Ein Rundschreiben erreicht die Mitarbeitenden, ein Mobile Device Management erreicht die Geräte. Diensthandys sind sicher, wenn eine zentrale Verwaltung die Regeln durchsetzt: Mobile Device Management (MDM) gibt Updates, Sperrbildschirm und Verschlüsselung für jedes Gerät vor, trennt dienstliche von privaten Daten und sperrt ein verlorenes Handy aus der Ferne. Ohne MDM weiß im Ernstfall niemand, welche Handys im Umlauf sind und auf welchem Stand. Genau das hat die „SMS des Todes“ Anfang November in vielen Betrieben gezeigt.
Was MDM ist, welche sechs Vorgaben jedes Diensthandy erfüllen sollte, was bei privaten Handys im Dienst gilt und was zu tun ist, wenn ein Gerät verloren geht, steht in diesem Artikel.
Inhaltsverzeichnis
- Was ist Mobile Device Management?
- Warum reicht es nicht, an Updates zu erinnern?
- Wie sichert man Diensthandys im Unternehmen ab?
- Was gilt, wenn Mitarbeitende ihr privates Handy dienstlich nutzen?
- Worauf sollte man beim Kauf neuer Diensthandys achten?
- Was tun, wenn ein Diensthandy verloren geht?
- Checkliste: Diensthandys in den Griff bekommen
- Fazit
- Quellen
- Häufige Fragen
Was ist Mobile Device Management?
Mobile Device Management ist eine Software, mit der ein Unternehmen seine Smartphones und Tablets zentral einrichtet, absichert und überwacht. Die IT legt Regeln einmal fest, etwa Mindestlänge der PIN, Pflicht-Updates oder erlaubte Apps, und das MDM setzt sie auf jedem angemeldeten Gerät durch. Auf einen Blick zeigt es außerdem, welches Gerät welchen Stand hat.
Das BSI behandelt Smartphones und ihre zentrale Verwaltung im IT-Grundschutz in eigenen Bausteinen: SYS.3.2.1 „Allgemeine Smartphones und Tablets“ und SYS.3.2.2 „Mobile Device Management“. Für einen Betrieb mit zehn oder fünfzig Diensthandys heißt das praktisch:
- Inventar: Jedes Gerät steht mit Modell, Betriebssystem, Update-Stand und Nutzer in einer Liste, die sich selbst aktualisiert.
- Vorgaben: Sperrbildschirm, Verschlüsselung und Updates sind fest eingestellt, niemand muss daran denken.
- Trennung: Dienstliche Apps und Daten liegen in einem eigenen Bereich, den die Firma verwaltet.
- Zugriff aus der Ferne: Ein verlorenes Gerät lässt sich sperren und der dienstliche Teil löschen.
Bekannte Lösungen sind Microsoft Intune, das in Microsoft 365 Business Premium schon enthalten ist, und spezialisierte Anbieter wie baramundi oder Jamf. Welche passt, hängt weniger am Funktionsumfang als daran, ob jemand die Regeln pflegt und die Warnungen liest.
Warum reicht es nicht, an Updates zu erinnern?
Weil ein Update erst schützt, wenn es auf dem Gerät installiert ist, und das liegt ohne MDM bei jedem Mitarbeitenden selbst. Wer das Update wegdrückt oder ein altes Gerät nutzt, für das keins mehr kommt, fällt niemandem auf. Die IT erfährt davon erst, wenn das Gerät ausfällt.
Die „SMS des Todes“ hat das Anfang November vorgeführt: Eine präparierte Kurznachricht legt Android-Smartphones lahm, geschützt ist nur, wer das Sicherheitsupdate des Herstellers installiert hat. Viele Betriebe mussten erst herumfragen, welche Android-Handys es überhaupt gibt. Was die Lücke für Diensthandys bedeutet, steht im Artikel SMS des Todes: Was die Android-Lücke für Diensthandys bedeutet.
