Sicherheit und Benutzererfahrung

Last published : Oct 21, 2026
Sicherheit ist für jedes Unternehmen wichtig, aber Sie müssen ein Gleichgewicht zwischen Sicherheit und Benutzererfahrung finden. Beispielsweise könnten Sie eine hochsichere Umgebung haben, die für Benutzer schwierig zu bedienen ist. Oder Ihre Umgebung könnte so benutzerfreundlich sein, dass die Zugriffskontrolle nicht so streng ist. Die anderen Abschnitte dieses virtuellen Handbuchs behandeln Sicherheitsfunktionen im Detail. Ziel dieses Artikels ist es, einen allgemeinen Überblick über gängige Sicherheitsbedenken und die in Citrix Endpoint Management verfügbaren Sicherheitsoptionen zu geben.
Hier sind einige wichtige Überlegungen, die Sie für jeden Anwendungsfall beachten sollten:
  • Möchten Sie bestimmte Apps, das gesamte Gerät oder beides sichern?
  • Wie sollen sich Ihre Benutzer authentifizieren? Möchten Sie LDAP, zertifikatbasierte Authentifizierung oder eine Kombination aus beidem verwenden?
  • Wie lange soll die Sitzung eines Benutzers dauern, bevor sie abläuft? Beachten Sie, dass es unterschiedliche Timeout-Werte für Hintergrunddienste, Citrix ADC und für den Zugriff auf Apps im Offline-Modus gibt.
  • Sollen Benutzer einen Passcode auf Geräteebene und einen Passcode auf App-Ebene einrichten? Wie viele Anmeldeversuche möchten Sie zulassen? Berücksichtigen Sie die zusätzlichen Authentifizierungsanforderungen pro App, die mit MAM implementiert werden könnten, und wie Benutzer diese wahrnehmen könnten.
  • Welche weiteren Einschränkungen möchten Sie für Benutzer festlegen? Möchten Sie Benutzern Zugriff auf Cloud-Dienste wie Siri gewähren? Was können sie mit jeder App, die Sie ihnen zur Verfügung stellen, tun und was nicht? Möchten Sie Unternehmensnetzwerkrichtlinien (WLAN) bereitstellen, um die Nutzung von Mobilfunkdatentarifen innerhalb des Büros zu verhindern?
Related information
Citrix Endpoint Management-Bereitstellung

App versus Gerät

Eines der ersten Dinge, die Sie berücksichtigen sollten, ist, ob Sie Folgendes sichern möchten:
  • Nur bestimmte Apps (Mobile App Management oder MAM)
  • Das gesamte Gerät (Mobile Device Management oder MDM).
  • MDM+MAM
Am häufigsten müssen Sie, wenn Sie keine Kontrolle auf Geräteebene benötigen, nur mobile Apps verwalten, insbesondere wenn Ihr Unternehmen Bring Your Own Device (BYOD) unterstützt.
Benutzer mit Geräten, die nicht von Citrix Endpoint Management verwaltet werden, können Apps über den App Store installieren. Anstelle von Steuerelementen auf Geräteebene, wie selektives oder vollständiges Löschen, steuern Sie den Zugriff auf die Apps über App-Richtlinien. Abhängig von den von Ihnen festgelegten Werten erfordern die Richtlinien, dass das Gerät Citrix Endpoint Management regelmäßig überprüft, um zu bestätigen, dass die Apps weiterhin ausgeführt werden dürfen.
MDM ermöglicht es Ihnen, ein gesamtes Gerät zu sichern, einschließlich der Möglichkeit, eine Bestandsaufnahme der gesamten Software auf einem Gerät zu erstellen. MDM ermöglicht es Ihnen, die Registrierung zu verhindern, wenn das Gerät gejailbreakt oder gerootet ist oder unsichere Software installiert hat. Dieses Maß an Kontrolle macht Benutzer jedoch misstrauisch, so viel Macht über ihre persönlichen Geräte zuzulassen, und kann die Registrierungsraten senken.

Authentifizierung

Die Authentifizierung ist der Bereich, in dem ein Großteil der Benutzererfahrung stattfindet. Wenn Ihre Organisation bereits Active Directory verwendet, ist die Verwendung von Active Directory der einfachste Weg, Ihren Benutzern den Zugriff auf das System zu ermöglichen.
Ein weiterer wichtiger Teil der Authentifizierungs-Benutzererfahrung sind Timeouts. Eine Umgebung mit hoher Sicherheit könnte Benutzer dazu zwingen, sich jedes Mal anzumelden, wenn sie auf das System zugreifen. Diese Option ist möglicherweise nicht ideal für alle Organisationen oder Anwendungsfälle.

Benutzer-Entropie

Für zusätzliche Sicherheit können Sie eine Funktion namens Benutzer-Entropie aktivieren. Citrix Secure Hub und einige andere Apps teilen oft gemeinsame Daten wie Passwörter, PINs und Zertifikate, um sicherzustellen, dass alles ordnungsgemäß funktioniert. Diese Informationen werden in einem generischen Tresor innerhalb von Citrix Secure Hub gespeichert. Wenn Sie die Benutzer-Entropie über die Option Geheimnisse verschlüsseln aktivieren, erstellt Citrix Endpoint Management einen Tresor namens UserEntropy. Citrix Endpoint Management verschiebt die Informationen aus dem generischen Tresor in diesen neuen Tresor. Damit Citrix Secure Hub oder eine andere App auf die Daten zugreifen kann, müssen Benutzer ein Passwort oder eine PIN eingeben.
Das Aktivieren der Benutzer-Entropie fügt an mehreren Stellen eine weitere Authentifizierungsebene hinzu. Folglich müssen sich Benutzer jedes Mal authentifizieren, wenn eine App Zugriff auf gemeinsame Daten im UserEntropy-Tresor (einschließlich Passwörter, PINs und Zertifikate) benötigt.
Weitere Informationen zur Benutzer-Entropie finden Sie unter Informationen zum MDX Toolkit. Um die Benutzer-Entropie zu aktivieren, finden Sie die entsprechenden Einstellungen in den Client-Eigenschaften.

