Apple DEP: Vom Device Enrollment Program zu ADE

Apple DEP, kurz für Apple Device Enrollment Program, war Apples ursprünglicher Zero-Touch-Registrierungsdienst: Er erlaubte es Unternehmen, iPhones, iPads und Macs bei der ersten Einrichtung automatisch zu konfigurieren. Apple hat das DEP im Dezember 2019 eingestellt und seine Funktionen in den Apple Business Manager (ABM) überführt. Die Funktion heißt heute Automated Device Enrollment (ADE). Wenn Sie Ihre Apple-Geräte über einen autorisierten Händler oder direkt bei Apple gekauft haben, kann Ihr MDM-Server mit ADE Profile, Apps und Sicherheitsrichtlinien auf jedes Gerät übertragen, sobald die Nutzerin oder der Nutzer es einschaltet. Eine manuelle Konfiguration entfällt.

Was hat das DEP geleistet?

Das DEP übernahm drei Aufgaben, die für IT-Teams mit Apple-Geräteflotten wichtig waren:

• Zero-Touch-Bereitstellung. Geräte, die direkt von Apple oder einem Händler kamen, waren schon Ihrem MDM zugewiesen. Die Nutzer schalteten das Gerät ein, verbanden es mit dem WLAN, und das MDM-Profil installierte sich automatisch im Einrichtungsassistenten.
• Aktivierung des betreuten Modus. Über das DEP registrierte Geräte ließen sich von Anfang an in den betreuten Modus (Supervised Mode) versetzen. Das schaltet Einschränkungen frei, die nicht betreute Geräte nicht durchsetzen können: Einzel-App-Modus, Inhaltsfilter, Schutz des MDM-Profils vor dem Entfernen.
• Verpflichtende Registrierung. Anders als bei der manuellen Registrierung konnten Nutzer die DEP-Registrierung weder überspringen noch entfernen. Die Kontrolle des Unternehmens galt vom ersten Start bis zur Ausmusterung.

Auf dem Höhepunkt unterstützte das DEP iOS, macOS und tvOS. Auf watchOS hat Apple es nie ausgeweitet.

Was hat das DEP abgelöst?

Der Apple Business Manager hat das DEP Ende 2019 ersetzt. ABM ist ein Webportal, das drei zuvor getrennte Programme zusammenführt:

Der Registrierungsablauf ist derselbe geblieben: Ihr autorisierter Apple-Händler verknüpft die Seriennummern der Geräte mit Ihrem ABM-Konto, Sie weisen diese Seriennummern Ihrem MDM-Server zu, und das Gerät registriert sich beim ersten Einschalten automatisch. Geändert haben sich nur der Ort (das ABM-Webportal unter business.apple.com) und der Name (ADE statt DEP). Was das Portal kann und was nicht, fasst der Glossareintrag zum Apple Business Manager zusammen.

So richten Sie Automated Device Enrollment heute ein

Beim Umzug vom alten DEP-Portal und bei der Ersteinrichtung ist der Ablauf derselbe. Zur Apple-spezifischen Einrichtung finden Sie mehr in unserem Leitfaden zu Apple MDM.

1. ABM-Konto anlegen auf business.apple.com, im Apple Business Manager. Sie benötigen eine D-U-N-S-Nummer und einen Apple Account des Unternehmens (kein privates Konto).
2. MDM-Server verbinden. Öffnen Sie in ABM Einstellungen > MDM-Server, fügen Sie Ihr MDM hinzu (zum Beispiel Appaloosa) und laden Sie den öffentlichen Schlüssel hoch, den Ihr MDM bereitstellt.
3. Geräte zuweisen. Sobald Ihr Händler die Seriennummern mit Ihrem ABM-Konto verknüpft hat, weisen Sie sie dem MDM-Server zu. Sie können einen Standardserver festlegen, damit jede neue Bestellung automatisch zugewiesen wird.
4. Registrierungsprofile konfigurieren. Legen Sie in Ihrem MDM das Registrierungsprofil an: welche Schritte des Einrichtungsassistenten übersprungen werden, ob der betreute Modus erzwungen wird, welche WLAN- und VPN-Einstellungen übertragen werden.
5. Versenden und einschalten. Die Nutzerin oder der Nutzer öffnet den Karton, verbindet das Gerät mit einem Netzwerk, und das MDM-Profil installiert sich im Einrichtungsassistenten. Die IT muss nicht eingreifen.

Für die IT-Administration dauert die gesamte Einrichtung 15 bis 30 Minuten. Jedes Gerät registriert sich beim ersten Start in weniger als 2 Minuten.

DEP und ADE im Vergleich: Was hat sich wirklich geändert?

