Zero-Touch-Deployment: Neue Macs, die sich selbst einrichten

Was Zero-Touch-Deployment bedeutet

Zero-Touch-Deployment ist der Alltagsbegriff für Apples automatische Geräteregistrierung, auf Englisch Automated Device Enrollment. Ein neu gekauftes Gerät ist Ihrem Unternehmen in Apple Business zugewiesen. Beim ersten Start fragt es bei Apple nach, erkennt die Zuweisung und verbindet sich mit Ihrem Verwaltungsdienst.

Die IT muss das Gerät dafür nicht auspacken. Es wird direkt an die Person geschickt, die es nutzt, ins Büro oder ins Homeoffice.

Voraussetzungen

• Apple Business: Ihr Unternehmen ist registriert, früher hieß das Apple Business Manager.
• Berechtigte Käufe: Die Geräte wurden bei Apple oder einem teilnehmenden autorisierten Händler auf Ihr Unternehmen gekauft, und der Händler ist mit Apple Business verknüpft.
• Verwaltungsdienst: ein MDM wie Mosyle, Jamf oder Iru oder die in Apple Business eingebaute Verwaltung.
• Zuweisung: In Apple Business ist festgelegt, welcher Dienst neue Geräte automatisch erhält.
• Internet beim ersten Start: Das Gerät braucht beim Einrichten eine Verbindung, per WLAN oder Kabel.

So läuft die Einrichtung ab

1. Sie bestellen das Gerät beim verknüpften Händler. Die Seriennummer erscheint automatisch in Apple Business.
2. Apple Business weist das Gerät Ihrem Verwaltungsdienst zu.
3. Die Mitarbeiterin schaltet den Mac ein und verbindet ihn mit dem Internet.
4. Der Mac erkennt die Zuweisung und zeigt einen Hinweis zur Verwaltung durch Ihr Unternehmen.
5. Je nach Einstellung meldet sie sich mit ihrem Firmenkonto an, zum Beispiel über Microsoft Entra ID oder Google Workspace.
6. Apps, WLAN-Profile, Drucker, Verschlüsselung und Sicherheitsrichtlinien werden automatisch installiert.
7. Unnötige Schritte des Einrichtungsassistenten blenden Sie über das MDM aus.

Warum das sicherer ist als manuelle Einrichtung

Automatisch registrierte Geräte sind betreut (supervised). Das erlaubt strengere Vorgaben als bei privaten Geräten. Vor allem lässt sich die Verwaltung nicht einfach entfernen: Auch wenn jemand das Gerät zurücksetzt, meldet es sich beim nächsten Start wieder bei Ihrem Verwaltungsdienst an.

Bei Verlust oder Diebstahl ist das entscheidend. Das Gerät bleibt Ihrem Unternehmen zugeordnet und lässt sich sperren oder löschen. Die Aktivierungssperre verwalten Sie zentral, statt dass sie an einer privaten Apple-ID hängt.

Geräte nachträglich aufnehmen

Geräte aus privaten Käufen, aus dem Elektronikmarkt oder von nicht verknüpften Händlern erscheinen nicht automatisch. Mit Apple Configurator nehmen Sie iPhones, iPads und Macs trotzdem in Apple Business auf.

Geräte zurücknehmen und neu ausgeben

Verlässt jemand das Unternehmen, löschen Sie das Gerät aus der Ferne. Es startet danach wieder im Einrichtungsassistenten und meldet sich beim nächsten Start erneut an. Für iPhone und iPad gibt es seit iOS und iPadOS 17 zusätzlich „Return to Service“: Das Gerät verbindet sich nach dem Löschen selbst mit dem WLAN und richtet sich ohne Eingriff wieder ein.

Typische Stolperfallen

• Händler nicht verknüpft: Prüfen Sie vor der Bestellung, dass Ihr Händler Ihre Organisations-ID kennt.
• Keine Standardzuweisung: Ohne festgelegten Dienst landen neue Geräte zwar in Apple Business, aber nicht im MDM.
• Gäste-WLAN mit Anmeldeseite: Captive Portals blockieren die Einrichtung. Nutzen Sie ein normales WLAN oder ein Kabel.
• Zu viele Apps beim ersten Start: Große Pakete verzögern die Einrichtung. Installieren Sie Wichtiges zuerst, den Rest danach.
• Kein Pilot: Testen Sie jede Änderung an Einrichtungsprofilen mit einem Gerät, bevor Sie sie für alle aktivieren.