Richtlinien

Sowohl MDX- als auch MDM-Richtlinien bieten Organisationen ein hohes Maß an Flexibilität, können aber auch Benutzer einschränken. Diese Einschränkung mag in einigen Situationen wünschenswert sein, aber Richtlinien können ein System auch unbrauchbar machen. Sie möchten beispielsweise den Zugriff auf Cloud-Anwendungen wie Siri oder iCloud blockieren, die potenziell sensible Daten an externe Speicherorte senden könnten. Sie können eine Richtlinie einrichten, um den Zugriff auf diese Dienste zu blockieren, aber bedenken Sie, dass eine solche Richtlinie unbeabsichtigte Folgen haben kann. Zum Beispiel ist das iOS-Tastaturmikrofon auf Cloud-Zugriff angewiesen.

Apps

Enterprise Mobility Management (EMM) gliedert sich in Mobile Device Management (MDM) und Mobile Application Management (MAM). Während MDM Organisationen die Sicherung und Kontrolle mobiler Geräte ermöglicht, erleichtert MAM die Anwendungsbereitstellung und -verwaltung. Mit der zunehmenden Verbreitung von BYOD können Sie typischerweise eine MAM-Lösung wie Citrix Endpoint Management implementieren, um bei Folgendem zu unterstützen:
  • App-Bereitstellung
  • Softwarelizenzierung
  • Konfiguration
  • App-Lebenszyklus-Management
Mit Citrix Endpoint Management können Sie diesen Apps mehr Sicherheit verleihen, indem Sie spezifische MAM-Richtlinien und VPN-Einstellungen konfigurieren, um Datenlecks und andere Sicherheitsbedrohungen zu verhindern. Citrix Endpoint Management bietet Organisationen die Flexibilität, sowohl MDM- als auch MAM-Funktionalität in derselben Umgebung zu integrieren.
Zusätzlich zur Möglichkeit, Apps auf mobile Geräte bereitzustellen, bietet Citrix Endpoint Management die App-Containerisierung durch die MDX-Technologie. MDX sichert Apps durch Verschlüsselung, die von der geräteebenen Verschlüsselung der Plattform getrennt ist. Sie können Apps löschen oder sperren. Apps unterliegen granularen richtlinienbasierten Kontrollen. Unabhängige Softwareanbieter (ISVs) können diese Kontrollen mithilfe des Mobile Apps SDK anwenden.
In einer Unternehmensumgebung verwenden Benutzer verschiedene mobile Apps, um ihre Aufgaben zu erfüllen. Die Apps können Anwendungen aus dem öffentlichen App Store, intern entwickelte Apps oder native Apps umfassen. Citrix Endpoint Management kategorisiert diese Apps wie folgt:
Öffentliche Apps: Diese Apps umfassen kostenlose oder kostenpflichtige Apps, die in einem öffentlichen App Store, wie dem Apple App Store oder Google Play, verfügbar sind. Anbieter außerhalb der Organisation stellen ihre Apps oft in öffentlichen App Stores zur Verfügung. Diese Option ermöglicht es ihren Kunden, die Apps direkt aus dem Internet herunterzuladen. Je nach den Bedürfnissen der Benutzer können Sie in Ihrer Organisation viele öffentliche Apps verwenden. Beispiele für solche Apps sind GoToMeeting, Salesforce und EpicCare Apps.
Citrix® unterstützt das direkte Herunterladen von App-Binärdateien aus öffentlichen App Stores und deren anschließendes Wrapping mit dem MDX Toolkit für die Unternehmensverteilung nicht. Um Anwendungen von Drittanbietern MDX-fähig zu machen, wenden Sie sich an Ihren App-Anbieter, um die App-Binärdateien zu erhalten. Sie können die Binärdateien mit dem MDX Toolkit wrappen oder das MAM SDK in die Binärdateien integrieren.
Inhouse-Apps: Viele Organisationen verfügen über interne Entwickler, die Apps erstellen, die spezifische Funktionen bereitstellen und innerhalb der Organisation unabhängig entwickelt und verteilt werden. In bestimmten Fällen verfügen einige Organisationen möglicherweise auch über Apps, die von ISVs bereitgestellt werden. Sie können solche Apps als native Apps bereitstellen oder die Apps mithilfe einer MAM-Lösung, wie Citrix Endpoint Management, containerisieren. Zum Beispiel kann eine Gesundheitsorganisation eine Inhouse-App erstellen, die es Ärzten ermöglicht, Patienteninformationen auf mobilen Geräten anzuzeigen. Eine Organisation kann die App dann MAM SDK-fähig machen oder MDM-wrappen, um Patienteninformationen zu sichern und VPN-Zugriff auf den Backend-Patientendatenbankserver zu ermöglichen.
Web- und SaaS-Apps: Diese Apps umfassen Apps, auf die über ein internes Netzwerk (Web-Apps) oder über ein öffentliches Netzwerk (SaaS) zugegriffen wird. Citrix Endpoint Management ermöglicht Ihnen auch, benutzerdefinierte Web- und SaaS-Apps mithilfe einer Liste von App-Konnektoren zu erstellen. Diese App-Konnektoren können Single Sign-On (SSO) für bestehende Web-Apps erleichtern. Details finden Sie unter App-Konnektortypen. Zum Beispiel können Sie Google Apps SAML für SSO basierend auf Security Assertion Markup Language (SAML) für Google Apps verwenden.
Mobile Produktivitäts-Apps: Mobile Produktivitäts-Apps sind von Citrix entwickelte Apps, die in der Citrix Endpoint Management-Lizenz enthalten sind. Details finden Sie unter Über mobile Produktivitäts-Apps. Citrix bietet auch andere geschäftsfertige Apps an. ISVs entwickeln geschäftsfertige Apps mithilfe des Mobile Apps SDK.
HDX-Apps: HDX-Apps sind Windows-gehostete Apps, die Sie mit StoreFront veröffentlichen. Wenn Sie eine Citrix Virtual Apps and Desktops-Umgebung haben, können Sie die Apps mit Citrix Endpoint Management integrieren, um sie den registrierten Benutzern zur Verfügung zu stellen.
