Dutzende oder gar Hunderte von iPhones, iPads und Macs erfordern ein zuverlässiges und passendes Mobile Device Management (MDM). Es bildet die zentrale Schaltstelle der IT: Über das MDM rollt der Administrator neue Geräte aus, verteilt Richtlinien und hält die Flotte auf dem neuesten Stand. Entscheidend ist daher ein MDM, das nahtlos mit Apples Ökosystem zusammenspielt. Das zeigt sich bereits bei der Einrichtung neuer iPhones. Apple bietet mit dem Apple Business Manager (ABM) ein Tool, mit dem sich Firmengeräte automatisch in das MDM einbinden lassen – ohne manuelle Konfiguration durch die IT. Das Smartphone wird dem Mitarbeiter zugeschickt, er meldet sich an und das iPhone konfiguriert sich von selbst mit allen Vorgaben des Unternehmens. Kein manuelles Installieren von Profilen, kein Nachjustieren: Dieser Zero-Touch-Prozess spart Zeit und reduziert Fehlerquellen.

Ein gutes MDM zeichnet sich durch eine tiefe Integration in Apples Betriebssystemen aus. In einer IT-Landschaft mit vielen iPhones oder iPads müssen Administratoren sehr fein einstellen können, was auf den Geräten erlaubt ist. Über das MDM legen IT-Verantwortliche unter anderem fest, ob Funktionen wie Siri, AirDrop oder das iCloud-Backup verfügbar sind. Sie definieren zentral E-Mail-Konten, VPN-Profile und WLAN-Zugänge. Je mehr Apple-spezifische Einstellungen ein MDM abdecken kann, desto weniger muss die IT manuell nachkonfigurieren. Moderne MDM-Systeme unterstützen daher sogar den Import von Konfigurationsprofilen, die mit Apples eigenem Konfigurator erstellt wurden – um Spezialfälle abzudecken, für die es im MDM selbst keine Schalter gibt.

Ebenso wichtig ist das App-Management. Über Apples Volumenlizenzprogramm (früher VPP, heute im Apple Business Manager integriert) beziehen Unternehmen Apps in großen Mengen. Ein MDM hilft, die zugehörigen Lizenzen in Masse auf die Geräte zu bringen und bei Bedarf wieder zu entfernen. Auch selbst entwickelte Unternehmens-Apps – sogenannte In-House-Apps – lassen sich über ein MDM einspielen, aktualisieren und bei Bedarf einschränken. Einige MDM sind zudem mit SIEM-Tools (Security Information and Event Management) verknüpfbar, um Sicherheitsprotokolle zentral auszuwerten und Auffälligkeiten schneller zu erkennen.

Gerade im Hinblick auf aktuelle iOS-Versionen ist eine enge Verzahnung wichtig. Apple erweitert mit fast jedem größeren Update die Möglichkeiten der MDM-Profile. Ein Beispiel aus iOS 18.4: Unternehmen können nun über MDM ganz bestimmte Funktionen von Apples neuer "Apple Intelligence" abschalten – etwa automatisch formulierte Texte (Schreibwerkzeuge) oder KI-Zusammenfassungen von Webseiten in Safari. Auch das neue Inaktivität-Reboot-Feature kann gesteuert werden. Dieses Sicherheitsfunktion sorgt dafür, dass ein iPhone nach 72 Stunden ohne Entsperren automatisch neu startet. Nach einem solchen erzwungenen Reboot sind alle Daten verschlüsselt und erst nach Eingabe des Codes wieder verfügbar, was Angreifern das Leben deutlich erschwert.

Für IT-Abteilungen ist das ein Gewinn an Sicherheit – ein lästiger Nebeneffekt könnte allenfalls sein, dass ein vergessenes Diensthandy nach einem langen Wochenende neu gebootet vorgefunden wird oder ein Kiosk-Display neu startet. Wer dieses Verhalten nicht wünscht, kann es künftig zentral abschalten. Mit solchen Funktionen trägt Apple dem Trend Rechnung, immer mehr Intelligenz in das Gerät zu verlagern. Ein MDM-System muss mit diesen ständigen Neuerungen Schritt halten können.

