Wenn der Begriff „MDM" immer wieder in Sicherheitsfragebögen, Anbieterpräsentationen oder Compliance-Gesprächen auftaucht und dir noch niemand erklärt hat, was es damit auf sich hat – ohne dich mit Abkürzungen zu überhäufen –, dann ist dieser Leitfaden genau das Richtige für dich.

Mobile Device Management (MDM) ist eine Software, die einem Unternehmen die zentrale Kontrolle über alle Laptops, Smartphones und Tablets gibt, die Mitarbeiter für die Arbeit nutzen. Damit lassen sich Sicherheitsregeln durchsetzen, Updates einspielen und ein verlorenes Gerät per Fernzugriff über ein einziges Dashboard löschen. Stell dir das wie eine Fernbedienung für deinen gesamten Bestand an Unternehmenshardware vor. Anstatt jedes Mal zum Schreibtisch eines Mitarbeiters zu gehen (oder einen Laptop zurückzuschicken), wenn eine Einstellung geändert werden muss, lässt sich das mit MDM von einem einzigen Bildschirm aus erledigen.

Dieser Leitfaden erklärt MDM in einfacher Sprache für Personalverantwortliche, Büroleiter und Gründer, die unfreiwillig für die IT zuständig geworden sind. Wir erklären, was MDM eigentlich leistet, wann ein wachsendes Unternehmen es braucht, was ohne MDM passiert und wie man auch ohne technischen Hintergrund den Einstieg schafft. Wenn du nach einer Plattform suchst, die MDM als Teil eines umfassenderen Endgeräte-Management-Dienstes abdeckt, ist deeploi ein Beispiel dafür: Es automatisiert die Geräteeinrichtung, die Durchsetzung von Sicherheitsmaßnahmen und die laufende Verwaltung über ein einziges Dashboard – ohne dass ein eigenes IT-Team erforderlich ist.

Fangen wir mit den Grundlagen an.

Was macht MDM eigentlich?

MDM-Software fungiert als Vermittler zwischen dir und jedem Gerät, das dein Unternehmen besitzt (oder das Mitarbeiter für die Arbeit nutzen dürfen). Sie bietet vier Kernfunktionen, die gemeinsam dafür sorgen, dass Unternehmensdaten sicher sind und die Geräte unter Kontrolle bleiben. Hier erfährst du, was jede davon im Alltag bedeutet.

Durchsetzung von Passwörtern und Festplattenverschlüsselung

Die einfachste Aufgabe von MDM ist zugleich eine der wichtigsten: Es stellt sicher, dass jedes Gerät über ein ordnungsgemäßes Passwort verfügt und die Festplatte verschlüsselt ist. Die Verschlüsselung (manchmal auch als Festplattenverschlüsselung oder Vollfestplattenverschlüsselung bezeichnet) macht alle auf einem Gerät gespeicherten Daten unleserlich, sodass niemand ohne das richtige Passwort oder den Wiederherstellungsschlüssel darauf zugreifen kann. Auf dem Mac heißt diese Funktion „FileVault", unter Windows „BitLocker".

Ohne MDM bist du darauf angewiesen, dass jeder Mitarbeiter diese Funktionen selbst aktiviert. Manche tun es, manche nicht – und du hast keine Möglichkeit zu erfahren, wer was getan hat. Mit MDM legst du die Regel einmal fest, und sie gilt automatisch für jedes Gerät. Wenn jemand versucht, den Passwort-Bildschirm zu überspringen, greift die Richtlinie ein. Mehr darüber, wie das in der Praxis funktioniert, erfährst du in unserem Leitfaden zur Durchsetzung der Festplattenverschlüsselung auf Mac und Windows.

Software-Updates und Konfigurationen per Fernzugriff bereitstellen

Betriebssystem-Updates schließen Sicherheitslücken. App-Updates beheben Fehler und beseitigen Schwachstellen. Doch wenn man Mitarbeiter sich selbst überlässt (im wahrsten Sinne des Wortes), schieben sie Updates wochen- oder monatelang auf. Mit MDM kannst du Updates von einem zentralen Ort aus auf alle verwalteten Geräte übertragen, Fristen festlegen und überprüfen, ob das Update tatsächlich installiert wurde.

Über Updates hinaus kann MDM auch Konfigurationen übertragen: WLAN-Passwörter, VPN-Einstellungen, E-Mail-Konten, sogar bestimmte Apps. Wenn ein neuer Mitarbeiter anfängt, kann sein Gerät bereits mit allem vorinstalliert sein, was er braucht. Wenn sich eine unternehmensweite Einstellung ändert, überträgst du sie einmalig – anstatt Anweisungen per E-Mail an 80 Leute zu schicken und zu hoffen, dass sich alle daran halten.

Fernsperrung und Fernlöschung bei Verlust oder Diebstahl

Das ist die Funktion, die Führungskräfte aufhorchen lässt. Wenn ein Laptop im Taxi liegen bleibt oder ein Handy auf einer Konferenz verschwindet, kannst du es mit MDM sofort sperren oder komplett löschen und damit alle Unternehmensdaten entfernen. Das Gerät wird zur leeren Tafel.

Ohne diese Funktion ist ein verlorener Laptop ein offenes Buch. Jeder, der ihn findet (oder stiehlt), kann potenziell auf E-Mails, Kundendateien und interne Systeme zugreifen. Laut einer Studie des Ponemon Institute kosten verlorene Laptops Unternehmen durchschnittlich 49.246 US-Dollar pro Gerät, wenn man Datenverlust, Hardwareverlust, Produktivitätsausfall und die Behebung der Sicherheitslücke einrechnet (Ponemon Institute). Und etwa 4,3 % der vom Unternehmen ausgegebenen Smartphones gehen jedes Jahr verloren oder werden gestohlen (McAfee). MDM verwandelt eine potenzielle Katastrophe in eine 30-Sekunden-Lösung. Einen Schritt-für-Schritt-Reaktionsplan findest du in unserem Leitfaden dazu, was zu tun ist, wenn ein Firmengerät verloren geht oder gestohlen wird.

