Was MDM leistet
MDM arbeitet über einen Verwaltungsagenten oder ein integriertes Protokoll, das jedes Gerät mit einem zentralen Server verbindet. Sobald ein Gerät registriert ist, kann der Administrator Richtlinien anwenden und Aktionen aus der Ferne durchführen, ohne physischen Zugriff zu benötigen. Eine vollständige MDM-Bereitstellung deckt typischerweise mehrere Funktionen ab:
- Registrierung — Aufnahme eines Geräts in die Verwaltung, entweder unternehmenseigen (oft betreut, über Programme wie Apple Business Manager oder Android Enterprise) oder im Privatbesitz (BYOD).
- Konfigurationsprofile — Ausspielen von WLAN-, VPN-, E-Mail- und Zertifikatseinstellungen, damit Geräte konsistent und sicher bereitgestellt werden.
- Richtliniendurchsetzung — Erzwingen eines Passcodes definierter Komplexität, Vorschreiben der Datenträgerverschlüsselung, Deaktivieren riskanter Funktionen und Festlegen von Timeouts für die Bildschirmsperre.
- Anwendungsverwaltung — Verteilen genehmigter Apps, Entfernen oder Sperren anderer und Verwalten von Lizenzen über einen Unternehmens-App-Katalog.
- Compliance-Prüfungen — kontinuierliche Bewertung des Gerätezustands (OS-Version, Jailbreak-/Root-Status, Verschlüsselungsstatus) sowie Markieren oder Isolieren von Geräten, die von der Richtlinie abweichen.
- Fernaktionen — Sperren, Lokalisieren oder Löschen eines Geräts sowie selektives Entfernen von Unternehmensdaten, während persönliche Daten auf BYOD-Hardware unangetastet bleiben.
Das Wertversprechen ist Zentralisierung: Statt darauf zu vertrauen, dass jeder Nutzer sein eigenes Gerät konfiguriert und absichert, definiert die Organisation die Richtlinie einmal und setzt sie über die gesamte Geräteflotte hinweg durch.
MDM, MAM und UEM
MDM ist ein Punkt auf einem breiteren Spektrum des Endpoint-Managements, und die Begriffe werden oft unscharf verwendet. Die Unterschiede sind entscheidend, wenn es darum geht, festzulegen, was Sie tatsächlich kontrollieren.
Mobile Application Management (MAM)
MAM verwaltet Unternehmensanwendungen und deren Daten statt des gesamten Geräts. Es kann Richtlinien auf App-Ebene durchsetzen — einen separaten PIN zum Öffnen einer Arbeits-App verlangen, Kopieren und Einfügen zwischen verwalteten und nicht verwalteten Apps verhindern oder nur die Daten von Unternehmens-Apps löschen. MAM eignet sich gut für BYOD, wo Nutzer sich gegen eine vollständige Geräteregistrierung wehren, weil diese dem Arbeitgeber Kontrolle über ihr privates Telefon gibt.
Unified Endpoint Management (UEM)
UEM erweitert die Geräteverwaltung über Mobilgeräte hinaus auf eine einzige Konsole, die Laptops, Desktops, Mobilgeräte und mitunter IoT und Wearables abdeckt. Es übernimmt die Fähigkeiten von MDM und MAM und ergänzt plattformübergreifende Richtlinien, Patch-Management und ausführlicheres Reporting. UEM ist die Richtung, in die sich die meisten Enterprise-Suiten konsolidiert haben.
Wie sie zusammenhängen
| MAM | MDM | UEM | |
|---|---|---|---|
| Kontrolleinheit | Einzelne Unternehmens-Apps und -Daten | Das gesamte Mobilgerät | Alle Endpunkte — Mobil, Desktop, IoT |
| Typischer Einsatz | BYOD, externe Kräfte, leichter Footprint | Unternehmenseigene Smartphones/Tablets | Gemischte Flotten mit einer Konsole |
| Auswirkung auf Nutzer | Gering — persönliche Daten unberührt | Hoch — geräteweite Richtlinie | Variiert je nach Registrierungsart |
| Remote-Löschung | Nur Daten von Unternehmens-Apps | Vollständig oder selektiv | Vollständig oder selektiv, je Endpunkt |
| AI-Aktivitäts-Einblick | Keiner | Keiner | Keiner |
Alle drei verwalten den Container — die App, das Gerät oder den Endpunkt. Keiner von ihnen sieht oder regelt, was innerhalb eines AI-Tools geschieht, sobald es läuft.
