Mobile Device Management für KMU: Geräte mit Microsoft Intune verwalten

Ein Außendienstmitarbeiter verliert sein Diensthandy im Zug. Darauf liegen Mails, Kundenkontakte und ein angemeldetes Teams-Konto. Ohne Verwaltung bleibt nur die Hoffnung, dass die Bildschirmsperre hält. Mit Mobile Device Management kann die IT das Gerät aus der Ferne zurücksetzen.

Was ist Mobile Device Management?

Mobile Device Management (MDM) bedeutet, Smartphones, Tablets und andere Endgeräte mit einer Software zentral zu verwalten. Die IT legt Einstellungen und Sicherheitsregeln fest, verteilt Apps und kann in Notfällen eingreifen, zum Beispiel ein verlorenes Gerät zurücksetzen. Das BSI hält MDM bei einer größeren Anzahl von Smartphones und Tablets für unabdingbar (IT-Grundschutz-Baustein SYS.3.2.2, siehe Quellen).

Wann brauchen KMU ein MDM?

Eine feste Mindestzahl an Geräten gibt es nicht. Ein MDM lohnt sich, sobald Firmendaten auf Geräten liegen, die Sie nicht jeden Tag sehen. Typische Auslöser sind:

• Diensthandys oder Tablets im Außendienst
• Notebooks, die auf Firmendaten zugreifen und unterwegs genutzt werden
• Mitarbeitende, die Mails und Teams auf privaten Smartphones nutzen
• Der Wunsch, Updates und Sicherheitseinstellungen auf allen Geräten einheitlich zu halten
• Die Frage, was beim Verlust eines Geräts oder beim Austritt einer Person passiert

Was kann Microsoft Intune?

Microsoft Intune ist ein cloudbasierter Endpunktverwaltungsdienst. Er unterstützt laut Microsoft Windows, macOS, iOS, iPadOS, Android und Linux sowie weitere Plattformen wie tvOS und visionOS und läuft vollständig in der Cloud, ohne dass eine eigene Infrastruktur nötig ist. Die Verwaltung erfolgt über das webbasierte Microsoft Intune Admin Center.

Intune speichert keine Benutzeridentitäten und führt keine Anmeldung durch. Dafür nutzt es Microsoft Entra ID. Benutzer und Sicherheitsgruppen aus Entra bilden auch die Grundlage, um Richtlinien, Profile und Apps zuzuweisen. Wie sich Geräteprüfung und Anmeldung verbinden, zeigt der Beitrag zu Conditional Access und MFA in Microsoft 365.

Firmengeräte oder private Geräte: MDM oder MAM?

Beim Mobile Device Management (MDM) verwaltet Intune das ganze Gerät, beim Mobile Application Management (MAM) nur die Arbeits-Apps und deren Daten. Beide Modi lassen sich einzeln oder gemeinsam nutzen. MAM ist typisch für private Geräte, wird aber auch zusätzlich auf Firmengeräten eingesetzt.

Welches Betriebsmodell gilt, gehört in die schriftliche Strategie: private Geräte (BYOD), personalisierte Geräte im Eigentum des Unternehmens oder gemeinsam genutzte Geräte ohne Personenbezug. So beschreibt es das BSI, dessen Baustein BYOD selbst ausdrücklich nicht behandelt (siehe Quellen).

Welche Lizenz braucht Microsoft Intune?

Die meisten Organisationen erhalten Intune als Teil eines Microsoft-365-Pakets, statt es einzeln zu kaufen. Eine Intune-Lizenz ist für jeden Benutzer oder jedes Gerät erforderlich, das vom Dienst profitiert. Microsoft lizenziert Intune über drei Pläne: Plan 1 ist der Basisdienst, Plan 2 ergänzt Plan 1 um Funktionen wie Remotehilfe und Advanced Analytics, und die Intune Suite enthält Plan 2 und bündelt weitere Sicherheitsfunktionen. Welche Pakete Intune enthalten, zeigen die Pläne und Preise von Microsoft. Was das Paket Business Premium bietet, erklärt der Beitrag Microsoft 365 Business Premium.

Was müssen Sie vor der Einführung klären?

Vor dem Start klären Sie diese Punkte:

• Strategie schriftlich festhalten. Das BSI nennt dafür unter anderem Fragen zu Cloud-Betrieb, Apps, Compliance-Anforderungen, unterstützten Geräten und dem Betriebsmodell.
• Erlaubte Geräte festlegen. Legen Sie fest, welche Geräte und Betriebssysteme zugelassen sind, und konfigurieren Sie das MDM so, dass nur freigegebene Geräte auf Firmeninformationen zugreifen (BSI, siehe Quellen).
• Datenschutz klären. Viele MDM-Produkte können den Standort von Geräten ermitteln. Das BSI weist darauf hin, dass dabei Bewegungsprofile entstehen und eine fehlende Information der Beschäftigten unter Umständen gegen Datenschutzrecht verstößt.
• Mitbestimmung prüfen. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Ob das auf Ihre Konfiguration zutrifft, sollten Sie vorab mit Betriebsrat und Datenschutz klären. Das ist keine Rechtsberatung.

