Mobile Device Management (MDM) ist Software, mit der Organisationen dienstlich genutzte Smartphones, Tablets und Laptops zentral registrieren, konfigurieren, absichern und überwachen.
Wie MDM funktioniert
Ein Gerät wird im MDM-Dienst registriert, meist durch die Installation eines Verwaltungsprofils oder über automatisierte Registrierungsprogramme von Apple und Google. Der Administrator kann dann:
- Codesperren, Verschlüsselung und Mindestversionen des Betriebssystems erzwingen;
- WLAN-, VPN-, E-Mail- und Zertifikatseinstellungen verteilen;
- Apps installieren, aktualisieren oder sperren;
- die Compliance prüfen, etwa gejailbreakte oder gerootete Geräte erkennen;
- verlorene oder gestohlene Geräte orten, sperren oder aus der Ferne löschen.
Verbreitete Produkte sind Microsoft Intune, Jamf und Ivanti; sie bauen auf den Verwaltungsschnittstellen von iOS, Android Enterprise, Windows und macOS auf. MDM ist heute oft Teil eines umfassenderen Unified Endpoint Management (UEM).
Warum MDM relevant ist
Mobilgeräte enthalten Firmen-E-Mails, Dokumente und Authentifizierungs-Apps und gehen leicht verloren. MDM liefert die Signale zum Gerätezustand, auf die Zero-Trust-Zugriffsrichtlinien angewiesen sind, und unterstützt Data Loss Prevention, indem Firmendaten in verwalteten Apps bleiben. Für BYOD-Szenarien trennen schlankere Optionen wie Arbeitsprofile private und dienstliche Daten.
Weil MDM weitreichende Kontrolle über jedes Gerät hat, ist es auch ein lohnendes Ziel. 2018 beschrieb Cisco Talos eine Kampagne, bei der ein bösartiger MDM-Server Spyware auf iPhones in Indien installierte, und 2023 wurden Zero-Day-Lücken in Ivanti Endpoint Manager Mobile ausgenutzt, um in norwegische Regierungsministerien einzudringen.
Best Practices
- MDM-Admin-Konsolen mit MFA schützen und MDM-Server zeitnah patchen.
- Admin-Rechte begrenzen und alle Fernlöschungen und Richtlinienänderungen protokollieren.
- Nur notwendige Daten erheben und Mitarbeitern die Datenschutzregeln erklären.
- Niemals Verwaltungsprofile aus nicht vertrauenswürdigen Quellen installieren.
