Eine MDM-Lösung verwaltet Smartphones, Tablets und Notebooks aus einer einzigen Konsole: Registrierung, Sicherheitsrichtlinien, App-Verteilung, Nachweis der Gerätekonformität. Technisch ist das seit Jahren ein gelöstes Problem.
Woran MDM-Projekte in Deutschland scheitern, ist deshalb selten die Software. Es ist die Betriebsvereinbarung, die niemand vorbereitet hat, oder eine Auswahl, die zur eigenen Geräteflotte nicht passt. Dieser Artikel geht beides durch.
Was eine MDM-Lösung technisch tut
MDM steht für Mobile Device Management. Die Software spricht die Verwaltungsschnittstellen an, die Apple und Google direkt in ihre Betriebssysteme eingebaut haben: das Apple MDM-Protokoll und Android Enterprise. Es wird also kein schwergewichtiger Agent installiert, der als normale App mit begrenzten Rechten läuft. Die Kommandos gehen an das Betriebssystem, das sie selbst ausführt.
Nach der Registrierung eines Geräts kann der MDM-Server Konfigurationen ausrollen, Richtlinien durchsetzen, Apps installieren und entfernen, das Gerät sperren oder verwaltete Daten löschen. Das ist der ganze Kern. Alles andere, was Anbieter darum herum bauen, ist Komfort, Reporting oder Automatisierung.
Der native Ansatz hat einen praktischen Vorteil, der sich erst nach Monaten zeigt: er überlebt Betriebssystem-Updates. Agentenbasierte Werkzeuge aus der Zeit vor Android Enterprise brechen regelmäßig weg, wenn Google Berechtigungen einschränkt.
Ohne Betriebsvereinbarung kein Rollout
Das ist der Punkt, den englischsprachige Ratgeber komplett auslassen, und der in Deutschland über den Zeitplan Ihres Projekts entscheidet.
§87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein erzwingbares Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Die Rechtsprechung legt das weit aus: es genügt, dass ein System dazu objektiv geeignet ist. Ihre Absicht spielt keine Rolle. Ein MDM erfüllt dieses Kriterium per Definition, denn es kennt Gerätezustand, installierte Apps und Zeitpunkte der letzten Verbindung.
Praktisch heißt das: kein Rollout ohne Betriebsvereinbarung. Wird trotzdem ausgerollt, kann der Betriebsrat Unterlassung verlangen, und die Einigungsstelle entscheidet über die Bedingungen. Das kostet Monate.
Was in eine belastbare Betriebsvereinbarung gehört:
- Zweck der Verarbeitung, klar abgegrenzt, plus ein ausdrücklicher Ausschluss der Verhaltens- und Leistungskontrolle
- Die Liste der Datenkategorien, die die Konsole tatsächlich anzeigt, nicht die Liste dessen, was der Anbieter theoretisch könnte
- Standortermittlung: ob sie aktiv ist, auf welchen Geräteklassen, und ob Geofencing mit Benachrichtigung genutzt wird
- Löschfristen für Protokolle und Standortverläufe
- Das Verfahren bei Verlust oder Diebstahl, inklusive der Frage, wer ein Löschkommando auslösen darf
- Ein Einsichtsrecht des Betriebsrats in die aktive Konfiguration, nicht nur in die Produktbroschüre
Der wirksamste Hebel in dieser Verhandlung ist die Konfiguration selbst. Bei privaten Geräten im BYOD-Modus, Android wie iOS, gibt es in unserer Konsole keinerlei Standortfunktion: keinen Ortungsbefehl, keinen Standortverlauf, keine Standorteinstellung. Das ist keine deaktivierte Option, sondern eine im Modus nicht vorhandene Funktion. Auf unternehmenseigenen verwalteten Android-Geräten sieht es anders aus: dort existieren periodische Ortung und Geofencing mit E-Mail-Benachrichtigung, und der Administrator kann die Standortdienste erzwingen. Diesen Unterschied sollten Sie von sich aus benennen. Ein Betriebsrat, der ihn selbst entdeckt, verhandelt anschließend deutlich härter.
DSGVO und NIS2: was ein MDM abdeckt, und was nicht
Aus Sicht der DSGVO ist ein MDM zuerst ein Werkzeug für technische und organisatorische Maßnahmen nach Art. 32: Verschlüsselung des Gerätespeichers nachweisen, Zugriffsschutz erzwingen, unsichere Betriebssystemstände vom Zugang zu Unternehmensdaten ausschließen. Genau diese Nachweise fehlen den meisten Unternehmen bei einer Prüfung.
Drei Punkte, die im Projekt regelmäßig zu spät auftauchen: der Auftragsverarbeitungsvertrag nach Art. 28 mit dem MDM-Anbieter, die Datenschutzfolgenabschätzung nach Art. 35, die bei einem System mit Überwachungspotenzial praktisch immer angezeigt ist, und die Frage der Drittlandübermittlung, wenn der Anbieter einem US-Mutterkonzern gehört.
