MDM & UEM
MDM & UEM
Mobile Device Management und Unified Endpoint Management – die zentrale Verwaltung aller Endgeräte in Unternehmen. Von Microsoft Intune über VMware Workspace ONE bis zu Jamf und ManageEngine.
Inhaltsverzeichnis
Schnellübersicht
Auf dieser Seite lernst du alles über MDM und UEM:
- Definition: Was ist MDM? Was ist UEM?
- Unterschied: MDM vs. UEM im Vergleich
- Lösungen: Intune, Workspace ONE, Jamf, ManageEngine, Kandji, SOTI
- Architektur: Wie MDM/UEM funktioniert
- Use Cases: Sicherheit, Compliance, Produktivität
- BYOD: Bring Your Own Device
- Best Practices: Implementierung und Betrieb
- FAQ: Häufige Fragen und Troubleshooting
1. Was ist MDM und UEM?
Definition MDM (Mobile Device Management)
MDM (Mobile Device Management) ist eine Software-Lösung zur zentralen Verwaltung, Überwachung und Sicherung von mobilen Endgeräten wie Smartphones, Tablets und Laptops in Unternehmen. MDM ermöglicht es IT-Administratoren, Geräte remote zu konfigurieren, Anwendungen zu verteilen, Sicherheitsrichtlinien durchzusetzen und bei Verlust oder Diebstahl Geräte zu sperren oder zu löschen.
Hauptfunktionen: Geräte-Enrollment, Konfigurationsprofile, App-Verteilung, Sicherheitsrichtlinien, Remote-Wipe, Compliance-Überwachung, Inventarisierung.
Definition UEM (Unified Endpoint Management)
UEM (Unified Endpoint Management) ist die Weiterentwicklung von MDM und umfasst die einheitliche Verwaltung aller Endgerätetypen – nicht nur mobile Geräte, sondern auch Desktop-PCs, Laptops, IoT-Geräte, Wearables und mehr. UEM kombiniert MDM-Funktionen mit Client-Management, Identitätsmanagement und Sicherheitsfunktionen in einer einzigen Plattform.
Hauptfunktionen: Alle MDM-Funktionen + Desktop-Management, Identitätsverwaltung (Azure AD), Conditional Access, Zero Trust Security, Application Management, Patch-Management, Compliance-Management.
Warum MDM/UEM wichtig ist
- Sicherheit: Schutz sensibler Unternehmensdaten auf allen Geräten
- Compliance: Einhaltung von DSGVO, ISO 27001 und Branchenstandards
- Produktivität: Automatische Konfiguration und App-Verteilung
- Kosteneinsparung: Weniger Support-Aufwand durch Self-Service
- Flexibilität: Unterstützung von BYOD (Bring Your Own Device)
- Remote Work: Sichere Verwaltung verteilter Teams
2. MDM vs. UEM – Der Unterschied
MDM und UEM werden oft synonym verwendet, aber es gibt wichtige Unterschiede:
MDM – Mobile Device Management
Funktionen
- Smartphone & Tablet Verwaltung
- Konfigurationsprofile
- App-Verteilung (Mobile)
- Remote Wipe & Lock
- Sicherheitsrichtlinien
- Geräte-Inventarisierung
Limitierungen
- Nur mobile Geräte
- Kein Desktop-Management
- Keine Identitätsverwaltung
- Begrenzte Compliance
Kleine Unternehmen, reine Mobile-Flotten, einfache Verwaltung
UEM – Unified Endpoint Management
Funktionen
- Alle MDM-Funktionen
- Desktop & Laptop Management
- Identitätsverwaltung (Azure AD)
- Conditional Access
- Zero Trust Security
- Patch-Management
- IoT-Geräte Verwaltung
Anforderungen
- Komplexere Einrichtung
- Höhere Kosten
- Mehr Admin-Wissen nötig
Enterprise, gemischte Flotten, Zero Trust, Remote Work
Wann MDM, wann UEM?
