/Feld

Allow app install

Allow app uninstall

Allow unsigned app install

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps installieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nur signierte APK-Dateien installieren.

Einstellung/Feld

Allow Play Store

Allow apps from unknown sources

Allow native browser

Allow app crash reports

Allow wallpaper change

Show caller info

Allow autofill in browser

Allow cookies in browser

Allow JavaScript in browser

Allow pop-ups in browser

Sophos Mobile on Premise

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die App

Google Play Store nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps nur über die App Google Play Store installieren.

Wenn das Kontrollkästchen deaktiviert ist, ist der native Browser nicht verfügbar. Browser-Apps von

Drittanbietern sind nicht betroffen.

Wenn das Kontrollkästchen deaktiviert ist, können

Apps keine Absturzberichte senden.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Display-Hintergrund ändern.

Wenn das Kontrollkästchen deaktiviert ist, werden bei eingehenden Anrufen keine Anruferinformationen angezeigt. Alle Anrufer werden als „unbekannt“ angezeigt.

Der Benutzer kann für den nativen Browser die Autovervollständigung aktivieren. Wenn die

Autovervollständigung aktiviert ist, können Webseiten

Vorschläge für das Ausfüllen von Formularen machen.

Wenn das Kontrollkästchen deaktiviert ist, ist die Autovervollständigung deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser Cookies aktivieren. Wenn Cookies aktiviert sind, können

Webseiten Cookies auf dem Gerät speichern.

Wenn das Kontrollkästchen deaktiviert ist, sind

Cookies deaktiviert und die entsprechende Browser-

Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser JavaScript aktivieren. Wenn JavaScript aktiviert ist, können

Webseiten JavaScript-Code auf dem Gerät ausführen.

Wenn das Kontrollkästchen deaktiviert ist, ist

JavaScript deaktiviert und die entsprechende Browser-

Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser Popups aktivieren. Wenn Popups aktiviert sind, können

Webseiten neue Browserfenster öffnen.

Wenn das Kontrollkästchen deaktiviert ist, sind Popups deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.

Sophos Mobile on Premise

Einstellung/Feld Beschreibung

Allow changing date and time settings Der Benutzer kann Datums- und Zeiteinstellungen

ändern.

Erlaubte Apps / Unzulässige Apps Sie können entweder Erlaubte Apps oder

Unzulässige Apps konfigurieren. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Diese Einschränkungen betreffen nicht die App-

Installationen, die vom Sophos Mobile Server initiiert werden.

Informationen zur Erstellung von App-Gruppen finden

Sie in

15.13.3 Konfiguration „Knox-Premium-

Einschränkungen“ (Android-Geräteprofil)

Mit der Konfiguration Knox-Premium-Einschränkungen definieren Sie Einschränkungen für

Samsung-Knox-Geräte. Diese Einschränkungen gelten für das Gerät, nicht für den Knox-Container.

Hinweis

Für die Durchsetzung der Knox-Premium-Einschränkungen müssen Sie in Sophos Mobile eine

Lizenz vom Typ Samsung Knox Workspace registrieren und das Gerät muss Knox Premium SDK

2.x unterstützen.

Option

Allow firmware auto update options

Enable ODE Trusted Boot verification

Prevent installation of another administrator app

Beschreibung

Das Gerät prüft automatisch, ob Firmware-

Updates verfügbar sind. Benutzer können dies nicht in den Geräteeinstellungen ändern.

Beim Starten des Gerätes wird die

Datenpartition nur entschlüsselt, wenn

Binary und Kernel offizielle Versionen des

Geräteherstellers sind, d.h., wenn das Gerät nicht gerootet ist.

Wenn das Kontrollkästchen deaktiviert ist, wird beim Starten die Datenpartition immer entschlüsselt.

Es können keine Apps installiert werden, die

Geräteadministrator-Rechte benötigen. Dies betrifft nicht die Apps, die von Sophos Mobile installiert werden.

Sophos Mobile on Premise

Option

Prevent activation of another administration app

Allow Common Criteria mode

Beschreibung

Geräteadministrator-Rechte für Apps können nicht aktiviert werden.

Auf den Geräten wird der Common-Criteria-

Modus (CC Mode) aktiviert. Dies stellt sicher, dass die Geräte die im Mobile Device

Fundamentals Protection Profile (MDFPP) festgelegten Sicherheitseinstellungen erfüllen.

Hinweis: Der CC Mode wird nur angewendet, wenn zusätzlich folgende Bedingungen erfüllt sind:

• Die Geräteverschlüsselung ist aktiviert.

• Die Schnellverschlüsselung ist deaktiviert.

• Die Verschlüsselung des externen Speichers ist aktiviert.

• Die Anzahl fehlerhafter Anmeldeversuche, nach der das Gerät zurückgesetzt wird, ist festgelegt.

• Der Zertifikat-Widerruf ist aktiviert.

• Kennworthistorie (d.h., Verwendung desselben

Kennworts nach Ablauf der Gültigkeit) ist deaktiviert.

15.13.4 Konfiguration „Exchange-Konto“ (Android-Geräteprofil)

Mit der Konfiguration Exchange account richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Sophos Mobile on Premise

Einstellung/Feld

E-Mail-Adresse

Absender

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Default account

Allow all certificates

Client certificate

Allow forwarding emails

Allow use of HTML format

Maximum attachment size in MB

Synchronize content types

Beschreibung

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Das Konto wird als Standard-E-Mail-Konto verwendet.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

E-Mail-Weiterleitung erlauben.

E-Mails im HTML-Format sind zugelassen.

Die maximale Größe einer einzelnen E-Mail-

Nachricht ( 1 , 3 , 5 , 10 , Unbegrenzt ).

Die zu synchronisierenden Inhalte.

Sophos Mobile on Premise

Hinweis

Bei Sony-Geräten mit Enterprise API Version 6.x oder niedriger ist es wichtig, dass die

Benutzerinformation des Exchange-Kontos mit dem Benutzer übereinstimmt, der dem Gerät zugewiesen ist.

Auf diesen Geräten ist die App Sophos Mobile Control nicht in der Lage, die ActiveSync-ID an den Sophos Mobile Server zu schicken. Wenn das Gerät zum ersten Mal eine Anfrage an den

EAS-Proxy sendet, kennt Sophos Mobile nicht die vom E-Mail-Client übermittelte ActiveSync-ID.

Um die Benutzerdaten zu verifizieren, sucht der EAS-Proxy nach einem Gerät mit unbekannter

ActiveSync-ID, dem ein Benutzer zugewiesen ist, der mit dem vom E-Mail-Client übermittelten

Benutzer übereinstimmt. Wird ein solches Gerät gefunden, wird ihm die ActiveSync-ID zugewiesen und die E-Mail-Anforderung wird an den Exchange-Server weitergeleitet. Andernfalls wird die

Anforderung abgewiesen.

Weitere Informationen finden Sie im Sophos Knowledge-Base-Artikel 121360 .

15.13.5 Konfiguration „WLAN“ (Android-Geräteprofil)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Security type

Phase 2 authorization

Identity

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp der WLAN-Verbindung:

• None

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• None

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Sophos Mobile on Premise

Einstellung/Feld

Anonymous identity

Password

Identity certificate

Trusted certificate

Proxy server and port

Beschreibung

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client certificate in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root certificate in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Name oder IP-Adresse und Port eines Proxy-

Servers für die WLAN-Verbindung.

15.13.6 Konfiguration „App Protection“ (Android-Geräteprofil)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps zu schützen.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Password complexity

Grace period in minutes

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Einstellung/Feld

App group

Allow fingerprint authentication

Sophos Mobile on Premise

Beschreibung

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

finden Sie in App-Gruppen

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

15.13.7 Konfiguration „App Control“ (Android-Geräteprofil)

Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen. Hiermit können Sie zum Beispiel unerwünschte Apps blockieren, die vom Gerätehersteller vorinstalliert worden sind und nicht deinstalliert werden können.

Einstellung/Feld

App group

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

(Seite 316).

15.13.8 Konfiguration „App-Berechtigungen“ (Android)

Mit der Konfiguration App permissions legen Sie fest, was passiert, wenn eine App während der

Ausführung eine Berechtigung anfordert.

Einstellung/Feld

App-specific runtime permissions

Beschreibung

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf Add und konfigurieren Sie anschließend die Einstellungen für eine App:

Geben Sie im Feld App identifier die interne App-

Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Selectable : Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Granted : Die Berechtigung wird zugelassen und kann vom

Benutzer nicht verweigert werden.

• Denied : Die Berechtigung wird verweigert und kann vom

Benutzer nicht zugelassen werden.

Sophos Mobile on Premise

15.13.9 Konfiguration „Kiosk-Modus“ (Android-Geräteprofil)

Mit der Konfiguration Kiosk-Modus definieren Sie Einschränkungen für Geräte, um einen Kiosk-Modus zu realisieren.

Um eine App festzulegen, die ausgeführt wird, wenn das Profil auf ein Gerät übertragen wird, klicken

Sie auf Quelle auswählen und gehen Sie anschließend auf eine der folgenden Weisen vor:

• Wählen Sie Benutzerdefiniert aus und geben Sie eine App-Kennung ein.

• Wählen Sie App-Liste aus und wählen Sie anschließend in der Liste Kennung eine App aus. Die

Liste enthält alle Apps, die Sie auf der Seite Apps konfiguriert haben. Siehe

(Seite

296).

• Wählen Sie No app aus, um keine bestimmte App im Kiosk-Modus auszuführen. Die Kiosk-Modus-

Einschränkungen werden auf das Gerät übertragen, aber es wird keine App gestartet.

Unter Optionen deaktivieren Sie Hardware- und Software-Funktionen, die im Kiosk-Modus deaktiviert sein sollen.

Wenn das Profil auf ein Gerät übertragen wird, wird die festgelegte App gestartet. Der Benutzer kann jedoch die App verlassen und das Gerät normal verwenden, falls Sie keine der verfügbaren

Hardware- oder Software-Funktionen deaktiviert haben. Um tatsächlich einen Kiosk-Modus zu realisieren, müssen Sie mindestens die Kontrollkästchen Schaltfläche Startbildschirm erlauben und Task-Manager erlauben deaktivieren.

Hinweis

• Die festgelegte App muss auf dem Gerät vorhanden sein. Ist dies nicht der Fall, verbleiben die zu übertragenden Aufträge im Status Unvollständig, bis die App installiert worden ist. Um die App zu installieren, erstellen Sie zum Beispiel ein Auftragspaket mit einem Auftrag App installieren und übertragen dieses an Ihre Geräte.

• Für Sony-Geräte mit Enterprise API Version 9 oder niedriger gilt: Wenn Sie eines der

Kontrollkästchen Lautstärke erhöhen erlauben , Lautstärke verringern erlauben oder

Stummschalten erlauben deaktivieren, werden alle Gerätetasten zum Steuern der

Lautstärke deaktiviert.

15.13.10 Konfiguration „Zugangspunkt (APN)“ (Android-

Geräteprofil)

Mit der Konfiguration Zugangspunkt (APN) konfigurieren Sie einen Zugangspunkt (Access

Point Name - APN) für Mobilgeräte. Eine APN-Konfiguration legt fest, wie sich Geräte mit einem

Mobilfunknetz verbinden.

Wichtig

Wir empfehlen, die benötigten Einstellungen von Ihrem Netzbetreiber zu erfragen. Wenn Sie Als

Standard-Zugangspunkt verwenden auswählen und die Einstellungen fehlerhaft sind, kann das

Gerät keine mobilen Daten empfangen.

Sophos Mobile on Premise

Hinweis

Außer dem Feld APN sind alle Einstellungen optional. Sie sollten nur jene Einstellungen konfigurieren, die von Ihrem Mobilfunkbetreiber benötigt werden.

Einstellung/Feld

APN

User-friendly name

Proxy-Server und -Port

Benutzername

Server

MMSC

, Benutzer-Kennwort

Beschreibung

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Ein optionaler Name, der auf dem Gerät zusätzlich zum APN angezeigt wird.

Adresse und Portnummer des HTTP-Servers, der für Web-Datenverkehr verwendet wird.

Ein Benutzername und Kennwort für die

Verbindung mit dem Zugangspunkt.

Der WAP-Gateway-Server.

Das Multimedia Messaging Service Center

(MMSC).

MMS proxy server and port

Mobile Country Code (MCC) , Mobile Network

Code (MNC)

Adresse und Portnummer des HTTP-Servers, der für die Kommunikation mit dem MMSC verwendet wird.

Mit MCC und MNC legen Sie einen

Netzbetreiber fest.

Der Zugangspunkt wird nur für diesen

Netzbetreiber verwendet.

Authentifizierung-Typ

APN type

Die Authentifizierungsmethode für PPP-

Verbindungen.

Die Datenarten für diesen APN.

Um den APN für alle Datenarten zu verwenden, tragen Sie * ein oder lassen das Feld leer.

Bearer

Protocol

Roaming protocol

Die vom Netzbetreiber verwendete Radio

Access Technology (RAT).

Das vom Netzbetreiber unterstützte

Netzwerkprotokoll.

Das vom Netzbetreiber unterstützte

Netzwerkprotokoll bei Roaming in fremden

Mobilfunknetzen.

Sophos Mobile on Premise

Einstellung/Feld

Use as default APN

Beschreibung

Wählen Sie diese Option aus, um den APN als

Standard zu verwenden.

Wenn Sie mehrere Konfigurationen

Zugangspunkt (APN) verwenden, dürfen

Sie diese Option nur in einer Konfiguration auswählen.

15.13.11 Konfiguration „VPN“ (Android-Geräteprofil)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld Beschreibung

Verbindungsname Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Server Der Host-Name oder die IP-Adresse des Servers.

Verbindungstyp Der Typ der VPN-Verbindung:

• L2TP/IPsec (PSK)

Wenn Sie diesen Typ auswählen, werden die Felder Benutzer ,

Kennwort und L2TP/IPsec (PSK) angezeigt. Geben Sie den Benutzer und das Kennwort ein. Geben Sie im Feld L2TP/IPsec (PSK) den Preshared Key für die Authentisierung ein.

• L2TP/IPsec (certificate)

Wenn Sie diesen Typ auswählen, werden die Felder Client-Zertifikat ,

Root-Zertifikat , Benutzer und Kennwort angezeigt. Wählen Sie in den

Feldern Client-Zertifikat und Root-Zertifikat die relevanten Zertifikate.

Geben Sie außerdem den Benutzer und das zugehörige Kennwort ein.

• Cisco AnyConnect

Wenn Sie diesen Typ auswählen, können Sie XML-Dateien mit einem

AnyConnect-VPN-Profil und/oder einem NVM-Profil (Network Visibility

Module) hochladen. Informationen zu diesen Profilen finden Sie in der

Cisco AnyConnect Administrator-Dokumentation.

15.13.12 Konfiguration „Root-Zertifikat“ (Android-Geräteprofil)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile on Premise

15.13.13 Konfiguration „Client-Zertifikat“ (Android-Geräteprofil)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.13.14 Konfiguration „SCEP“ (Android-Geräteprofil)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Alias name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Sophos Mobile on Premise

126

Einstellung/Feld

Subject

Type of Subject Alternative Name

Value of Subject Alternative Name

AD user logon name

Challenge

Root certificate

Key size

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Informationen zur Erstellung einer Android-Enterprise-Richtlinie für Arbeitsprofile finden Sie in Profil oder Richtlinie erstellen

(Seite 104).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822 name : Eine gültige E-Mail-Adresse.

• DNS name : Der DNS-Name des CA-Servers.

• Uniform resource identifier : Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Use as digital signature

Use for encryption

Sophos Mobile on Premise

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.14 Konfigurationen für Richtlinien für Android

Enterprise Arbeitsprofile

Mit einer Richtlinie für Android Enterprise Arbeitsprofile konfigurieren Sie das Arbeitsprofil eines

Gerätes. Die Richtlinie kann auf Android-Enterprise-Geräte im Modus „Profilbesitzer“ angewendet werden.

(Seite 100).

15.14.1 Konfiguration „Kennwortrichtlinien – Gerät“ (Android-

Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration Password policies - Device definieren Sie Anforderungen an das Kennwort für die Displaysperre.

Kennworttyp

Wählen Sie in der Liste Password type die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Pattern, PIN or password

Simple password

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Sophos Mobile on Premise

Einstellung/Feld

PIN or password

Alphanumeric password

Complex password

Beschreibung

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Simple password , PIN or password , Alphanumeric password oder Complex password auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Maximum idle time before password prompt Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Number of failed attempts until device wipe

Password history

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Complex password auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimum number of letters

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimum number of non-alphabetic characters

Minimum number of digits

Minimale Anzahl von Sonderzeichen

Sophos Mobile on Premise

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

15.14.2 Konfiguration „Kennwortrichtlinien –

Arbeitsprofil“ (Android-Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration Password policies - Work profile definieren Sie Anforderungen an das

Kennwort des Arbeitsprofils. Der Benutzer muss das Kennwort eingeben, um eine App zu öffnen, wenn das Arbeitsprofil gesperrt ist.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Kennworttyp

Wählen Sie in der Liste Password type die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Pattern, PIN or password

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Sophos Mobile on Premise

Einstellung/Feld

Simple password

PIN or password

Alphanumeric password

Complex password

Weak biometric recognition

Beschreibung

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Benutzer dürfen schwache biometrische

Erkennungsverfahren, wie z.B.

Gesichtserkennung, verwenden, um das

Arbeitsprofil zu entsperren.

Hinweis

Schwache biometrische

Erkennungsverfahren bieten eine vergleichbare Sicherheit wie eine 3-stellige

PIN. Das heißt, für ein unberechtigtes

Entsperren sind etwa 1000 Versuche erforderlich.

Wenn Sie Simple password , PIN or password , Alphanumeric password oder Complex password auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Sophos Mobile on Premise

Einstellung/Feld Beschreibung

Maximum idle time before password prompt Die Zeit, nach der das Arbeitsprofil gesperrt wird, wenn es nicht benutzt wird. Das Profil lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere

Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Number of failed attempts until device wipe

Password history

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der das Arbeitsprofil zurückgesetzt wird.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Complex password auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimum number of letters

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimum number of non-alphabetic characters

Minimum number of digits

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Sophos Mobile on Premise

15.14.3 Konfiguration „Einschränkungen“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Einschränkungen konfigurieren Sie Einschränkungen und zugehörige

Einstellungen für Android-Arbeitsprofile.

Sicherheit

Einstellung/Feld

Bildschirmaufnahme erlauben

Beschreibung

Benutzer können Screenshots von Apps machen, die im Arbeitsprofil installiert sind.

Allow user to configure credentials

Allow work clipboard in personal apps Benutzer können Text aus einer App im Arbeitsprofil kopieren und in eine private App einfügen.

Das Einfügen von Text aus einer privaten App in eine

App im Arbeitsprofil ist immer möglich.

Allow Smart Lock

Benutzer können im Arbeitsprofil Zertifikate installieren oder deinstallieren.

Benutzer können die Android-Funktion „Smart

Lock“ aktivieren, durch die das Gerät in bestimmten

Situationen automatisch entsperrt wird.

Hinweis

Diese Einstellungen wirkt sich auf die Gerätesperre aus.

Das Gerät ignoriert die Einstellung, wenn zusätzlich eine

Sperre für das Arbeitsprofil konfiguriert ist.

Allow location sharing

Allow opening web links in personal apps

Allow debugging

Allow unlocking device by fingerprint

Apps im Arbeitsprofil können auf die Ortungsdienste des Gerätes zugreifen.

Wenn das Kontrollkästchen deaktiviert ist, können Apps im Arbeitsprofil selbst dann nicht auf

Standortdienste zugreifen, wenn der Benutzer die

Einstellung „Standort teilen“ aktiviert hat.

Internet-Links, auf die der Benutzer in einer App im

Arbeitsprofil tippt, können in einer privaten Browser-

App geöffnet werden.

Benutzer können die Debugging-Funktionen in den

Android-Entwicklereinstellungen aktivieren.

Benutzer können das Gerät mit ihrem Fingerabdruck entsperren.

Sophos Mobile on Premise

Einstellung/Feld

Allow work contact info for personal calls

Allow work contact info for Bluetooth devices

Allow searches of work contacts in personal profile

Beschreibung

Die private Telefon-App zeigt bei eingehenden

Gesprächen von beruflichen Kontakten den

Anrufernamen an.

Verbundene Bluetooth-Geräte zeigen bei eingehenden

Privatgesprächen von beruflichen Kontakten den

Anrufernamen an.

Die private Telefon-App zeigt bei der Suche nach

Anrufernamen auch berufliche Kontakte an.

Konten

Einstellung/Feld

Allow managing accounts

Beschreibung

Benutzer können Konten dem Work-Profil hinzufügen oder daraus entfernen, ausgenommen das Google-

Konto.

Netzwerk und Kommunikation

Einstellung/Feld

Allow VPN

Allow Android Beam

Beschreibung

Benutzer können für Apps im Arbeitsprofil VPN-

Verbindungen verwenden.

Benutzer können Android Beam (NFC-

Datenübertragung) verwenden, um Daten aus Apps im

Arbeitsprofil zu senden.

Hardware

Einstellung/Feld

Allow camera

Beschreibung

Apps im Arbeitsprofil können auf die Kamera zugreifen.

Anwendungen

Einstellung/Feld

Allow app uninstall

Beschreibung

Benutzer können Apps im Arbeitsprofil deinstallieren.

Sophos Mobile on Premise

Einstellung/Feld

Allow installing apps from unknown sources

Allow managing apps

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps im Arbeitsprofil nur aus Google Play installieren, nicht aus unbekannten Quellen oder über

Android Debug Bridge (ADB).

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer für Apps im Arbeitsprofil folgende Aufgaben nicht ausführen:

• Apps deinstallieren

• Apps deaktivieren

• Apps beenden

• App-Cache leeren

• App-Daten löschen

• Einstellung Standardmäßig öffnen löschen

Allow disabling Google security scans Benutzer können die Google-Sicherheitseinstellung

Gerät auf Sicherheitsbedrohungen durchsuchen deaktivieren.

Die Einstellung befindet sich in der App

Einstellungen , unter Google > Sicherheit > Google

Play Protect .

Short message Ein unternehmensspezifischer Hinweis, der dem

Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.

Hinweis

Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.

Long message Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen

Hinweistextes auf Weitere Informationen tippt.

Hinweis

Dieser Text wird außerdem auf der Seite

Geräteadministrator für die App Sophos Mobile

Control angezeigt.

134

15.14.4 Konfiguration „Exchange-Konto“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Exchange account richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein. Diese Einstellungen gelten für die App Gmail im Arbeitsprofil.

Einstellung/Feld

Kontoname

Exchange server

Domäne

Benutzer

E-Mail-Adresse

Absender

Synchronisierungszeitraum

SSL/TLS

Allow all certificates

Client certificate

Sophos Mobile on Premise

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Hinweis

Das Kennwort wird vom Benutzer eingegeben.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

135

Sophos Mobile on Premise

15.14.5 Konfiguration „App Protection“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, mit denen Apps aus Managed Google Play geschützt werden, d.h. Apps, die im Arbeitsprofil installiert sind.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Password complexity

Grace period in minutes

App group

Allow fingerprint authentication

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

finden Sie in App-Gruppen

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

15.14.6 Konfiguration „App Control“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen.

Einstellung/Feld

App group

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

(Seite 316).

Sophos Mobile on Premise

15.14.7 Konfiguration „App-Berechtigungen“ (Android-

Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration App permissions legen Sie fest, was passiert, wenn eine App aus Managed

Google Play während der Ausführung eine Berechtigung anfordert.

Einstellung/Feld

Default response for runtime permission requests

App-specific runtime permissions

Beschreibung

Die Standard-Reaktion auf zukünftige

Berechtigungsanforderungen während der Ausführung:

• Abfragen : Apps fordern den Benutzer auf, die

Berechtigung zu gewähren.

• Auto-Bestätigen : Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch gewährt.

• Auto-Verweigern : Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch verweigert.

Der Benutzer kann die Berechtigung nicht nachträglich

ändern.

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf

Hinzufügen und konfigurieren Sie anschließend die

Einstellungen für eine App:

Geben Sie im Feld Kennung die interne App-Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Auswählbar : Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Zugelassen : Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.

• Verweigert : Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.

15.14.8 Konfiguration „Root-Zertifikat“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Dieses Zertifikat steht Apps aus Managed Google Play zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.14.9 Konfiguration „Client-Zertifikat“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Dieses Zertifikat steht Apps aus Managed Google Play zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.14.10 Konfiguration „SCEP“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen Apps zur

Verfügung, die im Arbeitsprofil installiert sind.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Alias name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Einstellung/Feld

Subject

Type of Subject Alternative Name

Value of Subject Alternative Name

AD user logon name

Challenge

Root certificate

Key size

Sophos Mobile on Premise

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Informationen zur Erstellung einer Android-Enterprise-Geräterichtlinie finden Sie in Profil oder

(Seite 104).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822 name : Eine gültige E-Mail-Adresse.

• DNS name : Der DNS-Name des CA-Servers.

• Uniform resource identifier : Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

139

Sophos Mobile on Premise

Einstellung/Feld

Use as digital signature

Use for encryption

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.15 Konfigurationen für Android-Enterprise-

Geräterichtlinien

Mit einer Android-Enterprise-Geräterichtlinie konfigurieren Sie verschiedene Bereiche von Android-

Geräten, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die

Richtlinie kann auf Android-Enterprise-Geräte im Modus „Gerätebesitzer“ angewendet werden.

Richtlinie erstellen

(Seite 100).

15.15.1 Konfiguration „Kennwortrichtlinien“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Password policies definieren Sie Anforderungen an das Kennwort für die

Displaysperre.