Auf iPhones befinden sich häufig sensible Unternehmensdaten – vom E-Mail-Verkehr bis zu vertraulichen Dokumenten. MDM-Systeme müssen daher strenge Sicherheitsrichtlinien durchsetzen. Die IT kann zentral vorgeben, dass jedes Gerät mit einem starken Passwort gesichert ist und aktuelle Sicherheitsupdates installiert sind. Viele Unternehmen verfolgen heute ein Zero-Trust-Modell und das MDM spielt dabei eine Schlüsselrolle, indem es den Zustand jedes Geräts bewertet. Entfernt ein Nutzer etwa den Passcode oder bleibt mit Updates wochenlang im Rückstand, erkennt das MDM dies und kann dem Gerät den Zugriff auf geschützte Unternehmensressourcen verweigern – zumindest so lange, bis die Vorgaben wieder erfüllt sind.

In Microsoft-geprägten Umgebungen geschieht dies oft in Verbindung mit dem Conditional Access von Azure. Nur Geräte, die vom MDM als "compliant" gemeldet werden, dürfen auf bestimmte Dienste zugreifen. Auch Apple selbst hat in den vergangenen Jahren nachgelegt. Seit iOS 16 gibt es die "Managed Device Attestation", also eine automatische Gerätezertifizierung. Jedes verwaltete iPhone und iPad kann damit kryptografisch nachweisen, dass es sich um ein unverändertes Originalgerät von Apple handelt. Die Secure Enclave im Inneren erstellt dazu ein Zertifikat, das zum Beispiel Manipulationen erkennt. MDM-Systeme lesen diese Zertifikatsdaten aus und schlagen Alarm, wenn ein Gerät verdächtig erscheint. So stellen Unternehmen sicher, dass nur vertrauenswürdige Geräte auf interne Dienste zugreifen.

Im Bereich Compliance geht es zudem um die Kontrolle des Datenflusses. Viele Firmen nutzen Managed-Apple-IDs für Dienste wie iCloud Drive oder Apples Kollaboration-Apps. Einige MDM-Systeme (in Zusammenspiel mit dem ABM) erlauben es, die Nutzung dieser dienstlichen Accounts einzuschränken – etwa damit ein Mitarbeiter seine Firmen-Apple-ID nicht versehentlich auf einem privaten, nichtverwalteten Gerät verwendet. So bleiben Unternehmensdaten wirklich nur auf überwachten Geräten.

Apple liefert regelmäßig neue Stellschrauben, um die Balance zwischen Sicherheit und Nutzerfreundlichkeit zu justieren. iOS 18 insbesondere erlaubt es erstmals, standardmäßige Kommunikationsanwendungen zu ändern – etwa eine andere Telefonie- oder Nachrichten-App als Apples eigene vorzugeben. Unternehmen können über MDM jedoch verhindern, dass Anwender diese neuen Freiheiten nutzen. So bleibt beispielweise die Kontrolle darüber erhalten, mit welcher Software im Internet gesurft oder E-Mails versendet werden. Insgesamt ist der Trend klar: Unternehmen wollen maximale Sicherheit, ohne den Nutzern ihre Arbeitsgeräte komplett zu vermiesen. Ein gutes MDM-System hilft, diesen Spagat zu schaffen – mit fein justierbaren Einstellungen für Passwörter, App-Nutzung, Netzwerkkonfigurationen und mehr.

Der Markt für Mobile Device Management ist vielfältig und komplex und die Auswahl des passenden Tools hängt maßgeblich von der Gerätevielfalt und der bestehenden IT-Infrastruktur eines Unternehmens ab. Entscheidend ist zunächst die Frage: Setzt das Unternehmen überwiegend auf Apple-Geräte wie Macs, iPhones oder iPads, oder herrscht ein Mix aus Windows-PCs, Android-Smartphones, IoT-Devices und anderen

Plattformen? Reine Apple-Umgebungen profitieren oft von spezialisierten Suiten, während heterogene Geräteparks plattformübergreifende Tools erfordern. Zudem muss das MDM nahtlos in die IT-Landschaft integrierbar sein, etwa in Microsoft-Clouddienste.

Für Unternehmen mit starkem Apple-Fokus gilt Jamf als Goldstandard. Die Software überzeugt mit tiefer Integration in macOS, iOS und iPadOS, automatisiert nahezu jeden Verwaltungsschritt und setzt neue Apple-Funktionen wie die aktuellen Apple-Intelligence-Features oder Support für die Vision Pro oft schneller um als Konkurrenten. Auch Nischenfunktionen, etwa die Verwaltung der Apple Watch (soweit von Apple erlaubt) oder das Anbinden an das Business-Manager-Programm sind Stärken. Administratoren schätzen die detaillierten Richtlinien und die breite Automatisierung – allerdings zu Premiumpreisen.

