In vielen Unternehmen steht Microsoft Intune längst, Compliance-Regeln greifen, Conditional Access ist scharf geschaltet — und trotzdem sitzt jemand aus der IT im Besprechungsraum, packt MacBooks aus, meldet sich lokal an und lädt das Company Portal herunter. Der Widerspruch fällt selten auf, weil beides gleichzeitig wahr ist: Die Geräte sind verwaltet, und die Einrichtung ist reine Handarbeit geblieben.

Der Grund liegt nicht an Intune, sondern an einer Zuständigkeitsgrenze, die Microsoft in seiner Dokumentation zwar nennt, aber nie betont. Die Registrierung eines Apple-Geräts im Auslieferungszustand ist kein MDM-Vorgang, sondern ein Apple-Vorgang. Wer diesen Teil nicht eingerichtet hat, betreibt ein vollständiges MDM ohne den einen Effekt, wegen dem MDM überhaupt angeschafft wird.

Die Umbenennung vom April 2026 und warum sie im Alltag Reibung erzeugt

Apple hat am 24. März 2026 Apple Business angekündigt und die Plattform zum 14. April 2026 verfügbar gemacht. Sie führt zusammen, was bis dahin drei getrennte Angebote waren: Apple Business Manager, Apple Business Essentials und Apple Business Connect. Alle drei sind nach dem Start nicht mehr verfügbar; Business-Essentials-Kunden wird die monatliche Servicegebühr für die Geräteverwaltung seit dem 14. April nicht mehr berechnet. Der Dienst ist kostenlos und in mehr als 200 Ländern und Regionen erreichbar.

Für die Praxis heißt das vor allem: Beschriftungen laufen auseinander. Apples Handbuch trägt weiterhin den Titel „Apple Business Manager — Benutzerhandbuch” und erklärt im ersten Satz, dass der Dienst jetzt Apple Business heißt. Microsoft hat seine Intune-Dokumentation nachgezogen und schreibt inzwischen durchgängig vom „Apple Business portal”; ältere Anleitungen, interne Runbooks und Screenshots sprechen dagegen noch von ABM oder gar vom Device Enrollment Program. Wer eine Migration plant, sollte Suchbegriffe in beiden Schreibweisen führen, sonst findet die halbe Belegschaft die richtige Seite nicht.

Was Intune auf macOS und iOS tatsächlich steuert

Intune ist auf Apple-Plattformen ein vollwertiger MDM-Server. Es verteilt Konfigurationsprofile über den Settings Catalog, bewertet Geräte gegen Compliance-Richtlinien, koppelt das Ergebnis an Conditional Access, installiert Apps aus dem Volumenlizenzprogramm und richtet Platform SSO ein, damit sich Beschäftigte am Mac mit den Entra-ID-Anmeldedaten anmelden. Bei automatisierter Registrierung lässt sich die Platform-SSO-Richtlinie schon während des Setup-Assistenten ausrollen.

Auch die weniger sichtbaren Bausteine sind abgedeckt. Intune kann bei der Registrierung ein lokales Administratorkonto anlegen und dessen Passwort über die macOS-Variante von LAPS verwalten — 15 Zeichen, verschlüsselt hinterlegt, standardmäßig alle sechs Monate automatisch rotiert. Über die Option „Await final configuration” hält der Setup-Assistent das Gerät kurz vor dem Schreibtisch an, bis die wichtigsten Richtlinien installiert sind; in Microsofts eigener Produktvalidierung waren die meisten Testgeräte binnen 15 Minuten durch. Nichts davon funktioniert allerdings ohne die Voraussetzungen, die Apple beisteuert.

Die Arbeitsteilung: Apple liefert Identität, Microsoft die Regeln

Zwischen Intune und einem Apple-Gerät stehen drei Artefakte, die alle bei Apple entstehen und alle ein Ablaufdatum tragen. Das MDM-Push-Zertifikat autorisiert Intune überhaupt, mit Apple-Geräten zu sprechen; ohne es lässt sich kein macOS- oder iOS-Gerät registrieren. Der Registrierungsprogramm-Token verknüpft eine Apple-Business-Instanz mit genau einem MDM-Server. Der Token für App- und Buchlizenzen regelt die Beschaffung. Fällt eines dieser Teile aus, bricht nicht die Konfiguration weg, sondern der Nachschub.

