Android-Geräteverwaltung heißt: Smartphones und Tablets aus der Ferne konfigurieren, absichern und mit Apps versorgen, über eine MDM-Lösung, die an Android Enterprise angebunden ist. Die schwierige Entscheidung ist dabei nicht die Auswahl des Werkzeugs. Es ist die Wahl des Registrierungsmodus, denn sie legt fest, was Sie später dürfen und was nicht.
Rund 72 Prozent der weltweit genutzten Smartphones laufen unter Android (StatCounter, Q1 2026). In deutschen Unternehmen bedeutet das in der Regel Samsung Galaxy im Außendienst, Pixel-Geräte in der IT und robuste Zebra-Hardware in Lager und Logistik. Vier Modelle, drei Nutzungsformen, eine Richtlinienlogik.
Wie Android Enterprise technisch funktioniert
Google hat Android Enterprise als offizielles Framework für die Verwaltung von Android-Geräten im Unternehmen etabliert. Es hat die alte Device-Admin-API abgelöst, die seit Android 10 als veraltet gilt und in neuen Projekten nichts mehr zu suchen hat.
Der Aufbau ist unspektakulär, und das ist gut so. Ihr MDM-Server spricht mit den EMM-Schnittstellen von Google. Setzt ein Administrator eine Richtlinie oder weist eine App zu, erreicht der Befehl das Gerät über die Google-Play-Dienste. Es läuft kein zusätzlicher Agent dauerhaft im Hintergrund, der Akku und Speicher kostet.
Voraussetzung ist Android 6.0 oder neuer mit Google-Play-Diensten. Bei Samsung-Geräten kommt über Samsung Knox eine zweite Ebene hinzu, mit hardwaregestützten Funktionen und einem breiteren Satz an Verwaltungsschnittstellen.
Die vier Registrierungsmodi
Wem gehört das Gerät, und wie viel Kontrolle brauchen Sie darauf? Aus diesen zwei Fragen ergibt sich der Modus.
Vollständig verwaltetes Gerät
Das Unternehmen besitzt das Gerät und verwaltet es komplett. Es gibt keinen privaten Bereich. Sie erzwingen jede Einschränkung, installieren und entfernen jede App und können das Gerät jederzeit auf Werkseinstellungen zurücksetzen.
Der Modus passt zu Geräten, die keiner Person fest zugeordnet sind: Handscanner im Lager, Tablets in der Auslieferung, Terminals im Filialbetrieb. Die Registrierung läuft bei der Ersteinrichtung, klassisch über sechsmaliges Tippen auf den Willkommensbildschirm und einen QR-Code.
Arbeitsprofil auf unternehmenseigenem Gerät (COPE)
Seit Android 11 der interessanteste Kompromiss. Das Gerät gehört dem Unternehmen, Sie behalten die volle Kontrolle darüber, aber die beruflichen Apps und Daten liegen in einem eigenen Arbeitsprofil. Die Beschäftigten dürfen das Gerät privat nutzen. Sie können das Arbeitsprofil entfernen, ohne die private Seite anzutasten, oder das ganze Gerät zurücksetzen.
Wichtig für die Betriebsvereinbarung: In diesem Modus gelten Ihre Richtlinien für das gesamte Gerät, nicht nur für das Arbeitsprofil. Das ist der Unterschied zu BYOD, und er ist erheblich.
Arbeitsprofil auf privatem Gerät (BYOD)
Hier gehört das Gerät der Person, die es benutzt. Android richtet ein Arbeitsprofil ein, einen vom Betriebssystem selbst durchgesetzten getrennten Bereich. Ihre Verwaltung endet an dessen Grenze: Richtlinien für privat genutzte Geräte mit Arbeitsprofil werden ausschließlich auf das Arbeitsprofil angewendet.
Praktisch heißt das, dass die Admin-Konsole nur die im Arbeitsprofil installierten Anwendungen auflistet. Apps, die auf der privaten Seite installiert sind, erscheinen dort nicht. Beruflich genutzte Apps tragen im App-Drawer ein Aktenkoffer-Symbol, und die Beschäftigten können das Arbeitsprofil nach Feierabend pausieren. Dann ruhen Benachrichtigungen und Datenabgleich.
Ein Hinweis zur Wortwahl, der in Ausschreibungen zählt: Das Arbeitsprofil ist ein isolierter Bereich. Es ist kein Container mit eigener Verschlüsselung. Android verschlüsselt den gesamten Gerätespeicher, ein eigener Schlüssel für das Arbeitsprofil entsteht erst, wenn ein separater Arbeitsprofil-Code gesetzt ist.
