Apple MDM: Registrierung, Richtlinien und App-Verteilung

Apple MDM ist kein Produkt, das Apple verkauft. Es ist ein Verwaltungsprotokoll, das seit 2010 fest in iOS, iPadOS und macOS steckt. Ihre MDM-Lösung spricht dieses Protokoll und kann damit Geräte registrieren, Apps installieren, Richtlinien durchsetzen und verlorene Geräte sperren, ohne dass jemand das Gerät in die Hand nimmt.

Was dabei tatsächlich möglich ist, entscheidet sich früher, als die meisten IT-Abteilungen denken: beim Registrierungsweg. Der Rest ist Konfiguration.

Wie das Protokoll arbeitet, und warum das für Sie zählt

Es gibt keinen Agenten, den Sie ausrollen, keinen Hintergrunddienst, der Akku frisst, und keine Umgehung der Sandbox. Wenn Ihr Server einen Befehl absetzt, weckt der Apple Push Notification service (APNs) das Gerät. Das Gerät meldet sich daraufhin beim Server und holt den Befehl ab.

Die Richtung ist wichtig. Der Server schiebt nichts auf das Gerät, das Gerät fragt nach. Ein iPhone ohne Netzverbindung führt also gar nichts aus. Ein Löschbefehl für ein verlorenes Gerät liegt in der Warteschlange, bis das Gerät wieder online geht. Wer in ein Sicherheitskonzept schreibt, ein verlorenes Gerät werde sofort gelöscht, beschreibt einen Wunsch und keinen Mechanismus. Formulieren Sie stattdessen: beim nächsten Kontakt mit dem Netz.

Drei Registrierungswege, drei Kontrolltiefen

Der Registrierungsweg legt fest, welche Befehle Ihr Server überhaupt senden darf. Nachträglich ändern lässt sich das nur über ein Zurücksetzen auf Werkseinstellungen, also mit einem Gerät, das der Nutzer für einen halben Tag abgibt.

Automated Device Enrollment: der Weg für Firmengeräte

Geräte, die Sie bei Apple oder einem autorisierten Händler kaufen, erscheinen automatisch in Ihrem Apple Business Manager. Sie weisen sie dort Ihrem MDM-Server zu. Beim ersten Einschalten registriert sich das Gerät selbst, noch im Einrichtungsassistenten, ohne Zutun des Nutzers.

Der eigentliche Gewinn ist nicht die gesparte Zeit, sondern der Status: ADE-Geräte sind betreut (supervised) und die Registrierung lässt sich sperren, sodass sie ein Zurücksetzen überlebt. Erst dadurch werden stille App-Installationen, das Sperren von AirDrop, das Unterbinden privater iCloud-Backups und ein erzwungenes VPN möglich. Für unternehmenseigene iPhones, iPads und Macs gibt es keinen guten Grund, einen anderen Weg zu wählen. Wie das im Alltag aussieht, zeigt unsere Seite zur Zero-Touch-Registrierung.

Registrierung über ein Profil: der Weg für Altbestände

Geräte, die Sie bereits besitzen, aber nie über Apple Business Manager gekauft haben, holen Sie über ein Registrierungsprofil ein. Der Nutzer öffnet eine Adresse, lädt das Profil und bestätigt die Installation in den Einstellungen.

Diese Geräte sind nicht betreut. Sie können Wi-Fi- und Mail-Konfigurationen verteilen, Code-Richtlinien durchsetzen und Apps ausliefern, aber der Nutzer kann das Profil jederzeit entfernen und nimmt damit die Verwaltung mit. Praktikabel als Übergang, nicht als Zielzustand.

User Enrollment: der Apple-Modus für private Geräte

Für BYOD hat Apple die User Enrollment gebaut. Sie erzeugt auf dem iPhone einen getrennten verwalteten Bereich, gebunden an einen verwalteten Apple Account, und schränkt den Server hart ein: Er erfährt weder Seriennummer noch UDID, sondern nur eine Registrierungs-ID, und er kann das Gerät nicht komplett löschen.

Hier lohnt eine Präzisierung, weil englischsprachige Artikel sie regelmäßig verwischen. Ein Profil, das ein iPhone ausschließlich auf der App-Ebene verwaltet, sieht Apple nicht vor, und nicht jede als BYOD verkaufte iOS-Registrierung ist eine User Enrollment. Viele Anbieter nutzen dafür eine ganz normale, unbetreute Geräteregistrierung. Die trennt Arbeit und Privates nicht durch die Plattform, sondern durch das, was der Administrator konfiguriert, und sie kann durchaus einen Gerätecode und Einschränkungen für das gesamte Gerät setzen. Der Unterschied ist keine Feinheit: Vor einem Betriebsrat oder einem Datenschutzbeauftragten beschreiben Sie damit eine andere Verarbeitung. Fragen Sie Ihren Anbieter, welcher der beiden Modi tatsächlich zum Einsatz kommt, und lassen Sie sich die Antwort schriftlich geben.

