Mit Microsoft Intune bringen Sie iOS- und iPadOS-Geräte zentral unter Kontrolle: einheitliche WLAN- und E-Mail-Einstellungen, erzwungener Passcode, geprüfte Compliance und Zugriff nur für konforme Geräte. Die Anleitung führt vom Apple-MDM-Push-Zertifikat über beide Enrollment-Wege bis zu Profilen, Compliance, App-Verteilung und Conditional Access im Microsoft Intune Admin Center.

Voraussetzungen: Lizenzen, Rollen, Konten

Ohne passende Lizenz und das richtige Apple-Konto scheitert die Einrichtung:

Intune-Lizenz: Microsoft Intune Plan 1, enthalten in Microsoft 365 Business Premium, E3, E5, F1/F3 sowie EMS E3/E5, nicht in Office 365 E1/E3/E5. Intune Plan 2 und die Intune Suite gibt es nur als Add-on.
Rollen: Intune-Administrator (bzw. Endpoint-Manager-Rolle); für Conditional Access ein Conditional Access Administrator in Entra.
Apple-Konto: Ein organisationseigenes Apple-Konto (Managed Apple Account), kein privates. Anmeldeadresse ein Firmenpostfach, idealerweise ein Verteiler, damit Ablauf-Erinnerungen auch nach dem Weggang eines Mitarbeiters ankommen.
Optional, aber empfohlen: Apple Business Manager (ABM) für firmeneigene Geräte und das App-Token (früher VPP), siehe Anleitung zu Apple Business Manager und Geräte-Enrollment.
Geräte: iPhones und iPads mit von Intune unterstützter iOS-/iPadOS-Version; viele Compliance-Einstellungen setzen Version 17 voraus. Für ADE müssen die Geräte über Apple oder einen autorisierten Händler in ABM erfasst sein.
Arbeitsplatz: aktueller Browser mit Zugriff auf intune.microsoft.com, entra.microsoft.com, identity.apple.com und business.apple.com.

Schritt 1: Apple-MDM-Push-Zertifikat einrichten

Ohne Apple-MDM-Push-Zertifikat lässt sich in Intune kein iPhone, iPad oder Mac registrieren, weder BYOD noch ADE. Es ist 365 Tage gültig und muss jährlich erneuert werden.

Klickpfad zum Anlegen:

intune.microsoft.com
  > Devices
  > Device onboarding > Enrollment
  > Tab "Apple"
  > "Apple MDM Push Certificate"
  > "I agree"
  > "Download your CSR"            (CSR-Datei lokal speichern)
  > "Create your MDM push Certificate"  (oeffnet identity.apple.com)

Auf identity.apple.com melden Sie sich mit dem Organisations-Apple-Konto an, wählen Create a Certificate, akzeptieren die AGB, laden die CSR (Certificate Signing Request) hoch und das Zertifikat (.pem) herunter. In Intune tragen Sie die Apple-ID ein, laden über das Ordner-Symbol die .pem-Datei hoch und bestätigen mit Upload.

Push-Zertifikat jährlich erneuern

Bei der Erneuerung immer dasselbe Apple-Konto verwenden und beim bestehenden Zertifikat Renew wählen, sonst müssen alle Geräte neu registriert werden.

intune.microsoft.com > Devices > Device onboarding > Enrollment > Apple
  > "Apple MDM Push Certificate"
  > "Download your CSR"
  > "Create your MDM push Certificate"  (identity.apple.com)
  > beim BESTEHENDEN Zertifikat: "Renew"
  > neuen CSR waehlen > Notiz eintragen > Upload
  > .pem herunterladen > zurueck in Intune hochladen

Verifizieren: Unter Devices > Device onboarding > Enrollment > Apple > Apple MDM Push Certificate steht der Status Active mit einem Ablaufdatum rund ein Jahr in der Zukunft, und im Apple Push Certificates Portal erscheint dasselbe Zertifikat als aktiv.

