Outlook, Teams und Edge auf Firmen-Android ohne Intune

Sie nutzen Microsoft 365, und die Android-Geräte Ihres Unternehmens werden von einem Android Enterprise MDM verwaltet, bei dem es sich nicht um Intune handelt. Vielleicht migrieren Sie weg von Intune oder haben es nie lizenziert. In jedem Fall müssen Sie sicherstellen, dass Outlook beim ersten Start das richtige Postfach findet, Teams nur geschäftliche Konten akzeptiert und Edge die richtige Intranetseite öffnet sowie den Rest blockiert.

Das meiste davon ist ohne Intune möglich. Microsoft dokumentiert eine Reihe von Schlüsseln für verwaltete Konfigurationen (Managed Configurations) für Outlook, Teams, Edge und Microsoft Launcher unter Android. Jedes Android Enterprise MDM kann diese über das Betriebssystem bereitstellen. Einige Schutzfunktionen hängen jedoch von Intune ab. Dieser Leitfaden trennt beides voneinander, damit Sie die Vor- und Nachteile gegenüber Ihrer Geschäftsführung darlegen können.

Sie richten die Kontovorkonfiguration in Outlook, die Konten- und Anmeldeschlüssel in Teams, Browsing-Steuerungen und Kioskeinstellungen in Edge sowie den Microsoft Launcher als Startbildschirm ein. Anschließend sehen Sie, worauf Sie ohne Intune App Protection verzichten und wie Sie bestehende Intune-App-Konfigurationsrichtlinien zu verwalteten Konfigurationen migrieren.

Sie verlassen Intune? Lesen Sie zuerst Übertragen der Einstellungen beim Abschied von Intune und erstellen Sie Ihre Zuordnungstabelle. Arbeiten Sie anschließend die Schritte 1 bis 6 anhand der Werte aus dieser Tabelle ab, anstatt von vorne zu beginnen.

Bevor Sie beginnen: Verwaltete Konfigurationen vs. Intune App Protection

Diese beiden Mechanismen lassen sich leicht verwechseln, und ein Großteil der Verwirrung rührt von den Schlüsselnamen her.

• Verwaltete Android-Konfigurationen (auch App-Einschränkungen genannt) sind Teil von Android Enterprise. Ihr MDM sendet eine Reihe von Schlüsseln und Werten an eine über Managed Google Play installierte App, und die App liest diese aus dem Android-Restrictions-Bundle aus. Microsoft bezeichnet dies als „Betriebssystemkanal“ (OS channel) oder „Verwaltete Geräte“-Kanal. Jedes Android Enterprise MDM kann diesen Mechanismus nutzen.
• Intune App Protection (MAM) ist die Richtlinienschicht von Microsoft auf App-Ebene. Sie ist über das Intune App SDK in die Microsoft-Apps integriert und wird nur dann erzwungen, wenn eine Intune-App-Schutzrichtlinie dem Benutzer zugewiesen ist. Kopier-/Einfügesteuerungen, „Speichern unter“-Beschränkungen und Prüfungen beim bedingten Start gehören hierher. Dafür wird Intune benötigt.

Die Schlüsselnamen sorgen oft für Verwirrung. Einige Schlüssel, die mit com.microsoft.intune.mam beginnen, funktionieren dennoch über den Betriebssystemkanal. Das wichtigste Beispiel ist com.microsoft.intune.mam.AllowedAccountUPNs: Dieser Schlüssel ist zwar nach dem SDK von Microsoft benannt, Outlook und Teams lesen ihn jedoch aus dem Android-Restrictions-Bundle aus. Nutzen Sie daher folgende Faustregel anstelle des Präfixes: Schlüssel mit IntuneMAMOnly im Namen erfordern eine Intune-App-Schutzrichtlinie. Die anderen in diesem Leitfaden behandelten Schlüssel werden von Microsoft für über das Betriebssystem verwaltete Geräte dokumentiert.

