Android Zero-Touch-Registrierung: Geräte ohne manuelle Einrichtung ausrollen

Die Zero-Touch-Registrierung ist Googles Verfahren, um unternehmenseigene Android-Geräte so vorzubereiten, dass sie sich beim ersten Einschalten selbst in Ihrer MDM-Lösung registrieren. Der Mitarbeiter packt das Gerät aus, wählt ein WLAN, und Richtlinien, Apps und Einschränkungen sind bereits da. Die IT fasst das Gerät kein einziges Mal an.

Google hat das Verfahren 2017 für Pixel-Geräte eingeführt und seit Android 9 auf praktisch die gesamte Android-Enterprise-Palette ausgeweitet. Wer heute 50 Endgeräte oder mehr im Jahr beschafft, hat kaum noch einen Grund, sie einzeln von Hand einzurichten. Interessant wird es bei den Details: bei der Wahl des Händlers, beim Verhalten nach einem Werksreset und bei der Frage, was der Betriebsrat dazu sagt.

Was beim ersten Einschalten tatsächlich passiert

Der entscheidende Vorgang läuft ab, bevor der Nutzer den Einrichtungsassistenten überhaupt zu sehen bekommt.

1. Ihr Händler hinterlegt IMEI oder Seriennummer der bestellten Geräte im Zero-Touch-Portal, unter Ihrer Kundennummer. Das geschieht vor dem Versand, oft noch im Lager.
2. Sie ordnen im Portal eine Konfiguration zu: welche MDM-Lösung zuständig ist, welcher Text dem Nutzer angezeigt wird, ob die Registrierung übersprungen werden darf.
3. Beim ersten Start fragt das Gerät bei Google an, ob für diese Seriennummer eine Zuordnung existiert. Nur dafür braucht es an dieser Stelle Netz.
4. Existiert eine Zuordnung, lädt das Gerät den passenden Verwaltungsagenten und übergibt an Ihre Android-Geräteverwaltung. Erst danach sieht der Nutzer den ersten Einrichtungsbildschirm.

Ein Punkt wird dabei regelmäßig unterschätzt: die Zuordnung überlebt einen Werksreset. Wer das Gerät zurücksetzt, landet nach dem Neustart wieder in derselben Registrierung. Das ist der eigentliche Unterschied zu einer QR-Code-Einrichtung, die ein Nutzer mit einem Reset einfach abstreifen kann.

Voraussetzungen, die wirklich zählen

• Kauf beim autorisierten Zero-Touch-Händler. Das ist die harte Grenze. Ein Gerät aus dem Elektronikmarkt oder von einem Marktplatz lässt sich nachträglich nicht in Ihr Zero-Touch-Konto einbuchen.
• Android 9 oder neuer. Ab dieser Version ist die Unterstützung verpflichtender Bestandteil von Android Enterprise. Bei Android 8.0 war sie optional und herstellerabhängig, was in Bestandsflotten mit Spezialhardware noch für Überraschungen sorgt.
• Ein Zero-Touch-Konto. Angelegt wird es von Ihrem Händler, verknüpft mit einem Google-Konto Ihres Unternehmens. Nutzen Sie eine Funktionsadresse, keinen persönlichen Zugang. Sonst hängt der gesamte Rollout am Arbeitsverhältnis einer einzelnen Person.
• Unternehmenseigene Geräte. Zero-Touch gilt für Geräte, die dem Unternehmen gehören, ob vollständig verwaltet oder mit Arbeitsprofil im COPE-Modus. Für private Geräte im BYOD-Modus gibt es das Verfahren nicht, dort registriert sich der Nutzer selbst.
• Erreichbare Google-Dienste im ersten Netz. Ein Gastnetz mit Captive Portal blockiert die Abfrage. In diesem Fall bricht der Vorgang stillschweigend ab und das Gerät läuft in die normale Ersteinrichtung.

Einrichtung in der Praxis

Der Aufwand liegt fast vollständig vor der ersten Bestellung. Danach ist es Routine.

1. Klären Sie mit Ihrem Händler, ob er im Zero-Touch-Programm gelistet ist. Nicht jeder ist es, und einige sind es nur für bestimmte Hersteller.
2. Lassen Sie das Zero-Touch-Konto anlegen und notieren Sie Ihre Kundennummer. Bei mehreren Lieferanten braucht jeder dieselbe Nummer, sonst landen Geräte in getrennten Beständen.
3. Verknüpfen Sie Ihre MDM-Lösung im Portal und legen Sie eine Konfiguration an.
4. Setzen Sie eine Konfiguration als Standard. Das ist der häufigste übersehene Schritt: ohne Standardkonfiguration bekommen neu gelieferte Geräte keine Zuordnung, obwohl sie im Portal sichtbar sind.
5. Testen Sie mit drei bis fünf Geräten aus der ersten Lieferung, inklusive Werksreset und zweitem Durchlauf.
6. Rollen Sie erst danach in die Fläche aus, gestaffelt nach Standort oder Abteilung.

Rechnen Sie für den Test eine Woche ein. Nicht wegen der Technik, sondern weil die Rückmeldung des Händlers zur Kundennummer erfahrungsgemäß am längsten dauert.

Zero-Touch, Knox Mobile Enrollment oder QR-Code

Drei Verfahren, die sich in gemischten Geräteflotten oft ergänzen statt auszuschließen.

Zero-Touch

Herstellerübergreifend, resetfest, aber an den Kaufkanal gebunden. Die richtige Wahl für alles, was Sie planbar und in Stückzahl beschaffen.

