# Intune Mobile Device Management Intune Mobile Device Management

Referenz für iOS/iPadOS-, Android- und macOS-Einschreibung, App Protection, App-Konfiguration, Compliance und Conditional Access.Reference for iOS/iPadOS, Android, and macOS enrollment, app protection, app configuration, compliance, and conditional access.

ADE
Apple Automated Enrollment Apple automated enrollment
COPE
Android Enterprise Modelle Android Enterprise models
MAM
App-Schutz ohne Enrollment App protection without enrollment
CA
Geräte- und App-Zugriff Device and app access
Mobile Management ist Besitzmodell plus Datenschutz Mobile management is ownership model plus privacy

Microsoft Learn trennt konsequent zwischen Corporate-owned, BYOD, MDM und MAM. Erfolgreiche Mobile-Strategien berücksichtigen Eigentum, Plattformfähigkeit und Datenschutz-Erwartungen.Microsoft Learn consistently differentiates between corporate-owned, BYOD, MDM, and MAM. Successful mobile strategies consider ownership, platform capability, and privacy expectations.

iOS/iPadOS Enrollment iOS/iPadOS Enrollment

iOS/iPadOS unterstützt Automated Device Enrollment, BYOD User Enrollment, webbasierte Einschreibung und account-driven user enrollment.iOS/iPadOS supports automated device enrollment, BYOD user enrollment, web-based enrollment, and account-driven user enrollment.

Android Enrollment Android Enrollment

Android Enterprise bietet Fully Managed, COPE, Personally-Owned Work Profile und Dedicated Device als Hauptmodelle.Android Enterprise provides fully managed, COPE, personally owned work profile, and dedicated device as its core models.

macOS Enrollment macOS Enrollment

macOS kann über Automated Device Enrollment, direkte Einschreibung und ergänzend mit Bootstrap Token verwaltet werden.macOS can be managed through automated device enrollment, direct enrollment, and with bootstrap token support.

App Protection Policies (MAM)App Protection Policies (MAM)

App Protection schützt Unternehmensdaten in Apps unabhängig davon, ob das Gerät vollständig eingeschrieben ist.App protection protects corporate data inside apps regardless of whether the device is fully enrolled.

App Configuration Policies App Configuration Policies

App Configuration Policies liefern Schlüssel-Wert-Paare oder XML-basierte Einstellungen an verwaltete Apps und Geräte.App configuration policies deliver key-value pairs or XML-based settings to managed apps and devices.

Mobile Compliance Policies Mobile Compliance Policies

Mobile Compliance bewertet bei iOS und Android u.a. Jailbreak/Root, OS-Version, Kennwort, Bedrohungsstufe und Plattformintegrität.Mobile compliance evaluates jailbreak or root status, OS version, password, threat level, and platform integrity on iOS and Android.

Managed App Lifecycle Managed App Lifecycle

Managed Apps umfassen Managed Google Play, Apple VPP, Required/Available Zuweisungen sowie Uninstall beim Unenrollment.Managed apps include Managed Google Play, Apple VPP, required or available assignments, and uninstall on unenrollment.

Conditional Access + Mobile Conditional Access + Mobile

Mobile Conditional Access kann ein konformes Gerät, eine App Protection Policy oder eine Approved Client App verlangen.Mobile conditional access can require a compliant device, an app protection policy, or an approved client app.

## iOS/iPadOS Enrollment iOS/iPadOS Enrollment

iOS/iPadOS unterstützt Automated Device Enrollment, BYOD User Enrollment, webbasierte Einschreibung und account-driven user enrollment.iOS/iPadOS supports automated device enrollment, BYOD user enrollment, web-based enrollment, and account-driven user enrollment.

Apple Business Manager, Push Certificate und Enrollment Profiles bilden die technische Grundlage. Unternehmens- und Privatgeräte benötigen unterschiedliche Prozesse.Apple Business Manager, the push certificate, and enrollment profiles form the technical foundation. Corporate and personal devices need different processes.

Apple Enrollment hängt am Zertifikat Apple enrollment depends on the certificate

Ohne gültiges Apple Push Certificate funktionieren Verwaltung und Device Check-in nicht zuverlässig.Without a valid Apple Push Certificate, management and device check-in do not work reliably.

