Mobile Device Management für KMU: Smartphones und Tablets richtig absichern

Smartphones und Tablets gehören heute zum Arbeitsalltag in jedem Betrieb – ob Außendienstler mit Firmen-iPhone, Mitarbeiter der per privatem Android E-Mails abruft oder Lagerleiter mit dem Tablet für die Bestandserfassung. Was viele KMU dabei übersehen: Jedes mobile Gerät mit Zugriff auf Unternehmensdaten ist ein potenzielles Einfallstor für Angreifer. Mobile Device Management (MDM) schafft hier Kontrolle – und ist längst kein reines Enterprise-Thema mehr.

Warum MDM für KMU jetzt unverzichtbar wird

Im Juni 2026 wurden kritische Sicherheitslücken in Ivanti Endpoint Manager Mobile (EPMM) bekannt, die Root-Angriffe auf verwaltete Smartphones ermöglichen. Das zeigt exemplarisch: Mobile Geräte stehen aktiv im Visier von Angreifern, und ungepatchte MDM-Systeme – oder das völlige Fehlen eines solchen – machen Unternehmen jeder Größe verwundbar.

Die Risiken sind vielfältig:

• Verlorene oder gestohlene Geräte enthalten oft unverschlüsselte Kundendaten, Zugangsdaten und E-Mail-Historien
• Private Geräte im BYOD-Betrieb (Bring Your Own Device) haben keine einheitliche Sicherheitskonfiguration
• Veraltete Betriebssysteme auf Smartphones bleiben häufig unbemerkt, weil kein zentrales Patching existiert
• Schadhafte Apps aus inoffiziellen Quellen können Zugangsdaten oder Firmen-E-Mails abgreifen

Das BSI stuft mobile Endgeräte als einen der am häufigsten unterschätzten Angriffsvektoren im Mittelstand ein. Für KMU in Sachsen und Ostdeutschland gilt das genauso wie für Großkonzerne – nur dass die IT-Ressourcen knapper sind und ein einzelner Sicherheitsvorfall schwerer wiegt.

Was Mobile Device Management konkret leistet

Ein MDM-System ist eine zentrale Verwaltungskonsole, über die Administratoren alle mobilen Endgeräte im Unternehmen überwachen und steuern können – unabhängig davon, ob iOS, Android oder Windows Mobile im Einsatz ist.

Kernfunktionen im Überblick

Geräteinventar und Sichtbarkeit Alle registrierten Geräte sind in einer zentralen Übersicht erfasst: welches Betriebssystem läuft, wann zuletzt ein Update eingespielt wurde, wer das Gerät nutzt und ob es compliant ist.

Remote Wipe (Fernlöschung) Wird ein Gerät gestohlen oder ein Mitarbeiter verlässt das Unternehmen, können alle Firmendaten aus der Ferne gelöscht werden – wahlweise nur der Firmen-Container oder das komplette Gerät.

Policy-Durchsetzung MDM-Systeme erzwingen Sicherheitsrichtlinien automatisch: PIN-Pflicht, Bildschirmsperre nach definierten Sekunden, Verbot von Jailbreak- und Root-Geräten, Verschlüsselung des internen Speichers.

App-Verwaltung Firmeneigene Apps können automatisch ausgerollt, aktualisiert und bei Bedarf deinstalliert werden. Bestimmte Apps lassen sich auf Firmengeräten blocken oder auf eine Allowlist beschränken.

VPN-Konfiguration Automatischer Aufbau von VPN-Verbindungen (z. B. WireGuard oder IPsec) beim Verbinden mit externen Netzen – ohne dass Mitarbeiter selbst aktiv werden müssen.

BYOD-Container Mit Container-Lösungen werden private und geschäftliche Daten auf demselben Gerät strikt getrennt. Der Arbeitgeber hat ausschließlich Zugriff auf den Firmenteil, nicht auf private Fotos oder Nachrichten.

Die wichtigsten MDM-Lösungen für KMU

Microsoft Intune

Für KMU, die bereits Microsoft 365 nutzen, ist Intune die naheliegende Wahl. Es ist im Business-Premium-Tarif enthalten und lässt sich direkt aus dem Microsoft 365 Admin Center einrichten.

Stärken: Nahtlose Integration mit Azure AD und Exchange Online, solide BYOD-Unterstützung, Conditional Access (Gerät muss compliant sein, bevor E-Mails abgerufen werden können)
Schwächen: Komplexe Benutzeroberfläche – für kleine Teams ohne IT-Fachmann allein schwer zu bedienen

Jamf (macOS/iOS-Fokus)

Unternehmen, die ausschließlich Apple-Geräte einsetzen, sind mit Jamf gut bedient. Jamf Now ist eine günstige Cloud-Variante speziell für kleinere Teams.

Stärken: Sehr tiefe Apple-Integration, einfaches Setup für iPhones und Macs, Apple Business Manager-Anbindung
Schwächen: Ausschließlich Apple-Geräte – kein Android-Support

Open-Source: Headwind MDM und Fleet

Wer keine laufenden SaaS-Kosten möchte und Daten lieber selbst hostet, kann auf quelloffene Lösungen setzen. Headwind MDM (Android-fokussiert) und Fleet (macOS, Linux, Windows) laufen auf einem eigenen Server.