Trennung von Arbeitsdaten und privaten Daten (BYOD)

BYOD steht für „Bring Your Own Device" – Mitarbeiter nutzen ihr privates Smartphone oder ihren Laptop für die Arbeit. Mehr als 95 % der Unternehmen erlaubten dies bereits vor der Pandemie (Expert Insights). Die Herausforderung: Du musst die Unternehmensdaten auf diesem Gerät schützen, ohne die privaten Fotos, Nachrichten oder Apps des Mitarbeiters zu kontrollieren.

MDM löst das, indem es einen separaten Container (manchmal auch als Arbeitsprofil bezeichnet) auf dem Gerät erstellt. Unternehmens-Apps und -Daten befinden sich innerhalb dieses Containers, persönliche Apps und Daten außerhalb. Verlässt der Mitarbeiter das Unternehmen, kannst du den Arbeitscontainer löschen, ohne etwas Persönliches anzutasten. Wenn du abwägst, ob BYOD oder firmeneigene Geräte für dein Team sinnvoller sind, haben wir die Vor- und Nachteile in unserem Vergleich zwischen BYOD und firmeneigenen Geräten aufgeschlüsselt.

Warum braucht ein wachsendes Unternehmen MDM (auch ohne IT-Team)?

Vielleicht denkst du, MDM sei etwas, worüber sich nur große Unternehmen mit eigenen IT-Abteilungen Gedanken machen müssen. In der Praxis sind es oft gerade die Unternehmen ohne IT-Team, die es am dringendsten brauchen – genau weil niemand die Geräte rund um die Uhr im Blick hat. Hier sind die typischen Auslöser, die diese Diskussion erzwingen.

Der Wendepunkt: Wenn Tabellenkalkulationen nicht mehr reichen

Bei 5 oder 10 Mitarbeitern kannst du die Geräte wahrscheinlich noch in einer Tabelle verwalten. Du weißt, wer welchen Laptop hat, weil du ihn selbst ausgehändigt hast. Aber irgendwo zwischen 20 und 50 Mitarbeitern funktioniert das nicht mehr. Jeden Monat kommen neue Mitarbeiter hinzu. Leute wechseln ihre Aufgabenbereiche. Jemand verlässt das Unternehmen, und du bist dir nicht sicher, ob auf seinem Laptop die Verschlüsselung aktiviert war oder ob er noch Zugriff auf den Google Workspace des Unternehmens hat.

Das ist der Wendepunkt. Die Tabelle sagt dir nicht, ob ein Gerät den Richtlinien entspricht – sie sagt dir nur, dass es existiert (vorausgesetzt, jemand hat daran gedacht, sie zu aktualisieren). MDM ersetzt die Tabelle durch ein Live-Dashboard: jedes Gerät, sein Besitzer, seine Betriebssystemversion, sein Verschlüsselungsstatus und der letzte Check-in – alles wird automatisch aktualisiert. Einen umfassenderen Überblick darüber, wie man Hardware zentral dokumentiert und verwaltet, bietet unser Leitfaden zum IT-Asset-Management-Lebenszyklus, der den gesamten Prozess Schritt für Schritt erläutert.

Sicherheitsfragebögen und Compliance-Druck

Wenn dein Unternehmen an andere Firmen verkauft – besonders in den Bereichen Finanzen, Gesundheitswesen oder im öffentlichen Sektor –, bist du wahrscheinlich schon einmal auf Sicherheitsfragebögen gestoßen. Darin werden Fragen gestellt wie: „Setzt ihr Festplattenverschlüsselung auf allen Endgeräten durch?" „Könnt ihr ein verlorenes Gerät aus der Ferne löschen?" „Wie stellt ihr sicher, dass Betriebssystem-Patches innerhalb von 30 Tagen eingespielt werden?"

Ohne MDM lautet die ehrliche Antwort auf die meisten dieser Fragen: „Wir bitten die Mitarbeiter, das zu tun, können es aber nicht überprüfen." Diese Antwort kostet Aufträge. Sie führt außerdem zu Problemen mit Compliance-Rahmenwerken wie ISO 27001 und – zunehmend in Europa – der NIS2-Richtlinie, die Cybersicherheitspflichten auf Tausende mittelständischer Unternehmen ausweitet. MDM liefert den Durchsetzungsmechanismus und den Prüfpfad, um diese Fragen souverän beantworten zu können. Unsere DSGVO-Checkliste zur IT-Compliance deckt weitere Kontrollmaßnahmen ab, die du einrichten solltest.

Schnelles Onboarding und Offboarding

Wenn du drei Mitarbeiter in einer Woche einstellst, dauert die manuelle Einrichtung jedes Laptops Stunden. Betriebssystem installieren, Konten anlegen, E-Mail konfigurieren, VPN einrichten, Slack installieren, Verschlüsselung aktivieren, Passwortrichtlinie festlegen. Multipliziert man das mit drei, hat jemand einen ganzen Tag verloren.

MDM automatisiert das meiste davon. Ein neues Gerät kann so vorkonfiguriert werden, dass beim ersten Einschalten bereits alle Apps, Konten und Sicherheitseinstellungen vorhanden sind. Das Offboarding ist genauso wichtig: Wenn jemand das Unternehmen verlässt, lässt sich mit MDM der Zugriff widerrufen und Unternehmensdaten löschen – in Minuten statt Tagen. Wenn man bedenkt, dass 70 % der Diebstähle geistigen Eigentums innerhalb der 90 Tage vor der Kündigungsankündigung eines Mitarbeiters stattfinden (CurrentWare), kommt es auf Schnelligkeit an.