Wer bereits in der Microsoft-Welt verwurzelt ist, findet in Microsoft Intune eine pragmatische Alternative. Als Teil der Endpoint-Manager-Suite integriert es sich nahtlos in Entra ID und Microsoft 365, verwaltet Windows-Geräte effizient und deckt gleichzeitig grundlegende Apple-Funktionen wie Passcode-Richtlinien oder App-Verteilung ab. Allerdings fehlt die letzte Tiefe bei Apple-spezifischen Features: Neue iOS-Updates oder exklusive Verwaltungsoptionen setzt Intune oft später oder gar nicht um. Für gemischte Umgebungen mit Microsoft-Lizenzen bleibt es dennoch ein schlüssiges Gesamtpaket.

Preisbewusste Unternehmen oder solche, die schnell ein Werkzeug aus der Cloud benötigen, sollten Hexnode oder Kandji prüfen. Die Tools bieten ein gutes Preis-Leistungs-Verhältnis, eine intuitive Oberfläche und unterstützen neben Apple auch Android, Windows und macOS. Sie decken alle zentralen MDM-Funktionen ab – von Gerätesperrung bis App-Installation – und eignen sich besonders für kleinere Teams oder Einsteiger, die ohne lange Einarbeitung loslegen möchten.

Auch wenn das nur einen minimalen Bruchteil des Markts darstellt, bestimmen letztlich die Gerätestrategie und die IT-Architektur die Wahl. Spezialisten wie Jamf oder Kandji bieten Apple-Tiefe, Alleskönner wie Intune oder Hexnode Flexibilität. Ein klarer Blick auf die eigenen Anforderungen – und gegebenenfalls eine Testphase – hilft, das passende Werkzeug zu finden. Der Vollständigkeit halber sei gesagt, dass viele Systeme einander im praktischen Einsatz ergänzen.

Ein MDM-System arbeitet selten isoliert. Meist muss es mit bestehenden Verzeichnis- und Clouddiensten zusammenspielen, um Nutzer und Geräte reibungslos zu verwalten. Wenn ein Unternehmen bereits Microsofts Active Directory oder dessen Cloudpendant Entra ID einsetzt, sollte das MDM unbedingt Single Sign-On (SSO) unterstützen. So können Mitarbeiter sich mit ihrem bekannten Firmenkonto auch gleichzeitig am MDM-Portal anmelden oder geräteübergreifend authentifizieren.

Die Verzahnung mit E-Mail-Servern (Exchange oder Microsoft 365), Dateispeichern (OneDrive, Dropbox, iCloud Drive) und Collaboration-Tools wie Microsoft Teams, FaceTime oder Slack ist ebenfalls ein Kriterium. Viele MDMs bieten vorgefertigte Konnektoren oder Profile dafür an – etwa, um automatisiert die Firmen-E-Mail auf jedem iPhone einzurichten oder die Teams-App bereitzustellen. Je nachdem, ob diese Dienste in der Cloud oder lokal laufen, kann die Integration aber knifflig sein. Hier lohnt es sich, vorab zu prüfen, welche Schnittstellen das MDM mitbringt. Läuft etwa alles beim Hersteller in der Cloud, während die eigene Firma noch lokale Exchange-Server betreibt, müssen diese Welten erst zusammengebracht werden. Gute Anbieter unterstützen hybride Umgebungen und bieten Beratung zum MDM-Einsatz.

Auch sollten IT-Verantwortliche die Hosting-Variante bedenken. Fast alle MDM-Systeme gibt es (nur) als Cloudservice vom Anbieter, einige lassen sich alternativ auf eigener Infrastruktur installieren (on-premises). Kleinere Firmen fahren meist gut mit der Cloudvariante, denn diese verlangt keine eigene Serverwartung und bietet eine schnelle Inbetriebnahme. Größere oder streng regulierte Organisationen bevorzugen lokale Infrastrukturen, um die volle Datenhoheit zu behalten, die Anbieter dafür werden aber immer weniger. Hier ist wichtig, welche Hardware und Ressourcen dafür nötig sind und ob der Hersteller beim Betrieb unterstützt.

