UEM und MDMWerkzeuge.
Unified Endpoint Management und Mobile Device Management führen Geräte, Konfigurationen, Anwendungen und Compliance-Signale zusammen. MDM ist dabei ein Teilbereich; UEM erweitert ihn auf Desktop-Systeme, Anwendungen und den gesamten Gerätelebenszyklus.
Der verlässliche Gerätezustand.
Die Klasse registriert Geräte, verteilt Konfigurationen und Anwendungen und liefert einen kontrollierbaren Zustand für Zugriffsentscheidungen. Sie schafft die operative Grundlage für Device Trust und Endpoint-Hygiene.
EDR erkennt und behandelt Bedrohungen. Patch Management aktualisiert Software. UEM sorgt dafür, dass Geräte bekannt, konfiguriert und verwaltbar sind; es ersetzt diese spezialisierten Disziplinen nicht.
Sollzustand, Istzustand, Abweichung.
Unified Endpoint Management (UEM) ist kein eigenes Protokoll, sondern eine Konsole über den Verwaltungsschnittstellen, die Apple, Google und Microsoft in ihre Betriebssysteme eingebaut haben. Das UEM legt fest, wie ein Gerät aussehen soll (Sollzustand), das Betriebssystem setzt es um und meldet den Istzustand zurück. Bei Apple installiert die Registrierung (Enrollment) ein Enrollment-Profil und eine Client-Zertifikatsidentität, bevorzugt über ACME, alternativ über SCEP. Darüber sendet der Server Befehle und Konfigurationen und fragt Gerätedaten ab. Damit das funktioniert, muss das Gerät den Apple Push Notification Service (APNs) erreichen, und das APNs-Zertifikat des Servers muss gültig sein. Mit Declarative Device Management (DDM) setzt das Gerät den Sollzustand selbstständig durch und meldet Änderungen von sich aus, statt auf Abfragen zu warten[1,2].
Windows hat einen Enrollment-Client und einen Management-Client. Der Management-Client synchronisiert regelmässig mit dem Server über die Protokolle MS-MDE2 und MS-MDM. Einstellungen werden über Configuration Service Provider (CSP) gesetzt, etwa den Policy CSP, und per SyncML übertragen[3,4]. Android Enterprise arbeitet mit Policies, welche die App Android Device Policy auf dem Gerät durchsetzt. Je nach Eigentum wird ein Gerät voll verwaltet (fully managed), als Einzweckgerät (dedicated) betrieben oder erhält nur ein Arbeitsprofil (work profile), das geschäftliche von privaten Daten trennt[5]. Zero-Touch heisst: Hersteller oder Händler ordnen das Gerät schon beim Kauf der Organisation zu, etwa über Automated Device Enrollment (ADE, früher DEP) in Apple Business (bis April 2026 Apple Business Manager), Android Zero-Touch oder Windows Autopilot, sodass es sich beim ersten Start selbst registriert[6].
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Abgelaufene Zertifikate | Ist das APNs-Zertifikat des Servers abgelaufen, erreichen Befehle die Apple-Geräte nicht mehr. Lösung: Zertifikate und Tokens (auch das Server-Token für Apple Business) mit Ablaufdatum und benannter verantwortlicher Person im Betriebskalender führen[1]. |
| Zwei Verwaltungswerkzeuge pro Gerät | Windows lässt nur einen MDM-Server zu, auf Apple-Geräten ist nur ein Enrollment-Profil möglich. Lösung: Migrationen und Co-Management mit klarer Zuständigkeit je Einstellung planen[3]. |
| Patching ohne Rückweg | Automatische Updates von Drittanbieter-Apps bieten nicht immer Rollback oder Ringe. Lösung: Pilotring und Rückfallpaket vor dem breiten Rollout festlegen[7]. |
| Registriert, aber nicht konform | Geräte melden sich nicht mehr oder verfehlen die Baseline, ohne dass jemand reagiert. Lösung: Kennzahl «ohne Kontakt seit 30 Tagen» und automatische Compliance-Aktionen bis zur Zugriffssperre[8]. |
| BYOD und Privatsphäre | Vollverwaltung privater Geräte greift unnötig in private Daten ein. Lösung: Arbeitsprofil statt Vollverwaltung, Fernlöschung nur für geschäftliche Daten[5]. |
Betrieb und Verantwortung
Der Client- oder Workplace-Betrieb führt Plattform, Profile und Update-Ringe. Security legt die Baseline und die Compliance-Regeln für den Zugriff fest, Datenschutz und Personalvertretung beurteilen Fernaktionen und Datenerhebung auf privaten Geräten. Sinnvolle Kennzahlen sind der Anteil registrierter Geräte an allen im Identitätsdienst aktiven Geräten, der Anteil konformer Geräte und die Zeit bis zur Installation kritischer Updates.