- MDM reicht aus: Wenn du nur Smartphones/Tablets verwaltest und einfache Sicherheitsrichtlinien brauchst
- UEM ist nötig: Wenn du Desktops, Laptops, Mobile Geräte und IoT-Geräte einheitlich verwalten willst
- Trend: Die meisten modernen Lösungen sind UEM – reines MDM wird seltener
3. Architektur – Wie MDM/UEM funktioniert
Schichten einer MDM/UEM-Architektur
Endgeräte (Devices)
Smartphones, Tablets, Laptops, Desktops, IoT-Geräte
MDM/UEM Server
Intune, Workspace ONE, Jamf – zentrale Verwaltung
Infrastruktur
Azure AD, DNS, Firewall, Proxy, VPN
Cloud-Dienste
Office 365, SaaS-Apps, Unternehmens-Apps
Wichtige Protokolle & Standards
- OMA-DM (Open Mobile Alliance Device Management): Standard für Mobile Device Management
- Apple MDM Protocol: Proprietäres Protokoll für iOS/macOS Geräte
- Android Enterprise: Google's Enterprise-Management-Framework
- Windows MDM: Microsoft's Protokoll für Windows 10/11 Geräte
- SCCM/MECM: Microsoft Endpoint Configuration Manager (On-Premise)
4. Die 6 wichtigsten MDM/UEM Lösungen
Hier eine Übersicht der führenden MDM/UEM-Lösungen auf dem Markt:
Microsoft Intune
Teil von Microsoft 365. Tief integriert in Azure AD und Office 365. Marktführer im Enterprise-Bereich.
- Azure AD Integration
- Conditional Access
- Windows, iOS, Android, macOS
- Autopilot Deployment
- Compliance Policies
VMware Workspace ONE
Umfassende UEM-Plattform von VMware. Stark in Virtualisierung und Desktop-Management.
- AirWatch MDM
- Workspace ONE UEM
- Intelligent Hub
- VMware Horizon Integration
- Zero Trust Security
Jamf Pro
Der Marktführer für Apple-Geräte-Management. Tief integriert in das Apple-Ökosystem.
- iOS, iPadOS, macOS
- Apple Business Manager
- DEP (Device Enrollment Program)
- App Store Management
- Zero-Touch Deployment
ManageEngine Endpoint Central
Kostengünstige Alternative mit On-Premise und Cloud-Optionen. Stark im Patch-Management.
- Patch Management
- Software Deployment
- Remote Control
- Asset Management
- On-Premise oder Cloud
Kandji
Moderne, benutzerfreundliche MDM-Lösung speziell für Apple-Geräte. Cloud-native.
- iOS, iPadOS, macOS, tvOS
- Automation Rules
- Blueprint Templates
- Compliance Reporting
- Self-Service Portal
SOTI MobiControl
Spezialisiert auf Enterprise Mobility und robuste Geräte (Handhelds, Scanner, POS).
- Android, iOS, Windows
- Rugged Device Support
- Kiosk Mode
- Remote Support
- Scripting & Automation
5. Vergleich – Welche Lösung für wen?
| Feature | Microsoft Intune | Workspace ONE | Jamf Pro | ManageEngine | Kandji | SOTI |
|---|---|---|---|---|---|---|
| Typ | UEM | UEM | MDM/UEM | UEM | MDM | UEM |
| Windows Support | ||||||
| iOS/macOS Support | ||||||
| Android Support | ||||||
| Azure AD Integration | ||||||
| Conditional Access | ||||||
| Patch Management | ||||||
| On-Premise Option | ||||||
| Einsteigerfreundlich | Gut | Mittel | Gut | Gut | Sehr gut | Mittel |
| Einsatzgebiet | Microsoft Shops | Enterprise | Apple Shops | SMB, Budget | Apple Focus | Enterprise Mobility |
Empfehlung
- Microsoft-Umgebung: Microsoft Intune – tief integriert, Azure AD, Conditional Access