Was in beiden Fällen gilt: Auf einem privaten iPhone meldet die Konsole nur die vom Unternehmen verteilten Apps, nicht die vom Nutzer selbst installierten. Und orten lässt sich ein privates iPhone nicht, weil Apple den Standortbefehl an die Betreuung knüpft. Das ist keine abgeschaltete Option, das ist eine fehlende Funktion. Genau so sollten Sie es in der Betriebsvereinbarung formulieren.

Die Richtlinien, die tatsächlich etwas bringen

Sicherheit ist für die meisten Unternehmen der Anlass, überhaupt mit iOS-Geräteverwaltung anzufangen. Vier Bereiche tragen den größten Teil des Nutzens.

Gerätecode. Mindestlänge, automatische Sperre, maximale Zahl von Fehlversuchen. Sechs Ziffern plus Face ID ist für die meisten Unternehmen der vernünftige Punkt. Alphanumerische Codes mit zwölf Zeichen sehen im Konzept gut aus und produzieren im Betrieb Zettel am Monitor.

Verschlüsselung und Datenflüsse. Apple-Geräte verschlüsseln ihren Speicher ohnehin. Interessanter sind die Managed-Open-In-Regeln: verwaltete Dokumente dürfen nicht in nicht verwaltete Apps wandern, AirDrop gilt als nicht verwaltetes Ziel, verwaltete Apps sichern nichts in privates iCloud. Das ist die Grenze, die im Ernstfall zählt, nicht der Verschlüsselungsstatus.

Netzwerk. Wi-Fi-Profile mit Zertifikat, damit niemand ein Unternehmenspasswort kennt oder weitergeben kann. Per-App-VPN, damit nur der Datenverkehr der Unternehmens-Apps durch Ihr Gateway läuft. Beides spart später Diskussionen über privaten Datenverkehr.

Verlust und Diebstahl. Der verlorene Modus zeigt eine Nachricht und eine Rufnummer an. Die Aktivierungssperre unter Ihrer Organisation sorgt dafür, dass ein gestohlenes Firmengerät auch nach einem Zurücksetzen niemandem nützt. Beides setzt Betreuung voraus, hängt also wieder am Registrierungsweg.

Apps ausliefern, ohne den Nutzer zu beteiligen

Lizenzen kaufen Sie im Apple Business Manager unter Apps und Bücher, und Sie weisen sie Geräten statt Personen zu. Auf einem betreuten Gerät installiert die App sich danach still, ohne Apple Account des Nutzers und ohne Dialog. Verlässt jemand das Unternehmen, fällt die Lizenz zurück in Ihren Bestand.

Der unterschätzte Teil ist die verwaltete App-Konfiguration. Viele Unternehmens-Apps akzeptieren vorbelegte Werte: Serveradresse, Mandant, Anmeldeverfahren, freigeschaltete Funktionen. Damit startet die App beim ersten Öffnen bereits richtig eingerichtet. Bei 400 Geräten sind das 400 Support-Tickets, die nie entstehen.

Für interne Apps kommt ein Katalog dazu, in dem Beschäftigte nur die für ihre Rolle freigegebenen Anwendungen sehen. Appaloosa verteilt darüber iOS-, Android- und Webanwendungen aus derselben Oberfläche, nach Gruppe oder Standort.

Macs sind keine großen iPads

macOS spricht dasselbe Protokoll, verhält sich im Betrieb aber wie ein Windows-Notebook: lokaler Administrator, selbst installierte Werkzeuge, jahrelang gewachsener Zustand.

• FileVault lässt sich bei der Registrierung erzwingen, mit Hinterlegung des Wiederherstellungsschlüssels in der Konsole. Auf einer Notebook-Geräteflotte ist das die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung: Sie verwandelt ein verlorenes Gerät von einem Meldefall in einen Vorgang.
• Bootstrap-Token sorgen dafür, dass Nutzer Systemänderungen bestätigen können, ohne dass die IT physisch am Gerät sitzt.
• Systemerweiterungen können Sie vorab genehmigen. Auf Apple-Silicon-Macs ist das der einzige praktikable Weg für VPN- und Sicherheitswerkzeuge.
• Updates lassen sich mit einer Frist versehen. Nach Ablauf installiert der Mac selbst. Genau hier verschwinden die Wochen, in denen Nutzer kritische Patches wegklicken.

