Mobile Device Management (MDM): Definition, Funktionen und Vorteile

Mobile Geräte sind aus dem Arbeitsalltag vieler Unternehmen nicht mehr wegzudenken. Smartphones und Tablets ermöglichen den flexiblen Zugriff auf geschäftliche Anwendungen und Daten, erhöhen gleichzeitig aber die Anforderungen an Sicherheit, Verwaltung und Compliance. Mobile Device Management (MDM) schafft dafür eine zentrale technische Grundlage: Unternehmen können mobile Endgeräte einheitlich registrieren, konfigurieren, überwachen und mit verbindlichen Sicherheitsrichtlinien versehen.

Ein MDM unterstützt dabei den gesamten Lebenszyklus mobiler Endgeräte – von der Bereitstellung über die Verwaltung von Anwendungen und Konfigurationen bis zur Sperrung oder Löschung bei Verlust. Dadurch behalten Unternehmen auch bei einer wachsenden und heterogenen Geräteflotte die Kontrolle über sicherheitsrelevante Einstellungen und geschäftliche Daten. Dieser Beitrag zeigt, wie Mobile Device Management funktioniert, welche Modelle sich für Unternehmen eignen und welchen Beitrag MDM zur Sicherheit mobiler Arbeitsplätze leistet.

Ein Mobile Device Management (MDM) sollte den gesamten technischen Lebenszyklus mobiler Geräte von der Registrierung bis zur sicheren Ausserbetriebnahme unterstützen.

• Geräteregistrierung und Inventarisierung schaffen Transparenz darüber, welche Smartphones, Tablets oder weiteren mobilen Endgeräte auf Unternehmensressourcen zugreifen dürfen.
• Konfigurationsmanagement verteilt beispielsweise WLAN-, VPN-, E-Mail- und Zertifikatsprofile zentral und reduziert dadurch manuelle sowie fehleranfällige Geräteeinstellungen.
• Sicherheits- und Compliance-Richtlinien setzen Vorgaben wie Verschlüsselung, Bildschirmsperre, Betriebssystemversionen oder weitere technische Mindeststandards auf verwalteten Geräten durch.
• Mobile Application Management verteilt freigegebene Unternehmensanwendungen, steuert deren Konfiguration und kann geschäftliche Daten innerhalb verwalteter Anwendungen gezielt schützen.
• Remote-Funktionen ermöglichen abhängig von Plattform und Besitzmodell das Sperren, Zurücksetzen oder Löschen von Geräten beziehungsweise Unternehmensdaten bei Verlust oder Sicherheitsvorfällen.

Mobile Geräte haben sich in den vergangenen Jahren zum wichtigsten Zugangspunkt für digitale Anwendungen entwickelt. Weltweit erfolgen heute mehr als 50 Prozent aller Webseitenaufrufe über Smartphones und Tablets, während klassische Desktop-Systeme auf unter 50 Prozent kommen. Gleichzeitig greifen Mitarbeiter zunehmend mobil auf Cloud-Anwendungen, Unternehmensdaten und digitale Arbeitsplätze zu. Diese Entwicklung erhöht die Anforderungen an die Sicherheit und Verwaltung mobiler Endgeräte.

Die monatlich aktualisierte Statistik lässt sich hier ablesen: https://gs.statcounter.com/platform-market-share/desktop-mobile/worldwide
 

Mobile Device Management (MDM) steuert den gesamten Lebenszyklus mobiler Endgeräte zentral über definierte Richtlinien und eine zentrale Management-Plattform. Geräte werden zunächst registriert, eindeutig einer Organisation oder einem Benutzer zugeordnet und anschliessend mit den vorgesehenen Konfigurationen versorgt. Das MDM kann dabei Sicherheitsvorgaben, Netzwerkprofile, Zertifikate, Anwendungen und Geräteeinstellungen automatisiert ausrollen und deren Einhaltung fortlaufend überprüfen. Verliert ein Gerät seinen konformen Zustand, kann die Plattform definierte Massnahmen auslösen oder den Zugriff auf Unternehmensressourcen einschränken. So verbindet MDM technische Geräteverwaltung mit einer kontrollierten und nachvollziehbaren Nutzung mobiler Arbeitsmittel.

Mobile Device Management (MDM) muss unterschiedliche Eigentums- und Nutzungsszenarien abbilden, weil nicht jedes mobile Gerät gleich verwaltet werden darf. 

