App Control for Business in Intune konfigurieren

Dieser umfassende Leitfaden führt Sie durch die Konfiguration von App Control for Business in Intune. Sie erfahren, wie Sie eine verwaltete Installationsrichtlinie in Intune einrichten und eine App Control for Business-Richtlinie bereitstellen, um genehmigte Anwendungen auf Windows-Geräten effektiv zu verwalten.

Jeden Tag tauchen neue schädliche Dateien und Apps im Web auf. Wenn Ihr Unternehmen über eine große Geräteflotte verfügt, stellen diese bösartigen Apps (Malware) ein Risiko dar, das schwer zu verwalten oder zu verhindern sein kann. Um zu verhindern, dass unerwünschte Apps auf Ihren verwalteten Windows-Geräten ausgeführt werden, können Sie Microsoft Intune App Control for Business (ACfB)-Richtlinien verwenden.

In meinem vorherigen Leitfaden habe ich Ihnen gezeigt, wie Sie AppLocker für Intune implementieren. Nun, Microsoft hat App Control for Business eingeführt, eine fortschrittlichere und umfassendere Lösung für moderne Unternehmen. Ab Intune-Version 2508 (Update vom August 2025) ist App Control for Business jetzt allgemein mit neuen Targeting-Funktionen verfügbar, die Managed Installers unternehmenstauglich machen.

Installieren und aktualisieren Sie Anwendungen von Drittanbietern mit Patch My PC

Was ist App Control für Unternehmen?

App Control for Business ist eine Sicherheitsfunktion in Microsoft Intune, mit der Unternehmen steuern können, welche Anwendungen und Treiber auf verwalteten Windows-Geräten ausgeführt werden dürfen. Es funktioniert durch die Führung einer expliziten „Zulassungsliste“ genehmigter Anwendungen basierend auf digitalen Signaturen, Datei-Hashes, Anwendungsreputation oder verwalteten Installationsprogrammen.

Wenn Sie die App Control for Business-Richtlinie in Intune konfigurieren, wird sichergestellt, dass nur autorisierte Anwendungen zugelassen werden, wodurch jede Software effektiv blockiert wird, die nicht den Richtlinien Ihres Unternehmens entspricht. Diese Maßnahmen sind in die Endpunktsicherheit von Intune integriert und nutzen den Windows ApplicationControl CSP, um Einschränkungen umzusetzen.

AppLocker vs. App Control für Unternehmen

AppLocker ist eine Funktion in Windows, mit der Administratoren steuern können, welche Anwendungen und ausführbaren Dateien Benutzer ausführen können. Es wird hauptsächlich zum Whitelisting von Anwendungen und zum Einschränken des Zugriffs auf nicht autorisierte Software verwendet. App Control for Business (ACfB) hingegen ist eine fortschrittlichere und umfassendere Lösung für moderne Unternehmen und bietet Funktionen zur dynamischen Anwendungskontrolle und Bedrohungsabwehr.

Zusammenfassend lässt sich sagen, dass beide Tools dazu konzipiert sind, Anwendungen innerhalb einer Organisation zu verwalten und zu sichern, sie unterscheiden sich jedoch in Umfang, Funktionalität und Anwendungsfällen. Hier ist ein Vergleich der beiden:

Funktion |

AppLocker |

App-Steuerung für Unternehmen—|—|—Scope |

Grundlegende Anwendungskontrolle |

Erweiterte Anwendungskontrolle und Bedrohungsprävention

Unterstützte Betriebssystemversion und Edition |

Windows 10/11 |

Windows 10/11 Pro, Enterprise, Education und Pro Education/SE.

Bereitstellung |

Vor Ort |

Cloud-nativ

Unterstützung bei der Richtlinienbereitstellung |

Gruppenrichtlinie |

Intune, SCCM, PowerShell.

Bedrohungsintelligenz |

Keine |

Integriert, in Echtzeit

Kosten |

Im Lieferumfang von Windows enthalten |

Auf Abonnementbasis

Benutzerfreundlichkeit |

Einfacher bereitzustellen |

Etwas komplex und erfordert Fachwissen

Anwendungsfall |

KMU mit Grundbedürfnissen |

Organisationen, die erweiterte Sicherheits- und Bedrohungspräventionsfunktionen benötigen.