Je nach Art der mobilen Apps, die Sie mit Citrix Endpoint Management bereitstellen und verwalten möchten, unterscheiden sich die zugrunde liegende Konfiguration und Architektur. Angenommen, viele Benutzergruppen mit unterschiedlichen Berechtigungsstufen nutzen eine einzige App. In diesem Fall können Sie separate Bereitstellungsgruppen erstellen, um zwei Versionen der App bereitzustellen. Stellen Sie sicher, dass die Benutzergruppenmitgliedschaft sich gegenseitig ausschließt, um Richtlinienkonflikte auf Benutzergeräten zu vermeiden.
Möglicherweise möchten Sie auch die iOS-Anwendungslizenzierung mithilfe von Apple Volume Purchase verwalten. Diese Option erfordert, dass Sie sich für das Apple Volume Purchase-Programm registrieren. Und Sie müssen die Citrix Endpoint Management-Konsole verwenden, um die Volume Purchase-Einstellungen zu konfigurieren. Diese Konfiguration ermöglicht es Ihnen, die Apps mit den Volume Purchase-Lizenzen zu verteilen. Verschiedene solcher Anwendungsfälle machen es wichtig, Ihre MAM-Strategie zu bewerten und zu planen, bevor Sie die Citrix Endpoint Management-Umgebung implementieren. Sie können mit der Planung Ihrer MAM-Strategie beginnen, indem Sie Folgendes definieren:
App-Typen: Listen Sie die verschiedenen App-Typen auf, die Sie unterstützen möchten. Kategorisieren Sie dann die Apps, z. B. öffentliche, native, mobile Citrix Produktivitäts-Apps, Web-, Inhouse- und ISV-Apps. Kategorisieren Sie die Apps auch für verschiedene Geräteplattformen, wie iOS und Android. Diese Kategorisierung hilft Ihnen, die für jeden App-Typ erforderlichen Citrix Endpoint Management-Einstellungen aufeinander abzustimmen. Zum Beispiel: Bestimmte Apps sind möglicherweise nicht für das Wrapping geeignet. Oder einige Apps erfordern möglicherweise die Verwendung des Mobile Apps SDK, um spezielle APIs für die Interaktion mit anderen Apps zu aktivieren.
Netzwerkanforderungen: Konfigurieren Sie Apps mit spezifischen Netzwerkanforderungen mit den entsprechenden Einstellungen. Zum Beispiel benötigen bestimmte Apps möglicherweise Zugriff auf Ihr internes Netzwerk über ein VPN. Einige Apps benötigen möglicherweise Internetzugriff, um den Zugriff über die DMZ zu leiten. Um solchen Apps die Verbindung zum erforderlichen Netzwerk zu ermöglichen, müssen Sie verschiedene Einstellungen entsprechend konfigurieren. Definieren Sie die Netzwerkanforderungen pro App, um Ihre architektonischen Entscheidungen im Voraus zu treffen. Diese Arbeit optimiert den gesamten Implementierungsprozess.
Sicherheitsanforderungen: Definieren Sie die Sicherheitsanforderungen, die entweder für einzelne Apps oder für alle Apps gelten. Einige Einstellungen, wie die MDX-Richtlinien, gelten für einzelne Apps. Sitzungs- und Authentifizierungseinstellungen gelten für alle Apps. Einige Apps haben möglicherweise spezifische Anforderungen an Verschlüsselung, Containerisierung, Wrapping, Authentifizierung, Geofencing, Passcode oder Datenfreigabe. Skizzieren Sie diese Anforderungen im Voraus, um Ihre Bereitstellung zu vereinfachen.
Bereitstellungsanforderungen: Möglicherweise möchten Sie eine richtlinienbasierte Bereitstellung verwenden, um nur konformen Benutzern das Herunterladen der veröffentlichten Apps zu gestatten. Beispielsweise möchten Sie möglicherweise, dass bestimmte Apps Folgendes erfordern:
  • geräteplattformbasierte Verschlüsselung aktiviert ist
  • das Gerät verwaltet wird
  • das Gerät eine Mindestversion des Betriebssystems erfüllt
  • bestimmte Apps nur für Unternehmensbenutzer verfügbar sind
Skizzieren Sie solche Anforderungen im Voraus, damit Sie die entsprechenden Bereitstellungsregeln oder -aktionen konfigurieren können.
Lizenzierungsanforderungen: Erfassen Sie app-bezogene Lizenzierungsanforderungen. Solche Notizen helfen Ihnen, die Lizenznutzung effektiv zu verwalten und zu entscheiden, ob Sie bestimmte Funktionen in Citrix Endpoint Management konfigurieren müssen, um die Lizenzierung zu erleichtern. Wenn Sie beispielsweise eine kostenlose oder kostenpflichtige iOS-App bereitstellen, erzwingt Apple Lizenzierungsanforderungen für die App, indem Benutzer sich bei ihrem Apple Store-Konto anmelden müssen. Sie können sich für Apple Volume Purchase registrieren, um diese Apps über Citrix Endpoint Management zu verteilen und zu verwalten. Volume Purchase ermöglicht Benutzern das Herunterladen der Apps, ohne sich bei ihrem Apple Store-Konto anmelden zu müssen. Auch Tools wie Samsung Knox haben spezielle Lizenzierungsanforderungen, die Sie vor der Bereitstellung dieser Funktionen erfüllen müssen.
Anforderungen an Positiv- und Negativlisten: Sie möchten wahrscheinlich verhindern, dass Benutzer bestimmte Apps installieren oder verwenden. Erstellen Sie eine Positivliste von Apps, die ein Gerät als nicht konform einstufen. Richten Sie dann Richtlinien ein, die ausgelöst werden, wenn ein Gerät nicht konform wird. Andererseits könnte eine App zwar akzeptabel sein, aber aus irgendeinem Grund auf der Negativliste stehen. In diesem Fall können Sie die App einer Positivliste hinzufügen und angeben, dass die App zwar verwendet werden darf, aber nicht erforderlich ist. Beachten Sie auch, dass die auf neuen Geräten vorinstallierten Apps einige häufig verwendete Apps enthalten können, die nicht Teil des Betriebssystems sind. Diese Apps könnten mit Ihrer Negativlistenstrategie kollidieren.