• Bei Bring Your Own Device (BYOD) gehört das Gerät dem Mitarbeitenden, während das Unternehmen vor allem geschäftliche Daten und Anwendungen absichert, siehe auch BYOD Leitfaden von BITKOM.
• Corporate Owned, Personally Enabled (COPE) bezeichnet firmeneigene Geräte, die zusätzlich eine begrenzte private Nutzung erlauben, siehe NIST Spezialpublikation 1800-21 zum Thema "Mobile Device Security: Corporate-Owned Personally-Enabled (COPE)".
• Bei Corporate Owned, Business Only (COBO) bleiben Geräte ausschliesslich für geschäftliche Zwecke vorgesehen und können entsprechend restriktiver konfiguriert werden, was BSI Grundschutz im Baustein SYS.3.2.2 für Geräte mit hochsensiblen Daten implizit fordert, um keine privaten Kanäle auf den Geräten zu erlauben.

Je nach Modell unterscheiden sich deshalb Enrollment, Datenschutz, App-Verteilung, Kontrollumfang und Möglichkeiten zum Löschen geschäftlicher oder vollständiger Gerätedaten. Gerade bei BYOD ist eine klare Trennung zwischen privaten und geschäftlichen Informationen entscheidend, um Sicherheitsanforderungen und Datenschutz miteinander zu verbinden. Plattformen wie Apple Business Manager und Android Enterprise unterstützen Unternehmen dabei, firmeneigene und private Nutzungsszenarien technisch unterschiedlich abzubilden. Ein tragfähiges MDM-Konzept definiert daher vor der technischen Einführung, welche Gerätetypen und Eigentumsmodelle unterstützt werden und welche Richtlinien jeweils gelten.

Ein Mobile Device Management (MDM) sollte den gesamten technischen Lebenszyklus mobiler Geräte von der Registrierung bis zur sicheren Ausserbetriebnahme unterstützen.

• Geräteregistrierung und Inventarisierung schaffen Transparenz darüber, welche Smartphones, Tablets oder weiteren mobilen Endgeräte auf Unternehmensressourcen zugreifen dürfen.
• Konfigurationsmanagement verteilt beispielsweise WLAN-, VPN-, E-Mail- und Zertifikatsprofile zentral und reduziert dadurch manuelle sowie fehleranfällige Geräteeinstellungen.
• Sicherheits- und Compliance-Richtlinien setzen Vorgaben wie Verschlüsselung, Bildschirmsperre, Betriebssystemversionen oder weitere technische Mindeststandards auf verwalteten Geräten durch.
• Mobile Application Management verteilt freigegebene Unternehmensanwendungen, steuert deren Konfiguration und kann geschäftliche Daten innerhalb verwalteter Anwendungen gezielt schützen.
• Remote-Funktionen ermöglichen abhängig von Plattform und Besitzmodell das Sperren, Zurücksetzen oder Löschen von Geräten beziehungsweise Unternehmensdaten bei Verlust oder Sicherheitsvorfällen.

Mobile Device Management (MDM) reduziert Sicherheitsrisiken, die durch Smartphones, Tablets und andere mobile Endgeräte im Unternehmensumfeld entstehen. Unternehmen können Sicherheitsrichtlinien zentral verwalten und auf allen Geräten einheitlich durchsetzen. Dadurch sinkt das Risiko von Datenverlusten und unbefugten Zugriffen auf geschäftskritische Informationen. Gleichzeitig verbessert sich die Transparenz über den Sicherheitsstatus der eingesetzten Endgeräte. Das schafft eine wichtige Grundlage für sichere mobile Arbeitsplätze.

Mobile Device Management unterstützt Compliance, indem es den Sicherheitszustand verwalteter Geräte nach definierten technischen Vorgaben messbar und kontrollierbar macht. Unternehmen können beispielsweise prüfen, ob Verschlüsselung aktiviert ist, vorgeschriebene Konfigurationen bestehen oder ein Gerät definierte Mindestanforderungen erfüllt. Dieser Compliance-Status kann mit Zugriffsentscheidungen verbunden werden, sodass nicht konforme Geräte keinen oder nur eingeschränkten Zugriff auf sensible Unternehmensressourcen erhalten. MDM ersetzt dabei keine Identity & Access Management Architektur, liefert aber einen wichtigen Gerätekontext für deren Entscheidungen. Damit wird das Endgerät von einem blinden Zugangspunkt zu einem überprüfbaren Bestandteil der Sicherheits- und Governance-Architektur.

