In vielen Unternehmen steht Microsoft Intune längst, Compliance-Regeln greifen, Conditional Access ist scharf geschaltet — und trotzdem sitzt jemand aus der IT im Besprechungsraum, packt MacBooks aus, meldet sich lokal an und lädt das Company Portal herunter. Der Widerspruch fällt selten auf, weil beides gleichzeitig wahr ist: Die Geräte sind verwaltet, und die Einrichtung ist reine Handarbeit geblieben.

Der Grund liegt nicht an Intune, sondern an einer Zuständigkeitsgrenze, die Microsoft in seiner Dokumentation zwar nennt, aber nie betont. Die Registrierung eines Apple-Geräts im Auslieferungszustand ist kein MDM-Vorgang, sondern ein Apple-Vorgang. Wer diesen Teil nicht eingerichtet hat, betreibt ein vollständiges MDM ohne den einen Effekt, wegen dem MDM überhaupt angeschafft wird.

Kurz gesagt

Apple-Geräte lassen sich mit Intune verwalten: Konfigurationsprofile, Compliance-Bewertung, App-Verteilung, Platform SSO mit Microsoft Entra ID und Betriebssystem-Updates über Apples Declarative Device Management laufen für macOS und iOS/iPadOS aus dem Intune Admin Center. Intune ersetzt aber nicht den Apple-Unternehmensaccount, der seit dem 14. April 2026 Apple Business heißt und vorher Apple Business Manager hieß. Automated Device Enrollment, Supervision, verwaltete Apple Accounts und App-Lizenzen kommen aus dieser Plattform, nicht aus Intune. Ohne sie bleibt nur die nutzergestützte Registrierung über das Company Portal — also Auspacken von Hand.

Die Umbenennung vom April 2026 und warum sie im Alltag Reibung erzeugt

Apple hat am 24. März 2026 Apple Business angekündigt und die Plattform zum 14. April 2026 verfügbar gemacht. Sie führt zusammen, was bis dahin drei getrennte Angebote waren: Apple Business Manager, Apple Business Essentials und Apple Business Connect. Alle drei sind nach dem Start nicht mehr verfügbar; Business-Essentials-Kunden wird die monatliche Servicegebühr für die Geräteverwaltung seit dem 14. April nicht mehr berechnet. Der Dienst ist kostenlos und in mehr als 200 Ländern und Regionen erreichbar.

Für die Praxis heißt das vor allem: Beschriftungen laufen auseinander. Apples Handbuch trägt weiterhin den Titel „Apple Business Manager — Benutzerhandbuch” und erklärt im ersten Satz, dass der Dienst jetzt Apple Business heißt. Microsoft hat seine Intune-Dokumentation nachgezogen und schreibt inzwischen durchgängig vom „Apple Business portal”; ältere Anleitungen, interne Runbooks und Screenshots sprechen dagegen noch von ABM oder gar vom Device Enrollment Program. Wer eine Migration plant, sollte Suchbegriffe in beiden Schreibweisen führen, sonst findet die halbe Belegschaft die richtige Seite nicht.

Wir haben die besten Business-Angebote von Apple in einer einfachen, sicheren Plattform vereint und bieten damit wichtige Funktionen für Unternehmen in jeder Entwicklungsphase und Branche, darunter integrierte Geräteverwaltung, Werkzeuge für die Zusammenarbeit und zusätzliche Möglichkeiten, neue Kund:innen zu erreichen.

Susan Prescott, Vice President of Enterprise and Education Marketing bei Apple, Newsroom-Mitteilung vom 24. März 2026

14.04.2026Start von Apple Business; ABM, Business Essentials und Business Connect entfallen (Apple Newsroom, 24.03.2026)

200+Länder und Regionen, in denen Apple Business kostenlos verfügbar ist (Apple, 2026)

365 TageGültigkeit des Apple-MDM-Push-Zertifikats in Intune, danach 30 Tage Kulanzfrist (Microsoft Learn, 2026)

30 TageFrist, in der Beschäftigte ein per Apple Configurator nachgetragenes Gerät wieder aus der Verwaltung lösen können (Apple, 2026)

Was Intune auf macOS und iOS tatsächlich steuert

Intune ist auf Apple-Plattformen ein vollwertiger MDM-Server. Es verteilt Konfigurationsprofile über den Settings Catalog, bewertet Geräte gegen Compliance-Richtlinien, koppelt das Ergebnis an Conditional Access, installiert Apps aus dem Volumenlizenzprogramm und richtet Platform SSO ein, damit sich Beschäftigte am Mac mit den Entra-ID-Anmeldedaten anmelden. Bei automatisierter Registrierung lässt sich die Platform-SSO-Richtlinie schon während des Setup-Assistenten ausrollen.

Auch die weniger sichtbaren Bausteine sind abgedeckt. Intune kann bei der Registrierung ein lokales Administratorkonto anlegen und dessen Passwort über die macOS-Variante von LAPS verwalten — 15 Zeichen, verschlüsselt hinterlegt, standardmäßig alle sechs Monate automatisch rotiert. Über die Option „Await final configuration” hält der Setup-Assistent das Gerät kurz vor dem Schreibtisch an, bis die wichtigsten Richtlinien installiert sind; in Microsofts eigener Produktvalidierung waren die meisten Testgeräte binnen 15 Minuten durch. Nichts davon funktioniert allerdings ohne die Voraussetzungen, die Apple beisteuert.

Die Arbeitsteilung: Apple liefert Identität, Microsoft die Regeln

Zwischen Intune und einem Apple-Gerät stehen drei Artefakte, die alle bei Apple entstehen und alle ein Ablaufdatum tragen. Das MDM-Push-Zertifikat autorisiert Intune überhaupt, mit Apple-Geräten zu sprechen; ohne es lässt sich kein macOS- oder iOS-Gerät registrieren. Der Registrierungsprogramm-Token verknüpft eine Apple-Business-Instanz mit genau einem MDM-Server. Der Token für App- und Buchlizenzen regelt die Beschaffung. Fällt eines dieser Teile aus, bricht nicht die Konfiguration weg, sondern der Nachschub.

Bausteine der Apple-Verwaltung mit Intune und ihre Herkunft (Stand: September 2026)

Baustein	Kommt von	Ohne ihn fehlt	Laufzeit
MDM-Push-Zertifikat (APNs)	Apple Push Certificates Portal	jede Form der Registrierung	365 Tage
Registrierungs-Token (.p7m)	Apple Business	Automated Device Enrollment	365 Tage
Token für App- und Buchlizenzen	Apple Business	Volumenlizenz-Apps	365 Tage
Konfigurationsprofile, Compliance	Microsoft Intune	Richtlinien und Zugriffssteuerung	—
Verwaltete Apple Accounts	Apple Business, via Entra ID	getrennte Firmen- und Privatdaten	—

Zero-Touch hängt an einem einzigen Token

Automated Device Enrollment — früher als Device Enrollment Program, kurz DEP, geführt — funktioniert nur für Geräte, die über Apple Business oder Apple School Manager beschafft wurden und dort mit ihrer Seriennummer geführt sind. Microsoft beschreibt den Effekt nüchtern: Die Registrierungsrichtlinie wird über die Luft ausgeliefert, physischer Zugriff auf die Geräte ist nicht nötig. Genau das ist der Unterschied zwischen einem Karton, der zum Schreibtisch geliefert wird, und einem Karton, der erst in die IT muss.

1. Push-Zertifikat erzeugen Signieranfrage in Intune herunterladen, im Apple Push Certificates Portal ein Zertifikat erstellen und in Intune hochladen. Die dabei verwendete Apple-ID sollte eine überwachte Verteilerliste sein, kein persönlicher Account.
2. Apple Business verbinden Öffentlichen Schlüssel aus Intune im Apple-Business-Portal einspielen, den Server-Token als .p7m herunterladen und zurück in Intune laden.
3. Registrierungsrichtlinie anlegen Unter „Enrollment program tokens” eine Richtlinie je Gerätetyp erstellen und als Standard setzen — synchronisierte Geräte ohne zugewiesene Richtlinie scheitern beim Einschalten.
4. Beschaffung anbinden Händler oder Apple-Kundennummer so hinterlegen, dass neue Bestellungen automatisch in Apple Business auftauchen. Dieser Schritt gehört in den Einkauf, nicht in die IT.

Die Alternativen zu ADE und was sie einschränken

Intune kennt für Macs drei weitere Wege, und jeder verzichtet auf etwas. Die nutzergestützte Registrierung über das Company Portal — bei Apple „user approved enrollment” — ist für private Geräte gedacht; Microsoft empfiehlt sie ausdrücklich nicht für Firmengeräte, die dabei standardmäßig als privat einsortiert werden. Direct Enrollment erzeugt Geräte ohne Nutzerzuordnung und setzt physischen Zugriff voraus. Ein Konto als Device Enrollment Manager kann bis zu 1.000 Geräte registrieren, aber ausdrücklich keines über Automated Device Enrollment.

Registrierungswege für Macs in Intune (Quelle: Microsoft Learn, 2026)

Weg	Physischer Zugriff nötig	Apple Business nötig	Überwacht (supervised)
Automated Device Enrollment	nein	ja	ja
Company Portal (BYOD)	nein, aber Nutzeraktion	nein	nein
Direct Enrollment	ja	nein	nein
Device Enrollment Manager	ja	nein	nein

Was Supervision technisch freischaltet

Der Unterschied zwischen registriert und überwacht ist kein Etikett, sondern entscheidet über konkrete Fähigkeiten. Bootstrap-Token etwa lassen sich laut Microsoft nur auf überwachten Macs und auf Geräten aus dem automatisierten Enrollment nutzen. Sie erteilen lokalen Konten den Status als Volume Owner und erlauben damit, dass Beschäftigte ohne Administratorrechte Systemupdates auslösen und auf Apple-Silicon-Maschinen Kernel-Erweiterungen genehmigen können. Fehlt der Token, landet jede dieser Aktionen wieder bei einem Administrator.

Ebenfalls an das automatisierte Enrollment gebunden ist die Sperre gegen Deregistrierung: Über „Locked enrollment” lassen sich die Stellen in den Systemeinstellungen und im Terminal abschalten, an denen sich das Verwaltungsprofil entfernen ließe. Diese Einstellung ist nach der Registrierung nicht mehr änderbar, ohne das Gerät zu löschen. Wer ein Gerät stattdessen über das Company Portal registriert, kann es technisch nicht daran hindern, die Verwaltung wieder abzuwerfen.

Declarative Device Management: was Intune davon unterstützt

Apples aktueller Verwaltungsansatz heißt Declarative Device Management und verlagert Logik vom Server auf das Gerät. Statt dass ein MDM-Server den Zustand abfragt, meldet das Gerät Änderungen über einen Statuskanal von sich aus. Apple beschreibt den Vorteil in der Platform-Deployment-Dokumentation so, dass Organisationen mehr Sicherheit über den gewünschten Gerätezustand bekommen — auch ohne durchgehende Internetverbindung.

Intune setzt darauf inzwischen die Update-Steuerung für Apple-Geräte auf. Die klassischen, MDM-basierten Update-Richtlinien sind als veraltet markiert; empfohlen sind Richtlinien aus dem Settings Catalog unter „Declarative Device Management”. Zwei Modelle stehen bereit: „Latest version” installiert die jeweils neueste zulässige Version nach einer Karenzzeit in Tagen zu einer festgelegten Uhrzeit, „Targeted version” zwingt auf eine bestimmte Build- oder OS-Version zu einem Stichtermin. Voraussetzung sind iOS/iPadOS 17.0 oder macOS 14.0 aufwärts — und hier gilt die Grenze ausnahmsweise nicht: Beide Registrierungswege, Device Enrollment wie Automated Device Enrollment, werden unterstützt. Für verpflichtende Volumenlizenz-Apps hat Microsoft die deklarative Auslieferung mit der 26er-Generation der Betriebssysteme nachgezogen.

Geräte aus dem Handel nachtragen — und die 30-Tage-Frist

Ein Bestand aus Elektronikmarkt- und Amazon-Käufen lässt sich nachrüsten, aber nicht folgenlos. Über Apple Configurator lassen sich Geräte manuell in Apple Business aufnehmen. Apple verknüpft das jedoch mit einer Einschränkung, die viele Projekte übersehen: Wird ein so hinzugefügtes Gerät an eine Person übergeben, hat diese 30 Tage lang die Möglichkeit, es aus Apple Business, aus der Supervision und aus der Geräteverwaltung zu lösen. Erst danach ist der Zustand stabil, und erst danach lässt sich das Gerät regulär auf einen anderen Verwaltungsdienst migrieren.

Praktisch bedeutet das einen Rollout in zwei Takten: Geräte einsammeln, zurücksetzen, nachtragen, 30 Tage laufen lassen — oder von vornherein über einen Händler bestellen, der die Seriennummern direkt in Apple Business einliefert. Für Neubeschaffung ist der zweite Weg fast immer der günstigere, weil er den Rücklauf komplett spart. Statcounter weist für Deutschland im August 2026 unter den Desktop-Betriebssystemen zwei Apple-Kategorien aus, „OS X” mit 15,84 % und „macOS” mit 5,82 % — zusammen gut ein Fünftel; auf mobilen Geräten kommt iOS auf 27,54 %. Der Bestand, um den es geht, ist in den meisten Häusern also längst zweistellig.

Wo Intune bei Apple-Geräten wirklich aufhört

Deckt Intune ab

• + Konfigurationsprofile und Settings Catalog für macOS und iOS/iPadOS
• + Compliance-Bewertung und Conditional Access über Entra ID
• + Update-Steuerung über Declarative Device Management
• + Lokales Admin-Konto mit LAPS und automatischer Rotation
• + Platform SSO bereits im Setup-Assistenten

Kommt nicht aus Intune

• − Automated Device Enrollment und Supervision
• − Verwaltete Apple Accounts und Verzeichnisabgleich
• − App- und Buchlizenzen aus dem Volumenprogramm
• − Company Portal für Mac aus dem App Store — es wird manuell installiert
• − Bootstrap-Token auf nicht überwachten Geräten

Die rechte Spalte ist keine Kritik an Intune, sondern eine Beschreibung der Protokollgrenze. Apple hat die Gerätehoheit bewusst an den eigenen Unternehmensaccount gebunden, und jedes MDM am Markt — Intune eingeschlossen — sitzt hinter dieser Schranke. Ein Gerät spricht zudem immer nur mit genau einem MDM-Dienst; Apple Business bringt seit April 2026 eine eigene, eingebaute Geräteverwaltung mit, die sich mit einem angebundenen Drittanbieter-MDM nicht parallel betreiben lässt. Die Entscheidung fällt einmal, nicht pro Richtlinie.

