Android Enterprise

Verwaltung von Android-Geräten über Microsoft Intune mit Android Enterprise — dem Google-Standard für die sichere Trennung von Firmen- und Privatdaten auf Android-Geräten.

Note

Voraussetzung: Ein Managed Google Play Account muss mit dem Intune-Tenant verknüpft sein. Dies wird bei der Ersteinrichtung von Android Enterprise im Intune Admin Center durchgeführt (einmalig, kein Google Workspace erforderlich).

Enrollment-Typen

Work Profile (BYOD)

Work Profile — BYOD (Concat Standard für BYOD)

Szenario: Mitarbeiter nutzen ihr privates Android-Gerät für die Arbeit.

Funktionsweise

Android erstellt einen separaten Firmen-Container auf dem Gerät
Firmen-Apps und persönliche Apps laufen isoliert voneinander
Die IT verwaltet nur den Work Profile Bereich — keinen Zugriff auf private Daten, Fotos oder Apps
Firmendaten können nicht in den privaten Bereich kopiert werden (Data Loss Prevention)

Enrollment-Flow

User installiert Company Portal

User lädt das Intune Company Portal aus dem Google Play Store herunter.

Anmeldung mit Firmen-Account

User meldet sich mit seinem Entra ID Account an → MFA wird durchgeführt.

Work Profile erstellen

Das Company Portal erstellt automatisch das Work Profile → Firmen-Apps werden installiert.

Fertig

Firmen-Apps erscheinen mit einem blauen Aktenkoffer-Icon — deutlich erkennbar als Firmen-Apps.

Work Profile Settings (Concat Standard)

Einstellung	Wert	Begründung
Copy/Paste zwischen Profilen	Blockiert	Firmendaten bleiben im Work Profile
Screenshot im Work Profile	Blockiert	Verhindert Screenshots von Firmendaten
Kamera im Work Profile	Erlaubt	Für Teams-Calls und Dokumentenscans
File Sharing	Nur innerhalb Work Profile	Kein Teilen in private Apps
Work Profile Lock	Separater PIN / Biometrie	Zusätzlicher Schutz für Firmendaten
Kontakt-Integration	Caller-ID erlaubt (konfigurierbar)	Firmen-Kontakte im Anruf sichtbar

Fully Managed

Fully Managed — Firmengeräte (Concat Standard für Firmeneigene)

Szenario: Das Gerät gehört dem Unternehmen und wird ausschließlich für die Arbeit genutzt.

Enrollment-Flow

Factory Reset

Das Gerät muss im Werkszustand sein (Factory Reset). Bei neuen Geräten bereits gegeben.

Enrollment Token eingeben

Auf dem Setup-Bildschirm an der Google-Anmeldung: afw#setup eingeben → Android Enterprise Enrollment startet.

Alternative: QR-Code oder NFC Tag für den Enrollment-Start bereitstellen.

Firmen-Account anmelden

User meldet sich mit seinem Entra ID Account an → MFA → Gerät wird vollständig von Intune verwaltet.

Fully Managed Settings

Einstellung	Wert	Begründung
Factory Reset Protection	IT-Admin-Accounts hinterlegt	Schutz gegen unbefugtes Zurücksetzen
Google Account hinzufügen	Blockiert	Nur Firmen-Account erlaubt
App Installation (außer Managed Play)	Blockiert	Nur freigegebene Apps aus Managed Google Play
USB-Debugging	Blockiert	Sicherheitsrisiko
Screen Capture	Erlaubt (konfigurierbar)	Je nach Kundenanforderung
Verschlüsselung	Required	Android verschlüsselt standardmäßig ab Android 10+

Tip

Zero-Touch Enrollment: Samsung (Knox Mobile Enrollment) und Google (Zero-Touch) bieten die Möglichkeit, Gerät-Seriennummern vorab beim Hersteller/Reseller für die automatische Intune-Registrierung zu hinterlegen — vergleichbar mit Windows Autopilot und Apple ADE.

Einstellung	Wert
Work Profile	Automatisch erstellt (Firmen-Apps isoliert)
Persönlicher Bereich	Erlaubt (eingeschränkt)
App Store (privat)	Erlaubt (für private Apps)
Factory Reset	IT-Admin-geschützt
Selective Wipe	Nur Work Profile löschbar oder Full Wipe

Use Case	Beispiel
Kiosk	Empfangs-Tablet mit einer einzigen App (Besucherregistrierung)
Digital Signage	Bildschirm im Foyer mit Firmen-Präsentation
Lager / Logistik	Scanner-Geräte mit Lagerverwaltungs-App
Frontline Worker	Geteilte Geräte in der Produktion oder im Einzelhandel

Einstellung	Wert
Kiosk Mode	Single-App oder Multi-App
User Affinity	Ohne (kein User zugeordnet)
Home Screen	Gesperrt (nur erlaubte Apps sichtbar)
Settings Access	Blockiert
Power Button	Konfigurierbar
Status Bar	Ausgeblendet

App-Deployment (Managed Google Play)

Funktionsweise

Alle Android-Apps werden über Managed Google Play bereitgestellt — nicht über den regulären Play Store. Managed Google Play wird automatisch beim Android Enterprise Setup mit dem Intune-Tenant verknüpft.

App in Managed Google Play freigeben

Intune Admin Center → Apps → Android → Add → Managed Google Play app → App suchen → Approve → Approval Settings konfigurieren.

App-Zuweisung in Intune

App → Assignments → Zielgruppe zuweisen:

Required: App wird automatisch silent installiert
Available: App erscheint im Work Profile Play Store

Sync abwarten

Nach dem Sync wird die App automatisch auf den Zielgeräten installiert (Required) oder im Managed Play Store angezeigt (Available).

Basis-Apps (Required)

App	Deployment
Microsoft Outlook	Required
Microsoft Teams	Required
Microsoft Authenticator	Required
Intune Company Portal	Required
Microsoft Defender	Required (bei Lizenz)
Microsoft Edge	Required

Compliance Policies

Compliance-Regel	Work Profile (BYOD)	Fully Managed
Rooted Device	Blockiert	Blockiert
Min. OS Version	Android 13	Android 13
Min. Patch Level	Aktuell - 2 Monate	Aktuell - 1 Monat
Passcode Required	Ja (Work Profile PIN)	Ja (Device PIN)
Encryption	Required	Required
SafetyNet / Play Integrity	Basic integrity	Basic + Device
Defender Threat Level	Medium or below	Medium or below

Compliance-Status wird an Entra ID Conditional Access (CA-002) gemeldet → Non-Compliant Geräte werden von M365-Ressourcen blockiert.