Benutzerregistrierung (User Enrollment)

So funktioniert es

Apple hat die Variante mit iOS 13 eingeführt und seit iOS 15 als kontobasierte Benutzerregistrierung überarbeitet, die über die Anmeldung mit der verwalteten Apple-ID in den Einstellungen startet. Technisch entsteht auf dem Gerät ein separates APFS-Volume mit eigenem Schlüssel für verwaltete Apps und deren Daten. Verwaltete Notizen, Kalender, Mail und Dateien bleiben dort, privater Inhalt bleibt außerhalb.

Was die IT darf, ist bewusst begrenzt. Kein Zugriff auf die Seriennummer oder die IMEI, keine Inventarliste privater Apps, kein Zurücksetzen des Geräts, kein Standortabruf, keine Sperre des Geräts. Erlaubt sind Verteilung verwalteter Apps, App-Konfiguration, Zertifikate, VPN für verwaltete Apps, Anforderung eines Sperrcodes mit sechs Ziffern und die Löschung des Arbeitsbereichs.

Dem gegenüber stehen Gerätregistrierung und die betreute Registrierung über Automated Device Enrollment für Firmengeräte, die volle Kontrolle erlauben. Die Wahl ist also keine technische Feinheit, sondern eine Entscheidung darüber, wem das Gerät gehört. Das Gegenstück bei Android heißt Arbeitsprofil und funktioniert nach demselben Prinzip mit einem separaten Profil statt eines Volumes.

Warum es für eine Flotte wichtig ist

In Deutschland ist die Trennung nicht nur nett, sondern praktisch die Bedingung für BYOD. Eine Geräteverwaltung, die auf einem Privattelefon den Standort sehen, Apps auflisten oder das Gerät löschen kann, bekommt vom Betriebsrat keine Zustimmung und vom Datenschutzbeauftragten Bedenken. Benutzerregistrierung beantwortet diese Einwände technisch, nicht durch eine Zusage in einer Richtlinie.

Für den Austritt eines Mitarbeiters ist es der sauberste Fall, den es gibt. Ein Befehl entfernt Arbeits-Apps, Postfach, Dokumente und Zertifikate, und die privaten Fotos, Chats und Apps bleiben unberührt. Kein Gespräch darüber, ob die IT das Urlaubsalbum gelöscht hat.

Rechnen Sie aber mit den Grenzen. Verloren-Modus, Kioskmodus, erzwungene Systemupdates und vollständige Löschung stehen nicht zur Verfügung. Für Rollen mit Zugriff auf besonders sensible Daten, für Kassensysteme oder für Geräte im Außendienst sollten Sie Firmengeräte mit betreuter Registrierung einsetzen und BYOD auf die Fälle beschränken, in denen der Komfort den Kontrollverlust aufwiegt.

So handhabt es Appaloosa

Appaloosa setzt Apples User Enrollment nicht ein. Private iPhones und iPads werden über einen BYOD-Link registriert, den die Person auf dem Gerät öffnet; er installiert ein Verwaltungsprofil, das auf Geschäfts-Apps und -Konten begrenzt ist: verwaltete Apps mit Konfiguration, Zertifikate, Konformitätsregeln und ein selektives Löschen, das nur Firmen-Apps und -Konten entfernt. Der Kompromiss unterscheidet sich vom User Enrollment: keine verwaltete Apple-ID nötig, und die IT behält mehr Kontrolle über die verwalteten Apps. Das Arbeitsprofil ist das Android-Gegenstück.

Appaloosa unterstützt die Benutzerregistrierung für Apple-Privatgeräte und das Arbeitsprofil auf Android, verteilt verwaltete Apps mit Konfiguration und Zertifikaten in den Arbeitsbereich, prüft Sperrcode und Systemstand als Konformitätsbedingung und löscht beim Austritt ausschließlich den Arbeitsbereich. Firmengeräte laufen parallel über Automated Device Enrollment, siehe die Seite zum iOS-MDM.