Microsoft Edge Enterprise Microsoft Edge Enterprise

Tiefenreferenz für Bereitstellung, Richtlinien, IE Mode, Enterprise-Features, Erweiterungen, Sicherheit, WebView2, PWA, Mobile, Kiosk und den Edge Management Service. Deep reference for deployment, policies, IE mode, enterprise features, extensions, security, WebView2, PWAs, mobile, kiosk, and the Edge management service.

Bereitstellung, Installationsmodelle und Update-Kanäle Deployment, installation models, and update channels

Edge Enterprise unterstützt klassische Softwareverteilung ebenso wie moderne cloudbasierte Verwaltung. Die wichtigste Architekturentscheidung ist meist nicht das Installationsformat, sondern wer Updates steuert und in welchem Ring getestet wird. Edge Enterprise supports classic software distribution as well as modern cloud-based management. The most important architectural decision is usually not the installer format, but who controls updates and in which ring they are tested.

Stable ist der Standard für Produktion, Extended Stable reduziert Change-Frequenz, Beta und Dev eignen sich für Vorabtests, und Canary bleibt ein reiner Experimentierkanal. Stable is the standard for production, Extended Stable reduces change frequency, Beta and Dev suit pre-production testing, and Canary remains an experimentation channel only.

• Update-Ringe an Geschäftsrisiko statt an Gerätetypen ausrichten. Align update rings with business risk rather than device type alone.
• Extended Stable für regulierte oder stark validierte Branchen gezielt einsetzen. Use Extended Stable deliberately for regulated or heavily validated industries.
• Browser-Rollout immer mit Web-App-Regressionstests koppeln. Always pair browser rollout with web app regression testing.
• Installations- und Updateverantwortung organisatorisch klar trennen. Separate installation and update ownership organizationally.

Start-Process msiexec.exe -Wait -ArgumentList @(
  '/i', 'MicrosoftEdgeEnterpriseX64.msi',
  '/qn',
  'DONOTCREATEDESKTOPSHORTCUT=true'
)
    

Wichtige Policy-Kategorien und typische Unternehmensrichtlinien Major policy categories and typical enterprise policies

Die Richtlinienlandschaft von Edge ist breit. Ein sinnvolles Betriebsmodell gruppiert Policies nach Risiko und Verantwortlichkeit: Startverhalten, Inhalt und Datenschutz, Erweiterungen, Such- und Netzwerkkonfiguration, Benutzerkomfort und gesperrte Oberflächen. The Edge policy landscape is broad. A sensible operating model groups policies by risk and ownership: startup behavior, content and privacy, extensions, search and network configuration, user convenience, and locked-down surfaces.

Nicht jede verfügbare Policy sollte genutzt werden. Ziel ist ein kuratiertes Baseline-Set mit wenigen, klar begründeten Abweichungen pro Persona oder Gerätetyp. Not every available policy should be used. The goal is a curated baseline set with only a few clearly justified deviations per persona or device type.

• Eine dokumentierte Baseline mit Änderungsprozess verhindert Policy-Sprawl. A documented baseline with a change process prevents policy sprawl.
• Policies nach Persona bündeln: Wissensarbeiter, Entwickler, Kiosk, Call Center. Bundle policies by persona: knowledge worker, developer, kiosk, call center.
• GPO und Intune nicht gegeneinander arbeiten lassen; Ownership festlegen. Do not let GPO and Intune fight each other; assign ownership clearly.
• Neue UI-Features wie Sidebar oder Copilot explizit bewerten statt implizit zu akzeptieren. Explicitly assess new UX features such as Sidebar or Copilot rather than accepting them implicitly.

{
  "RestoreOnStartup": 4,
  "RestoreOnStartupURLs": ["https://portal.contoso.com", "https://myapps.microsoft.com"],
  "HomepageLocation": "https://intranet.contoso.com",
  "DefaultSearchProviderEnabled": true,
  "PasswordManagerEnabled": false,
  "SidebarEnabled": false
}
    

IE Mode, Enterprise Site List und Legacy-Webapps IE mode, enterprise site list, and legacy web apps

IE Mode ist das wichtigste Migrationswerkzeug für Unternehmen mit Altanwendungen. Er erlaubt die schrittweise Modernisierung, ohne dass geschäftskritische Webseiten sofort neu geschrieben werden müssen. IE mode is the most important migration tool for enterprises with legacy applications. It enables gradual modernization without forcing an immediate rewrite of business-critical websites.

