Was ist ein MDM-Profil? Konfigurationsprofile erklärt

MDM-Profile, technisch korrekt als Konfigurationsprofile (Configuration Profiles) bezeichnet, sind das zentrale Werkzeug, mit dem MDM-Lösungen Einstellungen auf Apple-Geräten durchsetzen. Jedes Profil ist eine XML-Datei mit der Dateiendung .mobileconfig, die eine oder mehrere sogenannte Payloads enthält.

Jeder Payload konfiguriert einen bestimmten Aspekt des Geräts. So kann ein einziges Profil beispielsweise die WLAN-Verbindung einrichten, das VPN konfigurieren und gleichzeitig festlegen, dass die Kamera deaktiviert werden soll. Apple definiert in seiner Dokumentation hunderte verschiedener Payload-Typen für iOS, iPadOS und macOS.

Für Endnutzer sind MDM-Profile in den Systemeinstellungen unter Allgemein > VPN und Geräteverwaltung (iOS/iPadOS) bzw. Profile (macOS) sichtbar. Dort können sie sehen, welche Profile installiert sind und welche Einstellungen diese festlegen.

Konfigurationsprofile können eine Vielzahl von Geräteeinstellungen steuern. Die häufigsten Einsatzbereiche:

• Netzwerk: WLAN-Konfiguration (SSID, Authentifizierung, Zertifikate), VPN-Einrichtung, Proxy-Einstellungen, DNS-Konfiguration
• E-Mail und Kalender: Exchange- oder IMAP-Konten mit vorkonfigurierten Serverdaten, CalDAV, CardDAV
• Sicherheit: Passwort-Anforderungen (Länge, Komplexität), FileVault-Erzwingung, automatische Bildschirmsperre, Verschlüsselung
• Einschränkungen: Deaktivierung von Kamera, Screenshot, AirDrop, App Store oder iCloud-Backup; Blockieren bestimmter Websites
• Zertifikate: Installation von Root- und Intermediate-Zertifikaten für sichere Verbindungen zu Unternehmensressourcen
• App-Konfiguration: Managed App Configuration für Unternehmens-Apps mit vordefinierten Einstellungen

Auf supervised (überwachten) Geräten stehen zusätzliche Payloads zur Verfügung, die bei nicht-überwachten Geräten nicht verfügbar sind, etwa das Verbergen von Standard-Apps, Web-Content-Filter oder Global HTTP Proxy.

Es gibt drei Wege, wie Konfigurationsprofile auf Apple-Geräte gelangen:

1. Über MDM (empfohlen): Die MDM-Lösung sendet Profile automatisch an die zugewiesenen Geräte. Dies ist der gängigste und sicherste Weg für Unternehmen. Lösungen wie Jamf Pro oder Microsoft Intune bieten grafische Oberflächen, in denen Profile konfiguriert und an Gerätegruppen verteilt werden.
2. Apple Configurator: Mit dem Apple Configurator können Profile per USB auf Geräte übertragen werden. Dies ist nützlich für die Ersteinrichtung oder wenn kein MDM vorhanden ist.
3. Manuelle Installation: Profile können per E-Mail, Download-Link oder QR-Code verteilt und manuell installiert werden. Seit iOS 12.2 erfordert die manuelle Installation zusätzliche Schritte in den Einstellungen.

Profile, die über ein MDM installiert wurden, können in der Regel nur vom MDM wieder entfernt werden; der Endnutzer kann sie nicht löschen. Dies ist entscheidend für die Durchsetzung von Sicherheitsrichtlinien. Manuell installierte Profile hingegen können vom Nutzer jederzeit entfernt werden.

Damit MDM-Profile zuverlässig und wartbar bleiben, empfehlen wir folgende Vorgehensweisen:

• Modular aufbauen: Statt eines grossen Profils mit vielen Payloads empfiehlt es sich, einzelne Profile für verschiedene Zwecke zu erstellen (WLAN-Profil, Sicherheitsprofil, E-Mail-Profil). So können einzelne Einstellungen aktualisiert werden, ohne andere zu beeinflussen.
• Gerätegruppen nutzen: Nicht jedes Profil muss auf jedes Gerät. Nutzen Sie Smart Groups oder Scope-Einstellungen im MDM, um Profile gezielt zuzuweisen (z. B. FileVault nur für Macs, Kamera-Einschränkung nur für Shared Devices).
• Erst testen, dann ausrollen: Neue Profile sollten immer auf einer kleinen Testgruppe validiert werden, bevor sie unternehmensweit verteilt werden. Fehlerhafte Profile können zu Verbindungsproblemen oder gesperrten Funktionen führen.
• Dokumentation führen: Halten Sie fest, welche Profile mit welchen Einstellungen aktiv sind. In grösseren Umgebungen kann die Anzahl der Profile schnell unübersichtlich werden.
• Konfliktfreies Design: Vermeiden Sie Profilkonflikte: wenn zwei Profile denselben Payload-Typ mit unterschiedlichen Werten enthalten, ist das Ergebnis unvorhersehbar.

Mit Axtero Orchestra behalten Sie den Überblick über alle verwalteten Profile und Gerätezustände. Axtero Orchestra ergänzt Ihr MDM mit automatisierten Workflows und umfassendem Monitoring. Kontaktieren Sie uns für eine Demonstration.