Sophos Mobile on Premise Benutzerhandbuch

Samsung-Knox-Lizenz registrieren (Seite 40)

(Seite 85)

• Samsung-Knox-Lizenz

—

• SCEP

—

SCEP konfigurieren

(Seite 40)

• Benutzerverzeichnis

—

Benutzerverzeichnis konfigurieren

(Seite 41)

• SGN

—

Synchronisierung des Unternehmens-Schlüsselbundes aktivieren

(Seite 364)

• Duo Security

—

Die Integration von Duo Security für iOS-Geräte konfigurieren

(Seite 95)

• Microsoft Azure

—

Integration mit Microsoft Intune einrichten (Seite 341)

• Fremd-EMM

—

Sophos Mobile Security auf Geräten mit Fremd-EMM-Software verwalten (Seite 357)

• Samsung KME

Sophos Mobile on Premise

—

Knox Mobile Enrollment einrichten

(Seite 81)

• Zero-Touch

—

Zero-Touch-Registrierung einrichten

(Seite 78)

11.1 Lizenzen prüfen

Sophos Mobile verwendet ein benutzerbasiertes Lizenzschema. Eine einzelne Benutzerlizenz ist für alle Geräte gültig, die dem betreffenden Benutzer zugewiesen sind. Für Geräte, die keinem Benutzer zugewiesen sind, ist jeweils eine Lizenz erforderlich.

So überprüfen Sie Ihre verfügbaren Lizenzen:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen .

2. Öffnen Sie auf der Seite Systemeinstellungen die Registerkarte Lizenzen .

Die folgenden Informationen werden angezeigt:

• Maximale Anzahl von Lizenzen : Maximale Anzahl von Gerätebenutzern (und nicht zugewiesenen Geräten), die verwaltet werden können.

Falls der Superadministrator für einen Kunden keinen Höchstwert angegeben hat, ist die

Lizenzanzahl durch die Gesamtzahl für den Sophos Mobile Server begrenzt.

• Genutzte Lizenzen : Anzahl der verwendeten Lizenzen.

• Gültig bis : Das Lizenzablaufdatum.

• Advanced-Lizenz : Der Superadministrator hat für den Kunden eine Lizenz vom Typ Mobile

Advanced aktiviert.

Wenn Sie Fragen zu den Lizenzinformationen haben, oder wenn die angezeigten Informationen

Ihrer Meinung nach nicht korrekt sind, wenden Sie sich an Ihren Sophos Vertriebspartner.

11.2 Zertifikate für den Push-

Benachrichtigungsdienst von Apple (APNs)

Um das integrierte Mobile Device Management (MDM) Protokoll von iOS- und macOS-Geräten verwenden zu können, muss Sophos Mobile den Push-Benachrichtigungsdienst von Apple (APNs) zum Triggern der Geräten benutzen.

APNs-Zertifikate haben eine Gültigkeit von einem Jahr.

Die folgenden Abschnitte beschreiben die Voraussetzungen und die nötigen Schritte, um Zugang zu den APNs-Servern mit Ihrem eigenen Client-Zertifikat zu bekommen.

11.2.1 Anforderungen

Für die Kommunikation mit dem Push-Benachrichtigungsdienst von Apple (APNs) muss TCP-

Datenverkehr über folgende Ports erlaubt werden:

• Der Sophos Mobile Server muss sich mit gateway.push.apple.com:2195 TCP

(17.0.0.0/8) verbinden.

• Jedes iOS-Gerät, das ausschließlich über eine WLAN-Verbindung verfügt, muss sich mit

*.push.apple.com:5223 TCP (17.0.0.0/8) verbinden können.

Sophos Mobile on Premise

11.2.2 APNs-Zertifikat erstellen

Voraussetzung: Sie haben noch kein Zertifikat für den Push-Benachrichtigungsdienst von Apple

(APNs) zu Sophos Mobile hochgeladen.

Informationen zur Erneuerung eines vorhandenen Zertifikats finden Sie in APNs-Zertifikat erneuern

(Seite 36).

Tipp

Sie können dasselbe Zertifikat für mehrere Kunden verwenden. Siehe APNs-Zertifikat in einen anderen Kunden kopieren (Seite 37).

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .

2. Klicken Sie auf Assistent „APNs Zertifikat“ .

3. Klicken Sie auf der Seite Modus auf Ein neues APNs-Zertifikat erzeugen .

4. Klicken Sie auf der Seite CSR auf CSR herunterladen .

Hierdurch wird die CSR-Datei apple.csr

auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.

5. Sie benötigen eine Apple-ID. Auch wenn Sie bereits eine Apple-ID haben, empfehlen wir Ihnen, für den Gebrauch mit Sophos Mobile eine separate ID zu erstellen. Klicken Sie auf der Seite Apple-ID auf Im Apple-Portal eine Apple-ID erstellen .

Hierdurch wird die Apple-Internetseite geöffnet, auf der Sie eine Apple-ID für Ihr Unternehmen erstellen können.

Hinweis

Verwahren Sie die Anmeldedaten an einem sicheren Ort, auf den auch Ihre Arbeitskollegen zugreifen können. Ihr Unternehmen benötigt diese Anmeldedaten jedes Jahr, um das Zertifikat zu erneuern.

6. Geben Sie im Feld Apple-ID des Assistenten Ihre neue Apple-ID ein.

7. Klicken Sie auf der Seite Zertifikat auf Zertifikat im Apple-Portal erstellen .

Hierdurch wird das Apple Push Certificates Portal geöffnet.

8. Melden Sie sich mit Ihrer Apple-ID an und laden Sie die CSR-Datei apple.csr

hoch.

9. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem

herunter und speichern Sie diese.

10. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei mit der

Endung .pem

aus, die Sie vom Apple Push Certificates Portal erhalten haben.

11. Klicken Sie auf Speichern .

Sophos Mobile liest das Zertifikat ein und zeigt die Zertifikatdetails auf der Registerkarte APNs an.

11.2.3 APNs-Zertifikat erneuern

Voraussetzung: Sie haben ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) zu

Sophos Mobile hochgeladen, das abläuft und erneuert werden muss.

Informationen zum Erstellen und Hochladen eines neuen Zertifikats finden Sie in

APNs-Zertifikat erstellen

(Seite 36).

Sophos Mobile on Premise

Wichtig

Es ist wichtig, dass Sie im Apple-Portal das korrekte APNs-Zertifikat zum Erneuern auswählen.

Falls Sie ein falsches Zertifikat erneuern, müssen Sie möglicherweise sämtliche iOS- und macOS-

Geräte erneut registrieren.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .

2. Klicken Sie auf Assistent „APNs Zertifikat“ .

3. Klicken Sie auf der Seite Modus auf Mein APNs-Zertifikat erneuern .

4. Klicken Sie auf der Seite CSR auf CSR herunterladen .

Hierdurch wird die CSR-Datei apple.csr

auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.

5. Auf der Seite Apple-ID wird die Apple-ID angezeigt, die bei der erstmaligen Erstellung des APNs-

Zertifikats verwendet wurde.

Sie benötigen diese ID für die Anmeldung am Apple-Portal.

6. Klicken Sie auf der Seite Zertifikat auf Zertifikat im Apple-Portal erneuern .

Hierdurch wird das Apple Push Certificates Portal geöffnet.

7. Melden Sie sich mit der Apple-ID an, die im Assistenten angezeigt wird.

8. Klicken Sie im Apple Push Certificates Portal auf Renew neben Ihrem Sophos Mobile APNs-

Zertifikat.

9. Laden Sie die zuvor erzeugte CSR-Datei apple.csr

hoch.

10. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem

herunter und speichern Sie diese.

11. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei mit der

Endung .pem

aus, die Sie vom Apple Push Certificates Portal erhalten haben.

12. Klicken Sie auf Speichern .

Wichtig

Falls folgende Meldung angezeigt wird, erneuern Sie nicht das richtige Zertifikat:

Das Topic des neuen Zertifikats stimmt nicht mit dem alten Zertifikat

überein. Wenn mit dem vorherigen Zertifikat Geräte eingerichtet worden sind, müssen diese erneut eingerichtet werden. Wollen Sie Ihre Änderungen wirklich speichern?

Diese Meldung macht Sie darauf aufmerksam, dass Sie dabei sind, ein neues APNs-Zertifikat mit einer abweichenden Kennung zu erstellen. Wenn Sie die Meldung bestätigen, können alle vorhandenen iOS- und macOS-Geräte nicht mehr verwaltet werden und Sie müssen diese erneut registrieren.

Informationen, wie Sie das richtige Zertifikat ermitteln, finden Sie in Zu erneuerndes APNs-Zertifikat bestimmen

(Seite 38).

11.2.4 APNs-Zertifikat in einen anderen Kunden kopieren

Sie können ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) in einen anderen

Kunden derselben oder einer anderen Installation von Sophos Mobile kopieren.

Sophos Mobile on Premise

Wichtig

Falls am Kopierziel bereits ein APNs-Zertifikat vorhanden ist, ist es wichtig, dass die

Zertifikateigenschaft Topic des zu kopierenden Zertifikats mit dem Topic des vorhandenen

Zertifikats übereinstimmt. Falls Sie ein falsches Zertifikat kopieren, müssen Sie möglicherweise sämtliche iOS- und macOS-Geräte des Kunden erneut registrieren.

Laden Sie das Zertifikat herunter:

1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, dessen APNs-Zertifikat Sie kopieren wollen.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .

3. Notieren Sie sich den unter APNs-Zertifikat angezeigten Wert für Topic .

4. Klicken Sie auf Zertifikat als PKCS#12-Datei herunterladen .

5. Im Bestätigungsdialog wird das Kennwort für die Zertifikat-Datei angezeigt. Notieren Sie sich dieses Kennwort und klicken Sie anschließend auf Herunterladen .

Die Zertifikatdatei apns_cert.p12

wird auf Ihrem Computer gespeichert.

Laden Sie das Zertifikat in einen anderen Kunden hoch:

6. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, zu dem Sie das Zertifikat hochladen wollen.

7. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .

8. Falls bereits ein Zertifikat vorhanden ist, überprüfen Sie, dass der Wert für Topic mit dem Wert des zu kopierenden Zertifikats übereinstimmt.

9. Klicken Sie auf Assistent „APNs Zertifikat“ .

10. Klicken Sie auf der Seite Modus auf Ein APNs-Zertifikat von einem anderen Sophos-Mobile-

Kunden hochladen .

11. Geben Sie auf der Seite Apple-ID die Apple-ID ein, mit der das APNs-Zertifikat erstellt wurde, das

Sie hochladen wollen.

12. Klicken Sie auf der Seite Hochladen auf Zertifikat hochladen und wählen Sie die Datei apns_cert.p12

aus, die Sie von dem anderen Kunden heruntergeladen haben.

13. Geben Sie das Kennwort ein und klicken Sie auf Anwenden .

14. Klicken Sie auf Speichern .

11.2.5 Zu erneuerndes APNs-Zertifikat bestimmen

Wenn Sie, wie in

APNs-Zertifikat erneuern (Seite 36) beschrieben, Ihr Zertifikat für den Push-

Benachrichtigungsdienst von Apple (APNs) für Sophos Mobile erneuern, ist es wichtig, dass Sie im

Apple-Portal das richtige APNs-Zertifikat zum Erneuern auswählen.

Dieser Abschnitt beschreibt, wie Sie das aktuell auf den Sophos Mobile Server hochgeladene APNs-

Zertifikat bestimmen.

Ermitteln Sie die Zertifikat-Kennung:

1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, dessen APNs-Zertifikat erneuert werden muss.

2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .

3. Notieren Sie sich den unter APNs-Zertifikat angezeigten Wert für Topic .

Ermitteln Sie das Zertifikat:

Sophos Mobile on Premise

4. Öffnen Sie in Ihrem Webbrowser die URL des Apple Push Certificates Portal, https:// identity.apple.com/pushcert/ .

Falls Sie den Microsoft Internet Explorer verwenden und Probleme mit bestimmten Funktionen des Apple-Portals haben, empfehlen wir Ihnen, stattdessen eine aktuelle Version der Webbrowser

Firefox, Opera, Chrome oder Safari zu verwenden.

5. Melden Sie sich mit Ihrer Apple-ID an, die Sie auch bei der erstmaligen Erstellung des Zertifikats verwendet haben.

Klicken Sie in der Liste der APNs-Zertifikate auf das Symbol Zertifikat-Info neben einem

Zertifikat.

Die Zertifikatdetails werden angezeigt.

7. Ermitteln Sie, welcher Wert im Feld Subject DN nach der Zeichenkette UID= steht. Wenn dieser

Wert mit der Kennung übereinstimmt, die Sie in Sophos Mobile Admin ermittelt haben, haben Sie das richtige Zertifikat identifiziert.

11.2.6 APNs-Verbindung von Geräten überprüfen

Unter iOS können Benutzer der App Sophos Mobile Control überprüfen, ob ihre Geräte sich mit dem

Push-Benachrichtigungsdienst von Apple (APNs) verbinden können.

1. Tippen Sie in der App Sophos Mobile Control auf das Symbol Information , um die Ansicht Über zu

öffnen.

2. Tippen Sie auf APNs überprüfen .

Die App versucht, eine Verbindung zum Apple-APNs-Server aufzubauen. Dies kann bis zu 5

Sekunden dauern.

Wenn Sie einen Hinweis erhalten, dass der APNs-Server erreicht werden konnte, kann das Gerät

Kommandos vom Sophos Mobile Server mittels APNs erhalten.

Wenn Sie einen Hinweis erhalten, dass der APNs-Server nicht erreicht werden konnte, ist die APNs-

Kommunikation in Ihrem Netzwerk nicht möglich. In diesem Fall kann Sophos Mobile keine iOS-

Geräte verwalten. Um dies zu beheben, müssen Sie sicherstellen, dass die in Anforderungen

(Seite

35) beschriebenen Voraussetzungen erfüllt sind.

11.3 iOS-AirPlay-Wiedergabegeräte konfigurieren

Mit Sophos Mobile können Sie das Spiegeln von Inhalten per AirPlay zwischen einem iOS-Gerät und einem vordefinierten AirPlay-Wiedergabegerät (zum Beispiel AppleTV) ferngesteuert auslösen.

Hinweis

AirPlay funktioniert nur innerhalb eines Netzwerks.

Sie können die Wiedergabegeräte für die Spiegelung per AirPlay definieren.

1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Einrichtung und danach auf

Systemeinstellungen . Öffnen Sie anschließend die Registerkarte iOS AirPlay .

2. Klicken Sie im Abschnitt AirPlay-Wiedergabegeräte auf AirPlay-Wiedergabegeräte erstellen .

Die Seite AirPlay-Wiedergabegerät wird angezeigt.

3. Geben Sie den Namen und optional die MAC-Adresse des AirPlay-Wiedergabegerätes ein. Falls erforderlich, geben Sie das Gerätekennwort ein.

4. Klicken Sie auf Anwenden .

Sophos Mobile on Premise

Das Gerät wird unter AirPlay-Wiedergabegeräte auf der Registerkarte iOS AirPlay der Seite

Systemeinstellungen angezeigt.

5. Klicken Sie auf Speichern .

Sie können die Spiegelung per AirPlay zwischen einem iOS-Gerät und diesem Wiedergabegerät auslösen, indem Sie auf der Seite Gerät anzeigen für das gewünschte Gerät im Menü Aktionen auf

AirPlay-Wiedergabe anfordern klicken.

11.4 Samsung-Knox-Lizenz registrieren

Wenn Ihr Unternehmen eine Samsung-Knox-Premium-Lizenz erworben hat, geben Sie auf der

Registerkarte Samsung-Knox-Lizenz den Lizenzschlüssel, die Lizenzanzahl und das Ablaufdatum ein, um den Knox-Container auf Ihren Samsung-Knox-Geräten mit Sophos Mobile zu verwalten.

11.5 Simple Certificate Enrollment Protocol (SCEP)

Mit Sophos Mobile können Sie Zertifikate mittels SCEP (Simple Certificate Enrollment Protocol) an

Geräte verteilen.

Die für Geräte benötigten SCEP-Einstellungen legen Sie in einer Konfiguration vom Typ SCEP fest; entweder in einem Geräteprofil (für Android und iOS) oder in einer Richtlinie (für Windows Mobile).

11.5.1 Voraussetzungen

Um das Simple Certificate Enrollment Protocol (SCEP) nutzen zu können, müssen die folgenden

Voraussetzungen erfüllt sein:

• In der Netzwerk-Umgebung muss eine SCEP-fähige Windows-CA vorhanden sein.

• Die Anmeldedaten für einen Benutzer, der einen Challenge-Code erstellen kann, sind verfügbar.

• Der Sophos Mobile hat http- oder https-Zugriff auf die folgenden Adressen:

— https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN

— https://IHR-SCEP-SERVER/CertSrv/MSCEP

11.5.2 SCEP konfigurieren

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte SCEP .

2. Machen Sie die folgenden Angaben: a) Geben Sie im Feld SCEP Server URL https://IHR-SCEP-SERVER/CertSrv/MSCEP ein.

b) Geben Sie im Feld Challenge URL https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN ein.

Hinweis

Wenn Sie einen Windows 2003-Server als SCEP-Server verwenden, geben Sie https://

IHR-SCEP-SERVER/CertSrv/MSCEP ein.

Sophos Mobile on Premise c) Geben Sie in den Feldern Benutzer und Kennwort die Zugangsdaten des Benutzers ein, der einen Challenge-Code erstellen kann.

Hinweis

Geben Sie im Feld Benutzer einen Benutzer ein, der über die erforderlichen

Berechtigungen für die Bereitstellung von Zertifikaten verfügt. Verwenden Sie folgendes

Anmeldeformat: benutzername@domäne d) Wählen Sie im Feld Challenge-Zeichen die Zeichenklassen aus, die für das Challenge-

Kennwort verwendet werden.

e) Akzeptieren Sie im Feld Challenge-Länge die Standardlänge.

f) Optional: Deaktivieren Sie die Option HTTP-Proxy verwenden , damit Sophos Mobile für

Verbindungen mit dem SCEP-Server den HTTP-Proxy umgeht. Diese Option ist nur verfügbar, wenn der HTTP-Proxy aktiviert ist.

Für Sophos Mobile on Premise kann der Superadministrator einen HTTP-Proxy konfigurieren, den Sophos Mobile für ausgehende HTTP- und SSL/TLS-Verbindungen verwendet. Siehe das

Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Für Sophos Mobile as a Service ist der HTTP-Proxy standardmäßig aktiviert.

3. Klicken Sie auf Speichern .

Sophos Mobile testet die Verbindung zu Ihrem SCEP-Server.

Um mittels SCEP ein Profil zu übertragen, müssen Sie eine Konfiguration vom Typ SCEP zu einem

Geräteprofil (für Android oder iOS) oder einer Richtlinie (für Windows Mobile) hinzufügen.

11.6 Benutzerverzeichnis konfigurieren

Auf der Registerkarte Benutzerverzeichnis können Sie die Einstellungen für die

Benutzerverwaltung ändern. Für weitere Informationen, siehe

Self-Service-Portal-Benutzer verwalten

(Seite 29) und das Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .

Sophos Mobile on Premise

12 Compliance-Richtlinien

Mit Compliance-Richtlinien können Sie:

• Bestimmte Funktionen eines Gerätes erlauben, verbieten oder erzwingen.

• Aktionen definieren, die ausgeführt werden, wenn gegen eine Compliance-Regel verstoßen wird.

Sie können unterschiedliche Compliance-Richtlinien erstellen und unterschiedlichen Gerätegruppen zuweisen. Somit können Sie verschiedene Sicherheitsstufen auf Ihre verwalteten Geräte anwenden.

Tipp

Wenn Sie sowohl Firmengeräte als auch Privatgeräte verwalten möchten, empfehlen wir, zumindest für diese beiden Gerätetypen unterschiedliche Compliance-Richtlinien zu definieren.

12.1 Compliance-Richtlinie erstellen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance-Richtlinien .

2. Klicken Sie auf der Seite Compliance-Richtlinien auf Compliance-Richtlinie erstellen und wählen Sie anschließend eine Vorlage für die Richtlinie aus:

• Standardvorlage : Eine Auswahl an Compliance-Regeln ohne vordefinierte Aktionen.

• PCI-Vorlage , HIPAA-Vorlage : Compliance-Regeln und Aktionen, die auf den

Sicherheitsstandards HIPAA bzw. PCI DSS basieren.

Die Wahl der Vorlage beschränkt nicht Ihre Konfigurationsmöglichkeiten.

3. Geben Sie einen Namen und optional eine Beschreibung für die Compliance-Richtlinie ein.

Wiederholen Sie die folgenden Schritte für alle benötigten Plattformen.

4. Stellen Sie sicher, dass das Kontrollkästchen Plattform aktivieren aktiviert ist.

Wenn dieses Kontrollkästchen nicht aktiviert ist, werden die Geräte der Plattform nicht auf

Compliance überprüft.

5. Konfigurieren Sie unter Regel die Compliance-Regeln für die ausgewählte Plattform.

Hinweis

Jede Compliance-Regel hat einen bestimmten Schweregrad (hoch, mittel, niedrig), der durch blaue Balken dargestellt wird. Die erlaubt Ihnen, die Wichtigkeit jeder Regel zu beurteilen und so eine angemessene Aktion für den Fall eines Regelverstoßes zu definieren.

Hinweis

Für Geräte, auf denen Sophos Mobile den Sophos-Container verwaltet anstatt das gesamte Gerät, ist nur ein Teil der Compliance-Regeln durchsetzbar. Wählen Sie in Regeln hervorheben einen Management-Typ aus, um die für diesen Typ relevanten Regeln hervorzuheben.

6. Definieren Sie unter Wenn gegen die Regel verstoßen wird , welche Aktionen bei einem

Regelverstoß ausgeführt werden:

Option

E-Mail verbieten

Container sperren

Netzwerkzugriff verbieten

Alarm erstellen

Auftragspaket übertragen

Sophos Mobile on Premise

Beschreibung

E-Mail-Zugriff verweigern.

Diese Aktion kann nur ausgeführt werden, wenn der

Superadministrator eine Verbindung zum internen oder zum

Standalone-EAS-Proxy konfiguriert hat. Siehe das Dokument

Sophos Mobile Superadministrator-Anleitung (englisch) .

Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, Windows, Windows Mobile.

Sophos Secure Workspace und Secure Email deaktivieren.

Dies wirkt sich auf den durch diese Apps verwalteten Zugang zu

Dokumenten, E-Mails und Internet aus.

Diese Aktion kann nur ausgeführt werden, wenn Sie eine

Lizenz vom Typ Mobile Advanced aktiviert haben.

Diese Aktion ist nur für Android- und iOS-Geräte verfügbar.

Netzwerkzugriff verbieten.

Diese Aktion kann nur ausgeführt werden, wenn der

Superadministrator Network Access Control konfiguriert hat.

Siehe das Dokument Sophos Mobile Superadministrator-

Anleitung (englisch) .

Dieser Aktion ist nicht für Geräte verfügbar, auf denen Sophos

Mobile nur den Sophos-Container verwaltet.

Einen Alarm erstellen.

Die Alarme werden auf der Seite Alarme angezeigt.

Übermitteln Sie ein bestimmtes Auftragspaket an das Gerät

(optional).

Wählen Sie ein Auftragspaket aus der Liste aus oder wählen

Sie Keine aus, um kein Auftragspaket zu übertragen, wenn ein

Regelverstoß festgestellt wird.

Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, macOS, Windows.

Wichtig

Bei falscher Anwendung werden durch Auftragspakete unter

Umständen Geräte falsch konfiguriert oder sogar auf den

Auslieferungszustand zurückgesetzt. Für die Zuweisung der richtigen Auftragspakete zu Compliance-Richtlinien ist weitreichende Erfahrung mit dem System notwendig.

7. Wenn Sie alle Einstellungen für alle erforderlichen Plattformen vorgenommen haben klicken Sie auf

Speichern , um die Compliance-Richtlinie unter dem gewählten Namen zu speichern.

Die neue Compliance-Richtlinie wird auf der Seite Compliance-Richtlinien angezeigt.

Sophos Mobile on Premise

12.2 Verfügbare Compliance-Regeln

Dieser Abschnitt beschreibt die Compliance-Regeln, die Sie für die einzelnen Plattformen auswählen können.

Regel

Status „Verwaltet“ erforderlich

Minimale SMSec-Version

Root-Zugriff erlaubt

Beschreibung

Legen Sie fest, welche Aktionen ausgeführt werden, wenn ein Gerät nicht mehr den Status „Verwaltet“ hat.

Geben Sie die Mindestversion der

App Sophos Mobile Control ein, die auf dem Gerät installiert sein muss.

Wählen Sie aus, ob gerootete Geräte zulässig sind.

Plattformen

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT

Android

Android Things iOS

Windows Mobile

Android

Hinweis

Bei Sony-Geräten mit Enterprise

API 4 oder höher und bei Samsung-

Geräten mit Knox 5.5 oder niedriger beinhaltet das auch Geräte, die von der jeweiligen MDM-API als Insecure klassifiziert werden, zum Beispiel, weil der Bootloader entsperrt ist.

Apps aus unbekannten Quellen erlaubt

Android Debug Bridge (ADB) erlaubt

Jailbreak erlauben

Wählen Sie aus, ob Apps aus unbekannten Quellen erlaubt sind.

Diese Regel betrifft nur Geräte mit

Android 7.x oder älter. Mit Android

8 wurde die Systemeinstellung zur

Beschränkung der Installationsquelle entfernt.

Wählen Sie aus, ob ADB (Android

Debug Bridge) erlaubt ist.

Wählen Sie aus, ob Geräte mit

Jailbreak zulässig sind.

Android

Android iOS

Regel

Displaysperre erforderlich

Minimale OS-Version

Maximale OS-Version

Erforderliche Betriebssystem-

Aktualisierungen

Sophos Mobile on Premise

Beschreibung

Wählen Sie aus, ob ein

Gerätekennwort oder eine andere

Art der Displaysperre (zum Beispiel

Muster oder PIN) erforderlich ist.

Bei Android umfasst dies die

Displaysperre-Arten Muster, PIN und

Passwort, aber nicht Wischen.

Windows-Mobile-Geräte, denen keine Kennwortrichtlinie zugewiesen ist, werden immer als nicht richtlinienkonform eingestuft. Dies liegt an einer Beschränkung in

Windows.

Wählen Sie die mindestens erforderliche Betriebssystemversion aus.

Plattformen

Android iOS

Windows Mobile

Windows

Wählen Sie die neueste erlaubte

Betriebssystemversion aus.

Wählen Sie aus, ob auf den Geräten die neueste verfügbare bzw. neueste erforderliche Aktualisierung installiert sein muss.

Manche Aktualisierungen werden von

Apple als erforderlich eingestuft. Die neueste verfügbare Aktualisierung ist eventuell neuer als die neueste erforderliche Aktualisierung.

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT iOS

Sophos Mobile on Premise

Regel

Maximaler

Synchronisierungsabstand

Maximaler Abstand von SMC-

Synchronisierungen

Maximaler Abstand von SMSec-

Synchronisierungen

Maximaler Abstand von SMSec-

Scans

Ablehnung von SMSec-

Berechtigungen erlaubt

Malware-Apps erlaubt

Verdächtige Apps erlaubt

PUAs erlaubt

Beschreibung

Die maximal erlaubte Zeitspanne zwischen Gerätesynchronisierungen.

Die maximal erlaubte Zeitspanne zwischen Synchronisierungen der

App Sophos Mobile Control.

Die maximal erlaubte Zeitspanne zwischen Synchronisierungen der

App Sophos Mobile Security.

Android iOS

Die maximal erlaubte Zeitspanne zwischen Malware-Scans der App

Sophos Mobile Security.

Sophos Mobile Security benötigt auf dem Gerät bestimmte

Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese Berechtigungen bei der App-

Installation gewähren.

Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein

Compliance-Verstoß ist.

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte Malware-

Apps erlaubt sind.

Android

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte verdächtige

Apps erlaubt sind.

Android

Wählen Sie aus, ob von Sophos

Mobile Security entdeckte potentiell unerwünschte Apps (PUAs) erlaubt sind.

Android

Plattformen

Android

Android Things iOS macOS

Windows Mobile

Windows

Windows IoT iOS

Windows Mobile

Sophos Mobile on Premise

Regel

Verschlüsselung erforderlich

Daten-Roaming erlauben

Container konfiguriert

Ortungsberechtigung erforderlich

Ablehnung von SMC-

Berechtigungen erlaubt

Beschreibung

Wählen Sie aus, ob für Geräte

Verschlüsselung erforderlich ist.

Benutzer müssen bei der Einrichtung einer Displaysperre zusätzlich die Einstellung PIN zum Starten des Gerätes erforderlich oder

Passwort zum Starten des Gerätes erforderlich aktivieren. Siehe den

Sophos Knowledgebase-Artikel

123947 .

Für macOS betrifft diese Einstellung die vollständige FileVault-

Festplattenverschlüsselung.

Für Windows Mobile wird eine

Regelverletzung nur dann gemeldet, wenn gleichzeitig die Einschränkung

Unverschlüsseltes Gerät verbieten aktiv ist. Dies liegt an einer

Beschränkung in Windows.

Wählen Sie aus, ob für Geräte Daten-

Roaming zulässig ist.

Plattformen

Android iOS macOS

Windows Mobile

Windows

Android iOS

Wählen Sie aus, ob auf dem Gerät ein Container eingerichtet und aktiviert sein muss. Dies kann der

Sophos-Container, ein Samsung-

Knox-Container oder ein Android-

Arbeitsprofil sein.

Diese Einstellung bezieht sich auf die Lokalisieren Funktion. Legen Sie fest, ob der Benutzer der App Sophos

Mobile Control bei der Installation gestatten muss, Ortsdaten abzurufen, damit das Gerät richtlinienkonform ist.

Android

Die App Sophos Mobile Control benötigt auf dem Gerät bestimmte

Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese Berechtigungen bei der App-

Installation gewähren.

Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein

Compliance-Verstoß ist.

Android

Sophos Mobile on Premise

Regel

App kann das Gerät orten

Firewall erforderlich

Systemintegritäts-Schutz erforderlich

Sicherheitsupdates erforderlich

Beschreibung

Ortungsdienste müssen aktiviert sein und von der App Sophos Mobile

Control verwendet werden dürfen.

Für Windows Mobile betrifft diese

Regel nur Geräte mit Windows Phone

8.1.

Die macOS-Firewall muss aktiviert sein.

Systemintegritäts-Schutz muss aktiviert sein.

Plattformen iOS

Windows Mobile macOS macOS

Hinweis

Systemintegritäts-Schutz ist eine

Sicherheitsfunktion in macOS, mit der die erlaubten Aktionen für den

Root-Benutzer beschränkt werden.

Systemintegritäts-Schutz kann konfiguriert werden, wenn der Mac im Modus macOS-Wiederherstellung gestartet wird.

Die automatische Installation von macOS-Sicherheitsupdates muss aktiviert sein.

macOS

Regel

Erlaubte Apps / Verbotene Apps

Vorgeschriebene Apps

Windows Defender muss eingeschaltet sein

Windows Defender darf keine

Probleme melden

Windows-Defender-Definitionen müssen aktuell sein

Sophos Mobile on Premise

Beschreibung

Sie können entweder Erlaubte Apps oder Unzulässige Apps angeben.

Wählen Sie zunächst aus der ersten

Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten Liste die App-

Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Informationen zur Erstellung von App-

Gruppen finden Sie in

App-Gruppen

(Seite 316).

Wenn Sie Erlaubte Apps angeben, sind nur die aufgeführten Apps erlaubt. Wenn andere Apps erkannt werden, ist das Gerät nicht mehr richtlinienkonform.

Plattformen

Android iOS macOS

Hinweis

Android-System-Apps sind automatisch erlaubt.

Wenn Sie Unzulässige Apps angeben, ist das Gerät nicht mehr richtlinienkonform, falls diese Apps erkannt werden.

Geben Sie Apps an, die installiert sein müssen. Wählen Sie die App-

Gruppe mit den erforderlichen Apps aus der Liste aus. Informationen zur

Erstellung von App-Gruppen finden

Sie in App-Gruppen

(Seite 316).

Die Windows-Defender-Einstellung

Echtzeitschutz muss eingeschaltet sein.

Das Gerät ist nicht richtlinienkonform, wenn Windows Defender Warnungen anzeigt.

Windows Defender muss die neuesten Antispyware-Definitionen verwenden.

Android iOS macOS

Windows

12.3 Eine Compliance-Richtlinie Gerätegruppen zuweisen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen .

Sophos Mobile on Premise

Die Seite Gerätegruppen wird angezeigt.

2. Klicken Sie auf die Gerätegruppe, der Sie eine Compliance-Richtlinie zuweisen wollen.

Die Gerätegruppe Default ist standardmäßig vorhanden. Weitere Informationen zum Erstellen

eigener Gerätegruppen finden Sie in Gerätegruppen erstellen (Seite 97).

3. Wählen Sie unter Compliance-Richtlinien die Compliance-Richtlinien aus, die Sie auf Firmenund Privatgeräte anwenden wollen.

4. Klicken Sie auf Speichern .

Die ausgewählten Compliance-Richtlinien werden auf der Seite Gerätegruppen für die jeweilige

Gerätegruppe unter Compliance-Richtlinie (Firmengeräte) und Compliance-Richtlinie

(Privatgeräte) angezeigt.

12.4 Geräte auf Compliance-Verstöße prüfen

Wenn Sie Compliance-Richtlinien konfiguriert haben, können Sie prüfen, ob registrierte Geräte diesen Richtlinien entsprechen.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance-Richtlinien .

2. Klicken Sie auf Jetzt prüfen .

Alle registrierten Geräte werden auf Compliance-Verstöße geprüft. Die festgelegten Aktionen werden ausgeführt.

Hinweis

Wenn ein Android-Enterprise-Gerät im Modus „Gerätebesitzer“ nicht den Unternehmensrichtlinien entspricht, werden alle Apps deaktiviert, mit Ausnahme von:

• Einstellungen

• Telefon

• Play Store

• Sophos Mobile Control

Sophos Mobile on Premise

13 Geräte

13.1 Geräte hinzufügen

Sie können Geräte auf folgende Weisen zu Sophos Mobile hinzufügen:

•

Geräte manuell hinzufügen. Siehe Gerät hinzufügen

(Seite 51).

• Geräte aus einer CSV-Datei importieren. Siehe

Geräte importieren (Seite 52).

• Mit dem Assistenten Gerät hinzufügen ein Gerät zu Sophos Mobile hinzufügen, es einem

Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen. Siehe

Den

Assistenten Gerät hinzufügen verwenden

(Seite 55).

•

Benutzern ermöglichen, Geräte eigenständig im Self Service Portal zu registrieren. Siehe Self

Service Portal konfigurieren

(Seite 23). Dieses Portal verringert den Aufwand für die IT, weil die

Benutzer Aufgaben ausführen können, ohne sich an das Helpdesk wenden zu müssen. Die Geräte

werden durch das Ausführen vordefinierter Auftragspakete provisioniert. Siehe Auftragspakete

(Seite 284).

Zur Vereinfachung der Geräteverwaltung empfehlen wir Ihnen, Geräte in Gerätegruppen zu organisieren. Siehe

Gerätegruppen (Seite 97).

13.1.1 Gerät hinzufügen

Wir empfehlen, dass Sie eine oder mehrere Gerätegruppen erstellen, bevor Sie das erste Gerät zu

Sophos Mobile hinzufügen. Um die Geräteverwaltung zu vereinfachen, können Sie jedes Gerät einer

Gerätegruppe zuweisen. Siehe

Gerätegruppen erstellen

(Seite 97).

So fügen Sie ein neues Gerät zu Sophos Mobile hinzu:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

Die Seite Geräte wird angezeigt.

2. Klicken Sie auf Hinzufügen und wählen Sie anschließend im Menüabschnitt Gerät manuell hinzufügen die Plattform aus.

Die Seite Gerät bearbeiten wird angezeigt.

3. Geben Sie auf der Seite Gerät bearbeiten die folgenden Gerätedetails ein: a) Geben Sie im Feld Name einen eindeutigen Namen für das neue Gerät ein.

b) Geben Sie im Feld Beschreibung eine Beschreibung für das neue Gerät ein.

c) Wählen Sie unter Eigentümer Firmengerät oder Privat aus.

d) Geben Sie im Feld E-Mail-Adresse eine E-Mail-Adresse ein.

e) Geben Sie im Feld Telefonnummer die Telefonnummer des neuen Gerätes ein. Geben Sie die

Telefonnummer in internationaler Schreibweise ein, zum Beispiel +491701234567 .

f) Wählen Sie unter Gerätegruppe die Gerätegruppe, zu der das Gerät hinzugefügt werden soll.

Für weitere Informationen zum Erstellen von Gerätegruppen, siehe Gerätegruppen erstellen

(Seite 97).

4. Um dem Gerät einen Benutzer zuzuweisen, klicken Sie auf das Symbol Benutzerzuweisung bearbeiten neben dem Feld Benutzer und anschließend auf Benutzer zuweisen . Weitere

Informationen finden Sie in

Benutzer einem Gerät zuweisen

(Seite 67).

Sophos Mobile on Premise

5. Um benutzerdefinierte Eigenschaften zum Gerät hinzuzufügen, öffnen Sie die Registerkarte

Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen . Weitere Informationen finden Sie in

Benutzerdefinierte Geräteeigenschaften hinzufügen

(Seite 76).

6. Wenn Sie alle erforderlichen Gerätedetails angegeben haben, klicken Sie auf Speichern .

Das neue Gerät wird zu Sophos Mobile hinzufügt und auf der Seite Geräte unter VERWALTEN angezeigt. Sie können das Gerät nun provisionieren und verwalten.

Hinweis

Wenn Sie in Sophos Mobile konfiguriert haben, dass der Name von iOS-Geräten mit dem Gerät

synchronisiert wird (siehe Einstellungen für iOS konfigurieren

(Seite 19)), wird der Name, den

Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten Namen ersetzt.

13.1.2 Geräte importieren

Sie können neue Geräte hinzufügen, indem Sie die Daten von bis zu 500 Geräten aus einer UTF-8kodierte CSV-Datei importieren.

Hinweis

Verwenden Sie einen Text-Editor, um die CSV-Datei zu bearbeiten. Wenn Sie Microsoft Excel verwenden, werden die eingegebenen Werte u. U. nicht korrekt aufgelöst. Achten Sie beim

Speichern darauf, dass die Datei die Endung .csv

besitzt.

Hinweis

Die in der CSV-Datei enthaltenen Benutzer müssen schon in Sophos Mobile angelegt worden sein.

Tipp

Auf der Seite Geräte importieren steht eine Musterdatei mit den korrekten Spaltennamen und der richtigen Spaltenreihenfolge zum Download zur Verfügung.

So importieren Sie Geräte aus einer CSV-Datei:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf der Seite Geräte auf Hinzufügen > Geräte importieren .

3. Klicken Sie auf der Seite Geräte importieren auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.

Die Einträge werden aus der Datei eingelesen und angezeigt.

4. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen

Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.

5. Klicken Sie auf Fertigstellen , um die Geräte anzulegen.

Die in der CSV-Datei aufgeführten Geräte werden importiert und auf der Seite Devices angezeigt.

Anschließend können Sie die Geräte registrieren und konfigurieren.

Sophos Mobile on Premise

13.2 Geräte registrieren

Nachdem Sie in Sophos Mobile Admin neue Geräte hinzugefügt haben, müssen diese bei Sophos

Mobile registriert werden.

Registrierungsarten

Sophos Mobile unterstützt zwei Arten von Registrierung:

Gerät registrieren

Sophos-Container registrieren

Diese Registrierungsart ermöglicht eine umfassende MDM-Geräteverwaltung (Mobile

Device Management). Sophos Mobile kann das gesamte Gerät verwalten.

Sophos Mobile verwaltet nur den Sophos-

Container auf dem Gerät, nicht das gesamte

Gerät.

Der Sophos-Container ist für Android und iOS verfügbar.

Die Sophos-Container-Registrierung ist in folgenden Situationen nützlich:

• Sie wollen ein Bring-Your-Own-Device-

Szenario (BYOD) unterstützen. Bei der

Sophos-Container-Registrierung erhält

Ihr Unternehmen nur sehr begrenzte

Geräteinformationen und keine Informationen zu privaten Apps oder Daten.

• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzlich

Funktionen nutzen, die vom Sophos-

Container bereitgestellt werden, wie zum Beispiel die Synchronisierung des

Unternehmens-Schlüsselbundes mit Sophos

SafeGuard Enterprise.

• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzliche

E-Mail-Konten einrichten. Dies ist zum

Beispiel für Beraterfirmen interessant, deren

Mitarbeiter E-Mail-Konten auf den Exchange-

Servern ihrer Kunden haben.

Registrierungsverfahren

Sie haben folgende Möglichkeiten, Geräte zu registrieren:

• Mit der Funktion Geräte können Sie einzelne nicht verwaltete Geräte registrieren. Weitere

Informationen finden Sie in

Einzelne Geräte registrieren

(Seite 54).

Sophos Mobile on Premise

• Mit dem Assistenten Gerät hinzufügen können Sie ein Gerät zu Sophos Mobile hinzufügen, es einem Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen.

Siehe

Den Assistenten Gerät hinzufügen verwenden (Seite 55).

Hinweis

Bei Bedarf können Sie den Assistenten Gerät hinzufügen oder eine automatische

Registrierung verwenden, um iOS-Geräte zu registrieren, auf denen keine Apple-ID eingerichtet ist. Dies ist zum Beispiel nützlich, um ein Gerät vor der Übergabe an einen

Endbenutzer vorzukonfigurieren. Siehe iOS-Geräte ohne Apple-ID registrieren

(Seite 57).

Empfehlungen

Für eine effiziente Registrierung und Konfiguration mehrerer Geräte empfehlen wir folgende

Methoden:

• Sie können die Aufträge zusammenfassen, die erforderlich sind, Geräte zu registrieren, erforderliche Richtlinien zuzuweisen und erforderliche Apps zu installieren (zum Beispiel verwaltete

Apps im Falle von iOS-Geräten). Weitere Informationen finden Sie in Auftragspakete

(Seite 284).

• Sie können Benutzern ermöglichen, Geräte im Self Service Portal zu registrieren. Nehmen Sie hierzu bei der Konfiguration der Einstellungen für das Self Service Portal ein Auftragspaket für die Registrierung auf. Weitere Informationen dazu, wie Sie die für die Registrierung erforderlichen

Auftragspakete erstellen, finden Sie in den Dokumenten Sophos Mobile Schnellstartanleitung bzw.

Sophos Mobile as a Service Schnellstart-Anleitung . Weitere Informationen zum Auswählen des

Auftragspakets in den Einstellungen Self Service Portal

finden Sie in Einstellungen für das Self

Service Portal konfigurieren

(Seite 24).

13.2.1 Einzelne Geräte registrieren

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf das Gerät, das Sie registrieren wollen.

2. Wählen Sie auf der Seite Gerät anzeigen einen Registrierungstyp aus:

• Um das Gerät bei Sophos Mobile zu registrieren, klicken Sie auf Aktionen > Registrieren .

• Um den Sophos-Container zu registrieren, klicken Sie auf Aktionen > Sophos-Container registrieren .

3. Für die Registrierung des Sophos-Containers wählen Sie ein Auftragspaket oder eine Richtlinie aus.

Der Einrichtungsauftrag wird gestartet und auf der Seite Auftragsstatus angezeigt. Eine E-Mail mit

Registrierungsanweisungen wird an den Benutzer verschickt.

Hinweis

Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von Sophos

Mobile verwaltet werden soll. Für die Installation des Registrierungsprofils muss der Benutzer ein

Administratorkennwort eingeben.

Sophos Mobile on Premise

13.2.2 Den Assistenten Gerät hinzufügen verwenden

Mit dem Assistenten Gerät hinzufügen können Sie auf einfache Weise neue Geräte registrieren. Er führt Sie durch folgende Arbeitsschritte:

• Ein neues Gerät zu Sophos Mobile hinzufügen.

• Optional: Dem Gerät einen Benutzer zuweisen.

• Das Gerät registrieren.

• Optional: Ein Auftragspaket an das Gerät übermitteln.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“ .

Tipp

Alternativ können Sie den Assistenten auch von der Seite Dashboard aus starten, indem Sie auf das Widget Gerät hinzufügen klicken.

2. Geben Sie auf der Seite Benutzer entweder Suchkriterien ein, um nach einem Benutzer zu suchen, dem das Gerät zugewiesen werden soll, oder wählen Sie Benutzerzuweisung

überspringen aus, um ein Gerät ohne Benutzerzuweisung zu registrieren.

3. Wählen Sie auf der Seite Benutzerauswahl den Benutzer aus.

4. Konfigurieren Sie auf der Seite Gerätedetails die folgenden Einstellungen.

Option

Plattform

Name

Beschreibung

Telefonnummer

E-Mail-Adresse

Besitzer

Gerätegruppe

Beschreibung

Das Betriebssystem des Gerätes.

Sie können nur Plattformen auswählen, die für den Kunden aktiviert sind.

Ein eindeutiger Name, unter dem das Gerät von Sophos Mobile verwaltet wird.

Eine optionale Beschreibung des Gerätes.

Eine optionale Telefonnummer. Geben Sie die Telefonnummer in internationaler Schreibweise ein, zum Beispiel

+491701234567 .

Die E-Mail-Adresse, an welche die Registrierungsinformationen gesendet werden.

Wenn für den Kunden eine Benutzerverwaltung konfiguriert ist, ist dies die E-Mail-Adresse des Benutzers, der dem Gerät zugewiesen ist.

Wenn keine Benutzerverwaltung konfiguriert ist, geben Sie hier eine E-Mail-Adresse ein.

Wählen Sie die Art des Gerätebesitzers: entweder Firmengerät oder Privat .

Wählen Sie die Gerätegruppe, zu der das Gerät hinzugefügt werden soll. Wenn Sie noch keine Gerätegruppe erstellt haben, können Sie die Gerätegruppe Default wählen, die immer verfügbar ist.

Sophos Mobile on Premise

5. Wählen Sie auf der Seite Registrierungstyp aus, ob Sie das Gerät oder nur den Sophos

Container registrieren wollen.

Siehe Sophos-Container-Registrierung konfigurieren

(Seite 360).

6. Wählen Sie ein Auftragspaket oder eine Richtlinie aus, die an das Gerät übertragen werden.

Oder wählen Sie Nur Gerät registrieren aus, um nach der Registrierung kein Auftragspaket zu

übertragen.

7. Folgen Sie auf der Seite Registrierung den Anweisungen, um die Registrierung abzuschließen.

Hinweis

Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von

Sophos Mobile verwaltet werden soll. Für die Installation des Registrierungsprofils muss der

Benutzer ein Administratorkennwort eingeben.

8. Klicken Sie nach erfolgreicher Registrierung auf Fertigstellen .

Hinweis

• Nachdem Sie alle Einstellungen vorgenommen haben, können Sie den Assistenten schließen, ohne darauf warten zu müssen, dass die Schaltfläche Fertigstellen erscheint. Ein

Registrierungsauftrag wird erstellt und im Hintergrund ausgeführt.

• Wenn Sie ein Auftragspaket ausgewählt haben, dass nach der Registrierung auf das Gerät

übertragen wird, können Sie auf der Seite Auftragsstatus den Auftragsstatus überwachen.

Siehe Nicht abgeschlossene, fehlgeschlagene und kürzlich abgeschlossene Aufträge anzeigen

(Seite 10).

• Wenn Sie konfiguriert haben, dass Sophos Mobile den Gerätenamen von iOS-Geräten mit

dem Gerät synchronisiert (siehe Einstellungen für iOS konfigurieren

(Seite 19)), wird der

Name, den Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten

Namen ersetzt.

13.2.3 iOS-Geräte automatisch registrieren

Sie können iOS-Geräte so konfigurieren, dass sie sich während der Geräteaktivierung automatisch bei Sophos Mobile registrieren. Dazu müssen Sie die Geräte mit Hilfe der Software Apple

Configurator 2 dem MDM-Server von Sophos Mobile zuweisen. Wenn die Benutzer die Geräte erstmalig einschalten, startet der iOS-Einrichtungsassistent. Während der Einrichtung werden die

Geräte automatisch bei Sophos Mobile registriert.

Hinweis

Detaillierte Informationen zu Apple Configurator 2 finden Sie in der Apple Configurator 2 Hilfe .

So konfigurieren Sie die automatische Registrierung von iOS-Geräten bei Sophos Mobile:

1. Zur Vorbereitung der automatischen Registrierung müssen Sie einmalig eine Gerätegruppe erstellen, die Geräten zugewiesen wird, die sich automatisch bei Sophos Mobile registrieren.

Wählen Sie in den Eigenschaften der Gerätegruppe die Option iOS-Auto-Registrierung aktivieren

aus. Siehe Gerätegruppen erstellen

(Seite 97).

2. Notieren Sie sich die URL, die im Feld URL für Auto-Registrierung angezeigt wird.

Sie benötigen diese URL bei der Konfiguration von Geräten mit Apple Configurator 2.

3. Verbinden Sie das iOS-Gerät, das Sie für die automatische Registrierung konfigurieren wollen, mit einem USB-Anschluss eines Macs, auf dem Apple Configurator 2 installiert ist.

Sophos Mobile on Premise

4. Verwenden Sie in Apple Configurator 2 den Vorbereitungsassistenten, um die Gerätekonfiguration einzurichten.

5. Wählen Sie Manuelle Registrierung aus und geben Sie anschließend die Registrierungs-URL der

Gerätegruppe ein.

6. Folgen Sie den weiteren Schritten des Vorbereitungsassistenten. Optional können Sie folgende

Bereiche der Geräteaktivierung konfigurieren:

• Gerät als betreut definieren (Supervision mode).

• Computer festlegen, mit denen sich das Gerät per USB koppeln darf.

• Bei betreuten Geräten eine Betreuungsidentität (Supervision Identity) erstellen oder auswählen.

• Schritte des iOS-Einrichtungsassistenten deaktivieren.

Nachdem Sie die Konfiguration abgeschlossen haben, übergeben Sie das Gerät an den Benutzer.

Wenn der Benutzer das Gerät erstmalig einschalten, wird die iOS-Einrichtung und die Registrierung bei Sophos Mobile so durchgeführt, wie Sie es konfiguriert haben.

