Geräteverwaltung und Sicherheit

Wenn Ihr Unternehmen mehr als nur eine Handvoll Endgeräte verwaltet, sind Geräteverwaltung und -sicherheit keine optionalen Bereiche, sondern ein wesentlicher Bestandteil der betrieblichen Infrastruktur. Dieser Leitfaden erläutert, wie Sie einen zentralisierten, durchsetzbaren und skalierbaren Ansatz für Laptops, mobile Geräte und alles dazwischen entwickeln können.

Was Geräteverwaltung und Sicherheit tatsächlich umfassen

Geräteverwaltung bezeichnet die Praxis, Endgeräte über eine zentrale Plattform zu registrieren, zu konfigurieren, zu überwachen und zu warten. Sicherheit baut darauf auf, indem Richtlinien durchgesetzt, Bedrohungen erkannt, Schwachstellen behoben und sichergestellt wird, dass Geräte die Compliance-Grundlagen erfüllen, bevor sie auf Unternehmensressourcen zugreifen.

In der Praxis sind diese beiden Bereiche mittlerweile miteinander verschmolzen. Ein MDM-Tool, das zwar Konfigurationen übertragen, aber keinen kompromittierten Prozess erkennen kann, ist nur eine halbe Lösung. Ein EDR-Tool, das zwar eine Bedrohung identifizieren, das Gerät aber nicht unter Quarantäne stellen oder löschen kann, erfordert einen manuellen Schritt, der die Reaktion verlangsamt. Die Unternehmen mit den ausgereiftesten Sicherheitskonzepten behandeln Verwaltung und Sicherheit als ein Ganzes und nicht als zwei getrennte Arbeitsbereiche.

Zu den wichtigsten Funktionen, die unter diese kombinierte Disziplin fallen, gehören:

• Registrierung und Bereitstellung: Geräte vom Moment des Einschaltens an in einen verwalteten Zustand versetzen, einschließlich Zero-Touch-Bereitstellung über Apple Business Manager oder Windows Autopilot
• Konfigurationsmanagement: Verteilung und Durchsetzung von Einstellungen für WLAN, VPN, E-Mail, Festplattenverschlüsselung, Passwortrichtlinien und Anwendungszugriff
• Patch- und Update-Management: Sicherstellung, dass Betriebssystem- und Anwendungsversionen auf dem neuesten Stand sind, was das Risiko bekannter CVEs direkt verringert
• Erkennung und Reaktion auf Bedrohungen: Überwachung auf bösartige Prozesse, verdächtiges Verhalten und Indikatoren für Kompromittierungen auf Endgeräteebene
• Durchsetzung von Compliance-Vorgaben: Überprüfung, ob Geräte die organisatorischen oder regulatorischen Mindestanforderungen (CIS-Benchmarks, NIST SP 800-124, HIPAA, SOC 2) erfüllen, bevor Zugriff gewährt wird
• Fernzugriff: Sperren, Löschen oder Wiederherstellen eines Geräts ohne physischen Zugriff

Das Risiko beim Einsatz separater MDM- und EDR-Tools

Viele IT-Teams mittelständischer Unternehmen entscheiden sich für eine gängige Architektur: ein Anbieter für MDM, ein zweiter für EDR, vielleicht ein dritter für das Schwachstellenmanagement. Jedes Tool wurde seinerzeit aus guten Gründen ausgewählt. Das Gesamtergebnis sind jedoch eine fragmentierte Transparenz, Doppelarbeit und Lücken, die genau an den Schnittstellen zwischen den Systemen bestehen.

Betrachten wir ein reales Szenario: Ein macOS-Gerät meldet sich bei Ihrem MDM als konform, da die Festplattenverschlüsselung aktiviert und das Betriebssystem auf dem neuesten Stand ist. Unterdessen meldet Ihr EDR einen Persistenzmechanismus, der von einer bösartigen Browsererweiterung installiert wurde – doch diese Warnmeldung erscheint in einer separaten Konsole, die der IT-Administrator erst am nächsten Morgen überprüft. Das Gerät befand sich 14 Stunden lang in einem kompromittierten Zustand, während es bei jeder Zugriffskontrolle als intakt erschien.

