Viele Unternehmen möchten externen Mitarbeitenden oder Dienstleistern sicheren Zugriff auf Microsoft-365-Daten geben, wollen deren private Windows-Rechner aber nicht gleich komplett mit Intune verwalten. Für genau diesen Fall gibt es seit einiger Zeit MAM für Windows, also App-Schutzrichtlinien für Windows. Die Lösung ist praxistauglich und wird trotzdem oft unterschätzt. Statt das ganze Gerät zu kontrollieren, reicht eine Richtlinie, die den Zugriff über ein geschütztes Edge-Profil erlaubt und dabei gezielt verhindert, dass Daten abfließen.

MAM für Windows setzt beim Edge-Profil statt beim Gerät an

Mit MAM für Windows greifen Benutzer von privaten oder fremdverwalteten PCs auf Unternehmensdaten zu, ohne dass das Gerät in Intune registriert sein muss. Gesteuert wird ausschließlich über App-Schutzrichtlinien, die für ein von Intune kontrolliertes Edge-Profil gelten. So kann ich genau festlegen, was erlaubt ist. Kopieren und Einfügen, Drucken oder Downloads lassen sich blockieren oder einschränken. In vielen Projekten erlebe ich, dass gerade Dienstleister und befristet Beschäftigte davon profitieren. Sie arbeiten produktiv, und ihre eigenen Rechner bleiben trotzdem frei von jeder Gerätekontrolle.

App-Schutzrichtlinie und Conditional Access greifen ineinander

Entscheidend ist das Zusammenspiel der App-Schutzrichtlinie in Intune (Intune → Apps → App-Schutzrichtlinien → Richtlinie erstellen → Windows) mit Conditional Access. Die Richtlinie lenkt alle Datenzugriffe über das geschützte Edge-Profil und führt bei Bedarf Health Checks mit Defender durch. Zusätzlich lege ich in Conditional Access eine Zuweisung an, die den Browserzugriff auf Windows-Geräten nur dann erlaubt, wenn eine App-Schutzrichtlinie angewendet wird. Schematisch sieht das so aus:

flowchart TD
    user["Nutzer öffnet Edge-Profil"] --> ca["Conditional Access prüft App-Schutz-Richtlinie"]
    ca --> mam["MAM-Richtlinie steuert Zugriff & Aktionen"]
    mam --> health["Defender prüft Gerätezustand"]
    health --> access["Zugriff auf Unternehmensdaten"]
    mam --> restrict["Datenaktionen beschränkt (z.B. Download blockiert)"]

Abbildung: Datenzugriff mit MAM für Windows, Conditional Access und Edge

Über diese Kette steuert das Unternehmen viel genauer, was mit den Daten geschieht. Einen MDM-Client auf den Privatgeräten braucht es dafür nicht.

Beim Anlegen der Richtlinie lauern einige Fallstricke

Die Einrichtung selbst ist überschaubar. In Intune erstelle ich eine neue App-Schutzrichtlinie für Windows, wähle die Zielgruppe aus, meist bestimmte Benutzergruppen wie externe Mitarbeitende, und lege fest, welche Aktionen erlaubt sind. Besonders nützlich finde ich die Möglichkeit, Downloads, Drucken und die Zwischenablage zu sperren. Danach stelle ich in Conditional Access (Entra-Portal → Schutz → Conditional Access → Richtlinie erstellen) ein, dass der Browserzugriff auf Exchange, SharePoint oder Teams auf Windows-Geräten nur mit aktiver MAM-Richtlinie funktioniert (Gewährung „Require app protection policy for browser access on Windows“). Einzelheiten findet ihr in der Dokumentation von Microsoft.

Denkt daran, dass sich die Bedienung deutlich von den bekannten MAM-Szenarien auf Mobilgeräten unterscheidet. Die Nutzer melden sich im geschützten Edge-Profil an, das optisch und technisch von ihrem privaten Profil getrennt ist. Manchen fällt das anfangs schwer, vor allem wenn sie zwischen Firmendaten und privaten Webseiten hin- und herwechseln. Sagt deshalb früh, dass Kopieren, Drucken oder Herunterladen je nach Richtlinie nicht funktionieren. Das spart euch viele Supporttickets.

Mein Tipp aus der Praxis: Bildet die Zielgruppen über klar abgegrenzte Gruppen in Entra ID ab, etwa dynamisch nach Benutzertyp oder Zugehörigkeit. Dann werden interne Mitarbeitende nicht versehentlich durch App-Schutzrichtlinien eingeschränkt.

Health Checks mit Microsoft Defender sichern ein Mindestschutzniveau ab

Ein großer Vorteil liegt in der Anbindung an Microsoft Defender. Seit einiger Zeit können MAM-Richtlinien auch den Gerätestatus prüfen, zum Beispiel, ob die Virenschutzdefinitionen aktuell sind oder der Prozess- und Netzwerkschutz aktiv ist. Das hebt die Grundsicherheit spürbar an, gerade bei Freiberuflern, die ihre Systeme selten nach Firmenstandard härten. Gemeinsam mit Conditional Access lässt sich so ein Mindestschutz durchsetzen, ohne das Gerät vollständig zu übernehmen. Weitere Informationen bietet der offizielle Leitfaden zu MAM für Windows.

Wer schon App-Schutzrichtlinien für Mobilgeräte nutzt, wird viele Einstellungen wiedererkennen. Bei der Datenflusskontrolle gibt es aber Unterschiede, vor allem bei Downloads und gespeicherten Dateien. Sie landen in einem Unternehmenscontainer, der nach der Abmeldung automatisch geleert wird.

Externe und befristete Projekte profitieren am meisten von MAM für Windows

In der Praxis lohnt sich dieses Modell vor allem für externe Mitarbeitende, Dienstleister und befristete Projekte. Wo eine vollständige Registrierung in Intune nicht in Frage kommt, das Unternehmen aber die Kontrolle über seine Daten behalten will, ist MAM für Windows die erste Wahl. Ich habe den Ansatz auch schon mehrfach als Übergangslösung bei Firmenübernahmen oder in Joint Ventures eingesetzt. Meist braucht man dafür Microsoft 365 Business Premium, E3, E5 oder vergleichbare Lizenzen und natürlich Intune.

Wer sich intensiver mit Conditional Access beschäftigen möchte, findet in meinem Beitrag Conditional Access in Microsoft Entra ID: Die ersten Richtlinien, die jeder Tenant braucht praktische Ansatzpunkte.

MAM für Windows schafft echte Datensicherheit, auch über Externe hinaus

MAM für Windows löst nicht jedes Problem. Es ist aber ein sehr wirksames Werkzeug, um das alte Thema „Bring Your Own Device“ endlich in den Griff zu bekommen. In vielen Tenants, die ich betreue, hat sich das Modell als pragmatischer Weg durchgesetzt, gerade wenn Firmendaten und Privatsphäre sauber getrennt bleiben sollen. Wer Datenabfluss verhindern muss und dafür kein vollständiges MDM einführen will, kommt an App-Schutzrichtlinien für Windows heute kaum noch vorbei.