Thema Topic | Details Details
--- | ---
ADE / DEP ADE / DEP | Zero-touch für Corporate-owned Geräte aus Apple Business Manager.Zero-touch for corporate-owned devices from Apple Business Manager.
User Enrollment User enrollment | BYOD-freundliches Modell mit stärkerer Trennung von privat und geschäftlich.BYOD-friendly model with stronger separation of personal and corporate data.
Web-based Enrollment Web-based enrollment | Einfacher Pfad, wenn kein vollautomatisches Apple-Geräteprogramm verfügbar ist.Simple path when no full Apple automation program is available.
Push Certificate Push certificate | Zentraler Vertrauensanker zwischen Apple und Intune.Central trust anchor between Apple and Intune.
Profiles Profiles | Enrollment Profiles definieren Setup Assistant, Auth und Gerätezielgruppen.Enrollment profiles define Setup Assistant behavior, auth, and target groups.

### Implementierung Implementation

1. Voraussetzungen, Rollen und Abhängigkeiten für iOS/iPadOS Enrollment dokumentieren.Document prerequisites, roles, and dependencies for iOS/iPadOS Enrollment.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

### Betrieb & Hinweise Operations & Notes

- Überwachen Sie Ablaufdaten des Apple Push Certificates streng.Monitor Apple Push Certificate expiration dates closely.
- Trennen Sie ADE-Profile für Kiosk-, Shared- und Knowledge-Worker-Geräte.Separate ADE profiles for kiosk, shared, and knowledge-worker devices.
- Dokumentieren Sie, welche ABM-Standorte welchem Intune-Tenant zugeordnet sind.Document which ABM locations map to which Intune tenant.
- Prüfen Sie Datenschutzkommunikation bei BYOD-User-Enrollment besonders sorgfältig.Review privacy communication carefully for BYOD user enrollment.

### PowerShell PowerShell

PowerShell PowerShell

    Get-MgDeviceManagementApplePushNotificationCertificate
    Get-MgDeviceManagementDepOnboardingSetting

## Android Enrollment Android Enrollment

Android Enterprise bietet Fully Managed, COPE, Personally-Owned Work Profile und Dedicated Device als Hauptmodelle.Android Enterprise provides fully managed, COPE, personally owned work profile, and dedicated device as its core models.

Managed Google Play und Enrollment Tokens bilden die Basis. Das Besitzmodell entscheidet über Containerisierung, Steuerung und Benutzererlebnis.Managed Google Play and enrollment tokens form the foundation. The ownership model determines containerization, control, and user experience.

Android Enterprise ist modellgetrieben Android Enterprise is model-driven

Wer das falsche Enrollment-Modell wählt, erzeugt unnötige Reibung bei Datenschutz, App-Bereitstellung oder Kiosk-Szenarien.Choosing the wrong enrollment model creates unnecessary friction around privacy, app deployment, or kiosk scenarios.

Thema Topic | Details Details
--- | ---
Fully Managed Fully managed | Corporate-owned, vollständig verwaltete Geräte ohne Privatbereich.Corporate-owned, fully managed devices without a personal space.
COPE COPE | Corporate-owned mit Work Profile für getrennte geschäftliche und private Nutzung.Corporate-owned with a work profile for separated business and personal use.
BYOD Work Profile BYOD work profile | Persönliche Geräte mit geschäftlichem Container.Personal devices with a managed business container.
Dedicated Dedicated | Kiosk-, Scanner- oder gemeinsam genutzte Geräte mit eingeschränkter Nutzung.Kiosk, scanner, or shared devices with restricted usage.
Managed Google Play Managed Google Play | Zentrales App- und Konfigurationsmodell für Android Enterprise.Central app and configuration model for Android Enterprise.

### Implementierung Implementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Android Enrollment dokumentieren.Document prerequisites, roles, and dependencies for Android Enrollment.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

### Betrieb & Hinweise Operations & Notes

- Definieren Sie klare Modellregeln für COBO, COPE, BYOD und Dedicated.Define clear model rules for COBO, COPE, BYOD, and dedicated devices.
- Testen Sie Enrollment Tokens und Zerotouch/Knox-Anbindungen separat.Test enrollment tokens and zero-touch or Knox integrations separately.
- Dokumentieren Sie, welche App-Kataloge in Managed Google Play freigegeben sind.Document which app catalogs are approved in Managed Google Play.
- Berücksichtigen Sie Android-Fragmentierung und Herstellerbesonderheiten im Support.Consider Android fragmentation and vendor specifics in support.