Kennworttyp

Wählen Sie in der Liste Password type die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Pattern, PIN or password

Simple password

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Sophos Mobile on Premise

Einstellung/Feld

PIN or password

Alphanumeric password

Complex password

Beschreibung

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Simple password , PIN or password , Alphanumeric password oder Complex password auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Maximum idle time before password prompt Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Number of failed attempts until device wipe

Password history

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Complex password auswählen, werden zusätzlich die folgenden Felder angezeigt:

Sophos Mobile on Premise

Einstellung/Feld

Minimum number of letters

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimum number of non-alphabetic characters

Minimum number of digits

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

15.15.2 Konfiguration „Einschränkungen“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sicherheit

Einstellung/Feld

Force encryption

Allow factory reset

Allow safe mode

Allow debugging

Allow screen capture

Allow user to configure credentials

Beschreibung

Benutzer müssen ihre Geräte verschlüsseln.

Benutzer können das Gerät auf Werkseinstellungen zurücksetzen.

Benutzer können das Gerät im Safe-Modus starten.

Benutzer können die Debugging-Funktionen in den

Android-Entwicklereinstellungen aktivieren.

Benutzer können Screenshots machen.

Benutzer können Zertifikate installieren oder entfernen.

Sophos Mobile on Premise

Einstellung/Feld

Allow Smart Lock

Beschreibung

Benutzer können die Android-Funktion „Smart

Lock“ aktivieren, durch die das Gerät in bestimmten

Situationen automatisch entsperrt wird.

Hinweis

Diese Einstellungen wirkt sich auf die Gerätesperre aus.

Das Gerät ignoriert die Einstellung, wenn zusätzlich eine

Sperre für das Arbeitsprofil konfiguriert ist.

Allow location sharing

Allow unlocking device by fingerprint

Allow changing the account picture

Hide sensitive information on lock screen

System update policy

Benutzer können das Teilen des Standorts aktivieren.

Benutzer können das Gerät mit ihrem Fingerabdruck entsperren.

Benutzer können das Foto ihres Benutzerkontos

ändern.

Wenn Benachrichtungen auf dem Sperrbildschirm aktiviert sind, werden keine sensiblen Inhalte angezeigt.

Wählen Sie aus, wann Systemaktualisierungen installiert werden:

• No policy : Der Benutzer entscheidet, wann

Systemaktualisierungen installiert werden.

• Install automatically : Systemaktualisierungen werden automatisch installiert, sobald sie verfügbar sind.

• Install within maintenance window :

Systemaktualisierungen werden innerhalb eines

Wartungsfensters automatisch installiert. Geben

Sie Uhrzeiten für den Beginn und das Ende des

Wartungsfensters ein.

• Postpone : Systemaktualisierungen (ausgenommen

Sicherheitsaktualisierungen) werden für 30 Tage zurückgehalten.

Konten

Einstellung/Feld

Allow managing accounts

Beschreibung

Benutzer können auf dem Gerät Konten hinzufügen oder entfernen, ausgenommen das Google-Konto.

Sophos Mobile on Premise

Netzwerk und Kommunikation

Einstellung/Feld

Allow SMS

Allow mobile data connection while roaming

Allow VPN

Allow Android Beam

Allow Bluetooth

Allow outgoing phone calls

Allow network reset

Enable Wi-Fi settings

Allow configuring cell broadcasts

Enable cellular networks settings

Enable tethering settings

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine SMS senden.

Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine mobilen Datenverbindungen möglich.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine VPN-Verbindungen verwenden.

Benutzer können Android Beam (NFC-

Datenübertragung) verwenden, um Daten aus Apps zu senden.

Wenn das Kontrollkästchen deaktiviert ist, ist Bluetooth deaktiviert.

Benutzer können Telefonanrufe tätigen.

Benutzer können die Netzwerkeinstellungen auf

Standardwerte zurücksetzen.

Benutzer können die WLAN-Einstellungen ändern.

Benutzer können Cell Broadcast (CB) in ihrer

Nachrichten-App aktivieren oder deaktivieren.

Benutzer können die Einstellungen für mobile Netze

ändern.

Benutzer können die Einstellungen für Tethering und mobilen Hotspot ändern.

Hardware

Einstellung/Feld

Allow camera

Allow microphone

Allow external media

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Mikrofon nicht verfügbar.

Benutzer können externe Medien wie z.B. USB-

Speicher mit dem Gerät verbinden.

Einstellung/Feld

Enable USB storage

Allow transfering files over USB

Sophos Mobile on Premise

Beschreibung

Benutzer können das Gerät im USB-Modus „Mass

Storage“ (USB MSC) mit einem Host-Computer verbinden, d.h. als externe Festplatte.

Wenn Sie das Kontrollkästchen deaktivieren, können

Benutzer das Gerät weiterhin im USB-Modus „Media

Transfer“ (USB MTP) oder „Picture Transfer“ (USB

PTP) verbinden, um Dateien zu übertragen.

Benutzer können Dateien zwischen dem Gerät und einem externen USB-Speichermedium übertragen.

Anwendungen

Einstellung/Feld

Allow app uninstall

Allow installing apps from unknown sources

Allow wallpaper change

Allow managing apps

Beschreibung

Benutzer können Apps deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps nur aus Google Play installieren, nicht aus unbekannten Quellen oder über Android Debug

Bridge (ADB).

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Display-Hintergrund ändern.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer für Apps folgende Aufgaben nicht ausführen:

• Apps deinstallieren

• Apps deaktivieren

• Apps beenden

• App-Cache leeren

• App-Daten löschen

• Einstellung Standardmäßig öffnen löschen

Allow disabling Google security scans Benutzer können die Google-Sicherheitseinstellung

Gerät auf Sicherheitsbedrohungen durchsuchen deaktivieren.

Die Einstellung befindet sich in der App

Einstellungen , unter Google > Sicherheit > Google

Play Protect .

Allow setting date and time Benutzer können Datum und Uhrzeit einstellen.

Wenn das Kontrollkästchen deaktiviert ist, werden

Datum und Uhrzeit aus dem Netzwerk bezogen.

Sophos Mobile on Premise

Einstellung/Feld

Short message

Long message

Allowed accessibility services

Beschreibung

Ein unternehmensspezifischer Hinweis, der dem

Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.

Hinweis

Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.

Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen

Hinweistextes auf Weitere Informationen tippt.

Hinweis

Dieser Text wird außerdem auf der Seite

Geräteadministrator für die App Sophos Mobile

Control angezeigt.

Schränken Sie ein, welche Apps Bedienungshilfen anbieten dürfen:

• Wenn Sie All available apps auswählen, können

Benutzer alle Bedienungshilfen verwenden.

• Wenn Sie Only system apps auswählen, können

Benutzer nur Bedienungshilfen von System-Apps verwenden.

• Wenn Sie eine App-Gruppe auswählen, können Benutzer nur Bedienungshilfen von den enthaltenen Apps und von

System-Apps verwenden.

15.15.3 Konfiguration „Exchange-Konto“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Exchange account richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Einstellung/Feld

Domäne

Benutzer

E-Mail-Adresse

Absender

Synchronisierungszeitraum

SSL/TLS

Allow all certificates

Client certificate

Sophos Mobile on Premise

Beschreibung

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Hinweis

Das Kennwort wird vom Benutzer eingegeben.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

15.15.4 Konfiguration „WLAN“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Beschreibung

Die ID des WLAN.

Sophos Mobile on Premise

Einstellung/Feld

Security type

Phase 2 authorization

148

Identity

Anonymous identity

Password

Identity certificate

Trusted certificate

Beschreibung

Der Sicherheitstyp der WLAN-Verbindung:

• None

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• None

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client certificate in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root certificate in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Sophos Mobile on Premise

15.15.5 Konfiguration „App Protection“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps aus

Managed Google Play zu schützen.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Password complexity

Grace period in minutes

App group

Allow fingerprint authentication

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

finden Sie in App-Gruppen

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

15.15.6 Konfiguration „App Control“ (Android-Enterprise-

Geräterichtlinie)

Einstellung/Feld

App group

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

(Seite 316).

Sophos Mobile on Premise

15.15.7 Konfiguration „App-Berechtigungen“ (Android-

Enterprise-Geräterichtlinie)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App während der

Ausführung eine Berechtigung anfordert.

Einstellung/Feld

Default response for runtime permission requests

App-specific runtime permissions

Beschreibung

Die Standard-Reaktion auf zukünftige

Berechtigungsanforderungen während der Ausführung:

• Abfragen : Apps fordern den Benutzer auf, die

Berechtigung zu gewähren.

• Auto-Bestätigen : Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch gewährt.

• Auto-Verweigern : Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch verweigert.

Der Benutzer kann die Berechtigung nicht nachträglich

ändern.

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf

Hinzufügen und konfigurieren Sie anschließend die

Einstellungen für eine App:

Geben Sie im Feld Kennung die interne App-Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Auswählbar : Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Zugelassen : Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.

• Verweigert : Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.

15.15.8 Konfiguration „Kiosk-Modus“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Kiosk-Modus definieren Sie Einschränkungen für Geräte, um einen Kiosk-Modus zu realisieren.

Einstellung/Feld

Select source

App identifier

App group

Allow volume change

Turn off screen lock

Stay on while charging

Sophos Mobile on Premise

Beschreibung

• None : Alle Apps erlauben. Die Kiosk-Modus-

Einschränkungen werden auf das Gerät übertragen, aber der Benutzer kann jede auf dem Gerät verfügbare App starten.

• Custom , App list : Nur eine bestimmte App erlauben.

• App group : Mehrere Apps erlauben.

Die App, die im Kiosk-Modus verfügbar ist.

Abhängig von Ihrer Auswahl in Select source geben

Sie entweder die App-Kennung an oder wählen Sie die

App aus der Liste verfügbarer Apps aus.

Die Apps, die im Kiosk-Modus verfügbar sind.

Wählen Sie eine der verfügbaren App-Gruppen aus.

Wenn das Kontrollkästchen deaktiviert ist, sind alle

Gerätetasten zum Steuern der Lautstärke deaktiviert.

Der Gerätebildschirm wird niemals gesperrt.

Der Gerätebildschirm bleibt eingeschaltet, solange das

Gerät mit einer Stromquelle verbunden ist.

15.15.9 Konfiguration „Globaler HTTP-Proxy“ (Android-

Enterprise-Geräterichtlinie)

Mit der Konfiguration Global HTTP proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server and port

Proxy server URL

Beschreibung

Wählen Sie Manually aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatic aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

15.15.10 Konfiguration „Root-Zertifikat“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Sophos Mobile on Premise

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.15.11 Konfiguration „Client-Zertifikat“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.15.12 Konfiguration „SCEP“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Alias name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Einstellung/Feld

Subject

Type of Subject Alternative Name

Value of Subject Alternative Name

AD user logon name

Challenge

Root certificate

Key size

Sophos Mobile on Premise

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Informationen zum Erstellen einer Sophos-Container-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 104).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822 name : Eine gültige E-Mail-Adresse.

• DNS name : Der DNS-Name des CA-Servers.

• Uniform resource identifier : Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

153

Sophos Mobile on Premise

Einstellung/Feld

Use as digital signature

Use for encryption

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.16 Konfigurationen für Sophos-Container-

Richtlinien (Android)

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für die Sophos-Container-Apps

Sophos Secure Email und Sophos Secure Workspace.

(Seite 100).

15.16.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für Android)

Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.

Einstellung/Feld

Enable Sophos container password

Beschreibung

Benutzer müssen ein zusätzliches Kennwort eingeben, um eine Sophos-Container-App zu starten. Sobald die erste Container-App gestartet wird nachdem die Konfiguration angewendet wurde, muss das Kennwort definiert werden. Dieses Kennwort gilt für alle

Container-Apps.

Einstellung/Feld

Password complexity

Always hide characters in password entry fields

Password age in days

Failed logins until lock

Fingerabdruck erlauben

Grace period in minutes

Sophos Mobile on Premise

Beschreibung

Die minimale Komplexität des Kennworts für den Sophos-Container. Sicherere

Kennwörter sind immer erlaubt. Kennwörter

(eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs (nur numerische

Zeichen).

• Beliebig : Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.

• 4 digit PIN

• 6 digit PIN

• 4 char password

• 6 char password

• 8 char password

• 10 char password

In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.

Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.

Die erlaubte Anzahl fehlgeschlagener

Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden.

Falls konfiguriert, können die Apps auch vom

Benutzer im Self Service Portal entsperrt werden.

Benutzer können die App mit ihrem

Fingerabdruck entsperren.

Die Zeitspanne, während der kein Sophos-

Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im

Vordergrund angezeigt wird.

Die Toleranzfrist gilt für alle Container-Apps.

Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.

Sophos Mobile on Premise

Einstellung/Feld

Lock on device lock

Last server connect

Beschreibung

Wenn das Gerät gesperrt wird, wird auch der

Sophos-Container gesperrt.

Wenn das Kontrollkästchen deaktiviert ist, wird der Sophos-Container nur nach Ablauf der

Toleranzfrist gesperrt.

Die Zeitspanne, innerhalb derer Benutzer eine

Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile

Server aufgebaut wurde.

Wenn eine Sophos-Container-App aktiviert wird und innerhalb der definierten Zeitspanne keinen Kontakt mit dem Server hatte, wird ein Sperrbildschirm angezeigt. Der Benutzer kann die App durch Tippen auf Wiederholen entsperren. Hierdurch verbindet sich die App mit dem Server. Kann die Verbindung aufgebaut werden, wird die App entsperrt. Falls nicht, wird der Zugriff verweigert.

• Bei jedem Zugriff : Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.

• 1 Stunde : Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.

• 3 hours

• 6 hours

• 12 hours

• 1 day

• 3 days

• None : Keine regelmäßige Verbindung ist notwendig.

Sophos Mobile on Premise

Einstellung/Feld

Offline starts without server connection

Beschreibung

In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.

Hinweis

Diese Einstellung setzt voraus, dass ein

Sophos-Container-Kennwort eingerichtet ist.

Root access allowed Die Container-Apps dürfen auf gerooteten

Geräten ausgeführt werden.

App-Nutzungs-Beschränkungen

Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken

Sie auf Hinzufügen , um Beschränkungen einzugeben.

Geo-fencing

Es wird mitgezählt, wie oft Benutzer das

Sophos-Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe Sperrbildschirm wie für die

Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum Sophos Mobile Server hergestellt wird.

• Unlimited : Es ist keine Serververbindung notwendig.

• 0 : Das Starten der App ohne Serververbindung ist nicht möglich.

• 1 : Nach einem Start der App ist eine erfolgreiche

Serververbindung notwendig.

• 3

• 5

• 10

• 20

Time-fencing

Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.

Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-

Container-Apps verwendet werden können.

Sie können auch spezifizieren, an welchen

Wochentagen die Apps verwendet werden können.

Sophos Mobile on Premise

Einstellung/Feld

Wi-Fi fencing

Beschreibung

Wenn Sie Wi-Fi connection required auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.

Wenn Sie WLAN-Verbindungen zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das Gerät mit einem nicht aufgeführten WLAN verbunden ist.

Wichtig

Wir empfehlen, sich nicht auf WLAN-

Beschränkungen als einzigen

Sicherheitsmechanismus zu verlassen, da WLAN-

Namen sehr leicht gefälscht werden können (Wi-Fi

Spoofing).

15.16.2 Konfiguration „Unternehmens-E-Mail“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmens-E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft

Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im

Sophos-Container installiert ist.

Einstellung/Feld

Exchange server

Beschreibung

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Benutzer

E-Mail-Adresse

Domäne

Support contact email

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Die Domäne für dieses Konto.

Die Adresse für E-Mails, die über die Funktion

„Kontaktiere Support“ gesendet werden.

Einstellung/Feld

Export contacts to device

Notification details

Deny copy to clipboard

Deny screenshots

Maximum email size

Allow viewing/sharing

Sophos Mobile on Premise

Beschreibung

Benutzer können Exchange-Kontakte inklusive

Telefonnummer als lokale Kontakte auf das

Gerät übertragen, damit bei Anrufen von

Firmenkontakten der Name angezeigt wird.

Diese Kontakte werden von Sophos Secure

Email synchronisiert.

Hinweis

Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:

• Wenn die Konfiguration

Unternehmens-E-Mail aus der

Sophos-Container-Richtlinie entfernt wird (nach dem nächsten Neustart der

App Sophos Secure Email).

• Wenn der Sophos-Container vom Gerät entfernt wird.

• Wenn das Gerät bei Sophos Mobile deregistriert wird.

Wählen Sie den Umfang der Informationen aus, der in E-Mail-Benachrichtigungen angezeigt wird.

Diese Einstellung wirkt sich auch auf

Terminerinnerungen aus. Wenn Sie

No notifications auswählen, sind

Terminerinnerungen deaktiviert. Wenn

Sie einen anderen Wert auswählen, sind

Terminerinnerungen aktiviert und enthalten

Datum/Uhrzeit, Ort und Titel.

Benutzer können Texte aus Sophos Secure

Email weder kopieren noch ausschneiden.

Benutzer können keine Screenshots der App

Sophos Secure Email machen.

E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte

Wert, werden nicht vom Exchange-Server heruntergeladen.

Benutzer können E-Mail-Anhänge betrachten und teilen.

159

Sophos Mobile on Premise

Einstellung/Feld

View attachments

Share attachments

Advanced settings

Beschreibung

Wählen Sie aus, in welchen Apps Anhänge betrachtet werden können: In allen Apps oder nur in den Sophos-Container-Apps Secure

Workspace und Secure Email.

With all apps : Anhänge können mit allen

Apps geteilt werden, die das Dateiformat unterstützen.

With container apps : Anhänge werden mit einem Geräteschlüssel verschlüsselt und können nur mit Sophos Secure Workspace geöffnet werden. Das Teilen mit anderen Apps bleibt auswählbar.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

15.16.3 Konfiguration „Unternehmensdokumente“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmensdokumente konfigurieren Sie Einstellung für die Funktion

Unternehmensdokumente der App Sophos Secure Workspace.

Online-Speicher konfigurieren

Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:

Einstellung/Feld

Enable

Offline

Open in (encrypted)

Open in (unencrypted)

Clipboard

Beschreibung

Der Speicheranbieter ist in der App verfügbar.

Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.

Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.

Sophos Mobile on Premise

Einstellungen für Unternehmens-Anbieter

Für Speicheranbieter vom Typ WebDAV , auch als Unternehmens-Anbieter bezeichnet, können

Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den

Benutzern nicht geändert werden.

Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.

Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das

Kennwort-Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den Speicheranbieter zu bekommen.

Einstellung/Feld

Name

Server

User name

Password

Upload folder

Beschreibung

Der Anbietername, wie er in der App Sophos

Secure Workspace angezeigt wird.

Geben Sie in diesem Feld Folgendes ein:

• Die URL des Root-Ordners auf dem WebDAV-Server für

Unternehmensdokumente .

• Die URL des Root-Ordners auf dem

WebDAV -Server.

Verwenden Sie folgendes Format: https:// server.company.com

Nur das Protokoll https wird unterstützt.

Der Anmeldename für den Server. Sie können auch die Variable %_USERNAME_% verwenden.

Das Anmeldekennwort.

Der Ordner, in den Dokumente hochgeladen werden.

Weitere Einstellungen

Einstellung/Feld

Enable Documents

Beschreibung

Aktiviert die Funktion Dokumente , um

Unternehmensdokumente auf sichere Weise auszutauschen.

Sophos Mobile on Premise

Einstellung/Feld

Passphrase complexity

Deny screenshots

Advanced settings

Einstellungen für Domänen

Einstellung/Feld

URL

Beschreibung

Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere

Passphrasen sind immer erlaubt.

Sie können folgende Einstellungen auswählen:

• 4 char password

• 6 char password

• 8 char password

• 10 char password

Benutzer können keine Screenshots der App

Sophos Secure Workspace machen.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

15.16.4 Konfiguration „Unternehmens-Browser“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmens-Browser konfigurieren Sie Einstellung für die Funktion

Unternehmens-Browser der App Sophos Secure Workspace.

Mit dem Unternehmens-Browser können Sie auf sichere Weise auf Intranetseiten Ihres

Unternehmens und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von Domänen.

Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.

Allgemeine Einstellungen

Einstellung/Feld

Deny screenshots

Beschreibung

Benutzer können keine Screenshots aufnehmen, die den Unternehmensbrowser zeigen.

Beschreibung

Die Domäne, die Sie erlauben wollen.

Einstellung/Feld

Allow copy/paste

Allow open with

Allow save password

Sophos Mobile on Premise

Beschreibung

Benutzer können Text aus dem Unternehmens-

Browser kopieren und in anderen Apps einfügen.

Benutzer können Anhänge herunterladen oder an andere Apps weiterleiten.

Benutzer können ihre Kennwörter im

Unternehmens-Browser speichern.

Einstellungen für Lesezeichen

Einstellung/Feld

Name

URL

Beschreibung

Der Name für das Lesezeichen.

Die Webadresse für das Lesezeichen.

15.16.5 Konfiguration „Root-Zertifikat“ (Sophos-Container-

Richtlinie für Android)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Das Zertifikat steht den Apps „Sophos Secure Email“ und „Sophos Secure Workspace“ zur Verfügung, wenn diese im Sophos-Container installiert sind.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.16.6 Konfiguration „Client-Zertifikat“ (Sophos-Container-

Richtlinie für Android)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Dieses Zertifikat steht der App Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

164

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.16.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für

Android)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen der App

Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Alias name

Subject

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

(Seite 104).

Einstellung/Feld

Type of Subject Alternative Name

Value of Subject Alternative Name

AD user logon name

Challenge

Root certificate

Key size

Use as digital signature

Use for encryption

Sophos Mobile on Premise

Beschreibung

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822 name : Eine gültige E-Mail-Adresse.

• DNS name : Der DNS-Name des CA-Servers.

• Uniform resource identifier : Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.17 Konfigurationen für Mobile-Security-

Richtlinien (Android)

Mit einer Mobile-Security-Richtlinie konfigurieren Sie die App Sophos Mobile Security.

Informationen zum Erstellen einer Mobile-Security-Richtlinie finden Sie in

(Seite 100).

Sophos Mobile on Premise

15.17.1 Netzwerkkonfiguration (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Network verwalten Sie die Einstellungen der App Sophos Mobile Security für den

Bereich Netzwerk, mit dem Benutzer vor netzwerkbasierten Bedrohungen geschützt werden.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

Man-in-the-middle protection

Advanced settings

Beschreibung

Sophos Mobile Security überprüft die WLAN-Verbindung auf Man-in-the-Middle-Angriffe.

Konfigurieren Sie diese Einstellungen nur, wenn Sie vom

Sophos Support dazu aufgefordert werden.

15.17.2 Konfiguration „Antivirus“ (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Antivirus verwalten Sie die Einstellungen der App Sophos Mobile Security zum

Malware-Schutz.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

Cloud scan mode

Scheduled scan interval

Scan system apps

Beschreibung

Wählen Sie aus, wann Sophos Mobile Security die neusten Malware-Informationen vom Sophos-Server lädt.

Wählen Sie die Häufigkeit von Malware-Scans aus.

Wenn Sie Daily while charging auswählen, wird ein Scan ausgeführt, wenn das Gerät länger als 30 Minuten an einer Stromquelle angeschlossen ist.

System-Apps werden gescannt.

System Apps werden standardmäßig nicht gescannt, da diese durch das Android-Betriebssystem geschützt sind und nicht vom Benutzer deinstalliert werden können.

Einstellung/Feld

Scan storage

Detect PUAs

Enable user to allow PUAs

Mode

Scan notification

Monitor storage

App group

Sophos Mobile on Premise

Beschreibung

Zusätzlich zum standardmäßigen Scan aller installierten

Anwendungen werden alle Datei in folgenden

Speicherbereichen auf Bedrohungen gescannt: Interner geteilter Speicher, SD-Karte, verbundene USB-Geräte.

Potenziell unerwünschte Anwendungen (PUAs) werden gescannt.

PUAs sind Apps, die zwar nicht schädlich sind, jedoch für Unternehmensnetzwerke als ungeeignet angesehen werden. Dazu gehören beispielsweise Adware, Dialer

(Einwahlprogramme), Systemmonitore, Remote-

Verwaltungs- und Hacking-Tools. Einige Apps, die unter

PUAs fallen, können für manche Benutzer jedoch hilfreich sein.

Benutzer können als PUA klassifizierte Apps erlauben. Bei nachfolgenden Scans werden erlaubte Apps ignoriert.

Wählen Sie das Verhalten für Apps mit niedriger

Reputation aus:

Allow : Scannen nach Apps niedriger Reputation deaktivieren.

Warn : Eine Warnung am Gerät anzeigen, wenn eine App niedriger Reputation erkannt wurde. Die Benutzer können wählen, wie mit der App verfahren werden soll. Sie können sie zu einer Liste von erlaubten Apps hinzufügen, so dass keine weiteren Warnungen angezeigt werden, wenn diese

App erkannt wird.

Block : Benutzer können Apps mit niedriger Reputation nicht starten.

Sophos Mobile Security erzeugt eine Benachrichtigung, wenn eine App nach der Installation gescannt wird.

Wenn das Kontrollkästchen deaktiviert ist, werden keine

Benachrichtigungen für saubere Apps erzeugt.

Folgende Speicherbereiche werden auf Änderungen

überwacht: Interner geteilter Speicher, SD-Karte, verbundene USB-Geräte. Wenn neue Dateien in diesen

Bereichen gespeichert werden, werden diese gescannt.

Wählen Sie eine Gruppe erlaubter Apps aus. Apps aus dieser Gruppe werden nicht gescannt.