Regulatorischer Bezug
ISO/IEC 27001:2022 Annex A verlangt unter anderem 8.1 «User endpoint devices», 8.9 «Configuration management», 8.8 «Management of technical vulnerabilities» und 5.9 «Inventory of information and other associated assets»; UEM liefert dafür Inventar und Nachweise[9]. NIS2 Art. 21 Abs. 2 nennt Schwachstellenbehandlung (lit. e), grundlegende Cyberhygiene (lit. g) und Asset Management (lit. i)[10]. Das BSI beschreibt im IT-Grundschutz-Baustein SYS.3.2.2 «Mobile Device Management (MDM)», Edition 2023, den sicheren Einsatz mobiler Geräte über ein MDM und den sicheren Betrieb des MDM selbst[11].
Quellen: [1] support.apple.com · [2] support.apple.com · [3] learn.microsoft.com · [4] learn.microsoft.com · [5] developers.google.com · [6] apple.com · [7] learn.microsoft.com · [8] learn.microsoft.com · [9] opensecurityarchitecture.org · [10] nis-2-directive.com · [11] bsi.bund.de
Vierzehn Werkzeuge im Vergleich.
Der Markt teilt sich in geräteübergreifende Plattformen, Apple-Spezialisten, Anbieter mit Schwerpunkt auf mobilen und robusten Spezialgeräten sowie klassisches Client-Management mit On-Premises-Herkunft, darunter Anbieter aus dem DACH-Raum. Die Verwaltungsprotokolle geben Apple, Google und Microsoft vor; je Gerät ist nur ein MDM-Server zulässig, was Wechsel und Parallelbetrieb planungsbedürftig macht. Mehrere Anbieter wurden in den letzten Jahren neu aufgestellt: Das frühere VMware-EUC-Geschäft ist seit 1. Juli 2024 als Omnissa im Besitz von KKR, Kandji firmiert seit Oktober 2025 als Iru. Apple-Geräte registrieren sich automatisch über Automated Device Enrollment (ADE, früher DEP) aus Apple Business (bis April 2026 Apple Business Manager, seit 14. April 2026 in Apple Business aufgegangen). Neben reinen Cloud-Diensten wie Microsoft Intune bieten mehrere Hersteller weiterhin On-Premises-Varianten an.
Windows: Windows · macOS: macOS · iOS/Android: iOS oder Android · Patching: Patch-Management Betriebssystem und Drittanbieter · Zero-Touch: Zero-Touch-Bereitstellung · Compliance: Compliance-Regeln · On-Prem: On-Premises möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Microsoft Intune
Microsoft
Verwaltet laut Hersteller Android, iOS/iPadOS, Linux, macOS, tvOS, visionOS und Windows.
Compliance-Richtlinien liefern den Gerätezustand an Microsoft Entra; Conditional Access kombiniert ihn mit Benutzer-, App- und Risikosignalen.
Windows-Updates über Update-Ringe und Feature-/Qualitätsupdate-Richtlinien; Drittanbieter-Apps über Enterprise App Management aus einem Katalog.
Der Dienst läuft vollständig in der Cloud, ohne On-Premises-Infrastruktur; Registrierung über Windows Autopilot, Apple Automated Device Enrollment oder Android Enterprise.