Fristen, Zuständigkeiten und der richtige Zeitpunkt

Drei Termine bestimmen, ob die Kette im zweiten Jahr noch trägt: Push-Zertifikat, Registrierungs-Token und Lizenz-Token laufen jeweils nach 365 Tagen ab. Für das Push-Zertifikat gibt es danach 30 Tage Kulanz, für die anderen beiden ist das Ende der Frist auch das Ende der Funktion — neue Geräte kommen dann schlicht nicht mehr an. Weil alle drei an eine Apple-ID gebunden sind, ist die wichtigste organisatorische Maßnahme unspektakulär: eine überwachte Sammeladresse statt eines persönlichen Accounts, und drei Kalendereinträge mit Vorlauf.

Wer Apple-Geräte mit Intune verwalten will, ohne diese Fristen und die Apple-Business-Anbindung dauerhaft im eigenen Haus zu tragen, kann das Mandat abgeben und Intune betreiben lassen statt selbst zu betreuen. Der Hamburger Anbieter kjello etwa führt Geräte- und Inventarverwaltung, Onboarding und Support in einem Portal zusammen; dahinter steht das Systemhaus hagel IT, das seit 2004 am Markt ist. Für Häuser mit 20 bis 250 Beschäftigten ist das oft der pragmatischere Zuschnitt als eine halbe Planstelle für Tokenpflege.

Der günstigste Zeitpunkt für die Einrichtung ist ohnehin nicht der Rollout, sondern die Bestellung davor. Apple Business ist kostenlos; für die Anmeldung der Organisation verlangt Apple eine Business-ID — in Deutschland die D-U-N-S-Nummer — sowie eine bestätigte Domain, und die Verzeichniskopplung an Microsoft Entra ID ist dokumentiert. Wird das vor der ersten Lieferung erledigt, entfällt der gesamte Nacharbeitspfad mit Zurücksetzen, Configurator und 30-Tage-Frist. Wird es danach erledigt, bezahlt man dieselbe Einrichtung zweimal — einmal als Projekt und einmal als Handarbeit an jedem einzelnen Karton.

Häufige Fragen

Heißt Apple Business Manager jetzt Apple Business?

Ja. Apple hat die Plattform am 24. März 2026 angekündigt und zum 14. April 2026 gestartet. Apple Business fasst Apple Business Manager, Apple Business Essentials und Apple Business Connect zusammen; die drei Vorgängerangebote sind seitdem nicht mehr verfügbar. Apples Handbuch führt den alten Titel noch, weist aber im ersten Satz auf die neue Bezeichnung hin.

Braucht man für Intune zwingend einen Apple-Business-Account?

Für die reine Verwaltung nicht — Macs und iPhones lassen sich auch ohne ihn über das Company Portal registrieren, sofern ein Apple-MDM-Push-Zertifikat vorliegt. Für Automated Device Enrollment, Supervision, verwaltete Apple Accounts und Volumenlizenz-Apps ist der Account dagegen Voraussetzung. Ohne ihn gibt es kein Zero-Touch-Enrollment.

Lassen sich im Handel gekaufte Macs nachträglich in Zero-Touch überführen?

Ja, über Apple Configurator, aber mit Einschränkung. Nach der Übergabe an eine Person kann diese das Gerät 30 Tage lang wieder aus Apple Business, der Supervision und der Geräteverwaltung lösen. Das Gerät muss dafür zurückgesetzt werden, und eine Migration auf einen anderen Verwaltungsdienst ist erst nach Ablauf dieser Frist möglich.

Unterstützt Intune Declarative Device Management?

Ja, insbesondere für Betriebssystem-Updates. Microsoft markiert die früheren MDM-basierten Update-Richtlinien als veraltet und empfiehlt Richtlinien aus dem Settings Catalog unter „Declarative Device Management”, wahlweise als „Latest version” mit Karenzzeit oder als „Targeted version” mit festem Stichtermin. Voraussetzung sind iOS/iPadOS 17.0 oder macOS 14.0 aufwärts; beide Registrierungswege werden unterstützt.

Was passiert, wenn das Apple-MDM-Push-Zertifikat abläuft?

Das Zertifikat ist 365 Tage gültig und muss jährlich erneuert werden. Nach Ablauf gibt es laut Microsoft eine Kulanzfrist von 30 Tagen. Die Erneuerung muss mit derselben Apple-ID erfolgen, mit der das Zertifikat erstellt wurde — deshalb sollte dafür eine überwachte Unternehmensadresse und kein persönlicher Account verwendet werden.

Quellen

• Apple Newsroom, 24.03.2026 — Ankündigung von Apple Business, Starttermin 14. April 2026, Verfügbarkeit, Zitat Susan Prescott
• Apple Support: Apple Business — Benutzerhandbuch — Bestätigung der Umbenennung und Zusammenführung der drei Vorgängerdienste
• Microsoft Learn: Automated Device Enrollment für macOS — Voraussetzungen, Registrierungsrichtlinien, LAPS, „Await final configuration”
• Microsoft Learn: Registrierung für macOS-Geräte einrichten — Registrierungswege, Device Enrollment Manager, Bootstrap-Token
• Microsoft Learn: Update-Richtlinien für Apple-Geräte — Declarative Device Management, Plattformvoraussetzungen, veraltete MDM-Update-Richtlinien
• Apple Support: Geräte mit dem Apple Configurator in Apple Business hinzufügen — 30-tägige Frist zum Lösen nachgetragener Geräte
• Statcounter Global Stats, August 2026 — Anteile der Desktop- und Mobil-Betriebssysteme in Deutschland

Stand: November 2026

Einleitung – Warum KMU 2026 einen Datenschutz-Partner brauchen

Der Markt für Datenschutz-Dienstleistungen im DACH-Raum ist unübersichtlich geworden. Allein auf Feedbax listen 548 Agenturen mit 7.280 Bewertungen im Cybersecurity-Segment. Wer hier den passenden Partner sucht, verliert schnell den Überblick.

Regulatorisch hat sich die Lage 2026 weiter verschärft. Die DSGVO bleibt Basis, doch NIS2 fordert seit Oktober 2024 ISMS-Nachweise und Lieferketten-Sicherheit von KRITIS-Betreibern und wichtigen Einrichtungen. Der EU AI Act ergänzt KI-Risikobewertung, Transparenzpflichten und Human-Oversight. In der Schweiz setzt das revidierte nDSG seit September 2023 operative Umsetzung voraus – ADV, DSFA, Meldestellen.

Anbieter reagieren mit zwei Grundmodellen. Software-first-Lösungen wie Kertos, PrivacyBee, activeMind.cloud, QSEC oder DSM-Online automatisieren Verzeichnisse von Verarbeitungstätigkeiten, Risikoanalysen und Audits über Deep-Integrationen in HR-, IT- und Cloud-Systeme. Beratungs-first-Dienstleister – externe Datenschutzbeauftragte, Kanzleien, Verbünde – liefern persönliche Betreuung, 24-Stunden-Reaktionszeit-SLA und branchenspezifische TOM-Vorlagen zum Festpreis.

Die Grenze verwischt: Manche Plattformen binden zertifizierte Berater ein, manche Beratungen entwickeln eigene Tools. Unser Listicle sortiert die relevantesten Anbieter 2026 nach Fokus, Stärken und Zielgruppe – damit Entscheider den passenden Partner ohne Probieren finden.

1. frag.hugo – Plattform mit zertifizierter Beratung und Festpreisen

USP: frag.hugo vereint Software-Suite (Hugo Check, DSB, ISMS, Shield) mit persönlich zugewiesenen, TÜV-zertifizierten Datenschutzbeauftragten unter einem Login und Festpreis-Modell.

Stärken:

• etabliert seit mehreren Jahren in Hamburg (Spaldingstr. 64–68), Team aus zertifizierten Beratern und IT-Entwicklern unter Geschäftsführer Nils Oehmichen
• Vier Hugo-DSB-Tarife (Lite 79 € bis 15 MA, Standard 149 € bis 30 MA, Pro 299 € bis 100 MA, Premium 499 € bis 250 MA) inkl. 10 Mio. € Berufshaftpflicht und 24 Monate Erstlaufzeit
• 100 % Datenverarbeitung in Deutschland auf Hetzner-Servern (Falkenstein/Nürnberg, ISO 27001), keine US-Cloud-Flüsse
• Compliance Suite Bundle (549 €/Monat) spart rund 21 % gegenüber Einzellizenzen; ein Vertrag, ein Account-Manager
• Als Top-3-Empfehlung für Hamburg und Düsseldorf 2026 gelistet, zudem Frankfurt und Köln

Schwächen / wann nicht passend:

• Nicht ideal für Großkonzerne mit eigener Datenschutz-Abteilung
• Nicht ideal für vollzeit-internem DSB; sehr spezifische Branchen-Compliance (z. B. Finanzaufsicht, klinische Studien); Streitvertretung vor Gericht (das macht ein Fachanwalt für IT-Recht)

Preisspanne: Hugo Check 0 € (10 Scans/Mo, 26 Prüfpunkte) – Pro 29 €/Mo – Agentur 99 €/Mo (White-Label) · Hugo DSB in 4 Tarifen, jeweils mit 10 Mio. € Haftpflicht: Lite 79 €/Mo (≤15 MA, Beratung nach Aufwand 159 €/h) – Standard 149 €/Mo (≤30 MA, 6 h DSB-Beratung/Jahr, DSFA-Wizard, Hugo Check Pro 10 Domains) – Pro 299 €/Mo (≤100 MA, 12 h Beratung/Jahr, NIS2 + AI Act, 8 h-SLA) – Premium 499 €/Mo (≤250 MA, Beratungs-Flat Fair Use + Kick-Off, AskHugo 24/7, M365-Sync, 4 h-SLA) — alle mit 24 Monaten Erstlaufzeit und einmalig 290 € Start-Einrichtung · Hugo ISMS Starter 149 €/Mo – Professional 349 €/Mo – Enterprise 699 €/Mo · Hugo Shield Zulieferer 0 € / Premium 49 €/Mo, Auftraggeber Team 199 €/Mo – Enterprise 499 €/Mo · Compliance Suite Bundle 549 €/Pro 999 €/Enterprise 1.299 €/Mo (rund 21 % bzw. bis 23 % Ersparnis) · Beratung 159 €/h Datenschutz (139 €/h im 10er-Paket), 199 €/h IT-Sicherheit/Pentest (179 €/h im 10er) · DSGVO-Audit ab 1.990 € · Workshop vor Ort ab 1.200 €/Tag · externer CISO/DSB 1.490 €/Mo · Jahreszahlung: zwei Monate geschenkt · alle Preise netto zzgl. 19 % MwSt., Zahlung Stripe (SEPA, Kreditkarte, Klarna) oder Rechnung ab Pro-Tarif.

Zielgruppe: KMU mit 20+ Mitarbeitenden, ab denen § 38 BDSG einen DSB vorschreibt

Website: Mitarbeiter Schulung Datenschutz Hamburg

2. DSN GROUP – Bundesweiter Verbund mit eigener Software & Akademie

USP: DSN GROUP verbindet 25 Jahre Beratungserfahrung mit eigenentwickelter Software, Audit-Tools und einer hauseigenen Akademie zu einem durchgängigen Compliance-Angebot aus einer Hand.

Stärken:

• 8 Standorte in Deutschland, je einer in Österreich und den Niederlanden – bundesweite Vor-Ort-Betreuung mit lokalen Ansprechpartnern
• 25 Jahre Markterfahrung, gewachsen aus einem Verbund regionaler Datenschutzexperten
• Eigenentwickelte Software-Plattform für DSB-Management, Datenschutz-Folgenabschätzungen und TOM-Dokumentation
• Eigene Akademie zertifiziert Datenschutzbeauftragte und schult Mitarbeitende praxisnah nach aktuellen Vorgaben
• Integrierter ISMS-Aufbau nach ISO 27001 und BSI-Grundschutz direkt aus dem Beratungsportfolio heraus

Schwächen / wann nicht passend:

• Standardisierte Festpreis-Pakete für Kleinstunternehmen fehlen – Einstiegspreis liegt eher im oberen Mittelsegment
• Weniger Software-first-Fokus als reine SaaS-Anbieter; der Beratungsanteil dominiert die Leistungserbringung
• Internationale Konzernstrukturen außerhalb DACH nur über Partner-Netzwerke abgedeckt

Preisspanne: auf Anfrage (individuelle Angebote nach Erstgespräch und Bedarfsanalyse)

Zielgruppe: Mittelständische Unternehmen ab 50 Mitarbeitenden mit Bedarf an ganzheitlicher Compliance-Betreuung (externer DSB, ISMS-Aufbau, Schulungen) aus einer Hand – besonders in regulierten Branchen wie Gesundheitswesen, Finanzdienstleistungen oder KRITIS-nahen Sektoren.

Website: fraghugo.de – dort auch im Vergleich zu weiteren Managed-Service-Providern für datenschutzkonforme KMU gelistet.

3. actago GmbH – >70 erfahrene Datenschutzexperten

USP: actago bündelt mit über 70 Spezialisten externe DSB-Bestellung, Audits und branchenspezifische TOM-Vorlagen unter einem Dach für mittelständische Kunden mit komplexen Datenflüssen.

Stärken:

• Mehr als ein erfahrenes Team an Mitarbeitende decken operative Tiefe und rechtliche Breite ab.
• Portfolio reicht von DSB-Stellung über DSFA-Begleitung bis zu individuellen TOM-Katalogen.
• Fokus auf mittelständische Strukturen mit verzweigten Verarbeitungsprozessen.
• Bundesweite Aufstellung ermöglicht Vor-Ort-Termine bei Bedarf.
• Erfahrung in regulierten Branchen wie Gesundheitswesen, Finanzdienstleistungen und produzierendem Gewerbe.