Sophos Mobile on Premise

15.17.3 Konfiguration „Web Filtering“ (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Web Filtering verwalten Sie die Einstellungen der App Sophos Mobile Security für den Bereich Web Filtering , mit dem Benutzer vor Webseiten mit schädlichem, unerwünschtem oder illegalem Inhalt geschützt werden.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Unterstützte Browser:

• Android-Web-Browser

• ASUS-Browser

• Google Chrome

• Firefox

• Firefox Klar

• HTC Sense Browser

• Microsoft Edge

• Opera

• Opera Mini

• Samsung Internet für Android

Einstellung/Feld

Filter malicious websites

Filter websites by category

Beschreibung

Wählen Sie aus, ob Benutzer Webseiten mit schädlichem

Inhalt besuchen können.

Wählen Sie aus, ob Benutzer Webseiten besuchen können, die in eine bestimmte Kategorie fallen.

Sophos Mobile Security kategorisiert Webseiten basierend auf Daten von SophosLabs. Die Daten werden laufend aktualisiert.

Tipp

Um das Filtern von Webseiten zu testen, können Sie die

Sophos-Website sophostest.com

verwenden. Diese enthält

Beispielseiten für alle Kategorien. Auch wenn einige der

Seiten als potentiell offensiv oder gefährlich klassifiziert sind, ist der tatsächliche Seiteninhalt immer harmlos.

Einstellung/Feld

Website exceptions

Sophos Mobile on Premise

Beschreibung

Konfigurieren Sie Ausnahmen für die Kategorie-Filter:

Allowed domains : Webseiten, die erlaubt sind, obwohl die zugehörige Kategorie blockiert wird.

Blocked domains : Webseiten, die blockiert werden, obwohl die zugehörige Kategorie erlaubt ist.

Sie können Domänen-Namen oder IP-Adressen eingeben.

Beispiele:

• www.example.com

• *.example.com

• 198.51.100.1

• 198.51.100.0/24

15.18 Konfigurationen für Knox-Container-Profile

Mit einem Knox-Container-Profil konfigurieren Sie Einstellungen für den Knox-Container auf Samsung-

Geräten.

Informationen zum Erstellen eines Knox-Container-Profils finden Sie in

(Seite 100).

15.18.1 Konfiguration „Kennwortrichtlinien“ (Knox-Container-

Profil)

Mit der Konfiguration Password policies definieren Sie Anforderungen an das Knox-Container-

Kennwort.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Kennworttyp

Wählen Sie in der Liste Password type die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Pattern, PIN or password

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Sophos Mobile on Premise

Einstellung/Feld

Simple password

PIN or password

Alphanumeric password

Complex password

Beschreibung

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Simple password , PIN or password , Alphanumeric password oder Complex password auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Maximum idle time before password prompt Die Zeit, nach der der Knox-Container gesperrt wird, wenn er nicht benutzt wird. Der Container lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere

Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Number of failed attempts until device wipe

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der der Knox-Container zurückgesetzt wird.

Sophos Mobile on Premise

Einstellung/Feld

Password history

Beschreibung

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Complex password auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimum number of letters

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimum number of non-alphabetic characters

Minimum number of digits

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Biometric authentication

Einstellung/Feld

Allow fingerprint authentication

Allow iris authentication

Allow face authentication

Beschreibung

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Fingerabdruck-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Iris-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Gesichts-Authentisierung entsperren.

Sophos Mobile on Premise

15.18.2 Konfiguration „Einschränkungen“ (Knox-Container-

Profil)

Mit der Konfiguration Einschränkungen konfigurieren Sie Einschränkungen und zugehörige

Einstellungen für Android for Work.

Einstellung/Feld

Bildschirmaufnahme erlauben

Allow camera

Allow clipboard

Allow "Share via"

Allow microphone

Enforce the use of the secure keypad

Hinzufügen neuer E-Mail-Konten erlauben

Allow data export

Allow copying files into the container

Allow Bluetooth

Allow NFC

Enforce multi-factor authentication

Beschreibung

Benutzer können Screenshots von Apps im Samsung-

Knox-Container machen.

Apps im Samsung-Knox-Container können auf die

Kamera zugreifen.

Das Kopieren von Inhalten in die Zwischenablage ist nicht eingeschränkt.

Die von manchen Apps verwendete Funktion Teilen

über ist verfügbar.

Apps im Samsung-Knox-Container können auf das

Mikrofon zugreifen.

Benutzer müssen die sichere Tastatur verwenden.

Benutzer können zusätzlich zu den über ein Sophos

Mobile Profil konfigurierten Konten weitere E-Mail-

Konten hinzufügen.

Private Apps können auf Daten aus dem Samsung-

Knox-Container zugreifen.

Private Dateien können in den Samsung-Knox-

Container kopiert oder verschoben werden.

Apps im Samsung-Knox-Container können Bluetooth-

Verbindungen verwenden.

Apps im Samsung-Knox-Container können NFC-

Verbindungen (Near-Field Communication) verwenden.

Zum Entsperren des Samsung-Knox-Containers sind mehrere Authentisierungsarten erforderlich, zum

Beispiel Kennwort und Fingerabdruck.

Einstellung/Feld

Erlaubte Apps / Unzulässige Apps

Sophos Mobile on Premise

Beschreibung

Sie können entweder Erlaubte Apps oder

Unzulässige Apps konfigurieren. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Diese Einschränkungen betreffen nicht die App-

Installationen, die vom Sophos Mobile Server initiiert werden.

Informationen zur Erstellung von App-Gruppen finden

Sie in

15.18.3 Konfiguration „Exchange-Konto“ (Knox-Container-Profil)

Mit der Konfiguration Exchange account richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein. Diese Einstellungen gelten für den Samsung-Knox-Container.

Einstellung/Feld

Kontoname

Exchange server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Absender

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Sophos Mobile on Premise

Einstellung/Feld

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Default account

Allow all certificates

Allow forwarding from other accounts

Allow use of HTML format

Maximum attachment size in MB

Synchronize content types

Beschreibung

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Das Konto wird als Standard-E-Mail-Konto verwendet.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Mit diesem Konto können E-Mails anderer Konten weitergeleitet werden.

Beispiel: Wenn dies Konto A ist und der Knox-

Container ein weiteres Konto B enthält, kann eine von Konto B erhaltene E-Mail von Konto

A weitergeleitet werden, d.h. Konto A wird als

Absender der Weiterleitung verwendet.

Hinweis

Diese Einstellung wird nur von der nativen Android-

E-Mail-App verwendet.

E-Mails im HTML-Format sind zugelassen.

Die maximale Größe einer einzelnen E-Mail-

Nachricht ( 1 , 3 , 5 , 10 , Unbegrenzt ).

Die zu synchronisierenden Inhalte.

Sophos Mobile on Premise

15.19 Konfigurationen für Android-Things-

Richtlinien

Mit einer Android-Things-Richtlinie konfigurieren Sie verschiedene Bereiche von Android-Things-

Geräten. Derzeit werden nur WLAN-Einstellungen unterstützt.

Informationen zur Erstellung einer Android-Things-Richtlinie finden Sie in

Profil oder Richtlinie erstellen (Seite

(Seite 100).

15.19.1 Konfiguration „WLAN“ (Android-Things-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Sicherheitstyp

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp des WLAN:

• Ohne

• WEP

• WPA/WPA2

Wenn Sie WEP oder WPA/WPA2 auswählen, wird ein Feld Kennwort angezeigt. Geben Sie das relevante Kennwort ein.

15.20 Konfigurationen für iOS-Geräteprofile

Mit einem iOS-Geräteprofil konfigurieren Sie verschiedene Bereiche von iOS-Geräten, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen eines Geräteprofils finden Sie in

100).

15.20.1 Konfiguration „Kennwortrichtlinien“ (iOS-Geräteprofil)

Mit der Konfiguration Password policies definieren Sie Anforderungen an das Gerätekennwort.

Hinweis

Wenn die Konfiguration Password policies einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Sophos Mobile on Premise

Einstellung/Feld

Allow simple value

Require alphanumeric value

Minimale Länge des Kennworts

Minimum number of complex characters

Gültigkeitsdauer des Kennworts in Tagen

Maximum Auto-Lock (in minutes)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Maximum grace period for device lock

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der Toleranzfrist für die Gerätesperrung legen Sie fest, wie lange nach einer Sperre das Gerät ohne Kennwort entsperrt werden kann. Wenn Sie Ohne auswählen, kann der Benutzer einen beliebigen verfügbaren Zeitraum wählen. Wenn Sie Sofort auswählen, müssen Benutzer immer, wenn sie ihre Geräte entsperren, ein Kennwort eingeben.

Sophos Mobile on Premise

Einstellung/Feld

Number of failed attempts until device wipe

Beschreibung

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Versuchen wird eine Zeitverzögerung verhängt. Ein erneuter Versuch kann erst nach Ablauf der Verzögerung unternommen werden. Diese Verzögerung wird mit jedem fehlgeschlagenen Versuch größer. Nach dem letzten fehlgeschlagenen Versuch werden alle

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

15.20.2 Konfiguration „Einschränkungen“ (iOS-Geräteprofil)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Hinweis

Einige Optionen sind nur für bestimmte iOS-Versionen oder für betreute Geräte verfügbar. In

Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Device

Einstellung/Feld

Allow app installation

Allow app installation from device UI

Allow use of camera

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist der

App Store nicht verfügbar und sein Symbol wird vom

Home-Bildschirm entfernt. Benutzer können keine

Apps über den App Store oder Apple Configurator installieren oder aktualisieren.

Wenn das Kontrollkästchen deaktiviert ist, ist der

App Store nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Benutzer können weiterhin Apps über Apple Configurator installieren oder aktualisieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Sophos Mobile on Premise

Einstellung/Feld

Allow FaceTime

Bildschirmaufnahme erlauben

Allow automatic sync while roaming

Allow Siri

Allow Siri while device is locked

Allow Siri querying content from the web

Force Siri explicit language filter

Allow voice dialing while device is locked

Beschreibung

Benutzer können Videotelefonie über FaceTime durchführen.

Benutzer können Screenshots machen.

Wenn das Kontrollkästchen deaktiviert ist, synchronisieren sich Geräte bei Mobilfunk-Roaming nur dann, wenn der Benutzer auf ein Konto zugreift.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Siri, Sprachbefehle oder die Diktierfunktion nicht verwenden.

Wenn das Kontrollkästchen deaktiviert ist, müssen

Benutzer ihre Geräte durch Eingabe ihres Kennworts entsperren, damit sie Siri benutzen können.

Wenn das Kontrollkästchen deaktiviert ist, führt Siri keine Websuche durch.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer das Filtern von anstößiger Sprache für Siri deaktivieren.

Wenn das Kontrollkästchen deaktiviert ist, sind Anrufe mittels Sprachkommandos nicht möglich, wenn das

Gerät mit einem Kennwort gesperrt ist.

Hinweis

Falls kein Gerätekennwort konfiguriert ist, sind

Anrufe mittels Sprachkommandos immer möglich.

Allow Passbook while device is locked

Allow in-app purchase

Passbook-Benachrichtigungen werden auch bei gesperrtem Gerät angezeigt.

Benutzer können In-App-Käufe durchführen.

Force user to enter store password for all purchases

Benutzer müssen für Käufe ihr Apple-ID-Kennwort eingeben.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer innerhalb einer kurzen Toleranzfrist mehrere

Käufe durchführen, ohne ihr Kennwort jedes Mal neu einzugeben.

Allow multiplayer gaming Benutzer können im Game Center Multiplayer-Spiele spielen.

Allow Game Center Wenn das Kontrollkästchen deaktiviert ist, ist Game

Center nicht verfügbar.

Sophos Mobile on Premise

Einstellung/Feld

Allow adding Game Center friends

Allow find my friends modification

Allow host pairing

Allow pairing with Apple Watch

Allow AirDrop

Allow Control Center on lock screen

Allow Notification Center on lock screen

Allow Today view on lock screen

Allow News

Allow over-the-air PKI updates

Allow iBooks Store

Allow explicit sexual content in iBooks Store

Allow user to install configuration profiles

Allow iMessage

Beschreibung

Benutzer können im Game Center Freunde hinzufügen.

Wenn das Kontrollkästchen deaktiviert ist, können die

Einstellungen der App „Meine Freunde suchen“ nicht geändert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist ein

Datenaustausch per Kabel (Host Pairing) deaktiviert, außer mit dem „Supervision Host“. Wenn kein

Supervision-Host-Zertifikat konfiguriert ist, ist kein Host

Pairing möglich.

Wenn das Kontrollkästchen deaktiviert ist, kann das

Geräte nicht mit einer Apple Watch gekoppelt werden.

Für bereits gekoppelte Apple-Watch-Geräte wird die

Kopplung aufgehoben.

Inhalte können mittels AirDrop geteilt werden.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Kontrollzentrum bei aktiver Displaysperre nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Mitteilungszentrale bei aktiver Displaysperre nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist die Heute-Ansicht bei aktiver Displaysperre nicht verfügbar.

Die App „News“ ist verfügbar.

PKI-Aktualisierungen sind „Over-the-Air“ möglich.

Benutzer können in iBooks Bücher kaufen.

Wenn das Kontrollkästchen deaktiviert ist, sind iBooks mit anstößigem Inhalt gesperrt.

Benutzer können Konfigurationsprofile installieren.

Allow app removal

Allow system app removal

Benutzer können mit iMessage SMS senden oder empfangen.

Benutzer können Apps vom Gerät deinstallieren.

Benutzer können System-Apps vom Gerät deinstallieren.

Sophos Mobile on Premise

Einstellung/Feld

Allow erase all contents and settings

Allow internet search result for

Spotlight

Allow enabling of restrictions option

Allow Handoff

Allow device name modification

Allow wallpaper modification

Allow keyboard shortcuts

Allow dictation for keyboard input

Allow automatic app download

Allow Apple Music

Allow Apple Music Radio

Allow modification of Bluetooth settings

Allow VPN creation

Force automatic date and time

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist auf der Seite „Zurücksetzen“ die Option Inhalte und

Einstellungen löschen nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Wenn das Kontrollkästchen deaktiviert ist, ist auf der

Seite „Zurücksetzen“ die Option Einschränkungen aktivieren nicht verfügbar.

Die Apple-Integrations-Funktion „Handoff“ ist verfügbar. Mit „Handoff“ können Benutzer die

Bearbeitung von Dokumenten, E-Mails oder

Nachrichten, die sie auf einem Gerät begonnen haben, auf einem anderen Gerät fortsetzen.

Benutzer können den Gerätenamen ändern.

Benutzer können das Hintergrundbild ändern.

Benutzer können Tastenkürzel verwenden.

Benutzer können in den Tastatureinstellungen die

Diktierfunktion aktivieren.

Wenn das Kontrollkästchen deaktiviert ist, werden

Apps, die auf anderen Geräten erworben wurden, nicht automatisch heruntergeladen. Dies betrifft nicht die

Aktualisierung bereits vorhandener Apps.

Der Dienst „Apple Music“ ist verfügbar.

Der Dienst „Apple Music Radio“ ist verfügbar.

Benutzer können die Bluetooth-Einstellungen ändern.

iOS software update delay

Benutzer könne VPN-Konfigurationen hinzufügen.

Die iOS-Einstellung Automatisch einstellen für

Datum & Uhrzeit ist aktiviert und kann vom Benutzer nicht deaktiviert werden.

Anzahl an Tagen, die eine iOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

Sophos Mobile on Premise

Company data

Einstellung/Feld

Allow documents to be shared only within managed apps/accounts

Beschreibung

Dies beschränkt das Öffnen von Dokumenten mit Apps oder Konten, die von Sophos Mobile verwaltet werden

(z.B. ein Firmen-E-Mail-Konto).

Wenn Benutzer über ein von Sophos Mobile verwaltetes E-Mail-Konto und von Sophos Mobile verwaltete Apps auf Ihren Geräten verfügen, können die Anhänge aus dem verwalteten E-Mail-Konto nur mit verwalteten Apps geöffnet werden.

Auf diese Weise können Sie verhindern, dass

Unternehmensdokumente mit nicht verwalteten Apps geöffnet werden.

Wenn Sie diese Einstellung deaktivieren, sind die beiden nächsten Einstellungen nicht verfügbar.

Kontakte aus verwalteten Konten können mit nicht verwalteten Apps geteilt werden.

Verwaltete Apps können Kontakte in nicht verwaltete

Konten schreiben.

Nicht verwaltete Apps können Kontakte aus verwalteten Konten lesen.

Allow managed apps to write contacts to unmanaged accounts

Allow unmanaged apps to read contacts from managed accounts

Allow documents to be shared only within unmanaged apps/accounts

Dies beschränkt das Öffnen von Dokumenten mit Apps oder Konten, die nicht von Sophos Mobile verwaltet werden (z.B. ein privates E-Mail-Konto).

Wenn Benutzer auf ihren Geräten E-Mail-Konten und Apps haben, die nicht von Sophos Mobile verwaltet werden, können die Anhänge aus dem nicht verwalteten E-Mail-Konto nur mit nicht verwalteten

Apps geöffnet werden.

Auf diese Weise können Sie verhindern, dass persönliche Dokumente mit verwalteten Apps geöffnet werden.

Mittels AirDrop geteilte Dokumente sind keine verwalteten Dokumente.

Force AirDrop documents to be used as unmanaged documents

Allow managed apps to sync with iCloud

Allow backup for enterprise books

Allow enterprise books notes and highlights sync

Verwaltete Apps können iCloud für die

Synchronisierung verwenden.

Enterprise-Books werden gesichert.

Notizen und Hervorhebungen in Enterprise-Books werden synchronisiert.

Sophos Mobile on Premise

Applications

Einstellung/Feld

Allow use of the iTunes Store

Allow use of Safari

Enable auto-fill

Force fraud warning

Block pop-ups

Allow JavaScript in browser

Accept cookies

Änderung der Einstellungen für mobile

Datenverbindungen pro App erlauben

Erlaubte Apps / Unzulässige Apps

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist der iTunes Store nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Benutzer können

Inhalte weder in der Vorschau ansehen, noch kaufen oder herunterladen.

Wenn das Kontrollkästchen deaktiviert ist, ist der

Browser Safari nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Dies verhindert auch, dass Benutzer Web Clips öffnen.

Wenn das Kontrollkästchen deaktiviert ist, werden in

Safari Webformulare nicht automatisch ausgefüllt.

Die Safari-Sicherheitseinstellung zum Warnen des

Benutzers vor möglichen Phishing-Websites ist immer aktiviert.

Safari blockiert Popups.

Webseiten können JavaScript-Code auf dem Gerät ausführen.

In diesem Feld legen Sie fest, ob Safari Cookies akzeptiert.

Wenn Sie Cookies erlauben, können Sie festlegen, ob nur Cookies der aktuellen Seite, der zuletzt besuchten

Seiten oder aller Seiten akzeptiert werden.

Benutzer können für einzelne Apps die Einstellungen für mobile Datenverbindungen ändern.

Sie können entweder Erlaubte Apps oder

Unzulässige Apps angeben. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält. Informationen zur

Erstellung von App-Gruppen finden Sie in App-

Gruppen (Seite 316).

Sophos Mobile on Premise

iCloud

Einstellung/Feld

Allow backup

Allow document sync

Allow Photo Stream

Allow iCloud Photo Library

Allow shared photo streams

Allow iCloud Keychain sync

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können Fotos zu Mein Fotostream hochladen.

Hinweis

Wenn Sie das Kontrollkästchen deaktivieren, um Mein Fotostream zu verbieten, werden existierende Fotos von allen Geräten gelöscht, auf denen diese über Mein Fotostream geteilt wurden. Wenn keine anderen Kopien dieser Fotos existieren, gehen diese verloren.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können ihre Fotostreams anderen Benutzern zur Betrachtung freigeben und freigegebene

Fotostreams anderer Benutzer betrachten.

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Security and privacy

Einstellung/Feld

Allow diagnostic data to be sent to

Apple

Allow user to accept untrusted TLS certificates

Trust enterprise apps

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, werden keine iOS-Diagnosedaten an Apple gesendet.

Wenn das Kontrollkästchen deaktiviert ist, werden

Benutzer nicht gefragt, ob sie einem Zertifikat vertrauen möchten, das nicht verifiziert werden kann.

Diese Einstellung gilt für Safari, Mail-Kontakte und

Kalender-Konten.

Enterprise-Apps wird vertraut.

Sophos Mobile on Premise

Einstellung/Feld

Allow password modification

Allow account modification

Allow Touch ID to unlock device

Force limit ad-tracking

Force encrypted backups

Force configured Wi-Fi networks

Allow AirPrint

Allow AirPrint credentials storage

Allow iBeacon discovery of AirPrint printers

Beschreibung

Benutzer können ein Gerätekennwort definieren,

ändern und löschen.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Konten bearbeiten. Das Menü Konten ist nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Apps für anonyme Benutzerdaten, die für die

Adressierung von Werbung verwendet werden, sind nicht mehr verfügbar.

Benutzer müssen iTunes-Backups verschlüsseln.

Geräte können sich nur mit WLAN-Netzwerken verbinden, die über ein Sophos Mobile Profil konfiguriert wurden.

Benutzer können Dateien an AirPrint-Drucker senden.

Benutzername und Kennwort für AirPrint können im

Systemschlüsselbund gespeichert werden.

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

Force trusted certificates for AirPrint over TLS

Allow Quick Start transfer to new device

Allow password auto-fill

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

Der Benutzer kann mit Hilfe der Funktion „Schnellstart“ des iOS-Einrichtungsassistenten Daten von dem Gerät auf ein neues Gerät übertragen.

Wenn das Kontrollkästchen deaktiviert ist, ist die iOS-

Einstellung Automatisch ausfüllen , mit der Benutzer ein gespeichertes Kennwort in Safari oder anderen

Apps verwenden können, deaktiviert.

Dies deaktiviert auch das automatische Vorschlagen von sicheren Kennwörtern.

Request Wi-Fi passwords from nearby devices

Das Gerät versucht bei der Einrichtung einer

WLAN-Verbindung, das Kennwort von in der Nähe befindlichen Geräten zu erhalten.

Einstellung/Feld

Allow AirDrop password sharing

Sophos Mobile on Premise

Beschreibung

Benutzer können Kennwörter aus dem iOS Password

Manager über AirDrop mit anderen Benutzern teilen.

Content ratings

Einstellung/Feld

Allow explicit music and podcasts

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, werden im iTunes Store keine anstößigen Musik- oder Video-

Inhalte angezeigt. Anstößige Inhalte werden von den jeweiligen Anbietern, zum Beispiel Plattenfirmen, bei der Auflistung im iTunes Store entsprechend gekennzeichnet.

15.20.3 Konfiguration „Exchange-Konto“ (iOS-Geräteprofil)

Mit der Konfiguration Exchange account richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Sophos Mobile on Premise

Einstellung/Feld

Kennwort

OAuth

Synchronisierungszeitraum

SSL/TLS

Verschieben erlauben

Synchronisierung letzter Adressen erlauben

Nur mit Mail verwenden

Identitätszertifikat

Enable S/MIME

Beschreibung

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Das Konto verwendet OAuth für die

Authentisierung, d.h. Benutzer authentisieren sich mit ihren Microsoft-Zugangsdaten.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Benutzer können E-Mails von diesem Konto in ein anderes verschieben. Dies erlaubt Benutzern außerdem, ein anderes Konto für das Antworten auf oder das Weiterleiten von Nachrichten aus diesem Konto zu verwenden.

Das Konto wird in die iCloud-Synchronisierung kürzlich verwendeter Adressen mit anderen

Geräten einbezogen.

Für das Senden von Nachrichten mit diesem

Konto kann nur die App „Mail“ verwendet werden.

Das Konto kann nicht als Absender-Konto für mit anderen Apps erstellten Nachrichten (zum

Beispiel Fotos oder Safari) verwendet werden.

Das Identitätszertifikat für die Verbindung zum

Exchange-Server.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat im aktuellen Profil.

Unterstützung des Verschlüsselungsstandards S/

MIME.

Einstellung/Feld

Signaturzertifikat

Encryption certificate

Allow user to send unencrypted emails

Sophos Mobile on Premise

Beschreibung

Die für E-Mail-Signierung und -Verschlüsselung verwendeten Zertifikate.

Um ein Zertifikat auszuwählen, müssen Sie dieses zunächst in einer Konfiguration Client-

Zertifikat des aktuellen Profils hochladen.

Der Benutzer bei jeder ausgehenden E-Mail entscheiden, ob sie verschlüsselt gesendet werden soll oder nicht.

15.20.4 Konfiguration „WLAN“ (iOS-Geräteprofil)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Connect automatically

Hidden network

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Sophos Mobile on Premise

Einstellung/Feld

Sicherheitstyp

188

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (personal)

• WPA/WPA2 (personal)

• Any (personal)

• WEP (enterprise)

• WPA/WPA2 (enterprise)

• Any (enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,

Authentifizierung and Vertrauen angezeigt.

Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die EAP-

Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.

• Wählen Sie in TLS minimum version und TLS maximum version die minimale und die maximale TLS

-Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf der Registerkarte

Authentifizierung Einstellungen für die Client-

Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf der Registerkarte Vertrauen

Einstellungen für die Server-Authentifizierung:

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Einstellung/Feld

Proxy

Sophos Mobile on Premise

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• No proxy

• Manually

• Automatic

Wenn Sie Manually auswählen, werden die Felder

Server and port , Authentication and Kennwort angezeigt. Geben Sie die erforderlichen Proxy-

Informationen ein. Wenn Sie Automatic auswählen, wird das Feld Proxy server URL angezeigt. Geben

Sie die URL des Proxy-Servers ein.

