MDM-Profil

So funktioniert es

Bei Apple ist das MDM-Profil ein signiertes Konfigurationsprofil im .mobileconfig-Format, eine XML-Property-List mit der Server-URL, dem Push-Topic für APNs und einem Gerätezertifikat. Nutzer sehen es unter Einstellungen, VPN und Geräteverwaltung. Neben diesem Registrierungsprofil kann der Server weitere Konfigurationsprofile schicken: WLAN, E-Mail-Konto, Passcode-Regeln, Einschränkungen. Jedes ist ein eigener Payload und lässt sich einzeln zurückziehen.

Entscheidend ist, wie das Profil auf das Gerät kam. Bei manueller Installation kann der Nutzer es jederzeit entfernen. Bei Registrierung über Apple Business Manager (Automated Device Enrollment) ist das Profil nicht entfernbar, und das Gerät ist automatisch im betreuten Modus. Selbst nach einem Zurücksetzen auf Werkseinstellungen holt es sich das Profil beim nächsten Start wieder.

Android kennt den Begriff so nicht. Dort übernimmt die Verwaltungs-App des MDM-Anbieters als Device Owner oder Profile Owner die Rolle, und die Richtlinien kommen als Managed Configurations. Windows spricht von einem Enrollment, das über CSPs gesteuert wird, aber im Alltag sagen viele Admins auch hier „Profil“.

Seit iOS 17 und macOS 14 setzt Apple zunehmend auf Declarative Device Management. Das Profil bleibt, aber Einstellungen kommen als Deklarationen, deren Einhaltung das Gerät selbst prüft, statt auf jeden Serverbefehl zu warten.

Warum es für eine Geräteflotte wichtig ist

Ein entfernbares Profil ist eine Sicherheitslücke. Ein Mitarbeiter, dem die Kamerasperre nicht passt, löscht das Profil in zehn Sekunden, und das Gerät verschwindet aus Ihrem Inventar. Deshalb gehören Firmengeräte über Apple Business Manager registriert, nicht per Link oder QR-Code.

Auf privaten Geräten gilt das Gegenteil. Dort will der Nutzer das Profil entfernen können, und die Datenschutzbehörden erwarten das auch. Der Kompromiss: Das MDM verwaltet nur die Arbeits-Apps, die es selbst installiert hat, und die verschwinden mit dem Profil.

Profile veralten. Ein WLAN-Zertifikat läuft ab, eine Server-URL zieht um. Wer Profile pro Gruppe pflegt statt pro Gerät, tauscht dann einen Payload und nicht fünfhundert.

So handhabt es Appaloosa

Appaloosa erzeugt das MDM-Profil bei der Registrierung automatisch, ob per Apple Business Manager, Android Zero-Touch, Windows Autopilot oder BYOD-Link. Auf Firmengeräten ist es nicht entfernbar, auf privaten iPhones bleibt die Verwaltung auf die verteilten Arbeits-Apps und -Konten beschränkt, unter Android auf das Arbeitsprofil. Konfigurationen wie WLAN, Passcode-Regeln und Kiosk-Modus werden pro Gerätegruppe verteilt, wie auf der Seite zum Mobile Device Management beschrieben.