Für Unternehmen, die Personio als HR-System nutzen, zeigt unser Leitfaden zum automatisierten IT-Onboarding mit Personio, wie die beiden Systeme zusammenarbeiten können.

Was passiert, wenn du auf MDM verzichtest?

Die Vorteile von MDM zu kennen ist nützlich. Die Risiken zu verstehen, die ohne MDM entstehen, ist noch überzeugender. So sieht das Risiko in der Praxis aus.

Verlorene Laptops ohne Möglichkeit zur Fernlöschung

Eine Umfrage unter 329 Unternehmen ergab, dass ihnen insgesamt mehr als 86.000 Laptops verloren gegangen waren, wobei sich die Gesamtkosten auf etwa 2,1 Milliarden Dollar beliefen (Ponemon Institute / Intel). Ohne MDM kann ein verlorenes Gerät weder aus der Ferne gesperrt noch gelöscht werden. War die Verschlüsselung nicht aktiviert (und ohne MDM kannst du dir nicht sicher sein, dass sie es war), hat jeder, der diesen Laptop findet, Zugriff auf alle darauf gespeicherten Daten.

Die weltweiten Durchschnittskosten einer Datenpanne beliefen sich 2024 auf 4,88 Millionen Dollar, wobei 70 % der betroffenen Unternehmen von erheblichen oder sehr erheblichen Beeinträchtigungen berichteten (IBM). Selbst wenn dein Unternehmen zu klein ist, um mit einer Datenpanne in Millionenhöhe konfrontiert zu werden, summieren sich die Kosten für die Benachrichtigung betroffener Kunden, die Beauftragung eines Rechtsbeistands und den Wiederaufbau des Kundenvertrauens schnell.

Kein Überblick darüber, wer Zugriff auf Unternehmensdaten hat

Ohne MDM weißt du nicht wirklich, welche Geräte auf Unternehmenssysteme zugreifen. Loggt sich ein ehemaliger Mitarbeiter noch von seinem alten Handy in dein Projektmanagement-Tool ein? Hat ein Auftragnehmer die Unternehmens-E-Mail auf einem Gerät eingerichtet, das er mit Familienmitgliedern teilt? Fast 90 % der ehemaligen Mitarbeiter behalten nach ihrem Ausscheiden den Zugriff auf sensible Unternehmenssysteme und -daten (Proton).

Der durchschnittliche Mitarbeiter nutzt 29 verschiedene SaaS-Anwendungen (The Hacker News), sodass die Angriffsfläche weit über E-Mails hinausgeht. MDM bietet eine Echtzeit-Übersicht über jedes verbundene Gerät, was darauf installiert ist und ob es deinen Sicherheitsstandards entspricht. Unser Leitfaden zur IT-Sicherheit für kleine Unternehmen erklärt, wie du diese Lücken auch ohne eigenes IT-Personal schließen kannst.

Mängel bei Audits und Lücken im Versicherungsschutz

Anbieter von Cyberversicherungen fragen zunehmend, ob MDM im Einsatz ist. Wenn nicht, steigen die Prämien oder der Versicherungsschutz wird verweigert. Auditoren, die ISO 27001- oder SOC 2-Prüfungen durchführen, suchen nach Nachweisen dafür, dass Sicherheitsrichtlinien auf Endgeräten tatsächlich durchgesetzt werden – und nicht nur in einem Dokument stehen.

Ohne MDM lässt sich die Durchsetzung nicht nachweisen. Du kannst eine Richtlinie verfassen, die besagt: „Alle Laptops müssen verschlüsselt sein" – aber ohne ein System, das die Einhaltung gerätebezogen überprüft, bleibt diese Richtlinie nur auf dem Papier. Das Gleiche gilt für Kundenaudits: Größere Kunden, die deine Sicherheitslage prüfen, werden es bemerken, wenn du deine Richtlinien zwar beschreiben, aber kein Dashboard vorweisen kannst, das ihre Anwendung belegt.

{{cta}} 

Funktioniert MDM auf Apple- und Windows-Geräten unterschiedlich?

Ja – und wenn dein Unternehmen beides nutzt (was bei den meisten der Fall ist), lohnt es sich, den Unterschied auf einer grundlegenden Ebene zu verstehen. Du musst die technischen Details nicht beherrschen, aber wer das große Bild kennt, stellt bei der Bewertung von MDM-Tools die richtigen Fragen.

Wie Apple mit MDM umgeht

Apple hat ein natives MDM-Framework direkt in macOS, iOS und iPadOS integriert. Das wichtigste Element für Unternehmen ist der Apple Business Manager (ABM), ein kostenloses Webportal von Apple, auf dem du deine Organisation registrierst und mit deiner MDM-Lösung verknüpfst. Sobald ein Gerät gekauft und über ABM registriert wurde, verbindet es sich beim ersten Einschalten automatisch mit deinem MDM-Server. Der Mitarbeiter öffnet die Verpackung, schaltet den Laptop ein – und das Gerät konfiguriert sich von selbst: Apps werden installiert, Sicherheitsrichtlinien angewendet, Konten angelegt.

Dies wird manchmal als „Zero-Touch-Registrierung" bezeichnet, weil die IT-Person (oder die Person, die versehentlich zur IT-Person geworden ist) das Gerät nicht physisch anfassen muss. Für Apple-orientierte Teams ist das oft die reibungsloseste MDM-Erfahrung. Wenn dein Gerätepark hauptsächlich aus Macs besteht, findest du in unserem Leitfaden zu Mac-MDM für Startups alles, was du tatsächlich brauchst.

So funktioniert MDM unter Windows

Das entsprechende System von Microsoft nutzt eine Kombination aus Tools – vor allem Microsoft Intune (das cloudbasierte MDM von Microsoft) und Azure Active Directory (jetzt Microsoft Entra ID) für das Identitätsmanagement. Windows verfügt über einen eigenen Zero-Touch-Bereitstellungspfad namens Windows Autopilot, der Geräte vorkonfiguriert, noch bevor der Mitarbeiter die Verpackung öffnet.