15.20.5 Konfiguration „Kioskmodus“ (iOS-Geräteprofil)

Mit der Konfiguration Kioskmodus definieren Sie Einstellungen für den Kioskmodus. In diesem Modus kann nur eine einzige App verwendet werden.

Einstellung/Feld

Quelle auswählen

Kennung

Disable touchscreen

Disable rotation

Disable volume buttons

Disable ringer switch

Disable sleep wake button

Disable Auto-Lock

Enable VoiceOver

Beschreibung

Wählen Sie aus, wie Sie die App für den Kioskmodus festlegen wollen:

• App-Liste : Wählen Sie die App aus der Liste der verfügbaren iOS-Apps aus.

• Benutzerdefiniert : Geben Sie manuell die Bundle-

ID der App ein.

Die App für den Kioskmodus.

Wählen Sie entweder eine App aus der Liste aus oder geben Sie eine Bundle-ID ein.

Touch-Gesten sind nicht verfügbar.

Die Bildschirmorientierung kann nicht geändert werden.

Die Gerätetasten zur Lautstärkesteuerung sind nicht verfügbar.

Der Lautlos-Modus kann nicht aktiviert werden.

Die Standby-Taste ist nicht verfügbar.

Die automatische Bildschirmsperre, mit der das

Gerät nach einer bestimmten Inaktivitätsdauer in den

Standbymodus wechselt, ist deaktiviert.

Die Funktion „VoiceOver“ ist verfügbar.

Sophos Mobile on Premise

Einstellung/Feld

Enable Zoom

Enable Invert Colors

Enable AssistiveTouch

Enable Speak Selection

Enable Mono Audio

VoiceOver

Zoom

Invert Colors

AssistiveTouch

Beschreibung

Die Funktion „Zoom“ ist verfügbar.

Die Funktion „Farben umkehren“ ist verfügbar.

Die Funktion „AssistiveTouch“ ist verfügbar.

Die Funktion „Auswahl sprechen“ ist verfügbar.

Die Funktion „Mono-Audio“ ist verfügbar.

Der Benutzer kann die Funktion „VoiceOver“ anpassen.

Der Benutzer kann die Funktion „Zoom“ anpassen.

Der Benutzer kann die Funktion „Farben umkehren“ anpassen.

Der Benutzer kann die Funktion „AssistiveTouch“ anpassen.

15.20.6 Konfiguration „Zugangspunkt (APN)“ (iOS-Geräteprofil)

Mit der Konfiguration Access Point Name konfigurieren Sie einen Access Point Name (APN) für iOS-

Geräte. Eine APN-Konfiguration legt fest, wie sich Geräte mit einem Mobilfunknetz verbinden.

Hinweis

Die Konfiguration Access Point Name ist veraltet. Verwenden Sie stattdessen die Konfiguration

Cellular . Siehe

Konfiguration „Mobilfunk“ (iOS-Geräteprofil)

(Seite 191).

Wichtig

Wenn diese Einstellungen nicht korrekt sind, kann das Gerät nicht auf Daten über ein

Mobilnetzwerk zugreifen. Wenn Sie die Einstellungsänderungen rückgängig machen wollen, müssen Sie das Profil vom Gerät entfernen.

Einstellung/Feld

APN

Beschreibung

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz mittels GPRS verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Einstellung/Feld

User name for access point

Password for access point

Proxy server and port

Sophos Mobile on Premise

Beschreibung

Der Nutzername für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Benutzernamen mit bis zu 64 Zeichen.

Das Kennwort für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Kennwörter mit bis zu 64 Zeichen.

Die Adresse und die Portnummer des Proxy-

Servers.

15.20.7 Konfiguration „Roaming/Hotspot“ (iOS-Geräteprofil)

Mit der Konfiguration Roaming/Hotspot definieren Sie Einstellungen für Roaming-Verbindungen und für persönliche Hotspots.

Hinweis

Benutzer können diese Einstellungen auf ihren Geräten jederzeit ändern.

Einstellung/Feld

Enable voice roaming

Enable data roaming

Enable personal hotspot

Beschreibung

Sprach-Roaming ist verfügbar.

Daten-Roaming ist verfügbar.

Der Benutzer kann das Gerät als persönlichen

Hotspot konfigurieren.

15.20.8 Konfiguration „Mobilfunk“ (iOS-Geräteprofil)

Mit der Konfiguration Cellular definieren Sie Einstellungen auf iOS-Geräten für Mobilfunknetze.

Hinweis

Eine Konfiguration vom Typ Cellular kann nicht auf Geräten installiert werden, auf denen bereits eine Konfiguration Access Point Name vorhanden ist.

Sophos Mobile on Premise

Einstellung/Feld

Authentication

APN

User name for access point

Password for access point

Proxy server and port

Beschreibung

PAP

CHAP

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz mittels GPRS verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Der Nutzername für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Benutzernamen mit bis zu 64 Zeichen.

Das Kennwort für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Kennwörter mit bis zu 64 Zeichen.

Die Adresse und die Portnummer des Proxy-

Servers.

15.20.9 Konfiguration „Netzwerk-Nutzungsregeln“ (iOS-

Geräteprofil)

Mit der Konfiguration Netzwerk-Nutzungsregeln legen Sie für verwaltete Apps fest, wie

Datenverbindungen in Mobilfunknetzen verwendet werden dürfen.

Allgemeine Regeln

Unter Regeln für alle verwalteten Apps geben Sie Einstellungen für verwaltete Apps im

Allgemeinen ein.

Einstellung/Feld

Allow cellular data

Allow data roaming

Beschreibung

Verwaltete Apps dürfen Datenverbindungen in

Mobilfunknetzen verwenden.

Verwaltete Apps dürfen Datenverbindungen bei Roaming in fremden Mobilfunknetzen verwenden.

Sophos Mobile on Premise

Ausnahmen

Ausnahmen überschreiben die allgemeinen Regeln. Verwenden Sie Ausnahme hinzufügen , um

Regeln zu definieren, die für eine bestimmte App-Gruppe gelten.

Einstellung/Feld

App-Gruppe

Allow cellular data

Allow data roaming

Beschreibung

Wählen Sie eine App-Gruppe aus.

Die Ausnahme gilt für alle verwalteten Apps aus dieser

Gruppe.

Verwaltete Apps in der ausgewählten App-Gruppe dürfen

Datenverbindungen in Mobilfunknetzen verwenden.

Verwaltete Apps in der ausgewählten App-Gruppe dürfen Datenverbindungen bei Roaming in fremden

Mobilfunknetzen verwenden.

Hinweis

Für jede App-Gruppe können Sie nur eine Ausnahmeregel anlegen.

15.20.10 Konfiguration „VPN“ (iOS-Geräteprofil)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Connection name

Connection type

Identifier (reverse DNS format)

Server

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• Custom SSL/TLS

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Sophos Mobile on Premise

Einstellung/Feld

Account

Third-party settings

Send all traffic through VPN

Group

User authentication

Beschreibung

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

Einstellung/Feld

Device authentication

Proxy

Sophos Mobile on Premise

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel

(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung verwenden und Kennwort verlangen .

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• No proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Sophos Mobile on Premise

Einstellung/Feld

Provider type

Beschreibung

Der VPN-Verbindungstyp.

• App proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Packet tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

15.20.11 Konfiguration „VPN pro App“ (iOS-Geräteprofil)

Mit der Konfiguration VPN pro App definieren Sie VPN-Einstellungen für einzelne Apps.

Sie können konfigurieren, dass bestimmte Apps beim Starten automatisch eine VPN-Verbindung verwenden. Somit können Sie zum Beispiel sicherstellen, das von verwalteten Apps übermittelte

Daten über VPN übertragen werden.

Wenn Sie App-spezifische VPN-Konfigurationen eingerichtet haben, können Sie auf der Seite Paket bearbeiten einer App eine Konfiguration auswählen. Siehe

VPN pro App und Einstellungen für iOS-

Apps konfigurieren (Seite 314).

Einstellung/Feld

Connection name

Connection type

Identifier (reverse DNS format)

Server

Account

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• F5

• Check Point

• Custom SSL/TLS

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Einstellung/Feld

Third-party settings

Send all traffic through VPN

Group

User authentication

Proxy

Sophos Mobile on Premise

Beschreibung

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-

Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die

Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-

Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein Zertifikat aus.

Die Proxy-Einstellungen für die Verbindung:

• No proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

197

Sophos Mobile on Premise

Einstellung/Feld

Provider type

Safari domains

Beschreibung

Der VPN-Verbindungstyp.

• App proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Packet tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

In diesem Feld können Sie eine Liste von

Zeichenfolgen eingeben, um Domänen zu spezifizieren. Verwenden Sie eine neue Zeile für jede Domänen-Zeichenfolge.

Wenn eine Domäne, auf die eine der

Zeichenfolgen passt, in Safari oder in einer anderen Browser-App geöffnet wird, wird die

VPN-Verbindung verwendet.

Domänen werden gemäß der folgenden Regeln mit den Zeichenfolgen verglichen:

• Punkte am Anfang und Ende werden ignoriert. Beispiel: Die Zeichenfolge

.beispiel.com

passt auf dieselben

Domänen wie die Zeichenfolge beispiel.com

• Jeder Namensteil einer Zeichenfolge muss auf einen vollständigen Namensteil einer

Domäne passen. Beispiel: Die Zeichenfolge beispiel.com

passt auf die Domäne www.beispiel.com

, aber nicht auf www.mein-beispiel.com

• Zeichenfolgen, die aus einem einzelnen

Namensteil bestehen, passen nur auf genau diese Domäne. Beispiel: Die

Zeichenfolge beispiel passt auf die

Domäne beispiel , aber nicht auf www.beispiel.com

15.20.12 Konfiguration „Web Clip“ (iOS-Geräteprofil)

Mit der Konfiguration Web Clip definieren Sie Web Clips, die zum Home-Bildschirm hinzugefügt werden. Web Clips bieten schnellen Zugriff auf favorisierte Webseiten. Sie können jedoch zum Beispiel auch einen Web Clip mit einer Support-Telefonnummer hinzufügen, damit die Benutzer schnell den

Helpdesk kontaktieren können.

Einstellung/Feld

Beschreibung

Beschreibung

Eine Beschreibung des Web Clips.

Einstellung/Feld

URL

Can be removed

Full screen

Icon

Sophos Mobile on Premise

Beschreibung

Die Webadresse des Web Clips.

Wenn das Kontrollkästchen deaktiviert ist, kann der Benutzer den Web Clip nicht entfernen. Der

Webclip kann nur durch Entfernen des Profils, das den Webclip installiert hat, entfernt werden.

Der Web Clip wird auf dem Gerät bildschirmfüllend geöffnet. Ein bildschirmfüllender Web Clip öffnet die URL als

Web-App.

Wählen Sie ein Bild für das Web-Clip-Icon auf dem Home-Bildschirm aus. Dies muss eine

Bilddatei im Format PNG, GIF oder JPEG mit einer maximalen Größe von 1 MB sein.

Das Bild wird quadratisch beschnitten und je nach Bildschirmauflösung skaliert. Beste

Resultate erhalten Sie bei einer Bildgröße von

180 Pixel mal 180 Pixel.

Hinweis

Wenn im HTML-Code der Webseite ein favicon definiert ist, verwendet das Gerät möglicherweise dieses favicon als Web-Clip-Icon. Dies betrifft nicht alle Webseiten und hängt davon ab, auf welche Weise das favicon im Code der Webseite konfiguriert ist.

15.20.13 Konfiguration „Hintergrundbild“ (iOS-Geräteprofil)

Mit der Konfiguration Wallpaper definieren Sie Hintergrundbilder für den Sperrbildschirm und/oder den

Home-Bildschirm von iOS-Geräten.

Einstellung/Feld

Apply to

Beschreibung

Wählen Sie aus, ob das Bild für den Sperrbildschirm, für den

Home-Bildschirm, oder für beides verwendet wird.

Sophos Mobile on Premise

Einstellung/Feld

Image

Beschreibung

Wählen Sie ein PNG- oder JPEG-Bild (max. 5 MB) aus, das als

Hintergrundbild verwendet wird.

Das Bild wird von iOS nach Bedarf beschnitten und skaliert.

Beste Ergebnisse erhalten Sie bei folgenden Bildgrößen (in

Pixeln):

• 640 × 1136 (iPhone 5)

• 750 × 1334 (iPhone 6/7)

• 1242 × 2208 (iPhone 6/7 Plus)

• 1536 × 2048 (iPad, iPad mini, iPad Air)

• 2048 × 2732 (iPad Pro)

Hinweis

Benutzer können das Hintergrundbild jederzeit ändern.

15.20.14 Konfiguration „Webfilter“ (iOS-Geräteprofil)

Mit der Konfiguration Webfilter definieren Sie blockierte URLs und erlaubte URLs mit Lesezeichen.

Einstellung/Feld

Blocked URLs

Allowed URLs with bookmarks

Block adult content

Beschreibung

Wenn Sie das Kontrollkästchen aktivieren, können Sie eine Liste mit blockierten URLs definieren, auf die nicht zugegriffen werden kann.

Klicken Sie auf Weiter , um die Seite Web content filter anzuzeigen. Auf dieser Seite können Sie einzelne URLs hinzufügen.

Verwenden Sie eine neue Zeile für jede URL.

Wenn Sie das Kontrollkästchen aktivieren, können Sie erlaubte URLs mit Lesezeichen definieren, die im Browser Safari verfügbar sind. Alle anderen Webseiten werden blockiert.

Klicken Sie auf Weiter , um die Seite Web content filter anzuzeigen. Klicken Sie auf Hinzufügen , um individuelle URLs als

Lesezeichen zu definieren.

Mit dieser Option auf der Seite Web content filter aktivieren Sie einen Apple-Filter, der nicht-jugendfreie Inhalte blockiert. Zum

Beispiel Webseiten, die Kraftausdrücke oder pornografische Formulierungen verwenden.

Sophos Mobile on Premise

15.20.15 Konfiguration „Globaler HTTP-Proxy“ (iOS-

Geräteprofil)

Mit der Konfiguration Global HTTP proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server and port

Authentication

Password

Proxy server URL

Beschreibung

Wählen Sie Manually aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatic aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

15.20.16 Konfiguration „Verwaltete Domänen“ (iOS-Geräteprofil)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für iOS-Geräte.

Email domains

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

Web domains

Dateien, die von einer der konfigurierten Domänen heruntergeladen werden, werden als „Verwaltete

Dokumente“ behandelt. Wenn Sie die Einschränkung Allow documents to be shared only within managed apps/accounts aktivieren, können diese Dokumente nur von verwalteten Apps geöffnet werden.

Informationen zu verwalteten Apps finden Sie in

Verwaltete iOS-Apps

(Seite 308).

Hinweis

Wenn ein Eintrag für eine verwaltete Web-Domäne eine Portnummer enthält, werden nur

Adressen mit dieser Portnummer als verwaltet berücksichtigt. Andernfalls werden nur die

Standardports als verwaltet berücksichtigt (Port 80 für http und 443 für https).

Sophos Mobile on Premise

15.20.17 Konfiguration „CalDAV“ (iOS-Geräteprofil)

Mit der Konfiguration CalDAV konfigurieren Sie die Synchronisierung von Kalenderdaten mit einem

CalDAV-Server. Sie können so zum Beispiel Google Kalender mit einem iOS-Gerät synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Benutzername , Kennwort

SSL/TLS

Beschreibung

Der auf dem Gerät angezeigte Name des CalDAV-Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CalDAV-Servers.

Geben Sie zum Beispiel für Google Kalender folgendes ein: calendar.google.com:443

Falls vom CalDAV-Server benötigt, geben Sie die

Principal URL der Kalender-Ressource ein.

Geben Sie zum Beispiel folgendes ein, um einen anderen als den Haupt-Kalender eines Google-Kontos zu synchronisieren: https://apidata.googleusercontent.com/ caldav/

v2/calendar_id/user wobei calendar_id die ID des Kalenders ist, den Sie synchronisieren wollen. Wenn Sie Google Kalender in

Ihrem Webbrowser öffnen, wird die Kalender-ID in den

Kalendereinstellungen angezeigt. Einzelheiten finden Sie in der Hilfe zu Google Kalender.

Die Anmeldeinformationen des CalDAV-Kontos.

Geben Sie zum Beispiel für Google Kalender die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CalDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.20.18 Konfiguration „CardDAV“ (iOS-Geräteprofil)

Mit der Konfiguration CardDAV konfigurieren Sie die Synchronisierung von Kontaktdaten mit einem

CardDAV-Server. Sie können so zum Beispiel Google Kontakte mit einem iOS-Gerät synchronisieren.

Einstellung/Feld

Kontoname

Beschreibung

Der auf dem Gerät angezeigte Name des CardDAV-

Kontos.

Einstellung/Feld

Konto-Host-Name und -Port

Principal URL

Benutzername , Kennwort

SSL/TLS

Sophos Mobile on Premise

Beschreibung

Hostname oder IP-Adresse und (optional) der Port des

CardDAV-Servers.

Geben Sie zum Beispiel für Google Kontakte folgendes ein: google.com

Falls vom CardDAV-Server benötigt, geben Sie die

Principal URL der Kontakte-Ressource ein.

Zum Beispiel unterstützt die Google-CardDAV-API folgende Principal URL: https://www.googleapis.com/carddav/

v1/ principals/account_name@gmail.com

wobei account_name der Name des Google-Kontos ist.

Die Anmeldeinformationen des CardDAV-Kontos.

Geben Sie zum Beispiel für Google Kontakte die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CardDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.20.19 Konfiguration „IMAP/POP“ (iOS-Geräteprofil)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem iOS-Gerät hinzu.

Einstellung/Feld

Kontoname

Typ des Accounts

User display name

E-Mail-Adresse

Beschreibung

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Der Typ des E-Mail-Servers für eingehende E-Mails

(entweder IMAP oder POP ).

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Sophos Mobile on Premise

Einstellung/Feld

Verschieben erlauben

Synchronisierung letzter Adressen erlauben

Nur mit Mail verwenden

Allow Mail Drop

Enable S/MIME

Signaturzertifikat

Encryption certificate

Allow user to send unencrypted emails

Eingehende E-Mail

Email server and port

Beschreibung

Benutzer können E-Mails von diesem Konto in ein anderes verschieben. Dies erlaubt Benutzern außerdem, ein anderes Konto für das Antworten auf oder das

Weiterleiten von Nachrichten aus diesem Konto zu verwenden.

Das Konto wird in die Synchronisierung der Liste zuletzt verwendeter Adressen einbezogen.

Für das Senden von Nachrichten mit diesem Konto kann nur die App „Mail“ verwendet werden. Das Konto kann nicht als Absender-Konto für mit anderen Apps erstellten

Nachrichten (zum Beispiel Fotos oder Safari) verwendet werden.

Apple Mail Drop für dieses Konto erlauben.

Unterstützung des Verschlüsselungsstandards S/MIME.

Die für E-Mail-Signierung und -Verschlüsselung verwendeten Zertifikate.

Um ein Zertifikat auszuwählen, müssen Sie dieses zunächst in einer Konfiguration Client-Zertifikat des aktuellen Profils hochladen.

Der Benutzer bei jeder ausgehenden E-Mail entscheiden, ob sie verschlüsselt gesendet werden soll oder nicht.

User name

Authentifizierung-Typ

Kennwort

SSL/TLS

Hostname oder IP-Adresse und Port des

Posteingangsservers.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Posteingangsserver.

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Die Verbindung zum Posteingangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Ausgehende E-Mail

Email server and port Hostname oder IP-Adresse und Port des

Postausgangsservers.

Einstellung/Feld

Benutzername

Authentifizierung-Typ

Kennwort

Use same password as for incoming email

SSL/TLS

Sophos Mobile on Premise

Beschreibung

Der Benutzername für die Verbindung mit dem

Postausgangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Postausgangsserver.

Das Kennwort für die Verbindung mit dem

Postausgangsserver (falls erforderlich).

Das selbe Kennwort wie für den Posteingangsserver verwenden.

Die Verbindung zum Postausgangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

15.20.20 Konfiguration „Exchange-Konto“ (iOS-Geräteprofil)

Mit der Konfiguration Google account richten Sie ein Google-Konto ein. Nachdem die Konfiguration dem Gerät zugewiesen wurde, muss der Benutzer sich an dem Google-Konto anmelden. Anschließend wird das Google-Konto auf dem Gerät eingerichtet und der Benutzer kann Google-Dienste aktivieren.

Einstellung/Feld

Google email address

Account description

User name

Beschreibung

Die vollständige E-Mail-Adresse des Google-

Kontos.

Eine optionale Beschreibung des Kontos. Der

Wert wird in der E-Mail-App und in den Geräte-

Einstellungen angezeigt.

Der Benutzername. Der Wert wird als

Absendername in E-Mail-Nachrichten verwendet.

15.20.21 Konfiguration „Single-Sign-On“ (iOS-Geräteprofil)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos principal name

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Sophos Mobile on Premise

Einstellung/Feld

Realm

URLs

App identifiers

Beschreibung

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Für Geräte mit iOS 9.0 oder neuer können

Sie einen einzelnen Stern (*) verwenden, um beliebige Werte zu spezifizieren. Beispiel:

Der URL-Präfix https://*.beispiel.de/ passt auf https://www.beispiel.de/ oder https://

m.beispiel.de/.

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

15.20.22 Konfiguration „AirPrint“ (iOS-Geräteprofil)

Mit der Konfiguration AirPrint fügen Sie der Druckerliste eines Benutzers AirPrint-Drucker hinzu.

Einstellung/Feld

IP address

Resource path

Port

Force TLS

Beschreibung

Die IP-Adresse des AirPrint-Druckers.

Die mit dem Drucker verbundene Ressource.

Beispiele:

• printers/<printer model>

• ipp/print

Der Lauschport des AirPrint-Druckers.

AirPrint-Verbindungen werden mit TLS gesichert.

Sophos Mobile on Premise

15.20.23 Konfiguration „Root-Zertifikat“ (iOS-Geräteprofil)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.20.24 Konfiguration „Client-Zertifikat“ (iOS-Geräteprofil)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.20.25 Konfiguration „SCEP“ (iOS-Geräteprofil)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

URL

CA name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Sophos Mobile on Premise

208

Einstellung/Feld

Subject

Type of Subject Alternative Name

Value of Subject Alternative Name

AD user logon name

Challenge

Retries

Retry delay

Key size

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(SerialNumber)_% ein, um ein iPhone oder iPad zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822 name : Eine gültige E-Mail-Adresse.

• DNS name : Der DNS-Name des CA-Servers.

• Uniform resource identifier : Die vollständige (Fully

Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Use as digital signature

Use for encryption

Sophos Mobile on Premise

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.20.26 Duo-Gerätezertifikat (iOS-Geräteprofil)

Mit der Konfiguration Duo device certificate ermöglichen Sie Geräten, ein Zertifikat vom SCEP-

Server von Duo Security anzufordern. Wenn dieses Zertifikat auf einem Gerät installiert ist, klassifiziert die App Duo Mobile das Gerät als vertrauenswürdig.

Die erforderlichen Einstellungen sind für alle Duo-Security-Konten gleich. Ändern Sie nicht die vorausgefüllten Werte.

15.21 Konfigurationen für Sophos-Container-

Richtlinien (iOS)

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für die Sophos-Container-Apps

Sophos Secure Email und Sophos Secure Workspace.

Informationen zum Erstellen einer Sophos-Container-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 100).

15.21.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für iOS)

Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.

Einstellung/Feld

Enable Sophos container password

Beschreibung

Container-Apps.

Sophos Mobile on Premise

Einstellung/Feld

Password complexity

Always hide characters in password entry fields

Password age in days

Failed logins until lock

Fingerabdruck erlauben

Grace period in minutes

Beschreibung

Die minimale Komplexität des Kennworts für den Sophos-Container. Sicherere

Kennwörter sind immer erlaubt. Kennwörter

(eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs (nur numerische

Zeichen).

• Beliebig : Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.

• 4 digit PIN

• 6 digit PIN

• 4 char password

• 6 char password

• 8 char password

• 10 char password

In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.

Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.

Die erlaubte Anzahl fehlgeschlagener

Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden.

Falls konfiguriert, können die Apps auch vom

Benutzer im Self Service Portal entsperrt werden.

Benutzer können die App mit ihrem

Fingerabdruck entsperren.

Die Zeitspanne, während der kein Sophos-

Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im

Vordergrund angezeigt wird.

Die Toleranzfrist gilt für alle Container-Apps.

Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.

Einstellung/Feld

Last server connect

Sophos Mobile on Premise

Beschreibung

Die Zeitspanne, innerhalb derer Benutzer eine

Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile

Server aufgebaut wurde.

• Bei jedem Zugriff : Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.

• 1 Stunde : Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.

• 3 hours

• 6 hours

• 12 hours

• 1 day

• 3 days

• None : Keine regelmäßige Verbindung ist notwendig.

Sophos Mobile on Premise

Einstellung/Feld

Offline starts without server connection

Beschreibung

In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.

Hinweis

Diese Einstellung setzt voraus, dass ein

Sophos-Container-Kennwort eingerichtet ist.

Jailbreak allowed Die Container-Apps können auf Geräten mit

Jailbreak laufen.

App-Nutzungs-Beschränkungen

Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken

Sie auf Hinzufügen , um Beschränkungen einzugeben.

Geo-fencing

Es wird mitgezählt, wie oft Benutzer das

Sophos-Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe Sperrbildschirm wie für die

Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum Sophos Mobile Server hergestellt wird.

• Unlimited : Es ist keine Serververbindung notwendig.

• 0 : Das Starten der App ohne Serververbindung ist nicht möglich.