Schritt 2: Enrollment-Weg wählen (BYOD vs. ADE)

Der Weg hängt davon ab, wem das Gerät gehört:

Kriterium	BYOD (Privatgerät)	ADE (Firmengerät)
Eigentum	Mitarbeiter	Unternehmen
Registrierung	Company-Portal-App, vom Nutzer gestartet	Berührungslos via ABM, beim Einschalten
Supervised-Modus	Nein (Apple User Enrollment)	Ja
Datentrennung	Firmendaten im separaten Volume / Managed Apps	Gesamtes Gerät verwaltet
App-Lizenzierung	Nur nutzerlizenzierte Apps	Geräte- und nutzerlizenzierte Apps
Activation Lock	Vom Nutzer kontrolliert	Standardmäßig deaktiviert

Faustregel: Privatgeräte per BYOD über die Company-Portal-App, firmeneigene Geräte per ADE über Apple Business Manager (berührungslos, supervised, besser steuerbar).

BYOD: Registrierung über die Company-Portal-App

Der Mitarbeiter installiert die Intune-Unternehmensportal-App (Company Portal) aus dem App Store und meldet sich mit dem Firmenkonto an. Bei Apple User Enrollment liegen Firmendaten in einem separaten Volume, private Daten bleiben unberührt. Supervised-Modus ist nicht möglich, installierbar sind nur nutzerlizenzierte Apps.

ADE: Firmengeräte berührungslos registrieren

Für ADE (Automated Device Enrollment) brauchen Sie ein ABM-Konto mit erfassten Geräten und in Intune einen ADE-Token (MDM-Server). Wichtig: Den Intune-Browser-Tab nach dem Public-Key-Download offen lassen, bis der Token hochgeladen ist.

intune.microsoft.com > Devices > Device onboarding > Enrollment
  > Tab "Apple mobile"
  > "Enrollment program tokens" > "Add" > "I agree"
  > "Download the Intune public key certificate" (.pem)  [TAB OFFEN LASSEN]
  > "Create a token via Apple Business"  (oeffnet business.apple.com)
      > mit Firmen-Apple-Konto anmelden
      > Kontoprofil > Preferences > MDM server assignments
      > MDM-Server hinzufuegen > Name vergeben
      > public key (.pem) hochladen
      > Server-Token (.p7m) herunterladen
  > zurueck in Intune: Apple-ID + .p7m hochladen > Create

Dann legen Sie die Enrollment-Policy an. Microsoft empfiehlt Setup Assistant with modern authentication (ab iOS/iPadOS 13.0) wegen MFA und Just-in-Time-Registrierung.

intune.microsoft.com > Devices > Device onboarding > Enrollment
  > Tab "Apple mobile" > "Enrollment program tokens"
  > Token waehlen > "Enrollment policies" > "Create policy"
  > "iOS/iPadOS"
  > Basics (Name)
  > User Affinity: "Enroll with User Affinity"
  > Authentication: "Setup Assistant with modern authentication"
  > Supervised = Yes
  > Locked enrollment = Yes
  > "Install Company Portal with VPP" = Token waehlen
  > Setup-Assistant-Screens aus-/einblenden
  > Create
Danach: Geraete/Token > "Set Default Policy"

Die Company-Portal-App stellen Sie auf ADE-Geräten nur über Intune als VPP-App mit Gerätelizenz bereit: Die App-Store-Version ist mit ADE inkompatibel und erhält keine automatischen Updates.

Verifizieren: Unter Enrollment program tokens ist der Token aktiv und eine Default Policy gesetzt. In Devices > iOS/iPadOS erscheinen die ADE-Geräte nach der Synchronisation (bis zu 12 Stunden), und ein Testgerät durchläuft nach dem Einschalten die Anmeldung mit dem Firmenkonto. Ein BYOD-Testgerät ist nach der Registrierung im Company Portal als Personal gelistet.

Schritt 3: Konfigurationsprofile (WLAN, E-Mail, Passcode, Restriktionen)

Konfigurationsprofile verteilen Einstellungen automatisch. Typisch sind WLAN-, E-Mail- und Geräteeinschränkungs-Profile.

intune.microsoft.com > Devices > Configuration
  > "Create" > "New Policy"
  > Platform: "iOS/iPadOS"
  > Profile type: "Templates"
  > "Wi-Fi"  bzw.  "Email"  bzw.  "Device restrictions"
  > Settings konfigurieren
  > Assignments (Entra-Gruppe waehlen)
  > Create

Wi-Fi: SSID, Sicherheitstyp und (bei WPA2-Enterprise) Zertifikat für die automatische Verbindung.
Email: Exchange-/IMAP-Profil mit Hostname und Authentifizierung. Ein vom Nutzer manuell eingerichtetes Konto kann Intune nicht überschreiben.
Device restrictions: z. B. Screenshots, iCloud-Sync oder Wechsel des verwalteten Kontos einschränken.