Anwendungsfall für Apps

Eine Organisation im Gesundheitswesen plant, Citrix Endpoint Management als MAM-Lösung für ihre mobilen Apps bereitzustellen. Mobile Apps werden an Unternehmens- und BYOD-Benutzer geliefert. Die IT entscheidet sich, die folgenden Apps bereitzustellen und zu verwalten:
  • Mobile Produktivitäts-Apps: Von Citrix bereitgestellte iOS- und Android-Apps.
  • Citrix Files: App für den Zugriff auf freigegebene Daten sowie zum Freigeben, Synchronisieren und Bearbeiten von Dateien.

Öffentlicher App Store

  • Citrix Secure Hub: Client, der von allen mobilen Geräten zur Kommunikation mit Citrix Endpoint Management verwendet wird. Die IT überträgt Sicherheitseinstellungen, Konfigurationen und mobile Apps über den Citrix Secure Hub-Client an mobile Geräte. Android- und iOS-Geräte werden über Citrix Secure Hub bei Citrix Endpoint Management registriert.
  • Citrix Workspace-App: Mobile App, mit der Benutzer auf mobilen Geräten Apps öffnen können, die von Citrix Virtual Apps gehostet werden.
  • GoToMeeting: Ein Online-Meeting-, Desktop-Sharing- und Videokonferenz-Client, der es Benutzern ermöglicht, sich in Echtzeit über das Internet mit anderen Computerbenutzern, Kunden, Klienten oder Kollegen zu treffen.
  • SalesForce1: Salesforce1 ermöglicht Benutzern den Zugriff auf Salesforce von mobilen Geräten aus und vereint alle Chatter-, CRM-, benutzerdefinierten Apps und Geschäftsprozesse in einer einheitlichen Erfahrung für jeden Salesforce-Benutzer.
  • RSA SecurID: Softwarebasierter Token für die Zwei-Faktor-Authentifizierung.
  • EpicCare apps: Diese Apps bieten medizinischem Fachpersonal sicheren und portablen Zugriff auf Patientenakten, Patientenlisten, Zeitpläne und Nachrichten.
    • Haiku: Mobile App für iPhone- und Android-Telefone.
    • Canto: Mobile App für das iPad
    • Rover: Mobile Apps für iPhone und iPad.
HDX: Citrix Virtual Apps stellt HDX-Apps für Citrix Workspace bereit.
  • Epic Hyperspace: Epic Client-Anwendung für die Verwaltung elektronischer Gesundheitsakten.

ISV

  • Vocera: HIPAA-konforme Voice-over-IP- und Messaging-Mobil-App, die die Vorteile der Vocera-Sprachtechnologie jederzeit und überall über iPhone- und Android-Smartphones erweitert.

Inhouse-Apps

  • HCMail: App, die beim Verfassen verschlüsselter Nachrichten hilft, Adressbücher auf internen Mailservern durchsucht und die verschlüsselten Nachrichten mithilfe eines E-Mail-Clients an die Kontakte sendet.