Enge Verbindung von Gerätezustand und Zugriffssteuerung im Microsoft-Entra-Umfeld.
Drittanbieter-Patching über Enterprise App Management erfordert eine Zusatzlizenz; dessen Auto-Update-Funktion bietet laut Dokumentation kein Rollback und keine Rollout-Ringe.
Workspace ONE UEM
Omnissa
Cloud-native UEM-Plattform für Windows, macOS, iOS, Android, Linux und ChromeOS; die FAQ der Produktseite nennt zusätzlich Windows Server.
Compliance-Richtlinien und Conditional Access steuern den Zugriff nach Gerätestatus, Rolle und Risikosignalen; Betriebssystem- und App-Updates lassen sich automatisieren.
Integration mit Apple Business für die automatische Registrierung (ADE) über einen virtuellen MDM-Server.
Konsole als Cloud-Dienst; für On-Premises-Kunden dokumentiert der Hersteller eigene Installations- und Systemeinstellungen.
Breite Plattformabdeckung mit Zugriffssteuerung über Compliance-Richtlinien.
Die Produktseite belegt Drittanbieter-Patching nur allgemein als App-Lifecycle; Umfang im Pilot prüfen.
Ivanti Neurons for MDM
Ivanti
Verwaltet Android, ChromeOS, iOS, iPadOS, macOS, tvOS, visionOS, watchOS und Windows.
Geräte werden auf Konformität geprüft; Zugriff auf E-Mail und Apps erhalten nur konforme Geräte, ergänzt um zertifikatsbasierte Authentisierung.
Automatisierte Registrierung über Apple Business, Android Zero-Touch und Windows Autopilot.
Cloud-Dienst mit regionalen Rechenzentren; zusätzlich eine «Sovereign Edition – EU».
Breite Abdeckung mobiler Plattformen mit allen drei Zero-Touch-Verfahren.
Patch-Management ist auf der Produktseite nicht belegt; client-basiertes Patching bietet Ivanti im separaten Produkt Ivanti Endpoint Manager an.
IBM MaaS360
IBM
Dokumentiert Registrierung und Verwaltung von Windows, macOS (inkl. ADE, bei IBM «DEP») sowie Android- und Apple-Mobilgeräten.
Compliance-Regeln je Plattform mit automatischen Aktionen bei Verstössen; Prüfberichte zu Richtlinien und Regeln.
Android Zero-touch Enrollment und Apple ADE (beim Hersteller «DEP») für die automatische Registrierung; Verteilung von Windows-OS-Patches.
Laut IBM als SaaS angeboten; Patch-Management und Anwendungs-Patching sind je nach Plan unterschiedlich enthalten.
Mobile- und Desktop-Verwaltung aus einer Cloud-Konsole mit dokumentierten Compliance-Regeln.
Patch-Funktionen sind planabhängig: IBM führt unter anderem die Pläne Essentials, Deluxe, Premier und Enterprise und nennt «Granular Patch Management» bei Essentials, «Application Patching» bei Enterprise; der Umfang für Drittanbieter-Software ist im gewählten Plan zu prüfen.
Hexnode UEM
Mitsogo (Hexnode)
Windows, macOS, Android, Apple-Mobilgeräte, Linux, ChromeOS, Apple TV, Android TV, visionOS, Fire OS und Zebra Link OS.
Vordefinierte und eigene Compliance-Richtlinien; Updates für Betriebssystem und Drittanbieter-Apps lassen sich aufschieben und planen.
Zero-Touch-Registrierung über Apple ADE, Samsung Knox, Windows Autopilot und Android Enterprise.
Angeboten als Cloud-Dienst mit Testzugang; eine On-Premises-Variante nennt die Produktseite nicht.
Sehr breite Gerätepalette einschliesslich TV-, Kiosk- und Spezialgeräten.
Betriebsmodell und Datenstandort sind auf der Produktseite nicht beschrieben und im Vertrag zu klären.