Zero-Touch hängt an einem einzigen Token

Automated Device Enrollment — früher als Device Enrollment Program, kurz DEP, geführt — funktioniert nur für Geräte, die über Apple Business oder Apple School Manager beschafft wurden und dort mit ihrer Seriennummer geführt sind. Microsoft beschreibt den Effekt nüchtern: Die Registrierungsrichtlinie wird über die Luft ausgeliefert, physischer Zugriff auf die Geräte ist nicht nötig. Genau das ist der Unterschied zwischen einem Karton, der zum Schreibtisch geliefert wird, und einem Karton, der erst in die IT muss.

1. Push-Zertifikat erzeugen Signieranfrage in Intune herunterladen, im Apple Push Certificates Portal ein Zertifikat erstellen und in Intune hochladen. Die dabei verwendete Apple-ID sollte eine überwachte Verteilerliste sein, kein persönlicher Account.
2. Apple Business verbinden Öffentlichen Schlüssel aus Intune im Apple-Business-Portal einspielen, den Server-Token als .p7m herunterladen und zurück in Intune laden.
3. Registrierungsrichtlinie anlegen Unter „Enrollment program tokens” eine Richtlinie je Gerätetyp erstellen und als Standard setzen — synchronisierte Geräte ohne zugewiesene Richtlinie scheitern beim Einschalten.
4. Beschaffung anbinden Händler oder Apple-Kundennummer so hinterlegen, dass neue Bestellungen automatisch in Apple Business auftauchen. Dieser Schritt gehört in den Einkauf, nicht in die IT.

Die Alternativen zu ADE und was sie einschränken

Intune kennt für Macs drei weitere Wege, und jeder verzichtet auf etwas. Die nutzergestützte Registrierung über das Company Portal — bei Apple „user approved enrollment” — ist für private Geräte gedacht; Microsoft empfiehlt sie ausdrücklich nicht für Firmengeräte, die dabei standardmäßig als privat einsortiert werden. Direct Enrollment erzeugt Geräte ohne Nutzerzuordnung und setzt physischen Zugriff voraus. Ein Konto als Device Enrollment Manager kann bis zu 1.000 Geräte registrieren, aber ausdrücklich keines über Automated Device Enrollment.

Was Supervision technisch freischaltet

Der Unterschied zwischen registriert und überwacht ist kein Etikett, sondern entscheidet über konkrete Fähigkeiten. Bootstrap-Token etwa lassen sich laut Microsoft nur auf überwachten Macs und auf Geräten aus dem automatisierten Enrollment nutzen. Sie erteilen lokalen Konten den Status als Volume Owner und erlauben damit, dass Beschäftigte ohne Administratorrechte Systemupdates auslösen und auf Apple-Silicon-Maschinen Kernel-Erweiterungen genehmigen können. Fehlt der Token, landet jede dieser Aktionen wieder bei einem Administrator.

Ebenfalls an das automatisierte Enrollment gebunden ist die Sperre gegen Deregistrierung: Über „Locked enrollment” lassen sich die Stellen in den Systemeinstellungen und im Terminal abschalten, an denen sich das Verwaltungsprofil entfernen ließe. Diese Einstellung ist nach der Registrierung nicht mehr änderbar, ohne das Gerät zu löschen. Wer ein Gerät stattdessen über das Company Portal registriert, kann es technisch nicht daran hindern, die Verwaltung wieder abzuwerfen.

Declarative Device Management: was Intune davon unterstützt

Apples aktueller Verwaltungsansatz heißt Declarative Device Management und verlagert Logik vom Server auf das Gerät. Statt dass ein MDM-Server den Zustand abfragt, meldet das Gerät Änderungen über einen Statuskanal von sich aus. Apple beschreibt den Vorteil in der Platform-Deployment-Dokumentation so, dass Organisationen mehr Sicherheit über den gewünschten Gerätezustand bekommen — auch ohne durchgehende Internetverbindung.

Intune setzt darauf inzwischen die Update-Steuerung für Apple-Geräte auf. Die klassischen, MDM-basierten Update-Richtlinien sind als veraltet markiert; empfohlen sind Richtlinien aus dem Settings Catalog unter „Declarative Device Management”. Zwei Modelle stehen bereit: „Latest version” installiert die jeweils neueste zulässige Version nach einer Karenzzeit in Tagen zu einer festgelegten Uhrzeit, „Targeted version” zwingt auf eine bestimmte Build- oder OS-Version zu einem Stichtermin. Voraussetzung sind iOS/iPadOS 17.0 oder macOS 14.0 aufwärts — und hier gilt die Grenze ausnahmsweise nicht: Beide Registrierungswege, Device Enrollment wie Automated Device Enrollment, werden unterstützt. Für verpflichtende Volumenlizenz-Apps hat Microsoft die deklarative Auslieferung mit der 26er-Generation der Betriebssysteme nachgezogen.

Geräte aus dem Handel nachtragen — und die 30-Tage-Frist

Ein Bestand aus Elektronikmarkt- und Amazon-Käufen lässt sich nachrüsten, aber nicht folgenlos. Über Apple Configurator lassen sich Geräte manuell in Apple Business aufnehmen. Apple verknüpft das jedoch mit einer Einschränkung, die viele Projekte übersehen: Wird ein so hinzugefügtes Gerät an eine Person übergeben, hat diese 30 Tage lang die Möglichkeit, es aus Apple Business, aus der Supervision und aus der Geräteverwaltung zu lösen. Erst danach ist der Zustand stabil, und erst danach lässt sich das Gerät regulär auf einen anderen Verwaltungsdienst migrieren.

Praktisch bedeutet das einen Rollout in zwei Takten: Geräte einsammeln, zurücksetzen, nachtragen, 30 Tage laufen lassen — oder von vornherein über einen Händler bestellen, der die Seriennummern direkt in Apple Business einliefert. Für Neubeschaffung ist der zweite Weg fast immer der günstigere, weil er den Rücklauf komplett spart. Statcounter weist für Deutschland im August 2026 unter den Desktop-Betriebssystemen zwei Apple-Kategorien aus, „OS X” mit 15,84 % und „macOS” mit 5,82 % — zusammen gut ein Fünftel; auf mobilen Geräten kommt iOS auf 27,54 %. Der Bestand, um den es geht, ist in den meisten Häusern also längst zweistellig.

Wo Intune bei Apple-Geräten wirklich aufhört

Die rechte Spalte ist keine Kritik an Intune, sondern eine Beschreibung der Protokollgrenze. Apple hat die Gerätehoheit bewusst an den eigenen Unternehmensaccount gebunden, und jedes MDM am Markt — Intune eingeschlossen — sitzt hinter dieser Schranke. Ein Gerät spricht zudem immer nur mit genau einem MDM-Dienst; Apple Business bringt seit April 2026 eine eigene, eingebaute Geräteverwaltung mit, die sich mit einem angebundenen Drittanbieter-MDM nicht parallel betreiben lässt. Die Entscheidung fällt einmal, nicht pro Richtlinie.

Fristen, Zuständigkeiten und der richtige Zeitpunkt

Drei Termine bestimmen, ob die Kette im zweiten Jahr noch trägt: Push-Zertifikat, Registrierungs-Token und Lizenz-Token laufen jeweils nach 365 Tagen ab. Für das Push-Zertifikat gibt es danach 30 Tage Kulanz, für die anderen beiden ist das Ende der Frist auch das Ende der Funktion — neue Geräte kommen dann schlicht nicht mehr an. Weil alle drei an eine Apple-ID gebunden sind, ist die wichtigste organisatorische Maßnahme unspektakulär: eine überwachte Sammeladresse statt eines persönlichen Accounts, und drei Kalendereinträge mit Vorlauf.