• 1 : Nach einem Start der App ist eine erfolgreiche

Serververbindung notwendig.

• 3

• 5

• 10

• 20

Time-fencing

Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.

Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-

Container-Apps verwendet werden können.

Sie können auch spezifizieren, an welchen

Wochentagen die Apps verwendet werden können.

Einstellung/Feld

Wi-Fi fencing

Sophos Mobile on Premise

Beschreibung

Wenn Sie Wi-Fi connection required auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.

Wenn Sie WLAN-Verbindungen zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das Gerät mit einem nicht aufgeführten WLAN verbunden ist.

Wichtig

Wir empfehlen, sich nicht auf WLAN-

Beschränkungen als einzigen

Sicherheitsmechanismus zu verlassen, da WLAN-

Namen sehr leicht gefälscht werden können (Wi-Fi

Spoofing).

15.21.2 Konfiguration „Unternehmens-E-Mail“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmens-E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft

Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im

Sophos-Container installiert ist.

Einstellung/Feld

Exchange server

Beschreibung

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Benutzer

E-Mail-Adresse

Domäne

Support contact email

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Die Domäne für dieses Konto.

Die Adresse für E-Mails, die über die Funktion

„Kontaktiere Support“ gesendet werden.

Sophos Mobile on Premise

Einstellung/Feld

Use secure text fields

Export contacts to device

Call identification

Beschreibung

Der Inhalt von Eingabefeldern wird geschützt.

Auto-Vervollständigung und Auto-Korrektur werden in der App „Sophos Secure Email“ deaktiviert, um zu verhindern, dass sensible

Daten im Gerätespeicher abgelegt werden.

Benutzer können Exchange-Kontakte inklusive

Telefonnummer als lokale Kontakte auf das

Gerät übertragen, damit bei Anrufen von

Firmenkontakten der Name angezeigt wird.

Diese Kontakte werden von Sophos Secure

Email synchronisiert.

Hinweis

Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:

• Wenn die Konfiguration

Unternehmens-E-Mail aus der

Sophos-Container-Richtlinie entfernt wird (nach dem nächsten Neustart der

App Sophos Secure Email).

• Wenn der Sophos-Container vom Gerät entfernt wird.

• Wenn das Gerät bei Sophos Mobile deregistriert wird.

Eingehende Anrufe von Firmenkontakten können anhand der Kontaktdaten aus Sophos

Secure Email identifiziert werden, ohne dass

Kontakte aus Sophos Secure Email in die

Gerätekontakte exportiert werden müssen.

Für die Verwendung müssen Benutzer folgende

Einstellungen vornehmen:

• In der App „Einstellungen“: Telefon > Anrufe blockieren u. identifizieren > Email

• In der App Sophos Secure Email: Einstellungen >

Kontakte > Identifizieren von Anrufen

Einstellung/Feld

Notifications

Deny copy to clipboard

Open attachments

Maximum email size

Advanced settings

Sophos Mobile on Premise

Beschreibung

Der Benachrichtigungstyp für neue E-Mails:

• System : Benachrichtigungen werden von iOS verwaltet. Benachrichtigungen enthalten keine Details wie Absender oder Betreff.

• App : Benachrichtigungen werden von der App Sophos Secure Email verwaltet.

Sie können bestimmen, welche Details angezeigt werden. Wenn die App nicht läuft, werden keine Benachrichtigungen angezeigt.

• None : Es werden keine Benachrichtigungen angezeigt.

Diese Einstellung wirkt sich auch auf

Terminerinnerungen aus:

• System , None : Terminerinnerungen enthalten nur Datum und Uhrzeit.

• App : Terminerinnerungen enthalten Datum/

Uhrzeit, Ort und Titel.

Benutzer können Texte aus Sophos Secure

Email weder kopieren noch ausschneiden.

In all apps : Anhänge können mit allen

Apps geöffnet werden, die das Dateiformat unterstützen.

In container apps : Anhänge werden mit einem

Geräteschlüssel verschlüsselt und können nur mit Sophos Secure Workspace geöffnet werden.

Die Aktion Öffnen in bleibt auswählbar.

E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte

Wert, werden nicht vom Exchange-Server heruntergeladen.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

15.21.3 Konfiguration „Unternehmensdokumente“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmensdokumente konfigurieren Sie Einstellung für die Funktion

Unternehmensdokumente der App Sophos Secure Workspace.

Sophos Mobile on Premise

Online-Speicher konfigurieren

Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:

Einstellung/Feld

Enable

Offline

Open in (encrypted)

Open in (unencrypted)

Clipboard

Beschreibung

Der Speicheranbieter ist in der App verfügbar.

Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.

Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.

Einstellungen für Unternehmens-Anbieter

Für Speicheranbieter vom Typ Egnyte und WebDAV , auch als Unternehmens-Anbieter bezeichnet, können Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den Benutzern nicht geändert werden.

Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.

Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das

Kennwort-Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den Speicheranbieter zu bekommen.

Einstellung/Feld

Name

Beschreibung

Der Anbietername, wie er in der App Sophos

Secure Workspace angezeigt wird.

Einstellung/Feld

Server

User name

Password

Upload folder

Weitere Einstellungen

Einstellung/Feld

Enable Documents

Passphrase complexity

Advanced settings

Sophos Mobile on Premise

Beschreibung

Geben Sie in diesem Feld Folgendes ein:

• Die URL des Root-Ordners auf dem WebDAV-Server für

Unternehmensdokumente .

• Die URL des Root-Ordners auf dem

Egnyte -Server.

• Die URL des Root-Ordners auf dem

WebDAV -Server.

Verwenden Sie folgendes Format: https:// server.company.com

Der Anmeldename für den Server. Sie können auch die Variable %_USERNAME_% verwenden.

Das Anmeldekennwort.

Der Ordner, in den Dokumente hochgeladen werden.

Beschreibung

Aktiviert die Funktion Dokumente , um

Unternehmensdokumente auf sichere Weise auszutauschen.

Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere

Passphrasen sind immer erlaubt.

Sie können folgende Einstellungen auswählen:

• 4 char password

• 6 char password

• 8 char password

• 10 char password

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

Sophos Mobile on Premise

218

15.21.4 Konfiguration „Unternehmens-Browser“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmens-Browser konfigurieren Sie Einstellung für die Funktion

Unternehmens-Browser der App Sophos Secure Workspace.

Mit dem Unternehmens-Browser können Sie auf sichere Weise auf Intranetseiten Ihres

Unternehmens und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von Domänen.

Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.

Einstellungen für Domänen

Einstellung/Feld

URL

Allow copy/paste

Allow open with

Allow save password

Beschreibung

Die Domäne, die Sie erlauben wollen.

Benutzer können Text aus dem Unternehmens-

Browser kopieren und in anderen Apps einfügen.

Benutzer können Anhänge herunterladen oder an andere Apps weiterleiten.

Benutzer können ihre Kennwörter im

Unternehmens-Browser speichern.

Einstellungen für Lesezeichen

Einstellung/Feld

Name

URL

Beschreibung

Der Name für das Lesezeichen.

Die Webadresse für das Lesezeichen.

15.21.5 Konfiguration „Root-Zertifikat“ (Sophos-Container-

Richtlinie für iOS)

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.21.6 Konfiguration „Client-Zertifikat“ (Sophos-Container-

Richtlinie für iOS)

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.21.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für iOS)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen der App

Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Alias name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Sophos Mobile on Premise

220

Einstellung/Feld

Subject

Type of Subject Alternative Name

Value of Subject Alternative Name

AD user logon name

Challenge

Root certificate

Key size

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(SerialNumber)_% ein, um ein iPhone oder iPad zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

(Seite 104).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822 name : Eine gültige E-Mail-Adresse.

• DNS name : Der DNS-Name des CA-Servers.

• Uniform resource identifier : Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Use as digital signature

Use for encryption

Sophos Mobile on Premise

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.22 Konfigurationen für Mobile-Security-

Richtlinien (iOS)

Mit einer Mobile-Security-Richtlinie konfigurieren Sie die App Sophos Mobile Security.

Informationen zum Erstellen einer Mobile-Security-Richtlinie finden Sie in

Konfigurationen für macOS-Benutzerrichtlinien (Seite 239)

(Seite 100).

15.22.1 Netzwerkkonfiguration (Sophos-Mobile-Security-

Richtlinie für iOS)

Mit der Konfiguration Network verwalten Sie die Einstellungen der App Sophos Mobile Security für den

Bereich Netzwerk, mit dem Benutzer vor netzwerkbasierten Bedrohungen geschützt werden.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

Man-in-the-middle protection

Advanced settings

Beschreibung

Sophos Mobile Security überprüft die WLAN-Verbindung auf Man-in-the-Middle-Angriffe.

Konfigurieren Sie diese Einstellungen nur, wenn Sie vom

Sophos Support dazu aufgefordert werden.

15.23 Konfigurationen für macOS-Geräterichtlinien

Mit einer macOS-Geräterichtlinie konfigurieren Sie verschiedene Bereiche von Macs, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die Geräterichtlinie gilt für alle Benutzer, die sich an einem Mac anmelden, dem Sie die Richtlinie zuweisen - unabhängig davon, ob diese Benutzer von Sophos Mobile verwaltet werden oder nicht.

Zugehörige Konzepte

Über macOS-Richtlinien

(Seite 102)

Sophos Mobile on Premise

Zugehörige Aufgaben

Profil oder Richtlinie erstellen (Seite 100)

15.23.1 Konfiguration „Kennwortrichtlinien“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Password policies definieren Sie Anforderungen an die Kennwörter von Mac-

Benutzerkonten.

Hinweis

Wenn die Konfiguration Password policies einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Einstellung/Feld

Allow simple value

Require alphanumeric value

Minimale Länge des Kennworts

Minimum number of complex characters

Gültigkeitsdauer des Kennworts in Tagen

Maximum Auto-Lock (in minutes)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Sophos Mobile on Premise

Einstellung/Feld

Maximum grace period for device lock

Number of failed attempts until device wipe

Beschreibung

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

15.23.2 Konfiguration „Einschränkungen“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Macs.

Hinweis

Einige Optionen sind nur für bestimmte macOS-Versionen verfügbar. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Device

Einstellung/Feld

Allow use of camera

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Sophos Mobile on Premise

Einstellung/Feld

Allow internet search result for

Spotlight

Allow Apple Music macOS software update delay

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Der Dienst „Apple Music“ ist verfügbar.

Anzahl an Tagen, die eine macOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

224

iCloud

Einstellung/Feld

Allow backup

Allow iCloud Photo Library

Allow iCloud Keychain sync

Allow document sync

Allow Back to My Mac

Allow Find My Mac

Allow iCloud Bookmarks

Allow iCloud Mail

Allow iCloud Calendar

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können die iCloud-Funktion Zugang zu meinem Mac verwenden, d.h. Datei- und

Bildschirminhalte zwischen einem lokalen und einem entfernten Mac teilen.

Benutzer können die iCloud-Funktion Meinen Mac suchen verwenden, um ihren Mac ferngesteuert zu orten, zu sperren, oder auf Werkseinstellungen zurückzusetzen.

Benutzer können die iCloud-Funktion Lesezeichen verwenden, um Web-Lesezeichen zwischen Browsern und Plattformen zu synchronisieren.

Benutzer können auf ihrem Mac ein Konto für iCloud

Mail einrichten.

Benutzer können die iCloud-Funktion Kalender verwenden, um ihre Kalender auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Einstellung/Feld

Allow iCloud Reminders

Allow iCloud Address Book

Allow iCloud Notes

Allow iCloud Drive for Desktop and

Documents

Sophos Mobile on Premise

Beschreibung

Benutzer können die iCloud-Funktion Erinnerungen verwenden, um Erinnerungslisten auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Adressbuch verwenden, um Kontakte auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Notizen verwenden, um Notizen zu erstellen und diese auf ihren Geräten und mit anderen Benutzern zu teilen.

Benutzer können ihren Mac-Desktop und ihren Ordner

Dokumente in iCloud Drive speichern und darauf von anderen Geräten aus zugreifen.

Security and privacy

Einstellung/Feld

Allow Touch ID to unlock device

Allow definition lookup

Allow Auto Unlock

Allow iTunes File Sharing

Allow AirPrint

Allow iBeacon discovery of AirPrint printers

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Benutzer können Definitionen für markierte Wörter nachschlagen.

Benutzer können Auto-Entsperren verwenden, um ihren Mac automatisch von ihrer Apple Watch entsperren zu lassen.

Benutzer können die iCloud-Funktion Datenfreigabe verwenden, um Dateien zwischen ihrem Mac und einem iPhone oder iPad zu kopieren.

Benutzer können Dateien an AirPrint-Drucker senden.

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

Force trusted certificates for AirPrint over TLS

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

Sophos Mobile on Premise

15.23.3 Konfiguration „WLAN“ (macOS-Geräterichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Connect automatically

Hidden network

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Einstellung/Feld

Sicherheitstyp

Sophos Mobile on Premise

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (personal)

• WPA/WPA2 (personal)

• Any (personal)

• WEP (enterprise)

• WPA/WPA2 (enterprise)

• Any (enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,

Authentifizierung and Vertrauen angezeigt.

Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die EAP-

Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.

• Wählen Sie in TLS minimum version und TLS maximum version die minimale und die maximale TLS

-Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf der Registerkarte

Authentifizierung Einstellungen für die Client-

Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf der Registerkarte Vertrauen

Einstellungen für die Server-Authentifizierung:

227

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Sophos Mobile on Premise

Einstellung/Feld

Proxy

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• No proxy

• Manually

• Automatic

Wenn Sie Manually auswählen, werden die Felder

Server and port , Authentication and Kennwort angezeigt. Geben Sie die erforderlichen Proxy-

Informationen ein. Wenn Sie Automatic auswählen, wird das Feld Proxy server URL angezeigt. Geben

Sie die URL des Proxy-Servers ein.

15.23.4 Konfiguration „Gatekeeper“ (macOS-Geräterichtlinie)

Mit der Konfiguration Gatekeeper konfigurieren Sie die macOS-Funktion Gatekeeper, mit der Apps blockiert werden, die aus verbotenen Quellen installiert wurden.

Einstellung/Feld

Allow apps downloaded from

Beschreibung

Wählen Sie die gewünschte Einstellung aus:

• Anywhere : Benutzer können alle Apps

öffnen, unabhängig davon, aus welcher

Quelle sie installiert wurden.

• Mac App Store : Benutzer können nur Apps

öffnen, die aus dem Mac App Store installiert wurden.

• Mac App Store and identified developers :

Benutzer können nur Apps öffnen, die aus dem Mac App Store installiert wurden oder die von verifizierten Entwicklern stammen, d.h. von Entwicklern, die von Apple zugelassen wurden.

15.23.5 Konfiguration „VPN“ (macOS-Geräterichtlinie)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Connection name

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Einstellung/Feld

Connection type

Identifier (reverse DNS format)

Server

Account

Third-party settings

Send all traffic through VPN

Group

User authentication

Sophos Mobile on Premise

Beschreibung

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• Custom SSL/TLS

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

229

Sophos Mobile on Premise

Einstellung/Feld

Device authentication

Proxy

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel

(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung verwenden und Kennwort verlangen .

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• No proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Einstellung/Feld

Provider type

Sophos Mobile on Premise

Beschreibung

Der VPN-Verbindungstyp.

• App proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Packet tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

15.23.6 Konfiguration „Webfilter“ (macOS-Geräterichtlinie)

Mit der Konfiguration Web content filter definieren Sie Einstellungen für eine Drittanbieter-App zum

Filtern von Web-Inhalten.

Einstellung/Feld

Filter name

Filter ID

Server

Organization

Beschreibung

Ein freier Name für die Filterkonfiguration.

Die Bundle-ID der Drittanbieter-App.

Der Server, auf dem der Filterdienst läuft (Host-Name, IP-

Adresse oder URL).

Der Name Ihres Unternehmens. Der Wert wird an den

Filterdienst weitergeleitet.

User name

Password

Certificate

Filter range

Die Anmeldeinformationen für den Filterdienst.

Third-party settings

Ein Zertifikat für die Authentisierung beim Filterdienst.

Der von der Drittanbieter-App zu filternde Datenverkehr:

• Filter browser traffic : WebKit-Browserdaten werden gefiltert.

• Filter socket traffic : Socket-Daten werden gefiltert.

• Filter browser and socket traffic : WebKit- und Socket-

Daten werden gefiltert.

Weitere Konfigurationseinstellungen (falls von der Drittanbieter-

App benötigt).

15.23.7 Konfiguration „Globaler HTTP-Proxy“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Global HTTP proxy definieren Sie einen Unternehmens-Proxy-Server.

Sophos Mobile on Premise

Einstellung/Feld

Proxy

Server and port

Authentication

Password

Proxy server URL

Beschreibung

Wählen Sie Manually aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatic aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

15.23.8 Konfiguration „Verwaltete Domänen“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für Macs.

Email domains

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

15.23.9 Konfiguration „Single-Sign-On“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos principal name

Realm

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Einstellung/Feld

URLs

App identifiers

Sophos Mobile on Premise

Beschreibung

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

15.23.10 Konfiguration „AirPrint“ (macOS-Geräterichtlinie)

Mit der Konfiguration AirPrint fügen Sie der Druckerliste eines Benutzers AirPrint-Drucker hinzu.

Einstellung/Feld

IP address

Resource path

Beschreibung

Die IP-Adresse des AirPrint-Druckers.

Die mit dem Drucker verbundene Ressource.

Beispiele:

• printers/<printer model>

• ipp/print

15.23.11 Konfiguration „Verzeichnisdienst“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Directory service geben Sie eine Active-Directory-Domäne an, der ein Mac beitritt, wenn ihm die Richtlinie zugewiesen wird.

Hinweis

Wenn Sie hier dieselbe Domäne konfigurieren, die Sie für das Self Service Portal verwenden, wird die dem Mac zugewiesene macOS-Benutzerrichtlinie auf alle Active-Directory-Benutzer angewendet, die sich an dem Mac anmelden.

Sophos Mobile on Premise

Allgemeine Einstellungen

Einstellung/Feld

Domain host name

AD administrator name

Password

Organizational unit

Beschreibung

Der DNS-Host-Name der Active-Directory-

Domäne.

Die Anmeldedaten des Kontos, das für die

Verbindung mit dem Active-Directory-Server verwendet wird.

Dieser Benutzer muss berechtigt sein, Geräte zur

Active-Directory-Datenbank hinzuzufügen.

Die Organizational Unit (OU) in der Active-

Directory-Datenbank, welcher der beitretende

Computer hinzugefügt wird.

User experience

Einstellung/Feld

Create mobile account

Require confirmation before creating a mobile account

Force local home folder

Use UNC path from Active Directory

Network protocol

Default user shell

Beschreibung macOS erstellt einen mobilen Account, wenn sich ein Netzwerk-Benutzer zum ersten Mal anmeldet.

Bei einem mobilen Account können sich

Benutzer auch dann mit ihren Active-Directory-

Anmeldedaten anmelden, wenn der Mac nicht mit dem Active-Directory-Server verbunden ist.

Der Benutzer entscheidet, ob ein mobiler Account erstellt wird.

Wenn Sie dieses Kontrollkästchen aktivieren, werden Benutzerprofile immer auf dem

Startvolume angelegt. Dies ist für mobile

Accounts erforderlich.

Wenn Sie das Kontrollkästchen deaktivieren, werden reine Netzwerk-Benutzerordner verwendet.

macOS verwendet den im Active-Directory-

Benutzerkonto angegebenen Benutzerordner.

Das Mount-Protokoll für den Benutzerordner.

Die Kommando-Shell des Benutzers.

Wenn Sie keinen Wert angeben, wird /bin/ bash verwendet.

Sophos Mobile on Premise

Mapping

Einstellung/Feld

UID attribute

User GID attribute

Group GID attribute

Beschreibung

Das Active-Directory-Attribut, das für die eindeutige Benutzerkennung (UID) in macOS verwendet wird.

Das Active-Directory-Attribut, das für die

Kennung der primären Gruppe (Primary Group

ID) von macOS-Benutzerkonten verwendet wird.

Das Active-Directory-Attribut, das für die

Kennung von macOS-Gruppenkonten (Group ID) verwendet wird.

Wichtig

Wenn Sie diese Zuordnungen später ändern, können Benutzer möglicherweise nicht mehr auf ihre

Dateien zugreifen.

Administrative

Einstellung/Feld

Preferred DC server

Password trust interval in days

Beschreibung

Der vorrangig anzufragende Active-Directory-

Domänen-Controller (DC).

Wenn Sie keinen Wert angeben, wählt macOS den Domänen-Controller anhand von Site-

Informationen und Reaktionszeiten aus.

Geben Sie an, wie häufig macOS das Kennwort seines Active-Directory-Computer-Accounts

ändert.

Wenn Sie keinen Wert angeben, ändert macOS sein Kennwort alle 14 Tage.

Wenn Sie den Wert 0 angeben, ändert macOS das Kennwort nicht automatisch.

Sophos Mobile on Premise

236

Einstellung/Feld

Namespace

Packet signing

Packet encryption

Multi-domain authentication

Domain administrator groups

Restrict DDNS

Beschreibung

• Forest

Namespace-Unterstützung wird aktiviert.

Es können sich Benutzer mit dem gleichen

Anmeldenamen aus verschiedenen Domänen des Active Directory Forest anmelden.

Benutzer müssen ihren Anmeldenamen in der

Form DOMAIN\name eingeben.

• Domain

Namespace-Unterstützung wird deaktiviert.

Benutzer müssen einen eindeutigen

Anmeldenamen haben.

macOS kann die für die Active-Directory-

Kommunikation verwendeten LDAP-

Verbindungen signieren und verschlüsseln.

• Allow : macOS entscheidet, of die LDAP-

Verbindungen signiert und/oder verschlüsselt werden.

• Disable : macOS signiert oder verschlüsselt die

LDAP-Verbindungen nicht.

• Require : macOS signiert und verschlüsselt die

LDAP-Verbindungen immer.

• SSL/TLS : macOS verwendet immer LDAP über

SSL/TLS.

Benutzer aus allen Domänen des Active Directory

Forest können sich anmelden.

Eine Liste von Active-Directory-Gruppen.

Mitglieder dieser Gruppen erhalten Admin-Rechte auf dem Mac.

Um mehr als eine Gruppe einzugeben, drücken

Sie nach jedem Wert die Taste Eingabe .

Eine Liste von Netzwerk-Schnittstellen.

Standardmäßig verwendet macOS für alle

Netzwerk-Schnittstellen Dynamic DNS (DDNS).

Um DDNS auf bestimmte Schnittstellen zu beschränken, geben Sie deren BSD-Namen ein.

Um zum Beispiel DDNS auf den internen

Ethernet-Port zu beschränken, geben Sie en0 ein.

Um mehr als eine Schnittstelle einzugeben, drücken Sie nach jedem Wert die Taste Eingabe .

Sophos Mobile on Premise

15.23.12 Konfiguration „Root-Zertifikat“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Macs.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.23.13 Konfiguration „Client-Zertifikat“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Macs.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.23.14 Konfiguration „SCEP“ (macOS-Geräterichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

URL

CA name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Sophos Mobile on Premise

238

Einstellung/Feld

Subject

Type of Subject Alternative Name

Value of Subject Alternative Name

AD user logon name

Challenge

Retries

Retry delay

Key size

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(SerialNumber)_% ein, um einen Mac zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822 name : Eine gültige E-Mail-Adresse.

• DNS name : Der DNS-Name des CA-Servers.

• Uniform resource identifier : Die vollständige (Fully

Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Sophos Mobile on Premise

15.24 Konfigurationen für macOS-

Benutzerrichtlinien

Mit einer macOS-Benutzerrichtlinie konfigurieren Sie verschiedene Bereiche von Macs, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die Benutzerrichtlinie gilt für alle verwalteten Benutzer des Macs, dem Sie die Richtlinie zuweisen.

Zugehörige Konzepte

Über macOS-Richtlinien

(Seite 102)

Konfigurationen für macOS-Geräterichtlinien (Seite 221)

Zugehörige Aufgaben

Profil oder Richtlinie erstellen (Seite 100)

15.24.1 Konfiguration „Kennwortrichtlinien“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Password policies definieren Sie Anforderungen an die Kennwörter von Mac-

Benutzerkonten.

Hinweis

Wenn die Konfiguration Password policies einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Einstellung/Feld

Allow simple value

Require alphanumeric value

Minimale Länge des Kennworts

Minimum number of complex characters

Gültigkeitsdauer des Kennworts in Tagen

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Sophos Mobile on Premise

Einstellung/Feld

Maximum Auto-Lock (in minutes)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Maximum grace period for device lock

Number of failed attempts until device wipe

Beschreibung

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

15.24.2 Konfiguration „Einschränkungen“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Macs.

Sophos Mobile on Premise

Hinweis

Einige Optionen sind nur für bestimmte macOS-Versionen verfügbar. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Device

Einstellung/Feld

Allow use of camera

Allow internet search result for

Spotlight

Allow Apple Music macOS software update delay

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Der Dienst „Apple Music“ ist verfügbar.

Anzahl an Tagen, die eine macOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

iCloud

Einstellung/Feld

Allow backup

Allow iCloud Photo Library

Allow iCloud Keychain sync

Allow document sync

Allow Back to My Mac

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können die iCloud-Funktion Zugang zu meinem Mac verwenden, d.h. Datei- und

Bildschirminhalte zwischen einem lokalen und einem entfernten Mac teilen.