Das Windows-Ökosystem ist leistungsstark, aber komplexer. Intune kann auch iOS- und Android-Geräte verwalten, ist jedoch am tiefsten in Windows integriert. Wenn dein Unternehmen bereits für Microsoft 365 bezahlt, ist möglicherweise schon eine Intune-Lizenz in deinem Abonnement enthalten – allerdings sind der Besitz einer Lizenz und deren Konfiguration zwei völlig verschiedene Dinge. Unser Vergleich der Microsoft Intune-Alternativen hilft dir zu entscheiden, ob Intune das Richtige für dein Team ist oder ein anderer Ansatz besser passt.

Gemischte Geräteflotten: die gängige Realität

Die meisten wachsenden Unternehmen haben keine reine Apple- oder reine Windows-Umgebung. Entwickler nutzen Macs, Vertriebsteams arbeiten mit Windows-Laptops, und jeder hat ein Smartphone. Das gewählte MDM-Tool muss die Plattformen unterstützen, die tatsächlich im Einsatz sind. Einige Tools sind spezialisiert (Jamf ist beispielsweise ausschließlich für Apple gedacht), andere decken mehrere Betriebssysteme ab. Einige wenige, wie deeploi, übernehmen sowohl die Verwaltung von Apple- als auch von Windows-Geräten als Teil einer umfassenderen IT-Plattform. Einen genaueren Blick auf die Vor- und Nachteile der beiden Ökosysteme wirfst du in unserem Leitfaden „Mac vs. Windows für Unternehmen".

MDM vs. IT-Asset-Management: Was ist der Unterschied?

Diese beiden Begriffe werden ständig verwechselt, und das ist leicht nachvollziehbar. Bei beiden geht es darum, den Überblick über Geräte zu behalten. Doch sie erfüllen grundlegend unterschiedliche Aufgaben – und die meisten wachsenden Unternehmen benötigen letztlich beides.

Was MDM regelt

Bei MDM geht es um Sicherheit und Konfiguration. Es beantwortet Fragen wie: Ist die Verschlüsselung aktiviert? Ist das Betriebssystem aktuell? Kann ich dieses Gerät löschen, wenn es verloren geht? Welche Apps sind installiert? MDM setzt Regeln durch und gibt dir die Fernsteuerung über die Einstellungen und Daten des Geräts.

Was das IT-Asset-Management erfasst

Beim IT-Asset-Management (ITAM) geht es um den Lebenszyklus und die Logistik der Hardware selbst. Es beantwortet Fragen wie: Wie viele Laptops besitzen wir? Wem ist dieses Gerät zugewiesen? Wann wurde es gekauft? Wann läuft die Garantie ab? Ist es Zeit für einen Austausch? ITAM verfolgt Eigentumsverhältnisse, Kosten und Zustand von der Anschaffung bis zur Außerbetriebnahme.

Wo sich die Bereiche überschneiden und warum du beides brauchst

MDM zeigt dir, dass ein Gerät den Vorgaben entspricht. ITAM sagt dir, dass das Gerät existiert, wer es hat und was es wert ist. Ohne MDM kannst du einen Laptop zwar nachverfolgen, aber nicht absichern. Ohne ITAM kannst du einen Laptop absichern, weißt aber möglicherweise nicht, dass er ungenutzt in einer Schublade liegt. Zusammen bieten beide vollständige Transparenz. Viele moderne IT-Plattformen vereinen beide Funktionen in einem einzigen Dashboard. Einen tieferen Einblick in die Nachverfolgung des gesamten Hardware-Lebenszyklus gibt unser Leitfaden zum IT-Asset-Management-Lebenszyklus, der den gesamten Prozess abdeckt.

Wie verfolgst du den gesamten Lebenszyklus von Unternehmensgeräten?

Der Lebenszyklus eines Geräts beginnt nicht erst, wenn ein Mitarbeiter die Verpackung öffnet, und endet nicht, wenn er es zurückgibt. Es gibt verschiedene Phasen, und in jeder davon fallen Entscheidungen an, die sich auf Sicherheit, Kosten und Compliance auswirken.

Beschaffung und Registrierung

Der Lebenszyklus beginnt mit der Bestellung des Geräts. Zu diesem Zeitpunkt entscheidest du über Modell, technische Daten und Zubehör. Wenn du Apple Business Manager oder Windows Autopilot nutzt, kann das Gerät bereits vor seiner Ankunft bei deinem MDM registriert werden – das bedeutet: Sobald es eingeschaltet wird, trägt es sich automatisch ein.

Für Unternehmen, die noch keinen Beschaffungsprozess haben, führt der praktische Leitfaden zur Bestellung und Einrichtung eines Laptops für einen neuen Mitarbeiter durch jeden Schritt – von der Auswahl der richtigen Spezifikationen bis zur Konfiguration des Geräts vor der Übergabe.

Workflows für Zuweisung, Umnutzung und Rückgabe

Sobald ein Gerät eingerichtet ist, wird es einem Mitarbeiter zugewiesen. Wechselt dieser die Position, benötigt das Gerät möglicherweise andere Software oder Berechtigungen. Beim Ausscheiden muss das Gerät gelöscht, überprüft und entweder dem nächsten neuen Mitarbeiter zugewiesen oder eingelagert werden.

Dieser Kreislauf – Zuweisung, Umnutzung, Rückgabe – ist ohne ein geeignetes System fehleranfällig. Geräte werden in Schubladen vergessen. Ehemalige Mitarbeiter behalten Laptops noch wochenlang nach ihrem letzten Arbeitstag. Niemand weiß, welche Geräte für den nächsten Neuzugang verfügbar sind. MDM (in Kombination mit Asset-Tracking) hält diesen Kreislauf sauber. Für Remote-Teams, bei denen man nicht einfach rübergehen und einen Laptop abholen kann, erklärt unser Leitfaden zum Remote-Onboarding ohne Büro, wie man das reibungslos handhabt.