MDM-Suiten werden typischerweise entweder pro Gerät oder pro Nutzer lizenziert. Die Preismodelle variieren erheblich. Große Firmen handeln oft individuelle Verträge aus, während kleinere auf Standardpakete zurückgreifen. Vor der Entschei- dung gilt es zu klären, wie flexibel die Lizenzierung ist. Lassen sich zum Beispiel Geräte schnell nachbuchen oder auch reduzieren, falls Mitarbeiterzahlen schwanken? Und welche Funktionen sind im Grundpreis enthalten? Manche Anbieter schnüren gestaffelte Pakete, bei denen bestimmte Sicherheitsfeatures oder Analysetools erst im teureren Tarif dabei sind. So etwas kann später zu unschönen Überraschungen führen, wenn ein benötigtes Feature plötzlich ein Upgrade erfordert.

Auch versteckte Kosten sollten Admins einplanen – beispielsweise für Supportleistungen, Schulungen oder die Integration externer Systeme. Microsofts Intune zum Beispiel ist in höherwertigen Microsoft-365-Abos bereits enthalten, was es preislich attraktiv machen kann, während Jamf als eigenständiges Produkt zusätzliche Kosten bedeutet. Dafür kann Jamf durch effizienteres Management wiederum Arbeitszeit einsparen. Bei der Total Cost of Ownership müssen IT-Verantwortliche Anschaffungspreis und Folgekosten gegenrechnen. Ein teureres MDM, das viele Prozesse automatisiert und Probleme verhindert, kann am Ende günstiger sein als ein Billigheimer, der viel manuelle Nacharbeit erfordert.

Schon lange geht es nicht mehr nur um Smartphones und Laptops. Apples Produktpalette im Unternehmen wächst. Wer ein MDM auswählt, sollte daher bedenken, welche Gerätetypen künftig administriert werden sollen. So lässt sich mittlerweile sogar die AppleWatch einbinden, allerdings erlaubt Apple hier nur eingeschränkte Befehle. Admins können also beispielsweise Benachrichtigungen konfigurieren oder Apps installieren lassen, aber bei Weitem nicht so tief eingreifen wie beim iPhone. Für manche Einsatzszenarien – etwa in der Gesundheitsbranche, wo viele Mitarbeiter eine Apple Watch tragen – kann das MDM der Watch immerhin Basisrichtlinien aufzwingen. In der Breite spielt die Apple Watch-Integration aber noch eine kleine Rolle.

Viele IT-Verantwortliche übersehen Apple TV, die kleine Streaming-Box mit großem Potenzial im Firmenumfeld. Unternehmen nutzen zunehmend Apple TVs in Besprechungsräumen für Präsentationen oder für Digital Signage. Hier macht sich ein MDM bezahlt und mehrere (Jamf, Meraki) unterstützen tvOS-Profile. Damit lassen sich unter anderem WLAN-Zugangsdaten oder AirPlay-Beschränkungen zentral verteilen. Wer dutzende Konferenzräume ausstatten muss, kann so alle Apple-TVs auf Knopfdruck einrichten, Apps vorinstallieren und auch remote neu starten – bequemer geht es nicht. Spezielle Anforderungen wie etwa ein Kiosk-Modus für Messen sind ebenfalls umsetzbar. Die Tiefe der Einstellungen ist geringer als beim Mac oder iPad, aber für den typischen Meetingraumeinsatz mehr als ausreichend.

Ebenfalls eine Nische mit noch geringeren Stückzahlen stellt Apple Vision Pro dar. Das Mixed-Reality-Headset kommt zwar erst in homöopathischen Stückzahlen auf den Markt, zielt aber auch auf Business-Anwender. Apple hat von Anfang an betont, dass sich die Vision Pro nahtlos in vorhandene Ökosysteme einfügt. Tatsächlich unterstützt bereits die aktuelle Version vom Apple Business Manager die Registrierung von Vision-Pro-Headsets.

Über MDM können Administratoren ähnliche Dinge tun wie beim iPhone: Profile mit WLAN- oder VPN-Zugangsdaten ausrollen, Apps bereitstellen, Nutzungsrichtlinien durchsetzen. Die Herausforderung ist jedoch, dass bisher nur wenige MDM-Hersteller das neue Gerät überhaupt unterstützen. Jamf gilt hier als Vorreiter, andere folgen aber mit bemerkenswerter Geschwindigkeit, gerade im Vergleich zur doch weiter verbreiteten Apple Watch. Wer die Anschaffung von Vision Pro fürs Unternehmen plant – etwa für Schulungen, Design oder Remotezusammenarbeit – sollte prüfen, ob das MDM dafür gerüstet ist. Angesichts der Kosten der Brille dürfte dies jedoch vorerst ein Nischenthema bleiben.

