Richtlinien

Richtlinien bestimmen, welche Gerätechecks für Ihre Organisation zählen und wie XFA reagiert, wenn ein Gerät sie nicht besteht. Mit Richtlinien setzen Sie Ziele, warnen Benutzer, blockieren den Zugriff, wo es nötig ist, und halten Entscheidungen zur Gerätesicherheit über alle Anwendungen hinweg einheitlich, ohne das Gerät des Benutzers für ihn zu verändern.

Sie können diese Regeln selbst anpassen und Enforcement-Integrationen hinzufügen, damit Geräte den Sicherheitsstandards Ihrer Organisation entsprechen.

Compliance-Ziele

Jeder Sicherheitscheck in einer Richtlinie lässt sich mit einem dreistufigen Compliance-System einstellen:

Compliance-Ziel festlegen: Bestimmen Sie, in welchem Zeitraum Geräte der Richtlinie entsprechen sollen (zum Beispiel 30, 60 oder 90 Tage). Dieses Ziel sehen nur Administratoren, und es ist die Grundlage für den Zeitpunkt von Warnung und Blockierung.
Benutzer warnen: Bestimmen Sie, wann Benutzer erfahren, dass es ein Sicherheitsrisiko auf ihrem Gerät gibt. Bei versionsbasierten Checks (etwa der Version des Betriebssystems oder des Browsers) wählen Sie zwischen:
- Vor dem Compliance-Ziel: Warnen Sie Benutzer eine festgelegte Zahl von Tagen, bevor das Ziel erreicht ist.
- Am Compliance-Fälligkeitsdatum: Warnen Sie Benutzer, wenn das Ziel erreicht ist.
Ein Gerät blockieren: Bestimmen Sie, wann ein Gerät, das die Richtlinie nicht erfüllt, keinen Zugriff mehr bekommt. Es gibt dieselben Möglichkeiten:
- Vor dem Compliance-Ziel: Blockieren Sie das Gerät eine festgelegte Zahl von Tagen, bevor das Ziel erreicht ist.
- Am Compliance-Fälligkeitsdatum: Blockieren Sie das Gerät, wenn das Ziel erreicht ist.

Bei Checks mit nur zwei Ergebnissen (etwa Festplattenverschlüsselung oder Bildschirmsperre) greifen Warnung oder Blockierung sofort, sobald das Gerät die Richtlinie nicht erfüllt.

✅ Verfügbare Sicherheitschecks

Eine Richtlinie kann die folgenden Checks enthalten:

Geräte zur Organisation hinzufügen
- Ist das aktiviert, werden Geräte der Organisation hinzugefügt und dort gemeldet.
Benutzern erlauben, die Geräteverifizierung zu überspringen
- Benutzer können die Geräteverifizierung überspringen und trotzdem Zugriff auf die Anwendung bekommen.
Nicht unterstützten Geräten den Zugriff auf die Anwendung erlauben
- Geräte, die XFA nicht unterstützt, bekommen trotzdem Zugriff auf die Anwendung.
Version des Betriebssystems prüfen
- XFA prüft die Version des Betriebssystems jedes Geräts. Setzen Sie ein Compliance-Ziel, das bestimmt, wie lange diese Version veraltet sein darf, und legen Sie fest, wann gewarnt oder blockiert wird.
- Weitere Möglichkeiten:
  - Bestimmte Beta-Versionen zulassen oder ausschließen.
  - Ältere Hauptversionen, die noch unterstützt werden, zulassen oder ausschließen.
Einstellung für automatische Updates des Betriebssystems prüfen
- XFA prüft, ob auf Geräten automatische Updates aktiviert sind. Sie können Benutzer warnen oder blockieren, bei denen sie ausgeschaltet sind.
Browserversion prüfen
- XFA prüft die Browserversion jedes Geräts. Setzen Sie ein Compliance-Ziel, das bestimmt, wie lange die Browserversion veraltet sein darf, und legen Sie fest, wann gewarnt oder blockiert wird.
- Weitere Möglichkeiten:
  - Bestimmte Beta-Versionen zulassen oder ausschließen.
  - Ältere Hauptversionen, die noch unterstützt werden, zulassen oder ausschließen.
Festplattenverschlüsselung prüfen
- Geräte ohne Festplattenverschlüsselung lösen Warnungen aus oder können blockiert werden, je nach Ihren Einstellungen.
- XFA erkennt die unterstützten Verfahren zur vollständigen Festplattenverschlüsselung auf jeder Plattform:
  - Windows: BitLocker (einschließlich des vom Betriebssystem gesteuerten Modus BitLocker Device Encryption auf unterstützter Hardware) und die VeraCrypt-Verschlüsselung des Systemlaufwerks.
  - macOS: FileVault.
  - Linux: mit LUKS verschlüsselte Root-Dateisysteme und selbstverschlüsselnde TCG-OPAL-Laufwerke, wenn die Laufwerkssperre auf Seiten des Betriebssystems aktiv ist.
- Hinweise dazu, was sich nicht immer bestätigen lässt:
  - OPAL und SED unter Linux werden über sedutil-cli erkannt, das das Laufwerk aus dem laufenden Betriebssystem heraus abfragt. Laufwerke, die vollständig vom BIOS oder UEFI entsperrt werden, bevor Linux startet (Entsperren vor dem Boot, ohne Übergabe an das Betriebssystem), lassen sich aus dem User Space nicht prüfen und können als nicht entsprechend gemeldet werden. Aktivieren Sie in dem Fall zusätzlich LUKS oder nehmen Sie das Gerät aus der Richtlinie heraus.
  - VeraCrypt unter Windows wird nur erkannt, wenn damit das Windows-Systemlaufwerk (Boot-Laufwerk) verschlüsselt ist. Von VeraCrypt verschlüsselte Container-Dateien und Partitionen außerhalb des Systems werden derzeit nicht erkannt, weil das Laufwerk des Betriebssystems dabei unverschlüsselt bleibt.
Bildschirmsperre prüfen
- XFA prüft, ob auf Geräten die Bildschirmsperre aktiv ist, und erlaubt es, Benutzer ohne Bildschirmsperre zu warnen oder zu blockieren.
Antivirus prüfen
- Das System prüft, ob auf dem Gerät eine Antivirus-Software aktiv ist, mit der Möglichkeit, Benutzer ohne sie zu warnen oder zu blockieren.
- XFA verlangt keinen bestimmten Hersteller. Es liest den Antimalware-Status, den das Betriebssystem selbst meldet:
  - Windows: jedes Produkt, das beim Windows Security Center registriert ist, also auch Antivirus-Software von Dritten wie ESET, Norton, Bitdefender und Kaspersky, nicht nur Microsoft Defender. XFA meldet den Produktnamen, der in der Windows-Sicherheit angezeigt wird, ob dessen Echtzeitschutz aktiv ist und ob dessen Signaturen aktuell sind.
  - macOS: das in macOS eingebaute XProtect, das mit macOS ausgeliefert und standardmäßig aktiv ist.
  - Linux: ClamAV und Microsoft Defender for Endpoint.