Stilllegung und sichere Datenlöschung

Irgendwann erreicht jedes Gerät das Ende seiner Lebensdauer. Die Festplatte könnte ausfallen, der Akku könnte schwächeln oder die Hardware kann das neueste Betriebssystem schlicht nicht mehr ausführen. An diesem Punkt müssen alle Unternehmensdaten sicher gelöscht werden, bevor das Gerät verkauft, recycelt oder entsorgt wird. MDM macht die Löschung nachweisbar: Du kannst über das Dashboard bestätigen, dass das Gerät gelöscht wurde – anstatt darauf zu vertrauen, dass jemand daran gedacht hat.

Worauf solltest du bei der Auswahl einer MDM-Software achten?

Der MDM-Markt ist groß und wächst schnell. Sein Volumen wurde für 2024 auf 7,67 Milliarden US-Dollar geschätzt und soll bis 2030 auf 28,37 Milliarden US-Dollar steigen (Grand View Research). Das bedeutet viele Optionen – aber auch viel Lärm. Hier sind die Punkte, auf die es bei der Bewertung von Tools wirklich ankommt.

Betriebssystemunterstützung: Apple, Windows, Android oder alle drei

Fang mit den Geräten an, die du bereits hast. Wenn alle Macs nutzen, könnte ein Apple-spezifisches MDM wie Jamf ausreichen. Wenn ihr ein Microsoft-Unternehmen seid, ist Intune wahrscheinlich bereits in eurem Microsoft 365-Abo enthalten. Bei einer gemischten Geräteflotte (was eher die Regel als die Ausnahme ist) brauchst du ein Tool, das alle Plattformen abdeckt, ohne dass für jede eine separate Verwaltungskonsole erforderlich ist. Unser Apple-MDM-Vergleich für 2026 behandelt die Apple-spezifischen Optionen im Detail.

Unterstützung für Zero-Touch-Registrierung

Zero-Touch-Registrierung bedeutet, dass sich ein neues Gerät beim ersten Einschalten selbst konfiguriert – ohne dass jemand aus der IT-Abteilung es manuell einrichten muss. Das spart enorm viel Zeit, besonders wenn häufig neue Mitarbeiter eingestellt werden oder Remote-Mitarbeiter vorhanden sind. Achte auf Unterstützung für Apple Business Manager (für Macs und iPhones), Windows Autopilot (für Windows-PCs) und Android Zero-Touch-Registrierung.

Integration mit HR-Systemen und Identitätsanbietern

Der aufwändigste und fehleranfälligste Teil der Geräteverwaltung ist die Übergabe zwischen Personalabteilung und IT. Jemand wird in Personio oder BambooHR eingestellt, und dann muss jemand anderes dessen Laptop, Konten und Berechtigungen manuell einrichten. Die besten MDM-Tools lassen sich in dein HR-System integrieren, sodass die Einstellung eines neuen Mitarbeiters automatisch die Gerätebereitstellung auslöst und ein Ausscheiden die Deprovisionierung.

Ebenso ermöglicht die Integration mit Identitätsanbietern (wie Google Workspace, Microsoft Entra ID oder Okta), den Gerätezugang an die Identität des Mitarbeiters zu koppeln. Wenn du sein Konto deaktivierst, wird der Zugriff überall gesperrt.

Preismodelle und versteckte Kosten

Die Preisgestaltung bei MDM funktioniert in der Regel auf eine von drei Arten: pro Gerät und Monat, pro Nutzer und Monat oder als Teil eines größeren Plattformpakets. Die Abrechnung pro Gerät ist unkompliziert, kann aber teuer werden, wenn Mitarbeiter mehrere Geräte nutzen. Die Abrechnung pro Nutzer ist einfacher, wenn jede Person ein Smartphone und einen Laptop hat. Paketpreise (bei denen MDM Teil einer umfassenderen IT-Management-Plattform ist) können am kostengünstigsten sein, wenn du sonst separate Tools für Bestandsverfolgung, Sicherheit und Support kaufen müsstest.

Achte auf versteckte Kosten: Einrichtungsgebühren, Premium-Support-Stufen, Gebühren für Zusatzfunktionen wie Fernlöschung oder Berichterstellung. Wenn du einen direkten Anbietervergleich möchtest, findest du in unserer detaillierten Übersicht über die 11 besten MDM-Softwarelösungen für 2026 Informationen zu Preisen, Funktionen und dazu, welches Tool zu welchem Unternehmenstyp passt.

Wie kannst du Geräte verwalten, ohne IT-Experte zu werden?

Das ist die eigentliche Frage für die meisten Leser dieses Leitfadens. Du verstehst, warum MDM wichtig ist. Du weißt, worauf du achten musst. Aber du möchtest deine Dienstagnachmittage nicht damit verbringen, Registrierungsprofile zu konfigurieren und Richtlinienkonflikte zu beheben. So kannst du deine Optionen abwägen.

Automatisiertes MDM: Was das in der Praxis bedeutet

Automatisiertes MDM bedeutet, dass die Hauptarbeit im Hintergrund erledigt wird. Wenn ein Gerät gekauft und registriert wird, trägt es sich selbst ein. Wenn ein Mitarbeiter im HR-System angelegt wird, werden sein Gerät, seine Apps und seine Konten automatisch eingerichtet. Wenn sich eine Sicherheitsrichtlinie ändert, wird sie ohne manuellen Eingriff auf den gesamten Gerätebestand übertragen.

