Ein verlorenes Smartphone ist kein Einzelfall, sondern ein potenzieller Sicherheitsvorfall: E-Mails, Teams-Chats, Kontakte und Zugänge können auf dem Gerät liegen. Wer MDM für Firmenhandys einführen möchte, schafft deshalb nicht einfach eine neue Verwaltungsoberfläche. Es geht darum, mobile Arbeit kontrollierbar zu machen, ohne die Mitarbeitenden mit unnötigen Hürden auszubremsen.
Für Unternehmen mit Außendienst, mehreren Standorten, Schichtbetrieb oder hybriden Teams ist das besonders relevant. Je mehr Geräte, Tarife und Anwendungen im Einsatz sind, desto schneller entstehen blinde Flecken: unklare Zuständigkeiten, veraltete Betriebssysteme, nicht genehmigte Apps oder Geräte, die nach einem Mitarbeiteraustritt weiter Zugriff haben. Ein gutes Mobile Device Management bringt Ordnung in diesen Lebenszyklus.
MDM für Firmenhandys einführen: Vom Ziel zum Betrieb
Ein MDM-Projekt funktioniert am besten als klar abgegrenzte Betriebsaufgabe – nicht als reiner Softwarekauf. Die folgenden sieben Schritte helfen, Sicherheit, Nutzerakzeptanz und administrativen Aufwand von Beginn an zusammenzudenken.
1. Ausgangslage und Schutzbedarf erfassen
Am Anfang steht nicht die Frage nach dem Hersteller, sondern nach den Geräten und Daten. Wie viele Smartphones und Tablets sind aktiv? Werden sie unternehmenseigen genutzt, privat mit dienstlichem Zugriff eingesetzt oder als Mischmodell bereitgestellt? Welche Anwendungen laufen darauf – etwa Microsoft 365, Telefonie, CRM, Lager-Apps oder branchenspezifische Software?
Ebenso wichtig ist der Schutzbedarf. Ein Gerät im Empfang hat andere Anforderungen als ein Smartphone der Geschäftsführung oder ein Tablet in der Logistik. Prüfen Sie außerdem, welche Daten lokal gespeichert werden dürfen und wo Zugriffe auf besonders sensible Systeme enden müssen. Daraus entstehen Regeln, die nachvollziehbar begründet sind, statt pauschal restriktiv zu wirken.
2. Das passende Gerätemodell festlegen
In der Praxis bewähren sich drei Modelle: rein unternehmenseigene Geräte, private Geräte mit dienstlicher Nutzung oder ein COPE-Ansatz. Bei COPE – Corporate Owned, Personally Enabled – gehört das Smartphone dem Unternehmen, eine begrenzte private Nutzung ist jedoch erlaubt.
Unternehmenseigene Geräte lassen sich am konsequentesten absichern und beim Austritt vollständig zurücksetzen. BYOD kann die Beschaffung entlasten und wird von manchen Teams geschätzt, verlangt aber eine besonders saubere Trennung von privaten und geschäftlichen Daten. Häufig ist ein geschützter Arbeitsbereich sinnvoller als eine vollständige Geräteverwaltung. COPE liegt dazwischen, erhöht jedoch die Anforderungen an transparente Regeln. Es gibt kein Modell, das für jede Organisation richtig ist. Entscheidend sind Risiko, Kultur, Compliance-Vorgaben und Supportkapazität.
3. Anforderungen an Plattform und Integration definieren
Ein MDM muss zu Ihrer vorhandenen ITK-Landschaft passen. Für Apple-Geräte sind automatisierte Registrierungs- und Bereitstellungsprozesse relevant, bei Android die Verwaltung über Android Enterprise. In gemischten Umgebungen braucht es eine Plattform, die beide Welten zuverlässig abdeckt.
Achten Sie nicht nur auf die Geräteverwaltung, sondern auf die Einbindung in Identitätsmanagement, E-Mail, Collaboration, Endpoint Security und Helpdesk. Wenn Benutzerkonten zentral deaktiviert werden, sollte der mobile Zugriff automatisch mit entzogen werden. Wenn neue Mitarbeitende starten, sollte ihr Gerät mit den benötigten Apps, WLAN-Profilen und Sicherheitsvorgaben bereitstehen.
Zu den Anforderungen gehören typischerweise Verschlüsselung, Bildschirmsperre, Mindestversionen für Betriebssysteme, App-Verteilung, Compliance-Prüfungen und die Möglichkeit zum Fernlöschen. Ebenso relevant: Können geschäftliche Daten gezielt entfernt werden, ohne private Fotos oder Kontakte anzutasten? Gerade bei BYOD entscheidet diese Funktion oft über die Akzeptanz.
4. Richtlinien schlank und verständlich gestalten
MDM-Richtlinien müssen wirksam sein, aber sie dürfen den Arbeitsalltag nicht unnötig verkomplizieren. Eine Pflicht zur Gerätesperre und Verschlüsselung ist nachvollziehbar. Eine überzogene Einschränkung jeder Funktion führt dagegen oft dazu, dass Mitarbeitende nach Umgehungen suchen oder private Schatten-IT entsteht.
Definieren Sie daher nur Maßnahmen, die einem konkreten Risiko begegnen. Dazu zählen beispielsweise verpflichtende Updates innerhalb eines angemessenen Zeitfensters, der Ausschluss gerooteter oder manipulierte Geräte, sichere App-Quellen und die Trennung geschäftlicher Daten. Legen Sie auch fest, was bei Verlust geschieht: Wer meldet ihn? Wer bewertet das Risiko? Wann wird ein selektives Löschen ausgelöst, wann ein vollständiges?