- Was als bestanden gilt, unterscheidet sich je Plattform:
  - Windows: Der Echtzeitschutz muss aktiv sein. Wie aktuell die Signaturen sind, wird ausgelesen und in der XFA-App auf dem Gerät angezeigt, lässt den Check für sich genommen aber nicht fehlschlagen.
  - Linux: Die Antivirus-Software muss laufen und ihre Signaturen müssen aktuell sein (ClamAV innerhalb von 48 Stunden, Microsoft Defender for Endpoint innerhalb von 7 Tagen). Veraltete Signaturen lassen den Check fehlschlagen.
  - macOS: XProtect muss aktiv sein. macOS gibt kein eigenes Signaturalter preis, das XFA messen könnte.
- Der Sicherheitsstatus, den XFA an Ihre Organisation meldet, besagt, ob Antimalware aktiv ist. Produktname und Aktualität der Signaturen sieht nur der Benutzer in der XFA-App auf seinem eigenen Gerät; sie sind nicht Teil des Sicherheitsstatus im Dashboard.
- Hinweise dazu, was sich nicht immer bestätigen lässt:
  - Windows mit einer Antivirus-Software von Dritten behält Microsoft Defender daneben im passiven Modus registriert. Das ist normales Verhalten von Windows und keine Fehlkonfiguration: XFA meldet das Produkt, das das Gerät tatsächlich schützt.
  - Eine installierte, aber ausgeschaltete Antivirus-Software von Dritten wird unter ihrem eigenen Produktnamen als inaktiv gemeldet, damit der Benutzer sieht, welches Produkt er wieder einschalten muss.
  - macOS meldet nur XProtect. Eine Antivirus-Software von Dritten wird unter macOS nicht als eigenes Produkt aufgeführt, weil macOS kein Gegenstück zum Windows Security Center hat, das XFA auslesen könnte.
Passwortmanager prüfen
- Stellt sicher, dass Benutzer einen Passwortmanager nutzen. Sie entscheiden, ob Benutzer, bei denen das nicht der Fall ist, gewarnt oder blockiert werden.
Biometrische Authentifizierung prüfen
- Verlangt von Benutzern, die biometrische Authentifizierung auf ihrem Gerät zu nutzen. Sie entscheiden, ob Benutzer, bei denen das nicht der Fall ist, gewarnt oder blockiert werden.
Neustart des Geräts prüfen
- Verlangt von Benutzern, ihre Geräte regelmäßig neu zu starten. Setzen Sie ein Compliance-Ziel, das bestimmt, wie viele Tage seit dem letzten Neustart vergehen dürfen, und legen Sie fest, wann gewarnt oder blockiert wird.
Windows Recall prüfen
- XFA prüft, ob Windows Recall auf Windows-Geräten deaktiviert ist, damit sensible Daten nicht aufgezeichnet und gespeichert werden. Sie entscheiden, ob Benutzer mit aktiviertem Windows Recall gewarnt oder blockiert werden.
Installation der nativen Anwendung verlangen
- Verlangt, dass die native Anwendung installiert ist (nur Desktop, für tiefere Einblicke in die Sicherheit). Sie entscheiden, ob Benutzer, bei denen das nicht der Fall ist, gewarnt oder blockiert werden.
Benutzern erlauben, den Token-Ablauf auf mobilen Geräten zu überspringen
- Benutzer können den Token-Ablauf auf mobilen Geräten überspringen und trotzdem Zugriff auf die Anwendung bekommen.
Benutzern erlauben, den Token-Ablauf auf Desktop-Geräten zu überspringen
- Benutzer können den Token-Ablauf auf Desktop-Geräten überspringen und trotzdem Zugriff auf die Anwendung bekommen.
Agentless-Anmeldung erlauben
- Erlaubt die Agentless-Anmeldung (Benutzer können sich verifizieren lassen, ohne den XFA-Agenten zu installieren, sofern genügend Informationen vorliegen). Sie entscheiden, ob Benutzer, bei denen das nicht der Fall ist, gewarnt oder blockiert werden.
Firewall-Status prüfen
- Sorgt dafür, dass eine Firewall aktiv ist, die unbefugten Netzwerkzugriff abwehrt. Sie entscheiden, ob Benutzer, bei denen das nicht der Fall ist, gewarnt oder blockiert werden.
DNS prüfen
- Sorgt für sichere DNS-Auflösung, indem konforme DNS-Server verlangt werden, um DNS-Hijacking zu verhindern. Sie entscheiden, ob Benutzer, bei denen das nicht der Fall ist, gewarnt oder blockiert werden.
Bildschirmfreigabe prüfen