### PowerShell PowerShell

PowerShell PowerShell

    Get-MgDeviceManagementAndroidManagedStoreAccountEnterpriseSetting
    Get-MgDeviceManagementAndroidForWorkEnrollmentProfile

## macOS Enrollment macOS Enrollment

macOS kann über Automated Device Enrollment, direkte Einschreibung und ergänzend mit Bootstrap Token verwaltet werden.macOS can be managed through automated device enrollment, direct enrollment, and with bootstrap token support.

Apple Business Manager, ADE-Profile und Plattformvoraussetzungen wie FileVault, Platform SSO oder Bootstrap Token prägen den Gerätelebenszyklus.Apple Business Manager, ADE profiles, and platform capabilities such as FileVault, Platform SSO, or the bootstrap token shape the device lifecycle.

macOS ist kein iOS mit Bildschirm macOS is not iOS with a keyboard

Desktop-Workloads, lokaler Adminbedarf und Zertifikats-/SSO-Themen erfordern ein eigenes Betriebsmodell.Desktop workloads, local admin requirements, and certificate or SSO topics require a dedicated operating model.

Thema Topic | Details Details
--- | ---
ADE ADE | Standard für Corporate-owned Macs mit Zero-touch-Bereitstellung.Standard for corporate-owned Macs with zero-touch provisioning.
Direct Enrollment Direct enrollment | Einfacherer Pfad ohne vollständige ABM-Automation.Simpler path without full ABM automation.
Bootstrap Token Bootstrap token | Unterstützt sichere Plattformfunktionen und administrative Workflows.Supports secure platform capabilities and administrative workflows.
Identity Identity | SSO- und lokale Adminmodelle müssen früh definiert werden.SSO and local admin models must be defined early.
Compliance Compliance | macOS-Compliance unterscheidet sich deutlich von iOS und Windows.macOS compliance differs significantly from iOS and Windows.

### Implementierung Implementation

1. Voraussetzungen, Rollen und Abhängigkeiten für macOS Enrollment dokumentieren.Document prerequisites, roles, and dependencies for macOS Enrollment.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

### Betrieb & Hinweise Operations & Notes

- Prüfen Sie FileVault-, Recovery- und Local-Admin-Strategien frühzeitig.Review FileVault, recovery, and local admin strategies early.
- Testen Sie Zertifikate, WLAN und VPN vor breitem ADE-Rollout.Test certificates, Wi-Fi, and VPN before broad ADE rollout.
- Dokumentieren Sie Bootstrap-Token- und Recovery-Prozesse.Document bootstrap token and recovery processes.
- Berücksichtigen Sie App-Lifecycle und Patch-Management außerhalb klassischer Store-Apps.Consider app lifecycle and patching beyond classic store apps.

### PowerShell PowerShell

PowerShell PowerShell

    Get-MgDeviceManagementDepOnboardingSetting
    Get-MgDeviceManagementManagedDevice -Filter "operatingSystem eq 'macOS'"

## App Protection Policies (MAM)App Protection Policies (MAM)

App Protection schützt Unternehmensdaten in Apps unabhängig davon, ob das Gerät vollständig eingeschrieben ist.App protection protects corporate data inside apps regardless of whether the device is fully enrolled.

Datenpfadschutz, Zugriffsanforderungen und Conditional Launch definieren, wie Apps mit Copy/Paste, Save As, Backup, PIN, Biometrie und Root/Jailbreak umgehen.Data protection, access requirements, and conditional launch define how apps handle copy/paste, save-as, backup, PIN, biometrics, and root or jailbreak state.

MAM ist oft der BYOD-Standard MAM is often the BYOD standard

Für viele mobile Informationsarbeiter reicht App-Schutz mit CA und genehmigten Apps aus, ohne volles MDM zu verlangen.For many mobile information workers, app protection with CA and approved apps is enough without demanding full MDM.