Voraussetzungen

• In Android Enterprise registrierte Geräte in einem MDM, das verwaltete Konfigurationen unterstützt. Beachten Sie, welcher Modus auf den jeweiligen Geräten verwendet wird: Vollständig verwaltet (fully managed), dediziert (dedicated) oder Arbeitsprofil (work profile). Der Edge-Kioskmodus in Schritt 4 ist für dedizierte Geräte gedacht.
• Ihr mit dem MDM verknüpftes Managed-Google-Play-Konto, damit Sie Outlook, Teams, Edge und den Microsoft Launcher genehmigen können.
• Ein Microsoft-Entra-Konto mit einer passenden Microsoft-365-Lizenz für jeden Benutzer, der sich bei Outlook und Teams anmeldet.
• Die geöffnete Microsoft-Konfigurationsdokumentation auf learn.microsoft.com für jede App, um Werteformate abzugleichen.
• Ein Testgerät, das Sie zurücksetzen und neu registrieren können.

Hinweis: Bei Schlüsselnamen wird zwischen Groß- und Kleinschreibung unterschieden. Wenn Sie edgeenablekioskmode statt EdgeEnableKioskMode eingeben, ignoriert die App den Wert und zeigt keinen Fehler an. Wählen Sie Schlüssel daher bevorzugt aus dem Formular für verwaltete Konfigurationen Ihres MDM aus, das aus dem Schema der App generiert wird, anstatt sie manuell abzutippen.

Schritt 1: Microsoft-Apps genehmigen und zur Richtlinie hinzufügen

1. Öffnen Sie in Ihrer MDM-Konsole Managed Google Play und genehmigen Sie Microsoft Outlook (com.microsoft.office.outlook), Microsoft Teams (com.microsoft.teams), Microsoft Edge (com.microsoft.emmx) und, falls gewünscht, Microsoft Launcher (com.microsoft.launcher).
2. Fügen Sie jede App zuerst einer Testrichtlinie hinzu, die nur Ihr Testgerät nutzt, nicht der Richtlinie Ihrer gesamten Flotte. Setzen Sie den Installationstyp auf erforderlich bzw. automatisch installiert, damit die Installation ohne Zutun des Nutzers erfolgt.
3. Öffnen Sie das Konfigurationsformular der jeweiligen App. Sie sollten eine Liste von Schlüsseln sehen, die der Microsoft-Dokumentation entspricht.

Erwartetes Ergebnis: Jede hinzugefügte App erscheint in der Richtlinie und bieten jeweils ein bearbeitbares Formular für verwaltete Konfigurationen. Wenn ein Formular leer ist, wurde die App in Managed Google Play noch nicht genehmigt oder die Konsole hat das Schema noch nicht abgerufen.

Warnung: Verwaltete Konfigurationen erreichen nur App-Instanzen, die über Managed Google Play im verwalteten Profil oder auf einem vollständig verwalteten Gerät installiert wurden. Installiert ein Benutzer Outlook in seinem privaten Profil, erhält diese Installation keine Konfigurationen.

Schritt 2: Outlook-Konto vorkonfigurieren und wichtige Einstellungen sperren

1. Kontoeinrichtung. Setzen Sie com.microsoft.outlook.EmailProfile.EmailAddress auf die E-Mail-Adresse des Benutzers, zusammen mit den Schlüsseln in den nächsten Punkten.
2. com.microsoft.outlook.EmailProfile.EmailUPN: Der Anmelde-UPN des Benutzers. Dies entspricht häufig der E-Mail-Adresse, aber nicht immer.
3. com.microsoft.outlook.EmailProfile.AccountType: Der Kontotyp, den Microsoft für Ihr Postfach dokumentiert. Für Exchange Online mit moderner Authentifizierung dokumentiert Microsoft ModernAuth.
4. Zugelassene Konten. Setzen Sie com.microsoft.intune.mam.AllowedAccountUPNs auf das geschäftliche Konto oder die Konten, die Outlook hinzufügen darf. Microsoft dokumentiert diesen Schlüssel für über das Betriebssystem verwaltete Geräte. Prüfen Sie die Microsoft-Dokumentation bezüglich des genauen Trennzeichens, falls Sie mehrere UPNs angeben.
5. E-Mail-Verhalten. Konfigurieren Sie Posteingang mit Relevanz, das Blockieren externer Bilder und Antwortvorschläge im Formular. Microsoft dokumentiert außerdem Schlüssel für die Kontakt- und Kalendersynchronisierung sowie für S/MIME bei signierten oder verschlüsselten E-Mails.
6. Wichtige Einstellungen sperren. Viele Outlook-Schlüssel besitzen einen zugehörigen Schlüssel, der auf .UserChangeAllowed endet. Setzen Sie diesen auf false für alle Optionen, die Benutzer nicht ändern dürfen (z. B. das Blockieren externer Bilder). Belassen Sie ihn auf true für Präferenzen wie den Posteingang mit Relevanz, wenn Sie lediglich einen Standardwert vorgeben möchten.