Dediziertes Gerät (Kiosk-Modus)
Für Geräte mit genau einem Zweck: Digital Signage, Kassenterminals, Handscanner, Prüfgeräte im Feld. Das Gerät wird vollständig verwaltet registriert und anschließend auf eine oder wenige Apps festgenagelt. Kein Zugriff auf die Einstellungen, keine Installation, kein Verlassen der Anwendung.
| Modus | Eigentümer | Reichweite der Verwaltung | Private Nutzung | Typischer Einsatz |
|---|---|---|---|---|
| Vollständig verwaltet | Unternehmen | Gesamtes Gerät | Keine | Lager, Logistik, gemeinsam genutzte Geräte |
| Arbeitsprofil, COPE | Unternehmen | Gesamtes Gerät, plus Arbeitsprofil | Erlaubt | Diensthandy mit privater Nutzung |
| Arbeitsprofil, BYOD | Beschäftigte | Nur das Arbeitsprofil | Unberührt | Privates Gerät mit Zugang zu Firmendaten |
| Dediziertes Gerät | Unternehmen | Gesamtes Gerät, gesperrt | Keine | Kiosk, Kasse, Digital Signage |
Was auf einem privaten Gerät nicht geht
Diesen Abschnitt brauchen Sie für den Betriebsrat, und zwar vor dem Rollout. Das § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat eine erzwingbare Mitbestimmung bei jedem System, das objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Ein MDM ist das per Definition. Ohne Betriebsvereinbarung kein Rollout.
Zwei Punkte entscheiden dabei die Diskussion:
- Standortermittlung. Sie ist ausschließlich auf unternehmenseigenen, verwalteten Android-Geräten verfügbar. Im BYOD-Modus gibt es in der Konsole keinerlei Standortfunktion: keinen Ortungsbefehl, keinen Standortverlauf, keine Standorteinstellung in der Konfiguration. Das ist keine deaktivierte Option, das ist eine im Modus nicht vorhandene Funktion. Auf unternehmenseigenen verwalteten Geräten dagegen existieren periodische Ortung und Geofencing mit E-Mail-Benachrichtigung, und beides ist vom Administrator aktivierbar. Sagen Sie das offen, statt es überraschen zu lassen.
- Löschen. Auf einem privaten Android-Gerät begrenzt Android den Löschbefehl selbst auf das Entfernen des Arbeitsprofils. Ein Zurücksetzen auf Werkseinstellungen ist über die Konsole nicht möglich. Auf unternehmenseigenen Geräten ist derselbe Befehl ein vollständiges Zurücksetzen.
Zur Ehrlichkeit gehört die Gegenrichtung. Sie sehen die private Seite nicht, aber Sie können sie über Richtlinien einschränken, etwa bei Installationen aus unbekannten Quellen oder bei Bildschirmfotos. Nicht einsehen und nicht beeinflussen sind zwei verschiedene Dinge, und eine saubere Betriebsvereinbarung trennt sie.
BYOD gilt übrigens nur für iOS und Android. Windows-PCs und Macs verwalten Sie als unternehmenseigene Geräte.
Die Richtlinien, die tatsächlich etwas bewirken
Eine Basisrichtlinie mit vier Bausteinen deckt den größten Teil des Risikos ab.
Gerätecode und Sperre. Mindestkomplexität, automatische Sperre, maximale Zahl von Fehlversuchen. Bei Arbeitsprofilen können Sie einen separaten Code für den beruflichen Bereich verlangen. Das ist die Bedingung für einen eigenen Schlüssel, siehe oben.
Compliance. Definieren Sie, was ein konformes Gerät ausmacht: Mindestversion des Betriebssystems, aktueller Sicherheitspatch-Stand, kein Root-Zugriff, freigegebenes Modell. Nicht konforme Geräte verlieren automatisch den Zugriff auf E-Mail, VPN und Unternehmens-Apps, bis das Problem behoben ist. Diese Automatik ersetzt die Prüfliste, die ohnehin niemand pflegt.
Netzwerk. WLAN-Profile mit Unternehmenszertifikaten verteilen, statt Passwörter im Onboarding-Dokument zu dokumentieren. Always-on-VPN erzwingen, wenn beruflicher Verkehr durch Ihr Netz laufen soll. USB-Debugging und Dateiübertragung sperren.
Verlust und Diebstahl. Fernsperre mit Kontakttext auf dem Sperrbildschirm, Löschen im vom Modus vorgesehenen Umfang. Bei Samsung-Geräten lässt sich zusätzlich ein Klingeln mit voller Lautstärke auslösen, was in einer Lagerhalle mehr bringt, als es klingt.
App-Verteilung über Managed Google Play
Managed Google Play ist der offizielle Weg, Apps auf verwaltete Android-Geräte zu bringen. Es ersetzt das Seitwärtsinstallieren von APKs und eigene Verteilungsserver.
Öffentliche Apps wählen Sie im Play Store aus und geben sie für Ihre Organisation frei. Eigene interne Apps laden Sie als private Apps hoch, sichtbar nur für Ihr Unternehmen. Auf vollständig verwalteten und unternehmenseigenen Geräten installieren beide Varianten stillschweigend, ohne Zutun der Nutzer.
