App-Verwaltung auf dem iPhone: von den Einstellungen bis zur Geräteflotte

Apps auf dem iPhone verwalten Sie unter Einstellungen > Allgemein > iPhone-Speicher. Dort sehen Sie jede installierte App mit ihrem Speicherbedarf und können sie auslagern oder löschen. Für ein Gerät genügt das. Für zweihundert Geräte übernimmt eine zentrale App-Verwaltung die Installation, die Aktualisierung und das Entfernen von Apps aus einer Konsole heraus, ohne dass jemand ein iPhone in die Hand nehmen muss.

Dieser Artikel trennt beide Ebenen sauber voneinander. Erst die Bordmittel von iOS, dann die Stelle, an der sie aufhören zu tragen, dann der Betrieb in einer Geräteflotte.

Wo die App-Verwaltung auf dem iPhone tatsächlich sitzt

Apple verteilt die Funktionen auf mehrere Stellen, was die Suche unnötig mühsam macht. Die wichtigsten drei:

• Einstellungen > Allgemein > iPhone-Speicher: die vollständige Liste aller Apps, sortiert nach Speicherbedarf, mit Datum der letzten Nutzung. Hier löschen oder lagern Sie aus.
• Home-Bildschirm: langes Tippen auf ein Symbol öffnet den Bearbeitungsmodus. Ordner anlegen, Apps verschieben, App vom Home-Bildschirm entfernen, ohne sie zu löschen.
• App-Mediathek: seit iOS 14 die automatisch sortierte Ablage ganz rechts. Sie ersetzt keine Verwaltung, sie räumt nur auf.

Der praktisch relevanteste Unterschied auf dieser Ebene ist der zwischen Auslagern und Löschen. Auslagern entfernt die App-Binärdatei und behält die lokalen Daten, das Symbol bleibt mit einem kleinen Wolkensymbol stehen. Löschen entfernt beides. Wer regelmäßig Speicherprobleme meldet, hat meist die automatische Auslagerung nie eingeschaltet.

Berechtigungen sind die eigentliche Baustelle

Speicher ist selten das Problem. Berechtigungen schon. Unter Einstellungen > Datenschutz & Sicherheit sehen Sie pro Kategorie, welche Apps Zugriff auf Standort, Kamera, Mikrofon, Kontakte oder Fotos haben. Die Ansicht nach Kategorie ist für eine Prüfung deutlich schneller als die Ansicht nach App, weil Sie sofort sehen, welche vierzehn Apps sich still den Standort im Hintergrund geben lassen.

Was die Bordmittel nicht können

Alles oben Beschriebene setzt voraus, dass jemand das Gerät in der Hand hält. Genau das ist die Grenze. In einem Unternehmen fehlen damit vier Dinge:

1. Verteilung. Sie können eine App nicht auf hundert Geräten installieren, ohne hundert Personen zu bitten, sie im App Store zu suchen. Erfahrungsgemäß tut das etwa die Hälfte.
2. Versionskontrolle. Automatische Updates sind ein Schalter pro Gerät, keine Richtlinie. Sie wissen nicht, wer auf welcher Version steht.
3. Lizenzen. Über eine private Apple-ID gekaufte Apps gehören der Person, nicht dem Unternehmen. Beim Austritt gehen sie mit.
4. Nachweis. Es gibt keine Liste, die Sie einem Auditor vorlegen könnten.

Das ist kein Mangel von iOS. Die Einstellungen-App ist für ein persönliches Gerät gebaut, nicht für eine Geräteflotte.

App-Verwaltung im Unternehmen: MDM, MAM und der Unterschied

Zwei Begriffe, die oft durcheinandergehen. MDM (Mobile Device Management) verwaltet das Gerät: Registrierung, Sicherheitsrichtlinien, Code, Verschlüsselung, Fernwartung. MAM (Mobile Application Management) verwaltet die Apps: welche App auf welchem Gerät landet, in welcher Version, mit welcher Konfiguration. In der Praxis liefert eine MDM-Lösung beides, aber die Trennung hilft beim Nachdenken über private Geräte, wo Sie oft nur die zweite Ebene wollen.

Der Ablauf für eine App auf iOS sieht üblicherweise so aus:

• Die App wird im Apple Business Manager in der benötigten Stückzahl beschafft, auch wenn sie kostenlos ist. Die Lizenzen gehören damit dem Unternehmen und lassen sich beim Austritt einer Person wieder einziehen.
• Die Lizenzen werden mit dem MDM-Server verknüpft, die App einer Gerätegruppe zugewiesen.
• Die Installation läuft still, ohne Apple-ID auf dem Gerät und ohne Zutun der Nutzerin oder des Nutzers.
• Interne Apps, die nie im App Store erscheinen, gehen denselben Weg als Custom App über den Apple Business Manager.
• Konfigurationswerte wie Serveradresse oder Mandant kommen als verwaltete App-Konfiguration mit. Niemand tippt eine URL ab.