5 Monate
lagen bei der „SMS des Todes“ zwischen der Meldung an Google und dem ersten Update für Android 14 bis 17. Ob es danach in einer Woche oder in drei Monaten auf dem Diensthandy ankommt, entscheiden Hersteller und Nutzer. Quelle: heise Security, 30. Oktober 2026
Die Lücke selbst ist inzwischen geschlossen. Der eigentliche Befund bleibt: Wer bei der nächsten Lücke wieder Rundmails verschickt, verliert wieder Tage, und für Geräte auf Android 12 und 13 kommt gar kein Update mehr. Ein MDM zeigt die betroffenen Geräte in Minuten und erzwingt das Update, statt darum zu bitten.
Wie sichert man Diensthandys im Unternehmen ab?
Ein Diensthandy ist abgesichert, wenn sechs Vorgaben zentral eingestellt sind: Updates, Sperrbildschirm, Verschlüsselung, getrennter Arbeitsbereich, kontrollierte Apps und Fernlöschung. Jede davon lässt sich in einem MDM einmal festlegen und gilt dann für alle Geräte. Ohne MDM hängt jede einzelne am guten Willen des Nutzers.
| Vorgabe | Was im MDM eingestellt wird | Wogegen sie schützt |
|---|---|---|
| Updates | Mindeststand für Betriebssystem und Sicherheitsupdate; Geräte darunter bekommen keinen Zugriff auf Mail und Daten | bekannte Lücken wie die „SMS des Todes“ |
| Sperrbildschirm | PIN mit Mindestlänge, automatische Sperre nach kurzer Zeit, Biometrie als bequeme Ergänzung | Zugriff durch Finder oder Diebe |
| Verschlüsselung | Geräteverschlüsselung als Pflicht, bei aktuellen Android-Geräten und iPhones mit gesetzter PIN Standard | Auslesen des Speichers |
| Arbeitsbereich | dienstliche Apps und Daten in einem getrennten Profil | Abfluss von Kundendaten in private Apps |
| Apps | dienstliche Apps werden verteilt, Installation aus fremden Quellen gesperrt | Schadsoftware, Schatten-IT |
| Fernzugriff | Gerät orten, sperren, dienstlichen Teil löschen | Datenverlust bei Verlust oder Diebstahl |
Die erste Zeile ist die wichtigste. Ein MDM kann Geräte unter einem bestimmten Update-Stand automatisch von Mail, Teams und Firmendaten aussperren, bis das Update installiert ist. Damit wird aus einer Bitte eine Bedingung, und niemand muss nachfassen.
Praxis-Tipp
Fangen Sie mit der Liste an, nicht mit der Software. Tragen Sie jedes Diensthandy mit Modell, Android- oder iOS-Version und Datum des letzten Sicherheitsupdates in eine Tabelle ein. Die Angaben stehen auf Android unter Einstellungen → Über das Telefon, auf dem iPhone unter Einstellungen → Allgemein → Info. Schon diese Liste zeigt, welche Geräte ersetzt werden müssen.
Laptops und PCs brauchen dieselben Vorgaben, dort heißt das Werkzeug meist Client- oder Endpoint-Management. Wie HÖLL Arbeitsplatzrechner mit Updates und Überwachung betreut, zeigt das Client Management von HÖLL. Für Smartphones und Tablets übernimmt HÖLL in Baden-Baden die Geräteverwaltung als Device Management im Managed IT Service, mit Regeln, die zum Betrieb passen, und Technikern, die die Warnungen lesen.
Was gilt, wenn Mitarbeitende ihr privates Handy dienstlich nutzen?
Wer dienstliche Mails oder Kundendaten auf einem privaten Handy erlaubt, bleibt für diese Daten verantwortlich. Die DSGVO verlangt vom Unternehmen angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO), egal wem das Gerät gehört. Der saubere Weg ist ein getrennter Arbeitsbereich auf dem privaten Gerät, den das Unternehmen verwaltet, ohne in den privaten Teil zu sehen.
