Glossar

Compliance-Richtlinie

Eine Compliance-Richtlinie ist ein Satz von Bedingungen, die ein verwaltetes Gerät erfüllen muss, um als vertrauenswürdig zu gelten: Mindestversion des Betriebssystems, aktiver Sperrcode, eingeschaltete Verschlüsselung, kein Jailbreak, installierte Pflicht-Apps. Das MDM prüft jedes Gerät laufend gegen die Richtlinie und löst eine Aktion aus, sobald ein Gerät aus dem Rahmen fällt.

So funktioniert es

Eine Richtlinie besteht aus einer Liste von Prüfungen und einer Liste von Konsequenzen. Die Prüfungen werden bei jedem Check-in vom Gerät gelesen: OS-Version und Patch-Stand, Stärke des Sperrcodes, Speicherverschlüsselung, Jailbreak- oder Root-Zustand, Vorhandensein einer Pflicht-App, Datum des letzten Kontakts. Manche MDM-Systeme nehmen auch externe Signale an, etwa den Risikowert eines Mobile-Threat-Defense-Agenten.

Jede Prüfung hat einen Schwellenwert, den Sie festlegen. iOS 17 oder neuer zum Beispiel, oder ein sechsstelliger Code. Bestehen alle Prüfungen, ist das Gerät konform. Scheitert eine, wird das Gerät als nicht konform markiert und die Konsequenzen greifen, meist stufenweise: zuerst eine Benachrichtigung an den Nutzer, nach einer Karenzzeit von einigen Tagen eine Sperre der verwalteten Apps, und wenn sich nichts ändert eine selektive Löschung.

Die Karenzzeit macht Richtlinien erträglich. Ohne sie verliert ein Nutzer, der das iOS-Update von gestern Abend nicht installiert hat, um 8 Uhr morgens den Zugriff auf seine E-Mails. Mit ihr bekommt er drei Tage und eine Erinnerung.

Warum es für eine Flotte wichtig ist

Compliance-Richtlinien machen aus einem Sicherheitsstandard etwas Messbares. Eine schriftliche Regel „alle Geräte müssen verschlüsselt sein“ ist eine Absicht. Eine Richtlinie, die 412 von 420 Geräten als verschlüsselt meldet und die acht anderen auflistet, ist ein Nachweis. Genau diesen Unterschied fragen Prüfer ab, und genau das erwartet NIS2 (Richtlinie 2022/2555, Artikel 21) von Ihnen. Das BSI formuliert es im IT-Grundschutz ähnlich: Eine Vorgabe zählt erst, wenn sie kontrolliert wird.

Richtlinien skalieren zudem dort, wo manuelle Kontrollen aufhören. Bei 50 Geräten können Sie durchs Büro gehen. Bei 500, verteilt auf drei Länder und zwei Betriebssysteme, nicht mehr. Die Richtlinie übernimmt die Prüfung alle paar Stunden für Sie.

Ein Kompromiss, den Sie im Blick behalten sollten: Strenge Richtlinien erzeugen Reibung. Verlangen Sie das neueste System innerhalb von 24 Stunden nach Erscheinen, sperren Sie bei jedem Apple-Update die halbe Flotte. Die meisten Teams setzen die OS-Schwelle eine Version hinter die aktuelle und ziehen sie nur bei einer bekannten kritischen Schwachstelle an.

So handhabt es Appaloosa

In Appaloosa definieren Sie Compliance-Regeln pro Gerätegruppe, damit Außendienst-Tablets und Telefone der Geschäftsführung nicht dieselben Schwellen teilen. Jede Regel verbindet Bedingungen (OS-Version, Sperrcode, Verschlüsselung, Jailbreak-Zustand, Pflicht-Apps, letzter Check-in) mit einer Aktion: benachrichtigen, Zugriff auf verwaltete Apps einschränken oder Arbeitsdaten löschen. Die Konsole zeigt den Compliance-Zustand jedes Geräts und den Grund für einen Verstoß, was in der Regel reicht, um das Problem mit einem Anruf beim Nutzer zu lösen.

Da die Compliance in derselben Plattform für Mobile Device Management geprüft wird, die auch die Konfigurationen verteilt, lässt sich ein auffälliges Gerät direkt korrigieren: fehlende App nachschieben, Sperrcode erzwingen oder das OS-Update vom selben Bildschirm aus anstoßen.

Demo buchen

Sehen Sie Appaloosa auf Ihrer Flotte

Ein 20-minütiges Gespräch zu Ihrem Setup. Registrierung, private Apps, Sicherheit.

Demo buchen →

Die ganze Plattform Appaloosa entdecken

Häufige Fragen

Wie oft wird die Compliance geprüft?

Bei jedem Check-in des Geräts, den die meisten MDM-Systeme alle paar Stunden planen und zusätzlich bei Ereignissen wie einem Neustart oder einer Richtlinienänderung auslösen. Ein Gerät, das sich seit Tagen nicht gemeldet hat, ist selbst ein Compliance-Signal, weil Sie seinen Zustand nicht kennen. Legen Sie deshalb eine maximale Funkstille in der Richtlinie fest.

Was soll passieren, wenn ein Gerät nicht mehr konform ist?

Beginnen Sie mit einer Benachrichtigung an den Nutzer und einer kurzen Karenzzeit, typischerweise 3 bis 7 Tage. Schränken Sie danach den Zugriff auf verwaltete Apps und Unternehmensressourcen ein. Die Löschung bleibt Geräten vorbehalten, die dauerhaft nicht konform oder nachweislich verloren sind. So wird kein Gerät wegen eines verspäteten Updates gelöscht.

Darf sich eine Compliance-Richtlinie zwischen Firmen- und BYOD-Geräten unterscheiden?

Ja, und das sollte sie. Auf firmeneigenen Geräten können Sie eine bestimmte OS-Version verlangen, App-Stores sperren und die Vollverschlüsselung erzwingen. Auf BYOD-Geräten kontrollieren Sie nur das Arbeitsprofil, also prüft die Richtlinie diesen Bereich: Arbeits-Apps vorhanden, Sperrcode gesetzt, kein Jailbreak. Halten Sie die BYOD-Regeln leichter und beschränken Sie die Konsequenzen auf die Arbeitsdaten.