Sophos Mobile on Premise

Einstellung/Feld

Allow Find My Mac

Allow iCloud Bookmarks

Allow iCloud Mail

Allow iCloud Calendar

Allow iCloud Reminders

Allow iCloud Address Book

Allow iCloud Notes

Allow iCloud Drive for Desktop and

Documents

Beschreibung

Benutzer können die iCloud-Funktion Meinen Mac suchen verwenden, um ihren Mac ferngesteuert zu orten, zu sperren, oder auf Werkseinstellungen zurückzusetzen.

Benutzer können die iCloud-Funktion Lesezeichen verwenden, um Web-Lesezeichen zwischen Browsern und Plattformen zu synchronisieren.

Benutzer können auf ihrem Mac ein Konto für iCloud

Mail einrichten.

Benutzer können die iCloud-Funktion Kalender verwenden, um ihre Kalender auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Erinnerungen verwenden, um Erinnerungslisten auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Adressbuch verwenden, um Kontakte auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Notizen verwenden, um Notizen zu erstellen und diese auf ihren Geräten und mit anderen Benutzern zu teilen.

Benutzer können ihren Mac-Desktop und ihren Ordner

Dokumente in iCloud Drive speichern und darauf von anderen Geräten aus zugreifen.

Security and privacy

Einstellung/Feld

Allow Touch ID to unlock device

Allow definition lookup

Allow Auto Unlock

Allow iTunes File Sharing

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Benutzer können Definitionen für markierte Wörter nachschlagen.

Benutzer können Auto-Entsperren verwenden, um ihren Mac automatisch von ihrer Apple Watch entsperren zu lassen.

Benutzer können die iCloud-Funktion Datenfreigabe verwenden, um Dateien zwischen ihrem Mac und einem iPhone oder iPad zu kopieren.

Sophos Mobile on Premise

Einstellung/Feld

Allow AirPrint

Allow iBeacon discovery of AirPrint printers

Beschreibung

Benutzer können Dateien an AirPrint-Drucker senden.

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

Force trusted certificates for AirPrint over TLS

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

15.24.3 Konfiguration „Exchange-Konto“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Exchange account richten Sie ein Exchange-Web-Services-Konto (EWS-Konto) für Kontakte, Mail, Erinnerungen und Kalender ein.

Einstellung/Feld

Kontoname

Exchange server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Kennwort

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Sophos Mobile on Premise

Einstellung/Feld

OAuth

OAuth sign-in URL

SSL/TLS

Beschreibung

Das Konto verwendet OAuth für die

Authentisierung, d.h. Benutzer authentisieren sich mit ihren Microsoft-Zugangsdaten.

Die URL der Anmeldeseite für die OAuth-

Authentisierung.

Verwenden Sie diese Einstellung, wenn der

Autodiscover-Dienst des Exchange-Servers deaktiviert ist.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.24.4 Konfiguration „WLAN“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Connect automatically

Hidden network

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Einstellung/Feld

Sicherheitstyp

Sophos Mobile on Premise

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (personal)

• WPA/WPA2 (personal)

• Any (personal)

• WEP (enterprise)

• WPA/WPA2 (enterprise)

• Any (enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,

Authentifizierung and Vertrauen angezeigt.

Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die EAP-

Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.

• Wählen Sie in TLS minimum version und TLS maximum version die minimale und die maximale TLS

-Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf der Registerkarte

Authentifizierung Einstellungen für die Client-

Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf der Registerkarte Vertrauen

Einstellungen für die Server-Authentifizierung:

245

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Sophos Mobile on Premise

Einstellung/Feld

Proxy

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• No proxy

• Manually

• Automatic

Wenn Sie Manually auswählen, werden die Felder

Server and port , Authentication and Kennwort angezeigt. Geben Sie die erforderlichen Proxy-

Informationen ein. Wenn Sie Automatic auswählen, wird das Feld Proxy server URL angezeigt. Geben

Sie die URL des Proxy-Servers ein.

15.24.5 Konfiguration „VPN“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Connection name

Connection type

Identifier (reverse DNS format)

Server

Account

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• Custom SSL/TLS

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Einstellung/Feld

Third-party settings

Send all traffic through VPN

Group

User authentication

Sophos Mobile on Premise

Beschreibung

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

Sophos Mobile on Premise

Einstellung/Feld

Device authentication

Proxy

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel

(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung verwenden und Kennwort verlangen .

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• No proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Einstellung/Feld

Provider type

Sophos Mobile on Premise

Beschreibung

Der VPN-Verbindungstyp.

• App proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Packet tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

15.24.6 Konfiguration „Web Clip“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration Web Clip definieren Sie Web Clips, die zum macOS-Desktop hinzugefügt werden. Web Clips bieten schnellen Zugriff auf favorisierte Webseiten. Sie können jedoch zum Beispiel auch einen Web Clip mit einer Support-Telefonnummer hinzufügen, damit die Benutzer schnell den

Helpdesk kontaktieren können.

Einstellung/Feld

Beschreibung

URL

Can be removed

Full screen

Icon

Beschreibung

Eine Beschreibung des Web Clips.

Die Webadresse des Web Clips.

Wenn das Kontrollkästchen deaktiviert ist, kann der Benutzer den Web Clip nicht entfernen. Der

Webclip kann nur durch Entfernen des Profils, das den Webclip installiert hat, entfernt werden.

Der Web Clip wird auf dem Gerät bildschirmfüllend geöffnet. Ein bildschirmfüllender Web Clip öffnet die URL als

Web-App.

Wählen Sie ein Bild für das Web-Clip-Icon auf dem Home-Bildschirm aus. Dies muss eine

Bilddatei im Format PNG, GIF oder JPEG mit einer maximalen Größe von 1 MB sein.

Das Bild wird quadratisch beschnitten und je nach Bildschirmauflösung skaliert. Beste

Resultate erhalten Sie bei einer Bildgröße von

180 Pixel mal 180 Pixel.

Hinweis

Sophos Mobile on Premise

250

15.24.7 Konfiguration „Webfilter“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration Web content filter definieren Sie Einstellungen für eine Drittanbieter-App zum

Filtern von Web-Inhalten.

Einstellung/Feld

Filter name

Filter ID

Server

Organization

Beschreibung

Ein freier Name für die Filterkonfiguration.

Die Bundle-ID der Drittanbieter-App.

Der Server, auf dem der Filterdienst läuft (Host-Name, IP-

Adresse oder URL).

Der Name Ihres Unternehmens. Der Wert wird an den

Filterdienst weitergeleitet.

User name

Password

Certificate

Filter range

Die Anmeldeinformationen für den Filterdienst.

Third-party settings

Ein Zertifikat für die Authentisierung beim Filterdienst.

Der von der Drittanbieter-App zu filternde Datenverkehr:

• Filter browser traffic : WebKit-Browserdaten werden gefiltert.

• Filter socket traffic : Socket-Daten werden gefiltert.

• Filter browser and socket traffic : WebKit- und Socket-

Daten werden gefiltert.

Weitere Konfigurationseinstellungen (falls von der Drittanbieter-

App benötigt).

15.24.8 Konfiguration „Globaler HTTP-Proxy“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Global HTTP proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server and port

Beschreibung

Wählen Sie Manually aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatic aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Einstellung/Feld

Authentication

Password

Proxy server URL

Sophos Mobile on Premise

Beschreibung

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

15.24.9 Konfiguration „Verwaltete Domänen“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für Macs.

Email domains

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

15.24.10 Konfiguration „CalDAV“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration CalDAV konfigurieren Sie die Synchronisierung von Kalenderdaten mit einem

CalDAV-Server. Sie können so zum Beispiel Google Kalender mit einem Mac synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Beschreibung

Der auf dem Gerät angezeigte Name des CalDAV-Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CalDAV-Servers.

Geben Sie zum Beispiel für Google Kalender folgendes ein: calendar.google.com:443

Falls vom CalDAV-Server benötigt, geben Sie die

Principal URL der Kalender-Ressource ein.

Geben Sie zum Beispiel folgendes ein, um einen anderen als den Haupt-Kalender eines Google-Kontos zu synchronisieren: https://apidata.googleusercontent.com/ caldav/

v2/calendar_id/user wobei calendar_id die ID des Kalenders ist, den Sie synchronisieren wollen. Wenn Sie Google Kalender in

Ihrem Webbrowser öffnen, wird die Kalender-ID in den

Kalendereinstellungen angezeigt. Einzelheiten finden Sie in der Hilfe zu Google Kalender.

Sophos Mobile on Premise

Einstellung/Feld

Benutzername , Kennwort

SSL/TLS

Beschreibung

Die Anmeldeinformationen des CalDAV-Kontos.

Geben Sie zum Beispiel für Google Kalender die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CalDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.24.11 Konfiguration „CardDAV“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration CardDAV konfigurieren Sie die Synchronisierung von Kontaktdaten mit einem

CardDAV-Server. Sie können so zum Beispiel Google Kontakte mit einem Mac synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Benutzername , Kennwort

SSL/TLS

Beschreibung

Der auf dem Gerät angezeigte Name des CardDAV-

Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CardDAV-Servers.

Geben Sie zum Beispiel für Google Kontakte folgendes ein: google.com

Falls vom CardDAV-Server benötigt, geben Sie die

Principal URL der Kontakte-Ressource ein.

Zum Beispiel unterstützt die Google-CardDAV-API folgende Principal URL: https://www.googleapis.com/carddav/

v1/ principals/account_name@gmail.com

wobei account_name der Name des Google-Kontos ist.

Die Anmeldeinformationen des CardDAV-Kontos.

Geben Sie zum Beispiel für Google Kontakte die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CardDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.24.12 Konfiguration „IMAP/POP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Mac hinzu.

Einstellung/Feld

Kontoname

Typ des Accounts

User display name

E-Mail-Adresse

Eingehende E-Mail

Email server and port

User name

Authentifizierung-Typ

Kennwort

SSL/TLS

Ausgehende E-Mail

Email server and port

Benutzername

Authentifizierung-Typ

Kennwort

Use same password as for incoming email

Sophos Mobile on Premise

Beschreibung

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Der Typ des E-Mail-Servers für eingehende E-Mails

(entweder IMAP oder POP ).

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Hostname oder IP-Adresse und Port des

Posteingangsservers.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Posteingangsserver.

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Die Verbindung zum Posteingangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Der Benutzername für die Verbindung mit dem

Postausgangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Postausgangsserver.

Das Kennwort für die Verbindung mit dem

Postausgangsserver (falls erforderlich).

Das selbe Kennwort wie für den Posteingangsserver verwenden.

Sophos Mobile on Premise

Einstellung/Feld

SSL/TLS

Beschreibung

Die Verbindung zum Postausgangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

15.24.13 Konfiguration „Single-Sign-On“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos principal name

Realm

URLs

App identifiers

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

15.24.14 Konfiguration „LDAP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration LDAP stellen Sie Benutzerinformationen aus einem LDAP-Verzeichnis in der macOS-App Adressbuch zur Verfügung.

Sophos Mobile on Premise

Hinweis

Für den Beitritt eines Macs zu einer Active-Directory-Domäne verwenden Sie die Konfiguration

Directory service . Siehe

Konfiguration „Verzeichnisdienst“ (macOS-Geräterichtlinie) (Seite

233).

Einstellung/Feld

Account description

Host name

User name

Password

Use SSL/TLS

Search settings

Base

Scope

Description

Beschreibung

Eine Beschreibung der LDAP-Verbindung.

Der Host-Name oder die IP-Adresse des LDAP-

Servers.

Die Anmeldedaten des Benutzers, den Sophos

Mobile verwendet, um sich mit dem LDAP-Server zu verbinden.

Die Verbindung zum LDAP-Server wird mit SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Die Knoten im LDAP-Verzeichnisbaum, von denen eine Suche startet, und welche Knoten durchsucht werden.

Der Pfad zu dem Knoten, von dem die Suche startet. Zum Beispiel: ou=users,o=my company

Eine Angabe, welche Unterknoten in die Suche eingeschlossen werden:

• Base node only : Nur der Basisknoten.

• Base node and direct child nodes : Der

Basisknoten und seine Kindknoten, d.h. die

Unterknoten erster Ordnung.

• Base node and all sub-nodes : Der

Basisknoten und alle Unterknoten ohne

Beschränkung der Rekursionstiefe.

Eine Beschreibung der Sucheinstellungen.

15.24.15 Konfiguration „Root-Zertifikat“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Macs.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.24.16 Konfiguration „Client-Zertifikat“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Macs.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.24.17 Konfiguration „SCEP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

URL

CA name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Einstellung/Feld

Subject

Type of Subject Alternative Name

Value of Subject Alternative Name

AD user logon name

Challenge

Retries

Retry delay

Key size

Sophos Mobile on Premise

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(SerialNumber)_% ein, um einen Mac zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822 name : Eine gültige E-Mail-Adresse.

• DNS name : Der DNS-Name des CA-Servers.

• Uniform resource identifier : Die vollständige (Fully

Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

257

Sophos Mobile on Premise

258

15.25 Konfigurationen für Windows-Mobile-

Richtlinien

Mit einer Windows-Mobile-Richtlinien konfigurieren Sie verschiedene Bereiche von Windows-Mobile-

Geräten, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-Mobile-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 100).

15.25.1 Konfiguration „Kennwortrichtlinien“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Password policies definieren Sie Anforderungen an das Gerätekennwort.

Einstellung/Feld

Password type

Minimum complexity of alphanumeric passwords

Beschreibung

Die Art des Kennworts, dass Benutzer definieren müssen:

• Alphanumeric : Kennwort muss Ziffern und

Buchstaben enthalten

• Numeric : Kennwort darf nur Ziffern enthalten

Für Windows Phone 8.1 erlaubt Alphanumeric auch Kennwörter, die Ziffern oder Buchstaben enthalten.

Dies legt fest, welche Zeichenklassen in alphanumerischen Kennwörtern verwendet werden müssen.

Für Windows 10 Mobile:

• 1 : Nicht anwendbar (falls ausgewählt, wird 2 angewendet)

• 2 : Ziffern und Kleinbuchstaben erforderlich

• 3 : Ziffern, Klein- und Großbuchstaben erforderlich

• 4 : Ziffern, Klein- und Großbuchstaben sowie

Sonderzeichen erforderlich

Für Windows Phone 8.1 legt der der Wert fest, wie viele verschiedene Zeichenklassen im

Kennwort vorkommen müssen. Zeichenklassen sind:

• Stellen

• Kleinbuchstaben

• Großbuchstaben

• Sonderzeichen

Einstellung/Feld

Allow simple password

Minimale Länge des Kennworts

Maximum number of failed attempts

Inaktivitätszeit in Minuten bis zur Abfrage des Kennworts

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Gültigkeitsdauer des Kennworts in Tagen

Allow the password grace period to be set

Sophos Mobile on Premise

Beschreibung

Kennwörter dürfen aufeinanderfolgende oder wiederholte Zeichnen enthalten, zum Beispiel abcde oder 1111 .

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Anzahl fehlgeschlagener Anmeldeversuche mit falschem Kennwort, nach der das Gerät zurückgesetzt wird.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Zeit (in Minuten), nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Der

Benutzer kann das Gerät entsperren.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Die Anzahl an Tagen, nach denen Benutzer ihr

Kennwort ändern müssen.

Geben Sie einen Wert zwischen 1 und 730 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Benutzer dürfen die Toleranzfrist festlegen, innerhalb derer keine erneute Kennworteingabe erfolgen muss.

15.25.2 Konfiguration „Einschränkungen“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sophos Mobile on Premise

Gerät

Einstellung/Feld

Forbid SD card

Forbid unencrypted device

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Die Verschlüsselung des internen Speichers ist aktiviert.

Wichtig

Wenn auf einem Gerät die Verschlüsselung des internen Speichers aktiviert ist, können

Sie dies nicht mehr über eine Richtlinie deaktivieren.

Hinweis

Auf dem Gerät muss zuvor BitLocker aktiviert worden sein, damit die Richtlinie angewendet werden kann.

Action-Center-Benachrichtigungen auf dem

Sperrbildschirm verbieten

Forbid manual addition of non-Microsoft email accounts

Forbid Microsoft account connection

Auf dem Sperrbildschirm des Gerätes werden keine Action-Center-Benachrichtigungen angezeigt.

Hinzufügen aller Arten von E-Mail-Konten sowie von Exchange-, Office 365- und Outlook.com-

Konten nicht erlauben.

Die Verbindung zu Microsoft-Diensten wie z.B.

Synchronisierung, Skype oder Microsoft Store ist nicht möglich.

Wichtig

Diese Einstellung wirkt sich nur auf Microsoft-

Konten aus, die auf dem Gerät nach der

Zuweisung der Richtlinie eingerichtet werden.

Forbid developer mode

Forbid Microsoft Store

Forbid native browser

Forbid camera

Der Windows-Entwicklermodus ist deaktiviert.

Der Windows-App-Store ist nicht verfügbar.

Der Browser Microsoft Edge ist nicht verfügbar.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Einstellung/Feld

Telemetry level

Verschiedenes

Einstellung/Feld

Forbid copy and paste

Forbid Cortana

Forbid “Save as” for Office files

Forbid screen capture

Forbid sharing of Office files

Forbid “Sync my settings”

Sophos Mobile on Premise

Beschreibung

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

Windows 10:

• Full : Alle Daten, die zum Finden und Beheben von

Problemen erforderlich sind.

• Enhanced : Daten zur Nutzung und Leistung von

Windows und Apps.

• Basic : Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Disabled (Windows Phone 8.1 only) : Von

Windows 10 nicht unterstützt. Wenn Sie diese

Option wählen, wird Stufe Basic verwendet.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Enhanced auch alle Daten der

Stufe Basic .

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

Windows Phone 8.1 unterstützt keine unterschiedlichen Telemetriestufen:

• Full , Enhanced , Basic : Benutzer können

Telemetrie aktivieren oder deaktivieren.

• Disabled (Windows Phone 8.1 only) : Es werden keine Telemetriedaten übertragen.

Beschreibung

Die Zwischenablage ist nicht verfügbar.

Cortana ist deaktiviert.

Benutzer können Dateien auf dem Gerät nicht als Office-Dateien speichern.

Screenshots sind nicht möglich.

Office-Dateien können nicht geteilt werden.

Geräteeinstellungen können nicht mit anderen

Windows-Geräten synchronisiert werden.

261

Sophos Mobile on Premise

Einstellung/Feld

Forbid voice recording

Beschreibung

Audioaufzeichnungen sind deaktiviert.

WLAN

Einstellung/Feld

Forbid Wi-Fi

Forbid internet sharing

Forbid Wi-Fi Sense (hotspot auto-connect)

Forbid hotspot reporting

Forbid manual configuration

Beschreibung

WLAN-Verbindungen sind deaktiviert.

ICS (Internet Connection Sharing) ist deaktiviert.

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Das Gerät sendet keine Informationen bezüglich WLAN-Verbindungen.

Benutzer können keine WLAN-Verbindungen konfigurieren. Dies betrifft nicht die von Sophos

Mobile konfigurierten Verbindungen.

Konnektivität

Einstellung/Feld

Forbid NFC

Forbid Bluetooth

Forbid USB connection

Beschreibung

NFC (Near-Field Communication) ist deaktiviert.

Bluetooth ist deaktiviert.

USB-Verbindungen zwischen dem Gerät und einem Computer zur Synchronisierung von Dateien oder zur Verwendung von

Entwicklertools für die Installation oder das

Debugging von Apps sind nicht verfügbar. Dies betrifft nicht das Laden des Geräteakkus über

USB.

262

Roaming und Kosten

Einstellung/Feld

Forbid cellular data roaming

Forbid VPN over cellular

Beschreibung

Datenverbindungen über fremde

Mobilfunknetze sind deaktiviert.

VPN-Verbindungen über Mobilfunknetze sind deaktiviert.

Einstellung/Feld

Forbid VPN roaming over cellular

Sophos Mobile on Premise

Beschreibung

VPN-Verbindungen über fremde Mobilfunknetze sind deaktiviert.

Sicherheit und Privatsphäre

Einstellung/Feld

Forbid Bing Vision to store images from

Bing Vision search

Forbid use of location when searching

Forbid manual installation of root certificates

Forbid locating

SafeSearch permission

Beschreibung

Bing Vision speichert nicht die Bilder, die es bei

Suchvorgängen anfertigt.

Für die Suche werden keine

Standortinformationen verwendet.

Benutzer können nicht manuell Root-Zertifikate oder vorläufige CA-Zertifikate installieren.

Alle Datenschutzeinstellungen in der Kategorie

„Standort“ sind deaktiviert. Apps können nicht den Standortdienst verwenden. Wenn diese

Option aktiviert ist, kann auch Sophos Mobile das Gerät nicht orten.

Wählen Sie den Grad der Suchergebnis-

Filterung auf den Geräten aus:

• Moderat : Moderates Filtern von erotischen

Inhalten. Gültige Suchergebnisse werden nicht gefiltert.

• Streng : Maximales Filtern von erotischen

Inhalten.

Deregistrierung

Einstellung/Feld

Forbid user to reset the phone

Forbid manual MDM unenrollment

Beschreibung

Benutzer können das Gerät nicht

über die Systemsteuerung oder

über Tastenkombinationen auf den

Auslieferungszustand zurücksetzen.

Benutzer können das Arbeitsplatzkonto nicht löschen.

Sophos Mobile on Premise

264

15.25.3 Konfiguration „Exchange-Konto“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Exchange account richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Einstellung/Feld

Synchronize content types

Sophos Mobile on Premise

Beschreibung

Die zu synchronisierenden Inhalte.

15.25.4 Konfiguration „WLAN“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Connect automatically

Hidden network

Sicherheitstyp

Proxy

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

Wenn Sie Manuell aus der Liste auswählen, müssen Sie einen Server und einen Port angeben.

15.25.5 Konfiguration „App-Einschränkungen“ (Windows-

Mobile-Richtlinie)

Mit der Konfiguration App-Einschränkungen legen Sie Apps fest, die auf den Geräten erlaubt sind oder blockiert werden.

Einstellung/Feld

Erlaubte Apps

Beschreibung

Enthält eine Liste bestimmter Apps, die vom Benutzer auf dem Gerät installiert und verwendet werden dürfen. Benutzer können keine Apps installieren oder verwenden, die nicht explizit aufgeführt sind.

Verwenden Sie Erlaubte Apps , wenn die Apps bekannt sind, die erlaubt werden sollen, und alle anderen Apps blockiert werden sollen.

Sophos Mobile on Premise

Einstellung/Feld

Unzulässige Apps

App-Gruppe

Beschreibung

Enthält eine Liste bestimmter Apps, die vom

Benutzer auf dem Gerät nicht installiert werden dürfen. Benutzer können alle Apps installieren, die nicht explizit aufgeführt sind.

Verwenden Sie Unzulässige Apps , wenn die

Apps bekannt sind, die blockiert werden sollen, und alle anderen Apps erlaubt werden sollen.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die erlaubt oder blockiert werden sollen.

Hinweis

Die App-Gruppe muss zuvor erstellt

worden sein. Siehe App-Gruppen

(Seite

316).

15.25.6 Konfiguration „IMAP/POP“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Gerät hinzu.

Einstellung/Feld

Typ des Accounts

Kontoname

E-Mail-Adresse

User display name

User name

Domain

Password

Beschreibung

Der Typ des E-Mail-Servers für eingehende E-Mails

(entweder IMAP oder POP ).

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Domänenangabe in den Anmeldedaten für den

Posteingangsserver (falls erforderlich).

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Einstellung/Feld

Server for incoming email

Use SSL/TLS for incoming email

Server for outgoing email

Use SSL/TLS for outgoing email

Authentication required for outgoing connection

Synchronization period

Automatic synchronization

Sophos Mobile on Premise

Beschreibung

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Format: server name:port number

Den Port müssen Sie nur angeben, wenn es nicht der

Standardport ist:

• 143 (IMAP)

• 993 (IMAP mit SSL)

• 110 (POP3)

• 995 (POP3 mit SSL)

Secure Sockets Layer für eingehende E-Mails verwenden.

Hostname (oder IP-Adresse) und Port des

Postausgangsservers.

Format: server name:port number

Secure Sockets Layer für ausgehende E-Mails verwenden.

Der Postausgangsserver verlangt eine Benutzer-

Authentisierung.

Es werden dieselben Anmeldedaten wie für den

Posteingangsserver verwendet, d.h. die Werte, die Sie in den Feldern Benutzername , Domain und Password angegeben haben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses

Zeitraums mit dem Posteingang auf den Geräten synchronisiert.

Das Intervall für die automatische E-Mail-

Synchronisierung.

15.25.7 Konfiguration „Root-Zertifikat“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.25.8 Konfiguration „SCEP“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

Beschreibung

URL

Subject

Subject Alternative Name

Challenge

Beschreibung

Eine Beschreibung der Konfiguration.

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Konfigurieren Sie bei Bedarf einen oder mehrere

Werte für den Subject Alternative Name (SAN).

Klicken Sie auf Hinzufügen und geben Sie anschließend einen SAN-Typ und einen SAN-

Wert ein.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Einstellung/Feld

Root certificate

Retries

Retry delay

Key size

Use as digital signature

Use for encryption

Hash algorithm

Sophos Mobile on Premise

Beschreibung

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

Wählen Sie einen oder mehrere Hash-

Algorithmen aus, die vom SCEP-Server unterstützt werden.

Warnhinweis

Wir empfehlen Ihnen, den Algorithmus

SHA-1 nicht zu verwenden, da dieser als unsicher gilt.

15.26 Konfigurationen für Windows-Richtlinien

Mit einer Windows-Richtlinie konfigurieren Sie verschiedene Bereiche von Windows-Computern, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 100).

15.26.1 Konfiguration „Kennwortrichtlinien“ (Windows-Richtlinie)

Mit der Konfiguration Password policies definieren Sie Anforderungen an die Kennwörter von

Windows-Benutzerkonten.

