Apple-Geräte im Supervised-Modus: Was Sie wissen müssen
Der Supervised-Modus auf Apple-Geräten bietet viele Vorteile, denn IT-Administrator*innen können erweiterte Einstellungen auf mobilen Geräten vornehmen. Dadurch lassen sich Sicherheitsrichtlinien auf iOS-, macOS-, iPadOS- und teilweise auch tvOS-Geräten implementieren, die über die Standardkonfiguration hinausgehen. Zu den zusätzlichen Funktionen gehören beispielsweise das Filtern der Internetnutzung und das Aktualisieren von Apps im Hintergrund.
Die Sicherheit von Unternehmensdaten ist heutzutage ständig bedroht, da sie durch unautorisierten Zugriff manipuliert, überschrieben, veröffentlicht oder verkauft werden können. Unternehmensdaten sind häufig das Ziel von Cyberangriffen, etwa durch Ransomware, die Daten verschlüsselt, oder durch Diebstahl und Weiterverkauf. Nicht abgesicherte mobile Geräte bieten ideale Einfallspunkte in Unternehmensnetzwerke.
Dementsprechend hat Apple mit dem Supervised Modus eine Möglichkeit geschaffen, Geräten, die im Unternehmenskontext eingesetzt werden, mehr Datensicherheit zu verleihen. Doch Apple-Geräte befinden sich nicht automatisch im Supervised-Modus. Um ein iOS-, iPadOS – oder MacOS-Gerät in den Supervised-Modus zu versetzen, muss es zunächst zurückgesetzt werden. Deshalb ist der Supervised-Modus für Geräte, die im BYOD-Modell genutzt werden sollen, nicht geeignet.
Woran erkenne ich ein Gerät im Supervised Modus?
Im Unternehmenskontext ist es wichtig, transparent mit der Einführung von Supervised-Geräten umzugehen. Apple liefert auch hier die Vorlage, denn der User kann jederzeit sehen, dass sich das genutzte Gerät im Supervised-Modus befindet. Hierfür muss er nur die Einstellungen aufrufen: Der Hinweis, dass das Gerät im Supervised-Modus ist, wird ganz oben angezeigt.
Es ist den User*innen auch jederzeit möglich, zu erkennen, welche Funktionen im Supervised-Modus genutzt werden. Unter Einstellungen > General > VPN & Gerätemanagement kann das Geräte-Profil aufgerufen und eingesehen werden, welche Änderungen durchgeführt wurden.
Auf welchen Geräten ist der Supervised Modus möglich?
Apples Supervised-Modus ist für alle Geräte verfügbar – wird jedoch bevorzugt bei iOS und iPadOS eingesetzt, um diese mobilen Geräte besonders abzusichern. Apple stellt für Supervised-Geräte spezielle Schnittstellen bereit, die ein Mobile Device Management (MDM) nutzen kann, um weiterführende Sicherheitsfunktionen zu aktivieren.
Wir zeigen Ihnen die wichtigsten Merkmale eines Apple-Geräts im Supervised-Modus:
- Im Supervised (managed)-Modus werden obligatorische Apps automatisch im Hintergrund installiert
- Wenn ein Benutzer eine installierte App auf die Blacklist setzt, wird sie ausgeblendet (für Anwendungen iOS 9.3+).
- Zusätzliche Funktionen umfassen App-Benachrichtigungen
- Immer aktives VPN
- APN & globaler HTTP-Proxy
- Die Filterung von Webinhalten
- Verwaltete Webdomänen für das Autofill von Passwörtern auf Safari
- Die Anpassung des Hintergrundbildes
- Die Anzeige von Sperrbildschirmnachrichten
- Die Anordnung des Startbildschirms
- Der KIOSK-Modus
Mithilfe eines MDMs können Sie diese Einstellungen in einer Richtlinie festlegen und direkt den Apple Geräten zuweisen. Sobald diese angeschaltet werden, laden sie sich das festgelegte Profil mit allen Richtlinien herunter und sind einsatzbereit. Erfahren Sie in unserem Tutorial, wie Sie Apple Geräte mit einem MDM ausstatten: YouTube-Tutorial
Wie können meine Geräte in den Supervised Modus versetzt werden?