Das unterscheidet sich von herkömmlichen MDM-Tools, die zwar eine leistungsstarke Konsole bieten, bei denen du aber selbst für die gesamte Konfiguration verantwortlich bist. Automatisierung ist der Unterschied zwischen einem Werkzeugkasten und einem Mechaniker.

Wann solltest du einen Managed-IT-Partner hinzuziehen – und wann kannst du es selbst machen?

Wenn du jemanden im Team hast, der technisch versiert ist und Zeit hat, sich in die MDM-Konsole einzuarbeiten, kann ein selbstverwaltetes Tool wie Jamf, Intune oder Hexnode gut funktionieren. Du musst Zeit in Einrichtung, laufende Konfiguration und Fehlerbehebung investieren, hast dafür aber die volle Kontrolle.

Wenn niemand in deinem Team dieser Beschreibung entspricht (was häufig vorkommt: 60 % der KMU geben an, dass Sicherheit ihre größte IT-Herausforderung ist (JumpCloud)), ist ein Managed-IT-Service die sinnvollere Wahl. Anstatt selbst zu lernen, wie man die Konsole bedient, übergibst du diese Aufgabe einem Team, das sie für dich übernimmt. Die Vor- und Nachteile dieser beiden Modelle – reine MDM-Tools vs. Managed-IT-Services – werden in unserem Vergleich von MDM und Managed-IT-Services ausführlich beleuchtet.

So übernimmt deeploi die Geräteverwaltung automatisch

deeploi ist eine All-in-One-IT-Management-Plattform – nicht nur ein MDM-Tool. MDM ist dabei eine Komponente von vielen, neben der Automatisierung von Onboarding und Offboarding, Software-Management, Cybersicherheit und IT-Support.

Über das deeploi-Dashboard kannst du jedes Gerät im Unternehmen einsehen – einschließlich Besitzer, Betriebssystemversion, installierter Apps und Sicherheitsstatus. Auf allen verwalteten Geräten wird die Verschlüsselung automatisch durchgesetzt, und „Security+", ein optionales Add-on, bietet Endgeräteschutz vor Malware und unbefugtem Zugriff unter macOS und Windows. Wenn ein neuer Mitarbeiter angelegt wird, kann sein Gerät über Apple Business Manager vorkonfiguriert werden, sodass es sofort nach dem ersten Einschalten einsatzbereit ist.

Die Plattform erfasst außerdem die Tools, die ein KMU tatsächlich für seinen Betrieb benötigt, sodass du dich nicht mit einem Flickenteppich aus separaten Abonnements für Sicherheit, Support und Verwaltung herumschlagen musst. Für Unternehmen, die nach Alternativen zu Miradore oder ähnlichen schlanken MDM-Tools suchen, enthält unser Vergleich von Miradore-Alternativen neben anderen Optionen auch deeploi.

{{cta}} 

BYOD, Shadow-IT und die MDM-Blindstellen, die die meisten Unternehmen übersehen

MDM funktioniert gut, wenn Geräte im Unternehmensbesitz sind und registriert wurden. Doch die Realität sieht für die meisten wachsenden Unternehmen unordentlicher aus: Mitarbeiter nutzen private Handys für Slack, private Laptops für „nur eine Sache" und melden sich für Tools an, ohne jemandem davon zu erzählen.

Die BYOD-Lücke

Nur 40 % der Unternehmen mit BYOD-Programmen haben tatsächlich MDM-Lösungen implementiert, verglichen mit einer Implementierungsrate von 93 % bei Unternehmen, die firmeneigene Geräte ausgeben (SNS Insider). Diese Lücke stellt einen enormen blinden Fleck dar. Wenn Mitarbeiter ohne MDM über private Geräte auf Firmen-E-Mails, Dokumente oder Nachrichten zugreifen, hast du keine Möglichkeit, Unternehmensdaten zu löschen, falls das Gerät verloren geht oder der Mitarbeiter das Unternehmen verlässt.

Schätzungsweise 4,1 Millionen Smartphones gehen jedes Jahr verloren oder werden gestohlen (SimpleMDM), und 85 % der Mitarbeiter geben an, außerhalb der regulären Arbeitszeiten oder außerhalb des Büros remote zu arbeiten (ConnectWise). Beruf und Privatleben vermischen sich auf derselben Hardware – und ohne MDM wandern deine Unternehmensdaten dorthin, wohin auch immer das Gerät gelangt.

Shadow-IT: Tools, die du nicht genehmigt hast und nicht siehst

Shadow-IT bezeichnet jede Software, App oder jeden Cloud-Dienst, den Mitarbeiter ohne formelle Genehmigung für die Arbeit nutzen. Das geschieht nicht aus böser Absicht. Es ist jemand, der sich für ein kostenloses Projektmanagement-Tool anmeldet, weil das genehmigte zu umständlich war. Aber es bedeutet, dass Unternehmensdaten an Orten gespeichert sind, die du nicht sehen, nicht absichern und nicht prüfen kannst.

MDM wird Shadow-IT nicht vollständig beseitigen, aber es hilft. Indem du genehmigte Apps automatisch bereitstellst und nicht genehmigte Installationen auf verwalteten Geräten einschränkst, verringerst du die Angriffsfläche. In Kombination mit einer SaaS-Verwaltungsebene kannst du sehen, welche Tools Mitarbeiter tatsächlich nutzen, und entscheiden, ob du sie übernehmen, ersetzen oder sperren willst. Der Cybersicherheitsleitfaden für kleine Unternehmen behandelt umfassendere Strategien zum Umgang mit diesen Risiken.

Offboarding: der gefährlichste Moment

Der risikoreichste Moment im Lebenszyklus eines Geräts ist der Austritt eines Mitarbeiters. Wenn das Offboarding langsam oder unvollständig erfolgt, behält der ausscheidende Mitarbeiter weiterhin Zugriff auf Unternehmenssysteme, Dateien und Daten. Laut einer Studie konnten 89 % der ehemaligen Mitarbeiter noch lange nach ihrem Ausscheiden auf sensible Unternehmensanwendungen zugreifen (CurrentWare).