Entscheiden Sie früh, ob Ihre Macs gesperrte Firmenrechner oder Entwicklerarbeitsplätze sind. Eine gemeinsame Grundkonfiguration für beides ist entweder zu locker, um zu nutzen, oder so eng, dass die Entwicklung sie umgeht. Was im Detail geht, listet unsere Seite zur macOS-Geräteverwaltung.

Was sich mit iOS 17 und iOS 18 geändert hat

Die deklarative Geräteverwaltung (DDM) hat die Logik umgedreht. Früher prüfte der Server und korrigierte nach. Heute erklärt der Server den Sollzustand, und das Gerät hält ihn selbst ein und meldet Abweichungen. Weniger Runden über APNs, schnellere Wirkung.

Dazu kam mit iOS 17 die Geräteattestierung, bei der die Secure Enclave die Identität des Geräts kryptografisch belegt, und Return to Service: ein Gerät aus der Ferne löschen und automatisch wieder registrieren lassen. Für ein Gerät, das ein ausgeschiedener Mitarbeiter per Post zurückschickt, spart das den Gang in die IT. Seit iOS 18 deckt DDM auch Systemupdates ab, inklusive erzwungener Zielversion mit Stichtag. Vorher konnten Sie Updates nur aufschieben.

Das APNs-Zertifikat: der häufigste vermeidbare Ausfall

Jede MDM-Verbindung zu Apple-Geräten hängt an einem APNs-Zertifikat. Sie erzeugen im MDM-Portal eine Zertifikatsanforderung, laden sie im Apple Push Certificates Portal hoch, laden das signierte Zertifikat herunter und spielen es zurück. Zehn Minuten Arbeit.

Zwei Regeln entscheiden über den Rest des Jahres. Erstens: Das Zertifikat gilt zwölf Monate. Läuft es ab, verlieren alle registrierten Geräte die Verbindung und müssen von Hand neu registriert werden. Setzen Sie sich 30 Tage vorher eine Erinnerung. Zweitens: Verlängern Sie immer mit demselben Apple Account, mit dem Sie es erstellt haben, und nutzen Sie dafür eine Funktionsadresse. Ein neues Zertifikat statt einer Verlängerung bedeutet dasselbe wie ein abgelaufenes. Dieser Ausfall ist in Apple-Umgebungen der mit Abstand häufigste, und er ist vollständig vermeidbar.

Ohne Betriebsrat kein Rollout

In Deutschland ist die Mitbestimmung kein Nebenschauplatz. Nach §87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht bei technischen Einrichtungen, die objektiv geeignet sind, Verhalten oder Leistung zu überwachen. Auf die Absicht kommt es nicht an. Ein MDM erfüllt dieses Kriterium per Definition.

Planen Sie die Betriebsvereinbarung deshalb parallel zur technischen Pilotphase, nicht danach. Was hineingehört: welche Datenkategorien die Konsole zeigt, wer Zugriff hat, wie lange protokolliert wird, was ein Löschbefehl konkret entfernt und welche Funktionen im BYOD-Modus schlicht nicht existieren. Der letzte Punkt entkräftet die meisten Einwände, wenn er belegbar ist. Dieselben Angaben brauchen Sie ohnehin für das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO.

Der Einstieg in fünf Schritten

1. Apple Business Manager einrichten, Domäne bestätigen, MDM-Server verbinden.
2. Registrierungsstrategie festlegen: ADE für neue Firmengeräte, User Enrollment für private, Profilregistrierung für den Altbestand.
3. Konfigurationsprofile aufbauen: Code, Wi-Fi, Mail, VPN, dann Einschränkungen.
4. App-Lizenzen kaufen, Gruppen zuweisen, stille Installation an einer kleinen Gruppe testen.
5. Mit 10 bis 20 Geräten aus verschiedenen Bereichen pilotieren, dann ausrollen.

Apple-Geräte sind für die Verwaltung gebaut. Der Aufwand steckt nicht in der Technik, sondern in zwei Entscheidungen: dem richtigen Registrierungsweg und einer Betriebsvereinbarung, die beschreibt, was Sie tatsächlich sehen. Beides sollten Sie vor der Bestellung der ersten 100 iPhones treffen.