Thema Topic | Details Details
--- | ---
Data Protection Data protection | Copy/Paste, Save As, Backup und Datenexport können granular eingeschränkt werden.Copy/paste, save as, backup, and data export can be restricted granularly.
Access Requirements Access requirements | PIN, Biometrie, Betriebssystemstand und App-Version steuern den Zugang.PIN, biometrics, OS level, and app version control access.
Conditional Launch Conditional launch | Max PIN attempts, min OS und Jailbreak/Root definieren Eskalationen.Max PIN attempts, minimum OS, and jailbreak or root status define escalations.
Managed Apps Managed apps | Richtlinien gelten nur für unterstützte oder freigegebene Apps.Policies apply only to supported or approved apps.
Per-App VPN Per-app VPN | Kann MAM-geschützte App-Daten zusätzlich absichern.Can further secure MAM-protected app data.

### Implementierung Implementation

1. Voraussetzungen, Rollen und Abhängigkeiten für App Protection Policies (MAM) dokumentieren.Document prerequisites, roles, and dependencies for App Protection Policies (MAM).
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

### Betrieb & Hinweise Operations & Notes

- Formulieren Sie MAM-Richtlinien aus Benutzerperspektive, nicht nur technisch.Write MAM policy descriptions from the user perspective, not just technically.
- Pilotieren Sie App Protection mit Outlook, Teams, Edge und Office-Apps gemeinsam.Pilot app protection with Outlook, Teams, Edge, and Office apps together.
- Kombinieren Sie MAM mit Conditional Access und Approved Client App sinnvoll.Combine MAM meaningfully with conditional access and approved client app controls.
- Dokumentieren Sie Datenpfadgrenzen zwischen managed und unmanaged Apps.Document data boundaries between managed and unmanaged apps.

### PowerShell PowerShell

PowerShell PowerShell

    Get-MgDeviceAppManagementManagedAppPolicy
    Get-MgDeviceAppManagementIosManagedAppProtection

## App Configuration Policies App Configuration Policies

App Configuration Policies liefern Schlüssel-Wert-Paare oder XML-basierte Einstellungen an verwaltete Apps und Geräte.App configuration policies deliver key-value pairs or XML-based settings to managed apps and devices.

Sie unterscheiden zwischen managed devices und managed apps. Typische Anwendungsfälle sind SSO-Parameter, App-Features, Endpunkte oder Per-App-VPN.They differentiate between managed devices and managed apps. Typical use cases include SSO parameters, app features, endpoints, or per-app VPN.

Config ist die UX-Schicht Config is the UX layer

App-Konfiguration verbindet Security mit Bedienbarkeit und kann den Unterschied zwischen Adoption und Frustration ausmachen.App configuration links security to usability and can make the difference between adoption and frustration.

Thema Topic | Details Details
--- | ---
Managed Devices Managed devices | Konfiguration wird an voll eingeschriebene Geräte und Apps gebunden.Configuration is tied to fully enrolled devices and apps.
Managed Apps Managed apps | MAM-Szenarien ohne volles MDM nutzen App-bezogene Konfiguration.MAM scenarios without full MDM use app-based configuration.
Key-Value / XML Key-value / XML | Je nach App können einfache Paare oder komplexere XML-Strukturen genutzt werden.Depending on the app, simple pairs or richer XML structures can be used.
Per-App VPN Per-app VPN | App-spezifische Tunnel ergänzen Konfiguration und Schutz.App-specific tunnels complement configuration and protection.
Operational fit Operational fit | App-Herstellerdokumentation bleibt die Referenz für gültige Keys.App vendor documentation remains the reference for valid keys.

### Implementierung Implementation

1. Voraussetzungen, Rollen und Abhängigkeiten für App Configuration Policies dokumentieren.Document prerequisites, roles, and dependencies for App Configuration Policies.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

### Betrieb & Hinweise Operations & Notes

- Versionieren Sie App-Konfigurationen und dokumentieren Sie gültige Keys.Version app configurations and document valid keys.
- Testen Sie App-Updates gegen bestehende Konfigurationspayloads.Test app updates against existing configuration payloads.
- Koordinieren Sie Per-App-VPN mit Netzwerk- und Security-Teams.Coordinate per-app VPN with network and security teams.
- Vermeiden Sie unnötig viele kundenspezifische Settings ohne Supportkonzept.Avoid excessive custom settings without a support concept.