Bei NIS2 ist Vorsicht angebracht. Kein MDM-Anbieter kann Ihnen NIS2-Konformität verschaffen, und wer das behauptet, verkauft Ihnen etwas. Eine Geräteverwaltung zahlt auf Teile der Risikomanagementmaßnahmen aus Art. 21 ein: Zugriffskontrolle, Kryptografie, Asset-Inventar, Patchstand, Multi-Faktor-Authentifizierung. Risikoanalyse, Lieferkettensicherheit, Meldepflichten und Schulungen deckt sie nicht ab. Die ehrliche Formulierung lautet teilweise. Wie groß dieser Anteil ist, haben wir in unserem Beitrag zu NIS2 und mobilen Endgeräten aufgeschlüsselt.
Private oder unternehmenseigene Geräte
Die Entscheidung fällt vor der Produktauswahl, weil sie bestimmt, welche Registrierungsarten und welche Richtlinien Sie überhaupt brauchen.
Unternehmenseigene Geräte. Das Gerät gehört der Firma, die private Nutzung ist erlaubt oder untersagt. Sie haben die volle Kontrolle über Konfiguration, Apps und Zurücksetzen. In Logistik, Bau, Handel und Produktion ist das der Normalfall, oft mit robuster Hardware und Kiosk-Modus für eine einzige Anwendung.
Private Geräte (BYOD). Auf einem privaten Android-Gerät liegen Arbeits-Apps und Arbeitsdaten in einem Arbeitsprofil, einem von Android selbst durchgesetzten getrennten Bereich. Die Konsole listet ausschließlich die im Arbeitsprofil installierten Anwendungen; privat installierte Apps erscheinen dort nicht. Auf einem privaten iPhone installiert die Registrierung ein Verwaltungsprofil, das die Verwaltung auf die vom Unternehmen verteilten Apps und Konten beschränkt.
Eine Einschränkung, die Sie kennen sollten, bevor der Betriebsrat sie erfragt: die iOS-Seite ist kein technischer Container. Code-Vorgaben und ein Teil der Einschränkungen wirken auf dem gesamten Gerät, nicht nur auf den beruflichen Apps. Beim Austritt entfernt der Administrator unter Android das Arbeitsprofil, unter iOS die verwalteten Daten. Auf einem privaten Android-Gerät begrenzt Android den Löschbefehl selbst auf das Arbeitsprofil; ein Zurücksetzen auf Werkseinstellungen ist über die Konsole nicht möglich. Wie wir das im Detail abbilden, steht auf der Seite zu privaten Geräten im Unternehmenseinsatz.
Wichtig für die Planung: BYOD gilt für iOS und Android. Windows-PCs und Macs werden als unternehmenseigene Geräte verwaltet. Und die Nutzung privater Geräte lässt sich nicht anordnen, sie setzt Freiwilligkeit und eine Regelung voraus.
Die Funktionen, die im Vergleich wirklich entscheiden
Funktionslisten der Anbieter umfassen dreistellige Positionszahlen. Vier Bereiche trennen die Werkzeuge tatsächlich voneinander.
Registrierung
Fragen Sie nach der Zero-Touch-Registrierung: über Apple Business Manager für iPhones und Macs, über Android zero-touch und Knox Mobile Enrollment für Android. Das Gerät geht direkt vom Händler an den Arbeitsplatz und ist beim ersten Einschalten fertig konfiguriert. Ohne diesen Weg konfigurieren Sie jedes Gerät von Hand, und das skaliert ab etwa fünfzig Geräten nicht mehr. Daneben brauchen Sie die Registrierung per QR-Code für Bestandsgeräte und einen eigenen Weg für private Geräte.
Konfiguration und Sicherheitsrichtlinien
WLAN mit hinterlegtem Unternehmenszertifikat, VPN, Mail-Konten, alles ohne Eingabe durch den Nutzer. Dazu die Richtlinien, die eine Prüfung überstehen: Mindestlänge des Codes, automatische Sperre, Mindestversion des Betriebssystems, Nachweis der Speicherverschlüsselung, bedingter Zugriff, der nicht konforme Geräte von Unternehmensressourcen trennt. Entscheidend ist die Granularität: Richtlinien pro Gruppe, pro Standort, pro Geräteklasse. Ein einziges Regelwerk für alle passt keinem Unternehmen mit mehr als zwei Teams.
App-Verteilung
Öffentliche Apps über Managed Google Play und über Apps und Bücher im Apple Business Manager zu verteilen, beherrscht jedes Werkzeug. Der Unterschied zeigt sich bei internen Apps: eigene APK- und IPA-Dateien, versioniert, an definierte Gruppen, mit Rücknahme beim Austritt. Genau hier fallen leichtgewichtige Werkzeuge durch. Prüfen Sie außerdem die verwaltete App-Konfiguration, mit der Sie Server-Adressen und Mandanten-IDs vorbelegen, bevor der Nutzer die App zum ersten Mal öffnet.