Diese Lücke ist eine Folge der Tool-Flut. Wenn Daten zum Gerätestatus, Bedrohungssignale und die Durchsetzung von Richtlinien in unterschiedlichen Systemen gespeichert sind, erfordert die Korrelation manuellen Aufwand – und manueller Aufwand lässt sich nicht skalieren.

Laut Untersuchungen von Branchenanalysten verbringen IT-Teams, die mehr als 500 Endgeräte mit drei oder mehr punktuellen Sicherheitslösungen verwalten, deutlich mehr Zeit mit der Untersuchung von Vorfällen als Teams, die konsolidierte Plattformen nutzen, da der Kontextwechsel zwischen den Tools bei jedem Schritt zusätzlichen Aufwand verursacht.

Bei dem Argument für die Konsolidierung geht es nicht nur um Einfachheit. Es geht darum, die Zeit zwischen Erkennung und Reaktion zu verkürzen – denn diese Kennzahl bestimmt tatsächlich die Auswirkungen eines Sicherheitsvorfalls.

MDM vs. UEM vs. EMM: Die Wahl des richtigen Frameworks

Die Terminologie ist wichtig, da sie den Anwendungsbereich bestimmt:

MDM (Mobile Device Management): Entstanden in der Ära der Smartphones. Verwaltet Einstellungen auf Betriebssystemebene, die Verteilung von Apps und das Fernlöschen auf mobilen Geräten. Nach wie vor relevant, aber im Umfang begrenzt für Unternehmen, die Laptops und Desktops einsetzen.

EMM (Enterprise Mobility Management): Eine Erweiterung von MDM um Mobile Application Management (MAM) und Mobile Content Management (MCM). Bietet Containerisierung für BYOD-Szenarien, wodurch Unternehmens- und private Daten auf einem einzigen Gerät voneinander getrennt werden.

UEM (Unified Endpoint Management): Der aktuelle Standard für Unternehmen, die heterogene Geräteflotten verwalten. Eine UEM-Plattform verwaltet Laptops, Desktops, Smartphones, Tablets und zunehmend auch IoT-Endgeräte über eine einzige Konsole und wendet plattformübergreifend einheitliche Richtlinien an.

Für die meisten IT-Leiter, die im Jahr 2026 verschiedene Optionen evaluieren, lautet die entscheidende Frage nicht „MDM oder UEM“, sondern ob die von ihnen gewählte UEM-Plattform über eine ausreichende Sicherheitstiefe verfügt oder ob weiterhin ein separates EDR erforderlich ist, um die Lücke zu schließen. Die leistungsstärksten Plattformen vereinen heute Bedrohungserkennung, Schwachstellenmanagement und Compliance-Automatisierung in demselben Agenten und derselben Konsole, die auch das Konfigurationsmanagement übernehmen.

MDM-Sicherheits-Best-Practices für Unternehmensflotten

Unabhängig von der Plattform stellen die folgenden Vorgehensweisen die Grundlage für eine tragfähige Geräteverwaltungsstrategie dar.

Registrierung vor dem Zugriff erzwingen

Geräte, die nicht registriert sind, können weder verwaltet, überwacht noch korrigiert werden. Implementieren Sie Richtlinien für den bedingten Zugriff, die verhindern, dass nicht verwaltete Geräte auf Unternehmensanwendungen zugreifen können. Dies ist für jedes Unternehmen, das Cloud-SaaS-Tools nutzt, unverzichtbar.

Verwenden Sie den „Supervised Mode“ für unternehmensgeeignete Apple-Geräte

Der Apple-Überwachungsmodus (aktiviert über Apple Business Manager) eröffnet ein deutlich breiteres Spektrum an MDM-Kontrollmöglichkeiten, darunter die Möglichkeit, Apps im Hintergrund zu installieren, die Gerätefunktionalität detailliert einzuschränken und zu verhindern, dass Benutzer das MDM-Profil entfernen. Unternehmen, die auf die Überwachung verzichten, lassen einen erheblichen Teil der Verwaltungsmöglichkeiten von Apple ungenutzt.