Eine so installierte App gilt als verwaltete App. Das ist mehr als eine Etikette: Apple lässt Sie steuern, ob Dokumente aus verwalteten Apps in nicht verwaltete Apps kopiert werden dürfen, ob AirDrop als nicht verwaltetes Ziel gilt und ob verwaltete Apps ihre Daten in iCloud ablegen. Diese Grenze ist der eigentliche Sicherheitsgewinn, nicht die Installation an sich.

Privates iPhone oder Firmengerät: zwei verschiedene Verfahren

Der Unterschied entscheidet über fast alles, und er wird regelmäßig übersehen.

Firmeneigene Geräte

Ein im Apple Business Manager hinterlegtes Gerät registriert sich beim ersten Einschalten selbst. Die Zero-Touch-Registrierung bringt Richtlinien und Apps mit, bevor jemand den ersten Bildschirm bestätigt. Das Gerät ist überwacht, der Handlungsspielraum entsprechend groß: Apps erzwingen, App Store sperren, Kiosk-Modus für ein einzelnes Anwendungsszenario. Für Frontline-Mitarbeiter mit gemeinsam genutzten Geräten ist das der Normalfall.

Private Geräte

Auf einem privaten iPhone installiert die Registrierung ein Verwaltungsprofil, das Appaloosa auf die vom Unternehmen verteilten Apps und Konten beschränkt. Die Admin-Konsole meldet nur diese verwalteten Apps, nicht die selbst installierten. Drei Punkte, die Sie kennen sollten, bevor Sie das jemandem erklären:

• BYOD gilt bei iOS und Android. Windows-PCs und Macs werden als unternehmenseigene Geräte verwaltet, einen BYOD-Modus gibt es dort nicht.
• Eine Standortermittlung existiert im BYOD-Modus nicht. Es ist keine abgeschaltete Option, es ist eine in der Konsole nicht vorhandene Funktion. Verfügbar ist sie ausschließlich auf unternehmenseigenen, verwalteten Android-Geräten.
• Beim Austritt entfernt der Administrator unter iOS die verwalteten Daten, unter Android das Arbeitsprofil. Auf einem privaten Android-Gerät begrenzt Android den Löschbefehl selbst auf das Arbeitsprofil.

Was in Deutschland vor dem Rollout geklärt sein muss

Technisch ist eine App-Verteilung an einem Nachmittag eingerichtet. Rechtlich dauert es länger, und zwar aus einem Grund, den viele Projekte zu spät entdecken.

Der § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein erzwingbares Mitbestimmungsrecht bei jeder technischen Einrichtung, die objektiv geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen. Ob Sie das vorhaben, spielt keine Rolle. Ein MDM ist objektiv geeignet, also ist es mitbestimmungspflichtig. Ohne Betriebsvereinbarung kein Rollout. Wer die Verhandlung erst nach der Beschaffung beginnt, verliert schnell ein Quartal.

Dazu kommt die datenschutzrechtliche Seite: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, dokumentierte technische und organisatorische Maßnahmen nach Art. 32, und eine ehrliche Antwort auf die Frage, welche Daten die Konsole über ein privates Gerät überhaupt sieht. Die Liste oben ist dafür eine bessere Grundlage als jede Marketingzusage. Wer in einer NIS2-pflichtigen Einrichtung arbeitet, hält diese Unterlagen ohnehin bereit.

Eine Reihenfolge, die funktioniert

1. Apple Business Manager einrichten und mit dem MDM-Server verknüpfen. Ohne diesen Schritt bleibt alles Handarbeit.
2. Gerätegruppen nach Rolle bilden, nicht nach Abteilung. Der Außendienst braucht andere Apps als die Verwaltung, auch wenn beide im selben Bereich sitzen.
3. Zwei Konfigurationen aufsetzen, eine für Firmengeräte, eine für private. Sie unterscheiden sich stärker, als es zunächst wirkt.
4. Mit fünf Geräten pro Gruppe testen, inklusive Austrittsszenario. Der Löschvorgang ist der Teil, den niemand probt und jeder braucht.
5. Erst danach ausrollen, gestaffelt, mit einer Ansprechperson für die erste Woche.

Fazit

Für ein privates iPhone ist die App-Verwaltung eine Frage von drei Menüs. Ab dem Punkt, an dem Sie eine Geräteflotte betreuen, verschiebt sich die Aufgabe: weg vom Aufräumen, hin zur Frage, wer welche App in welcher Version bekommt und was beim Austritt passiert. Wenn Sie an diesem Punkt sind, ist der nächste sinnvolle Schritt eine Bestandsaufnahme Ihrer bereits verteilten Apps und ihrer Lizenzherkunft. Danach wird die Auswahl einer MDM-Lösung deutlich konkreter.