Mac FileVault mit Intune aktivieren

Die Verschlüsselung der Festplatte eines Arbeitsgeräts gehört zu den grundlegenden Einstellungen, die jedes verwaltete Gerät haben sollte. Jeder, der Windows-PCs verwaltet, kennt BitLocker. Die in macOS integrierte Lösung zur Verschlüsselung von Festplatten heißt FileVault. In diesem Blog möchte ich dir erklären, wie du das für macOS-Geräte konfigurierst.

Warum FileVault mit Intune aktivieren

Bevor wir etwas konfigurieren, lohnt es sich kurz zu verstehen, warum du FileVault zentral über Intune ausrollen solltest, statt dich darauf zu verlassen, dass jeder Benutzer die Verschlüsselung selbst aktiviert. FileVault nutzt XTS-AES-128, um die Daten auf der Festplatte im Ruhezustand zu schützen. Der entscheidende Vorteil der zentralen Verwaltung ist, dass der persönliche Wiederherstellungsschlüssel automatisch in Intune hinterlegt (escrowed) wird.

Geht ein Mac verloren oder wird er gestohlen, bleiben die Daten dadurch unbrauchbar für Dritte, und dein Support-Team kann trotzdem jederzeit wieder Zugriff herstellen. Wer bereits BitLocker auf Windows verwaltet, wird sich beim Ausrollen von FileVault sofort zurechtfinden, denn das Vorgehen ist nahezu identisch. Weitere Details zu den offiziellen Einstellungen findest du in der Microsoft-Learn-Dokumentation.

Konfigurationsprofil erstellen

• Öffne das Intune Admin Center
• Navigiere zu Devices -> Configuration profiles
• Klicke auf + Create profile

• Wähle macOS als Platform und Templates als Profile type
• Wähle Endpoint protection
• Klicke auf Create

• Gib einen Name ein und klicke auf Next

• Wähle FileVault und konfiguriere es so, wie du es möchtest oder wie es die Sicherheitsabteilung vorgibt
• Meine Konfigurationen:
  • Enable FileVault: Yes
  • Escrow location description of personal recovery key: You can retrieve the personal recovery key for your macOS device from the Microsoft Intune app, Company Portal website, or Company Portal apps for Android and iOS/iPadOS. The Support cannot access recovery keys that belong to personal devices
  • Personal recovery key rotation: 6 months
  • Hide recovery key: Yes
  • Disable prompt at sign out: Yes
  • Number of times allowed to bypass: 2
• Klicke auf Next

Wenn Disable prompt at sign out auf Enable gesetzt ist, muss Number of times allowed to bypass auf einen anderen Wert als Not configured gesetzt werden (Post)

• Weise das Konfigurationsprofil einer Gruppe zu, in der sich deine macOS-Geräte befinden.
• Klicke auf Next > Create

FileVault aktivieren

Sobald das Konfigurationsprofil auf das Gerät angewendet wurde und sich der Benutzer erneut anmeldet, erhält er das folgende Popup mit der Information, dass FileVault aktiviert werden soll. Je nachdem, welchen Wert du für die Einstellung “Number of times allowed to bypass” gewählt hast, wird die Verschlüsselung anschließend erzwungen:

Die Verschlüsselung der Festplatte dauert je nach Größe einige Minuten/Stunden. Der Benutzer kann währenddessen ganz normal weiterarbeiten, da FileVault im Hintergrund verschlüsselt. Über Terminal lässt sich der Fortschritt jederzeit mit dem Befehl sudo fdesetup status prüfen, falls du sehen möchtest, wie weit der Vorgang ist.

Wenn dies abgeschlossen ist, ist die Festplatte nun verschlüsselt. Über das Company Portal (z. B. das Web Company Portal oder auf deinem Smartphone) kannst du außerdem den Wiederherstellungsschlüssel auslesen, falls du ihn benötigst. Du kannst diesen auch über Intune auslesen.

Fazit

In diesem Blog ging es um ein grundlegendes, aber sehr wichtiges Thema. Meine Empfehlung ist, die Festplattenverschlüsselung auf allen im Einsatz befindlichen Geräten zu aktivieren und zu erzwingen. Ein häufiger Fehler in der Praxis ist es, die Verschlüsselung zwar zu aktivieren, den Wiederherstellungsschlüssel aber nicht regelmäßig zu rotieren oder seine Hinterlegung im Company Portal nie zu testen.

Prüfe deshalb nach dem Rollout an einem Testgerät unbedingt, ob du den Schlüssel über das Company Portal tatsächlich auslesen kannst, bevor du dich im Ernstfall darauf verlässt. So stellst du sicher, dass der Escrow-Mechanismus wirklich funktioniert. Ich hoffe, ich konnte dir helfen und erklären, was du konfigurieren musst, um FileVault zu aktivieren.

Bleib gesund, Cheers
Jannik