App-Updates als Sicherheitsmaßnahme automatisieren

Veraltete Anwendungen gehören zu den häufigsten Angriffsvektoren. Behandeln Sie die Bereitstellung von App-Updates als Sicherheitsworkflow und nicht als Komfortfunktion. Automatisierte, erzwungene Updates für Browser, Produktivitätssuiten und Entwicklertools sollten nach einem festgelegten Zeitplan durchgesetzt werden und nicht dem Ermessen der Endbenutzer überlassen bleiben.

Implementieren Sie eine zuweisungsbasierte Richtlinienverwaltung

Richtlinienverwaltung auf Geräteebene ist nicht skalierbar. Wenn Ihre Geräteflotte von 200 auf 800 Geräte anwächst, wird die manuelle Pflege der Konfigurationen pro Gerät unhaltbar. Organisieren Sie die Richtlinienzuweisung anhand von Benutzerattributen (Abteilung, Rolle, Standort), sodass das Gerät eines neuen Mitarbeiters im Sicherheitsteam automatisch die passende Konfiguration erhält. Dies reduziert sowohl die Bereitstellungszeit als auch das Risiko von Fehlkonfigurationen.

Wenden Sie CIS-Benchmarks als Konfigurationsgrundlage an

Die CIS-Benchmarks bieten Richtlinien zur Absicherung von macOS, iOS, Windows und Android, die von Auditoren weithin anerkannt sind und mit NIST SP 800-124 übereinstimmen. Wenn Sie diese als Konfigurationsgrundlage verwenden, erhalten Sie einen fundierten Ausgangspunkt und vereinfachen die Nachweissammlung für SOC-2- oder ISO-27001-Audits.

Definieren Sie klare Grenzen für BYOD

BYOD birgt Risiken, die durch rein technische Kontrollmaßnahmen nicht vollständig beseitigt werden können. Zumindest sollten Sie:

• Verwenden Sie MAM oder Containerisierung, um Unternehmensdaten von privaten Apps zu trennen
• Legen Sie eine schriftliche Richtlinie zur zulässigen Nutzung fest, die regelt, auf welche Daten die IT auf privaten Geräten zugreifen darf und auf welche nicht
• Beschränken Sie die Fernlöschfunktion auf privaten Geräten auf selektives Löschen (nur Unternehmensdaten), um rechtliche Risiken zu vermeiden
• Verlangen Sie eine Überprüfung der Gerätekonformität, bevor Sie den Zugriff auf sensible Anwendungen gewähren

Priorisieren Sie Workflows zur Fernsperrung und -löschung

Ein Verlust oder Diebstahl eines Geräts ist ein zeitkritischer Vorfall. Ihr Team sollte in der Lage sein, innerhalb weniger Minuten nach einer Meldung eine Fernsperrung durchzuführen, wobei die Löschung als Eskalationsmaßnahme zur Verfügung stehen sollte. Testen Sie diese Arbeitsabläufe vierteljährlich. Wenn Ihr MDM mehr als drei Klicks erfordert, um eine Fernlöschung einzuleiten, ist Ihre Reaktionszeit bei Vorfällen langsamer als nötig.

Sicherheit für Remote- und Hybrid-Mitarbeiter

Remote-Arbeit hat das Bedrohungsmodell für die Endpunktsicherheit grundlegend verändert. Wenn jedes Gerät eine Perimetergrenze darstellt, versagt die „Burg-und-Graben“-Architektur. Die praktischen Auswirkungen auf Gerätemanagement und Sicherheit:

VPN und Netzwerkkontrollen allein reichen nicht aus. Ein verwaltetes Gerät in einem nicht vertrauenswürdigen Netzwerk stellt nach wie vor eine Angriffsfläche dar. Kombinieren Sie Netzwerkkontrollen mit der Überprüfung des Gerätestatus – nur Geräte, die Ihre Compliance-Grundanforderungen erfüllen, sollten Zugriff auf interne Ressourcen erhalten, unabhängig vom Netzwerk.

Die Geschwindigkeit der Patches ist umso wichtiger, je weniger physischer Zugriff auf die Geräte besteht. Remote-Geräteflotten erfordern eine vollständig automatisierte Patch-Bereitstellung. Manuelle Patch-Workflows, die in einer zentralisierten Büroumgebung funktionierten, versagen, wenn Geräte nie wieder vor Ort sind.