Tipp

Standardmäßig verwaltet Sophos Mobile die automatisch registrierten Geräte unter einem

Namen, der aus der Geräte-ID und dem Gerätetyp gebildet wird. Alternativ kann Sophos Mobile den Namen verwenden, der auf dem Gerät konfiguriert ist. Siehe die Option Gerätename synchronisieren in

Einstellungen für iOS konfigurieren (Seite 19).

13.2.4 iOS-Geräte ohne Apple-ID registrieren

Sie können ein iOS-Gerät bei Sophos Mobile registrieren, auf dem noch keine Apple-ID eingerichtet ist. Dies ist zum Beispiel nützlich, um Geräte vor der Übergabe an einen Endbenutzer vorzukonfigurieren.

Das Standard-Registrierungsverfahren beinhaltet die Installation der App Sophos Mobile Control auf dem Gerät. Da die App aus dem App Store installiert wird und für den Zugriff auf den App Store eine

Apple-ID erforderlich ist, müssen Sie vor der Registrierung das Gerät mit einer Apple-ID verknüpfen.

Alternativ können Sie ein iOS-Gerät auch registrieren, ohne die App Sophos Mobile Control zu installieren. In diesem Fall müssen Sie das Gerät nicht mit einer Apple-ID verknüpfen. Dies ist auf folgende Arten möglich:

• Mit der automatischen Registrierung. Siehe

iOS-Geräte automatisch registrieren (Seite 56).

• Mit dem Assistenten Gerät hinzufügen

. Siehe Den Assistenten Gerät hinzufügen verwenden

(Seite 55).

Gehen Sie im Assistenten folgendermaßen vor:

1. Öffnen Sie auf der Seite Registrierung die Registerkarte Registrierung ohne Apple-ID .

2. Öffnen Sie im Webbrowser des Gerätes die Registrierungs-URL. Dies öffnet ein Webformular für die Registrierung bei Sophos Mobile.

3. Geben Sie in diesem Formular das Token ein und klicken Sie anschließend auf Registrieren .

4. Folgen Sie den auf dem Gerät angezeigten Anweisungen, um das Registrierungs-Auftragspaket zu installieren.

Sophos Mobile on Premise

13.2.5 Android-Enterprise-Geräte registrieren

Android-Enterprise-Geräte werden üblicherweise im Self Service Portal registriert. Wenn Sie Android

Enterprise in Sophos Mobile für das Szenario „Managed Google Play Account“ eingerichtet haben, können Sie Geräte auch mit dem Assistenten Gerät hinzufügen registrieren.

Voraussetzungen:

• Sie haben Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 323).

• Sie haben ein Registrierungs-Auftragspaket erstellt.

Je nach dem Typ der Richtlinie, die von dem Auftragspaket installiert wird, wird das Gerät im Android-Enterprise-Modus „Gerätebesitzer“ oder „Profilbesitzer“ registriert. Siehe

Geräteregistrierung für Android Enterprise konfigurieren

(Seite 327).

So registrieren Sie ein Gerät im Android-Enterprise-Modus:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“ .

2. Verwenden Sie (wie in Den Assistenten Gerät hinzufügen verwenden

(Seite 55) beschrieben) den Assistenten Gerät hinzufügen , um die Registrierung zu starten. Gehen Sie bei einem

Android-Enterprise-Gerät folgendermaßen vor: a) Wählen Sie auf der Seite Benutzer die Option Nach Benutzer suchen aus und geben Sie anschließend Suchparameter ein, um den Benutzer zu finden, der dem Gerät zugewiesen werden soll.

b) Wählen Sie auf der Seite Benutzerauswahl den Benutzer aus.

c) Wählen Sie auf der Seite Gerätedetails im Feld Plattform die Option Android aus.

d) Wählen Sie auf der Seite Registrierungstyp Ihr Registrierungs-Auftragspaket für Android

Enterprise aus.

13.2.6 Massenregistrierung von Android-Enterprise-Geräten

Mit der App Sophos NFC Provisioning können Sie eine Massenregistrierung von Android-

Firmengeräten bei Sophos Mobile durchführen. Sie installieren die App Sophos NFC Provisioning auf einem Gerät (Master-Gerät) und übertragen dann die Registrierungseinstellungen per NFC auf die zu registrierenden Geräte. Die Geräte werden bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert.

Voraussetzungen:

• Sie haben Android Enterprise für das Szenario „Managed Google Play Account“ eingerichtet.

Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite 323).

• Das Master-Gerät unterstützt NFC.

• Die zu registrierenden Geräte sind neu oder auf Werkseinstellungen zurückgesetzt und unterstützen NFC.

1. Installieren Sie die App Sophos NFC Provisioning aus Google Play auf dem Master-Gerät.

2. Konfigurieren Sie in der App Sophos NFC Provisioning folgende Einstellungen:

• Verbindungsdetails Ihres Unternehmens-WLAN.

• Zeitzone und Sprache für die neuen Geräte.

Sophos Mobile on Premise

• Optional: Die URL für das Self Service Portal.

• Optional: Überspringen der Geräteverschlüsselung.

• Optional: Überspringen herstellerspezifischer Einrichtungsschritte.

3. Tippen Sie auf Bereit zur Übertragung und halten Sie anschließend das Master-Gerät und das zu registrierende Gerät so Rücken an Rücken, dass die NFC-Sensoren aneinander ausgerichtet sind.

Das Gerät wird eingerichtet und bei Sophos Mobile registriert.

Um weitere Geräte zu registrieren, tippen Sie erneut auf Bereit zur Übertragung .

13.2.7 Android-Things-Geräte registrieren

Dieser Abschnitt beschreibt die Registrierung eines Android-Things-Gerätes mit Hilfe des

Assistenten Gerät hinzufügen .

Voraussetzungen:

• Sie haben einen Computer (im Weiteren Host-Computer genannt) eingerichtet, der mit Ihrem lokalen IP-Netzwerk verbunden ist und auf dem das Kommandozeilenwerkzeug für Android

Debug Bridge (adb) installiert ist. adb ist ein Bestandteil des Pakets Android SDK Plattform-

Tools. Sie können dieses Paket entweder als Bestandteil des Android SDK oder als Standalone-

Paket installieren. Details hierzu finden Sie in der Android-Entwicklerdokumentation.

• Sie haben ein Installations-Image für Android Things auf das Gerät aufgespielt, das Sie registrieren wollen.

• Sie haben das Gerät über Ethernet oder WLAN mit Ihrem lokalen IP-Netzwerk verbunden.

So registrieren Sie das Android-Things-Gerät bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“ .

2. Verwenden Sie (wie in Den Assistenten Gerät hinzufügen verwenden

(Seite 55) beschrieben) den Assistenten Gerät hinzufügen , um die Registrierung zu starten. Gehen Sie bei einem

Android-Things-Gerät folgendermaßen vor: a) Wählen Sie auf der Seite Gerätedetails des Assistenten im Feld Plattform die Option Android

Things aus.

b) Klicken Sie auf der Seite Registrierung des Assistenten auf Sophos Mobile

Downloadbereich öffnen und laden Sie anschließend von dort die APK-Datei des aktuellsten

SMC Android Client herunter.

3. Kopieren Sie die APK-Datei auf den Host-Computer.

Tipp

Sie können dieselbe APK-Datei für alle zu registrierenden Android-Things-Geräte verwenden.

4. Verwenden Sie auf dem Host-Computer das Kommandozeilenwerkzeug adb, um sich mit dem

Android-Things-Gerät zu verbinden ( <IP-Adresse> steht für die IP-Adresse des Gerätes): adb connect <IP-Adresse> connected to <IP-Adresse>:5555

Sophos Mobile on Premise

5. Installieren Sie mit folgendem adb-Kommando die App Sophos Mobile Control auf dem Android-

Things-Gerät: adb install <Pfad-zur-APK-Datei>

6. Führen Sie einen Neustart des Gerätes aus, zum Beispiel mit folgendem adb-Kommando: adb reboot

Hinweis

Ein Neustart ist erforderlich, weil dadurch der App Sophos Mobile Control die erforderlichen

Berechtigungen gewährt werden.

7. Nach dem Neustart müssen Sie sich erneut mit dem Gerät verbinden: adb connect <IP-Adresse>

8. Konfigurieren Sie die App Sophos Mobile Control. Verwenden Sie dazu das adb -Kommando aus dem Assistenten Gerät hinzufügen oder der Anweisungs-E-Mail: adb shell am start -d "<Konfigurationsparameter>"

Hinweis

Möglicherweise erhalten Sie eine Systemmeldung Warning: Activity not started, its current task has been brought to the front . Diese können Sie ignorieren.

Die App Sophos Mobile Control auf dem Android-Things-Gerät verbindet sich mit Ihrem Sophos Mobile

Server. Nach Abschluss der Registrierung wird das Gerät in Sophos Mobile mit dem Status Verwaltet angezeigt.

13.2.8 Windows-IoT-Geräte registrieren

Dieser Abschnitt beschreibt die Registrierung eines Windows-IoT-Gerätes mit Hilfe des Assistenten

Gerät hinzufügen .

Voraussetzungen:

• Sie haben ein Installations-Image für Windows 10 IoT Core auf das Gerät aufgespielt, das Sie registrieren wollen.

• Sie haben das Gerät über Ethernet oder WLAN mit Ihrem lokalen IP-Netzwerk verbunden.

So registrieren Sie das Windows-IoT-Gerät bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen

> Assistent „Gerät hinzufügen“ .

2. Verwenden Sie (wie in Den Assistenten Gerät hinzufügen verwenden

(Seite 55) beschrieben) den Assistenten Gerät hinzufügen , um die Registrierung zu starten. Gehen Sie bei einem

Windows-IoT-Gerät folgendermaßen vor: a) Wählen Sie auf der Seite Gerätedetails des Assistenten im Feld Plattform die Option

Windows IoT aus.

Sophos Mobile on Premise b) Klicken Sie auf der Seite Registrierung des Assistenten auf Bereitstellungspaket herunterladen , um eine PPKG-Datei mit dem Bereitstellungspaket für Sophos Mobile herunterzuladen. Der Link befindet sich auch in der Anweisungs-E-Mail.

3. Verwenden Sie auf einem Windows-Computer, der sich im selben Netzwerk wie das Windows-IoT-

Gerät befindet, den Windows-Datei-Explorer, um sich mit dem Gerät zu verbinden.

Geben Sie in der Adressleiste des Datei-Explorers folgende Adresse ein ( <ip-address> steht für die IP-Adresse des Gerätes):

\\<IP-Adresse>\c$

Wenn Sie dazu aufgefordert werden, geben Sie Benutzername und Kennwort für ein

Administratorkonto auf dem Gerät ein.

4. Kopieren Sie die PPKG-Datei, die Sie über den Assistenten Gerät hinzufügen heruntergeladen haben, in den Ordner C:\Windows\Provisioning\Packages auf dem Gerät.

Hinweis

Der Ordner darf nur eine einzelne Datei mit Endung .ppkg enthalten.

5. Führen Sie einen Neustart des Gerätes aus.

Nach dem Neustart führt das Windows-IoT-Gerät die im Bereitstellungspaket enthaltenen Kommandos aus und verbindet sich mit Ihrem Sophos Mobile Server. Nach Abschluss der Registrierung wird das

Gerät in Sophos Mobile mit dem Status Verwaltet angezeigt.

Wichtig

Führen Sie auf der Seite Gerät anzeigen die Aktionen Als „Nicht verwaltet“ festlegen und

Löschen nur aus, wenn Sie das Gerät zuvor deregistriert haben. Andernfalls müssen Sie das

Gerät zurücksetzen, bevor Sie es erneut registrieren können. Für das Zurücksetzen müssen Sie erneut ein Installations-Image für Windows 10 IoT Core auf das Gerät aufspielen.

13.3 Geräte deregistrieren

Sie können Geräte deregistrieren, wenn sie nicht mehr benutzt werden, z. B. wenn der Benutzer ein neues Gerät erhält. Dies ist zum Beispiel nützlich, wenn Sie die Anzahl an Geräten, die ein Benutzer im Self Service Portal registrieren kann, begrenzt haben.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Wählen Sie das gewünschte Gerät aus, klicken Sie auf Aktionen und anschließend auf

Deregistrieren .

Eine Meldung wird angezeigt, die Sie zur Bestätigung des Deregistrierungsvorgangs auffordert.

Hinweis

Sie können mehrere Geräte auswählen, die deregistriert werden.

3. Klicken Sie auf Ja .

Das Gerät ist deregistriert. Dadurch werden folgende Vorgänge ausgelöst:

• Android-Geräte:

— Der Sophos Mobile Control Geräteadministrator wird deaktiviert.

Sophos Mobile on Premise

— Die Server-Anmeldedaten und alle weiteren erhaltenen Daten werden entfernt.

— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email) sowie die App

Sophos Mobile Security werden zurückgesetzt.

• iOS-Geräte:

— Alle Profile werden entfernt.

— Alle verwalteten Apps werden deinstalliert.

— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.

— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email) werden zurückgesetzt.

• Macs:

— Alle Richtlinien werden entfernt.

— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.

Hinweis

• Wenn Benutzer auf Android-Geräten Sophos Mobile Control als Geräteadministrator deaktivieren, deregistriert die App Sophos Mobile Control das Gerät.

• Für Geräte, die bei Sophos Mobile mit dem Android-Enterprise-Modus „Gerätebesitzer“ registriert sind, gibt keine spezielle Aktion, das Gerät zu deregistrieren. Um ein solches Gerät zu deregistrieren, setzen Sie es auf Werkseinstellungen zurück.

13.4 Geräte verwalten

In der Menüleiste können Sie unter VERWALTUNG > Geräte und Gerätegruppen Geräte und

Gerätegruppen verwalten und eine Reihe von administrativen Aufgaben ausführen. Nachdem Sie

Geräte zu Sophos Mobile hinzugefügt haben, können Sie zum Beispiel:

• Gerätedetails anzeigen und bearbeiten.

• E-Mail-Zugriff für Geräte erlauben oder verbieten.

• Geräte ferngesteuert sperren oder entsperren.

• Geräte-Kennwörter zurücksetzen.

• Geräte bei Verlust oder Diebstahl ferngesteuert in den Auslieferungszustand zurücksetzen.

• Geräte deregistrieren (Android und iOS).

• Geräte löschen.

13.4.1 Geräte anzeigen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf den Namen des gewünschten Gerätes.

Die Seite Gerät anzeigen für das ausgewählte Gerät wird angezeigt.

Sophos Mobile on Premise

Tipp

Auf der Seite Geräte können Sie sich zusätzliche Informationen anzeigen lassen, indem Sie auf bestimmte Elemente zeigen:

• Zeigen Sie auf das Symbol "Nicht verwaltet" eines Gerätes, um den genauen Status wie

Deregistriert oder Abgemeldet anzuzeigen.

• Zeigen Sie auf das Symbol "Nicht richtlinienkonform“ eines Gerätes, um den Schweregrad

(hoch, mittel, niedrig) anzuzeigen.

13.4.2 Die Seite „Gerät anzeigen“

Auf der Seite Gerät anzeigen werden alle relevanten Informationen für ein einzelnes Gerät angezeigt.

Im oberen Teil der Seite können Sie auf einen Blick die wichtigsten Geräteinformationen sehen.

Im unteren Teil der Seite werden in mehreren Registerkarten detaillierte Geräteinformationen angezeigt. Die angezeigten Registerkarten und Informationen hängen von der Geräteplattform ab.

Von der Seite Gerät anzeigen können Sie direkt auf die Seite Gerät bearbeiten wechseln. Um das angezeigte Gerät zu bearbeiten, klicken Sie auf Bearbeiten .

Status

Zeigt wichtige Geräteinformationen wie Management-Typ, Management-Status und Compliance-

Status.

Profile

Zeigt die auf dem Gerät installierten Profile an (inklusive Provisionierungsprofile).

Die Registerkarte enthält auch Befehle für die Installation oder Deinstallation von Profilen auf

Geräten.

Hinweis iOS-Geräteprofile, die nur folgende Konfigurationen enthalten, werden auf der Registerkarte Profile nicht angezeigt:

• Roaming/Hotspot

• Hintergrundbild

Diese Konfigurationen werden nicht als Profile auf dem Gerät installiert. Sie nehmen nur

Einstellungen vor, die der Benutzer später wieder ändern kann.

Tipp

Mit dem Suchfeld oberhalb der Tabelle können Sie nach der Profilkennung suchen, auch wenn diese in der Tabelle nicht angezeigt wird.

Sophos Mobile on Premise

Richtlinien

Zeigt die dem Gerät zugewiesenen Richtlinien an.

Auf dieser Registerkarte steht die Schaltfläche Richtlinie zuweisen zur Verfügung, um eine

Richtlinie einem Gerät zuzuweisen.

Geräteeigenschaften

Zeigt die Geräteeigenschaften wie z. B. Eigenschaften für Modell, Modellname oder

Betriebssystemversion an. Bei Android-Geräten werden gerootete Smartphones ermittelt und die relevante Eigenschaft wird angezeigt. Bei iOS-Geräten werden Smartphones mit „Jailbreak“ ermittelt.

Die relevante Eigenschaft wird in der Ansicht angezeigt.

Benutzerdefinierte Eigenschaften

Zeigt benutzerdefinierte Geräteeigenschaften an. Dies sind die Eigenschaften, die Sie selbst anlegen können. Benutzerdefinierte Geräteeigenschaften können zum Beispiel in Platzhaltern verwendet werden, wenn kein Active Directory zur Verfügung steht. Wenn Sie ein Gerät bearbeiten, können Sie hier auch benutzerspezifische Informationen hinzufügen.

Interne Eigenschaften

Zeigt interne Geräteeigenschaften, z. B. die IMEI, oder ob Active-Sync-Datenverkehr erlaubt ist.

Compliance-Verstöße

Diese Registerkarte wird nur für Geräte angezeigt, die gegen Compliance-Regeln verstoßen.

Angezeigt werden die Compliance-Verstöße des Gerätes und die deshalb ausgeführten

Maßnahmen.

Zur Konfiguration dieser Aktionen siehe

Compliance-Richtlinie erstellen (Seite 42).

Installierte Apps

Zeigt die auf dem Gerät installierte Software. Je nach Plattform werden unterschiedliche

Informationen angezeigt.

In der Spalte Größe wird der Speicherbedarf für die App selber angezeigt. In der Spalte Daten wird der zusätzliche Speicherbedarf der App anzeigt, zum Beispiel für Nutzerdaten, Konfigurationen oder

Ähnliches.

Mit der Schaltfläche App installieren können Sie Software auf dem Gerät installieren. Sie können auch Apps vom Gerät deinstallieren, indem Sie auf das Symbol Löschen neben der gewünschten

App klicken.

Sophos Mobile on Premise

Hinweis

• Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, werden Apps außerhalb des Containers nicht aufgeführt. Dies beinhaltet auch Apps, die der Benutzer aus dem Enterprise App Store installiert hat.

• Für iOS können Apps, die als Verwaltet gekennzeichnet sind, stillschweigend deinstalliert werden. Siehe

Verwaltete iOS-Apps (Seite 308)

• Für Macs sind Apps aus allen Benutzerkonten aufgeführt.

• Für Windows können Sie nur Apps deinstallieren, die von Sophos Mobile installiert wurden.

Wenn Sie versuchen, eine vom Benutzer installierte App zu deinstallieren, schlägt der Auftrag fehl.

• Sie können die Registerkarte Installierte Apps deaktivieren. Siehe

Datenschutz-Einstellungen konfigurieren

(Seite 21).

System-Apps

Zeigt die Android-System-Apps auf dem Gerät an.

Hinweis

System-Apps können nicht vom Gerät entfernt werden.

Knox-Apps

Diese Registerkarte enthält die Apps, die vom Benutzer im Samsung-Knox-Container installiert wurden.

Knox-System-Apps

Diese Registerkarte enthält die System-Apps, die im Samsung-Knox-Container installiert sind.

Scan-Ergebnisse

Diese Registerkarte zeigt die Ergebnisse des letzten Sophos Mobile Security Scan-Vorgangs auf dem Gerät.

Die Registerkarte ist nur verfügbar, wenn die App Sophos Mobile Security von Sophos Mobile

verwaltet wird. Siehe Sophos Mobile Security verwalten (Seite 356).

Zertifikate

Zeigt die auf dem Gerät benutzten Zertifikate an.

Für Macs sind Gerätezertifikate aufgeführt aber keine Benutzerzertifikate.

Für Windows-Computer sind nur Zertifikate aus dem Benutzerspeicher (User Store) aufgeführt, keine Zertifikate aus dem Computerspeicher (Device Store).

Sophos Mobile on Premise

Tipp

Zeigen Sie in der Tabelle auf den Wert für Betreff oder Aussteller , um die Zertifikatdetails anzuzeigen.

Aufträge

Diese Registerkarte zeigt alle noch nicht abgeschlossenen und fehlgeschlagenen Aufträge sowie die abgeschlossenen Aufträge der letzten Tage an. Diese Aufträge werden Ihnen auch auf der Seite

Auftragsstatus

angezeigt, zusammen mit den Aufträgen aller anderen Geräte. Siehe Aufträge

überwachen

(Seite 10).

13.4.3 Intelligente Gruppen verwenden

Intelligente Gruppen sind dynamisch erzeugte Gerätegruppen, basierend auf von Ihnen festgelegten

Filterkriterien. Zum Beispiel könnten Sie eine intelligente Gruppe Alle in den letzten drei Monaten

erstellten Android-Firmengeräte definieren.

So definieren Sie eine intelligente Gruppe:

1. Klicken Sie auf der Seite Geräte auf Erweiterter Filter oberhalb der Geräteliste.

2. Legen Sie die Filterkriterien fest.

3. Geben Sie in Intelligente Gruppe einen Namen für die intelligente Gruppe ein und klicken Sie auf

Erstellen .

4. Gehen Sie wie folgt vor:

• Um eine intelligente Gruppe auf die Geräteliste anzuwenden, klicken Sie auf Filter .

• Um das Filterfenster zu schließend, ohne die intelligente Gruppe anzuwenden, klicken Sie auf

Zurücksetzen .

5. Um die intelligente Gruppe später anzuwenden, klicken Sie auf Intelligente Gruppen oberhalb der

Geräteliste und wählen Sie anschließend einen Eintrag aus.

Tipp

• Wenn eine intelligente Gruppe oder ein erweiterter Filter aktiv ist, ändert das Filter-Symbol im

Tabellenkopf seine Farbe von Blau nach Grün.

• Denken Sie daran, einen Filter wieder zurückzusetzen, wenn er nicht mehr benötigt wird.

Andernfalls enthalten Listen oder Berichte unter Umständen nicht die erwarteten Ergebnisse.

Andere Aktionen mit intelligenten Gruppen:

• Um die Anwendung einer intelligenten Gruppe zu beenden und wieder alle Geräte anzuzeigen, klicken Sie auf Erweiterter Filter und anschließend auf Zurücksetzen .

• Um eine intelligente Gruppe zu löschen, klicken Sie auf Intelligente Gruppen und anschließend auf das Mülleimer-Symbol neben dem Eintrag, den Sie löschen wollen.

• Um eine intelligente Gruppe zu bearbeiten, wenden Sie diese zunächst an. Klicken Sie anschließend auf Erweiterter Filter , machen Sie die gewünschten Änderungen, und klicken Sie anschließend auf Erstellen .

• Um einen Ad-Hoc-Filter anzuwenden ohne eine intelligente Gruppe zu erstellen, klicken Sie auf

Erweiterter Filter , legen Sie die Filterkriterien fest, und klicken Sie anschließend auf Filter .

Sophos Mobile on Premise

13.4.4 Geräte bearbeiten

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf

Bearbeiten .

Die Seite Gerät bearbeiten für das ausgewählte Gerät wird angezeigt.

3. Nehmen Sie die notwendigen Änderungen vor (zum Beispiel Installation oder Deinstallation von

Software auf der Registerkarte Installierte Apps ). Klicken Sie anschließend auf Speichern .

Ihre Änderungen werden auf das bearbeitete Gerät angewendet.

Hinweis

An Eigenschaften vorgenommene Änderungen treten erst in Kraft, nachdem Sie auf Speichern geklickt haben. Wenn Sie die vorgenommenen Änderungen nicht speichern, haben sie keinerlei

Auswirkungen.

13.4.5 Benutzer einem Gerät zuweisen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten .

Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten neben dem Feld Benutzer und anschließend auf den gewünschten Eintrag in der Auswahlliste:

• Um einem Gerät ohne Benutzerzuweisung einen Benutzer zuzuweisen, klicken Sie auf Gerät einem Benutzer zuweisen .

• Um einem Gerät mit bestehender Benutzerzuweisung einen anderen Benutzer zuzuweisen, klicken Sie auf Gerät einem anderen Benutzer zuweisen .

• Klicken Sie auf Benutzerliste aktualisieren , um die Benutzerliste erneut aus dem LDAP-

Verzeichnis zu laden.

4. Geben Sie auf der Seite Suchparameter für Benutzer eingeben des Zuweisungsdialogs einen oder mehrere Suchbegriffe ein, um den Benutzer zu finden, dem das Gerät zugewiesen werden soll. Geben Sie zum Beispiel einen Namen oder Teilnamen ein.

5. Wählen Sie auf der Seite Benutzer auswählen den gewünschten Benutzer aus und klicken Sie anschließend auf Anwenden .

6. Klicken Sie auf der Seite Gerät bearbeiten auf Speichern .

13.4.6 Benutzerzuweisung für ein Gerät aufheben

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten .

3. Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten

neben dem Feld Benutzer und anschließend auf Zuweisung des Benutzers zum Gerät aufheben .

Sophos Mobile on Premise

4. Klicken Sie im Bestätigungsdialog auf Ja .

5. Klicken Sie auf Speichern .

13.4.7 Netzwerkzugriff konfigurieren

Damit Sie den Netzwerkzugriff für ein Gerät konfigurieren können, muss Network Access Control

(NAC) in Sophos Mobile aktiviert werden.

Bei Sophos Mobile on Premise wird NAC vom Superadministrator aktiviert. Siehe das Dokument

Sophos Mobile Superadministrator-Anleitung (englisch) .

Bei Sophos Mobile as a Service ist NAC standardmäßig aktiviert.

Sie können den Netzwerkzugriff für ein Gerät auf zwei Weisen konfigurieren:

1. Netzwerkzugriff immer erlauben oder sperren.

2. Netzwerkzugriff grundsätzlich erlauben, aber sperren, wenn das Gerät nicht richtlinienkonform ist.

Hinweis

Sophos Mobile schränkt den Netzwerkzugriff nicht selbst ein. Stattdessen stellt es einen Status

Netzwerk verbieten zur Verfügung, der von einer externen NAC-Software wie zum Beispiel

Sophos UTM verwendet werden kann, um die Netzwerkkommunikation zu blockieren.

Hinweis

NAC ist nicht für Macs verfügbar, die per Ethernet verbunden sind. Sophos Mobile kann für Macs nur die MAC-Adresse des WLAN-Netzwerkadapters ermitteln, nicht die des Ethernet-Adapters. Da

Geräte anhand ihrer MAC-Adresse identifiziert werden, wird ein Mac, der über seinen Ethernet-

Port mit dem Internet verbunden ist, als unbekanntes Gerät behandelt, wenn Ihre externe NAC-

Software Sophos Mobile nach dem Netzwerkstatus des Gerätes fragt.

So konfigurieren Sie den Netzwerkzugriff für ein Gerät:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie den Netzwerkzugriffsmodus einstellen wollen.

3. Klicken Sie auf Aktionen und anschließend auf Netzwerkzugriff .

4. Wählen Sie den Netzwerkzugriffsmodus aus:

• Erlauben : Netzwerkzugriff ist für die ausgewählten Geräte erlaubt.

• Sperren : Netzwerkzugriff ist für die ausgewählten Geräte gesperrt.

• Automatischer Modus : Netzwerkzugriff für die ausgewählten Geräte wird durch den

Compliance-Status der Geräte festgelegt.

5. Klicken Sie auf Ja , um die Änderungen zu speichern.

Hinweis

Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, können Sie den

Netzwerkzugriff nicht sperren.

Informationen zur Konfiguration des Netzwerkzugriff über Compliance-Richtlinien finden Sie in

Compliance-Richtlinie erstellen

(Seite 42).

Sophos Mobile on Premise

13.4.8 Gerät scannen

Hinweis

Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.

Sie können Android-Geräte scannen, auf denen Sophos Mobile die App Sophos Mobile Security verwaltet.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

2. Klicken Sie auf das Gerät, das Sie scannen wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > SMSec-Scan auslösen .

Ein Auftrag zum Scannen des Gerätes wird erstellt und an die App Sophos Mobile Security

übertragen.

Die Scan-Ergebnisse werden auf der Registerkarte Scan-Ergebnisse der Seite Gerät anzeigen angezeigt. Klicken Sie auf den Namen einer Bedrohung, um zusätzliche Informationen von

SophosLabs anzuzeigen.

Um mehrere Geräte zu scannen, erstellen Sie ein Auftragspaket mit einem Auftrag SMSec-Scan auslösen und übertragen Sie dieses an die gewünschten Geräte oder Gerätegruppen.

13.4.9 Gerät sperren

Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert sperren. Dadurch wird die

Bildschirmsperre aktiviert.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie sperren oder entsperren wollen, und anschließend auf Anzeigen .

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Sperren .

4. Für macOS: Legen Sie einen 6-stelligen PIN-Code fest, der zum Entsperren auf dem Mac eingegeben werden muss.

5. Für einige Gerätetypen können Sie optional eine Nachricht eingeben, die auf dem Sperrbildschirm angezeigt wird.

Ein Auftrag zum Aktiveren der Bildschirmsperre wird erstellt und an das Gerät übertragen.

• Für alle Plattformen außer macOS: Der Benutzer muss sein Gerätekennwort eingeben (bzw. PIN oder Muster), um das Gerät zu entsperren.

• Für macOS: Der Mac startet neu. Der Benutzer muss den von Ihnen festgelegten PIN eingeben, um das Gerät zu entsperren.

Hinweis

Auch auf Geräten, auf denen Sophos Mobile nur das Android-Arbeitsprofil verwaltet, sperrt die

Aktion Sperren das Gerät, nicht nur das Arbeitsprofil.

Hinweis

Sie können nicht Geräte sperren, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Sophos Mobile on Premise

Hinweis

Ein Mac, den Sie ferngesteuert gesperrt haben, kann nicht zurückgesetzt werden.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter

Sperr-PIN .

13.4.10 Gerätekennwort zurücksetzen

Bei folgenden Geräten können Sie das Kennwort ferngesteuert zurücksetzen:

• Android-Geräte mit Android 6.x oder älter

• Android-Enterprise-Geräte

• iOS-Geräte

• Windows-Mobile-Geräte

Dies gilt aber nicht für folgenden Geräte:

• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Geräte, auf denen nur die App Sophos Mobile Security bei Sophos Mobile registriert ist.

• Android-Enterprise-Geräte mit Android 8.x oder neuer, falls der Benutzer das Gerätekennwort nicht bestätigt hat.

Auf einigen Geräten legt der Benutzer das Kennwort während der erstmaligen Einrichtung fest, bevor die App Sophos Mobile Control installiert wird. In diesem Fall fordert die App Sophos

Mobile Control den Benutzer bei jeder Synchronisierung auf, das Kennwort zu bestätigen.

Solange der Benutzer das Kennwort nicht bestätigt hat, können Sie das Gerät nicht ferngesteuert zurücksetzen.

So setzen Sie das Kennwort eines Gerätes zurück:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

2. Klicken Sie auf das Gerät, für das Sie das Kennwort zurücksetzen wollen.

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Kennwort zurücksetzen .

4. Falls im Bestätigungsdialog ein Einmal-Kennwort zum Entsperren des Gerätes angezeigt wird, teilen Sie dieses dem Benutzer mit.

Android und Windows Mobile: Der Benutzer muss das Gerät mit dem Einmal-Kennwort entsperren und anschließend ein neues Kennwort festlegen.

iOS: Das Kennwort wird entfernt und das Gerät entsperrt.

13.4.11 Gerätestandort anzeigen

Wichtig

Aus Datenschutzgründen werden alle Ereignisse zu Geräteortungen für eventuelle spätere

Untersuchungen aufgezeichnet.

Sophos Mobile on Premise

Hinweis

Sie können die Anzeige von Gerätestandorten in Sophos Mobile Admin deaktivieren. Siehe

Datenschutz-Einstellungen konfigurieren

(Seite 21).

Sie können den Standort von Android- und iOS-Geräten in Google Maps anzeigen, wenn folgende

Bedingungen erfüllt sind:

Android-Geräte:

• Die App Sophos Mobile Control läuft.

• Ortungsdienste sind eingeschaltet.

• Für Android-Enterprise-Geräte im Modus „Profilbesitzer“: Ortungsdienste für das Arbeitsprofil sind eingeschaltet.

• Die App Sophos Mobile Control besitzt die Berechtigung Standort .

iOS-Geräte:

• Die App Sophos Mobile Control läuft.

• Ortungsdienste sind eingeschaltet und können von der App Sophos Mobile Control verwendet werden.

• Im verwalteten Modus „Verloren“ können Sie den Gerätestandort immer anzeigen.

Tipp

Verwenden Sie die Compliance-Regel Ortungsberechtigung erforderlich , um sicherzustellen,

dass die App Sophos Mobile Control den Gerätestandort ermitteln kann. Siehe Verfügbare

Compliance-Regeln (Seite 44).

So zeigen Sie den Standort eines Gerätes an:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

2. Klicken Sie auf das Gerät, dessen Standort Sie anzeigen wollen.

3. Klicken Sie auf Aktionen > Standort anzeigen .

Fall Standort anzeigen nicht vorhanden ist, überprüfen Sie, ob die App Sophos Mobile Control den Gerätestandort ermitteln kann.

4. Geben Sie eine Begründung für die Standort-Ermittlung ein und klicken Sie anschließend auf Ja .

Ein Auftrag zur Standort-Ermittlung wird erstellt und an das Gerät übertragen.

5. Nachdem der Auftrag abgeschlossen wurde, klicken Sie auf Aktionen > Standort anzeigen >

Standort anzeigen , um den Gerätestandort in Google Maps anzuzeigen.

13.4.12 Gerät zurücksetzen

Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert zurücksetzen. Dadurch wird das

Gerät auf Werkseinstellungen zurückgesetzt.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie zurücksetzen wollen, und anschließend auf Anzeigen .

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Zurücksetzen .

4. Für einige Gerätetypen müssen Sie weitere Einstellungen konfigurieren:

Sophos Mobile on Premise a) Android-Enterprise-Geräte im Modus „Gerätebesitzer“: Aktivieren Sie bei Bedarf FRP (Factory

Reset Protection). Siehe Android Factory Reset Protection

(Seite 331).

Wichtig

Wenn die Google-Konten, die Sie für FRP konfiguriert haben, ungültig sind oder wenn

Sie die Anmeldedaten für die Konten nicht mehr kennen, kann das Gerät nach dem

Zurücksetzen nicht mehr verwendet werden.

b) iOS-Geräte: Konfigurieren Sie im Bestätigungsdialog folgende Einstellungen:

• Datentarif beibehalten : Wenn für das Gerät ein mobiler Datentarif eingerichtet ist, bleibt dieser nach dem Zurücksetzen auf Werkseinstellungen erhalten.

• Schnellstart verbieten : Beim ersten Gerätestart nach dem Zurücksetzen auf

Werkseinstellungen nicht den Schritt „Schnellstart“ im Einrichtungsassistenten anzeigen, mit dem Inhalte von einem anderen iPhone übertragen können.

c) Macs: Legen Sie eine 6-stellige PIN fest, die auf dem Mac eingegeben werden muss, um ihn zu entsperren.

5. Klicken Sie im Bestätigungsdialog auf Ja .

Ein Auftrag zum Zurücksetzen wird erstellt und an das Gerät übertragen.

Hinweis

Folgende Geräte können nicht zurückgesetzt werden:

• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Android-Enterprise-Geräte im Modus „Profilbesitzer“.

• Geräte mit Android Things oder Windows IoT.

• Macs, die Sie ferngesteuert gesperrt haben.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter

Sperr-PIN .

13.4.13 Android FRP aktivieren/deaktivieren

Hinweis

Dieser Abschnitt gilt für Geräte, die bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert sind.

Wenn Sie FRP (Factory Reset Protection, d.h. Schutz vor dem Zurücksetzen auf

Werkseinstellungen) für Geräte konfigurieren, die bei Sophos Mobile im Android-Enterprise-Modus

„Gerätebesitzer“ registriert sind, ist es standardmäßig aktiviert. Wenn Sie sicher sind, dass ein Gerät nicht verloren oder gestohlen wurde, können Sie FRP deaktivieren, um die Einrichtungsprozedur zu vereinfachen.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

2. Klicken Sie auf das Gerät, für das Sie den FRP-Status einstellen wollen.

Sophos Mobile on Premise

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Factory Reset Protection einstellen .

4. Wählen Sie FRP aktivieren oder FRP deaktivieren aus.

Wenn FRP aktiviert ist, muss das Gerät nach dem Zurücksetzen auf Werkseinstellungen mit einem für FRP konfigurierten Google-Konto entsperrt werden.

Details zu FRP finden Sie in

Android Factory Reset Protection (Seite 331).

Wichtig

Wenn Sie FRP für das Gerät aktivieren und es nicht richtig konfiguriert ist, kann das Gerät nach dem Zurücksetzen nicht mehr verwendet werden.

Tipp

Sie können den FRP-Status eines Gerätes auf der Registerkarte Status der Seite Gerät anzeigen

überprüfen.

13.4.14 Telecom Expense Management konfigurieren

Mit Telecom Expense Management (TEM) können Sie den Verbrauch mobiler Daten einzelner

Geräte überwachen. Diese Funktion ist für Android- und iOS-Geräte verfügbar.

Hinweis

Sie können nicht Telecom Expense Management für Android-Enterprise-Geräte im Modus

„Profilbesitzer“ konfigurieren.

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie Telecom Expense Management konfigurieren wollen.

Hinweis

Wählen Sie nur Geräte mit demselben mobilen Datentarif aus.

3. Klicken Sie auf Aktionen > Telecom Expense Management konfigurieren .

4. Konfigurieren Sie folgende Einstellungen:

Option

Überwachung aktivieren

Beschreibung

Aktivieren Sie dies, um die Überwachung des mobilen

Datenverbrauchs für die ausgewählten Geräte zu aktiveren.

Verfügbares Datenvolumen Das Datenvolumen Ihres mobilen Datentarifs in MB.

Alarm-Schwellwert

Rechnungszyklus

Ein Datenvolumen-Grenzwert in MB. Wenn das verbrauchte

Datenvolumen bei einem Gerät diesen Wert überschreitet, wird

ein Alarm erzeugt. Siehe Warnhinweise

(Seite 14).

Wert zwischen 1 und 31, der angibt, an welchem Tag im

Monat das Datenvolumen zurückgesetzt wird.

Sophos Mobile on Premise

Option Beschreibung

Hinweis

Bei Monaten mit weniger Tagen wird das Datenvolumen am letzten Tag des Monats zurückgesetzt.

5. Klicken Sie auf Speichern , um die Einstellungen auf die ausgewählten Geräte anzuwenden.

Der mobile Datenverbrauch wird von einem Gerät bei jeder Synchronisation mit dem Sophos Mobile

Server übertragen.

Um den aktuellen mobilen Datenverbrauch eines Gerätes festzustellen, öffnen Sie die Seite

Gerät anzeigen des Gerätes und klicken Sie anschließend auf Aktionen > Telecom Expense

Management .

Wichtig

Der angezeigte Datenverbrauch weicht möglicherweise von dem Wert ab, den Ihnen Ihr

Mobilfunkanbieter berechnet. Es wird nur der von installierten Apps verursachte Datenverbrauch berücksichtigt, aber keine Systemaktualisierungen, Aktualisierungen von System-Apps, oder

ähnliches.

Tipp

Verwenden Sie den Bericht Mobile Datennutzung , um den Datenverbrauch aller Geräte

festzustellen, für die Telecom Expense Management aktiviert ist. Siehe Berichte

(Seite 9).

Hinweis

• Der Wert für den Datenverbrauch wird zu folgenden Zeitpunkten zurückgesetzt:

— Regelmäßig jeden Monat am Ende des von Ihnen festgelegten Tages.

— Wenn Sie Telecom Expense Management für das Gerät deaktivieren.

— Wenn das Gerät bei Sophos Mobile deregistriert wird.

• Für iOS wird kein Datenverbrauch ermittelt, wenn die App Sophos Mobile Control nicht läuft, zum Beispiel, wenn der Benutzer die App nach einem Geräteneustart nicht gestartet hat.

13.4.15 iOS aktualisieren

Auf folgenden Geräten können Sie eine iOS-Aktualisierung durchführen:

• Betreute Geräte mit iOS 10.3 oder neuer

• Betreute Apple-DEP-Geräte

Hinweis

Dieser Abschnitt beschreibt, wie Sie die iOS-Aktualisierung für ein einzelnes Gerät durchführen.

Um die iOS-Aktualisierung für eine Gerätegruppe durchzuführen, verwenden Sie ein Auftragspaket mit einem Auftrag Letzte iOS-Aktualisierung installieren . Siehe

Verfügbare Auftragstypen (iOS)

(Seite 289).

So führen Sie auf einem Gerät eine iOS-Aktualisierung durch:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

Sophos Mobile on Premise

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät und anschließend auf

Anzeigen .

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Verfügbare Aktualisierungen anzeigen .

Eine Liste der für das Gerät verfügbaren iOS-Aktualisierungen wird angezeigt. Aktualisierungen mit dem Kennzeichen Kritisch sind von Apple als kritische Sicherheits-Aktualisierungen eingestuft.

4. Um die letzte verfügbare Aktualisierung zu installieren, klicken Sie auf Letzte verfügbare

Aktualisierung installieren .

Ein Auftrag für die iOS-Aktualisierung wird erstellt und an das Gerät übertragen.

Tipp

• Um den Aktualisierungsstatus eines einzelnen Gerätes zu prüfen, öffnen Sie die Seite Gerät anzeigen für das Gerät. Neben dem Feld Betriebssystem wird ein Warnsymbol angezeigt, falls auf dem Gerät nicht die neueste verfügbare Version von iOS installiert ist.

• Um den Aktualisierungsstatus aller iOS-Geräte zu prüfen, gibt es im Bericht Geräte die Spalte

OsUpdateAvailable .

13.4.16 Für iOS den verwalteten Modus „Verloren“ konfigurieren

Sie können ein verwaltetes iOS-Gerät in den verwalteten Modus „Verloren“ versetzen. Das Gerät kann dann solange nicht mehr verwendet werden, bis der verwaltete Modus „Verloren“ in Sophos

Mobile wieder deaktiviert wird.

Im verwalteten Modus „Verloren“ können mit dem Gerät nur folgende Aktion ausgeführt werden:

• Eine von Ihnen konfigurierte Telefonnummer anrufen.

• Einen Notruf tätigen.

Hinweis

• Der verwaltete Modus „Verloren“ ist eine andere Art von Sperrmodus als der Modus

„Verloren“, den ein Benutzer in iCloud aktivieren kann. Wenn Sie den verwalteten Modus

„Verloren“ in Sophos Mobile aktivieren, kann das Gerät nicht in iCloud entsperrt werden.

• Die Geräteortung funktioniert im verwalteten Modus „Verloren“ zuverlässiger als im normalen

Sperrmodus. Der Gerätestandort wird durch eine iOS-Systemfunktion ermittelt. Es ist nicht erforderlich, dass die App Sophos Mobile Control läuft.

So aktivieren Sie den verwalteten Modus „Verloren“:

1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .

2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie in den verwalteten Modus „Verloren“ versetzen wollen, und anschließend auf Anzeigen .

3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Verwalteten Modus „Verloren“ aktivieren .

4. Konfigurieren Sie folgende Einstellungen:

Option

Sperrbildschirm-Nachricht

Beschreibung

Text, der auf dem Sperrbildschirm angezeigt wird.

Telefonnummer Eine Telefonnummer, die vom Sperrbildschirm aus angerufen werden kann.

Sophos Mobile on Premise

Option

Fußzeile

Beschreibung

Ein Fußzeilentext, der am unteren Rand des Sperrbildschirms angezeigt wird.

Wenn Sie keine Fußzeile konfigurieren, wird ein

Standardhinweis zum Kontaktieren eines Administrators angezeigt.

Ein Auftrag zum Aktivieren des verwalteten Modus „Verloren“ wird erstellt und an das Gerät

übertragen. Der verwaltete Modus „Verloren“ wird sofort aktiviert, nachdem das Gerät den Auftrag erhalten hat.

Wenn sich ein Gerät im verwalteten Modus „Verloren“ befindet, können Sie auf der Seite Gerät anzeigen folgende Aktionen ausführen:

• Um das Gerät zu orten, verwenden Sie Aktionen > Ortung .

• Um auf dem Gerät einen Ton abzuspielen, verwenden Sie Aktionen > „Verloren“-Ton abspielen .

Dies erfordert iOS 10.3 oder neuer.

• Um den verwalteten Modus „Verloren“ zu deaktivieren, verwenden Sie Aktionen > Verwalteten

Modus „Verloren“ deaktivieren .

Tipp

Die Geräteeigenschaft IsMDMLostModeEnabled zeigt an, ob der verwaltete Modus „Verloren“ aktiv ist.

13.5 Benutzerdefinierte Geräteeigenschaften

Zusätzlich zu den von einem Gerät gemeldeten Eigenschaften können Sie dem Gerät benutzerdefinierte Eigenschaften hinzufügen.

Wenn Sie eine Eigenschaft mit dem Namen Meine Eigenschaft hinzufügen, können Sie in

Profilen und Richtlinien den Platzhalter %_DEVPROP(Meine Eigenschaft)_% verwenden, um den

Wert der Eigenschaft zu referenzieren. Einzelheiten zur Verwendung von Platzhaltern in Profilen und

Richtlinien finden Sie in

Platzhalter in Profilen und Richtlinien (Seite 104).

Sie können benutzerdefinierte Eigenschaften auf folgende Arten zu einem Gerät hinzufügen:

• Sie fügen benutzerdefinierte Eigenschaften zu einem einzelnen Gerät hinzu. Siehe

Benutzerdefinierte Geräteeigenschaften hinzufügen (Seite 76).

• Sie erstellen Standard-Eigenschaften, die jedem Gerät bei der Erstellung als benutzerdefinierte

Eigenschaften zugewiesen werden. Siehe

Standard-Geräteeigenschaften erstellen (Seite 77).

13.5.1 Benutzerdefinierte Geräteeigenschaften hinzufügen

Zusätzlich zu den von einem Gerät gemeldeten Eigenschaften können Sie dem Gerät benutzerdefinierte Eigenschaften hinzufügen.

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .

2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf

Bearbeiten .

3. Öffnen Sie auf der Seite Gerät bearbeiten die Registerkarte Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen .

Sophos Mobile on Premise

Wenn die Registerkarte Benutzerdefinierte Eigenschaften nicht vorhanden ist, überprüfen Sie, ob die Systemeinstellungen Erweiterte Gerätedetails anzeigen aktiviert ist (unter Einrichtung >

Allgemein > Persönlich ).

4. Geben Sie einen Namen und einen Wert für die Eigenschaft ein.

5. Klicken Sie auf Anwenden .

6. Klicken Sie auf Speichern .

Die benutzerdefinierte Eigenschaft wird dem Gerät hinzugefügt.

Hinweis

Eine benutzerdefinierte Geräteeigenschaft kann nicht denselben Namen wie eine Standard-

Geräteeigenschaft haben.

13.5.2 Standard-Geräteeigenschaften erstellen

Sie können Standard-Eigenschaften erstellen, die jedem Gerät bei der Erstellung als benutzerdefinierte

Eigenschaften zugewiesen werden.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend die Registerkarte Standard-Geräteeigenschaften .

2. Klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen .

3. Geben Sie einen Namen und einen Wert für die Eigenschaft ein.

4. Klicken Sie auf Anwenden .

5. Klicken Sie auf Speichern .

Hinweis

Eine benutzerdefinierte Geräteeigenschaft kann nicht denselben Namen wie eine Standard-

Geräteeigenschaft haben.

Hinweis

Falls dieselbe Eigenschaft sowohl für den Kunden als auch für den Superadministrator-Kunden definiert ist, wird der für den Kunden definierte Wert verwendet.

13.6 Zero-Touch-Registrierung

Mit der Android-Zero-Touch-Registrierung können Sie eine Massenregistrierung von Android-

Firmengeräten durchführen. Zero-Touch-fähige Geräte, die Sie für Sophos Mobile konfiguriert haben, registrieren sich automatisch bei Ihrem Sophos Mobile Server, wenn der Benutzer sie einschaltet.

Anforderungen

• Sie haben ein Konto für das Google-Portal für die Zero-Touch-Registrierung. Üblicherweise erstellt der Händler dieses Konto für Sie, wenn Sie Ihre ersten Geräte erwerben.

• Sie haben Android Enterprise in Sophos Mobile für das Szenario Managed Google Play Account

eingerichtet. Siehe Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite

323).

Sophos Mobile on Premise

Einrichtungsschritte

Führen Sie folgende Schritte aus, um die Zero-Touch-Registrierung zu verwenden:

• Aktivieren Sie die Zero-Touch-Registrierung in Sophos Mobile Admin und konfigurieren Sie die

Registrierungsdetails. Siehe

Zero-Touch-Registrierung einrichten (Seite 78).

• Erstellen Sie im Google-Portal für die Zero-Touch-Registrierung eine Konfiguration für Sophos

Mobile. Siehe Zero-Touch-Konfiguration erstellen (Seite 79).

• Erwerben Sie Zero-Touch-fähige Android-Geräte von einem Google-Enterprise-Händler.

•

Weisen Sie den Geräten die Zero-Touch-Konfiguration für Sophos Mobile zu. Siehe Zero-Touch-

Geräte bereitstellen (Seite 79).

Zugehörige Informationen

Google-Webseite zu Zero-Touch-Registrierung (externer Link)

Google-Hilfe für die Zero-Touch-Registrierung (externer Link)

13.6.1 Zero-Touch-Registrierung einrichten

Sie richten die Zero-Touch-Registrierung in Sophos Mobile Admin ein, indem Sie die Einstellungen konfigurieren, die auf Zero-Touch-fähige Android-Geräte (kurz „Zero-Touch-Geräte“) angewendet werden, wenn sich diese bei Ihrem Sophos Mobile Server registrieren.

1. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter EINSTELLUNGEN auf Einrichtung

> Systemeinstellungen und öffnen Sie anschließend die Registerkarte Zero-Touch .

2. Klicken Sie auf Zero-Touch-Registrierung verwenden .

3. Klicken Sie unter Konfigurationseinstellungen für Zero-Touch auf DPC extras , um

Einstellungen für das Gerät zu konfigurieren:

• Sprache : Die Sprache für die Android-Benutzeroberfläche.

• Zeitzone : Die auf dem Gerät eingestellte Zeitzone.

• System-Apps aktivieren : Standardmäßig werden System-Apps, die ein Start-Icon besitzen, deaktiviert, wenn ein Gerät im Android-Enterprise-Modus „Gerätebesitzer“ eingerichtet wird.

Wenn Sie diese Einstellung auswählen, bleiben alle System-Apps aktiviert.

Basierend auf Ihren Einstellungen erstellt Sophos Mobile einen Konfigurations-Code, den Sie im

Google-Portal für die Zero-Touch-Registrierung eingeben müssen.

4. Konfigurieren Sie unter Registrierungseinstellungen die Registrierung von Zero-Touch-Geräten bei Sophos Mobile:

• Gerätegruppe : Die Gerätegruppe, der Zero-Touch-Geräte zugewiesen werden.

• Registrierungs-Auftragspaket : Das Auftragspaket, das an das Gerät übertragen wird.

5. Klicken Sie auf Speichern , um die Registrierungs-Einstellungen zu speichern.

Um die Konfiguration der Zero-Touch-Registrierung abzuschließen, erstellen Sie im Google-Portal für die Zero-Touch-Registrierung eine Konfiguration für Sophos Mobile.

Sophos Mobile on Premise

13.6.2 Zero-Touch-Konfiguration erstellen

Eine Zero-Touch-Konfiguration enthält Informationen für Geräte zur Registrierung bei Ihrem Sophos

Mobile Server. Sie erstellen diese Konfiguration im Google-Portal für die Zero-Touch-Registrierung.

Diese Prozedur setzt voraus, dass Sie Google-Zero-Touch-Registrierung in Sophos Mobile Admin eingerichtet haben. Siehe

Zero-Touch-Registrierung einrichten (Seite 78).

1. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter EINSTELLUNGEN auf Einrichtung

> Systemeinstellungen und öffnen Sie anschließend die Registerkarte Zero-Touch .

2. Klicken Sie neben DPC extras auf Kopieren , um den Konfigurations-Code in die Zwischenablage zu kopieren.

3. Öffnen Sie das Google-Portal für die Zero-Touch-Registrierung in einem neuen Browserfenster.

4. Erstellen Sie eine neue Konfiguration für Sophos Mobile:

• Wählen Sie für EMM DPC den Eintrag Sophos Mobile Control aus.

• Geben Sie in DPC extras den Konfigurations-Code ein, den Sie in die Zwischenablage kopiert haben.

5. Optional: Wählen Sie die Konfiguration als Standardkonfiguration aus. Sie wird dann automatisch allen neuen Geräten zugewiesen.

Zugehörige Informationen

Google-Portal für die Zero-Touch-Registrierung (externer Link)

Google-Hilfe für die Zero-Touch-Registrierung (externer Link)

13.6.3 Zero-Touch-Geräte bereitstellen

Damit sich ein Zero-Touch-fähiges Gerät (kurz „Zero-Touch-Gerät“) bei Ihrem Sophos Mobile Server registriert, weisen Sie ihm die Konfiguration für Sophos Mobile zu.

1. Überprüfen Sie, dass die Geräte, die Sie bereitstellen wollen, im Google-Portal für die Zero-Touch-

Registrierung vorhanden sind.

Üblicherweise fügt der Händler die Geräte für Sie hinzu.

2. Weisen Sie im Google-Portal für die Zero-Touch-Registrierung den Geräten die Konfiguration für

Sophos Mobile zu.

Sie können die Konfiguration für Sophos Mobile auch als Standardkonfiguration festlegen, damit sie automatisch allen neuen Geräten zugewiesen wird.

3. Verteilen Sie die Geräte an Ihre Benutzer.

Die Benutzer müssen ein Konto in Sophos Mobile haben.

Wenn ein Benutzer das Gerät erstmalig einschaltet, startet der Android-Einrichtungsassistent.

Nachdem sich das Gerät mit dem Internet verbunden hat, registriert es sich bei Sophos Mobile im

Android-Enterprise-Modus „Gerätebesitzer“.

Hinweis

Falls ein Gerät bereits eingerichtet ist, wenn Sie es im Google-Portal für die Zero-Touch-

Registrierung hinzufügen, wird es auf Werkseinstellungen zurückgesetzt.

Sophos Mobile on Premise

13.6.4 Zero-Touch-Registrierung deaktivieren

So deaktivieren Sie die automatische Registrierung von Zero-Touch-fähigen Android-Geräten (kurz

„Zero-Touch-Geräten“) bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Zero-Touch .

2. Klicken Sie auf Zero-Touch-Konfiguration widerrufen .

Zero-Touch-Geräte verbinden sich danach weiterhin mit Ihrem Sophos Mobile Server, um sich zu registrieren. Der Server lehnt diese Anfrage jedoch ab.

Um die Verbindung zwischen Sophos Mobile und Android Zero Touch vollständig zu trennen, löschen Sie im Google-Portal für die Zero-Touch-Registrierung die Konfiguration für Sophos Mobile.

13.7 Knox Mobile Enrollment

Mit Samsung Knox Mobile Enrollment (KME) können Sie eine Massenregistrierung von Samsung-

Firmengeräten bei Sophos Mobile durchführen. KME-fähige Geräte, die Sie für Sophos Mobile konfiguriert haben, registrieren sich automatisch bei Ihrem Sophos Mobile Server, wenn der

Benutzer sie einschaltet.

Anforderungen

• Sie haben ein Samsung-Konto.

• Sie haben ein Konto für das Samsung-Knox-Portal.

• Die zu registrierenden Geräte haben Knox 2.4 oder neuer, je nach Registrierungsszenario, das Sie verwenden wollen. Zum Beispiel ist für die Registrierung im Android-Enterprise-Modus

„Gerätebesitzer“ Knox 2.8 oder neuer erforderlich.

• Wenn Sie die Registrierung im Android-Enterprise-Modus durchführen wollen, müssen Sie in

Sophos Mobile Android Enterprise für das Szenario Managed Google Play Account eingerichtet haben. Siehe

Android Enterprise einrichten (Szenario „Managed Google Play Account“)

(Seite

323).

Einrichtungsschritte

Führen Sie folgende Schritte aus, um Knox Mobile Enrollment zu verwenden:

• Aktivieren Sie Knox Mobile Enrollment in Sophos Mobile Admin und konfigurieren Sie die

Registrierungsdetails. Siehe

Knox Mobile Enrollment einrichten (Seite 81).

• Erstellen Sie in der Samsung-Konsole für Knox Mobile Enrollment ein Profil für Sophos Mobile.

Siehe

KME-Profil erstellen

(Seite 81).

• Erwerben Sie KME-fähige Geräte.

•

Weisen Sie den Geräten das KME-Profil für Sophos Mobile zu. Siehe KME-Geräte bereitstellen

(Seite 82).

Zugehörige Informationen

Samsung-Webseite zu Knox Mobile Enrollment (externer Link)

Sophos Mobile on Premise

Samsung-Benutzerhilfe zu Knox Mobile Enrollment (englischsprachig) (externer Link)

13.7.1 Knox Mobile Enrollment einrichten

Sie richten Samsung Knox Mobile Enrollment (KME) in Sophos Mobile Admin ein, indem Sie die

Einstellungen konfigurieren, die auf KME-Geräte angewendet werden, wenn sich diese bei Ihrem

Sophos Mobile Server registrieren.

1. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter EINSTELLUNGEN auf Einrichtung

> Systemeinstellungen und öffnen Sie anschließend die Registerkarte Samsung KME .

2. Klicken Sie auf Knox Mobile Enrollment verwenden .

3. Konfigurieren Sie unter Registrierungseinstellungen die Registrierung von KME-Geräten bei

Sophos Mobile:

• Gerätegruppe : Die Gerätegruppe, der KME-Geräte zugewiesen werden.

• Registrierungs-Auftragspaket (Android) : Das Auftragspaket, das an das Gerät übertragen wird, wenn es als Standard-Android-Gerät registriert wird.

• Registrierungs-Auftragspaket (Android Enterprise, Modus „Gerätebesitzer“) : Das

Auftragspaket, das an das Gerät übertragen wird, wenn es im Android-Enterprise-Modus

„Gerätebesitzer“ registriert wird.

Sie konfigurieren den Registrierungsmodus, wenn Sie in der Samsung-Konsole für Knox

Mobile Enrollment ein MDM-Profil anlegen.

• Benutzer-Authentifizierung : Wenn dies selektiert ist, muss der Benutzer während der

Geräte-Einrichtung seine Anmeldeinformationen für Sophos Mobile eingeben. In Sophos

Mobile wird der Benutzer dem Gerät zugewiesen.

Wenn dies deselektiert ist, registriert sich das Gerät bei Sophos Mobile ohne

Benutzerzuweisung.

4. Klicken Sie auf Speichern , um die Registrierungs-Einstellungen zu speichern.

Um die Konfiguration von Knox Mobile Enrollment abzuschließen, erstellen Sie in der Samsung-

Konsole für Knox Mobile Enrollment ein MDM-Profil für Sophos Mobile.

13.7.2 KME-Profil erstellen

Ein Profil für Knox Mobile Enrollment (KME-Profil) enthält Informationen für Geräte zur Registrierung bei Ihrem Sophos Mobile Server. Sie erstellen dieses Profil in der Samsung-Konsole für Knox Mobile

Enrollment.

Diese Prozedur setzt voraus, dass Sie Samsung Knox Mobile Enrollment in Sophos Mobile Admin eingerichtet haben. Siehe

Knox Mobile Enrollment einrichten

(Seite 81).

1. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter EINSTELLUNGEN auf Einrichtung

> Systemeinstellungen und öffnen Sie anschließend die Registerkarte Samsung KME .

2. Öffnen Sie das Samsung-Knox-Portal in einem neuen Browserfenster und navigieren Sie zur Knox-

Mobile-Enrollment-Konsole.

3. Erstellen Sie in der Konsole für Knox Mobile Enrollment ein MDM-Profil für Sophos Mobile.

Wenn Sie sowohl die Android-Standardregistrierung als auch die Android-Enterprise-Registrierung

(Modus „Gerätebesitzer“) verwenden wollen, erstellen Sie zwei Profile und aktivieren Sie für eines der Profile die Gerätebesitzer-Option.

4. Verwenden Sie die in Sophos Mobile Admin unter MDM-Profilkonfiguration angezeigten Werte, um das Profil zu konfigurieren.

Sophos Mobile on Premise

Klicken Sie in Sophos Mobile Admin neben einem Feld auf Kopieren , um den Wert in die

Zwischenablage zu kopieren.

Sie können auch noch weitere Profileinstellungen konfigurieren. Siehe hierzu die Samsung-

Benutzerhilfe zu Knox Mobile Enrollment.

5. Speichern Sie das Profil.

Zugehörige Informationen

Samsung-Konsole für Knox Mobile Enrollment (externer Link)

Samsung-Benutzerhilfe zu Knox Mobile Enrollment (englischsprachig) (externer Link)

13.7.3 KME-Geräte bereitstellen

Damit sich ein Knox-Mobile-Enrollment-fähiges Gerät (kurz „KME-Gerät“) bei Ihrem Sophos Mobile

Server registriert, weisen Sie ihm das Profil für Sophos Mobile zu.

1. Weisen Sie in der Knox-Mobile-Enrollment-Konsole den Geräten das Profil für Sophos Mobile zu.

Falls die Geräte nicht in der Knox-Mobile-Enrollment-Konsole angezeigt werden, wenden Sie sich an Ihren Händler.

2. Verteilen Sie die Geräte an Ihre Benutzer.

Wenn Sie in den KME-Registrierungseinstellungen in Sophos Mobile Admin die Option Benutzer-

Authentifizierung ausgewählt haben, müssen die Benutzer ein Konto in Sophos Mobile haben.

Wenn ein Benutzer das Gerät erstmalig einschaltet, startet ein Einrichtungsassistent für Knox Mobile

Enrollment. Nachdem sich das Gerät mit dem Internet verbunden hat, registriert es sich bei Sophos

Mobile.

Hinweis

Je nachdem, welchen Registrierungsmodus Sie in der Knox-Mobile-Enrollment-Konsole im Profil für Sophos Mobile konfiguriert haben, registriert sich das Gerät entweder im Android-Enterprise-

Modus „Gerätebesitzer“ oder als normales Android-Gerät.

13.7.4 Knox Mobile Enrollment deaktivieren

So deaktivieren Sie die automatische Registrierung von Knox-Mobile-Enrollment-fähigen Geräten

(kurz „KME-Geräten“) bei Sophos Mobile:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Samsung KME .

2. Klicken Sie auf KME-Konfiguration widerrufen .

KME-Geräte verbinden sich danach weiterhin mit Ihrem Sophos Mobile Server, um sich zu registrieren. Der Server lehnt diese Anfrage jedoch ab.

Um die Verbindung zwischen Sophos Mobile und Knox Mobile Enrollment vollständig zu trennen, löschen Sie in der Samsung-Konsole für Knox Mobile Enrollment das Profil für Sophos Mobile.

Sophos Mobile on Premise

13.8 Apple DEP

Mit dem Apple-Programm zur Geräteregistrierung (Device Enrollment Program, kurz DEP) können

Sie iPhones, iPads und Macs in größeren Mengen kaufen und in Ihrem Unternehmen bereitstellen.

DEP vereinfacht mit folgenden Funktionen die Bereitstellung von Mobilgeräten:

• Konfigurierbarer Aktivierungsprozess.

• Drahtlose Aktivierung des Betreuungsmodus (Supervision mode).

• Over-The-Air-Konfiguration.

• Automatische Registrierung von iOS-Geräten bei Sophos Mobile während der Geräteaktivierung.

Tipp

Detaillierte Informationen zu DEP finden Sie auf der Apple-Website unter http://www.apple.com/ de/business/programs/ .

Vorbereitungsschritte

Um die Verwaltung von DEP-Geräten mit Sophos Mobile einzurichten, führen Sie einmalig die folgenden Schritte aus:

1. Erstellen Sie im Apple-DEP-Web-Portal einen virtuellen MDM-Server und verknüpfen Sie diesen

mit Sophos Mobile. Siehe Apple DEP einrichten (Seite 84).

2. Erstellen Sie in Sophos Mobile ein oder mehrere DEP-Profile, mit denen verschiedene,

DEP-spezifische Geräteeigenschaften konfiguriert werden. Mit einem DEP-Profil können Sie außerdem den iOS-Einrichtungsassistenten anpassen, der nach dem ersten Einschalten eines

Gerätes startet. Siehe DEP-Profil erstellen (Seite 85).

Bereitstellungsschritte

Der typische Ablauf zur Bereitstellung gekaufter DEP-Geräte beinhaltet die folgenden Schritte:

1. Kaufen Sie die Geräte von Apple oder einem zugelassenen DEP-Händler.

2. Weisen Sie im Apple-DEP-Portal die Geräte dem MDM-Server von Sophos Mobile zu.

Informationen zu diesem und dem folgenden Schritt finden Sie in DEP-Geräte bereitstellen

(Seite

86).

3. Weisen Sie in Sophos Mobile Admin den Geräten ein DEP-Profil zu.

4. Verteilen Sie die Geräte an Ihre Benutzer.

5. Wenn die Benutzer die Geräte erstmalig einschalten, startet der angepasste

Einrichtungsassistent. Während der Einrichtung werden die Geräte bei Sophos Mobile registriert und der Benutzer wird dem Gerät zugewiesen.

6. Bei Bedarf können Sie zusätzliche Auftragspakete auf die Geräte übertragen, um die

Provisionierung zu vervollständigen.

Sophos Mobile on Premise

13.8.1 Apple DEP einrichten

Voraussetzung: Sie haben sich für das Apple-Programm zur Geräteregistrierung (DEP) registriert und ein Administratorkonto für das Apple-DEP-Webportal eingerichtet.

Hinweis

Detaillierte Informationen zur DEP-Registrierung finden Sie auf der Apple-DEP-Website unter http://www.apple.com/de/business/programs/ oder in der Hilfe zu den Apple

Bereitstellungsprogrammen .

Tipp

Wenn Sie sich bereits für das Apple-Programm für Volumenlizenzen (VPP) registriert haben, können Sie dieselbe Apple-ID auch für DEP verwenden.

Um Apple DEP mit Sophos Mobile zu verwenden, müssen Sie im Apple-DEP-Webportal einen virtuellen MDM-Server erstellen und mit dem Sophos Mobile Server verknüpfen. Dies beinhaltet einen Verifizierungsprozess, um eine sichere Verbindung zwischen Sophos Mobile und dem Apple-

DEP-Webservice herzustellen.

So richten Sie einen virtuellen MDM-Server für Sophos Mobile ein:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Apple DEP .

2. Klicken Sie auf Öffentlichen Schlüssel herunterladen , um den öffentlichen Schlüssel von

Sophos Mobile für Apple DEP herunterzuladen.

Die Datei wird abhängig von den Download-Einstellungen Ihres Webbrowsers auf Ihrem Computer gespeichert.

3. Rufen Sie in einem Browser-Fenster das Apple-DEP-Webportal unter https:// deploy.apple.com

auf.

Sie können hierzu auf den Link Apple-DEP-Webportal in Sophos Mobile klicken.

4. Melden Sie sich am Apple-DEP-Webportal mit der Apple-ID Ihres Unternehmens an.

5. Navigieren Sie im Portal zu Device Enrollment Program > Server verwalten und klicken Sie anschließend auf MDM-Server hinzufügen .

6. Geben Sie einen Namen für den MDM-Server ein, zum Beispiel Sophos Mobile .

7. Laden Sie im nächsten Schritt die Datei mit dem öffentlichen Schlüssel hoch, die Sie zuvor von

Sophos Mobile heruntergeladen haben.

8. Laden Sie im nächsten Schritt das Server-Token herunter.

Anschließend können Sie sich vom DEP-Portal abmelden.

9. Klicken Sie in Sophos Mobile auf der Registerkarte Apple DEP auf Datei hochladen und wählen

Sie das Server-Token aus, das Sie vom Apple-DEP-Portal heruntergeladen haben.

Die Details Ihres virtuellen MDM-Servers werden angezeigt.

10. Klicken Sie auf Speichern , um Ihre Änderungen zu speichern.

Das DEP-Server-Token ist ein Jahr gültig.

Wichtig

Wenn Sie im Apple-DEP-Webportal ein neues Server-Token erstellen, müssen Sie dieselbe

Apple-ID verwenden, die Sie für die Erstausstellung des Tokens verwendet haben.

Sophos Mobile on Premise

13.8.2 Apple DEP zurücksetzen

Setzen Sie die in Sophos Mobile gespeicherten Informationen für Apple DEP zurück, um Ihr

Apple-DEP-Token aus Sophos Mobile zu entfernen, zum Beispiel, wenn Sie ein falsches Token hochgeladen haben.

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Apple DEP .

2. Klicken Sie auf Apple DEP zurücksetzen .

Das Apple-DEP-Token, alle Apple-DEP-Geräte und alle Apple-DEP-Profile werden aus Sophos

Mobile gelöscht.

Um Ihre Apple-DEP-Geräte nicht mehr mit Sophos Mobile zu verwalten, entfernen Sie Apple-DEP-

Webportal Sophos Mobile als MDM-Server.

13.8.3 DEP-Profil erstellen

Bevor Sie DEP-Profile erstellen können, müssen Sie das Apple-Programm zur Geräteregistrierung

(DEP) einrichten. Siehe Apple DEP einrichten (Seite 84).

Ein DEP-Profil wird einem DEP-Gerät zugewiesen und vom Apple-Server während der

Geräteaktivierung ausgewertet. Es enthält folgende Informationen:

• Den MDM-Server (also der Sophos Mobile Server), mit dem das Gerät verwaltet wird.

• Konfigurationseinstellungen für die Registrierung bei Sophos Mobile.

• Eine Liste der Host-Geräte, mit denen das Gerät gekoppelt werden darf.

• Benutzerdefinierte Einstellungen für den Einrichtungsassistenten, der nach dem ersten Einschalten eines Gerätes startet.

Bei Bedarf können Sie mehrere DEP-Profile erstellen, um verschiedene Einrichtungs- und

Konfigurations-Einstellungen für Ihre DEP-Geräte zu verwenden.

So erstellen Sie ein DEP-Profil:

1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen

Sie anschließend die Registerkarte Apple-DEP-Profile .

2. Klicken Sie auf Hinzufügen .

3. Geben Sie im Dialog DEP-Profil bearbeiten die erforderlichen Einstellungen ein.

4. Um das Profil allen neuen DEP-Geräten zuzuweisen, denen kein Profil manuell zugewiesen wurde, wählen Sie es in der Liste Standard-DEP-Profil für neue Geräte aus.

Wenn Sie Keine auswählen, müssen Sie neuen DEP-Geräten ein DEP-Profil manuell zuweisen wie in

DEP-Geräte bereitstellen

(Seite 86) beschrieben. Andernfalls werden DEP-Geräte bei der

Aktivierung nicht bei Sophos Mobile registriert.

5. Klicken Sie auf Speichern , um Ihre Änderungen zu speichern.

Zugehörige Referenzinformationen

Einstellungen für DEP-Profile (iOS) (Seite 89)

Einstellungen für DEP-Profile (macOS) (Seite 92)

Sophos Mobile on Premise

13.8.4 DEP-Geräte bereitstellen

Führen Sie diese Prozedur aus, um Ihre Geräte mit Apple DEP zu verbinden und bei Sophos Mobile zu registrieren.

Sie können Geräte verwalten, die Sie entweder bei Apple oder bei einem zugelassenen DEP-

Händler erworben haben. Bevor Sie Geräte mit Apple DEP verbinden können, müssen Sie den

Händler am Apple-DEP-Portal einrichten.

Hinweis

Normalerweise führen Sie diese Prozedur aus, bevor Sie die DEP-Geräte an Ihre Benutzer

übergeben und diese die Geräte aktivieren und verwenden.

Hinweis

Detaillierte Informationen zum Apple-DEP-Portal finden Sie in der Hilfe zu den Apple

Bereitstellungsprogrammen .

So weisen Sie Ihre Geräte Sophos Mobile zu und weisen ihnen ein DEP-Profil zu:

1. Geben Sie in Ihrem Webbrowser die URL https://deploy.apple.com

ein, um das Webportal für die Apple-Bereitstellungsprogramme zu öffnen, und melden Sie sich anschließend mit der

Apple-ID Ihres Unternehmens an.

2. Navigieren Sie im Portal zu Device Enrollment Program > Geräte verwalten .

3. Wählen Sie im Punkt Geräte auswählen nach Ihre neuen Geräte über die Seriennummer oder die

Bestellnummer aus, oder laden Sie eine CSV-Datei mit den Seriennummern hoch.

Hinweis

Falls Sie die Geräte bei einem Händler erworben haben, sind diese innerhalb von 24 Stunden, nachdem der Händler Ihre Bestellung an Apple übermittelt hat, im DEP-Portal verfügbar.

4. Wählen Sie im Punkt Aktion auswählen die Option Server zuweisen aus und wählen Sie anschließend den virtuellen MDM-Server aus, den Sie für Sophos Mobile eingerichtet haben, wie in

Apple DEP einrichten (Seite 84) beschrieben.

5. Klicken Sie auf OK , um die Zuweisung auszuführen.

Anschließend können Sie sich vom DEP-Portal abmelden.

Wenn Sie ein Standard-DEP-Profil eingerichtet haben wie in DEP-Profil erstellen (Seite 85)

beschrieben, können Sie die weiteren Schritte überspringen.

6. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines

Administrators für den Kunden, für den Sie DEP-Geräte verwalten wollen.

7. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple

DEP .

Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-

DEP-Webportal zugewiesen haben.

8. Falls Geräte nicht angezeigt werden, die Sie Sophos Mobile erst vor Kurzem zugewiesen haben, klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren .

Sophos Mobile on Premise

Hinweis

Um die Belastung des Apple-DEP-Servers zu begrenzen, müssen Sie nach jeder

Synchronisierung eine kurze Zeit warten, bevor Sie erneut synchronisieren können.

9. Wählen Sie die neuen Geräte aus und klicken Sie anschließend auf Aktionen > Profil zuweisen .

10. Wählen Sie im Bestätigungsdialog das DEP-Profil aus, das Sie den Geräten zuweisen wollen, und klicken Sie anschließend auf OK .

Wenn die erworbenen Geräte in Ihrem Unternehmen eintreffen, können Sie sie an Ihre Benutzer

übergeben. Es ist keine weitere Konfiguration erforderlich. Wenn die Benutzer die Geräte erstmalig einschalten, werden die iOS-Einrichtung und die Registrierung bei Sophos Mobile so durchgeführt, wie Sie es im zugewiesenen DEP-Profil konfiguriert haben.

Falls Sie im Profil die Option Benutzer zuweisen

ausgewählt haben wie in DEP-Profil erstellen

(Seite 85) beschrieben, werden die Benutzer automatisch ihren Geräten zugewiesen.

13.8.5 DEP-Geräte verwalten

DEP-Geräte werden in Sophos Mobile genauso wie Nicht-DEP-Geräte verwaltet. Siehe

Geräte verwalten (Seite 62).

DEP-Geräten können Sie zusätzlich ein DEP-Profil zuweisen. Das DEP-Profil wird vom Apple-

Server während der Geräteaktivierung ausgewertet. Siehe

Gerät muss sich im Status verwaltet befinden. Siehe VPP-

(Seite 85).

Hinweis

Das in Sophos Mobile angezeigte DEP-Profil ist unter Umständen nicht das Profil, das tatsächlich auf dem Gerät verwendet wird. Wenn Sie nach der Geräteaktivierung die Zuweisung ändern, wird solange das ursprünglich zugewiesene Profil verwendet, bis das Gerät zurückgesetzt und erneut aktiviert wird.

So ändern Sie das DEP-Profil eines Gerätes:

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple

DEP .

Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-

DEP-Webportal zugewiesen haben.

2. Klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren , um die DEP-Informationen zu aktualisieren.

3. Wählen Sie die Geräte aus, denen Sie ein anderes DEP-Profil zuweisen wollen.

4. Klicken Sie auf Aktionen und anschließend auf die gewünschte Aktion:

• Profil zuweisen : Wählen Sie das DEP-Profil aus, das den Geräten bei der nächsten

Aktivierung zugewiesen wird.

• Profilzuweisung aufheben : Bei der nächsten Geräte-Aktivierung kein DEP-Profil zuweisen.

Die neue Profilzuweisung wird auf der Seite Apple-DEP-Geräte angezeigt. Die Änderungen werden beim nächsten Zurücksetzen und Aktivieren der Geräte angewendet.

Sophos Mobile on Premise

13.8.6 DEP-Gerät manuell hinzufügen

Sie können ein Gerät manuell für das Apple-Programm zur Geräteregistrierung (DEP) registrieren.

Dies ist zum Beispiel nützlich, wenn Sie das Gerät nicht direkt von Apple oder einem zugelassenen

DEP-Händler erworben haben. Das Gerät muss Android 11 oder neuer verwenden.

Wichtig

Das Gerät wird auf den Werkszustand zurückgesetzt.

1. Verbinden Sie das Gerät per USB mit einem Mac, auf dem Apple Configurator 2.5 oder neuer installiert ist.

2. Gehen Sie in Apple Configurator zu Datei > Neues Profil > WLAN , um ein Netzwerkprofil für Ihre

WLAN-Verbindung zu erstellen.

Das Gerät benötigt dieses Profil, um sich mit dem Server für die Apple-DEP-Registrierung zu verbinden.

3. Gehen Sie zu Einstellungen > Firmen und klicken Sie auf die Schaltfläche Plus , um einen Eintrag für Ihre Organisation zu erstellen.

Verwenden Sie die Apple-ID und das Kennwort Ihres Apple-DEP-Kontos. Wählen Sie auch aus, eine neue Betreuungsidentität zu erstellen.

4. Gehen Sie zu Einstellungen > Server und klicken Sie auf die Schaltfläche Plus , um einen

Servereintrag zu erstellen.

Hinweis

Im Feld Registrierungs-UTR können Sie einen beliebigen Wert eingeben. Apple Configurator verwendet diesen Wert nicht für die Registrierung von DEP-Geräten.

5. Wählen Sie das Gerät aus und klicken Sie anschließend auf Vorbereiten .

6. Wählen Sie Manuelle Konfiguration und folgen Sie den Schritten im Assistenten, um das Gerät vorzubereiten.

• Wählen Sie den Server und das Netzwerkprofil aus, die sie zuvor erstellt haben.

• Überspringen Sie die Konfiguration des iOS-Einrichtungsassistenten. Sie konfigurieren dies im

DEP-Profil von Sophos Mobile.

7. Warten Sie, bis die Vorbereitungsprozedur beendet ist. Schalten Sie das Gerät während dieses

Vorgangs nicht aus.

Nachdem das Gerät registriert wurde, können Sie es im Apple-DEP-Portal über die Seriennummer auswählen.

Bevor Sie das Gerät an einen Benutzer übergeben, registrieren Sie es bei Sophos Mobile wie in

DEP-

Geräte bereitstellen

(Seite 86) beschrieben.

Zugehörige Informationen

Apple Configurator Hilfe - Manuelles Vorbereiten von Geräten (externer Link)

Sophos Mobile on Premise

13.8.7 Einstellungen für DEP-Profile (iOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Beschreibung

Gerätegruppe

Auftragspaket

Beschreibung

Der Name des DEP-Profils.

Eine optionale Beschreibung des DEP-Profils.

Eine Gerätegruppe, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.

Informationen zu Gerätegruppen finden Sie in

Gerätegruppen

(Seite 97).

Hinweis

Wir empfehlen, zur Vereinfachung der Geräteverwaltung eine eigene Gerätegruppe für DEP-Geräte zu verwenden.

Ein Auftragspaket, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.

Die Liste enthält alle iOS-Auftragspakete, die keinen

Registrierungsauftrag enthalten.

Informationen zu Auftragspaketen finden Sie in

Auftragspakete

(Seite 284).

Registrierung

Einstellung/Feld

Gerät betreuen

Benutzer kann MDM-Profil entfernen

Beschreibung

Das Gerät ist betreut (Supervision mode).

Der Benutzer kann das Sophos Mobile Registrierungsprofil

über die iOS-Benutzeroberfläche entfernen.

Diese Option kann nur für betreute Geräte deaktiviert werden.

Sophos Mobile on Premise

Einstellung/Feld

SMC-App installieren

Beschreibung

Die App Sophos Mobile Control wird auf dem Gerät installiert.

Wenn Sie diese Option aktivieren, müssen Sie außerdem auf der Registerkarte iOS-Einrichtung die

Option Apple-ID deaktivieren. Dies stellt sicher, dass

Sophos Mobile die App aus dem App Store installieren kann.

Hinweis

Alternativ, falls Sie sich für das Apple-Programm für

Volumenlizenzen (VPP) registriert haben, kann die App

Sophos Mobile als VPP-App installiert werden, auch wenn das Gerät nicht mit einer Apple-ID verknüpft ist. Das

Apps für iOS automatisch zuweisen (Seite 313).

Benutzer kann Zuweisung des MDM-Profils

überspringen

Gerätebenutzer zuweisen

Der Benutzer kann den Einrichtungsschritt überspringen, in dem das Sophos Mobile Registrierungsprofil angewendet wird.

Während der Registrierung bei Sophos Mobile wird der

Benutzer nach seinen Anmeldeinformationen für das

Self Service Portal gefragt und anschließend dem Gerät zugewiesen.

Mit dieser Option können Sie eine automatische

Zuweisung des Benutzers zum Gerät vornehmen.

iOS-Einrichtung

Auf dieser Registerkarte können Sie Schritte des Einrichtungsassistenten deaktivieren, der nach dem ersten Einschalten eines Gerätes startet.

Hinweis

Diese Einstellungen wirken sich nur auf die iOS-Einrichtung aus. Wenn Sie einen

Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine

Konfiguration Einschränkungen

. Siehe Konfiguration „Einschränkungen“ (iOS-Geräteprofil)

(Seite

177).

Einstellung/Feld

Aus Backup wiederherstellen

„Daten von Android übertragen“ deaktivieren

Diagnose

Standortdienste

Beschreibung

Das Wiederherstellen von Daten aus einem iCloudoder iTunes-Backup oder von einem Android-Gerät wird

übersprungen.

Die Option zum Übertragen von Daten von einem Android-

Gerät ist nicht verfügbar.

Die Konfiguration „Diagnostics“ wird übersprungen. Es werden keine Diagnose- und Nutzungsdaten an Apple gesendet.

Die Konfiguration von Ortungsdiensten wird übersprungen.

Ortungsdienste sind ausgeschaltet.

Einstellung/Feld

Siri

Anzeigezoom

Tastaturlayout

Apple-ID

Apple Pay

Touch-ID

Kennung

Geschäftsbedingungen

Watch-Migration

Home-Button-Feedback

Sophos Mobile on Premise

Beschreibung

Die Konfiguration von Siri wird übersprungen. Siri ist ausgeschaltet.

Die Konfiguration „Anzeigezoom“ zum Einstellen einer vergrößerten Anzeige mit größeren Symbolen, Beschriftungen und Schaltflächen wird übersprungen.

Die Konfiguration des Tastaturlayouts wird übersprungen.

Die Konfiguration einer Apple-ID wird übersprungen. Der

Benutzer kann sich nicht mit seiner Apple-ID an Apple-

Diensten anmelden.

Die Konfiguration „Apple Pay“ wird übersprungen. Der

Benutzer kann keine Kreditkarten- oder Guthabenkarten-

Informationen für das Bezahlen mit Apple Pay in Stores oder

Apps hinzufügen.

Die Konfiguration „Touch ID“ wird übersprungen. Der Benutzer kann keinen Fingerabdruck als Passcode-Ersatz einrichten.

Die Erstellung eines Passcodes zum Entsperren des Gerätes wird übersprungen.

Die Anzeige der Seite Nutzungsbedingungen wird

übersprungen.

Das Wiederherstellen von Apple-Watch-Daten aus einem iCloud- oder iTunes-Backup wird übersprungen.

Für iPhone 7 und später: Die Konfiguration des Home-Button-

Feedback, d.h. der Berührungsrückmeldung beim Klicken des virtuellen Home-Buttons, wird übersprungen.

Support-Informationen

Einstellung/Feld

Abteilung

Telefonnummer

Beschreibung

Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.

Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der

Geräteeinrichtung auf Über Konfiguration klickt.

Die Support-Telefonnummer für Ihr Unternehmen.

Das Feld ist mit der Telefonnummer aus den

Kontaktdetails für technische Unterstützung

vorausgefüllt. Siehe Support-Informationen konfigurieren (Seite 21).

Hinweis

Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Sophos Mobile on Premise

Einstellung/Feld

E-Mail

Beschreibung

Die Support-E-Mail-Adresse für Ihr Unternehmen.

Das Feld ist mit der E-Mail-Adresse aus den

Kontaktdetails für technische Unterstützung

vorausgefüllt. Siehe Support-Informationen konfigurieren (Seite 21).

Hinweis

Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

USB-Kopplung

Auf der Registerkarte USB-Kopplung legen Sie Computer fest, mit denen sich das Gerät per USB koppeln darf. Dies kann verwendet werden, um das Gerät mit iTunes zu synchronisieren oder es mit

Apple Configurator zu verwalten.

Einstellung/Feld

USB-Kopplung mit beliebigen Host-

Computern erlauben

Beschreibung

Um USB-Verbindungen zu verbieten oder auf bestimmte

Computer zu beschränken, deaktivieren Sie dieses

Kontrollkästchen und laden Sie anschließend für jeden

Computer, für den Sie die USB-Kopplung erlauben wollen, eine

Zertifikatdatei hoch.

Zugehörige Aufgaben

Konfiguration „Einschränkungen“ (macOS-

(Seite 85)

13.8.8 Einstellungen für DEP-Profile (macOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Beschreibung

Gerätegruppe

Beschreibung

Der Name des DEP-Profils.

Eine optionale Beschreibung des DEP-Profils.

Eine Gerätegruppe, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.

Informationen zu Gerätegruppen finden Sie in

Gerätegruppen

(Seite 97).

Hinweis

Wir empfehlen, zur Vereinfachung der Geräteverwaltung eine eigene Gerätegruppe für DEP-Geräte zu verwenden.

Einstellung/Feld

Auftragspaket

Sophos Mobile on Premise

Beschreibung

Ein Auftragspaket, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.

Die Liste enthält alle iOS-Auftragspakete, die keinen

Registrierungsauftrag enthalten.

Informationen zu Auftragspaketen finden Sie in

Auftragspakete

(Seite 284).

Registrierung

Einstellung/Feld

Benutzer kann Zuweisung des MDM-Profils

überspringen

Gerätebenutzer zuweisen

Beschreibung

Der Benutzer kann den Einrichtungsschritt überspringen, in dem das Sophos Mobile Registrierungsprofil angewendet wird.

Während der Registrierung bei Sophos Mobile wird der

Benutzer nach seinen Anmeldeinformationen für das

Self Service Portal gefragt und anschließend dem Gerät zugewiesen.

Mit dieser Option können Sie eine automatische

Zuweisung des Benutzers zum Gerät vornehmen.

macOS-Einrichtung

Auf dieser Registerkarte können Sie Schritte des Einrichtungsassistenten deaktivieren, der nach dem ersten Einschalten eines Gerätes startet.

Hinweis

Diese Einstellungen wirken sich nur auf die macOS-Einrichtung aus. Wenn Sie einen

Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine Konfiguration Einschränkungen . Siehe

Geräterichtlinie) (Seite 223) und

Konfiguration „Einschränkungen“ (macOS-Benutzerrichtlinie)

(Seite 240).

Einstellung/Feld

Aus Backup wiederherstellen

Apple-ID iCloud-Analyse

Standortdienste

Beschreibung

Das Wiederherstellen von Daten aus einem iCloudoder iTunes-Backup oder von einem Android-Gerät wird

übersprungen.

Die Konfiguration einer Apple-ID wird übersprungen. Der

Benutzer kann sich nicht mit seiner Apple-ID an Apple-

Diensten anmelden.

Die Konfiguration der iCloud-Analyse wird übersprungen.

Es werden keine Diagnose- und Nutzungsdaten des iCloud-

Kontos an Apple gesendet.

Die Konfiguration von Ortungsdiensten wird übersprungen.

Ortungsdienste sind ausgeschaltet.

Sophos Mobile on Premise

Einstellung/Feld

Geschäftsbedingungen

Registrierung

Diagnose

FileVault-Festplattenverschlüsselung

Siri

Beschreibung

Die Anzeige der Seite Nutzungsbedingungen wird

übersprungen.

Die Erstellung eines Computerkontos wird übersprungen.

Die Konfiguration „Diagnostics“ wird übersprungen. Es werden keine Diagnose- und Nutzungsdaten an Apple gesendet.

Die Konfiguration der FileVault-Festplattenverschlüsselung wird übersprungen. FileVault ist ausgeschaltet.

Die Konfiguration von Siri wird übersprungen. Siri ist ausgeschaltet.

Support-Informationen

Einstellung/Feld

Abteilung

Telefonnummer

E-Mail

Beschreibung

Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.

Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der

Geräteeinrichtung auf Über Konfiguration klickt.

Die Support-Telefonnummer für Ihr Unternehmen.

Das Feld ist mit der Telefonnummer aus den

Kontaktdetails für technische Unterstützung

vorausgefüllt. Siehe Support-Informationen konfigurieren (Seite 21).

Hinweis

Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Die Support-E-Mail-Adresse für Ihr Unternehmen.

Das Feld ist mit der E-Mail-Adresse aus den

Kontaktdetails für technische Unterstützung

vorausgefüllt. Siehe Support-Informationen konfigurieren (Seite 21).

Hinweis

Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.

Zugehörige Aufgaben

Administratoren erstellen

(Seite 85)

Sophos Mobile on Premise

13.9 Integration von Duo Security

Sie können Sophos Mobile mit der Authentisierungssoftware Duo Security verbinden. Dies ermöglicht Duo Security, Geräte anhand ihres Verwaltungsstatus in Sophos Mobile als vertrauensvoll zu identifizieren.

Duo Security benutzt für Android und iOS unterschiedliche Verfahren, um den Vertrauensstatus eines Gerätes zu bestimmen:

• Für Android-Geräte wird der Vertrauensstatus über die Webservice-Schnittstelle von Sophos

Mobile ermittelt.

• Für iOS-Geräte wird der Vertrauensstatus durch das Vorhandensein eines bestimmten

Zertifikats auf dem Gerät festgelegt.

Hinweis

Weitere Informationen zu vertrauenswürdigen Geräten finden Sie in der Dokumentation zu Duo

Security.

13.9.1 Die Integration von Duo Security für Android-Geräte konfigurieren

Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer Android-Geräte bestimmen kann.

1. Erstellen Sie in Sophos Mobile einen Administrator mit der Rolle Duo API .

2. Geben Sie im Duo Admin Panel den Namen und das Kennwort dieses Administrators ein.

Weitere Informationen hierzu finden Sie in der Dokumentation zu Duo Security.

Um den Vertrauensstatus eines Android-Gerätes zu bestimmen, sendet die Android-App Duo Mobile die Geräte-ID an den Duo-Security-Server. Der Duo-Security-Server ruft dann den Gerätestatus über die Webservice-Schnittstelle von Sophos Mobile ab und klassifiziert das Gerät als vertrauenswürdig.

Zugehörige Konzepte

Benutzerrollen

(Seite 4)

Zugehörige Aufgaben

(Seite 354)

13.9.2 Die Integration von Duo Security für iOS-Geräte konfigurieren

Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer iOS-Geräte bestimmen kann.

1. Navigieren Sie über die Menüleiste zu Einrichtung > Systemeinstellungen > Duo Security und konfigurieren Sie anschließend die Einstellungen für den SCEP-CA-Server mit den von Duo

Security bereitgestellten Werten.

2. Fügen Sie dem iOS-Geräteprofil, welches Sie für Ihre iOS-Geräte verwenden, eine Konfiguration

Duo-Gerätezertifikat hinzu.

Sophos Mobile on Premise

3. Aktualisieren Sie das iOS-Geräteprofil auf den Geräten.

Hierdurch wird ein Duo-Gerätezertifikat auf den Geräten installiert. Die iOS-App Duo Mobile erkennt das Zertifikat und klassifiziert das Gerät als vertrauenswürdig.

Zugehörige Aufgaben

Profile auf Geräten installieren

(Seite 104)

Zugehörige Referenzinformationen

Duo-Gerätezertifikat (iOS-Geräteprofil)

(Seite 209)

Sophos Mobile on Premise

14 Gerätegruppen

Gerätegruppen dienen zur Kategorisierung von Geräten. Da sich Aufgaben auch für Gerätegruppen statt für Einzelgeräte ausführen lassen, können Sie Geräte so effizient verwalten.

Ein Gerät gehört jeweils immer exakt zu einer Gerätegruppe. Sie weisen ein Gerät einer

Gerätegruppe zu, wenn Sie es zu Sophos Mobile hinzufügen.

Tipp

Gruppieren Sie nur Geräte mit demselben Betriebssystem. Gruppen lassen sich dadurch leichter für Installationen und andere betriebssystemspezifische Aufgaben verwenden.

14.1 Gerätegruppen erstellen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen und anschließend auf

Gerätegruppe erstellen .

2. Geben Sie auf der Seite Gerätegruppe bearbeiten einen Namen und eine Beschreibung für die neue Gerätegruppe ein.

3. Wählen Sie unter Compliance-Richtlinien die Compliance-Richtlinien aus, die auf Firmen- und

Privatgeräte angewendet werden.

4. Klicken Sie auf Speichern .

Hinweis

Die Einstellungen für die Gerätegruppen enthalten die Option iOS-Auto-Registrierung aktivieren . Mit dieser Option können Sie iOS-Geräte mit dem Apple Configurator bereitstellen.

Siehe iOS-Geräte automatisch registrieren

(Seite 56).

Die neue Gerätegruppe wird angelegt und auf der Seite Gerätegruppen angezeigt.

14.2 Gerätegruppen löschen

1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen .

2. Klicken Sie auf der Seite Gerätegruppen auf das blaue Dreieck neben der zu löschenden

Gerätegruppe, und anschließend auf Löschen .

3. Wählen Sie im Bestätigungsdialog eine der verbleibenden Gerätegruppen aus, der die Geräte der aktuellen Gerätegruppe zugewiesen werden.

Diese Auswahl ist nur verfügbar, wenn der aktuellen Gerätegruppe Geräte zugewiesen sind.

4. Klicken Sie auf Ja , um die Gerätegruppe zu löschen.

Hinweis

Wenn nur eine Gerätegruppe vorhanden ist und dieser Geräte zugewiesen sind, können Sie die

Gerätegruppe nicht löschen.

Sophos Mobile on Premise

15 Profile und Richtlinien

Profile

Profile sind Einstellungen, die Sie festlegen und anschließend auf einem Gerät oder einer

Gerätegruppe installieren.

Für die Installation eines Profils auf einem oder mehreren Geräten erstellt Sophos Mobile einen

Auftrag und führt ihn zu einem festgelegten Zeitpunkt aus. Wenn Sie ein Profil aktualisieren, müssen

Sie es erneut installieren, damit die geänderten Einstellungen auf dem Gerät wirksam werden.

Es gibt folgende Arten von Profilen:

Konfigurationen für Android-Geräteprofile

(Seite 106)

Konfigurationen für Knox-Container-Profile (Seite 169)

Konfigurationen für iOS-Geräteprofile (Seite 175)

Richtlinien

Richtlinien sind Einstellungen, die Sie festlegen und anschließend einem Gerät oder einer

Gerätegruppe zuweisen. Sie können einem Gerät nicht zwei Richtlinien desselben Typs zuweisen.

Wenn Sie einem Gerät eine Richtlinie zuweisen, löst dies eine Synchronisierung aus und die

Einstellungen werden sofort angewendet. Zugewiesene Richtlinien werden jedes Mal aktualisiert, wenn sich ein Gerät mit dem Sophos Mobile Server verbindet. Daher muss eine Richtlinie nicht explizit erneut angewendet werden, wenn Sie diese aktualisieren.

Es gibt folgende Arten von Richtlinien:

Konfigurationen für Android-Enterprise-Geräterichtlinien

(Seite 140)

Konfigurationen für Richtlinien für Android Enterprise Arbeitsprofile (Seite 127)

Konfigurationen für Sophos-Container-Richtlinien (Android) (Seite 154)

Konfigurationen für Mobile-Security-Richtlinien (Android)

(Seite 165)

Konfigurationen für Android-Things-Richtlinien (Seite 175)

Konfigurationen für Sophos-Container-Richtlinien (iOS)

(Seite 209)

Konfigurationen für macOS-Geräterichtlinien

(Seite 221)

Konfigurationen für macOS-Benutzerrichtlinien

(Seite 239)

Konfigurationen für Windows-Mobile-Richtlinien

(Seite 258)

Konfigurationen für Windows-Richtlinien (Seite 269)

Konfigurationen für Android-Things-Richtlinien (Seite 175)

Konfigurationen für Windows-IoT-Richtlinien (Seite 281)

Sophos Mobile on Premise

15.1 Erste Schritte mit Geräterichtlinien

Der Assistent Richtlinien-Schnellstart hilft Ihnen, grundlegende Geräterichtlinien für alle Plattformen zu erstellen. Sie können die Richtlinien später erweitern.

Hinweis

Je nach Plattform konfigurieren Sie Geräteeinstellungen entweder mit einem Geräteprofil (Android, iOS) oder einer Geräterichtlinie (macOS, Windows, Windows Mobile). Der Einfachheit halber wird in diesem Abschnitt der Ausdruck Richtlinie sowohl für Profile als auch für Richtlinien verwendet.

Zu den Unterschieden zwischen Profilen und Richtlinien siehe

Profile und Richtlinien (Seite 98).

1. Klicken Sie auf dem Dashboard im Widget Aufgaben auf Assistent „Richtlinien-Schnellstart“ .

Tipp

Falls das Widget nicht angezeigt wird, klicken Sie auf Widget hinzufügen > Erste Schritte .

2. Wählen Sie auf der Seite Plattformen die Geräteplattformen aus, für die Sie eine Richtlinie erstellen wollen.

3. Konfigurieren Sie auf der Seite Richtlinien die folgenden Einstellungen.

a) Geben Sie einen Namen für die Richtlinie ein.

Für jede Plattform wird eine Richtlinie mit diesem Namen erstellt.

b) Wählen Sie die von der Richtlinie verwalteten Bereiche aus.

Wenn Sie ein Kontrollkästchen deselektieren, wird die zugehörige Seite im Assistenten

übersprungen. Sie können die übersprungenen (und weitere) Bereiche später konfigurieren.

4. Auf der Seite Kennwörter konfigurieren Sie Anforderung an das Gerätekennwort.

5. Auf der Seite Einschränkungen konfigurieren Sie Einschränkungen, die auf die Geräte angewendet werden, zum Beispiel das Abschalten der Kamera oder anderer Gerätefunktionen, die ein Sicherheitsrisiko darstellen könnten.

Wenn Sie Berufliche und private Daten auf dem Gerät trennen auswählen, werden

Einschränkungen aktiviert, die das Teilen beruflicher Daten mit privaten Apps und privater Daten mit beruflichen Apps verhindern - soweit dies vom Betriebssystem des Gerätes unterstützt wird.

6. Auf der Seite WLAN konfigurieren Sie die Verbindung zu Ihrem Unternehmens-WLAN.

Sie können die Einstellung später ändern, falls Ihr WLAN eine andere Sicherungsart als WPA/

WPA2 PSK verwendet.

7. Auf der Seite E-Mail konfigurieren Sie die Verbindung zu Ihrem Microsoft Exchange E-Mail-Server.

Die Platzhalter %_USERNAME_% und %_EMAILADDRESS_% werden durch den Namen und die E-

Mail-Adresse des dem Gerät zugewiesenen Benutzers ersetzt.