### PowerShell PowerShell

PowerShell PowerShell

    Get-MgDeviceAppManagementTargetedManagedAppConfiguration
    Get-MgDeviceAppManagementMobileAppConfiguration

## Mobile Compliance Policies Mobile Compliance Policies

Mobile Compliance bewertet bei iOS und Android u.a. Jailbreak/Root, OS-Version, Kennwort, Bedrohungsstufe und Plattformintegrität.Mobile compliance evaluates jailbreak or root status, OS version, password, threat level, and platform integrity on iOS and Android.

Android kann zusätzlich Google Play Services, SafetyNet oder gleichwertige Attestierung einbeziehen. Compliance ist eine Schlüsselvoraussetzung für CA-basierte App- und Gerätezugriffe.Android can also consider Google Play Services, SafetyNet, or equivalent attestation. Compliance is a key prerequisite for CA-based app and device access.

Mobile Compliance = Zugangsvoraussetzung Mobile compliance = access prerequisite

Gerätecompliance sollte so streng sein, dass Risiko reduziert wird, ohne legitime BYOD-Nutzung unnötig zu brechen.Device compliance should be strict enough to reduce risk without unnecessarily breaking legitimate BYOD usage.

Thema Topic | Details Details
--- | ---
iOS checks iOS checks | Jailbroken, OS Version, Passcode und Device Threat Level sind typische Kriterien.Jailbroken state, OS version, passcode, and device threat level are typical criteria.
Android checks Android checks | Root, OS Version, Passcode, Google Play Services und Attestation sind häufig.Root, OS version, passcode, Google Play Services, and attestation are common.
Threat Level Threat level | Integration mit Mobile Threat Defense kann Compliance verfeinern.Integration with mobile threat defense can refine compliance.
Actions Actions | Nichtkonforme Geräte verlieren Zugriff oder müssen Abhilfe leisten.Noncompliant devices lose access or must remediate.
CA Link CA link | Conditional Access nutzt Compliance für den produktiven Zugriff.Conditional access uses compliance for production access.

### Implementierung Implementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Mobile Compliance Policies dokumentieren.Document prerequisites, roles, and dependencies for Mobile Compliance Policies.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

### Betrieb & Hinweise Operations & Notes

- Pilotieren Sie Compliance getrennt für Corporate und BYOD.Pilot compliance separately for corporate and BYOD devices.
- Erklären Sie, welche Daten Intune auf mobilen Geräten sieht und welche nicht.Explain which data Intune can and cannot see on mobile devices.
- Binden Sie Mobile Threat Defense nur mit klarer Nutzerkommunikation ein.Integrate mobile threat defense only with clear user communication.
- Dokumentieren Sie Helpdesk-Antworten für häufige Noncompliance-Gründe.Document help desk responses for common noncompliance reasons.

### PowerShell PowerShell

PowerShell PowerShell

    Get-MgDeviceManagementDeviceCompliancePolicy
    Get-MgDeviceManagementManagedDevice -Top 10

## Managed App Lifecycle Managed App Lifecycle

Managed Apps umfassen Managed Google Play, Apple VPP, Required/Available Zuweisungen sowie Uninstall beim Unenrollment.Managed apps include Managed Google Play, Apple VPP, required or available assignments, and uninstall on unenrollment.

App-Beschaffung, Lizenzen, Zielgruppen und Ownership-Modelle bestimmen, wie Apps auf Geräte gelangen und wieder entfernt werden.App acquisition, licensing, target groups, and ownership models determine how apps reach devices and how they are removed again.

App Lifecycle braucht Ownership App lifecycle needs ownership

Jede mobile Business-App braucht Verantwortliche für Paket, Freigabe, Konfiguration, Update und Retirement.Every mobile business app needs owners for packaging, approval, configuration, update, and retirement.

Thema Topic | Details Details
--- | ---
Managed Google Play Managed Google Play | Android-Apps werden über den verwalteten Play Store genehmigt und zugewiesen.Android apps are approved and assigned through the managed Play Store.
VPP VPP | Apple App-Beschaffung und Lizenzverteilung laufen über Apple Business Manager.Apple app acquisition and license distribution run through Apple Business Manager.
Required vs Available Required vs available | Pflichtinstallationen und Self-Service-Kataloge erfüllen unterschiedliche Bedarfe.Mandatory installations and self-service catalogs serve different needs.
Assignments Assignments | Geräte- oder Benutzerzuweisung beeinflusst Verhalten und Timing.Device or user targeting influences behavior and timing.
Uninstall Uninstall | Beim Unenrollment können verwaltete Apps oder geschäftliche Daten entfernt werden.At unenrollment, managed apps or business data can be removed.