Das Nutzerverhalten ändert sich zu Hause. Private Geräte im selben Netzwerk, weniger Aufsicht und verschwommene Grenzen zwischen Arbeit und Privatleben erhöhen die Wahrscheinlichkeit erfolgreicher Phishing-Angriffe und der Nutzung von Schatten-IT. Erkennungsfunktionen müssen die geringere physische Sicherheit der Homeoffice-Umgebung ausgleichen.

Zero-Touch-Provisioning ist ein Muss. Ein Gerät an einen neuen Mitarbeiter zu versenden, der dann die IT anrufen muss, um es zu konfigurieren, ist eine schlechte Erfahrung, die zudem Fehlerquellen birgt. Apple Business Manager mit Zero-Touch-MDM-Registrierung sorgt dafür, dass ein Gerät bereits konfiguriert, überwacht und sofort einsatzbereit ist.

Verknüpfung von Gerätemanagement und Schwachstellenmanagement

Einer der am meisten unterschätzten Sicherheitsabläufe ist die Verbindung zwischen den Informationen Ihres MDM und den Anforderungen Ihres Schwachstellenmanagement-Programms. Ihr MDM verfügt bereits über ein vollständiges Inventar aller verwalteten Geräte, einschließlich Betriebssystemversion, installierter Anwendungen und Hardware-Identifikatoren. Diese Daten bilden die Grundlage für jeden präzisen Schwachstellenscan.

Unternehmen, die das Schwachstellenmanagement als separaten Prozess betreiben, der von den Daten des Gerätemanagements abgekoppelt ist, haben letztendlich Diskrepanzen im Bestandsverzeichnis, die sowohl Fehlalarme als auch blinde Flecken verursachen. Ein Gerät, das vor drei Wochen gelöscht und neu registriert wurde, könnte in einem Schwachstellenscan immer noch als anderes Gerät mit einem anderen Risikoprofil erscheinen.

Die Integration von MDM und Schwachstellenmanagement in einen einheitlichen Arbeitsablauf bedeutet:

• Jeder CVE-Befund wird einem bestimmten verwalteten Gerät mit bekanntem Eigentümer zugeordnet
• Behebungsmaßnahmen (Betriebssystem-Update, App-Entfernung, Konfigurationsänderung) können über dieselbe Konsole ausgelöst werden, die die Schwachstelle identifiziert hat
• Die Risikoberichterstattung an die Führungskräfte spiegelt den tatsächlichen Gerätestatus wider, nicht eine Momentaufnahme aus einem periodischen Scan

Präsentation von Gerätesicherheitskennzahlen gegenüber der Unternehmensleitung

IT-Leiter müssen den Sicherheitsstatus von Geräten zunehmend in die Sprache der Geschäftsrisiken übersetzen. Die Kennzahlen, die für einen CISO oder einen VP of Operations von Bedeutung sind, unterscheiden sich von denen, die für einen Endpunkt-Ingenieur wichtig sind.

Für die Führungsebene relevante Kennzahlen zur Überwachung und Berichterstattung:

• Compliance-Rate der Geräteflotte: Prozentsatz der verwalteten Geräte, die zu einem bestimmten Zeitpunkt Ihre definierten Sicherheitsgrundlagen erfüllen
• Durchschnittliche Zeit bis zur Patch-Installation: Durchschnittliche Zeit von der Veröffentlichung eines Patches bis zur Bereitstellung in der gesamten Geräteflotte
• Anzahl der nicht verwalteten Geräte: Anzahl der Geräte, die auf Unternehmensressourcen zugreifen, aber nicht im MDM-System registriert sind
• Reaktionszeit bei Vorfällen: Zeit vom Erkennen einer Kompromittierung des Geräts bis zur Abhilfemaßnahme
• BYOD-Compliance-Rate: Prozentsatz der privaten Geräte, die auf Unternehmensdaten zugreifen und die Mindestanforderungen an die Sicherheit erfüllen

Diese Kennzahlen vermitteln der Unternehmensleitung einen klaren Überblick über die Sicherheitslage, ohne dass sie die zugrunde liegenden technischen Details verstehen muss. Außerdem schaffen sie Verantwortungsstrukturen, die IT-Teams dabei helfen, Investitionen in bessere Tools zu rechtfertigen.

