# Richtlinie für unzulässige ausgehende Verbindungen

Canonical: https://www.nsecsoft.com/de/docs/ping64-endpoint-management/uem/network/outbound-policy/

Language: de-DE

Updated: 2026-11-15T03:26:48.117852Z

**Network Access** zeigt Verbindungsentscheidungen aus **Network Access Control** und **Illegal Outbound** der Endpunktverwaltung. Beide Richtlinien werden getrennt konfiguriert: Die erste gleicht Verbindungen mit Regeln ab, die zweite bewertet ausgehende Verbindungen anhand erlaubter Adressen. Die Datensätze sind kein vollständiges Netzwerkverkehrsverzeichnis. Eine leere Liste beweist keine fehlenden Verbindungen; ein einzelner Erlaubniseintrag beweist keinen letztlich erfolgreichen Geschäftszugriff.

Netzwerkrichtlinien können Geschäftszugriff, Fernwartung und die Kommunikation zwischen Endpunkt und Verwaltungsplattform beeinflussen. Prüfen Sie genehmigte Testadressen zuerst auf einem vor Ort wartbaren Windows-Pilotendpunkt und halten Sie eine Wiederherstellungsmöglichkeit bereit. Verteilen Sie Blockierregeln nicht direkt an alle Endpunkte. Die Beschreibung der Datensätze verwendet TCP-Verbindungen auf Windows-Endpunkten als Beispiel; andere Protokolle und Plattformen sind getrennt zu prüfen.

## Pilot vorbereiten

1.  Prüfen Sie die erforderliche Lizenz der Organisation; Änderungen an Endpunktverwaltungsrichtlinien, das Anzeigen und das Exportieren von Datensätzen erfordern jeweils die entsprechenden Rechte. Testendpunkte müssen registriert sein und Richtlinien empfangen können. Prüfen Sie bei der Datensatzverifikation zusätzlich die Meldefähigkeit und den Sichtbereich des lesenden Kontos.
2.  Stimmen Sie Testprogramm, Zieladresse, Port, Verbindungsrichtung und Wartungsfenster mit Netzwerk- und Geschäftsverantwortlichen ab. Halten Sie Vor-Ort-Zugriff und Rückfallmöglichkeit bereit; blockieren Sie insbesondere nicht Verwaltungsplattform, erforderliche Basisdienste oder die aktuell genutzte Fernwartungsverbindung.
3.  Prüfen Sie unter **UEM > Policy** zunächst die für Testendpunkte geltende Richtlinie, Gültigkeit und Bereich; verwenden Sie sie bei Eignung weiter. Nur bei notwendiger Erstellung oder Änderung bewertet eine berechtigte Person die Auswirkungen und folgt dem genehmigten Plan.

## Illegal Outbound konfigurieren

Führen Sie die folgenden Einstellungen nur aus, wenn die vorhandene Konfiguration die genehmigten Testanforderungen nicht erfüllt; prüfen Sie zuvor Geschäftsauswirkungen, Bereich und Wiederherstellungsplan.

1.  Aktivieren Sie **Illegal Outbound** in der Pilotrichtlinie und öffnen Sie die Einstellungen. Die Regeln für erlaubte Adressen werden getrennt von Network Access Control verwaltet.
2.  Prüfen Sie vorhandene IPv4- und IPv6-Regeln für erlaubte Adressen. Ergänzen oder ändern Sie Adresslisten, Bereiche und Namen nach dem genehmigten Netzbereich. Notwendige Verwaltungs- und Geschäftsadressen des Piloten müssen dort enthalten sein, wo sie erlaubt sein sollen. Vorhandene Regeln nicht ungeprüft löschen.
3.  Prüfen Sie **Block Illegal Outbound**: Aus zeichnet passende unerlaubte Verbindungen auf, Ein blockiert sie. Deaktivieren Sie eine bestehende Blockierung nicht nur für Tests. Für eine nicht blockierende Prüfung verwenden Sie nach genehmigtem Plan einen geeignet isolierten Test und prüfen zuvor Geschäftsauswirkungen und Wiederherstellungszugang. Änderungen des Schalters unterliegen den Freigabe- und Änderungsverfahren der Organisation.
4.  Speichern Sie Einstellungen und gesamte Richtlinie und prüfen Sie Schalter, erlaubte Adressen und Zielendpunkte erneut. Testen Sie nach Empfang erlaubte und genehmigte Testadressen getrennt. Treffer hängen von Regeln, Verbindung und Endpunktbetrieb ab und sind kein vollständiges Audit sämtlicher Netzwerkaktivität.

**Risiko der Adressfamilien:** Bei manchen Windows-TCP-Verbindungen werden zulässige IPv4- und IPv6-Adressen getrennt abgeglichen. Eine reine IPv4-Konfiguration gibt IPv6 nicht automatisch frei und umgekehrt. Fehlt für eine Adressfamilie eine passende Regel, können ihre Verbindungen als unerlaubt erkannt und bei aktivierter Blockierung unterbrochen werden. Prüfen Sie die tatsächlich vom Pilotendpunkt verwendeten Adressfamilien, konfigurieren Sie die erforderlichen Verwaltungs- und Geschäftsadressen jeweils separat und testen Sie diese vor Aktivierung der Blockierung einzeln.

-   [Netzwerkzugriffsdatensätze](https://www.nsecsoft.com/de/docs/ping64-endpoint-management/uem/network/records/)
-   [Netzwerkzugriffskontrollrichtlinie](https://www.nsecsoft.com/de/docs/ping64-endpoint-management/uem/network/network-policy/)