Geräte, die sich beim ersten Einschalten selbst in Intune registrieren und einsatzbereit sind: Das leistet die automatische Geräteregistrierung (Automated Device Enrollment, ADE, früher DEP) mit Apple Business (früher „Apple Business Manager“, kurz ABM) und Microsoft Intune.

Kurzfassung: ABM-Konto auf business.apple.com mit gültiger D-U-N-S-Nummer registrieren und verifizieren lassen. Mindestens zwei Administratoren mit Firmen-Apple-Account anlegen. In Intune ein Apple-MDM-Push-Zertifikat (APNs) erstellen, danach den ADE-Token-Austausch durchführen: Intune liefert den Public Key (.pem), ABM gibt das Server-Token (.p7m) zurück. Enrollment-Profil mit „Setup Assistant with modern authentication“ und Supervised-Modus erstellen, als Default-Policy setzen. Reseller über Organization ID verknüpfen und einen Standard-MDM-Server in ABM hinterlegen, damit jedes neue Gerät automatisch bei Intune landet. Apps & Books (VPP) per Location-Token einbinden. Alle drei Token (APNs, ADE, VPP) laufen nach 365 Tagen ab und müssen jährlich mit derselben Apple-ID erneuert werden.

Voraussetzungen: Lizenzen, Rollen und Token

ADE funktioniert nur mit neuen oder werksseitig zurückgesetzten Firmengeräten. Außerdem brauchen Sie:

Lizenz: mindestens Microsoft Intune Plan 1 (enthalten in Microsoft 365 E3/E5, EMS E3/E5 und Microsoft 365 Business Premium); für tvOS und visionOS Intune Plan 2.
D-U-N-S-Nummer: Pflicht zur ABM-Verifizierung, neunstellig und standortbezogen. Neubeantragung bei D&B bis zu 5 Werktage, plus bis zu 2 Werktage bis Apple die Daten hat.
Firmen-Apple-Account: überwachte Funktionsadresse bzw. Verteiler (z. B. apple-admin@ihre-firma.de), niemals eine persönliche Apple-ID. Sie hängt an allen Token; geht sie beim Austritt verloren, verlieren Sie die Kontrolle über die Token.
Drei Token: APNs/MDM-Push-Zertifikat, ADE-/Enrollment-Programm-Token (.p7m) und VPP-/Location-Token, je 365 Tage gültig und jährlich zu erneuern.

Die ABM-Rollen sind standortbasiert; ein Nutzer kann je Standort eine andere Rolle haben:

Rolle	Darf u. a.
Administrator	Vollzugriff inkl. MDM-Server, Token, Geräte- und Lizenzverwaltung
Device Enrollment Manager	Geräte einem MDM-Server zuweisen, Setup-Schritte überspringen
Content Manager	App- und Buch-Lizenzen (Apps & Books) kaufen und verwalten
People Manager	Benutzer und verwaltete Apple-Accounts verwalten
Manager	Eingeschränkter Lesezugriff je nach Standort

Geräte zuweisen dürfen nur Administratoren und Device Enrollment Manager. Legen Sie mindestens zwei Administratoren an, damit Sie beim Ausfall einer Person handlungsfähig bleiben.

Schritt 1: ABM-Konto anlegen und verifizieren lassen

Hinweis: Apple hat 2026 Apple Business, Apple Business Essentials und Apple Business Connect zu „Apple Business“ zusammengeführt. URL business.apple.com und Funktionen bleiben; alte und neue Namen tauchen gemischt auf.

business.apple.com
  > Jetzt registrieren (Enroll now)
  > Firmendaten + gueltige D-U-N-S-Nummer eingeben (Lookup/Beantragung verlinkt)
  > Verifizierungskontakt angeben:
      Name / Geschaeftstitel / Telefon / Arbeits-E-Mail
      (z. B. Geschaeftsfuehrung, CTO oder CFO)
  > absenden

Apple prüft den Antrag manuell (E-Mail „Your enrollment is in review“) und kontaktiert die Verifizierungsperson telefonisch oder per E-Mail. Planen Sie einige Tage ein.

Verifizieren: Nach der Freigabe erhalten Sie eine Bestätigungs-E-Mail von Apple, und die Anmeldung auf business.apple.com mit dem Administrator-Account zeigt die Organisation mit ihrem Namen und ohne Hinweis auf eine laufende Prüfung.

Schritt 2: Administratoren und Rollen vergeben

Nach der Freischaltung legen Sie weitere Administratoren an.

business.apple.com
  > Accounts / Nutzer (People)
  > Nutzer auswaehlen oder hinzufuegen
  > Rolle zuweisen:
      Administrator | People Manager | Device Enrollment Manager
      | Content Manager | Manager

Empfehlung: zweiter Administrator auf Basis eines Verteilers, ein Device Enrollment Manager für die Gerätezuweisung und ein Content Manager für App-Lizenzen.

