Apple Business Manager (ABM)
Das Apple Business Manager Portal ist die zentrale Voraussetzung für die professionelle Verwaltung aller Apple-Geräte (iPhone, iPad, Mac) über Microsoft Intune. Es ermöglicht die automatische Geräteregistrierung (ADE, ehemals DEP), die lizenzfreie App-Verteilung (VPP) und das APNs-Zertifikat für die MDM-Kommunikation.
Ohne ABM kein Enterprise Apple Management. Ohne die drei Token (APNs, ADE, VPP) können Apple-Geräte nicht supervised verwaltet, Apps nicht silent installiert und Geräte nicht automatisch in Intune enrollt werden. ABM-Setup ist daher immer der erste Schritt bei jedem Apple-Projekt.
Architektur-Ăśbersicht
Die drei Token — Übersicht
| Token | Zweck | Laufzeit | Erneuerung | Auswirkung bei Ablauf |
|---|---|---|---|---|
| APNs-Zertifikat | MDM-Kommunikation zwischen Intune und Apple-Geräten | 365 Tage | Jährlich über Apple Push Certificates Portal | 🔴 Kritisch: ALLE iOS/macOS-Geräte verlieren die Verbindung zu Intune |
| ADE-Token (ehemals DEP) | Automatische Geräteregistrierung — Zero-Touch Enrollment | 365 Tage | Jährlich im ABM Portal erneuern und in Intune hochladen | 🟡 Bestehende Geräte unberührt, neue Geräte können nicht automatisch enrollt werden |
| VPP-Token | Volumenlizenzen für Apps — Silent App Push ohne Apple ID | 365 Tage | Jährlich im ABM Portal erneuern und in Intune hochladen | 🟡 App-Zuweisung und -Updates funktionieren nicht mehr |
Alle drei Token laufen nach genau 365 Tagen ab! Die Erneuerung muss proaktiv eingeplant werden. Empfehlung: Kalendererinnerung 30 + 14 + 7 Tage vor Ablauf einrichten. Bei Managed Service Kunden ĂĽbernimmt Concat dieses Monitoring.
Initiales Setup
1. ABM Account
Apple Business Manager Account erstellen
Wer: Concat Consultant gemeinsam mit dem Kunden
Voraussetzung: Der Kunde benötigt eine D-U-N-S-Nummer (kann bei Apple beantragt werden, Dauer 1-3 Wochen).
ABM Registrierung starten
business.apple.com aufrufen → „Enroll now” → Unternehmensdetails eingeben (Name, D-U-N-S, Adresse).
Verifizierung abwarten
Apple verifiziert das Unternehmen. Dauer: 1-5 Werktage. Apple kontaktiert ggf. den bei D-U-N-S hinterlegten Ansprechpartner telefonisch.
Managed Apple ID einrichten
Nach der Freischaltung: Managed Apple ID für den ABM-Administrator erstellen. Empfehlung: Eine funktionale E-Mail-Adresse verwenden (z. B. abm-admin@kunde.de), nicht eine persönliche.
MDM-Server anlegen
Im ABM → Einstellungen → Geräteverwaltung → MDM-Server hinzufügen → Name: Microsoft Intune.
Managed Apple ID ≠persönliche Apple ID! Der ABM-Account muss auf eine funktionale Firmen-Adresse registriert werden. Wird eine persönliche Apple ID eines Mitarbeiters verwendet und dieser verlässt das Unternehmen, droht der Verlust des Zugangs zum ABM Portal.
Jährliche Token-Erneuerung
APNs-Zertifikat erneuern
Rechtzeitig starten
Spätestens 14 Tage vor Ablauf mit der Erneuerung beginnen.
CSR herunterladen
Intune Admin Center → Apple MDM Push Certificate → Renew → CSR herunterladen.
Bei Apple erneuern
identity.apple.com/pushcert → Dieselbe Apple ID verwenden! → Bestehendes Zertifikat Renew (nicht „Create new”!) → CSR hochladen → Neues .pem herunterladen.
In Intune hochladen
Neues .pem in Intune hochladen → Neues Ablaufdatum prüfen.
Kritisch: Immer „Renew”, nie „Create new”! Wird statt der Erneuerung ein neues Zertifikat erstellt, erhalten alle bestehenden Apple-Geräte eine neue MDM-Identität. Die Geräte müssen dann neu enrollt werden — ein massiver Aufwand. Immer mit derselben Apple ID anmelden und das bestehende Zertifikat erneuern.
ADE- und VPP-Token erneuern
Neues Token im ABM herunterladen
Apple Business Manager → Einstellungen → Jeweiliges Token → Token herunterladen.
In Intune hochladen
Intune Admin Center → Connectors and tokens → Bestehendes Token auswählen → Renew → Neues Token hochladen.
Monitoring & Alerting
Concat Standard fĂĽr Token-Monitoring
| Methode | Details |
|---|---|
| Kalendererinnerungen | 30 + 14 + 7 Tage vor Ablauf fĂĽr jedes Token |
| Intune Notifications | Intune versendet automatische Warnungen bei ablaufenden Tokens |
| Microsoft Graph API | Automatisiertes Monitoring ĂĽber GET /deviceManagement/applePushNotificationCertificate |
| Daily Check | Teil der täglichen Routineprüfungen |
Token-Status im Admin Center prĂĽfen
| Token | Wo prĂĽfen? |
|---|---|
| APNs | Intune → Devices → Enrollment → Apple → Apple MDM Push Certificate |
| ADE | Intune → Devices → Enrollment → Apple → Enrollment program tokens |
| VPP | Intune → Tenant Administration → Connectors and tokens → Apple VPP tokens |
Supervised vs. Unsupervised
| Eigenschaft | Supervised (Concat Standard) | Unsupervised |
|---|---|---|
| Registrierung | Via ABM/ADE (Zero-Touch) | Manuell via Company Portal |
| MDM-Kontrolle | Vollständig (Silent App Push, App-Lock, Kiosk, Lost Mode) | Eingeschränkt |
| User kann MDM entfernen? | Nein (Locked Enrollment) | Ja |
| Remote Wipe | Vollständig | Nur Unternehmensdaten (Selective Wipe) |
| Kiosk / Single App Mode | Möglich | Nicht möglich |
| App Restrictions | Vollständig (Apps ausblenden, blockieren) | Eingeschränkt |
Concat Standard ist Supervised + ADE. Nur supervised Geräte bieten die volle MDM-Kontrolle und sind mit Windows Autopilot Geräten vergleichbar. Unsupervised Enrollment wird nur für BYOD-Szenarien akzeptiert, bei denen der User sein privates Gerät nutzt.
Querverweise
| Thema | Verwandte Seite |
|---|---|
| iOS / iPadOS Profile & Konfiguration | iOS / iPadOS |
| macOS Management & Enrollment | macOS Management |
| Discovery: Bestehende Apple-Geräte erfassen | Discovery & Assessment |
| OIB macOS Baseline | Security Baselines |
| App-Verteilung allgemein | Deployment-Regeln |