Verwaltet über Gruppenrichtlinien |

Bessere Integration mit Gruppenrichtlinien |

Keine Unterstützung für GPO

Integration mit Intune |

Nicht unterstützt |

Unterstützt

Windows ApplicationControl CSP |

Nicht unterstützt |

Vollständig unterstützt

Planen Sie App Control für Unternehmen

Der erste Schritt bei der Implementierung von App Control besteht darin, zu planen, wie Ihre Richtlinien im Laufe der Zeit verwaltet und aufrechterhalten werden. Die Einrichtung eines klaren Prozesses zur Überwachung der App Control for Business-Richtlinien ist von entscheidender Bedeutung, um sicherzustellen, dass Anwendungen in Ihrem Unternehmen konsistent und effektiv reguliert werden.

Entscheiden Sie, welche Richtlinien erstellt werden sollen: Entscheiden Sie zunächst, welche Richtlinien erstellt werden sollen. Dies wird auch als „Circle-of-Trust“ bezeichnet. Verschaffen Sie sich einen Überblick über Apps, die in Ihrer Organisation verwendet werden.
Stellen Sie die Richtlinie im Überwachungsmodus bereit: Bevor Sie die App-Steuerung für Geschäftsrichtlinien in Intune einführen, erstellen Sie eine Überwachungsmodusversion der Richtlinien-XML. Beachten Sie, dass im Überwachungsmodus Blockereignisse generiert werden, die Ausführung von Dateien jedoch nicht verhindert wird.
Ereignisse überwachen: In diesem Schritt überwachen Sie Audit-Blockereignisse von den vorgesehenen Geräten und fügen nach Bedarf Regeln hinzu/bearbeiten/löschen, um unerwartete/unerwünschte Blöcke zu beheben.
Unerwartete Ereignisse: Wenn Sie auf Probleme mit der Richtlinie stoßen, gehen Sie zurück und verfeinern Sie die Richtlinie. Wenn keine unerwarteten Ereignisse auftreten, fahren Sie mit dem nächsten Schritt fort.
Stellen Sie die Richtlinie für den erzwungenen Modus bereit: Generieren Sie zunächst die Version der Richtlinie für den erzwungenen Modus und stellen Sie sie dann auf den vorgesehenen Geräten bereit. Microsoft empfiehlt die Verwendung gestaffelter Rollouts für erzwungene Richtlinien, um Probleme zu erkennen und darauf zu reagieren, bevor die Richtlinie umfassend bereitgestellt wird.

Das folgende Workflow-Diagramm zur App-Steuerung für Unternehmen hilft dabei, wie Ihre Richtlinien im Laufe der Zeit verwaltet und gepflegt werden. Um App Control for Business-Richtlinien effektiv zu verwalten, sollten Sie Ihre Richtlinien-XML-Dokumente in einem zentralen Repository speichern und verwalten, auf das jeder zugreifen kann, der für die App Control-Richtlinienverwaltung verantwortlich ist.

App-Steuerung für Business Workflow

Basisrichtlinien im Vergleich zu ergänzenden Richtlinien

In App Control for Business gibt es zwei Arten von Richtlinien, die zusammenarbeiten, um die Anwendungskontrolle durchzusetzen: Basisrichtlinien und ergänzende Richtlinien. Mithilfe dieser Richtlinien können Unternehmen anpassen, wie die Anwendungskontrolle in ihren Umgebungen angewendet wird. Die folgende Tabelle verdeutlicht die Unterschiede zwischen Basisrichtlinien und Zusatzrichtlinien.

Funktion |

Basisrichtlinie |

Ergänzende Richtlinie—|—|—Zweck |

Wird verwendet, um Kernregeln für die Anwendungssteuerung zu definieren

Wird verwendet, um die Regeln der Basisrichtlinie zu erweitern oder zu verfeinern

Erlaubte Nummer |

Eine pro System |

Mehrere pro System

Richtlinienverhalten |

Globale Durchsetzung |

Fügt den Basisrichtlinienregeln hinzu

Regeltyp |

Zulassen oder blockieren |

Nur zulassen

Änderung |

Erfordert eine sorgfältige Verwaltung |

Einfacher zu ändern und bereitzustellen

Anwendungsfall |

Organisationsweite Regeln |

Abteilungs- oder benutzerspezifische Ausnahmen

Voraussetzungen für Intune App Control for Business

Organisationen, die App Control for Business in Intune konfigurieren möchten, müssen sicherstellen, dass die folgenden Voraussetzungen erfüllt sind.