Für die meisten IT-Teams hat sich in der Praxis nichts geändert. Registrierungsprotokoll, MDM-Anbindung und das Verhalten des betreuten Modus sind gleich geblieben. Geändert hat sich Folgendes:

• Ein Portal statt mehrerer. Das DEP hatte ein eigenes Portal (deploy.apple.com). ADE steckt im Apple Business Manager, neben der App-Lizenzierung und den Managed Apple Accounts.
• Managed Apple Accounts. ABM brachte die föderierte Authentifizierung mit Microsoft Entra ID (früher Azure AD) und Google Workspace für Apple Accounts von Unternehmen. Das alte DEP-Portal konnte das nicht. Eine Anleitung finden Sie in unserem Beitrag zum Einrichten von Managed Apple IDs im Apple Business Manager.
• Rollenbasierter Zugriff. ABM kennt fein abgestufte Administratorrollen (Geräte-Manager, Content-Manager, Personen-Manager). Das alte DEP-Portal kannte nur ein einheitliches Administratormodell.

Wenn Ihr MDM bereits das DEP unterstützt hat, unterstützt es auch ADE. Auf der MDM-Seite ist keine Migration nötig. Sie melden sich nur im ABM statt im alten DEP-Portal an.

Voraussetzungen für Automated Device Enrollment

Bevor Sie Geräte per ADE registrieren können, müssen vier Dinge vorhanden sein:

Mit Apple Configurator 2 (nur macOS) lassen sich Geräte manuell zum ABM hinzufügen, wenn sie nicht über einen autorisierten Vertriebsweg gekauft wurden. Das hilft bei Geräten, die schon in Ihrem Bestand waren, bevor Sie Ihr ABM-Konto angelegt haben.

Geräte in den Apple Business Manager bringen

ADE funktioniert nur mit Geräten, die Apple als Ihre erkennt. Es gibt drei Wege, diese Verbindung herzustellen. Welcher passt, hängt davon ab, woher die Hardware kommt.

Direkt bei Apple gekauft

Beim Direktkauf erhält Ihre Organisation eine Apple-Kundennummer. Tragen Sie sie im Apple Business Manager unter den Einstellungen der Geräteverwaltung ein, dann landet jede künftige Bestellung automatisch in Ihrem Konto.

Bei einem Händler oder Netzbetreiber gekauft

Geben Sie dem Händler Ihre Organisations-ID und fragen Sie ihn nach seiner Händler-ID. Beide tragen Sie im Apple Business Manager ein. Tun Sie das, bevor die Bestellung versandt wird: Nachträglich geht es auch, aber langsamer.

Geräte, die Sie schon besitzen

Hardware, die Sie vor der Einrichtung von ABM gekauft haben, oder gespendete Geräte lassen sich per USB mit Apple Configurator 2 hinzufügen. Stammen die Geräte von einem Händler, ist es meist einfacher, ihn um eine nachträgliche Registrierung zu bitten, als jedes Gerät von Hand zu konfigurieren.

Teilnahmevoraussetzungen in Kürze

• iOS 7 oder neuer, oder macOS 10.9 oder neuer.
• Kauf bei Apple, bei einem autorisierten Händler oder Netzbetreiber, oder manuelle Aufnahme mit Apple Configurator 2.
• Ein Apple Push Certificate auf der MDM-Seite, für das ein Apple Account nötig ist. Für eine Organisation empfiehlt sich ein Managed Apple Account, damit das Zertifikat nicht an eine einzelne Person im Unternehmen gebunden ist.

Warum ADE und nicht die manuelle Registrierung

• Der Aufwand schrumpft auf fast nichts. Das Gerät konfiguriert sich direkt nach dem Auspacken selbst, ohne dass vorher ein Administrator Hand anlegt.
• Betreuung. ADE ist der Weg zum betreuten Modus. Er schaltet die strengeren Einschränkungen frei und verhindert, dass Nutzer das Verwaltungsprofil entfernen.
• Die Registrierung bleibt gesperrt. Ein zurückgesetztes Gerät registriert sich beim nächsten Start erneut, statt die Geräteflotte zu verlassen.

Die Betreuung ist für Geräte im Firmenbesitz gedacht. Ein privates iPhone, das per BYOD registriert wird, ist nicht betreut. Die Einschränkungen, die eine Betreuung voraussetzen, stehen dort schlicht nicht zur Verfügung.

Was die Nutzer sehen

Wie sollen Nutzer ihre Geräte einrichten?

Ihre Nutzer erhalten ein Apple-Gerät, das sofort funktioniert. Sie müssen es allerdings mindestens einmal mit dem Internet verbinden.