Inhouse-Web-Apps

  • PatientRounding: Webanwendung, die zur Erfassung von Patientengesundheitsinformationen durch verschiedene Abteilungen verwendet wird.
  • Outlook Web Access: Ermöglicht den Zugriff auf E-Mails über einen Webbrowser.
  • SharePoint: Wird für die unternehmensweite Datei- und Datenfreigabe verwendet.
Die folgende Tabelle enthält die grundlegenden Informationen, die für die MAM-Konfiguration erforderlich sind.
App-Name App-Typ MDX-Wrapping iOS Android
Citrix Secure Mail Mobile Produktivitäts-App Nein für Version 10.4.1 und höher Ja Ja
Citrix Secure Web Mobile Produktivitäts-App Nein für Version 10.4.1 und höher Ja Ja
Citrix Files Mobile Produktivitäts-App Nein für Version 10.4.1 und höher Ja Ja
Citrix Secure Hub Öffentliche App N/A Ja Ja
Citrix Workspace-App Öffentliche App N/A Ja Ja
GoToMeeting Öffentliche App N/A Ja Ja
SalesForce1 Öffentliche App N/A Ja Ja
RSA SecurID Öffentliche App NA Ja Ja
Epic Haiku Öffentliche App NA Ja Ja
Epic Canto Öffentliche App NA Ja Nein
Epic Rover Öffentliche App N/A Ja Nein
Epic Hyperspace HDX™ App N/A Ja Ja
Vocera ISV-App Ja Ja Ja
HCMail Inhouse-App Ja Ja Ja
PatientRounding Web-App N/A Ja Ja
Outlook Web Access Web-App N/A Ja Ja
SharePoint Web-App N/A Ja Ja
Die folgenden Tabellen listen spezifische Anforderungen auf, die Sie bei der Konfiguration von MAM-Richtlinien in Citrix Endpoint Management berücksichtigen können.
App-Name VPN erforderlich Interaktion (mit Apps außerhalb des Containers) Interaktion (von Apps außerhalb des Containers) Geräteplattformbasierte Verschlüsselung
Citrix Secure Mail J Selektiv zugelassen Zugelassen Nicht erforderlich
Citrix Secure Web J Zulässig Zulässig Nicht erforderlich
Citrix Files J Zulässig Zulässig Nicht erforderlich
Citrix Secure Hub J N/Z N/Z N/Z
Citrix Workspace-App J N/Z N/Z N/Z
GoToMeeting N N/Z N/Z N/Z
SalesForce1 N N/Z N/Z N/Z
RSA SecurID N N/A N/A N/A
Epic Haiku J N/A N/A N/A
Epic Canto J N/A N/A N/A
Epic Rover J N/A N/A N/A
Epic Hyperspace J N/A N/A N/A
Vocera J Blockiert Blockiert Nicht erforderlich
HCMail J Blockiert Blockiert Erforderlich
PatientRounding J N/A N/A Erforderlich
Outlook Web Access J N/A N/A Nicht erforderlich
SharePoint J N/A N/A Nicht erforderlich
App-Name Proxy-Filterung Lizenzierung Geofencing SDK für mobile Apps Mindestversion des Betriebssystems
Citrix Secure Mail Erforderlich N/A Selektiv erforderlich N/A Erzwungen
Citrix Secure Web Erforderlich N/A Nicht erforderlich N/A Erzwungen
Secure Notes Erforderlich N/A Nicht erforderlich N/A Erzwungen
Citrix Files Erforderlich N/Z Nicht erforderlich N/Z Erzwungen
Citrix Secure Hub Nicht erforderlich Volumenlizenzierung Nicht erforderlich N/Z Nicht erzwungen
Citrix Workspace-App Nicht erforderlich Volumenlizenzierung Nicht erforderlich N/Z Nicht erzwungen
GoToMeeting Nicht erforderlich Volumenkauf Nicht erforderlich N/A Nicht erzwungen
SalesForce1 Nicht erforderlich Volumenkauf Nicht erforderlich N/A Nicht erzwungen
RSA SecurID Nicht erforderlich Volumenkauf Nicht erforderlich N/Z Nicht erzwungen
Epic Haiku Nicht erforderlich Volumenkauf Nicht erforderlich N/Z Nicht erzwungen
Epic Canto Nicht erforderlich Volumenkauf Nicht erforderlich N/Z Nicht erzwungen
Epic Rover Nicht erforderlich Volumenlizenzierung Nicht erforderlich N/A Nicht erzwungen
Epic Hyperspace Nicht erforderlich N/A Nicht erforderlich N/A Nicht erzwungen
Vocera Erforderlich N/A Erforderlich Erforderlich Erzwungen
HCMail Erforderlich N/A Erforderlich Erforderlich Erzwungen
PatientRound-ing Erforderlich N/A Nicht erforderlich N/A Nicht erzwungen
Outlook Web Access Erforderlich N/A Nicht erforderlich N/A Nicht erzwungen
SharePoint Erforderlich N/A Nicht erforderlich N/A Nicht erzwungen

Benutzergemeinschaften

Jede Organisation besteht aus verschiedenen Benutzergemeinschaften, die in unterschiedlichen Funktionsrollen tätig sind. Diese Benutzergemeinschaften erledigen unterschiedliche Aufgaben und Bürofunktionen unter Verwendung verschiedener Ressourcen, die Sie über Benutzergeräte bereitstellen. Benutzer können von zu Hause oder in Außenstellen mit mobilen Geräten arbeiten, die Sie bereitstellen. Oder Benutzer besitzen möglicherweise ihre eigenen mobilen Geräte, die ihnen den Zugriff auf Tools ermöglichen, die bestimmten Sicherheits- und Compliance-Regeln unterliegen.
Da immer mehr Benutzergruppen mobile Geräte in ihren Arbeitsbereichen verwenden, wird Enterprise Mobility Management (EMM) entscheidend, um Datenlecks zu verhindern. EMM ist auch entscheidend, um die Sicherheitsbeschränkungen einer Organisation durchzusetzen. Für ein effizientes und ausgefeilteres Mobile Device Management können Sie Ihre Benutzergruppen kategorisieren. Dies vereinfacht die Zuordnung von Benutzern zu Ressourcen und stimmt die entsprechenden Sicherheitsrichtlinien auf die Benutzer ab.
Das folgende Beispiel veranschaulicht, wie die Benutzergruppen einer Gesundheitseinrichtung für EMM klassifiziert werden.