Erwartetes Ergebnis: Beim ersten Start zeigt Outlook das gefundene geschäftliche Konto an. Der Benutzer tippt auf Hinzufügen und meldet sich mit seinen Microsoft-Entra-Anmeldedaten an. Das Hinzufügen eines Kontos, das nicht auf der Liste der zulässigen Konten steht, wird verweigert, und gesperrte Einstellungen können von Benutzern nicht geändert werden.

Hinweis: Die Vorkonfiguration umgeht die Authentifizierung nicht. Der Benutzer meldet sich weiterhin an, und MFA sowie alle in Entra ID definierten Anmelderichtlinien greifen weiterhin.

Schritt 3: Teams für geteilte Geräte und Frontline-Geräte konfigurieren

Microsoft dokumentiert drei Teams-Schlüssel, die ohne Intune funktionieren:

1. com.microsoft.intune.mam.AllowedAccountUPNs beschränkt Teams auf die angegebenen geschäftlichen Konten. Laut Microsoft funktioniert diese Kontobeschränkung mit jedem UEM auf registrierten Geräten. Einzelbenutzer-Geräte: Tragen Sie den UPN des Benutzers ein, idealerweise über eine benutzerspezifische Variable Ihres MDM.
2. Geteilte Geräte: Der Wert muss alle Mitarbeiter enthalten, die sich an diesem Gerät anmelden. Das erforderliche Trennzeichen finden Sie in der Microsoft-Dokumentation. Wenn Sie diese Liste nicht aktuell halten können, lassen Sie den Schlüssel auf geteilten Geräten unkonfiguriert und vermerken Sie diese Abwägung im Entscheidungsprotokoll.
3. domain_name legt Ihre Anmeldedomäne fest, sodass Mitarbeiter nicht den vollständigen UPN eingeben müssen.
4. enable_numeric_emp_id_keypad blendet bei der Anmeldung einen Ziffernblock ein. Auf geteilten Geräten, bei denen sich Mitarbeiter mit einer numerischen Mitarbeiter-ID anmelden, beschleunigt dies den Anmeldevorgang.

Teams verfügt zudem über drei Schlüssel für Benachrichtigungsinhalte, die steuern, was in Benachrichtigungen angezeigt wird. Alle drei enden auf IntuneMAMOnly. Ohne eine Intune-App-Schutzrichtlinie bleiben sie wirkungslos; verlassen Sie sich also nicht darauf, um Nachrichtenvorschauen auf geteilten Geräten auszublenden.

Erwartetes Ergebnis: Auf einem geteilten Gerät zeigt der Anmeldebildschirm von Teams einen Ziffernblock, und der Mitarbeiter gibt seine Mitarbeiter-ID ein. Sofern AllowedAccountUPNs konfiguriert wurde, akzeptiert Teams ausschließlich Konten aus dieser Liste.

