IT-Administratoren können die einem Gerät zugeordnete Richtlinie nach der Registrierung ändern. Ein Gerät kann jedoch jeweils nur einer Richtlinie zugeordnet sein.
Während der Registrierung (Bereitstellung) werden die erforderlichen Verwaltungskomponenten automatisch installiert und konfiguriert. Auf Android umfasst dies in der Regel die App „Android Device Policy“ (und je nach Ihrer Konfiguration die Cerberus Enterprise Begleit-App). Auf Apple-Geräten wird die Verwaltung über MDM angewendet, sobald das Gerät registriert ist, und iPhones und iPads erhalten dann die Cerberus Enterprise Begleit-App (dafür ist die kostenlose App in Ihrer Apple Business-Mediathek und ein Apps and Books-Token erforderlich). Folglich wird die entsprechende Richtlinie automatisch auf das Gerät angewendet, und alle zugehörigen Regeln werden vom Plattformverwaltungssystem durchgesetzt.Eine Richtlinie kann auf viele Geräte angewendet werden. In diesem Fall erhalten alle zugehörigen Geräte die Änderungen, wenn Sie die Richtlinie ändern.
# Einrichtung # Einrichtung von Android Management Um Android-Geräte mit Cerberus Enterprise zu verwalten, müssen Sie zunächst Ihre Organisation mit Google Android Enterprise verbinden.Die Einrichtung dauert in der Regel einige Minuten und erfordert eine **geschäftliche E-Mail-Adresse** (zum Beispiel *name@enterprise.com*) oder alternativ eine **private Google-E-Mail-Adresse**.
## Was während der Einrichtung geschieht - Sie werden zu Google Android Enterprise weitergeleitet. - Sie melden sich mit Ihrer geschäftlichen E-Mail-Adresse (oder einer privaten Google-E-Mail-Adresse) an. - Google erstellt das Android Management-Konto für Ihre Organisation. - Sie werden zur Vervollständigung der Einrichtung zu Cerberus Enterprise zurückgeleitet. ## Wichtige Informationen Wir empfehlen, sich mit einer geschäftlichen E-Mail-Adresse und nicht mit einem privaten Gmail-Konto anzumelden. Wenn die E-Mail-Adresse bereits mit einem Google Admin-Konto verknüpft ist, wird dieses vorhandene Konto wiederverwendet und an Cerberus Enterprise gebunden; andernfalls wird ein neues kostenloses Google Admin-Konto erstellt. Ein Google Admin-Konto schaltet den vollen Funktionsumfang frei – zum Beispiel die Registrierung von Geräten über die Google-Authentifizierung mit Konten, die von Ihrer Google Admin-Domain verwaltet werden. ## Keine geschäftliche E-Mail-Adresse? Sie können sich weiterhin mit einer privaten Google-E-Mail-Adresse (zum Beispiel einem Gmail-Konto) anmelden. In diesem Fall erstellt Google ein kostenloses verwaltetes Google Play-Konto, das an Cerberus Enterprise gebunden wird. ## Nächste Schritte Erstellen Sie nach Abschluss der Einrichtung ein [**Registrierungstoken**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/registrierungstoken "Enrollment tokens") und wählen Sie die geeignete Bereitstellungsmethode für das Gerät. # Apple Management-Einrichtung (APNs) Für die Verwaltung von Apple-Geräten benötigt Cerberus Enterprise das Zertifikat des Apple Push Notification service (APNs).Verwenden Sie die Apple ID, die Ihrer Organisation zugeordnet ist. Das APNs-Zertifikat ist ein Jahr gültig und muss jährlich erneuert werden, um Geräte weiterhin verwalten zu können.
## Schritt 1: CSR-Datei herunterladen Starten Sie im Dashboard die Apple Management-Einrichtung und laden Sie die von Cerberus Enterprise erzeugte Datei „Vendor-Signed Certificate Signing Request“ (CSR) herunter. ## Schritt 2: Push-Zertifikat im Apple-Portal erstellen - Melden Sie sich mit Ihrer Apple ID beim Apple Push Certificates Portal an. - Klicken Sie auf *„Zertifikat erstellen“*. - Laden Sie die CSR-Datei aus Schritt 1 hoch. - Laden Sie das erstellte Push-Zertifikat herunter. Portal-Link: [https://identity.apple.com/](https://identity.apple.com/ "Apple Push Certificates Portal") ## Schritt 3: Push-Zertifikat hochladen Laden Sie das von Apple heruntergeladene Push-Zertifikat wieder in Cerberus Enterprise hoch, um die Einrichtung abzuschließen.Wenn das APNs-Zertifikat abläuft, funktioniert die Apple-Geräteverwaltung erst wieder, wenn das Zertifikat erneuert wurde.
Ab 30 Tagen vor dem Ablauf zeigt das Dashboard ein Banner mit der Aktion **So erneuern Sie**. **Erneuern** Sie das vorhandene Zertifikat im Apple Push Certificates Portal immer mit derselben Apple ID: Ein neues Zertifikat hat ein anderes Topic, und bereits registrierte Geräte müssten erneut registriert werden.
## Nächste Schritte Nachdem APNs konfiguriert ist, können Sie mit der Registrierung von Apple-Geräten fortfahren. Fahren Sie mit [**Überblick über die Apple-Bereitstellung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/uberblick-uber-die-apple-bereitstellung "Apple provisioning overview") fort. # Überblick über die Gerätebereitstellung Cerberus Enterprise unterstützt die Geräteverwaltung für die Plattformen Android und Apple. Sie können beide Plattformen unabhängig voneinander konfigurieren, je nach den Geräten, die Sie registrieren müssen. ## 1. Plattformeinrichtung im Dashboard abschließen Bevor Sie Geräte registrieren, schließen Sie die Plattformeinrichtung im Cerberus Enterprise Dashboard ab. Wenn Ihr Konto noch nicht konfiguriert ist, führt Sie das Dashboard durch die erforderlichen Schritte. ### Android-Einrichtung (Google Android Enterprise) Das vollständige Verfahren für die Android-Einrichtung finden Sie unter [**Android Management-Einrichtung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/einrichtung-von-android-management "Android Management setup"). - Wechseln Sie zum Anmeldeablauf im Dashboard und wählen Sie **Android Management einrichten**. - Sie werden zu Google weitergeleitet, um sich mit einem **Arbeitskonto** anzumelden und Android Enterprise zu autorisieren. - Nach der Autorisierung werden Sie zurück zu Cerberus Enterprise weitergeleitet, um die Einrichtung abzuschließen. ### Apple-Einrichtung (APNs-Push-Zertifikat) Das vollständige Verfahren für die Apple-Einrichtung finden Sie unter [**Apple Management-Einrichtung (APNs)**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-management-einrichtung-apns "Apple Management setup (APNs)"). - Wechseln Sie zum Anmeldeablauf im Dashboard und wählen Sie **Apple Management einrichten**. - Laden Sie die CSR-Datei von Cerberus Enterprise herunter. - Erstellen Sie das APNs-Zertifikat im Apple Push Certificates Portal und laden Sie das resultierende Zertifikat herunter. - Laden Sie das heruntergeladene Zertifikat wieder in Cerberus Enterprise hoch, um die Apple-Geräteverwaltung zu aktivieren. ## 2. Geräte registrieren Wählen Sie nach Abschluss der Plattformeinrichtung die Registrierungsmethode, die zu Ihrem Geräteeigentumsmodell und dem Betriebssystem passt. ### Android-Registrierung Bei Android erfolgt die Registrierung über [**Registrierungstoken**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/registrierungstoken "Enrollment tokens"). Wählen Sie die geeignete Methode, je nachdem, ob das Gerät persönlich oder unternehmenseigen ist. - Persönlich (BYOD / Arbeitsprofil): [folgen Sie dieser Anleitung](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/personliche-gerate "Personally-owned devices"). - Unternehmenseigen (berufliche und private Nutzung / Arbeitsprofil): [folgen Sie dieser Anleitung](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/unternehmenseigene-gerate-fur-berufliche-und-private-nutzung "Company-owned devices for work and personal use"). - Unternehmenseigen (nur berufliche Nutzung / vollständig verwaltet oder dediziert): [folgen Sie dieser Anleitung](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/unternehmenseigene-gerate-nur-fur-berufliche-nutzung "Company-owned devices for work use only"). - Zero-touch: [folgen Sie dieser Anleitung](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/zero-touch-8p8 "Zero-touch"). ### Apple-Registrierung Beginnen Sie bei Apple mit der oben beschriebenen APNs-Einrichtung und folgen Sie dann den Apple-Bereitstellungsleitfäden: [**Überblick über die Apple-Bereitstellung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/uberblick-uber-die-apple-bereitstellung "Apple provisioning overview"). # Gerätebereitstellung - Android # Unterstützte Geräte Im Allgemeinen ist jedes Gerät mit Android 6+ und Google Play Services mit Cerberus Enterprise kompatibel. Für eine bessere Benutzererfahrung empfehlen wir Geräte, die die Anforderungen von [Android Enterprise Recommended](https://androidenterprisepartners.withgoogle.com/devices/) erfüllen.Einige Funktionen sind auf bestimmte Android-Versionen beschränkt oder können sich je nach Betriebssystemversion unterschiedlich verhalten. Weitere Informationen zu einer bestimmten Funktion finden Sie im Abschnitt [Richtlinien](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/chapter/richtlinien-android "Policies") der Dokumentation.
Cerberus Enterprise unterstützt sowohl unternehmenseigene als auch persönliche Geräte und zwei Verwaltungsmodi: Device Owner und Profile Owner. **Persönliche** Geräte können über ein **Arbeitsprofil** verwaltet werden. Dies ermöglicht eine BYOD-Lösung, indem die beruflichen Daten und Apps der Mitarbeiter von persönlichen Daten und Apps getrennt bleiben, was sowohl Sicherheit als auch Datenschutz verbessert. Diese Option eignet sich für Geräte, die bereits Mitarbeitern gehören und die Sie für die berufliche Nutzung in Ihrer Organisation registrieren möchten. **Unternehmenseigene** Geräte können ebenfalls über ein Arbeitsprofil verwaltet werden, Sie können aber auch die Option **vollständig verwaltet** wählen, die eine strengere Kontrolle über das Gerät ermöglicht. Unternehmenseigene Geräte mit einem Arbeitsprofil eignen sich, wenn Sie Mitarbeitern Unternehmensgeräte für die Arbeit bereitstellen und gleichzeitig die private Nutzung erlauben möchten. Vollständig verwaltete Geräte eignen sich besser für Geräte, die nur für die Arbeit verwendet werden dürfen, oder für **dedizierte Geräte** (COSU, Corporate-Owned Single-Use), wie z. B. Kioske. Weitere Informationen zur Gerätebereitstellung finden Sie auf der Seite [Überblick über die Gerätebereitstellung](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/uberblick-uber-die-geratebereitstellung "Device provisioning overview").Die Registerkarte für Android-Registrierungstoken ist erst nach Abschluss der [**Android Management-Einrichtung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/einrichtung-von-android-management "Android Management setup") verfügbar.
## Wo Sie Registrierungstoken finden Öffnen Sie im Dashboard **Registrierungstoken**. Je nach Kontokonfiguration kann die Seite mehrere Registerkarten anzeigen (Android-Token, Google-Anmelderegistrierung, manuelle Apple-Registrierung und Apple Automated Device Enrollment).Wenn Ihr Android-Unternehmen durch eine verwaltete Google-Domain (Google Workspace) unterstützt wird, kann das Dashboard zusätzlich eine Registerkarte **Authenticate Using Google Enrollment** anzeigen. Einzelheiten zum Aktivieren und Verwenden finden Sie unter [**Authenticate Using Google enrollment**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/authenticate-using-google-enrollment "Authenticate Using Google enrollment").