Bei privater Nutzung sollten Mitarbeitende genau wissen, was die IT sehen und steuern kann – und was nicht. Transparenz ist hier kein Kommunikationsthema am Rand, sondern Voraussetzung für eine belastbare Vereinbarung. Je nach Unternehmen sollten Datenschutzbeauftragte und Betriebsrat frühzeitig eingebunden werden.
5. Mit einer Pilotgruppe starten
Ein Big Bang ist bei der Einführung selten die beste Wahl. Beginnen Sie mit einer Pilotgruppe, die unterschiedliche Anwendungsfälle abbildet: IT, Vertrieb, Verwaltung, mobile Mitarbeitende und gegebenenfalls Führungskräfte. So zeigt sich früh, ob die Registrierung verständlich ist, Anwendungen korrekt ausgerollt werden und Richtlinien im Alltag praktikabel bleiben.
Ein Pilot deckt auch technische Abhängigkeiten auf. Vielleicht benötigt eine Fachanwendung eine besondere Berechtigung, ein Standort hat schwache Mobilfunkversorgung oder eine ältere Geräteserie erhält keine Sicherheitsupdates mehr. Diese Erkenntnisse vor dem flächendeckenden Rollout zu gewinnen, spart später Supportaufwand und vermeidet Frust.
Messen Sie den Piloten nicht nur an technischen Erfolgsquoten. Fragen Sie nach der Dauer der Einrichtung, typischen Rückfragen, Auswirkungen auf die Akkulaufzeit und Einschränkungen bei der Nutzung. Aus diesen Rückmeldungen entstehen Schulungsunterlagen und ein Rollout, der für die Fachbereiche nachvollziehbar bleibt.
6. Rollout, Kommunikation und Gerätelebenszyklus planen
Nach dem Pilot folgt ein gestaffelter Rollout. Neue Geräte lassen sich idealerweise schon bei der ersten Inbetriebnahme automatisch registrieren. Bestehende Geräte benötigen meist eine klar terminierte Umstellung mit verständlicher Anleitung und erreichbarem Support. Menschen statt Warteschleifen ist gerade in dieser Phase ein echter Produktivitätsfaktor.
Kommunizieren Sie den Nutzen konkret: Bei Verlust können Unternehmensdaten geschützt werden, neue Apps stehen schneller bereit und Supportfälle lassen sich häufig ohne Einsendung des Geräts lösen. Gleichzeitig müssen Mitarbeitende wissen, an wen sie sich bei Problemen wenden und was bei einem Gerätewechsel passiert.
Planen Sie MDM über die Erstregistrierung hinaus. Dazu gehören Inventarisierung, Austauschzyklen, Reparatur- und Ersatzgeräte, Lizenzzuordnung, Rückgabeprozesse sowie die sichere Außerbetriebnahme. Ein Smartphone, das aus dem Bestand verschwindet, sollte nicht nur aus dem Schrank, sondern auch aus Zugriffsrechten, Gerätemanagement und Mobilfunkverwaltung entfernt werden.
7. Betrieb kontinuierlich überwachen und verbessern
Mit dem Rollout beginnt der eigentliche Wert eines MDM: der verlässliche Betrieb. Prüfen Sie regelmäßig, welche Geräte nicht mehr compliant sind, welche Betriebssysteme auslaufen und ob Anwendungen noch benötigt werden. Ausnahmen sollten dokumentiert, befristet und verantwortet sein. Sonst werden sie zu dauerhaften Sicherheitslücken.
Auch Kosten gehören in die Betriebsbetrachtung. Transparenz über Gerätebestand, Mobilfunktarife und tatsächlich genutzte Apps ermöglicht bessere Entscheidungen bei Beschaffung und Vertragsverlängerung. Besonders bei mehreren Standorten oder wechselnden Teams kann die Verbindung aus MDM, Mobilfunkmanagement und zentralem Support interne IT-Teams deutlich entlasten.
Wer Auswahl, Migration, Inbetriebnahme und Betreuung nicht mit mehreren Stellen koordinieren möchte, braucht einen Partner, der die Schnittstellen versteht. abakus TK begleitet Unternehmen dabei herstellerübergreifend und langfristig – vom passenden Konzept bis zum laufenden Betrieb.
Wann ein schlankes MDM ausreicht – und wann mehr nötig ist
Nicht jedes Unternehmen benötigt vom ersten Tag an jede Funktion. Für ein kleines Team mit wenigen, ausschließlich geschäftlich genutzten Geräten kann eine standardisierte Verwaltung mit Verschlüsselung, automatischen Updates, App-Verteilung und Fernlöschung ausreichend sein. Entscheidend ist, dass Zuständigkeiten und Reaktionen im Ernstfall klar sind.
Komplexer wird es bei mehreren Betriebssystemen, BYOD, internationalen Roaming-Konzepten, regulierten Daten oder vielen mobilen Fachanwendungen. Dann reichen isolierte Gerätereinstellungen nicht mehr aus. Identitäten, Netzwerkzugriffe, mobile Sicherheit und Supportprozesse müssen zusammenpassen. Ein MDM ist kein Ersatz für ein Sicherheitskonzept, aber ein zentraler Baustein darin.
Beginnen Sie daher mit den Geräten und Arbeitsabläufen, die im Alltag wirklich kritisch sind. Eine sauber eingerichtete, verständlich kommunizierte Lösung schafft mehr Sicherheit als ein überladenes Regelwerk, das niemand zuverlässig nutzt.