Schritt 4: Edge für Browsing-Steuerung, Kioske und geteilte Geräte konfigurieren

1. Zulassen und Sperren. Verwenden Sie URLAllowlist und URLBlocklist, um zu steuern, welche Websites aufgerufen werden dürfen. Auf zweckgebundenen Geräten ist eine kurze Zulassungsliste meist einfacher zu pflegen als eine umfangreiche Sperrliste.
2. Startpunkte. Nutzen Sie ManagedFavorites, um Lesezeichen für das Intranet, HR-Portal oder Ticket-System zu verteilen. Über EdgeNewTabPageCustomURL definieren Sie die Startseite für neue Tabs.
3. Sicherheitsstandards. Aktivieren Sie SmartScreenEnabled und EdgeDefaultHTTPS.
4. Kiosk und eingeschränkte Ansicht. Auf dedizierten Geräten führt EdgeEnableKioskMode Edge als Kiosk-Browser aus. EdgeShowAddressBarInKioskMode steuert, ob die Adressleiste sichtbar ist, und EdgeLockedViewModeEnabled beschränkt die Navigation innerhalb des Browsers. Kombinieren Sie dies mit IdleTimeout, damit eine ungenutzte Sitzung automatisch zurückgesetzt wird. Prüfen Sie die Zeiteinheit in der Microsoft-Dokumentation.
5. Hygiene auf geteilten Geräten. Konfigurieren Sie EdgeBlockSignInEnabled und EdgeSyncDisabled, damit Profile in einem gemeinsam genutzten Browser nicht angemeldet werden. Deaktivieren Sie PasswordManagerEnabled, schränken Sie InPrivateModeAvailability ein und aktivieren Sie SavingBrowserHistoryDisabled. Verwenden Sie für alle Optionen die von Microsoft dokumentierten Werte.

Erwartetes Ergebnis: Edge öffnet die festgelegte Seite, zeigt die verwalteten Favoriten an, blockiert nicht zulässige Websites und blendet auf Kiosk-Geräten die deaktivierten Bedienelemente aus. Die Anmeldung bei Edge ist für alle Konten – geschäftliche wie private – gesperrt. Auf geteilten Geräten ist dies so vorgesehen. Aktivieren Sie EdgeBlockSignInEnabled nicht auf Einzelbenutzer-Geräten, auf denen Anwender ihr Arbeitsprofil in Edge benötigen.

Hinweis: Edge verfügt ebenfalls über separat dokumentierte Intune-App-Schutz-Schlüssel. Genau wie die IntuneMAMOnly-Schlüssel in Outlook und Teams haben sie ohne Intune keine Funktion.

Schritt 5: Microsoft Launcher als Startbildschirm nutzen (optional)

Wählen Sie diese Option, wenn Sie anstelle des Kiosk-Launchers Ihres MDM einen Startbildschirm im Microsoft-Design verwenden möchten.

1. Konkurrierenden Launcher entfernen. Deaktivieren Sie den Kiosk-Launcher Ihres MDM in der Richtlinie für diese Geräte. Verwenden Sie stets nur einen Startbildschirm pro Gerät, da der gleichzeitige Betrieb von Microsoft Launcher und einem MDM-Kiosk-Launcher zu Konflikten führt.
2. Als Standard-Start-App festlegen. Falls Ihre MDM-Richtlinie eine Standard-Start-App festlegen kann, wählen Sie den Microsoft Launcher. Wenn nicht, drücken Sie am Gerät die Home-Taste, wählen Sie den Microsoft Launcher aus und tippen Sie auf Immer.
3. Layout konfigurieren über folgende Schlüssel. HomeScreen.Applications: Welche Apps angezeigt werden.
4. AppOrder: Deren Reihenfolge bzw. Position.
5. WebLinks: Verknüpfungen zu Webseiten.
6. Wallpaper.URL: Ein Unternehmenshintergrundbild. Die Bild-URL muss über das Netzwerk des Geräts erreichbar sein.
7. Dock.Mode: Verhalten des Docks.
8. Feed.Enabled: Ob der Newsfeed-Bereich verfügbar ist.

Erwartetes Ergebnis: Beim Drücken der Home-Taste oder nach einem Neustart erscheint der Microsoft Launcher mit Ihrem App-Layout, Hintergrundbild und Web-Links. Für reine Zweckgeräte ist ein MDM-Kiosk in der Regel die einfachere Wahl.