### Implementierung Implementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Managed App Lifecycle dokumentieren.Document prerequisites, roles, and dependencies for Managed App Lifecycle.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

### Betrieb & Hinweise Operations & Notes

- Trennen Sie Katalog-Apps von Pflicht-Apps sauber.Separate catalog apps from mandatory apps cleanly.
- Dokumentieren Sie, welche Apps beim Unenrollment entfernt werden.Document which apps are removed at unenrollment.
- Prüfen Sie App-Lizenzen und Besitzmodelle regelmäßig.Review app licenses and ownership models regularly.
- Koppeln Sie App-Rollout mit Support- und FAQ-Materialien.Tie app rollout to support and FAQ materials.

### PowerShell PowerShell

PowerShell PowerShell

    Get-MgDeviceAppManagementMobileApp
    Get-MgDeviceAppManagementVppToken

## Conditional Access + Mobile Conditional Access + Mobile

Mobile Conditional Access kann ein konformes Gerät, eine App Protection Policy oder eine Approved Client App verlangen.Mobile conditional access can require a compliant device, an app protection policy, or an approved client app.

Gerätebasierter CA und appbasierter CA unterscheiden sich stark. Die Kombination aus App Protection, Compliance und Approved Client Apps ist in BYOD-Szenarien besonders verbreitet.Device-based CA and app-based CA differ significantly. The combination of app protection, compliance, and approved client apps is especially common in BYOD scenarios.

CA-Design pro Besitzmodell CA design by ownership model

Corporate-owned und BYOD sollten nicht identisch behandelt werden, wenn Datenschutz und Benutzererlebnis wichtig sind.Corporate-owned and BYOD should not be treated identically when privacy and user experience matter.

Thema Topic | Details Details
--- | ---
Require compliant device Require compliant device | Typischer Pfad für Corporate-owned MDM-Szenarien.Typical path for corporate-owned MDM scenarios.
Require app protection policy Require app protection policy | Wichtig für BYOD ohne volles Device Management.Important for BYOD without full device management.
Approved client app Approved client app | Beschränkt Zugriffe auf unterstützte, gehärtete Apps.Restricts access to supported, hardened apps.
Device vs app based Device vs app based | Wahl beeinflusst Datenschutz, Enrollment-Aufwand und Supportmodell.The choice affects privacy, enrollment effort, and support model.
Design Guidance Design guidance | Policies sollten nach Plattform, Ownership und Datenrisiko getrennt werden.Policies should be separated by platform, ownership, and data risk.

### Implementierung Implementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Conditional Access + Mobile dokumentieren.Document prerequisites, roles, and dependencies for Conditional Access + Mobile.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

### Betrieb & Hinweise Operations & Notes

- Pilotieren Sie mobile CA nicht nur mit Administratoren, sondern mit echten Endanwenderrollen.Pilot mobile CA not only with administrators, but with real end-user roles.
- Dokumentieren Sie, welche Apps als approved client app unterstützt werden.Document which apps are supported as approved client apps.
- Stimmen Sie CA eng mit App Protection und Compliance ab.Align CA closely with app protection and compliance.
- Vermeiden Sie zu viele Policy-Kombinationen ohne klare Namensstandards.Avoid too many policy combinations without clear naming standards.

### PowerShell PowerShell

PowerShell PowerShell

    Get-MgIdentityConditionalAccessPolicy
    Get-MgDeviceAppManagementManagedAppPolicy

Verwandte Referenzen Related references

Diese Referenz ergänzt die Intune-Windows-Dokumentation um mobile Plattformen und appbasierten Schutz.This reference complements the Intune Windows guidance with mobile platforms and app-based protection.

Intune Übersicht Intune Overview

Basisarchitektur, Scope Tags und Plattformen.Baseline architecture, scope tags, and platforms.

Windows Management Windows Management

Autopilot, Win32 und Endpoint Security.Autopilot, Win32, and endpoint security.

Conditional Access Conditional Access

Identitätsgesteuerte Zugriffskontrollen.Identity-driven access controls.