Android nennt diesen Bereich Arbeitsprofil, Apple spricht bei iPhones von der Registrierung durch Benutzer. In beiden Fällen sieht die Firma nur die dienstlichen Apps und kann bei Bedarf nur diesen Teil löschen; Fotos, Chats und private Apps bleiben unangetastet. Das ist auch der Punkt, an dem Mitarbeitende zustimmen: Niemand will, dass der Arbeitgeber das ganze Handy löschen kann.
Ohne diese Trennung landen Kundendaten schnell dort, wo sie nicht hingehören. Messenger, die das Adressbuch hochladen, übertragen auch die Nummern von Kunden, die im selben Adressbuch stehen. Festgehalten wird das in einer kurzen Nutzungsregel: welche Apps dienstlich erlaubt sind, wer Updates verantwortet und was beim Ausscheiden mit dem Arbeitsbereich passiert.
Das Gerät kann privat sein. Die Kundendaten darauf sind es nie.
Worauf sollte man beim Kauf neuer Diensthandys achten?
Beim Kauf zählt vor allem, wie lange das Modell noch Sicherheitsupdates bekommt, nicht der Preis von heute. Ein Handy, das nach zwei Jahren keine Updates mehr erhält, muss vorzeitig ersetzt werden oder bleibt angreifbar. Seit dem 20. Juni 2025 hilft dabei eine EU-Regel.
5 Jahre
Sicherheits- und Betriebssystem-Updates müssen Hersteller für Smartphones und Tablets, die seit dem 20. Juni 2025 neu auf den Markt kommen, mindestens liefern, gerechnet ab dem Ende des Verkaufs des Modells. Quelle: Verordnung (EU) 2023/1670 (Ökodesign für Smartphones und Tablets)
Die Pflicht gilt nur für Modelle, die ab diesem Stichtag neu in den Handel gekommen sind. Ältere Geräte, die noch auf Lager liegen, können deutlich kürzere Zusagen haben. Vor dem Kauf deshalb beim Hersteller nachsehen, bis wann das Modell Updates bekommt, und darauf achten, dass es Android Enterprise oder die Apple-Geräteregistrierung unterstützt. Dann lässt es sich vom ersten Tag an im MDM anmelden, statt nachträglich eingerichtet zu werden.
Was tun, wenn ein Diensthandy verloren geht?
Bei einem verlorenen Diensthandy zählt die erste Stunde: Gerät über das MDM sperren, Zugänge zu Mail und Firmenkonten abmelden und die SIM-Karte beim Netzbetreiber sperren lassen. Ist das Gerät nicht wiederzufinden, wird der dienstliche Teil aus der Ferne gelöscht. Ohne MDM bleiben nur die Konten und die SIM, das Gerät selbst ist nicht mehr zu erreichen.
- Melden: Mitarbeitende wissen, wen sie sofort anrufen, auch abends und am Wochenende.
- Sperren: Gerät über das MDM sperren und orten, falls die Ortung freigegeben ist.
- Abmelden: Anmeldungen an Microsoft 365, Mail und anderen Firmenkonten beenden, Passwort ändern.
- SIM sperren: beim Netzbetreiber, damit niemand auf Kosten der Firma telefoniert oder SMS-Codes empfängt.
- Löschen: den dienstlichen Teil löschen, wenn das Gerät nicht innerhalb weniger Stunden auftaucht.
- Datenschutz prüfen: Ob eine Meldung an die Aufsichtsbehörde nötig ist (Art. 33 DSGVO, innerhalb von 72 Stunden), hängt am Risiko für die Betroffenen. Ein verschlüsseltes und gesperrtes Gerät senkt es deutlich; die Entscheidung gehört dokumentiert.
Wie der Ablauf bei einem größeren Vorfall aussieht, beschreibt der IT-Notfallplan für die ersten 24 Stunden. Wo mobile Geräte in der eigenen IT-Sicherheit stehen, prüft der CyberRisikoCheck nach DIN SPEC 27076; er fragt sie ausdrücklich ab. Wie Geräteverwaltung, Firewall und Virenschutz bei HÖLL zusammenspielen, zeigt die Seite IT-Sicherheit von HÖLL.