NinjaOne Endpoint Management mit MDM
NinjaOne
Android, iOS/iPadOS, Windows, macOS, Linux, virtuelle Maschinen und Netzwerkgeräte in einer Konsole.
Patch-Management für Betriebssystem- und Microsoft-Updates, ergänzt um Drittanbieter-Patching für Windows und macOS.
Automatische Registrierung von Apple-Geräten über Apple Business (ADE); Richtlinienvorlagen für mobile Geräte.
Cloud-Plattform (SaaS); Verwaltung von Endpunkten und Mobilgeräten unter einer Oberfläche.
Verbindet klassisches Endpoint-Management und Patching mit Mobilgeräteverwaltung in einer Plattform.
Gerätebezogene Compliance-Regeln mit Zugriffssteuerung sind auf den geprüften Seiten nicht belegt.
Jamf Pro
Jamf
Mac, iPhone, iPad und Apple TV; Windows und Android gehören nicht zum Umfang.
Den über Smart Groups berechneten Compliance-Status meldet Jamf Pro an Microsoft Entra ID; Conditional Access lässt nur konforme Geräte auf Unternehmensressourcen zu.
Zero-Touch-Bereitstellung für Apple-Geräte; Patch Policies aktualisieren installierte Drittanbieter-Software unter macOS.
Neben dem Cloud-Angebot dokumentiert der Hersteller die Installation auf eigenen Linux- und Windows-Servern.
Tiefe Apple-Verwaltung mit Patch-Workflows für Drittanbieter-Software unter macOS.
Keine Windows- oder Android-Verwaltung; gemischte Flotten brauchen ein zweites Werkzeug. Die Zugriffssperre bei Abweichung setzt Microsoft Entra ID mit Conditional Access voraus; die Compliance-Benchmarks der Produktseite sind Baselines ohne beschriebene Reaktion.
Iru Endpoint (ehemals Kandji)
Iru (ehemals Kandji)
Schwerpunkt Mac, iPhone und iPad; zusätzlich Windows und Android.
Über die Integration Microsoft Device Compliance wendet Iru Compliance-Richtlinien auf verwaltete Geräte an; Conditional Access in Microsoft Entra ID beschränkt den Zugriff auf verwaltete und konforme Geräte.
Auto Apps für mehrere hundert Mac- und Windows-Apps mit geplanten und erzwungenen Updates; Vorlagen bringen Macs auf CIS-Benchmark Level 1 oder 2; Zero-Touch-Einrichtung von Apple-Geräten.
Cloud-Dienst des Herstellers mit selbstaktualisierendem Agenten auf dem Gerät; Betriebssystem-Updates für Apple-Geräte lassen sich automatisieren.
Vorkonfigurierte Sicherheitsbaselines für macOS mit automatisierten App-Updates.
Windows- und Android-Funktionen sind auf der Produktseite weniger detailliert beschrieben als die Apple-Verwaltung; eine eigene Compliance-Regel-Engine mit Reaktionen beschreibt die Produktseite nicht, die Zugriffssperre läuft über Microsoft Entra ID.
BlackBerry UEM
BlackBerry
Verwaltet iOS-, macOS-, Android- und Windows-Geräte.
Compliance-Profile reagieren auf gerootete, gejailbreakte oder auffällige Geräte mit Benachrichtigung, Einschränkung oder Löschung der Arbeits- bzw. aller Daten.
Apple Automated Device Enrollment (beim Hersteller «Device Enrollment Program») und Android Zero-Touch-Enrollment werden unterstützt.
Installation im eigenen Rechenzentrum oder als von BlackBerry über das Internet gehostete UEM Cloud.
Wahlweise vollständig im eigenen Rechenzentrum betreibbar, mit fein abgestuften Compliance-Reaktionen.
Patch-Management für Betriebssystem und Drittanbieter-Software ist in der geprüften Dokumentation nicht belegt.
SOTI MobiControl
SOTI
Android, iOS, macOS, Windows und Linux, einschliesslich robuster Geräte wie Zebra mit Firmware-Updates over the air.
