Glossar

Samsung Knox

Samsung Knox ist die in Galaxy-Smartphones, -Tablets und robusten Samsung-Geräten integrierte Sicherheitsplattform, die hardwaregestützten Schutz mit Verwaltungsdiensten für Unternehmen verbindet. Für ein IT-Team bedeutet das zweierlei: ein Gerät, das seine eigene Integrität vom Chip an prüft, und Werkzeuge wie Knox Mobile Enrollment und Knox-Einstellungen, die ein MDM zusätzlich zu Android Enterprise nutzen kann.

So funktioniert es

Knox beginnt im Silizium. Samsung verankert eine Hardware-Vertrauensbasis in seinen Prozessoren und prüft jede Startphase dagegen: Bootloader, Kernel, System. Wurde eine Phase manipuliert, kippt ein unumkehrbares Bit (das Knox Warranty Bit), und Knox-geschützte Funktionen verweigern den Dienst. Samsung liefert das seit 2013 aus, und der mit dem Galaxy S21 im Jahr 2021 eingeführte Sicherheitsprozessor Knox Vault speichert Schlüssel, PINs und biometrische Daten inzwischen in isolierter Hardware.

Auf dieser Grundlage stellt Samsung Einstellungen bereit, die Standard-Android nicht kennt: Firewall-Regeln, APN-Steuerung, Sperren des USB-Ports für alles außer Laden, feine Hardwaresteuerung auf robusten Modellen. Seit Android Enterprise der Standard ist, erreichen diese Einstellungen das MDM über OEMConfig mit dem Knox Service Plugin, nicht mehr über einen Samsung-eigenen Agenten.

Dazu kommen die Cloud-Dienste. Knox Mobile Enrollment (KME) ist Samsungs Gegenstück zu Googles Zero-Touch: Ein bei einem Knox-Händler gekauftes Gerät erscheint im KME-Portal und registriert sich beim ersten Start in Ihrem MDM, ganz ohne QR-Code. Knox Configure und Knox Guard ergänzen Vorkonfiguration und Diebstahlsperre für Kunden, die das brauchen.

Warum es für eine Flotte wichtig ist

Samsung verkauft die Mehrheit der in europäischen Unternehmen eingesetzten Android-Geräte, daher entscheidet Knox oft darüber, ob eine Kontrolle nur auf dem Papier existiert oder tatsächlich auf dem Gerät greift. Eine Firewall-Regel oder eine USB-Sperre, die Android von Haus aus nicht bietet, wird verfügbar, weil der Hersteller sie freigibt.

Die Attestierung zählt für die Compliance. Meldet Knox, dass ein Gerät sauber gestartet ist, ist das eine Aussage der Hardware, keine Schätzung der Software. Sicherheitsteams unter NIS2 oder mit einem SOC, das nach gerooteten Geräten fragt, bekommen eine Antwort, die sie protokollieren können.

Die Grenze ist offensichtlich: Knox gibt es nur bei Samsung. Eine gemischte Flotte mit Zebra-Scannern und Pixel-Telefonen braucht eine Verwaltungsebene, die Knox als eine Herstellererweiterung unter mehreren behandelt, nicht als Grundlage.

So handhabt es Appaloosa

Appaloosa verwaltet Samsung-Geräte über Android Enterprise und ergänzt die Knox-Ebene dort, wo sie nützt: Registrierung über Knox Mobile Enrollment oder Google Zero-Touch, Knox-Einstellungen per OEMConfig mit dem Knox Service Plugin, dazu dieselbe App-Verteilung, derselbe Kioskmodus und dieselbe Fernlöschung wie auf jedem anderen Android-Gerät. Alles läuft über die Konsole, die auf der Seite zum Android-MDM beschrieben ist.

Entdecken

Die ganze Plattform

Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.

Appaloosa entdecken →

Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen

Häufige Fragen

Brauche ich eine Knox-Lizenz, um Samsung-Geräte mit einem MDM zu verwalten?

Für die Grundfunktionen nicht. Android-Enterprise-Verwaltung, Knox Mobile Enrollment und das Knox Service Plugin über OEMConfig sind auf unterstützten Galaxy-Geräten kostenlos. Samsung berechnet einige Premiumdienste wie Knox Guard oder Knox Manage, die Sie nur brauchen, wenn Ihr MDM diese Funktionen nicht ohnehin abdeckt.

Was unterscheidet Knox Mobile Enrollment von Zero-Touch?

Beide registrieren ein Firmengerät automatisch beim ersten Start, ohne QR-Code. Zero-Touch ist Googles Programm und funktioniert markenübergreifend, KME ist das von Samsung und nur auf Galaxy-Geräten nutzbar. Seit 2021 lassen sich Geräte in beiden Portalen eintragen, die meisten Flotten bleiben aber der Einfachheit halber bei einem.

Kann Knox mir sagen, ob ein Gerät gerootet wurde?

Ja. Das Knox Warranty Bit kippt dauerhaft, wenn ein Gerät inoffizielle Firmware startet oder gerootet wird, und die Knox-Attestierung meldet das. Das MDM kann das Gerät dann als nicht konform markieren, Arbeits-Apps sperren oder es löschen. Das Bit lässt sich nie zurücksetzen, auch nicht nach Neuinstallation der offiziellen Firmware.