Anwendungsfall für Benutzergruppen

Diese beispielhafte Gesundheitseinrichtung stellt vielen Benutzern, einschließlich Netzwerk- und Partner-Mitarbeitern sowie Freiwilligen, Technologieressourcen und Zugriff zur Verfügung. Die Organisation hat sich entschieden, die EMM-Lösung nur für nicht-leitende Angestellte einzuführen.
Benutzerrollen und -funktionen für diese Organisation können in Untergruppen unterteilt werden, darunter: klinisches Personal, nicht-klinisches Personal und Auftragnehmer. Ausgewählte Benutzer erhalten firmeneigene mobile Geräte, während andere nur eingeschränkten Zugriff auf Unternehmensressourcen von ihren persönlichen Geräten aus haben. Um das richtige Maß an Sicherheitsbeschränkungen durchzusetzen und Datenlecks zu verhindern, entschied die Organisation, dass die Unternehmens-IT jedes registrierte Gerät verwaltet. Diese Geräte können firmeneigen sein oder Bring Your Own Device (BYOD). Außerdem können Benutzer nur ein einziges Gerät registrieren.
Der folgende Abschnitt bietet einen Überblick über die Rollen und Funktionen jeder Untergruppe:

Klinisches Personal

  • Krankenschwestern und Krankenpfleger
  • Ärzte (Ärzte, Chirurgen usw.)
  • Spezialisten (Ernährungsberater, Anästhesisten, Radiologen, Kardiologen, Onkologen usw.)
  • Externe Ärzte (Nicht-angestellte Ärzte und Büroangestellte, die von entfernten Büros aus arbeiten)
  • Häusliche Pflegedienste (Büro- und mobile Mitarbeiter, die ärztliche Dienste bei Hausbesuchen von Patienten erbringen)
  • Forschungsspezialisten (Wissensarbeiter und Power-User an sechs Forschungsinstituten, die klinische Forschung betreiben, um Antworten auf medizinische Fragen zu finden)
  • Aus- und Weiterbildung (Krankenschwestern und Krankenpfleger, Ärzte und Spezialisten in Aus- und Weiterbildung)

Nicht-klinisches Personal

  • Gemeinsame Dienste (Büromitarbeiter, die verschiedene Back-Office-Funktionen ausführen, einschließlich Personalwesen, Gehaltsabrechnung, Kreditorenbuchhaltung und Lieferkettendienste)
  • Ärztliche Dienste (Büromitarbeiter, die verschiedene Funktionen im Gesundheitsmanagement, administrative Dienste und Geschäftsprozesslösungen für Anbieter ausführen, einschließlich: Administrative Dienste, Analysen und Business Intelligence, Geschäftssysteme, Kundendienste, Finanzen, Verwaltung von Managed Care, Patientenzugangslösungen, Umsatzzykluslösungen usw.)
  • Unterstützungsdienste (Büromitarbeiter, die verschiedene nicht-klinische Funktionen ausführen, einschließlich: Leistungsverwaltung, Klinische Integration, Kommunikation, Vergütungs- und Leistungsmanagement, Gebäude- und Immobiliendienste, HR-Technologiesysteme, Informationsdienste, Interne Revision und Prozessverbesserung usw.)
  • Philanthropische Programme (Büro- und mobile Mitarbeiter, die verschiedene Funktionen zur Unterstützung philanthropischer Programme ausführen)

Auftragnehmer

  • Hersteller- und Anbieterpartner (Vor Ort und remote über Site-to-Site-VPN verbunden, die verschiedene nicht-klinische Supportfunktionen bereitstellen)
Basierend auf den vorangegangenen Informationen hat die Organisation die folgenden Entitäten erstellt. Weitere Informationen zu Bereitstellungsgruppen in Citrix Endpoint Management finden Sie unter Ressourcen bereitstellen.

Organisationseinheiten (OUs) und Gruppen in Active Directory

Für OU = Citrix Endpoint Management-Ressourcen:
  • OU = Klinisch; Gruppen =
    • XM-Nurses
    • XM-Physicians
    • XM-Specialists
    • XM-Outside Physicians
    • XM-Home Health Services
    • XM-Forschungsspezialist
    • XM-Ausbildung und Schulung
  • OU = Nicht-klinisch; Gruppen =
    • XM-Gemeinsame Dienste
    • XM-Ärztliche Dienste
    • XM-Support-Dienste
    • XM-Philanthropische Programme

Citrix Endpoint Management Lokale Benutzer und Gruppen

Für Gruppe= Auftragnehmer, Benutzer =
  • Vendor1
  • Vendor2
  • Vendor 3
  • … Vendor 10

Citrix Endpoint Management Bereitstellungsgruppen

  • Klinische Pflegekräfte
  • Klinisch-Ärzte
  • Klinisch-Spezialisten
  • Klinisch-Externe Ärzte
  • Klinisch-Häusliche Pflegedienste
  • Klinisch-Forschungsspezialist
  • Klinisch-Ausbildung und Schulung
  • Nicht-klinisch-Gemeinsame Dienste
  • Nicht-klinisch-Ärztliche Dienste
  • Nicht-klinisch-Supportdienste
  • Nicht-klinisch-Philanthropische Programme