1. Die Nutzerin oder der Nutzer packt das Gerät aus.
2. Das Gerät wird mit dem Internet verbunden.
3. Das Gerät fragt bei Apple an, ob es jemandem zugeordnet ist. Apple prüft den ABM und bestätigt, dass das Gerät Ihrem Unternehmen gehört.
4. Danach nimmt das Gerät Kontakt mit dem MDM-Server des Unternehmens auf und erhält seine Anweisungen.

Sobald Automated Device Enrollment ein neues Gerät erkennt, handelt es sofort und automatisch. Ist Software für das Mobilgerät vorgesehen, wird sie automatisch installiert. Auch die Sicherheitseinstellungen werden angewendet.

Weil ADE so schnell greift, sind die Nutzer sofort arbeitsfähig.

Ist das Gerät einmal konfiguriert, müssen die Nutzer nichts weiter tun, als es zu benutzen. Änderungen und Updates am Mobilgerät übernimmt die IT-Abteilung aus der Ferne.

Häufige Probleme bei der ADE-Registrierung beheben

Die meisten Probleme bei der ADE-Registrierung fallen in vier Kategorien.

Das Gerät erscheint nicht im ABM. Der Händler hat die Seriennummer noch nicht mit Ihrem ABM-Konto verknüpft. Wenden Sie sich an Ihren Händler und nennen Sie ihm Ihre ABM-Organisations-ID. Neue Käufe erscheinen in der Regel innerhalb von 24 bis 48 Stunden.

Das Registrierungsprofil installiert sich im Einrichtungsassistenten nicht. Prüfen Sie, ob die Seriennummer im ABM dem richtigen MDM-Server zugewiesen ist. Wenn Sie kürzlich das Token Ihres MDM-Servers erneuert haben, laden Sie das neue Token im ABM unter Einstellungen > MDM-Server erneut hoch. Prüfen Sie außerdem, ob das Gerät bei der Einrichtung Internetzugang hat.

Das Gerät registriert sich, aber die Richtlinien greifen nicht. Das MDM-Registrierungsprofil ist installiert, aber Ihre Konfigurationsprofile oder App-Verteilungen kommen nicht an. Prüfen Sie in Ihrer MDM-Konsole, ob das Gerät in der richtigen Gerätegruppe liegt und Ihre Richtlinien auf diese Gruppe zielen. In Appaloosa sehen Sie den Compliance-Status des Geräts im Dashboard.

Der betreute Modus aktiviert sich nicht. Die Betreuung muss im Registrierungsprofil aktiviert sein, bevor das Gerät den Einrichtungsassistenten durchläuft. Ein Gerät, das schon eingerichtet ist, lässt sich nicht nachträglich betreuen. Die einzige Lösung: das Gerät löschen und per ADE neu registrieren lassen.

Häufig gestellte Fragen

Ist das DEP dasselbe wie ADE?

Ja. ADE (Automated Device Enrollment) ist der neue Name des DEP im Apple Business Manager. Registrierungsprotokoll und Geräteverhalten sind identisch. Apple hat die Marke DEP 2019 aufgegeben.

Kann ich das DEP noch nutzen?

Nein. Das eigenständige DEP-Portal (deploy.apple.com) wurde abgeschaltet. Die gesamte Verwaltung der Registrierung läuft heute über den Apple Business Manager auf business.apple.com.

Funktioniert ADE mit MDM-Lösungen von Drittanbietern?

Ja. Jedes MDM, das das DEP unterstützt hat, unterstützt auch ADE, darunter Appaloosa, Jamf, Intune, Hexnode und Mosyle. Der MDM-Anbieter hinterlegt ein Server-Token in Ihrem ABM-Konto, und die diesem Server zugewiesenen Geräte registrieren sich automatisch.

Kann ich private Geräte per ADE registrieren?

Nein. ADE ist für Geräte im Besitz der Organisation gedacht, die über autorisierte Vertriebswege gekauft wurden. Für Geräte von Mitarbeitenden (BYOD) nutzen Sie die manuelle MDM-Registrierung, bei der die Nutzer das MDM-Profil selbst installieren. Manche Organisationen fügen bestehende Geräte mit Apple Configurator zum ABM hinzu. Dafür brauchen Sie aber physischen Zugriff auf das Gerät und einen Mac.

Wie viele Geräte kann ADE verwalten?

Eine Obergrenze gibt es nicht. ADE skaliert von einer Handvoll iPads bis zu Zehntausenden iPhones. Die Registrierung läuft Gerät für Gerät im Einrichtungsassistenten ab, sodass auch große Rollouts weder im ABM noch im MDM zum Engpass werden. Organisationen registrieren routinemäßig mehr als 5.000 Geräte in einem einzigen Rollout-Zyklus.