Das technische Herzstück ist die Enterprise Mode Site List. Sie definiert URLs, Rendering-Verhalten, Open-In-Regeln und Sitzungslogik, egal ob lokal, per GPO oder als Cloud Site List bereitgestellt. The technical heart is the Enterprise Mode Site List. It defines URLs, rendering behavior, open-in rules, and session logic whether delivered locally, by GPO, or through the cloud site list.

• IE Mode als Migrationsbrücke und nicht als Dauerzustand betrachten. Treat IE mode as a migration bridge, not a permanent destination.
• Jede URL in der Site List mit fachlichem Owner und Sunset-Datum versehen. Give every URL in the site list a business owner and sunset date.
• Renderingfehler, Dateidownloads und Single Sign-On getrennt testen. Test rendering issues, file downloads, and single sign-on separately.
• Cloud Site List vereinfacht Betrieb, ersetzt aber keine saubere Governance. Cloud site list simplifies operations but does not replace sound governance.

<site-list version="12">
  <site url="legacy.contoso.com">
    <compat-mode>IE11</compat-mode>
    <open-in>IE11</open-in>
    <allow-redirect>true</allow-redirect>
  </site>
  <site url="intranet.contoso.com/hr">
    <compat-mode>default</compat-mode>
    <open-in>MSEdge</open-in>
  </site>
</site-list>
    

Enterprise-Features: Managed Profiles, Sync, InPrivate, DLP und M365 Enterprise features: managed profiles, sync, InPrivate, DLP, and Microsoft 365

Browser-Management endet nicht bei der Policy. Profile, Synchronisierung und Datenschutzfunktionen bestimmen, ob Edge für Hybridarbeit, Shared Devices und Datenklassifizierung wirklich passt. Browser management does not end with policy. Profiles, sync, and privacy features determine whether Edge truly fits hybrid work, shared devices, and data classification.

Managed Profiles und M365-Integration sorgen dafür, dass Nutzer den richtigen Arbeitskontext schneller finden und Unternehmensdaten sauber vom privaten Kontext getrennt bleiben. Managed profiles and Microsoft 365 integration help users reach the correct work context faster and keep corporate data cleanly separated from private context.

• Profile Governance definieren, bevor mehrere Tenants oder Gastkonten skaliert werden. Define profile governance before scaling to multiple tenants or guest accounts.
• Sync-Richtlinien an Datenklassifizierung und Gerätevertrauen koppeln. Tie sync policies to data classification and device trust.
• InPrivate nicht nur aus Datenschutzsicht, sondern auch aus Support- und Prozesssicht bewerten. Assess InPrivate not only from a privacy angle, but also from support and process angles.
• DLP-Regeln im Browser mit Download-, Copy/Paste- und Print-Szenarien testen. Test browser DLP rules across download, copy/paste, and print scenarios.

Extensions Management: Allow, Block, Force-Install und Review Extensions management: allow, block, force-install, and review

Erweiterungen sind einer der größten Produktivitätshebel und gleichzeitig eine relevante Risikoquelle. Deshalb sollten sie in Edge Enterprise wie Software behandelt werden: inventarisieren, prüfen, freigeben und laufend überwachen. Extensions are one of the biggest productivity levers and at the same time a relevant risk source. Therefore, treat them like software in Edge Enterprise: inventory, review, approve, and continuously monitor them.

Allow- und Blocklisten reichen für kleine Umgebungen. Größere Unternehmen sollten mit ExtensionSettings, Force-Install-Regeln und klaren Besitzmodellen arbeiten. Allow and block lists may suffice for small environments. Larger enterprises should use ExtensionSettings, force-install rules, and clear ownership models.

• Jede Force-Install-Erweiterung braucht Owner, Supportmodell und Testplan. Every force-installed extension needs an owner, support model, and test plan.
• Zugriff auf sensible Hosts und Daten in ExtensionSettings begrenzen. Restrict access to sensitive hosts and data in ExtensionSettings.
• Browser-Erweiterungen in Schwachstellen- und Vendor-Review-Prozesse aufnehmen. Include browser extensions in vulnerability and vendor review processes.
• Ungenutzte Freigaben regelmäßig bereinigen. Regularly remove unused approvals.

