Glossar

Factory Reset Protection

Factory Reset Protection (FRP) ist ein Diebstahlschutz von Android, der ein Gerät nach dem Zurücksetzen auf Werkseinstellungen gesperrt hält, bis sich ein Konto anmeldet, das vor der Löschung darauf eingerichtet war. Auf einem verwalteten Gerät kann das MDM die zugelassenen Konten festlegen, sodass ein gestohlenes oder zurückgesetztes Firmentelefon außerhalb der Flotte unbrauchbar bleibt.

So funktioniert es

Google führte FRP 2015 mit Android 5.1 ein, nachdem Smartphone-Diebstahl in mehreren US-Städten zum Politikum geworden war. Der Mechanismus ist simpel: Wird ein Google-Konto auf einem Gerät hinzugefügt, landet seine Kennung in einer kleinen geschützten Partition, die ein Zurücksetzen übersteht. Nach dem Reset liest der Einrichtungsassistent diese Partition und verweigert die Fortsetzung, bis sich ein passendes Konto anmeldet.

Der rechtmäßige Besitzer, der sein eigenes Telefon zurücksetzt, merkt davon nichts. Ein Dieb, der es über den Recovery-Modus löscht, landet auf dem Google-Konto-Bildschirm und kommt nicht weiter. Seit Android 7 greift die Sperre auch, wenn das Gerät per Kabel oder Fastboot zurückgesetzt wird, was die einfachen Umgehungen schließt.

Auf einem Android-Enterprise-Gerät übernimmt das MDM diese Einstellung. Der Administrator kann FRP ganz abschalten, was bei häufig neu provisionierten Kiosken üblich ist, oder, nützlicher, eine oder mehrere Kennungen von Firmen-Google-Konten als einzige Konten hinterlegen, die das Gerät nach einem Reset entsperren dürfen. Diese Konten müssen auf dem Gerät nicht angemeldet sein: FRP prüft die Liste, nicht die aktive Sitzung.

Samsung legt auf Galaxy-Geräten eine eigene Schicht darüber, und Knox Guard kann bei finanzierter oder geleaster Hardware zusätzlich zu FRP aus der Ferne sperren.

Warum es für eine Flotte wichtig ist

Ohne konfiguriertes FRP wird ein vollständig verwaltetes Gerät nach dem Zurücksetzen zu einem sauberen Konsumententelefon. Wer es in der Hand hält, richtet es mit einem beliebigen Konto ein, und Ihre einzige Spur ist ein Gerät, das sich nicht mehr meldet. Mit FRP, das an ein Firmenkonto gebunden ist, bleibt dasselbe Telefon für jeden außer Ihrem IT-Team ein Briefbeschwerer.

Das Risiko wirkt auch in die andere Richtung. War zuletzt ein privates Google-Konto auf dem Gerät und der Mitarbeiter ist weg, kann es nach einem Reset niemand mehr entsperren. Flottenverantwortliche lernen das an dem Tag, an dem 20 Geräte aus einer Tochtergesellschaft zurückkommen und die Hälfte ein Passwort verlangt, das niemand kennt. Die zugelassenen Konten vor dem Rollout festzulegen und zu dokumentieren verhindert genau das.

So handhabt es Appaloosa

Appaloosa verwaltet Factory Reset Protection auf vollständig verwalteten und dedizierten Android-Geräten: Sie aktivieren oder deaktivieren es per Richtlinie und hinterlegen die Firmen-Google-Konten, die ein Gerät nach dem Zurücksetzen entsperren dürfen. Zusammen mit Fernlöschung und einem im Einstellungsmenü gesperrten Werksreset schließt das die Lücke bei verlorener oder gestohlener Hardware. Der Rest des Sicherheitswerkzeugkastens steht auf der Seite zum Android-MDM.

Entdecken

Die ganze Plattform

Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.

Appaloosa entdecken →

Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen

Häufige Fragen

Funktioniert FRP, wenn auf dem Gerät kein Google-Konto liegt, sondern nur eine MDM-Registrierung?

Ja, sobald das MDM die zugelassenen Konten festlegt. Android-Enterprise-Geräte werden oft ohne sichtbares Google-Konto registriert, FRP wäre also sonst inaktiv. Das MDM schreibt eine oder mehrere Firmenkonto-Kennungen in die geschützte Partition, und nur diese werden nach einem Reset akzeptiert.

Wie entsperre ich ein Firmengerät, das auf dem FRP-Bildschirm hängt?

Melden Sie sich mit einem der Konten an, die das MDM als zugelassen hinterlegt hat, typischerweise ein gemeinsames IT-Google-Konto, dessen Zugangsdaten im Passwortmanager liegen. War das Gerät nie verwaltet und der frühere Nutzer ist weg, hilft nur der ursprüngliche Kontoinhaber oder ein Kaufbeleg beim Hersteller.

Sollte ich FRP auf Kioskgeräten deaktivieren?

Nur wenn sie häufig neu provisioniert werden und das Gebäude nie verlassen. Für alles Mobile lassen Sie FRP mit einem zugelassenen Firmenkonto aktiv. Die Neuprovisionierung kostet eine Anmeldung, ein deaktiviertes FRP dagegen macht aus jedem Reset ein weiterverkaufbares Gerät.