Android-Geräteverwaltung

Die Android-Geräteverwaltung ermöglicht IT-Teams die Fernsteuerung der Konfiguration, Sicherheit und Compliance von Android-Smartphones und -Tablets im gesamten Unternehmen. Wenn Sie mehr als nur eine Handvoll Android-Geräte ohne eine spezielle MDM-Lösung verwalten, haben Sie wahrscheinlich mit uneinheitlichen Sicherheitsstandards, manueller App-Bereitstellung und dem Fehlen einer sauberen Methode zur Deaktivierung der Geräte ausscheidender Mitarbeiter zu kämpfen.

Dieser Leitfaden deckt alles ab, von den Bereitstellungsmodi von Android Enterprise bis hin zur Zero-Touch-Registrierung, und bietet praktische Anleitungen für IT-Teams, die gemischte Geräteflotten verwalten.

Was ist Android-Geräteverwaltung?

Im Kern läuft die Geräteverwaltung für Android auf eine Sache hinaus: die Anwendung einheitlicher Richtlinien auf Geräte, die Sie nicht physisch kontrollieren. Die Android-Geräteverwaltung nutzt MDM-Software, um Konfigurationen zu übertragen, Sicherheitsgrundlagen durchzusetzen, Apps bereitzustellen oder zu blockieren sowie Fernaktionen wie Sperren und Löschen auszuführen – und das alles, ohne jedes Gerät einzeln anfassen zu müssen.

Das zugrunde liegende Framework, das dies ermöglicht, ist Android Enterprise – Googles standardisierter Satz von Verwaltungs-APIs, der 2014 eingeführt wurde und mittlerweile der verbindliche Ansatz für die Android-Verwaltung in Unternehmen ist. Vor Android Enterprise waren IT-Teams auf die „Device Administrator“-API angewiesen, eine Reihe begrenzter und uneinheitlicher Kontrollmöglichkeiten, die je nach Hersteller stark variierten. Google hat diese API in Android 10 als veraltet markiert, was bedeutet, dass jede Organisation, die noch immer auf eine auf der „Device Administrator“-API basierende Verwaltung setzt, längst eine Migration hätte vornehmen müssen.

Android Enterprise bietet einheitliche Verwaltungsfunktionen, unabhängig davon, ob Ihre Geräteflotte aus Samsung-Galaxy-Geräten, Google-Pixel-Geräten oder einer Mischung aus OEM-Hardware besteht. Diese Einheitlichkeit macht ein skalierbares Android-MDM erst möglich.

Erläuterung der Android Enterprise-Bereitstellungsmodi

Der von Ihnen gewählte Bereitstellungsmodus bestimmt, was das Gerät tun kann, wem es gehört und inwieweit es durch das MDM gesteuert wird. Die Wahl des falschen Modus führt entweder zu Sicherheitslücken oder zu unnötigen Reibungsverlusten für die Mitarbeiter.

Arbeitsprofil

Das Arbeitsprofil erstellt einen separaten, verschlüsselten Container auf einem privat genutzten Gerät. Unternehmens-Apps, E-Mails und Daten befinden sich innerhalb des Profils. Private Apps und Daten bleiben außerhalb. Die IT-Abteilung kann das Arbeitsprofil verwalten und löschen, ohne private Daten zu beeinträchtigen.

Vollständig verwaltet (unternehmensgeeignet)

Das MDM hat die vollständige Kontrolle über das Gerät. Dies wird für unternehmensgeführte Geräte verwendet, bei denen das Unternehmen Eigentümer der gesamten Hardware ist. Die IT-Abteilung kann beliebige Richtlinien durchsetzen, beliebige Apps blockieren und das gesamte Gerät löschen. Geeignet für Standard-Laptops und -Smartphones von Mitarbeitern, die von der IT-Abteilung ausgegeben wurden.

Spezialgeräte (Kiosk-Modus)

Konzipiert für Einsätze mit einem einzigen Verwendungszweck: Lager-Scanner, Kassenterminals, Digital Signage oder gemeinsam genutzte Tablets im Einzelhandel. Auf dem Gerät laufen eine oder wenige fest konfigurierte Apps. Benutzer können nicht auf Einstellungen zugreifen, keine Apps installieren und das Gerät nicht für Zwecke nutzen, die über die vorgesehene Funktion hinausgehen.

