Verwaltung mobiler Endgeräte

Was ist Mobile Device Management (MDM)?

MDM, deutsch zentrale Geräteverwaltung

Mobile Device Management, kurz MDM, ist ein zentraler Dienst, über den ein Unternehmen Notebooks, Smartphones und Tablets registriert, mit Einstellungen und Programmen versorgt, Sicherheitsvorgaben durchsetzt und Geräte bei Verlust aus der Ferne sperrt oder löscht.

Ein verlorenes Diensttelefon ist kein Hardwareschaden, sondern die Frage, wer jetzt Zugriff auf Postfach, Dateien und gespeicherte Anmeldungen hat.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Verwaltet: Notebooks, Smartphones und Tablets
Entscheidend: Die Art der Registrierung
Kann: Sperren, löschen, Firmendaten abtrennen
Verwechselt mit: Unified Endpoint Management

Die Art der Registrierung entscheidet über alles Weitere

Ein Gerät, das beim Händler direkt der Firma zugeordnet wurde, meldet sich beim ersten Einschalten selbst am Verwaltungsdienst an, und niemand kann diese Bindung am Gerät wieder aufheben. Diese Zuordnung ab Werk ist der Unterschied zwischen einem verwalteten Firmengerät und einem Gerät, auf dem jemand freiwillig ein Profil installiert hat.

Bei privaten Geräten wird bewusst weniger tief eingegriffen. Dort werden nur die dienstlichen Programme und Daten verwaltet, und beim Ausscheiden verschwindet genau dieser Teil. Wer beide Fälle nicht sauber trennt, landet früher oder später in der unangenehmen Lage, ein privates Telefon vollständig gelöscht zu haben.

Profile, Programme und Vorgaben

Über Konfigurationsprofile kommen WLAN-Zugänge, VPN-Einstellungen, Zertifikate, Mailkonten und Druckerlisten auf das Gerät, ohne dass jemand etwas abtippen muss. Programme werden aus dem hinterlegten Firmenbestand still installiert, aktualisiert und bei Bedarf wieder entfernt.

Zusätzlich lassen sich Vorgaben erzwingen, etwa Bildschirmsperre mit Mindestlänge, Verschlüsselung des Datenträgers oder das Blockieren bestimmter Funktionen. Entscheidend ist die Prüfung, ob ein Gerät diese Vorgaben tatsächlich erfüllt, denn erst daran lässt sich der Zugriff auf Firmendaten koppeln. Ohne diese Kopplung ist die Verwaltung eine Empfehlung, keine Kontrolle.

Was beim Fernlöschen wirklich passiert

Es gibt zwei Stufen. Das vollständige Löschen setzt das Gerät in den Auslieferungszustand zurück und entfernt auch private Inhalte. Das selektive Löschen entfernt nur Firmenkonten, verwaltete Programme und deren Daten und lässt den Rest unangetastet. Welche Stufe zulässig ist, hängt daran, wem das Gerät gehört und was schriftlich vereinbart wurde.

Beide Befehle wirken erst, wenn das Gerät wieder Kontakt zum Dienst hat. Ein ausgeschaltetes oder in Flugmodus versetztes Telefon ist damit nicht erreichbar. Deshalb ist die vorbeugende Verschlüsselung samt kurzer Sperrzeit der eigentliche Schutz, das Fernlöschen ist nur die Ergänzung.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Nicht verwechseln

Mobile Device Management und was oft damit gleichgesetzt wird

Mobile Device Management gegen Softwareverteilung

Klassische Verteilwerkzeuge setzen ein Gerät im Firmennetz voraus und arbeiten mit Agenten und Paketen. MDM funktioniert über das Internet, nutzt die eingebauten Schnittstellen des Betriebssystems und erreicht Geräte auch im Homeoffice.

Mobile Device Management gegen Unified Endpoint Management

UEM ist die Erweiterung auf alle Geräteklassen inklusive Desktop-Rechner, oft mit zusätzlicher Softwareverteilung und Inventarisierung. MDM ist der Kern darin.