Schwächen / wann nicht passend:

• Für Kleinstunternehmen unter 20 Beschäftigten oft überdimensioniert.
• Keine reine Software-Lösung für Automatisierungsfans – Beratung steht im Vordergrund.
• Preismodell erfordert individuelles Angebot, keine transparenten Pauschalen online.

Preisspanne: auf Anfrage

Zielgruppe: Mittelständische Unternehmen ab ca. 50 Beschäftigten mit komplexen Datenflüssen, Bedarf an externem DSB und branchenspezifischen TOM-Vorlagen.

Website: revenuebase.ai

4. Kertos – Software-first mit Deep-Integrationen (HR, IT, Cloud)

USP: Kertos automatisiert Datenschutz-Management durch vorkonfigurierte Connectoren zu HR-Systemen, Cloud-Diensten und Identity-Providern und macht manuelle Tabellen überflüssig.

Stärken:

• Tiefe Integrationen in Personio, Workday, Microsoft Entra ID, AWS, Google Cloud und weitere SaaS-Dienste ziehen Metadaten automatisch in das Verzeichnis von Verarbeitungstätigkeiten (VVT).
• Modulare Workflows für Datenschutz-Folgenabschätzung (DSFA), Lieferketten-Monitoring und Berichts-Generierung laufen ohne manuelle Pflege.
• Rollenbasierte Dashboards geben Compliance-Verantwortlichen und Geschäftsführung getrennte Sichten auf Risiken und Aufgaben.
• API-first-Architektur erlaubt individuelle Erweiterungen und Einbindung in bestehende GRC-Landschaften.

Schwächen / wann nicht passend:

• Ohne bestehende Cloud- und HR-Landschaft entfaltet die Automatisierung nur begrenzten Nutzen.
• Rechtliche Bewertung komplexer Verarbeitungen (z. B. internationale Übermittlung) erfordert weiterhin juristische Expertise, die die Plattform nicht ersetzt.
• Für sehr kleine Teams ohne eigene IT-Ressourcen kann der initiale Konfigurationsaufwand hoch wirken.

Preisspanne: auf Anfrage

Zielgruppe: Wachstumsstarke KMU (50–500 Beschäftigte) mit etablierter SaaS/Cloud-Infrastruktur, die Datenschutz-Prozesse skalieren wollen.

Website: OMR-Review zu Kertos im Datenschutz-Management-Vergleich

5. PrivacyBee – Schweizer nDSG-Fokus & Automatisierung

USP: PrivacyBee fokussiert sich als SaaS-Lösung exklusiv auf die operative Umsetzung des Schweizer nDSG und automatisiert Datenschutz-Folgenabschätzungen für KMU.

Stärken:

• Spezialisiert auf ADV, DSFA und Meldestellen-Pflichten nach nDSG
• Automatisierte Erstellung von Datenschutz-Folgenabschätzungen per Software
• Vorgefertigte Vorlagen und Workflows für KMU ohne eigenes Datenschutz-Team
• Netzwerk lokaler Beratungspartner wie DDSB und Kadex-IT für ergänzende Expertise
• Software-first-Ansatz mit Deep-Integrationen in bestehende IT-Landschaften, wie der OMR-Review zu Datenschutz-Management-Systemen bestätigt

Schwächen / wann nicht passend:

• Kein Fokus auf deutsche DSGVO-Compliance, rein schweizerisches Recht
• Eigene Beratungsleistung entfällt, Abhängigkeit von Partnernetzwerk
• Für komplexe Konzernstrukturen mit grenzüberschreitendem Datentransfer weniger geeignet

Preisspanne: auf Anfrage

Zielgruppe: Schweizer KMU ab 20 Mitarbeitenden, die nDSG-pflichtig sind und operative Prozesse ohne eigenes Datenschutz-Team abbilden müssen.

Website: datenschutzkonform.ch

6. Proliance – KI-GRC-Plattform für DSGVO, NIS2 & AI Act

USP: Proliance bündelt Datenschutz, Informationssicherheit und KI-Governance in einer Plattform, sodass KMU Compliance-Anforderungen integriert steuern statt Insellösungen zu pflegen.

Stärken:

• Vereint DSGVO-Management, ISO-27001-konformes ISMS und KI-Compliance unter einer Oberfläche
• Automatisierte KI-Risikobewertung mit Human-Oversight-Workflows für den EU AI Act
• NIS2-Readiness-Checks und Lieferketten-Überwachung für betroffene Einrichtungen
• Normen-Mapping (BSI 200-2, ISO 27001, DSGVO) reduziert manuellen Dokumentationsaufwand
• Rollenbasierte Dashboards geben Geschäftsführung und Fachbereichen passgenaue Sicht

Schwächen / wann nicht passend:

• Weniger geeignet für Unternehmen, die primär persönliche Beratung vor Ort suchen
• Komplexität der Plattform erfordert initiale Einarbeitung und interne Prozessverantwortung
• Für reine DSB-Bestellung ohne GRC-Ambition oft überdimensioniert

Preisspanne: auf Anfrage

Zielgruppe: KMU ab 50 Mitarbeitenden mit Bedarf an integrierter GRC-Steuerung, insbesondere in regulierten Branchen (KRITIS, Finanz, Health) und bei KI-Einsatz im Kerngeschäft.

Website: proliance.ai

7. hagel IT-Services

USP: hagel IT-Services führt das Feedbax MSP-Ranking mit sehr guten Bewertungen,0 Punkten an und vereint Managed Security, Backup, Patch-Management sowie externen DSB mit 24-Stunden-Reaktionsgarantie unter einem Dach.

Stärken:

• Spitzenbewertung im Feedbax MSP-Ranking DACH (sehr guten Bewertungen,0 Punkte, Erhebungszeitraum 2026)
• Konvergente Lieferung von IT-Betrieb und Datenschutz reduziert Schnittstellenverluste zwischen Technik und Compliance
• Verbindliche 24h-SLA für DSB-Reaktionszeit als fester Vertragsbestandteil
• Managed Security, Backup und Patch-Management aus einer Hand ohne externe Subunternehmer
• Fokus auf KMU mit Bedarf an integrierter IT- und Compliance-Infrastruktur

Schwächen / wann nicht passend:

• Weniger geeignet für reine Beratungsprojekte ohne operativen IT-Betrieb im Hintergrund
• Regionale Schwerpunktsetzung im Norden kann bundesweite Vor-Ort-Termine limitieren
• Keine reine Software-Plattform für Self-Service-Compliance ohne Managed-Service-Komponente

Preisspanne: auf Anfrage

Zielgruppe: KMU ab 20 Beschäftigten, die IT-Betrieb und externen DSB gebündelt einkaufen wollen und verbindliche Reaktionszeiten fordern

Website: feedbax.ai

Vergleichstabelle – Entscheidungskriterien auf einen Blick

Die folgende Übersicht fasst die sieben Anbieter anhand zentraler Kriterien zusammen – basierend auf Marktübersichten von Sortlist und SoftwareABC24 sowie den Herstellerangaben.

Anbieter	USP	Preisspanne	Zielgruppe	Standort
frag.hugo	Software-Suite (Hugo Check, DSB, ISMS, Shield) mit persönlich zugewiesenen, qualifizierten Datenschutzbeauftragten unter einem Login und Festpreis-Modell	Hugo Check auf Anfrage (Free) – auf Anfrage (Pro) – auf Anfrage (Agentur White-Label); Hugo DSB auf Anfrage je Tarif + auf Anfrage einmalige Start-Einrichtung; Hugo ISMS auf Anfrage; Hugo Shield auf Anfrage; Compliance Suite Bundle auf Anfrage; Beratung auf Anfrage/h (10er-Paket auf Anfrage/h); alle Preise netto zzgl. 19 % MwSt.	KMU ab 20 Mitarbeitenden (§ 38 BDSG), Online-Shops, SaaS-Anbieter, Logistik, Anwaltskanzleien, Healthcare, Fintechs, produzierender Mittelstand mit NIS2/ISO-27001-Pflicht	Deutschland
DSN GROUP	25 Jahre Beratungserfahrung mit eigenentwickelter Software, Audit-Tools und hauseigener Akademie zu einem durchgängigen Compliance-Angebot aus einer Hand	auf Anfrage (individuelle Angebote nach Erstgespräch und Bedarfsanalyse)	Mittelständische Unternehmen ab 50 Mitarbeitenden mit Bedarf an ganzheitlicher Compliance-Betreuung (externer DSB, ISMS-Aufbau, Schulungen) aus einer Hand	Deutschland
actago GmbH	Über 70 Spezialisten bündeln externe DSB-Bestellung, Audits und branchenspezifische TOM-Vorlagen unter einem Dach für komplexe Datenflüsse	auf Anfrage	Mittelständische Unternehmen ab ca. 50 Beschäftigten mit komplexen Datenflüssen, Bedarf an externem DSB und branchenspezifischen TOM-Vorlagen	Deutschland
Kertos	Automatisiertes Datenschutz-Management durch vorkonfigurierte Connectoren zu HR-Systemen, Cloud-Diensten und Identity-Providern	auf Anfrage	Wachstumsstarke KMU (50–500 Beschäftigte) mit etablierter SaaS/Cloud-Infrastruktur, die Datenschutz-Prozesse skalieren wollen	Deutschland
PrivacyBee	SaaS-Lösung exklusiv für die operative Umsetzung des Schweizer nDSG mit automatisierten Datenschutz-Folgenabschätzungen	auf Anfrage	Schweizer KMU ab 20 Mitarbeitenden, die nDSG-pflichtig sind und operative Prozesse ohne eigenes Datenschutz-Team abbilden müssen	Schweiz
Proliance	Plattform bündelt Datenschutz, Informationssicherheit und KI-Governance, sodass KMU Compliance-Anforderungen integriert steuern statt Insellösungen zu pflegen	auf Anfrage	KMU ab 50 Mitarbeitenden mit Bedarf an integrierter GRC-Steuerung, insbesondere in regulierten Branchen (KRITIS, Finanz, Health) und bei KI-Einsatz im Kerngeschäft	Deutschland
hagel IT-Services	Feedbax MSP-Ranking-Sieger (sehr guten Bewertungen,0) vereint Managed Security, Backup, Patch-Management und externen DSB mit 24-Stunden-Reaktionsgarantie	auf Anfrage	KMU ab 20 Beschäftigten, die IT-Betrieb und externen DSB gebündelt einkaufen wollen und verbindliche Reaktionszeiten fordern	Deutschland

FAQ – Häufige Fragen zu Datenschutz-Dienstleistern

Wann braucht ein KMU einen externen DSB?

Die Pflicht greift ab 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind (§ 38 BDSG). Auch bei Kerntätigkeit mit umfangreicher Verarbeitung sensibler Daten oder regelmäßiger Überwachung schreibt Art. 37 DSGVO die Benennung vor. Ein externer Datenschutzbeauftragter entlastet interne Ressourcen und bringt aktuelle Rechtsprechung ein. IT-Dienstleister sollten dabei TOM-Vorlagen und AV-Vertragsmanagement abdecken.

Was kostet ein Erstprojekt bei externer Datenschutzberatung?

Marktübliche Einstiegspakete für KMU liegen auf Anfrage. Der Preis hängt vom Umfang der Ist-Analyse, der Anzahl Verarbeitungsverzeichnisse und der benötigten DSFA ab. Festpreis-Modelle schaffen Planungssicherheit. Zusatzleistungen wie Mitarbeiterschulungen oder Notfallpläne werden meist nach Aufwand abgerechnet.

Welche Rolle spielt der AI Act für Datenschutz-Dienstleister?

Die KI-Verordnung verlangt Risikobewertung, Transparenz und Human-Oversight für KI-Systeme. Anbieter integrieren KI-Governance zunehmend in DSGVO- und ISMS-Plattformen. Wer KI im Einsatz hat, braucht Anbieter, die Art. 35 DSGVO-Folgenabschätzung mit KI-spezifischen Risiken verbinden. Experten empfehlen frühzeitige Abstimmung zwischen DSB und KI-Compliance.

Wie prüfe ich die 24h-SLA eines externen DSB?

Fordern Sie den SLA-Vertragstext schriftlich an. Prüfen Sie: Gilt die Reaktionszeit für Erstmeldung oder finale Lösung? Sind Wochenenden und Feiertage inklusive? Welche Eskalationsstufen existieren? Referenzkunden aus Ihrer Branche geben Aufschluss über die tatsächliche Erreichbarkeit im Incident-Fall.

Wo liegt der Unterschied zwischen Software-first und Beratung-first?

Software-first-Anbieter (z. B. Kertos, activeMind.cloud) liefern Plattformen mit Automatisierung, Normen-Mapping und Connectoren. Beratung-first-Dienstleister stellen externe DSB, führen Audits durch und begleiten Behördenkommunikation. Hybrid-Modelle kombinieren Tool-Zugang mit festem Ansprechpartner. Die Wahl hängt von internem Know-how und gewünschtem Automatisierungsgrad ab.

Welche Checkliste hilft bei der Ausschreibung?

Definieren Sie: Branchenfokus, Mitarbeiterzahl, Standorte (DE/AT/CH), bestehende Zertifizierungen (ISO 27001, TISAX), gewünschtes Preismodell (Fix/Stunden), SLA-Anforderungen, KI-Nutzung, NIS2-Betroffenheit. Prüfen Sie Referenzen, Haftungsumfang und Kündigungsfristen. Ein strukturierter Anforderungskatalog verhindert Vergleichsprobleme bei Angeboten.

Fazit – Den passenden Partner 2026 finden

KMU sollten zunächst ihre regulatorischen Pflichten klären: DSGVO, NIS2, AI Act und das Schweizer nDSG bestimmen den Handlungsrahmen. Danach entscheidet das Betriebsmodell: Software-first (Skalierbarkeit, Automatisierung) oder Beratungs-first (individuelle Betreuung, Haftungsübernahme). Für die meisten DACH-KMU kristallisieren sich drei Anbieter heraus: frag.hugo (Plattform plus Festpreis), DSN GROUP (Breite und Tiefe aus 25 Jahren Praxis) und Proliance (integrierte KI-GRC). Der nächste Schritt ist eine strukturierte Anfrage mit Checkliste – Reaktionszeiten, AV-Vorlagen, Branchenreferenzen und KI-Kompetenz abfragen. Aktuelle Marktüberblicke liefert Data Agenda, echte Kundenbewertungen finden sich auf Feedbax. Wer jetzt vergleicht, spart später Nachbesserungen.

Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf applevie.ws veröffentlicht. frag.hugo ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.

Stand: November 2026

Definition

Unter iPhone-Härtung für die Exchange-Anbindung versteht man ein mehrschichtiges Sicherheitskonzept, das Unternehmensdaten auf iOS-Geräten vor Abfluss, Malware und unautorisiertem Zugriff schützt. Drei Ebenen greifen ineinander: Auf Geräte-Ebene erzwingen Konfigurationsprofile oder die deklarative Geräteverwaltung (DDM) ab iOS 17 Sperren wie Passcode-Komplexität, verschlüsseltes Dateisystem, Deaktivierung von Control Center am Lockscreen, USB-Restriktionen und Blockieren von iCloud-Backups für Unternehmensdaten. Die Identitäts-Ebene nutzt bedingten Zugriff über Microsoft Entra ID: Nur konforme, per MDM verwaltete Geräte erhalten über Modern Authentication (OAuth2) Zugriff auf Exchange Online; Basic Auth bleibt blockiert. Auf App-Ebene schützen App-Schutzrichtlinien (MAM) Outlook und Teams – PIN, Verschlüsselung, „Save As“-Sperre und Managed Open In verhindern, dass Mails, Anhänge oder Kontakte in private Apps oder Clouds wandern.

Bei Corporate-Owned (ADE/Zero-Touch) gilt das Gerät vollständig als vertrauenswürdig – Remote-Wipe, vollständiges Inventar und OS-Update-Erzwingung sind Standard. Im BYOD-Szenario trennt der Container Unternehmens- von Privatsphäre: MDM verwaltet nur den geschäftlichen Bereich, MAM sichert die Daten innerhalb der Apps ohne Geräte-Enrollment. Exchange ActiveSync selbst liefert lediglich 128-Bit-TLS über Port 443 und Basis-Richtlinien; die eigentliche Härtung erfolgt durch die beschriebenen MDM-, Conditional-Access- und MAM-Mechanismen.

Wie funktioniert iPhone-Härtung für Exchange?

Der Härtungsprozess verläuft in acht Schritten. Zunächst registrieren Admins das Gerät im Apple Business Manager (ABM) und binden es per Automated Device Enrollment (ADE) zero-touch in das MDM ein. Anschließend rollt das MDM ein Konfigurationsprofil mit Härtungspayloads aus: Passcode-Komplexität, USB-Restriktionen, AirDrop-Deaktivierung, iCloud-Backup-Sperre, Control Center am Lockscreen deaktivieren und JavaScript in Safari einschränken. Solche Baselines dokumentieren auch die Boston University und die University of Texas at Austin mit über 28 Einzelprüfpunkten.

Auf Serverseite setzen Exchange-Admins ActiveSync-Richtlinien: Quarantäne für unbekannte Geräte, Passcode-Erzwingung und Remote-Wipe. Parallel konfigurieren sie in Entra ID Conditional Access plus Gerätekonformität – Block bei Jailbreak, veraltetem iOS oder fehlender Verschlüsselung. Für verwaltete Apps definieren Intune App-Schutzrichtlinien (PIN, Datenleckschutz, Save-As-Block). Bei BYOD ohne Enrollment greifen reine MAM-Policies. Das Patch-Management erzwingt iOS-Updates per Frist über das MDM. Beim Offboarding folgen Remote-Wipe, ABM-Release, Entra-ID-Gerätelöschung und Entfernung der EAS-Partnerschaft.

Exchange ActiveSync: Grundlagen und Sicherheitsrisiken

Exchange ActiveSync (EAS) verbindet iPhones über 128-Bit-SSL/TLS auf Port 443 mit dem Postfachserver. Das Protokoll gibt Administratoren Hebel, um Passcode-Komplexität, Remote-Wipe, Kamera-Sperre und Roaming-Beschränkungen per Richtlinie durchzusetzen. Apple listet die unterstützten Payload-Keys und deren Verhalten im Deployment Reference Guide auf.

Das Problem: Standardmäßig synchronisiert jedes Gerät mit gültigen Zugangsdaten – ohne serverseitige Quarantäne. Legacy-Basisauthentifizierung bleibt oft aktiv, moderne OAuth-Flows werden nicht erzwungen. Fehlende Geräteidentifikation verhindert, dass Admins verwaltete von ungeprüften Endgeräten unterscheiden. Private und geschäftliche Daten fließen in denselben Sync-Kanal; eine Container-Trennung bietet EAS nicht. Auch Mindest-iOS-Versionen lassen sich über das Protokoll allein nicht vorschreiben.

Praxisberichte zeigen, dass Postfachrichtlinien zwar Grundschutz liefern, aber Lücken bei Geräteverlust oder Jailbreaks bleiben. Ergänzende MDM-Konfiguration schließt diese: Geräte-Compliance prüfen, ActiveSync-Zugriffsregeln (Quarantäne/Block/Allow) setzen und Basisauthentifizierung per Authentifizierungsrichtlinie deaktivieren. Ohne diese Nachschärfung bleibt EAS ein offenes Tor für jedes Gerät, das Benutzername und Passwort kennt.

Mobile Device Management und Apple Business Manager

Apple MDM bildet den zentralen Hebel für die unternehmensweite iPhone-Härtung. In Kombination mit Apple Business Manager lassen sich Geräte per Automated Device Enrollment (ADE) zero-touch provisionieren: Beim ersten Einschalten zieht sich das iPhone seine Konfiguration, Zertifikate und Apps direkt vom MDM-Server – ganz ohne manuelles Zutun der IT.

Über das Restrictions Payload setzen Administratoren harte Grenzen: Control Center am Sperrbildschirm deaktivieren, USB-Restricted Mode erzwingen, AirDrop-Empfang blockieren, iCloud-Backup untersagen, Siri auf dem Lockscreen sperren und Standortdienste für Systemdienste einschränken. Diese Payloads greifen systemweit und lassen sich vom Nutzer nicht umgehen.

Mit Declarative Device Management (DDM) ab iOS 17 verschiebt Apple die Logik vom Server auf das Gerät. Statt imperativer Kommandos definieren Admins gewünschte Zustände deklarativ; das iPhone prüft selbstständig Konformität und meldet Abweichungen. Das reduziert Netzwerklast und funktioniert auch offline. WWDC 2026 ergänzte Platform SSO für nahtlose Kerberos- und Entra-ID-Anmeldung bis zur Exchange-Authentifizierung.

Geht ein Gerät verloren, greift die Notfallkette: MDM-Remote-Lock versetzt das iPhone sofort in den Sperrmodus, Remote-Wipe löscht alle Daten kryptografisch sicher. Anschließend entfernt der Admin das Gerät im Apple Business Manager – der Activation Lock entfällt, und das iPhone lässt sich neu aufsetzen oder verwerten. Der gesamte Prozess dauert Minuten, nicht Stunden.

Microsoft Intune: App-Schutz und Conditional Access

Microsoft Intune schützt Exchange Online in zwei Stufen. Auf nicht verwalteten Geräten greifen App-Schutzrichtlinien (MAM) für Outlook: Sie erzwingen eine PIN, verschlüsseln Unternehmensdaten lokal und verhindern Datenleckagen – etwa indem „Speichern unter“ in private Apps blockiert wird und die Zwischenablage keine Unternehmensdaten in private Anwendungen kopieren darf. Ein selektiver Wipe entfernt nur Firmeninhalte, private Daten bleiben unberührt.

Für verwaltete Geräte kombiniert Intune Gerätekonformität mit Conditional Access. Die Richtlinie verweigert den Zugriff, wenn ein Jailbreak erkannt wird, das iOS veraltet ist, die Geräteverschlüsselung fehlt oder das MDM-Enrollment nicht vorliegt. Intune liefert fertige Compliance-Einstellungen für iOS und iPadOS: Passcode-Anforderungen, Prüfung der Systemintegrität, Verschlüsselungsstatus – alles zentral konfigurierbar.

Die Authentifizierung härtet sich zusätzlich: Modern Authentication (OAuth2) wird verbindlich vorgeschrieben, Basic Auth wird deaktiviert. Damit entfällt der klassische ActiveSync-Benutzername/Kennwort-Fluss, Token-basierte Anmeldung ersetzt ihn. Administratoren steuern beide Schutzebenen über ein einziges Portal, Richtlinien lassen sich pilothaft auf Gruppen ausrollen und schrittweise schärfen. Das Ergebnis: Unternehmensdaten in Outlook bleiben geschützt – unabhängig davon, ob das iPhone im MDM inventarisiert ist oder als privates Gerät genutzt wird.

iOS-Härtung per Konfigurationsprofilen und Declarative Device Management

Konfigurationsprofile bleiben das Rückgrat der iOS-Härtung. MDM-Systeme verteilen sie als XML-Plists, die Geräte ohne Benutzerinteraktion anwenden. Etablierte Baselines liefern konkrete Sperrlisten: Die Boston University fordert Control Center am Sperrbildschirm auszuschalten, USB Restricted Mode nach einer Stunde zu erzwingen und AirDrop auf „Nur Kontakte“ zu beschränken. Die UT Austin ergänzt 28 Einzelpunkte – darunter JavaScript in Safari zu deaktivieren oder einen isolierten Browser vorzuschreiben, Private Browsing zu erzwingen und System-Ortungsdienste wie Significant Locations sowie Product Improvement abzuschalten. APPVISORY fasst zehn Schritte zusammen: iCloud-Backup und iCloud Drive für Unternehmensdaten blockieren, Siri und Wallet auf dem Lockscreen sperren, automatische Updates und Rapid Security Response per MDM aktivieren. Der Security-Insider zeigt, wie sich diese Restriktionen auch mit Bordmitteln (Kiosk-Modus, Kurzbefehle) umsetzen lassen.

Mit Declarative Device Management (DDM) ab iOS 17 verschiebt Apple Logik vom Server auf das Gerät. Anstatt bei jeder Änderung einen MDM-Roundtrip zu erzwingen, erhält das iPhone deklarative Sätze („Exchange-Konto mit OAuth2, TLS 1.3, Zertifikatspinning“). Das Gerät prüft selbstständig Konformität und meldet Abweichungen asynchron. Für Exchange-Anbindungen bedeutet das: neue Profile, Zertifikatswechsel oder Richtlinien-Updates greifen ohne Push-Latenz. DDM-Statusberichte liefern Echtzeit-Sicht auf Compliance – Jailbreak, veraltete iOS-Version, fehlende Verschlüsselung – ohne ständige Abfragen. Wer heute MDM-Profile noch monolithisch baut, sollte auf deklarative Fragmente (Account, VPN, Zertifikate, Restriktionen) umsteigen. Das reduziert Serverlast, beschleunigt Rollouts und macht Härtung auditierbar.

Exchange Online Hardening: ActiveSync-Regeln und Authentifizierung

Standardmäßig erlaubt Exchange Online jedem Gerät mit gültigen Anmeldedaten die Synchronisation. Admins drehen diesen Default um: Set-ActiveSyncOrganizationSettings -DefaultAccessLevel Quarantine setzt unbekannte Geräte in Quarantäne, bis ein Administrator sie prüft und per Allow-Liste frei gibt. Geräte-IDs lassen sich vorab genehmigen, sodass nur inventarisierte iPhones auf Postfächer zugreifen. Ein technischer Leitfaden fasst die Schritte für Microsoft 365 zusammen.

Parallel erzwingen Authentifizierungspolicies Modern Auth (OAuth2) und deaktivieren Basic Auth global. Damit entfällt der Übertragungsweg für Klartext-Passwörter, und bedingter Zugriff greift zuverlässig. App-Schutzrichtlinien wirken als Baseline auch ohne MDM-Enrollment: Outlook auf privaten Geräten erhält PIN-Schutz, Verschlüsselung und Blockieren von „Speichern unter“ in private Speicherorte. Die Apple-Dokumentation beschreibt die Integration von iOS-Geräten in Exchange-Umgebungen.

Regelmäßige Audits der Gerätepartnerschaften über Get-MobileDeviceStatistics decken verwaiste oder kompromittierte Partnerschaften auf. Admins entfernen inaktive Einträge, widerrufen Token und erzwingen bei Bedarf erneutes Enrollment. Der Apple Deployment Guide liefert Details zur deklarativen Konfiguration und zur Zusammenarbeit mit Microsoft-Diensten.

BYOD-Trennung: Managed Open In und App-Schutz ohne Enrollment

Private iPhones im Firmenumfeld benötigen eine klare Trennlinie zwischen Geschäftlichem und Persönlichem. Managed Open In und App-Schutzrichtlinien halten Unternehmensdaten – E-Mail, Kontakte, Dateien in Outlook, Teams und dem Managed Browser – innerhalb verwalteter Apps. Nutzer können diese Inhalte nicht in private Zielorte wie iCloud, WhatsApp oder private Postfächer kopieren. Save-As-Block, Zwischenablage-Einschränkungen und ein Backup-Verbot verhindern den gezielten oder versehentlichen Datenabfluss.

Microsoft Intune setzt hier auf App Protection Policies ohne Geräte-Enrollment. Das ist ideal für BYOD-Geräte und externe Auftragnehmer, da die IT das private Smartphone nicht vollständig unter Kontrolle stellt. Die Richtlinie schützt nur den Unternehmenscontainer innerhalb der App, nicht das gesamte Gerät. Ein Beispiel: Ein Berater öffnet einen Anhang in Outlook, bearbeitet ihn und will ihn per AirDrop an sein privates iPad senden – die MAM-Policy blockiert den Transfer, weil das Ziel nicht verwaltet ist.

Herkömmliche MDM-Lösungen stoßen hier oft an Grenzen. NinjaOne erläutert, warum eine reine Geräteverwaltung für BYOD-Szenarien mit Apple iOS nicht ausreicht und welche Hürden bei der Trennung entstehen. MiniOrange beschreibt ergänzend die MDM-Einschränkungen für iOS-Geräte und zeigt, wo App-basierte Schutzmechanismen setzen müssen. Für die technische Umsetzung auf nicht verwalteten Geräten verweist Microsoft Learn auf App-basierten Schutz für Exchange Online ohne Enrollment. So bleibt die private Sphäre der Mitarbeitenden unangetastet, während Unternehmensdaten geschützt bleiben.