Samsung Knox Mobile Enrollment

Funktional vergleichbar, auf Samsung-Geräte beschränkt, dafür mit einem breiteren Kreis teilnehmender Händler. Wenn Ihre Geräteflotte ohnehin überwiegend aus Galaxy-Modellen besteht und Ihr bevorzugter Lieferant kein Zero-Touch-Partner ist, ist das der pragmatischere Weg. Beide Verfahren lassen sich parallel betreiben.

QR-Code

Funktioniert mit jedem Gerät, unabhängig vom Händler, und kostet nichts an Vorbereitung. Der Preis: jemand muss den Code scannen, und ein Werksreset macht die Registrierung rückgängig. Für Nachzügler, Ersatzgeräte und Bestandshardware ist das trotzdem der schnellste Weg. Für ein Lager voller Geräte, die an Frontline-Mitarbeiter im Schichtbetrieb gehen, taugt es nicht.

Woran Rollouts scheitern

Die Fehlerbilder wiederholen sich, und fast keines liegt an der Technik selbst.

• Gerät im Portal sichtbar, aber keine Registrierung. Meist fehlt die Zuweisung einer Konfiguration oder es wurde keine Standardkonfiguration gesetzt.
• Gerät gar nicht im Portal. Der Händler hat auf eine andere Kundennummer gebucht, oder die IMEI wurde falsch erfasst. Bei Dual-SIM-Geräten mit zwei IMEIs passiert das häufiger, als man erwartet.
• Registrierung startet nicht trotz korrekter Zuordnung. Prüfen Sie das Netz. Google Play-Dienste und die Endpunkte Ihres MDM-Anbieters müssen aus dem WLAN erreichbar sein, in dem das Gerät zum ersten Mal startet.
• Gerät wurde bereits eingerichtet. Ein neugieriger Lagerist, der das Paket öffnet und durchklickt, kostet Sie einen Werksreset. Ärgerlich, aber reparabel.
• Kein WLAN am Zielort. Bei Geräten für den Außendienst funktioniert die Registrierung auch über Mobilfunk, sofern die SIM vor dem ersten Start eingelegt ist. Bei eSIM-Modellen ohne vorkonfiguriertes Profil ist das nicht der Fall.

Was Betriebsrat und Datenschutz dazu sagen

Zero-Touch selbst ist datenschutzrechtlich unspektakulär: es geht um Seriennummern und eine Zuordnung, nicht um Personendaten. Mitbestimmungspflichtig ist nicht die Registrierung, sondern das, was danach auf dem Gerät landet.

Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht bei jeder technischen Einrichtung, die objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Auf die Absicht kommt es nicht an. Eine MDM-Richtlinie erfüllt dieses Kriterium regelmäßig. Ohne Betriebsvereinbarung kein Rollout, und diese Verhandlung dauert länger als jede technische Vorbereitung.

Konkret sollten Sie offenlegen, welche Funktionen die ausgerollte Richtlinie aktiviert. Auf unternehmenseigenen, verwalteten Android-Geräten sind regelmäßige Standortermittlung und Geofencing mit E-Mail-Benachrichtigung technisch möglich und vom Administrator aktivierbar. Auf privaten Geräten im BYOD-Modus existiert diese Funktion nicht: sie ist dort keine deaktivierte Option, sondern in der Konsole schlicht nicht vorhanden. Diese Unterscheidung sauber zu erklären, nimmt der Diskussion viel Schärfe.

Dazu kommen die üblichen Pflichten: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Ihrem MDM-Anbieter, dokumentierte technische und organisatorische Maßnahmen nach Art. 32 und eine Ergänzung des Verarbeitungsverzeichnisses. Wenn Ihr Unternehmen unter NIS2 fällt, zahlt eine automatisierte Registrierung auf mehrere Anforderungen aus Art. 21 ein, etwa auf Asset-Inventar und Patch-Stand. Sie deckt die Richtlinie aber nicht ab, und das sollten Sie intern auch so kommunizieren. Wir haben die Abgrenzung in einem eigenen Beitrag zu NIS2 und mobilen Endgeräten aufgeschlüsselt.

Was das im Alltag ändert

Die manuelle Ersteinrichtung eines Firmen-Smartphones dauert je nach Richtlinientiefe eine knappe halbe Stunde, plus Versand hin und zurück, wenn die IT vorkonfigurieren soll. Bei zweihundert Geräten im Jahr ist das eine Arbeitswoche, die niemand budgetiert hat, verteilt über zwölf Monate in Fünf-Minuten-Häppchen.

Der zweite Effekt ist der wichtigere: Konsistenz. Handkonfigurierte Geräte weichen voneinander ab, und die Abweichung fällt erst beim Sicherheitsaudit auf. Ein Gerät, das sich selbst registriert, holt sich die aktuelle Richtlinie, nicht die von vor acht Monaten.

Bleibt der Teil, den Zero-Touch nicht löst. Welche App auf welchem Gerät landet, wie sie aktualisiert wird und was beim Austritt eines Mitarbeiters passiert, entscheidet Ihre Zero-Touch-Registrierung zusammen mit der dahinterliegenden Verwaltung. Appaloosa registriert Android-Geräte über das Zero-Touch-Portal, verteilt interne Apps nach Gruppe oder Standort und nimmt beim Austritt die Unternehmensdaten wieder zurück.

Kurz gefasst

Klären Sie zuerst den Händler, dann die Kundennummer, dann die Standardkonfiguration. Testen Sie mit einer Handvoll Geräten inklusive Werksreset, bevor Sie die erste große Lieferung anfassen. Und beginnen Sie die Gespräche mit dem Betriebsrat früh: die Technik ist an einem Nachmittag eingerichtet, die Betriebsvereinbarung nicht. Wer wissen will, wie das Portal auf Google-Seite aussieht, findet die Händler- und Portaldokumentation bei Google.