- Apple-Umgebung: Jamf Pro – bester Apple-Support, Zero-Touch Deployment
- Gemischte Umgebung: VMware Workspace ONE – umfassend, aber komplex
- Budget-Lösung: ManageEngine – kostengünstig, On-Premise Option
- Modern Apple MDM: Kandji – benutzerfreundlich, Cloud-native
- Enterprise Mobility: SOTI – spezialisiert auf robuste Geräte
6. Use Cases – Warum MDM/UEM?
Die wichtigsten Einsatzgebiete und Vorteile von MDM/UEM-Lösungen:
Sicherheit
- Remote Wipe bei Geräteverlust
- Verschlüsselung erzwingen
- Passwort-Richtlinien
- Jailbreak/Root-Erkennung
- App-Sandboxing
Compliance
- DSGVO-konforme Verwaltung
- ISO 27001 Zertifizierung
- Branchenspezifische Vorgaben
- Audit-Logs & Reporting
- Datenverlust-Prävention (DLP)
Produktivität
- Zero-Touch Deployment
- Automatische App-Verteilung
- Self-Service Portal
- Remote-Konfiguration
- Weniger IT-Support-Aufwand
Kosteneinsparung
- Weniger Hardware-Beschaffung
- Reduzierter Support-Aufwand
- Automatisierte Prozesse
- Längere Gerätelebensdauer
- Bessere Ressourcennutzung
Remote Work
- Sichere Verwaltung verteilter Teams
- VPN-Konfiguration
- Remote-Support
- Standortunabhängiger Zugriff
- Home-Office-Sicherheit
BYOD (Bring Your Own Device)
- Trennung privat/geschäftlich
- Container-Lösungen
- Selective Wipe
- Datenschutz für Mitarbeiter
- Flexible Nutzungsrichtlinien
7. BYOD – Bring Your Own Device
BYOD ermöglicht Mitarbeitern, private Geräte für die Arbeit zu nutzen. MDM/UEM ist entscheidend für die sichere Umsetzung:
Vorteile von BYOD
- Mitarbeiterzufriedenheit: Nutzung vertrauter Geräte
- Kosteneinsparung: Weniger Hardware-Beschaffung
- Flexibilität: Arbeiten von überall
- Produktivität: Keine Einarbeitung in neue Geräte
- Attraktivität: Modernes Arbeitsumfeld
Risiken von BYOD
- Datenschutz: Vermischung privat/geschäftlich
- Sicherheit: Unkontrollierte Geräte
- Compliance: Schwierige Durchsetzung
- Support: Viele verschiedene Geräte
- Rechtliches: Arbeitsrecht, Datenschutz
BYOD Best Practices
- MDM/UEM einführen: Zentrale Verwaltung aller Geräte
- Container-Lösungen: Trennung geschäftlicher Daten (z.B. Microsoft Intune App Protection)
- Selective Wipe: Nur geschäftliche Daten löschen, private behalten
- Clear Policies: Klare Richtlinien für BYOD-Nutzung
- Regelmäßige Audits: Compliance-Überwachung
- Mitarbeiter-Schulung: Sensibilisierung für Sicherheit
8. Best Practices für MDM/UEM
Die wichtigsten Empfehlungen für eine erfolgreiche MDM/UEM-Implementierung:
Sicherheit
- Multi-Faktor-Authentifizierung (MFA)
- Verschlüsselung erzwingen
- Regelmäßige Security-Updates
- Conditional Access Policies
- Zero Trust Security Model
- Remote Wipe bei Verlust
Policies & Richtlinien
- Clear Acceptable Use Policy
- Passwort-Richtlinien definieren
- App-Whitelisting/Blacklisting
- BYOD-Richtlinien dokumentieren
- Datenschutz-Richtlinien
- Regelmäßige Policy-Reviews
Enrollment
- Zero-Touch Deployment nutzen
- Apple Business Manager / Android Enterprise
- Windows Autopilot für PCs
- Self-Service Enrollment
- QR-Code Enrollment
- Bulk Enrollment für große Flotten
Monitoring
- Compliance-Dashboards
- Alerts bei Regelverstößen
- Regelmäßige Reports
- Device Health Monitoring
- App-Nutzungsstatistiken
- Security Incident Tracking
Training & Kommunikation
- Mitarbeiter-Schulungen
- IT-Admin-Training
- Self-Service Portal bekannt machen
- FAQ & Dokumentation
- Regelmäßige Updates kommunizieren
- Feedback-Kanäle einrichten
Compliance
- DSGVO-konforme Verwaltung
- Datenschutz-Folgenabschätzung
- Regelmäßige Audits
- Dokumentation aller Maßnahmen
- Rechtliche Beratung einholen
- Branchenspezifische Vorgaben beachten
9. FAQ – Häufige Fragen
Häufige Fragen zu MDM/UEM
MDM (Mobile Device Management): Verwaltet das gesamte Gerät – Konfiguration, Apps, Sicherheit, Remote Wipe.
