Quick wins for a faster PC:
Repair Windows errors before they cause bigger problemsFix Now →Fix the driver behind crashes, sound loss and screen glitchesFind Drivers →Clear out junk files and repair common Windows errorsFree Scan →iTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
Ein MDM funktioniert nicht automatisch mit jedem Smartphone, Tablet oder Betriebssystem. Bei einer heterogenen Geräteflotte sollten Unternehmen deshalb vorab festlegen, welche Geräte sie zulassen, die Unterstützung für jedes konkrete Geräte- und Betriebssystem-Paar nachweisen lassen und Updates sowie den sicheren MDM-Betrieb über die gesamte Nutzungsdauer einplanen.
Warum eine gemischte Geräteflotte die MDM-Auswahl erschwert
Ein Mobile Device Management (MDM) verwaltet Geräte zentral. Unternehmen können damit Sicherheitsregeln durchsetzen, Anwendungen verteilen und bei einem Sicherheitsvorfall oder Verlust Maßnahmen auslösen. Das Ziel ist, auf verwalteten Geräten einen gleichen oder zumindest vergleichbaren Sicherheitsstandard zu erreichen, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Baustein SYS.3.2.2 „Mobile Device Management (MDM)“ beschreibt.
Doch die Unterstützung ist nicht bei allen Geräten und Betriebssystemen selbstverständlich. Das BSI warnt im Baustein SYS.3.2.1 „Allgemeine Smartphones und Tablets“: „Es kann jedoch bei der Vielzahl von unterschiedlichen mobilen Betriebssystemen nicht grundsätzlich vorausgesetzt werden, dass die Geräte in ein solches MDM eingebunden werden können.“ Auch eine allgemeine Anbieterzusage belegt daher nicht automatisch, dass jede Gerätegeneration oder jede gewünschte Verwaltungsfunktion unterstützt wird.
Eine heterogene Flotte macht außerdem Richtlinien, Tests und Fehlerbehebung aufwendiger: Eine Einstellung kann auf einer Plattform anders umgesetzt werden als auf einer anderen. Neben iPhones und Android-Geräten können unterschiedliche Betriebssystemstände, Gerätegenerationen, Nutzungsarten und Registrierungsmodelle relevant sein. Entscheidend ist nicht nur, ob ein Gerät grundsätzlich eingebunden werden kann, sondern ob sich die benötigten Sicherheits- und Verwaltungsanforderungen damit tatsächlich umsetzen lassen.
#1 Best Overall
Welche Geräte und Betriebssysteme sollten zugelassen werden?
Eine belastbare Auswahl beginnt mit den Anforderungen des Unternehmens und nicht mit einer möglichst langen Liste unterstützter Geräte. Legen Sie vor der Ausschreibung schriftlich fest, welche Informationen geschützt werden müssen und welche Geräte, Betriebssysteme und Einsatzarten dafür zulässig sind. Die BSI-Strategieempfehlung behandelt unter anderem Betriebsmodell, Integrationen, Compliance, Support und den vorgesehenen Verwaltungsumfang als Bestandteile der MDM-Planung: BSI IT-Grundschutz-Kompendium.
- Geräte und Betriebssysteme: Benennen Sie zugelassene Plattformen, Versionen und – soweit nötig – konkrete Geräteklassen oder Modelle.
- Verwaltungsumfang: Unterscheiden Sie Firmengeräte, gemeinsam genutzte Geräte und private Geräte mit Arbeitszugriff.
- Betriebsmodell: Entscheiden Sie, ob der MDM-Dienst in der Cloud oder selbst betrieben werden soll, und prüfen Sie dabei auch Anforderungen an die Mandantentrennung.
- Funktionen und Integrationen: Legen Sie fest, welche Richtlinien, Compliance-Kontrollen, App-Verteilung und Berechtigungen erforderlich sind und welche Identitäts-, Cloud-, Dokumenten- oder Peripheriedienste angebunden werden müssen.
- Betrieb und Support: Klären Sie Zuständigkeiten, Supportleistungen und Reaktionszeiten sowie die regelmäßige Prüfung auf Kompatibilität mit neuen Betriebssystemversionen.
Unterstützung konkret belegen lassen
Erstellen Sie eine Liste der freigegebenen Kombinationen aus Gerät und Betriebssystem und lassen Sie für jede Kombination bestätigen, welche benötigten Funktionen verfügbar sind. Fragen Sie auch nach Einschränkungen bestimmter Registrierungsarten und danach, wie Änderungen durch Betriebssystem-Updates behandelt werden. Prüfen Sie die Angaben anhand der tatsächlich benötigten Richtlinien und Abläufe – etwa App-Verteilung, Compliance-Prüfung oder eine Löschaktion – statt sich auf die pauschale Aussage „iOS und Android werden unterstützt“ zu verlassen.
Updates gehören zur Geräteauswahl
Ein Gerät kann technisch in ein MDM eingebunden sein und trotzdem ein Sicherheitsrisiko darstellen, wenn der Hersteller es nicht mehr mit Sicherheitsupdates versorgt. Berücksichtigen Sie deshalb schon bei der Beschaffung, wie lange Updates für das ausgewählte Gerät voraussichtlich bereitgestellt werden und ob dieser Zeitraum zur geplanten Nutzungsdauer passt. Das BSI empfiehlt, nicht mehr unterstützte Geräte auszusondern; seine Hinweise finden sich im Baustein SYS.3.2.1.
Planen Sie den Gerätewechsel nicht erst dann, wenn ein Update fehlt. Legen Sie fest, wer den Supportstatus beobachtet, wie betroffene Geräte erkannt werden und wann sie aus dem Betrieb genommen werden. Prüfen Sie außerdem nach größeren Betriebssystemänderungen, ob die MDM-Funktionen und Richtlinien weiterhin wie vorgesehen arbeiten.