Es gibt zwei Möglichkeiten, Apple-Geräte in den Supervised-Modus zu bringen:
1. Apple Geräte direkt als DEP-Geräte bestellen
Unternehmen und Schulen können Apple-Geräte über den Apple Business Manager (ABM) oder den Apple School Manager (ASM) verwalten. Ist die Nutzung im professionellen Kontext angedacht, können die Geräte direkt so bestellt werden, dass die Seriennummern im Management-Portal aufgelistet werden. Durch die anschließende Zuweisung des MDMs zu den Geräten sind diese automatisch im Supervised-Modus.
2. Apple Geräte nachträglich in das Apple-Portal einbringen
Apple-Geräte müssen nicht zwangsläufig bereits als DEP-Geräte bestellt werden, um im Supervised-Modus genutzt werden zu können. Mithilfe des Apple-Configurators können Sie nachträglich in den ABM oder ASM hinein gehoben werden. Dies können Sie auch mit Geräten vornehmen, die bereits in Benutzung sind. Beachten Sie hier jedoch, dass die Geräte nur in den Supervised-Modus versetzt werden können, wenn sie zuvor zurückgesetzt wurden. Ein Backup wichtiger Daten ist also unabdingbar.
Kann ich den Supervised Modus wieder von Geräten entfernen?
Grundsätzlich ist es möglich, den Supervised-Modus von den Geräten wieder zu entfernen. Hierbei gibt es Unterschiede, ob ein Gerät über den ABM oder ASM registriert wurde oder ob dies über den Apple-Configurator erfolgt ist.
1. Apple Configurator
Setzen Sie das Gerät zurück. Entweder, sofern die Richtlinien dies erlauben, unternimmt die Nutzer*in dies selbst über die Einstellungen des Gerätes, oder sie führen die Löschung bei MDM herbei. Im Anschluss loggen Sie sich im Apple Configurator ein und entfernen das Gerät auch dort über Erweitert > alle Inhalte und Einstellungen löschen.
2. ABM/ASM
Achten Sie hier unbedingt darauf, die Verknüpfung von ABM und MDM zu lösen, da sonst die Geräte selbst nach dem Factory Reset wieder automatisch im Portal registriert werden, sobald sie erneut angeschaltet werden. Wählen Sie das betreffende Gerät aus und klicken Sie auf “Zuweisung aufheben”. Im Anschluss muss das Gerät zurückgesetzt werden.
Beachten Sie, dass das Gerät dadurch zu einem BYOD Gerät wird. Das bedeutet, dass es immer noch mit dem ABM/ASM verbunden ist und wieder mit dem MDM-Server verbunden werden kann. Dazu müssen Sie das Gerät erneut im ABM dem MDM zuweisen, es zurücksetzen und sobald es wieder online ist, wird das MDM Profil wieder installiert und das Gerät befindet sich im Supervised-Modus.
Info: Sie haben auch die Möglichkeit, statt nur die Zuweisung aufzuheben, das Gerät vollständig aus dem ABM oder ASM zu entfernen, indem Sie „Link entfernen“ statt „Zuweisung aufheben“ auswählen. Dies ist empfehlenswert bei Geräten, die in die private Nutzung übergehen oder recycelt werden sollen.
Supervised-Geräte richtig verwalten mit MDM
Der Apple Business Manager und der Apple School Manager dienen der reinen Verwaltung der Geräte. Das heißt, dass Sie hier keine wirklichen Sicherheitsrichtlinien anwenden können. Um dies zu tun, benötigen Sie wie bereits erwähnt ein Mobile Device Management (MDM) System.
Bei MobiVisor MDM stehen Ihnen zahlreiche Richtlinien und Funktionen zur Verfügung, die Sie nutzen können, um Apple-Geräte im Supervised-Modus mit allen notwendigen Einstellungen zu versorgen. Der große Vorteil ist, dass Sie mit Hilfe eines MDMs verschiedene Einstellungen für unterschiedliche Benutzergruppen erstellen können – je nach deren Anforderungen und Bedürfnissen.