COPE (Corporate-Owned, Personally Enabled)

Unternehmensgehörige Hardware mit einem installierten Arbeitsprofil. Das Unternehmen kontrolliert das Gerät auf Hardware-Ebene, räumt dem Mitarbeiter jedoch einen persönlichen Bereich ein. Dies bietet der IT-Abteilung maximale Sicherheitskontrollen und ermöglicht den Mitarbeitern gleichzeitig eine gewisse private Nutzung. Es handelt sich um einen Mittelweg, der sich gut für Unternehmen eignet, die Geräte ausgeben, aber Helpdesk-Anrufe wegen Einschränkungen bei privaten Apps reduzieren möchten.

Die Auswahl des richtigen Bereitstellungsmodus vor der Registrierung eines einzelnen Geräts ist entscheidend. Ein nachträglicher Wechsel des Modus erfordert in der Regel ein Zurücksetzen auf die Werkseinstellungen.

Android Zero-Touch-Registrierung und Massenbereitstellung

Die manuelle Registrierung von Hunderten von Android-Geräten ist kein nachhaltiger Prozess. Die Zero-Touch-Registrierung für Android löst dieses Problem in großem Maßstab, indem Geräte an Ihr MDM gebunden werden, bevor sie den Endnutzer erreichen.

So funktioniert es in der Praxis:

1. Sie erwerben Geräte bei einem Zero-Touch-Händler oder direkt über das Hardware-Programm von Google.
2. Die Geräte werden im Zero-Touch-Portal registriert und Ihrer MDM-Konfiguration zugewiesen.
3. Sobald das Gerät eingeschaltet wird und eine Verbindung zum WLAN herstellt, lädt es automatisch Ihr MDM-Profil herunter, wendet Ihre Basiskonfiguration an und installiert die erforderlichen Apps.
4. Der Nutzer erhält ein einsatzbereites Gerät, ohne dass vor Ort ein Eingreifen der IT-Abteilung erforderlich ist.

Für Unternehmen, die 50 oder mehr Geräte gleichzeitig bereitstellen, verkürzt „Zero-Touch“ die Bereitstellungszeit von Stunden auf Minuten pro Gerät. Samsung erweitert dies um eine weitere Ebene mit „Samsung Knox Mobile Enrollment“, das ähnliche Zero-Touch-Funktionen bietet, jedoch Knox-kompatible Hardware und ein separates Knox-Portal erfordert. Wenn Ihre Geräteflotte überwiegend aus Samsung-Geräten besteht, kann die Knox-Registrierung parallel zu Android Enterprise genutzt werden, allerdings entsteht dadurch eine weitere Verwaltungsebene, die gepflegt werden muss.

Weitere Registrierungsmethoden für kleinere Bereitstellungen sind die Bereitstellung per QR-Code (die Gerätekamera scannt bei der Einrichtung einen Registrierungs-QR-Code) und die NFC-Bump-Bereitstellung (durch NFC-Kontakt wird die Registrierungskonfiguration von einem Gerät auf ein anderes übertragen). Beide sind schneller als die manuelle Registrierung, erreichen jedoch bei groß angelegten Rollouts nicht die Geschwindigkeit von „Zero-Touch“.

Managed Google Play und App-Bereitstellung

Im Gegensatz zur Bereitstellung von Verbraucher-Apps gibt „Managed Google Play“ IT-Administratoren die Kontrolle darüber, welche Apps den Nutzern zur Verfügung stehen und wie diese vor der Installation konfiguriert werden.