MDM selbst sicher betreiben
Ein MDM ist nicht nur ein Verwaltungswerkzeug, sondern eine sicherheitsrelevante Anwendung mit weitreichenden Berechtigungen. Das BSI bezeichnet MDM-Lösungen als „komplexe Anwendungen mit typischerweise mehreren Hundert unterschiedlichen Regeln“ (SYS.3.2.2). Fehlerhafte Regeln oder zu weitreichende Berechtigungen können Vertraulichkeit, Verfügbarkeit oder Integrität beeinträchtigen.
- Vergeben Sie Rollen und Berechtigungen nach dem Minimalprinzip: Jede Person erhält nur Zugriff auf die Funktionen, die sie für ihre Aufgabe benötigt.
- Überprüfen Sie Konfigurationen, Sicherheitseinstellungen und Berechtigungen regelmäßig.
- Dokumentieren und versionieren Sie Änderungen an MDM-Regeln und berücksichtigen Sie dabei Änderungen an den verwalteten Betriebssystemen.
- Prüfen Sie regelmäßig, ob Richtlinien auf den freigegebenen Plattformen tatsächlich angewendet werden und ob Ausnahmen weiterhin erforderlich sind.
- Legen Sie für Verlust und Außerbetriebnahme vorab fest, welche dienstlichen Daten gelöscht werden dürfen und wie eine Aktion bei bestehender Verbindung ausgelöst wird.
Was kann der Arbeitgeber auf einem verwalteten Handy sehen?
Das hängt von Plattform, Registrierung, MDM-Konfiguration und eingesetzten Funktionen ab. MDM kann etwa Einstellungen, Anwendungen und Arbeitsdaten steuern; daraus lässt sich aber keine pauschale Aussage ableiten, welche Informationen eine Organisation bei einem bestimmten Gerät einsehen kann. Das BSI nennt Standortermittlung als mögliche Funktion und weist darauf hin, dass daraus Bewegungsprofile von Geräten und Benutzenden entstehen können (SYS.3.2.2).
Rank #4
- Used Book in Good Condition
Organisationen sollten deshalb konkret festlegen und verständlich mitteilen, welche Daten und Funktionen das Management betreffen können – insbesondere, ob und wann Standortfunktionen genutzt werden. Die Regeln müssen zur jeweiligen Organisation und Geräteart passen; aus einer allgemeinen Beschreibung von MDM folgt keine pauschale rechtliche Bewertung für einen individuellen Beschäftigungsfall.
BYOD: Geräteverwaltung oder nur Arbeits-Apps verwalten?
Bei BYOD – der Nutzung privater Geräte für den Arbeitszugriff – ist entscheidend, wie weit die Verwaltung reichen soll. Microsoft unterscheidet in seiner Dokumentation zu Mobile Application Management (MAM) zwischen MDM, das das Gerät als Ganzes verwaltet, und MAM, das Arbeitsanwendungen und deren Daten steuert, während die nutzende Person den übrigen Teil des Geräts kontrolliert. Microsoft beschreibt MAM als typischen Ansatz für BYOD.
Diese Unterscheidung hilft, Erwartungen vor der Registrierung zu klären: Die Verwaltung des gesamten Geräts ist nicht dasselbe wie der Schutz einzelner Arbeits-Apps. Welche Funktionen verfügbar sind und was sich löschen oder einschränken lässt, hängt von Plattform und Registrierungsmodell ab.
Fernlöschung vorab klären
Apple dokumentiert, dass Unternehmensdaten auf verwalteten Geräten aus der Ferne gelöscht werden können. Das belegt nicht, dass jede Plattform oder jede Art der Registrierung identisch funktioniert. Legen Sie daher vorab fest, welche dienstlichen Daten bei Verlust oder Ausscheiden entfernt werden dürfen, ob private Inhalte unberührt bleiben sollen und welche Voraussetzungen – etwa eine bestehende Verbindung – für die Aktion gelten. Die Möglichkeiten und Grenzen sollten Beschäftigten vor der Registrierung verständlich erklärt werden: Apple-Plattformbereitstellung.
Quick Recap
Checkliste für die MDM-Auswahl und den laufenden Betrieb
- Strategie festhalten: Definieren Sie Schutzbedarf, freigegebene Geräte und Betriebssysteme, Betriebsmodell, Integrationen, Compliance-Anforderungen, Support und Zuständigkeiten.
- Jede Kombination prüfen: Lassen Sie für jedes zugelassene Gerät und Betriebssystem die benötigten Funktionen und möglichen Einschränkungen konkret bestätigen.
- Updateversorgung einplanen: Berücksichtigen Sie die erwartete Sicherheitsupdateversorgung bei der Beschaffung und bestimmen Sie, wann Geräte ohne Herstellerupdates ausgemustert werden.
- Verwaltung begrenzen und prüfen: Vergeben Sie möglichst wenige Berechtigungen, kontrollieren Sie Regeln regelmäßig und halten Sie Änderungen nachvollziehbar fest.
- Datennutzung erklären: Informieren Sie Beschäftigte darüber, welche Gerätefunktionen und Daten verwaltet werden können; erläutern Sie bei BYOD den Unterschied zwischen Geräteverwaltung und Arbeits-App-Verwaltung.
- Notfallmaßnahmen definieren: Legen Sie fest, welche dienstlichen Daten bei Verlust oder Außerbetriebnahme gelöscht werden dürfen und wie die Löschung ausgelöst wird.
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
The Tool Desk
Outbyte PC Repair FREERepair Windows errors before they cause bigger problemsFix Now →Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →
