Ein gestohlener Laptop mit unverschlüsselter Festplatte ist kein Hardware-Ausfall — es ist ein Datenvorfall. Und je mehr Firmen hybrid arbeiten, desto öfter zeigt sich: niemand weiß so richtig, wo die Geräte sind und was darauf liegt.
Im KMU hieß „Geräteverwaltung" jahrelang, dass der IT-Mensch im Kopf hatte, wem welcher Laptop gehört. Solange die Firma 12 Leute in einem Büro hatte, hat das funktioniert. Wenn man bei 25, 35, 50 Leuten ist, ein Teil im Homeoffice, ein Teil beim Kunden, ein Teil auf Projektverträgen — geht dieses Modell nicht mehr auf. Dann taucht die MDM-Frage auf.
MDM (Mobile Device Management — gemeint sind heute auch Laptops) ist schlicht ein Werkzeug, mit dem man Firmengeräte zentral konfiguriert und kontrolliert. In der Microsoft-Welt heißt das Intune und steckt im Paket Microsoft 365 Business Premium — also in etwas, was die meisten Firmen mit geschäftlichem Office ohnehin schon bezahlen.
Was MDM eigentlich macht
Einfacher ist, mit dem zu beginnen, was MDM nicht ist. Es ist kein Virenscanner (das macht EDR), kein Backup (das macht ein anderes System) und keine Mitarbeiterüberwachung. Es ist ein Werkzeug, das der Firma die technische Sicherheit gibt, dass die Geräte so konfiguriert sind, wie sie es wollte — egal, wo diese Geräte gerade stehen.
Praktisch macht MDM vier konkrete Dinge:
- Konfiguration erzwingen — Festplattenverschlüsselung (BitLocker), Bildschirmsperre nach 5 Minuten, Mindestpasswortlänge, USB-Ports dort deaktivieren, wo sie nicht gebraucht werden.
- Anwendungen verteilen — wenn jemand neu anfängt, bekommt er einen Laptop, der nach der ersten Anmeldung selbst Office, Teams, Browser, VPN und das installiert, was die Abteilung braucht. Ohne dass jemand vier Stunden lang auf „Weiter" klickt.
- Bedingter Zugriff — auf Firmen-Mail oder SharePoint kommt man nur von einem verwalteten Gerät, das die Regeln erfüllt (verschlüsselt, gepatcht, MFA aktiv). Vom Privatgerät — nicht.
- Fernlöschung — wenn ein Laptop verschwindet (Diebstahl, im Taxi vergessen), löscht ein Administrator die Firmendaten per Klick. Ohne der Polizei hinterherzurennen, um die Hardware wiederzubekommen.
Wann ein KMU wirklich MDM braucht
Nicht jede Firma braucht das ab Tag eins. Aber es gibt drei Signale, dass es so weit ist.
Erstens — die Anzahl der Geräte sprengt den Überblick einer einzelnen Person. Die Grenze ist weich, aber irgendwo zwischen 20 und 30 Laptops wird es schwer, allein die Ordnung zu halten. Zweitens — Arbeit außerhalb des Büros — wenn über ein Drittel des Teams regelmäßig nicht in der Firma ist, wird MDM keine Spielerei mehr. Drittens — Kundendaten oder Regulierung — wenn auf den Laptops personenbezogene Daten, Geschäftsunterlagen konkurrierender Kunden oder NIS2-Pflichten liegen und die Cyber-Versicherung konkrete Kontrollen verlangt, lässt sich das ohne MDM schlicht nicht nachweisen.
Trifft nichts davon zu — entspann dich, MDM kann warten. Ein Werkzeug einzuführen, nur um es auf einer Folie zu haben, lohnt sich nicht.
Ein Fall aus einer Marketing-Agentur
Ein konkretes Beispiel aus unserer Arbeit. Eine 28-köpfige Marketing- und Design-Agentur aus Warschau: 35 Laptops (Festangestellte plus Freelancer mit längeren Verträgen), Arbeit verteilt zwischen Büro, Homeoffice und Kundenseite. Jahrelang hat man sich mit Hausmitteln beholfen — der IT-Mensch kannte die meisten Geräte, Admin-Passwörter waren überall gleich, niemand verschlüsselte die Festplatten.
An einem Oktoberabend ließ ein Account Executive einen Laptop im Kofferraum liegen. Das Auto wurde nachts aufgebrochen. Auf der Platte — unverschlüsselt — lagen Materialien von drei Kunden, darunter Strategie-Decks. Die Firma musste die Kunden informieren, ein Projekt stand zwei Wochen still, es war unangenehm. Die echten Kosten des Vorfalls — Teamstress und ein verlorener Retainer inklusive — überstiegen deutlich, was sie über die Jahre durch Nicht-Investition in die Geräteverwaltung „gespart" hatten.
Nach dem Vorfall haben wir bei ihnen Intune ausgerollt (war in der M365-Business-Premium-Lizenz enthalten, die sie ohnehin nutzten — ca. 28 PLN pro Nutzer und Monat). Konkrete Ergebnisse innerhalb von drei Monaten:
- BitLocker auf allen 35 Laptops innerhalb von 6 Wochen erzwungen.
- Bereitstellungszeit eines neuen Laptops: von 4–5 Stunden Handarbeit auf 30 Minuten Auto-Install (Autopilot plus App-Verteilung).
- Im März verschwand ein weiterer Laptop mit einem Freelancer, der nicht mehr erreichbar war. Die Fernlöschung dauerte 20 Minuten. Folgen für Kunden — keine.
- Das IT-Onboarding einer neuen Person sank von einem halben Tag auf etwa 45 Minuten.
Das ist nicht spektakulär. Das ist einfach Arbeit, die vorher niemand gemacht hat, weil es keinen sauberen Weg dafür gab.
Was beim Rollout typisch schiefgeht
In der Demo sieht Intune wunderbar aus, der Rollout hat aber mehrere Fallen, in die KMU regelmäßig tappen.
Erstens — der Drang, alles auf einmal zu erzwingen. Du schaltest am ersten Tag das volle Policy-Set ein, die halbe Belegschaft kann nicht drucken, die andere Hälfte kommt nicht ins VPN, vor der IT steht eine Schlange. Realistisch läuft der Rollout in Etappen: erst Inventur, dann Verschlüsselung, dann Passwortregeln, dann erst bedingter Zugriff. Typisch 2–3 Monate für 30–50 Leute.
Zweitens — Privatgeräte ohne Richtlinie. Mitarbeiter lesen Firmen-Mail auf Privattelefonen. Ohne Entscheidung, ob diese Telefone verwaltet werden (BYOD mit Arbeitsprofil) oder nicht (kein Zugriff), hat der Rollout ein Loch in der Größe des Hauptrisikos, vor dem du dich schützen wolltest.
Drittens — kein Offboarding-Prozess, der an MDM andockt. Selbst das beste MDM hilft nicht, wenn nach dem Weggang eines Mitarbeiters niemand sein Konto deaktiviert. „Gerät löschen" muss auf der HR-Checkliste stehen, nicht nur im Kopf der IT.
Viertens — MDM als einmaliges Projekt behandeln. Es ist nicht „einführen und fertig". Richtlinien gehören vierteljährlich überprüft, weil sich Windows ändert, Apps ändern, Risiken ändern. Plane 2 Stunden pro Monat für die Pflege ein.
Womit du in deiner Firma anfängst
Bevor du überhaupt Werkzeuge vergleichst, beantworte vier Fragen:
- Wie viele Geräte sind tatsächlich in der Firma im Einsatz (mit Freelancern und Subunternehmern)? Wenn du es nicht genau weißt, ist das schon ein Signal.
- Welche dieser Geräte halten Kundendaten oder interne Geschäftsdokumente?
- Was passiert, wenn morgen eines davon verschwindet — hast du einen Plan oder ein Gebet?
- Welches Microsoft-365-Paket habt ihr heute? Bei Business Premium zahlt ihr Intune schon — es muss nur konfiguriert werden. Bei Business Standard liegt der Aufpreis bei rund 10–15 PLN pro Nutzer und Monat.
Diese Entscheidung musst du nicht in dieser Woche treffen. Aber wenn die Antwort auf die dritte Frage „Ich hoffe einfach, dass es nicht passiert" lautet — dann ist es Zeit, dass sich jemand mit euch in Ruhe hinsetzt und das durchgeht.
MDM verhindert keinen Laptop-Diebstahl. Es sorgt nur dafür, dass aus dem Diebstahl kein Datenvorfall wird.