Über „Managed Google Play“ können IT-Teams:

• bestimmte Apps auf die Zulassungsliste setzen, sodass im Play Store des Arbeitsprofils nur genehmigte Apps angezeigt werden
• Apps ohne Benutzereingriffautomatisch auf Geräteübertragen
• Apps vor der Installation mithilfe von verwalteten Konfigurationen (AppConfig)vorkonfigurieren, sodass E-Mail-Clients, VPN-Apps und Produktivitäts-Tools bereits konfiguriert auf den Geräten bereitstehen
• das Sideloading privater Apps im Arbeitsprofilblockieren
• interne Apps verteilen, ohne sie öffentlich zu veröffentlichen

Verwaltete Konfigurationen entlasten den Support erheblich. Wenn ein neuer Mitarbeiter sein Gerät registriert, ist sein E-Mail-Client bereits auf Ihren Exchange-Server ausgerichtet, sein VPN-Client verfügt bereits über die Serveradresse und sein Authentifizierungszertifikat ist bereits eingerichtet. Der Nutzer öffnet die App und sie funktioniert.

Betriebssystem-Fragmentierung: Die anhaltende Herausforderung bei Android

Die Android-Fragmentierung ist der operativ frustrierendste Aspekt der Verwaltung von Android-Geräten. Im Gegensatz zu iOS, wo Apple die gesamte Update-Pipeline kontrolliert, laufen Android-Updates über Google, dann zum OEM, dann zum Netzbetreiber – und kommen manchmal gar nicht erst an.

Die praktischen Konsequenzen für die IT:

• Die Einhaltung von Patch-Vorgaben ist uneinheitlich. Ein Pixel-Gerät in Ihrem Bestand erhält möglicherweise einen Sicherheitspatch Wochen vor einem vergleichbaren Samsung-Gerät, während einige Geräte von Originalherstellern mit älteren Android-Versionen diesen möglicherweise gar nicht erhalten.
• Der Stand der Sicherheitspatches variiert innerhalb Ihrer Geräteflotte. Selbst Geräte mit derselben Android-Version können je nach Release-Zeitplan des OEM unterschiedliche Sicherheitspatch-Stände aufweisen.
• Die API-Verfügbarkeit ist unterschiedlich. Bestimmte Android Enterprise-Verwaltungs-APIs sind auf Google Pixel- und einigen Samsung Knox-Geräten verfügbar, jedoch nicht auf allen OEM-Geräten.

Der von den meisten IT-Teams in Unternehmen verfolgte Ansatz zur Risikominderung besteht darin, eine kleine Anzahl zugelassener Gerätemodelle zu standardisieren, anstatt beliebige Android-Hardware zuzulassen. Dies beseitigt das Problem zwar nicht vollständig, reduziert jedoch die Anzahl der OEM-Patch-Zeitpläne, die Sie im Auge behalten müssen. Die Vorgabe einer Mindest-Android-Version (derzeit Android 12 oder 13 für die meisten Unternehmensbereitstellungen) und die Festlegung einer Compliance-Richtlinie, die veraltete Betriebssystemversionen kennzeichnet, verschafft Ihnen Transparenz, auch wenn Sie das Update selbst nicht erzwingen können.

Integration eines Identitätsanbieters für Android Enterprise

Android-MDM ohne Identitätsintegration hinterlässt eine erhebliche Lücke in Ihrer Zugriffskontrolle. Wenn sich Android-Geräte bei Unternehmensressourcen authentifizieren, sollten diese Anfragen über Ihren Identitätsanbieter (Okta, Microsoft Entra ID oder ähnliche) laufen, damit Richtlinien für den bedingten Zugriff die Gerätekonformität in Echtzeit bewerten können.

Der Arbeitsablauf sieht wie folgt aus:

1. Ein Benutzer auf einem registrierten Android-Gerät versucht, auf eine Unternehmens-App oder -Ressource zuzugreifen.

2. Der Identitätsanbieter überprüft den Konformitätsstatus des Geräts anhand der MDM-Daten.

3. Wenn das Gerät registriert und konform ist (verschlüsselt, PIN-Pflicht, aktuelles Betriebssystem) und die Identität des Nutzers verifiziert wurde, wird der Zugriff gewährt.