{
  "ExtensionInstallForcelist": [
    "odfafepnkmbhccpbejgmiehpchacaeak;https://edge.microsoft.com/extensionwebstorebase/v1/crx"
  ],
  "ExtensionInstallBlocklist": ["*"],
  "ExtensionInstallAllowlist": ["odfafepnkmbhccpbejgmiehpchacaeak"]
}
    

Sicherheit, WebView2, PWA und Mobile Management Security, WebView2, PWA, and mobile management

Edge bringt eigene Browserschutzfunktionen mit, die in Unternehmensdesigns mit Defender, Purview, Intune und Conditional Access zusammenspielen sollten. Edge ships with its own browser protection capabilities that should work together with Defender, Purview, Intune, and Conditional Access in enterprise designs.

Gleichzeitig ist Edge Laufzeit für WebView2-Anwendungen und Plattform für PWAs und mobile Unternehmensbrowser-Szenarien. Dadurch treffen Browser-, App- und Gerätesteuerung aufeinander. At the same time, Edge is the runtime for WebView2 applications and the platform for PWAs and mobile enterprise browser scenarios. That means browser, app, and device controls intersect.

• Sicherheitsbaseline im Browser mit Web-App-Kompatibilität balancieren. Balance browser security baseline with web app compatibility.
• WebView2-Abhängigkeiten in App-Lifecycle-Dokumentation aufnehmen. Capture WebView2 dependencies in application lifecycle documentation.
• PWA, Browser Favorites und Mobile Policies koordiniert bereitstellen. Deliver PWA, browser favorites, and mobile policies in a coordinated way.
• Auf Mobilgeräten Datenfluss, Copy/Paste und Open-In-Regeln durchtesten. Test data flow, copy/paste, and open-in rules on mobile devices.

{
  "com.microsoft.intune.mam.managedbrowser.homepage": "https://myapps.microsoft.com",
  "com.microsoft.intune.mam.managedbrowser.allowedAccountsOnly": true,
  "com.microsoft.intune.mam.managedbrowser.bookmarks": "[{"name":"Portal","url":"https://portal.contoso.com"}]"
}
    

Kiosk Mode, Edge Management Service, Intune CSP und Automation Kiosk mode, Edge management service, Intune CSP, and automation

Kiosk-Bereitstellungen verlangen die stärkste Härtung: begrenzte Navigation, sichere Neustarts, kontrollierte Downloads, kurze Sessions und robuste Wiederherstellung nach Fehlern. Kiosk deployments demand the strongest hardening: limited navigation, safe restarts, controlled downloads, short sessions, and robust recovery after failures.

Der Edge Management Service ergänzt klassische Richtlinien um cloudbasiertes Reporting, Policy-Übersicht und browserzentrierte Verwaltung, besonders wenn kein volles On-Prem-Management mehr gewünscht ist. The Edge management service complements classic policy with cloud reporting, policy visibility, and browser-centric administration, especially when full on-premises management is no longer desired.

• Kioske wie Appliances behandeln: minimaler Scope, klarer Owner, automatisierte Recovery. Treat kiosks like appliances: minimal scope, clear owner, automated recovery.
• EMS für Inventar und Sichtbarkeit nutzen, GPO/Intune für Durchsetzung. Use EMS for inventory and visibility, GPO/Intune for enforcement.
• CSP-, GPO- und Registry-Namen dokumentieren, damit Audits nachvollziehbar bleiben. Document CSP, GPO, and registry names so audits remain explainable.
• Browser-Kioske immer mit physischen und lokalen OS-Schutzmaßnahmen kombinieren. Always combine browser kiosks with physical and local OS protections.

$path = 'HKLM:\SOFTWARE\Policies\Microsoft\Edge'
New-Item -Path $path -Force | Out-Null
New-ItemProperty -Path $path -Name 'RestoreOnStartup' -Value 4 -PropertyType DWord -Force | Out-Null
New-ItemProperty -Path $path -Name 'RestoreOnStartupURLs' -Value @('https://kiosk.contoso.com') -PropertyType MultiString -Force | Out-Null
    

msedge.exe --kiosk https://kiosk.contoso.com --edge-kiosk-type=fullscreen --no-first-run