Wo MDM endet: die Lücke bei der AI-Interaktion
MDM ist unverzichtbar für die Gerätehygiene, aber sein Modell geht davon aus, dass das Risiko im Gerät, im App-Inventar und in der Netzwerkkonfiguration liegt. AI verlagert das Risiko auf eine Schicht, für deren Prüfung MDM nie konzipiert war: den Inhalt der Interaktion zwischen einem Mitarbeiter (oder einem autonomen Agenten) und einem AI-Modell.
MDM kann entscheiden, ob eine AI-App installiert ist. Es kann nicht sehen, was ein Mitarbeiter in diese App eingibt, welche Daten in einen Prompt eingefügt werden oder worauf ein AI-Agent zugreift und was er sendet, sobald er läuft. Die folgenreichsten AI-Ereignisse — eine in einen Chatbot eingefügte Kundenliste, ein von einem Assistenten zusammengefasster vertraulicher Vertrag, ein Agent, der eine externe API mit sensiblen Argumenten aufruft — sind für eine Geräteverwaltungskonsole unsichtbar.
Drei strukturelle Grenzen machen diese Lücke für MDM dauerhaft:
- Kein Einblick in Inhalte. MDM regelt Konfiguration und App-Präsenz, nicht Prompt-Text, Modell-Antworten oder Tool-Call-Argumente. Diese wandern als verschlüsseltes HTTPS zu Drittanbieter-AI-Diensten; die Geräteverwaltung sieht eine installierte App, nicht die Konversation.
- Nur binäre App-Kontrolle. Eine AI-App vollständig zu blockieren ist zu grob — es drängt Mitarbeiter auf private Geräte und nicht verwaltete Kanäle. Sie zu erlauben lässt die Interaktion ungeregelt. In MDM gibt es keine Zwischeneinstellung für „erlaubt, aber geprüft".
- Begrenzte BYOD-Reichweite. Auf Geräten im Privatbesitz lehnen Mitarbeiter oft die vollständige Registrierung ab, und Datenschutzerwartungen schränken zu Recht ein, was der Arbeitgeber überwachen darf. Die Reichweite von MDM verengt sich genau dort, wo nicht verwaltete AI-Nutzung am wahrscheinlichsten ist.
Die fehlende Kontrolle ist nicht eine bessere Geräteverwaltung — es ist eine Governance-Schicht, die die AI-Interaktion selbst prüft und Richtlinien darauf durchsetzt, unabhängig davon, ob das Gerät registriert ist.
Was eine AI-Interaktionsschicht zusätzlich zu MDM bietet
Die Governance auf AI auszuweiten ersetzt MDM nicht; es ergänzt es. MDM hält das Gerät sicher und konform; eine AI-Interaktionsschicht regelt, was AI-Tools tun, sobald sie auf diesem Gerät laufen:
- AI-Tool-Freigabe/-Sperrung per Richtlinie — Festlegen, welche AI-Anwendungen und -Modelle für welche Rollen zulässig sind, statt eines einzigen flottenweiten Ein/Aus-Schalters.
- Prompt-Prüfung — Erkennung sensibler Inhalte in einem Prompt, bevor er an ein Modell übermittelt wird, mit Schwärzung oder Blockierung bei Richtlinientreffer.
- Governance von Antworten und Agenten — Prüfung der Modell-Ausgaben, bevor sie den Nutzer erreichen, und Prüfung der Tool-Calls von Agenten, bevor sie ausgeführt werden.
- Audit — Erfassung von AI-Interaktionen in einem manipulationssicheren Trail, auch bei BYOD, beschränkt auf unternehmensbezogene AI-Aktivität statt auf das private Gerät des Nutzers.
MDM beantwortet „Ist dieses Gerät sicher und konform?" Die AI-Interaktionsschicht beantwortet „Ist diese AI-Nutzung auf dem Gerät sicher und nachvollziehbar?" — eine Frage, die MDM nicht erreichen kann.