4. Ist das Gerät nicht registriert, nicht konform oder ist das Benutzerkonto deaktiviert, wird der Zugriff blockiert.

Wie Iru das Android-Gerätemanagement angeht

Iru wurde als „Apple-first“-MDM entwickelt, und genau dort liegt nach wie vor seine größte Stärke. Die betriebliche Realität für die meisten IT-Teams im Jahr 2026 ist jedoch eine gemischte Geräteflotte: MacBooks und iPhones auf der einen Seite, Android-Smartphones und manchmal Windows-Rechner auf der anderen. Die Verwaltung dieser Umgebungen mit separaten Tools bedeutet separate Konsolen, separate Compliance-Berichte und separate Arbeitsabläufe.

Iru erweitert denselben blueprint-basierten Konfigurationsansatz, den es für macOS und iOS verwendet, auf Android-Geräte, sodass Sie eine Sicherheitsbasis einmalig definieren und plattformübergreifend anwenden können, anstatt Ihre Richtlinien in einem zweiten Tool neu erstellen zu müssen. Die integrierte Google Play-Verwaltung übernimmt die automatische App-Bereitstellung und die Vorkonfiguration von AppConfig auf Android auf dieselbe Weise, wie Iru „Auto App“ auf macOS handhabt. Die Zero-Touch-Registrierung für Android ist mit demselben Onboarding-Workflow verbunden, den Sie bereits für Apple-Hardware eingerichtet haben.

Was die Sicherheit betrifft, deckt das Schwachstellenmanagement von Iru neben Mac- und Windows-Endgeräten auch Android-Endgeräte ab und bietet Ihnen so einen einheitlichen Überblick über die Patch-Compliance und offene CVEs in Ihrer gesamten Geräteflotte – statt plattformspezifischer, isolierter Berichte. Die Integration von Identitätsanbietern wie Okta und Entra ID ermöglicht Richtlinien für den bedingten Zugriff, die die Compliance von Android-Geräten prüfen, bevor Zugriff auf Unternehmensressourcen gewährt wird.

Für Teams, die es bisher vermieden haben, Android in ihren MDM-Umfang aufzunehmen, weil dies die Einführung eines zweiten Tools bedeutet hätte, liefert Iru überzeugende Argumente dafür, dies an ein und derselben Stelle zu handhaben.

Auswahl einer Android-MDM-Lösung für Ihre Geräteflotte

Die richtige Android-MDM-Lösung hängt von der Zusammensetzung Ihrer Geräteflotte ab und davon, ob Sie eine eigenständige Android-Lösung oder ein plattformübergreifendes einheitliches Endpunktmanagement benötigen.

Wenn Ihre Umgebung ausschließlich aus Android-Geräten besteht und Sie keine Apple-Geräte verwalten müssen, bieten speziell entwickelte Android-MDM-Tools möglicherweise umfassendere gerätespezifische Funktionen. Wenn Sie eine gemischte Geräteflotte verwalten, verursacht die Einführung eines zweiten MDM-Systems einen betrieblichen Mehraufwand, der sich im Laufe der Zeit summiert: doppelte Onboarding-Workflows, separate Compliance-Dashboards und uneinheitliche Durchsetzung von Richtlinien zwischen den Plattformen.

Bewerten Sie jede Android-MDM-Lösung anhand dieser Kriterien:

• Unterstützung von Android Enterprise: Die Lösung muss die Android Enterprise-APIs verwenden, nicht die veraltete Device Administrator-API.
• Abdeckung der Bereitstellungsmodi: Arbeitsprofil, „Fully Managed“, „Dedicated“ und COPE sollten alle unterstützt werden.
• Zero-Touch-Registrierung: Erforderlich für jeden Gerätebestand mit mehr als 25 bis 30 Geräten.
• Integration von Managed Google Play: Der stille App-Push und die Unterstützung von AppConfig sind für den Einsatz in Unternehmen unverzichtbar.
• Integration von Identitätsanbietern: Anbindung an Okta und Entra ID für den bedingten Zugriff.
• Transparenz bei der Betriebssystemfragmentierung: Compliance-Richtlinien, die den Patch-Stand und die Betriebssystemversion verschiedener OEMs anzeigen.
• Plattformübergreifende Verwaltung: Wenn Sie über Mac-, iOS- oder Windows-Geräte verfügen, prüfen Sie, ob die Android-Verwaltung nahtlos integriert oder nur als Zusatzfunktion vorhanden ist.