8. Klicken Sie auf Fertigstellen .

Für jede von Ihnen ausgewählte Plattform erstellt der Assistent eine Richtlinie.

Um die Richtlinie zu betrachten, klicken Sie in der Menüleiste auf Profile, Richtlinien und anschließend auf die Geräteplattform.

Um die verwalteten Bereiche zu ändern, klicken Sie auf den Namen der Richtlinie und anschließend auf Konfiguration hinzufügen .

Sophos Mobile on Premise

15.2 Profil oder Richtlinie erstellen

Profile und Richtlinien bestehen aus einer oder mehrerer Konfigurationen. Indem Sie Konfigurationen hinzufügen, definieren Sie den Aufgabenbereich des Profils bzw. der Richtlinie, d.h. die auf den

Geräten verwalteten Bereiche.

1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Profile, Richtlinien und anschließend auf die Plattform, für die Sie ein Profil oder eine Richtlinie erstellen wollen.

2. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen . Wenn es für eine Plattform mehrere Arten von Profilen oder Richtlinien gibt, öffnet Erstellen ein Menü, aus dem Sie die gewünschte Option auswählen können.

Eine Liste der verfügbaren Arten von Profilen und Richtlinien finden Sie in

Profile und Richtlinien

(Seite 98).

3. Geben Sie einen Namen und eine Beschreibung ein.

4. Für iOS- und macOS-Geräteprofile: Geben Sie den Namen Ihres Unternehmens ein.

5. Sophos-Container-Richtlinien enthalten immer eine Konfiguration Allgemein . Diese wird automatisch hinzugefügt. Klicken Sie auf der Seite Richtlinie bearbeiten auf Allgemein , um die

Konfiguration anzuzeigen und bei Bedarf anzupassen.

6. Richtlinien für Android Enterprise enthalten immer eine Konfiguration Einschränkungen . Diese wird automatisch der Richtlinie hinzugefügt. Klicken Sie auf der Seite Richtlinie bearbeiten auf

Einschränkungen , um die Konfiguration anzuzeigen und bei Bedarf anzupassen.

7. Um weitere Konfiguration zu dem Profil oder der Richtlinie hinzuzufügen, klicken Sie auf

Konfiguration hinzufügen und wählen Sie anschließend die gewünschte Konfiguration aus.

Hinweis

Einige Konfigurationen werden nur für bestimmte Betriebssystemversionen oder

Gerätemerkmale unterstützt. Solche Einschränkungen sind in Sophos Mobile Control durch blaue Label gekennzeichnet.

8. Nehmen Sie auf der Einstellungsseite der Konfiguration die gewünschten Einstellungen vor.

9. Optional: Wiederholen Sie die vorhergehenden Schritte, um weitere Konfigurationen hinzuzufügen.

10. Wenn Sie alle erforderlichen Konfigurationen hinzugefügt haben, klicken Sie auf Speichern .

Das Profil oder die Richtlinie wird erstellt. Informationen, wie Sie das Profil oder die Richtlinie auf

Geräte anwenden, finden Sie in

Profile auf Geräten installieren

(Seite 104) bzw. Richtlinien Geräten zuweisen

(Seite 105).

Tipp

Wenn Sie ein Profil aktualisieren, können Sie die Änderungen einfach auf alle Geräte anwenden, auf denen das Profil installiert ist: Klicken Sie auf der Seite Profile und Richtlinien auf das blaue

Dreieck neben dem Profil und anschließend auf Geräte aktualisieren .

Wenn Sie eine Richtlinie aktualisieren, werden die Änderungen automatisch auf alle Geräte angewendet, denen die Richtlinie zugewiesen ist.

Sophos Mobile on Premise

15.3 Mit Apple Configurator erstellte iOS-

Geräteprofile importieren

Sie können mit dem Apple Configurator erstellte Profile nach Sophos Mobile importieren.

Der Apple Configurator kann vom App Store heruntergeladen werden.

Hinweis

Geräteprofile werden auf dieselbe Weise importiert wie Provisionierungsprofile für selbstentwickelte iOS-Apps. Wenn Sie eine Profildatei hochladen, analysiert Sophos Mobile den

Inhalt und verarbeitet die beiden Profilarten entsprechend.

1. Nachdem Sie ein Profil im Apple Configurator erstellt haben, exportieren Sie es (unverschlüsselt und unsigniert) und speichern Sie es auf Ihrem Computer.

2. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > iOS .

3. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen > Profil importieren .

Die Seite Profil bearbeiten wird angezeigt.

4. Geben Sie in den jeweiligen Feldern einen Namen und eine Beschreibung für das neue Profil ein.

5. Klicken Sie auf Datei hochladen und navigieren Sie zu der Datei, die Sie auf Ihrem Computer gespeichert haben. Wählen Sie diese aus und klicken Sie auf Öffnen .

6. Klicken Sie auf Speichern .

Das Profil wird erstellt. Es kann auf Geräten installiert werden. Siehe Profile auf Geräten installieren

(Seite 104).

15.4 Provisionierungsprofile für iOS-Apps importieren

Wenn Sie eigene iOS-Apps entwickeln, erstellen Sie Provisionierungsprofile, um Ihre Apps

über eine IPA-Datei installieren zu können anstatt über den App Store. Sie können diese

Provisionierungsprofile auf den Sophos Mobile Server hochladen, um sie anschließend an Ihre

Geräte zu verteilen.

Details zu Provisionierungsprofilen finden Sie in der iOS Developer Library.

Hinweis

Sie importieren Provisionierungsprofile auf dieselbe Weise wie mit dem Apple Configurator erstellte Geräteprofile. Wenn Sie eine Profildatei hochladen, analysiert Sophos Mobile den Inhalt und verarbeitet die beiden Profilarten entsprechend.

1. Nachdem Sie in Ihrer iOS-Entwicklungsumgebung ein Provisionierungsprofil erstellt haben, speichern Sie dieses auf Ihrem Computer.

2. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > iOS .

3. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen > Profil importieren .

Die Seite Profil bearbeiten wird angezeigt.

4. Geben Sie in den jeweiligen Feldern einen Namen und eine Beschreibung für das neue Profil ein.

Sophos Mobile on Premise

5. Klicken Sie auf Datei hochladen und navigieren Sie zu der Datei, die Sie auf Ihrem Computer gespeichert haben. Wählen Sie diese aus und klicken Sie auf Öffnen .

6. Klicken Sie auf Speichern .

Das Profil wird erstellt. Es kann auf Geräten installiert werden. Siehe Profile auf Geräten installieren

(Seite 104).

15.5 Über macOS-Richtlinien

Für Macs gibt es zwei Arten von Richtlinien:

• Geräterichtlinie : Wenn Sie einem Mac eine Geräterichtlinie zuweisen, gelten die Einstellungen für alle Benutzer, die sich an dem Mac anmelden - unabhängig davon, ob diese Benutzer von Sophos

Mobile verwaltet werden oder nicht.

• Benutzerrichtlinie : Wenn Sie einem Mac eine Benutzerrichtlinie zuweisen, gelten die

Einstellungen für alle verwalteten Benutzer, die sich an dem Mac anmelden.

Verwaltete Benutzer sind:

• Der lokale Benutzer, der den Mac bei Sophos Mobile registriert hat.

• Alle Netzwerk-Benutzer, die Sophos Mobile bekannt sind. Dies sind die Benutzer des externen

LDAP-Verzeichnisses, welches Sie für das Self Service Portal konfiguriert haben.

Über Geräte- und Benutzerrichtlinien

• Zusätzlich zu der Registrierungsrichtlinie (die eine Geräterichtlinie ist) können Sie einem Mac eine

Geräterichtlinie und eine Benutzerrichtlinie zuweisen.

• Wenn es konkurrierende Einstellungen in der Geräte- und der Benutzerrichtlinie gibt, wird die restriktivere Einstellung angewendet.

• Auf dem Mac werden die zugewiesenen Richtlinien unter Systemeinstellungen > Profile angezeigt.

• Wenn Sie eine Geräterichtlinie aktualisieren, werden die Änderungen bei der nächsten

Synchronisierung übernommen.

• Wenn Sie eine Benutzerrichtlinie aktualisieren, werden die Änderungen übernommen, wenn sich der Benutzer das nächste Mal am Mac anmeldet.

• Benutzer können zwar die Benutzerrichtlinie vom Mac entfernen. Diese wird aber automatisch erneut zugewiesen, wenn sich der Benutzer das nächste Mal anmeldet.

• Benutzer können nicht die Geräterichtlinie entfernen.

• Wenn ein Benutzer die Registrierungsrichtlinie entfernt, wird der Mac bei Sophos Mobile deregistriert. Hierfür sind Administratorrechte erforderlich.

Zugehörige Konzepte

Konfigurationen für macOS-Geräterichtlinien (Seite 221)

Konfigurationen für macOS-Benutzerrichtlinien (Seite 239)

Sophos Mobile on Premise

15.6 Komplexitätsregeln für Windows-Kennwörter

Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von

Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden können. Es gelten unterschiedlicher Regeln für lokale und für Microsoft-Konten.

Lokale Konten

• Kennwort darf nicht den Anmeldenamen oder mehr als zwei aufeinanderfolgende Zeichen des

Benutzernamens enthalten.

• Kennwort muss sechs oder mehr Zeichen lang sein.

• Kennwort muss Zeichen aus drei der folgenden vier Kategorien enthalten:

— Großbuchstaben A-Z (Lateinisches Alphabet)

— Kleinbuchstaben a-z (Lateinisches Alphabet)

— Ziffern 0-9

— Sonderzeichen (!, $, #, %, etc.)

Microsoft-Konten

• Kennwort muss acht oder mehr Zeichen lang sein.

• Kennwort muss Zeichen aus zwei der folgenden vier Kategorien enthalten:

— Großbuchstaben A-Z (Lateinisches Alphabet)

— Kleinbuchstaben a-z (Lateinisches Alphabet)

— Ziffern 0-9

— Sonderzeichen (!, $, #, %, etc.)

15.7 Unterstützung von Samsung Knox

Sie können Ihre Samsung-Knox-Geräte mit Sophos Mobile verwalten.

Um die Unterstützung für Samsung Knox zu aktivieren, müssen Sie in Sophos Mobile einen

Lizenzschlüssel vom Typ Samsung Knox Workspace registrieren. Siehe Samsung-Knox-Lizenz registrieren (Seite 40).

Informationen zur Konfiguration des Knox-Containers auf Samsung-Geräten finden Sie in

Konfigurationen für Knox-Container-Profile

(Seite 169).

Informationen zur Installation von Apps in einen Samsung-Knox-Container finden Sie in

App hinzufügen (Seite 296).

Zur Verwaltung Ihrer Samsung-Knox-Geräte können Sie Auftragspakete für die folgenden Aktionen erstellen:

• Knox-Container: sperren

• Knox-Container: entsperren

Sophos Mobile on Premise

• Knox-Container: Kennwort zurücksetzen

• Knox-Container: entfernen (entfernt den Container und alle zugehörigen Einstellungen vom

Gerät)

Informationen zum Erstellen eines Auftragspakets für ein Samsung-Knox-Gerät finden Sie in

Auftragspakete erstellen

(Seite 284).

15.8 Platzhalter in Profilen und Richtlinien

Profile und Richtlinien können Platzhalter enthalten, die zum Zeitpunkt der Auftragsausführung durch die eigentlichen Daten ersetzt werden. Sie können folgende Platzhalter verwenden:

• Platzhalter für Benutzerinformationen:

— %_EMAILADDRESS_%

— %_USERNAME_%

• Platzhalter für Geräteeigenschaften:

— %_DEVPROP(Eigenschaftsname)_%

Eigenschaftsname ist entweder eine Standardeigenschaft oder eine benutzerdefinierte

Eigenschaft des Gerätes. Siehe

Benutzerdefinierte Geräteeigenschaften (Seite 76).

• Platzhalter für Kundeneigenschaften:

— %_CUSTPROP(Eigenschaftsname)_%

Siehe

Kundeneigenschaften erstellen (Seite 21).

Bei macOS werden Benutzerinformationen folgendermaßen ersetzt:

• Für das lokale Mac-Konto werden die Informationen des Benutzers verwendet, der dem Gerät in

Sophos Mobile zugewiesen ist.

• Für Netzwerkkonten werden die Informationen des LDAP-Benutzerkontos verwendet.

15.9 Profile auf Geräten installieren

1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf eine Geräteplattform, die Profile unterstützt:

• Android

• iOS

Die Seite Profile und Richtlinien für die ausgewählte Plattform wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem Profil, das installiert werden soll, und danach auf

Installieren .

Die Seite Geräte auswählen wird angezeigt.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Wählen Sie einzelne Geräte aus, auf denen Sie die App installieren wollen.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Weiter .

Die Seite Ausführungszeit wählen wird angezeigt.

Sophos Mobile on Premise

5. Wählen Sie unter Datum die Option Sofort oder geben Sie ein Datum und eine Uhrzeit für die

Ausführung des Auftrags an.

6. Klicken Sie auf Fertigstellen .

Die Seite Auftragsstatus wird angezeigt.

Das Profil wird zum angegebenen Zeitpunkt auf den ausgewählten Geräten installiert.

Tipp

Sie können ein Profil auch folgendermaßen installieren:

• Um ein Profil auf allen Geräten zu aktualisieren, auf denen es installiert ist: Klicken Sie auf der

Seite Profile und Richtlinien auf das blaue Dreieck neben dem Profil und anschließend auf

Geräte aktualisieren .

• Um ein Profil auf einem einzelnen Gerät zu installieren: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Profile und klicken Sie auf Profil installieren .

• Um ein Profil auf mehreren Geräten zu installieren: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > Profil installieren .

• Um ein Profil auf einem oder mehreren Geräten als Teil eines Auftragspakets zu installieren:

Fügen Sie dem Auftragspaket einen Auftrag Profil installieren hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

15.10 Richtlinien Geräten zuweisen

1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf eine Geräteplattform, die Richtlinien unterstützt:

• Android

• Android Things

• iOS

• macOS

• Windows Mobile

• Windows

• Windows IoT

Die Seite Richtlinien für die ausgewählte Plattform wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben der Richtlinie, die zugewiesen werden soll, und anschließend auf Zuweisen .

Die Seite Geräte auswählen wird angezeigt.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Wählen Sie einzelne Geräte aus, denen die Richtlinie zugewiesen werden soll.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie eine oder mehrere Gerätegruppen für die Zuweisung der Richtlinie aus.

4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Fertigstellen .

Die Richtlinie wird den ausgewählten Geräten zugewiesen und ein Synchronisierungsvorgang wird ausgelöst.

Sophos Mobile on Premise

Hinweis

Richtlinien können nicht von einem Gerät entfernt werden. Um eine Richtlinie zu deaktivieren, müssen Sie dem Gerät eine andere Richtlinie zuweisen.

Tipp

Sie können eine Richtlinie auch folgendermaßen zuweisen:

• Um eine Richtlinie einem einzelnen Gerät zuzuweisen: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Richtlinien und klicken Sie auf Richtlinie zuweisen .

• Um eine Richtlinie mehreren Geräten zuzuweisen: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > Profil installieren .

• Um eine Richtlinie einem oder mehreren Geräten als Teil eines Auftragspakets zuzuweisen:

Fügen Sie dem Auftragspaket einen Auftrag Profil installieren hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

106

15.11 Profile deinstallieren

Sie können ein Profil auf eine der beiden folgenden Weisen von einem Gerät deinstallieren:

• Um ein Profil von einem einzelnen Gerät zu deinstallieren: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Profile . Klicken Sie auf das blaue Dreieck neben dem

Profil, das Sie entfernen wollen, und anschließend auf Deinstallieren .

• Um ein Profil von allen Geräten zu deinstallieren, auf denen es installiert ist: Klicken Sie auf der

Seite Profile und Richtlinien einer Plattform auf das blaue Dreieck neben dem Profil, das Sie entfernen wollen, und anschließend auf Deinstallieren .

• Um ein Profil von ausgewählten Geräten zu deinstallieren: Erstellen Sie ein Auftragspaket mit einem Auftrag Profil deinstallieren und übertragen Sie dieses an die gewünschten Geräte oder

Gerätegruppen.

15.12 Profile und Richtlinien herunterladen

Sie können Profile und Richtlinien, die Sie in Sophos Mobile Admin konfiguriert haben, herunterladen. Dies ist zum Beispiel nützlich, wenn Sie die definierten Einstellungen an den Sophos

Support weitergeben möchten.

1. Gehen Sie in der Menüleiste zu Profile, Richtlinien und klicken Sie auf eine Geräteplattform.

Die Seite Profile und Richtlinien für die ausgewählte Plattform wird angezeigt.

2. Klicken Sie auf den Namen des gewünschten Profils bzw. der gewünschten Richtlinie.

Die Seite Profil anzeigen bzw. die Seite Richtlinie anzeigen wird angezeigt.

3. Klicken Sie auf Herunterladen .

Das Profil bzw. die Richtlinie wird auf Ihrem lokalen Computer gespeichert.

15.13 Konfigurationen für Android-Geräteprofile

Mit einem Android-Geräteprofil konfigurieren Sie verschiedene Bereiche von Android-Geräten, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Sophos Mobile on Premise

Informationen zum Erstellen eines Geräteprofils finden Sie in

Profil oder Richtlinie erstellen (Seite

100).

15.13.1 Konfiguration „Kennwortrichtlinien“ (Android-

Geräteprofil)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Kennwort für die

Displaysperre.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Sophos Mobile on Premise

Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Einstellung/Feld

Minimale Anzahl von Sonderzeichen

Sophos Mobile on Premise

Beschreibung

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Biometrische Authentisierung

Einstellung/Feld

Fingerabdruck-Authentisierung erlauben

Iris-Authentisierung erlauben

Beschreibung

Falls vom Gerät unterstützt, kann der Benutzer das Gerät mittels Fingerabdruck-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer das

Gerät mittels Iris-Authentisierung entsperren.

15.13.2 Konfiguration „Einschränkungen“ (Android-Geräteprofil)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sicherheit

Einstellung/Feld

Verschlüsselung erzwingen

Verschlüsselung von SD-Karten erzwingen

Beschreibung

Benutzer müssen ihre Geräte verschlüsseln.

Nachdem das Profil auf einem Gerät installiert wurde, wird der Benutzer aufgefordert, die SD-Karte zu verschlüsseln.

Hinweis

Bei manchen Geräten kann der Benutzer den

Verschlüsselungsvorgang abbrechen. In diesem

Fall wird er beim nächsten Einbinden der SD-Karte erneut aufgefordert.

Schnellverschlüsselung erlauben

Auf Werkseinstellungen zurücksetzen erlauben

Entwickleroptionen erlauben

Safe-Modus erlauben

Benutzer können in den Geräte-Einstellungen die

Optionen zur Schnellverschlüsselung ändern.

Benutzer können das Gerät auf Werkseinstellungen zurücksetzen.

Benutzer können die Entwickleroptionen ändern.

Benutzer können das Gerät im Safe-Modus starten.

Sophos Mobile on Premise

Einstellung/Feld

USB-Debugging erlauben

Beschreibung

Benutzer können USB-Debugging aktivieren.

Hinweis

Für Sony-Geräte mit Enterprise API Version 9 oder höher gilt: Wenn das Kontrollkästchen USB-

Debuggen erlauben deaktiviert ist, sind keine

Entwickleroptionen verfügbar.

Firmware-Wiederherstellung erlauben Alle Arten von Firmware-Updates (wie Over-The-Air,

Download etc.) sind erlaubt.

Sicherung erlauben Benutzer können Systemsicherungen erstellen.

Wenn das Kontrollkästchen deaktiviert ist, ist Google

Backup deaktiviert. Andere Backup-Methoden (zum

Beispiel Backups durch Sophos Mobile) sind weiterhin verfügbar.

Benutzer können Geräte-Einstellungen ändern.

Einstellungen ändern erlauben

Zwischenablage erlauben Das Kopieren von Inhalten in die Zwischenablage ist nicht eingeschränkt.

Gemeinsame Zwischenablage aktivieren

Screenshot erlauben

Simulierte Standorte erlauben

Benutzer können Inhalte aus einer App kopieren und in eine andere App einfügen.

Wenn das Kontrollkästchen deaktiviert ist, verwendet jede App eine eigene Zwischenablage.

Diese Einstellung ist nur verfügbar, wenn Sie

Zwischenablage erlauben aktivieren.

Benutzer können Screenshots machen.

Benutzer können in den Android-Entwickleroptionen eine Pseudo-Standort-App auswählen.

Firmware-Aktualisierungen „Over-the-Air“ sind erlaubt.

Over-The-Air Firmware-Aktualisierung erlauben

Audioaufnahmen erlauben

Videoaufnahmen erlauben

Aktivierungssperre erlauben

S Beam erlauben

Benutzer können Tonaufnahmen machen.

Benutzer können Videos aufnehmen.

Wenn das Kontrollkästchen deaktiviert ist, sind

Fotoaufnahmen und das Abspielen von Videos weiterhin erlaubt.

Benutzer können in den Geräte-Einstellungen die

Optionen zur Aktivierungssperre ändern.

Benutzer können die Samsung-App „S Beam“ starten.

Einstellung/Feld

S Voice erlauben

„Teilen über“ erlauben

Konten

Einstellung/Feld

Mehrere Benutzerkonten erlauben

Sophos Mobile on Premise

Beschreibung

Benutzer können die Samsung-App „S Voice“ starten.

Die Funktion Teilen über ist verfügbar.

Hinzufügen von E-Mail-Konten erlauben

Entfernen des Google-Kontos erlauben

Auto-Sync für Google-Konten erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann auf den Geräten nur ein einzelnes Benutzerkonto eingerichtet werden. Benutzer oder andere Apps können keine weiteren Benutzerkonten erstellen.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine E-Mail-Konten hinzufügen.

Dies betrifft nicht das Erstellen von Konten über ein

Geräteprofil.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht das Google-Konto von ihren Geräten entfernen.

Wenn das Kontrollkästchen deaktiviert ist, werden

Google-Konten nicht automatisch synchronisiert.

Benutzer können aber weiterhin eine manuelle

Synchronisierung durchführen, zum Beispiel über die

App Gmail.

Netzwerk und Kommunikation

Einstellung/Feld

Flugmodus erlauben

Synchronisierung bei Roaming erlauben

Nur Notrufe erlauben

Bei Roaming nur manuell synchronisieren

Mobile Datenverbindung erzwingen

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Flugmodus aktivieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Synchronisierung bei Mobilfunk-Roaming deaktiviert.

Es sind nur Notrufe möglich. Sonstige Anrufe werden gesperrt.

Bei Roaming ist die automatische

Datensynchronisierung deaktiviert. Dies gilt für alle eingerichteten Konten, wie zum Beispiel Google oder

Exchange.

Benutzer können mobile Datenverbindungen nicht deaktivieren.

Sophos Mobile on Premise

Einstellung/Feld

SMS erlauben

Beschreibung

Datenverbindungen bei Roaming erlauben

Sprachanrufe bei Roaming erlauben

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine SMS senden.

Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine mobilen Datenverbindungen möglich.

Mobildatenlimit für Benutzer erlauben Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer kein Limit für mobile Daten einstellen.

VPN erlauben

Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine Sprachanrufe möglich.

Wi-Fi Direct erlauben

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine VPN-Verbindungen verwenden.

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über „Wi-Fi Direct“ möglich.

Android Beam erlauben

Miracast-Richtlinie erlauben

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über „Android Beam“ möglich. Dies betrifft auch die Samsung-App „S Beam“.

Wenn das Kontrollkästchen deaktiviert ist, ist keine

Datenübertragung über Miracast möglich.

Bluetooth erlauben

Advanced Audio Distribution Profile

(A2DP) erlauben

Audio/Video Remote Control Profile

(AVRCP) erlauben

Hands-Free Profile (HFP) erlauben

Headset Profile (HSP) erlauben

Phone Book Access Profile (PBAP) erlauben

Serial Port Profile (SPP) erlauben

NFC erlauben

Wenn das Kontrollkästchen deaktiviert ist, ist Bluetooth deaktiviert.

Um einzelne Bluetooth-Profile zu erlauben, aktivieren

Sie Bluetooth erlauben und wählen Sie anschließend die Profile aus, die Sie erlauben wollen.

Wenn Bluetooth erlauben deaktiviert ist, haben die

Einstellungen keine Wirkung, d.h. alle Profile sind verboten.

WLAN erlauben

Wenn das Kontrollkästchen deaktiviert ist, ist NFC

(Near-Field Communication) deaktiviert.

Wenn das Kontrollkästchen deaktiviert ist, sind keine

WLAN-Verbindungen möglich.

Sophos Mobile on Premise

Tethering

Einstellung/Feld

Tethering erlauben

WLAN-Tethering erlauben

USB-Tethering erlauben

Bluetooth-Tethering erlauben

Konfigurieren von WLAN-Tethering erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist kein

Tethering möglich. Dies beinhaltet Tethering über

WLAN, USB und Bluetooth.

Hinweis

Wenn das Kontrollkästchen deaktiviert ist, haben die Einstellungen WLAN-Tethering erlauben ,

USB-Tethering erlauben und Bluetooth-

Tethering erlauben keine Wirkung.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

WLAN-Tethering (WLAN-Hotspot) möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

USB-Tethering möglich.

Wenn das Kontrollkästchen deaktiviert ist, ist kein

Bluetooth-Tethering möglich.

Der Benutzer kann die Einstellungen des WLAN-

Hotspots konfigurieren.

Hardware

Einstellung/Feld

Kamera erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar.

Kamera auf Sperrbildschirm erlauben Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera bei aktiver Displaysperre nicht verfügbar.

Um bei aktiviertem Sperrbildschirm die Kamera zu erlauben, müssen Sie zusätzlich die Option Kamera erlauben auswählen.

GPS für Standortabfragen erzwingen Für Standortabfragen werden GPS-Informationen verwendet.

SD-Karte erlauben

Verschieben von Apps auf SD-Karte erlauben

Wenn das Kontrollkästchen deaktiviert ist, können in den Geräten keine SD-Karten verwendet werden.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps vom internen Speicher auf die

SD-Karte verschieben.

Sophos Mobile on Premise

Einstellung/Feld

Schreiben auf unverschlüsselte SD-

Karte erlauben

Mikrofon erlauben

USB erlauben

USB-Media-Player erlauben

Stromsparmodus erlauben

USB-Host-Modus erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann nicht auf eine unverschlüsselte SD-Karte geschrieben werden.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Mikrofon nicht verfügbar.

USB-Speichermodus und USB-Mediendaten-Modus

(MTP) sind auf den Geräten verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist das

MTPO (Media Transfer Protocol) nicht verfügbar.

Da Android MTP für die Datenübertragung per USB verwendet, ist auch keine Datenübertragungen per

USB möglich.

Wenn das Kontrollkästchen deaktiviert ist, wechselt das Gerät nicht in den Stromsparmodus.

Alle externen Speichermedien, die der Benutzer anschließt, werden gemountet. Dies beinhaltet portable

USB-Speichermedien, externe Festplatten und SD-

Kartenleser.

Wenn das Kontrollkästchen deaktiviert ist, werden externe Speichermedien nicht gemountet.

Anwendungen

Einstellung/Feld

Installation von Apps erlauben

Deinstallation von Apps erlauben

Installation unsignierter Apps erlauben

Play Store erlauben

Apps aus unbekannten Quellen erlauben

Nativen Browser erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps installieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Apps deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nur signierte APK-Dateien installieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die App

Google Play Store nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps nur über die App Google Play Store installieren.

Wenn das Kontrollkästchen deaktiviert ist, ist der native Browser nicht verfügbar. Browser-Apps von

Drittanbietern sind nicht betroffen.

Einstellung/Feld

App-Absturzberichte erlauben

Hintergrundbild-Wechsel erlauben

Knox-Kontaktinformationen für private Anrufe erlauben

Autovervollständigung im Browser erlauben

Cookies im Browser erlauben

JavaScript im Browser erlauben

Popups im Browser erlauben

Ändern von Datums- und

Zeiteinstellungen erlauben

Sophos Mobile on Premise

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Apps keine Absturzberichte senden.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Display-Hintergrund ändern.

Auf einem Samsung-Knox-Gerät werden standardmäßig Kontaktinformationen angezeigt, wenn der Benutzer im privaten Modus einen Anruf von einem

Knox-Kontakt erhält.

Wenn das Kontrollkästchen deaktiviert ist, werden im privaten Modus keine Knox-Kontaktinformationen angezeigt.

Der Benutzer kann für den nativen Browser die Autovervollständigung aktivieren. Wenn die

Autovervollständigung aktiviert ist, können Webseiten

Vorschläge für das Ausfüllen von Formularen machen.

Wenn das Kontrollkästchen deaktiviert ist, ist die Autovervollständigung deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser Cookies aktivieren. Wenn Cookies aktiviert sind, können

Webseiten Cookies auf dem Gerät speichern.

Wenn das Kontrollkästchen deaktiviert ist, sind

Cookies deaktiviert und die entsprechende Browser-

Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser JavaScript aktivieren. Wenn JavaScript aktiviert ist, können

Webseiten JavaScript-Code auf dem Gerät ausführen.

Wenn das Kontrollkästchen deaktiviert ist, ist

JavaScript deaktiviert und die entsprechende Browser-

Einstellung ist nicht verfügbar.

Der Benutzer kann für den nativen Browser Popups aktivieren. Wenn Popups aktiviert sind, können

Webseiten neue Browserfenster öffnen.

Wenn das Kontrollkästchen deaktiviert ist, sind Popups deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.

Der Benutzer kann Datums- und Zeiteinstellungen

ändern.

Sophos Mobile on Premise

Einstellung/Feld

Erlaubte Apps / Unzulässige Apps

Beschreibung

Sie können entweder Erlaubte Apps oder

Unzulässige Apps konfigurieren. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Diese Einschränkungen betreffen nicht die App-

Installationen, die vom Sophos Mobile Server initiiert werden.

Informationen zur Erstellung von App-Gruppen finden

Sie in

15.13.3 Konfiguration „Knox-Premium-

Einschränkungen“ (Android-Geräteprofil)

Mit der Konfiguration Knox-Premium-Einschränkungen definieren Sie Einschränkungen für

Samsung-Knox-Geräte. Diese Einschränkungen gelten für das Gerät, nicht für den Knox-Container.

Hinweis

Für die Durchsetzung der Knox-Premium-Einschränkungen müssen Sie in Sophos Mobile eine

Lizenz vom Typ Samsung Knox Workspace registrieren und das Gerät muss Knox Premium SDK

2.x unterstützen.

Option

Optionen für automatische Firmware-

Updates erlauben

ODE-Trusted-Boot-Verifizierung aktivieren

Installation einer anderen Administrations-

App verhindern

Aktivierung einer anderen Administrations-

App verhindern

Beschreibung

Das Gerät prüft automatisch, ob Firmware-

Updates verfügbar sind. Benutzer können dies nicht in den Geräteeinstellungen ändern.

Beim Starten des Gerätes wird die

Datenpartition nur entschlüsselt, wenn

Binary und Kernel offizielle Versionen des

Geräteherstellers sind, d.h., wenn das Gerät nicht gerootet ist.

Wenn das Kontrollkästchen deaktiviert ist, wird beim Starten die Datenpartition immer entschlüsselt.

Es können keine Apps installiert werden, die

Geräteadministrator-Rechte benötigen. Dies betrifft nicht die Apps, die von Sophos Mobile installiert werden.

Geräteadministrator-Rechte für Apps können nicht aktiviert werden.

Option

Common-Criteria-Modus erlauben

Sophos Mobile on Premise

Beschreibung

Auf den Geräten wird der Common-Criteria-

Modus (CC Mode) aktiviert. Dies stellt sicher, dass die Geräte die im Mobile Device

Fundamentals Protection Profile (MDFPP) festgelegten Sicherheitseinstellungen erfüllen.

Hinweis: Der CC Mode wird nur angewendet, wenn zusätzlich folgende Bedingungen erfüllt sind:

• Die Geräteverschlüsselung ist aktiviert.

• Die Schnellverschlüsselung ist deaktiviert.

• Die Verschlüsselung des externen Speichers ist aktiviert.

• Die Anzahl fehlerhafter Anmeldeversuche, nach der das Gerät zurückgesetzt wird, ist festgelegt.

• Der Zertifikat-Widerruf ist aktiviert.

• Kennworthistorie (d.h., Verwendung desselben

Kennworts nach Ablauf der Gültigkeit) ist deaktiviert.

15.13.4 Konfiguration „Exchange-Konto“ (Android-Geräteprofil)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Sophos Mobile on Premise

Einstellung/Feld

Absender

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Standardkonto

Alle Zertifikate erlauben

Client-Zertifikat

E-Mail-Weiterleitung erlauben

HTML-Format erlauben

Max. Größe von Anhängen in MB

Inhalte

Beschreibung

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Das Konto wird als Standard-E-Mail-Konto verwendet.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

E-Mail-Weiterleitung erlauben.

E-Mails im HTML-Format sind zugelassen.

Die maximale Größe einer einzelnen E-Mail-

Nachricht ( 1 , 3 , 5 , 10 , Unbegrenzt ).

Die zu synchronisierenden Inhalte.

Sophos Mobile on Premise

Hinweis

Bei Sony-Geräten mit Enterprise API Version 6.x oder niedriger ist es wichtig, dass die

Benutzerinformation des Exchange-Kontos mit dem Benutzer übereinstimmt, der dem Gerät zugewiesen ist.

Auf diesen Geräten ist die App Sophos Mobile Control nicht in der Lage, die ActiveSync-ID an den Sophos Mobile Server zu schicken. Wenn das Gerät zum ersten Mal eine Anfrage an den

EAS-Proxy sendet, kennt Sophos Mobile nicht die vom E-Mail-Client übermittelte ActiveSync-ID.

Um die Benutzerdaten zu verifizieren, sucht der EAS-Proxy nach einem Gerät mit unbekannter

ActiveSync-ID, dem ein Benutzer zugewiesen ist, der mit dem vom E-Mail-Client übermittelten

Benutzer übereinstimmt. Wird ein solches Gerät gefunden, wird ihm die ActiveSync-ID zugewiesen und die E-Mail-Anforderung wird an den Exchange-Server weitergeleitet. Andernfalls wird die

Anforderung abgewiesen.

Einzelheiten hierzu finden Sie im Sophos Knowledgebase-Artikel 121360 .

15.13.5 Konfiguration „WLAN“ (Android-Geräteprofil)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Sicherheitstyp

Phase-2-Authorisierung

Identität

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp der WLAN-Verbindung:

• Ohne

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• Ohne

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Sophos Mobile on Premise

Einstellung/Feld

Anonyme Identität

Kennwort

Identitätszertifikat

Vertrauenswürdiges Zertifikat

Proxy-Server und -Port

Beschreibung

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Name oder IP-Adresse und Port eines Proxy-

Servers für die WLAN-Verbindung.

15.13.6 Konfiguration „App Protection“ (Android-Geräteprofil)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps zu schützen.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Komplexität des Kennworts

Gültigkeitsdauer in Minuten

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Einstellung/Feld

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Sophos Mobile on Premise

Beschreibung

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

finden Sie in App-Gruppen

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

15.13.7 Konfiguration „App Control“ (Android-Geräteprofil)

Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen. Hiermit können Sie zum Beispiel unerwünschte Apps blockieren, die vom Gerätehersteller vorinstalliert worden sind und nicht deinstalliert werden können.

Einstellung/Feld

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

(Seite 316).

15.13.8 Konfiguration „App-Berechtigungen“ (Android)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App während der

Ausführung eine Berechtigung anfordert.

Einstellung/Feld

App-spezifische

Berechtigungsanfragen zur Laufzeit

Beschreibung

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf

Hinzufügen und konfigurieren Sie anschließend die

Einstellungen für eine App:

Geben Sie im Feld Kennung die interne App-Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Auswählbar : Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Zugelassen : Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.

• Verweigert : Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.

Sophos Mobile on Premise

15.13.9 Konfiguration „Kiosk-Modus“ (Android-Geräteprofil)

Mit der Konfiguration Kiosk-Modus definieren Sie Einschränkungen für Geräte, um einen Kiosk-Modus zu realisieren.

Um eine App festzulegen, die ausgeführt wird, wenn das Profil auf ein Gerät übertragen wird, klicken

Sie auf Quelle auswählen und gehen Sie anschließend auf eine der folgenden Weisen vor:

• Wählen Sie Benutzerdefiniert aus und geben Sie eine App-Kennung ein.

• Wählen Sie App-Liste aus und wählen Sie anschließend in der Liste Kennung eine App aus. Die

Liste enthält alle Apps, die Sie auf der Seite Apps konfiguriert haben. Siehe

(Seite

296).

• Wählen Sie Keine App aus, um keine bestimmte App im Kiosk-Modus auszuführen. Die Kiosk-

Modus-Einschränkungen werden auf das Gerät übertragen, aber es wird keine App gestartet.

Unter Optionen deaktivieren Sie Hardware- und Software-Funktionen, die im Kiosk-Modus deaktiviert sein sollen.

Wenn das Profil auf ein Gerät übertragen wird, wird die festgelegte App gestartet. Der Benutzer kann jedoch die App verlassen und das Gerät normal verwenden, falls Sie keine der verfügbaren

Hardware- oder Software-Funktionen deaktiviert haben. Um tatsächlich einen Kiosk-Modus zu realisieren, müssen Sie mindestens die Kontrollkästchen Schaltfläche Startbildschirm erlauben und Task-Manager erlauben deaktivieren.

Hinweis

• Die festgelegte App muss auf dem Gerät vorhanden sein. Ist dies nicht der Fall, verbleiben die zu übertragenden Aufträge im Status Unvollständig, bis die App installiert worden ist. Um die App zu installieren, erstellen Sie zum Beispiel ein Auftragspaket mit einem Auftrag App installieren und übertragen dieses an Ihre Geräte.

• Für Sony-Geräte mit Enterprise API Version 9 oder niedriger gilt: Wenn Sie eines der

Kontrollkästchen Lautstärke erhöhen erlauben , Lautstärke verringern erlauben oder

Stummschalten erlauben deaktivieren, werden alle Gerätetasten zum Steuern der

Lautstärke deaktiviert.

15.13.10 Konfiguration „Zugangspunkt (APN)“ (Android-

Geräteprofil)

Mit der Konfiguration Zugangspunkt (APN) konfigurieren Sie einen Zugangspunkt (Access

Point Name - APN) für Mobilgeräte. Eine APN-Konfiguration legt fest, wie sich Geräte mit einem

Mobilfunknetz verbinden.

Wichtig

Wir empfehlen, die benötigten Einstellungen von Ihrem Netzbetreiber zu erfragen. Wenn Sie Als

Standard-Zugangspunkt verwenden auswählen und die Einstellungen fehlerhaft sind, kann das

Gerät keine mobilen Daten empfangen.

Sophos Mobile on Premise

Hinweis

Außer dem Feld APN sind alle Einstellungen optional. Sie sollten nur jene Einstellungen konfigurieren, die von Ihrem Mobilfunkbetreiber benötigt werden.

Einstellung/Feld

APN

Benutzerfreundlicher Name

Proxy-Server und -Port

Benutzername

Server

MMSC

, Benutzer-Kennwort

Beschreibung

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Ein optionaler Name, der auf dem Gerät zusätzlich zum APN angezeigt wird.

Adresse und Portnummer des HTTP-Servers, der für Web-Datenverkehr verwendet wird.

Ein Benutzername und Kennwort für die

Verbindung mit dem Zugangspunkt.

Der WAP-Gateway-Server.

Das Multimedia Messaging Service Center

(MMSC).

MMS-Proxy-Server und -Port

Mobile Country Code (MCC) , Mobile Network

Code (MNC)

Adresse und Portnummer des HTTP-Servers, der für die Kommunikation mit dem MMSC verwendet wird.

Mit MCC und MNC legen Sie einen

Netzbetreiber fest.

Der Zugangspunkt wird nur für diesen

Netzbetreiber verwendet.

Authentifizierung-Typ

APN-Typ

Die Authentifizierungsmethode für PPP-

Verbindungen.

Die Datenarten für diesen APN.

Um den APN für alle Datenarten zu verwenden, tragen Sie * ein oder lassen das Feld leer.

Träger

Protokoll

Roaming-Protokoll

Die vom Netzbetreiber verwendete Radio

Access Technology (RAT).

Das vom Netzbetreiber unterstützte

Netzwerkprotokoll.

Das vom Netzbetreiber unterstützte

Netzwerkprotokoll bei Roaming in fremden

Mobilfunknetzen.

Sophos Mobile on Premise

Einstellung/Feld

Als Standard-Zugangspunkt verwenden

Beschreibung

Wählen Sie diese Option aus, um den APN als

Standard zu verwenden.

Wenn Sie mehrere Konfigurationen

Zugangspunkt (APN) verwenden, dürfen

Sie diese Option nur in einer Konfiguration auswählen.

15.13.11 Konfiguration „VPN“ (Android-Geräteprofil)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld Beschreibung

Verbindungsname Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Server Der Host-Name oder die IP-Adresse des Servers.

Verbindungstyp Der Typ der VPN-Verbindung:

• L2TP/IPsec (PSK)

Wenn Sie diesen Typ auswählen, werden die Felder Benutzer ,

Kennwort und L2TP/IPsec (PSK) angezeigt. Geben Sie den Benutzer und das Kennwort ein. Geben Sie im Feld L2TP/IPsec (PSK) den Preshared Key für die Authentisierung ein.

• L2TP/IPsec (Zertifikat)

Wenn Sie diesen Typ auswählen, werden die Felder Client-Zertifikat ,

Root-Zertifikat , Benutzer und Kennwort angezeigt. Wählen Sie in den

Feldern Client-Zertifikat und Root-Zertifikat die relevanten Zertifikate.

Geben Sie außerdem den Benutzer und das zugehörige Kennwort ein.

• Cisco AnyConnect

Wenn Sie diesen Typ auswählen, können Sie XML-Dateien mit einem

AnyConnect-VPN-Profil und/oder einem NVM-Profil (Network Visibility

Module) hochladen. Informationen zu diesen Profilen finden Sie in der

Cisco AnyConnect Administrator-Dokumentation.

15.13.12 Konfiguration „Root-Zertifikat“ (Android-Geräteprofil)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile on Premise

15.13.13 Konfiguration „Client-Zertifikat“ (Android-Geräteprofil)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.13.14 Konfiguration „SCEP“ (Android-Geräteprofil)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Sophos Mobile on Premise

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Informationen zur Erstellung einer Android-Enterprise-Richtlinie für Arbeitsprofile finden Sie in Profil oder Richtlinie erstellen

(Seite 104).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name : Eine gültige E-Mail-Adresse.

• DNS-Name : Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Sophos Mobile on Premise

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.14 Konfigurationen für Richtlinien für Android

Enterprise Arbeitsprofile

Mit einer Richtlinie für Android Enterprise Arbeitsprofile konfigurieren Sie das Arbeitsprofil eines

Gerätes. Die Richtlinie kann auf Android-Enterprise-Geräte im Modus „Profilbesitzer“ angewendet werden.

(Seite 100).

15.14.1 Konfiguration „Kennwortrichtlinien – Gerät“ (Android-

Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration Kennwort-Richtlinien - Gerät definieren Sie Anforderungen an das Kennwort für die Displaysperre.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Einfaches Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Sophos Mobile on Premise

Einstellung/Feld

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Sophos Mobile on Premise

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

15.14.2 Konfiguration „Kennwortrichtlinien –

Arbeitsprofil“ (Android-Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration Kennwort-Richtlinien - Arbeitsprofil definieren Sie Anforderungen an das

Kennwort des Arbeitsprofils. Der Benutzer muss das Kennwort eingeben, um eine App zu öffnen, wenn das Arbeitsprofil gesperrt ist.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Sophos Mobile on Premise

Einstellung/Feld

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Schwache biometrische Erkennung

Beschreibung

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Benutzer dürfen schwache biometrische

Erkennungsverfahren, wie z.B.

Gesichtserkennung, verwenden, um das

Arbeitsprofil zu entsperren.

Hinweis

Schwache biometrische

Erkennungsverfahren bieten eine vergleichbare Sicherheit wie eine 3-stellige

PIN. Das heißt, für ein unberechtigtes

Entsperren sind etwa 1000 Versuche erforderlich.

Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Sophos Mobile on Premise

Einstellung/Feld

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Zeit, nach der das Arbeitsprofil gesperrt wird, wenn es nicht benutzt wird. Das Profil lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere

Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der das Arbeitsprofil zurückgesetzt wird.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Sophos Mobile on Premise

15.14.3 Konfiguration „Einschränkungen“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Einschränkungen konfigurieren Sie Einschränkungen und zugehörige

Einstellungen für Android-Arbeitsprofile.

Sicherheit

Einstellung/Feld

Bildschirmaufnahme erlauben

Benutzer dürfen Anmeldeinformation bearbeiten

Arbeits-Zwischenablage darf in private Apps kopiert werden

Smart Lock erlauben

Beschreibung

Benutzer können Screenshots von Apps machen, die im Arbeitsprofil installiert sind.

Benutzer können im Arbeitsprofil Zertifikate installieren oder deinstallieren.

Benutzer können Text aus einer App im Arbeitsprofil kopieren und in eine private App einfügen.

Das Einfügen von Text aus einer privaten App in eine

App im Arbeitsprofil ist immer möglich.

Benutzer können die Android-Funktion „Smart

Lock“ aktivieren, durch die das Gerät in bestimmten

Situationen automatisch entsperrt wird.

Hinweis

Diese Einstellungen wirkt sich auf die Gerätesperre aus.

Das Gerät ignoriert die Einstellung, wenn zusätzlich eine

Sperre für das Arbeitsprofil konfiguriert ist.

„Standort teilen“ erlauben

Internet-Links dürfen in privaten Apps geöffnet werden

Apps im Arbeitsprofil können auf die Ortungsdienste des Gerätes zugreifen.

Wenn das Kontrollkästchen deaktiviert ist, können Apps im Arbeitsprofil selbst dann nicht auf

Standortdienste zugreifen, wenn der Benutzer die

Einstellung „Standort teilen“ aktiviert hat.

Internet-Links, auf die der Benutzer in einer App im

Arbeitsprofil tippt, können in einer privaten Browser-

App geöffnet werden.

Debugging erlauben

Entsperren mit Fingerabdruck erlauben

Benutzer können die Debugging-Funktionen in den

Android-Entwicklereinstellungen aktivieren.

Benutzer können das Gerät mit ihrem Fingerabdruck entsperren.

Sophos Mobile on Premise

Einstellung/Feld

Details zu beruflichen Kontakten für private Anrufe erlauben

Details zu beruflichen Kontakten für

Bluetooth-Geräte erlauben

Suche nach beruflichen Kontakten im privaten Profil erlauben

Beschreibung

Die private Telefon-App zeigt bei eingehenden

Gesprächen von beruflichen Kontakten den

Anrufernamen an.

Verbundene Bluetooth-Geräte zeigen bei eingehenden

Privatgesprächen von beruflichen Kontakten den

Anrufernamen an.

Die private Telefon-App zeigt bei der Suche nach

Anrufernamen auch berufliche Kontakte an.

Konten

Einstellung/Feld

Kontenverwaltung erlauben

Beschreibung

Benutzer können Konten dem Work-Profil hinzufügen oder daraus entfernen, ausgenommen das Google-

Konto.

Netzwerk und Kommunikation

Einstellung/Feld

VPN erlauben

Android Beam erlauben

Beschreibung

Benutzer können für Apps im Arbeitsprofil VPN-

Verbindungen verwenden.

Benutzer können Android Beam (NFC-

Datenübertragung) verwenden, um Daten aus Apps im

Arbeitsprofil zu senden.

Hardware

Einstellung/Feld

Kamera erlauben

Beschreibung

Apps im Arbeitsprofil können auf die Kamera zugreifen.

Anwendungen

Einstellung/Feld

Deinstallation von Apps erlauben

Beschreibung

Benutzer können Apps im Arbeitsprofil deinstallieren.

Sophos Mobile on Premise

Einstellung/Feld

Installation von Apps aus unbekannten Quellen erlauben

App-Verwaltung erlauben

Deaktivieren von Google-

Sicherheitsscans erlauben

Hinweis (kurz)

Hinweis (lang)

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps im Arbeitsprofil nur aus Google Play installieren, nicht aus unbekannten Quellen oder über

Android Debug Bridge (ADB).

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer für Apps im Arbeitsprofil folgende Aufgaben nicht ausführen:

• Apps deinstallieren

• Apps deaktivieren

• Apps beenden

• App-Cache leeren

• App-Daten löschen

• Einstellung Standardmäßig öffnen löschen

Benutzer können die Google-Sicherheitseinstellung

Gerät auf Sicherheitsbedrohungen durchsuchen deaktivieren.

Die Einstellung befindet sich in der App

Einstellungen , unter Google > Sicherheit > Google

Play Protect .

Ein unternehmensspezifischer Hinweis, der dem

Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.

Hinweis

Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.

Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen

Hinweistextes auf Weitere Informationen tippt.

Hinweis

Dieser Text wird außerdem auf der Seite

Geräteadministrator für die App Sophos Mobile

Control angezeigt.

134

15.14.4 Konfiguration „Exchange-Konto“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein. Diese Einstellungen gelten für die App Gmail im Arbeitsprofil.

Einstellung/Feld

Kontoname

Exchange-Server

Domäne

Benutzer

E-Mail-Adresse

Absender

Synchronisierungszeitraum

SSL/TLS

Alle Zertifikate erlauben

Client-Zertifikat

Sophos Mobile on Premise

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Hinweis

Das Kennwort wird vom Benutzer eingegeben.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

135

Sophos Mobile on Premise

15.14.5 Konfiguration „App Protection“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, mit denen Apps aus Managed Google Play geschützt werden, d.h. Apps, die im Arbeitsprofil installiert sind.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Komplexität des Kennworts

Gültigkeitsdauer in Minuten

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

finden Sie in App-Gruppen

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

15.14.6 Konfiguration „App Control“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen.

Einstellung/Feld

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

(Seite 316).

Sophos Mobile on Premise

15.14.7 Konfiguration „App-Berechtigungen“ (Android-

Enterprise-Arbeitsprofil-Richtlinie)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App aus Managed

Google Play während der Ausführung eine Berechtigung anfordert.