Lizenzanforderungen: Microsoft 365 E3/E5, Microsoft 365 E5 Security, Microsoft Defender für Endpoint und eigenständiges Intune-Abonnement.
Unterstützte Betriebssysteme: Windows 10 (Enterprise-, Pro-und Education-Editionen). Windows 11 (Enterprise-, Pro-und Education-Editionen).
Geräteregistrierung: Geräte müssen bei Microsoft Intune registriert sein, um App Control-Richtlinien anzuwenden. Windows Autopilot für Windows-Geräte.
Netzwerkkonnektivität: Internetzugang mit URLs auf der Whitelist: *.microsoft.com, *.manage.microsoft.com, *.windows.net.
Gemeinsam verwaltete Geräte: Um Anwendungskontrolle für Geschäftsrichtlinien auf gemeinsam verwalteten Geräten zu unterstützen, stellen Sie den Schieberegler für den Endpoint Protection-Schieberegler von SCCM auf Intune ein.
Rollenbasierte Zugriffskontrollen:

Um die Verwendung eines verwalteten Installationsprogramms zu ermöglichen, muss den Konten die Rolle „Intune-Administrator“ zugewiesen werden.
Um die App Control for Business-Richtlinie zu verwalten, müssen die Konten über die App Control for Business-Berechtigung verfügen, die Rechte zum Löschen, Lesen, Zuweisen, Erstellen, Aktualisieren und Anzeigen von Berichten umfasst.
Um die Berichte für die App Control for Business-Richtlinie anzuzeigen oder darauf zuzugreifen, müssen die Konten über die App Control for Business-Berechtigung mit „Berichte anzeigen“ und die Organisationsberechtigung mit „Lesen“ verfügen.

Schritte zum Konfigurieren der App-Steuerung für Unternehmen in Intune

Die Konfiguration von App Control for Business in Intune erfordert zwei wichtige Schritte: das Einrichten einer verwalteten Installationsrichtlinie und die Bereitstellung von App Control for Business-Richtlinien auf Windows-Geräten. Um den Prozess zu vereinfachen, habe ich ihn zur einfacheren Implementierung in klare, umsetzbare Schritte unterteilt.

Schritt 1: Erstellen Sie eine verwaltete Installationsrichtlinie in Intune

Mit Endpoint Security App Control for Business von Intune können Sie Richtlinien konfigurieren, die die Intune-Verwaltungserweiterung als verwaltetes Installationsprogramm auf Ihren Windows-Geräten kennzeichnen.

Nachdem Sie ein verwaltetes Installationsprogramm auf Ihren Geräten aktiviert haben, werden alle nachfolgenden Anwendungen (Win32-Apps, Skripts, MS Store-Apps), die Sie über Intune auf Windows-Geräten bereitstellen, mit dem Tag „Managed Installer“ gekennzeichnet. Dieses Tag zeigt an, dass die App von einer vertrauenswürdigen Quelle installiert wurde und zuverlässig ist.

Lassen Sie uns eine neue Richtlinie für verwaltete Installationsprogramme in Intune erstellen. Melden Sie sich beim Microsoft Intune Admin Center an. Gehen Sie zu Endpoint Security > App Control for Business > wählen Sie die Registerkarte „Verwaltetes Installationsprogramm“ und dann „Erstellen“ aus.

Erstellen Sie eine verwaltete Installationsrichtlinie in Intune

Geben Sie auf der Seite „Grundlagen“ die folgenden Eigenschaften ein:

Name: Geben Sie einen beschreibenden Namen für das Profil ein. Beispiel: Managed Installer Policy – Intune.
Beschreibung: Geben Sie optional eine Beschreibung für das Profil ein.

Klicken Sie auf Weiter.

Geben Sie Namen und Beschreibung für die verwaltete Installationsrichtlinie an

Setzen Sie auf der Seite „Einstellungen“ die Option „Intune Managed Extension as Managed Installer aktivieren“ auf „Enabled“. Wenn diese Einstellung aktiviert ist, verwenden Geräte mit dieser Richtlinie das verwaltete Installationsprogramm. Wenn die Option deaktiviert ist, verwendet das Gerät das verwaltete Installationsprogramm nicht aktiv.