Unterschätzt wird der dritte Punkt: Managed Configurations. Viele Unternehmens-Apps lassen sich vorkonfigurieren, bevor sie den Nutzer erreichen, mit Server-URL, Mandanten-ID oder regionalem API-Endpunkt. Das spart pro Gerät keine Minuten, sondern die Hälfte der Erstkontakt-Tickets.
Wenn Sie Android und iOS aus einer Oberfläche heraus versorgen wollen, liegt genau dort die Arbeit: Managed Google Play und Apple-Volumenlizenzen in einem Katalog zusammenzuführen, statt zwei parallele Prozesse zu pflegen.
Zero-Touch-Registrierung
Die Zero-Touch-Registrierung ist das Android-Gegenstück zur automatisierten Geräteregistrierung von Apple. Geräte, die Sie bei einem Zero-Touch-Partner kaufen, sind im Portal Ihrem MDM-Server zugeordnet. Beim ersten Einschalten registriert sich das Gerät selbst, holt Richtlinien und Apps und ist einsatzbereit.
Der Punkt, der in Ausschreibungen selten steht und im Betrieb den Unterschied macht: Die Zuordnung überlebt ein Zurücksetzen auf Werkseinstellungen. Wer die Verwaltung loswerden will, bekommt sie beim nächsten Setup zurück. Für gestohlene Geräte gilt dasselbe.
Ab etwa einem Dutzend Geräten pro Jahr lohnt sich der Einrichtungsaufwand. Darunter reicht QR-Code-Registrierung.
Samsung Knox als zweite Ebene
Samsung stellt in deutschen Geräteflotten oft die Mehrheit. Knox ergänzt Android Enterprise um drei Dinge, die konkret nützen: hardwaregestützte Schlüsselverwaltung und Zertifikatsablage über Knox Platform for Enterprise, eine eigene automatische Registrierung über Knox Mobile Enrollment, und Knox E-FOTA für die Kontrolle über Firmware-Versionen.
E-FOTA ist der unterschätzte Teil. Sie testen eine neue Android-Version auf einer Pilotgruppe, bevor sie auf die gesamte Geräteflotte darf. Wer schon einmal erlebt hat, wie ein Betriebssystem-Update über Nacht eine Lager-App unbrauchbar macht, kennt den Wert dieser Bremse.
Was Android 15 und 16 gebracht haben
Android 15 hat die Trennung zwischen den Profilen präziser gemacht. Sie legen jetzt genauer fest, welche Apps Daten zwischen privater und beruflicher Seite austauschen dürfen, bis hinunter auf den Inhaltstyp. Für dedizierte Geräte kamen Richtlinien für Helligkeit, Lautstärke und Bildschirm-Timeout hinzu.
Android 16 ist das größere Update. Advanced Protection bündelt die stärksten Google-Schutzfunktionen in einem einzigen Richtlinienschalter. Identity Check verlangt biometrische Bestätigung für heikle Aktionen wie das Ändern der Geräte-PIN oder den Zugriff auf Kontoeinstellungen, was Diebstahl mit bekanntem Code entwertet. Dazu kommt eSIM-Bereitstellung über die Android Management API, endlich ohne physischen Zugriff auf das Gerät.
Für Compliance-Teams relevant: Das Zero-Touch-Portal führt jetzt ein Prüfprotokoll, bis zu einem Jahr aufbewahrt und nach Datum, IMEI oder Seriennummer filterbar.
Ein Detail, das gern übersehen wird: Google hat die Play-System-Updates von den Systemupdate-Richtlinien entkoppelt. Diese Sicherheitsmodule kommen nach Googles Zeitplan, unabhängig von Ihren konfigurierten Verzögerungsfenstern.
Womit Sie anfangen
Binden Sie zuerst Ihre MDM-Lösung an ein Managed-Google-Play-Konto Ihrer Organisation. Das dauert zwei Minuten und schaltet alles Weitere frei.
Dann entscheiden Sie pro Anwendungsfall den Modus, nicht pro Person: vollständig verwaltet für Lager und Logistik, Arbeitsprofil für private Geräte, dediziert für Kiosk-Szenarien. Legen Sie je Modus eine eigene Richtlinie an, weil die unterstützten Einschränkungen sich unterscheiden.
Testen Sie danach mit fünf Geräten über zwei verschiedene Modelle, bevor Sie ausrollen. Fragmentierung ist das reale Android-Problem: nicht jedes Modell unterstützt jede Funktion, und die Patch-Politik hängt am Hersteller. Eine kurze Freigabeliste mit zwei bis drei Modellen pro Einsatzzweck erspart Ihnen die meisten Überraschungen.
Wenn Sie eine Lösung suchen, die den vollen Funktionsumfang von Android Enterprise abdeckt, von der Zero-Touch-Registrierung über den Kiosk-Modus bis zur Verteilung interner Apps, finden Sie die Details auf unserer Seite zur Android-Geräteverwaltung.