iPhone-Registrierungsprofile: ein vollständiger Leitfaden für MDM

Ein iPhone-Registrierungsprofil, oft MDM-Profil genannt, ist das Konfigurationsprofil, das ein iPhone oder iPad mit einem Server für Mobile Device Management (MDM) verbindet. Sobald es installiert ist, kann das MDM dem Gerät Einstellungen, Apps und Befehle senden. Auf dem iPhone sehen Sie es unter Einstellungen > Allgemein > VPN und Geräteverwaltung, wo Apple es als Verwaltungsprofil mit dem Namen der Organisation anzeigt. Ein Profil gelangt auf drei Wegen auf ein Gerät: automatisch bei der Einrichtung über die automatisierte Geräteregistrierung in Apple Business (früher Apple Business Manager), durch Laden und Installieren auf einem Firmengerät oder durch Anmelden mit einem verwalteten Apple Account über die kontobasierte Benutzerregistrierung auf einem privaten Gerät. Der Weg entscheidet, wie viel die Organisation verwalten kann und ob die Person das Profil entfernen kann.

Wenn Sie MDM für Firmen-iPhones einrichten oder ein Profil auf Ihrem eigenen Smartphone gefunden haben und wissen möchten, was es bewirkt, beantworten die Tabelle der Registrierungsarten und der Abschnitt zum Prüfen und Entfernen Ihre Frage.

Was ist ein iPhone-Registrierungsprofil?

Ein Registrierungsprofil ist eine kleine signierte Datei (ein .mobileconfig-Konfigurationsprofil) mit einer MDM-Payload: der Adresse des MDM-Servers, einem Zertifikat, mit dem sich das Gerät ausweist, und den Zugriffsrechten, die der Server erhält. Ist das Profil installiert, meldet sich das Gerät beim Server und ist registriert. Von da an kann das MDM Apps installieren, Einstellungen wie Code-Regeln, WLAN und Einschränkungen anwenden und Befehle wie Sperren oder Löschen senden, innerhalb der Grenzen, die Apple für die jeweilige Registrierungsart setzt.

Andere Konfigurationsprofile, etwa für WLAN, E-Mail oder VPN, lassen sich auf jedem iPhone installieren. Nur das MDM-Profil gibt einer Organisation die laufende Verwaltung des Geräts, und an ihm erkennen Sie, ob ein Smartphone verwaltet wird.

Warum Registrierungsprofile für MDMs wichtig sind

• Sie machen Verwaltung erst möglich. Ohne Registrierungsprofil gibt es keine MDM-Verbindung und nichts, was die Organisation verwalten könnte.
• Sie bestimmen, was die IT tun kann. Ein über die automatisierte Geräteregistrierung eingebundenes Gerät ist betreut, was Einschränkungen und Einstellungen erlaubt, die nicht betreute Geräte ignorieren. Ein privates Gerät mit Benutzerregistrierung gibt der Organisation deutlich weniger.
• Sie bestimmen, ob sich die Verwaltung entfernen lässt. Ein bei der automatisierten Einrichtung installiertes Profil kann so gesperrt werden, dass die Person es nicht entfernen kann. Ein von Hand installiertes Profil lässt sich meist entfernen.
• Sie sorgen für eine einheitliche Einrichtung. Jedes Gerät, das auf demselben Weg registriert wird, erhält dieselben Einstellungen und Apps, ohne dass die IT jedes einzeln konfiguriert.

Die drei Wege, auf denen ein Registrierungsprofil auf ein iPhone kommt

Apple bietet außerdem die kontobasierte Geräteregistrierung für Firmengeräte an, die sich mit einem verwalteten Apple Account anmelden, und hat die ältere profilbasierte Benutzerregistrierung zugunsten der kontobasierten Methode als veraltet eingestuft. Die Seite der privaten Geräte im Detail erklärt kontobasierte Benutzerregistrierung (englisch).

So richten Sie ein iPhone-Registrierungsprofil für MDM ein

Die Schritte unten beschreiben eine Einführung im Unternehmen. Die Menünamen unterscheiden sich je nach MDM leicht.

Schritt 1: den MDM-Server vorbereiten

Erstellen Sie in Ihrem MDM das Zertifikat für den Apple Push Notification Service (APNs). Apple nutzt es, um Geräte zu wecken, damit sie sich melden. Es muss jedes Jahr mit demselben Apple Account erneuert werden, sonst erhält kein registriertes Gerät mehr Befehle. Wenn Sie die automatisierte Geräteregistrierung nutzen, verbinden Sie Ihr MDM mit einem Server-Token mit Apple Business, siehe MDM zu Apple Business Manager hinzufügen. Für App-Store-Apps laden Sie zusätzlich ein Inhaltstoken hoch, siehe Apple VPP-Token (englisch).