Zuordnung von Bereitstellungsgruppen und Benutzergruppen

Active Directory-Gruppen Citrix Endpoint Management-Bereitstellungsgruppen
XM-Krankenpfleger Klinisch-Krankenpfleger
XM-Ärzte Klinische Ärzte
XM-Spezialisten Klinische Spezialisten
XM-Externe Ärzte Klinische externe Ärzte
XM-Häusliche Pflegedienste Klinische häusliche Pflegedienste
XM-Forschungsspezialist Klinischer Forschungsspezialist
XM-Ausbildung und Schulung Klinische Ausbildung und Schulung
XM-Gemeinsame Dienste Nicht-klinische gemeinsame Dienste
XM-Ärztliche Dienste Nicht-klinische ärztliche Dienste
XM-Supportdienste Nicht-klinische Supportdienste
XM-Philanthropische Programme Nicht-klinische philanthropische Programme

Zuordnung von Bereitstellungsgruppen und Ressourcen

Die folgenden Tabellen veranschaulichen die Ressourcen, die jeder Bereitstellungsgruppe in diesem Anwendungsfall zugewiesen sind. Die erste Tabelle zeigt die Zuweisungen der mobilen Apps. Die zweite Tabelle zeigt die öffentlichen Apps, HDX-Apps und Ressourcen für die Geräteverwaltung.
Citrix Endpoint Management Bereitstellungsgruppen Citrix Mobile Apps Öffentliche mobile Apps HDX Mobile Apps
Klinische Krankenpfleger X
Klinische Ärzte
Klinische Spezialisten
Klinisch-Externe Ärzte X
Klinisch-Häusliche Pflegedienste X
Klinisch-Forschungsspezialist X
Klinisch-Aus- und Weiterbildung X X
Nicht-klinisch-Gemeinsame Dienste X X
Nicht-klinisch-Ärztliche Dienste X X
Nicht-klinische Support-Dienste X X X
Nicht-klinische philanthropische Programme X X X
Auftragnehmer X X X
Citrix Endpoint Management Bereitstellungsgruppen Öffentliche App: RSA SecurID Öffentliche App: EpicCare Haiku HDX-App: Epic Hyperspace Passcode-Richtlinie Geräteeinschränkungen Automatisierte Aktionen Netzwerkrichtlinie
Klinisch – Pflegepersonal X
Klinisch – Ärzte X
Klinisch – Spezialisten
Klinisch – Externe Ärzte
Klinisch – Häusliche Pflegedienste
Klinisch – Forschungsspezialist
Klinisch – Bildung und Schulung X X
Nicht-klinisch – Gemeinsame Dienste X X
Nicht-klinisch – Ärztliche Dienste X X
Nicht-klinisch – Support-Dienste X X

Hinweise und Überlegungen

  • Citrix Endpoint Management erstellt während der Erstkonfiguration eine Standardbereitstellungsgruppe namens „Alle Benutzer“. Wenn Sie diese Bereitstellungsgruppe nicht deaktivieren, haben alle Active Directory-Benutzer das Recht, sich bei Citrix Endpoint Management zu registrieren.
  • Citrix Endpoint Management synchronisiert Active Directory-Benutzer und -Gruppen bei Bedarf über eine dynamische Verbindung zum LDAP-Server.
  • Wenn ein Benutzer Teil einer Gruppe ist, die in Citrix Endpoint Management nicht zugeordnet ist, kann sich dieser Benutzer nicht registrieren. Wenn ein Benutzer Mitglied vieler Gruppen ist, kategorisiert Citrix Endpoint Management den Benutzer ebenfalls nur als Teil der Gruppen, die Citrix Endpoint Management zugeordnet sind.

Sicherheitsanforderungen

Der Umfang der Sicherheitsaspekte im Zusammenhang mit einer Citrix Endpoint Management-Umgebung kann schnell überwältigend werden. Es gibt viele ineinandergreifende Teile und Einstellungen. Möglicherweise wissen Sie nicht, wo Sie anfangen oder was Sie wählen sollen, um ein akzeptables Schutzniveau zu gewährleisten. Um diese Entscheidungen zu vereinfachen, bietet Citrix Empfehlungen für hohe, höhere und höchste Sicherheit, wie in der folgenden Tabelle beschrieben.
Sicherheitsbedenken sind nicht die einzige Überlegung für den Modus, in dem Ihre Geräte registriert werden: MAM, MDM+MAM mit optionalem MDM oder MDM+MAM mit erforderlichem MDM. Es ist wichtig, auch die Anforderungen des Anwendungsfalls zu überprüfen und zu entscheiden, ob Sie Sicherheitsbedenken mindern können, bevor Sie Ihren Verwaltungsmodus wählen.
Hoch: Die Verwendung dieser Einstellungen bietet eine optimale Benutzererfahrung bei gleichzeitig grundlegendem Sicherheitsniveau, das für die meisten Organisationen akzeptabel ist.
Höher: Diese Einstellungen schaffen ein stärkeres Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit.
Höchst: Die Befolgung dieser Empfehlungen bietet ein hohes Maß an Sicherheit auf Kosten der Benutzerfreundlichkeit und Benutzerakzeptanz.

