MDM — was ist das, Geräteverwaltung und Sicherheitsrichtlinien

Was ist MDM?

MDM (Mobile Device Management) ist eine Technologie zur zentralen Verwaltung mobiler Geräte, die es Unternehmen ermöglicht, Unternehmens-Smartphones und -Tablets von einer einzigen Konsole aus zu steuern. Die Implementierung von MDM löst Herausforderungen in den Bereichen Sicherheit, Einhaltung gesetzlicher Vorschriften und Automatisierung der mobilen Unternehmensinfrastruktur.

Das Konzept von MDM entstand mit dem Wachstum der geschäftlichen Nutzung mobiler Geräte (BYOD — Bring Your Own Device). Die ersten MDM-Lösungen für BlackBerry erschienen Mitte der 2000er Jahre, und die moderne Architektur basiert auf Cloud-Plattformen mit Push-Benachrichtigungen der Betriebssystemhersteller. Heute ist MDM Teil der breiteren Kategorie EMM (Enterprise Mobility Management), die auch die Verwaltung von Anwendungen und Inhalten umfasst.

Laut Gartner (2025) wird der Markt für MDM-Lösungen auf 11,8 Milliarden US-Dollar geschätzt und wächst jährlich um 14 %. Die größten Anbieter sind VMware Workspace ONE, Microsoft Intune, Jamf (für Apple) und IBM MaaS360. Die Wahl der Lösung hängt von den verwendeten Plattformen, der Unternehmensgröße und den Sicherheitsanforderungen ab.

Wie funktioniert MDM?

Das MDM-System arbeitet mit einer Client-Server-Architektur mit Push-Benachrichtigungen. Der MDM-Server sendet Befehle und Richtlinien über die Infrastruktur des Betriebssystemherstellers an die Geräte: Apple Push Notification Service (APNs) für iOS oder Firebase Cloud Messaging (FCM) für Android. Auf dem Gerät ist ein MDM-Agent installiert, der Befehle empfängt und die Richtlinien anwendet.

1. Das Gerät registriert sich über DEP (Apple) oder Zero Touch (Android) — automatisch bei der Aktivierung
2. Der MDM-Server sendet ein Konfigurationsprofil mit Sicherheitsrichtlinien und Einstellungen
3. Das System überwacht den Gerätestatus: OS-Version, Verschlüsselung, installierte Zertifikate
4. Der Administrator kann Anwendungen remote installieren oder entfernen, das Gerät sperren oder Daten löschen
5. Das Gerät meldet regelmäßig den Compliance-Status (Compliance-Bericht)

MDM verwendet Konfigurationsprofile (Configuration Profiles auf iOS, Managed Configurations auf Android), die WLAN-, VPN-, E-Mail-, Zertifikats- und Einschränkungseinstellungen enthalten. Profile werden signiert und verschlüsselt, um unbefugte Änderungen zu verhindern. Jedes Gerät überprüft die Integrität des Profils, bevor es angewendet wird.

MDM für iOS und Android

MDM auf iOS und Android wird aufgrund unterschiedlicher Sicherheitsarchitekturen unterschiedlich implementiert. Apple bietet ein proprietäres MDM-Protokoll über APNs, während Android eine offene Android Enterprise-Plattform mit Trennung von Arbeits- und Privatprofilen (Work Profile) bietet. Beide Ansätze ermöglichen die Geräteverwaltung, jedoch mit unterschiedlichem Kontrollniveau.

Der Hauptunterschied ist das Work Profile auf Android. Diese Funktion erstellt einen isolierten Arbeitsbereich auf dem Gerät des Mitarbeiters, ohne persönliche Apps und Daten zu beeinträchtigen. iOS bietet keine solche Trennung — die Unternehmensverwaltung deckt entweder das gesamte Gerät ab (für Firmengeräte) oder wird mit eingeschränkten Funktionen angewendet (BYOD über User Enrollment, eingeführt in iOS 13).

App-Verteilung über MDM

MDM ist eine Schlüsselkomponente der unternehmensweiten Verteilung mobiler Apps. Der Administrator kann Anwendungen auf allen verwalteten Geräten remote installieren, aktualisieren und entfernen, ohne dass der Benutzer eingreifen muss. Dies ist besonders wichtig für Anwendungen, die eine obligatorische Installation erfordern: Unternehmens-Messenger, Sicherheitssysteme und interne Geschäftswerkzeuge.

Auf iOS werden Anwendungen über die Integration von MDM mit Apple VPP (Volume Purchase Program) installiert. Der Administrator weist Anwendungen über die MDM-Konsole zu, und iOS installiert sie automatisch im Hintergrund. Für benutzerdefinierte In-House-Anwendungen wird Enterprise Distribution mit Unternehmenszertifikat-Signatur verwendet — MDM sendet einen Befehl zur Installation der IPA-Datei.

Auf Android werden Anwendungen über Managed Google Play verteilt. Die MDM-Konsole verbindet sich mit der Google Play Console, der Administrator wählt die zu installierenden Apps aus und konfiguriert die Obligatorik oder optionale Verfügbarkeit. Die Geräte synchronisieren sich automatisch und installieren die zugewiesenen Anwendungen. Updates werden ebenfalls zentral verwaltet.

// Flutter — MDM policy check in app
import 'package:flutter/services.dart';

class MdmService {
    static final MethodChannel _channel =
        const MethodChannel('com.example/mdm');

    static Future<bool> isDeviceCompliant() async {
        final bool = await _channel
            .invokeMethod<bool>('checkCompliance');
        return result ?? false;
    }
}

Eine wichtige MDM-Funktion ist die stille App-Installation. Anwendungen werden ohne Benutzereingriff oder Bestätigungsaufforderungen installiert. Dies ermöglicht es Unternehmen, kritische Sicherheitsupdates schnell auf allen Geräten bereitzustellen. Auf iOS funktioniert die stille Installation über Managed App Configuration, auf Android über Managed Google Play-Richtlinien.

Auswahl einer MDM-Lösung

Die Auswahl einer MDM-Lösung hängt von mehreren Faktoren ab: den verwendeten mobilen Plattformen, der Anzahl der Geräte, den Sicherheitsanforderungen und dem Budget. Es gibt keine universelle Lösung — jede Plattform hat ihre Stärken. Für Unternehmen mit überwiegend Apple-Geräten wird Jamf Pro empfohlen, für gemischte Umgebungen VMware Workspace ONE oder Microsoft Intune.

• Microsoft Intune — die beste Lösung für Unternehmen, die Microsoft 365 verwenden. Integration mit Azure AD, Conditional Access und Compliance Policies. Unterstützt iOS, Android, Windows und macOS
• Jamf Pro — spezialisierte Lösung für Apple-Geräte. Tiefe Integration mit Apple DEP, VPP und MDM-Protokoll. Unterstützt kein Android und Windows
• VMware Workspace ONE — Multiplattform-Lösung mit Unterstützung für jedes Betriebssystem. Umfasst die Verwaltung von Anwendungen, E-Mail und Inhalten über ein einziges Dashboard
• IBM MaaS360 — Unternehmenslösung mit KI-gestützter Bedrohungsanalyse und automatischer Reaktion auf Sicherheitsvorfälle

Bei der Auswahl von MDM berücksichtigen Sie die Gesamtbetriebskosten (TCO). Die Kosten setzen sich aus MDM-Plattformlizenzen, Push-Benachrichtigungsinfrastruktur und Administrationskosten zusammen. Cloud-MDM-Lösungen (SaaS) sind in der Regel günstiger zu warten als On-Premise-Installationen und benötigen keine dedizierten Serverressourcen.