## Liste der Registrierungstoken (Android) Die Registerkarte „Android-Token“ zeigt eine Tabelle aller Token. Ein Klick auf eine Zeile öffnet die Seite mit den Token-Details. ### Spalten - **Status**: **Aktiv** (Geräte können sich mit dem Token registrieren), **Abgelaufen** (das Ablaufdatum ist überschritten) oder **Aufgebraucht** (ein Einmal-Token, das bereits verwendet wurde). - **Richtlinie**: die dem Token zugewiesene Richtlinie (der Tooltip zeigt die Richtlinien-ID). **Richtlinie gelöscht** bedeutet, dass die Richtlinie gelöscht wurde, nachdem das Token erstellt wurde. - **Benutzer**: optionaler Benutzer, der Geräten vorab zugewiesen wird, die sich mit dem Token registrieren. **Benutzer gelöscht** bedeutet, dass der Benutzer gelöscht wurde, nachdem das Token erstellt wurde. - **Registrierungen**: wie viele Geräte sich mit dem Token registriert haben, angezeigt als **n / 1** für ein Einmal-Token. - **Persönliche Nutzung**: Zulässig / Nicht zulässig / Dediziertes Gerät. - **Erstellt**: wann das Token erstellt wurde. Die Tabelle zeigt die neuesten Tokens zuerst. - **Ablauf**: Ablaufdatum/-uhrzeit oder **Nie**. - **Registrierungscode**: der Code des Tokens, den Sie auf dem Gerät eingeben, wenn Sie es ohne QR-Code registrieren. ### Aktionen - Jede Zeile hat eine Löschaktion (**Registrierungstoken löschen**). Das Löschen ist deaktiviert, wenn die Lizenz abgelaufen ist. - Die Tabelle unterstützt die Mehrfachauswahl: Sie können den Auswahlmodus aktivieren, mehrere Token auswählen und sie mit **Ausgewählte Token löschen** löschen. - Verwenden Sie die Aktualisierungsaktion, um die Liste neu zu laden. Die Tabelle ist paginiert (10/25/50 Einträge pro Seite). ## Neues Registrierungstoken erstellen Klicken Sie auf der Registerkarte „Android-Token“ auf **Neues Registrierungstoken**, um die Seite zur Token-Erstellung zu öffnen. Wenn Ihre Lizenz abgelaufen ist, ist die Schaltfläche zum Erstellen deaktiviert. ### Token-Optionen #### 1. Richtlinie **Erforderlich.** Die Richtlinie, die automatisch auf alle Geräte angewendet wird, die mit diesem Token registriert werden. Wählen Sie eine Ihrer [**Android-Richtlinien**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/chapter/richtlinien-android "Policies") aus. Wenn Sie noch keine Richtlinie haben, erstellen Sie zuerst eine. #### 2. Benutzer Optional. Wenn festgelegt, werden neu registrierte Geräte automatisch mit diesem Benutzer verknüpft. #### 3. Persönliche Nutzung Legt fest, ob die persönliche Nutzung auf einem Gerät zulässig ist, das mit diesem Registrierungstoken bereitgestellt wird: - **Zulässig**: geeignet für persönliche Geräte (Arbeitsprofil) und unternehmenseigene Geräte für berufliche und private Nutzung. - **Nicht zulässig**: geeignet für unternehmenseigene Geräte nur für berufliche Nutzung (vollständig verwaltet). - **Dediziertes Gerät**: geeignet für Kiosk-/dedizierte Geräte (das Gerät ist keinem einzelnen Benutzer zugeordnet). #### 4. Zulässige Verwendungen Wählen Sie aus, ob das Token mehrfach (**Mehrfach**) oder nur einmal (**Nur einmal**) verwendet werden kann. #### 5. Ablauf Wählen Sie die Ablaufeinheit (**Minuten**, **Stunden**, **Tage** oder **Nie**). Wenn nicht auf Nie gesetzt, geben Sie den Ablaufwert ein. Der zulässige Bereich hängt von der ausgewählten Einheit ab und kann bis zu 10.000 Tage betragen. #### 6. Google-Authentifizierung Legt fest, ob der Benutzer sich während der Geräteregistrierung mit einem Google-Konto authentifizieren muss: - **Nicht festgelegt**: Die Google-Authentifizierungseinstellung auf Unternehmensebene wird verwendet, um zu bestimmen, ob der Benutzer sich während der Registrierung bei Google authentifizieren muss. - **Optional**: Der Benutzer kann die Google-Authentifizierung während der Registrierung überspringen. - **Erforderlich**: Der Benutzer muss sich mit einem Google-Konto authentifizieren, um mit der Registrierung fortzufahren. Wenn **Erforderlich** ausgewählt ist, wird ein optionales Feld **E-Mail-Adresse des erforderlichen Kontos** angezeigt. Wenn festgelegt, muss sich der Benutzer während der Registrierung mit genau diesem Google-Konto authentifizieren. ### Bereitstellungsoptionen (nur QR-Code) Diese zusätzlichen Optionen werden in den QR-Code eingebettet und während der Bereitstellung vollständig verwalteter Geräte angewendet, die durch Scannen des QR-Codes registriert werden. Sie gelten nicht für Arbeitsprofile oder Geräte, die über die Registrierungs-URL oder das Token registriert werden. #### Wi‑Fi-Konfiguration Verwenden Sie diese Option, damit ein Gerät während der Bereitstellung automatisch eine Verbindung zu Wi‑Fi herstellt, sodass es die Verwaltungs-App herunterladen und initialisieren kann. Verfügbare Felder sind **SSID**, **Ausgeblendete SSID**, **Sicherheit** und (bei Bedarf) **Passphrase**. Sie können auch einen HTTP-Proxy (**Proxy**) konfigurieren und je nach Modus **Host**/**Port**, **PAC-URI** und **Proxy-Bypass-Host** festlegen. #### Weitere Optionen Weitere Optionen sind **Gebietsschema**, **Zeitzone** und **Verschlüsselung überspringen**. ## Details zum Registrierungstoken Wenn Sie ein Token öffnen, zeigt die Detailseite die Token-Konfiguration und Nutzungsinformationen an: - **Status**, **Ablauf**, **Nutzung**, **Persönliche Nutzung**, **Zulässige Verwendungen** und (falls festgelegt) **Google-Authentifizierung** mit der optionalen **E-Mail-Adresse des erforderlichen Kontos**. - **Token**: der Rohwert des Registrierungstokens (kopierbar). - **Registrierungs-URL**: eine Registrierungs-URL für Google Android Enterprise (kopierbar und per E-Mail sendbar). - **QR-Code**: wird auf der rechten Seite der Seite angezeigt und dient zur Registrierung vollständig verwalteter Geräte.Schritt-für-Schritt-Anleitungen zur Bereitstellung finden Sie in den Android-Registrierungsleitfäden: [**Persönliche Geräte**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/personliche-gerate "Personally-owned devices"), [**Unternehmenseigene Geräte für berufliche und private Nutzung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/unternehmenseigene-gerate-fur-berufliche-und-private-nutzung "Company-owned devices for work and personal use"), [**Unternehmenseigene Geräte nur für berufliche Nutzung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/unternehmenseigene-gerate-nur-fur-berufliche-nutzung "Company-owned devices for work use only") und [**Zero-touch**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/zero-touch-8p8 "Zero-touch").
# Persönliche Geräte| Android-Version |
| 6.0+ |
| Android-Version |
| 6.0+ |
| Android-Version |
| 6.0+ |
| Android-Version |
| 8.0+ |
| Android-Version |
| 7.0+ |
| Android-Version |
| 5.1+ |
| Android-Version | Arbeitsprofil | Vollständig verwaltetes Gerät | Dediziertes Gerät |
| 8.0+ (Pixel 7.1+) | ✓ | ✓ | ✓ |
Diese Funktion ist nur für Android-Unternehmen verfügbar, die durch eine verwaltete Google-Domain (Google Workspace) unterstützt werden.
## Wo Sie die Funktion finden Öffnen Sie im Dashboard **Registrierungstoken** und wählen Sie die Registerkarte **Authenticate Using Google Enrollment** aus. Die Registerkarte wird nur angezeigt, wenn Android Management konfiguriert ist und die Google Workspace-Integration für Ihr Unternehmen verfügbar ist. ## Google-Authentifizierung aktivieren (oder deaktivieren) Die Google-Authentifizierung wird in der **Google Admin Console** aktiviert. Kehren Sie nach dem Ändern der Einstellung zu Cerberus Enterprise zurück und verwenden Sie **Status aktualisieren**, um die aktuelle Konfiguration neu zu laden. 1. Melden Sie sich mit einem Administratorkonto bei der [**Google Admin Console**](https://admin.google.com/) an. 2. Öffnen Sie **Geräte**. 3. Wechseln Sie zu **Mobilgeräte & Endpunkte** → **Einstellungen** → **Integrationen von Drittanbietern**. 4. Suchen Sie die **Android EMM-Integration** für Cerberus Enterprise und öffnen Sie sie. 5. Klicken Sie auf **EMM-Anbieter verwalten**. 6. Schalten Sie **Authenticate Using Google** um, um die Google-Authentifizierung für die Registrierung zu aktivieren oder zu deaktivieren. 7. Klicken Sie auf **Speichern**. 8. Kehren Sie zum Cerberus Enterprise Dashboard zurück und klicken Sie auf **Status aktualisieren** auf der Registerkarte **Authenticate Using Google Enrollment**. ## Registrierungstoken für die Google-Authentifizierung Wenn die Google-Authentifizierung aktiviert ist, zeigt das Dashboard ein eigenes Registrierungstoken für diesen Registrierungsmodus an. Die Seite kann einen **QR-Code**, einen Wert für das **Registrierungstoken** und eine **Registrierungs-URL** anzeigen (kopierbar und per E-Mail sendbar). ### Wichtige Optionen - **Persönliche Nutzung zulassen**: legt fest, ob das Token Geräte für berufliche und private Nutzung (Arbeitsprofilszenarien) oder nur für berufliche Nutzung (vollständig verwaltete/dedizierte Szenarien) registrieren kann. - **Fallback-Standardrichtlinie**: die Richtlinie, die angewendet wird, wenn dem registrierenden Benutzer keine spezifische Standardrichtlinie für die Google-Authentifizierung zugewiesen ist. ### Zusammenspiel mit Richtlinien Die Richtlinieneinstellung **Authentifizierung bei der Einrichtung des Arbeitskontos** (workAccountSetupConfig.authenticationType) legt fest, wie sich Benutzer bei der Einrichtung des Arbeitskontos authentifizieren, aber die Einstellung **Authenticate Using Google** in der Google Admin Console und der Typ des Registrierungstokens können weiterhin eine Authentifizierung erfordern. Bei bereits registrierten Geräten gilt diese Richtlinie nur, wenn das Gerät von einem verwalteten Google Play-Konto verwaltet wird (d. h. ohne **Authenticate Using Google Enrollment** registriert wurde).Einige Aktionen (zum Beispiel das Ändern von Token-Optionen) können deaktiviert sein, wenn die Lizenz abgelaufen ist.
## Gerät registrieren Während der Registrierung wird der Benutzer aufgefordert, sich mit seinem Google Workspace-Konto zu authentifizieren. Nach einer erfolgreichen Registrierung wird das Gerät dem authentifizierten Benutzer zugeordnet. ### Arbeitsprofil (persönliche Geräte) - Teilen Sie die **Registrierungs-URL** mit dem Benutzer. Wenn der Benutzer sie auf seinem Android-Gerät öffnet, wird er durch die Einrichtung des Arbeitsprofils und die Google-Authentifizierung geführt. - Alternativ kann der Benutzer in den Android-Einstellungen beginnen und den Einrichtungsablauf für das Arbeitsprofil wählen und dann den QR-Code scannen oder das Registrierungstoken eingeben, wenn er dazu aufgefordert wird. ### Unternehmenseigene Geräte - **QR-Code-Methode**: Tippen Sie auf einem neuen oder auf die Werkseinstellungen zurückgesetzten Gerät mehrmals an dieselbe Stelle, bis die QR-Code-Aufforderung erscheint, und scannen Sie dann den im Dashboard angezeigten QR-Code. - **Methode mit DPC-Kennung** (wenn das Scannen von QR-Codes nicht verfügbar ist): Folgen Sie dem Einrichtungsassistenten, stellen Sie eine Verbindung zu Wi‑Fi her, und geben Sie dann, wenn Sie zur Anmeldung aufgefordert werden, **afw#setup** ein, und fahren Sie fort, indem Sie den QR-Code scannen oder das Registrierungstoken eingeben. Wenn Sie dazu aufgefordert werden, authentifizieren Sie sich mit dem Google Workspace-Konto. Allgemeine Android-Bereitstellungsverfahren (Arbeitsprofil vs. vollständig verwaltet) finden Sie auf den Standardseiten zur Android-Registrierung in diesem Handbuch. # Gerätebereitstellung - Apple # Überblick über die Apple-Bereitstellung Cerberus Enterprise unterstützt die Registrierung und Verwaltung von iPhones, iPads und Macs. Die Apple-Bereitstellung erfordert ein APNs-Zertifikat und kann mit verschiedenen Registrierungsmethoden durchgeführt werden. ## Voraussetzung: Apple Management konfigurieren (APNs) Bevor Sie ein Apple-Gerät registrieren, schließen Sie die [**Apple Management-Einrichtung (APNs)**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-management-einrichtung-apns "Apple Management setup (APNs)") ab. ## Registrierungsmethode auswählen ### Manuelle Registrierung (Registrierungsprofil) Diese Methode bietet eine Registrierungs-URL und eine Konfigurationsprofildatei (mobileconfig), die Sie auf dem Gerät installieren. Lesen Sie [**Manuelle Apple-Registrierung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-manualregistrierung-registrierungsprofil "Apple manual enrollment"). ### Automated Device Enrollment (ADE) Diese Methode integriert sich in Apple Business, um die Registrierung unternehmenseigener Geräte zu automatisieren. Lesen Sie [**Apple Automated Device Enrollment (ADE)**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-automated-device-enrollment-ade "Apple Automated Device Enrollment"). ### Kontogesteuerte Registrierung (mit einem Arbeitskonto anmelden) Benutzer registrieren ihr iPhone, iPad oder ihren Mac, indem sie sich in den Geräteeinstellungen mit ihrem verwalteten Apple Account anmelden: User Enrollment für persönliche Geräte, Device Enrollment für Unternehmensgeräte, die nicht in Apple Business sind. Lesen Sie [**Kontogesteuerte Apple-Registrierung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/kontogesteuerte-apple-registrierung "Apple account-driven enrollment"). Auf persönlichen iPhones und iPads, die mit User Enrollment registriert wurden, werden die App-Store-Apps der Richtlinie mit einer Benutzerlizenz des verwalteten Apple Account installiert, die Cerberus selbst zuweist; der Benutzer wird gebeten, jede App zu installieren. Die verwalteten Apple Accounts und das Apps and Books-Token müssen zur selben Apple Business-Organisation gehören. Lesen Sie [**Apps auf persönlichen Geräten**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/kontogesteuerte-apple-registrierung "Apple account-driven enrollment"). ## Cerberus Enterprise App auf iPhone und iPad Nach der Registrierung installiert Cerberus seine **Cerberus Enterprise**-App auf iPhones und iPads mit **iOS oder iPadOS 18.4 oder neuer**, mit oder ohne Richtlinie. Die App teilt den Gerätestandort und empfängt Benachrichtigungen und Live-Ortungsanforderungen; auf persönlichen Geräten (User Enrollment) empfängt sie Nachrichten und teilt den Standort nur, wenn die Richtlinie **Standort und Geofences auf persönlichen Geräten** aktiviert und der Benutzer es zulässt. Sie erfordert einen einmaligen Schritt: Fügen Sie die kostenlose App Ihrer Apple Business-Mediathek hinzu (**Apps & Books** → **App Store**, suchen Sie nach „Cerberus Enterprise“, **Hinzufügen** für alle aktuellen und zukünftigen Organisationseinheiten). Überwachte Geräte installieren sie still; auf anderen Geräten wird der Benutzer gebeten, sie zu installieren. Wenn der Benutzer sie bereits aus dem App Store installiert hat, fordert das Gerät dazu auf, Ihrer Organisation die Verwaltung der App zu erlauben, und die App behält ihre Daten und Berechtigungen. Wenn der Benutzer ablehnt, verwenden Sie **Erneut versuchen** auf der Geräteseite. Der Benutzer kann die App nicht löschen, und sie bleibt installiert, wenn das Apps and Books-Token abläuft. Macs erhalten die App nicht.Sie können die manuelle Registrierung und ADE parallel verwenden, je nach Ihrem Gerätebestand und Einkaufsprozess.
# Apple-Manualregistrierung (Registrierungsprofil) Cerberus Enterprise unterstützt die manuelle Registrierung von Apple-Geräten über einen QR-Code, eine Registrierungs-URL oder eine Registrierungsprofildatei.Die manuelle Registrierung ist verfügbar, wenn Apple Management (APNs) konfiguriert ist. Wenn Sie die APNs-Einrichtung noch nicht abgeschlossen haben, lesen Sie [**Apple Management-Einrichtung (APNs)**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-management-einrichtung-apns "Apple Management setup (APNs)").
Benutzer können ihr iPhone, iPad oder ihren Mac auch ohne Profil registrieren, indem sie sich in den Geräteeinstellungen mit ihrem Arbeitskonto anmelden. Lesen Sie [**Kontogesteuerte Apple-Registrierung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/kontogesteuerte-apple-registrierung "Apple account-driven enrollment").
## Registrierungstoken Ein Registrierungstoken hat seine eigene Registrierungs-URL und seinen eigenen QR-Code und weist den Geräten, die sich damit registrieren, diese Einstellungen zu: - **Richtlinie**: wird auf das Gerät angewendet, sobald es sich registriert. - **Benutzer**: wird dem Gerät zugewiesen. Ohne Benutzer im Token hat das Gerät keinen Benutzer. - **Eigentum**: unternehmenseigen oder persönlich. Wenn es nicht festgelegt ist, werden überwachte Geräte als unternehmenseigen und die anderen als persönlich eingestuft. Manuell registrierte iPhones und iPads sind nicht überwacht; Macs sind es, daher werden sie als unternehmenseigen eingestuft. - **Ablauf**: Nach diesem Tag funktioniert die Registrierungs-URL nicht mehr. Ein zuvor heruntergeladenes Profil kann weiterhin installiert werden. - **Zulässige Registrierungen**: wie viele Geräte sich mit dem Token registrieren können. Lassen Sie das Feld leer, um kein Limit festzulegen. Um ein Token zu erstellen, öffnen Sie im Dashboard den Abschnitt **Registrierung**, wählen Sie die Registerkarte **Apple-Manualregistrierung (Registrierungsprofil)** und klicken Sie auf **Neues Registrierungstoken**. Legen Sie den Namen und die Einstellungen fest und klicken Sie dann auf **Token erstellen**: Die Tokenseite zeigt die Registrierungs-URL, den QR-Code und die Schaltfläche **Registrierungsprofil herunterladen**. Die Tokentabelle zeigt für jedes Token seinen **Status** (Aktiv, Abgelaufen oder Aufgebraucht), den **Ablauf**, die **Registrierungen** im Verhältnis zu den erlaubten sowie **Zuletzt verwendet**, wann sich zuletzt ein Gerät damit registriert hat. Danach folgen die **Richtlinie**, der **Benutzer** (darauf zeigen, um die E-Mail-Adresse zu sehen), das **Eigentum** und das Datum **Erstellt** (darauf zeigen, um zu sehen, wer das Token erstellt hat). Die neuesten Tokens stehen zuerst, und Sie können nach jeder Spalte sortieren. Sortieren Sie nach **Zuletzt verwendet**, um aktive Tokens zu finden, die niemand mehr verwendet, und löschen Sie sie, damit ihre Registrierungs-URL nicht mehr funktioniert. Eine Richtlinie oder ein Benutzer, der nach dem Speichern des Tokens gelöscht wurde, wird als **Richtlinie gelöscht** oder **Benutzer gelöscht** mit einem Warnsymbol angezeigt: Bearbeiten Sie das Token, um ein anderes auszuwählen.Änderungen an einem Token gelten für die nächsten Registrierungen: Bereits registrierte Geräte behalten ihre Richtlinie und ihren Benutzer. Wenn ein Token gelöscht wird, abläuft oder seine zulässigen Registrierungen erreicht, funktioniert seine Registrierungs-URL nicht mehr.
## Registrierung ohne Token Das Panel **Registrierung ohne Token** derselben Registerkarte enthält die Registrierungs-URL Ihrer Organisation. Damit registrierte Geräte erhalten keine Richtlinie und keinen Benutzer: Weisen Sie diese auf der Geräteseite zu. Die Richtlinie und der Benutzer eines Geräts hängen davon ab, wie es sich registriert: die Richtlinie und der Benutzer des Tokens bei einem Registrierungstoken; die Richtlinie des ADE-Profils bei Automated Device Enrollment, wobei der auf der Geräteseite zugewiesene Benutzer erhalten bleibt; keine Richtlinie und kein Benutzer bei der Registrierungs-URL, dem QR-Code oder dem Profil ohne Token (auch wenn das Gerät ein ADE-Profil hat). Ein Gerät, das sich erneut registriert, behält die Richtlinie und den Benutzer seiner vorherigen Registrierung nicht: Die Geräteseite zeigt sie nur an, wenn die neue Registrierung sie zuweist. Nur ein mit **Return to Service** gelöschtes Gerät registriert sich erneut mit seiner aktuellen Richtlinie und seinem aktuellen Benutzer. ## Registrierungs-URL und Profil abrufen - Öffnen Sie das Token auf der Registerkarte **Apple-Manualregistrierung (Registrierungsprofil)** des Abschnitts **Registrierung**, oder erweitern Sie **Registrierung ohne Token**. - Kopieren Sie die **Registrierungs-URL**, oder verwenden Sie die Aktion zum Senden per E-Mail. - Scannen Sie den neben der Registrierungs-URL angezeigten **QR-Code** mit der Kamera eines iPhone oder iPad: Er öffnet dieselbe Registrierungs-URL auf dem Gerät. Verwenden Sie auf einem Mac die Registrierungs-URL oder die Profildatei. - Laden Sie das **Registrierungsprofil** herunter (mobileconfig-Datei). ## iPhone oder iPad registrieren iOS/iPadOS 15.0+ Laden Sie zunächst das Registrierungsprofil auf dem Gerät mit einer der folgenden Methoden herunter: ### Methode 1: QR-Code Öffnen Sie die *Kamera*-App auf dem Gerät und richten Sie sie auf den QR-Code, der neben der Registrierungs-URL angezeigt wird, und tippen Sie dann auf den angezeigten Link. Safari öffnet die Registrierungs-URL und fragt, ob das Herunterladen eines Konfigurationsprofils erlaubt werden soll: Tippen Sie auf *Erlauben*. ### Methode 2: Registrierungs-URL Senden Sie die Registrierungs-URL an den Benutzer (zum Beispiel mit der Aktion „Per E-Mail senden“) und öffnen Sie sie in *Safari* auf dem Gerät, und tippen Sie dann auf *Erlauben*, um das Konfigurationsprofil herunterzuladen. ### Methode 3: Registrierungsprofildatei Laden Sie die Registrierungsprofildatei (*enroll.mobileconfig*) herunter und senden Sie sie an das Gerät, zum Beispiel als E-Mail-Anhang oder mit AirDrop, und öffnen Sie sie dann auf dem Gerät. Schließen Sie dann die Registrierung auf dem Gerät ab: 1. Öffnen Sie auf dem Gerät *Einstellungen* → *Profil geladen* → *Installieren* und folgen Sie anschließend den Anweisungen. 2. Nach der Registrierung können Sie den Status unter *Einstellungen* → *Allgemein* → *VPN & Geräteverwaltung* (oder *Profile & Geräteverwaltung*) prüfen.Nach der Registrierung erhalten iPhones und iPads mit iOS oder iPadOS 18.4 oder neuer die App **Cerberus Enterprise**. Auf einem manuell registrierten (nicht überwachten) Gerät wird der Benutzer gebeten, sie zu installieren oder Ihre Organisation verwalten zu lassen, wenn sie bereits aus dem App Store installiert wurde. Wenn der Benutzer ablehnt, verwenden Sie **Erneut versuchen** auf der Geräteseite. Die App muss einmal in Ihrer Apple Business-Bibliothek vorhanden sein (siehe **Kontoeinstellungen**).
Auf iPhone und iPad wird ein heruntergeladenes Profil, das nicht innerhalb von 8 Minuten installiert wird, vom Gerät entfernt. Laden Sie es in diesem Fall erneut herunter.
## So registrieren Sie einen Mac macOS 13.0+ Der QR-Code funktioniert nur auf iPhone und iPad. Laden Sie das Registrierungsprofil mit einer der folgenden Methoden auf den Mac herunter: ### Methode 1: Registrierungs-URL Senden Sie die Registrierungs-URL an den Benutzer (zum Beispiel mit der Aktion Per E-Mail senden) und öffnen Sie sie in *Safari* auf dem Mac und erlauben Sie den Download, wenn Sie gefragt werden. Wenn sich das Profil nicht von selbst öffnet, öffnen Sie die heruntergeladene Datei *enroll.mobileconfig*. ### Methode 2: Registrierungsprofildatei Laden Sie die Registrierungsprofildatei (*enroll.mobileconfig*) herunter und senden Sie sie an den Mac, zum Beispiel als E-Mail-Anhang oder mit AirDrop; öffnen Sie sie dann auf dem Mac. Das Öffnen des Profils fügt es nur den heruntergeladenen Profilen hinzu. Schließen Sie dann die Registrierung auf dem Mac ab, angemeldet als dessen Hauptbenutzer: 1. Öffnen Sie *Systemeinstellungen* → *Allgemein* → *Geräteverwaltung* (unter macOS 13 und 14: *Datenschutz & Sicherheit* → *Profile*). Doppelklicken Sie im Bereich *Geladen* auf *Registrierungsprofil*, klicken Sie auf *Registrieren* (oder *Installieren*) und folgen Sie den Anweisungen. Geben Sie bei Aufforderung den Namen und das Passwort eines Administrators des Mac ein. 2. Nach der Registrierung wird *Registrierungsprofil* an derselben Stelle aufgeführt. Im *Terminal* zeigt `profiles status -type enrollment` *MDM enrollment: Yes (User Approved)* an.Manuell registrierte Macs sind überwacht, und der Benutzer, der das Profil installiert, wird im Bereich **Mac-Benutzer** der Geräteseite angezeigt. Macs erhalten die Cerberus Enterprise-App nicht. Wenn das Profil nicht mehr im Bereich *Geladen* vorhanden ist, laden Sie es erneut herunter.
Installieren Sie nur Registrierungsprofile, die Sie aus Ihrem Cerberus Enterprise Dashboard bezogen haben.
# Apple Automated Device Enrollment (ADE) Automated Device Enrollment (ADE) lässt sich in Apple Business (früher Apple Business Manager) integrieren, um unternehmenseigene iPhones, iPads und Macs automatisch zu registrieren, wenn sie zum ersten Mal eingeschaltet werden (oder nach einem Zurücksetzen auf die Werkseinstellungen).ADE setzt voraus, dass Apple Management (APNs) zuerst konfiguriert wird. Lesen Sie bei Bedarf [**Apple Management-Einrichtung (APNs)**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-management-einrichtung-apns "Apple Management setup (APNs)").
## Geräte automatisch registrieren 1. Fügen Sie Ihrem Apple Business-Konto Geräte hinzu und weisen Sie sie dem Geräteverwaltungsdienst Cerberus Enterprise zu: Öffnen Sie in Apple Business **Geräte** → **Inventar**, wählen Sie die Geräte aus und klicken Sie auf **Geräteverwaltung zuweisen**, oder weisen Sie neue Geräte automatisch über **Geräte** → **Verwaltungsdienste** → **Standardgerätezuweisung** zu. Siehe [Geräteanbieter verwalten](https://support.apple.com/guide/business/manage-device-suppliers-axmef1c47493/web) und [Geräte mit Apple Configurator hinzufügen](https://support.apple.com/guide/business/add-devices-using-apple-configurator-axm200a54d59/web). 2. Nachdem Sie neue Geräte zu Ihrem Apple Business-Konto hinzugefügt haben, synchronisieren Sie sie in Cerberus Enterprise im Abschnitt **Geräte** mit der Aktion **Von Apple Business synchronisieren**. Synchronisierte Geräte verbrauchen erst eine Lizenz, wenn sie sich registrieren. 3. Erstellen Sie im Dashboard ein ADE-Profil über **Registrierung** → **Apple Automated Device Enrollment (ADE)** → **Neues ADE-Profil**. 4. Weisen Sie einem Gerät auf der Gerätedetailseite über das Feld **ADE-Profil** ein ADE-Profil zu.Nach der Registrierung erhalten iPhones und iPads mit iOS oder iPadOS 18.4 oder höher die App **Cerberus Enterprise**. Mit ADE registrierte Geräte sind überwacht, daher wird die App ohne Nachfrage beim Benutzer installiert; die Einrichtung wartet nicht darauf. Die App muss einmal in Ihrer Apple Business-Mediathek vorhanden sein (siehe **Kontoeinstellungen**). Macs erhalten die App nicht.
## Einstellungen für ADE-Profile (Übersicht) Ein ADE-Profil steuert, wie das Gerät registriert wird und wie sich der Setup-Assistent verhält. In Cerberus Enterprise umfasst ein ADE-Profil einen Namen, eine optionale anfängliche Richtlinie, Registrierungsoptionen, die zu überspringenden Bereiche des Setup-Assistenten, Supportkontakte und vertrauenswürdige Zertifikate. ### Profilname Ein lesbarer Name für das Profil (zum Beispiel *Standard-ADE-Profil*). ### Richtlinie Die Richtlinie, die auf die Geräte angewendet wird, wenn sie sich mit Automated Device Enrollment registrieren (Setup-Assistent). Geräte des Profils, die sich über die Registrierungs-URL oder den QR-Code registrieren, erhalten stattdessen die Richtlinie ihres Registrierungstokens oder ohne Token keine Richtlinie. Wenn Sie nur die Richtlinie ändern, bleibt das Profil unverändert. ### Registrierungsoptionen - **MDM entfernbar**: steuert, ob die MDM-Nutzlast vom Gerät entfernt werden kann. - **Kopplung zulassen**: steuert, ob die Kopplung erlaubt ist (von Apple in iOS 13 veraltet). - **Setup automatisch fortsetzen**: führt den Setup-Assistenten automatisch durch seine Bildschirme (Mac mit macOS 11 oder neuer und Apple TV). - **Auf Gerätekonfiguration warten**: Der Setup-Assistent wartet, bis die Richtlinie des ADE-Profils angewendet wurde, damit Benutzer mit den zugehörigen Apps und Einstellungen beginnen. Cerberus Enterprise lässt das Gerät dann spätestens 4 Minuten nach der Registrierung fortfahren. - **Erforderlich**: verhindert das Überspringen der Profilanwendung während der Einrichtung. - **Mehrere Benutzer (Shared iPad)**: konfiguriert das Gerät für Shared iPad. - **Überwacht**: fordert die Überwachung für das Gerät an. ### Setup-Assistent - **Abteilung**, **Support-Telefon** und **Support-E-Mail** (optional): werden mit dem Profil an Apple gesendet. Das Gerät zeigt sie möglicherweise nicht an. - **Zu überspringende Bereiche**: Der Setup-Assistent zeigt die ausgewählten Bereiche nicht an (zum Beispiel Apple Account, Siri oder Bildschirmzeit). Jedes Gerät zeigt nur die Bereiche seines Systems (einige, wie FileVault oder iCloud-Dokumente und Schreibtisch, gibt es nur auf Macs); **Alle überspringen** und **Alle anzeigen** wählen alle aus bzw. heben die Auswahl auf. - **Apple TV**: Sprache und Region für Apple TV mit automatischer Setup-Fortsetzung. - **Vertrauenswürdige Zertifikate**: nur erforderlich, wenn der Server ein Zertifikat verwendet, dem die Geräte nicht vertrauen, zum Beispiel von einer privaten CA. Importieren Sie das Zertifikat zuerst auf der Seite Zertifikate. ### Liste der ADE-Profile Die Liste zeigt den Namen jedes Profils, seine Richtlinie, seine Geräte und seine ID, die Kennung, die Apple dem Profil gibt. Ein Schloss nach dem Namen kennzeichnet ein obligatorisches Profil, dessen Verwaltung Benutzer nicht entfernen können. **Keine Richtlinie** oder **Richtlinie gelöscht** weist darauf hin, dass mit dem Profil registrierte Geräte keine anfängliche Richtlinie erhalten. Die Spalte **Geräte** zählt die registrierten Geräte des Profils und daneben die wartenden Geräte: in Apple Business dem Profil zugewiesen, aber noch nicht registriert. Entfernte Geräte werden nicht gezählt. ### Ändern eines Profils Apple erlaubt das Ändern eines ADE-Profils nicht. Wenn Sie eines ändern (außer nur die Richtlinie), definiert Cerberus Enterprise ein neues Profil mit demselben Namen und weist es den Geräten des alten Profils zu; das alte Profil wird nicht mehr aufgeführt, sobald es kein Gerät mehr verwendet. Geräte, die den Setup-Assistenten bereits abgeschlossen haben, verwenden das neue Profil beim nächsten Löschen. Ein Profil, das kein Gerät verwendet – weder ein registriertes noch ein wartendes –, kann aus der Liste der ADE-Profile gelöscht werden. Apple erlaubt das Löschen eines Profils nicht, daher verbleibt es ungenutzt in Apple Business.Nachdem einem Gerät ein ADE-Profil zugewiesen wurde, kann es automatisch registriert werden.
# Kontogesteuerte Apple-Registrierung Bei der kontogesteuerten Registrierung registrieren Benutzer ihr iPhone, iPad oder ihren Mac, indem sie sich in den Geräteeinstellungen mit ihrem Arbeitskonto (einem **Verwalteten Apple Account**, zum Beispiel *name@company.com*) anmelden. Kein Profil zum Herunterladen und kein QR-Code: Cerberus Enterprise findet den Benutzer, wendet die Richtlinie an und legt das Eigentum selbst fest. ## Zwei Modi - **Benutzerregistrierung** (private Geräte): Nur die Arbeits-Apps, Konten und Daten werden in einem separaten Bereich des Geräts verwaltet. Cerberus kann keine privaten Daten einsehen, das Gerät nicht löschen, nicht orten und die Seriennummer nicht lesen. Das Gerät wird als privat genutzt festgelegt. Erfordert iOS und iPadOS 15 oder macOS 14 oder höher. - **Geräteregistrierung** (Unternehmensgeräte, die nicht in Apple Business sind): Das gesamte Gerät wird verwaltet, wie bei einer manuellen Registrierung. Ein so registrierter Mac ist überwacht; ein iPhone oder iPad nicht. Das Gerät wird als unternehmenseigen festgelegt. Erfordert iOS und iPadOS 17.1 oder macOS 14.1 oder höher.Sie wählen den Modus für iPhone und iPad und separat für Mac: zum Beispiel Benutzerregistrierung für private iPhones und Geräteregistrierung für Macs. Das Eigentum eines Geräts können Sie später auf der Geräteseite ändern.
Die kontogesteuerte Registrierung ist verfügbar, wenn Apple Management (APNs) konfiguriert ist. Wenn Sie die APNs-Einrichtung noch nicht abgeschlossen haben, lesen Sie [**Apple Management-Einrichtung (APNs)**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-management-einrichtung-apns "Apple Management setup (APNs)").
## Apple Business einrichten Benutzer melden sich mit Verwalteten Apple Accounts an, die in Apple Business erstellt werden. Bevor Sie beginnen: 1. **Verifizieren Sie Ihre Domain** (zum Beispiel *company.com*) in Apple Business unter den Domains Ihrer Organisation. 2. **Erstellen Sie die Verwalteten Apple Accounts** Ihrer Benutzer oder verbinden Sie Apple Business mit Google Workspace oder Microsoft Entra ID: Dann ist das Konto jedes Benutzers seine geschäftliche E-Mail-Adresse, und er meldet sich mit deren Passwort an. 3. Prüfen Sie für die Benutzerregistrierung in den Zugriffsverwaltungseinstellungen, ob sich Verwaltete Apple Accounts auf **privaten Geräten** anmelden können: Wenn sie sich nur auf überwachten Geräten anmelden können, schlägt die Benutzerregistrierung fehl. 4. Nur für die unten beschriebene Option **Apple Business**: Öffnen Sie **Geräte** → **Verwaltungsdienste** → **Standardgerätezuweisung** (Bearbeiten) und wählen Sie den Geräteverwaltungsdienst Cerberus Enterprise für iPhone, iPad und Mac.Behalten Sie den Geräteverwaltungsdienst Cerberus Enterprise und sein Token in Apple Business, solange Geräte mit Verwalteten Apple Accounts registriert sind: Wenn Sie sie entfernen, funktionieren die Konten auf den Geräten möglicherweise nicht mehr.
## Cerberus Enterprise einrichten Öffnen Sie den Abschnitt **Registrierung** des Dashboards und wählen Sie die Registerkarte **Apple-Kontoanmeldung**. Eine Checkliste oben zeigt an, was noch fehlt. Nur Administratoren können die Einstellungen ändern. - **Registrierung durch Anmelden mit einem Arbeitskonto zulassen**: schaltet die kontogesteuerte Registrierung für die gesamte Organisation ein oder aus. - **Domains**: die Domains der Konten Ihrer Benutzer (zum Beispiel *company.com*), bis zu 20. Nur Konten dieser Domains können sich registrieren, und erst nachdem die Domain verifiziert wurde (siehe unten). - **iPhone und iPad** und **Mac**: Aus, Benutzerregistrierung oder Geräteregistrierung für jede Gerätefamilie. - **Richtlinie** jedes Modus: wird auf die Geräte angewendet, sobald sie sich registrieren. Ohne Richtlinie werden die Geräte ohne Richtlinie registriert. Eine geänderte Richtlinie gilt für die nächsten Registrierungen. - **Benutzer**: *Nur vorhandene Benutzer* (die E-Mail-Adresse eines Benutzers in Cerberus Enterprise muss mit dem auf dem Gerät eingegebenen Konto übereinstimmen) oder *Benutzer für Konten der Domains erstellen, die noch keinen haben*.Das auf dem Gerät eingegebene Konto wird mit dem Feld **Verwaltetes Apple Account** der Benutzer und dann mit ihrer E-Mail-Adresse abgeglichen. Der Code wird immer an die E-Mail-Adresse des Benutzers gesendet. Ein für einen Benutzer festgelegtes Verwaltetes Apple Account kann sich auch dann registrieren, wenn seine Domain in Cerberus nicht verifiziert ist, zum Beispiel ein Konto der reservierten Domain *org.appleid.com* von Apple Business. Bei der Service Discovery über Apple Business geben Benutzer immer ihr Verwaltetes Apple Account ein.
### Domains verifizieren Nachdem Sie die Einstellungen gespeichert haben, zeigt der Abschnitt **Domain-Verifizierung** für jede Domain einen TXT-Eintrag an. Fügen Sie ihn dem DNS der Domain hinzu und klicken Sie dann auf **Verifizieren**. DNS-Änderungen können einige Zeit dauern, bis sie sichtbar sind. Eine verifizierte Domain bleibt verifiziert: Sie können den Eintrag anschließend entfernen. Benutzer einer nicht verifizierten Domain können sich nicht registrieren. ## Service Discovery: Wie Geräte Cerberus Enterprise finden Wenn sich ein Benutzer anmeldet, fragt das Gerät die Domain des Kontos (zum Beispiel *https://company.com*), welcher Server sie verwaltet. Richten Sie mindestens eine dieser drei Optionen ein. Der Abschnitt **Service Discovery** der Registerkarte zeigt die Discovery-URL Ihrer Organisation und den genauen Text zum Kopieren für jede Option. ### Option 1: Apple Business (empfohlen) Klicken Sie auf **In Apple Business registrieren**: Cerberus Enterprise speichert seine Discovery-URL in Ihrer Apple Business-Organisation, und auf Ihren Domains muss nichts veröffentlicht werden. **In Apple Business prüfen** zeigt die URL, die Apple Business derzeit hat, und **Aus Apple Business entfernen** entfernt sie. - Erfordert iOS und iPadOS 18.2 oder macOS 15.2 oder höher. Ältere Geräte benötigen Option 2 oder 3. - Erfordert Apple Business, verbunden in Cerberus Enterprise (Service-Token für Automated Device Enrollment), sowie die oben beschriebene Standardgerätezuweisung. - Das Gerät fragt Apple Business nur, wenn Ihre Domain nicht antwortet: Die Adresse *https://company.com/.well-known/com.apple.remotemanagement* darf nicht existieren (ein Fehler wie „nicht gefunden“). Wenn Ihre Website darauf mit einer Webseite antwortet, bleiben die Geräte dort stehen. Verwenden Sie **Konfiguration prüfen**, um zu sehen, was sie antwortet.Apple Business speichert eine Discovery-URL pro Organisation: Wenn Sie sie registrieren, werden alle Verwalteten Apple Accounts der Organisation an diese Cerberus Enterprise-Organisation geleitet. Registrieren Sie sie nicht aus zwei Cerberus Enterprise-Organisationen, die dieselbe Apple Business-Organisation verwenden.
### Option 2: Umleitung von Ihrer Website Leiten Sie auf dem Webserver jeder Domain */.well-known/com.apple.remotemanagement* auf die Discovery-URL Ihrer Organisation um und **behalten Sie dabei die Abfragezeichenfolge bei** (sie enthält das vom Benutzer eingegebene Konto). Dies funktioniert mit jeder Betriebssystemversion, die die kontogesteuerte Registrierung unterstützt, und der Modus kann für iPhone und Mac unterschiedlich sein. Kopieren Sie den Text für Apache oder nginx aus der Registerkarte; er sieht wie folgt aus, mit dem Schlüssel Ihrer Organisation: **Apache** (.htaccess oder virtueller Host): ``` RewriteEngine On RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA] ``` **nginx**: ``` location = /.well-known/com.apple.remotemanagement { return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args; } ``` Erstellen Sie auf anderen Webservern oder Diensten (IIS, Cloudflare, Hosting-Verwaltungsoberflächen) eine Umleitungsregel (302) vom selben Pfad auf die Discovery-URL mit der Option, die die Abfragezeichenfolge beibehält oder weiterleitet. ### Option 3: Statische Datei auf Ihrer Website Wenn Sie keine Umleitung hinzufügen können, veröffentlichen Sie eine Datei unter *https://company.com/.well-known/com.apple.remotemanagement* (ohne Dateierweiterung), die mit *Content-Type: application/json* bereitgestellt wird. Kopieren Sie ihren Inhalt aus der Registerkarte. Eine statische Datei kann den Modus nicht pro Gerät wählen: Sie verwendet denselben Modus für iPhone, iPad und Mac. Für die Benutzerregistrierung sieht sie wie folgt aus: ``` {"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]} ``` und für die Geräteregistrierung: ``` {"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]} ```Der Modus der Datei muss außerdem dem in der Registerkarte für die Gerätefamilie festgelegten Modus entsprechen, andernfalls wird die Registrierung abgelehnt.
### Konfiguration prüfen Wählen Sie in **Konfiguration prüfen** eine Domain und ein Gerät (iPhone oder Mac) und klicken Sie auf **Prüfen**: Cerberus Enterprise fragt die Domain das, was ein Gerät fragen würde, und zeigt die Antwort, jede Umleitung und ein Ergebnis an. Wenn die Domain auf Cerberus Enterprise verweist, funktionieren Option 2 oder 3; eine Fehlerantwort (wie „nicht gefunden“) ist für Option 1 in Ordnung; eine Webseite oder eine Datei, die woandershin verweist, stoppt die Geräte. Die Prüfung warnt außerdem, wenn eine Umleitung die Abfragezeichenfolge verwirft oder die Datei nicht als *application/json* bereitgestellt wird. ### Registrierungsschlüssel Die Discovery- und Registrierungs-URLs enthalten einen Schlüssel Ihrer Organisation. Wenn die URLs versehentlich veröffentlicht wurden, klicken Sie auf **Schlüssel neu generieren**: Die alten URLs funktionieren sofort nicht mehr, aktualisieren Sie daher die Umleitungen und statischen Dateien auf Ihren Websites. Cerberus Enterprise registriert die neue URL selbst in Apple Business, wenn Option 1 verwendet wird. ## Wie Benutzer sich registrieren 1. iPhone und iPad: Öffnen Sie *Einstellungen* → *Allgemein* → *VPN & Geräteverwaltung* → *Bei Arbeits- oder Schulkonto anmelden*. Mac: *Systemeinstellungen* → *Allgemein* → *Geräteverwaltung* → *Anmelden* (unter macOS 14: *Datenschutz & Sicherheit* → *Profile* → *Anmelden*). 2. Geben Sie das Verwaltete Apple Account oder die geschäftliche E-Mail-Adresse des Benutzers in Cerberus ein (zum Beispiel *name@company.com*). Wenn das Verwaltete Apple Account des Benutzers von der eingegebenen Angabe abweicht, fordert das Gerät anschließend zur Anmeldung mit diesem Konto auf. 3. Eine Cerberus Enterprise-Seite wird geöffnet: Tippen Sie auf *Code senden* und geben Sie dann den per E-Mail erhaltenen 6-stelligen Code ein. Der Code läuft nach 10 Minuten ab; nach 5 falschen Codes muss der Benutzer die Seite schließen und sich erneut anmelden. 4. Melden Sie sich mit dem Passwort des Verwalteten Apple Accounts an (oder über die Anmeldeseite des Unternehmens, wenn Apple Business mit Google Workspace oder Microsoft Entra ID verbunden ist) und erlauben Sie dann die Geräteverwaltung.Konten, die sich nicht registrieren können (Domain nicht verifiziert, kein passender Benutzer, wenn Benutzer nicht automatisch erstellt werden, mehrere Benutzer mit derselben E-Mail-Adresse), sehen die Meldung „Dieses Konto ist nicht für die Registrierung eingerichtet. Wenden Sie sich an Ihren IT-Administrator.“ Die Ereignisse werden in den Systemprotokollen des Dashboards angezeigt.
## Nach der Registrierung - Die Geräteseite zeigt das zur Registrierung verwendete **Verwaltete Apple Account** und den Registrierungstyp (Benutzerregistrierung oder kontogesteuerte Geräteregistrierung). In der Geräteliste zeigen Geräte mit Benutzerregistrierung „Benutzerregistrierung“ an. - Auf Geräten mit Benutzerregistrierung werden die Befehle und Richtlinieneinstellungen, die Apple nicht zulässt (Löschen, Standort, Verloren-Modus, Betriebssystemupdates, viele Einschränkungen), nicht angeboten oder nicht gesendet. App Store-Apps der Richtlinie verwenden eine Benutzerlizenz anstelle einer Gerätelizenz (siehe **Apps auf privaten Geräten** unten). - Auf Geräten mit Benutzerregistrierung erscheinen Webclips auf dem Home-Bildschirm, werden aber nicht unter *Einstellungen* → *Allgemein* → *VPN & Geräteverwaltung* aufgeführt. - Das MDM-Zertifikat dieser Geräte wird nicht automatisch erneuert, und **Return to Service** ist nicht verfügbar: Bitten Sie den Benutzer, das Gerät erneut zu registrieren, bevor das MDM-Zertifikat abläuft (ein Jahr nach der Registrierung, siehe Geräteseite). - Um die Verwaltung zu beenden, meldet sich der Benutzer an derselben Stelle in den Einstellungen vom Arbeitskonto ab, oder Sie heben die Geräteregistrierung in Cerberus Enterprise auf. Bei der Benutzerregistrierung werden nur die Arbeits-Apps, Konten und Daten entfernt; private Daten bleiben erhalten. Ein Gerät, das sich erneut registriert, erscheint als neues Gerät.Direkt nach der Registrierung können einige Profile der Richtlinie (Zertifikate, Wi-Fi-Netzwerke, Webclips) mit einem unbekannten Fehler als fehlgeschlagen gemeldet werden, und das Gerät kann eine Zeit lang als **Nicht konform** angezeigt werden. Das Gerät versucht sie von selbst erneut, und sie werden nach einer Weile ohne erforderliche Aktion installiert. Speichern Sie die Richtlinie deshalb nicht erneut und registrieren Sie das Gerät nicht erneut.
## Apps auf privaten Geräten Mit der Benutzerregistrierung registrierte iPhones und iPads haben keine Seriennummer, daher können Apps and Books ihnen keine Gerätelizenz zuweisen. Cerberus Enterprise weist den App Store-Apps ihrer Richtlinie stattdessen eine **Benutzerlizenz** zu: Die Lizenz geht an das auf dem Gerät angemeldete Verwaltete Apple Account. An der Richtlinie ändert sich nichts: Dieselbe Richtlinie dient Unternehmens- und privaten Geräten, und Cerberus wählt den Lizenztyp für jedes Gerät. - **Automatisch**: Bei der ersten Registrierung registriert Cerberus das Verwaltete Apple Account bei Apps and Books und fordert dann bei Apple eine Lizenz für jede App Store-App der Richtlinie an. Kostenlose Apps benötigen ebenfalls eine Lizenz; Apple stellt dafür unbegrenzte Lizenzen bereit. Eine kostenpflichtige App verwendet eine Lizenz pro Verwaltetem Apple Account, die von allen privaten Geräten dieses Kontos gemeinsam genutzt wird. - **Gleiche Organisation**: Die Verwalteten Apple Accounts und das Apps and Books-Token von Cerberus Enterprise müssen zur selben Apple Business-Organisation gehören, und die Apps müssen in der Mediathek des Token-Standorts enthalten sein. - **Lizenz zuerst**: Eine App wird erst an das Gerät gesendet, nachdem Apple ihre Lizenz bestätigt hat, normalerweise innerhalb weniger Minuten. Bis dahin zeigt das Panel **Anwendungen** des Geräts sie als **Warten auf Benutzerlizenz** mit der Begründung an. - **Installationsaufforderung**: private Geräte sind nie überwacht, daher fragt iOS den Benutzer vor der Installation jeder App, einschließlich der **Cerberus Enterprise**-App, die Cerberus auch auf diesen Geräten installiert (**Installieren** oder **Abbrechen**); eine Anmeldung mit einem Apple Account ist nicht erforderlich. Wenn der Benutzer abbricht, zeigt die App **Warten auf die Genehmigung der Installation durch den Benutzer**: Verwenden Sie **Erneut anfordern** auf der Geräteseite, um die Aufforderung erneut anzuzeigen. Apps, die als **Erforderlich** installiert werden, können vom Benutzer nicht gelöscht werden. - **Vor der Registrierung installierte Apps**: Apple erlaubt der Organisation nicht, eine App zu übernehmen, die der Benutzer persönlich auf einem mit Benutzerregistrierung registrierten Gerät installiert hat. Bitten Sie den Benutzer, seine eigene Kopie vor der Registrierung zu löschen, oder löschen Sie sie und verwenden Sie dann **Erneut anfordern** auf der Geräteseite: Die Organisation installiert dann die verwaltete Kopie. - **Verwaltung beenden**: Wenn die Registrierung des Geräts aufgehoben wird, entfernt iOS die verwalteten Apps und ihre Daten. Eine Lizenz wird freigegeben, wenn kein anderes registriertes Gerät desselben Verwalteten Apple Accounts sie benötigt, zum Beispiel wenn die App die Richtlinie verlässt oder das letzte Gerät abgemeldet wird; Lizenzen, die niemand mehr benötigt, werden durch die tägliche Prüfung innerhalb eines Tages freigegeben.Wenn Apple keine Lizenz zuweisen kann, zum Beispiel weil für eine kostenpflichtige App keine Lizenz mehr verfügbar ist, zeigt die App **Benutzerlizenz fehlgeschlagen** mit Apples Meldung an. Fügen Sie in Apple Business Lizenzen hinzu und verwenden Sie dann **Erneut anfordern** auf der Geräteseite; Cerberus versucht es auch bei der täglichen Prüfung erneut. Die Zeile über der App-Liste zeigt das Verwaltete Apple Account und den Status seines Apps and Books-Benutzers; derselbe Status ist auf der Seite des Benutzers zu sehen.
Benutzerlizenzen werden nur auf iPhones und iPads verwendet: Auf Macs, die mit User Enrollment registriert sind, werden die App-Store-Apps der Richtlinie nicht installiert. Bücher und persönliche Apple Accounts werden nicht unterstützt.
# Richtlinienübersicht Der Bereich **Richtlinien** des Dashboards (*Dashboard* → *Richtlinien*) listet alle Richtlinien in Ihrem Konto auf und ermöglicht Ihnen, sie zu erstellen, zu kopieren, zu bearbeiten und zu löschen. ## Richtlinienliste Richtlinien werden in einer Tabelle angezeigt. Ein Klick auf eine Zeile öffnet den entsprechenden Richtlinieneditor. ### Spalten - **Name**: Name der Richtlinie. - **Plattform**: die Plattform für die Richtlinie (Android oder Apple). Wird nur angezeigt, wenn sowohl Android Management als auch Apple Management konfiguriert sind. - **Geräte**: Anzahl der der Richtlinie derzeit zugewiesenen registrierten Geräte. Geräte, deren Registrierung aufgehoben wurde, werden nicht gezählt. - **Beschreibung**: Beschreibung der Richtlinie. Eine lange Beschreibung wird nach zwei Zeilen abgeschnitten; zeigen Sie darauf, um den vollständigen Text zu lesen. - **Zuletzt geändert**: wann ein Administrator die Richtlinie zuletzt erstellt, gespeichert oder kopiert hat. Leer für Richtlinien, die seit Einführung dieser Spalte nicht gespeichert wurden. - **Id**: interne Richtlinienkennung. Standardmäßig werden die zuletzt geänderten Richtlinien zuerst angezeigt; Richtlinien, die seit Einführung der Spalte **Zuletzt geändert** nie gespeichert wurden, folgen nach Namen. Klicken Sie auf eine Spaltenüberschrift, um nach dieser Spalte zu sortieren. ### Filter und Suche - Wenn sowohl Android Management als auch Apple Management konfiguriert sind, können Sie die Liste nach **Alle**, **Android** oder **Apple** filtern. - Sie können **Suche** aktivieren und nach Richtlinienname oder -beschreibung suchen. ### Aktualisierung und Seitennummerierung - Verwenden Sie die Aktualisierungsaktion, um die Liste neu zu laden. - Die Tabelle ist paginiert (10/25/50 Einträge pro Seite). ## Neue Richtlinie erstellen Am unteren Ende der Seite „Richtlinien“ können Sie eine neue Richtlinie erstellen. Je nachdem, welche Plattform in Ihrem Konto konfiguriert ist, sehen Sie möglicherweise eine oder beide der folgenden Aktionen: - **Neue Android-Richtlinie erstellen** - **Neue Apple-Richtlinie erstellen**Wenn Ihre Lizenz abgelaufen ist, sind das Erstellen von Richtlinien (und andere Schreibaktionen) deaktiviert.
## Richtlinien kopieren und löschen Jede Richtlinienzeile verfügt über ein Aktionsmenü mit **Richtlinie kopieren** und **Richtlinie löschen**. ### Warnungen beim Löschen von Richtlinien Beim Löschen einer Richtlinie zeigt das Dashboard möglicherweise zusätzliche Warnungen an, je nachdem, wie die Richtlinie verwendet wird. - Wenn die Richtlinie registrierten Geräten zugewiesen ist, hebt das Löschen die Registrierung der zugehörigen Geräte auf und löscht ihre Apps und Daten. - Wenn die Richtlinie Registrierungs-Tokens zugewiesen ist, können diese Tokens die Registrierung möglicherweise nicht mehr abschließen. - Wenn die Richtlinie als Standard für die Google-Authentifizierungsregistrierung festgelegt ist (global oder für einige Benutzer), kann das Löschen dazu führen, dass Registrierungen fehlschlagen. ### Mehrere Richtlinien löschen Die Richtlinienliste unterstützt die Mehrfachauswahl für das Massenlöschen. Im Mehrfachauswahlmodus können Sie mehrere Richtlinien auswählen und sie mit einer Aktion löschen.Massenlöschen ist nur aktiviert, wenn alle ausgewählten Richtlinien zur selben Plattform gehören (alle Android oder alle Apple).
## Weiter: Richtlinieneinstellungen bearbeiten Die Richtlinienliste ist der Einstiegspunkt. Um Richtlinieneinstellungen zu konfigurieren, verwenden Sie die entsprechende Editor-Dokumentation: [**Richtlinien → Android**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/chapter/richtlinien-android "Android policies") und [**Richtlinien → Apple**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/chapter/richtlinien-apple "Apple policies").Richtlinien, auf die Registrierungs-Tokens verweisen, werden während der Geräteregistrierung automatisch angewendet.
# Richtlinien - Android # Zusammenfassung Android-Richtlinien sind die zentralen Entitäten des Systems: Sie definieren die Regeln, die auf verwalteten Geräten angewendet und durchgesetzt werden. Sie können Ihre Richtlinien im Bereich **Richtlinien** des Dashboards durchsuchen und neue erstellen. Um eine Android-Richtlinie zu öffnen, klicken Sie auf die Richtlinienzeile in der Tabelle: Das System öffnet die Seite **Richtlinieneditor**. Eine Richtlinie kann mit einem [Registrierungstoken](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/registrierungstoken "Enrollment tokens") verknüpft werden, sodass sie während des Bereitstellungsprozesses automatisch auf Geräte angewendet wird. Sie können die einem Gerät zugewiesene Richtlinie auch nach der Bereitstellung ändern.Jedes Gerät kann jeweils nur einer Richtlinie zugeordnet werden.
Viele Richtlinienoptionen gelten nur für bestimmte Gerätetypen (vollständig verwaltet, dediziert, Arbeitsprofil) und Android-Versionen. Nicht unterstützte Einstellungen werden vom Gerät möglicherweise ignoriert oder als nicht compliant gemeldet.
## Aufbau des Richtlinieneditors Der Richtlinieneditor ist als Reihe aufklappbarer Abschnitte organisiert. Am oberen Rand der Seite können Sie jederzeit Folgendes bearbeiten: - **Name** (erforderlich) - **Id** (schreibgeschützt) - **Beschreibung** (optional) Die folgenden Abschnitte entsprechen den Bereichen des Richtlinieneditors (zum Beispiel: App-Verwaltung, Sicherheit, Netzwerk, System, Private Nutzung, Profilübergreifende Richtlinien und mehr). Wenn Sie eine gespeicherte Richtlinie öffnen, sind die Abschnitte mit geänderten Einstellungen bereits geöffnet, die übrigen bleiben geschlossen. Verwenden Sie die Kapitelseiten dieses Handbuchs, um jeden Bereich im Detail zu verstehen. ## Speichern, Löschen und zugeordnete Geräte Verwenden Sie **Richtlinie speichern**, um Ihre Änderungen anzuwenden. Die Schaltfläche ist deaktiviert, wenn keine ausstehenden Änderungen vorhanden sind oder wenn die Lizenz abgelaufen ist. Wenn Sie eine vorhandene Richtlinie geöffnet haben (sie hat eine Id), zeigt die Seite unten eine Aktion **Richtlinie löschen** und eine Liste **Zugeordnete Geräte** an, sodass Sie sehen können, wie viele Geräte die Richtlinie derzeit verwenden. # App-Verwaltung In diesem Bereich können Sie Richtlinien zu App-Verfügbarkeit, Installation, Updates und Berechtigungsverwaltung festlegen.Managed Google Play-Konten werden automatisch erstellt, wenn Geräte bereitgestellt werden.
#### 1. Play Store-Modus Dieser Modus steuert, welche Apps dem Benutzer im Play Store zur Verfügung stehen, und das Verhalten auf dem Gerät, wenn Apps aus der Richtlinie entfernt werden. **Whitelist (Standard)**: Nur Apps, die in der Richtlinie enthalten sind, stehen zur Verfügung, und jede App, die nicht in der Richtlinie enthalten ist, wird automatisch vom Gerät deinstalliert. Der Play Store zeigt nur verfügbare Apps an. **Blacklist**: Alle Apps sind verfügbar, und jede App, die nicht auf dem Gerät sein sollte, muss in der Anwendungsrichtlinie explizit als **blockiert** markiert werden. Der Play Store zeigt alle Apps außer blockierten an. #### 2. Richtlinie für nicht vertrauenswürdige Apps Die Richtlinie für nicht vertrauenswürdige Apps (Apps aus unbekannten Quellen), die auf dem Gerät erzwungen wird. Diese Option steuert die Android-Systemeinstellung, die festlegt, ob ein Benutzer Apps von außerhalb des Play Store installieren kann (Sideloading). **Nicht zulassen (Standard)**: Nicht vertrauenswürdige App-Installationen auf dem gesamten Gerät nicht zulassen. **Nur persönliches Profil**: Bei Geräten mit Arbeitsprofilen nicht vertrauenswürdige App-Installationen nur im persönlichen Profil des Geräts zulassen. **Zulassen**: Nicht vertrauenswürdige App-Installationen auf dem gesamten Gerät zulassen. #### 3. Google Play Protect Ob die App-Überprüfung durch Google Play Protect erzwungen wird. **Erzwungen (Standard)**: Erzwingt die App-Überprüfung. **Benutzerauswahl**: Ermöglicht dem Benutzer zu wählen, ob die App-Überprüfung aktiviert wird. #### 4. Standard-Berechtigungsrichtlinie Die Richtlinie zum Erteilen von Laufzeitberechtigungsanfragen für Apps. **Abfragen (Standard)**: Den Benutzer auffordern, eine Berechtigung zu erteilen. **Erteilen**: Eine Berechtigung automatisch erteilen. **Verweigern**: Eine Berechtigung automatisch verweigern. #### 5. App-Funktionen Steuert, ob Apps auf vollständig verwalteten Geräten oder in Arbeitsprofilen App-Funktionen bereitstellen dürfen. Erfordert Android 16 oder höher. **Zugelassen (Standard)**: Apps auf vollständig verwalteten Geräten oder in Arbeitsprofilen können App-Funktionen bereitstellen. **Nicht zugelassen**: Apps auf vollständig verwalteten Geräten oder in Arbeitsprofilen können keine App-Funktionen bereitstellen. #### 6. Installation von Apps deaktiviert Ob die Installation von Apps durch den Benutzer deaktiviert ist. #### 7. Deinstallation von Apps deaktiviert Ob die Deinstallation von Anwendungen durch den Benutzer deaktiviert ist. #### 8. Berechtigungsrichtlinien Explizite Erteilungen oder Verweigerungen von Berechtigungen oder Gruppen für alle Apps. Diese Werte überschreiben die Einstellung **Standard-Berechtigungsrichtlinie**. Verwenden Sie **Berechtigungsrichtlinie hinzufügen**, um Einträge zu erstellen, und entfernen Sie sie mit der Löschaktion. Jeder Eintrag enthält: **Android-Berechtigung/-gruppe**: Die Android-Berechtigung oder -gruppe (erforderlich), zum Beispiel **android.permission.READ\_CALENDAR** oder **android.permission\_group.CALENDAR**. **Richtlinie**: Erteilen / Verweigern / Abfragen (verwendet dieselben Richtlinienoptionen wie **Standard-Berechtigungsrichtlinie**). #### 9. Anwendungen Liste der Anwendungen, die in der Richtlinie enthalten sein müssen. Das Verhalten des Listeninhalts hängt vom Wert ab, der für **Play Store-Modus** festgelegt ist. Wenn **Play Store-Modus** auf **Whitelist** festgelegt ist, stehen nur Apps zur Verfügung, die in der Richtlinie enthalten sind, und jede App, die nicht in der Richtlinie enthalten ist, wird automatisch vom Gerät deinstalliert. Wenn **Play Store-Modus** auf **Blacklist** festgelegt ist, sind alle Apps verfügbar, und jede App, die nicht auf dem Gerät sein sollte, muss in der Anwendungsrichtlinie explizit als **blockiert** markiert werden. Um eine neue App hinzuzufügen, klicken Sie auf die Schaltfläche **Apps hinzufügen** (oder das Symbol **Apps hinzufügen**), wählen Sie **Aus Managed Google Play** und wählen Sie dann die App aus dem Play Store aus und klicken Sie auf die Schaltfläche **Auswählen** in der App-Karte. Um eine App hinzuzufügen, die nicht bei Google Play veröffentlicht, aber bereits auf dem Gerät vorhanden ist (zum Beispiel eine System- oder Hersteller-App), klicken Sie auf **Apps hinzufügen**, wählen Sie **Nach Paketnamen (vorinstallierte Apps)**, geben Sie den Paketnamen der App ein (z. B. **com.example.app**) und klicken Sie auf **Hinzufügen**.Die App wird mit dem Installationstyp **Erzwungen installiert** hinzugefügt. Damit die App im benutzerdefinierten Kiosk-Launcher angezeigt wird, muss der **Installationstyp** auf **Vorinstalliert** oder **Erzwungen installiert** gesetzt sein: Bei **Verfügbar** wird die App nicht angezeigt.Apps, die auf Managed Google Play nicht verfügbar sind, werden in der Anwendungsliste mit einem Android-Symbol markiert. Sie können nicht über Google Play installiert werden und müssen daher bereits auf dem Gerät vorhanden sein: Geräte, auf denen die App nicht vorhanden ist, können sie nicht installieren.
Alle Apps, die im Play Store in Ihrem Land veröffentlicht sind, stehen standardmäßig zur Auswahl. Um Ihre eigenen privaten oder Web-Apps auszuwählen, müssen Sie sie zuerst im System hochladen. Weitere Informationen finden Sie auf der Seite [**Private Apps**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/private-apps "Private apps").
Jede App kann mit ihren eigenen Einstellungen konfiguriert werden, die optisch in einer Karte zusammengefasst sind: ##### 9.1. Installationstyp Der für eine App auszuführende Installationstyp. **Verfügbar**: Die App steht zur Installation zur Verfügung. **Vorinstalliert**: Die App wird automatisch installiert und kann vom Benutzer entfernt werden. **Erzwungen installiert**: Die App wird automatisch installiert und kann vom Benutzer nicht entfernt werden. **Blockiert**: Die App ist blockiert und kann nicht installiert werden. Wenn die App unter einer früheren Richtlinie installiert wurde, wird sie deinstalliert. **Für die Einrichtung erforderlich**: Die App wird automatisch installiert und kann vom Benutzer nicht entfernt werden; sie verhindert den Abschluss der Einrichtung, bis die Installation abgeschlossen ist. **Kiosk**: Die App wird automatisch im Kioskmodus installiert: Sie wird als bevorzugter Home-Intent festgelegt und für den Lock-Task-Modus auf die Whitelist gesetzt. Die Geräteeinrichtung wird erst abgeschlossen, wenn die App installiert ist. Nach der Installation können Benutzer die App nicht entfernen. Sie können diesen **Installationstyp** nur für eine App pro Richtlinie festlegen. Wenn dies in der Richtlinie vorhanden ist, wird die Statusleiste automatisch deaktiviert. Weitere Informationen finden Sie auf der speziellen Seite [**Kioskmodus**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/kioskmodus "Kiosk mode"). ##### 9.2. Installationsbeschränkungen Definiert eine Reihe von Einschränkungen für die App-Installation. Wenn mehrere Beschränkungen ausgewählt sind, müssen alle erfüllt sein, damit die App installiert wird.Diese Option wird nur angezeigt, wenn der **Installationstyp** auf **Vorinstalliert** oder **Erzwungen installiert** gesetzt ist.
**Unbegrenztes Netzwerk**: Installieren Sie die App nur, wenn das Gerät mit einem unbegrenzten Netzwerk verbunden ist (z. B. Wi‑Fi). **Aufladen**: Installieren Sie die App nur, wenn das Gerät lädt. **Leerlauf**: Installieren Sie die App nur, wenn das Gerät im Leerlauf ist. ##### 9.3. Auto-Update-Modus Steuert den Auto-Update-Modus für die App. **Standard**: Die App wird automatisch mit niedriger Priorität aktualisiert, um die Auswirkungen auf den Benutzer zu minimieren. Die App wird aktualisiert, wenn alle folgenden Bedingungen erfüllt sind: (1) Das Gerät wird nicht aktiv verwendet, (2) das Gerät ist mit einem unbegrenzten Netzwerk verbunden, (3) das Gerät lädt. Das Gerät wird innerhalb von 24 Stunden, nachdem der Entwickler ein neues Update veröffentlicht hat, darüber benachrichtigt; danach wird die App beim nächsten Erfüllen der obigen Bedingungen aktualisiert. **Zurückgestellt**: Die App wird nach dem Veralten maximal 90 Tage lang nicht automatisch aktualisiert. 90 Tage nachdem die App veraltet ist, wird die neueste verfügbare Version automatisch mit niedriger Priorität installiert (siehe **Standard** Auto-Update-Modus). Nach der Aktualisierung wird die App erst wieder automatisch aktualisiert, wenn erneut 90 Tage nach dem Veralten vergangen sind. Der Benutzer kann die App jederzeit weiterhin manuell im Play Store aktualisieren. **Hohe Priorität**: Die App wird so bald wie möglich aktualisiert. Es werden keine Bedingungen angewendet. Das Gerät wird sofort über ein neues Update benachrichtigt, sobald es verfügbar ist. ##### 9.4. Mindestversionscode Die Mindestversion der App, die auf dem Gerät ausgeführt wird. Wenn festgelegt, versucht das Gerät, die App auf mindestens diesen Versionscode zu aktualisieren. Wenn die App nicht aktuell ist, enthält das Gerät ein **Detail zur Nichtkonformität** mit **Grund der Nichtkonformität** auf **APP\_NOT\_UPDATED**. Die App muss bereits bei Google Play mit einem Versionscode größer oder gleich diesem Wert veröffentlicht sein. Höchstens 20 Apps können pro Richtlinie einen Mindestversionscode angeben. ##### 9.5. Delegierte Scopes Die von Android Device Policy an die App delegierten Scopes. Sie können anderen Apps eine Auswahl spezieller Android-Berechtigungen erteilen: **Zertifikatinstallation**: Gewährt Zugriff auf die Installation und Verwaltung von Zertifikaten. **Verwaltete Konfigurationen**: Gewährt Zugriff auf die Verwaltung verwalteter Konfigurationen. **Deinstallation blockieren**: Gewährt Zugriff auf das Blockieren der Deinstallation. **Berechtigungen**: Gewährt Zugriff auf die Berechtigungsrichtlinie und den Status der Berechtigungserteilung. **Paketzugriff**: Gewährt Zugriff auf den Paketzugriffsstatus. **System-App**: Gewährt Zugriff zum Aktivieren von System-Apps. ##### 9.6. Bevorzugtes Netzwerk Der bevorzugte Netzwerkdienst, der für diese App verwendet werden soll. Wenn festgelegt, verwendet die App den angegebenen Enterprise-Netzwerk-Slice für ihre Verbindungen, sofern verfügbar. Dieser muss mit einem Netzwerk-Slice übereinstimmen, der im Bereich **5G-Netzwerk-Slicing-Konfiguration** des Panels **Mobilfunk** konfiguriert ist. 9.7. Standard-Berechtigungsrichtlinie Die Standardrichtlinie für alle von der App angeforderten Berechtigungen. Wenn angegeben, überschreibt sie die richtlinienweite **Standard-Berechtigungsrichtlinie**, die für alle Apps gilt. Sie überschreibt nicht die **Berechtigungsrichtlinien**, die für alle Apps gelten. **Abfragen (Standard)**: Den Benutzer auffordern, eine Berechtigung zu erteilen. **Erteilen**: Eine Berechtigung automatisch erteilen. **Verweigern**: Eine Berechtigung automatisch verweigern. ##### 9.8. Verbundene Arbeits- und private App Steuert, ob die App über die Arbeits- und privaten Profile eines Geräts hinweg mit sich selbst kommunizieren kann, vorbehaltlich der Zustimmung des Benutzers (Android 11+). **Nicht zugelassen (Standard)**: Verhindert, dass die App profilübergreifend kommuniziert. **Zugelassen**: Ermöglicht der App, nach Erhalt der Benutzerzustimmung profilübergreifend zu kommunizieren. ##### 9.9. Ausnahme vom Always-On-VPN-Sperrmodus Gibt an, ob der App Netzwerkzugriff erlaubt ist, wenn das VPN nicht verbunden ist und **Sperrmodus aktiviert** aktiv ist. Wird nur auf Geräten mit Android 10 oder höher unterstützt. **Erzwungen (Standard)**: Die App beachtet die Always-On-VPN-Sperrmoduseinstellung. **Ausgenommen**: Die App ist von der Always-On-VPN-Sperrmoduseinstellung ausgenommen. ##### 9.10. Arbeitsprofil-Widgets Gibt an, ob die im Arbeitsprofil installierte App Widgets zum Home-Bildschirm hinzufügen darf. **Zugelassen**: Die Anwendung kann Widgets zum Home-Bildschirm hinzufügen. **Nicht zugelassen**: Die Anwendung kann keine Widgets zum Home-Bildschirm hinzufügen. ##### 9.11. Benutzersteuerungseinstellungen Gibt an, ob die Benutzersteuerung für eine bestimmte App zulässig ist. Die Benutzersteuerung umfasst Benutzeraktionen wie das Erzwingen des Beendens und das Löschen von App-Daten (Android 11+). Wenn **extensionConfig** für eine App aktiviert ist, ist die Benutzersteuerung unabhängig von dieser Einstellung nicht zulässig. Für Kiosk-Apps können Sie **Zugelassen** verwenden, um die Benutzersteuerung zu erlauben. **Nicht angegeben**: Verwendet das Standardverhalten der App, um zu bestimmen, ob die Benutzersteuerung zulässig ist oder nicht. **Zugelassen**: Die Benutzersteuerung ist für die App zulässig. **Nicht zugelassen**: Die Benutzersteuerung ist für die App nicht zulässig. ##### 9.12. Deaktiviert Ob die App deaktiviert ist. Wenn sie deaktiviert ist, bleiben die App-Daten weiterhin erhalten. ##### 9.13. Anmeldedatenanbieter zulassen Ob die App unter Android 14 und höher als Anmeldedatenanbieter fungieren darf. ##### 9.14. Verwaltete Konfiguration Um die verwalteten Einstellungen der App zu konfigurieren, klicken Sie auf die Schaltfläche **Verwaltete Konfiguration aktivieren**. Wenn für die App bereits eine verwaltete Konfiguration festgelegt ist, können Sie die Konfiguration mit der Schaltfläche **Verwaltete Konfiguration** ändern oder sie mit der Schaltfläche **Konfiguration entfernen** löschen.Die Option **Verwaltete Konfiguration** ist nur für Apps verfügbar, die diese Funktion unterstützen.
##### 9.15. Berechtigungsrichtlinien Explizite Erteilungen oder Verweigerungen von Berechtigungen für die App. Diese Werte überschreiben die **Standard-Berechtigungsrichtlinie** und die **Berechtigungsrichtlinien**, die für alle Apps gelten. Verwenden Sie **Berechtigungsrichtlinie hinzufügen**, um eine oder mehrere Berechtigungsregeln für die App-Karte hinzuzufügen, und entfernen Sie sie mit der Löschaktion. ##### 9.16. Track-IDs Liste der IDs der geschlossenen Test-Tracks der App, auf die ein Gerät zugreifen kann. Wenn mehrere Track-IDs ausgewählt sind, erhalten Geräte die neueste Version aller zugänglichen Tracks. Wenn keine Track-ID ausgewählt ist, haben Geräte nur Zugriff auf den Produktions-Track der App.Die Option **Track-IDs** ist nur für Apps verfügbar, die mindestens eine Track-ID für Ihre Organisation haben. Weitere Informationen zum Hinzufügen Ihrer Organisation zu einem geschlossenen Test-Track für eine bestimmte App finden Sie [hier](https://developers.google.com/android/management/apps#distribute_apps_for_closed_testing).
#### 10. Standardanwendungseinstellungen Legen Sie Standard-Apps für unterstützte Typen fest. Wenn für mindestens einen Typ eine Standard-App festgelegt ist, können Benutzer die Standard-Apps in diesem Profil nicht ändern.Pro **Standardanwendungstyp** ist nur eine Standardanwendungseinstellung zulässig. Die Liste der Standardanwendungen darf keine Duplikate enthalten.
##### 10.1. Standardanwendungstyp Wählen Sie die zu konfigurierende App-Kategorie aus (zum Beispiel Browser, Telefon, SMS, Wallet oder Assistant). Die Verfügbarkeit hängt von der Android-Version und dem Verwaltungsmodus ab. ##### 10.2. Standardanwendungsbereiche Wählen Sie aus, wo die Standard-App gelten soll (Vollständig verwaltet, Arbeitsprofil oder Persönliches Profil). Es können nur Bereiche ausgewählt werden, die vom gewählten Typ unterstützt werden.Wenn keiner der ausgewählten Bereiche auf den Verwaltungsmodus des Geräts anwendbar ist, meldet das Gerät ein Detail zur Nichteinhaltung.