Einstellung/Feld

Standardantwort auf

Berechtigungsanforderungen zur

Laufzeit

App-spezifische

Berechtigungsanforderungen zur

Laufzeit

Beschreibung

Die Standard-Reaktion auf zukünftige

Berechtigungsanforderungen während der Ausführung:

• Abfragen : Apps fordern den Benutzer auf, die

Berechtigung zu gewähren.

• Auto-Bestätigen : Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch gewährt.

• Auto-Verweigern : Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch verweigert.

Der Benutzer kann die Berechtigung nicht nachträglich

ändern.

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf

Hinzufügen und konfigurieren Sie anschließend die

Einstellungen für eine App:

Geben Sie im Feld Kennung die interne App-Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Auswählbar : Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Zugelassen : Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.

• Verweigert : Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.

15.14.8 Konfiguration „Root-Zertifikat“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Dieses Zertifikat steht Apps aus Managed Google Play zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.14.9 Konfiguration „Client-Zertifikat“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Dieses Zertifikat steht Apps aus Managed Google Play zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.14.10 Konfiguration „SCEP“ (Android-Enterprise-

Arbeitsprofil-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen Apps zur

Verfügung, die im Arbeitsprofil installiert sind.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Sophos Mobile on Premise

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Informationen zur Erstellung einer Android-Enterprise-Geräterichtlinie finden Sie in Profil oder

(Seite 104).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name : Eine gültige E-Mail-Adresse.

• DNS-Name : Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Sophos Mobile on Premise

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.15 Konfigurationen für Android-Enterprise-

Geräterichtlinien

Mit einer Android-Enterprise-Geräterichtlinie konfigurieren Sie verschiedene Bereiche von Android-

Geräten, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die

Richtlinie kann auf Android-Enterprise-Geräte im Modus „Gerätebesitzer“ angewendet werden.

Richtlinie erstellen

(Seite 100).

15.15.1 Konfiguration „Kennwortrichtlinien“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Kennwort für die

Displaysperre.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Einfaches Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Sophos Mobile on Premise

Einstellung/Feld

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Sophos Mobile on Premise

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

15.15.2 Konfiguration „Einschränkungen“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sicherheit

Einstellung/Feld

Verschlüsselung erzwingen

Auf Werkseinstellungen zurücksetzen erlauben

Safe-Modus erlauben

Debugging erlauben

Screenshot erlauben

Benutzer dürfen Anmeldeinformation bearbeiten

Beschreibung

Benutzer müssen ihre Geräte verschlüsseln.

Benutzer können das Gerät auf Werkseinstellungen zurücksetzen.

Benutzer können das Gerät im Safe-Modus starten.

Benutzer können die Debugging-Funktionen in den

Android-Entwicklereinstellungen aktivieren.

Benutzer können Screenshots machen.

Benutzer können Zertifikate installieren oder entfernen.

Einstellung/Feld

Smart Lock erlauben

„Standort teilen“ erlauben

Entsperren mit Fingerabdruck erlauben

Ändern des Kontobildes erlauben

Sensible Informationen auf

Sperrbildschirm verbergen

System-Update-Richtlinie

Sophos Mobile on Premise

Beschreibung

Benutzer können die Android-Funktion „Smart

Lock“ aktivieren, durch die das Gerät in bestimmten

Situationen automatisch entsperrt wird.

Hinweis

Diese Einstellungen wirkt sich auf die Gerätesperre aus.

Das Gerät ignoriert die Einstellung, wenn zusätzlich eine

Sperre für das Arbeitsprofil konfiguriert ist.

Benutzer können das Teilen des Standorts aktivieren.

Benutzer können das Gerät mit ihrem Fingerabdruck entsperren.

Benutzer können das Foto ihres Benutzerkontos

ändern.

Wenn Benachrichtungen auf dem Sperrbildschirm aktiviert sind, werden keine sensiblen Inhalte angezeigt.

Wählen Sie aus, wann Systemaktualisierungen installiert werden:

• Keine Richtlinie : Der Benutzer entscheidet, wann

Systemaktualisierungen installiert werden.

• Automatische Installation : Systemaktualisierungen werden automatisch installiert, sobald sie verfügbar sind.

• Installation im Wartungszeitraum :

Systemaktualisierungen werden innerhalb eines

Wartungsfensters automatisch installiert. Geben

Sie Uhrzeiten für den Beginn und das Ende des

Wartungsfensters ein.

• Verschieben : Systemaktualisierungen (ausgenommen

Sicherheitsaktualisierungen) werden für 30 Tage zurückgehalten.

Konten

Einstellung/Feld

Kontenverwaltung erlauben

Beschreibung

Benutzer können auf dem Gerät Konten hinzufügen oder entfernen, ausgenommen das Google-Konto.

Sophos Mobile on Premise

Netzwerk und Kommunikation

Einstellung/Feld

SMS erlauben

Datenverbindungen bei Roaming erlauben

VPN erlauben

Android Beam erlauben

Bluetooth erlauben

Ausgehende Telefonanrufe erlauben

Zurücksetzen der

Netzwerkeinstellungen erlauben

WLAN-Einstellungen aktivieren

Cell-Broadcast-Konfiguration erlauben

Einstellungen für mobile Netzwerke aktivieren

Tethering-Einstellungen aktivieren

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine SMS senden.

Wenn das Kontrollkästchen deaktiviert ist, sind bei

Roaming keine mobilen Datenverbindungen möglich.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine VPN-Verbindungen verwenden.

Benutzer können Android Beam (NFC-

Datenübertragung) verwenden, um Daten aus Apps zu senden.

Wenn das Kontrollkästchen deaktiviert ist, ist Bluetooth deaktiviert.

Benutzer können Telefonanrufe tätigen.

Benutzer können die Netzwerkeinstellungen auf

Standardwerte zurücksetzen.

Benutzer können die WLAN-Einstellungen ändern.

Benutzer können Cell Broadcast (CB) in ihrer

Nachrichten-App aktivieren oder deaktivieren.

Benutzer können die Einstellungen für mobile Netze

ändern.

Benutzer können die Einstellungen für Tethering und mobilen Hotspot ändern.

Hardware

Einstellung/Feld

Kamera erlauben

Mikrofon erlauben

Externe Medien erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Mikrofon nicht verfügbar.

Benutzer können externe Medien wie z.B. USB-

Speicher mit dem Gerät verbinden.

Einstellung/Feld

USB-Speicher zulassen

Dateitransfer über USB erlauben

Sophos Mobile on Premise

Beschreibung

Benutzer können das Gerät im USB-Modus „Mass

Storage“ (USB MSC) mit einem Host-Computer verbinden, d.h. als externe Festplatte.

Wenn Sie das Kontrollkästchen deaktivieren, können

Benutzer das Gerät weiterhin im USB-Modus „Media

Transfer“ (USB MTP) oder „Picture Transfer“ (USB

PTP) verbinden, um Dateien zu übertragen.

Benutzer können Dateien zwischen dem Gerät und einem externen USB-Speichermedium übertragen.

Anwendungen

Einstellung/Feld

Deinstallation von Apps erlauben

Installation von Apps aus unbekannten Quellen erlauben

Hintergrundbild-Wechsel erlauben

App-Verwaltung erlauben

Deaktivieren von Google-

Sicherheitsscans erlauben

Ändern von Datum und Uhrzeit erlauben

Beschreibung

Benutzer können Apps deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Apps nur aus Google Play installieren, nicht aus unbekannten Quellen oder über Android Debug

Bridge (ADB).

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer nicht den Display-Hintergrund ändern.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer für Apps folgende Aufgaben nicht ausführen:

• Apps deinstallieren

• Apps deaktivieren

• Apps beenden

• App-Cache leeren

• App-Daten löschen

• Einstellung Standardmäßig öffnen löschen

Benutzer können die Google-Sicherheitseinstellung

Gerät auf Sicherheitsbedrohungen durchsuchen deaktivieren.

Die Einstellung befindet sich in der App

Einstellungen , unter Google > Sicherheit > Google

Play Protect .

Benutzer können Datum und Uhrzeit einstellen.

Wenn das Kontrollkästchen deaktiviert ist, werden

Datum und Uhrzeit aus dem Netzwerk bezogen.

Sophos Mobile on Premise

Einstellung/Feld

Hinweis (kurz)

Hinweis (lang)

Erlaubte Bedienungshilfen

Beschreibung

Ein unternehmensspezifischer Hinweis, der dem

Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.

Hinweis

Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.

Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen

Hinweistextes auf Weitere Informationen tippt.

Hinweis

Dieser Text wird außerdem auf der Seite

Geräteadministrator für die App Sophos Mobile

Control angezeigt.

Schränken Sie ein, welche Apps Bedienungshilfen anbieten dürfen:

• Wenn Sie Alle verfügbaren Apps auswählen, können

Benutzer alle Bedienungshilfen verwenden.

• Wenn Sie Nur System-Apps auswählen, können

Benutzer nur Bedienungshilfen von System-Apps verwenden.

• Wenn Sie eine App-Gruppe auswählen, können Benutzer nur Bedienungshilfen von den enthaltenen Apps und von

System-Apps verwenden.

15.15.3 Konfiguration „Exchange-Konto“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Einstellung/Feld

Domäne

Benutzer

E-Mail-Adresse

Absender

Synchronisierungszeitraum

SSL/TLS

Alle Zertifikate erlauben

Client-Zertifikat

Sophos Mobile on Premise

Beschreibung

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Hinweis

Das Kennwort wird vom Benutzer eingegeben.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Das Client-Zertifikat für die Verbindung zum

Exchange-Server.

15.15.4 Konfiguration „WLAN“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Beschreibung

Die ID des WLAN.

Sophos Mobile on Premise

148

Einstellung/Feld

Sicherheitstyp

Phase-2-Authorisierung

Identität

Anonyme Identität

Kennwort

Identitätszertifikat

Vertrauenswürdiges Zertifikat

Beschreibung

Der Sicherheitstyp der WLAN-Verbindung:

• Ohne

• WEP

• WPA/WPA2 PSK

• EAP/PEAP

• EAP/TLS

• EAP/TTLS

Die Authentisierungsmethode für Phase 2 der

EAP-Aushandlung:

• Ohne

• PAP

• CHAP

• MSCHAP

• MSCHAPv2

Dieses Feld ist für die Verbindungstypen EAP/

PEAP und EAP/TTLS verfügbar.

Die Identität des Benutzers.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Pseudo-Identität, die in Phase 1 der EAP-

Aushandlung unverschlüsselt gesendet wird.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Das WLAN-Kennwort.

Das Identitätszertifikat für die WLAN-

Verbindung.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Die Root-CA für das Zertifikat des EAP-Servers.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.

Dieses Feld ist für EAP-Verbindungen verfügbar.

Sophos Mobile on Premise

15.15.5 Konfiguration „App Protection“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps aus

Managed Google Play zu schützen.

Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort festlegen, wenn er eine geschützte

App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste

Versuch erst nach einer Wartezeit erfolgen.

Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der

Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.

Einstellung/Feld

Komplexität des Kennworts

Gültigkeitsdauer in Minuten

App-Gruppe

Fingerabdruck-Authentisierung erlauben

Beschreibung

Die minimalen Anforderungen an das vom

Benutzer zu definierende Kennwort.

Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die mit einem Kennwort geschützt werden.

Informationen zur Erstellung von App-Gruppen finden Sie in

finden Sie in App-Gruppen

Benutzer können eine geschützte App mit ihrem

Fingerabdruck entsperren.

15.15.6 Konfiguration „App Control“ (Android-Enterprise-

Geräterichtlinie)

Einstellung/Feld

App-Gruppe

Beschreibung

Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.

Informationen zur Erstellung von App-Gruppen

(Seite 316).

Sophos Mobile on Premise

15.15.7 Konfiguration „App-Berechtigungen“ (Android-

Enterprise-Geräterichtlinie)

Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App während der

Ausführung eine Berechtigung anfordert.

Einstellung/Feld

Standardantwort auf

Berechtigungsanforderungen zur

Laufzeit

App-spezifische

Berechtigungsanforderungen zur

Laufzeit

Beschreibung

Die Standard-Reaktion auf zukünftige

Berechtigungsanforderungen während der Ausführung:

• Abfragen : Apps fordern den Benutzer auf, die

Berechtigung zu gewähren.

• Auto-Bestätigen : Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch gewährt.

• Auto-Verweigern : Alle

Berechtigungsanforderungen während der App-

Ausführung werden automatisch verweigert.

Der Benutzer kann die Berechtigung nicht nachträglich

ändern.

Sie können bestimmte Berechtigungen für einzelne

Apps gewähren oder verweigern. Klicken Sie auf

Hinzufügen und konfigurieren Sie anschließend die

Einstellungen für eine App:

Geben Sie im Feld Kennung die interne App-Kennung ein.

Wählen Sie für jede Berechtigung das gewünschte

Verhalten aus:

• Auswählbar : Der Benutzer kann die Berechtigung gewähren oder verweigern.

• Zugelassen : Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.

• Verweigert : Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.

15.15.8 Konfiguration „Kiosk-Modus“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Kiosk-Modus definieren Sie Einschränkungen für Geräte, um einen Kiosk-Modus zu realisieren.

Einstellung/Feld

Quelle auswählen

Kennung

App-Gruppe

Lautstärke-Änderung erlauben

Bildschirmsperre deaktivieren

Beim Laden aktiv bleiben

Sophos Mobile on Premise

Beschreibung

• Ohne : Alle Apps erlauben. Die Kiosk-Modus-

Einschränkungen werden auf das Gerät übertragen, aber der Benutzer kann jede auf dem Gerät verfügbare App starten.

• Benutzerdefiniert , App-Liste : Nur eine bestimmte App erlauben.

• App-Gruppe : Mehrere Apps erlauben.

Die App, die im Kiosk-Modus verfügbar ist.

Abhängig von Ihrer Auswahl in Quelle auswählen geben Sie entweder die App-Kennung an oder wählen

Sie die App aus der Liste verfügbarer Apps aus.

Die Apps, die im Kiosk-Modus verfügbar sind.

Wählen Sie eine der verfügbaren App-Gruppen aus.

Wenn das Kontrollkästchen deaktiviert ist, sind alle

Gerätetasten zum Steuern der Lautstärke deaktiviert.

Der Gerätebildschirm wird niemals gesperrt.

Der Gerätebildschirm bleibt eingeschaltet, solange das

Gerät mit einer Stromquelle verbunden ist.

15.15.9 Konfiguration „Globaler HTTP-Proxy“ (Android-

Enterprise-Geräterichtlinie)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server und Port

Proxy-Server-URL

Beschreibung

Wählen Sie Manuell aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

15.15.10 Konfiguration „Root-Zertifikat“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Sophos Mobile on Premise

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.15.11 Konfiguration „Client-Zertifikat“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.15.12 Konfiguration „SCEP“ (Android-Enterprise-

Geräterichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Sophos Mobile on Premise

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

Informationen zum Erstellen einer Sophos-Container-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 104).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name : Eine gültige E-Mail-Adresse.

• DNS-Name : Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Sophos Mobile on Premise

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.16 Konfigurationen für Sophos-Container-

Richtlinien (Android)

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für die Sophos-Container-Apps

Sophos Secure Email und Sophos Secure Workspace.

(Seite 100).

15.16.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für Android)

Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.

Einstellung/Feld

Sophos-Container-Kennwort aktivieren

Beschreibung

Benutzer müssen ein zusätzliches Kennwort eingeben, um eine Sophos-Container-App zu starten. Sobald die erste Container-App gestartet wird nachdem die Konfiguration angewendet wurde, muss das Kennwort definiert werden. Dieses Kennwort gilt für alle

Container-Apps.

Sophos Mobile on Premise

Einstellung/Feld

Komplexität des Kennworts

Zeichen in Kennwort-Eingabefeldern immer verstecken

Gültigkeitsdauer des Kennworts in Tagen

Fehlgeschlagene Anmeldungen bis Sperre

Fingerabdruck erlauben

Gültigkeitsdauer in Minuten

Beschreibung

Die minimale Komplexität des Kennworts für den Sophos-Container. Sicherere

Kennwörter sind immer erlaubt. Kennwörter

(eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs (nur numerische

Zeichen).

• Beliebig : Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.

• 4-Ziffern-PIN

• 6-Ziffern-PIN

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.

Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.

Die erlaubte Anzahl fehlgeschlagener

Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden.

Falls konfiguriert, können die Apps auch vom

Benutzer im Self Service Portal entsperrt werden.

Benutzer können die App mit ihrem

Fingerabdruck entsperren.

Die Zeitspanne, während der kein Sophos-

Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im

Vordergrund angezeigt wird.

Die Toleranzfrist gilt für alle Container-Apps.

Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.

Sophos Mobile on Premise

Einstellung/Feld

Mit Gerät sperren

Letzte Verbindung zum Server

Beschreibung

Wenn das Gerät gesperrt wird, wird auch der

Sophos-Container gesperrt.

Wenn das Kontrollkästchen deaktiviert ist, wird der Sophos-Container nur nach Ablauf der

Toleranzfrist gesperrt.

Die Zeitspanne, innerhalb derer Benutzer eine

Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile

Server aufgebaut wurde.

Wenn eine Sophos-Container-App aktiviert wird und innerhalb der definierten Zeitspanne keinen Kontakt mit dem Server hatte, wird ein Sperrbildschirm angezeigt. Der Benutzer kann die App durch Tippen auf Wiederholen entsperren. Hierdurch verbindet sich die App mit dem Server. Kann die Verbindung aufgebaut werden, wird die App entsperrt. Falls nicht, wird der Zugriff verweigert.

• Bei jedem Zugriff : Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.

• 1 Stunde : Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.

• 3 Stunden

• 6 Stunden

• 12 Stunden

• 1 Tag

• 3 Tage

• Ohne : Keine regelmäßige Verbindung ist notwendig.

Sophos Mobile on Premise

Einstellung/Feld

Offline-Starts ohne Serververbindung

Beschreibung

In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.

Hinweis

Diese Einstellung setzt voraus, dass ein

Sophos-Container-Kennwort eingerichtet ist.

Root-Zugriff erlaubt Die Container-Apps dürfen auf gerooteten

Geräten ausgeführt werden.

App-Nutzungs-Beschränkungen

Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken

Sie auf Hinzufügen , um Beschränkungen einzugeben.

Räumliche Beschränkungen

Es wird mitgezählt, wie oft Benutzer das

Sophos-Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe Sperrbildschirm wie für die

Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum Sophos Mobile Server hergestellt wird.

• Unbegrenzt : Es ist keine Serververbindung notwendig.

• 0 : Das Starten der App ohne Serververbindung ist nicht möglich.

• 1 : Nach einem Start der App ist eine erfolgreiche

Serververbindung notwendig.

• 3

• 5

• 10

• 20

Zeitliche Beschränkungen

Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.

Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-

Container-Apps verwendet werden können.

Sie können auch spezifizieren, an welchen

Wochentagen die Apps verwendet werden können.

Sophos Mobile on Premise

Einstellung/Feld

WLAN-Beschränkungen

Beschreibung

Wenn Sie WLAN-Verbindung erforderlich auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.

Wenn Sie WLAN-Verbindungen zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das Gerät mit einem nicht aufgeführten WLAN verbunden ist.

Wichtig

Wir empfehlen, sich nicht auf WLAN-

Beschränkungen als einzigen

Sicherheitsmechanismus zu verlassen, da WLAN-

Namen sehr leicht gefälscht werden können (Wi-Fi

Spoofing).

15.16.2 Konfiguration „Unternehmens-E-Mail“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmens-E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft

Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im

Sophos-Container installiert ist.

Einstellung/Feld

Exchange-Server

Beschreibung

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Benutzer

E-Mail-Adresse

Domäne

Support-E-Mail-Kontakt

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Die Domäne für dieses Konto.

Die Adresse für E-Mails, die über die Funktion

„Kontaktiere Support“ gesendet werden.

Einstellung/Feld

Kontakte auf das Gerät exportieren

Benachrichtigungsdetails

In Zwischenablage kopieren verbieten

Screenshots verbieten

Maximale E-Mail-Größe

Öffnen/Teilen erlauben

Sophos Mobile on Premise

Beschreibung

Benutzer können Exchange-Kontakte inklusive

Telefonnummer als lokale Kontakte auf das

Gerät übertragen, damit bei Anrufen von

Firmenkontakten der Name angezeigt wird.

Diese Kontakte werden von Sophos Secure

Email synchronisiert.

Hinweis

Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:

• Wenn die Konfiguration

Unternehmens-E-Mail aus der

Sophos-Container-Richtlinie entfernt wird (nach dem nächsten Neustart der

App Sophos Secure Email).

• Wenn der Sophos-Container vom Gerät entfernt wird.

• Wenn das Gerät bei Sophos Mobile deregistriert wird.

Wählen Sie den Umfang der Informationen aus, der in E-Mail-Benachrichtigungen angezeigt wird.

Diese Einstellung wirkt sich auch auf

Terminerinnerungen aus. Wenn Sie Keine

Benachrichtigungen auswählen, sind

Terminerinnerungen deaktiviert. Wenn

Sie einen anderen Wert auswählen, sind

Terminerinnerungen aktiviert und enthalten

Datum/Uhrzeit, Ort und Titel.

Benutzer können Texte aus Sophos Secure

Email weder kopieren noch ausschneiden.

Benutzer können keine Screenshots der App

Sophos Secure Email machen.

E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte

Wert, werden nicht vom Exchange-Server heruntergeladen.

Benutzer können E-Mail-Anhänge betrachten und teilen.

Sophos Mobile on Premise

Einstellung/Feld

Anhänge öffnen

Anhänge teilen

Erweiterte Einstellungen

Beschreibung

Wählen Sie aus, in welchen Apps Anhänge betrachtet werden können: In allen Apps oder nur in den Sophos-Container-Apps Secure

Workspace und Secure Email.

Mit allen Apps : Anhänge können mit allen

Apps geteilt werden, die das Dateiformat unterstützen.

Mit Container-Apps : Anhänge werden mit einem Geräteschlüssel verschlüsselt und können nur mit Sophos Secure Workspace geöffnet werden. Das Teilen mit anderen Apps bleibt auswählbar.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

15.16.3 Konfiguration „Unternehmensdokumente“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmensdokumente konfigurieren Sie Einstellung für die Funktion

Unternehmensdokumente der App Sophos Secure Workspace.

Online-Speicher konfigurieren

Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:

Einstellung/Feld

Aktivieren

Offline

Verschlüsselt teilen

Unverschlüsselt teilen

Zwischenablage

Beschreibung

Der Speicheranbieter ist in der App verfügbar.

Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.

Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.

Sophos Mobile on Premise

Einstellungen für Unternehmens-Anbieter

Für Speicheranbieter vom Typ WebDAV , auch als Unternehmens-Anbieter bezeichnet, können

Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den

Benutzern nicht geändert werden.

Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.

Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das

Kennwort-Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den Speicheranbieter zu bekommen.

Einstellung/Feld

Name

Server

Benutzername

Kennwort

Zielordner

Beschreibung

Der Anbietername, wie er in der App Sophos

Secure Workspace angezeigt wird.

Geben Sie in diesem Feld Folgendes ein:

• Die URL des Root-Ordners auf dem WebDAV-Server für

Unternehmensdokumente .

• Die URL des Root-Ordners auf dem

WebDAV -Server.

Verwenden Sie folgendes Format: https:// server.company.com

Nur das Protokoll https wird unterstützt.

Der Anmeldename für den Server. Sie können auch die Variable %_USERNAME_% verwenden.

Das Anmeldekennwort.

Der Ordner, in den Dokumente hochgeladen werden.

Weitere Einstellungen

Einstellung/Feld

Dokumente aktivieren

Beschreibung

Aktiviert die Funktion Dokumente , um

Unternehmensdokumente auf sichere Weise auszutauschen.

Sophos Mobile on Premise

Einstellung/Feld

Komplexität des Kennworts

Screenshots verbieten

Erweiterte Einstellungen

Einstellungen für Domänen

Einstellung/Feld

URL

Beschreibung

Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere

Passphrasen sind immer erlaubt.

Sie können folgende Einstellungen auswählen:

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

Benutzer können keine Screenshots der App

Sophos Secure Workspace machen.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

15.16.4 Konfiguration „Unternehmens-Browser“ (Sophos-

Container-Richtlinie für Android)

Mit der Konfiguration Unternehmens-Browser konfigurieren Sie Einstellung für die Funktion

Unternehmens-Browser der App Sophos Secure Workspace.

Mit dem Unternehmens-Browser können Sie auf sichere Weise auf Intranetseiten Ihres

Unternehmens und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von Domänen.

Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.

Allgemeine Einstellungen

Einstellung/Feld

Screenshots verbieten

Beschreibung

Benutzer können keine Screenshots aufnehmen, die den Unternehmensbrowser zeigen.

Beschreibung

Die Domäne, die Sie erlauben wollen.

Einstellung/Feld

Kopieren/Einfügen erlauben

„Öffnen mit“ erlauben

Kennwort-Speichern erlauben

Sophos Mobile on Premise

Beschreibung

Benutzer können Text aus dem Unternehmens-

Browser kopieren und in anderen Apps einfügen.

Benutzer können Anhänge herunterladen oder an andere Apps weiterleiten.

Benutzer können ihre Kennwörter im

Unternehmens-Browser speichern.

Einstellungen für Lesezeichen

Einstellung/Feld

Name

URL

Beschreibung

Der Name für das Lesezeichen.

Die Webadresse für das Lesezeichen.

15.16.5 Konfiguration „Root-Zertifikat“ (Sophos-Container-

Richtlinie für Android)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Das Zertifikat steht den Apps „Sophos Secure Email“ und „Sophos Secure Workspace“ zur Verfügung, wenn diese im Sophos-Container installiert sind.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.16.6 Konfiguration „Client-Zertifikat“ (Sophos-Container-

Richtlinie für Android)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Dieses Zertifikat steht der App Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

164

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.16.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für

Android)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen der App

Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Betreff

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

(Seite 104).

Einstellung/Feld

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Sophos Mobile on Premise

Beschreibung

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name : Eine gültige E-Mail-Adresse.

• DNS-Name : Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.17 Konfigurationen für Mobile-Security-

Richtlinien (Android)

Mit einer Mobile-Security-Richtlinie konfigurieren Sie die App Sophos Mobile Security.

Informationen zum Erstellen einer Mobile-Security-Richtlinie finden Sie in

(Seite 100).

Sophos Mobile on Premise

15.17.1 Netzwerkkonfiguration (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Netzwerk verwalten Sie die Einstellungen der App Sophos Mobile Security für den Bereich Netzwerk, mit dem Benutzer vor netzwerkbasierten Bedrohungen geschützt werden.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

„Man-In-The-Middle“-Schutz

Erweiterte Einstellungen

Beschreibung

Sophos Mobile Security überprüft die WLAN-Verbindung auf Man-in-the-Middle-Angriffe.

Konfigurieren Sie diese Einstellungen nur, wenn Sie vom

Sophos Support dazu aufgefordert werden.

15.17.2 Konfiguration „Antivirus“ (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Antivirus verwalten Sie die Einstellungen der App Sophos Mobile Security zum

Malware-Schutz.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

Cloud-Scan-Modus

Intervall für geplanten Scan

System-Apps scannen

Beschreibung

Wählen Sie aus, wann Sophos Mobile Security die neusten Malware-Informationen vom Sophos-Server lädt.

Wählen Sie die Häufigkeit von Malware-Scans aus.

Wenn Sie Täglich beim Laden auswählen, wird ein Scan ausgeführt, wenn das Gerät länger als 30 Minuten an einer Stromquelle angeschlossen ist.

System-Apps werden gescannt.

System Apps werden standardmäßig nicht gescannt, da diese durch das Android-Betriebssystem geschützt sind und nicht vom Benutzer deinstalliert werden können.

Einstellung/Feld

Speicher scannen

PUAs erkennen

Benutzer darf Apps erlauben

Modus

Scan-Benachrichtigungen

Speicher überwachen

App-Gruppe

Sophos Mobile on Premise

Beschreibung

Zusätzlich zum standardmäßigen Scan aller installierten

Anwendungen werden alle Datei in folgenden

Speicherbereichen auf Bedrohungen gescannt: Interner geteilter Speicher, SD-Karte, verbundene USB-Geräte.

Potenziell unerwünschte Anwendungen (PUAs) werden gescannt.

PUAs sind Apps, die zwar nicht schädlich sind, jedoch für Unternehmensnetzwerke als ungeeignet angesehen werden. Dazu gehören beispielsweise Adware, Dialer

(Einwahlprogramme), Systemmonitore, Remote-

Verwaltungs- und Hacking-Tools. Einige Apps, die unter

PUAs fallen, können für manche Benutzer jedoch hilfreich sein.

Benutzer können als PUA klassifizierte Apps erlauben. Bei nachfolgenden Scans werden erlaubte Apps ignoriert.

Wählen Sie das Verhalten für Apps mit niedriger

Reputation aus:

Erlauben : Scannen nach Apps niedriger Reputation deaktivieren.

Warnen : Eine Warnung am Gerät anzeigen, wenn eine

App niedriger Reputation erkannt wurde. Die Benutzer können wählen, wie mit der App verfahren werden soll. Sie können sie zu einer Liste von erlaubten Apps hinzufügen, so dass keine weiteren Warnungen angezeigt werden, wenn diese App erkannt wird.

Blockieren : Benutzer können Apps mit niedriger

Reputation nicht starten.

Sophos Mobile Security erzeugt eine Benachrichtigung, wenn eine App nach der Installation gescannt wird.

Wenn das Kontrollkästchen deaktiviert ist, werden keine

Benachrichtigungen für saubere Apps erzeugt.

Folgende Speicherbereiche werden auf Änderungen

überwacht: Interner geteilter Speicher, SD-Karte, verbundene USB-Geräte. Wenn neue Dateien in diesen

Bereichen gespeichert werden, werden diese gescannt.

Wählen Sie eine Gruppe erlaubter Apps aus. Apps aus dieser Gruppe werden nicht gescannt.

Sophos Mobile on Premise

15.17.3 Konfiguration „Web Filtering“ (Sophos-Mobile-Security-

Richtlinie für Android)

Mit der Konfiguration Webfilter verwalten Sie die Einstellungen der App Sophos Mobile Security für den Bereich Webfilter , mit dem Benutzer vor Webseiten mit schädlichem, unerwünschtem oder illegalem Inhalt geschützt werden.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Unterstützte Browser:

• Android-Web-Browser

• ASUS-Browser

• Google Chrome

• Firefox

• Firefox Klar

• HTC Sense Browser

• Microsoft Edge

• Opera

• Opera Mini

• Samsung Internet für Android

Einstellung/Feld

Schädliche Webseiten filtern

Webseiten nach Kategorien filtern

Beschreibung

Wählen Sie aus, ob Benutzer Webseiten mit schädlichem

Inhalt besuchen können.

Wählen Sie aus, ob Benutzer Webseiten besuchen können, die in eine bestimmte Kategorie fallen.

Sophos Mobile Security kategorisiert Webseiten basierend auf Daten von SophosLabs. Die Daten werden laufend aktualisiert.

Einstellung/Feld

Website-Ausschlüsse

Sophos Mobile on Premise

Beschreibung

Konfigurieren Sie Ausnahmen für die Kategorie-Filter:

Erlaubte Domänen : Webseiten, die erlaubt sind, obwohl die zugehörige Kategorie blockiert wird.

Blockierte Domänen : Webseiten, die blockiert werden, obwohl die zugehörige Kategorie erlaubt ist.

Sie können Domänen-Namen oder IP-Adressen eingeben.

Beispiele:

• www.example.com

• *.example.com

• 198.51.100.1

• 198.51.100.0/24

15.18 Konfigurationen für Knox-Container-Profile

Mit einem Knox-Container-Profil konfigurieren Sie Einstellungen für den Knox-Container auf Samsung-

Geräten.

Informationen zum Erstellen eines Knox-Container-Profils finden Sie in

(Seite 100).

15.18.1 Konfiguration „Kennwortrichtlinien“ (Knox-Container-

Profil)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Knox-Container-

Kennwort.

Hinweis

Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Kennworttyp

Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:

Einstellung/Feld

Muster, PIN oder Kennwort

Beschreibung

Benutzer müssen eine Displaysperre einrichten. Für die Displaysperre sind die Typen

Muster , PIN und Passwort erlaubt. Weitere

Einschränkungen bestehen nicht.

Sophos Mobile on Premise

Einstellung/Feld

Einfaches Kennwort

PIN oder Kennwort

Alphanumerisches Kennwort

Komplexes Kennwort

Beschreibung

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein

Buchstabe enthalten sein. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom Typ

PIN oder Passwort einrichten. Sie können eine

Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.

Benutzer müssen eine Displaysperre vom

Typ Passwort einrichten. Das Kennwort muss sowohl Buchstaben als auch Ziffern enthalten.

Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und

Großbuchstaben und Sonderzeichen festlegen.

Siehe die nachfolgenden beiden Tabellen.

Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder

Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Länge des Kennworts

Inaktivitätsdauer bis zur Abfrage des

Kennworts

Beschreibung

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Zeit, nach der der Knox-Container gesperrt wird, wenn er nicht benutzt wird. Der Container lässt sich durch Eingabe des Kennworts entsperren.

Hinweis

Das Gerät erzwingt möglicherweise eine kürzere

Zeitspanne als die von Ihnen konfigurierte.

Gültigkeitsdauer des Kennworts in Tagen

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Die Anzahl falscher Kennworteingaben, nach der der Knox-Container zurückgesetzt wird.

Sophos Mobile on Premise

Einstellung/Feld

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:

Einstellung/Feld

Minimale Anzahl von Buchstaben

Minimale Anzahl von Kleinbuchstaben

Minimale Anzahl von Großbuchstaben

Minimale Anzahl von Zeichen, die kein

Buchstabe sind

Minimale Anzahl von Ziffern

Minimale Anzahl von Sonderzeichen

Beschreibung

Die Mindestanzahl an Buchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Kleinbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl Großbuchstaben, die ein

Kennwort enthalten muss.

Die Mindestanzahl nicht-alphabetischer Zeichen

(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.

Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.

Die Mindestanzahl an Sonderzeichen (zum

Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.

Biometrische Authentisierung

Einstellung/Feld

Fingerabdruck-Authentisierung erlauben

Iris-Authentisierung erlauben

Gesichts-Authentisierung erlauben

Beschreibung

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Fingerabdruck-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Iris-Authentisierung entsperren.

Falls vom Gerät unterstützt, kann der Benutzer den

Knox-Container mittels Gesichts-Authentisierung entsperren.

Sophos Mobile on Premise

15.18.2 Konfiguration „Einschränkungen“ (Knox-Container-

Profil)

Mit der Konfiguration Einschränkungen konfigurieren Sie Einschränkungen und zugehörige

Einstellungen für Android for Work.

Einstellung/Feld

Bildschirmaufnahme erlauben

Kamera erlauben

Zwischenablage erlauben

„Teilen über“ erlauben

Beschreibung

Benutzer können Screenshots von Apps im Samsung-

Knox-Container machen.

Apps im Samsung-Knox-Container können auf die

Kamera zugreifen.

Das Kopieren von Inhalten in die Zwischenablage ist nicht eingeschränkt.

Die von manchen Apps verwendete Funktion Teilen

über ist verfügbar.

Mikrofon erlauben

Kopieren von Dateien in den

Container erlauben

Bluetooth erlauben

Apps im Samsung-Knox-Container können auf das

Mikrofon zugreifen.

Benutzer müssen die sichere Tastatur verwenden.

Verwendung der sicheren Tastatur erzwingen

Hinzufügen neuer E-Mail-Konten erlauben

Daten-Export erlauben

Benutzer können zusätzlich zu den über ein Sophos

Mobile Profil konfigurierten Konten weitere E-Mail-

Konten hinzufügen.

Private Apps können auf Daten aus dem Samsung-

Knox-Container zugreifen.

Private Dateien können in den Samsung-Knox-

Container kopiert oder verschoben werden.

Apps im Samsung-Knox-Container können Bluetooth-

Verbindungen verwenden.

NFC erlauben Apps im Samsung-Knox-Container können NFC-

Verbindungen (Near-Field Communication) verwenden.

Multifaktor-Authentisierung erzwingen Zum Entsperren des Samsung-Knox-Containers sind mehrere Authentisierungsarten erforderlich, zum

Beispiel Kennwort und Fingerabdruck.

Einstellung/Feld

Erlaubte Apps / Unzulässige Apps

Sophos Mobile on Premise

Beschreibung

Sie können entweder Erlaubte Apps oder

Unzulässige Apps konfigurieren. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.

Diese Einschränkungen betreffen nicht die App-

Installationen, die vom Sophos Mobile Server initiiert werden.

Informationen zur Erstellung von App-Gruppen finden

Sie in

15.18.3 Konfiguration „Exchange-Konto“ (Knox-Container-Profil)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein. Diese Einstellungen gelten für den Samsung-Knox-Container.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Absender

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Ein Absendername für das Konto.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Sophos Mobile on Premise

Einstellung/Feld

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Standardkonto

Alle Zertifikate erlauben

Weiterleitung von anderen Konten erlauben

HTML-Format erlauben

Max. Größe von Anhängen in MB

Inhalte

Beschreibung

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Das Konto wird als Standard-E-Mail-Konto verwendet.

Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.

Mit diesem Konto können E-Mails anderer Konten weitergeleitet werden.

Beispiel: Wenn dies Konto A ist und der Knox-

Container ein weiteres Konto B enthält, kann eine von Konto B erhaltene E-Mail von Konto

A weitergeleitet werden, d.h. Konto A wird als

Absender der Weiterleitung verwendet.

Hinweis

Diese Einstellung wird nur von der nativen Android-

E-Mail-App verwendet.

E-Mails im HTML-Format sind zugelassen.

Die maximale Größe einer einzelnen E-Mail-

Nachricht ( 1 , 3 , 5 , 10 , Unbegrenzt ).

Die zu synchronisierenden Inhalte.

Sophos Mobile on Premise

15.19 Konfigurationen für Android-Things-

Richtlinien

Mit einer Android-Things-Richtlinie konfigurieren Sie verschiedene Bereiche von Android-Things-

Geräten. Derzeit werden nur WLAN-Einstellungen unterstützt.

Informationen zur Erstellung einer Android-Things-Richtlinie finden Sie in

Profil oder Richtlinie erstellen (Seite

(Seite 100).

15.19.1 Konfiguration „WLAN“ (Android-Things-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Sicherheitstyp

Beschreibung

Die ID des WLAN.

Der Sicherheitstyp des WLAN:

• Ohne

• WEP

• WPA/WPA2

Wenn Sie WEP oder WPA/WPA2 auswählen, wird ein Feld Kennwort angezeigt. Geben Sie das relevante Kennwort ein.

15.20 Konfigurationen für iOS-Geräteprofile

Mit einem iOS-Geräteprofil konfigurieren Sie verschiedene Bereiche von iOS-Geräten, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen eines Geräteprofils finden Sie in

100).

15.20.1 Konfiguration „Kennwortrichtlinien“ (iOS-Geräteprofil)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Gerätekennwort.

Hinweis

Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Sophos Mobile on Premise

Einstellung/Feld

Einfache Werte erlauben

Alphanumerische Werte erforderlich

Minimale Länge des Kennworts

Mindestanzahl von komplexen Zeichen

Gültigkeitsdauer des Kennworts in Tagen

Automatische Sperre (Minuten)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Toleranzfrist für Gerätesperrung

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der Toleranzfrist für die Gerätesperrung legen Sie fest, wie lange nach einer Sperre das Gerät ohne Kennwort entsperrt werden kann. Wenn Sie Ohne auswählen, kann der Benutzer einen beliebigen verfügbaren Zeitraum wählen. Wenn Sie Sofort auswählen, müssen Benutzer immer, wenn sie ihre Geräte entsperren, ein Kennwort eingeben.

Sophos Mobile on Premise

Einstellung/Feld

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Beschreibung

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Versuchen wird eine Zeitverzögerung verhängt. Ein erneuter Versuch kann erst nach Ablauf der Verzögerung unternommen werden. Diese Verzögerung wird mit jedem fehlgeschlagenen Versuch größer. Nach dem letzten fehlgeschlagenen Versuch werden alle

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

15.20.2 Konfiguration „Einschränkungen“ (iOS-Geräteprofil)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Hinweis

Einige Optionen sind nur für bestimmte iOS-Versionen oder für betreute Geräte verfügbar. In

Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Gerät

Einstellung/Feld

Installation von Apps erlauben

App-Installation über die

Benutzeroberfläche erlauben

Verwendung der Kamera erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist der

App Store nicht verfügbar und sein Symbol wird vom

Home-Bildschirm entfernt. Benutzer können keine

Apps über den App Store, über iTunes oder Apple

Configurator installieren oder aktualisieren.

Wenn das Kontrollkästchen deaktiviert ist, ist der

App Store nicht verfügbar und sein Symbol wird vom

Home-Bildschirm entfernt. Benutzer können weiterhin

Apps über iTunes oder Apple Configurator installieren oder aktualisieren.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Sophos Mobile on Premise

Einstellung/Feld

FaceTime erlauben

Bildschirmaufnahme erlauben

Automatische Synchronisierung bei

Roaming erlauben

Siri erlauben

Siri erlauben, während das Gerät gesperrt ist

Websuche für Siri erlauben

Beschreibung

Benutzer können Videotelefonie über FaceTime durchführen.

Benutzer können Screenshots machen.

Wenn das Kontrollkästchen deaktiviert ist, synchronisieren sich Geräte bei Mobilfunk-Roaming nur dann, wenn der Benutzer auf ein Konto zugreift.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer Siri, Sprachbefehle oder die Diktierfunktion nicht verwenden.

Wenn das Kontrollkästchen deaktiviert ist, müssen

Benutzer ihre Geräte durch Eingabe ihres Kennworts entsperren, damit sie Siri benutzen können.

Wenn das Kontrollkästchen deaktiviert ist, führt Siri keine Websuche durch.

Filtern von anstößiger Sprache für Siri erzwingen

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer das Filtern von anstößiger Sprache für Siri deaktivieren.

Sprachwahl bei gesperrtem Gerät erlauben

Wenn das Kontrollkästchen deaktiviert ist, sind Anrufe mittels Sprachkommandos nicht möglich, wenn das

Gerät mit einem Kennwort gesperrt ist.

Hinweis

Falls kein Gerätekennwort konfiguriert ist, sind

Anrufe mittels Sprachkommandos immer möglich.

Passbook bei Gerätesperre erlauben

In-App-Käufe erlauben

Benutzer muss für alle Einkäufe das

Store-Kennwort eingeben

Mehrspielermodus erlauben

Game Center erlauben

Passbook-Benachrichtigungen werden auch bei gesperrtem Gerät angezeigt.

Benutzer können In-App-Käufe durchführen.

Benutzer müssen für Käufe ihr Apple-ID-Kennwort eingeben.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer innerhalb einer kurzen Toleranzfrist mehrere

Käufe durchführen, ohne ihr Kennwort jedes Mal neu einzugeben.

Benutzer können im Game Center Multiplayer-Spiele spielen.

Wenn das Kontrollkästchen deaktiviert ist, ist Game

Center nicht verfügbar.

Sophos Mobile on Premise

Einstellung/Feld

Hinzufügen von Game-Center-

Freunden erlauben

Änderung der „Freunde suchen“-

Einstellungen erlauben

USB-Kopplung erlauben

Kopplung mit Apple Watch erlauben

AirDrop erlauben

Zugriff auf das Kontrollzentrum im

Sperrbildschirm erlauben

Zugriff auf die Mitteilungszentrale im

Sperrbildschirm erlauben

Zugriff auf die Heute-Ansicht im

Sperrbildschirm erlauben

News erlauben

Over-the-air PKI Updates erlauben

Einkauf von Büchern in iBooks erlauben

Einkauf von Büchern mit anstößigen

Inhalten in iBooks erlauben

Installation von

Konfigurationsprofilen durch den

Benutzer erlauben iMessage erlauben

Beschreibung

Benutzer können im Game Center Freunde hinzufügen.

Wenn das Kontrollkästchen deaktiviert ist, können die

Einstellungen der App „Meine Freunde suchen“ nicht geändert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist ein

Datenaustausch per Kabel (Host Pairing) deaktiviert, außer mit dem „Supervision Host“. Wenn kein

Supervision-Host-Zertifikat konfiguriert ist, ist kein Host

Pairing möglich.

Wenn das Kontrollkästchen deaktiviert ist, kann das

Geräte nicht mit einer Apple Watch gekoppelt werden.

Für bereits gekoppelte Apple-Watch-Geräte wird die

Kopplung aufgehoben.

Inhalte können mittels AirDrop geteilt werden.

Wenn das Kontrollkästchen deaktiviert ist, ist das

Kontrollzentrum bei aktiver Displaysperre nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist die

Mitteilungszentrale bei aktiver Displaysperre nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, ist die Heute-Ansicht bei aktiver Displaysperre nicht verfügbar.

Die App „News“ ist verfügbar.

PKI-Aktualisierungen sind „Over-the-Air“ möglich.

Benutzer können in iBooks Bücher kaufen.

Wenn das Kontrollkästchen deaktiviert ist, sind iBooks mit anstößigem Inhalt gesperrt.

Benutzer können Konfigurationsprofile installieren.

Deinstallation von Apps erlauben

Benutzer können mit iMessage SMS senden oder empfangen.

Benutzer können Apps vom Gerät deinstallieren.

Sophos Mobile on Premise

Einstellung/Feld

Deinstallation von System-Apps erlauben

Löschen aller Inhalte und

Einstellungen erlauben

Internetsuchergebnis für Spotlight erlauben

Aktivierung der Beschränkungsoption erlauben

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Wenn das Kontrollkästchen deaktiviert ist, ist auf der

Seite „Zurücksetzen“ die Option Einschränkungen aktivieren nicht verfügbar.

Handoff erlauben

Beschreibung

Benutzer können System-Apps vom Gerät deinstallieren.

Wenn das Kontrollkästchen deaktiviert ist, ist auf der Seite „Zurücksetzen“ die Option Inhalte und

Einstellungen löschen nicht verfügbar.

Ändern des Gerätenamens erlauben

Hintergrundbild-Änderung erlauben

Tastenkürzel erlauben

Diktieren von Tastatureingaben erlauben

Automatisches Herunterladen von

Apps erlauben

Apple Music erlauben

Apple Music Radio erlauben

Ändern der Bluetooth-Einstellungen erlauben

VPN-Erstellung erlauben

Verzögerung von iOS-

Aktualisierungen

Die Apple-Integrations-Funktion „Handoff“ ist verfügbar. Mit „Handoff“ können Benutzer die

Bearbeitung von Dokumenten, E-Mails oder

Nachrichten, die sie auf einem Gerät begonnen haben, auf einem anderen Gerät fortsetzen.

Benutzer können den Gerätenamen ändern.

Benutzer können das Hintergrundbild ändern.

Benutzer können Tastenkürzel verwenden.

Benutzer können in den Tastatureinstellungen die

Diktierfunktion aktivieren.

Wenn das Kontrollkästchen deaktiviert ist, werden

Apps, die auf anderen Geräten erworben wurden, nicht automatisch heruntergeladen. Dies betrifft nicht die

Aktualisierung bereits vorhandener Apps.

Der Dienst „Apple Music“ ist verfügbar.

Der Dienst „Apple Music Radio“ ist verfügbar.

Benutzer können die Bluetooth-Einstellungen ändern.

Benutzer könne VPN-Konfigurationen hinzufügen.

Anzahl an Tagen, die eine iOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

Sophos Mobile on Premise

Firmendaten

Einstellung/Feld Beschreibung

Öffnen von Dokumenten nur innerhalb von verwalteten Apps/Konten erlauben

Dies beschränkt das Öffnen von Dokumenten mit Apps oder Konten, die von Sophos Mobile verwaltet werden

(z.B. ein Firmen-E-Mail-Konto).

Wenn Benutzer über ein von Sophos Mobile verwaltetes E-Mail-Konto und von Sophos Mobile verwaltete Apps auf Ihren Geräten verfügen, können die Anhänge aus dem verwalteten E-Mail-Konto nur mit verwalteten Apps geöffnet werden.

Auf diese Weise können Sie verhindern, dass

Unternehmensdokumente mit nicht verwalteten Apps geöffnet werden.

Öffnen von Dokumenten nur innerhalb von nicht verwalteten Apps/Konten erlauben

Verwendung von AirDrop-

Dokumenten als nicht verwaltete

Dokumente erzwingen

Dies beschränkt das Öffnen von Dokumenten mit Apps oder Konten, die nicht von Sophos Mobile verwaltet werden (z.B. ein privates E-Mail-Konto).

Wenn Benutzer auf ihren Geräten E-Mail-Konten und Apps haben, die nicht von Sophos Mobile verwaltet werden, können die Anhänge aus dem nicht verwalteten E-Mail-Konto nur mit nicht verwalteten

Apps geöffnet werden.

Auf diese Weise können Sie verhindern, dass persönliche Dokumente mit verwalteten Apps geöffnet werden.

Mittels AirDrop geteilte Dokumente sind keine verwalteten Dokumente.

Verwalteten Apps die

Synchronisierung mit iCloud erlauben

Sicherung für Enterprise-Books erlauben

Verwaltete Apps können iCloud für die

Synchronisierung verwenden.

Enterprise-Books werden gesichert.

Enterprise Books Notes und

Highlights-Sync erlauben

Notizen und Hervorhebungen in Enterprise-Books werden synchronisiert.

Sophos Mobile on Premise

Anwendungen

Einstellung/Feld

Verwendung des iTunes Store erlauben

Verwendung von Safari erlauben

Automatisches Ausfüllen aktivieren

Betrugswarnung erzwingen

Pop-Up-Fenster blockieren

JavaScript im Browser erlauben

Cookies akzeptieren

Änderung der Einstellungen für mobile

Datenverbindungen pro App erlauben

Erlaubte Apps / Unzulässige Apps

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist der iTunes Store nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Benutzer können

Inhalte weder in der Vorschau ansehen, noch kaufen oder herunterladen.

Wenn das Kontrollkästchen deaktiviert ist, ist der

Browser Safari nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Dies verhindert auch, dass Benutzer Web Clips öffnen.

Wenn das Kontrollkästchen deaktiviert ist, werden in

Safari Webformulare nicht automatisch ausgefüllt.

Die Safari-Sicherheitseinstellung zum Warnen des

Benutzers vor möglichen Phishing-Websites ist immer aktiviert.

