Apple MDM - zentrale Geräteverwaltung für Macs und iPhones

Der Apple Business Manager ist das Verzeichnis Deiner Firmengeräte bei Apple. Dort steht, welches Gerät dem Unternehmen gehört und an welches MDM es sich melden soll. Das MDM ist die Software, die anschließend Einstellungen, Apps und Richtlinien auf das Gerät bringt. Erst beides zusammen ergibt eine Verwaltung, die der Nutzer nicht mit drei Klicks wieder entfernen kann.

Du bestellst einen Mac, lässt ihn direkt zum Mitarbeiter liefern und fasst ihn selbst nie an. Beim ersten Einschalten erkennt das Gerät über den Apple Business Manager, zu wem es gehört, holt sich sein Profil aus dem MDM und richtet sich selbst ein. Aus einem halben Tag Handarbeit wird eine Kaffeepause.

Technisch ja, über eine freiwillige Registrierung mit eingeschränktem Umfang. Wir verwalten dann nur die Firmenanteile wie Mail, Apps und Zugriffsrechte, nicht das gesamte Gerät. Zero-Touch und erzwungene Verschlüsselung gibt es dort nicht, weil das Gerät nicht dem Unternehmen gehört. Für regelmäßige Arbeit an Firmendaten empfehlen wir ein Firmengerät, alles andere schafft Grauzonen.

Ein MDM wäre technisch zur Verhaltens- und Leistungskontrolle geeignet, deshalb ist die Einführung bei bestehendem Betriebsrat in der Regel mitbestimmungspflichtig. Praktisch heißt das: Eine Betriebsvereinbarung legt fest, was erhoben wird und was ausdrücklich nicht. Wir liefern die technische Beschreibung dafür und konfigurieren die Plattform so, dass private Inhalte, Standorte und Browserverläufe gar nicht erst sichtbar sind.

Das Gerät wird aus der Ferne gesperrt und je nach Fall gelöscht. Weil FileVault aktiv ist, sind die Daten auf der Platte ohnehin verschlüsselt und ohne Schlüssel wertlos. Über die Aktivierungssperre bleibt das Gerät zusätzlich an Dein Unternehmen gebunden. Den Wiederherstellungsschlüssel hinterlegt das MDM, damit ein vergessenes Passwort kein verlorenes Gerät bedeutet.

Für eine typische Flotte von 20 bis 50 Geräten solltest Du ein bis zwei Wochen einplanen: Apple Business Manager einrichten, Profile bauen, Pilotgruppe testen, dann ausrollen. Der technische Teil ist selten das Problem, die Abstimmung im Team braucht meist länger. Jedes neue Gerät ist danach in Minuten einsatzbereit.

Bei drei Macs und viel Disziplin: ja. Ab etwa zehn Geräten wird es unehrlich, weil niemand mehr belegen kann, ob überall FileVault aktiv, das System aktuell und die Bildschirmsperre gesetzt ist. Wenn eine Handvoll Geräte Dein ganzer Bestand ist und keine Nachweispflichten drücken, sagen wir Dir das auch, statt Dir eine Plattform zu verkaufen, die Du nicht brauchst.

Sehr gut, das ist bei den meisten unserer Kunden der Normalfall. Die Anmeldung am Mac läuft gegen Entra ID, sodass Passwörter synchron bleiben, und das MDM meldet den Gerätezustand an die bedingten Zugriffsregeln. Ein Mac, der nicht verschlüsselt oder veraltet ist, bekommt dann schlicht keinen Zugriff auf die Firmendaten.

Jamf ist der bekannteste Anbieter mit sehr großer Funktionstiefe, entsprechend umfangreich ist auch die Einrichtung. Intune steckt oft schon in Deinen Microsoft-365-Lizenzen, deckt macOS aber deutlich flacher ab als Windows. Wir arbeiten mit Mosyle, weil es speziell für Apple gebaut ist und im Mittelstand das beste Verhältnis aus Funktionsumfang und Betriebsaufwand liefert. Läuft bei Dir bereits Jamf, betreuen wir das mit, statt einen Wechsel zu erzwingen.

Der Apple Business Manager selbst kostet nichts, bezahlt werden die MDM-Lizenz pro Gerät und Monat und die einmalige Einrichtung. Wie hoch beides ausfällt, hängt von der Gerätezahl und davon ab, wie viel automatisiert werden soll. Wir schauen uns Deinen Bestand an und nennen danach eine belastbare Zahl statt einer Hausnummer.

Bestandsgeräte lassen sich nachträglich in den Apple Business Manager übernehmen, wenn sie über einen registrierten Händler gekauft wurden oder per Apple Configurator nachgetragen werden. Ohne diesen Weg bleibt die freiwillige Registrierung, die ein Nutzer wieder entfernen könnte. In der Praxis mischen wir beides: Bestand weich einbinden, jeden Neukauf sauber über den Apple Business Manager laufen lassen. Nach ein bis zwei Beschaffungszyklen ist die Flotte durchgängig verwaltet.

Ja, dieselbe Plattform verwaltet macOS, iOS und iPadOS in einer Konsole. Für iPhones und iPads gelten dieselben Mechanismen: automatische Registrierung, App-Verteilung, Richtlinien, Fernlöschung. Betreibst Du daneben Android-Geräte, ist das Mobile Device Management der passendere Rahmen, weil es beide Welten zusammenführt.

Das Gerät wird aus der Ferne bereinigt und steht kurz darauf für den nächsten Mitarbeiter bereit, ohne dass es jemand neu aufsetzen muss. Firmenapps und Firmendaten verschwinden, die App-Lizenzen fallen an das Unternehmen zurück und nicht an eine private Apple-ID. Genau deshalb sollten Firmengeräte nie über private Apple-IDs eingerichtet werden.

Ja. Wir hinterlegen einen Mindeststand für macOS und iOS und geben ein Zeitfenster vor, in dem installiert werden muss. Der Mitarbeiter bekommt vorher eine Aufforderung mit Frist, es wird also niemand mitten in einer Präsentation neu gestartet. Wer die Frist verstreichen lässt, verliert den Zugriff auf Firmendaten, bis das Update eingespielt ist.

Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr). Den Antrag übernehmen wir.