Wie Iru an Gerätemanagement und Sicherheit herangeht

Iru wurde speziell für das Problem entwickelt, mit dem die meisten IT-Teams bei ihrer Skalierung konfrontiert sind: Separate Tools für MDM, EDR und Schwachstellenmanagement führen zu Transparenzlücken und administrativem Aufwand, den ein kleines IT-Team nicht nachhaltig bewältigen kann.

Die Plattform vereint einheitliches Endpunktmanagement, Endpunkt-Erkennung und -Reaktion sowie Schwachstellenmanagement in einem einzigen Agenten und einer einzigen Konsole. Das bedeutet, dass eine von der EDR-Ebene erkannte Bedrohung sofort mit den Gerätekonfigurationsdaten aus der MDM-Ebene abgeglichen werden kann und Abhilfemaßnahmen – sei es eine Konfigurationsänderung, ein App-Update oder eine Fernsperrung – über dieselbe Oberfläche erfolgen.

Die „Apple-first“-Architektur von Iru spiegelt wider, in welche Richtung sich die meisten Geräteflotten im Mittelstand und in Großunternehmen tatsächlich entwickeln. Die Überwachung von macOS- und iOS-Geräten über den Apple Business Manager ist tief integriert, was bedeutet, dass Unternehmen den vollen Nutzen aus der Verwaltungsoberfläche von Apple ziehen können, anstatt sich mit einem auf den kleinsten gemeinsamen Nenner ausgerichteten Ansatz begnügen zu müssen, der in erster Linie für Windows konzipiert ist. Eine plattformübergreifende Unterstützung für Windows und Android ist enthalten, doch Apple-Umgebungen profitieren von der ganzen Bandbreite an Verwaltungskontrollen, die Apple tatsächlich zur Verfügung stellt.

Zuordnungskarten bieten IT-Teams eine skalierbare Möglichkeit, Richtlinien für wachsende Geräteflotten zu verwalten, ohne dass eine Konfiguration pro Gerät erforderlich ist. Die automatisierte Durchsetzung von App-Updates macht manuelle Sicherheitsabläufe überflüssig. Und dank der Abfragefunktionen in natürlicher Sprache kann jedes Mitglied des IT-Teams Fragen zum Gerätestatus stellen und umsetzbare Antworten erhalten, ohne ein MDM-Spezialist sein zu müssen.

Für IT-Leiter, die der Unternehmensführung Sicherheitsergebnisse vorweisen müssen, liefern die Compliance-Berichte von Iru Kennzahlen auf Flottenebene, die den technischen Sicherheitsstatus in eine für das Geschäft verständliche Risikosprache übersetzen.

Aufbau eines einheitlichen Endpoint-Sicherheitsprogramms, das skalierbar ist

Die Unternehmen, die im Jahr 2026 Gerätemanagement und Sicherheit gut handhaben, weisen einige gemeinsame Merkmale auf. Sie betrachten Management und Sicherheit als eine einzige Disziplin und nicht als zwei getrennte Tool-Kategorien. Sie sind von reaktiven Patches zu einer automatisierten, kontinuierlichen Durchsetzung von Updates übergegangen. Sie verfügen über klare, dokumentierte Arbeitsabläufe für BYOD, Remote-Bereitstellung und Maßnahmen bei Geräteverlust. Und sie können über den Sicherheitsstatus der Geräteflotte berichten, ohne Daten aus drei verschiedenen Konsolen abrufen zu müssen.

Wenn Ihre aktuelle Architektur eine manuelle Korrelation zwischen MDM-, EDR- und Schwachstellendaten erfordert, ist dies die Lücke, die es als Erstes zu schließen gilt. Die Konsolidierung auf einer Plattform, die alle drei Bereiche abdeckt, beseitigt die Nahtstellen, an denen Vorfälle unentdeckt bleiben und sich Verwaltungsaufwand ansammelt.

Der einheitliche Ansatz von Iru ist genau auf diesen Übergang ausgelegt. Wenn Sie Plattformen evaluieren oder bereit sind, Ihre Endpunkt-Lösungen zu konsolidieren, sehen Sie sich an, wie Iru die Geräteverwaltung und -sicherheit durchgängig handhabt.