Mobile Device Management –Smartphones in Unternehmen

Häufig werden bei Unternehmen entweder keine bestehende Lösung oder etablierte Anbieter wie Sophos Mobile, AppTec 365 oder hochkarätige Lösungen wie MobileIron von Ivanti angetroffen. Microsoft selbst hat sich mit seiner Lösung Microsoft Intune bereits vor einigen Jahren einen Namen als MDM-Anbieter verschafft, die mit der Lösung verbundenen Vorteile sind jedoch noch teilweise unbekannt. So sind Elemente wie das Zero-Touch-Deployment, die Container- und Profilunterteilung sowie die Bereitstellung von Applikationen über das Unternehmensportal noch nicht zur Gänze im IT-Bewusstsein von Unternehmen angekommen.

Intune ist eine schlanke Lösung, die entweder als Add-on pro Nutzer oder pro Gerät bezogen werden kann oder in den M365 Business Premium, M365 Enterprise E3 und E5 Plänen sowie in den M365 Frontline Worker Abonnements bereits inkludiert ist und nicht separat erworben werden muss. Geräte werden in Intune aufgenommen; hier ist es irrelevant, ob es sich um iOS- oder Android-Geräte handelt. Beide Systeme sind kompatibel und können über individuell anpassbare Profile verwaltet werden.

Im Falle von Apple-Geräten, unabhängig ob iPhone oder iPad, besteht die Möglichkeit, den Apple Business Manager (ABM) und die dort hinterlegten Firmengeräte mit Intune zu verbinden. So kann das Device Enrollment Programm (DEP) verwendet werden, um Geräte, die initial bereitgestellt werden, über das Apple-eigene Zero-Touch-Deployment zu provisionieren. Durch die Verbindung der Plattformen kann ein Gerät, obwohl es noch verpackt ist, in Intune registriert und einem Anwender zugeordnet werden.

Wenn das Gerät dann ausgepackt wird und der Mitarbeiter in den Genuss der Unboxing-Experience kommt, wird das Gerät beim erstmaligen Starten mit dem Tenant des Unternehmens verbunden. Der Mitarbeiter muss dann nur durch das Startmenü swipen, um das Gerät verwenden zu können. In Intune oder über den ABM erworbene Software wird automatisiert auf dem Gerät installiert.

Unternehmenssoftware wird durch eigene Sicherheitsrichtlinien geschützt und kann zur optischen Vereinfachung in Containern zusammengefasst werden. Durch den Schutz der dienstlich genutzten Applikationen und Daten kann ein Anwender das Gerät auch privat verwenden, da nicht die Möglichkeit besteht, Informationen aus einer Dienst-App in andere, nicht verwaltete Applikationen zu überführen. So wird der Versuch, die Adresse eines Kunden aus der Outlook-App in Google Maps einzufügen, mit der kurzen Meldung quittiert, dass dies von den Unternehmensrichtlinien untersagt wird.

Wenn neue Kontakte angelegt werden, kann der Mitarbeiter bewerten, ob es sich um einen privaten oder dienstlichen Kontakt handelt. Ist der Kontakt dienstlich und der Mitarbeiter nutzt mit seiner privaten Rufnummer, die auf dem Gerät freigeschaltet wurde, beispielsweise WhatsApp, so wird dieser Kontakt dort nicht angezeigt. Somit können auch die Belange des Datenschutzes und den Anforderungen der DSGVO Genüge geleistet werden. Weitere Apps, die dienstlich bereitgestellt werden, können ebenfalls im Self-Service-Portal über das bereitgestellte Unternehmensportal bezogen werden.

Ist die Privatnutzung von Geräten nicht gestattet, kann auch der Zugriff auf den App Store eingeschränkt beziehungsweise die Installation von nicht gestatteten Anwendungen unterbunden werden. Wird ein Gerät verloren oder gestohlen, so kann die Administration nachverfolgen, wo das Gerät ist, es sperren und sogar Nachrichten auf dem Display anzeigen lassen, wie beispielsweise den Firmennamen und die Anschrift, damit das Gerät zurückgegeben werden kann. Durch diesen Fundus an Konfigurationsoptionen stellt Intune eine kompakte Lösung dar, mit der auch komplexe Profilanforderungen für den Einsatz von Dienstgeräten abgebildet werden können. 
 

Selten haben Unternehmen nur iOS- oder Android-Geräte im Einsatz. Aber auch Geräte von beispielsweise Samsung können problemlos über Intune verwaltet werden, wobei die Funktionalitäten zur Verwaltung von iOS-Geräten sich nur in Nuancen unterscheiden. Die Smartphones werden ebenfalls in Intune aufgenommen. Intune ist mit den eigenen Sicherheitslösungen kombinierbar, sodass ebenfalls eine Verbindung zu beispielsweise Samsung Knox aufgebaut werden kann. Die Geräte können so ebenfalls bei einer Erstinstallation vom Nutzer im Self-Service in Betrieb genommen werden.

Im Falle eines Android-Betriebssystems wird nicht die Einzelapplikation geschützt, sondern das Gerät in Profile unterteilt. So bekommt der Mitarbeiter, wenn eine Privatnutzung gestattet ist, angezeigt, ob er sich in seinem persönlichen oder im dienstlichen Bereich aufhält, und hat keine Möglichkeit, Daten aus dem einen in das andere Profil zu überführen. Wenn neue Kontakte angelegt werden, erfolgt dies ebenfalls im privaten oder im dienstlichen Bereich, was eine Vermengung von Kontakten und deren Daten unterbindet. Bei Verlust von Geräten können die gleichen Mechanismen angewendet werden.