Schritt 6: Vor dem Rollout auf einem Gerät testen

1. Setzen Sie ein Testgerät zurück und registrieren Sie es neu in der zuvor erstellten Testrichtlinie, die kein anderes Gerät nutzt.
2. Warten Sie, bis die Apps installiert sind, und starten Sie nacheinander Outlook, Teams und Edge. Prüfen Sie jedes der oben genannten erwarteten Ergebnisse.
3. Versuchen Sie bewusst, die Einstellungen zu umgehen: Fügen Sie in Outlook und in Teams ein privates Konto hinzu, öffnen Sie eine gesperrte URL, ändern Sie eine gesperrte Outlook-Einstellung und versuchen Sie, sich auf einem gemeinsam genutzten Gerät bei Edge anzumelden.
4. Dokumentieren Sie das Verhalten, bevor Sie die Richtlinie für weitere Geräte freigeben. Bei Fehlern hilft der Abschnitt „Häufig gestellte Fragen zur Fehlerbehebung“ weiter unten.

Erwartetes Ergebnis: Jede Einstellung verhält sich wie konfiguriert. Abweichungen lassen sich meist auf Tippfehler, falsche Datentypen oder Schlüssel zurückführen, die sich als reine Intune-Funktion herausstellen.

Klartext: Worauf Sie ohne Intune verzichten

Verwaltete Konfigurationen bestimmen, wie Apps eingerichtet werden. Sie regeln jedoch nicht, was Benutzer mit den Daten innerhalb der Apps tun dürfen. Ohne Intune App Protection fehlen Ihnen:

• Steuerung der Datenübertragung: Einschränkung von Kopieren/Einfügen aus Outlook oder Teams und Blockieren von „Speichern unter“ an nicht verwalteten Orten.
• Steuerung von Benachrichtigungsinhalten: Die IntuneMAMOnly-Schlüssel, die Nachrichteninhalte in Benachrichtigungen ausblenden.
• Bedingter Start und Zugriffsanforderungen: Prüfungen auf App-Ebene wie eine App-PIN, Mindestversionen von Betriebssystem oder App oder das Blockieren gerooteter Geräte vor dem Öffnen der App.
• Selektives Löschen auf App-Ebene von Unternehmensdaten in diesen Anwendungen.

Der bedingte Zugriff (Conditional Access) in Microsoft Entra ID ist von all dem unabhängig. Richtlinien, die ein Intune-konformes Gerät oder eine App-Schutzrichtlinie erfordern, stützen sich auf Signale von Intune. Weder verwaltete Konfigurationen noch ein anderes MDM können Intune App Protection oder diese Art von bedingtem Zugriff ersetzen. Prüfen Sie diese Richtlinien vor der Umstellung: Sie blockieren die Anmeldung von Geräten, die nicht mehr von Intune verwaltet werden.

Ihnen bleibt jedoch Android Enterprise selbst. Ein Arbeitsprofil trennt geschäftliche und private Apps auf Betriebssystemebene, ein vollständig verwaltetes oder dediziertes Gerät gibt Ihnen die Kontrolle über das gesamte Gerät, und Einschränkungen auf Geräteebene werden per Richtlinie definiert. Ob das ausreicht, hängt von Ihrer Datenklassifizierung ab. Halten Sie diese Entscheidung schriftlich fest: Listen Sie auf, auf welche der oben genannten Sicherheitskontrollen Sie verzichten, welches Risiko dadurch abgedeckt war und welche kompensierende Maßnahme Sie stattdessen einsetzen. Genau diesen Nachweis wird Ihre Geschäftsführung verlangen.

