Restriktionen

Für Android-Geräte mit Android Enterprise-Einschreibung stehen in Relution eine Vielzahl an Restriktionen zur Verfügung. Grundsätzlich ist es ratsam, sich genau darüber im Klaren zu sein, welche Einschränkungen miteinander kombiniert werden. So lässt sich ausschließen, dass Geräte so konfiguriert werden, dass sie nicht mehr nutzbar sind.

Die Konfiguration ist im Portal in mehrere Bereiche gegliedert. Die folgende Übersicht folgt dieser Gliederung. Gilt eine Option nur für bestimmte Einschreibungsarten oder Android-Versionen, ist das bei der Option vermerkt.

Benutzerkontorestriktionen #

• Verbieten, neue Benutzer und Profile anzulegen
• Verbieten, andere Benutzer zu entfernen
• Verbieten, Konten hinzuzufügen und zu entfernen
• Verbieten, Anmeldeinformationen des Benutzers zu konfigurieren
• Erlauben, einen privaten Schlüssel zu wählen, wenn keine Regel definiert wurde: Der Benutzer kann einen privaten Schlüssel auswählen, wenn keine Regeln definiert sind, um automatisch einen privaten Schlüssel und ein Zertifikat zur Authentifizierung des Geräts gegenüber einem Server auszuwählen. Bei Geräten unter Android 9 kann diese Einstellung zu einer Gefährdung der Unternehmensschlüssel führen.

Vorgegebene Restriktionen #

Dieser Bereich wird nur angezeigt, wenn die veraltete Einstellung Apps aus unbekannten Quellen in einer bestehenden Konfiguration auf einen anderen Wert als Installation nicht vertrauenswürdiger Apps auf dem gesamten Gerät verbieten gesetzt ist.

Weitere Informationen: Sicherheitsüberschreibungen →

App-Restriktionen #

• Verbieten, Apps zu installieren
• Verbieten, Apps zu deinstallieren
• Verbieten, das Easter-Egg in den Einstellungen zu verwenden

Restriktionen für Anpassungen #

• Verbieten, das Benutzer-Icon anzupassen
• Verbieten, das Hintergrundbild anzupassen
• Automatische Datums- und Zeitzoneneinstellung aktivieren (nur Verwaltetes Gerät): Legt fest, ob die automatische Datums-, Zeit- und Zeitzoneneinstellung auf einem firmeneigenen Gerät aktiviert ist. Zur Auswahl stehen Default, Wahl durch Benutzer und Erzwungen.

Geräterestriktionen #

Der Bereich enthält allgemeine Einschränkungen des Geräts sowie profilübergreifende Einstellungen für Geräte mit Arbeitsprofil.

Allgemein #

• Verbieten, die Tastensperre zu verwenden (nur Verwaltetes Gerät): Betrifft die Tastensperre als Ganzes. Einzelne Funktionen des Sperrbildschirms werden über Erweiterte Keyguard-Verwaltung → deaktiviert.
• Aktivieren Sie den Factory Reset-Schutz (FRP) (nur Verwaltetes Gerät und Persönliches Profil) und Google account email für FRP: siehe Factory Reset-Schutz →.
• Kontotypen, für die die Verwaltung deaktiviert ist: Kontotypen, die der Benutzer nicht verwalten kann.
• Zulässige Eingabemethoden und Zulässige Barrierefreiheitsdienste: Zur Auswahl stehen Alle erlaubt, Nur System-Apps sowie System und weitere spezifizierte Apps. Bei der letzten Option werden die zusätzlich erlaubten Apps in einer Liste hinterlegt.
• Sichtbarkeit des Anzeigenamens des Unternehmens: Legt fest, ob der Anzeigename des Unternehmens auf dem Gerät angezeigt wird (Nicht spezifiziert, Auf dem Gerät angezeigt, Auf dem Gerät ausgeblendet). Der Anzeigename selbst wird im Feld Anzeigename des Unternehmens unter Einstellungen → Geräteplattformspezifisch → Android Enterprise gepflegt.
• Assistenzinhalt-Richtlinie (ab Android 15): Steuert, ob Assistenzinhalte wie Screenshots und App-Informationen an eine privilegierte App wie eine Assistenz-App gesendet werden dürfen (Nicht spezifiziert, Erlaubt, Nicht Erlaubt).
• Autofill-Richtlinie: Steuert den Autofill-Dienst des Systems (ab Android 8) mit den Optionen Nicht spezifiziert, Wahl durch Benutzer und Deaktiviert. Um die Verwaltung von Anmeldeinformationen umfassend einzuschränken, wird zusätzlich die Standard-Anmeldeinformationsanbieter-Richtlinie konfiguriert.
• Standard-Anmeldeinformationsanbieter-Richtlinie (ab Android 14): Nicht spezifiziert, Nicht zugelassen oder Nicht zugelassen außer System.
• Drucken: Nicht spezifiziert, Erlaubt oder Nicht Erlaubt.

Profilübergreifende Einstellungen #

Diese Einstellungen gelten nur für die Einschreibungsarten Arbeitsprofil und Persönliches Profil. Auf verwalteten Geräten ohne Arbeitsprofil werden sie nicht angewendet.