Checkliste: Diensthandys in den Griff bekommen
In dieser Reihenfolge
- Alle Diensthandys und Tablets mit Modell, Betriebssystem, Update-Stand und Nutzer auflisten, auch Ersatz- und Bereitschaftsgeräte
- Geräte ohne Updates (etwa Android 12 und 13) benennen und den Austausch planen
- Klären, ob private Handys dienstlich genutzt werden, und dafür einen getrennten Arbeitsbereich vorsehen
- Ein MDM auswählen oder das vorhandene (etwa Intune aus Microsoft 365) einrichten lassen
- Die sechs Vorgaben festlegen: Updates, Sperrbildschirm, Verschlüsselung, Arbeitsbereich, Apps, Fernlöschung
- Eine kurze Nutzungsregel schreiben und von allen Nutzern bestätigen lassen
- Festlegen, wen Mitarbeitende bei Verlust oder Ausfall anrufen
- Einmal im Quartal die Geräteliste im MDM auf Nachzügler prüfen
Fazit
Diensthandys sind abgesichert, wenn Updates, Sperre, Verschlüsselung, Arbeitsbereich, Apps und Fernlöschung zentral vorgegeben sind, und das leistet ein Mobile Device Management. Die „SMS des Todes“ war nicht das letzte Mal, dass eine Lücke alle Android-Geräte gleichzeitig betrifft. Wer dann in Minuten sieht, welche Geräte nachhängen, und sie vom Firmennetz aussperren kann, hat aus einer Krise eine Routine gemacht.
Quellen
- BSI – IT-Grundschutz-Kompendium, Bausteine SYS.3.2.1 Allgemeine Smartphones und Tablets und SYS.3.2.2 Mobile Device Management: bsi.bund.de
- Verordnung (EU) 2023/1670 zu Ökodesign-Anforderungen an Smartphones und Tablets, anwendbar seit 20. Juni 2025: eur-lex.europa.eu
- DSGVO Art. 32 (Sicherheit der Verarbeitung) und Art. 33 (Meldung an die Aufsichtsbehörde): eur-lex.europa.eu
- Google – Android Security Bulletin, November 2026: source.android.com
- heise Security – „SMS des Todes“: Sicherheitslücke lässt Android-Smartphones abstürzen (30. Oktober 2026): heise.de
Stand: 11. November 2026.
Häufige Fragen
Braucht ein kleiner Betrieb überhaupt ein MDM?
Ab einer Handvoll Diensthandys ja. Ohne MDM gibt es keine verlässliche Übersicht über den Update-Stand und keine Möglichkeit, ein verlorenes Gerät aus der Ferne zu sperren. Wer Microsoft 365 Business Premium lizenziert hat, besitzt mit Intune schon ein MDM, oft ohne es zu nutzen.
Ist Microsoft Intune ein MDM?
Ja. Intune ist Microsofts Lösung für die Verwaltung von Smartphones, Tablets und PCs und in Microsoft 365 Business Premium enthalten. Es verwaltet Android, iOS, Windows und macOS.
Kann der Arbeitgeber mit MDM private Daten sehen?
Mit einem getrennten Arbeitsbereich nicht. Die Firma verwaltet nur die dienstlichen Apps und Daten in diesem Bereich; Fotos, Nachrichten und private Apps bleiben außerhalb. Auf einem reinen Diensthandy hat die Firma mehr Zugriff, das gehört in die Nutzungsregel.
Darf man WhatsApp auf dem Diensthandy nutzen?
Nur mit Vorsicht: Die App gleicht das Adressbuch ab und überträgt damit auch Nummern von Kunden. Wer sie dienstlich zulässt, sollte sie auf einen getrennten Bereich beschränken oder auf einen Messenger ausweichen, der das Adressbuch nicht hochlädt.
Wie lange bekommen Smartphones Sicherheitsupdates?
Für Modelle, die seit dem 20. Juni 2025 neu auf den EU-Markt kommen, mindestens fünf Jahre ab dem Ende des Verkaufs (Verordnung (EU) 2023/1670). Ältere Modelle haben oft kürzere Zusagen; für Android 12 und 13 liefert Google keine Updates mehr.