Sicherheitsaspekte des Verwaltungsmodus

Die folgende Tabelle gibt die Verwaltungsmodi für jede Sicherheitsstufe an.
Hohe Sicherheit Höhere Sicherheit Höchste Sicherheit
MAM, MDM+MAM MDM+MAM MDM+MAM
Hinweise:
  • Je nach Anwendungsfall kann eine reine MAM-Bereitstellung die Sicherheitsanforderungen erfüllen und eine gute Benutzererfahrung bieten.
  • Für Anwendungsfälle wie BYOD, bei denen alle Geschäfts- und Sicherheitsanforderungen nur durch App-Containerisierung erfüllt werden können, empfiehlt Citrix den MAM-only-Modus.
  • Für Umgebungen mit hoher Sicherheit (und von Unternehmen ausgegebene Geräte) empfiehlt Citrix MDM+MAM, um alle verfügbaren Sicherheitsfunktionen zu nutzen.

Sicherheitsüberlegungen für Citrix ADC und NetScaler Gateway

Die folgende Tabelle enthält die Empfehlungen für Citrix ADC und NetScaler Gateway für jede Sicherheitsstufe.
Hohe Sicherheit Höhere Sicherheit Höchste Sicherheit
Citrix ADC wird empfohlen. NetScaler Gateway ist für MAM und MDM+MAM erforderlich. Standard-NetScaler für die XenMobile-Assistentenkonfiguration mit SSL-Bridge, wenn Citrix Endpoint Management in der DMZ ist. SSL Offload mit End-to-End-Verschlüsselung
Hinweise:
  • Das Verfügbarmachen des Citrix Endpoint Management-Servers im Internet über NAT oder bestehende Drittanbieter-Proxys/Load-Balancer könnte eine Option für MDM sein. In diesem Fall endet der SSL-Verkehr jedoch auf einem Citrix Endpoint Management-Server, was ein potenzielles Sicherheitsrisiko darstellt.
  • Für Umgebungen mit hoher Sicherheit erfüllt oder übertrifft NetScaler Gateway mit der Standardkonfiguration von Citrix Endpoint Management in der Regel die Sicherheitsanforderungen.
  • Für MDM-Registrierungen mit höchsten Sicherheitsanforderungen ermöglicht die SSL-Terminierung am NetScaler Gateway die Überprüfung des Datenverkehrs am Perimeter, während die End-to-End-SSL-Verschlüsselung aufrechterhalten wird.
  • Optionen zur Definition von SSL/TLS-Chiffren.
  • Weitere Informationen finden Sie unter Integrieren mit NetScaler Gateway und Citrix ADC.

Sicherheitsüberlegungen zur Registrierung

Die folgende Tabelle enthält die Empfehlungen für Citrix ADC und NetScaler Gateway für jede Sicherheitsstufe.
Hohe Sicherheit Höhere Sicherheit Höchste Sicherheit
Nur Active Directory-Gruppenmitgliedschaft. Bereitstellungsgruppe „Alle Benutzer“ deaktiviert. Registrierungssicherheitsmodus nur per Einladung. Nur Active Directory-Gruppenmitgliedschaft. Bereitstellungsgruppe „Alle Benutzer“ deaktiviert. Registrierungssicherheitsmodus an Geräte-ID gebunden. Nur Active Directory-Gruppenmitgliedschaft. Bereitstellungsgruppe „Alle Benutzer“ deaktiviert.
Hinweise:
  • Citrix empfiehlt generell, die Registrierung auf Benutzer in vordefinierten Active Directory-Gruppen zu beschränken. Diese Einschränkung erfordert die Deaktivierung der integrierten Bereitstellungsgruppe „Alle Benutzer“.
  • Sie können Registrierungseinladungen verwenden, um die Registrierung auf Benutzer mit einer Einladung zu beschränken. Registrierungseinladungen sind für Windows-Geräte nicht verfügbar.
  • Sie können Einladungen zur Registrierung mit einer Einmal-PIN (OTP) als Zwei-Faktor-Authentifizierungslösung verwenden und die Anzahl der Geräte steuern, die ein Benutzer registrieren kann. (OTP-Einladungen sind für Windows-Geräte nicht verfügbar.)

Sicherheitsüberlegungen zum Gerätepasscode

Die folgende Tabelle enthält die Empfehlungen für den Gerätepasscode für jede Sicherheitsstufe.
Hohe Sicherheit Höhere Sicherheit Höchste Sicherheit
Empfohlen. Hohe Sicherheit ist für die gerätebasierte Verschlüsselung erforderlich. Kann mit MDM erzwungen werden. Kann für reine MAM-Umgebungen als erforderlich festgelegt werden, indem die MDX-Richtlinie „Nicht konformes Geräteverhalten“ verwendet wird. Wird durch eine MDM-, MAM- oder MDM+MAM-Richtlinie erzwungen. Wird durch eine MDM- und MDX-Richtlinie erzwungen. MDM-Richtlinie für komplexe Passcodes.
Hinweise:
  • Citrix empfiehlt die Verwendung eines Gerätepasscodes.
  • Sie können einen Gerätepasscode über eine MDM-Richtlinie erzwingen.
  • Sie können eine MDX-Richtlinie verwenden, um einen Gerätepasscode zur Voraussetzung für die Nutzung verwalteter Apps zu machen; zum Beispiel für BYOD-Anwendungsfälle.
  • Citrix empfiehlt, die MDM- und MDX-Richtlinienoptionen für eine erhöhte Sicherheit bei MDM+MAM-Registrierungen zu kombinieren.
  • Für Umgebungen mit den höchsten Sicherheitsanforderungen können Sie komplexe Passcode-Richtlinien konfigurieren und diese mit MDM erzwingen. Sie können automatische Aktionen konfigurieren, um Administratoren zu benachrichtigen oder selektive/vollständige Gerätedatenlöschungen auszulösen, wenn ein Gerät einer Passcode-Richtlinie nicht folgt.