Sophos Mobile on Premise

Hinweis

Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von

Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden

können. Detailinformationen finden Sie unter Komplexitätsregeln für Windows-Kennwörter

(Seite

103).

Hinweis

Kennwortrichtlinien können Windows-Computern nicht zugewiesen werden, wenn beide der folgenden Bedingungen erfüllt sind:

• Neben dem Benutzer, der bei Sophos Mobile registriert ist, sind auf dem Gerät weitere lokale

Benutzer konfiguriert.

• Mindestens einer dieser weiteren Benutzer darf sein Kennwort nicht ändern.

Einstellung/Feld

Maximum number of failed attempts

Inaktivitätszeit in Minuten bis zur Abfrage des Kennworts

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Gültigkeitsdauer des Kennworts in Tagen

Beschreibung

Die Anzahl fehlgeschlagener Anmeldeversuche mit falschem Kennwort, nach der das Gerät zurückgesetzt wird.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Zeit (in Minuten), nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Der

Benutzer kann das Gerät entsperren.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Die Anzahl an Tagen, nach denen Benutzer ihr

Kennwort ändern müssen.

Geben Sie einen Wert zwischen 1 und 730 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

15.26.2 Konfiguration „Einschränkungen“ (Windows-Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sophos Mobile on Premise

Gerät

Einstellung/Feld

Forbid SD card

Forbid manual addition of non-Microsoft email accounts

Forbid developer mode

Forbid camera

Disable Edge autofill

Disable Edge F12 Developer Tools

Disable Edge pop-up blocker

Disable AutoPlay settings

Disable Date & Time settings

Disable Language settings

Disable Power & Sleep settings

Disable Region settings

Disable Sign-in settings

Disable VPN settings

Disable Workplace settings

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Hinzufügen aller Arten von E-Mail-Konten sowie von Exchange-, Office 365- und Outlook.com-

Konten nicht erlauben.

Der Windows-Entwicklermodus ist deaktiviert.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Die Einstellung Formulareinträge speichern im Webbrowser Edge ist deaktiviert und kann vom Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die F12-Entwicklertools im Webbrowser Edge sind nicht verfügbar.

Die Einstellung Popups blockieren im

Webbrowser Edge ist deaktiviert und kann vom

Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die relevanten Bereiche in der Windows-

Systemsteuerung sind nicht verfügbar. Der

Benutzer kann diese Einstellungen nicht ändern, nachdem die Richtlinie dem Gerät zugewiesen wurde.

Hinweis

Einstellungen „AutoPlay“ deaktivieren wirkt sich nicht auf angeschlossene Geräte wie zum Beispiel Mobiltelefone aus.

Sophos Mobile on Premise

Einstellung/Feld

Disable Account settings

Telemetry level

Beschreibung

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

• Full : Alle Daten, die zum Finden und Beheben von

Problemen erforderlich sind.

• Enhanced : Daten zur Nutzung und Leistung von

Windows und Apps.

• Basic : Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Security : Daten, die benötigt werden, um das Gerät mit den neuesten

Sicherheitsaktualisierungen zu schützen.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Enhanced auch alle Daten der

Stufen Basic und Security .

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

272

Verschiedenes

Einstellung/Feld

Forbid Cortana

Forbid “Sync my settings”

Disable Windows tips

Beschreibung

Cortana ist deaktiviert.

Geräteeinstellungen können nicht mit anderen

Windows-Geräten synchronisiert werden.

Die Windows-Einstellung Tipps zu Windows anzeigen ist deaktiviert und nicht verfügbar.

WLAN

Einstellung/Feld

Forbid internet sharing

Forbid Wi-Fi Sense (hotspot auto-connect)

Beschreibung

ICS (Internet Connection Sharing) ist deaktiviert.

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Sophos Mobile on Premise

Konnektivität

Einstellung/Feld

Forbid Bluetooth

Sicherheit und Privatsphäre

Einstellung/Feld

Forbid use of location when searching

Beschreibung

Bluetooth ist deaktiviert.

Beschreibung

Für die Suche werden keine

Standortinformationen verwendet.

Deregistrierung

Einstellung/Feld

Forbid manual MDM unenrollment

Beschreibung

Benutzer können das Arbeitsplatzkonto nicht löschen.

15.26.3 Konfiguration „Exchange ActiveSync“ (Windows-

Richtlinie)

Mit der Konfiguration Exchange account richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Wichtig

Wenn Sie mehrere Exchange-E-Mail-Konten einrichten, können die Geräte möglicherweise nur E-Mails von einem dieser Konten abrufen. Dies passiert typischerweise, wenn die Konten auf unterschiedlichen Exchange-Servern liegen und auf diesen Servern unterschiedliche

Postfachrichtlinien definiert sind. Da Windows-Computer nur eine einzelne Postfachrichtlinie erzwingen können, schlägt die Verbindung zu Konten fehl, die eine abweichende Richtlinie verwenden.

Hinweis

Wenn Sie Änderungen an der Konfiguration „Exchange-Konto“ machen, fragt Windows die

Benutzer, ob sie die Änderungen annehmen oder ablehnen wollen.

Einstellung/Feld

Kontoname

Beschreibung

Der Kontoname.

Sophos Mobile on Premise

Einstellung/Feld

Exchange server

Domäne

Benutzer

E-Mail-Adresse

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Beschreibung

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Die zu synchronisierenden Inhalte.

Synchronize content types

15.26.4 Konfiguration „WLAN“ (Windows-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Connect automatically

Hidden network

Sicherheitstyp

Sophos Mobile on Premise

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

15.26.5 Konfiguration „Kiosk-Modus“ (Windows-Richtlinie)

Mit der Konfiguration Kiosk mode richten Sie auf einem Windows-Computer einen Kiosk-Modus ein.

Im Kiosk-Modus läuft nur eine einzige App (die Kiosk-App). Der Kiosk-Modus wird aktiviert, wenn sich der für den Kiosk-Modus konfigurierte Benutzer (der Kiosk-Benutzer) anmeldet.

Hinweis

Standardmäßig bleibt der Computer nach einem Neustart im Kiosk-Modus. Um dieses Verhalten zu ändern, melden Sie sich als Kiosk-Benutzer an dem Computer an, gehen Sie zu Einstellungen

> Konten > Anmeldeoptionen und deaktivieren Sie Die Einrichtung meines Geräts soll nach einem Update oder Neustart mit meinen Anmeldeinformationen automatisch abgeschlossen werden.

Einstellung/Feld

User account

App AUMID

Beschreibung

Der für den Kiosk-Modus konfigurierte Benutzer (der Kiosk-

Benutzer).

Format:

<Computername>\<Benutzername> (lokales Konto)

<Domäne>\<Benutzername> (Domänenkonto)

Sie brauchen <Domäne> nicht anzugeben, wenn der

Benutzername eindeutig bezüglich aller Domänen ist.

Die Application User Model ID (AUMID) der App, die bei

Aktivierung des Kiosk-Modus gestartet wird (die Kiosk-App).

Informationen zur Bestimmung des AUMID-Wertes finden Sie im Microsoft-Dokument Find the Application User Model ID of an installed app .

15.26.6 Konfiguration „IMAP/POP“ (Windows-Richtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Windows-

Computer hinzu.

Sophos Mobile on Premise

Einstellung/Feld

Typ des Accounts

Kontoname

E-Mail-Adresse

User display name

User name

Domain

Password

Server for incoming email

Use SSL/TLS for incoming email

Server for outgoing email

Use SSL/TLS for outgoing email

Beschreibung

Der Typ des E-Mail-Servers für eingehende E-Mails

(entweder IMAP oder POP ).

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Domänenangabe in den Anmeldedaten für den

Posteingangsserver (falls erforderlich).

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Format: server name:port number

Den Port müssen Sie nur angeben, wenn es nicht der

Standardport ist:

• 143 (IMAP)

• 993 (IMAP mit SSL)

• 110 (POP3)

• 995 (POP3 mit SSL)

Secure Sockets Layer für eingehende E-Mails verwenden.

Hostname (oder IP-Adresse) und Port des

Postausgangsservers.

Format: server name:port number

Secure Sockets Layer für ausgehende E-Mails verwenden.

Einstellung/Feld

Authentication required for outgoing connection

Synchronization period

Automatic synchronization

Sophos Mobile on Premise

Beschreibung

Der Postausgangsserver verlangt eine Benutzer-

Authentisierung.

Es werden dieselben Anmeldedaten wie für den

Posteingangsserver verwendet, d.h. die Werte, die Sie in den Feldern Benutzername , Domain und Password angegeben haben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses

Zeitraums mit dem Posteingang auf den Geräten synchronisiert.

Das Intervall für die automatische E-Mail-

Synchronisierung.

15.26.7 Konfiguration „Device Guard“ (Windows-Richtlinie)

Mit der Konfiguration Device Guard konfigurieren Sie virtualisierungsbasierte Sicherheit (VBS) auf

Windows-Computern.

Hinweis

Die Einstellungen werden beim nächsten Neustart des Windows-Computers angewendet, nachdem die Richtlinie zugewiesen wurde.

Einstellung/Feld Beschreibung

Turn on virtualization-based security (VBS) Virtualisierungsbasierte Sicherheit (VBS) wird aktiviert.

Credential Guard configuration •

•

Turn off : Credential Guard wird deaktiviert.

Die Deaktivierung ist nicht möglich, wenn

Credential Guard mit der Option Turn on with

UEFI lock aktiviert wurde.

Turn on with UEFI lock : Credential Guard wird deaktiviert und kann nicht ferngesteuert deaktiviert werden.

Credential Guard kann nur wieder in den

BIOS-Einstellungen deaktiviert werden. Dies erfordert einen physischen Zugriff auf den

Computer.

Turn on without lock : Credential Guard wird aktiviert.

Credential Guard kann mit der Option Turn off oder mit einer Windows-Gruppenrichtlinie wieder deaktiviert werden.

Sophos Mobile on Premise

Einstellung/Feld

Platform security level

•

Beschreibung

Secure Boot : VBS wird mit dem maximalen von der Computerhardware unterstützten

Schutz aktiviert.

Wenn der Computer keine IOMMUs (I/

O Memory Management Units) besitzt, verwendet VBS die UEFI-Funktion „Sicherer

Start“.

Wenn der Computer IOMMUs besitzt, verwendet VBS die UEFI-Funktion „Sicherer

Start“ mit DMA-Schutz (Direct Memory

Access).

Secure Boot and DMA protection : VBS verwendet die UEFI-Funktion „Sicherer Start“ mit DMA-Schutz (Direct Memory Access).

Falls der Computer DMA nicht unterstützt, wird VBS nicht aktiviert.

15.26.8 Konfiguration „Root-Zertifikat“ (Windows-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.26.9 Konfiguration „Client-Zertifikat“ (Windows-Richtlinie)

Mit der Konfiguration Client certificate installieren Sie ein Client-Zertifikat auf Windows-Computern.

Einstellung/Feld

File

Certificate name

Beschreibung

Das zu installierende Zertifikat.

Klicken Sie auf Upload a file und navigieren Sie anschließend zu der Datei mit dem Zertifikat.

Sie können Zertifikate in den Formaten PEM und PKCS #12 hochladen.

Nachdem Sie die Zertifikatdatei hochgeladen haben, steht in diesem Feld der Wert subject des Zertifikats.

Einstellung/Feld

Target store

Key location

Key is exportable

Container name

Sophos Mobile on Premise

Beschreibung

Der Zertifikatspeicher, in dem das Zertifikat installiert wird:

User : Das Zertifikat steht dem Benutzer zur Verfügung, der bei

Sophos Mobile registriert ist.

Device : Das Zertifikat steht allen Computerbenutzern zur

Verfügung.

Der Ort, an dem der private Schlüssel des Zertifikats gespeichert wird:

Software : Der Schlüssel wird Software-basiert in einer Keystore-

Datei gespeichert.

TPM or software : Sofern verfügbar, wird der Schlüssel in TPM gespeichert. Andernfalls wird der Schlüssel Software-basiert in einer Keystore-Datei gespeichert.

TPM : Der Schlüssel wird im TPM-Hardwarechip (Trusted

Platform Module) gespeichert. Falls der Computer keinen TPM-

Chip besitzt oder TPM im BIOS deaktiviert ist, wird das Zertifikat nicht installiert.

Windows Hello for Business : Der Schlüssel wird in einem

Windows-Hello-for-Business-Container gespeichert.

Benutzer können beim Export des Zertifikats auch den privaten

Schlüssel exportieren.

Der Name des Windows-Hello-for-Business-Containers, in dem der private Schlüssel des Zertifikats gespeichert wird.

15.26.10 Konfiguration „SCEP“ (Windows-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

Beschreibung

URL

Beschreibung

Eine Beschreibung der Konfiguration.

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Sophos Mobile on Premise

280

Einstellung/Feld

Subject

Subject Alternative Name

Challenge

Root certificate

Retries

Retry delay

Key size

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Android-Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Konfigurieren Sie bei Bedarf einen oder mehrere

Werte für den Subject Alternative Name (SAN).

Klicken Sie auf Hinzufügen und geben Sie anschließend einen SAN-Typ und einen SAN-

Wert ein.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Use as digital signature

Use for encryption

Hash algorithm

Sophos Mobile on Premise

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

Wählen Sie einen oder mehrere Hash-

Algorithmen aus, die vom SCEP-Server unterstützt werden.

Warnhinweis

Wir empfehlen Ihnen, den Algorithmus

SHA-1 nicht zu verwenden, da dieser als unsicher gilt.

15.27 Konfigurationen für Windows-IoT-Richtlinien

Mit einer Windows-IoT-Richtlinie konfigurieren Sie verschiedene Bereiche von Windows-IoT-Geräten, wie zum Beispiel Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-IoT-Richtlinie finden Sie in

Auslieferungszustand zurückzusetzen. Weitere Informationen finden Sie in Compliance-Richtlinien

(Seite 100).

15.27.1 Konfiguration „Einschränkungen“ (Windows-IoT-

Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Gerät

Einstellung/Feld

Forbid SD card

Forbid developer mode

Forbid camera

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Der Windows-Entwicklermodus ist deaktiviert.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Sophos Mobile on Premise

Einstellung/Feld

Disable Edge autofill

Disable Edge pop-up blocker

Telemetry level

Beschreibung

Die Einstellung Formulareinträge speichern im Webbrowser Edge ist deaktiviert und kann vom Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die Einstellung Popups blockieren im

Webbrowser Edge ist deaktiviert und kann vom

Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

• Full : Alle Daten, die zum Finden und Beheben von

Problemen erforderlich sind.

• Enhanced : Daten zur Nutzung und Leistung von

Windows und Apps.

• Basic : Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Security : Daten, die benötigt werden, um das Gerät mit den neuesten

Sicherheitsaktualisierungen zu schützen.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Enhanced auch alle Daten der

Stufen Basic und Security .

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

WLAN

Einstellung/Feld

Forbid internet sharing

Forbid Wi-Fi Sense (hotspot auto-connect)

Beschreibung

ICS (Internet Connection Sharing) ist deaktiviert.

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Sophos Mobile on Premise

Konnektivität

Einstellung/Feld

Forbid Bluetooth

Beschreibung

Bluetooth ist deaktiviert.

15.27.2 Konfiguration „WLAN“ (Windows-IoT-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Connect automatically

Hidden network

Sicherheitstyp

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

15.27.3 Konfiguration „Root-Zertifikat“ (Windows-IoT-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile on Premise

284

16 Auftragspakete

Mit Auftragspaketen können Sie mehrere Aufträge in einer Transaktion bündeln. Somit können Sie alle Aufträge bündeln, die für die Registrierung und Konfiguration eines Gerätes notwendig sind:

• Gerät registrieren.

• Erforderliche Richtlinien anwenden.

• Erforderliche Apps installieren (zum Beispiel verwaltete Apps bei iOS-Geräten).

• Erforderliche Profile anwenden.

Sie können auch Wipe-Befehle in Auftragspakete einbeziehen, um Geräte, die gegen

Compliance-Regeln verstoßen (zum Beispiel Geräte mit Jailbreak oder gerootete Geräte), auf den

(Seite 42).

Auftragspakete sind für die folgenden Plattformen verfügbar:

• Android

• iOS

• macOS

• Windows

16.1 Auftragspakete erstellen

1. Klicken Sie in der Menüleiste unter CONFIGURE auf Task bundles und anschließend auf die

Plattform, für die Sie ein Auftragspaket erstellen wollen.

2. Klicken Sie auf der Seite Auftragspakete auf Auftragspaket erstellen .

Die Seite Auftragspaket bearbeiten wird angezeigt.

3. Geben Sie in den jeweiligen Feldern einen Namen und optional eine Beschreibung für das neue

Auftragspaket ein.

Die Version wird beim Speichern des Auftragspakets jedes Mal automatisch erhöht.

4. Optional: Wenn Sie Auswählbar als Compliance-Aktion auswählen, kann das Auftragspaket auf

Geräte übertragen werden, die eine Compliance-Regel verletzen. Siehe Compliance-Richtlinien

(Seite 42).

Hinweis

Diese Option ist deaktiviert, wenn Sie ein vorhandenes Auftragspaket bearbeiten, das bereits als Compliance-Aktion verwendet wird.

5. Optional: Für iOS-Auftragspakete wählen Sie Ignore app installation failures aus, damit die

Verarbeitung des Auftragspakets nicht abgebrochen wird, wenn eine App-Installation fehlschlägt.

Diese Option ist deaktiviert, wenn das Auftragspaket keinen Auftrag vom Typ Install app enthält.

6. Klicken Sie auf Auftrag erstellen .

7. Wählen Sie den Auftragstyp und klicken Sie auf Weiter .

Die nächste Ansicht hängt vom gewählten Auftragstyp ab. In jeder Ansicht können Sie eigene aussagekräftige Auftragsnamen angeben. Diese Auftragsnamen werden während der Installation im Self Service Portal angezeigt.

Sophos Mobile on Premise

8. Folgen Sie den Schritten im Assistenten, um den gewünschten Auftrag hinzuzufügen. Klicken Sie auf Anwenden , um den Auftrag zu erstellen.

9. Optional: Fügen Sie weitere Aufgaben zu dem Auftragspaket hinzu.

Hinweis

In Android-Auftragspaketen können Sie nicht gleichzeitig Android- und Android-Enterprise-

Aufträge verwenden.

Tipp

Mit den Sortier-Pfeilsymbolen auf der rechten Seite der Auftragsliste können Sie die

Installationsreihenfolge der Aufträge festlegen.

10. Wenn Sie alle erforderlichen Aufträge zum Auftragspaket hinzugefügt haben, klicken Sie auf der

Seite Auftragspaket bearbeiten auf Speichern .

Das Auftragspaket steht für die Übertragung zur Verfügung. Es wird auf der Seite Auftragspakete angezeigt.

Hinweis

Wenn Sie ein vorhandenes Auftragspaket bearbeiten, das als Einrichtungspaket in den Self

Service Portal-Einstellungen verwendet wird, kann der Einrichtungsauftrag nicht gelöscht werden.

Siehe

Einstellungen für das Self Service Portal konfigurieren

(Seite 24).

Zugehörige Konzepte

Verfügbare Auftragstypen (Android)

(Seite 285)

Verfügbare Auftragstypen (iOS) (Seite 289)

Verfügbare Auftragstypen (macOS) (Seite 292)

Verfügbare Auftragstypen (Windows)

(Seite 293)

16.2 Verfügbare Auftragstypen (Android)

Für Android-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Enroll

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Enroll Sophos container

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Sophos Mobile on Premise

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Install profile

Wählen Sie aus der Liste der verfügbaren Profile und Richtlinien ein Profil oder eine Richtlinie aus.

Informationen, wie Sie Profile oder Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und

Richtlinien (Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend installiert, d.h. ohne

Benutzerinteraktion, bzw. die Richtlinie wird stillschweigend zugewiesen.

Uninstall Profile

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein Profil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Sie können auch Profile deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten deinstallieren wollen.

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend deinstalliert.

Hinweis

Eine Sophos-Container-Richtlinie oder eine Mobile-Security-Richtlinie kann nicht auf diese Weise von Geräten deinstalliert werden. Verwenden Sie stattdessen die Geräteaktion Sophos-Container deregistrieren bzw. SMSec deregistrieren . Dadurch wird auch die jeweils zugehörige Richtlinie vom Gerät entfernt.

286

Install app

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

in App aus Managed Google Play bearbeiten

(Seite 296).

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App installieren möchte. Benutzer können auf

OK tippen, um die Installation durchzuführen, oder auf Nicht jetzt , um nach Ablauf einer kurzen

Zeitspanne erneut aufgefordert zu werden.

Falls Benutzer auf OK tippen, aber dann im nächsten Schritt auf Abbrechen tippen, schlägt der

Auftrag fehl.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

Install managed Google Play app

Dieser Auftragstyp ist verfügbar, wenn Sie Android Enterprise für den Kunden konfiguriert haben.

Wählen Sie eine App aus der Liste der Apps aus, die Sie in Managed Google Play für Ihr

Unternehmen genehmigt haben. Informationen, wie Sie Apps zu dieser Liste hinzufügen, finden Sie

(Seite 335).

Sophos Mobile on Premise

Der Installationsauftrag wird an Google gesendet. Die eigentliche Installation der App auf dem Gerät wird von Google verwaltet. Auf der Seite Auftragsstatus wird der Auftrag mit Status erfolgreich angezeigt, sobald er an Google gesendet wurde.

Alternativ können Sie Apps auch über die Seite Approved apps installieren. Siehe

Genehmigte App installieren

(Seite 337).

Informationen, wie Sie eine App von Geräten deinstallieren, finden Sie in Apps aus Managed Google

Play deinstallieren

(Seite 338).

Uninstall app

Wählen Sie unter Quelle auswählen den Eintrag Apps , um aus der Liste der verfügbaren Apps eine

App auszuwählen.

Neben den Apps, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Apps angezeigt, die auf einem verwalteten Gerät in Verwendung sind - ausgenommen Android-System-

Apps und vom Gerätehersteller vorinstallierte Apps.

Sie können auch Apps deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend den Paketnamen der App ein, die Sie von Geräten deinstallieren wollen. Wenn Sie Knox-Container-App auswählen, wird die App aus dem Samsung-Knox-

Container deinstalliert.

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App deinstallieren möchte. Benutzer können auf OK tippen, um die Installation durchzuführen, oder auf Nicht jetzt , um nach Ablauf einer kurzen

Zeitspanne erneut aufgefordert zu werden.

Falls Benutzer auf OK tippen, aber dann im nächsten Schritt auf Abbrechen tippen, schlägt der

Auftrag fehl.

Falls die App nicht auf einem Gerät installiert ist, das den Auftrag erhält, wird keine Benachrichtigung angezeigt.

Send message

Geben Sie einen Text ein, der auf den Geräten angezeigt werden soll.

Wenn der Auftrag an Geräte übertragen wird, wird der Hinweistext in einem

Benachrichtigungsfenster angezeigt. Benutzer können frühere Nachrichten auf der Seite

Nachrichten der App Sophos Mobile Control anzeigen.

Unenroll

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

verwaltet wird, d.h., wenn dem Gerät eine Mobile-Security-Richtlinie zugewiesen ist. Siehe Sophos

(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Unenroll und Wipe nicht im selben Auftragspaket verwenden.

Wipe

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sophos Mobile on Premise

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Hinweis

Wenn ein Auftrag vom Typ Wipe an ein Android-Enterprise-Gerät im Modus „Profilbesitzer“

übertragen wird, werden nur das Arbeitsprofil und alle Apps aus Managed Google Play entfernt.

Sie können die Auftragstypen Unenroll und Wipe nicht im selben Auftragspaket verwenden.

Knox container: lock

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container gesperrt.

Knox container: unlock

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container entsperrt.

Knox container: reset password

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird das

Knox-Container-Kennwort zurückgesetzt. Benutzer müssen ein neues Kennwort festlegen, um den

Knox-Container zu entsperren.

Knox container: remove

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container (inklusive aller zugehörigen Einstellungen) entfernt.

Trigger SMSec scan

Wenn der Auftrag an Geräte übertragen wird, wird die App Sophos Mobile Security stillschweigend angewiesen, das Gerät auf Malware und PUAs (Potentally Unwanted Apps) zu scannen.

Dieser Auftrag kann nur ausgeführt werden, wenn Sophos Mobile Security von Sophos Mobile

Mobile Security verwalten

(Seite 356).

Falls der Auftrag an ein Gerät übertragen wird, auf dem Sophos Mobile Security nicht von Sophos

Mobile verwaltet wird, d.h., wenn dem Gerät keine Mobile-Security-Richtlinie zugewiesen ist, verbleibt der Auftrag im Status Wiederholung geplant.

Sophos Mobile on Premise

16.3 Verfügbare Auftragstypen (iOS)

Für iOS-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Enroll

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Enroll Sophos container

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Install profile

Wählen Sie aus der Liste der verfügbaren Profile und Richtlinien ein Profil oder eine Richtlinie aus.

Informationen, wie Sie Profile oder Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und

Richtlinien (Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend installiert, d.h. ohne

Benutzerinteraktion, bzw. die Richtlinie wird stillschweigend zugewiesen.

Uninstall Profile

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein Profil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend deinstalliert.

Hinweis

Eine Sophos-Container-Richtlinie kann nicht auf diese Weise von Geräten deinstalliert werden.

Verwenden Sie stattdessen die Geräteaktion Sophos-Container deregistrieren . Dadurch wird auch die zugehörige Richtlinie vom Gerät entfernt.