Schritt 2: das Registrierungsprofil anlegen

Legen Sie im MDM die Registrierungseinstellungen für jede Gerätegruppe an: welchen Organisationsnamen die Nutzer sehen, ob sich das Profil entfernen lässt, welche Bildschirme des Einrichtungsassistenten übersprungen werden und welche Einstellungen und Apps das Gerät nach der Registrierung erhält. Bei der automatisierten Geräteregistrierung erstellt das MDM dieses Profil und schickt es an Apple. Beim Laden eines Profils erstellt es den Link oder die Seite, die die Nutzer öffnen.

Schritt 3: die Registrierungsmethoden wählen

Nutzen Sie die automatisierte Geräteregistrierung für jedes Firmen-iPhone, bei dem es geht. Nur sie betreut das Gerät, ohne dass es von Hand gelöscht werden muss, und nur sie kann verhindern, dass das Profil entfernt wird. Geräte, die mit Ihrer Organisations-ID bei Apple oder einem autorisierten Händler gekauft wurden, erscheinen von selbst in Apple Business. Weisen Sie sie dort Ihrem MDM-Server zu oder legen Sie Ihr MDM als Standard für iPhone und iPad fest. Das Laden eines Profils nutzen Sie für Firmengeräte, die sich nicht in Apple Business aufnehmen lassen, und die kontobasierte Benutzerregistrierung für private Smartphones.

Schritt 4: das Profil auf dem iPhone installieren

• Automatisierte Geräteregistrierung: Schalten Sie das neue oder gelöschte iPhone ein und gehen Sie durch den Einrichtungsassistenten. Auf dem Bildschirm zur Fernverwaltung zeigt das Gerät Ihre Organisation an und registriert sich, wenn die Person fortfährt.
• Profil laden: Öffnen Sie den Registrierungslink in Safari auf dem iPhone und erlauben Sie den Download. Öffnen Sie dann die Einstellungen, tippen Sie auf „Profil geladen“ (oder gehen Sie zu Allgemein > VPN und Geräteverwaltung), tippen Sie auf das Profil und wählen Sie „Installieren“. Ein geladenes Profil, das nicht innerhalb von etwa acht Minuten installiert wird, wird gelöscht und muss neu geladen werden.
• Kontobasierte Benutzerregistrierung: Gehen Sie zu Einstellungen > Allgemein > VPN und Geräteverwaltung, wählen Sie die Anmeldung mit einem Arbeits- oder Schulkonto und melden Sie sich mit dem verwalteten Apple Account an.

Schritt 5: die Registrierung prüfen

Auf dem iPhone sollte unter Einstellungen > Allgemein > VPN und Geräteverwaltung das Verwaltungsprofil mit dem Namen Ihrer Organisation stehen. Im MDM sollte das Gerät mit seiner Registrierungsart erscheinen, betreute Geräte als betreut. Senden Sie einen harmlosen Befehl, etwa eine Abfrage der Gerätedetails, um die Verbindung zu prüfen.

So prüfen oder entfernen Sie ein MDM-Profil auf dem iPhone

Ob ein iPhone verwaltet wird, sehen Sie unter Einstellungen > Allgemein > VPN und Geräteverwaltung. Steht dort ein Verwaltungsprofil (als Mobile Device Management oder mit dem Namen einer Organisation), ist das Gerät im MDM dieser Organisation registriert. Tippen Sie darauf, um zu sehen, was die Organisation verwalten kann. Auf einem betreuten iPhone weist zudem der obere Bereich der Einstellungen darauf hin, dass das Gerät betreut und von der Organisation verwaltet wird.

Zum Entfernen tippen Sie auf das Verwaltungsprofil, wählen „Verwaltung entfernen“ und geben den Gerätecode ein. Dabei werden auch die Apps, Konten und Einstellungen entfernt, die das MDM installiert hat. Auf einem Firmen-iPhone mit automatisierter Geräteregistrierung fehlt die Option zum Entfernen unter Umständen, weil die Organisation das Profil gesperrt hat. Fragen Sie dann die IT und versuchen Sie nicht, die Sperre zu umgehen, denn ein gelöschtes Firmengerät registriert sich bei der Einrichtung erneut. Auf einem privaten Smartphone mit Benutzerregistrierung löscht das Entfernen der Verwaltung nur die Arbeits-Apps und -Daten.