Übertragen der Einstellungen beim Abschied von Intune

1. Bestehende Konfigurationen erfassen. Listen Sie im Intune Admin Center jede App-Konfigurationsrichtlinie für Outlook, Teams, Edge und Microsoft Launcher auf. Notieren Sie sich den Richtlinientyp. Richtlinien für verwaltete Geräte nutzen bereits den Betriebssystemkanal. Richtlinien für verwaltete Apps laufen über das Intune App SDK. Schließen Sie diese Liste ab, bevor Sie Intune abschalten, denn diese Richtlinien sind die Quelle Ihrer Zuordnung.
2. Schlüssel zuordnen. Erstellen Sie eine Tabelle mit vier Spalten: Schlüssel, Wert, Quell-Richtlinientyp und Ziel. Schlüssel aus Richtlinien für verwaltete Geräte lassen sich direkt in verwaltete Konfigurationen in Ihrem neuen MDM übernehmen.
3. Prüfen Sie bei Schlüsseln aus Richtlinien für verwaltete Apps in der Microsoft-Dokumentation, ob derselbe Schlüssel auch für den Betriebssystemkanal dokumentiert ist. Wenn ja, übernehmen Sie ihn. Enthält er IntuneMAMOnly oder ist er ausschließlich für den App-Schutz dokumentiert, markieren Sie ihn als entfallend und halten Sie dies im Entscheidungsprotokoll fest.
4. Intune-Tokenvariablen (z. B. der UPN des Benutzers) müssen durch Variablen Ihres MDM oder durch feste Werte ersetzt werden. Planen Sie auch den Umzug selbst: Android Enterprise lässt nicht zu, dass das alte und das neue MDM dasselbe Gerät gleichzeitig verwalten. Bei jedem Gerät muss daher das Arbeitsprofil entfernt oder das Gerät auf Werkseinstellungen zurückgesetzt werden, bevor es im neuen MDM registriert wird.
5. Auf einem Gerät testen – genau wie in Schritt 6 beschrieben. Rollen Sie die Änderungen danach zunächst auf eine Pilotgruppe aus, bevor die gesamte Flotte umgestellt wird.

Erwartetes Ergebnis: Eine Zuordnungstabelle, in der jede frühere Intune-Einstellung entweder übernommen, ersetzt oder bewusst verworfen wurde – sowie ein Testgerät, das sich bei allen migrierten Funktionen exakt wie im früheren Intune-Setup verhält.

Häufig gestellte Fragen zur Fehlerbehebung

Outlook zeigt das vorkonfigurierte Konto beim ersten Start nicht an.

Prüfen Sie, ob Outlook über Managed Google Play im verwalteten Profil installiert wurde und ob Groß- und Kleinschreibung bei com.microsoft.outlook.EmailProfile.EmailAddress, EmailUPN und AccountType exakt stimmen. Falls der Benutzer Outlook geöffnet hat, bevor die Konfiguration eintraf, löschen Sie die App-Daten oder installieren Sie die App neu und starten Sie sie erneut.

Benutzer können weiterhin ein privates Konto hinzufügen.

Überprüfen Sie, ob com.microsoft.intune.mam.AllowedAccountUPNs für die jeweilige App konfiguriert ist (Outlook und Teams benötigen jeweils einen eigenen Eintrag) und ob der Wert exakt dem UPN des Benutzers entspricht. Ein Tippfehler in der Domain führt dazu, dass kein Konto als passend erkannt wird.

Ein Mitarbeiter an einem geteilten Gerät kann sich nicht bei Teams anmelden.

Wenn AllowedAccountUPNs auf diesem Gerät eingerichtet ist, muss der UPN des Mitarbeiters auf der Liste stehen. Fügen Sie ihn hinzu oder entfernen Sie den Schlüssel auf geteilten Geräten, wie in Schritt 3 beschrieben.

Die Benachrichtigungsschlüssel in Teams zeigen keine Wirkung.

Das ist das erwartete Verhalten. Die Schlüssel für Benachrichtigungsinhalte enden auf IntuneMAMOnly und erfordern eine Intune-App-Schutzrichtlinie.

Benutzer können sich überhaupt nicht bei Edge anmelden.

EdgeBlockSignInEnabled blockiert jede Anmeldung bei Edge, auch für geschäftliche Konten. Entfernen Sie diesen Schlüssel aus Richtlinien für Einzelbenutzer-Geräte.

Kioskeinstellungen in Edge werden ignoriert.

Stellen Sie sicher, dass das Gerät als dediziertes Gerät registriert ist, prüfen Sie die genaue Groß-/Kleinschreibung von EdgeEnableKioskMode und vergewissern Sie sich, dass kein anderer Launcher mit Edge um den Vordergrund konkurriert.

