Der Edge Management Service steuert Edge for Business aus der Cloud

Wer Microsoft Edge for Business im Unternehmen wirklich im Griff haben will, landet heute fast zwangsläufig beim Edge Management Service im Microsoft 365 Admin Center. In meinen Projekten treffe ich immer häufiger auf Kunden, die genau diese zentrale Verwaltung nutzen, vor allem dort, wo Gruppenrichtlinien nicht mehr das Maß aller Dinge sind und Intune nicht jede Lücke schließt. Meist geht es ihnen darum, Browsereinstellungen gezielter auf Entra-Gruppen auszurollen. Zu finden ist das Ganze unter Microsoft 365 Admin Center → Einstellungen → Microsoft Edge. Dort legt man Konfigurationsprofile und Erweiterungsrichtlinien an und kann beide fein abgestuft auf Sicherheit trimmen.

Profile für Entra-Gruppen sind flexibler als jede GPO

Für viele besteht der eigentliche Reiz darin, dass sich Profile und Richtlinien direkt Entra-Sicherheitsgruppen zuweisen lassen. Lokale OU-Logik und verschachtelte Hybridkonstrukte fallen weg. Der Personalabteilung kann ich so beispielsweise strengere Vorgaben machen als den Entwicklern, ohne zusätzliche Infrastruktur und ohne GPO-Pflege. Die Richtlinien kommen fast in Echtzeit an, denn Edge ruft sie regelmäßig aus der Cloud ab, sobald sich ein Benutzer anmeldet und bei Entra ID authentifiziert.

Typischerweise läuft das so ab:

flowchart TD
  Admin["Admin erstellt Konfigurationsprofil"]
  Gruppen["Profil Entra-Gruppe zuweisen"]
  Cloud["Edge Management Service synchronisiert"]
  Client["Edge-Browser zieht Richtlinie bei Login"]

  Admin-->Gruppen-->Cloud-->Client

Abbildung: Vom angelegten Profil bis zum Endgerät mit dem Edge Management Service.

Wo Teams sich häufig neu zusammensetzen und flexibel gearbeitet wird, ist das klassischen GPOs klar überlegen. Mehr zu Einrichtung und Verwaltung steht in der offiziellen Dokumentation von Microsoft.

Erweiterungen lassen sich gezielt zulassen oder blockieren

Am häufigsten nutzen meine Kunden den Dienst, um Edge-Erweiterungen zu kontrollieren. Die Frage, wie man riskante Add-ons aus dem eigenen Tenant heraushält, höre ich in fast jedem Projekt. Im Edge Management Service lege ich über eine Allow- oder Block-Liste genau fest, welche Erweiterungen Benutzer installieren dürfen. Freigeben oder sperren kann ich dabei einzelne Erweiterungs-IDs, aber auch komplette Publisher. Verglichen mit dem Wildwuchs, der in vielen Tenants herrscht, ist das ein spürbarer Fortschritt. Spätestens beim nächsten Browserstart greifen die Richtlinien, und anpassen lassen sie sich jederzeit.

Mein Tipp: nur ausgewählte, geprüfte Erweiterungen erlauben und alles, was nicht verifiziert ist, von Anfang an per Block-Liste sperren. So schrumpft die Angriffsfläche deutlich, vor allem bei Add-ons aus der Schatten-IT.

Auf dieser Seite gibt es Listen häufig verwendeter Erweiterungs-IDs und weitere Beispiele für die Umsetzung.

Das Szenario entscheidet zwischen Intune, Edge Management Service und GPO

Ob man besser zum Edge Management Service, zum Intune-Einstellungskatalog oder weiterhin zu GPOs greift, fragen mich viele Admins. Eine pauschale Antwort gibt es nicht, es kommt auf das Szenario an:

• Edge Management Service: für Richtlinien, die eng am Browser hängen, für die gezielte Zuweisung an Entra-Gruppen und für reine Cloud-Umgebungen.
• Intune-Einstellungskatalog: wenn die Edge-Konfiguration in eine umfassende Geräteverwaltung eingebettet sein soll, etwa zusammen mit Defender oder Compliance-Richtlinien.
• GPOs: nur noch in Legacy-Umgebungen mit lokalen AD-Computern. Diese Fälle werden seltener, meist handelt es sich um eine Übergangslösung.