Probleme mit Registrierungsprofilen beheben

„Did not receive an enrollment profile from your MDM server“

Diese Meldung erscheint meist im Einrichtungsassistenten auf einem Gerät, das in Apple Business steht, aber seine Registrierungseinstellungen nicht erhalten hat. Prüfen Sie, ob die Seriennummer des Geräts in Apple Business dem richtigen MDM-Server zugewiesen ist, ob Ihr MDM seit der Zuweisung mit Apple synchronisiert hat, ob dem Gerät im MDM ein Registrierungsprofil zugewiesen ist und ob das Server-Token noch gültig ist. Löschen Sie das Gerät dann und starten Sie die Einrichtung neu.

Das Profil lässt sich nicht installieren

Achten Sie darauf, dass der Link in Safari geöffnet und das Profil innerhalb weniger Minuten nach dem Download installiert wurde, dass Datum und Uhrzeit auf dem Smartphone stimmen und dass das Gerät nicht schon in einem anderen MDM registriert ist. Ein iPhone kann immer nur in einem MDM registriert sein.

Das Gerät ist registriert, aber Einstellungen greifen nicht

Viele Einschränkungen gelten nur für betreute Geräte. Wurde das Gerät durch Laden eines Profils registriert, ist es nicht betreut, und diese Einstellungen werden ignoriert. Prüfen Sie die Registrierungsart im MDM, bevor Sie die Richtlinie ändern.

iPhones nach der Registrierung verwalten

Nach der Registrierung wird ein iPhone für die gesamte Zeit in der Organisation über das MDM verwaltet. Typische Aufgaben sind das Installieren und Aktualisieren von Apps, die über Apps und Bücher lizenziert sind, das Erzwingen eines Codes, das Verteilen von WLAN- und E-Mail-Einstellungen, Einschränkungen auf betreuten Geräten, geplante iOS-Updates und das Handeln, wenn ein Gerät verloren geht: Fernsperre auf dem iPhone (englisch) oder Fernlöschung. Wird ein Firmen-iPhone ausgemustert oder neu vergeben, löschen Sie es und geben es in Apple Business frei oder weisen es neu zu, damit die nächste Einrichtung es richtig registriert.

Bewährte Vorgehensweisen für die iPhone-Registrierung

• Kaufen Sie Firmen-iPhones bei Apple oder einem autorisierten Händler mit der Organisations-ID von Apple Business, damit sie für die automatisierte Registrierung erscheinen.
• Legen Sie in Apple Business einen Standard-MDM-Server für iPhone und iPad fest, damit neue Geräte zugewiesen werden, ohne dass jemand daran denken muss.
• Machen Sie das Profil auf Firmengeräten nicht entfernbar und halten Sie das in Ihrer Geräterichtlinie fest.
• Nutzen Sie für private Smartphones die kontobasierte Benutzerregistrierung, damit das Unternehmen nur Arbeitsdaten verwaltet. Wenn Sie nur Arbeits-Apps schützen müssen, lesen Sie MDM und MAM im Vergleich.
• Tragen Sie die Erneuerungstermine für das APNs-Zertifikat und das Apple-Business-Token in einen gemeinsamen Kalender ein und erneuern Sie sie mit einem Konto, das die IT behält.
• Testen Sie jede Registrierungsmethode an einem Gerät, bevor Sie sie breit einführen.

Verwaltung auf vielen Geräten

trio.so registriert Firmen-iPhones und -iPads automatisch und betreut über Apple Business oder, wenn sie nicht in Apple Business sind, mit einem auf dem Gerät installierten Profil. Private iPhones und iPads werden mit der kontobasierten Benutzerregistrierung eingebunden, sodass das Unternehmen nur Arbeitsdaten verwaltet. Siehe Apple-Geräteverwaltung.

Fazit

Das Registrierungsprofil macht ein iPhone verwaltbar, und die Art der Installation entscheidet, wie viel die Organisation tun kann. Nutzen Sie für Firmengeräte die automatisierte Geräteregistrierung über Apple Business, das Laden eines Profils nur dort, wo das nicht geht, und für private Smartphones die kontobasierte Benutzerregistrierung. Prüfen Sie das Profil unter VPN und Geräteverwaltung und halten Sie die Zertifikate und Tokens dahinter aktuell.