Glossar

Device-Owner-Modus

Der Device-Owner-Modus ist der Verwaltungsmodus von Android Enterprise, in dem die MDM-App die vollständige Kontrolle über ein Gerät erhält, von den Systemeinstellungen bis zur Fernlöschung. Für ein IT-Team ist er die richtige Wahl für Firmengeräte ohne private Nutzung, weil nur dieser Modus Kiosk-Betrieb, Sperren von Werksreset und Steuerung aller Apps erlaubt.

So funktioniert es

Android vergibt die Rolle Device Owner genau einmal, und zwar nur während der Ersteinrichtung nach einem Werksreset. Die MDM-App wird dabei zum Besitzer des Geräts und erhält Rechte, die keine andere App bekommt: Apps still installieren und deinstallieren, Systemeinstellungen sperren, den Werksreset unterbinden, einen Kiosk-Modus (Lock Task Mode) aktivieren, Netzwerke setzen und Nutzerkonten verbieten. Google hat den Modus mit Android 5.0 Lollipop im Jahr 2014 eingeführt.

Der Weg in den Modus führt über vier Türen. Zero-Touch, seit 2017, bei dem der Händler das Gerät im Zero-Touch-Portal registriert und es sich beim ersten Start selbst konfiguriert. Knox Mobile Enrollment, das Gegenstück von Samsung. Ein QR-Code, den man beim Willkommensbildschirm sechsmal antippt und scannt. Und das Token afw# im Google-Login-Feld, das seit Android 7 funktioniert, aber laut Google seit 2024 nur noch als Rückfalloption gedacht ist.

Seit Android 11 gibt es eine Variante: das Arbeitsprofil auf einem firmeneigenen Gerät (COPE). Die Firma bleibt Besitzer, kann aber im privaten Teil nur noch eingeschränkt eingreifen. Der reine Device-Owner-Modus heißt in der Google-Terminologie „vollständig verwaltetes Gerät“, und ein vollständig verwaltetes Gerät im Kiosk-Modus „dediziertes Gerät“.

Warum es für eine Geräteflotte wichtig ist

Ein Gerät im Device-Owner-Modus lässt sich nicht loswerden. Der Nutzer kann die MDM-App weder deinstallieren noch deaktivieren, und Factory Reset Protection sorgt dafür, dass ein Werksreset das Gerät bei der Neueinrichtung sofort wieder an die Verwaltung bindet. Für Firmengeräte ist das der gewünschte Zustand.

Der Modus ist die Voraussetzung für alles, was Scanner und Terminals brauchen: Kiosk-Modus mit einer einzigen App, gesperrte Statusleiste, deaktivierte Hardwaretasten, Update-Fenster in der Nacht. Im Arbeitsprofil geht davon nichts.

Er hat auch eine Kehrseite. Auf einem Gerät, das der Mitarbeiter privat mitnutzt, sieht die IT theoretisch alles und könnte alles löschen. Betriebsräte und Datenschutzbeauftragte lehnen das für Privatgeräte zu Recht ab, und für Firmengeräte mit privater Nutzung ist COPE der bessere Kompromiss.

Die Entscheidung fällt einmal. Wer bei der Registrierung das Arbeitsprofil wählt, kommt ohne Werksreset nicht mehr zum Device Owner.

So handhabt es Appaloosa

Appaloosa registriert Firmengeräte im Device-Owner-Modus über Zero-Touch, Knox Mobile Enrollment oder QR-Code und steuert sie dann vollständig: App-Verteilung über Managed Google Play oder als eigene APK, Kiosk-Modus für dedizierte Geräte, OEMConfig für Samsung und andere Hersteller, Compliance-Regeln, Fernlöschung und Fundmodus. Für Privatgeräte nutzt Appaloosa stattdessen das Arbeitsprofil. Beide Wege sind auf der Seite zum Android-MDM beschrieben.

Entdecken

Die ganze Plattform

Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.

Appaloosa entdecken →

Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen

Häufige Fragen

Kann ich ein bereits genutztes Gerät nachträglich in den Device-Owner-Modus bringen?

Nur über einen Werksreset. Android vergibt die Rolle ausschließlich während der Ersteinrichtung. Sichern Sie vorher die Daten, setzen Sie das Gerät zurück und registrieren Sie es per QR-Code, afw# oder Zero-Touch neu. Bei größeren Stückzahlen lohnt es, die Geräte nachträglich im Zero-Touch-Portal eintragen zu lassen, was viele Händler anbieten.

Was ist der Unterschied zwischen Device Owner und Profile Owner?

Der Device Owner kontrolliert das ganze Gerät, der Profile Owner nur das Arbeitsprofil, einen abgetrennten Container für Firmen-Apps auf einem sonst privaten Gerät. Der Profile Owner kann weder das Gerät löschen noch die private Kamera sperren noch einen Kiosk-Modus aktivieren. Für Privatgeräte ist das genau richtig, für Firmengeräte zu wenig.

Sieht die IT im Device-Owner-Modus alle Daten auf dem Gerät?

Sie sieht die Liste der installierten Apps, den Gerätezustand, Netzwerkinformationen und, bei aktiviertem Fundmodus, den Standort. Inhalte von Nachrichten, Fotos oder Browserverlauf überträgt Android Enterprise nicht an das MDM. Trotzdem gilt: Der Modus ist für Geräte gedacht, die dem Unternehmen gehören und dienstlich genutzt werden, nicht für private Telefone.