Eine von mir gesperrte Einstellung kann weiterhin geändert werden.

Das Sperren erfordert, dass der zugehörige .UserChangeAllowed-Schlüssel auf false gesetzt ist. Das Festlegen des Hauptschlüssels allein definiert lediglich einen Standardwert.

Das Formular für verwaltete Konfigurationen der App ist leer.

Die App ist möglicherweise noch nicht in Managed Google Play genehmigt, oder die Konsole hat ihr Schema noch nicht abgerufen. Genehmigen Sie die App, aktualisieren Sie die Ansicht und öffnen Sie das Formular erneut.

Kann ich Kopier-/Einfügebeschränkungen auch ohne Intune einrichten?

Nicht innerhalb von Outlook oder Teams über verwaltete Konfigurationen. Auf Betriebssystemebene können Android-Enterprise-Richtlinien den Datenaustausch zwischen dem geschäftlichen und dem privaten Profil einschränken, was als kompensierende Maßnahme dienen kann. Halten Sie dies entsprechend im Entscheidungsprotokoll fest.

So konfigurieren Sie dies in Nomid

In Nomid MDM fügen Sie die App aus Managed Google Play einer Richtlinie hinzu und öffnen deren verwaltete Konfiguration. Nomid zeigt das Konfigurationsformular der App an, sodass Sie Schlüssel bequem auswählen können, anstatt sie einzutippen. Beginnen Sie mit einem Testgerät in dieser Richtlinie und nehmen Sie weitere Geräte auf, sobald der Test erfolgreich war. Welche Schlüssel die jeweilige App bereitstellt, können Sie vorab auf den Katalogseiten für Outlook, Teams, Edge und den Microsoft Launcher einsehen.

Erhält ein Pilotgerät eine App nicht, kann der Mitarbeiter den Check-up-Bildschirm in der Nomid Settings App ausführen, sofern Ihre Richtlinie die entsprechende Schaltfläche anzeigt. Der Installationsstatus pro App gilt nur für Apps aus dem Nomid Store. Für Outlook, Teams und Edge aus Managed Google Play sind daher die Versionen des Play Stores und der Google Play-Dienste sowie die Erreichbarkeit der Nomid-Server die hilfreichen Zeilen. Fehlgeschlagene Zeilen bieten eine Lösung an, und die Prüfung kann erneut ausgeführt werden. Die Konsole zeigt an, wann der letzte Check-up stattfand, und jede Prüfung wird im Befehlsverlauf des Geräts protokolliert. Der kostenlose Tarif deckt bis zu 10 Geräte ohne zeitliche Begrenzung ab – das genügt für diesen Pilottest.

Wichtigste Erkenntnisse und nächste Schritte

• Verwaltete Konfigurationen können von jedem Android Enterprise MDM bereitgestellt werden. Intune App Protection gibt es nur mit Intune. Prüfen Sie jeden Schlüssel in der Dokumentation von Microsoft: IntuneMAMOnly im Namen bedeutet, dass er Intune App Protection erfordert; das Präfix com.microsoft.intune.mam allein bedeutet das nicht.
• Die Kontoeinrichtung, zulässige Konten und gesperrte Einstellungen in Outlook, die Anmeldeschlüssel in Teams, Browsing- und Kiosk-Steuerungen in Edge sowie das Layout des Microsoft Launchers funktionieren alle ohne Intune.
• Kopieren/Einfügen- und „Speichern unter“-Beschränkungen, Schlüssel für Benachrichtigungsinhalte, bedingter Start und Intune-abhängiger bedingter Zugriff stehen nicht zur Verfügung. Dokumentieren Sie diesen Kompromiss vor dem Rollout.

Nächste Schritte: Erstellen Sie Ihre Zuordnungstabelle, konfigurieren Sie ein Testgerät und legen Sie Ihrer Geschäftsführung Ihr Entscheidungsprotokoll zusammen mit den Ergebnissen vor. Um dies in Nomid auszuprobieren, starten Sie mit dem kostenlosen Tarif auf nomidmdm.com und rufen Sie die oben verlinkten App-Katalogseiten auf.