Verifizieren: In der Benutzerliste von business.apple.com stehen mindestens zwei Accounts mit der Rolle Administrator, jeder mit dem vorgesehenen Standort.

Schritt 3: APNs/MDM-Push-Zertifikat in Intune erstellen

Ohne gültiges Apple-MDM-Push-Zertifikat (APNs) kann Intune kein Apple-Gerät verwalten.

intune.microsoft.com
  > Geraete (Devices)
  > Geraeteonboarding (Device onboarding)
  > Registrierung (Enrollment)
  > Tab Apple
  > Apple MDM Push Certificate
  > I agree
  > Download your CSR  (CSR-Datei sichern)
  > Create your MDM push Certificate
      (oeffnet identity.apple.com / Apple Push Certificates Portal)
      > mit Firmen-Apple-ID anmelden
      > Create a Certificate
      > CSR hochladen
      > .pem herunterladen
  > zurueck in Intune: Apple-ID eintragen + .pem hochladen

Wichtig: Notieren Sie die verwendete Apple-ID. Das APNs-Zertifikat ist 365 Tage gültig (plus 30 Tage Kulanzfrist) und muss jährlich mit genau dieser Apple-ID erneuert werden. Wird es mit einer anderen Apple-ID erneuert, müssen alle Geräte neu registriert werden.

Verifizieren: Unter Geräte, Registrierung, Apple, Apple MDM Push Certificate zeigt Intune den Status „Aktiv“, die verwendete Apple-ID und ein Ablaufdatum rund ein Jahr in der Zukunft.

Schritt 4: ADE-Token-Austausch zwischen Intune und ABM

Der Ablauf hat drei Teile: Intune liefert einen Public Key, ABM gibt dafür ein Server-Token zurück, das Sie in Intune hochladen.

Teil A: Public Key in Intune herunterladen

intune.microsoft.com
  > Devices > Enrollment
  > Tab Apple mobile
  > Bulk Enrollment Methods: Enrollment program tokens
  > Add
  > I agree
  > Download the Intune public key certificate required to create the token
      (.pem speichern)

Lassen Sie den Intune-Tab während des gesamten Vorgangs geöffnet. Wird er nach dem Public-Key-Download geschlossen, ist das Zertifikat ungültig, der Create-Button bleibt ausgegraut und Sie beginnen von vorn.

Teil B: MDM-Server in ABM anlegen und Token holen

In Intune: Link Create a token via Apple Business anklicken
  > in ABM mit Firmen-Apple-ID anmelden
  > Account-Profil > Preferences/Einstellungen
  > MDM Server Assignments
  > MDM-Server hinzufuegen
      > Name vergeben (z. B. Intune-Produktiv)
      > Intune-Public-Key (.pem) hochladen
      > speichern
  > Server-Token (.p7m) herunterladen

Teil C: Server-Token in Intune hochladen

zurueck in Intune (Tab weiterhin offen)
  > Apple ID eintragen (dieselbe, mit der das .p7m geladen wurde)
  > Apple token: .p7m-Datei waehlen > Open
  > Create

Danach synchronisiert Intune die ABM-Geräte automatisch etwa alle 12 Stunden (Delta); manuell höchstens alle 15 Minuten.

Verifizieren: Unter Enrollment program tokens erscheint das neue Token mit Status „Aktiv“ und Ablaufdatum. Nach einem Sync listet der Token-Bereich Devices die Seriennummern, die in ABM diesem MDM-Server zugewiesen sind.

Schritt 5: Enrollment-Profil erstellen und als Standard setzen

Das Enrollment-Profil bestimmt Authentifizierung, Supervised-Modus, angezeigte Setup-Assistant-Bildschirme und Gerätenamen. ADE-Geräte sind standardmäßig supervised; ab iOS/iPadOS 13.0 ohnehin automatisch.

intune.microsoft.com
  > Devices > Device onboarding > Enrollment
  > Tab Apple mobile > Enrollment program tokens
  > Token waehlen > Enrollment policies > Create policy > iOS/iPadOS
      Basics:        Name + Beschreibung
      User Affinity: Enroll with User Affinity (empfohlen)
      Auth:          Setup Assistant with modern authentication
      Supervised:    Yes
      Locked enrollment: Yes  (Pflicht bei Entra Shared Mode)
      Await final configuration: Yes
      Device Name Template (optional): {{DEVICETYPE}}-{{SERIAL}}
      Setup-Assistant-Screens: ausblenden/zeigen nach Bedarf
  > Create