MAM (Mobile Application Management): Verwaltet nur bestimmte Apps auf dem Gerät – z.B. Office 365 Apps. Ideal für BYOD, da nur geschäftliche Apps kontrolliert werden.
Beispiel: Microsoft Intune bietet beides – MDM für komplette Geräteverwaltung und MAM für App-only-Schutz.
Nein, bei richtiger Konfiguration nicht! Moderne MDM/UEM-Lösungen bieten:
- Container-Lösungen: Geschäftliche Daten sind in einem separaten Container
- App Protection Policies: Nur geschäftliche Apps werden verwaltet
- Selective Wipe: Nur geschäftliche Daten werden gelöscht
- Privacy-Modus: Admins sehen nur Geräteinformationen, keine Inhalte
Wichtig: Transparente Kommunikation mit Mitarbeitern über gesammelte Daten ist essentiell (DSGVO).
Zero-Touch Deployment bedeutet, dass Geräte automatisch konfiguriert werden, sobald sie eingeschaltet werden – ohne manuelle IT-Intervention:
- Apple Business Manager: Automatische Registrierung von Apple-Geräten
- Android Enterprise: Zero-Touch Enrollment für Android
- Windows Autopilot: Automatische Windows-Konfiguration
Vorteile: Schnelle Bereitstellung, weniger IT-Aufwand, konsistente Konfiguration, Mitarbeiter können direkt loslegen.
Conditional Access ist eine Sicherheitsfunktion, die den Zugriff auf Ressourcen basierend auf bestimmten Bedingungen steuert:
- Geräte-Compliance: Nur konforme Geräte dürfen zugreifen
- Standort: Zugriff nur aus bestimmten Ländern/Regionen
- MFA: Multi-Faktor-Authentifizierung erforderlich
- Risiko-Level: Bei verdächtigen Aktivitäten zusätzliche Prüfung
- App-Schutz: Nur bestimmte Apps dürfen zugreifen
Beispiel: "Zugriff auf Office 365 nur von konformen Windows-Geräten mit MFA und aus Deutschland."
Die Einführungsdauer hängt von der Größe und Komplexität ab:
- Kleine Unternehmen (bis 50 Geräte): 1-4 Wochen
- Mittlere Unternehmen (50-500 Geräte): 1-3 Monate
- Große Unternehmen (500+ Geräte): 3-12 Monate
Phasen:
- Planung & Anforderungsanalyse (1-2 Wochen)
- Lösungsauswahl & Design (2-4 Wochen)
- Pilot-Phase mit Testgeräten (2-4 Wochen)
- Rollout in Wellen (4-12 Wochen)
- Optimierung & Betrieb (laufend)
MDM/UEM bietet mehrere Schutzmaßnahmen:
- Remote Lock: Gerät sperren mit PIN/Passwort
- Remote Wipe: Alle Daten löschen (vollständig oder selektiv)
- Standort-Tracking: Gerät orten (wenn aktiviert)
- Nachricht anzeigen: Kontaktinformationen auf Sperrbildschirm
- Passwort zurücksetzen: Neues Passwort erzwingen
Wichtig: Mitarbeiter sollten Verlust sofort melden, damit IT schnell reagieren kann. Bei BYOD nur geschäftliche Daten löschen (Selective Wipe).