Wie läuft die Einführung von Intune ab?

1. Bestand erfassen. Welche Geräte gibt es, wer nutzt sie, welche Betriebssysteme laufen? Wie das geht, beschreibt der Beitrag zur IT-Inventarisierung.
2. Regeln festlegen. Aus der Strategie werden Konfigurationsprofile und Compliance-Richtlinien, zum Beispiel Mindestversion des Betriebssystems und Bildschirmsperre.
3. Pilotgruppe starten. Eine kleine Gruppe testet Registrierung und Regeln, bevor alle Geräte folgen.
4. Geräte registrieren. Firmengeräte registrieren sich automatisch, private Geräte über die Unternehmensportal-App. Ein Gerät, das nicht über das MDM konfiguriert ist, bekommt keinen Zugriff auf Firmendaten (BSI, siehe Quellen).
5. Bedingten Zugriff aktivieren. Erst wenn der Konformitätsstatus zuverlässig gemeldet wird, sperrt der bedingte Zugriff nicht konforme Geräte aus.
6. Betrieb regeln. Sicherheitseinstellungen werden regelmäßig geprüft, Zertifikate rechtzeitig erneuert.

Welche Fehler passieren bei MDM häufig?

• Kein Pilot. Strenge Regeln für alle Geräte gleichzeitig sperren im ungünstigen Fall den Betrieb.
• Abgelaufenes Apple-Zertifikat. Das Apple-MDM-Push-Zertifikat ist 365 Tage gültig und muss jährlich erneuert werden, nach Ablauf bleibt eine Nachfrist von 30 Tagen. Die Erneuerung muss mit demselben Apple-Konto erfolgen. Microsoft rät zu einer Unternehmensadresse, die mehrere Personen überwachen, und von einer persönlichen Apple-ID ab.
• Geräte ohne Verbindung. Verbindet sich ein Gerät lange nicht mit dem MDM, greifen neue Regeln nicht, und ein verlorenes Gerät lässt sich nicht aus der Ferne löschen. Das BSI nennt das ausdrücklich als Gefährdung.
• Zu viele Administratoren mit weitreichenden Rechten. Das BSI nennt ungeeignetes Rechtemanagement im MDM als Gefährdung: Wer die falsche Rolle hat, kann Einstellungen ändern oder Daten einsehen, die ihn nichts angehen.

Unterstützung durch Visgenix

Visgenix ist GDAP-Partner für Microsoft 365 und betreut Arbeitsplätze, Server und Geräte im Rahmen der IT-Betreuung. Mehr dazu unter Arbeitsplätze und Microsoft 365. Ob und wie Intune bei Ihnen eingeführt wird, besprechen wir im Erstgespräch, das Sie auf der Kontaktseite buchen können.

Häufige Fragen

• Was ist der Unterschied zwischen MDM und MAM?

  MDM verwaltet das gesamte Gerät, MAM nur die Arbeits-Apps und deren Daten. Für private Geräte eignet sich MAM, weil private Inhalte unberührt bleiben.

• Brauche ich ein MDM für private Smartphones?

  Nicht unbedingt ein vollständiges. Wenn Mitarbeitende nur Mails und Teams auf privaten Geräten nutzen, genügt oft der App-Schutz über MAM. Ob private Geräte erlaubt sind, entscheiden Sie in der schriftlichen Strategie.

• Kann ich ein verlorenes Gerät aus der Ferne löschen?

  Ja, mit Intune lässt sich ein verwaltetes Gerät zurücksetzen. Das funktioniert nur, solange das Gerät mit dem MDM verbunden werden kann. Bei verwalteten Apps lassen sich Firmendaten gezielt entfernen.

• Welche Geräte unterstützt Intune?

  Laut Microsoft Windows, macOS, iOS, iPadOS, Android und Linux sowie weitere Plattformen wie tvOS und visionOS. Die vollständige Liste führt Microsoft in der Dokumentation.

• Muss der Betriebsrat einem MDM zustimmen?

  Das hängt von der Konfiguration ab, siehe § 87 Abs. 1 Nr. 6 BetrVG weiter oben. Klären Sie es vor der Einführung mit Betriebsrat und Datenschutz.

Quellen