> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Gerätevertrauen

> Verlangen Sie die Anmeldung von bekannten, intakten, verwalteten Mac-Computern, iPhone-Geräten, iPad-Geräten und Windows-Computern mithilfe von Signalen des Iru Access-Agents.

Mit **Gerätevertrauen** kann eine Authentifizierungsrichtlinie das Gerät berücksichtigen,
bevor Zugriff gewährt wird. Statt nur zu fragen, *wer* sich anmeldet, kann eine Richtlinie
auch fragen, *wovon* sich die Person anmeldet, und verlangen, dass das Gerät bekannt,
intakt und verwaltet ist.

<Info>
  Gerätevertrauen ist eine der Bedingungen, die eine
  [Authentifizierungsrichtlinie](/de/identity/authentication/authentication-policies)
  durchsetzen kann. Nachfolgend erfahren Sie, woher Geräteinformationen stammen und welche
  Signale eine Richtlinie verlangen kann.
</Info>

## Woher Geräteinformationen stammen

Der Gerätezustand stammt von der **Iru Access**-App (derselben App, mit der sich Benutzer
anmelden), die auf dem Gerät ausgeführt wird. Wenn ein Gerät zum ersten Mal eingerichtet wird, bestätigt Iru, dass es sich um
ein echtes, registriertes Gerät handelt; von da an meldet Iru Access die Zustandssignale
des Geräts an Iru, wo Ihre Authentifizierungsrichtlinien sie verwenden können.

Iru Access meldet diese Signale bei der Registrierung eines Geräts, bei jeder Anmeldung des Benutzers
und (auf Computern) bei einem regelmäßigen Check-in im Hintergrund.

```mermaid theme={null}
flowchart LR
  agent["Iru Access<br/>auf dem Gerät"] -->|"Geräte- und Zustandssignale"| iru["Iru Identity"]
  iru -->|"verfügbar für"| policy["Authentifizierungsrichtlinien"]
```

Richtlinien, die einen bestimmten Gerätezustand verlangen, behandeln diese Momentaufnahmen als zeitkritisch. Wenn die
Zustands- oder Play Integrity-Momentaufnahme eines Geräts **fehlt** oder **älter als 24
Stunden** ist, **verweigert** die Richtlinie die Anmeldung. Lassen Sie Iru Access installiert und
check-in-fähig, damit die Signale für die Durchsetzung aktuell genug bleiben.

<Note>
  Gerätesignale sind nur für Geräte verfügbar, auf denen **Iru Access**
  registriert ist. Führen Sie die App daher ein, bevor Sie Gerätevertrauen verlangen. Wie Benutzer
  Iru Access einrichten, erfahren Sie unter [Authentifikatoren](/de/identity/authentication/authenticators).
</Note>

Iru erkennt Laptops, Desktops, Telefone und Tablets unter macOS, Windows und
iOS.

## Was „vertrauenswürdig“ bedeuten kann

Eine Anforderung an das Gerätevertrauen ist eine Kombination von Signalen, die Sie auswählen. Einfach
ausgedrückt kann eine Richtlinie verlangen, dass ein Gerät:

<CardGroup cols={2}>
  <Card title="Bekannt und verifiziert" icon="circle-check">
    Das Gerät ist ein echtes, erkanntes Gerät und kein unbekanntes oder gefälschtes.
    Iru kann bestätigen, dass ein Gerät **attestiert** ist, bevor es seinen Signalen vertraut.
  </Card>

  <Card title="Verwaltet" icon="building-shield">
    Das Gerät ist in der Geräteverwaltung Ihrer Organisation registriert. Iru
    ermittelt dies anhand der von Iru Access gemeldeten Verwaltungsnachweise, etwa eines
    Registrierungsprofils auf einem Mac, einer MDM-Registrierung auf einem Windows-Computer oder einer Konfiguration als verwaltete App
    auf einem Mobilgerät.
  </Card>

  <Card title="Verschlüsselt" icon="lock">
    Die Festplattenverschlüsselung des Geräts ist aktiviert, sodass ruhende Daten geschützt sind, wenn
    das Gerät verloren geht oder gestohlen wird.
  </Card>

  <Card title="Intakt" icon="heart-pulse">
    Das Gerät erfüllt den von Ihnen verlangten Zustand; zum Beispiel sind seine Schutz-
    funktionen aktiviert und es läuft eine akzeptable Betriebssystemversion.
  </Card>
</CardGroup>

<Warning>
  Signale zum Gerätevertrauen sind nur für Geräte verfügbar, auf denen der Iru Access-
  Agent registriert ist. Eine Richtlinie, die ein intaktes Gerät verlangt, verweigert die Anmeldung von
  Geräten, für die Iru keine vertrauenswürdigen Signale hat. Führen Sie Iru Access daher in Ihrer gesamten Flotte ein,
  bevor Sie eine solche Richtlinie breit anwenden.
</Warning>

## Wie eine Richtlinie Gerätevertrauen nutzt

Eine Richtlinie berücksichtigt zunächst, auf welcher **Plattform** sich ein Gerät befindet, und wendet dann die
Anforderungen an, die Sie für diese Plattform festgelegt haben. Die verfügbaren Signale unterscheiden sich je nach Plattform,
da jedes Betriebssystem unterschiedliche Schutzmechanismen bereitstellt.

