Verwaltete Apple-ID

So funktioniert es

Die Konten entstehen in Apple Business Manager, entweder manuell, per SCIM-Bereitstellung oder über die Verbundauthentifizierung, die Anmeldungen an Microsoft Entra ID oder Google Workspace weiterleitet. Im letzten Fall nutzen Mitarbeiter ihr gewohntes Firmenpasswort samt MFA, und Sie verwalten die Lebensdauer des Kontos an einer Stelle. Die Adresse trägt Ihre Domäne, die Sie im Portal nachweisen müssen.

Funktional ist eine verwaltete Apple-ID bewusst beschnitten. Keine Käufe im App Store, kein Apple Pay, keine Anmeldung an einem privaten Gerät mit vollem Zugriff, und iCloud-Dienste nur, soweit Sie sie freigeben. Dafür bekommen Sie Rollen, das Zurücksetzen von Passwörtern durch Administratoren und die Möglichkeit, beim Austritt die Daten des Kontos zu übernehmen oder zu löschen. Seit 2023 lassen sich verwaltete Konten auch mit Apple Business Essentials und mit Deklarationen im modernen Verwaltungsmodell verknüpfen.

Zwei Einsatzszenarien tragen das Konzept. Bei der Benutzerregistrierung auf einem Privatgerät trennt die verwaltete Apple-ID den Arbeitsbereich kryptografisch vom privaten Teil: Arbeitsdaten liegen in einem eigenen APFS-Volume, verknüpft mit dem Firmenkonto. Beim geteilten iPad melden sich mehrere Personen nacheinander mit ihrem jeweiligen Konto an, jede mit eigenem Datenbereich.

Warum es für eine Flotte wichtig ist

Ohne verwaltete Konten hängen Firmendaten an privaten Apple Accounts. Das klingt harmlos, bis jemand das Unternehmen verlässt: Die App-Zuweisungen, der iCloud-Inhalt und gelegentlich die Aktivierungssperre gehören dann einer Person, nicht Ihnen. Wir haben Flotten gesehen, in denen iPads monatelang unbenutzbar waren, weil der frühere Besitzer die Aktivierungssperre mit seinem privaten Konto gesetzt hatte.

Für BYOD ist die verwaltete Apple-ID die Grundlage dafür, dass Sie überhaupt etwas verwalten dürfen, ohne das Privatgerät anzufassen. Der Mitarbeiter behält sein privates Konto, seine Fotos und sein Telefon. Sie verwalten nur den Arbeitsbereich und löschen beim Austritt nur diesen. Das ist in Deutschland auch der Punkt, der Betriebsrat und Datenschutzbeauftragten überzeugt.

Der Aufwand liegt in der Einrichtung: Domäne nachweisen, Verbund mit dem Identitätsanbieter konfigurieren, Adresskonflikte mit privaten Apple Accounts derselben Domäne auflösen. Dieser letzte Schritt wird oft vergessen und kostet Zeit, weil betroffene Mitarbeiter ihr privates Konto umbenennen müssen.

So handhabt es Appaloosa

Appaloosa verbindet sich mit Apple Business Manager, nutzt verwaltete Apple-IDs für geteilte iPads (Privatgeräte werden über einen BYOD-Link registriert, nicht per User Enrollment), verteilt Apps über VPP und Custom Apps und löscht beim Austritt gezielt den Arbeitsbereich. Firmengeräte laufen parallel über Automated Device Enrollment, wie die Seite zum iOS-MDM beschreibt.