Setzen Sie die Policy als Standard, damit jedes neue Gerät dieses Tokens sie erhält:

Token > Set Default Policy > Policy waehlen > Save

# Alternativ manuell pro Geraet:
Token > Devices > Geraete markieren > Assign policy > Policy waehlen > Assign

Wählen Sie „Setup Assistant with modern authentication“: Nur diese Variante unterstützt MFA und Just-in-Time-Registrierung. Das Gerätename-Template darf maximal 63 Zeichen lang sein. Das Standard-MDM-Profil erhält beim Enrollment ein ACME-Zertifikat (ab iOS 16.0 / iPadOS 16.1), sicherer als das frühere SCEP.

Die Enrollment-Policy muss dem Gerät vor dem Einschalten zugewiesen sein, sonst schlägt ADE fehl. Änderungen an einer bestehenden Policy greifen erst nach Werksreset und erneuter Aktivierung; einzige Ausnahme ist das Gerätename-Template (nächster Check-in).

Verifizieren: In der Token-Übersicht steht die neue Policy als Default-Profil. Ein Testgerät aus dem Token zeigt in der Geräteliste unter „Profilstatus“ den Eintrag „Zugewiesen“ und den Namen der Policy.

Schritt 6: Reseller verknüpfen und Standard-MDM-Server setzen

Geräte, die Sie bei Apple oder einem Apple Authorized Reseller/Carrier kaufen, erscheinen automatisch in ABM, sofern der Lieferant mit Ihrer Organisation verknüpft ist.

business.apple.com
  > Settings/Einstellungen
  > Geraeteverwaltung / Device Management Settings
  > Customer Numbers / Reseller IDs
      > Apple Customer Number + ABM/DEP Reseller ID des Lieferanten eintragen
      > mit Standort verknuepfen
  > Organization ID (eindeutige ABM-Kennung) dem Reseller mitteilen,
    damit gekaufte Seriennummern automatisch erscheinen

Neu gekaufte Geräte automatisch Ihrem Intune-Server zuweisen:

business.apple.com
  > Devices/Geraete
  > Device Assignment / Default Device Assignment
  > pro Geraetetyp den Standard-MDM-Server (Intune) waehlen
  > Save

Einzelne Geräte ordnen Sie manuell per Seriennummer oder Bestellnummer zu:

business.apple.com
  > Devices/Geraete
  > Geraete (per Seriennummer/Bestellnummer) auswaehlen
  > Edit Device Management / Edit MDM Server
  > Intune-MDM-Server waehlen

Damit landet ein neu bestelltes iPhone ohne weiteren Handgriff in Intune.

Verifizieren: In ABM zeigt ein neu gekauftes Gerät als zugewiesenen MDM-Server Ihren Intune-Server. Nach dem nächsten Sync (oder einem manuellen Sync in Intune) erscheint die Seriennummer unter Enrollment program tokens, Devices.

Schritt 7: Apps & Books (VPP) für Volumenlizenzen einbinden

Über Apps & Books (Volume Purchase Program, VPP) kaufen Sie App-Lizenzen in Stückzahl und verteilen sie per Intune, ohne App-Store-Login der Nutzer. Location-Token in ABM herunterladen:

business.apple.com
  > Name/Account > Preferences/Einstellungen
  > Payments and Billing > Apps and Books
  > Content Tokens
  > Download  (.vpptoken)

In Intune hochladen:

intune.microsoft.com
  > Tenant administration (Mandantenverwaltung)
  > Connectors and tokens (Connectors und Token)
  > Apple VPP tokens
  > Create
      Basics:   Token Name, Managed Apple Account, Token-Datei (.vpptoken)
      Settings: Country/Region, Type Business, Automatic app updates = Yes
      I agree
      Scope tags
  > Review + create > Create

Gekaufte App Entra-Gruppen zuweisen:

intune.microsoft.com
  > Apps > All Apps > App waehlen
  > Properties > Edit (neben Assignments)
  > Required ODER Available for enrolled devices
  > Add group (Entra-Gruppen) > Save

Regeln zu den Lizenztypen:

Merkmal	Gerätelizenz	Benutzerlizenz
Default für neue Zuweisungen	Ja	Nein
Lizenzen je Einheit	1 Lizenz / Gerät	1 Lizenz / bis zu 5 Geräte je persönlichem Apple Account
App-Store-Login nötig	Nein, Installation über MDM-Kanal	Ja, Einladung / App-Store-Zugang erforderlich

Nie gleichzeitig Geräte- und Benutzerlizenz für dieselbe App an ein Gerät bzw. einen Nutzer. Das Company Portal bei ADE als VPP-App mit Gerätelizenz ausrollen; die App-Store-Version ist mit ADE inkompatibel und erhält keine automatischen Updates. VPP-Sync: täglich, manuell jederzeit. Ein Location-Token gilt nur für genau eine MDM-Lösung und einen Intune-Tenant.

