Was ist MDM?

MDM einfach erklärt

Im Zentrum steht ein Verwaltungssystem, das als Cloud-Dienst oder auf einem eigenen Server laufen kann. Die IT hinterlegt dort Profile: welcher Sperrcode gilt, welche WLAN-Zugänge eingerichtet werden, welche Apps auf das Gerät kommen und welche Betriebssystemversion mindestens nötig ist. Die eingebundenen Geräte holen sich diese Vorgaben ab, sobald sie online sind, und melden ihren Zustand zurück.

Daraus ergeben sich drei Aufgaben:

• Einrichten: Neue Geräte erhalten ihre Konfiguration beim ersten Start oder bei der Aufnahme in die Verwaltung.
• Schützen: Sperrcode, Verschlüsselung, erlaubte Apps und Updates im Rahmen des Patch-Managements werden zentral vorgegeben.
• Eingreifen: Fehlt ein Gerät, sperrt die IT es per Fernzugriff oder entfernt die Firmendaten.

Der Name stammt aus der Zeit, in der vor allem Smartphones verwaltet wurden. Viele heutige Systeme verwalten zusätzlich Notebooks und PCs, manchmal ist dann von Unified Endpoint Management die Rede. In Microsoft 365 übernimmt diese Aufgabe Microsoft Intune.

Drei Betriebsmodelle mit unterschiedlicher Reichweite

Wie weit die Verwaltung in ein Gerät eingreift, hängt davon ab, wem es gehört und wer es nutzt:

• Firmengeräte, einer Person zugeordnet: Das Unternehmen verwaltet das ganze Gerät und darf es bei Verlust auf den Werkszustand zurücksetzen.
• Private Geräte: Unter dem Stichwort Bring Your Own Device nutzen Mitarbeitende ihr eigenes Smartphone. Die Verwaltung beschränkt sich auf einen abgetrennten Arbeitsbereich oder auf einzelne dienstliche Apps. Fotos, Nachrichten und private Apps bleiben außen vor, Firmendaten lassen sich gezielt entfernen.
• Gemeinsam genutzte Geräte: etwa ein Tablet im Lager oder an der Anmeldung, das mehrere Personen bedienen. Hier sind feste Apps und eingeschränkte Funktionen üblich.

Dieselben drei Modelle nennt das BSI; welches davon gilt, soll die schriftliche MDM-Strategie festlegen. Welches Modell zu Ihrem Betrieb passt, beleuchtet unser Vergleich BYOD vs. Firmengerät.

Was das BSI für den Betrieb empfiehlt

Im IT-Grundschutz-Kompendium widmet das BSI dem Thema einen eigenen Baustein, SYS.3.2.2 „Mobile Device Management (MDM)“ (Edition 2023). Einige Kernpunkte in eigenen Worten:

• Strategie zuerst: Vor der Einführung festlegen, wie Mitarbeitende mobile Geräte nutzen dürfen, ob das MDM als Cloud-Dienst laufen darf und wer Apps installieren darf.
• Zugelassene Geräte: bestimmen, welche Geräte und Betriebssysteme erlaubt sind, und nur diesen den Zugriff auf Firmendaten ermöglichen.
• Sauberer Start: Geräte vor dem Einsatz einbinden, und zwar im Werkszustand; bereits genutzte Geräte vorher von Firmendaten befreien.
• Regelmäßige Kontrolle: Einstellungen prüfen, besonders vor neuen Betriebssystemversionen, und Administratorrechte nach dem Minimalprinzip vergeben.
• Geordnetes Ende: dienstliche Daten aus der Ferne löschen können und Geräte so außer Betrieb nehmen, dass keine schutzbedürftigen Daten zurückbleiben.

Wenn das Diensthandy im Kundenobjekt liegen bleibt

Angenommen, ein Gebäudereinigungsunternehmen mit 45 Beschäftigten stattet seine acht Objektleitungen mit Diensthandys aus. Darauf liegen Einsatzpläne, Kontaktdaten der Auftraggeber und Fotos von Mängeln in den betreuten Gebäuden. Einige Teamleitungen in Teilzeit nutzen ihre privaten Smartphones und lesen dort Firmenmails und Pläne.

Das Unternehmen bindet die Diensthandys als Firmengeräte ein: Ein Sperrcode ist Pflicht, Apps kommen nur über das MDM aufs Gerät. Auf den privaten Smartphones schützt die Verwaltung lediglich die dienstlichen Apps; Inhalte daraus lassen sich nicht in private Anwendungen übertragen.

Eines Abends bleibt ein Diensthandy in einem Bürogebäude liegen. Die Objektleiterin meldet den Verlust, das Gerät wird aus der Ferne gesperrt. Als es zwei Tage später bei der Hausverwaltung abgegeben wird, hebt die IT die Sperre wieder auf, ohne das Telefon neu einrichten zu müssen. Verlässt eine Teamleiterin später das Unternehmen, verschwinden nur die Firmendaten von ihrem privaten Gerät.

Was MDM nicht ersetzt

Ein MDM verwaltet Geräte, es ist kein Schutzprogramm gegen Schadsoftware; dafür gibt es eigene Lösungen wie Virenschutz oder Endpoint Detection and Response. Auch die Anmeldung an Firmendiensten braucht eigenen Schutz, etwa durch Multi-Faktor-Authentifizierung. Und weil ein MDM Geräteangaben erfasst, sollten Datenschutzverantwortliche und, falls vorhanden, der Betriebsrat früh einbezogen werden.

Wie ProNet unterstützt

Wir setzen Mobile Device Management mit Microsoft Intune um: von der Geräteliste über getrennte Regeln für Firmen- und Privatgeräte bis zur laufenden Pflege. Schritte, Leistungsumfang und typische Einsatzfälle finden Sie unter Mobile Device Management für KMU. Weil Geräteregeln an Konten und Gruppen hängen, gehört die Microsoft-365-Verwaltung eng dazu.