Geräte sind eine der fünf Säulen im Zero-Trust-Modell. Mobile Device Management (MDM) stellt sicher, dass nur registrierte, konforme und sicher konfigurierte Endgeräte auf Unternehmensressourcen zugreifen können. Der Sicherheitsstatus eines Geräts wird kontinuierlich überprüft und in Zugriffsentscheidungen einbezogen. Dadurch bildet MDM die Grundlage für gerätebasierte Zugriffskontrollen und die konsequente Umsetzung von Zero Trust.

Fazit: MDM und EPM adressieren unterschiedliche Risiken. Während MDM vor allem die Gerätesicherheit gewährleistet, verhindert EPM gezielt das Eskalieren und Ausnutzen von privilegierten Berechtigungen. MDM und EPM sind somit ergänzend zu verstehen und bilden einen Grundbaustein für eine umfassende Sicherheitsstrategie. 

Mehr Details zu EPM finden sich im Fachbeitrag: Endpoint Privilege Management (EPM): Warum lokale Administratorrechte heute ein Sicherheitsrisiko sind

Mobile Device Management (MDM) verwaltet und schützt mobile Endgeräte wie Smartphones und Tablets auf Geräteebene. Mobile Application Management (MAM) konzentriert sich dagegen auf die Verwaltung und Absicherung geschäftlicher Anwendungen und Daten, ohne zwingend das gesamte Gerät zu kontrollieren. Unified Endpoint Management (UEM) erweitert diesen Ansatz und ermöglicht die zentrale Verwaltung unterschiedlicher Endgeräte wie Smartphones, Tablets, Notebooks und Desktops über eine gemeinsame Plattform. Unternehmen wählen daher zwischen MDM, MAM und UEM abhängig davon, ob Geräte, Anwendungen oder eine heterogene Endpoint-Landschaft zentral gesteuert und abgesichert werden sollen.

Eine erfolgreiche MDM-Einführung beginnt mit der Definition der Gerätepopulation, Eigentumsmodelle, Schutzanforderungen und geschäftlichen Nutzungsszenarien. Anschliessend werden Enrollment-Verfahren, Sicherheitsrichtlinien, Applikationsvorgaben und Zugriffsregeln für die relevanten Plattformen festgelegt. In einer Pilotphase sollte geprüft werden, ob Richtlinien technisch funktionieren, Benutzerprozesse praktikabel bleiben und bestehende Anwendungen mit den vorgesehenen Kontrollen kompatibel sind. Erst danach empfiehlt sich ein gestaffelter Rollout auf weitere Benutzergruppen und Gerätetypen. Bei der Auswahl einer MDM-Lösung sind deshalb nicht nur Funktionsumfang und Lizenzkosten relevant, sondern auch Plattformunterstützung, Integrationen, Automatisierung, Reporting und Betriebsmodell. Ebenso wichtig ist die Anbindung an bestehende Identity-, Access- und Security-Systeme, damit Geräteinformationen in übergreifende Sicherheitsentscheidungen einfliessen können. Für den laufenden Betrieb müssen Verantwortlichkeiten, Ausnahmeprozesse, Lifecycle-Regeln und die Behandlung verlorener, veralteter oder ausgemusterter Geräte klar definiert sein. MDM wird dadurch nicht zu einem einmaligen Rollout-Projekt, sondern zu einem dauerhaft betriebenen Kontrollprozess für mobile Endgeräte.

Mobile Device Management schafft die Grundlage, um mobile Endgeräte zentral zu verwalten, Sicherheitsrichtlinien einheitlich durchzusetzen und Unternehmensdaten wirksam zu schützen. Besonders bei BYOD, COPE und hybriden Arbeitsmodellen sorgt MDM dafür, dass unterschiedliche Geräte kontrolliert und sicher in die Unternehmensumgebung eingebunden werden können.

Unternehmen gewinnen dadurch mehr Transparenz und Kontrolle über ihre mobilen Endgeräte. Gleichzeitig lassen sich Sicherheitsanforderungen, Compliance-Vorgaben und die notwendige Flexibilität für mobiles Arbeiten besser miteinander vereinbaren.

Dieser Bericht beruht auf Expertenwissen. Für die Ausformulierung wurde Hilfe von KI in Anspruch genommen.