Verifizieren: Unter Mandantenverwaltung, Connectors und Token, Apple VPP tokens hat das Token den Status „Aktiv“ und einen aktuellen letzten Sync. Die gekauften Apps erscheinen danach unter Apps, Alle Apps mit dem Typ „iOS-Store-App (Volumen)“ bzw. „iOS Volume Purchase Program app“.

Troubleshooting: Typische Fehler und Lösungen

„Invalid Profile“ beim Enrollment: Meist blockiert die Default-„All Users“-Gerätetyp-Einschränkung iOS/iPadOS. Fix: intune.microsoft.com > Devices > Enroll devices > Enrollment restrictions > All Users > Properties > Platform settings: iOS/iPadOS auf Allow. Optional nur „personally owned“ blocken.
Create-Button beim ADE-Token ausgegraut: Intune-Tab wurde geschlossen (Schritt 4); neu starten, Tab offen lassen.
Token mit falscher Apple-ID erneuert: APNs und ADE/VPP-Token immer mit derselben (Managed) Apple-ID erneuern; beim APNs-Zertifikat müssen sonst alle Geräte neu registrieren.
Geräte starten ADE nicht: nicht Out-of-Box; aus anderem MDM entfernen, zurücksetzen.
MFA greift nicht: „Setup Assistant (legacy)“ aktiv; auf „with modern authentication“ umstellen.
VPP-Token-Status „invalid“: Managed Apple Account geändert (Domain, Passwort, deaktiviert) oder Token abgelaufen; in ABM neu herunterladen, in Intune aktualisieren.
VPP-Token-Status „Duplicate“: Token-Standort zweimal hochgeladen, der Sync stoppt.
Lizenzen überbucht: Nur die ersten N Ziele erhalten eine Lizenz; Intune warnt ab 50 % Nutzung. Zu wenig Company-Portal-Lizenzen oder ein abgelaufenes Token blockieren das Enrollment.

Häufige Fragen

Brauche ich zwingend eine D-U-N-S-Nummer?

Ja. Fehlt sie, beantragen Sie sie über den Lookup auf der Registrierungsseite kostenlos bei Dun & Bradstreet (Dauer siehe Voraussetzungen).

Wie oft muss ich die Token erneuern?

Alle drei jährlich, stets mit derselben Apple-ID bzw. demselben Managed Apple Account. Notieren Sie die Ablaufdaten.

Was passiert mit Geräten, die schon im Einsatz sind?

Aus dem alten MDM entfernen, in ABM Intune zuweisen und zurücksetzen; dann nehmen sie den ADE-Pfad.

Sollte ich Geräte- oder Benutzerlizenzen wählen?

Für firmeneigene, per ADE überwachte Geräte Gerätelizenzen: eine pro Gerät, kein App-Store-Login, Installation über MDM. Benutzerlizenzen lohnen, wenn eine Person mehrere persönliche Geräte nutzt (eine Lizenz für bis zu 5 Geräte).

Heißt der Dienst jetzt „Apple Business“ oder „Apple Business“?

Seit 2026 „Apple Business“ (Zusammenführung, siehe Schritt 1); URL und Funktionen bleiben, beide Bezeichnungen tauchen parallel auf.

Wie schnell tauchen neu gekaufte Geräte in Intune auf?

Nach Zuordnung durch den Reseller in ABM, in Intune mit dem nächsten Sync (Schritt 4).

Fazit

Eckpfeiler sind APNs-Zertifikat, ADE-Token-Austausch und Default-Enrollment-Profil, dazu Reseller-Verknüpfung und Standard-MDM-Server. Nutzen Sie überall einen Funktions-Apple-Account und überwachen Sie die jährlichen Token-Erneuerungen.

Weiterführende Anleitungen und Quellen

iPhone und iPad mit Intune verwalten: Compliance, App-Schutz, Konfigurationsprofile.
macOS im Unternehmen absichern mit FileVault: für Macs aus ABM.
Windows-Geräte mit Intune und Autopilot ausrollen: Zero-Touch für Windows.
Weitere Apple-Anleitungen in unserer Wissensdatenbank.

Offizielle Quellen: Microsoft Learn – Set up an iOS/iPadOS ADE token in Intune; Microsoft Learn – Set up automated device enrollment (ADE) for iOS/iPadOS; Microsoft Learn – Manage Apple Volume-Purchased Apps; Apple Support: Apple Business User Guide.