Mobile Device Management gegen Mobile Application Management

MAM verwaltet einzelne Programme und deren Daten, ohne das Gerät selbst zu kontrollieren. Das ist der übliche Weg für private Geräte, auf denen eine vollständige Verwaltung nicht durchsetzbar ist.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

In der Praxis

Firmengerät oder Privatgerät entscheidet sich beim Einrollen

Wie viel du später steuern kannst, legst du beim Registrieren fest, und danach lässt es sich kaum noch ändern. Ein firmeneigenes Gerät, das schon beim Kauf beim Hersteller hinterlegt wurde, meldet sich beim ersten Einschalten selbst an und lässt sich auch nach einem Zurücksetzen nicht privat weiterverwenden. Ein privates Gerät bekommt ein getrenntes Arbeitsprofil, in dem nur Firmendaten liegen. Der Wechsel zwischen beiden Wegen bedeutet in aller Regel: Gerät zurücksetzen und neu einrichten.

Beim Fernlöschen wird meist nur der Firmenbereich entfernt, und das ist auch der Fall, den du im Alltag brauchst. Vollständig löschen kannst du nur ein Gerät, das noch einmal online geht, und genau das tut ein gestohlenes selten. Wirksamer als die Löschtaste ist deshalb, die Sitzungen des Kontos sofort zu beenden, damit gespeicherte Anmeldungen nicht weiterlaufen.

Regeln zum Sicherheitszustand entfalten ihre Wirkung schlagartig. Eine Vorgabe wie ein Mindestbetriebssystem sperrt ohne Übergangsfrist genau die Leute aus, die gerade unterwegs sind. Setz solche Regeln erst mitschreibend, informiere die Betroffenen mit Frist und Anleitung, und rechne damit, dass Geräte in der Verwaltung stehen, zu denen es seit Monaten keinen Kontakt mehr gibt.

Mobile Device Management lernen

Wie Registrierung, Profile und Programmverteilung für Apple-Geräte zusammenspielen, üben die Kurse zur Mac-Verwaltung im Unternehmen an eigenen Testgeräten.

Wenn der Zugriff auf Firmendaten am Gerätezustand hängen soll, gehören die Kurse rund um Identitäten und Sicherheitsvorgaben in Microsoft 365 dazu.

Wissen prüfen

Sitzt Mobile Device Management schon?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Wissenstest SC-900 Quiz - Security, Compliance & Identity FundamentalsBereite dich auf die Microsoft SC-900 Zertifizierungsprüfung vor. Teste dein Wissen zu Security, Compliance und Identity. Quiz starten Wissenstest Microsoft 365 Grundlagen QuizTeste dein Wissen zu Teams, SharePoint, OneDrive, Outlook und der Zusammenarbeit an Dokumenten. Quiz starten

Kurse, die Mobile Device Management behandeln

Häufige Fragen

Kann mein Arbeitgeber über die Geräteverwaltung meine privaten Fotos sehen?

Auf den üblichen Plattformen nicht. Sichtbar sind Gerätemodell, Betriebssystemversion, Seriennummer, verwaltete Programme und der Erfüllungsstatus der Vorgaben. Persönliche Inhalte, private Nachrichten und der Verlauf im Browser gehören nicht dazu. Was tatsächlich erhoben wird, sollte trotzdem in einer Vereinbarung stehen.

Brauche ich eine Betriebsvereinbarung?

In Betrieben mit Betriebsrat in aller Regel ja, weil eine zentrale Geräteverwaltung technisch zur Verhaltens- und Leistungskontrolle geeignet ist. Es lohnt sich, die Beteiligten früh einzubinden und genau aufzuschreiben, welche Daten erhoben werden und wer sie einsehen darf.

Was passiert mit einem Gerät ohne Netzverbindung?

Neue Vorgaben und Befehle erreichen es erst beim nächsten Kontakt zum Dienst. Bereits gesetzte Vorgaben wie Verschlüsselung und Bildschirmsperre gelten weiter, weil sie lokal wirken. Deshalb ist es sinnvoll, den Zugriff auf Firmendaten an eine aktuelle Rückmeldung des Geräts zu binden.

Persönlich für dich da