Cloud-MDM heißt: Ihre Geräteverwaltung läuft als gehosteter Dienst. Sie arbeiten in einer Web-Konsole, der Anbieter betreibt Server, Updates und Verfügbarkeit. Kein Rack, kein VPN-Tunnel, kein Patch-Fenster am Samstagabend. Die eigentlich interessante Frage im DACH-Raum ist aber eine andere: wessen Recht gilt für Ihre Verwaltungsdaten?
Wie Cloud-MDM im Betrieb funktioniert
Die Plattform sitzt zwischen Ihren Endgeräten und Ihren Richtlinien. Bei der Registrierung erhält ein Gerät ein Verwaltungsprofil, das es mit der Konsole verbindet. Das passiert über einen QR-Code, einen Link per E-Mail oder vollautomatisch über Zero-Touch-Registrierung mit Apple Business Manager beziehungsweise Android Enterprise.
Ab diesem Moment fließt jede Richtlinienänderung, jede App-Verteilung und jede Sicherheitsaktion über HTTPS aus der Cloud auf das Gerät. Das Gerät meldet sich in Intervallen von einigen Stunden und holt neue Konfigurationen ab. Wenn Sie um 14 Uhr ein WLAN-Profil ausrollen, greift es beim nächsten Check-in. Kritische Befehle wie Sperren oder das Löschen des Arbeitsprofils gehen sofort raus, über Apple Push Notification Service oder Firebase Cloud Messaging.
Praktischer Nebeneffekt: Ihre Konsole funktioniert aus jedem Browser. Sie müssen nicht im Firmennetz sein, und Ihre Verwaltung fällt nicht aus, wenn im Serverraum der Strom weg ist.
Cloud und On-Premises: die Unterschiede, die im Alltag zählen
Anbieter stellen diesen Vergleich gern als Glaubensfrage dar. Er ist eine Betriebsfrage.
| Cloud-MDM | On-Premises-MDM | |
|---|---|---|
| Inbetriebnahme | Stunden bis Tage | Wochen bis Monate |
| Anfangsinvestition | keine, Abonnement | Hardware plus Lizenzen |
| Wartung | Anbieter aktualisiert | Ihr Team patcht und migriert |
| Skalierung | Geräte sofort ergänzen | Kapazitätsplanung nötig |
| Datenhaltung | Rechenzentrum des Anbieters | Ihr eigenes Rechenzentrum |
| Zugriff der Admins | jeder Browser, überall | VPN oder internes Netz |
| Verfügbarkeit | SLA meist 99,9 Prozent | hängt an Ihrer Infrastruktur |
On-Premises bleibt in genau zwei Fällen sinnvoll: in physisch getrennten Netzen, etwa im Verteidigungsumfeld oder bei Verschlusssachen, und dort, wo eine Behörde den Eigenbetrieb ausdrücklich vorschreibt. Alles andere ist Gewohnheit. Wer 300 Endgeräte über einen selbst betriebenen Server verwaltet, bezahlt Personalzeit für ein Problem, das eine Konsole löst.
Was Cloud-MDM kostet, und was der eigene Server wirklich kostet
Cloud-MDM wird pro Gerät und Monat abgerechnet. Realistisch sind 2 bis 10 Euro, abhängig von Funktionsumfang und Größe der Geräteflotte. Eine Flotte mit 200 Endgeräten landet also bei 400 bis 1.200 Euro im Monat.
Der Vergleich mit On-Premises fällt oft zu freundlich für den eigenen Server aus, weil zwei Posten fehlen. Erstens die Hardware: 2.000 bis 10.000 Euro, plus Ersatz nach vier bis fünf Jahren. Zweitens, und das ist der teurere Teil, die Arbeitszeit. Zehn bis zwanzig Stunden im Monat für Patches, Backups, Zertifikatserneuerung und Versionsmigrationen. Bei einem internen Stundensatz von 60 Euro sind das 600 bis 1.200 Euro monatlich, bevor eine einzige Lizenz bezahlt ist.
Achten Sie außerdem auf Aufpreise. Manche Anbieter rechnen Kiosk-Modus, Fernwartung oder Zero-Touch-Registrierung separat ab, andere bündeln alles in einen Preis pro Gerät. Vergleichen Sie also nicht die Zahl auf der Preisseite, sondern den Warenkorb, den Sie tatsächlich brauchen. Unsere Preisübersicht zeigt, was enthalten ist.
Die eigentliche DACH-Frage: Jurisdiktion statt Serverstandort
Hier trennt sich die Diskussion von der amerikanischen Fassung dieses Themas. In deutschen Ausschreibungen taucht regelmäßig die Forderung nach einem Serverstandort in Deutschland auf. Sie klingt beruhigend und beantwortet die falsche Frage.
Maßgeblich ist die Jurisdiktion des Anbieters, nicht der Standort der Hardware. Ein Rechenzentrum in Frankfurt schützt Sie nicht, wenn der Betreiber Tochter eines US-Konzerns ist: der US CLOUD Act verpflichtet US-Unternehmen zur Herausgabe von Daten, die sie kontrollieren, unabhängig davon, wo die Festplatten stehen. Umgekehrt ist ein europäischer Anbieter ohne US-Mutter auch dann außerhalb dieses Zugriffs, wenn sein Rechenzentrum nicht in Deutschland steht.
Unsere Position dazu, ohne Marketingnebel: Gehostet in Frankreich, betrieben von einem französischen Unternehmen. Kein US-Mutterkonzern, kein US CLOUD Act. Der Serverstandort allein reicht dafür nicht aus. Entscheidend ist, wem der Anbieter gehört und welchem Recht er unterliegt.
Was wir haben und was wir nicht haben. Es gibt bei uns keine Zertifizierung nach ISO 27001 und kein BSI C5-Testat. Was es gibt: Hosting in Frankreich auf SecNumCloud-qualifizierter Infrastruktur, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, dokumentierte technische und organisatorische Maßnahmen nach Art. 32 DSGVO und keine Drittlandübermittlung. Die SecNumCloud-Qualifizierung der ANSSI betrifft die Hosting-Infrastruktur, nicht unser Produkt als Ganzes. Diese Unterscheidung fragen deutsche Auditoren gezielt ab, und sie sollte in Ihrer Lieferantenakte korrekt stehen.
Drei Fragen, die jeden Anbieter schnell einordnen:
- Wem gehört das Unternehmen, und gibt es eine Muttergesellschaft außerhalb der EU?
- Welche Unterauftragsverarbeiter sind im Spiel, und in welchem Land sitzen sie?
- Bekomme ich einen unterschriftsreifen AVV nach Art. 28 DSGVO, oder nur ein Verweis-PDF?
Wer bei Frage zwei ins Stocken gerät, hat die Antwort schon gegeben.
Der Betriebsrat sitzt mit am Tisch
Ein Punkt, den Anbieterseiten fast nie erwähnen und der Projekte häufiger stoppt als jede technische Hürde. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht bei technischen Einrichtungen, die dazu geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen. Auf die Absicht kommt es nicht an. Ein MDM ist objektiv geeignet. Ohne Betriebsvereinbarung kein Rollout.
Was in der Praxis hilft, ist eine saubere Beschreibung des Funktionsumfangs pro Modus. Beispiel Standortermittlung: Sie ist ausschließlich auf unternehmenseigenen, verwalteten Android-Geräten verfügbar. Auf privaten Geräten im BYOD-Modus, Android wie iOS, gibt es in der Konsole keinerlei Standortfunktion. Kein Ortungsbefehl, kein Standortverlauf, keine Standorteinstellung in der Konfiguration. Das ist keine deaktivierte Option, sondern eine im Modus nicht vorhandene Funktion. Umgekehrt sollten Sie offen sagen, dass auf verwalteten Android-Geräten periodische Ortung und Geofencing mit E-Mail-Alarm existieren und vom Administrator aktiviert werden können.
Nehmen Sie diese Klärung vor die Anbieterauswahl, nicht danach. Wenn Compliance ohnehin auf Ihrer Agenda steht, hilft auch unser Beitrag zu NIS2 und mobilen Endgeräten.
Migration in vier Schritten
- Bestand aufnehmen. Jedes Gerät, jede aktive Richtlinie, jede verteilte App. Exportieren Sie Konfigurationen, solange die alte Plattform das noch zulässt. Danach ist es Handarbeit.
- Plattform testen, nicht anschauen. Verlangen Sie eine Testumgebung und registrieren Sie eigene Geräte, mindestens ein iPhone und ein Android-Gerät. Wer Ihnen nur eine Präsentation zeigt, verbirgt etwas. Prüfen Sie Registrierung, Richtlinientiefe je Plattform, App-Verteilung und die Reaktionszeit des Supports an einem Freitagnachmittag.
- In Wellen ausrollen. Nicht 500 Geräte an einem Montagmorgen. Eine Abteilung, Kontrolle, dann die nächste. Zwei bis sechs Wochen sind für die meisten Flotten realistisch.
- Altsystem abschalten. Erst wenn alle Geräte umgezogen sind, deregistrieren und Server abschalten. Exportdaten noch 90 Tage aufbewahren.
Das größte Risiko ist übrigens nicht technisch, sondern kommunikativ. Sagen Sie den Beschäftigten vorher, was passiert, warum, und was sie tun müssen. Meistens nichts. Überraschungen erzeugen Tickets.
Häufige Fragen
Ist Cloud-MDM sicher genug für den Unternehmenseinsatz?
Technisch ja: TLS-verschlüsselte Übertragung, getrennte Mandanten und ein Anbieter, dessen gesamtes Geschäft am Betrieb dieser Infrastruktur hängt. Die relevantere Prüfung ist vertraglich und rechtlich, nicht kryptografisch. Fragen Sie nach AVV, Unterauftragsverarbeitern und Eigentümerstruktur.
Kann Cloud-MDM Firmengeräte und private Geräte gleichzeitig verwalten?
Ja. Firmengeräte laufen im vollständig verwalteten Modus, private Geräte über ein Arbeitsprofil. Auf einem privaten Android-Gerät liegen Arbeits-Apps und Arbeitsdaten in einem Arbeitsprofil, einem von Android selbst durchgesetzten getrennten Bereich. Die Konsole listet nur die dort installierten Anwendungen. BYOD gilt dabei für iOS und Android; Windows-PCs und Macs werden als unternehmenseigene Geräte verwaltet.
Was passiert, wenn der Anbieter ausfällt?
Die Geräte arbeiten weiter. Bestehende Richtlinien und Apps bleiben aktiv, Sie können nur keine Änderungen ausspielen, bis der Dienst zurück ist. Ein SLA von 99,9 Prozent entspricht knapp neun Stunden Ausfall im Jahr, was die meisten selbst betriebenen Server ungeplant überschreiten.
Funktioniert Geräteverwaltung ohne Internetverbindung?
Teilweise. Vorhandene Richtlinien und Apps bleiben offline aktiv. Neue Vorgaben warten auf dem Server und greifen beim nächsten Check-in. Sofortbefehle wie Sperren oder Löschen brauchen ein erreichbares Gerät.
Wie löse ich einen Anbieterwechsel?
Über eine erneute Registrierung. Verwaltungsprofile sind anbieterspezifisch, ein Umzug wie beim E-Mail-Anbieter existiert nicht. Jedes Gerät verlässt die alte Plattform und registriert sich neu. Mit eingerichteter Zero-Touch-Registrierung geschieht das beim nächsten Zurücksetzen automatisch. Planen Sie abteilungsweise, beginnend mit dem Team, das am wenigsten Support braucht.
Fazit
Für fast jede Geräteflotte unter 5.000 Endgeräten ist Cloud die wirtschaftlich und betrieblich bessere Wahl. Die Entscheidung, die tatsächlich Arbeit macht, ist nicht Cloud oder Server, sondern die Auswahl des Anbieters: Eigentümerstruktur, Vertragslage und Mitbestimmung. Wenn Sie diesen Teil sauber vorbereiten, ist die Technik der einfache Teil des Projekts. Einen Überblick über den Funktionsumfang finden Sie auf unserer Seite zur Geräteverwaltung.