Ja! Moderne UEM-Lösungen unterstützen IoT-Geräte:
- Microsoft Intune: IoT-Geräte mit Windows 10/11 IoT
- VMware Workspace ONE: Umfangreiche IoT-Unterstützung
- SOTI: Spezialisiert auf IoT und Rugged Devices
Typische IoT-Geräte:
- POS-Systeme (Point of Sale)
- Kiosks und Digital Signage
- Handheld-Scanner (Lager)
- Industrie-Tablets
- Smart Displays
Die Kosten variieren je nach Lösung und Umfang:
- Microsoft Intune: ~6 €/User/Monat (Teil von M365 Business Premium)
- VMware Workspace ONE: ~5-10 €/User/Monat
- Jamf Pro: ~4-8 €/Device/Jahr
- ManageEngine: ~2-5 €/Device/Monat
- Kandji: ~3-6 €/Device/Monat
- SOTI: ~4-8 €/Device/Monat
Zusätzliche Kosten:
- Implementierung & Consulting
- Training & Schulung
- Support & Wartung
- Integration in bestehende Systeme
ROI: Typischerweise Amortisation nach 12-24 Monaten durch reduzierte Support-Kosten und höhere Produktivität.
Zusammenfassung
Die wichtigsten Punkte
- MDM (Mobile Device Management): Verwaltung mobiler Geräte – Smartphones, Tablets
- UEM (Unified Endpoint Management): Einheitliche Verwaltung aller Endgeräte – Mobile, Desktop, IoT
- Microsoft Intune: Marktführer, tief integriert in Microsoft 365 und Azure AD
- VMware Workspace ONE: Enterprise UEM mit umfangreichen Features
- Jamf Pro: Spezialist für Apple-Geräte-Management
- ManageEngine: Kostengünstige Alternative mit On-Premise Option
- Kandji: Modernes Apple MDM, Cloud-native
- SOTI: Spezialisiert auf Enterprise Mobility und robuste Geräte
- BYOD: Bring Your Own Device – private Geräte für die Arbeit nutzen
- Conditional Access: Zugriffskontrolle basierend auf Geräte-Compliance, Standort, MFA
- Zero-Touch Deployment: Automatische Geräte-Konfiguration ohne IT-Intervention
- Best Practices: Sicherheit, Policies, Enrollment, Monitoring, Training, Compliance
Nächste Schritte
Bereit, MDM/UEM in deinem Unternehmen einzuführen? Hier ein empfohlener Weg:
- Anforderungen analysieren: Welche Geräte? Welche Plattformen? Welche Sicherheitsanforderungen?
- Lösung auswählen: Intune, Workspace ONE, Jamf, ManageEngine, etc.
- Pilot-Phase: Mit 10-20 Testgeräten starten
- Policies definieren: Sicherheitsrichtlinien, Compliance-Regeln
- Rollout planen: Wellenweise Einführung nach Abteilungen
- Mitarbeiter schulen: Training und Dokumentation bereitstellen
- Monitoring einrichten: Compliance-Dashboards und Alerts
- Optimieren: Regelmäßige Reviews und Anpassungen
Weiterführende Themen
Windows Server im Enterprise-Einsatz – Active Directory, Hyper-V, GPO.
Zu Windows ServerSicherheitsgrundlagen, Kryptographie, Netzwerksicherheit.
Zur IT-SicherheitIdentitätsmanagement, Active Directory, Azure AD.
Zur BenutzerverwaltungClient-Management, Softwareverteilung, Patch-Management.
Zu Endpoint Management