• Standardwert für Widgets für Arbeitsprofile: Legt fest, ob Apps des Arbeitsprofils standardmäßig Widgets zum Startbildschirm hinzufügen dürfen, wenn für die App nichts anderes festgelegt ist (Nicht spezifiziert, Erlaubt, Nicht Erlaubt). Nicht spezifiziert entspricht Nicht Erlaubt.
• Kopieren und Einfügen: Nicht spezifiziert, Erlaubt oder Vom Arbeitsprofil zum persönlichen Profil nicht zulassen.
• Teilen von Daten: Nicht spezifiziert, Erlaubt, Vom Arbeitsprofil zum persönlichen Profil nicht zulassen oder Unzulässig.
• Arbeitsprofil Kontakte im persönlichen Profil anzeigen (Abschnitt Kontakte): Nicht spezifiziert, Unzulässig, Erlaubt oder Erlauben Sie nur System-Apps den Zugriff auf geschäftliche Kontakte im persönlichen Profil. Zusätzlich lässt sich eine App-Liste pflegen: Bei Nicht spezifiziert und Erlaubt enthält sie die Apps, die nicht zugreifen dürfen, bei den übrigen Optionen die Apps, die zugreifen dürfen.

Multimediarestriktionen #

• Verbieten, Bildschirmfotos zu machen
• Verbieten, die globale Lautstärke zu modifizieren
• Verbieten, den Standort zu teilen
• Verbieten, Kontakte über Bluetooth zu teilen
• Zugriff auf die Kamera: Default, Wahl durch Benutzer, Kamera deaktiviert oder Kamerazugriff erzwingen. Steuert die Verwendung der Kamera und ob der Benutzer den Schalter für den Kamerazugriff (ab Android 12) nutzen kann. Das Deaktivieren der Kamera gilt auf vollständig verwalteten Geräten für das gesamte Gerät, auf Geräten mit Arbeitsprofil nur innerhalb des Arbeitsprofils.
• Zugriff auf das Mikrofon: Default, Wahl durch Benutzer, Mikrofon deaktiviert oder Mikrofonzugriff erzwingen. Steuert die Verwendung des Mikrofons und ob der Benutzer den Schalter für den Mikrofonzugriff (ab Android 12) nutzen kann. Die Einstellung wirkt nur auf vollständig verwalteten Geräten.

Netzwerkrestriktionen #

• Verbieten, Bluetooth zu konfigurieren
• Verbieten, das mobile Netzwerk zu konfigurieren
• Verbieten, die Netzwerkeinstellungen zurückzusetzen
• Verbieten, VPN zu konfigurieren
• Verbieten, WLAN Netzwerke zu konfigurieren (veraltet, siehe Hinweis unten): siehe WLAN-Konfiguration verbieten →.
• Verbieten, Android Beam (NFC) zum Teilen von App-Daten zu verwenden
• Verbieten, Bluetooth zu verwenden
• Erlauben, den Netzwerk-Notausgang zu verwenden: Kann beim Booten keine Netzwerkverbindung hergestellt werden, fordert der Notausgang den Benutzer auf, sich vorübergehend mit einem Netzwerk zu verbinden, um die Geräterichtlinie zu aktualisieren. Nach dem Anwenden der Richtlinie wird das temporäre Netzwerk wieder entfernt.
• Bevorzugter Netzwerkdienst (nur Arbeitsprofil): Steuert, ob der bevorzugte Netzwerkdienst im Arbeitsprofil aktiviert ist (Unspezifiziert, Deaktiviert, Aktiviert). Auf vollständig verwalteten Geräten hat die Einstellung keine Auswirkung.

Restriktionen für Speicher #

• Verbieten, externe physikalische Medien einzubinden
• Verbieten, Dateien über USB zu übertragen (veraltet, siehe Hinweis unten)

Restriktionen für Telefonie #

• Verbieten, SMS zu senden und zu empfangen
• Verbieten, ausgehende Anrufe zu tätigen
• Verbieten, Roaming für Datendienste zu verwenden
• Verbieten, Tethering und tragbare Hotspots zu konfigurieren (veraltet, siehe Hinweis unten)
• Verbieten, Cell Broadcasts zu konfigurieren

Mögliche Fallstricke #

Die folgenden Optionen können dazu führen, dass Geräte nicht mehr wie gewünscht nutzbar oder erreichbar sind.

Factory Reset-Schutz #

Mit der Option Aktivieren Sie den Factory Reset-Schutz (FRP) lässt sich auf verwalteten Geräten das Zurücksetzen auf die Werkseinstellungen über die Android-Geräteeinstellungen blockieren. Das Zurücksetzen über das Wiederherstellungsmenü ist davon nicht betroffen.

Im Feld Google account email für FRP werden die E-Mail-Adressen von Geräte-Admins hinterlegt. Diese Adressen müssen Google-Konten sein. Wurde das Gerät auf Werkseinstellungen zurückgesetzt, muss sich einer dieser Geräte-Admins mit seinem Google-Konto (E-Mail und Passwort) anmelden, um das Gerät zu entsperren. Sind keine Adressen angegeben, bietet das Gerät keinen Schutz beim Zurücksetzen auf die Werkseinstellungen. Diese Einstellung sollte daher mit erhöhter Vorsicht genutzt werden.

WLAN-Konfiguration verbieten #

Ist Verbieten, WLAN Netzwerke zu konfigurieren aktiv und werden keine WLAN-Netzwerke vorgegeben, wird WLAN auf dem Gerät deaktiviert. Können Geräte keine WLAN-Verbindung herstellen, weil die konfigurierten Netzwerke nicht erreichbar oder fehlerhaft sind, besteht keine Möglichkeit, manuell einzugreifen. Die Einstellung lässt sich dann auch nicht mehr zurücknehmen, da die Geräte offline sind.

Diese Option sollte nur in Verbindung mit Erlauben, den Netzwerk-Notausgang zu verwenden genutzt werden. Kann beim Booten keine Netzwerkverbindung hergestellt werden, lässt sich damit vorübergehend ein WLAN-Netzwerk konfigurieren, um die Geräterichtlinie zu aktualisieren.