Patch-Management, Lockdown-Modus und Offboarding

Apple versorgt auch ältere Major-Releases weiter mit Security-Patches – so erhielten iOS 15 und 16 am 11.03.2026 Aktualisierungen für Geräte, die nicht auf iOS 26 wechseln können. Über MDM lassen sich Fristen durchsetzen: ScheduleOSUpdate und ForceDelayedSoftwareUpdates zwingen Clients zum zeitnahen Einspielen. iOS 26 bewirbt Apple als „strongest security protections“; Compliance-Policies sollten die Mindestversion verbindlich vorgeben und ältere Hardware isolieren oder ausmustern.

Für exponierte Anwender – Führungskräfte, Reisende in Risikogebieten – aktiviert der Lockdown-Modus eine extreme Reduktion der Angriffsfläche: keine komplexen Web-Technologien, blockierte Anhänge, eingeschränkte Dienste. Apple warnte 2026 in 110 Ländern vor gezielter Söldner-Spyware; Rapid Security Responses per MDM verteilen Notfall-Patches ohne Nutzerinteraktion. Ein CISO kann per MDM-Profil den Lockdown-Modus für alle Geräte der Geschäftsführung erzwingen, sobald diese in Risikogebiete reisen.

Beim Ausscheiden eines Mitarbeiters läuft das Offboarding strukturiert: MDM-Remote-Wipe löscht Daten, die Freigabe im Apple Business Manager entfernt den Activation Lock, in Entra ID wird das Geräteobjekt gelöscht und die Exchange ActiveSync Partnership bereinigt. Ein HR-Connector kann diesen Vier-Schritte-Prozess automatisieren: Kündigungseingang triggert Wipe, ABM-Release, Entra-ID-Löschung und EAS-Entfernung innerhalb von 15 Minuten. So bleibt kein Restzugriff auf Postfach oder Unternehmensressourcen bestehen.

Praxisbeispiele: Härtung in KMU und Konzern

Ein KMU mit 50 Geräten und ohne dediziertes Security-Team setzt auf Apple Business Manager plus ein günstiges MDM wie NinjaOne oder ScaleFusion. Ein Basis-Härtungsprofil sperrt Passcode, USB-Zugriff, AirDrop-Empfang und iCloud-Backup. Die Exchange-ActiveSync-Quarantäne hält unbekannte Geräte fern, bis Admins sie prüfen. Für BYOD genügen Intune App-Schutzrichtlinien (PIN, Datenleckschutz, „Save As“ blockieren). Ein monatliches Patch-Fenster per MDM erzwingt Updates fristgerecht. Beispiel: Der IT-Leiter plant das Update-Fenster für den ersten Dienstag nach Patch Tuesday, MDM verteilt iOS 26.1 mit 72-Stunden-Frist.

Im Konzern mit 5.000+ Geräten und SecOps kommen Enterprise-MDM und Declarative Device Management (DDM) zum Einsatz. Conditional Access mit Entra ID Protection steuert risikobasierten Zugriff. Compliance-Policies differenzieren nach Rolle, ein HR-Connector triggert automatisiertes Offboarding (MDM-Wipe, ABM-Release, Entra-ID-Löschung, ActiveSync-Partnership entfernen). Für VIPs aktiviert das Team Lockdown-Modus und betreibt Threat Hunting. Regelmäßige ActiveSync-Audits decken Shadow-IT auf. Ein Computerwoche-Workshop und Security-Checklisten liefern konkrete Konfigurationsschritte. Beispiel: Quartalsweise prüft das SecOps-Team per Get-MobileDeviceStatistics alle EAS-Partnerschaften, entfernt Geräte ohne Check-in seit 30 Tagen und widerruft deren Token.

Nativer iOS-Mail-Client via Exchange ActiveSync

Apple lizenziert Exchange ActiveSync seit Jahren; iOS 16, 17 und 18 unterstützen das Protokoll out-of-the-box ohne zusätzliche App. Die Einrichtung erfolgt direkt in den Systemeinstellungen oder per MDM-Payload automatisiert. Mehrere Exchange-Konten lassen sich parallel betreiben – etwa ein Firmenpostfach und ein Projektpostfach – ohne dass sich Kalender oder Kontakte vermischen.

Für KMU ohne Mobile-Device-Management ist dies der einfachste Weg zu Push-Mail, Kalender und Kontakten. Behörden wie die Universität Kassel empfehlen den nativen Client explizit aus Datenschutzgründen, weil keine Cloud-Proxy-Architektur dazwischengeschaltet ist. Die Schritt-für-Schritt-Anleitung zeigt, wie Server-Adresse, Domäne und Anmeldedaten eingegeben werden; bei Modern Authentication (OAuth 2.0) übernimmt das System die Token-Verwaltung.

Wichtig: Microsoft deaktiviert Basic Authentication für EAS in Microsoft 365 schrittweise. KMU müssen daher auf OAuth umstellen – per Intune oder anderem MDM lassen sich die Profile mit Zertifikat-basierter Authentifizierung verteilen. Ohne MDM richtet der Nutzer das Konto manuell ein; das System fordert dann bei Bedarf die Microsoft-Anmeldeseite an. Für reine On-Premise-Exchange-Umgebungen bleibt der native Client oft stabiler als die Outlook-App, die Hybrid-Modern-Auth voraussetzt.

Outlook für iOS – Cloud-Proxy-Architektur & App-Schutz

Outlook für iOS verbindet sich nicht direkt per Exchange ActiveSync mit dem Server. Stattdessen leitet ein Microsoft-Cloud-Dienst den Datenverkehr – eine Proxy-Architektur, die App-Schutzpolicies via Intune überhaupt erst ermöglicht. Administratoren setzen damit DLP-Regeln durch, blockieren Copy-and-Paste in ungeschützte Apps oder verlangen PIN-Eingabe beim App-Start. Die App erzwingt Modern Authentication (OAuth 2.0); Basic Authentication wird serverseitig verweigert.

Historisch war diese Architektur bei reinem On-Premise-Exchange problematisch. Nutzer berichteten über Verbindungsabbrüche und Sync-Fehler, wie Community-Diskussionen zeigen. Erst Hybrid Modern Authentication (HMA) schaffte Abhilfe, indem sie OAuth-Token auch für lokale Exchange-Server ausstellt. Ohne HMA bleibt der native iOS-Client per EAS oft stabiler.

Exchange-Server-Policies erlauben es, native EAS-Clients komplett zu sperren und ausschließlich Outlook für iOS/Android zuzulassen. Das zwingt Geräte in den verwalteten Pfad – Voraussetzung für bedingten Zugriff und Compliance-Nachweise. Für KMU mit Exchange Online ist der Weg damit klar: Outlook-App plus Intune-App-Schutz liefert die stärkste Sicherheitsbasis. Bei On-Premise-Installationen ohne Hybrid-Modern-Auth sollte der native Client vorerst die erste Wahl bleiben.

Direktvergleich: Protokoll, Sicherheit & Verwaltung

Die technische Architektur entscheidet darüber, wie stabil, steuerbar und lizenzkonform eine Mobile-E-Mail-Lösung im KMU-Betrieb läuft. Die folgende Tabelle stellt die drei relevanten Pfade gegenüber: das offene Exchange-ActiveSync-Protokoll (EAS) als Basis, den nativen iOS-Client (Mail-App) und die Outlook-for-iOS-App mit ihrer Cloud-Proxy-Architektur. Daten stammen aus der Microsoft-Dokumentation zu Mobile Connectivity sowie einer historischen Client-Vergleichstabelle, die bis heute als Strukturreferenz dient.

Kriterium	EAS (Protokoll)	iOS-Nativ (Mail-App)	Outlook für iOS
Authentifizierung	Unterstützt Basic & Modern Auth (OAuth 2.0)	Native OAuth via MDM-Profil; Basic nur Legacy	Zwangsweise Modern Auth (ADAL/MSAL), kein Basic
Datenpfad	Direkt: Client ↔ Exchange (On-Prem/Online)	Direkt per EAS, keine Zwischeninstanz	Cloud-Proxy: Client ↔ Microsoft Cloud ↔ Exchange
MDM/Steuerung	EAS-Payload (Apple MDM) für Server, S/MIME, PIN	Vollständig über Apple EAS-Payload konfigurierbar	App-Schutz-Policies (MAM/Intune), DLP, Copy/Paste-Block
On-Premise-Stabilität	Nativ, bewährt, keine Hybrid-Abhängigkeit	Stabil bei korrekter Autodiscover-Konfiguration	Erfordert Hybrid Modern Auth; historisch fehleranfällig
GAL-Zugriff	Protokollseitig via Search/GAL-Befehle möglich	Eingeschränkt (nur Caching, keine Live-Suche)	Besser durch Server-seitige Indexierung in Cloud
Lizenzkosten	CAL für Exchange (User/Device), keine Zusatzkosten	In iOS enthalten, nur Exchange-CAL nötig	Microsoft-365-Lizenz (Business Premium / E3/E5) Voraussetzung

Für KMU ohne MDM bleibt der native Client per EAS mit Modern Auth der wartungsärmste Weg. Sobald Compliance-Vorgaben (DLP, bedingter Zugriff) greifen, wird die Outlook-App per MAM-Policy zur kontrollierbaren Alternative – vorausgesetzt, die Exchange-Online- oder Hybrid-Infrastruktur trägt die Cloud-Proxy-Architektur.

Wann der native iOS-Client die bessere Wahl ist

Für KMU ohne eigenes Mobile Device Management (MDM) bietet der native iOS-Mail-Client den geringsten Einrichtungsaufwand. Ein Exchange-Konto lässt sich per QR-Code oder Konfigurationsprofil in Sekunden einbinden, ohne dass eine zusätzliche App installiert werden muss. Gerade in reinen On-Premise-Exchange-Umgebungen ohne Hybrid-Verbindung zur Cloud läuft der direkte EAS-Pfad oft stabiler als die Outlook-App, die für On-Premise historisch Hybrid-Modern-Auth voraussetzte.

Datenschutzsensible Organisationen – Behörden, Hochschulen oder Einrichtungen mit strengen Compliance-Vorgaben – bevorzugen den nativen Client, weil die Verbindung ohne Cloud-Proxy direkt zum eigenen Exchange-Server aufgebaut wird. Ein Praxisbeispiel der Universität Kassel empfiehlt explizit den Weg über die System-eigene Mail-App via ActiveSync, um Metadaten nicht über Microsoft-Dienste zu schleusen (Einrichtungsanleitung der Universität Kassel).

Wer dennoch eine zentrale Verteilung möchte, nutzt Apple Business Manager zusammen mit Automated Device Enrollment (DEP). Dabei werden EAS-Profile inklusive Serveradresse, Authentifizierungsmethode und S/MIME-Zertifikaten per MDM-Payload beim erstmaligen Gerätestart automatisch ausgerollt – Zero-Touch für die Endanwender (Apple Deployment Reference). S/MIME-Zertifikate liegen dabei im iOS-Keychain und stehen systemweit für Signatur und Verschlüsselung bereit, ohne separate App-Container.

Mehrere Exchange-Konten parallel – etwa Firmenpostfach und Projektkonto – verwaltet iOS nativ nebeneinander. Für KMU, die schnelle Einsatzbereitschaft, direkte Kontrolle über den Datenpfad und geringe Administrationslast priorisieren, bleibt der native Client die pragmatischste Option.

Wann Outlook für iOS die bessere Wahl ist

Outlook für iOS wird dann zur ersten Wahl, wenn Unternehmen App-Schutz (MAM) erzwingen müssen, ohne das private Gerät in ein MDM aufzunehmen. Die App unterstützt bedingten Zugriff und Richtlinien wie Kopier- und Einfügesperre oder Speichern-unter-Verbot direkt auf Anwendungsebene. Das gelingt, weil Outlook nicht per klassischem Exchange ActiveSync spricht, sondern über einen Microsoft-Cloud-Proxy verbindet. Voraussetzung dafür ist Exchange Online oder ein On-Premise-Server mit korrekt konfiguriertem Hybrid-Modern-Auth. Nur dann erreicht die mobile App Feature-Parität zum Desktop: Focused Inbox, gemeinsame Kalender und tiefe Teams-Integration funktionieren ohne Kompromisse.

Administratoren verteilen die Konten per Intune-Konfigurationsprofil vollautomatisch – der Nutzer muss weder Serveradresse noch Anmeldedaten eintippen. Gerade in BYOD-Szenarien, in denen Mitarbeitende eine Geräteverwaltung ablehnen, bietet dieser MAM-Weg den praktikablen Kompromiss: Unternehmensdaten bleiben geschützt, die private Sphäre unberührt. Wer dagegen reine On-Premise-Umgebungen ohne Hybrid-Modern-Auth betreibt, fährt mit dem nativen iOS-Client via EAS oft stabiler.

On-Premise vs. Exchange Online: Spezifische Stolpersteine

Reines On-Premise-Exchange stellt Outlook für iOS vor ein hartes technisches Hindernis: Ohne Hybrid-Modern-Authentifizierung (HMAC) bricht die Verbindung regelmäßig ab. Microsoft dokumentiert dieses Verhalten explizit für Szenarien, in denen iOS-Geräte per ActiveSync gegen lokale Server sprechen ohne Hybrid-Zwischenschicht. Der native iOS-Mail-Client hingegen läuft stabil gegen On-Prem, solange Autodiscover und Zertifikate sauber konfiguriert sind – hier greift das klassische EAS-Protokoll ohne Cloud-Proxy.

Genau dieser Aufwand treibt viele KMU in die Migration. Exchange Online eliminiert das HMAC-Erfordernis, weil Modern Auth dort nativ greift. Alternativ setzen Betriebe auf selbst gehostete Groupware mit ActiveSync-Unterstützung. HostSpezial listet für 2026 sechs Systeme – darunter Mailcow, Kerio Connect und Open-Xchange –, die EAS out-of-the-box liefern und damit den nativen iOS-Client ohne Zusatzinfrastruktur bedienen.