Geofence-basierte Richtlinien und erzwungene Passwortkomplexität; Betriebssystem- und Firmware-Management für Spezialgeräte.
Registrierung über Android Zero-Touch, Apple ADE (beim Hersteller «DEP»), Windows Autopilot, Zebra StageNow, SOTI Stage und Samsung KME.
Betrieb on-premise oder in der Cloud; der Hersteller beschreibt einen Migrationsweg von On-Premises in die Cloud.
Breite Unterstützung von Staging-Verfahren für Logistik-, Handels- und Spezialgeräte.
Eine Compliance-Regel-Engine und Drittanbieter-Patching sind auf der Produktseite nicht beschrieben.
ManageEngine Endpoint Central
ManageEngine (Zoho)
Windows, macOS, Linux, ChromeOS, Android, iOS, iPadOS und tvOS.
Automatisierte Patch-Verteilung für Windows, Mac, Linux und Drittanbieter-Anwendungen; Prüfungen gegen über 130 anpassbare CIS-Benchmarks.
Automatische Massenregistrierung unter anderem über Windows Autopilot und Apple Business.
Als On-Premises-Installation und als Endpoint Central Cloud in mehreren Editionen erhältlich; Conditional Access lässt nur konforme Geräte auf Unternehmensressourcen zu.
Patch-Management für Betriebssysteme und Drittanbieter-Software im selben Werkzeug wie die Geräteverwaltung.
Funktionsumfang unterscheidet sich je Edition und zwischen Cloud- und On-Premises-Variante.
Matrix42 Unified Endpoint Management (Empirum, Silverback)
Matrix42
Empirum für Windows-Clients (Betriebssysteminstallation, Softwareverteilung, Patch Management), Silverback für iOS, iPadOS, macOS und Android Enterprise.
Patch Management erkennt und behebt Schwachstellen in Microsoft- und Nicht-Microsoft-Produkten.
Android Zero-touch Enrollment und die automatische Apple-Registrierung (ADE) über Apple Business sind dokumentiert; Verbindung zur Enterprise Service Management Platform.
Wahlweise On-Premises auf Windows Server mit MS SQL oder als Client Management (Empirum) SaaS.
Anbieter aus dem DACH-Raum mit Client- und Mobile-Management sowie On-Premises-Option.
Compliance-Regeln mit automatischen Reaktionen sind auf der Produktseite nur allgemein genannt und nicht im Detail belegt.
baramundi Management Suite
baramundi software
Windows, Linux, macOS, iOS und Android aus einer Suite; Hersteller mit Sitz in Augsburg.
Automatisierte Patch-Verteilung, Drittanbieter-Anwendungen über das Modul Managed Software, optional Vulnerability Scan.
Betriebssystem-Verteilung und -Konfiguration sowie Co-Management mit Microsoft Intune.
On-Premises oder als von baramundi gehostete Version; der Hersteller nennt integrierte DSGVO-Datenschutzvorkehrungen.
Anbieter aus dem DACH-Raum mit klassischem Client-Management, Patching und Mobile-Management in einer Suite.
Zero-Touch-Verfahren (Autopilot, Apple Business, Android Zero-Touch) und Compliance-Regeln sind auf der Produktseite nicht belegt; Compliance erscheint dort als Berichterstattung.
Fleet
Fleet Device Management
macOS, Windows, Linux, iOS, iPadOS, Android und ChromeOS aus einem Werkzeug.
Mindestversionen und Fristen für Betriebssysteme mit automatischer Korrektur; Live-Prüfungen gegen CIS-Benchmarks oder eigene Baselines; Verschlüsselung über FileVault, BitLocker und LUKS2.
Automatische Registrierung über Apple Business (ADE) und Windows Autopilot mit Entra ID, jeweils in Fleet Premium; Katalog von Fleet gepflegter Apps mit Updates.
Betrieb on-prem, in der Cloud oder air-gapped; Quellcode öffentlich.
Offener Quellcode und Self-Hosting bis air-gapped, mit Linux-Abdeckung.