Sophos Mobile on Premise

Install provisioning profile

Wählen Sie ein App-Provisionierungsprofil aus der Liste der verfügbaren Profile aus. Informationen,

wie Sie Profile zu dieser Liste hinzufügen, finden Sie in Provisionierungsprofile für iOS-Apps importieren (Seite 101).

Wenn der Auftrag an Geräte übertragen wird, wird das Provisionierungsprofil stillschweigend installiert.

Uninstall provisioning profile

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein

Provisionierungsprofil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Sie können auch Provisionierungsprofile entfernen, die nicht in der Liste enthalten sind. Wählen

Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten entfernen wollen.

Wenn der Auftrag an Geräte übertragen wird, wird das Provisionierungsprofil stillschweigend entfernt.

Reconfigure SMC app

Wenn der Auftrag an ein Gerät übertragen wird, wird der Benutzer aufgefordert, einen QR-Code zu scannen oder Konfigurationsdetails manuell einzugeben. Dadurch wird eine zuvor deinstallierte App

Sophos Mobile Control wieder mit dem Server verbunden.

Hinweis

Sie sollten vor diesem Auftrag einen Auftrag Install app für die App Sophos Mobile Control ausführen.

Install app

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

(Seite 296).

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App installieren möchte. Benutzer können auf Installieren tippen, um die Installation durchzuführen, oder auf Abbrechen , um die Installation abzulehnen.

Falls Benutzer die Installation ablehnen, schlägt der Auftrag fehl.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

Sophos Mobile on Premise

Uninstall app

Wählen Sie unter Quelle auswählen den Eintrag Apps , um aus der Liste der verfügbaren Apps eine

App auszuwählen.

Neben den Apps, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Apps angezeigt, die auf einem verwalteten Gerät in Verwendung sind - ausgenommen iOS-System-Apps.

Sie können auch Apps deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Bundle-ID der App ein, die Sie von Geräten deinstallieren wollen.

Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend deinstalliert.

Install latest iOS update

Wenn der Auftrag an Geräte übertragen wird, wird die neueste verfügbare Aktualisierung für iOS installiert. Abhängig vom Gerätemodell können verschiedene Aktualisierungen installiert werden.

Auf folgenden Geräten können Sie eine iOS-Aktualisierung durchführen:

• Betreute Geräte mit iOS 10.3 oder neuer

• Betreute Apple-DEP-Geräte

Bei anderen Geräten schlägt der Auftrag fehl.

Send message

Geben Sie einen Text ein, der auf den Geräten angezeigt werden soll.

Wenn der Auftrag an Geräte übertragen wird, wird der Hinweistext in einem

Benachrichtigungsfenster angezeigt. Benutzer können frühere Nachrichten auf der Seite

Nachrichten der App Sophos Mobile Control anzeigen.

Unenroll

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Unenroll und Wipe nicht im selben Auftragspaket verwenden.

Wipe

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Sie können die Auftragstypen Unenroll und Wipe nicht im selben Auftragspaket verwenden.

Sophos Mobile on Premise

16.4 Verfügbare Auftragstypen (macOS)

Für macOS-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Enroll

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Assign device policy

Wählen Sie aus der Liste der verfügbaren macOS-Geräterichtlinien eine Richtlinie aus.

Informationen, wie Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und Richtlinien

(Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Geräterichtlinie zugewiesen ist, wird diese ersetzt.

Assign user policy

Wählen Sie aus der Liste der verfügbaren macOS-Benutzerrichtlinien eine Richtlinie aus.

Informationen, wie Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und Richtlinien

(Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Benutzerrichtlinie zugewiesen ist, wird diese ersetzt.

Benutzerrichtlinien werden auf Benutzer angewendet, wenn sich diese das nächste Mal am Mac anmelden.

Unenroll

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in Profile und Richtlinien

(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Unenroll und Wipe nicht im selben Auftragspaket verwenden.

Wipe

Legen Sie eine 6-stellige PIN für die Systemsperre fest.

Wenn der Auftrag an einen Mac übertragen wird, startet dieser neu und beginnt damit, die Festplatte zu löschen. Der Benutzer muss die PIN eingeben, um den Mac zu entsperren.

Sie können die Auftragstypen Unenroll und Wipe nicht im selben Auftragspaket verwenden.

Sophos Mobile on Premise

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Device properties > Unlock passcode angezeigt, sowie auf der Seite Task details unter Lock

PIN .

16.5 Verfügbare Auftragstypen (Windows)

Für Windows-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Enroll

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Assign policy

Wählen Sie aus der Liste der verfügbaren Geräterichtlinien eine Richtlinie aus. Informationen, wie

(Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Geräterichtlinie zugewiesen ist, wird diese ersetzt.

App installieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

(Seite 296).

Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend installiert.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

App deinstallieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus.

Die Liste enthält Apps, die Sie am Sophos Mobile Server konfiguriert haben und Apps, die auf mindestens einem der verwalteten Windows-Computer installiert sind - ausgenommen Windows-

System-Apps.

Wenn der Auftrag an Geräte übertragen wird, wird die ausgewählte App stillschweigend deinstalliert.

Sophos Mobile on Premise

Hinweis

Sie können nur Apps deinstallieren, die von Sophos Mobile installiert wurden. Wenn Sie versuchen, eine vom Benutzer installierte App zu deinstallieren, schlägt der Auftrag fehl.

Unenroll

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

(Nur VPP-Apps. Siehe Apple-VPP-Apps verwalten

(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Unenroll und Wipe nicht im selben Auftragspaket verwenden.

Wipe

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Sie können die Auftragstypen Unenroll und Wipe nicht im selben Auftragspaket verwenden.

16.6 Auftragspakete duplizieren

Da das Erstellen eines Auftragspakets zeitaufwändig sein kann, können Sie bereits vorhandene

Auftragspakete duplizieren. Diese Funktion ist hilfreich, wenn mehrere umfangreiche Auftragspakete mit ähnlichen Aufträgen erforderlich sind. Es müssen dann nur wenige Aufträge gelöscht oder hinzugefügt werden.

Hinweis

Sie können Auftragspakete nur dann duplizieren, wenn sie nicht gleichzeitig bearbeitet werden.

Die Kopien werden mit „Copy of“ und dem Namen des Originalprofils benannt. Sie können die

Namen der Pakete nach Ihren Anforderungen ändern.

1. Klicken Sie in der Menüleiste unter CONFIGURE auf Task bundles und anschließend auf Android oder iOS .

Die Seite Task bundles wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem Auftragspaket, das Sie duplizieren möchten, und anschließend auf Duplizieren .

Das Auftragspaket wird dupliziert und auf der Seite Auftragspakete angezeigt. Klicken Sie auf das duplizierte Auftragspaket, um es zu bearbeiten.

Sophos Mobile on Premise

16.7 Auftragspakete an einzelne Geräte oder

Gerätegruppen übertragen

1. Klicken Sie in der Menüleiste unter CONFIGURE auf Task bundles und anschließend auf Android oder iOS .

Die Seite Task bundles wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem betreffenden Auftrag und anschließend auf

Übertragen .

Die Seite Geräte auswählen wird angezeigt.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Wählen Sie einzelne Geräte aus, an die das Auftragspaket übertragen werden soll.

• Klicken Sie auf Gerätegruppen auswählen , um die Seite Gerätegruppen auswählen zu öffnen. Wählen Sie dann eine oder mehrere Gerätegruppen für die Übertragung des

Auftragspakets aus.

4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Weiter .

Die Seite Ausführungszeit wählen wird angezeigt.

5. Wählen Sie unter Datum die Option Sofort oder geben Sie ein Datum und eine Uhrzeit für die

Ausführung dieses Auftrags an.

6. Klicken Sie auf Fertigstellen .

Die Seite Auftragsstatus wird angezeigt.

Das Auftragspaket wird zum angegebenen Zeitpunkt auf die ausgewählten Geräte übertragen.

Sophos Mobile on Premise

17 Apps

Sie konfigurieren Apps, damit diese mit Sophos Mobile Admin (Administrator-initiiert) oder mit der

App Sophos Mobile Control (Benutzer-initiiert) installiert werden können.

Die Verwaltung von Apps ist für die folgenden Plattformen verfügbar:

• Android

• iOS

• macOS

(Seite 308).)

• Windows

• Windows Mobile

Gehen Sie wie folgt vor, um eine App in Sophos Mobile verfügbar zu machen:

• Das App-Paket auf den Sophos Mobile Server hochladen. Diese Option ist nicht verfügbar für

Windows-Mobile-Apps, für Mac-Apps, und für Geräte, auf denen Sophos Mobile nur den Sophos-

Container verwaltet.

• Einen Link zu der App im jeweiligen App Store angeben.

Eine Beschreibung beider Arten finden Sie im Abschnitt

App hinzufügen (Seite 296).

Um eine App auf einem Gerät zu installieren, erstellen Sie ein Auftragspaket, das einen Auftrag App installieren enthält. Für Android- und iOS-Geräte können Sie ein solches Auftragspaket direkt auf der Seite Apps erstellen. Siehe

App installieren

(Seite 297).

Hinweis

Damit App-Pakete, die auf dem Sophos Mobile Server gespeichert sind, installiert werden können, im Gegensatz zur Installation aus dem jeweiligen App-Store, müssen die folgenden Bedingungen erfüllt sein:

• Android: Auf den Geräten muss die Android-Sicherheitseinstellung Unbekannte Herkunft aktiviert sein. Falls Unbekannte Herkunft deaktiviert ist während Sie versuchen, eine APK-

Datei zu installieren, erhalten die Benutzer von der App Sophos Mobile Control einen Hinweis, wie sie diese Einstellung aktivieren können. Diese Einschränkung gilt nicht für Geräte mit LG

GATE, Samsung Knox oder Sony Enterprise API.

• iOS: Die App-Installation über IPA-Dateien ist nur für selbstentwickelte Apps möglich. Wenn die App fertiggestellt ist und verteilt werden kann, müssen Sie ein Provisionierungsprofil für die App erstellen dieses auf den Geräten verfügbar machen, entweder, indem Sie es vorab separat installieren, oder, indem Sie es in die IPA-Datei der App integrieren. Sie können Sophos Mobile verwenden, um Provisionierungsprofile an Ihre iOS-Geräte zu

verteilen. Siehe Provisionierungsprofile für iOS-Apps importieren

(Seite 101). Details zu

Provisionierungsprofilen finden Sie in der iOS Developer Library.

296

17.1 App hinzufügen

Sie stellen eine App für die Installation zur Verfügung, indem Sie entweder das App-Paket hochladen oder den App-Link im jeweiligen App Store angeben.

1. Klicken Sie in der Menüleiste unter CONFIGURE auf Apps und anschließend auf die Plattform, für die Sie die App hinzufügen wollen.

Sophos Mobile on Premise

2. Klicken Sie auf Add app und wählen Sie anschließend die gewünschte Option aus:

• Android package : Hinzufügen einer Android-App durch Hochladen der APK-Datei zu Sophos

Mobile.

• iOS package : Hinzufügen einer iOS-App durch Hochladen der IPA-Datei zu Sophos Mobile.

• Android link : Hinzufügen einer Android-App durch Verlinken zu Google Play.

• iOS link : Hinzufügen einer iOS-App durch Verlinken zum App Store.

• Windows Mobile link : Hinzufügen einer Windows-Mobile-App durch Verlinken zum Microsoft

Store.

• Windows MSI link : Hinzufügen einer Windows-App durch Verlinken zur MSI-Installationsdatei.

• Microsoft Store link : Hinzufügen einer Windows-App durch Verlinken zum Microsoft Store.

3. Für Mac-Apps klicken Sie auf Import VPP apps , um die Liste der Apps zu laden, die Sie über das

Apple-Programm für Volumenlizenzen (VPP) erworben haben. Siehe Apple-VPP-Apps verwalten

(Seite 308).

4. Konfigurieren Sie die gewünschten App-Einstellungen.

5. Klicken Sie auf Speichern , um die App-Einstellungen zu speichern und zur Seite Apps zurückzukehren.

Die App steht für die Installation zur Verfügung. Sie wird auf der Seite Apps angezeigt. Falls Sie das

Feld Verfügbar für Gerätegruppen konfiguriert haben, wird die App auch im Enterprise App Store der

App Sophos Mobile Control angezeigt und kann von dort von den Benutzern installiert werden. Der

Installationsvorgang läuft ohne oder nur mit sehr geringer Benutzerinteraktion.

Hinweis

Auf Geräten, auf denen Sophos Mobile nur den Sophos-Container verwaltet, sind keine Apps verfügbar, die Sie durch Hochladen der APK-Datei (für Android) bzw. der IPA-Datei (für iOS) hinzugefügt haben.

Zugehörige Referenzinformationen

App-Einstellungen (Android)

(Seite 300)

App-Einstellungen (iOS)

(Seite 301)

App-Einstellungen (macOS)

(Seite 303)

App-Einstellungen (Windows Mobile) (Seite 304)

App-Einstellungen (Windows)

(Seite 305)

17.2 App installieren

Hinweis

Dieser Abschnitt gilt nicht für Android Enterprise. Zur Installation von Apps für Android Enterprise

siehe Genehmigte App installieren

(Seite 337).

Hinweis

Dieser Abschnitt gilt nicht für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Eine App, die Sie wie in

Apps aus Managed Google Play deinstallieren

(Seite 296) beschrieben zu Sophos Mobile hinzugefügt haben, können Sie manuell auf ausgewählten Geräten oder Gerätegruppen installieren.

Sophos Mobile on Premise

1. Klicken Sie in der Menüleiste unter CONFIGURE auf Apps und anschließend auf die Plattform, für die Sie eine App installieren wollen.

2. Klicken Sie auf der Seite Apps auf das blaue Dreieck neben der gewünschten App und anschließend auf Installieren .

3. Wählen Sie die Geräte aus, auf denen Sie die App installieren wollen. Gehen Sie wie folgt vor:

• Wählen Sie einzelne Geräte aus.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

Wenn Sie fertig sind, klicken Sie auf Weiter .

4. Legen Sie auf der Seite Ausführungszeit wählen den Zeitpunkt fest, zu dem die App installiert wird:

• Für eine sofortige Ausführung wählen Sie Sofort aus.

• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und

Uhrzeit ein.

5. Klicken Sie auf Fertigstellen .

Die ausgewählte App wird zum festgelegten Zeitpunkt auf den ausgewählten Geräten installiert.

Hinweis

Auf folgenden Geräten werden verwaltete Apps stillschweigend, d.h. ohne Benutzer-Interaktion, installiert:

• Betreute iOS-Geräte

• Android-Enterprise-Geräte

• Android-Geräte mit Samsung Knox Standard SDK 5.1 oder neuer

• Android-Geräte mit LG GATE

• Android-Geräte mit Sony Enterprise API Version 8 oder neuer

• Windows-Computer, wenn Sie für die App die Installationsoption /quiet konfiguriert haben.

Auf den zuvor aufgeführten Geräten von Samsung, LG und Sony werden nur APK-Dateien stillschweigend installiert, aber keine Apps aus Google Play.

Tipp

Der Status des Installationsauftrags wird auf der Seite Auftragsstatus angezeigt.

Tipp

Sie können eine App auch folgendermaßen installieren:

• Um eine App auf einem einzelnen Gerät zu installieren: Öffnen Sie auf der Seite Show device des Gerätes die Registerkarte Installed apps und klicken Sie auf Install app .

• Um eine App auf mehreren Geräten zu installieren: Wählen Sie auf der Seite Devices die gewünschten Geräte aus und klicken Sie anschließend auf Actions > Install app .

• Um eine App auf einem oder mehreren Geräten als Teil eines Auftragspakets zu installieren:

Fügen Sie dem Auftragspaket einen Auftrag Install app hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

Sophos Mobile on Premise

17.3 App deinstallieren

Hinweis

Dieser Abschnitt gilt nicht für Android Enterprise. Zur Deinstallation von Apps für Android

Enterprise siehe

(Seite 338).

Hinweis

Dieser Abschnitt gilt nicht für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Eine App, die Sie wie in

(Seite 296) beschrieben zu Sophos Mobile hinzugefügt haben, können Sie manuell von ausgewählten Geräten oder Gerätegruppen deinstallieren.

1. Klicken Sie in der Menüleiste unter CONFIGURE auf Apps und anschließend auf die Plattform, für die Sie eine App deinstallieren wollen.

2. Klicken Sie auf der Seite Apps auf Deinstallieren .

3. Wählen Sie die Geräte aus, von denen Sie die App deinstallieren wollen. Gehen Sie wie folgt vor:

• Wählen Sie einzelne Geräte aus.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

Wenn Sie fertig sind, klicken Sie auf Weiter .

4. Wählen Sie auf der Seite App auswählen die gewünschte App aus.

5. Legen Sie auf der Seite Ausführungszeit wählen den Zeitpunkt fest, zu dem die App deinstalliert wird:

• Für eine sofortige Ausführung wählen Sie Sofort aus.

• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und

Uhrzeit ein.

6. Klicken Sie auf Fertigstellen .

Die ausgewählte App wird zum festgelegten Zeitpunkt von den ausgewählten Geräten deinstalliert.

Hinweis

Von folgenden Geräten werden verwaltete Apps stillschweigend, d.h. ohne Benutzer-Interaktion, deinstalliert:

• Verwaltete Apps auf betreuten iOS-Geräten

• Windows-Computer, wenn Sie für die App die Installationsoption /quiet konfiguriert haben.

Tipp

Alternativ können Sie mit der folgenden Methode eine App von einem einzelnen Gerät deinstallieren: Öffnen Sie die Seite Gerät anzeigen für das gewünschte Gerät, wechseln Sie auf die Registerkarte Installierte Apps und klicken Sie auf das Mülleimer-Symbol neben dem App-

Namen.

Sophos Mobile on Premise

17.4 App-Einstellungen (Android)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

App identifier

App category

Available to device groups

Description

Install in Knox container

Beschreibung

Eine Bezeichnung der App.

Für App-Pakete: Die Version, die im Enterprise

App Store angezeigt wird.

Für App-Links: Sophos Mobile verwendet die

Version aus Google Play.

Die interne Kennung der App.

Für App-Links: Klicken Sie auf Get data , um den Wert aus Google Play zu verwenden.

Für App-Pakete: Sophos Mobile verwendet den

Wert aus der APK-Datei.

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf Show und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus Google

Play angezeigt.

Für Samsung-Knox-Geräte wird die App im

Knox-Container installiert.

Diese Einstellung ist nur verfügbar, wenn Sie eine Samsung-Knox-Lizenz konfiguriert haben.

Sophos Mobile on Premise

Einstellungen für App-Links

Einstellung/Feld

Link

Beschreibung

Die URL der App in Google Play.

Um die URL zu bestimmen, klicken Sie auf

Google Play öffnen , um Google Play in einer neuen Browser-Registerkarte zu öffnen, und navigieren Sie zu der gewünschten App.

Kopieren Sie anschließend die URL aus der

Adressleiste in das Feld Link .

Nachdem Sie die URL eingegeben haben, klicken Sie auf Get data , um das Feld App identifier automatisch auszufüllen.

Einstellungen für App-Pakete

Einstellung/Feld

Upload a file

Beschreibung

Klicken Sie auf Upload a file , um die App zum

Sophos Mobile Server hochzuladen. Navigieren

Sie zu der APK-Datei und klicken Sie auf

Öffnen .

Zugehörige Aufgaben

Verwaltete iOS-Apps (Seite 308).

17.5 App-Einstellungen (iOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

Beschreibung

Eine Bezeichnung der App.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Die Version, die im Enterprise App Store angezeigt wird.

Für App-Links: Sophos Mobile verwendet die

Version aus dem App Store.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Sophos Mobile on Premise

Einstellung/Feld

App identifier

App category

Available to device groups

Sophos Mobile managed installation

Description

Settings and VPN

VPP licenses

Beschreibung

Die interne Kennung der App.

Für App-Links: Klicken Sie auf Get data , um den Wert aus dem App Store zu verwenden.

Für App-Pakete: Sophos Mobile verwendet den

Wert aus der IPA-Datei.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf Show und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Die App wird als verwaltete App installiert.

Siehe

Diese Einstellung beeinflusst nur Apps, die vom Benutzer über den Enterprise App Store installiert werden. Apps, die Sie über Sophos

Mobile Admin installieren, sind immer verwaltet.

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus dem App

Store angezeigt.

Klicken Sie auf Show , um eine VPN-

Verbindung zu konfigurieren, die für die

App verwendet wird, oder konfigurieren Sie

Einstellungen, die während der App-Installation auf das Gerät übertragen werden.

Klicken Sie auf Show , um die App Benutzern oder Geräten manuell zuzuweisen. Siehe

VPP-

Apps zuweisen (Seite 312).

Diese Einstellung ist nur für Apple-VPP-Apps verfügbar.

Sophos Mobile on Premise

Einstellungen für App-Links

Einstellung/Feld

Search in iTunes

Link

Beschreibung

Klicken Sie auf Search in iTunes , um in der

App-Store-Datenbank nach der App zu suchen.

Wenn Sie eine App in den Suchergebnissen auswählen, werden folgende Felder automatisch ausgefüllt:

• App identifier

• App category

• Link

Die URL der App im App Store.

Um die URL zu bestimmen, klicken Sie auf

App Store öffnen , um iTunes Link Maker in einer neuen Browser-Registerkarte zu öffnen.

Navigieren Sie in Link Maker zu der App und kopieren Sie anschließend die unter Directlink angezeigte URL in das Feld Link in Sophos

Mobile Admin.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Einstellungen für App-Pakete

Einstellung/Feld

Upload a file

Beschreibung

Klicken Sie auf Upload a file , um die App zum Sophos Mobile Server hochzuladen.

Navigieren Sie zu der IPA-Datei und klicken Sie auf Öffnen .

Zugehörige Aufgaben

Apps zuweisen (Seite 312).

17.6 App-Einstellungen (macOS)

Einstellung/Feld

Name

Beschreibung

Der Name der App.

Der Wert kann nicht geändert werden.

Sophos Mobile on Premise

Einstellung/Feld

Version

App identifier

App category

Description

VPP licenses

Link

Beschreibung

Die Version der App aus dem App Store.

Der Wert kann nicht geändert werden.

Die interne Kennung der App.

Der Wert kann nicht geändert werden.

Eine Kategorie, zum Beispiel Produktivität .

Der Wert wird derzeit nicht verwendet.

Eine Beschreibung der App.

Der Wert wird derzeit nicht verwendet.

Klicken Sie auf Show , um die App Benutzern oder Geräten manuell zuzuweisen. Siehe

VPP-

Diese Einstellung ist nur für Apple-VPP-Apps verfügbar.

Die URL der App im App Store.

Der Wert kann nicht geändert werden.

17.7 App-Einstellungen (Windows Mobile)

Einstellung/Feld

Name

Version

App category

Description

Beschreibung

Eine Bezeichnung der App.

Die App-Version.

Sophos Mobile verwendet die Version aus dem

Microsoft Store.

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus dem

Microsoft Store angezeigt.

Einstellung/Feld

Available to device groups

Link

Sophos Mobile on Premise

Beschreibung

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf Show und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Die URL der App im Microsoft Store.

Um die URL zu bestimmen, klicken Sie auf

Microsoft Store öffnen , um den Microsoft

Store für Windows-Phone-Apps in einer neuen

Browser-Registerkarte zu öffnen, und navigieren

Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das Feld Link .

Zugehörige Aufgaben

Weitere Informationen zu diesen Einstellungen finden Sie in Einstellungen für Windows-MSI-Links ermitteln

17.8 App-Einstellungen (Windows)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

App category

Description

Beschreibung

Eine Bezeichnung der App.

Die App-Version.

Eine Kategorie, zum Beispiel Produktivität .

Eine Beschreibung der App.

Einstellungen für MSI-Links

Einstellung/Feld

ProductCode GUID

Link

Beschreibung

Die ProductCode -GUID der MSI-Datei.

Hinweis

Wenn Sie einen falschen Wert eingeben, kann die

App nicht deinstalliert werden.

Die URL der MSI-Datei.

305

Sophos Mobile on Premise

Einstellung/Feld

SHA-256 file hash

Beschreibung

Der SHA-256-Hash-Wert der MSI-Datei.

Hinweis

Wenn Sie einen falschen Hash-Wert eingeben, kann die App nicht installiert werden.

Installation options Die Kommandozeilen-Optionen für das

Installationsprogramm msiexec.exe

Mit der Standardoption /quiet wird die App ohne Benutzer-Interaktion installiert.

(Seite 307).

Einstellungen für Microsoft-Store-Links

Einstellung/Feld

Store ID

SKU ID

Package Family Name

Beschreibung

Die Store ID der App im Microsoft Store. Der

Wert wird automatisch eingetragen, wenn Sie auf Get data klicken.

Die SKU ID (Stock-Keeping Unit ID) der App im

Microsoft-Store-Katalog.

Eine App kann unterschiedliche SKU IDS haben, z.B. für Voll- und Testversionen oder für verschiedene Vermarktungsregionen.

Wenn Sie die SKU ID einer App nicht kennen, verwenden Sie den Standardwert 0010 .

Der Package Family Name (PFN) der App.

Der Wert wird automatisch eingetragen, wenn

Sie auf Get data klicken.

Einstellung/Feld

Link

Sophos Mobile on Premise

Beschreibung

Die URL der App im Microsoft Store.

Um die URL zu bestimmen, klicken Sie auf

Microsoft Store öffnen , um den Microsoft

Store für Windows-Apps in einer neuen

Browser-Registerkarte zu öffnen, und navigieren

Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das Feld Link .

Nachdem Sie die URL eingegeben haben, klicken Sie auf Get data , um folgende Felder automatisch auszufüllen:

• Product ID

• Package Family Name

Zugehörige Aufgaben