Intune App Protection für Edge auf fremdverwalteten PCs

Einführung: warum das wichtig ist

Für viele Organisationen ist der Browser zum primären Arbeitsbereich für SaaS-Apps, interne Portale und AI-Tools geworden. Wenn Auftragnehmer jedoch Windows-PCs verwenden, die bereits im Tenant einer anderen Organisation registriert sind, funktionieren klassische Ansätze nach dem Muster „das gesamte Gerät verwalten“ nicht – und es entstehen Datenschutz-Blindspots. Microsofts neueste Updates verlagern den Schutz vom Gerät auf den Arbeitskontext im Browser und bringen Edge for Business, Entra, Intune und Purview in Einklang.

Was ist neu

1) Intune APP-Unterstützung für Edge for Business Work Profiles auf von Agenturen verwalteten PCs (Public Preview)

Edge for Business erweitert jetzt Intune app protection policies auf das Edge Work Profile auf Windows-Geräten, die von einer anderen Organisation verwaltet werden.

Zentrale Funktionen:

• Schutzgrenze auf Browser-Ebene: APP direkt auf das Edge for Business-Profil anwenden, sodass Unternehmensdaten innerhalb eines verwalteten Arbeitskontexts verarbeitet werden.
• Keine vollständige Device Enrollment erforderlich: Auftragnehmer können auf Unternehmensressourcen zugreifen, ohne dass Ihr Tenant Geräteeigentümerschaft übernimmt oder mit der Verwaltung der Heimatagentur kollidiert.
• Tenant-gebundene Kontrollen im Browser: Optionen umfassen das Umleiten von Downloads zu OneDrive for Business, das Einschränken von copy/paste sowie das Erzwingen von Datengrenzen innerhalb des verwalteten Edge-Profils.

2) Vereinfachtes Onboarding durch aktualisierten Entra-Sign-in-Flow in Edge unter Windows

Verbesserungen in Microsoft Entra modernisieren die Registrierungs-Experience und reduzieren unbeabsichtigte Enrollment-Szenarien.

Highlights:

• Klarere Registrierungsanleitung: Benutzer erhalten bessere Hinweise, die Account-Registrierung von Device Enrollment unterscheiden.
• Verhindern von versehentlichem MDM Enrollment: Admins können “Disable MDM enrollment when adding work or school account” aktivieren, um Device-Enrollment-Prompts zu blockieren und Benutzer stattdessen in den APP-basierten Ansatz zu leiten.

3) Inline Microsoft Purview DLP in Edge for Business – ohne Device Onboarding

Purview Data Loss Prevention ist in Edge for Business integriert und gilt für das Work Profile des Benutzers. So werden sensible Daten geschützt, selbst wenn der Windows-PC nicht von Ihrer Organisation verwaltet wird.

Purview DLP in Edge for Business kann:

• Sensible Aktionen wie uploads, downloads, copy/paste und printing in browserbasierten Apps erkennen/steuern.
• Den Schutz auf unenrolled cloud apps ausdehnen und so Oversharing in Web-Workflows reduzieren.
• Datenabfluss verringern und gleichzeitig die Produktivität erhalten (Kontrollen fokussieren auf risikoreiche Aktionen statt Website-Zugriff zu blockieren).

Auswirkungen auf IT-Admins und Endbenutzer

• Admins können konsistenten Datenschutz für Externe/Auftragnehmer umsetzen, ohne Device Enrollment verhandeln zu müssen oder Cross-Tenant-Management-Konflikte zu verursachen.
• Benutzer/Auftragnehmer erhalten ein planbareres Sign-in- und Onboarding-Erlebnis, bei dem die Schutzmaßnahmen auf das Work Profile statt auf den gesamten PC beschränkt sind.

Action Items / nächste Schritte

1. Public Preview evaluieren für Intune APP in Edge for Business Work Profiles auf von Agenturen verwalteten Windows-PCs und relevante Auftragnehmer-Use-Cases identifizieren (High-Risk-Web-Apps, Datentypen und Workflows).
2. In Entra prüfen und ggf. aktivieren: Disable MDM enrollment when adding work or school account, um versehentliche Device-Enrollment-Prompts zu reduzieren.
3. Purview DLP in Edge for Business für zentrale Browser-Aktionen (download/upload/copy/print) pilotieren und das Policy-Verhalten über sowohl managed als auch unmanaged cloud apps hinweg validieren.
4. Microsofts Deployment-Guidance („Secure Your Corporate Data in Intune with Microsoft Edge for Business“) verwenden, um Kontrollen Ihrer Zielstufe (Basic/Enhanced/High) zuzuordnen und überlappende/widersprüchliche Policies zu vermeiden.