Safari blockiert Popups.

Webseiten können JavaScript-Code auf dem Gerät ausführen.

In diesem Feld legen Sie fest, ob Safari Cookies akzeptiert.

Wenn Sie Cookies erlauben, können Sie festlegen, ob nur Cookies der aktuellen Seite, der zuletzt besuchten

Seiten oder aller Seiten akzeptiert werden.

Benutzer können für einzelne Apps die Einstellungen für mobile Datenverbindungen ändern.

Sie können entweder Erlaubte Apps oder

Unzulässige Apps angeben. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten

Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält. Informationen zur

Erstellung von App-Gruppen finden Sie in App-

Gruppen (Seite 316).

Sophos Mobile on Premise

iCloud

Einstellung/Feld

Sicherung erlauben

Dokumentensynchronisierung erlauben

Fotostream erlauben iCloud-Fotomediathek erlauben

Freigegebene Fotostreams erlauben iCloud-

Schlüsselbundsynchronisierung erlauben

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können Fotos zu Mein Fotostream hochladen.

Hinweis

Wenn Sie das Kontrollkästchen deaktivieren, um Mein Fotostream zu verbieten, werden existierende Fotos von allen Geräten gelöscht, auf denen diese über Mein Fotostream geteilt wurden. Wenn keine anderen Kopien dieser Fotos existieren, gehen diese verloren.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können ihre Fotostreams anderen Benutzern zur Betrachtung freigeben und freigegebene

Fotostreams anderer Benutzer betrachten.

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Sicherheit und Privatsphäre

Einstellung/Feld

Senden von Diagnosedaten an Apple erlauben

Annehmen nicht vertrauenswürdiger

TLS-Zertifikate durch Benutzer erlauben

Enterprise-Apps vertrauen

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, werden keine iOS-Diagnosedaten an Apple gesendet.

Wenn das Kontrollkästchen deaktiviert ist, werden

Benutzer nicht gefragt, ob sie einem Zertifikat vertrauen möchten, das nicht verifiziert werden kann.

Diese Einstellung gilt für Safari, Mail-Kontakte und

Kalender-Konten.

Enterprise-Apps wird vertraut.

Sophos Mobile on Premise

Einstellung/Feld

Kennwort-Änderung erlauben

Kontoänderungen erlauben

Touch ID zum Entsperren des Gerätes erlauben

Beschränken von Ad-Tracking erzwingen

Verschlüsselte Sicherungen erzwingen

Konfigurierte WLAN-Netzwerke erzwingen

Beschreibung

Benutzer können ein Gerätekennwort definieren,

ändern und löschen.

Wenn das Kontrollkästchen deaktiviert ist, können

Benutzer keine Konten bearbeiten. Das Menü Konten ist nicht verfügbar.

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Apps für anonyme Benutzerdaten, die für die

Adressierung von Werbung verwendet werden, sind nicht mehr verfügbar.

Benutzer müssen iTunes-Backups verschlüsseln.

AirPrint erlauben

Speichern von AirPrint-

Anmeldeinformationen erlauben iBeacon-Erkennung von AirPrint-

Druckern erlauben

Geräte können sich nur mit WLAN-Netzwerken verbinden, die über ein Sophos Mobile Profil konfiguriert wurden.

Benutzer können Dateien an AirPrint-Drucker senden.

Benutzername und Kennwort für AirPrint können im

Systemschlüsselbund gespeichert werden.

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

Vertrauenswürdige Zertifikate für

AirPrint über TLS erzwingen

Schnellstart-Einrichtung neuer Geräte erlauben

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

Der Benutzer kann mit Hilfe der Funktion „Schnellstart“ des iOS-Einrichtungsassistenten Daten von dem Gerät auf ein neues Gerät übertragen.

Sophos Mobile on Premise

Inhaltsbewertung

Einstellung/Feld

Anstößige Musik und Podcasts erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, werden im iTunes Store keine anstößigen Musik- oder Video-

Inhalte angezeigt. Anstößige Inhalte werden von den jeweiligen Anbietern, zum Beispiel Plattenfirmen, bei der Auflistung im iTunes Store entsprechend gekennzeichnet.

15.20.3 Konfiguration „Exchange-Konto“ (iOS-Geräteprofil)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Kennwort

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Sophos Mobile on Premise

Einstellung/Feld

Synchronisierungszeitraum

SSL/TLS

Verschieben erlauben

Synchronisierung letzter Adressen erlauben

Nur mit Mail verwenden

Identitätszertifikat

S/MIME aktivieren

Signaturzertifikat

Verschlüsselungszertifikat

Benutzer darf unverschlüsselte E-Mails senden

Beschreibung

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Benutzer können E-Mails von diesem Konto in ein anderes verschieben. Dies erlaubt Benutzern außerdem, ein anderes Konto für das Antworten auf oder das Weiterleiten von Nachrichten aus diesem Konto zu verwenden.

Das Konto wird in die iCloud-Synchronisierung kürzlich verwendeter Adressen mit anderen

Geräten einbezogen.

Für das Senden von Nachrichten mit diesem

Konto kann nur die App „Mail“ verwendet werden.

Das Konto kann nicht als Absender-Konto für mit anderen Apps erstellten Nachrichten (zum

Beispiel Fotos oder Safari) verwendet werden.

Das Identitätszertifikat für die Verbindung zum

Exchange-Server.

Die Liste enthält alle Zertifikate aus

Konfigurationen vom Typ Client-Zertifikat im aktuellen Profil.

Unterstützung des Verschlüsselungsstandards S/

MIME.

Die für E-Mail-Signierung und -Verschlüsselung verwendeten Zertifikate.

Um ein Zertifikat auszuwählen, müssen Sie dieses zunächst in einer Konfiguration Client-

Zertifikat des aktuellen Profils hochladen.

Der Benutzer bei jeder ausgehenden E-Mail entscheiden, ob sie verschlüsselt gesendet werden soll oder nicht.

Sophos Mobile on Premise

15.20.4 Konfiguration „WLAN“ (iOS-Geräteprofil)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Sophos Mobile on Premise

Einstellung/Feld

Sicherheitstyp

188

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (persönlich)

• WPA/WPA2 (persönlich)

• Beliebig (persönlich)

• WEP (Enterprise)

• WPA/WPA2 (Enterprise)

• Beliebig (Enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,

Authentifizierung and Vertrauen angezeigt.

Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die EAP-

Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.

• Wählen Sie in Minimale TLS-Version und Maximale

TLS-Version die minimale und die maximale TLS -

Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf der Registerkarte

Authentifizierung Einstellungen für die Client-

Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf der Registerkarte Vertrauen

Einstellungen für die Server-Authentifizierung:

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Einstellung/Feld

Proxy

Sophos Mobile on Premise

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• Kein Proxy

• Manuell

• Automatisch

Wenn Sie Manuell auswählen, werden die

Felder Server und Port , Authentifizierung and

Kennwort angezeigt. Geben Sie die erforderlichen

Proxy-Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld Proxy-Server-URL angezeigt. Geben Sie die URL des Proxy-Servers ein.

15.20.5 Konfiguration „Kioskmodus“ (iOS-Geräteprofil)

Mit der Konfiguration Kioskmodus definieren Sie Einstellungen für den Kioskmodus. In diesem Modus kann nur eine einzige App verwendet werden.

Einstellung/Feld

Quelle auswählen

Kennung

Touchscreen deaktivieren

Bildschirmrotation deaktivieren

Lautstärketasten deaktivieren

Lautlos-Schalter deaktivieren

Standby-Taste deaktivieren

Automatische Bildschirmsperre deaktivieren

VoiceOver aktivieren

Beschreibung

Wählen Sie aus, wie Sie die App für den Kioskmodus festlegen wollen:

• App-Liste : Wählen Sie die App aus der Liste der verfügbaren iOS-Apps aus.

• Benutzerdefiniert : Geben Sie manuell die Bundle-

ID der App ein.

Die App für den Kioskmodus.

Wählen Sie entweder eine App aus der Liste aus oder geben Sie eine Bundle-ID ein.

Touch-Gesten sind nicht verfügbar.

Die Bildschirmorientierung kann nicht geändert werden.

Die Gerätetasten zur Lautstärkesteuerung sind nicht verfügbar.

Der Lautlos-Modus kann nicht aktiviert werden.

Die Standby-Taste ist nicht verfügbar.

Die automatische Bildschirmsperre, mit der das

Gerät nach einer bestimmten Inaktivitätsdauer in den

Standbymodus wechselt, ist deaktiviert.

Die Funktion „VoiceOver“ ist verfügbar.

Sophos Mobile on Premise

Einstellung/Feld

Zoom aktivieren

„Farben umkehren“ aktivieren

AssistiveTouch aktivieren

„Auswahl sprechen“ aktivieren

Mono-Audio aktivieren

VoiceOver

Zoom

Farben umkehren

AssistiveTouch

Beschreibung

Die Funktion „Zoom“ ist verfügbar.

Die Funktion „Farben umkehren“ ist verfügbar.

Die Funktion „AssistiveTouch“ ist verfügbar.

Die Funktion „Auswahl sprechen“ ist verfügbar.

Die Funktion „Mono-Audio“ ist verfügbar.

Der Benutzer kann die Funktion „VoiceOver“ anpassen.

Der Benutzer kann die Funktion „Zoom“ anpassen.

Der Benutzer kann die Funktion „Farben umkehren“ anpassen.

Der Benutzer kann die Funktion „AssistiveTouch“ anpassen.

15.20.6 Konfiguration „Zugangspunkt (APN)“ (iOS-Geräteprofil)

Mit der Konfiguration Zugangspunkt (APN) konfigurieren Sie einen Access Point Name (APN) für iOS-

Geräte. Eine APN-Konfiguration legt fest, wie sich Geräte mit einem Mobilfunknetz verbinden.

Hinweis

Die Konfiguration Zugangspunkt (APN) ist veraltet. Verwenden Sie stattdessen die Konfiguration

Mobilfunk . Siehe

Konfiguration „Mobilfunk“ (iOS-Geräteprofil) (Seite 191).

Wichtig

Wenn diese Einstellungen nicht korrekt sind, kann das Gerät nicht auf Daten über ein

Mobilnetzwerk zugreifen. Wenn Sie die Einstellungsänderungen rückgängig machen wollen, müssen Sie das Profil vom Gerät entfernen.

Einstellung/Feld

APN

Beschreibung

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz mittels GPRS verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Einstellung/Feld

Benutzername für Zugangspunkt

Kennwort für Zugangspunkt

Proxy-Server und -Port

Sophos Mobile on Premise

Beschreibung

Der Nutzername für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Benutzernamen mit bis zu 64 Zeichen.

Das Kennwort für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Kennwörter mit bis zu 64 Zeichen.

Die Adresse und die Portnummer des Proxy-

Servers.

15.20.7 Konfiguration „Roaming/Hotspot“ (iOS-Geräteprofil)

Mit der Konfiguration Roaming/Hotspot definieren Sie Einstellungen für Roaming-Verbindungen und für persönliche Hotspots.

Hinweis

Benutzer können diese Einstellungen auf ihren Geräten jederzeit ändern.

Einstellung/Feld

Sprach-Roaming aktivieren

Daten-Roaming aktivieren

Persönlichen Hotspot aktivieren

Beschreibung

Sprach-Roaming ist verfügbar.

Daten-Roaming ist verfügbar.

Der Benutzer kann das Gerät als persönlichen

Hotspot konfigurieren.

15.20.8 Konfiguration „Mobilfunk“ (iOS-Geräteprofil)

Mit der Konfiguration Mobilfunk definieren Sie Einstellungen auf iOS-Geräten für Mobilfunknetze.

Hinweis

Eine Konfiguration vom Typ Mobilfunk kann nicht auf Geräten installiert werden, auf denen bereits eine Konfiguration Zugangspunkt (APN) vorhanden ist.

Sophos Mobile on Premise

Einstellung/Feld

Authentifizierung

APN

Benutzername für Zugangspunkt

Kennwort für Zugangspunkt

Proxy-Server und -Port

Beschreibung

PAP

CHAP

Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz mittels GPRS verbindet.

Dies muss ein vom Netzbetreiber akzeptierter

Zugangspunkt sein. Andernfalls kann die

Verbindung nicht aufgebaut werden.

Der Nutzername für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Benutzernamen mit bis zu 64 Zeichen.

Das Kennwort für den Zugangspunkt.

Hinweis iOS unterstützt für Zugangspunkte

Kennwörter mit bis zu 64 Zeichen.

Die Adresse und die Portnummer des Proxy-

Servers.

15.20.9 Konfiguration „Netzwerk-Nutzungsregeln“ (iOS-

Geräteprofil)

Mit der Konfiguration Netzwerk-Nutzungsregeln legen Sie für verwaltete Apps fest, wie

Datenverbindungen in Mobilfunknetzen verwendet werden dürfen.

Allgemeine Regeln

Unter Regeln für alle verwalteten Apps geben Sie Einstellungen für verwaltete Apps im

Allgemeinen ein.

Einstellung/Feld

Mobilfunkdaten erlauben

Daten-Roaming erlauben

Beschreibung

Verwaltete Apps dürfen Datenverbindungen in

Mobilfunknetzen verwenden.

Verwaltete Apps dürfen Datenverbindungen bei Roaming in fremden Mobilfunknetzen verwenden.

Sophos Mobile on Premise

Ausnahmen

Ausnahmen überschreiben die allgemeinen Regeln. Verwenden Sie Ausnahme hinzufügen , um

Regeln zu definieren, die für eine bestimmte App-Gruppe gelten.

Einstellung/Feld

App-Gruppe

Mobilfunkdaten erlauben

Daten-Roaming erlauben

Beschreibung

Wählen Sie eine App-Gruppe aus.

Die Ausnahme gilt für alle verwalteten Apps aus dieser

Gruppe.

Verwaltete Apps in der ausgewählten App-Gruppe dürfen

Datenverbindungen in Mobilfunknetzen verwenden.

Verwaltete Apps in der ausgewählten App-Gruppe dürfen Datenverbindungen bei Roaming in fremden

Mobilfunknetzen verwenden.

Hinweis

Für jede App-Gruppe können Sie nur eine Ausnahmeregel anlegen.

15.20.10 Konfiguration „VPN“ (iOS-Geräteprofil)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Verbindungsname

Verbindungstyp

Identifier (Reverse-DNS-Format)

Server

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• SSL/TLS (benutzerdefiniert)

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Sophos Mobile on Premise

Einstellung/Feld

Konto

Drittanbieter-Einstellungen

Alle Daten über VPN übertragen

Gruppe

Benutzer-Authentifizierung

Beschreibung

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

Einstellung/Feld

Geräte-Authentifizierung

Proxy

Sophos Mobile on Premise

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel

(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung verwenden und Kennwort verlangen .

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• Kein Proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Sophos Mobile on Premise

Einstellung/Feld

Provider-Typ

Beschreibung

Der VPN-Verbindungstyp.

• App-Proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Paket-Tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

15.20.11 Konfiguration „VPN pro App“ (iOS-Geräteprofil)

Mit der Konfiguration VPN pro App definieren Sie VPN-Einstellungen für einzelne Apps.

Sie können konfigurieren, dass bestimmte Apps beim Starten automatisch eine VPN-Verbindung verwenden. Somit können Sie zum Beispiel sicherstellen, das von verwalteten Apps übermittelte

Daten über VPN übertragen werden.

Wenn Sie App-spezifische VPN-Konfigurationen eingerichtet haben, können Sie auf der Seite Paket bearbeiten einer App eine Konfiguration auswählen. Siehe

VPN pro App und Einstellungen für iOS-

Apps konfigurieren (Seite 314).

Einstellung/Feld

Verbindungsname

Verbindungstyp

Identifier (Reverse-DNS-Format)

Server

Konto

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• F5

• Check Point

• SSL/TLS (benutzerdefiniert)

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Einstellung/Feld

Drittanbieter-Einstellungen

Alle Daten über VPN übertragen

Gruppe

Benutzer-Authentifizierung

Proxy

Sophos Mobile on Premise

Beschreibung

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-

Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die

Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-

Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein Zertifikat aus.

Die Proxy-Einstellungen für die Verbindung:

• Kein Proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

197

Sophos Mobile on Premise

Einstellung/Feld

Provider-Typ

Safari-Domänen

Beschreibung

Der VPN-Verbindungstyp.

• App-Proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Paket-Tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

In diesem Feld können Sie eine Liste von

Zeichenfolgen eingeben, um Domänen zu spezifizieren. Verwenden Sie eine neue Zeile für jede Domänen-Zeichenfolge.

Wenn eine Domäne, auf die eine der

Zeichenfolgen passt, in Safari oder in einer anderen Browser-App geöffnet wird, wird die

VPN-Verbindung verwendet.

Domänen werden gemäß der folgenden Regeln mit den Zeichenfolgen verglichen:

• Punkte am Anfang und Ende werden ignoriert. Beispiel: Die Zeichenfolge

.beispiel.com

passt auf dieselben

Domänen wie die Zeichenfolge beispiel.com

• Jeder Namensteil einer Zeichenfolge muss auf einen vollständigen Namensteil einer

Domäne passen. Beispiel: Die Zeichenfolge beispiel.com

passt auf die Domäne www.beispiel.com

, aber nicht auf www.mein-beispiel.com

• Zeichenfolgen, die aus einem einzelnen

Namensteil bestehen, passen nur auf genau diese Domäne. Beispiel: Die

Zeichenfolge beispiel passt auf die

Domäne beispiel , aber nicht auf www.beispiel.com

15.20.12 Konfiguration „Web Clip“ (iOS-Geräteprofil)

Mit der Konfiguration Web Clip definieren Sie Web Clips, die zum Home-Bildschirm hinzugefügt werden. Web Clips bieten schnellen Zugriff auf favorisierte Webseiten. Sie können jedoch zum Beispiel auch einen Web Clip mit einer Support-Telefonnummer hinzufügen, damit die Benutzer schnell den

Helpdesk kontaktieren können.

Einstellung/Feld

Beschreibung

Beschreibung

Eine Beschreibung des Web Clips.

Einstellung/Feld

URL

Darf entfernt werden

Bildschirmfüllend

Symbol

Sophos Mobile on Premise

Beschreibung

Die Webadresse des Web Clips.

Wenn das Kontrollkästchen deaktiviert ist, kann der Benutzer den Web Clip nicht entfernen. Der

Webclip kann nur durch Entfernen des Profils, das den Webclip installiert hat, entfernt werden.

Der Web Clip wird auf dem Gerät bildschirmfüllend geöffnet. Ein bildschirmfüllender Web Clip öffnet die URL als

Web-App.

Wählen Sie ein Bild für das Web-Clip-Icon auf dem Home-Bildschirm aus. Dies muss eine

Bilddatei im Format PNG, GIF oder JPEG mit einer maximalen Größe von 1 MB sein.

Das Bild wird quadratisch beschnitten und je nach Bildschirmauflösung skaliert. Beste

Resultate erhalten Sie bei einer Bildgröße von

180 Pixel mal 180 Pixel.

Hinweis

Wenn im HTML-Code der Webseite ein favicon definiert ist, verwendet das Gerät möglicherweise dieses favicon als Web-Clip-Icon. Dies betrifft nicht alle Webseiten und hängt davon ab, auf welche Weise das favicon im Code der Webseite konfiguriert ist.

15.20.13 Konfiguration „Hintergrundbild“ (iOS-Geräteprofil)

Mit der Konfiguration Hintergrundbild definieren Sie Hintergrundbilder für den Sperrbildschirm und/ oder den Home-Bildschirm von iOS-Geräten.

Einstellung/Feld

Anwenden auf

Beschreibung

Wählen Sie aus, ob das Bild für den Sperrbildschirm, für den

Home-Bildschirm, oder für beides verwendet wird.

Sophos Mobile on Premise

Einstellung/Feld

Bild

Beschreibung

Wählen Sie ein PNG- oder JPEG-Bild (max. 5 MB) aus, das als

Hintergrundbild verwendet wird.

Das Bild wird von iOS nach Bedarf beschnitten und skaliert.

Beste Ergebnisse erhalten Sie bei folgenden Bildgrößen (in

Pixeln):

• 640 × 1136 (iPhone 5)

• 750 × 1334 (iPhone 6/7)

• 1242 × 2208 (iPhone 6/7 Plus)

• 1536 × 2048 (iPad, iPad mini, iPad Air)

• 2048 × 2732 (iPad Pro)

Hinweis

Benutzer können das Hintergrundbild jederzeit ändern.

15.20.14 Konfiguration „Webfilter“ (iOS-Geräteprofil)

Mit der Konfiguration Webfilter definieren Sie blockierte URLs und erlaubte URLs mit Lesezeichen.

Einstellung/Feld

Blockierte URLs

Erlaubte URLs mit Lesezeichen

Nicht-jugendfreie Inhalte blockieren

Beschreibung

Wenn Sie das Kontrollkästchen aktivieren, können Sie eine Liste mit blockierten URLs definieren, auf die nicht zugegriffen werden kann.

Klicken Sie auf Weiter , um die Seite Webfilter anzuzeigen. Auf dieser Seite können Sie einzelne URLs hinzufügen.

Verwenden Sie eine neue Zeile für jede URL.

Wenn Sie das Kontrollkästchen aktivieren, können Sie erlaubte URLs mit Lesezeichen definieren, die im Browser Safari verfügbar sind. Alle anderen Webseiten werden blockiert.

Klicken Sie auf Weiter , um die Seite Webfilter anzuzeigen. Klicken Sie auf Hinzufügen , um individuelle URLs als Lesezeichen zu definieren.

Mit dieser Option auf der Seite Webfilter aktivieren Sie einen Apple-Filter, der nicht-jugendfreie Inhalte blockiert. Zum

Beispiel Webseiten, die Kraftausdrücke oder pornografische Formulierungen verwenden.

Sophos Mobile on Premise

15.20.15 Konfiguration „Globaler HTTP-Proxy“ (iOS-

Geräteprofil)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server und Port

Authentifizierung

Kennwort

Proxy-Server-URL

Beschreibung

Wählen Sie Manuell aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

15.20.16 Konfiguration „Verwaltete Domänen“ (iOS-Geräteprofil)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für iOS-Geräte.

E-Mail-Domänen

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

Web-Domänen

Dateien, die von einer der konfigurierten Domänen heruntergeladen werden, werden als „Verwaltete

Dokumente“ behandelt. Wenn Sie die Einschränkung Öffnen von Dokumenten nur innerhalb von verwalteten Apps/Konten erlauben aktivieren, können diese Dokumente nur von verwalteten Apps geöffnet werden.

Informationen zu verwalteten Apps finden Sie in

Verwaltete iOS-Apps

(Seite 308).

Hinweis

Wenn ein Eintrag für eine verwaltete Web-Domäne eine Portnummer enthält, werden nur

Adressen mit dieser Portnummer als verwaltet berücksichtigt. Andernfalls werden nur die

Standardports als verwaltet berücksichtigt (Port 80 für http und 443 für https).

Sophos Mobile on Premise

15.20.17 Konfiguration „CalDAV“ (iOS-Geräteprofil)

Mit der Konfiguration CalDAV konfigurieren Sie die Synchronisierung von Kalenderdaten mit einem

CalDAV-Server. Sie können so zum Beispiel Google Kalender mit einem iOS-Gerät synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Benutzername , Kennwort

SSL/TLS

Beschreibung

Der auf dem Gerät angezeigte Name des CalDAV-Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CalDAV-Servers.

Geben Sie zum Beispiel für Google Kalender folgendes ein: calendar.google.com:443

Falls vom CalDAV-Server benötigt, geben Sie die

Principal URL der Kalender-Ressource ein.

Geben Sie zum Beispiel folgendes ein, um einen anderen als den Haupt-Kalender eines Google-Kontos zu synchronisieren: https://apidata.googleusercontent.com/ caldav/

v2/calendar_id/user wobei calendar_id die ID des Kalenders ist, den Sie synchronisieren wollen. Wenn Sie Google Kalender in

Ihrem Webbrowser öffnen, wird die Kalender-ID in den

Kalendereinstellungen angezeigt. Einzelheiten finden Sie in der Hilfe zu Google Kalender.

Die Anmeldeinformationen des CalDAV-Kontos.

Geben Sie zum Beispiel für Google Kalender die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CalDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.20.18 Konfiguration „CardDAV“ (iOS-Geräteprofil)

Mit der Konfiguration CardDAV konfigurieren Sie die Synchronisierung von Kontaktdaten mit einem

CardDAV-Server. Sie können so zum Beispiel Google Kontakte mit einem iOS-Gerät synchronisieren.

Einstellung/Feld

Kontoname

Beschreibung

Der auf dem Gerät angezeigte Name des CardDAV-

Kontos.

Einstellung/Feld

Konto-Host-Name und -Port

Principal URL

Benutzername , Kennwort

SSL/TLS

Sophos Mobile on Premise

Beschreibung

Hostname oder IP-Adresse und (optional) der Port des

CardDAV-Servers.

Geben Sie zum Beispiel für Google Kontakte folgendes ein: google.com

Falls vom CardDAV-Server benötigt, geben Sie die

Principal URL der Kontakte-Ressource ein.

Zum Beispiel unterstützt die Google-CardDAV-API folgende Principal URL: https://www.googleapis.com/carddav/

v1/ principals/account_name@gmail.com

wobei account_name der Name des Google-Kontos ist.

Die Anmeldeinformationen des CardDAV-Kontos.

Geben Sie zum Beispiel für Google Kontakte die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CardDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.20.19 Konfiguration „IMAP/POP“ (iOS-Geräteprofil)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem iOS-Gerät hinzu.

Einstellung/Feld

Kontoname

Typ des Accounts

Angezeigter Benutzername

E-Mail-Adresse

Beschreibung

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Der Typ des E-Mail-Servers für eingehende E-Mails

(entweder IMAP oder POP ).

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Sophos Mobile on Premise

Einstellung/Feld

Verschieben erlauben

Synchronisierung letzter Adressen erlauben

Nur mit Mail verwenden

Mail Drop erlauben

S/MIME aktivieren

Signaturzertifikat

Verschlüsselungszertifikat

Benutzer darf unverschlüsselte E-

Mails senden

Eingehende E-Mail

E-Mail-Server und -Port

Beschreibung

Benutzer können E-Mails von diesem Konto in ein anderes verschieben. Dies erlaubt Benutzern außerdem, ein anderes Konto für das Antworten auf oder das

Weiterleiten von Nachrichten aus diesem Konto zu verwenden.

Das Konto wird in die Synchronisierung der Liste zuletzt verwendeter Adressen einbezogen.

Für das Senden von Nachrichten mit diesem Konto kann nur die App „Mail“ verwendet werden. Das Konto kann nicht als Absender-Konto für mit anderen Apps erstellten

Nachrichten (zum Beispiel Fotos oder Safari) verwendet werden.

Apple Mail Drop für dieses Konto erlauben.

Unterstützung des Verschlüsselungsstandards S/MIME.

Die für E-Mail-Signierung und -Verschlüsselung verwendeten Zertifikate.

Um ein Zertifikat auszuwählen, müssen Sie dieses zunächst in einer Konfiguration Client-Zertifikat des aktuellen Profils hochladen.

Der Benutzer bei jeder ausgehenden E-Mail entscheiden, ob sie verschlüsselt gesendet werden soll oder nicht.

Benutzername

Authentifizierung-Typ

Kennwort

SSL/TLS

Hostname oder IP-Adresse und Port des

Posteingangsservers.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Posteingangsserver.

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Die Verbindung zum Posteingangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Ausgehende E-Mail

E-Mail-Server und -Port Hostname oder IP-Adresse und Port des

Postausgangsservers.

Einstellung/Feld

Benutzername

Authentifizierung-Typ

Kennwort

Das selbe Kennwort wie für eingehende E-Mail verwenden

SSL/TLS

Sophos Mobile on Premise

Beschreibung

Der Benutzername für die Verbindung mit dem

Postausgangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Postausgangsserver.

Das Kennwort für die Verbindung mit dem

Postausgangsserver (falls erforderlich).

Das selbe Kennwort wie für den Posteingangsserver verwenden.

Die Verbindung zum Postausgangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

15.20.20 Konfiguration „Exchange-Konto“ (iOS-Geräteprofil)

Mit der Konfiguration Google-Konto richten Sie ein Google-Konto ein. Nachdem die Konfiguration dem

Gerät zugewiesen wurde, muss der Benutzer sich an dem Google-Konto anmelden. Anschließend wird das Google-Konto auf dem Gerät eingerichtet und der Benutzer kann Google-Dienste aktivieren.

Einstellung/Feld

Google-E-Mail-Adresse

Kontobeschreibung

Benutzername

Beschreibung

Die vollständige E-Mail-Adresse des Google-

Kontos.

Eine optionale Beschreibung des Kontos. Der

Wert wird in der E-Mail-App und in den Geräte-

Einstellungen angezeigt.

Der Benutzername. Der Wert wird als

Absendername in E-Mail-Nachrichten verwendet.

15.20.21 Konfiguration „Single-Sign-On“ (iOS-Geräteprofil)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos-Principal-Name

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Sophos Mobile on Premise

Einstellung/Feld

Realm

URLs

App-Kennungen

Beschreibung

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Für Geräte mit iOS 9.0 oder neuer können

Sie einen einzelnen Stern (*) verwenden, um beliebige Werte zu spezifizieren. Beispiel:

Der URL-Präfix https://*.beispiel.de/ passt auf https://www.beispiel.de/ oder https://

m.beispiel.de/.

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

15.20.22 Konfiguration „AirPrint“ (iOS-Geräteprofil)

Mit der Konfiguration AirPrint fügen Sie der Druckerliste eines Benutzers AirPrint-Drucker hinzu.

Einstellung/Feld

IP-Adresse

Ressource

Port

TLS erzwingen

Beschreibung

Die IP-Adresse des AirPrint-Druckers.

Die mit dem Drucker verbundene Ressource.

Beispiele:

• printers/<printer model>

• ipp/print

Der Lauschport des AirPrint-Druckers.

AirPrint-Verbindungen werden mit TLS gesichert.

Sophos Mobile on Premise

15.20.23 Konfiguration „Root-Zertifikat“ (iOS-Geräteprofil)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.20.24 Konfiguration „Client-Zertifikat“ (iOS-Geräteprofil)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.20.25 Konfiguration „SCEP“ (iOS-Geräteprofil)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

URL

CA-Name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Sophos Mobile on Premise

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822-Name : Eine gültige E-Mail-Adresse.

• DNS-Name : Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI) : Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Sophos Mobile on Premise

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.20.26 Duo-Gerätezertifikat (iOS-Geräteprofil)

Mit der Konfiguration Duo-Gerätezertifikat ermöglichen Sie Geräten, ein Zertifikat vom SCEP-

Server von Duo Security anzufordern. Wenn dieses Zertifikat auf einem Gerät installiert ist, klassifiziert die App Duo Mobile das Gerät als vertrauenswürdig.

Die erforderlichen Einstellungen sind für alle Duo-Security-Konten gleich. Ändern Sie nicht die vorausgefüllten Werte.

15.21 Konfigurationen für Sophos-Container-

Richtlinien (iOS)

Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für die Sophos-Container-Apps

Sophos Secure Email und Sophos Secure Workspace.

Informationen zum Erstellen einer Sophos-Container-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 100).

15.21.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für iOS)

Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.

Einstellung/Feld

Sophos-Container-Kennwort aktivieren

Beschreibung

Container-Apps.

Sophos Mobile on Premise

Einstellung/Feld

Komplexität des Kennworts

Zeichen in Kennwort-Eingabefeldern immer verstecken

Gültigkeitsdauer des Kennworts in Tagen

Fehlgeschlagene Anmeldungen bis Sperre

Fingerabdruck erlauben

Gültigkeitsdauer in Minuten

Beschreibung

Die minimale Komplexität des Kennworts für den Sophos-Container. Sicherere

Kennwörter sind immer erlaubt. Kennwörter

(eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs (nur numerische

Zeichen).

• Beliebig : Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.

• 4-Ziffern-PIN

• 6-Ziffern-PIN

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.

Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.

Die erlaubte Anzahl fehlgeschlagener

Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden.

Falls konfiguriert, können die Apps auch vom

Benutzer im Self Service Portal entsperrt werden.

Benutzer können die App mit ihrem

Fingerabdruck entsperren.

Die Zeitspanne, während der kein Sophos-

Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im

Vordergrund angezeigt wird.

Die Toleranzfrist gilt für alle Container-Apps.

Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.

Einstellung/Feld

Letzte Verbindung zum Server

Sophos Mobile on Premise

Beschreibung

Die Zeitspanne, innerhalb derer Benutzer eine

Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile

Server aufgebaut wurde.

• Bei jedem Zugriff : Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.

• 1 Stunde : Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.

• 3 Stunden

• 6 Stunden

• 12 Stunden

• 1 Tag

• 3 Tage

• Ohne : Keine regelmäßige Verbindung ist notwendig.

Sophos Mobile on Premise

Einstellung/Feld

Offline-Starts ohne Serververbindung

Beschreibung

In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.

Hinweis

Diese Einstellung setzt voraus, dass ein

Sophos-Container-Kennwort eingerichtet ist.

Jailbreak erlaubt Die Container-Apps können auf Geräten mit

Jailbreak laufen.

App-Nutzungs-Beschränkungen

Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken

Sie auf Hinzufügen , um Beschränkungen einzugeben.

Räumliche Beschränkungen

Es wird mitgezählt, wie oft Benutzer das

Sophos-Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe Sperrbildschirm wie für die

Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum Sophos Mobile Server hergestellt wird.

• Unbegrenzt : Es ist keine Serververbindung notwendig.

• 0 : Das Starten der App ohne Serververbindung ist nicht möglich.

• 1 : Nach einem Start der App ist eine erfolgreiche

Serververbindung notwendig.

• 3

• 5

• 10

• 20

Zeitliche Beschränkungen

Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.

Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-

Container-Apps verwendet werden können.

Sie können auch spezifizieren, an welchen

Wochentagen die Apps verwendet werden können.

Einstellung/Feld

WLAN-Beschränkungen

Sophos Mobile on Premise

Beschreibung

Wenn Sie WLAN-Verbindung erforderlich auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.

Wenn Sie WLAN-Verbindungen zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das Gerät mit einem nicht aufgeführten WLAN verbunden ist.

Wichtig

Wir empfehlen, sich nicht auf WLAN-

Beschränkungen als einzigen

Sicherheitsmechanismus zu verlassen, da WLAN-

Namen sehr leicht gefälscht werden können (Wi-Fi

Spoofing).

15.21.2 Konfiguration „Unternehmens-E-Mail“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmens-E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft

Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im

Sophos-Container installiert ist.

Einstellung/Feld

Exchange-Server

Beschreibung

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Benutzer

E-Mail-Adresse

Domäne

Support-E-Mail-Kontakt

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-

Mail-Adresse ersetzt.

Die Domäne für dieses Konto.

Die Adresse für E-Mails, die über die Funktion

„Kontaktiere Support“ gesendet werden.

Sophos Mobile on Premise

Einstellung/Feld

Sichere Textfelder verwenden

Kontakte auf das Gerät exportieren

Anrufer-Erkennung

Beschreibung

Der Inhalt von Eingabefeldern wird geschützt.

Auto-Vervollständigung und Auto-Korrektur werden in der App „Sophos Secure Email“ deaktiviert, um zu verhindern, dass sensible

Daten im Gerätespeicher abgelegt werden.

Benutzer können Exchange-Kontakte inklusive

Telefonnummer als lokale Kontakte auf das

Gerät übertragen, damit bei Anrufen von

Firmenkontakten der Name angezeigt wird.

Diese Kontakte werden von Sophos Secure

Email synchronisiert.

Hinweis

Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:

• Wenn die Konfiguration

Unternehmens-E-Mail aus der

Sophos-Container-Richtlinie entfernt wird (nach dem nächsten Neustart der

App Sophos Secure Email).

• Wenn der Sophos-Container vom Gerät entfernt wird.

• Wenn das Gerät bei Sophos Mobile deregistriert wird.

Eingehende Anrufe von Firmenkontakten können anhand der Kontaktdaten aus Sophos

Secure Email identifiziert werden, ohne dass

Kontakte aus Sophos Secure Email in die

Gerätekontakte exportiert werden müssen.

Für die Verwendung müssen Benutzer folgende

Einstellungen vornehmen:

• In der App „Einstellungen“: Telefon > Anrufe blockieren u. identifizieren > Email

• In der App Sophos Secure Email: Einstellungen >

Kontakte > Identifizieren von Anrufen

Einstellung/Feld

Benachrichtigungen

In Zwischenablage kopieren verbieten

Anhänge öffnen

Maximale E-Mail-Größe

Erweiterte Einstellungen

Sophos Mobile on Premise

Beschreibung

Der Benachrichtigungstyp für neue E-Mails:

• System : Benachrichtigungen werden von iOS verwaltet. Benachrichtigungen enthalten keine Details wie Absender oder Betreff.

• App : Benachrichtigungen werden von der App Sophos Secure Email verwaltet.

Sie können bestimmen, welche Details angezeigt werden. Wenn die App nicht läuft, werden keine Benachrichtigungen angezeigt.

• Ohne : Es werden keine Benachrichtigungen angezeigt.

Diese Einstellung wirkt sich auch auf

Terminerinnerungen aus:

• System , Ohne : Terminerinnerungen enthalten nur Datum und Uhrzeit.

• App : Terminerinnerungen enthalten Datum/

Uhrzeit, Ort und Titel.

Benutzer können Texte aus Sophos Secure

Email weder kopieren noch ausschneiden.

In allen Apps : Anhänge können mit allen

Apps geöffnet werden, die das Dateiformat unterstützen.

In Container-Apps : Anhänge werden mit einem Geräteschlüssel verschlüsselt und können nur mit Sophos Secure Workspace geöffnet werden. Die Aktion Öffnen in bleibt auswählbar.

E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte

Wert, werden nicht vom Exchange-Server heruntergeladen.

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

15.21.3 Konfiguration „Unternehmensdokumente“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmensdokumente konfigurieren Sie Einstellung für die Funktion

Unternehmensdokumente der App Sophos Secure Workspace.

Sophos Mobile on Premise

Online-Speicher konfigurieren

Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:

Einstellung/Feld

Aktivieren

Offline

Verschlüsselt teilen

Unverschlüsselt teilen

Zwischenablage

Beschreibung

Der Speicheranbieter ist in der App verfügbar.

Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.

Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.

Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.

Einstellungen für Unternehmens-Anbieter

Für Speicheranbieter vom Typ Egnyte und WebDAV , auch als Unternehmens-Anbieter bezeichnet, können Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den Benutzern nicht geändert werden.

Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.

Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das

Kennwort-Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den Speicheranbieter zu bekommen.

Einstellung/Feld

Name

Beschreibung

Der Anbietername, wie er in der App Sophos

Secure Workspace angezeigt wird.

Einstellung/Feld

Server

Benutzername

Kennwort

Zielordner

Weitere Einstellungen

Einstellung/Feld

Dokumente aktivieren

Komplexität des Kennworts

Erweiterte Einstellungen

Sophos Mobile on Premise

Beschreibung

Geben Sie in diesem Feld Folgendes ein:

• Die URL des Root-Ordners auf dem WebDAV-Server für

Unternehmensdokumente .

• Die URL des Root-Ordners auf dem

Egnyte -Server.

• Die URL des Root-Ordners auf dem

WebDAV -Server.

Verwenden Sie folgendes Format: https:// server.company.com

Der Anmeldename für den Server. Sie können auch die Variable %_USERNAME_% verwenden.

Das Anmeldekennwort.

Der Ordner, in den Dokumente hochgeladen werden.

Beschreibung

Aktiviert die Funktion Dokumente , um

Unternehmensdokumente auf sichere Weise auszutauschen.

Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere

Passphrasen sind immer erlaubt.

Sie können folgende Einstellungen auswählen:

• 4-Zeichen-Kennwort

• 6-Zeichen-Kennwort

• 8-Zeichen-Kennwort

• 10-Zeichen-Kennwort

Konfigurieren Sie diese Einstellungen nur, wenn

Sie vom Sophos Support dazu aufgefordert werden.

Sophos Mobile on Premise

218

15.21.4 Konfiguration „Unternehmens-Browser“ (Sophos-

Container-Richtlinie für iOS)

Mit der Konfiguration Unternehmens-Browser konfigurieren Sie Einstellung für die Funktion

Unternehmens-Browser der App Sophos Secure Workspace.

Mit dem Unternehmens-Browser können Sie auf sichere Weise auf Intranetseiten Ihres

Unternehmens und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von Domänen.

Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.

Einstellungen für Domänen

Einstellung/Feld

URL

Kopieren/Einfügen erlauben

„Öffnen mit“ erlauben

Kennwort-Speichern erlauben

Beschreibung

Die Domäne, die Sie erlauben wollen.

Benutzer können Text aus dem Unternehmens-

Browser kopieren und in anderen Apps einfügen.

Benutzer können Anhänge herunterladen oder an andere Apps weiterleiten.

Benutzer können ihre Kennwörter im

Unternehmens-Browser speichern.

Einstellungen für Lesezeichen

Einstellung/Feld

Name

URL

Beschreibung

Der Name für das Lesezeichen.

Die Webadresse für das Lesezeichen.

15.21.5 Konfiguration „Root-Zertifikat“ (Sophos-Container-

Richtlinie für iOS)

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.21.6 Konfiguration „Client-Zertifikat“ (Sophos-Container-

Richtlinie für iOS)

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.21.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für iOS)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen der App

Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.

Hinweis

Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer

Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.

Einstellung/Feld

URL

Aliasname

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable

%_SCEPPROXYURL_% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite Systemeinstellungen konfiguriert ist.

Der Name, unter dem das Zertifikat in

Auswahldialogen angezeigt wird.

Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum

Beispiel können Sie denselben Wert wie für das

Feld Betreff verwenden, nur ohne den Vorsatz

CN= .

Sophos Mobile on Premise

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Root-Zertifikat

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern finden Sie in

(Seite 104).

Um einen Wert für den Subject Alternative

Name (SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein.

Folgende SAN-Typen sind möglich:

• RFC 822-Name : Eine gültige E-Mail-Adresse.

• DNS-Name : Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h. der User Principal Name (UPN) eines

Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Sophos Mobile on Premise

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

15.22 Konfigurationen für Mobile-Security-

Richtlinien (iOS)

Mit einer Mobile-Security-Richtlinie konfigurieren Sie die App Sophos Mobile Security.

Informationen zum Erstellen einer Mobile-Security-Richtlinie finden Sie in

Konfigurationen für macOS-Benutzerrichtlinien (Seite 239)

(Seite 100).

15.22.1 Netzwerkkonfiguration (Sophos-Mobile-Security-

Richtlinie für iOS)

Mit der Konfiguration Netzwerk verwalten Sie die Einstellungen der App Sophos Mobile Security für den Bereich Netzwerk, mit dem Benutzer vor netzwerkbasierten Bedrohungen geschützt werden.

Hinweis

Wenn Sie dieser Konfiguration einem Gerät zuweisen, werden die entsprechenden Einstellungen in der App Sophos Mobile Security deaktiviert. Der Benutzer kann diese nicht ändern.

Einstellung/Feld

„Man-In-The-Middle“-Schutz

Erweiterte Einstellungen

Beschreibung

Sophos Mobile Security überprüft die WLAN-Verbindung auf Man-in-the-Middle-Angriffe.

Konfigurieren Sie diese Einstellungen nur, wenn Sie vom

Sophos Support dazu aufgefordert werden.

15.23 Konfigurationen für macOS-Geräterichtlinien

Mit einer macOS-Geräterichtlinie konfigurieren Sie verschiedene Bereiche von Macs, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die Geräterichtlinie gilt für alle Benutzer, die sich an einem Mac anmelden, dem Sie die Richtlinie zuweisen - unabhängig davon, ob diese Benutzer von Sophos Mobile verwaltet werden oder nicht.

Zugehörige Konzepte

Über macOS-Richtlinien

(Seite 102)

Sophos Mobile on Premise

Zugehörige Aufgaben

Profil oder Richtlinie erstellen (Seite 100)

15.23.1 Konfiguration „Kennwortrichtlinien“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von Mac-

Benutzerkonten.

Hinweis

Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Einstellung/Feld

Einfache Werte erlauben

Alphanumerische Werte erforderlich

Minimale Länge des Kennworts

Mindestanzahl von komplexen Zeichen

Gültigkeitsdauer des Kennworts in Tagen

Automatische Sperre (Minuten)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Sophos Mobile on Premise

Einstellung/Feld

Toleranzfrist für Gerätesperrung

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Beschreibung

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

15.23.2 Konfiguration „Einschränkungen“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Macs.

Hinweis

Einige Optionen sind nur für bestimmte macOS-Versionen verfügbar. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Gerät

Einstellung/Feld

Verwendung der Kamera erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Sophos Mobile on Premise

Einstellung/Feld

Internetsuchergebnis für Spotlight erlauben

Apple Music erlauben

Verzögerung von macOS-

Aktualisierungen

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Der Dienst „Apple Music“ ist verfügbar.

Anzahl an Tagen, die eine macOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

iCloud

Einstellung/Feld

Sicherung erlauben iCloud-Fotomediathek erlauben iCloud-

Schlüsselbundsynchronisierung erlauben

Dokumentensynchronisierung erlauben

„Zugang zu meinem Mac“ erlauben

„Meinen Mac suchen“ erlauben iCloud-Lesezeichen erlauben iCloud Mail erlauben iCloud-Kalender erlauben

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können die iCloud-Funktion Zugang zu meinem Mac verwenden, d.h. Datei- und

Bildschirminhalte zwischen einem lokalen und einem entfernten Mac teilen.

Benutzer können die iCloud-Funktion Meinen Mac suchen verwenden, um ihren Mac ferngesteuert zu orten, zu sperren, oder auf Werkseinstellungen zurückzusetzen.

Benutzer können die iCloud-Funktion Lesezeichen verwenden, um Web-Lesezeichen zwischen Browsern und Plattformen zu synchronisieren.

Benutzer können auf ihrem Mac ein Konto für iCloud

Mail einrichten.

Benutzer können die iCloud-Funktion Kalender verwenden, um ihre Kalender auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Einstellung/Feld iCloud-Erinnerungen erlauben iCloud-Adressbuch erlauben iCloud-Notizen erlauben iCloud Drive für Desktop und

Dokumente erlauben

Sophos Mobile on Premise

Beschreibung

Benutzer können die iCloud-Funktion Erinnerungen verwenden, um Erinnerungslisten auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Adressbuch verwenden, um Kontakte auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Notizen verwenden, um Notizen zu erstellen und diese auf ihren Geräten und mit anderen Benutzern zu teilen.

Benutzer können ihren Mac-Desktop und ihren Ordner

Dokumente in iCloud Drive speichern und darauf von anderen Geräten aus zugreifen.

Sicherheit und Privatsphäre

Einstellung/Feld

Touch ID zum Entsperren des Gerätes erlauben

Definitionsfunktionen erlauben

Auto-Entsperren erlauben iTunes-Dateifreigabe erlauben

AirPrint erlauben iBeacon-Erkennung von AirPrint-

Druckern erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Benutzer können Definitionen für markierte Wörter nachschlagen.

Benutzer können Auto-Entsperren verwenden, um ihren Mac automatisch von ihrer Apple Watch entsperren zu lassen.

Benutzer können die iCloud-Funktion Datenfreigabe verwenden, um Dateien zwischen ihrem Mac und einem iPhone oder iPad zu kopieren.

Benutzer können Dateien an AirPrint-Drucker senden.

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

Vertrauenswürdige Zertifikate für

AirPrint über TLS erzwingen

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

Sophos Mobile on Premise

15.23.3 Konfiguration „WLAN“ (macOS-Geräterichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Einstellung/Feld

Sicherheitstyp

Sophos Mobile on Premise

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (persönlich)

• WPA/WPA2 (persönlich)

• Beliebig (persönlich)

• WEP (Enterprise)

• WPA/WPA2 (Enterprise)

• Beliebig (Enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,

Authentifizierung and Vertrauen angezeigt.

Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die EAP-

Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.

• Wählen Sie in Minimale TLS-Version und Maximale

TLS-Version die minimale und die maximale TLS -

Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf der Registerkarte

Authentifizierung Einstellungen für die Client-

Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf der Registerkarte Vertrauen

Einstellungen für die Server-Authentifizierung:

227

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Sophos Mobile on Premise

Einstellung/Feld

Proxy

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• Kein Proxy

• Manuell

• Automatisch

Wenn Sie Manuell auswählen, werden die

Felder Server und Port , Authentifizierung and

Kennwort angezeigt. Geben Sie die erforderlichen

Proxy-Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld Proxy-Server-URL angezeigt. Geben Sie die URL des Proxy-Servers ein.

15.23.4 Konfiguration „Gatekeeper“ (macOS-Geräterichtlinie)

Mit der Konfiguration Gatekeeper konfigurieren Sie die macOS-Funktion Gatekeeper, mit der Apps blockiert werden, die aus verbotenen Quellen installiert wurden.

Einstellung/Feld

Apps aus Download-Quellen erlauben

Beschreibung

Wählen Sie die gewünschte Einstellung aus:

• Alle Quellen : Benutzer können alle Apps

öffnen, unabhängig davon, aus welcher

Quelle sie installiert wurden.

• Mac App Store : Benutzer können nur Apps

öffnen, die aus dem Mac App Store installiert wurden.

• Mac App Store und verifizierte Entwickler :

Benutzer können nur Apps öffnen, die aus dem Mac App Store installiert wurden oder die von verifizierten Entwicklern stammen, d.h. von Entwicklern, die von Apple zugelassen wurden.

15.23.5 Konfiguration „VPN“ (macOS-Geräterichtlinie)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Verbindungsname

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Einstellung/Feld

Verbindungstyp

Identifier (Reverse-DNS-Format)

Server

Konto

Drittanbieter-Einstellungen

Alle Daten über VPN übertragen

Gruppe

Benutzer-Authentifizierung

Sophos Mobile on Premise

Beschreibung

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• SSL/TLS (benutzerdefiniert)

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

229

Sophos Mobile on Premise

Einstellung/Feld

Geräte-Authentifizierung

Proxy

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel

(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung verwenden und Kennwort verlangen .

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• Kein Proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Einstellung/Feld

Provider-Typ

Sophos Mobile on Premise

Beschreibung

Der VPN-Verbindungstyp.