<AccordionGroup>
  <Accordion title="macOS" icon="apple">
    Auf einem Mac meldet Iru Access eine umfangreiche Reihe von Signalen: aktivierte Festplattenverschlüsselung
    (FileVault), aktivierte Firewall, aktivierter System Integrity Protection, ein versiegeltes
    (verifiziertes) Systemvolume und die Betriebssystemversion. Verlangen Sie die
    Kombination, die Ihre Richtlinie benötigt.
  </Accordion>

  <Accordion title="Windows" icon="windows">
    Unter Windows meldet Iru Access ebenfalls eine umfangreiche Reihe: aktivierte Festplattenverschlüsselung (BitLocker),
    aktivierte Firewall, aktivierter Schutz durch Microsoft Defender Antivirus, aktiviertes Secure Boot,
    aktivierte Speicherintegrität, ein vorhandener Hardware-Sicherheitschip (TPM) und der
    Betriebssystem-Build. Wenn Ihre Organisation statt Microsoft Defender ein Antivirenprogramm eines Drittanbieters verwendet,
    testen Sie dieses Signal, bevor Sie es durchsetzen.
  </Accordion>

  <Accordion title="iOS" icon="mobile-screen">
    Auf einem Mobilgerät meldet Iru Access eine kleinere Auswahl: ob ein Code
    (Bildschirmsperre) festgelegt ist, und die Betriebssystemversion.
  </Accordion>
</AccordionGroup>

<Note>
  **Was einige macOS-Signale bedeuten:** *System Integrity Protection (SIP)* verhindert, dass selbst
  ein Administrator geschützte Systemdateien ändert; ein *Signed System Volume
  (SSV)* ist ein kryptografisch versiegeltes, manipulationssicheres Systemvolume; und die
  *Single-Sign-On-(SSO-)Erweiterung* ist die macOS-Komponente, mit der Iru App-
  Anmeldungen auf dem Gerät vermitteln kann. Wenn Sie diese verlangen, bestätigen Sie, dass die grundlegenden Schutzmechanismen des Geräts
  intakt sind.
</Note>

Für jedes Signal legen Sie fest, ob es **aktiviert** sein muss, **deaktiviert** sein muss oder
**ignoriert** werden soll; bei Versionen wählen Sie den Vergleich und das Ziel. Wenn ein
Gerät ein erforderliches Signal nicht erfüllt, schlägt die Anmeldung fehl und die nicht erfüllte
Anforderung wird als Verstoß erfasst. Wie Entscheidungen und Verstöße funktionieren, erfahren Sie unter
[Authentifizierungsrichtlinien](/de/identity/authentication/authentication-policies).

<Note>
  Nur die Plattformen, die Sie in einer Richtlinie aktivieren, dürfen sich bei den
  von ihr geregelten Anwendungen anmelden. Wenn eine Plattform deaktiviert bleibt, wird Geräten auf dieser
  Plattform der Zugriff verweigert.
</Note>

## Eine Anforderung an das Gerätevertrauen erstellen

<Steps>
  <Step title="Iru Access einführen">
    Stellen Sie sicher, dass auf den Geräten, denen Sie vertrauen möchten, **Iru Access** installiert und
    registriert ist. Sie können die App über Ihr MDM bereitstellen, und Benutzer schließen die Einrichtung über
    eine Einladung ab. Ohne die App hat Iru keine Signale für das Gerät. Plattformspezifische
    Einführungsschritte, einschließlich Skripten zur verwalteten Registrierung, finden Sie unter
    [Authentifikatoren](/de/identity/authentication/authenticators) und
    [Iru Access bereitstellen](/de/identity/authentication/deploy-iru-access).
  </Step>

  <Step title="Richtlinie öffnen oder erstellen">
    Bearbeiten Sie unter **Policies → Authentication policies** die Richtlinie, die
    Gerätevertrauen durchsetzen soll.
  </Step>

  <Step title="Zulässige Plattformen aktivieren">
    Aktivieren Sie jede Geräteplattform, die zugelassen werden soll, und lassen Sie die übrigen deaktiviert,
    um sie zu verweigern.
  </Step>

  <Step title="Erforderliche Signale festlegen">
    Verlangen Sie für jede Plattform die benötigten Signale zum Gerätezustand, etwa
    aktivierte Verschlüsselung, Verwaltung und eine Mindestversion des Betriebssystems.
  </Step>

  <Step title="Zuweisen und überprüfen">
    Weisen Sie die Richtlinie den relevanten Anwendungen zu und testen Sie die Anmeldung von einem verwalteten
    Gerät, um das Ergebnis zu bestätigen.
  </Step>
</Steps>

## Nächste Schritte

<CardGroup cols={2}>
  <Card title="Authentifizierungsrichtlinien" icon="shield-halved" href="/de/identity/authentication/authentication-policies">
    Gerätevertrauen mit Anforderungen an Authentifikatoren und Risiko kombinieren.
  </Card>

  <Card title="Authentifikatoren" icon="key" href="/de/identity/authentication/authenticators">
    Iru Access ist sowohl das Anmeldemittel der Benutzer als auch die Quelle der Gerätesignale.
  </Card>

  <Card title="Risiko und adaptiver Zugriff" icon="gauge-high" href="/de/identity/authentication/risk-based-access">
    Kontextbezogenes Risiko zusätzlich zum Gerätevertrauen berücksichtigen.
  </Card>

  <Card title="Systemarchitektur" icon="sitemap" href="/de/identity/getting-started/system-architecture">
    Sehen, wie Gerätesignale durch Iru fließen.
  </Card>
</CardGroup>