Den Passcode erzwingen Sie am stabilsten über die Compliance-Richtlinie (nächster Schritt). Ab iOS/iPadOS 14.5 funktionieren die Setup-Assistant-Screens „Passcode“ und „Touch ID and Face ID“ laut Microsoft nicht korrekt; blenden Sie beide in der ADE-Enrollment-Policy aus (Hide).

Verifizieren: Im jeweiligen Profil unter Device and user check-in status stehen die Testgeräte auf Succeeded, und am Gerät erscheinen WLAN und E-Mail-Konto ohne manuelle Eingabe.

Schritt 4: Compliance-Richtlinie erstellen

Die Compliance-Richtlinie definiert, wann ein Gerät konform ist, und ist Voraussetzung für Conditional Access. Die meisten Defaults stehen auf Nicht konfiguriert und werden nicht ausgewertet: Setzen Sie die relevanten Werte aktiv.

intune.microsoft.com > Devices > Compliance > "Create policy"
  > Platform: "iOS/iPadOS"
  > Settings:
      Device health:    Jailbroken devices = Block
      OS version:       Minimum OS version eintragen
      System security:  Require a password to unlock = Require
                        Simple passwords = Block
                        Required password type
                        Minimum password length
                        Password expiration (days)
  > Actions for noncompliance:
      z. B. "Mark device noncompliant" nach X Tagen
  > Assignments > Create

Viele Passwort- und OS-Einstellungen gelten erst ab iOS 17.0. Mit gefordertem Passcode startet das Gerät automatisch die Verschlüsselung. Für Macs siehe Anleitung zur macOS-Absicherung mit FileVault.

Verifizieren: Unter Devices > Monitor > Device compliance bzw. in der Richtlinie selbst zeigt ein Testgerät mit Passcode den Status Compliant. Ein Gerät ohne Passcode wird nach der eingestellten Frist Not compliant.

Schritt 5: Apps bereitstellen (Managed Apps / VPP)

Apps verteilen Sie über ein Apple-Business-Manager-Location-Token (früher VPP): in ABM herunterladen, dann in Intune importieren. Pro Tenant sind bis zu 3.000 Tokens möglich, jedes 1 Jahr gültig.

1) In business.apple.com:
   <Name> > Preferences > Payments and Billing
     > Apps and Books > Content Tokens > "Download"

2) In intune.microsoft.com:
   Tenant administration > Connectors and tokens
     > "Apple VPP tokens" > "Create"
     > Basics (Token-Name, Managed Apple Account, Token-Datei)
     > Settings (Type = Business, "Automatic app updates" = Yes, "I agree")
     > Review + create

App zuweisen (die Gerätelizenz ist seit Neuzuweisungen Standard und braucht keine App-Store-Anmeldung):

intune.microsoft.com > Apps > All Apps > App waehlen
  > Properties > "Edit" bei Assignments
  > "Required"  oder  "Available for enrolled devices"
  > "Add group" > Entra-Gruppe(n) waehlen
  > Save

Hinweis: Available gibt es nur für Benutzergruppen, nicht für Gerätegruppen. Ein Location-Token darf nur in einem MDM und einem Tenant gleichzeitig laufen.

Verifizieren: Unter Tenant administration > Connectors and tokens > Apple VPP tokens steht der Token auf Active mit erfolgreicher letzter Synchronisation, und eine als Required zugewiesene App installiert sich auf dem Testgerät ohne Apple-ID-Abfrage.