Wirtschaftlich rechnet sich der Wechsel häufig ab 50 Postfächern: Lizenzkosten für Exchange-CALs, Patch-Management und Hardware-Vorhaltung entfallen oder sinken drastisch. Wer On-Prem halten will, muss Hybrid sauber betreiben – sonst wird Outlook Mobile zur ständigen Fehlerquelle, während der nativ Client einfach weiterläuft.

MDM/Intune-Integration & Modern Authentication

Apple liefert ein dediziertes Exchange-ActiveSync-Payload für MDM-Systeme mit. Über dieses Profil lassen sich Server-Adresse, Authentifizierungsart, S/MIME-Zertifikate und weitere Parameter zentral definieren und per Intune, JAMF oder Kandji auf verwaltete iPhones verteilen. Microsoft hat Basic Authentication für EAS in Microsoft 365 deaktiviert; KMU müssen zwingend auf OAuth 2.0 umstellen. Sync.blue dokumentiert den Intune-Weg für native Profile Schritt für Schritt.

Conditional-Access-Policies prüfen Geräte-Compliance, bevor der EAS-Zugriff gewährt wird. Erfüllt ein iPhone die Anforderungen – Verschlüsselung aktiv, aktuelle iOS-Version, MDM-registriert –, erhält es ein Zugriffstoken; andernfalls bleibt der Posteingang gesperrt. Zero-Touch-Deployment über Apple Business Manager in Kombination mit Intune Autopilot gilt 2025 als State-of-the-Art: Beim ersten Einschalten zieht sich das Gerät automatisch sein EAS-Profil, Zertifikate und Compliance-Richtlinien – ohne manuelle Konfiguration durch den Anwender. Für KMU ohne eigene MDM-Infrastruktur bleibt der manuelle Weg über die iOS-Einstellungen mit Modern Auth möglich, skaliert aber schlecht und bietet keine Compliance-Kontrolle.

Globale Adressliste (GAL) & weitere Lücken im Mobil-Einsatz

Die native iOS-Mail-App bindet die globale Adressliste (GAL) nur eingeschränkt ein. Ein vollständiges Durchsuchen aller Felder fehlt; Nutzer sehen oft nur Kontakte, die bereits im lokalen Cache liegen oder über die Auto-Vervollständigung auftauchen. Als Workaround bleibt der Abgleich der GAL in ein separates Postfach oder der Griff zu Drittanbieter-Apps, die per EWS oder Graph API lesend auf das Verzeichnis zugreifen.

Ein Praxisbericht der Computerwoche bestätigt, dass der fehlende GAL-Zugriff bei reiner Native-Mail messbare Effizienzverluste verursacht – besonders bei häufiger Kommunikation mit wechselnden internen Ansprechpartnern. Outlook für iOS liefert hier eine bessere Integration, weil die App über den Microsoft-Cloud-Proxy direkt auf das Verzeichnis zugreift. Dieser Architekturvorteil erkauft sich der Anwender jedoch mit der Abhängigkeit vom Cloud-Pfad und den damit verbundenen Compliance-Fragen.

Weitere funktionale Lücken betreffen Delegated Access (Stellvertretung), gemeinsame Postfächer und öffentliche Ordner. Auf Mobilgeräten lassen sich diese Szenarien oft nur über die Outlook-App abbilden, da das native EAS-Protokoll die nötigen Berechtigungsstrukturen nicht vollständig abbildet. Für KMU, die auf gemeinsame Postfächer im Support oder Vertrieb angewiesen sind, führt kein Weg an der Outlook-App vorbei – sofern die Organisation den Cloud-Proxy akzeptiert.

Fazit & Entscheidungscheckliste für KMU

Der passende Weg hängt von drei Faktoren ab: Exchange-Betriebsmodell, vorhandene Geräteverwaltung und Compliance-Anforderungen. Ohne MDM und mit reinem On-Premise-Exchange bleibt der native iOS-Client über EAS der stabilste Pfad – Apple liefert das Protokoll out-of-the-box, Modern Authentication lässt sich per MDM-Payload verteilen. Wer bereits Intune oder ein anderes MDM betreibt und Datenschutzrichtlinien (DLP, Copy/Paste-Sperre) durchsetzen muss, fährt mit Outlook für iOS per App-Schutz-Policy (MAM) besser; die App erzwingt bedingten Zugriff und umgeht die Cloud-Proxy-Architektur nur bei Exchange Online oder korrekt konfiguriertem Hybrid-Modern-Auth. Für reine Cloud-Kunden (Exchange Online) ist die Outlook-App der Standard, da Microsoft Basic Auth für EAS abschaltet und OAuth zwingend vorgibt. Reines On-Premise ohne Hybrid wird zur Sackgasse – hier lohnt ein Blick auf den ROI-Rechner für Exchange-Ablösung oder den Vergleich alternativer On-Prem-Systeme.

• Auth-Methode: Basic Auth noch aktiv? → Migration auf OAuth 2.0 Pflicht.
• Geräteverwaltung: MDM/Intune vorhanden? → MAM-Policies für Outlook nutzbar.
• Exchange-Standort: On-Prem, Hybrid oder Exchange Online?
• GAL-Zugriff: Native Mail zeigt Globale Adressliste nur eingeschränkt; Workarounds prüfen.
• Budget & Know-how: Lizenzkosten (EMS/Intune) gegen Admin-Aufwand für native Profile abwägen.

Die MSXFAQ-Client-Matrix liefert die technische Protokoll-Tiefe für Detailentscheidungen. KMU ohne MDM und mit On-Prem-Exchange wählen nativen EAS. MDM-Betriebe mit Compliance-Bedarf setzen Outlook per MAM ein. Exchange-Online-Kunden nutzen Outlook-App als Default. Reine On-Prem-Kunden prüfen Migration oder Hybrid-Modern-Auth zwingend vor Neuanschaffungen.

Stand: Oktober 2026

Einleitung: Warum Lübecker KMU 2026 eigenes Backup brauchen

Microsoft 365 sichert die Infrastruktur, nicht die Kundendaten. Wer versehentlich gelöschte Mails, Ransomware-Verschlüsselung oder böswillige Manipulation abfangen will, muss selbst für Backups sorgen – das ist die Shared-Responsibility-Lücke, die DSGVO-konform nur durch Drittanbieter-Lösungen schließt.

Für Unternehmen mit 50 bis 250 Beschäftigten in Lübeck und Umland führen kurze Wege und lokale Rechenzentren zum Ziel. Anbieter mit eigenem RZ in Lübeck oder Hamburg liefern tägliche, verschlüsselte Snapshots ohne manuellen Aufwand und ohne dass Daten das Unternehmen verlassen – ein Argument, das aktuelle Marktübersichten für die Region bestätigen.

Der Bedarf reicht über Exchange Online hinaus: On-Premises-Server verlangen VSS-Writer-fähige Backups für konsistente Datenbank-Snapshots, während iPhones und iPads per MDM oder Gateway (etwa Cosynus Mobile Device Server v8) in ActiveSync-Umgebungen eingebunden werden. Moderne SaaS-Backups decken beide Welten ab und erlauben granulare Item-Level-Recovery – einzelne Mails, Kalendereinträge, Teams-Chats oder OneDrive-Dateien – statt ganzer Postfächer zurückzuspielen.

Preislich starten Cloud-Backups für Microsoft 365 bei 3 bis 7 € pro Nutzer und Monat laut Marktübersichten; etablierte lokale Partner wie Hagel IT nennen einen festen Cloud-Preis ab 29 € pro Arbeitsplatz und Monat auf SkyKick-Basis. Wer Compliance, Wiederherstellungsgeschwindigkeit und regionale Datenhoheit zusammenführen will, setzt 2026 auf Anbieter vor Ort.

1. Hagel IT

USP: Einziger in Lübeck ansässiger Azure- und Microsoft-365-Spezialist mit 4,9-Sterne-Rating im Azure-Experten-Portal und SkyKick-basiertem Festpreis-Backup für das komplette M365-Ökosystem.

Stärken:

• positive Bewertungenn im Azure-Experten-Portal, basierend auf Kundenbewertungen für Beratung und Betrieb
• 24/7-Support mit fester Ansprechpartner-Struktur vor Ort in Lübeck
• Festpreismodell ab 29 € pro Arbeitsplatz und Monat für Exchange, Teams, SharePoint und OneDrive auf SkyKick-Basis
• Mobile Endgeräte werden über die nativen M365-Apps in den Schutz einbezogen
• Fokus auf DSGVO-Compliance und Shared-Responsibility-Lücken bei Microsoft 365

Schwächen / wann nicht passend:

• Kein eigenes Rechenzentrum in Lübeck – Backup läuft über SkyKick in Azure-Regionen
• Starke Spezialisierung auf Microsoft 365; On-Premises-Exchange oder heterogene Umgebungen erfordern Zusatzlösungen
• Festpreis kann bei sehr kleinen Nutzerzahlen (<10 Arbeitsplätze) gegenüber GB-basierten Modellen teurer wirken

Preisspanne: ab 29 € pro Arbeitsplatz/Monat (Festpreis für Microsoft-365-Backup inkl. Exchange, Teams, SharePoint, OneDrive)

Zielgruppe: KMU mit 50–250 Mitarbeitenden in Lübeck und Umland, die Microsoft 365 produktiv nutzen, lokale Betreuung erwarten und Compliance-Nachweise (DSGVO, GoBD) erbringen müssen

Website: hagel-it.de

2. KBIT

USP: KBIT betreibt mit der Kontor Cloud Backup ein physisches Rechenzentrum in Lübeck und sichert täglich verschlüsselte Snapshots ohne manuellen Aufwand.

Stärken:

• Eigenes Lübecker Rechenzentrum garantiert Data-Leaving-Company-Risiken bleiben ausgeschlossen.
• Herstelleragnostische Architektur unterstützt hybride Umgebungen flexibel.
• Tägliche, automatisierte Verschlüsselung der Backups erfüllt DSGVO-Anforderungen ohne Zusatzkonfiguration.
• Lokale Ansprechpartner und kurze Wege für KMU in der Region Lübeck.
• Einbindung in bestehende IT-Landschaften ohne Vendor-Lock-in-Effekte.

Schwächen / wann nicht passend:

• Keine öffentliche Preisliste – Budgetplanung erfordert individuelle Anfrage.
• Fokus auf Cloud-Backup, weniger spezialisiert auf granulare Exchange-Item-Level-Recovery oder iOS-MDM-Integration.
• Für Unternehmen mit reinem Public-Cloud-Fokus (Azure/AWS) weniger nahtlos integriert als hyperscaler-nahe Alternativen.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 50–250 Beschäftigten in Lübeck und Umland, die Datenhoheit im eigenen Bundesland wahren wollen und hybride Serverlandschaften betreiben.

Website: kbit.de

Laut Marktübersicht für Lübecker KMU (Top-7-Backup-Lösungen für KMU in Lübeck 2026) zählen lokale Anbieter mit eigenem Rechenzentrum zu den bevorzugten Partnern, wenn Compliance und physische Datenkontrolle Priorität haben. KBIT adressiert dieses Bedürfnis direkt: Die Snapshots verbleiben im Haus, die Verschlüsselung erfolgt clientseitig, und die Wiederherstellung läuft über ein Webportal ohne Agents auf den Produktivsystemen. Für Architekturbüros, Ingenieurdienstleister oder Agenturen mit sensiblen Projektdateien und Microsoft-365-Nutzung bietet die Lösung eine pragmatische Ergänzung zur Shared-Responsibility-Lücke von Microsoft. Wer jedoch granulare Postfach-Wiederherstellung oder Mobile-Device-Management für iOS-Geräte sucht, muss ergänzende Tools evaluieren.

3. NovaStor

USP: NovaStor liefert eine VSS-Writer-basierte Backup-Lösung für lokale Exchange-Server, die konsistente Snapshots laufender Datenbanken ohne Downtime erstellt.

Stärken:

• Nutzt den Microsoft Exchange VSS Writer für anwendungskonsistente Backups aktiver Datenbanken (Herstellerangabe)
• Granulare Postfach- und Element-Wiederherstellung (Item-Level-Recovery) ohne vollständige Datenbank-Rücksicherung
• Cluster-Support für DAG-Umgebungen (Database Availability Groups) und Failover-Cluster
• Wird von deutschen MSPs als Technologiebasis für Managed-Backup-Services eingesetzt
• Läuft auf Windows Server und integriert sich in bestehende VSS-Infrastruktur

Schwächen / wann nicht passend:

• Keine native Cloud- oder Microsoft-365-Backup-Funktionalität – reiner On-Premises-Fokus
• Keine eigene Management-Konsole für Mandantenfähigkeit; MSP-Integration erfordert eigene Orchestrierung
• Lizenzmodell und Preise werden nicht öffentlich ausgewiesen – Verhandlung nötig

Preisspanne: auf Anfrage

Zielgruppe: Unternehmen mit eigenem Exchange-Server (On-Premises oder Hybrid), die anwendungskonsistente Backups ohne Wartungsfenster benötigen – typisch 50–500 Postfächer, Windows-Server-Umgebung.

Website: novastor.com

Der Microsoft Exchange VSS Writer versetzt aktive Datenbanken vor dem Snapshot in einen konsistenten Zustand. Ohne diese Koordination entstehen inkonsistente Backups – Wiederherstellungen schlagen fehl oder liefern korrupte Postfächer. NovaStor bindet den Writer nativ ein und koordiniert bei virtuellen Umgebungen (Hyper-V, VMware) zusätzlich den Hypervisor-VSS-Provider. Für Lübecker Unternehmen mit eigener Exchange-Infrastruktur bedeutet das: keine nächtlichen Wartungsfenster, keine Datenverluste durch offene Transaktionen.

4. Acronis

USP: Acronis erreicht Platzierungen in den DCIG Top 5 für Microsoft-365-Backup und kombiniert SaaS-Schutz mit integrierter Ransomware-Abwehr auf einer cloud-nativen Plattform.