MDM gibt dir die Möglichkeit, das Gerät aus der Ferne zu löschen (oder bei einem BYOD-Gerät nur den Arbeitscontainer) – sobald der letzte Arbeitstag bestätigt ist. In Kombination mit der Integration eines Identitätsanbieters verschwinden Kontozugriff und Gerätedaten gemeinsam: innerhalb von Minuten statt Wochen.

Wie verändert sich der MDM-Markt?

MDM ist keine Nischentechnologie mehr. Wer versteht, wohin sich der Markt entwickelt, trifft eine Entscheidung, die in zwei Jahren nicht schon überholt ist.

Schnelles Wachstum, besonders bei KMU

Das KMU-Segment des MDM-Marktes wird bis 2032 voraussichtlich mit der höchsten durchschnittlichen jährlichen Wachstumsrate (CAGR) von 27,3 % wachsen – angetrieben durch den wachsenden Bedarf von KMU, ihre Cybersicherheit zu verbessern, Abläufe zu vereinfachen und Branchenvorschriften einzuhalten (SNS Insider). Das überrascht nicht: Da kleinere Unternehmen denselben Compliance-Anforderungen und Sicherheitsbedrohungen ausgesetzt sind wie große Konzerne, benötigen sie dieselben grundlegenden Tools.

Smartphones dominieren weiterhin den Markt und machten 2024 über 54 % des MDM-Marktumsatzes aus (Grand View Research), doch die Verwaltung von Laptops und Desktop-Computern wird zunehmend in dieselbe Plattform integriert. Die Zeit, in der „mobiles" Gerätemanagement ausschließlich Smartphones bedeutete, ist vorbei.

Von MDM zu UEM: breitere Abdeckung

Unified Endpoint Management (UEM) ist die Weiterentwicklung von MDM. Während sich MDM ursprünglich auf Smartphones und Tablets konzentrierte, deckt UEM alles ab: Laptops, Desktops, Smartphones, Tablets und manchmal sogar IoT-Geräte wie Drucker und Konferenzraumbildschirme. In der Praxis unterstützen die meisten heute als MDM vermarkteten Tools bereits auch Laptops und Desktops – die Grenzen verschwimmen zunehmend.

Für den Personal- oder Büroleiter, der ein Tool auswählt, lautet die praktische Schlussfolgerung: Kauf nichts, das nur Smartphones verwaltet, wenn Laptops deine größere Sorge sind. Frag gezielt nach, ob die Lösung jeden Gerätetyp abdeckt, den dein Unternehmen tatsächlich nutzt.

IT-Verantwortliche wollen weniger Tools, nicht mehr

72 % der befragten IT-Verantwortlichen nannten Herausforderungen mit ihren aktuellen Anbietern für Identitätsmanagement und MDM (Expert Insights). Der Trend geht klar in Richtung Konsolidierung: Statt separate Tools für MDM, Bestandsverfolgung, Identitätsmanagement und IT-Support zu kaufen, wollen Unternehmen eine Plattform (oder höchstens zwei), die das gesamte Spektrum abdeckt. Das gilt besonders für kleinere Unternehmen, in denen dieselbe Person die IT verwaltet und gleichzeitig für Onboarding, Offboarding und Lieferantenbeziehungen zuständig ist.

{{cta}} 

Die wichtigsten Erkenntnisse

• Beginne mit den beiden wirkungsvollsten MDM-Funktionen – Fernlöschung und erzwungene Festplattenverschlüsselung – und baue darauf auf; alles andere kann warten, bis diese Grundlagen solide stehen.
• Wenn dein Unternehmen mehr als 20 Mitarbeiter hat und dir derzeit niemand sagen kann, bei welchen Geräten die Verschlüsselung aktiviert ist, solltest du MDM als dringende Maßnahme betrachten – nicht als bloßes Ziel.
• Wähle eine MDM-Lösung anhand der Betriebssysteme, die dein Team tatsächlich nutzt, und des Umfangs an laufender Verwaltung, den du realistisch aufrechterhalten kannst. Ein leistungsstarkes Tool, das niemand konfiguriert, ist schlechter als ein einfaches, das vollständig im Einsatz ist.
• Wenn du kein eigenes IT-Team hast (und auch keines möchtest), such lieber eine Managed-IT-Plattform, die MDM beinhaltet, statt einer eigenständigen MDM-Konsole, die du selbst betreiben musst.
• Überprüfe noch heute deinen Offboarding-Prozess: Stelle sicher, dass du über eine zuverlässige Möglichkeit verfügst, den Zugriff auf Geräte und Anwendungen noch am selben Tag zu entziehen, an dem der letzte Arbeitstag eines Mitarbeiters bestätigt wird.

Häufig gestellte Fragen

Brauche ich MDM, wenn jeder Mitarbeiter sein eigenes Gerät nutzt?

Ja – wohl sogar noch mehr. Wenn Mitarbeiter private Geräte für die Arbeit nutzen (BYOD), befinden sich Unternehmensdaten auf Hardware, die dir nicht gehört und die du nicht physisch einziehen kannst. MDM erstellt auf diesen Geräten einen separaten Arbeitsbereich, sodass du Unternehmensdaten löschen kannst, wenn jemand das Unternehmen verlässt, ohne persönliche Dateien anzutasten. Ohne MDM hast du keine Möglichkeit, Unternehmensdaten von einem Gerät zu entfernen, das du nicht kontrollierst.

Kann ich MDM ohne IT-Abteilung einrichten?