Klicken Sie auf Weiter.

Aktivieren Sie die verwaltete Intune-Erweiterung als verwaltetes Installationsprogramm

Auf der Seite „Bereichs-Tags“ können Sie beliebige anzuwendende Bereichs-Tags auswählen. Dies ist optional und Sie können zur nächsten Seite springen. Erfahren Sie, wie Sie in Intune neue Bereichstags erstellen. Klicken Sie auf Weiter.

Bereichs-Tags für die Richtlinie für verwaltete Installationsprogramme

Für Zuweisungen können Sie Entra ID-Gerätegruppen in die Richtlinie einschließen und ausschließen. Um fortzufahren, wählen Sie Weiter.

Verwaltete Installer-Richtlinienzuweisungen

Überprüfen Sie die Richtlinieneinstellungen des verwalteten Installationsprogramms auf der Seite „Überprüfen + erstellen“ und klicken Sie dann auf „Speichern“. Die Richtlinie wird nun für Mitglieder der zugewiesenen Gruppen bereitgestellt. Damit ist der Vorgang zum Hinzufügen eines verwalteten Installationsprogramms zu Ihrem Intune-Mandanten abgeschlossen.

Überprüfen und erstellen Sie die Richtlinie für verwaltete Installationsprogramme in Intune

Intune-Richtlinien synchronisieren

Um die Richtlinieneinstellungen des verwalteten Installationsprogramms auf Zielgeräten anzuwenden, können Sie Intune-Richtlinien mithilfe verschiedener Methoden manuell synchronisieren. Durch die Synchronisierungsaktion werden Geräte aufgefordert, sich sofort mit Intune zu verbinden und die aktuellsten Richtlinien anzuwenden. Dies wird normalerweise durchgeführt, um die Bereitstellung einer App oder Richtlinie zu testen und deren Funktionalität zu überprüfen.

Überwachen Sie die Bereitstellung verwalteter Installationsrichtlinien

Nachdem Sie in Intune eine Richtlinie für verwaltete Installationsprogramme erstellt haben, können Sie die Richtlinienzuweisungen überwachen, indem Sie zur Registerkarte „Endpoint Security“ > „App Control for Business“ > „Verwaltetes Installationsprogramm“ wechseln. Wählen Sie das Profil „Managed Installer Policy“ aus. Diese Übersichtsseite enthält Informationen zu Geräten, auf denen das verwaltete Installationsprogramm erfolgreich auf die Intune-Verwaltungserweiterung festgelegt wurde.

Hinweis: Bei Geräten kann es bis zu 30 Minuten dauern, bis die Richtlinie übermittelt wird. In meinem Fall dauerte es fast 20 Minuten, bis die Geräte verwaltete Installationsrichtlinieneinstellungen erhielten.

Überwachen Sie die Bereitstellung der Intune Managed Installer-Richtlinie

Schritt 2: Erstellen Sie eine App-Steuerung für Geschäftsrichtlinien in Intune

Mit der Basisrichtlinie App Control for Business (ACfB) können Sie verwalten, welche Apps auf Ihren verwalteten Windows-Geräten ausgeführt werden dürfen. Sobald Sie die Basisrichtlinie eingerichtet haben, können Sie zusätzliche Richtlinien erstellen, um den Vertrauensbereich zu erweitern, den Sie mit dieser Richtlinie definieren.

Um eine App Control for Business-Richtlinie zu erstellen, melden Sie sich beim Intune Admin Center an. Gehen Sie zur Registerkarte Endpoint Security > App Control for Business > Richtlinien und wählen Sie Erstellen aus.

Erstellen Sie App Control für Geschäftsrichtlinien in Intune

Geben Sie auf der Seite „Grundlagen“ die folgenden Eigenschaften ein:

Name: Geben Sie einen beschreibenden Namen für das Profil ein. Zum Beispiel App Control Policy – Intune.
Beschreibung: Geben Sie optional eine Beschreibung für das Profil ein.

Klicken Sie auf Weiter.