• App-Proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Paket-Tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

15.23.6 Konfiguration „Webfilter“ (macOS-Geräterichtlinie)

Mit der Konfiguration Webfilter definieren Sie Einstellungen für eine Drittanbieter-App zum Filtern von

Web-Inhalten.

Einstellung/Feld

Filtername

Filter-ID

Server

Organisation

Beschreibung

Ein freier Name für die Filterkonfiguration.

Die Bundle-ID der Drittanbieter-App.

Der Server, auf dem der Filterdienst läuft (Host-Name, IP-

Adresse oder URL).

Der Name Ihres Unternehmens. Der Wert wird an den

Filterdienst weitergeleitet.

Benutzername

Kennwort

Zertifikat

Filterumfang

Die Anmeldeinformationen für den Filterdienst.

Drittanbieter-Einstellungen

Ein Zertifikat für die Authentisierung beim Filterdienst.

Der von der Drittanbieter-App zu filternde Datenverkehr:

• Browser-Datenverkehr filtern : WebKit-Browserdaten werden gefiltert.

• Socket-Datenverkehr filtern : Socket-Daten werden gefiltert.

• Browser- und Socket-Datenverkehr filtern : WebKit- und

Socket-Daten werden gefiltert.

Weitere Konfigurationseinstellungen (falls von der Drittanbieter-

App benötigt).

15.23.7 Konfiguration „Globaler HTTP-Proxy“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Sophos Mobile on Premise

Einstellung/Feld

Proxy

Server und Port

Authentifizierung

Kennwort

Proxy-Server-URL

Beschreibung

Wählen Sie Manuell aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

15.23.8 Konfiguration „Verwaltete Domänen“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für Macs.

E-Mail-Domänen

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

15.23.9 Konfiguration „Single-Sign-On“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos-Principal-Name

Realm

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Einstellung/Feld

URLs

App-Kennungen

Sophos Mobile on Premise

Beschreibung

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

15.23.10 Konfiguration „AirPrint“ (macOS-Geräterichtlinie)

Mit der Konfiguration AirPrint fügen Sie der Druckerliste eines Benutzers AirPrint-Drucker hinzu.

Einstellung/Feld

IP-Adresse

Ressource

Beschreibung

Die IP-Adresse des AirPrint-Druckers.

Die mit dem Drucker verbundene Ressource.

Beispiele:

• printers/<printer model>

• ipp/print

15.23.11 Konfiguration „Verzeichnisdienst“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Verzeichnisdienst geben Sie eine Active-Directory-Domäne an, der ein Mac beitritt, wenn ihm die Richtlinie zugewiesen wird.

Hinweis

Wenn Sie hier dieselbe Domäne konfigurieren, die Sie für das Self Service Portal verwenden, wird die dem Mac zugewiesene macOS-Benutzerrichtlinie auf alle Active-Directory-Benutzer angewendet, die sich an dem Mac anmelden.

Sophos Mobile on Premise

Allgemeine Einstellungen

Einstellung/Feld

Domain-Hostname

AD-Administratorname

Kennwort

Organisationseinheit (OU)

Beschreibung

Der DNS-Host-Name der Active-Directory-

Domäne.

Die Anmeldedaten des Kontos, das für die

Verbindung mit dem Active-Directory-Server verwendet wird.

Dieser Benutzer muss berechtigt sein, Geräte zur

Active-Directory-Datenbank hinzuzufügen.

Die Organizational Unit (OU) in der Active-

Directory-Datenbank, welcher der beitretende

Computer hinzugefügt wird.

Benutzereinstellungen

Einstellung/Feld

Mobilen Account erstellen

Beschreibung macOS erstellt einen mobilen Account, wenn sich ein Netzwerk-Benutzer zum ersten Mal anmeldet.

Bei einem mobilen Account können sich

Benutzer auch dann mit ihren Active-Directory-

Anmeldedaten anmelden, wenn der Mac nicht mit dem Active-Directory-Server verbunden ist.

Bestätigung vor Erstellung mobiler

Accounts einholen

Lokalen Benutzerordner erzwingen

Der Benutzer entscheidet, ob ein mobiler Account erstellt wird.

Wenn Sie dieses Kontrollkästchen aktivieren, werden Benutzerprofile immer auf dem

Startvolume angelegt. Dies ist für mobile

Accounts erforderlich.

Wenn Sie das Kontrollkästchen deaktivieren, werden reine Netzwerk-Benutzerordner verwendet.

UNC-Pfad von Active Directory verwenden macOS verwendet den im Active-Directory-

Benutzerkonto angegebenen Benutzerordner.

Das Mount-Protokoll für den Benutzerordner.

Netzwerkprotokoll

Standardmäßige Benutzer-Shell Die Kommando-Shell des Benutzers.

Wenn Sie keinen Wert angeben, wird /bin/ bash verwendet.

Sophos Mobile on Premise

Pfade

Einstellung/Feld

UID-Attribut

GID-Attribut Benutzer

GID-Attribut Gruppe

Beschreibung

Das Active-Directory-Attribut, das für die eindeutige Benutzerkennung (UID) in macOS verwendet wird.

Das Active-Directory-Attribut, das für die

Kennung der primären Gruppe (Primary Group

ID) von macOS-Benutzerkonten verwendet wird.

Das Active-Directory-Attribut, das für die

Kennung von macOS-Gruppenkonten (Group ID) verwendet wird.

Wichtig

Wenn Sie diese Zuordnungen später ändern, können Benutzer möglicherweise nicht mehr auf ihre

Dateien zugreifen.

Administration

Einstellung/Feld

Bevorzugter DC-Server

Kennwort-Vertrauensintervall (Tage)

Beschreibung

Der vorrangig anzufragende Active-Directory-

Domänen-Controller (DC).

Wenn Sie keinen Wert angeben, wählt macOS den Domänen-Controller anhand von Site-

Informationen und Reaktionszeiten aus.

Geben Sie an, wie häufig macOS das Kennwort seines Active-Directory-Computer-Accounts

ändert.

Wenn Sie keinen Wert angeben, ändert macOS sein Kennwort alle 14 Tage.

Wenn Sie den Wert 0 angeben, ändert macOS das Kennwort nicht automatisch.

Sophos Mobile on Premise

Einstellung/Feld

Namespace

Paket-Signierung

Paket-Verschlüsselung

Multi-Domänen-Autorisierung

Domänenadministrator-Gruppen

DDNS beschränken

Beschreibung

• Forest

Namespace-Unterstützung wird aktiviert.

Es können sich Benutzer mit dem gleichen

Anmeldenamen aus verschiedenen Domänen des Active Directory Forest anmelden.

Benutzer müssen ihren Anmeldenamen in der

Form DOMAIN\name eingeben.

• Domäne

Namespace-Unterstützung wird deaktiviert.

Benutzer müssen einen eindeutigen

Anmeldenamen haben.

macOS kann die für die Active-Directory-

Kommunikation verwendeten LDAP-

Verbindungen signieren und verschlüsseln.

• Erlauben : macOS entscheidet, of die LDAP-

Verbindungen signiert und/oder verschlüsselt werden.

• Deaktivieren : macOS signiert oder verschlüsselt die

LDAP-Verbindungen nicht.

• Benötigen : macOS signiert und verschlüsselt die

LDAP-Verbindungen immer.

• SSL/TLS : macOS verwendet immer LDAP über

SSL/TLS.

Benutzer aus allen Domänen des Active Directory

Forest können sich anmelden.

Eine Liste von Active-Directory-Gruppen.

Mitglieder dieser Gruppen erhalten Admin-Rechte auf dem Mac.

Um mehr als eine Gruppe einzugeben, drücken

Sie nach jedem Wert die Taste Eingabe .

Eine Liste von Netzwerk-Schnittstellen.

Standardmäßig verwendet macOS für alle

Netzwerk-Schnittstellen Dynamic DNS (DDNS).

Um DDNS auf bestimmte Schnittstellen zu beschränken, geben Sie deren BSD-Namen ein.

Um zum Beispiel DDNS auf den internen

Ethernet-Port zu beschränken, geben Sie en0 ein.

Um mehr als eine Schnittstelle einzugeben, drücken Sie nach jedem Wert die Taste Eingabe .

Sophos Mobile on Premise

15.23.12 Konfiguration „Root-Zertifikat“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Macs.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.23.13 Konfiguration „Client-Zertifikat“ (macOS-

Geräterichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Macs.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.23.14 Konfiguration „SCEP“ (macOS-Geräterichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

URL

CA-Name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Sophos Mobile on Premise

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822-Name : Eine gültige E-Mail-Adresse.

• DNS-Name : Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI) : Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Sophos Mobile on Premise

15.24 Konfigurationen für macOS-

Benutzerrichtlinien

Mit einer macOS-Benutzerrichtlinie konfigurieren Sie verschiedene Bereiche von Macs, wie zum

Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die Benutzerrichtlinie gilt für alle verwalteten Benutzer des Macs, dem Sie die Richtlinie zuweisen.

Zugehörige Konzepte

Über macOS-Richtlinien

(Seite 102)

Konfigurationen für macOS-Geräterichtlinien (Seite 221)

Zugehörige Aufgaben

Profil oder Richtlinie erstellen (Seite 100)

15.24.1 Konfiguration „Kennwortrichtlinien“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von Mac-

Benutzerkonten.

Hinweis

Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine

Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-

Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach

Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.

Einstellung/Feld

Einfache Werte erlauben

Alphanumerische Werte erforderlich

Minimale Länge des Kennworts

Mindestanzahl von komplexen Zeichen

Gültigkeitsdauer des Kennworts in Tagen

Beschreibung

Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .

Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.

Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.

Gibt an, wie viele nicht-alphanumerische

Zeichen (zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.

Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine

Kennwortänderung erforderlich) bis 730 Tage.

Sophos Mobile on Premise

Einstellung/Feld

Automatische Sperre (Minuten)

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Toleranzfrist für Gerätesperrung

Anzahl fehlerhafter Login-Versuche, bis das

Gerät zurückgesetzt wird

Beschreibung

In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen

Sperre wird festgelegt, wann (in Minuten) das

Gerät nach Nichtbenutzung gesperrt werden soll.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen

Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen Wert also auf 6 oder niedriger setzen, wird keine

Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale

Anzahl an Fehlversuchen überschritten ist.

15.24.2 Konfiguration „Einschränkungen“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Macs.

Sophos Mobile on Premise

Hinweis

Einige Optionen sind nur für bestimmte macOS-Versionen verfügbar. In Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.

Gerät

Einstellung/Feld

Verwendung der Kamera erlauben

Internetsuchergebnis für Spotlight erlauben

Apple Music erlauben

Verzögerung von macOS-

Aktualisierungen

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, ist die

Kamera nicht verfügbar und das Symbol der Kamera-

App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.

Wenn das Kontrollkästchen deaktiviert ist, führt

Spotlight keine Internetsuche durch.

Der Dienst „Apple Music“ ist verfügbar.

Anzahl an Tagen, die eine macOS-Aktualisierung nach dem Veröffentlichungsdatum verzögert wird.

Geben Sie einen Wert zwischen 0 (keine

Verzögerung) und 90 ein.

iCloud

Einstellung/Feld

Sicherung erlauben iCloud-Fotomediathek erlauben iCloud-

Schlüsselbundsynchronisierung erlauben

Dokumentensynchronisierung erlauben

„Zugang zu meinem Mac“ erlauben

Beschreibung

Benutzer können ein Geräte-Backup in iCloud machen.

Benutzer können die iCloud-Fotomediathek verwenden.

Benutzer können iCloud-Schlüsselbund verwenden, um Kennwörter zwischen ihren iPhones, iPads und

Macs zu synchronisieren.

Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.

Benutzer können Dokumente und App-

Konfigurationsdaten in iCloud speichern.

Benutzer können die iCloud-Funktion Zugang zu meinem Mac verwenden, d.h. Datei- und

Bildschirminhalte zwischen einem lokalen und einem entfernten Mac teilen.

Sophos Mobile on Premise

Einstellung/Feld

„Meinen Mac suchen“ erlauben iCloud-Lesezeichen erlauben iCloud Mail erlauben iCloud-Kalender erlauben iCloud-Erinnerungen erlauben iCloud-Adressbuch erlauben iCloud-Notizen erlauben iCloud Drive für Desktop und

Dokumente erlauben

Beschreibung

Benutzer können die iCloud-Funktion Meinen Mac suchen verwenden, um ihren Mac ferngesteuert zu orten, zu sperren, oder auf Werkseinstellungen zurückzusetzen.

Benutzer können die iCloud-Funktion Lesezeichen verwenden, um Web-Lesezeichen zwischen Browsern und Plattformen zu synchronisieren.

Benutzer können auf ihrem Mac ein Konto für iCloud

Mail einrichten.

Benutzer können die iCloud-Funktion Kalender verwenden, um ihre Kalender auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Erinnerungen verwenden, um Erinnerungslisten auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Adressbuch verwenden, um Kontakte auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.

Benutzer können die iCloud-Funktion Notizen verwenden, um Notizen zu erstellen und diese auf ihren Geräten und mit anderen Benutzern zu teilen.

Benutzer können ihren Mac-Desktop und ihren Ordner

Dokumente in iCloud Drive speichern und darauf von anderen Geräten aus zugreifen.

Sicherheit und Privatsphäre

Einstellung/Feld

Touch ID zum Entsperren des Gerätes erlauben

Definitionsfunktionen erlauben

Auto-Entsperren erlauben iTunes-Dateifreigabe erlauben

Beschreibung

Wenn das Kontrollkästchen deaktiviert ist, kann das

Gerät nicht per Touch ID entsperrt werden.

Benutzer können Definitionen für markierte Wörter nachschlagen.

Benutzer können Auto-Entsperren verwenden, um ihren Mac automatisch von ihrer Apple Watch entsperren zu lassen.

Benutzer können die iCloud-Funktion Datenfreigabe verwenden, um Dateien zwischen ihrem Mac und einem iPhone oder iPad zu kopieren.

Einstellung/Feld

AirPrint erlauben iBeacon-Erkennung von AirPrint-

Druckern erlauben

Sophos Mobile on Premise

Beschreibung

Benutzer können Dateien an AirPrint-Drucker senden.

Das Gerät verwendet iBeacon, um AirPrint-Geräte zu erkennen.

Wichtig

Wenn Sie dies erlauben, können bösartige iBeacon-

Geräte Phishing-Angriffe auf den Datenverkehr im

Netzwerk ausführen.

AirPrint über TLS wird abgewiesen, falls das AirPrint-

Gerät kein vertrauenswürdiges Zertifikat verwendet.

Vertrauenswürdige Zertifikate für

AirPrint über TLS erzwingen

15.24.3 Konfiguration „Exchange-Konto“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Kennwort

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Sophos Mobile on Premise

Einstellung/Feld

SSL/TLS

Beschreibung

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.24.4 Konfiguration „WLAN“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Beschreibung

Die ID des WLAN.

Automatisch mit dem Zielnetzwerk verbinden.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Einstellung/Feld

Sicherheitstyp

Sophos Mobile on Premise

Beschreibung

Der Sicherheitstyp des WLAN:

• Keine

• WEP (persönlich)

• WPA/WPA2 (persönlich)

• Beliebig (persönlich)

• WEP (Enterprise)

• WPA/WPA2 (Enterprise)

• Beliebig (Enterprise)

Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben

Sie das relevante Kennwort ein.

Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,

Authentifizierung and Vertrauen angezeigt.

Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:

• Wählen Sie unter Akzeptierte EAP-Typen die EAP-

Verfahren aus, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld

Innere Identität (TTLS) auswählen.

• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.

• Wählen Sie in Minimale TLS-Version und Maximale

TLS-Version die minimale und die maximale TLS -

Version aus, die für EAP-Authentisierung verwendet wird.

Konfigurieren Sie auf der Registerkarte

Authentifizierung Einstellungen für die Client-

Authentifizierung:

• Geben Sie im Feld Benutzer den Benutzernamen für die WLAN-Verbindung ein.

• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.

• Geben Sie im Feld Kennwort das relevante Kennwort ein.

• Wählen Sie in der Liste Identitätszertifikat das

Zertifikat für die WLAN-Verbindung aus.

Hinweis

Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.

• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.

Konfigurieren Sie auf der Registerkarte Vertrauen

Einstellungen für die Server-Authentifizierung:

245

Wählen Sie die vertrauenswürdigen Zertifikate aus der Liste aus.

Hinweis

Sie müssen die Zertifikate in einer Konfiguration

Root-Zertifikat angeben.

Sophos Mobile on Premise

Einstellung/Feld

Proxy

Beschreibung

Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:

• Kein Proxy

• Manuell

• Automatisch

Wenn Sie Manuell auswählen, werden die

Felder Server und Port , Authentifizierung and

Kennwort angezeigt. Geben Sie die erforderlichen

Proxy-Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld Proxy-Server-URL angezeigt. Geben Sie die URL des Proxy-Servers ein.

15.24.5 Konfiguration „VPN“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.

Einstellung/Feld

Verbindungsname

Verbindungstyp

Identifier (Reverse-DNS-Format)

Server

Konto

Beschreibung

Der Name der Verbindung, der auf dem Gerät angezeigt wird.

Der Typ der VPN-Verbindung:

• Cisco AnyConnect

• Cisco Legacy AnyConnect

• IPsec (Cisco)

• F5

• Check Point

• SSL/TLS (benutzerdefiniert)

Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche

Eingabefelder angezeigt.

Die benutzerdefinierte Kennung im Reverse-

DNS-Format.

Der Host-Name oder die IP-Adresse des

Servers.

Das Benutzer-Konto für die Authentisierung der

Verbindung.

Einstellung/Feld

Drittanbieter-Einstellungen

Alle Daten über VPN übertragen

Gruppe

Benutzer-Authentifizierung

Sophos Mobile on Premise

Beschreibung

Falls Ihr Anbieter benutzerdefinierte

Verbindungseinstellungen spezifiziert hat, geben

Sie diese hier ein.

Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der

Eigenschaft ein.

Die VPN-Verbindung wird für den gesamten

Datenverkehr verwendet.

Geben Sie die Gruppe ein, die für die

Authentisierung der Verbindung erforderlich sein kann.

Die Art der Benutzer-Authentisierung für die

Verbindung:

• Kennwort

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Kennwort angezeigt. Geben Sie das Kennwort für die Authentisierung ein.

• Zertifikat

Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein Feld Zertifikat angezeigt. Wählen Sie ein

Zertifikat aus.

Sophos Mobile on Premise

Einstellung/Feld

Geräte-Authentifizierung

Proxy

Beschreibung

Die Art der Geräte-Authentifizierung:

• Schlüssel (Shared Secret)/Gruppenname

Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel

(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen

Authentisierungsinformationen in den

Feldern Gruppenname und Schlüssel

(Shared Secret) ein. Wählen Sie je nach

Anforderung Hybrid-Authentifizierung verwenden und Kennwort verlangen .

• Zertifikat

Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive

Benutzer-PIN unter dem Feld Geräte-

Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche

Zertifikat aus. Wählen Sie Inklusive

Benutzer-PIN aus, um die Benutzer-PIN in die Geräteauthentisierung einzubeziehen.

Die Proxy-Einstellungen für die Verbindung:

• Kein Proxy

• Manuell

Wenn Sie diese Option wählen, werden die

Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im

Feld Server und Port die gültige Adresse und den Port des Proxy-Servers ein.

Geben Sie im Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein. Geben Sie im Feld

Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.

• Automatisch

Wenn Sie diese Option wählen, wird das

Feld Proxyserver-URL angezeigt. Geben

Sie die URL des Servers mit der Proxy-

Einstellung in diesem Feld ein.

Einstellung/Feld

Provider-Typ

Sophos Mobile on Premise

Beschreibung

Der VPN-Verbindungstyp.

• App-Proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Applikationsschicht gesendet.

• Paket-Tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der

Netzwerkschicht gesendet.

15.24.6 Konfiguration „Web Clip“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration Web Clip definieren Sie Web Clips, die zum macOS-Desktop hinzugefügt werden. Web Clips bieten schnellen Zugriff auf favorisierte Webseiten. Sie können jedoch zum Beispiel auch einen Web Clip mit einer Support-Telefonnummer hinzufügen, damit die Benutzer schnell den

Helpdesk kontaktieren können.

Einstellung/Feld

Beschreibung

URL

Darf entfernt werden

Bildschirmfüllend

Symbol

Beschreibung

Eine Beschreibung des Web Clips.

Die Webadresse des Web Clips.

Wenn das Kontrollkästchen deaktiviert ist, kann der Benutzer den Web Clip nicht entfernen. Der

Webclip kann nur durch Entfernen des Profils, das den Webclip installiert hat, entfernt werden.

Der Web Clip wird auf dem Gerät bildschirmfüllend geöffnet. Ein bildschirmfüllender Web Clip öffnet die URL als

Web-App.

Wählen Sie ein Bild für das Web-Clip-Icon auf dem Home-Bildschirm aus. Dies muss eine

Bilddatei im Format PNG, GIF oder JPEG mit einer maximalen Größe von 1 MB sein.

Das Bild wird quadratisch beschnitten und je nach Bildschirmauflösung skaliert. Beste

Resultate erhalten Sie bei einer Bildgröße von

180 Pixel mal 180 Pixel.

Hinweis

Sophos Mobile on Premise

250

15.24.7 Konfiguration „Webfilter“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration Webfilter definieren Sie Einstellungen für eine Drittanbieter-App zum Filtern von

Web-Inhalten.

Einstellung/Feld

Filtername

Filter-ID

Server

Organisation

Beschreibung

Ein freier Name für die Filterkonfiguration.

Die Bundle-ID der Drittanbieter-App.

Der Server, auf dem der Filterdienst läuft (Host-Name, IP-

Adresse oder URL).

Der Name Ihres Unternehmens. Der Wert wird an den

Filterdienst weitergeleitet.

Benutzername

Kennwort

Zertifikat

Filterumfang

Die Anmeldeinformationen für den Filterdienst.

Drittanbieter-Einstellungen

Ein Zertifikat für die Authentisierung beim Filterdienst.

Der von der Drittanbieter-App zu filternde Datenverkehr:

• Browser-Datenverkehr filtern : WebKit-Browserdaten werden gefiltert.

• Socket-Datenverkehr filtern : Socket-Daten werden gefiltert.

• Browser- und Socket-Datenverkehr filtern : WebKit- und

Socket-Daten werden gefiltert.

Weitere Konfigurationseinstellungen (falls von der Drittanbieter-

App benötigt).

15.24.8 Konfiguration „Globaler HTTP-Proxy“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.

Einstellung/Feld

Proxy

Server und Port

Beschreibung

Wählen Sie Manuell aus, um die Verbindungsdetails manuell zu konfigurieren.

Wählen Sie Automatisch aus, wenn Sie eine Proxy-Auto-Config-

Datei (PAC-Datei) haben.

Name (oder IP-Adresse) und Portnummer des HTTP-Proxy-

Servers.

Einstellung/Feld

Authentifizierung

Kennwort

Proxy-Server-URL

Sophos Mobile on Premise

Beschreibung

Der Benutzername für die Verbindung mit dem Proxy-Server.

Das Kennwort für die Verbindung mit dem Proxy-Server.

Die URL der Proxy-Auto-Config-Datei (PAC-Datei).

15.24.9 Konfiguration „Verwaltete Domänen“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für Macs.

E-Mail-Domänen

Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe

E-Mails gekennzeichnet.

15.24.10 Konfiguration „CalDAV“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration CalDAV konfigurieren Sie die Synchronisierung von Kalenderdaten mit einem

CalDAV-Server. Sie können so zum Beispiel Google Kalender mit einem Mac synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Beschreibung

Der auf dem Gerät angezeigte Name des CalDAV-Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CalDAV-Servers.

Geben Sie zum Beispiel für Google Kalender folgendes ein: calendar.google.com:443

Falls vom CalDAV-Server benötigt, geben Sie die

Principal URL der Kalender-Ressource ein.

Geben Sie zum Beispiel folgendes ein, um einen anderen als den Haupt-Kalender eines Google-Kontos zu synchronisieren: https://apidata.googleusercontent.com/ caldav/

v2/calendar_id/user wobei calendar_id die ID des Kalenders ist, den Sie synchronisieren wollen. Wenn Sie Google Kalender in

Ihrem Webbrowser öffnen, wird die Kalender-ID in den

Kalendereinstellungen angezeigt. Einzelheiten finden Sie in der Hilfe zu Google Kalender.

Sophos Mobile on Premise

Einstellung/Feld

Benutzername , Kennwort

SSL/TLS

Beschreibung

Die Anmeldeinformationen des CalDAV-Kontos.

Geben Sie zum Beispiel für Google Kalender die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CalDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.24.11 Konfiguration „CardDAV“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration CardDAV konfigurieren Sie die Synchronisierung von Kontaktdaten mit einem

CardDAV-Server. Sie können so zum Beispiel Google Kontakte mit einem Mac synchronisieren.

Einstellung/Feld

Kontoname

Konto-Host-Name und -Port

Principal URL

Benutzername , Kennwort

SSL/TLS

Beschreibung

Der auf dem Gerät angezeigte Name des CardDAV-

Kontos.

Hostname oder IP-Adresse und (optional) der Port des

CardDAV-Servers.

Geben Sie zum Beispiel für Google Kontakte folgendes ein: google.com

Falls vom CardDAV-Server benötigt, geben Sie die

Principal URL der Kontakte-Ressource ein.

Zum Beispiel unterstützt die Google-CardDAV-API folgende Principal URL: https://www.googleapis.com/carddav/

v1/ principals/account_name@gmail.com

wobei account_name der Name des Google-Kontos ist.

Die Anmeldeinformationen des CardDAV-Kontos.

Geben Sie zum Beispiel für Google Kontakte die

Anmeldeinformationen des Google-Kontos ein.

Die Verbindung zum CardDAV-Server wird mit SSL oder

TLS gesichert (je nachdem, was der Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

15.24.12 Konfiguration „IMAP/POP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Mac hinzu.

Einstellung/Feld

Kontoname

Typ des Accounts

Angezeigter Benutzername

E-Mail-Adresse

Eingehende E-Mail

E-Mail-Server und -Port

Benutzername

Authentifizierung-Typ

Kennwort

SSL/TLS

Ausgehende E-Mail

E-Mail-Server und -Port

Benutzername

Authentifizierung-Typ

Kennwort

Das selbe Kennwort wie für eingehende E-Mail verwenden

Sophos Mobile on Premise

Beschreibung

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Der Typ des E-Mail-Servers für eingehende E-Mails

(entweder IMAP oder POP ).

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Hostname oder IP-Adresse und Port des

Posteingangsservers.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Posteingangsserver.

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Die Verbindung zum Posteingangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Der Benutzername für die Verbindung mit dem

Postausgangsserver.

Die Authentisierungsmethode für die Verbindung mit dem

Postausgangsserver.

Das Kennwort für die Verbindung mit dem

Postausgangsserver (falls erforderlich).

Das selbe Kennwort wie für den Posteingangsserver verwenden.

Sophos Mobile on Premise

Einstellung/Feld

SSL/TLS

Beschreibung

Die Verbindung zum Postausgangs-Server wird mit

SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

15.24.13 Konfiguration „Single-Sign-On“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für

Drittanbieter-Apps.

Einstellung/Feld

Name

Kerberos-Principal-Name

Realm

URLs

App-Kennungen

Beschreibung

Eine Bezeichnung für das Konto.

Der „Kerberos Principal“-Name.

Wenn Sie keinen Wert eingeben, muss der

Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.

Der „Kerberos Realm“-Name.

Sie müssen den Namen in Großbuchstaben eingeben.

Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für

Kerberos-Authentisierung über HTTP verwendet werden zu können.

Die Werte müssen mit http:// oder https:// beginnen.

Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.

Eine Liste von Bundle-IDs von Apps.

Werte müssen entweder vollständige IDs sein (z.B. com.sophos.smsec

), oder

Präfixwerte mit den Zeichen .* am Ende (z.B.

com.sophos.* ).

15.24.14 Konfiguration „LDAP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration LDAP stellen Sie Benutzerinformationen aus einem LDAP-Verzeichnis in der macOS-App Adressbuch zur Verfügung.

Sophos Mobile on Premise

Hinweis

Für den Beitritt eines Macs zu einer Active-Directory-Domäne verwenden Sie die Konfiguration

Verzeichnisdienst

. Siehe Konfiguration „Verzeichnisdienst“ (macOS-Geräterichtlinie) (Seite

233).

Einstellung/Feld

Kontobeschreibung

Servername

Benutzername

Kennwort

SSL/TLS verwenden

Sucheinstellungen

Base

Bereich

Beschreibung

Beschreibung

Eine Beschreibung der LDAP-Verbindung.

Der Host-Name oder die IP-Adresse des LDAP-

Servers.

Die Anmeldedaten des Benutzers, den Sophos

Mobile verwendet, um sich mit dem LDAP-Server zu verbinden.

Die Verbindung zum LDAP-Server wird mit SSL oder TLS gesichert (je nachdem, was der Server unterstützt).

Die Knoten im LDAP-Verzeichnisbaum, von denen eine Suche startet, und welche Knoten durchsucht werden.

Der Pfad zu dem Knoten, von dem die Suche startet. Zum Beispiel: ou=users,o=my company

Eine Angabe, welche Unterknoten in die Suche eingeschlossen werden:

• Nur Basisknoten : Nur der Basisknoten.

• Basisknoten und direkte Kindknoten : Der

Basisknoten und seine Kindknoten, d.h. die

Unterknoten erster Ordnung.

• Basisknoten und alle Unterknoten : Der

Basisknoten und alle Unterknoten ohne

Beschränkung der Rekursionstiefe.

Eine Beschreibung der Sucheinstellungen.

15.24.15 Konfiguration „Root-Zertifikat“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Macs.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.24.16 Konfiguration „Client-Zertifikat“ (macOS-

Benutzerrichtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Macs.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.24.17 Konfiguration „SCEP“ (macOS-Benutzerrichtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

URL

CA-Name

Beschreibung

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur Unterscheidung zwischen Instanzen verwendet werden.

Sophos Mobile on Premise

Einstellung/Feld

Betreff

Typ des Subject Alternative Name (SAN)

Wert des Subject Alternative Name (SAN)

AD-Benutzeranmeldename

Challenge

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Um einen Wert für den Subject Alternative Name

(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-

Typen sind möglich:

• RFC 822-Name : Eine gültige E-Mail-Adresse.

• DNS-Name : Der DNS-Name des CA-Servers.

• Uniform Resource Identifier (URI) : Die vollständige

(Fully Qualified) URL des CA-Servers.

Der in Active Directory definierte

Benutzeranmeldename (User logon name), d.h.

der User Principal Name (UPN) eines Benutzers.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Sophos Mobile on Premise

258

15.25 Konfigurationen für Windows-Mobile-

Richtlinien

Mit einer Windows-Mobile-Richtlinien konfigurieren Sie verschiedene Bereiche von Windows-Mobile-

Geräten, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-Mobile-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 100).

15.25.1 Konfiguration „Kennwortrichtlinien“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Gerätekennwort.

Einstellung/Feld

Kennworttyp

Mindestkomplexität alphanumerischer

Kennwörter

Beschreibung

Die Art des Kennworts, dass Benutzer definieren müssen:

• Alphanumerisch : Kennwort muss Ziffern und Buchstaben enthalten

• Numerisch : Kennwort darf nur Ziffern enthalten

Für Windows Phone 8.1 erlaubt

Alphanumerisch auch Kennwörter, die Ziffern oder Buchstaben enthalten.

Dies legt fest, welche Zeichenklassen in alphanumerischen Kennwörtern verwendet werden müssen.

Für Windows 10 Mobile:

• 1 : Nicht anwendbar (falls ausgewählt, wird 2 angewendet)

• 2 : Ziffern und Kleinbuchstaben erforderlich

• 3 : Ziffern, Klein- und Großbuchstaben erforderlich

• 4 : Ziffern, Klein- und Großbuchstaben sowie

Sonderzeichen erforderlich

Für Windows Phone 8.1 legt der der Wert fest, wie viele verschiedene Zeichenklassen im

Kennwort vorkommen müssen. Zeichenklassen sind:

• Stellen

• Kleinbuchstaben

• Großbuchstaben

• Sonderzeichen

Sophos Mobile on Premise

Einstellung/Feld

Einfache Werte erlauben

Minimale Länge des Kennworts

Maximale Anzahl an Fehlversuchen

Inaktivitätszeit in Minuten bis zur Abfrage des Kennworts

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Gültigkeitsdauer des Kennworts in Tagen

Festlegen der Toleranzfrist bis zur erneuten

Kennworteingabe erlauben

Beschreibung

Kennwörter dürfen aufeinanderfolgende oder wiederholte Zeichnen enthalten, zum Beispiel abcde oder 1111 .

Die Mindestanzahl an Zeichen, die ein

Kennwort enthalten muss.

Die Anzahl fehlgeschlagener Anmeldeversuche mit falschem Kennwort, nach der das Gerät zurückgesetzt wird.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Zeit (in Minuten), nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Der

Benutzer kann das Gerät entsperren.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Die Anzahl an Tagen, nach denen Benutzer ihr

Kennwort ändern müssen.

Geben Sie einen Wert zwischen 1 und 730 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Benutzer dürfen die Toleranzfrist festlegen, innerhalb derer keine erneute Kennworteingabe erfolgen muss.

15.25.2 Konfiguration „Einschränkungen“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sophos Mobile on Premise

Gerät

Einstellung/Feld

SD-Karte verbieten

Unverschlüsseltes Gerät verbieten

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Die Verschlüsselung des internen Speichers ist aktiviert.

Wichtig

Wenn auf einem Gerät die Verschlüsselung des internen Speichers aktiviert ist, können

Sie dies nicht mehr über eine Richtlinie deaktivieren.

Hinweis

Auf dem Gerät muss zuvor BitLocker aktiviert worden sein, damit die Richtlinie angewendet werden kann.

Action-Center-Benachrichtigungen auf dem

Sperrbildschirm verbieten

Manuelles Hinzufügen von Nicht-Microsoft-

E-Mail-Konten verbieten

Microsoft-Konto-Verbindung verbieten

Auf dem Sperrbildschirm des Gerätes werden keine Action-Center-Benachrichtigungen angezeigt.

Hinzufügen aller Arten von E-Mail-Konten sowie von Exchange-, Office 365- und Outlook.com-

Konten nicht erlauben.

Die Verbindung zu Microsoft-Diensten wie z.B.

Synchronisierung, Skype oder Windows Store ist nicht möglich.

Wichtig

Diese Einstellung wirkt sich nur auf Microsoft-

Konten aus, die auf dem Gerät nach der

Zuweisung der Richtlinie eingerichtet werden.

Entwicklerfunktionen verbieten

Microsoft Store verbieten

Nativen Browser verbieten

Kamera verbieten

Der Windows-Entwicklermodus ist deaktiviert.

Der Windows-App-Store ist nicht verfügbar.

Der Browser Microsoft Edge ist nicht verfügbar.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Einstellung/Feld

Telemetriestufe

Sophos Mobile on Premise

Beschreibung

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

Windows 10:

• Vollständig : Alle Daten, die zum Finden und

Beheben von Problemen erforderlich sind.

• Verbessert : Daten zur Nutzung und Leistung von

Windows und Apps.

• Einfach : Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Deaktiviert (nur Windows Phone 8.1) : Von

Windows 10 nicht unterstützt. Wenn Sie diese

Option wählen, wird Stufe Einfach verwendet.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der

Stufe Einfach .

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

Windows Phone 8.1 unterstützt keine unterschiedlichen Telemetriestufen:

• Vollständig , Verbessert , Einfach : Benutzer können Telemetrie aktivieren oder deaktivieren.

• Deaktiviert (nur Windows Phone 8.1) : Es werden keine Telemetriedaten übertragen.

Verschiedenes

Einstellung/Feld

Kopieren und Einfügen verbieten

Cortana verbieten

Als Office-Dateien speichern verbieten

Screenshot verbieten

Teilen von Office-Dateien verbieten

„Einstellungen synchronisieren“ verbieten

Beschreibung

Die Zwischenablage ist nicht verfügbar.

Cortana ist deaktiviert.

Benutzer können Dateien auf dem Gerät nicht als Office-Dateien speichern.

Screenshots sind nicht möglich.

Office-Dateien können nicht geteilt werden.

Geräteeinstellungen können nicht mit anderen

Windows-Geräten synchronisiert werden.

Sophos Mobile on Premise

Einstellung/Feld

Audioaufzeichnungen verbieten

WLAN

Einstellung/Feld

WLAN verbieten

Tethering verbieten

WLAN-Optimierung (Hotspot-

Autoverbindung) verbieten

Hotspot-Reporting verbieten

Manuelle Konfiguration verbieten

Konnektivität

Einstellung/Feld

NFC verbieten

Bluetooth verbieten

USB-Verbindung verbieten

262

Roaming und Kosten

Einstellung/Feld

Daten-Roaming verbieten

VPN über Mobilfunk verbieten

Beschreibung

Audioaufzeichnungen sind deaktiviert.

Beschreibung

WLAN-Verbindungen sind deaktiviert.

ICS (Internet Connection Sharing) ist deaktiviert.

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Das Gerät sendet keine Informationen bezüglich WLAN-Verbindungen.

Benutzer können keine WLAN-Verbindungen konfigurieren. Dies betrifft nicht die von Sophos

Mobile konfigurierten Verbindungen.

Beschreibung

NFC (Near-Field Communication) ist deaktiviert.

Bluetooth ist deaktiviert.

USB-Verbindungen zwischen dem Gerät und einem Computer zur Synchronisierung von Dateien oder zur Verwendung von

Entwicklertools für die Installation oder das

Debugging von Apps sind nicht verfügbar. Dies betrifft nicht das Laden des Geräteakkus über

USB.

Beschreibung

Datenverbindungen über fremde

Mobilfunknetze sind deaktiviert.

VPN-Verbindungen über Mobilfunknetze sind deaktiviert.

Einstellung/Feld

VPN-Roaming über Mobilfunk verbieten

Sophos Mobile on Premise

Beschreibung

VPN-Verbindungen über fremde Mobilfunknetze sind deaktiviert.

Sicherheit und Privatsphäre

Einstellung/Feld

Bing Vision das Speichern von Bildern aus der Suche verbieten

Ortung bei der Suche verbieten

Manuelle Installation von Root-Zertifikaten verbieten

Ortung verbieten

SafeSearch-Einstellung

Beschreibung

Bing Vision speichert nicht die Bilder, die es bei

Suchvorgängen anfertigt.

Für die Suche werden keine

Standortinformationen verwendet.

Benutzer können nicht manuell Root-Zertifikate oder vorläufige CA-Zertifikate installieren.

Alle Datenschutzeinstellungen in der Kategorie

„Standort“ sind deaktiviert. Apps können nicht den Standortdienst verwenden. Wenn diese

Option aktiviert ist, kann auch Sophos Mobile das Gerät nicht orten.

Wählen Sie den Grad der Suchergebnis-

Filterung auf den Geräten aus:

• Moderat : Moderates Filtern von erotischen

Inhalten. Gültige Suchergebnisse werden nicht gefiltert.

• Streng : Maximales Filtern von erotischen

Inhalten.

Deregistrierung

Einstellung/Feld

Auf Werkseinstellungen zurücksetzen verbieten

Manuelle MDM-Deregistrierung verbieten

Beschreibung

Benutzer können das Gerät nicht

über die Systemsteuerung oder

über Tastenkombinationen auf den

Auslieferungszustand zurücksetzen.

Benutzer können das Arbeitsplatzkonto nicht löschen.

Sophos Mobile on Premise

264

15.25.3 Konfiguration „Exchange-Konto“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Einstellung/Feld

Kontoname

Exchange-Server

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Domäne

Benutzer

E-Mail-Adresse

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Einstellung/Feld

Inhalte

Sophos Mobile on Premise

Beschreibung

Die zu synchronisierenden Inhalte.

15.25.4 Konfiguration „WLAN“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Sicherheitstyp

Proxy

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

Wenn Sie Manuell aus der Liste auswählen, müssen Sie einen Server und einen Port angeben.

15.25.5 Konfiguration „App-Einschränkungen“ (Windows-

Mobile-Richtlinie)

Mit der Konfiguration App-Einschränkungen legen Sie Apps fest, die auf den Geräten erlaubt sind oder blockiert werden.

Einstellung/Feld

Erlaubte Apps

Beschreibung

Enthält eine Liste bestimmter Apps, die vom Benutzer auf dem Gerät installiert und verwendet werden dürfen. Benutzer können keine Apps installieren oder verwenden, die nicht explizit aufgeführt sind.

Verwenden Sie Erlaubte Apps , wenn die Apps bekannt sind, die erlaubt werden sollen, und alle anderen Apps blockiert werden sollen.

Sophos Mobile on Premise

Einstellung/Feld

Unzulässige Apps

App-Gruppe

Beschreibung

Enthält eine Liste bestimmter Apps, die vom

Benutzer auf dem Gerät nicht installiert werden dürfen. Benutzer können alle Apps installieren, die nicht explizit aufgeführt sind.

Verwenden Sie Unzulässige Apps , wenn die

Apps bekannt sind, die blockiert werden sollen, und alle anderen Apps erlaubt werden sollen.

Wählen Sie die App-Gruppe aus, welche die

Apps enthält, die erlaubt oder blockiert werden sollen.

Hinweis

Die App-Gruppe muss zuvor erstellt

worden sein. Siehe App-Gruppen

(Seite

316).

15.25.6 Konfiguration „IMAP/POP“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Gerät hinzu.

Einstellung/Feld

Typ des Accounts

Kontoname

E-Mail-Adresse

Angezeigter Benutzername

Benutzername

Domäne

Kennwort

Beschreibung

Der Typ des E-Mail-Servers für eingehende E-Mails

(entweder IMAP oder POP ).

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Domänenangabe in den Anmeldedaten für den

Posteingangsserver (falls erforderlich).

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Sophos Mobile on Premise

Einstellung/Feld

Posteingangsserver

Beschreibung

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Format: server name:port number

Den Port müssen Sie nur angeben, wenn es nicht der

Standardport ist:

• 143 (IMAP)

• 993 (IMAP mit SSL)

• 110 (POP3)

• 995 (POP3 mit SSL)

Secure Sockets Layer für eingehende E-Mails verwenden.

SSL/TLS für Posteingangsserver verwenden

Postausgangsserver

SSL/TLS für Postausgangsserver verwenden

Authentisierung für ausgehende

Verbindung erforderlich

Synchronisierungszeitraum

Automatische Synchronisierung

Hostname (oder IP-Adresse) und Port des

Postausgangsservers.

Format: server name:port number

Secure Sockets Layer für ausgehende E-Mails verwenden.

Der Postausgangsserver verlangt eine Benutzer-

Authentisierung.

Es werden dieselben Anmeldedaten wie für den

Posteingangsserver verwendet, d.h. die Werte, die Sie in den Feldern Benutzername , Domäne und Kennwort angegeben haben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses

Zeitraums mit dem Posteingang auf den Geräten synchronisiert.

Das Intervall für die automatische E-Mail-

Synchronisierung.

15.25.7 Konfiguration „Root-Zertifikat“ (Windows-Mobile-

Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Sophos Mobile on Premise

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.25.8 Konfiguration „SCEP“ (Windows-Mobile-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

Beschreibung

URL

Betreff

Subject Alternative Name

Challenge

Beschreibung

Eine Beschreibung der Konfiguration.

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Konfigurieren Sie bei Bedarf einen oder mehrere

Werte für den Subject Alternative Name (SAN).

Klicken Sie auf Hinzufügen und geben Sie anschließend einen SAN-Typ und einen SAN-

Wert ein.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Einstellung/Feld

Root-Zertifikat

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Hash-Algorithmus

Sophos Mobile on Premise

Beschreibung

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

Wählen Sie einen oder mehrere Hash-

Algorithmen aus, die vom SCEP-Server unterstützt werden.

Warnhinweis

Wir empfehlen Ihnen, den Algorithmus

SHA-1 nicht zu verwenden, da dieser als unsicher gilt.

15.26 Konfigurationen für Windows-Richtlinien

Mit einer Windows-Richtlinie konfigurieren Sie verschiedene Bereiche von Windows-Computern, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-Richtlinie finden Sie in Profil oder Richtlinie erstellen

(Seite 100).

15.26.1 Konfiguration „Kennwortrichtlinien“ (Windows-Richtlinie)

Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von

Windows-Benutzerkonten.

Sophos Mobile on Premise

Hinweis

Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von

Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden

können. Detailinformationen finden Sie unter Komplexitätsregeln für Windows-Kennwörter

(Seite

103).

Hinweis

Kennwortrichtlinien können Windows-Computern nicht zugewiesen werden, wenn beide der folgenden Bedingungen erfüllt sind:

• Neben dem Benutzer, der bei Sophos Mobile registriert ist, sind auf dem Gerät weitere lokale

Benutzer konfiguriert.

• Mindestens einer dieser weiteren Benutzer darf sein Kennwort nicht ändern.

Einstellung/Feld

Maximale Anzahl an Fehlversuchen

Inaktivitätszeit in Minuten bis zur Abfrage des Kennworts

Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen

Gültigkeitsdauer des Kennworts in Tagen

Beschreibung

Die Anzahl fehlgeschlagener Anmeldeversuche mit falschem Kennwort, nach der das Gerät zurückgesetzt wird.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Zeit (in Minuten), nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Der

Benutzer kann das Gerät entsperren.

Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

Die Anzahl der von Sophos Mobile gespeicherten verwendeten Kennwörter.

Wenn ein Benutzer ein neues Kennwort festlegt, darf dieses nicht mit einem bereits verwendeten Kennwort übereinstimmen.

Die Anzahl an Tagen, nach denen Benutzer ihr

Kennwort ändern müssen.

Geben Sie einen Wert zwischen 1 und 730 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.

15.26.2 Konfiguration „Einschränkungen“ (Windows-Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Sophos Mobile on Premise

Gerät

Einstellung/Feld

SD-Karte verbieten

Manuelles Hinzufügen von Nicht-Microsoft-

E-Mail-Konten verbieten

Entwicklerfunktionen verbieten

Kamera verbieten

Auto-Ausfüllen in Edge deaktivieren

Edge-F12-Entwicklertools deaktivieren

Edge-Popupblocker deaktivieren

Einstellungen „AutoPlay“ deaktivieren

Einstellungen „Datum und Uhrzeit“ deaktivieren

Einstellungen „Sprachen“ deaktivieren

Einstellungen „Netzbetrieb und

Energiesparen“ deaktivieren

Einstellungen „Region“ deaktivieren

Einstellungen „Anmeldeoptionen“ deaktivieren

Einstellungen „VPN“ deaktivieren

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Hinzufügen aller Arten von E-Mail-Konten sowie von Exchange-, Office 365- und Outlook.com-

Konten nicht erlauben.

Der Windows-Entwicklermodus ist deaktiviert.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Die Einstellung Formulareinträge speichern im Webbrowser Edge ist deaktiviert und kann vom Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die F12-Entwicklertools im Webbrowser Edge sind nicht verfügbar.

Die Einstellung Popups blockieren im

Webbrowser Edge ist deaktiviert und kann vom

Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die relevanten Bereiche in der Windows-

Systemsteuerung sind nicht verfügbar. Der

Benutzer kann diese Einstellungen nicht ändern, nachdem die Richtlinie dem Gerät zugewiesen wurde.

Hinweis

Einstellungen „AutoPlay“ deaktivieren wirkt sich nicht auf angeschlossene Geräte wie zum Beispiel Mobiltelefone aus.

Sophos Mobile on Premise

Einstellung/Feld

Einstellungen „Arbeitsplatzzugriff“ deaktivieren

Einstellungen „Konten“ deaktivieren

Telemetriestufe

Beschreibung

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

• Vollständig : Alle Daten, die zum Finden und

Beheben von Problemen erforderlich sind.

• Verbessert : Daten zur Nutzung und Leistung von

Windows und Apps.

• Einfach : Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Sicherheit : Daten, die benötigt werden, um das Gerät mit den neuesten

Sicherheitsaktualisierungen zu schützen.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der

Stufen Einfach und Sicherheit .

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

272

Verschiedenes

Einstellung/Feld

Cortana verbieten

„Einstellungen synchronisieren“ verbieten

Windows-Tipps deaktivieren

Beschreibung

Cortana ist deaktiviert.

Geräteeinstellungen können nicht mit anderen

Windows-Geräten synchronisiert werden.

Die Windows-Einstellung Tipps zu Windows anzeigen ist deaktiviert und nicht verfügbar.

WLAN

Einstellung/Feld

Tethering verbieten

Beschreibung

ICS (Internet Connection Sharing) ist deaktiviert.

Einstellung/Feld

WLAN-Optimierung (Hotspot-

Autoverbindung) verbieten

Konnektivität

Einstellung/Feld

Bluetooth verbieten

Sophos Mobile on Premise

Beschreibung

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Beschreibung

Bluetooth ist deaktiviert.

Sicherheit und Privatsphäre

Einstellung/Feld

Ortung bei der Suche verbieten

Beschreibung

Für die Suche werden keine

Standortinformationen verwendet.

Deregistrierung

Einstellung/Feld

Manuelle MDM-Deregistrierung verbieten

Beschreibung

Benutzer können das Arbeitsplatzkonto nicht löschen.

15.26.3 Konfiguration „Exchange ActiveSync“ (Windows-

Richtlinie)

Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange

Server E-Mail-Server ein.

Wichtig

Wenn Sie mehrere Exchange-E-Mail-Konten einrichten, können die Geräte möglicherweise nur E-Mails von einem dieser Konten abrufen. Dies passiert typischerweise, wenn die Konten auf unterschiedlichen Exchange-Servern liegen und auf diesen Servern unterschiedliche

Postfachrichtlinien definiert sind. Da Windows-Computer nur eine einzelne Postfachrichtlinie erzwingen können, schlägt die Verbindung zu Konten fehl, die eine abweichende Richtlinie verwenden.

Hinweis

Wenn Sie Änderungen an der Konfiguration „Exchange-Konto“ machen, fragt Windows die

Benutzer, ob sie die Änderungen annehmen oder ablehnen wollen.

Sophos Mobile on Premise

Einstellung/Feld

Kontoname

Exchange-Server

Domäne

Benutzer

E-Mail-Adresse

Kennwort

Synchronisierungszeitraum

Synchronisierungsintervall

SSL/TLS

Beschreibung

Der Kontoname.

Die Adresse des Exchange-Servers.

Hinweis

Wenn Sie den EAS-Proxy von Sophos

Mobile verwenden, geben Sie die URL des

EAS-Proxy-Servers ein.