Zero-Touch und weitere Funktionen gehören zu Fleet Premium; für Autopilot empfiehlt Fleet ein Abonnement mit Intune.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Cisco Meraki Systems Manager: Cloud-verwaltetes Gerätemanagement von Cisco Meraki; Plattformen, Zero-Touch und Compliance auf der Produktseite nicht konkret beschrieben
- Ivanti Endpoint Manager: client-basiertes UEM mit Patch-Add-on und Linux-Abdeckung; als separates Produkt neben Ivanti Neurons for MDM, Zero-Touch und Compliance nicht belegt
- Microsoft Configuration Manager: On-Premises-Client-Management, meist im Co-Management mit Intune; kein eigenständiges Mobile-Management
- HCL BigFix: Schwerpunkt Patch- und Client-Management
- Tanium: Endpoint-Management mit Schwerpunkt Echtzeit-Inventar und Patching
- Mosyle, Addigy: Apple-only-Verwaltung ohne Windows- und Android-Abdeckung
- Google Endpoint Management: an Google Workspace gebunden; für Windows/macOS-Desktopverwaltung begrenzt
- Aagon ACMP: Client-Management aus Deutschland
- Scalefusion, 42Gears SureMDM: UEM/MDM-Anbieter mit Schwerpunkt mobile und dedizierte Geräte
- Absolute Secure Endpoint (inkl. Syxsense): Schwerpunkt Geräteresilienz und Patch/Remediation
Vom Gerät
zum Zugriffssignal.
- Die Registrierung bereits bei der Beschaffung erzwingen (automatische Geräteregistrierung über Hersteller- bzw. Händlerprogramme), damit kein Firmengerät ohne Verwaltung in Betrieb geht.
- Je Betriebssystem eine Sicherheitsbaseline auf Basis anerkannter Härtungsvorgaben (z. B. CIS Benchmarks) festlegen und Abweichungen als Compliance-Status melden.
- Profile in Ringen verteilen: IT-Pilotgruppe, ausgewählte Fachbereiche, dann alle; mit festgelegtem Rückweg pro Ring.
- Die Ausserbetriebnahme als prüfbaren Ablauf regeln: Fernlöschung, Abmeldung aus der Verwaltung und Freigabe zur Wiederverwendung.
- Anteil der im Identity Provider aktiven Geräte, die im UEM registriert sind
- Anteil registrierter Geräte, die der Baseline entsprechen
- Anzahl Geräte ohne Kontakt zum UEM seit mehr als 30 Tagen
Der Workplace- oder Client-Betrieb verantwortet Plattform und Profile; Security definiert Baseline und Compliance-Regeln für den Zugriff. Datenschutz und Personalvertretung beurteilen Fernmassnahmen und Datenerhebung auf BYOD-Geräten.
ISO/IEC 27001:2022 Annex A 8.1 (Endgeräte der Benutzer), 8.9 (Konfigurationsmanagement) und 5.9 (Inventar).
Art. 3 Abs. 2 lit. f DSV verlangt, Betriebssysteme und Anwendungssoftware auf dem neusten Sicherheitsstand zu halten; der Compliance-Status aus dem UEM unterstützt den Nachweis dafür.
Ein verwaltetes Gerät ist nicht automatisch ein vertrauenswürdiges. UEM meldet den konfigurierten Zustand, nicht eine Kompromittierung; Zugriffsentscheide brauchen deshalb auch das Signal aus EDR.
Im echten Gerätemix prüfen.
- Corporate, BYOD und nicht konforme Geräte nachvollziehbar unterscheiden.
- Eine Sicherheitsbaseline auf Windows, macOS und Mobile durchsetzen.
- Geräte-Compliance für eine reale Zugriffsrichtlinie verwenden.
- Rollback, Support und Datenschutz bei Fernmassnahmen durchspielen.
UEM ist die Steuerungsebene für Endgeräte. Die daraus entstehenden Signale fliessen in Access Management, EDR, Vulnerability Management und Patch Management.
Security Tool Navigator · Gebiet 04
Im Gebiet Endpoint und Workspace Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Endpoint und Workspace Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.