Erstellen Sie eine Intune-App-Steuerung für Geschäftsrichtlinien

Wählen Sie unter Konfigurationseinstellungen ein Konfigurationseinstellungsformat aus:

XML-Daten eingeben – Bei dieser Option müssen Sie benutzerdefinierte XML-Eigenschaften bereitstellen, um Ihre App Control for Business-Richtlinie zu definieren.
Integrierte Steuerelemente: Für diese Option ist kein benutzerdefiniertes XML erforderlich. Konfigurieren Sie stattdessen die folgenden Einstellungen.
Überwachungsmodus: Durch das Aktivieren des Überwachungsmodus wird die Richtlinie nicht erzwungen. Microsoft empfiehlt, die Richtlinie vor der Durchsetzung zunächst mit aktiviertem Überwachungsmodus auszuführen, um die Auswirkungen der Richtlinie zu ermitteln.
Apps vom verwalteten Installationsprogramm vertrauen: Wenn Sie „Apps vom verwalteten Installationsprogramm vertrauen“ aktivieren, wird die Richtlinie nicht erzwungen. Microsoft empfiehlt, die Richtlinie vor der Durchsetzung zunächst mit aktivierter Option „Apps vom verwalteten Installationsprogramm vertrauen“ auszuführen, um die Auswirkungen der Richtlinie zu ermitteln.
Apps mit guter Reputation vertrauen: Wenn diese Option aktiviert ist, werden Anwendungen mit bekanntermaßen guter Reputation gemäß der Definition des Intelligent Security Graph (ISG) von Microsoft auf die Whitelist gesetzt.
Nicht konfiguriert: Entspricht der Nichtkonfiguration dieser Richtlinie.

Klicken Sie auf Weiter.

App Control für Geschäftsrichtlinieneinstellungen

Bereichstags für App Control for Business Policy

Für Zuweisungen können Sie Entra ID-Gerätegruppen in die Richtlinie einschließen und ausschließen. Um fortzufahren, wählen Sie Weiter.

App-Steuerung für Geschäftsrichtlinienzuweisungen

Überprüfen Sie die Richtlinieneinstellungen für die Intune-App-Steuerung für Unternehmen auf der Seite „Überprüfen + erstellen“ und klicken Sie dann auf „Speichern“. Die Richtlinie wird nun für Mitglieder der zugewiesenen Gruppen bereitgestellt.

Erstellen Sie eine Intune-App-Steuerung für Geschäftsrichtlinien

Um die App-Steuerung für Geschäftsrichtlinieneinstellungen auf Zielgeräten anzuwenden, können Sie Intune-Richtlinien mithilfe verschiedener Methoden manuell synchronisieren. Durch die Synchronisierungsaktion werden Geräte aufgefordert, sich sofort mit Intune zu verbinden und die aktuellsten Richtlinien anzuwenden. Dies wird normalerweise durchgeführt, um die Bereitstellung einer App oder Richtlinie zu testen und deren Funktionalität zu überprüfen.

Überwachen Sie die App-Steuerung für die Bereitstellung von Geschäftsrichtlinien

Nachdem den Geräten App Control for Business-Richtlinien zugewiesen wurden, können Sie Richtliniendetails im Intune Admin Center anzeigen. Gehen Sie zur Registerkarte Endpoint Security > App Control for Business > Richtlinien und wählen Sie die App Control-Richtlinie aus.

Auf der Seite „Übersicht“ im Abschnitt „Geräte- und Benutzer-Check-in-Status“ finden Sie Informationen zu Geräten, für die die ACfB-Richtlinienzuweisungen erfolgreich durchgeführt wurden. Klicken Sie auf die Schaltfläche „Bericht anzeigen“, um eine Liste der Geräte anzuzeigen, die diese Richtlinie erhalten haben.

Überwachen Sie die App-Steuerung für Geschäftsrichtlinien

Endbenutzererfahrung

Sobald die Zielgeräte die App Control for Business-Richtlinie erfolgreich erhalten haben, ist es an der Zeit, die angewendete Konfiguration zu überprüfen. Um zu testen, ob die ACfB-Richtlinien funktionieren, können Sie versuchen, die Anwendungen zu installieren, die nicht erlaubt oder eingeschränkt sind.

Wenn ein Benutzer versucht, eine Anwendung zu öffnen, die durch die App Control for Business-Richtlinienregeln eingeschränkt ist, wird auf dem Bildschirm eine Benachrichtigung angezeigt: „Ihre Organisation hat App Control for Business verwendet, um diese App zu blockieren“.

