Firmenhandys, die sich selbst einrichten: iPhone und Android mit Intune

Ein neues Firmenhandy sollte beim Mitarbeitenden ankommen, eingeschaltet werden und danach arbeitsbereit sein: mit E-Mail, Teams, WLAN und den Sicherheitsvorgaben des Unternehmens. Mit Microsoft Intune, Apple Business Manager und Androids Zero-Touch-Registrierung geht das ohne Zwischenstopp in der IT. Hier beschreibe ich, wie ich das einrichte und wie private Handys dazu passen. Die Erfahrungen stammen aus Einführungen der Jahre 2024 und 2025.

Wo ohne Automatik die Zeit bleibt

Ohne Geräteverwaltung läuft die Einrichtung eines Firmenhandys meist so: Jemand packt es aus, meldet sich mit einer Apple-ID oder einem Google-Konto an, richtet das Postfach ein, installiert Teams und gibt das Gerät weiter. Ob eine Bildschirmsperre gesetzt ist oder ob das Betriebssystem aktuell bleibt, prüft danach niemand mehr. Beim Austritt eines Mitarbeitenden ist oft unklar, welche Konten noch auf dem Gerät hängen.

Mit automatischer Registrierung dreht sich die Reihenfolge um. Die Vorgaben liegen vorher zentral bereit, und das Gerät holt sie sich selbst ab, sobald es zum ersten Mal online ist.

iPhones: Apple Business Manager und Intune

Apple Business Manager (Apple nennt den Dienst inzwischen „Apple Business“) ist das Verzeichnis der Geräte, die dem Unternehmen gehören. Wer bei Apple oder einem teilnehmenden Händler mit der eigenen Organisationsnummer kauft, findet die Geräte dort automatisch wieder. Ich verbinde Apple Business Manager einmalig mit Intune und lege fest, welches Registrierungsprofil neue Geräte bekommen.

Wichtig ist die Reihenfolge: Das Registrierungsprofil muss dem Gerät zugewiesen sein, bevor jemand es zum ersten Mal einschaltet. Sonst läuft die Einrichtung ohne Verwaltung durch, und das Gerät muss zurückgesetzt werden. Ich lege deshalb ein Standardprofil fest, das jedes neue Gerät automatisch erhält.

Android: Zero-Touch-Registrierung

Bei Android heißt das Gegenstück Zero-Touch. Das Prinzip ist gleich: Das Gerät prüft beim ersten Start, ob ihm eine Unternehmenskonfiguration zugeordnet ist, lädt die Intune-App und richtet sich als vollständig verwaltetes Firmengerät ein. Voraussetzung ist, dass es bei einem Händler gekauft wurde, der an Zero-Touch teilnimmt. Geräte aus dem normalen Endkundenhandel lassen sich so nicht registrieren.

Bei der Beschaffung frage ich deshalb vorher nach, über welchen Händler gekauft wird. Das ist einer der Punkte, an denen die Einführung sonst ins Stocken gerät, weil die Geräte schon ausgepackt sind, bevor die Konfiguration steht.

Private Handys: Firmendaten schützen, ohne das Gerät zu verwalten

Viele Mitarbeitende lesen ihre Firmenmails auf dem eigenen Handy. Das komplett in eine Geräteverwaltung aufzunehmen, will verständlicherweise kaum jemand. Dafür gibt es App-Schutzrichtlinien: Sie gelten nicht für das Gerät, sondern nur für das Firmenkonto in bestimmten Apps wie Outlook, Teams, OneDrive oder Word.

• Was geschützt wird: Firmendaten lassen sich nicht in private Apps kopieren oder dort speichern, die Apps verlangen eine eigene PIN, und bei Verlust oder Austritt lassen sich die Firmendaten gezielt entfernen.
• Was privat bleibt: Fotos, private Apps und private Konten sieht und verwaltet die IT nicht.
• Was dazugehört: Erst Conditional Access sorgt dafür, dass Firmendaten nur in geschützten Apps geöffnet werden. Auf Android muss zusätzlich die Intune-Unternehmensportal-App installiert sein.

Diese Aufteilung setze ich ein, wenn Kunden private Handys zulassen: Für Firmengeräte gilt die volle Verwaltung, für private Geräte der Schutz auf App-Ebene.

Wenn Geräte am Apple Business Manager vorbei gekauft wurden

Das kommt häufig vor: Ein iPhone wurde im Elektronikmarkt oder privat gekauft und über die Firma abgerechnet. Apple Business Manager kennt es dann nicht. Solche Geräte nehme ich mit Apple Configurator nachträglich auf. Dafür muss das iPhone zurückgesetzt sein und im Einrichtungsassistenten stehen, Daten darauf gehen also verloren oder müssen vorher gesichert werden.

Ein Punkt, den man kennen sollte: Nach der Übergabe hat der Nutzer 30 Tage Zeit, das so aufgenommene Gerät wieder aus der Verwaltung zu lösen. Danach verhält es sich wie jedes andere Firmengerät. Für neue Geräte empfehle ich deshalb, den Einkauf gleich über einen Weg zu organisieren, der die Geräte automatisch in Apple Business Manager einträgt.

Ab wann sich das lohnt

Ab etwa zehn Geräten empfehle ich eine Geräteverwaltung fast immer. Die Grenze ist aber keine technische. Wenn sich im Unternehmen niemand darum kümmert, dass Handys aktuell sind, gesperrt werden und bei Verlust gelöscht werden können, ist eine Verwaltung schon ab dem ersten Gerät sinnvoll. Mit Intune ist der Einstieg heute überschaubar, zumal es in Microsoft 365 Business Premium bereits enthalten ist.

Wie sich Intune von spezialisierten Apple-Lösungen wie Mosyle, Jamf oder Iru unterscheidet und wann ein anderes System besser passt, habe ich im Vergleich der MDM-Systeme beschrieben.

Quellen

• Automatische Registrierung von iPhones und iPads in Intune: Microsoft Learn – Tutorial: Intune-Registrierung für iOS/iPadOS in Apple Business
• Zero-Touch-Registrierung für Android in Intune: Microsoft Learn – Android-Enterprise-Geräte registrieren
• Zero-Touch aus Sicht von Google, Kauf über teilnehmende Händler: Android Enterprise Help – Zero-touch enrollment for IT admins
• App-Schutzrichtlinien ohne Geräteverwaltung: Microsoft Learn – App Protection Policies Overview
• Geräte mit Apple Configurator aufnehmen, 30-tägige Übergangszeit: Apple Business – Geräte mit Apple Configurator hinzufügen
• Betreute Geräte: Apple Platform Deployment – Über die Betreuung von Apple-Geräten