Stärken: Keine Lizenzkosten, volle Datensouveränität, DSGVO-konform ohne Cloud-Abhängigkeit
Schwächen: Höherer Einrichtungsaufwand, Wartung und Updates liegen beim Betreiber

Für ostdeutsche KMU, die Wert auf Datenschutz und Unabhängigkeit von US-Cloud-Diensten legen, ist der Self-Hosting-Ansatz oft die bessere Wahl – besonders wenn bereits ein eigener Linux-Server vorhanden ist.

MDM einführen: Schritt für Schritt

1. Inventur der mobilen Geräte

Welche Geräte gibt es? Firmeneigene iPhones, private Android-Geräte mit E-Mail-Zugriff, Tablets im Lager? Erst wenn das klar ist, lässt sich die richtige Lösung auswählen.

2. MDM-Lösung auswählen und Infrastruktur aufsetzen

Basierend auf den eingesetzten Betriebssystemen und vorhandener Infrastruktur eine Lösung wählen und das Backend einrichten – entweder als Cloud-Dienst oder auf einem eigenen Server in Dresden oder Sachsen.

3. Geräte enrollen (registrieren)

Für Firmengeräte empfiehlt sich Zero-Touch-Enrollment über Apple Business Manager oder Android Enterprise. BYOD-Geräte werden per Einladungslink durch die Mitarbeiter selbst registriert.

4. Sicherheitsrichtlinien definieren und ausrollen

Mindest-PIN-Länge, automatische Sperre, erlaubte Apps, VPN-Konfiguration – diese Policies werden automatisch an alle registrierten Geräte übertragen.

5. Mitarbeiter informieren

Eine MDM-Einführung berührt die Privatsphäre – gerade bei BYOD. Transparente Kommunikation darüber, was der Arbeitgeber sehen kann und was nicht, ist Pflicht und schafft Akzeptanz.

6. Regelmäßige Compliance-Checks

Im MDM-Dashboard regelmäßig prüfen: Welche Geräte laufen mit veralteten Betriebssystemen? Welche sind seit Wochen offline? Das sind Warnsignale für Sicherheitsprobleme oder verlorene Geräte.

NIS2 und mobile Endgeräte

Für KMU, die unter die NIS2-Richtlinie fallen – etwa als Betreiber kritischer Dienstleistungen oder als Lieferanten großer Unternehmen – ist Mobile Device Management kein optionales Extra mehr. NIS2 fordert explizit ein Management aller Endgeräte als Teil der IT-Sicherheitsstrategie. Das Fehlen einer MDM-Lösung kann bei einem Sicherheitsvorfall als Organisationsverschulden gewertet werden.

Unternehmen in Sachsen sollten zudem prüfen, ob staatliche Förderprogramme für IT-Sicherheitsmaßnahmen in Anspruch genommen werden können – eine MDM-Einführung ist häufig förderfähig.

Unterstützung in Dresden gesucht?

Rexoma IT betreut KMU und Startups in Dresden und ganz Sachsen bei der Einführung und Betreuung von MDM-Lösungen. Ob Microsoft Intune im Rahmen Ihrer bestehenden Microsoft 365-Umgebung, eine selbst gehostete Open-Source-Lösung oder eine vollständige Mobile-Security-Strategie – wir richten die Lösung passend zu Ihrer Betriebsgröße und Ihrem Budget ein.

Jetzt Kontakt aufnehmen

FAQ: Mobile Device Management für KMU

Was kostet MDM für ein kleines Unternehmen?
Microsoft Intune ist in Microsoft 365 Business Premium enthalten. Jamf Now startet bei ca. 4 USD pro Gerät und Monat. Open-Source-Lösungen auf eigenem Server verursachen nur Server- und Einrichtungskosten ohne laufende Lizenzgebühren.

Kann der Arbeitgeber bei BYOD private Nachrichten lesen?
Nein. Bei korrekter Implementierung mit Container-Lösung sieht der Arbeitgeber ausschließlich den Firmenteil des Geräts. Private Fotos, Chats und Apps sind nicht einsehbar und werden auch nicht berührt.

Müssen Mitarbeiter MDM auf privaten Geräten akzeptieren?
Die Teilnahme ist freiwillig. Der Arbeitgeber kann jedoch den Zugriff auf Firmendaten – E-Mail, Intranet, Filesharing – davon abhängig machen, ob ein Gerät im MDM registriert ist.

Was passiert wenn ein Mitarbeiter das Unternehmen verlässt?
Per Remote-Wipe werden alle Firmendaten sofort vom Gerät entfernt. Bei BYOD-Geräten wird nur der Firmen-Container gelöscht, private Daten bleiben unangetastet. Bei Firmengeräten kann das komplette Gerät zurückgesetzt werden.

Ist MDM auch für einen 5-Personen-Betrieb sinnvoll?
Ja – gerade kleine Betriebe haben oft keine dedizierte IT und damit keine Kontrolle über mobile Geräte. Ein einziges verlorenes Firmen-Smartphone mit unverschlüsselten Kundendaten kann teuer werden: DSGVO-Meldepflicht, Reputationsschaden und mögliche Bußgelder sind reale Risiken auch für Kleinstbetriebe.