Wer Apple-Geräte mit Intune verwalten will, ohne diese Fristen und die Apple-Business-Anbindung dauerhaft im eigenen Haus zu tragen, kann das Mandat abgeben und Intune betreiben lassen statt selbst zu betreuen. Der Hamburger Anbieter kjello etwa führt Geräte- und Inventarverwaltung, Onboarding und Support in einem Portal zusammen; dahinter steht das Systemhaus hagel IT, das seit 2004 am Markt ist. Für Häuser mit 20 bis 250 Beschäftigten ist das oft der pragmatischere Zuschnitt als eine halbe Planstelle für Tokenpflege.

Der günstigste Zeitpunkt für die Einrichtung ist ohnehin nicht der Rollout, sondern die Bestellung davor. Apple Business ist kostenlos; für die Anmeldung der Organisation verlangt Apple eine Business-ID — in Deutschland die D-U-N-S-Nummer — sowie eine bestätigte Domain, und die Verzeichniskopplung an Microsoft Entra ID ist dokumentiert. Wird das vor der ersten Lieferung erledigt, entfällt der gesamte Nacharbeitspfad mit Zurücksetzen, Configurator und 30-Tage-Frist. Wird es danach erledigt, bezahlt man dieselbe Einrichtung zweimal — einmal als Projekt und einmal als Handarbeit an jedem einzelnen Karton.

Häufige Fragen

Heißt Apple Business Manager jetzt Apple Business?

Ja. Apple hat die Plattform am 24. März 2026 angekündigt und zum 14. April 2026 gestartet. Apple Business fasst Apple Business Manager, Apple Business Essentials und Apple Business Connect zusammen; die drei Vorgängerangebote sind seitdem nicht mehr verfügbar. Apples Handbuch führt den alten Titel noch, weist aber im ersten Satz auf die neue Bezeichnung hin.

Braucht man für Intune zwingend einen Apple-Business-Account?

Für die reine Verwaltung nicht — Macs und iPhones lassen sich auch ohne ihn über das Company Portal registrieren, sofern ein Apple-MDM-Push-Zertifikat vorliegt. Für Automated Device Enrollment, Supervision, verwaltete Apple Accounts und Volumenlizenz-Apps ist der Account dagegen Voraussetzung. Ohne ihn gibt es kein Zero-Touch-Enrollment.

Lassen sich im Handel gekaufte Macs nachträglich in Zero-Touch überführen?

Ja, über Apple Configurator, aber mit Einschränkung. Nach der Übergabe an eine Person kann diese das Gerät 30 Tage lang wieder aus Apple Business, der Supervision und der Geräteverwaltung lösen. Das Gerät muss dafür zurückgesetzt werden, und eine Migration auf einen anderen Verwaltungsdienst ist erst nach Ablauf dieser Frist möglich.

Unterstützt Intune Declarative Device Management?

Ja, insbesondere für Betriebssystem-Updates. Microsoft markiert die früheren MDM-basierten Update-Richtlinien als veraltet und empfiehlt Richtlinien aus dem Settings Catalog unter „Declarative Device Management”, wahlweise als „Latest version” mit Karenzzeit oder als „Targeted version” mit festem Stichtermin. Voraussetzung sind iOS/iPadOS 17.0 oder macOS 14.0 aufwärts; beide Registrierungswege werden unterstützt.

Was passiert, wenn das Apple-MDM-Push-Zertifikat abläuft?

Das Zertifikat ist 365 Tage gültig und muss jährlich erneuert werden. Nach Ablauf gibt es laut Microsoft eine Kulanzfrist von 30 Tagen. Die Erneuerung muss mit derselben Apple-ID erfolgen, mit der das Zertifikat erstellt wurde — deshalb sollte dafür eine überwachte Unternehmensadresse und kein persönlicher Account verwendet werden.