In den meisten modernen Tenants begegnet mir eine Mischung: Grundeinstellungen und Erweiterungsverwaltung laufen über den Edge Management Service, spezielle Geräteeinstellungen wie Proxy oder automatische Updates über Intune, und Altlasten hängen unter Umständen noch an einer GPO. Bei Konflikten gilt grundsätzlich das Prinzip „letzte angewandte Richtlinie gewinnt“. Bekommt ein Benutzer sowohl eine Intune- als auch eine Edge-Richtlinie, setzt sich der Edge Management Service durch.

Einige Sicherheitseinstellungen gehören in jedes Profil

Edge for Business bietet eine Fülle von Optionen. Ein paar Sicherheitseinstellungen sollten nach meiner Erfahrung aber in keinem Profil fehlen:

• Microsoft Defender SmartScreen aktivieren – schützt vor Phishing und Malware.
• Passwortmanager deaktivieren – Kennwörter gehören in den Passwortmanager des Unternehmens und nicht in den Browser.
• Synchronisierung steuern – Unternehmensdaten nur mit Entra ID synchronisieren, nicht mit privaten Konten.
• Installation von Erweiterungen restriktiv handhaben – siehe oben.
• Pop-ups und Downloads einschränken – abhängig vom Einsatzzweck.

Vor allem SmartScreen und ein sauber konfigurierter Passwortmanager haben in den vergangenen Monaten Vorfälle verhindert, die sonst zu klassischen Sicherheitslücken geworden wären.

Bei mehreren Richtlinienquellen zahlt sich Transparenz aus

Wie wichtig Sichtbarkeit und Rückmeldung sind, wird oft unterschätzt. Wirken mehrere Richtlinien auf denselben Benutzer, wird die Fehlersuche schnell mühsam. Über die Adresse edge://policy sieht jeder Benutzer und jeder Admin direkt im Browser, welche Richtlinien aktiv sind, wie sie angewendet wurden und ob es Konflikte gibt. Das spart viel Zeit, besonders wenn man testweise über Entra-Gruppen unterschiedliche Profile verteilt. Für automatisierte Auswertungen lässt sich die Ausgabe als JSON exportieren und vergleichen.

In komplexen Umgebungen mit mehreren Richtlinienquellen sollte man regelmäßig nach Überschneidungen und veralteten Einstellungen suchen. Zusätzlich zeigt der Edge Management Service zentral an, welche Profile angewendet wurden, mit welchem Status und wer sie wann bekommen hat. In größeren Kundenprojekten möchte ich auf diese Kontrollmöglichkeit nicht mehr verzichten.

Der Edge Management Service wird zum neuen Standard für Edge im Unternehmen

Für mich ist der Edge Management Service inzwischen die zentrale Schaltstelle in Edge-for-Business-Umgebungen. Er hängt direkt an Entra-Gruppen, macht die Verwaltung von Erweiterungen einfach und erlaubt Security-Baselines ohne GPOs oder aufgeblähte Intune-Konfigurationen. Das macht ihn vor allem in Cloud-first-Szenarien interessant. Wer heute noch mit GPOs arbeitet, sollte spätestens jetzt die Migration planen, denn der Edge Management Service setzt sich als Standard durch. Wer sich für ähnliche Modernisierungsthemen interessiert, findet in meinem Beitrag zu den Update-Kanälen der Microsoft 365 Apps weitere Anregungen, unter anderem dazu, wie man den Wechsel zwischen Richtlinien in der Praxis sauber plant.