- Sorgt dafür, dass die Bildschirmfreigabe deaktiviert ist, um unbefugten Fernzugriff zu verhindern. Sie entscheiden, ob Benutzer mit aktivierter Bildschirmfreigabe gewarnt oder blockiert werden.
Remote-Scripting prüfen
- Sorgt dafür, dass Remote-Scripting deaktiviert ist, damit keine möglicherweise schädlichen Skripte ausgeführt werden. Sie entscheiden, ob Benutzer mit aktiviertem Remote-Scripting gewarnt oder blockiert werden.
Remote Management prüfen
- Sorgt dafür, dass Remote Management deaktiviert ist, um unbefugte Fernsteuerung des Geräts zu verhindern. Sie entscheiden, ob Benutzer mit aktiviertem Remote Management gewarnt oder blockiert werden.
Entfernte Anmeldung prüfen
- Sorgt dafür, dass die entfernte Anmeldung deaktiviert ist, um das Risiko unbefugten Zugriffs zu senken. Sie entscheiden, ob Benutzer mit aktivierter entfernter Anmeldung gewarnt oder blockiert werden.
Unbeaufsichtigten Fernzugriff prüfen
- Erkennt Werkzeuge zur Fernsteuerung von Drittanbietern (TeamViewer, AnyDesk, Chrome Remote Desktop), die installiert und für unbeaufsichtigten Zugriff eingerichtet sind. Unbeaufsichtigter Zugriff erlaubt es jemandem, sich ohne Zustimmung des Benutzers mit einem Gerät zu verbinden, was eine mögliche Hintertür schafft. Sie entscheiden, ob Benutzer mit aktiviertem unbeaufsichtigtem Fernzugriff gewarnt oder blockiert werden. Lesen Sie mehr dazu, was dieser Check erkennt.
Jailbreak prüfen
- Verhindert Sicherheitslücken, indem Geräte mit Jailbreak, die eingebaute Schutzmechanismen umgehen, ausgeschlossen werden. Sie entscheiden, ob Benutzer mit Jailbreak-Geräten gewarnt oder blockiert werden.
Gerootete Geräte prüfen
- Verhindert Sicherheitslücken durch gerootete Android-Geräte. Sie entscheiden, ob Benutzer mit gerooteten Geräten gewarnt oder blockiert werden.
Entwicklermodus prüfen
- Erhöht die Gerätesicherheit, indem Geräte mit aktiviertem Entwicklermodus keinen Zugriff bekommen. Sie entscheiden, ob Benutzer mit aktiviertem Entwicklermodus gewarnt oder blockiert werden.
Secure Boot prüfen
- Verlangt, dass Secure Boot aktiviert ist, für mehr Sicherheit. Sie entscheiden, ob Benutzer, bei denen das nicht der Fall ist, gewarnt oder blockiert werden.
Integritätsschutz prüfen
- Verlangt, dass der Integritätsschutz aktiviert ist, für mehr Sicherheit. Sie entscheiden, ob Benutzer, bei denen das nicht der Fall ist, gewarnt oder blockiert werden.
Geheimnisse in der Umgebung prüfen
- Erkennt und verhindert offenliegende Geheimnisse in Umgebungsvariablen oder im Laufzeitkontext, um das Risiko durchgesickerter Zugangsdaten zu senken. Sie entscheiden, ob Benutzer, bei denen Geheimnisse gefunden wurden, gewarnt oder blockiert werden. Lesen Sie mehr dazu, was dieser Check erkennt.
Autonome Agenten prüfen
- Erkennt autonome Agenten und verlangt freigegebene Schutzmaßnahmen, bevor Zugriff gewährt wird. Sie entscheiden, ob Benutzer, bei denen autonome Agenten vorhanden sind, gewarnt oder blockiert werden.
Ungeschützte Rechteausweitung prüfen
- Erkennt und verhindert ungeschützte Rechteausweitung, die zu unbefugten Aktionen mit hohen Rechten führen kann. Sie entscheiden, ob Benutzer, bei denen eine ungeschützte Rechteausweitung gefunden wurde, gewarnt oder blockiert werden.

Enforcement-Integrationen

Sie können diese Richtlinie mit verschiedenen Enforcement-Werkzeugen verbinden (zum Beispiel Microsoft, Google, Okta), damit nur Geräte, die der Richtlinie entsprechen, Zugriff auf Ihre geschäftlichen Plattformen bekommen. So wenden Sie Entscheidungen zur Gerätesicherheit in Ihrer gesamten Organisation einheitlich an, auf Basis der Regeln für Warnung und Blockierung, die Sie einstellen.

Um diese Regeln zu ändern oder durchzusetzen, öffnen Sie Ihr Dashboard und passen die Enforcement-Einstellungen an die Anforderungen Ihrer Organisation an.

Mehr Details zu Enforcement finden Sie in unserer Enforcement-Dokumentation.