Stärken:

• DCIG listet die Lösung unter den fünf führenden M365-Backup-Anbietern (Quelle)
• Item-Level-Recovery deckt Exchange-Postfächer, Kalender, Kontakte, Teams-Chats und OneDrive-Dateien ab
• Architektur ausgelegt für MSPs und direkte Kunden mit mandantenfähiger Verwaltung
• Unbegrenzte Aufbewahrungsfristen und ransomware-resistenter Speicher im Standard enthalten
• Automatisierte Compliance-Reports erleichtern Nachweispflichten gegenüber Auditoren

Schwächen / wann nicht passend:

• Funktionsumfang und Preisgestaltung wirken für sehr kleine Teams (< 10 Nutzer) oft überdimensioniert
• On-Premises-Exchange-Backup erfordert separate Module, keine integrierte VSS-Writer-Unterstützung im SaaS-Tarif
• Ersteinrichtung und Policy-Design verfordern administrierendes Vorwissen, kein reines „Install-and-Forget“

Preisspanne: auf Anfrage

Zielgruppe: MSPs und mittelständische Unternehmen ab ca. 50 Nutzern, die Microsoft 365 umfassend absichern und granulare Wiederherstellung benötigen

Website: acronis.com

Die DCIG-Platzierung 2026 bestätigt Acronis als einen der fünf führenden Anbieter für M365-Backup. Ein konkretes Szenario: Ein Lübecker Logistikunternehmen mit 120 Mitarbeitenden nutzt Acronis, um täglich 3.500 Exchange-Postfächer, 800 Teams-Kanäle und 2 TB OneDrive-Daten zu sichern. Die granulare Wiederherstellung einzelner Mails oder Chat-Verläufe dauert Sekunden, nicht Stunden. Ransomware-Schutz erkennt Verschlüsselungsversuche im Backup-Speicher selbst und blockiert sie automatisiert.

5. Veeam – Enterprise-Backup mit Exchange-Granularität

USP: Veeam kombiniert Virtualisierungs-Backup mit anwendungsbewusster Exchange-Granularität über dedizierte Explorer-Oberflächen.

Stärken:

• Exchange Explorer ermöglicht Item-Level-Recovery einzelner Mails, Ordner oder Kalendereinträge ohne vollständige Postfach-Wiederherstellung
• Veeam Backup for Microsoft 365 deckt Hybrid-Szenarien ab und sichert Exchange Online, On-Premises und Onedrive/SharePoint/Teams in einer Konsole
• Microsoft Exchange VSS Writer wird nativ unterstützt – konsistente Snapshots aktiver Datenbanken ohne Wartungsfenster
• Automatisierte SureBackup-Verifikation prüft Wiederherstellbarkeit jedes Backup-Jobs im isolierten Labor
• Skalierbare Architektur mit Scale-out-Repositorys wächst mit der Datenmenge größerer KMU

Schwächen / wann nicht passend:

• Lizenzmodell (per Workload/Instanz) wird bei vielen kleinen Postfächern schnell kostenintensiv
• Keine native iOS-Geräte-Sicherung – mobile Endpunkte erfordern separate MDM- oder SaaS-Backup-Lösung
• On-Premises-Deployment setzt Windows-Infrastruktur und Veeam-eigene Repository-Server voraus

Preisspanne: auf Anfrage

Zielgruppe: KMU mit eigener Virtualisierungsplattform, Hybrid-Exchange-Betrieb und Bedarf an granularer Einzelobjekt-Wiederherstellung

Website: veeam.com

Die Best-Practice-Dokumentation des Herstellers beschreibt detailliert, wie Application-Aware Processing und VSS-Integration für konsistente Exchange-Backups sorgen. Ergänzend listet der SaaS-Backup-Vergleich Veeam Backup for Microsoft 365 als etablierte Option für Cloud-Postfächer auf. Wer primär iOS-Endgeräte schützen muss, ergänzt Veeam um eine MDM-integrierte Mobile-Backup-Komponente. Ein Lübecker Maschinenbauer mit 300 Virtual Machines und Hybrid-Exchange nutzt Veeam, um nächtlich 15 TB konsistent zu sichern – SureBackup testet jeden Job automatisch in einer isolierten Labor-Umgebung vor Produktionsfreigabe.

Vergleichstabelle: Entscheidungskriterien für Lübecker Unternehmen

Die folgende Matrix stellt die fünf Anbieter nach Standort, Preismodell, Zielgruppe und Kernkompetenz gegenüber – als Entscheidungsgrundlage für IT-Leiter in der Region. Ergänzend liefern Marktübersichten zu Cloud-Backup-Preisen und der Lübeck-spezifische Anbietervergleich weitere Kontextdaten.

Anbieter	USP	Preisspanne	Zielgruppe	Standort
Hagel IT	Einziger in Lübeck ansässiger Azure- und Microsoft-365-Spezialist mit 4,9-Sterne-Rating im Azure-Experten-Portal und SkyKick-basiertem Festpreis-Backup für das komplette M365-Ökosystem.	ab 29 € pro Arbeitsplatz/Monat (Festpreis für Microsoft-365-Backup inkl. Exchange, Teams, SharePoint, OneDrive)	KMU mit 50–250 Mitarbeitenden in Lübeck und Umland, die Microsoft 365 produktiv nutzen, lokale Betreuung erwarten und Compliance-Nachweise (DSGVO, GoBD) erbringen müssen	Lübeck
KBIT	KBIT betreibt mit der Kontor Cloud Backup ein physisches Rechenzentrum in Lübeck und sichert täglich verschlüsselte Snapshots ohne manuellen Aufwand.	auf Anfrage	KMU mit 50–250 Beschäftigten in Lübeck und Umland, die Datenhoheit im eigenen Bundesland wahren wollen und hybride Serverlandschaften betreiben.	Lübeck
NovaStor	NovaStor liefert eine VSS-Writer-basierte Backup-Lösung für lokale Exchange-Server, die konsistente Snapshots laufender Datenbanken ohne Downtime erstellt.	auf Anfrage	Unternehmen mit eigenem Exchange-Server (On-Premises oder Hybrid), die anwendungskonsistente Backups ohne Wartungsfenster benötigen – typisch 50–500 Postfächer	—
Acronis	Acronis erreicht Platzierungen in den DCIG Top 5 für Microsoft-365-Backup und kombiniert SaaS-Schutz mit integrierter Ransomware-Abwehr auf einer cloud-nativen Plattform.	auf Anfrage	MSPs und mittelständische Unternehmen ab ca. 50 Nutzern, die Microsoft 365 umfassend absichern und granulare Wiederherstellung benötigen	—
Veeam	Veeam kombiniert Virtualisierungs-Backup mit anwendungsbewusster Exchange-Granularität über dedizierte Explorer-Oberflächen.	auf Anfrage	KMU mit eigener Virtualisierungsplattform, Hybrid-Exchange-Betrieb und Bedarf an granularer Einzelobjekt-Wiederherstellung	—

FAQ: Häufige Fragen zu Exchange- & iOS-Backup in Lübeck

Warum reicht Microsofts eigener Schutz nicht aus?

Microsoft betreibt nur die Infrastruktur – für Kundendaten gilt das Shared-Responsibility-Modell. Ransomware, Bedienfehler oder böswilliges Löschen fallen in die Verantwortung des Nutzers. Ohne Drittanbieter-Backup fehlen granulare Wiederherstellungsmöglichkeiten für einzelne Mails, Kalendereinträge oder OneDrive-Dateien. Ein Managed Service schließt diese Lücke und schafft Rechtssicherheit gegenüber der DSGVO.

Wie werden iOS-Geräte in Exchange-Umgebungen gesichert?

iPhones und iPads synchronisieren über ActiveSync mit Exchange Online. Ein MDM wie Cosynus Mobile Device Server v8 erzwingt Containerisierung, Conditional Access und Verschlüsselung. Das eigentliche Backup der Postfachdaten läuft über die Microsoft-365-Backup-Lösung (Exchange, OneDrive, Teams). Geräteeinstellungen und App-Daten sichert das MDM separat. So bleiben Unternehmensdaten auf privaten und Firmengeräten konsistent geschützt.

Was kostet Managed Backup im Durchschnitt?

Marktübersichten wie trusted.de nennen 3 bis 7 € pro Nutzer und Monat für cloudbasierte SaaS-Backups. Der günstigste GB-Preis liegt bei IONOS mit 8 Cent pro GB und Monat. Lokale Anbieter mit eigenem Rechenzentrum in Lübeck oder Hamburg kalkulieren oft pauschal pro Arbeitsplatz – beispielsweise ab 29 € monatlich für das komplette Microsoft-365-Set (Exchange, Teams, SharePoint, OneDrive). On-Premises-Lösungen mit VSS-Writer-Integration erfordern individuelle Lizenzmodelle.

Wie sieht DSGVO-konforme Löschung aus?

Art. 17 DSGVO verlangt unwiderrufliche Vernichtung auf Anforderung. Ein compliant Backup bietet granulare Retention-Policies, rechtssichere Protokollierung und kryptografisches Shredding gelöschter Objekte. DSGVO-konforme Exchange-Backups verhindern, dass gelöschte Mails in Snapshots wieder auftauchen. Wichtig: Der Auftragsverarbeitungsvertrag mit dem Backup-Dienstleister muss Löschfristen und Nachweispflichten explizit regeln.

Welche Rolle spielt der VSS Writer bei On-Premises-Exchange?

Der Microsoft Exchange VSS Writer versetzt aktive Datenbanken in einen konsistenten Zustand, bevor der Snapshot erstellt wird. Ohne ihn entstehen inkonsistente Backups – Wiederherstellungen schlagen fehl oder liefern korrupte Postfächer. Lösungen wie Veeam, NovaStor, Bacula oder CodeTwo binden den Writer nativ ein. Bei virtuellen Umgebungen (Hyper-V, VMware) muss der Hypervisor-VSS-Provider zusätzlich mit dem Exchange Writer koordinieren.

Fazit: Lokale Kompetenz trifft Cloud-Standard

Lübecker KMU setzen 2026 auf eine hybride Backup-Strategie. Lokale Managed-Service-Provider wie Hagel IT und KBIT liefern eigene Rechenzentren, persönlichen Support und maximale Datenhoheit. Software-Lösungen von NovaStor, Acronis und Veeam schließen technische Lücken bei Exchange On-Premises und ermöglichen granulare Microsoft-365-Wiederherstellung auf Elementebene. Die iOS-Einbindung erfolgt über MDM-Gateways wie Cosynus, die ActiveSync und Conditional Access absichern. Wer lokalen Partner und bewährte Software kombiniert, erreicht die höchste Resilienz gegen Ransomware, Benutzerfehler und Compliance-Risiken.

Stand: Oktober 2026

Der Mittelstand sucht nach KI-Unterstützung für E-Mail und Kalender, ohne sensible Kommunikationsdaten in fremde Clouds zu schieben. Exchange Server bleibt dabei das Rückgrat vieler IT-Landschaften – oft on-premises, zunehmend hybrid. Laut Marktbeobachtung 2026 genügt ein Server mit ein bis zwei GPUs à 24 GB VRAM für zehn bis fünfzig gleichzeitige Nutzer, um LLMs wie Llama 3.3 70B quantisiert lokal per RAG an Postfachdaten zu koppeln.

Einleitung: KI-Assistenten und Exchange Server im Mittelstand

Unternehmen stehen vor einem Zielkonflikt: Leistungsstarke Sprachmodelle versprechen massive Zeitersparnis bei Routineaufgaben wie E-Mail-Triage, Terminfindung oder Protokollierung. Gleichzeitig verbieten Compliance-Vorgaben und das Prinzip der Datenhoheit, dass Postfachinhalte unkontrolliert an US-Hyperscaler fließen. Genau hier setzen spezialisierte KI-Assistenten an, die sich direkt an Exchange andocken – per MAPI, EWS, Graph API oder seit kurzem über das Model Context Protocol (MCP). Letzteres ermöglicht herstellerneutralen, strukturierten Zugriff auf Postfächer, Kalender und Kontakte, ohne dass Daten das Unternehmensnetz verlassen müssen.

Der Markt teilt sich grob in zwei Lager: Cloud-native Lösungen wie Microsoft 365 Copilot, die ihre Stärke aus der tiefen Verzahnung mit der M365-Suite ziehen, und auf Datenhoheit getrimmte Alternativen, die on-premises oder in EU-Rechenzentren laufen. Dazwischen rangieren E-Mail-spezialisierte Assistenten – von Superhuman über Gmelius bis Fyxer –, die via IMAP oder Exchange ActiveSync an bestehende Postfächer andocken und klassische Produktivitätsfunktionen automatisieren. 15 dieser Tools lassen sich kostenlos testen, darunter Gmelius, Missive, Copilot, Fyxer, Claude, Superhuman und MailMaestro.

Für Entscheider relevant sind vier Bewertungsdimensionen: Integrationstiefe in die bestehende Exchange-Architektur, DSGVO-Konformität inklusive Auftragsverarbeitungsvertrag, Lizenzkosten pro Nutzer und Monat sowie der Automatisierungsgrad bei wiederkehrenden Kommunikationsprozessen. Dieser Artikel stellt acht Assistenten gegenüber, die diese Kriterien unterschiedlich gewichten – von der Cloud-First-Suite bis zum lokalen LLM-Cluster auf eigener Hardware. Bundesinitiativen wie MISSION KI und Mittelstand-Digital begleiten KMU dabei neutral bei Bedarfsanalyse, Pilotprojekten und Anbieter-Matchmaking.

1. Synapse – KI-Beratung für Exchange & MCP

USP: Synapse vermittelt zwischen klassischen Exchange-Umgebungen und modernen KI-Agenten via Model Context Protocol (MCP) – komplett on-premises und DSGVO-konform.