Schritt 6: Conditional Access – nur konforme Geräte

Nun erzwingen Sie in Entra (nicht in Intune), dass nur konforme Geräte auf Firmendaten zugreifen. Voraussetzung sind Compliance-Richtlinie und mindestens ein konformes Gerät, sonst sperren Sie alle aus.

entra.microsoft.com  (als Conditional Access Administrator)
  > Entra ID > Conditional Access > Policies > "New policy"
  > Name
  > Assignments > Users          (Zielgruppe; Notfall-Admin ausschliessen!)
  > Target resources             (z. B. Office 365 / Exchange)
  > Conditions > Device platforms > iOS
  > Access controls > Grant > "Grant access"
      > "Require device to be marked as compliant"
  > Enable policy = On
  > Create

Verifizieren: Das Entra-Anmeldeprotokoll (Entra ID > Monitoring > Sign-in logs) zeigt bei einer Anmeldung vom konformen iPhone im Reiter Conditional Access das Ergebnis Success für Ihre Richtlinie. Ein nicht registriertes Gerät wird mit Hinweis auf die Geräteverwaltung abgewiesen.

Typische Fehler und Troubleshooting

Geräte erscheinen nicht im Admin Center: Die ABM-Synchronisation dauert bis zu 12 Stunden.
Gerät zeigt „Invalid Profile“ beim ADE-Start: Unter Enrollment > Device Type Restrictions prüfen, ob die Default-Policy iOS/iPadOS blockiert. Für Firmengeräte nur personally owned blockieren, nicht die Plattform.
Enrollment schlägt fehl, sobald ein neues Gerät startet: Keine Default-Policy gesetzt; über Set Default Policy nachholen. Änderungen an einer ADE-Policy greifen erst nach Werksreset (Ausnahme: Gerätename-Template).
Gerät bleibt noncompliant wegen E-Mail: Manuell eingerichtetes Konto; der Nutzer muss es entfernen, damit Intune das verwaltete Profil setzt.
VPP-Apps fehlen im Company Portal (BYOD): Bei Apple User Enrollment erscheinen nur nutzerlizenzierte Apps, keine gerätelizenzierten.
Push-Zertifikat-Zuordnung prüfen: Unter Settings > General > VPN & Device Management > Management Profile > More Details steht im Feld Topic die GUID, die sich im Apple Push Certificates Portal zuordnen lässt.

Häufige Fragen

Brauche ich zwingend Intune, oder reicht Office 365?

Nein, Office 365 E1/E3/E5 enthält kein Intune; nötig ist Intune Plan 1 (siehe Voraussetzungen).

Was passiert, wenn das Push-Zertifikat abläuft?

Geräte lassen sich nach der 30-tägigen Gnadenfrist weder verwalten noch registrieren (siehe Schritt 1). Erneuern Sie mit demselben Apple-Konto über Renew.

Kann ich BYOD-Geräte in den Supervised-Modus bringen?

Nein. Supervised ist firmeneigenen Geräten über ADE bzw. Apple Configurator vorbehalten.

Darf ich für das Zertifikat meine persönliche Apple-ID nehmen?

Nein, ein organisationseigenes Apple-Konto mit Firmenpostfach (am besten Verteiler). Ändert sich die Apple-ID des Push-Zertifikats, müssen alle Geräte neu registriert werden.

Kann ich dasselbe VPP-Token in zwei Systemen nutzen?

Nein, ein Location-Token läuft nur in einem MDM und einem Tenant; beim Import anderswo gehen Lizenzzuweisungen und Nutzer-Records verloren.

Verwalte ich Windows-Geräte genauso?

Das Prinzip ist ähnlich, für Windows nutzen Sie Autopilot statt ADE, siehe Anleitung zum Ausrollen von Geräten mit Windows Autopilot.

Fazit

Kritisch ist das Apple-MDM-Push-Zertifikat mit Organisations-Apple-Konto. Danach trennen Sie BYOD (Company Portal) und Firmengeräte (ABM/ADE, supervised) und sichern mit Profilen, Compliance und Conditional Access ab. Planen Sie die jährliche Erneuerung von Push-Zertifikat, ADE- und VPP-Token fest ein.

Weiterführende Anleitungen und Quellen

Quellen: Microsoft Learn – Apple MDM Push certificate for Intune; Set up automated device enrollment (ADE) for iOS/iPadOS; Manage Apple Volume-Purchased Apps; iOS/iPadOS device compliance settings.