MDM im Mittelstand: Geräte zentral verwalten & absichern

Ein verlorenes Firmenhandy, ein gestohlener Laptop, ein privates Tablet mit Zugriff aufs Firmenpostfach: In jeder dieser Situationen entscheidet sich, ob Unternehmensdaten geschützt sind oder offen liegen. Mobile Device Management (MDM) ist die Antwort darauf, und längst kein Thema mehr, das nur Konzerne betrifft. Dieser Ratgeber erklärt, was MDM ist, warum auch der Mittelstand es braucht, wie sich firmeneigene und private Geräte unterscheiden lassen und wie die Einführung praktisch abläuft.

Was ist Mobile Device Management?

Mobile Device Management (MDM) ist die zentrale Verwaltung mobiler Endgeräte – Smartphones, Tablets und Laptops – über eine einzige Plattform. Statt jedes Gerät einzeln von Hand einzurichten, konfiguriert die IT alle Geräte zentral, verteilt Apps, setzt Sicherheitsrichtlinien durch und kann im Ernstfall aus der Ferne eingreifen. Die Kurzdefinition der wichtigsten Begriffe steht im IT-Wissen zu Mobile Device Management.

Fachlich ist MDM Teil des breiteren Enterprise Mobility Management (EMM), das die gesamte mobile Arbeitswelt eines Unternehmens absichert. Der Kern bleibt aber immer gleich: Kontrolle und Sicherheit über alle Geräte hinweg, egal ob iOS, Android, macOS oder Windows – und egal, wo sich das Gerät gerade befindet.

Wie ernst das Thema genommen wird, zeigt ein Blick auf die Behördenseite: Das Bundesamt für Sicherheit in der Informationstechnik führt einen eigenen Mindeststandard für Mobile Device Management, seit September 2022 in Version 2.0. Er definiert funktionale und nicht-funktionale Mindestsicherheitsanforderungen an ein MDM-System und zusätzlich Anforderungen an dessen Betrieb. Verbindlich ist er nur für Stellen des Bundes – als kostenlose Anforderungsliste für eine Anbieterauswahl taugt er trotzdem.

Warum auch der Mittelstand MDM braucht

Ein verbreiteter Irrtum: MDM sei nur etwas für große Konzerne mit tausenden Geräten. Das Gegenteil ist der Fall. Sobald Mitarbeitende mit mobilen Endgeräten auf Unternehmensdaten zugreifen, entsteht dasselbe Risiko wie im Konzern. Nur haben kleine und mittelständische Unternehmen selten eine IT-Abteilung, die es im Blick behält.

Ohne strukturierte Geräteverwaltung wächst die Zahl der Geräte schneller als die Kontrolle darüber: Wer hat welches Smartphone, ist es verschlüsselt, sind die Updates aktuell, was passiert bei Verlust? Nicht erfasste Geräte sind eine Form von Schatten-IT – sie tauchen in keiner Übersicht auf und lassen sich deshalb auch nicht absichern. MDM beantwortet diese Fragen für Unternehmen jeder Größe und entlastet die IT, indem es Einzelbetreuung durch zentrale Verwaltung ersetzt. Wie sich der Geräteschutz in die übrigen Sicherheitsmaßnahmen eines Betriebs einreiht, zeigt unsere IT-Sicherheit-Checkliste für KMU.

Der zweite, leisere Grund ist die Nachweisbarkeit. Wer nach einem Vorfall belegen muss, dass Geräte verschlüsselt und gesperrt waren, braucht eine Quelle, die das je Gerät zeigt. Ein Excel-Blatt, das zuletzt vor acht Monaten jemand gepflegt hat, ist kein Beleg – hier wird MDM vom Komfort- zum Compliance-Thema.

Was MDM konkret kann

Ein MDM-System bündelt mehrere Funktionen, die im Alltag ineinandergreifen:

• Zentrale Konfiguration: Neue Geräte werden per Richtlinie automatisch eingerichtet – WLAN, E-Mail, Zertifikate und Sicherheitseinstellungen sind ab dem ersten Anmelden da.
• App-Verteilung: Unternehmens-Apps werden zentral ausgerollt und aktualisiert, statt sie auf jedem Gerät einzeln zu installieren.
• Sicherheitsrichtlinien: Verschlüsselung, Bildschirmsperre, Passwortregeln und Compliance-Anforderungen werden erzwungen, nicht nur empfohlen.
• Updates aus der Ferne: Betriebssystem- und Sicherheitsupdates lassen sich zentral steuern, sodass keine veralteten, angreifbaren Geräte im Umlauf sind.
• Sperren und Fernlöschung: Geht ein Gerät verloren, wird es remote gesperrt oder der geschäftliche Bereich gelöscht.

Das BSI widmet dem Thema mit SYS.3.2.2 Mobile Device Management einen eigenen Baustein im IT-Grundschutz-Kompendium. Bemerkenswert daran ist die zweite Hälfte der Baustein-Beschreibung: Sie behandelt nicht nur, wie mobile Endgeräte mit einem MDM sicher genutzt werden, sondern auch, wie das MDM selbst sicher betrieben wird. Ein MDM-Server hat vollen Zugriff auf jedes verwaltete Gerät. Er ist damit selbst ein lohnendes Angriffsziel und gehört entsprechend gehärtet, überwacht und aktuell gehalten. Das ist der Grund, warum ein selbst betriebenes MDM im Mittelstand selten die günstigste Variante ist.

Firmeneigene Geräte, BYOD oder gemischt?

Drei Betriebsmodelle sind verbreitet, und ein gutes MDM deckt alle drei ab. Die Entscheidung fällt seltener technisch als organisatorisch; sie hängt daran, wer die Hardware bezahlt und wie viel Zugriff die Belegschaft akzeptiert.

Bei firmeneigenen Geräten gehört die Hardware dem Unternehmen und lässt sich vollständig verwalten. Bei BYOD (Bring Your Own Device) nutzen Mitarbeitende private Smartphones oder Tablets auch geschäftlich. Welches Modell für welche Gruppe gilt, gehört schriftlich festgehalten – idealerweise als Teil eines IT-Sicherheitskonzepts und nicht als mündliche Übung.

Gerade BYOD ist ohne MDM ein Datenschutzproblem. Die Lösung ist die saubere Trennung: Das MDM-System verwaltet ausschließlich den geschäftlichen Bereich – Firmen-Apps und -Daten – und lässt den privaten Teil unangetastet. Verlässt jemand das Unternehmen oder geht das Gerät verloren, wird nur der geschäftliche Container gelöscht.

Technisch ist das keine Grauzone, sondern seit Jahren Standard der Plattformhersteller. Google beschreibt in der Dokumentation zu Android Enterprise das Arbeitsprofil als getrennten Bereich für geschäftliche Apps und Daten neben dem privaten Bereich desselben Geräts. Microsoft geht mit den App-Schutzrichtlinien in Intune noch einen Schritt weiter: Sie lassen sich laut Herstellerdokumentation unabhängig von jeder Geräteverwaltung einsetzen, also auch auf Geräten, die gar nicht registriert sind. Kopieren aus Firmen-Apps in private Apps lässt sich damit unterbinden, ohne dass die IT je Verwaltungsrechte auf dem Privatgerät erhält.