Fernwartung
Wenn das Tablet einer Servicekraft dreihundert Kilometer entfernt hängt, entscheidet die Fernwartung über die Bearbeitungszeit. Bildschirmübertragung und Fernsteuerung sind bei einigen Anbietern ein kostenpflichtiges Zusatzmodul. Fragen Sie danach, bevor Sie Preise vergleichen.
MDM, EMM oder UEM
Drei Abkürzungen für denselben Markt, mit unterschiedlichem Umfang. MDM regelt das Gerät: Registrierung, Konfiguration, Richtlinien, Fernkommandos. EMM ergänzt die App-Verwaltung und die Verwaltung von Unternehmensdokumenten. UEM erweitert das Ganze auf alle Endgeräte, also auch Windows-PCs, Macs und IoT-Geräte, aus derselben Konsole.
In der Praxis enthalten die meisten heutigen MDM-Lösungen bereits EMM-Funktionen, und die Anbieter verwenden die Begriffe austauschbar. Klären Sie deshalb nicht die Abkürzung, sondern die konkrete Frage: welche Betriebssysteme und welche Verwaltungstiefe brauchen Sie? Wenn macOS oder Windows ein großer Teil Ihrer Geräteflotte sind, testen Sie diese Plattformen separat, statt Gleichwertigkeit mit der mobilen Seite anzunehmen.
Cloud oder eigener Betrieb, und die Frage nach der Jurisdiktion
Der Cloud-Betrieb ist der Normalfall: der Anbieter betreibt den Server, Sie arbeiten in der Web-Konsole, die Einrichtung dauert Stunden statt Wochen. Eigenbetrieb im Rechenzentrum lohnt sich nur bei getrennten Netzen oder sehr spezifischen Auflagen, etwa im Verteidigungsumfeld, und kostet dauerhaft Personal.
Bei der Souveränitätsfrage ist der Serverstandort allein nicht ausschlaggebend. Entscheidend ist, wem der Anbieter gehört und welchem Recht er unterliegt. Ein Rechenzentrum in Frankfurt schützt nicht vor Zugriffen, wenn der Mutterkonzern US-amerikanisch ist.
Für Appaloosa heißt das konkret: betrieben von einem französischen Unternehmen, gehostet in Frankreich, kein US-Mutterkonzern und damit kein US CLOUD Act. Was wir nicht vorweisen: eine Zertifizierung nach ISO 27001 und ein BSI C5-Testat. Die Hosting-Infrastruktur ist von der französischen Cybersicherheitsbehörde ANSSI nach SecNumCloud qualifiziert, das Produkt selbst nicht. Diese Unterscheidung prüfen deutsche Sicherheitsfragebögen genau, und sie ist der Grund, warum wir sie hier ausschreiben.
Vier Fehler, die Projekte teuer machen
- Den Betriebsrat zu spät einbinden. Der häufigste und teuerste Fehler. Sprechen Sie vor der Vertragsunterschrift, nicht vor dem Rollout-Termin.
- Für die heutige Geräteflotte kaufen. Hundert iPads jetzt, ein Apple-orientiertes Werkzeug gewählt, ein halbes Jahr später rollt die Logistik Android-Scanner aus. Dann betreiben Sie zwei Konsolen.
- Auf eine Demo statt auf einen Pilotbetrieb setzen. Registrieren Sie fünfzehn bis zwanzig echte Geräte, verteilen Sie Ihre eigenen internen Apps und testen Sie die Randfälle: ein Gerät eine Woche offline, dann wieder online. Eine App-Version zurückrollen. Wie schnell ein Löschbefehl wirkt.
- Nur auf den Listenpreis schauen. Übliche Spanne sind zwei bis acht Euro pro Gerät und Monat. Bei zweihundert Geräten liegen dazwischen mehr als zehntausend Euro im Jahr, und Zusatzmodule für Fernwartung, Kiosk-Modus oder Reporting verschieben die Rechnung noch einmal.
Wie Sie anfangen
Zählen Sie zuerst Ihre Geräte nach Betriebssystem, Eigentumsmodell und Einsatzzweck. Definieren Sie dann eine Sicherheitsbasis, die bewusst schmal beginnt und nach echten Vorfällen wächst, nicht nach hypothetischen. Richten Sie Apple Business Manager und Android Enterprise ein, beides kostenlos und für die volle Verwaltungstiefe notwendig. Und gehen Sie mit dem Entwurf der Betriebsvereinbarung parallel zur technischen Auswahl, statt danach.
Eine MDM-Lösung ist heute reife Technik. Der Unterschied zwischen einem Rollout in vier Wochen und einem in acht Monaten liegt fast nie an der Software.