Die Domäne für dieses Konto.

Der Benutzername für dieses Konto.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen

Benutzernamen ersetzt.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-

Adresse ersetzt.

Das Kennwort für dieses Konto.

Wenn Sie dieses Feld leer lassen, müssen

Benutzer das Kennwort auf ihren Geräten eingeben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses Zeitraums mit dem Posteingang auf den

Geräten synchronisiert.

Der zeitliche Abstand zwischen zwei

Synchronisierungsvorgängen.

Die Verbindung zum Exchange-Server wird mit

SSL oder TLS gesichert (je nachdem, was der

Server unterstützt).

Wir empfehlen, dieses Kontrollkästchen zu aktivieren.

Die zu synchronisierenden Inhalte.

Inhalte

15.26.4 Konfiguration „WLAN“ (Windows-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Sicherheitstyp

Sophos Mobile on Premise

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

15.26.5 Konfiguration „Kiosk-Modus“ (Windows-Richtlinie)

Mit der Konfiguration Kiosk-Modus richten Sie auf einem Windows-Computer einen Kiosk-Modus ein.

Im Kiosk-Modus läuft nur eine einzige App (die Kiosk-App). Der Kiosk-Modus wird aktiviert, wenn sich der für den Kiosk-Modus konfigurierte Benutzer (der Kiosk-Benutzer) anmeldet.

Hinweis

Standardmäßig bleibt der Computer nach einem Neustart im Kiosk-Modus. Um dieses Verhalten zu ändern, melden Sie sich als Kiosk-Benutzer an dem Computer an, gehen Sie zu Einstellungen

> Konten > Anmeldeoptionen und deaktivieren Sie Die Einrichtung meines Geräts soll nach einem Update oder Neustart mit meinen Anmeldeinformationen automatisch abgeschlossen werden.

Einstellung/Feld

Benutzerkonto

AUMID der App

Beschreibung

Der für den Kiosk-Modus konfigurierte Benutzer (der Kiosk-

Benutzer).

Format:

<Computername>\<Benutzername> (lokales Konto)

<Domäne>\<Benutzername> (Domänenkonto)

Sie brauchen <Domäne> nicht anzugeben, wenn der

Benutzername eindeutig bezüglich aller Domänen ist.

Die Application User Model ID (AUMID) der App, die bei

Aktivierung des Kiosk-Modus gestartet wird (die Kiosk-App).

Informationen zur Bestimmung des AUMID-Wertes finden Sie im Microsoft-Dokument Find the Application User Model ID of an installed app .

15.26.6 Konfiguration „IMAP/POP“ (Windows-Richtlinie)

Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Windows-

Computer hinzu.

Sophos Mobile on Premise

Einstellung/Feld

Typ des Accounts

Kontoname

E-Mail-Adresse

Angezeigter Benutzername

Benutzername

Domäne

Kennwort

Posteingangsserver

Beschreibung

Der Typ des E-Mail-Servers für eingehende E-Mails

(entweder IMAP oder POP ).

Der auf dem Gerät angezeigte Name des E-Mail-Kontos.

Die E-Mail-Adresse des Kontos.

Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.

Der für ausgehende E-Mails verwendete Benutzername.

Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem

Gerät zugewiesen ist.

Der Benutzername für die Verbindung mit dem

Posteingangsserver.

Die Domänenangabe in den Anmeldedaten für den

Posteingangsserver (falls erforderlich).

Das Kennwort für die Verbindung mit dem

Posteingangsserver (falls erforderlich).

Hostname oder IP-Adresse und Port des

Postausgangsservers.

Format: server name:port number

Den Port müssen Sie nur angeben, wenn es nicht der

Standardport ist:

• 143 (IMAP)

• 993 (IMAP mit SSL)

• 110 (POP3)

• 995 (POP3 mit SSL)

Secure Sockets Layer für eingehende E-Mails verwenden.

SSL/TLS für Posteingangsserver verwenden

Postausgangsserver

SSL/TLS für Postausgangsserver verwenden

Hostname (oder IP-Adresse) und Port des

Postausgangsservers.

Format: server name:port number

Secure Sockets Layer für ausgehende E-Mails verwenden.

Einstellung/Feld

Authentisierung für ausgehende

Verbindung erforderlich

Synchronisierungszeitraum

Automatische Synchronisierung

Sophos Mobile on Premise

Beschreibung

Der Postausgangsserver verlangt eine Benutzer-

Authentisierung.

Es werden dieselben Anmeldedaten wie für den

Posteingangsserver verwendet, d.h. die Werte, die Sie in den Feldern Benutzername , Domäne und Kennwort angegeben haben.

Der Zeitraum, für den E-Mails synchronisiert werden.

Es werden nur E-Mail-Nachrichten innerhalb dieses

Zeitraums mit dem Posteingang auf den Geräten synchronisiert.

Das Intervall für die automatische E-Mail-

Synchronisierung.

15.26.7 Konfiguration „Device Guard“ (Windows-Richtlinie)

Mit der Konfiguration Device Guard konfigurieren Sie virtualisierungsbasierte Sicherheit (VBS) auf

Windows-Computern.

Hinweis

Die Einstellungen werden beim nächsten Neustart des Windows-Computers angewendet, nachdem die Richtlinie zugewiesen wurde.

Einstellung/Feld

Virtualisierungsbasierte Sicherheit (VBS) aktivieren

Credential-Guard-Konfiguration

Beschreibung

•

Virtualisierungsbasierte Sicherheit (VBS) wird aktiviert.

Deaktivieren : Credential Guard wird deaktiviert.

Die Deaktivierung ist nicht möglich, wenn

Credential Guard mit der Option Aktivieren mit UEFI-Sperre aktiviert wurde.

Aktivieren mit UEFI-Sperre : Credential

Guard wird deaktiviert und kann nicht ferngesteuert deaktiviert werden.

Credential Guard kann nur wieder in den

BIOS-Einstellungen deaktiviert werden. Dies erfordert einen physischen Zugriff auf den

Computer.

Aktivieren ohne Sperre : Credential Guard wird aktiviert.

Credential Guard kann mit der Option

Deaktivieren oder mit einer Windows-

Gruppenrichtlinie wieder deaktiviert werden.

Sophos Mobile on Premise

Einstellung/Feld

Plattform-Sicherheitsstufe

•

Beschreibung

Sicherer Start : VBS wird mit dem maximalen von der Computerhardware unterstützten

Schutz aktiviert.

Wenn der Computer keine IOMMUs (I/

O Memory Management Units) besitzt, verwendet VBS die UEFI-Funktion „Sicherer

Start“.

Wenn der Computer IOMMUs besitzt, verwendet VBS die UEFI-Funktion „Sicherer

Start“ mit DMA-Schutz (Direct Memory

Access).

Sicherer Start und DMA-Schutz : VBS verwendet die UEFI-Funktion „Sicherer Start“ mit DMA-Schutz (Direct Memory Access).

Falls der Computer DMA nicht unterstützt, wird VBS nicht aktiviert.

15.26.8 Konfiguration „Root-Zertifikat“ (Windows-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

15.26.9 Konfiguration „Client-Zertifikat“ (Windows-Richtlinie)

Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Windows-Computern.

Einstellung/Feld

Datei

Zertifikatsname

Beschreibung

Das zu installierende Zertifikat.

Klicken Sie auf Datei hochladen und navigieren Sie anschließend zu der Datei mit dem Zertifikat.

Sie können Zertifikate in den Formaten PEM und PKCS #12 hochladen.

Nachdem Sie die Zertifikatdatei hochgeladen haben, steht in diesem Feld der Wert subject des Zertifikats.

Einstellung/Feld

Ziel-Store

Schlüsselort

Schlüssel kann exportiert werden

Containername

Sophos Mobile on Premise

Beschreibung

Der Zertifikatspeicher, in dem das Zertifikat installiert wird:

Benutzer : Das Zertifikat steht dem Benutzer zur Verfügung, der bei Sophos Mobile registriert ist.

Gerät : Das Zertifikat steht allen Computerbenutzern zur

Verfügung.

Der Ort, an dem der private Schlüssel des Zertifikats gespeichert wird:

Software : Der Schlüssel wird Software-basiert in einer Keystore-

Datei gespeichert.

TPM oder Software : Sofern verfügbar, wird der Schlüssel in

TPM gespeichert. Andernfalls wird der Schlüssel Software-basiert in einer Keystore-Datei gespeichert.

TPM : Der Schlüssel wird im TPM-Hardwarechip (Trusted

Platform Module) gespeichert. Falls der Computer keinen TPM-

Chip besitzt oder TPM im BIOS deaktiviert ist, wird das Zertifikat nicht installiert.

Windows Hello for Business : Der Schlüssel wird in einem

Windows-Hello-for-Business-Container gespeichert.

Benutzer können beim Export des Zertifikats auch den privaten

Schlüssel exportieren.

Der Name des Windows-Hello-for-Business-Containers, in dem der private Schlüssel des Zertifikats gespeichert wird.

15.26.10 Konfiguration „SCEP“ (Windows-Richtlinie)

Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment

Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.

Einstellung/Feld

Beschreibung

URL

Beschreibung

Eine Beschreibung der Konfiguration.

Die Webadresse des CA-Servers.

Verwenden Sie die Variable %_SCEPPROXYURL_

% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Sophos Mobile on Premise

280

Einstellung/Feld

Betreff

Subject Alternative Name

Challenge

Root-Zertifikat

Wiederholungen

Wiederholungsverzögerung

Schlüsselgröße

Beschreibung

Der Name des Zertifikatempfängers (Entity), zum

Beispiel eine Person oder ein Gerät.

Sie können Platzhalter für Benutzerdaten und

Geräteeigenschaften verwenden.

Der eingegebene Wert - nach Ersetzung der

Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.

Zum Beispiel:

• Geben Sie CN=%_USERNAME_% ein, um einen

Benutzer zu spezifizieren.

• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.

Informationen zu den verfügbaren Platzhaltern

finden Sie in Platzhalter in Profilen und Richtlinien

(Seite 104).

Konfigurieren Sie bei Bedarf einen oder mehrere

Werte für den Subject Alternative Name (SAN).

Klicken Sie auf Hinzufügen und geben Sie anschließend einen SAN-Typ und einen SAN-

Wert ein.

Die Webadresse, unter der das Challenge-

Kennwort vom SCEP-Server angefordert wird.

Verwenden Sie die Variable %_CACHALLENGE_

% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite

Systemeinstellungen konfiguriert ist.

Das CA-Zertifikat.

Wählen Sie das Zertifikat aus der Liste aus. Die

Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.

Die Anzahl an Wiederholungsversuchen, falls der

Server mit dem Status Pending antwortet.

Die Zeit in Sekunden zwischen zwei

Wiederholungsversuchen.

Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.

Stellen Sie sicher, dass der Wert mit dem Wert

übereinstimmt, der auf dem SCEP-Server konfiguriert ist.

Einstellung/Feld

Als digitale Signatur verwenden

Für Verschlüsselung verwenden

Hash-Algorithmus

Sophos Mobile on Premise

Beschreibung

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale

Signatur verwendet werden.

Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur

Datenverschlüsselung verwendet werden.

Wählen Sie einen oder mehrere Hash-

Algorithmen aus, die vom SCEP-Server unterstützt werden.

Warnhinweis

Wir empfehlen Ihnen, den Algorithmus

SHA-1 nicht zu verwenden, da dieser als unsicher gilt.

15.27 Konfigurationen für Windows-IoT-Richtlinien

Mit einer Windows-IoT-Richtlinie konfigurieren Sie verschiedene Bereiche von Windows-IoT-Geräten, wie zum Beispiel Einschränkungen oder WLAN-Einstellungen.

Informationen zum Erstellen einer Windows-IoT-Richtlinie finden Sie in

Auslieferungszustand zurückzusetzen. Weitere Informationen finden Sie in Compliance-Richtlinien

(Seite 100).

15.27.1 Konfiguration „Einschränkungen“ (Windows-IoT-

Richtlinie)

Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.

Gerät

Einstellung/Feld

SD-Karte verbieten

Entwicklerfunktionen verbieten

Kamera verbieten

Beschreibung

Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch

Apps.

Der Windows-Entwicklermodus ist deaktiviert.

Die Datenschutz-Einstellung Apps die

Verwendung meiner Kamera erlauben ist deaktiviert.

Sophos Mobile on Premise

Einstellung/Feld

Auto-Ausfüllen in Edge deaktivieren

Edge-Popupblocker deaktivieren

Telemetriestufe

Beschreibung

Die Einstellung Formulareinträge speichern im Webbrowser Edge ist deaktiviert und kann vom Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Die Einstellung Popups blockieren im

Webbrowser Edge ist deaktiviert und kann vom

Benutzer nicht aktiviert werden.

Wenn das Kontrollkästchen deaktiviert ist, ist die Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.

Der Umfang an Diagnose- und Nutzungsdaten, den

Geräte senden dürfen.

• Vollständig : Alle Daten, die zum Finden und

Beheben von Problemen erforderlich sind.

• Verbessert : Daten zur Nutzung und Leistung von

Windows und Apps.

• Einfach : Daten in begrenztem Umfang, um das

Gerät und seine Konfiguration zu verstehen.

• Sicherheit : Daten, die benötigt werden, um das Gerät mit den neuesten

Sicherheitsaktualisierungen zu schützen.

Hinweis

Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der

Stufen Einfach und Sicherheit .

Tipp

Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen

(externer Link) .

282

WLAN

Einstellung/Feld

Tethering verbieten

WLAN-Optimierung (Hotspot-

Autoverbindung) verbieten

Beschreibung

ICS (Internet Connection Sharing) ist deaktiviert.

Das Gerät verbindet sich nicht automatisch mit

WLAN-Hotspots.

Sophos Mobile on Premise

Konnektivität

Einstellung/Feld

Bluetooth verbieten

Beschreibung

Bluetooth ist deaktiviert.

15.27.2 Konfiguration „WLAN“ (Windows-IoT-Richtlinie)

Mit der Konfiguration WLAN legen Sie Einstellungen für eine WLAN-Verbindung fest.

Einstellung/Feld

SSID

Automatisch verbinden

Unsichtbares Netzwerk

Sicherheitstyp

Beschreibung

Geben Sie in diesem Feld die WLAN-ID ein.

Die Verbindung wird automatisch hergestellt.

Das Zielnetzwerk ist nicht offen oder ist unsichtbar.

Wählen Sie den Sicherheitstyp aus der Liste aus. Wenn Sie WPA (privat) oder WPA2

(privat) auswählen, müssen Sie das Kennwort angeben.

15.27.3 Konfiguration „Root-Zertifikat“ (Windows-IoT-Richtlinie)

Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.

Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .

Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.

Hinweis

Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen

Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.

Sophos Mobile on Premise

284

16 Auftragspakete

Mit Auftragspaketen können Sie mehrere Aufträge in einer Transaktion bündeln. Somit können Sie alle Aufträge bündeln, die für die Registrierung und Konfiguration eines Gerätes notwendig sind:

• Gerät registrieren.

• Erforderliche Richtlinien anwenden.

• Erforderliche Apps installieren (zum Beispiel verwaltete Apps bei iOS-Geräten).

• Erforderliche Profile anwenden.

Sie können auch Wipe-Befehle in Auftragspakete einbeziehen, um Geräte, die gegen

Compliance-Regeln verstoßen (zum Beispiel Geräte mit Jailbreak oder gerootete Geräte), auf den

(Seite 42).

Auftragspakete sind für die folgenden Plattformen verfügbar:

• Android

• iOS

• macOS

• Windows

16.1 Auftragspakete erstellen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf die Plattform, für die Sie ein Auftragspaket erstellen wollen.

2. Klicken Sie auf der Seite Auftragspakete auf Auftragspaket erstellen .

Die Seite Auftragspaket bearbeiten wird angezeigt.

3. Geben Sie in den jeweiligen Feldern einen Namen und optional eine Beschreibung für das neue

Auftragspaket ein.

Die Version wird beim Speichern des Auftragspakets jedes Mal automatisch erhöht.

4. Optional: Wenn Sie Auswählbar als Compliance-Aktion auswählen, kann das Auftragspaket auf

Geräte übertragen werden, die eine Compliance-Regel verletzen. Siehe Compliance-Richtlinien

(Seite 42).

Hinweis

Diese Option ist deaktiviert, wenn Sie ein vorhandenes Auftragspaket bearbeiten, das bereits als Compliance-Aktion verwendet wird.

5. Optional: Für iOS-Auftragspakete wählen Sie Fehlgeschlagene App-Installationen ignorieren aus, damit die Verarbeitung des Auftragspakets nicht abgebrochen wird, wenn eine App-Installation fehlschlägt.

Diese Option ist deaktiviert, wenn das Auftragspaket keinen Auftrag vom Typ App installieren enthält.

6. Klicken Sie auf Auftrag erstellen .

7. Wählen Sie den Auftragstyp und klicken Sie auf Weiter .

Sophos Mobile on Premise

Die nächste Ansicht hängt vom gewählten Auftragstyp ab. In jeder Ansicht können Sie eigene aussagekräftige Auftragsnamen angeben. Diese Auftragsnamen werden während der Installation im Self Service Portal angezeigt.

8. Folgen Sie den Schritten im Assistenten, um den gewünschten Auftrag hinzuzufügen. Klicken Sie auf Anwenden , um den Auftrag zu erstellen.

9. Optional: Fügen Sie weitere Aufgaben zu dem Auftragspaket hinzu.

Hinweis

In Android-Auftragspaketen können Sie nicht gleichzeitig Android- und Android-Enterprise-

Aufträge verwenden.

Tipp

Mit den Sortier-Pfeilsymbolen auf der rechten Seite der Auftragsliste können Sie die

Installationsreihenfolge der Aufträge festlegen.

10. Wenn Sie alle erforderlichen Aufträge zum Auftragspaket hinzugefügt haben, klicken Sie auf der

Seite Auftragspaket bearbeiten auf Speichern .

Das Auftragspaket steht für die Übertragung zur Verfügung. Es wird auf der Seite Auftragspakete angezeigt.

Hinweis

Wenn Sie ein vorhandenes Auftragspaket bearbeiten, das als Einrichtungspaket in den Self

Service Portal-Einstellungen verwendet wird, kann der Einrichtungsauftrag nicht gelöscht werden.

Siehe

Einstellungen für das Self Service Portal konfigurieren

(Seite 24).

Zugehörige Konzepte

Verfügbare Auftragstypen (Android)

(Seite 285)

Verfügbare Auftragstypen (iOS) (Seite 289)

Verfügbare Auftragstypen (macOS) (Seite 292)

Verfügbare Auftragstypen (Windows)

(Seite 293)

16.2 Verfügbare Auftragstypen (Android)

Für Android-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Sophos Mobile on Premise

286

Sophos-Container registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Profil installieren

Wählen Sie aus der Liste der verfügbaren Profile und Richtlinien ein Profil oder eine Richtlinie aus.

Informationen, wie Sie Profile oder Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und

Richtlinien (Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend installiert, d.h. ohne

Benutzerinteraktion, bzw. die Richtlinie wird stillschweigend zugewiesen.

Profil deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein Profil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Sie können auch Profile deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten deinstallieren wollen.

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend deinstalliert.

Hinweis

Eine Sophos-Container-Richtlinie oder eine Mobile-Security-Richtlinie kann nicht auf diese Weise von Geräten deinstalliert werden. Verwenden Sie stattdessen die Geräteaktion Sophos-Container deregistrieren bzw. SMSec deregistrieren . Dadurch wird auch die jeweils zugehörige Richtlinie vom Gerät entfernt.

App installieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

in App aus Managed Google Play bearbeiten

(Seite 296).

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App installieren möchte. Benutzer können auf

OK tippen, um die Installation durchzuführen, oder auf Nicht jetzt , um nach Ablauf einer kurzen

Zeitspanne erneut aufgefordert zu werden.

Falls Benutzer auf OK tippen, aber dann im nächsten Schritt auf Abbrechen tippen, schlägt der

Auftrag fehl.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

Sophos Mobile on Premise

App aus Managed Google Play installieren

Dieser Auftragstyp ist verfügbar, wenn Sie Android Enterprise für den Kunden konfiguriert haben.

Wählen Sie eine App aus der Liste der Apps aus, die Sie in Managed Google Play für Ihr

Unternehmen genehmigt haben. Informationen, wie Sie Apps zu dieser Liste hinzufügen, finden Sie

(Seite 335).

Der Installationsauftrag wird an Google gesendet. Die eigentliche Installation der App auf dem Gerät wird von Google verwaltet. Auf der Seite Auftragsstatus wird der Auftrag mit Status erfolgreich angezeigt, sobald er an Google gesendet wurde.

Alternativ können Sie Apps auch über die Seite Genehmigte Apps installieren. Siehe

Genehmigte

App installieren

(Seite 337).

Informationen, wie Sie eine App aus Managed Google Play von Geräten deinstallieren, finden Sie in

Apps aus Managed Google Play deinstallieren

(Seite 338).

App deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Apps , um aus der Liste der verfügbaren Apps eine

App auszuwählen.

Neben den Apps, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Apps angezeigt, die auf einem verwalteten Gerät in Verwendung sind - ausgenommen Android-System-

Apps und vom Gerätehersteller vorinstallierte Apps.

Sie können auch Apps deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend den Paketnamen der App ein, die Sie von Geräten deinstallieren wollen. Wenn Sie Knox-Container-App auswählen, wird die App aus dem Samsung-Knox-

Container deinstalliert.

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App deinstallieren möchte. Benutzer können auf OK tippen, um die Installation durchzuführen, oder auf Nicht jetzt , um nach Ablauf einer kurzen

Zeitspanne erneut aufgefordert zu werden.

Falls Benutzer auf OK tippen, aber dann im nächsten Schritt auf Abbrechen tippen, schlägt der

Auftrag fehl.

Falls die App nicht auf einem Gerät installiert ist, das den Auftrag erhält, wird keine Benachrichtigung angezeigt.

Nachricht senden

Geben Sie einen Text ein, der auf den Geräten angezeigt werden soll.

Wenn der Auftrag an Geräte übertragen wird, wird der Hinweistext in einem

Benachrichtigungsfenster angezeigt. Benutzer können frühere Nachrichten auf der Seite

Nachrichten der App Sophos Mobile Control anzeigen.

Deregistrieren

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

verwaltet wird, d.h., wenn dem Gerät eine Mobile-Security-Richtlinie zugewiesen ist. Siehe Sophos

(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sophos Mobile on Premise

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Zurücksetzen

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Hinweis

Wenn ein Auftrag vom Typ Zurücksetzen an ein Android-Enterprise-Gerät im Modus

„Profilbesitzer“ übertragen wird, werden nur das Arbeitsprofil und alle Apps aus Managed

Google Play entfernt.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Knox-Container: sperren

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container gesperrt.

Knox-Container: entsperren

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container entsperrt.

Knox-Container: Kennwort zurücksetzen

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird das

Knox-Container-Kennwort zurückgesetzt. Benutzer müssen ein neues Kennwort festlegen, um den

Knox-Container zu entsperren.

Knox-Container: entfernen

Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der

Knox-Container (inklusive aller zugehörigen Einstellungen) entfernt.

SMSec-Scan auslösen

Wenn der Auftrag an Geräte übertragen wird, wird die App Sophos Mobile Security stillschweigend angewiesen, das Gerät auf Malware und PUAs (Potentally Unwanted Apps) zu scannen.

Sophos Mobile on Premise

Dieser Auftrag kann nur ausgeführt werden, wenn Sophos Mobile Security von Sophos Mobile

Mobile Security verwalten

(Seite 356).

Falls der Auftrag an ein Gerät übertragen wird, auf dem Sophos Mobile Security nicht von Sophos

Mobile verwaltet wird, d.h., wenn dem Gerät keine Mobile-Security-Richtlinie zugewiesen ist, verbleibt der Auftrag im Status Wiederholung geplant.

16.3 Verfügbare Auftragstypen (iOS)

Für iOS-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Sophos-Container registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Profil installieren

Wählen Sie aus der Liste der verfügbaren Profile und Richtlinien ein Profil oder eine Richtlinie aus.

Informationen, wie Sie Profile oder Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und

Richtlinien (Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend installiert, d.h. ohne

Benutzerinteraktion, bzw. die Richtlinie wird stillschweigend zugewiesen.

Profil deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein Profil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend deinstalliert.

Sophos Mobile on Premise

Hinweis

Eine Sophos-Container-Richtlinie kann nicht auf diese Weise von Geräten deinstalliert werden.

Verwenden Sie stattdessen die Geräteaktion Sophos-Container deregistrieren . Dadurch wird auch die zugehörige Richtlinie vom Gerät entfernt.

Provisionierungsprofil installieren

Wählen Sie ein App-Provisionierungsprofil aus der Liste der verfügbaren Profile aus. Informationen,

wie Sie Profile zu dieser Liste hinzufügen, finden Sie in Provisionierungsprofile für iOS-Apps importieren (Seite 101).

Wenn der Auftrag an Geräte übertragen wird, wird das Provisionierungsprofil stillschweigend installiert.

Provisionierungsprofil deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein

Provisionierungsprofil aus der Liste aus.

Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch

Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.

Sie können auch Provisionierungsprofile entfernen, die nicht in der Liste enthalten sind. Wählen

Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten entfernen wollen.

Wenn der Auftrag an Geräte übertragen wird, wird das Provisionierungsprofil stillschweigend entfernt.

SMC-App neu konfigurieren

Wenn der Auftrag an ein Gerät übertragen wird, wird der Benutzer aufgefordert, einen QR-Code zu scannen oder Konfigurationsdetails manuell einzugeben. Dadurch wird eine zuvor deinstallierte App

Sophos Mobile Control wieder mit dem Server verbunden.

Hinweis

Sie sollten vor diesem Auftrag einen Auftrag App installieren für die App Sophos Mobile Control ausführen.

290

App installieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

(Seite 296).

Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine

Benachrichtigung darüber, dass Sophos Mobile eine App installieren möchte. Benutzer können auf Installieren tippen, um die Installation durchzuführen, oder auf Abbrechen , um die Installation abzulehnen.

Falls Benutzer die Installation ablehnen, schlägt der Auftrag fehl.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

Sophos Mobile on Premise

App deinstallieren

Wählen Sie unter Quelle auswählen den Eintrag Apps , um aus der Liste der verfügbaren Apps eine

App auszuwählen.

Neben den Apps, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Apps angezeigt, die auf einem verwalteten Gerät in Verwendung sind - ausgenommen iOS-System-Apps.

Sie können auch Apps deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Bundle-ID der App ein, die Sie von Geräten deinstallieren wollen.

Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend deinstalliert.

Letzte iOS-Aktualisierung installieren

Wenn der Auftrag an Geräte übertragen wird, wird die neueste verfügbare Aktualisierung für iOS installiert. Abhängig vom Gerätemodell können verschiedene Aktualisierungen installiert werden.

Auf folgenden Geräten können Sie eine iOS-Aktualisierung durchführen:

• Betreute Geräte mit iOS 10.3 oder neuer

• Betreute Apple-DEP-Geräte

Bei anderen Geräten schlägt der Auftrag fehl.

Nachricht senden

Geben Sie einen Text ein, der auf den Geräten angezeigt werden soll.

Wenn der Auftrag an Geräte übertragen wird, wird der Hinweistext in einem

Benachrichtigungsfenster angezeigt. Benutzer können frühere Nachrichten auf der Seite

Nachrichten der App Sophos Mobile Control anzeigen.

Deregistrieren

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Zurücksetzen

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Sophos Mobile on Premise

16.4 Verfügbare Auftragstypen (macOS)

Für macOS-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Geräterichtlinie zuweisen

Wählen Sie aus der Liste der verfügbaren macOS-Geräterichtlinien eine Richtlinie aus.

Informationen, wie Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und Richtlinien

(Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Geräterichtlinie zugewiesen ist, wird diese ersetzt.

Benutzerrichtlinie zuweisen

Wählen Sie aus der Liste der verfügbaren macOS-Benutzerrichtlinien eine Richtlinie aus.

Informationen, wie Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in

Profile und Richtlinien

(Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Benutzerrichtlinie zugewiesen ist, wird diese ersetzt.

Benutzerrichtlinien werden auf Benutzer angewendet, wenn sich diese das nächste Mal am Mac anmelden.

Deregistrieren

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in Profile und Richtlinien

(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

292

Zurücksetzen

Legen Sie eine 6-stellige PIN für die Systemsperre fest.

Wenn der Auftrag an einen Mac übertragen wird, startet dieser neu und beginnt damit, die Festplatte zu löschen. Der Benutzer muss die PIN eingeben, um den Mac zu entsperren.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Sophos Mobile on Premise

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Tipp

In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter

Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter

Sperr-PIN .

16.5 Verfügbare Auftragstypen (Windows)

Für Windows-Auftragspakete sind die folgenden Auftragstypen verfügbar:

Registrieren

Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-

Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.

Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-

E-Mail gesendet.

Richtlinie zuweisen

Wählen Sie aus der Liste der verfügbaren Geräterichtlinien eine Richtlinie aus. Informationen, wie

(Seite 98).

Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Geräterichtlinie zugewiesen ist, wird diese ersetzt.

App installieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser

Liste hinzufügen, finden Sie in

(Seite 296).

Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend installiert.

Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.

App deinstallieren

Wählen Sie eine App aus der Liste der verfügbaren Apps aus.

Die Liste enthält Apps, die Sie am Sophos Mobile Server konfiguriert haben und Apps, die auf mindestens einem der verwalteten Windows-Computer installiert sind - ausgenommen Windows-

System-Apps.

Wenn der Auftrag an Geräte übertragen wird, wird die ausgewählte App stillschweigend deinstalliert.

Sophos Mobile on Premise

Hinweis

Sie können nur Apps deinstallieren, die von Sophos Mobile installiert wurden. Wenn Sie versuchen, eine vom Benutzer installierte App zu deinstallieren, schlägt der Auftrag fehl.

Deregistrieren

Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe

App hinzufügen (Seite 296).

(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

Zurücksetzen

Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.

Wichtig

Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.

Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.

16.6 Auftragspakete duplizieren

Da das Erstellen eines Auftragspakets zeitaufwändig sein kann, können Sie bereits vorhandene

Auftragspakete duplizieren. Diese Funktion ist hilfreich, wenn mehrere umfangreiche Auftragspakete mit ähnlichen Aufträgen erforderlich sind. Es müssen dann nur wenige Aufträge gelöscht oder hinzugefügt werden.

Hinweis

Sie können Auftragspakete nur dann duplizieren, wenn sie nicht gleichzeitig bearbeitet werden.

Die Kopien werden mit „Copy of“ und dem Namen des Originalprofils benannt. Sie können die

Namen der Pakete nach Ihren Anforderungen ändern.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf

Android oder iOS .

Die Seite Auftragspakete wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem Auftragspaket, das Sie duplizieren möchten, und anschließend auf Duplizieren .

Das Auftragspaket wird dupliziert und auf der Seite Auftragspakete angezeigt. Klicken Sie auf das duplizierte Auftragspaket, um es zu bearbeiten.

Sophos Mobile on Premise

16.7 Auftragspakete an einzelne Geräte oder

Gerätegruppen übertragen

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf

Android oder iOS .

Die Seite Auftragspakete wird angezeigt.

2. Klicken Sie auf das blaue Dreieck neben dem betreffenden Auftrag und anschließend auf

Übertragen .

Die Seite Geräte auswählen wird angezeigt.

3. Auf dieser Seite können Sie folgende Aufgaben durchführen:

• Wählen Sie einzelne Geräte aus, an die das Auftragspaket übertragen werden soll.

• Klicken Sie auf Gerätegruppen auswählen , um die Seite Gerätegruppen auswählen zu öffnen. Wählen Sie dann eine oder mehrere Gerätegruppen für die Übertragung des

Auftragspakets aus.

4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Weiter .

Die Seite Ausführungszeit wählen wird angezeigt.

5. Wählen Sie unter Datum die Option Sofort oder geben Sie ein Datum und eine Uhrzeit für die

Ausführung dieses Auftrags an.

6. Klicken Sie auf Fertigstellen .

Die Seite Auftragsstatus wird angezeigt.

Das Auftragspaket wird zum angegebenen Zeitpunkt auf die ausgewählten Geräte übertragen.

Sophos Mobile on Premise

17 Apps

Sie konfigurieren Apps, damit diese mit Sophos Mobile Admin (Administrator-initiiert) oder mit der

App Sophos Mobile Control (Benutzer-initiiert) installiert werden können.

Die Verwaltung von Apps ist für die folgenden Plattformen verfügbar:

• Android

• iOS

• Windows Mobile

Gehen Sie wie folgt vor, um eine App in Sophos Mobile verfügbar zu machen:

• Das App-Paket auf den Sophos Mobile Server hochladen. Diese Option ist nicht verfügbar für

Windows-Mobile-Apps und für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

• Einen Link zu der App im jeweiligen App Store angeben.

Eine Beschreibung beider Arten finden Sie im Abschnitt

Um eine App auf einem Gerät zu installieren, erstellen Sie ein Auftragspaket, das einen Auftrag App installieren enthält. Für Android- und iOS-Geräte können Sie ein solches Auftragspaket direkt auf der Seite Apps erstellen. Siehe

App installieren

(Seite 297).

Hinweis

Damit App-Pakete, die auf dem Sophos Mobile Server gespeichert sind, installiert werden können, im Gegensatz zur Installation aus dem jeweiligen App-Store, müssen die folgenden Bedingungen erfüllt sein:

• Android: Auf den Geräten muss die Android-Sicherheitseinstellung Unbekannte Herkunft aktiviert sein. Falls Unbekannte Herkunft deaktiviert ist während Sie versuchen, eine APK-

Datei zu installieren, erhalten die Benutzer von der App Sophos Mobile Control einen Hinweis, wie sie diese Einstellung aktivieren können. Diese Einschränkung gilt nicht für Geräte mit LG

GATE, Samsung Knox oder Sony Enterprise API.

• iOS: Die App-Installation über IPA-Dateien ist nur für selbstentwickelte Apps möglich. Wenn die App fertiggestellt ist und verteilt werden kann, müssen Sie ein Provisionierungsprofil für die App erstellen dieses auf den Geräten verfügbar machen, entweder, indem Sie es vorab separat installieren, oder, indem Sie es in die IPA-Datei der App integrieren. Sie können Sophos Mobile verwenden, um Provisionierungsprofile an Ihre iOS-Geräte zu

verteilen. Siehe Provisionierungsprofile für iOS-Apps importieren

(Seite 101). Details zu

Provisionierungsprofilen finden Sie in der iOS Developer Library.

17.1 App hinzufügen

Sie stellen eine App für die Installation zur Verfügung, indem Sie entweder das App-Paket hochladen oder den App-Link im jeweiligen App Store angeben.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die

Plattform, für die Sie die App hinzufügen wollen.

2. Klicken Sie auf App hinzufügen und wählen Sie anschließend die gewünschte Option aus:

Sophos Mobile on Premise

• Android-Paket : Hinzufügen einer Android-App durch Hochladen der APK-Datei zu Sophos

Mobile.

• iOS-Paket : Hinzufügen einer iOS-App durch Hochladen der IPA-Datei zu Sophos Mobile.

• Android-Link : Hinzufügen einer Android-App durch Verlinken zu Google Play.

• iOS-Link : Hinzufügen einer iOS-App durch Verlinken zum App Store.

• Windows-Mobile-Link : Hinzufügen einer Windows-Mobile-App durch Verlinken zum Microsoft

Store.

• Windows-MSI-Link : Hinzufügen einer Windows-App durch Verlinken zur MSI-

Installationsdatei.

• Microsoft-Store-Link : Hinzufügen einer Windows-App durch Verlinken zum Microsoft Store.

3. Konfigurieren Sie die gewünschten App-Einstellungen.

4. Klicken Sie auf Speichern , um die App-Einstellungen zu speichern und zur Seite Apps zurückzukehren.

Die App steht für die Installation zur Verfügung. Sie wird auf der Seite Apps angezeigt. Falls Sie das

Feld Verfügbar für Gerätegruppen konfiguriert haben, wird die App auch im Enterprise App Store der

App Sophos Mobile Control angezeigt und kann von dort von den Benutzern installiert werden. Der

Installationsvorgang läuft ohne oder nur mit sehr geringer Benutzerinteraktion.

Hinweis

Auf Geräten, auf denen Sophos Mobile nur den Sophos-Container verwaltet, sind keine Apps verfügbar, die Sie durch Hochladen der APK-Datei (für Android) bzw. der IPA-Datei (für iOS) hinzugefügt haben.

Zugehörige Referenzinformationen

App-Einstellungen (Android)

(Seite 300)

App-Einstellungen (iOS)

(Seite 301)

App-Einstellungen (Windows Mobile) (Seite 304)

App-Einstellungen (Windows)

(Seite 305)

17.2 App installieren

Hinweis

Dieser Abschnitt gilt nicht für Android Enterprise. Zur Installation von Apps für Android Enterprise

siehe Genehmigte App installieren

(Seite 337).

Hinweis

Dieser Abschnitt gilt nicht für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Eine App, die Sie wie in

Apps aus Managed Google Play deinstallieren

(Seite 296) beschrieben zu Sophos Mobile hinzugefügt haben, können Sie manuell auf ausgewählten Geräten oder Gerätegruppen installieren.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die

Plattform, für die Sie eine App installieren wollen.

2. Klicken Sie auf der Seite Apps auf das blaue Dreieck neben der gewünschten App und anschließend auf Installieren .

Sophos Mobile on Premise

3. Wählen Sie die Geräte aus, auf denen Sie die App installieren wollen. Gehen Sie wie folgt vor:

• Wählen Sie einzelne Geräte aus.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

Wenn Sie fertig sind, klicken Sie auf Weiter .

4. Legen Sie auf der Seite Ausführungszeit wählen den Zeitpunkt fest, zu dem die App installiert wird:

• Für eine sofortige Ausführung wählen Sie Sofort aus.

• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und

Uhrzeit ein.

5. Klicken Sie auf Fertigstellen .

Die ausgewählte App wird zum festgelegten Zeitpunkt auf den ausgewählten Geräten installiert.

Hinweis

Auf folgenden Geräten werden verwaltete Apps stillschweigend, d.h. ohne Benutzer-Interaktion, installiert:

• Betreute iOS-Geräte

• Android-Enterprise-Geräte

• Android-Geräte mit Samsung Knox Standard SDK 5.1 oder neuer

• Android-Geräte mit LG GATE

• Android-Geräte mit Sony Enterprise API Version 8 oder neuer

• Windows-Computer, wenn Sie für die App die Installationsoption /quiet konfiguriert haben.

Tipp

Der Status des Installationsauftrags wird auf der Seite Auftragsstatus angezeigt.

Tipp

Sie können eine App auch folgendermaßen installieren:

• Um eine App auf einem einzelnen Gerät zu installieren: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Installierte Apps und klicken Sie auf App installieren .

• Um eine App auf mehreren Geräten zu installieren: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > App installieren .

• Um eine App auf einem oder mehreren Geräten als Teil eines Auftragspakets zu installieren:

Fügen Sie dem Auftragspaket einen Auftrag App installieren hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.

Sophos Mobile on Premise

17.3 App deinstallieren

Hinweis

Dieser Abschnitt gilt nicht für Android Enterprise. Zur Deinstallation von Apps für Android

Enterprise siehe

(Seite 338).

Hinweis

Dieser Abschnitt gilt nicht für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.

Eine App, die Sie wie in

(Seite 296) beschrieben zu Sophos Mobile hinzugefügt haben, können Sie manuell von ausgewählten Geräten oder Gerätegruppen deinstallieren.

1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die

Plattform, für die Sie eine App deinstallieren wollen.

2. Klicken Sie auf der Seite Apps auf Deinstallieren .

3. Wählen Sie die Geräte aus, von denen Sie die App deinstallieren wollen. Gehen Sie wie folgt vor:

• Wählen Sie einzelne Geräte aus.

• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere

Gerätegruppen aus.

Wenn Sie fertig sind, klicken Sie auf Weiter .

4. Wählen Sie auf der Seite App auswählen die gewünschte App aus.

5. Legen Sie auf der Seite Ausführungszeit wählen den Zeitpunkt fest, zu dem die App deinstalliert wird:

• Für eine sofortige Ausführung wählen Sie Sofort aus.

• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und

Uhrzeit ein.

6. Klicken Sie auf Fertigstellen .

Die ausgewählte App wird zum festgelegten Zeitpunkt von den ausgewählten Geräten deinstalliert.

Hinweis

Von folgenden Geräten werden verwaltete Apps stillschweigend, d.h. ohne Benutzer-Interaktion, deinstalliert:

• Verwaltete Apps auf betreuten iOS-Geräten

• Windows-Computer, wenn Sie für die App die Installationsoption /quiet konfiguriert haben.

Tipp

Alternativ können Sie mit der folgenden Methode eine App von einem einzelnen Gerät deinstallieren: Öffnen Sie die Seite Gerät anzeigen für das gewünschte Gerät, wechseln Sie auf die Registerkarte Installierte Apps und klicken Sie auf das Mülleimer-Symbol neben dem App-

Namen.

Sophos Mobile on Premise

300

17.4 App-Einstellungen (Android)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

Kennung

App-Kategorie

Verfügbar für Gerätegruppen

Beschreibung

In Knox-Container installieren

Beschreibung

Eine Bezeichnung der App.

Für App-Pakete: Die Version, die im Enterprise

App Store angezeigt wird.

Für App-Links: Sophos Mobile verwendet die

Version aus Google Play.

Die interne Kennung der App.

Für App-Links: Der Wert wird automatisch eingetragen, wenn Sie auf Informationen abrufen klicken.

Für App-Pakete: Lassen Sie dieses Feld leer, falls Sie die genaue App-Kennung nicht kennen.

In den meisten Fällen kann Sophos Mobile den

Wert aus der App ermitteln und füllt dieses Feld automatisch aus.

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf

Anzeigen und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus Google

Play angezeigt.

Für Samsung-Knox-Geräte wird die App im

Knox-Container installiert.

Diese Einstellung ist nur verfügbar, wenn Sie eine Samsung-Knox-Lizenz konfiguriert haben.

Sophos Mobile on Premise

Einstellungen für App-Links

Einstellung/Feld

Link

Beschreibung

Die URL der App in Google Play.

Um die URL zu bestimmen, klicken Sie auf

Google Play öffnen , um Google Play in einer neuen Browser-Registerkarte zu öffnen, und navigieren Sie zu der gewünschten App.

Kopieren Sie anschließend die URL aus der

Adressleiste in das Feld Link .

Nachdem Sie die URL eingegeben haben, klicken Sie auf Informationen abrufen , um das

Feld Kennung automatisch auszufüllen.

Einstellungen für App-Pakete

Einstellung/Feld

Datei hochladen

Beschreibung

Klicken Sie auf Datei hochladen , um die

App zum Sophos Mobile Server hochzuladen.

Navigieren Sie zu der APK-Datei und klicken

Sie auf Öffnen .

Zugehörige Aufgaben

Verwaltete iOS-Apps (Seite 308).

17.5 App-Einstellungen (iOS)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

Beschreibung

Eine Bezeichnung der App.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Die Version, die im Enterprise App Store angezeigt wird.

Für App-Links: Sophos Mobile verwendet die

Version aus dem App Store.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Sophos Mobile on Premise

Einstellung/Feld

Kennung

App-Kategorie

Verfügbar für Gerätegruppen

Installation verwaltet von Sophos Mobile

Beschreibung

Einstellungen und VPN

Beschreibung

Die interne Kennung der App.

Für App-Links: Der Wert wird automatisch eingetragen, wenn Sie auf Informationen abrufen klicken.

Für App-Pakete: Lassen Sie dieses Feld leer, falls Sie die genaue App-Kennung nicht kennen.

In den meisten Fällen kann Sophos Mobile den

Wert aus der App ermitteln und füllt dieses Feld automatisch aus.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf

Anzeigen und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Die App wird als verwaltete App installiert.

Siehe

Diese Einstellung beeinflusst nur Apps, die vom Benutzer über den Enterprise App Store installiert werden. Apps, die Sie über Sophos

Mobile Admin installieren, sind immer verwaltet.

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus dem App

Store angezeigt.

Klicken Sie auf Anzeigen , um eine VPN-

Verbindung zu konfigurieren, die für die

App verwendet wird, oder konfigurieren Sie

Einstellungen, die während der App-Installation auf das Gerät übertragen werden.

Einstellung/Feld

VPP-Lizenzen

Sophos Mobile on Premise

Beschreibung

Klicken Sie auf Anzeigen , um die App

Benutzern oder Geräten manuell zuzuweisen.

Siehe

VPP-Apps zuweisen

(Seite 312).

Diese Einstellung ist nur für Apple-VPP-Apps verfügbar.

Einstellungen für App-Links

Einstellung/Feld

In iTunes suchen

Link

Beschreibung

Klicken Sie auf In iTunes suchen , um in der iTunes-Datenbank nach der App zu suchen.

Wenn Sie eine App in den Suchergebnissen auswählen, werden folgende Felder automatisch ausgefüllt:

• Kennung

• App-Kategorie

• Link

Die URL der App im App Store.

Um die URL zu bestimmen, klicken Sie auf

App Store öffnen , um iTunes Link Maker in einer neuen Browser-Registerkarte zu öffnen.

Navigieren Sie in Link Maker zu der App und kopieren Sie anschließend die unter Directlink angezeigte URL in das Feld Link in Sophos

Mobile Admin.

Für Apple-VPP-Apps kann der Wert nicht geändert werden.

Einstellungen für App-Pakete

Einstellung/Feld

Datei hochladen

Beschreibung

Klicken Sie auf Datei hochladen , um die

App zum Sophos Mobile Server hochzuladen.

Navigieren Sie zu der IPA-Datei und klicken Sie auf Öffnen .

Zugehörige Aufgaben

Sophos Mobile on Premise

17.6 App-Einstellungen (macOS)

Einstellung/Feld

Name

Version

Kennung

App-Kategorie

Beschreibung

VPP-Lizenzen

Link

Beschreibung

Der Name der App.

Der Wert kann nicht geändert werden.

Die Version der App aus dem App Store.

Der Wert kann nicht geändert werden.

Die interne Kennung der App.

Der Wert kann nicht geändert werden.

Eine Kategorie, zum Beispiel Produktivität .

Der Wert wird derzeit nicht verwendet.

Eine Beschreibung der App.

Der Wert wird derzeit nicht verwendet.

Klicken Sie auf Anzeigen , um die App

Benutzern oder Geräten manuell zuzuweisen.

Siehe

VPP-Apps zuweisen

(Seite 312).

Diese Einstellung ist nur für Apple-VPP-Apps verfügbar.

Die URL der App im App Store.

Der Wert kann nicht geändert werden.

17.7 App-Einstellungen (Windows Mobile)

Einstellung/Feld

Name

Version

App-Kategorie

Beschreibung

Eine Bezeichnung der App.

Die App-Version.

Sophos Mobile verwendet die Version aus dem

Microsoft Store.

Eine Kategorie, zum Beispiel Produktivität .

Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem

Abschnitt mit diesem Titel aufgeführt.

Einstellung/Feld

Beschreibung

Verfügbar für Gerätegruppen

Link

Sophos Mobile on Premise

Beschreibung

Die App-Beschreibung, die im Enterprise App

Store angezeigt wird.

Innerhalb Ihres Beschreibungstextes können

Sie den Platzhalter %_appstoretext_% verwenden. Im Enterprise App Store wird dann die jeweilige App-Beschreibung aus dem

Microsoft Store angezeigt.

Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom

Benutzer initiiert werden kann. Klicken Sie auf

Anzeigen und wählen Sie eine oder mehrere

Gerätegruppen aus, für welche die App im

Enterprise App Store aufgeführt wird.

Die URL der App im Microsoft Store.

Um die URL zu bestimmen, klicken Sie auf

Microsoft Store öffnen , um den Microsoft

Store für Windows-Phone-Apps in einer neuen

Browser-Registerkarte zu öffnen, und navigieren

Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das Feld Link .

Zugehörige Aufgaben

Weitere Informationen zu diesen Einstellungen finden Sie in Einstellungen für Windows-MSI-Links ermitteln

17.8 App-Einstellungen (Windows)

Allgemeine Einstellungen

Einstellung/Feld

Name

Version

App-Kategorie

Beschreibung

Beschreibung

Eine Bezeichnung der App.

Die App-Version.

Eine Kategorie, zum Beispiel Produktivität .

Eine Beschreibung der App.

Sophos Mobile on Premise

Einstellungen für MSI-Links

Einstellung/Feld

ProductCode GUID

Beschreibung

Die ProductCode-GUID der MSI-Datei.

Hinweis

Wenn Sie einen falschen Wert eingeben, kann die

App nicht deinstalliert werden.

Link

SHA-256-Hashwert

Die URL der MSI-Datei.

Der SHA-256-Hash-Wert der MSI-Datei.

Hinweis

Wenn Sie einen falschen Hash-Wert eingeben, kann die App nicht installiert werden.

Installationsoptionen Die Kommandozeilen-Optionen für das

Installationsprogramm msiexec.exe

Mit der Standardoption /quiet wird die App ohne Benutzer-Interaktion installiert.

(Seite 307).

Einstellungen für Microsoft-Store-Links

Einstellung/Feld

Store ID

SKU ID

Package Family Name

Beschreibung

Die Store ID der App im Microsoft Store. Der

Wert wird automatisch eingetragen, wenn Sie auf Informationen abrufen klicken.

Die SKU ID (Stock-Keeping Unit ID) der App im

Microsoft-Store-Katalog.

Eine App kann unterschiedliche SKU IDS haben, z.B. für Voll- und Testversionen oder für verschiedene Vermarktungsregionen.

Wenn Sie die SKU ID einer App nicht kennen, verwenden Sie den Standardwert 0010 .

Der Package Family Name (PFN) der App.

Der Wert wird automatisch eingetragen, wenn

Sie auf Informationen abrufen klicken.

Einstellung/Feld

Link

Sophos Mobile on Premise

Beschreibung

Die URL der App im Microsoft Store.

Um die URL zu bestimmen, klicken Sie auf

Microsoft Store öffnen , um den Microsoft

Store für Windows-Apps in einer neuen

Browser-Registerkarte zu öffnen, und navigieren

Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das Feld Link .

Nachdem Sie die URL eingegeben haben, klicken Sie auf Informationen abrufen , um folgende Felder automatisch auszufüllen:

• Product ID

• Package Family Name

Zugehörige Aufgaben