Alternativ können Sie die angewendeten IDs der Application Control-Richtlinien manuell überprüfen. Navigieren Sie zu C:\Windows\System32\CodeIntegrity\CiPolicies\Active und suchen Sie die PolicyID der Basis-Anwendungskontrollrichtlinie und die Richtlinien-ID der ergänzenden Anwendungskontrollrichtlinie.

Überprüfen Sie die App Control for Business-Richtlinien

Dies bestätigt, dass die App Control for Business-Richtlinie erfolgreich auf das Gerät angewendet wurde und die Ausführung unerwünschter Apps auf den Windows-Geräten verhindert wird.

Fehlerbehebung bei App Control für Unternehmensrichtlinien

App Control protokolliert Ereignisse, wenn eine Richtlinie geladen wird, wenn eine Datei blockiert wird oder wenn eine Datei im Überwachungsmodus blockiert würde. Diese Blockierungsereignisse umfassen Informationen, die die Richtlinie identifizieren und weitere Details zur Blockierung liefern.

Die App Control for Business-Richtlinienereignisse werden an zwei Orten in der Windows-Ereignisanzeige generiert:

Anwendungs- und Dienstprotokolle > Microsoft > Windows > CodeIntegrity > Operational umfassen Ereignisse zur Aktivierung der App Control-Richtlinie und zur Steuerung von ausführbaren Dateien, DLLs und Treibern.
Anwendungs- und Dienstprotokolle > Microsoft > Windows > AppLocker > MSI und Skript enthalten Ereignisse zur Steuerung von MSI-Installationsprogrammen, Skripts und COM-Objekten.

Bei der Arbeit an App Control-Protokollereignissen müssen Sie zwei wichtige Ereignisse berücksichtigen:

Ereignis 3077: Dies ist das Durchsetzungsblockierungsereignis der App-Kontrolle. Zeigt an, dass die Ausführung eines Skripts oder einer ausführbaren Datei blockiert wurde, weil es die in der ACfB-Konfiguration definierten Richtlinienanforderungen nicht erfüllte.
Ereignis 3089: Dies ist ein App Control-Signaturinformationsereignis. Es wird protokolliert, wenn ACfB eine neue Anwendungssteuerungsrichtlinie lädt oder erzwingt.

Weitere Informationen finden Sie unter App Control-Blockereignisse für ausführbare Dateien, DLLs und Treiber.

Abschluss

Mit der Funktion „Intune App Control for Business“ können Unternehmen App-Berechtigungen verwalten, Sicherheitsrichtlinien durchsetzen und verhindern, dass nicht autorisierte Apps auf Windows-Geräten ausgeführt werden. Durch die Verwendung verwalteter Installationsprogramme und ACfB-Richtlinien können Administratoren sicherstellen, dass nur vertrauenswürdige Apps zugelassen werden, und so die Sicherheit und Compliance in ihren Umgebungen verbessern.

Wenn Sie Fragen zur Implementierung der App-Steuerung für Geschäftsrichtlinien mit Intune haben, lassen Sie es mich im Kommentarbereich wissen.

Brauchen Sie noch Hilfe?

Wenn Sie weitere Hilfe zu dem oben genannten Artikel benötigen oder andere technische Probleme besprechen möchten, sehen Sie sich einige dieser Optionen an.

Foren

Telegramm

Kontaktieren Sie mich

*️⃣ Quelllink:

So implementieren Sie AppLocker für Intune, Intune-Version 2508 (Update vom August 2025), , Windows ApplicationControl CSP, App Control for Business , Geräte müssen bei Microsoft Intune, Windows Autopilot für Windows-Geräte, Endpoint Protection-Schieberegler von SCCM zu Intune, Win32-Apps, MS registriert sein Store-Apps, wie man neue Bereichs-Tags in Intune erstellt, Intune-Richtlinien synchronisiert, Intune-Verwaltungserweiterung, wie man neue Bereichs-Tags in Intune erstellt, Intune-Richtlinien synchronisiert, App Control-Blockereignisse für ausführbare Dateien, DLLs und Treiber ,

Foren

, Telegramm ,

Kontaktieren Sie mich