Ja, das geht. Viele MDM-Tools sind so konzipiert, dass sie von nicht-technischen Administratoren konfiguriert werden können. Die eigentliche Frage ist, ob du die Zeit und die Bereitschaft hast, das System über Monate und Jahre hinweg zu pflegen: Richtlinien aktualisieren, neue Geräte registrieren, Probleme beheben. Wenn nicht, ist ein Managed-IT-Service, der MDM für dich übernimmt, der realistischere Weg.

Gilt MDM nur für Smartphones oder auch für Laptops?

Modernes MDM deckt Laptops, Desktops, Tablets und Smartphones ab. Der Begriff „mobil" stammt noch aus der Zeit, als MDM erstmals für Smartphones eingeführt wurde. Heute hat die Verwaltung von Mitarbeiter-Laptops für die meisten Unternehmen in der Regel Vorrang. Such nach einer Lösung, die alle Gerätetypen abdeckt, die dein Team nutzt.

Wie lange dauert die Einführung von MDM in einem Unternehmen mit 50 Mitarbeitern?

Bei einem Managed Service kann die Ersteinrichtung innerhalb weniger Tage erfolgen. Die Registrierung bestehender Geräte dauert in der Regel ein bis zwei Wochen, je nachdem, wie viele Mitarbeiter selbst aktiv werden müssen (z. B. ihren Laptop neu starten oder ein Registrierungsprofil genehmigen). Künftig angeschaffte Geräte können automatisch über Zero-Touch-Programme registriert werden – ohne manuellen Aufwand.

Was ist der Unterschied zwischen MDM und Endpoint-Sicherheitssoftware?

MDM verwaltet und konfiguriert Geräte: Es erzwingt Passwörter, spielt Updates ein und löscht Daten auf verlorenen Geräten. Endpoint-Sicherheit (manchmal auch EDR oder Antivirus genannt) schützt Geräte aktiv vor Malware, Ransomware und anderen Bedrohungen. MDM steht für die Regeln und Kontrollmechanismen, Endgerätesicherheit für den Wächter, der nach Eindringlingen Ausschau hält. Die meisten Unternehmen brauchen beides, und viele Plattformen bündeln diese Funktionen.

Wie viel kostet MDM-Software in der Regel?

Die Preise liegen zwischen etwa 2 und 9 US-Dollar pro Gerät oder pro Nutzer und Monat, je nach Plattform und Funktionsumfang. Einige Tools (wie Microsoft Intune) sind möglicherweise bereits in deinem Microsoft 365-Abonnement enthalten. Andere berechnen Premium-Funktionen wie erweiterte Berichterstellung oder Fernsupport separat. Prüfe immer, was im Grundpreis enthalten ist und was als Zusatzoption angeboten wird.

Was ist eine Zero-Touch-Registrierung und warum ist sie wichtig?

Zero-Touch-Registrierung bedeutet, dass sich ein neues Gerät beim ersten Einschalten automatisch konfiguriert: Es verbindet sich mit deinem MDM, installiert erforderliche Apps, wendet Sicherheitsrichtlinien an und legt Benutzerkonten an – ohne dass jemand aus deinem Team das Gerät anfassen muss. Das ist wichtig, weil es die Einrichtungszeit drastisch verkürzt und Mitarbeitern im Homeoffice ermöglicht, einen Laptop per Post zu empfangen und sofort loszulegen.

Kann ich mit MDM sehen, was die Mitarbeiter auf ihren Geräten tun?

MDM zeigt Informationen auf Geräteebene: welche Apps installiert sind, ob das Betriebssystem aktuell ist, ob die Verschlüsselung aktiviert ist und wo das Gerät sich zuletzt angemeldet hat. Es überwacht nicht – und sollte auch nicht – die Aktivitäten der Mitarbeiter wie Browserverlauf, Tastenanschläge oder persönliche Nachrichten. Das Ziel ist Sicherheit und Compliance, nicht Überwachung. Auf BYOD-Geräten ist für den Administrator ausschließlich der Arbeitsbereich sichtbar.

Was ist der Unterschied zwischen MDM und Mobile Application Management (MAM)?

MDM verwaltet das gesamte Gerät: Einstellungen, Sicherheit, Updates und Fernaktionen. MAM (Mobile Application Management) verwaltet nur bestimmte Arbeits-Apps und die darin enthaltenen Daten, ohne den Rest des Geräts zu kontrollieren. MAM wird häufig auf privaten Geräten eingesetzt, bei denen Mitarbeiter nicht möchten, dass ihr gesamtes Handy vom Arbeitgeber verwaltet wird. Manche Plattformen bieten beides an, sodass du für jede Situation den passenden Kontrollgrad wählen kannst.

Sollte ich mich für ein eigenständiges MDM-Tool oder eine umfassendere IT-Management-Plattform entscheiden?

Das hängt von Größe und Komplexität deiner IT-Anforderungen ab. Wenn du ausschließlich Geräteverwaltung benötigst, kann ein eigenständiges MDM-Tool ausreichen. Wenn du aber auch Unterstützung bei Onboarding, Offboarding, IT-Support, Cybersicherheit und Bestandsverfolgung brauchst, spart eine Plattform, die all das bündelt, Zeit und reduziert die Zahl der zu verwaltenden Tools. Für die meisten KMU ist der gebündelte Ansatz letztlich sowohl kostengünstiger als auch einfacher in der Handhabung.

Ist MDM für Unternehmen mit weniger als 20 Mitarbeitern notwendig?

Zwingend notwendig ist es nicht – aber dennoch sinnvoll. Selbst ein 10-köpfiges Team hat Geräte mit Unternehmensdaten, und der Verlust eines Laptops ohne Möglichkeit zur Fernlöschung birgt dasselbe Risiko, egal ob 10 oder 200 Mitarbeiter. Der Unterschied liegt im nötigen Komplexitätsgrad. Für sehr kleine Teams deckt ein schlankes MDM-Tool oder ein Managed-IT-Service, der Geräteverwaltung umfasst, die Grundlagen ab – ohne das Team zu überfordern.