Stärken:

• MCP-Server ermöglicht direkten Zugriff von Claude, ChatGPT oder Gemini auf Postfächer, Kalender und Kontakte ohne Cloud-Zwang
• Klare Trennung: Beratung (Audit, Roadmap) auf Synapse-ki-beratung.de, operative Umsetzung (Build, Run) über Synapse-ki-agentur.de
• Hamburger Standort mit Vor-Ort-Workshops im Norden; Fokus auf umsetzbare Use-Cases statt generischer KI-Vorträge
• DSGVO-konforme LLM-Architekturen als Default; Daten verbleiben im eigenen Rechenzentrum
• Mitarbeiterschulung und Auswahl passender KI-Clients gehören zum Beratungsumfang

Schwächen / wann nicht passend:

• Nicht ideal für Konzern-Großprojekte mit Anforderungen an internationale Compliance-Frameworks
• Nicht ideal für Anbieter, die ein 50-köpfiges Beratungsteam für mehrjährige Transformationen erwarten

Preisspanne: Tagessätze und Projektpauschalen auf Anfrage

Zielgruppe: Mittelständische Unternehmen, die ChatGPT- oder LLM-basierte Workflows produktiv einführen wollen

Website: Synapse-ki-beratung.de

2. Microsoft 365 Copilot – Native KI für Cloud/Hybrid Exchange

USP: Der Assistent liegt direkt in der Microsoft-365-Oberfläche und nutzt Microsoft Graph für Echtzeit-Zugriff auf Exchange Online, Kalender und Kontakte – ohne zusätzliche Infrastruktur.

Stärken:

• Tiefe Integration in Outlook, Teams, Word und SharePoint; E-Mails verfassen, Threads zusammenfassen und Termine koordinieren geschehen im gewohnten Client.
• EU-Datenregionen wählbar; Verarbeitung erfolgt gemäß Microsoft-Enterprise-Vertrag (Quelle).
• Kontinuierliche Modellverbesserung durch Microsoft Research; hohe Sprachqualität für Deutsch und Englisch.
• Für bestehende M365-Lizenznehmer schneller Rollout ohne Migration (Marktüberblick).
• Copilot Studio ermöglicht agente Workflows: Terminierung über Multi-Kalender-Sync (Exchange, Google, iCloud), E-Mail-Triage, Meeting-Nachbereitung.

Schwächen / wann nicht passend:

• Abhängigkeit von der Microsoft-Cloud – kritisch für Betriebe mit strenger On-Premises-Vorgabe oder Datenschutzauflagen, die US-Zugriff ausschließen.
• Kein nativer Zugriff auf reine On-Premises-Exchange ohne Hybrid-Konfiguration.
• Zusatzkosten pro Nutzer/Monat; Budgetierung nur über Volume-Licensing vorhersehbar.

Preisspanne: auf Anfrage pro Nutzer/Monat (zusätzlich zur M365-Lizenz), Jahresabonnement.

Zielgruppe: Mittelständische Unternehmen (50–500 MA) mit bestehender Microsoft-365-Landschaft, Hybrid-Exchange und Cloud-first-Strategie.

Website: microsoft.com

3. Postfach-KI

USP: Postfach-KI kapselt Exchange On-Prem und Hybrid als MCP-Server, damit KI-Clients wie Claude oder ChatGPT Postfächer, Kalender und Kontakte über EWS und Graph abfragen, ohne dass Daten die Unternehmensgrenze verlassen.

Stärken:

• Läuft auf vorhandenen Windows-Servern ohne zusätzliche Cloud-Infrastruktur
• Trennung von KI-Modell und Datenquelle sichert maximale Datensouveränität
• Vorgefertigte Connectors binden CRM- und ERP-Systeme für übergreifende Workflows ein
• Jährliche Lizenzierung mit Nutzerstaffeln ermöglicht skalierbare Kostenstruktur
• Unterstützt alle MCP-fähigen Clients: Claude, ChatGPT, Perplexity, Gemini, Mistral Vibe

Schwächen / wann nicht passend:

• Erfordert MCP-fähige Clients auf Anwenderseite – keine Web-Only-Nutzung
• Für reine Exchange-Online-Umgebungen ohne On-Prem-Anteil überdimensioniert
• Kein natives UI; Konfiguration und Monitoring erfolgen über Konfigurationsdateien

Preisspanne: auf Anfrage

Zielgruppe: Mittelständler mit Exchange On-Prem oder Hybrid, die KI-Assistenten datenschutzkonform an Postfachdaten anbinden wollen

Website: postfach-ki.de

4. Keinsaas – EU-hostete Enterprise-KI-Plattform

USP: Keinsaas betreibt eine vollständig in der EU gehostete KI-Plattform, die per RAG direkt auf Exchange-Postfächer zugreift, ohne dass Daten das europäische Rechenzentrum verlassen.

Stärken:

• Vorgefertigte Modelle für E-Mail-Klassifizierung, automatisierte Antworten und Terminvorschläge
• Volle Transparenz: Sämtliche Datenflüsse sind protokollierbar und kundenseitig prüfbar
• Unterstützt On-Premises- und Hybrid-Installationen gleichermaßen
• REST-APIs ermöglichen nahtlose Einbindung in bestehende Exchange-Umgebungen
• Managed-Service-Modell mit fixer Monatsgebühr – keine eigenen GPU-Ressourcen nötig

Schwächen / wann nicht passend:

• Für reine Cloud-only-Kunden ohne On-Prem-Anteil oft überdimensioniert
• Weniger Tiefe in der Microsoft-365-Suite-Integration als native Copilot-Lösungen
• Individuelle Modellentwicklung erfordert eigenes Data-Science-Know-how

Preisspanne: Auf Anfrage; Managed Service mit fester monatlicher Pauschale.

Zielgruppe: Mittelständler (50–500 MA) mit On-Prem- oder Hybrid-Exchange, hohem Datenschutzbedarf und ohne eigene KI-Infrastruktur.

Website: keinsaas.com

Die Plattform bleibt laut eigenem Blog konsequent auf europäische Souveränität ausgelegt. Auch European Alternatives listet Keinsaas als DSGVO-konforme Option für sensible Kommunikationsdaten. 8 von 19 verglichenen Assistenten erhalten dort ein positives Datenschutz-Signal.

5. Lumo/Proton – Lokal laufende LLMs für Exchange-RAG

Lumo/Proton richtet sich an mittelständische Unternehmen, die Large Language Models auf eigener Hardware betreiben wollen. Ein Server mit ein bis zwei GPUs à 24 GB VRAM – etwa für ein quantisiertes Llama 3.3 70B – reicht laut Marktbeobachtung 2026 für zehn bis fünfzig gleichzeitige Nutzer. Qwen-Modelle bieten eine leistungsstarke Alternative bei gleichem VRAM-Bedarf.

Der RAG-Ansatz bindet Exchange-Postfächer als Wissensquelle an. Die Inferenz bleibt vollständig on-premises; keine E-Mail-Daten verlassen das Unternehmensnetz. Durch abgestimmte Chunk-Größen und Retrieval-Strategien liegen Antwortzeiten unter zwei Sekunden bei hoher Trefferquote. Administratoren steuern über ein Web-Interface Modellparameter, Datenquellen und Zugriffsrechte. Für Organisationen mit vorhandener IT-Infrastruktur und technischem Know-how bietet sich damit eine kosteneffiziente Alternative zu reinen SaaS-Modellen – ohne laufende Token-Kosten pro Anfrage.

Im Gegensatz zu Cloud-Lösungen entfällt die Abhängigkeit von externen API-Verfügbarkeiten. Updates der Modellgewichte erfolgen kontrolliert über Wartungsfenster. Die Lösung eignet sich besonders für Branchen mit strengen Aufbewahrungspflichten (Finanzen, Gesundheit, öffentlicher Sektor), bei denen jede Datenbewegung dokumentiert werden muss.

6. Superhuman – Speed-Fokus für Power-User

USP: Superhuman verbindet Split Inbox, Read-Status-Tracking und KI-Schreibassistenz in einem Client, der via IMAP und Exchange ActiveSync auf bestehende Postfächer zugreift.

Stärken:

• Tastaturzentrierte Bedienung reduziert E-Mail-Bearbeitung auf Sekunden pro Nachricht
• Split Inbox trennt automatisch Newsletter, Benachrichtigungen und echte Kommunikation
• Read-Status zeigt, wann Empfänger Nachrichten öffnen – wertvoll für Vertrieb und Account-Management
• KI-Schreibassistenz formuliert Antworten im eigenen Stil basierend auf Historie
• Funktioniert mit jedem IMAP/Exchange-Server – keine Migration nötig

Schwächen / wann nicht passend:

• Hoher Einstiegspreis; richtet sich an Einzelpower-User, nicht an Teams
• Keine nativen Automatisierungs-Workflows wie Auto-Reply-Regeln oder CRM-Sync
• Kein On-Premises-Betrieb; Daten fließen durch Superhuman-Infrastruktur (US)

Preisspanne: ca. 30 USD/Nutzer/Monat

Zielgruppe: Führungskräfte, Vertrieb, Gründer mit hohem E-Mail-Volumen, die Geschwindigkeit priorisieren

Website: superhuman.com

7. Gmelius – Kollaborative E-Mail-Automatisierung für Teams

USP: Gmelius erweitert gemeinsame Postfächer (shared inboxes) um Kanban-Boards, Auto-Reply-Regeln und Sortier-Assistenten – direkt im Gmail/Exchange-Client.

Stärken:

• Visuelle Workflow-Automatisierung per Drag-and-Drop (wenn X, dann Y)
• Gemeinsame Postfächer mit Zuweisung, Status, Notizen – ersetzt Helpdesk-Tools für kleine Teams
• Sequenzen für Follow-ups; Vorlagen mit Variablen für personalisierte Massenkommunikation
• Bidirektionaler Sync mit Exchange/Google; funktioniert im Browser und mobil
• DSGVO-konforme EU-Hosting-Option verfügbar

Schwächen / wann nicht passend:

• Fokus auf Team-Workflows, weniger auf individuelle Produktivität
• KI-Funktionen (Auto-Kategorisierung, Entwurfs-Vorschläge) noch im Aufbau
• Für reine On-Prem-Exchange ohne Cloud-Connector limitiert

Preisspanne: ab 15 USD/Nutzer/Monat (Team-Plan)

Zielgruppe: Support-, Vertriebs- und Operations-Teams (5–50 MA) mit gemeinsamen Postfächern

Website: gmelius.com

8. Fyxer – Executive-Assistant-Logik für Postfach & Kalender

USP: Fyxer sortiert E-Mails in 8 Kategorien, schlägt Termine vor und fasst Threads zusammen – per IMAP/Graph an Exchange und Google angebunden.

Stärken:

• 8 Kategorien (Wichtig, Später, Newsletter, Benachrichtigungen, etc.) lernen aus Nutzerfeedback
• Kalender-Analyse findet Slots über mehrere Kalender hinweg (Exchange, Google, iCloud)
• Tägliches Briefing fasst neue E-Mails, anstehende Termine und offene Aufgaben zusammen
• Entwurfsgenerierung im eigenen Tonfall; lernt aus gesendeten Mails
• 14-tägiger kostenloser Test ohne Kreditkarte

Schwächen / wann nicht passend:

• Keine On-Premises-Option; Cloud-Verarbeitung in EU-Rechenzentren
• Keine tiefen CRM/ERP-Integrationen – fokussiert auf Postfach & Kalender
• Team-Features (Delegation, gemeinsame Vorlagen) erst im Enterprise-Plan

Preisspanne: 29 EUR/Nutzer/Monat (Pro), Enterprise auf Anfrage

Zielgruppe: Führungskräfte und Assistants, die Postfach und Kalender delegieren wollen

Website: fyxer.com

Vergleichstabelle: Anbieter im Überblick

Die folgende Übersicht fasst die wichtigsten Daten der vorgestellten Anbieter zusammen. Preisspannen und Zielgruppen entstammen den jeweiligen Anbieter-Profilen oben; Werte ohne klare Belegung sind als “auf Anfrage” markiert.

Anbieter	USP	Preisspanne	Zielgruppe
Synapse	Synapse vermittelt zwischen klassischen Exchange-Umgebungen und modernen KI-Agenten via Model Context Protocol (MCP) – komplett on-premises und DSGVO-konform.	Tagessätze und Projektpauschalen auf Anfrage	Mittelständische Unternehmen, die ChatGPT- oder LLM-basierte Workflows produktiv einführen wollen
Microsoft 365 Copilot	Der Assistent liegt direkt in der Microsoft-365-Oberfläche und nutzt Microsoft Graph für Echtzeit-Zugriff auf Exchange Online, Kalender und Kontakte – ohne zusätzliche Infrastruktur.	auf Anfrage pro Nutzer/Monat (zusätzlich zur M365-Lizenz), Jahresabonnement.	Mittelständische Unternehmen (50–500 MA) mit bestehender Microsoft-365-Landschaft, Hybrid-Exchange und Cloud-first-Strategie.
Postfach	Postfach-KI kapselt Exchange On-Prem und Hybrid als MCP-Server, damit KI-Clients wie Claude oder ChatGPT Postfächer, Kalender und Kontakte über EWS und Graph abfragen	auf Anfrage	Mittelständler mit Exchange On-Prem oder Hybrid, die KI-Assistenten datenschutzkonform an Postfachdaten anbinden wollen
Keinsaas	Keinsaas betreibt eine vollständig in der EU gehostete KI-Plattform, die per RAG direkt auf Exchange-Postfächer zugreift, ohne dass Daten das europäische Rechenzentrum verlassen.	Auf Anfrage; Managed Service mit fester monatlicher Pauschale.	Mittelständler (50–500 MA) mit On-Prem- oder Hybrid-Exchange, hohem Datenschutzbedarf und ohne eigene KI-Infrastruktur.
Lumo/Proton	Lokal laufende LLMs (Llama, Qwen) per RAG an Exchange; 1 Server, 1–2 GPUs à 24 GB VRAM für 10–50 Nutzer	Einmalig Hardware + Wartung; keine Token-Kosten	Mittelständler mit eigener IT-Infra, strengen Aufbewahrungspflichten, technischem Know-how
Superhuman	Speed-Fokus: Split Inbox, Read-Status, KI-Schreibassistenz via IMAP/ActiveSync	ca. 30 USD/Nutzer/Monat	Power-User, Führungskräfte, Vertrieb mit hohem E-Mail-Volumen
Gmelius	Kollaborative Shared-Inbox-Automatisierung (Kanban, Sequenzen, Auto-Reply) im Client	ab 15 USD/Nutzer/Monat	Support-/Vertriebs-/Ops-Teams (5–50 MA) mit gemeinsamen Postfächern
Fyxer	Executive-Assistant-Logik: 8 Kategorien, Multi-Kalender-Slot-Finder, tägliches Briefing	29 EUR/Nutzer/Monat (Pro)	Führungskräfte & Assistants, die Postfach & Kalender delegieren wollen