Ein gut konfiguriertes MDM erlaubt es, verschiedene Profile für unterschiedliche Rollen anzulegen. So können etwa Vertriebsteams andere Apps und Zugänge bekommen als die Entwicklungsabteilung. Typischerweise richten Admins Profile für Gruppen wie "Außendienst", "Management" oder "IT" ein. Jeder erhält spezifische WLAN-Passwörter, VPN-Zugänge, App-Pakete und Sicherheitsstufen. Neue Geräte werden dann einfach der richtigen Gruppe zugewiesen und bekommen automatisch die passenden Einstellungen – das erleichtert die Skalierung erheblich.

In den vergangenen Jahren hat Apple die Verwaltungsmöglichkeiten seiner Geräte massiv ausgebaut. Mit jeder neuen iOS-, iPadOS- und macOS-Version kommen zusätzliche Richtlinien und Restriktionen hinzu. Besonders auffällig ist der Strategiewechsel hin zu mehr Intelligenz direkt auf den Devices. Weg von einem rein servergesteuerten Modell, hin zu "deklarativem" MDM – so nennt Apple das Konzept, das es erstmals mit iOS 15 einführte. Dieser Paradigmenwechsel besagt, dass der IT-Admin nur noch allgemeine Regeln und gewünschte Zustände definiert. Die Geräte selbst übernehmen dann diese Vorgaben und setzen sie eigenständig um. Statt dass also ein Server jedem iPhone einzeln sagt "Installiere Update X jetzt", teilt die IT nur die Policy mit ("Gerät muss binnen sieben Tagen nach Release auf dem neuesten Stand sein"). Das Device prüft kontinuierlich, ob es konform ist und lädt selbstständig das Update, sobald es verfügbar ist, um die Vorgaben zu erfüllen.

Dieses Konzept soll den Kommunikationsaufwand reduzieren und das Management vor allem großer Flotten effizienter gestalten. Erste Teile davon hat Apple bereits umgesetzt und erlaubt, bestimmte Einstellungen (etwa Home-Bildschirm-Layouts oder Wi-Fi-Konfigurationen) in neueren iOS-Versionen deklarativ zu verwalten. Die Geräte melden ihren Status zurück, ohne dass der MDM-Server ständig nachfragen muss. Große Organisationen profitieren davon, weil weniger Serverlast entsteht und sich Änderungen schneller ausrollen lassen. Apple arbeitet eng mit den MDM-Anbietern zusammen, damit diese den neuen Ansatz unterstützen. Langfristig verspricht deklaratives MDM mehr Automatisierung und Sicherheit in heterogenen Geräteparks – vom iPad im Klassenzimmer bis zum MacBook auf Geschäftsreise.

Die Wahl des passenden MDM-Systems hängt stark von den Anforderungen und Rahmenbedingungen der jeweiligen Organisation ab. Firmen mit überwiegend Apple-basierter IT sind mit einem spezialisierten Anbieter wie Jamf meist bestens bedient – tiefe Integration und schneller Support für neue iOS-Features inklusive. In Microsoft-lastigen Umgebungen bietet sich dagegen Intune an, auch wenn es bei Apple-Funktionalitäten manchmal etwas hinterherhinkt.

Theoretisch lassen sich auch zwei Welten verbinden, etwa Jamf für die Apple-Geräte und Intune für Windows, doch bedeutet das zusätzlichen Aufwand und Kosten. Wer eine bunte Mischung an Gerätetypen verwalten muss, greift eher zu Alleskönnern wie VMware Workspace ONE oder Ivanti MobileIron. Und für kleinere, budgetbewusste Unternehmen können flexible Clouddienste à la Hexnode oder Kandji attraktiv sein – sie bieten die üblichen Kernfunktionen und kommen oft mit einem einfacheren Preismodell daher.

Unabhängig vom Produkt gilt es sicherzustellen, dass der Anbieter mit Apples Innovationstempo Schritt hält. iPhones und Macs erhalten jedes Jahr große Updates und der MDM-Hersteller sollte sein Tool kompatibel gestalten, sobald neue Versionen erscheinen und idealerweise frühzeitig Beta-Features zum Testen bereitstellen. Nichts ist ärgerlicher, als Monate auf die dringend benötigte Unterstützung einer neuen iOS-Funktion warten zu müssen.