##### 10.3. Standardanwendungen Liste der Apps, die für den ausgewählten Typ als Standard festgelegt werden können. Die erste installierte und geeignete App wird als Standard festgelegt.Wenn die Bereiche **Vollständig verwaltet** oder **Arbeitsprofil** umfassen, muss jede App auch in der Liste **Anwendungen** mit einem **Installationstyp** vorhanden sein, der nicht auf **Blockiert** gesetzt ist.
#### 11. Auswahl des privaten Schlüssels Ermöglicht die Anzeige einer Benutzeroberfläche auf einem Gerät, damit der Benutzer einen privaten Schlüsselalias auswählen kann, wenn keine passenden Regeln in **Regeln für die Auswahl privater Schlüssel** vorhanden sind.Bei Geräten unter Android P kann diese Einstellung Unternehmensschlüssel anfällig machen.
#### 12. Regeln für die Auswahl privater Schlüssel Steuert den Zugriff von Apps auf private Schlüssel. Die Regel bestimmt, welchen privaten Schlüssel Android Device Policy der angegebenen App gegebenenfalls gewährt. Der Zugriff wird entweder gewährt, wenn die App KeyChain.choosePrivateKeyAlias (oder Überladungen davon) aufruft, um einen privaten Schlüsselalias für eine bestimmte URL anzufordern, oder bei Regeln, die nicht URL-spezifisch sind (d. h., wenn urlPattern nicht festgelegt oder auf die leere Zeichenfolge oder .\* gesetzt ist), unter Android 11 und höher direkt, sodass die App KeyChain.getPrivateKey aufrufen kann, ohne zuerst KeyChain.choosePrivateKeyAlias aufrufen zu müssen. Wenn eine App KeyChain.choosePrivateKeyAlias aufruft und mehr als eine choosePrivateKeyRules-Regel übereinstimmt, legt die letzte übereinstimmende Regel fest, welcher Schlüsselalias zurückgegeben wird. Verwenden Sie **Private-Schlüssel-Regel hinzufügen**, um Einträge zu erstellen, und entfernen Sie sie mit der Löschaktion. ##### 12.1. Alias des privaten Schlüssels Der Alias des zu verwendenden privaten Schlüssels. ##### 12.2. URL-Muster Das URL-Muster, das mit der URL der Anfrage abgeglichen wird. Wenn nicht festgelegt oder leer, stimmt es mit allen URLs überein. Es verwendet die Syntax regulärer Ausdrücke von java.util.regex.Pattern. ##### 12.3. Paketnamen Die Paketnamen, für die diese Regel gilt. Der Hash des Signaturzertifikats jeder App wird mit dem von Play bereitgestellten Hash abgeglichen. Wenn keine Paketnamen angegeben sind, wird der Alias allen Apps bereitgestellt, die KeyChain.choosePrivateKeyAlias oder Überladungen davon aufrufen (jedoch nicht ohne Aufruf von KeyChain.choosePrivateKeyAlias, auch nicht unter Android 11 und höher). Jede App mit derselben Android-UID wie ein hier angegebenes Paket hat Zugriff, wenn sie KeyChain.choosePrivateKeyAlias aufruft. Verwenden Sie **Paketnamen hinzufügen**, um Einträge hinzuzufügen, und entfernen Sie sie mit der Löschaktion.Um eine App zu löschen, klicken Sie auf das Symbol **Papierkorb** unten auf der Karte der App.
Wi‑Fi-Konfigurationen können vom System über **WiFi-Konfigurationen** bereitgestellt und verwaltet werden. Je nach Wert, der für **Wi‑Fi konfigurieren** festgelegt ist, haben Benutzer möglicherweise eingeschränkte oder keine Kontrolle über das Hinzufügen/Ändern von Netzwerken.
## Funkstatus des Geräts #### 1. Wi‑Fi-Status Steuert den aktuellen Wi‑Fi-Status und ob der Benutzer ihn ändern kann. **Benutzerauswahl (Standard)**: Der Benutzer darf Wi‑Fi aktivieren/deaktivieren. **Aktiviert**: Wi‑Fi ist eingeschaltet und der Benutzer darf es nicht ausschalten (Android 13+). **Deaktiviert**: Wi‑Fi ist ausgeschaltet und der Benutzer darf es nicht einschalten (Android 13+). #### 2. Mindestsicherheitsstufe für Wi‑Fi Die erforderliche Mindestsicherheitsstufe von Wi‑Fi-Netzwerken, mit denen das Gerät eine Verbindung herstellen kann. Unterstützt unter Android 13 und höher, für vollständig verwaltete Geräte und Arbeitsprofile auf unternehmenseigenen Geräten. **Offenes Netzwerk (Standard)**: Das Gerät kann eine Verbindung zu allen Arten von Wi‑Fi-Netzwerken herstellen. **Persönliches Netzwerk**: Verbietet offene Wi‑Fi-Netzwerke; erfordert mindestens persönliche Sicherheit (z. B. WPA2‑PSK). **Unternehmensnetzwerk**: Erfordert Unternehmens-EAP-Netzwerke; verbietet Wi‑Fi-Netzwerke unterhalb dieser Sicherheitsstufe. **192‑Bit-Unternehmensnetzwerk**: Erfordert 192‑Bit-Unternehmensnetzwerke; strengste Option. #### 3. Ultrabreitband-Status (UWB) Steuert den Status der Ultrabreitband-Einstellung und ob der Benutzer sie ein- oder ausschalten kann. **Benutzerauswahl (Standard)**: Der Benutzer darf UWB ein- oder ausschalten. **Deaktiviert**: UWB ist deaktiviert und der Benutzer darf es nicht über die Einstellungen umschalten (Android 14+). ## Gerätekonnektivitätsverwaltung #### 4. Bluetooth-Freigabe Steuert, ob die Bluetooth-Freigabe zulässig ist. **Zulässig**: Die Bluetooth-Freigabe ist zulässig (Standard auf vollständig verwalteten Geräten, Android 8+). **Nicht zulässig**: Die Bluetooth-Freigabe ist nicht zulässig (Standard in Arbeitsprofilen, Android 8+). #### 5. Wi‑Fi konfigurieren Steuert die Berechtigungen zum Konfigurieren von Wi‑Fi. Je nach ausgewählter Option hat der Benutzer volle, eingeschränkte oder keine Kontrolle beim Konfigurieren von Wi‑Fi-Netzwerken. **Konfigurieren von Wi‑Fi zulassen (Standard)**: Der Benutzer darf Wi‑Fi konfigurieren. **Hinzufügen von Wi‑Fi-Konfigurationen nicht zulassen**: Das Hinzufügen neuer Wi‑Fi-Konfigurationen ist nicht zulässig. Der Benutzer kann zwischen bereits konfigurierten Netzwerken wechseln (Android 13+; vollständig verwaltete und unternehmenseigene Arbeitsprofile). **Konfigurieren von Wi‑Fi nicht zulassen**: Verbietet das Konfigurieren von Wi‑Fi-Netzwerken. Auf vollständig verwalteten Geräten werden benutzerkonfigurierte Netzwerke entfernt und nur über **WiFi-Konfigurationen** konfigurierte Netzwerke beibehalten. Bei unternehmenseigenen Arbeitsprofilen sind vorhandene Netzwerke nicht betroffen, aber Benutzer können keine Wi‑Fi-Netzwerke hinzufügen/entfernen/ändern.Wenn das Konfigurieren von Wi‑Fi deaktiviert ist und das Gerät beim Start keine Verbindung herstellen kann, kann das System den **Netzwerk-Notzugang** anzeigen, damit der Benutzer vorübergehend eine Verbindung herstellen und die Richtlinie aktualisieren kann.
#### 6. Wi‑Fi-Direct-Einstellungen Steuert das Konfigurieren und Verwenden von Wi‑Fi-Direct-Einstellungen. Unterstützt auf unternehmenseigenen Geräten mit Android 13 und höher. **Zulassen (Standard)**: Der Benutzer darf Wi‑Fi Direct verwenden. **Nicht zulassen**: Der Benutzer darf Wi‑Fi Direct nicht verwenden. #### 7. Tethering-Einstellungen Steuert die Tethering-Einstellungen. Je nach festgelegtem Wert ist dem Benutzer die Nutzung verschiedener Tethering-Formen teilweise oder vollständig untersagt. **Gesamtes Tethering zulassen (Standard)**: Ermöglicht die Konfiguration und Nutzung aller Tethering-Formen. **Wi‑Fi-Tethering nicht zulassen**: Untersagt dem Benutzer die Nutzung von Wi‑Fi-Tethering (unternehmenseigen, Android 13+). **Gesamtes Tethering nicht zulassen**: Untersagt alle Tethering-Formen (vollständig verwaltete und unternehmenseigene Arbeitsprofile). #### 8. Wi‑Fi-SSID-Richtlinie Einschränkungen, mit welchen Wi‑Fi-SSIDs das Gerät eine Verbindung herstellen kann (dies wirkt sich nicht darauf aus, welche Netzwerke auf dem Gerät konfiguriert werden können). Unterstützt auf unternehmenseigenen Geräten mit Android 13 und höher. **SSID-Sperrliste (Standard)**: Das Gerät kann keine Verbindung zu Wi‑Fi-Netzwerken herstellen, deren SSID aufgeführt ist, aber zu anderen Netzwerken. **SSID-Zulassungsliste**: Das Gerät kann nur eine Verbindung zu den aufgeführten SSIDs herstellen. Die SSID-Liste darf nicht leer sein. Verwenden Sie **SSID hinzufügen**, um Einträge hinzuzufügen. Je nach ausgewähltem Richtlinientyp wird die Liste als zulässige oder abgelehnte SSIDs interpretiert. In der Benutzeroberfläche des Richtlinieneditors wird die SSID-Liste bei Zulassungslisten als **Zulässige Wi‑Fi-SSIDs** und bei Sperrlisten als **Abgelehnte Wi‑Fi-SSIDs** bezeichnet. #### 9. Wi‑Fi-Roaming-Einstellungen Konfigurieren Sie den Wi‑Fi-Roaming-Modus pro SSID. Verwenden Sie **Wi‑Fi-Roaming-Einstellung hinzufügen**, um Einträge zu erstellen. Jeder Eintrag enthält: **SSID**: Die SSID, für die die Roaming-Einstellung gilt (erforderlich). **Wi‑Fi-Roaming-Modus**: Standard / Deaktiviert / Aggressiv. Deaktiviert und Aggressiv erfordern Android 15+ und werden nur auf vollständig verwalteten Geräten und Arbeitsprofilen auf unternehmenseigenen Geräten unterstützt. ## Netzwerkeinschränkungen #### 10. Bluetooth deaktiviert Ob Bluetooth deaktiviert ist. Bevorzugen Sie diese Einstellung gegenüber „Bluetooth-Konfiguration deaktiviert“, da die Option „Bluetooth-Konfiguration deaktiviert“ vom Benutzer umgangen werden kann. #### 11. Bluetooth-Kontaktfreigabe deaktiviert Ob die Bluetooth-Kontaktfreigabe deaktiviert ist. #### 12. Bluetooth-Konfiguration deaktiviert Ob das Konfigurieren von Bluetooth deaktiviert ist. #### 13. Netzwerk-Reset deaktiviert Ob das Zurücksetzen der Netzwerkeinstellungen deaktiviert ist. #### 14. Ausgehender Beam deaktiviert Ob die Verwendung von NFC zum Übertragen von Daten aus Apps deaktiviert ist. ## VPN #### 15. Always-On-VPN-App Geben Sie einen Paketnamen für Always-On-VPN an, um sicherzustellen, dass Daten bestimmter verwalteter Apps immer über ein konfiguriertes VPN geleitet werden.Hinweis: Diese Funktion erfordert die Bereitstellung eines VPN-Clients, der sowohl Always-On- als auch App-spezifische VPN-Funktionen unterstützt.
#### 16. VPN-Lockdown Untersagt die Netzwerknutzung, wenn das VPN nicht verbunden ist. #### 17. VPN-Konfiguration deaktiviert Ob das Konfigurieren von VPN deaktiviert ist. ## Proxy- und Netzwerkdienste #### 18. Bevorzugter Netzwerkdienst Steuert, ob der bevorzugte Netzwerkdienst im Arbeitsprofil aktiviert ist. Beispielsweise kann eine Organisation eine Vereinbarung mit einem Mobilfunkanbieter haben, dass Arbeitsdaten über einen für die Unternehmensnutzung reservierten Netzwerkdienst des Anbieters gesendet werden (z. B. ein Unternehmens-Slice in 5G-Netzwerken). Dies hat keine Auswirkung auf vollständig verwaltete Geräte. **Deaktiviert**: Der bevorzugte Netzwerkdienst ist im Arbeitsprofil deaktiviert. **Aktiviert**: Der bevorzugte Netzwerkdienst ist im Arbeitsprofil aktiviert.Wenn Sie Enterprise-Network-Slicing verwenden, konfigurieren Sie außerdem **5G-Network-Slicing-Konfiguration** im Richtlinien-Panel **Mobilfunk** und weisen Sie Apps über ihre Einstellung **Bevorzugtes Netzwerk** einem Slice zu.
#### 19. Empfohlener globaler Proxy Der netzwerkunabhängige globale HTTP-Proxy. In der Regel sollten Proxys pro Netzwerk in WiFi-Konfigurationen konfiguriert werden. Ein globaler Proxy kann für ungewöhnliche Konfigurationen wie eine allgemeine interne Filterung nützlich sein. Der globale Proxy ist lediglich eine Empfehlung und einige Apps ignorieren ihn möglicherweise. **Deaktiviert** **Direkter Proxy** **Proxy-Autokonfiguration (PAC)** ##### 19.1. Host Der Host des direkten Proxys. ##### 19.2. Port Der Port des direkten Proxys. ##### 19.3. PAC-URI Die URI des PAC-Skripts, mit dem der Proxy konfiguriert wird. ##### 19.4. Ausgeschlossene Hosts Bei einem direkten Proxy die Hosts, für die der Proxy umgangen wird. Hostnamen können Platzhalter wie **\*.example.com** enthalten. Verwenden Sie **Ausgeschlossenen Host hinzufügen**, um Einträge hinzuzufügen (nur für direkten Proxy verfügbar). ## Wi‑Fi-Konfigurationen Definieren Sie Wi‑Fi-Netzwerkkonfigurationen, die das System auf Geräten anwendet. Verwenden Sie **Wi‑Fi-Konfiguration hinzufügen**, um einen Eintrag zu erstellen, und entfernen Sie ihn über die Löschaktion. #### 20. Felder der Wi‑Fi-Konfiguration Jede Konfiguration umfasst: **Konfigurationsname**: Erforderlich. **SSID**: Erforderlich. **Automatisch verbinden**: Ob automatisch eine Verbindung zum Netzwerk hergestellt werden soll, wenn es in Reichweite ist. **Fast Transition**: Ob der Client versuchen soll, Fast Transition (IEEE 802.11r-2008) mit dem Netzwerk zu verwenden. **Versteckte SSID**: Ob die SSID gesendet wird. **MAC-Randomisierungsmodus**: Hardware oder Automatisch (Android 13+). ##### 20.1. Sicherheit Wi‑Fi-Sicherheitsoptionen: **WEP‑PSK**: WEP (Pre-Shared Key). **WPA‑PSK**: WPA/WPA2/WPA3-Personal (Pre-Shared Key). **WPA‑EAP**: WPA/WPA2/WPA3-Enterprise (Extensible Authentication Protocol). **WPA3-192-Bit-Modus**: WPA‑EAP-Netzwerk, das nur den WPA3-192-Bit-Modus zulässt. ##### 20.2. Passphrase (Pre‑Shared Key) Wird angezeigt, wenn Sicherheit auf **WEP‑PSK** oder **WPA‑PSK** gesetzt ist. Die Passphrase ist erforderlich. ##### 20.3. EAP-Methode (Enterprise) Wird angezeigt, wenn Sicherheit auf **WPA‑EAP** oder **WPA3-192-Bit-Modus** gesetzt ist. Wählen Sie eine äußere EAP-Methode: **EAP‑TLS** **EAP‑TTLS** **PEAP** **EAP‑SIM** **EAP‑AKA** ##### 20.4. Phase-2-Authentifizierung Wird für tunnelnde äußere Methoden (**EAP‑TTLS** und **PEAP**) angezeigt. **MSCHAPv2** **PAP** ##### 20.5. EAP-Anmeldeinformationen von Benutzern Wenn aktiviert, wendet das System EAP-Anmeldeinformationen automatisch pro Benutzer auf Geräten an. Sie können Benutzeranmeldeinformationen im Bereich **Benutzer** konfigurieren. ##### 20.6. Clientzertifikat Für **EAP‑TLS** können Sie ein Clientzertifikat für die Wi‑Fi-Authentifizierung zuweisen. Weitere Informationen finden Sie auf der Seite [**Zertifikatsverwaltung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/zertifikatsverwaltung "Certificate management"). Wenn bereits ein Zertifikat zugewiesen ist, können Sie über **Zertifikat öffnen** es anzeigen oder über **Zertifikat ändern** ein anderes auswählen. Alternativ können Sie einen **Alias für das Clientzertifikat-Schlüsselpaar** angeben, der auf ein im Android-Schlüsselspeicher gespeichertes Clientzertifikat verweist, das für die Wi‑Fi-Authentifizierung zugelassen ist.Wenn sowohl **Clientzertifikat** als auch **Alias für das Clientzertifikat-Schlüsselpaar** festgelegt sind, wird der Schlüsselpaar-Alias ignoriert.
##### 20.7. Identität Identität des Benutzers. Bei tunnelnden äußeren Protokollen (PEAP, EAP‑TTLS) wird sie zur Authentifizierung innerhalb des Tunnels verwendet, und die **anonyme Identität** wird für die EAP-Identität außerhalb des Tunnels verwendet. Bei nicht tunnelnden äußeren Protokollen wird sie für die EAP-Identität verwendet. ##### 20.8. Anonyme Identität Nur für tunnelnde Protokolle: Gibt die Identität des Benutzers an, die dem äußeren Protokoll präsentiert wird. ##### 20.9. Passwort Passwort des Benutzers. Wenn nicht angegeben, wird standardmäßig der Benutzer zur Eingabe aufgefordert. ##### 20.10. Server-CA-Zertifikate Liste der CA-Zertifikate, die zum Überprüfen der Zertifikatskette des Hosts verwendet werden. Mindestens ein CA-Zertifikat muss übereinstimmen. Weitere Informationen finden Sie auf der Seite [**Zertifikatsverwaltung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/zertifikatsverwaltung "Certificate management"). Verwenden Sie **Server-CA-Zertifikat hinzufügen**, um Einträge hinzuzufügen, und entfernen Sie sie über die Löschaktion. ##### 20.11. Übereinstimmungen von Domänensuffixen Eine Liste von Einschränkungen für den Serverdomänennamen. Die Einträge werden als Suffix-Übereinstimmungsanforderungen gegen die DNS-Namen des alternativen Antragstellernamens eines Authentifizierungsserverzertifikats verwendet. # System In diesem Abschnitt können Sie systembezogene Richtlinien konfigurieren. #### 1. Mindest-API-Level Das zulässige Mindest-API-Level für Android. #### 2. Verschlüsselungsrichtlinie Ob die Verschlüsselung aktiviert ist. **Standard**: Dieser Wert wird ignoriert, d. h. keine Verschlüsselung erforderlich. **Aktiviert ohne Passwort**: Verschlüsselung erforderlich, aber kein Passwort zum Starten erforderlich. **Aktiviert mit Passwort**: Verschlüsselung erforderlich und Passwort zum Starten erforderlich. #### 3. Automatisches Datum und Uhrzeit Ob automatisches Datum, Uhrzeit und Zeitzone auf einem unternehmenseigenen Gerät aktiviert sind. **Benutzerauswahl (Standard)**: Automatisches Datum, Uhrzeit und Zeitzone bleiben der Wahl des Benutzers überlassen. **Erzwungen**: Automatisches Datum, Uhrzeit und Zeitzone auf dem Gerät erzwingen. #### 4. Entwicklereinstellungen Steuert den Zugriff auf Entwicklereinstellungen: Entwickleroptionen und abgesicherter Modus. **Deaktiviert (Standard)**: Deaktiviert alle Entwicklereinstellungen und verhindert, dass der Benutzer darauf zugreifen kann. **Erlaubt**: Erlaubt alle Entwicklereinstellungen. Der Benutzer kann auf die Einstellungen zugreifen und sie optional konfigurieren. #### 5. Common-Criteria-Modus Steuert den Common-Criteria-Modus – Sicherheitsstandards, die in den Common Criteria for Information Technology Security Evaluation (CC) definiert sind. Das Aktivieren des Common-Criteria-Modus erhöht bestimmte Sicherheitskomponenten auf einem Gerät (zum Beispiel: AES-GCM-Verschlüsselung von Bluetooth-Langzeitschlüsseln, zusätzliche Validierung für einige Netzwerkzertifikate und kryptografische Integritätsprüfungen von Richtlinien). Der Common-Criteria-Modus wird nur auf unternehmenseigenen Geräten mit Android 11 oder höher unterstützt. Warnung: Der Common-Criteria-Modus erzwingt ein strenges Sicherheitsmodell, das normalerweise nur für hochsensible Organisationen erforderlich ist. Die normale Gerätenutzung kann beeinträchtigt werden; aktivieren Sie ihn nur, wenn er erforderlich ist. **Deaktiviert (Standard)**: Deaktiviert den Common-Criteria-Modus. **Aktiviert**: Aktiviert den Common-Criteria-Modus. #### 6. Memory Tagging Extension (MTE) Steuert die Memory Tagging Extension (MTE) auf dem Gerät. **Benutzerauswahl (Standard)**: Der Benutzer kann wählen, ob MTE auf dem Gerät aktiviert oder deaktiviert wird (falls das Gerät dies unterstützt). **Erzwungen**: MTE ist aktiviert und der Benutzer darf dies nicht ändern (Android 14+; unterstützt auf vollständig verwalteten Geräten und Arbeitsprofilen auf unternehmenseigenen Geräten). **Deaktiviert**: MTE ist deaktiviert und der Benutzer darf dies nicht ändern (Android 14+; nur auf vollständig verwalteten Geräten unterstützt). #### 7. Inhaltsschutz Steuert, ob der Inhaltsschutz (der nach irreführenden Apps sucht) aktiviert ist. Dies wird ab Android 15 unterstützt. **Deaktiviert (Standard)**: Der Inhaltsschutz ist deaktiviert und der Benutzer kann dies nicht ändern. **Erzwungen**: Der Inhaltsschutz ist aktiviert und der Benutzer kann dies nicht ändern (Android 15+). **Benutzerauswahl**: Der Inhaltsschutz wird nicht durch die Richtlinie gesteuert; der Benutzer kann wählen (Android 15+). #### 8. Assist-Inhalte Steuert, ob AssistContent an eine privilegierte App wie eine Assistenten-App gesendet werden darf (zum Beispiel Circle to Search). AssistContent umfasst Screenshots und Informationen zu einer App, etwa den Paketnamen. Dies wird ab Android 15 unterstützt. **Erlaubt (Standard)**: Assist-Inhalte dürfen an eine privilegierte App gesendet werden (Android 15+). **Nicht erlaubt**: Das Senden von Assist-Inhalten an eine privilegierte App wird blockiert (Android 15+). #### 9. Erstellen von Fenstern deaktiviert Ob das Erstellen von Fenstern neben App-Fenstern deaktiviert ist. Diese Option verhindert die Anzeige der folgenden Systemoberflächen: Toasts und Snackbars, Telefonaktivitäten (z. B. eingehende Anrufe) und priorisierte Telefonaktivitäten (z. B. laufende Anrufe), Systemwarnungen, Systemfehler und Systemoverlays. #### 10. Netzwerk-Notausgang Ob der Netzwerk-Notausgang aktiviert ist. Wenn beim Start keine Netzwerkverbindung hergestellt werden kann, fordert der Notausgang den Benutzer auf, vorübergehend eine Verbindung zu einem Netzwerk herzustellen, um die Geräterichtlinie zu aktualisieren. Nach dem Anwenden der Richtlinie wird das temporäre Netzwerk vergessen und das Gerät setzt den Startvorgang fort. Dies verhindert, dass keine Verbindung zu einem Netzwerk hergestellt werden kann, wenn die letzte Richtlinie kein geeignetes Netzwerk enthält und das Gerät im Lock-Task-Modus in eine App startet oder der Benutzer anderweitig nicht auf die Geräteeinstellungen zugreifen kann. #### 11. Standardaktivitäten Eine Liste von Standardaktivitäten zur Verarbeitung von Intents, die einem bestimmten Intent-Filter entsprechen. Beispielsweise können IT-Administratoren mit dieser Funktion auswählen, welche Browser-App Weblinks automatisch öffnet oder welche Launcher-App beim Tippen auf die Home-Taste verwendet wird. Verwenden Sie **Standardaktivität hinzufügen**, um Einträge zu erstellen. Verwenden Sie innerhalb eines Eintrags **Aktion hinzufügen** und **Kategorie hinzufügen**, um den Intent-Filter zu erstellen. ##### 11.1. Empfängeraktivität Die Aktivität, die als standardmäßiger Intent-Handler dienen soll. Dies sollte ein Android-Komponentenname sein, z. B. com.android.enterprise.app/.MainActivity. Alternativ kann der Wert der Paketname einer App sein; in diesem Fall wählt Android Device Policy eine geeignete Aktivität aus der App aus, um den Intent zu verarbeiten. ##### 11.2. Aktion Die Intent-Aktionen, die im Filter abgeglichen werden sollen. Wenn Aktionen im Filter enthalten sind, muss die Aktion eines Intents einer dieser Werte sein, damit er übereinstimmt. Wenn keine Aktionen enthalten sind, wird die Intent-Aktion ignoriert. ##### 11.3. Kategorie Die Intent-Kategorien, die im Filter abgeglichen werden sollen. Ein Intent enthält die Kategorien, die er benötigt; alle diese Kategorien müssen im Filter enthalten sein, damit eine Übereinstimmung erzielt wird. Mit anderen Worten: Das Hinzufügen einer Kategorie zum Filter hat keine Auswirkungen auf den Abgleich, es sei denn, diese Kategorie ist im Intent angegeben. #### 12. Zulässige Eingabemethoden Gibt die zulässigen Eingabemethoden an. **Alle erlaubt**: Keine Einschränkung angewendet. Alle Eingabemethoden sind erlaubt. **Nur Systemeigene**: Nur die integrierten Eingabemethoden des Systems sind erlaubt. **Nur Systemeigene und bereitgestellte**: Nur die bereitgestellten und die integrierten Eingabemethoden des Systems sind erlaubt. ##### 12.1. Erlaubte Eingabemethoden Paketnamen von Eingabemethoden, die erlaubt sind. Gilt nur, wenn **Zulässige Eingabemethoden** auf **Nur Systemeigene und bereitgestellte** festgelegt ist. Verwenden Sie **Eingabemethode hinzufügen**, um Einträge hinzuzufügen, und entfernen Sie sie mit der Löschaktion. #### 13. Zulässige Bedienungshilfen Gibt die zulässigen Bedienungshilfen an. **Alle erlaubt**: Jede Bedienungshilfe kann verwendet werden. **Nur Systemeigene**: Nur die integrierten Bedienungshilfen des Systems können verwendet werden. **Nur Systemeigene und bereitgestellte**: Nur die bereitgestellten und die integrierten Bedienungshilfen des Systems können verwendet werden. ##### 13.1. Erlaubte Bedienungshilfen Erlaubte Bedienungshilfen. Gilt nur, wenn **Zulässige Bedienungshilfen** auf **Nur Systemeigene und bereitgestellte** festgelegt ist. Verwenden Sie **Bedienungshilfe hinzufügen**, um Einträge hinzuzufügen, und entfernen Sie sie mit der Löschaktion. #### 14. Systemupdate-Richtlinie Konfiguration für die Verwaltung von Systemupdates. **Standard**: Folgt dem Standard-Updateverhalten für das Gerät, bei dem der Benutzer Systemupdates in der Regel akzeptieren muss. **Automatisch**: Automatisch installieren, sobald ein Update verfügbar ist. **Zeitfenster**: Automatisch innerhalb eines täglichen Wartungsfensters installieren. Dadurch werden auch Play-Apps so konfiguriert, dass sie innerhalb des Zeitfensters aktualisiert werden. Dies wird für Kiosk-Geräte dringend empfohlen, da dies die einzige Möglichkeit ist, Apps, die dauerhaft im Vordergrund angeheftet sind, über Play zu aktualisieren. **Aufschieben**: Automatische Installation um bis zu maximal 30 Tage aufschieben. ##### 14.1. Wartungsfenster (nur Zeitfenster) Wenn **Systemupdate-Richtlinie** auf **Zeitfenster** festgelegt ist, können Sie das tägliche Wartungsfenster über die Felder **von** und **bis** definieren. ##### 14.2. Sperrzeiträume für Systemupdates Ein jährlich wiederkehrender Zeitraum, in dem Over-the-Air-(OTA-)Systemupdates verschoben werden, um die auf einem Gerät ausgeführte Betriebssystemversion einzufrieren. Um ein unbegrenztes Einfrieren des Geräts zu verhindern, müssen die einzelnen Sperrzeiträume durch mindestens 60 Tage getrennt sein. Ein Sperrzeitraum darf 90 Tage nicht überschreiten. Verwenden Sie **Sperrzeitraum für Systemupdate hinzufügen**, um Einträge zu erstellen. #### 15. Standard-Anmeldeinformationsanbieter Steuert, welche Apps unter Android 14 und höher als Anmeldeinformationsanbieter fungieren dürfen. **Nicht erlaubt (Standard)**: Apps mit nicht angegebener credentialProviderPolicy dürfen nicht als Anmeldeinformationsanbieter fungieren. **Nicht erlaubt außer System**: Apps mit nicht angegebener credentialProviderPolicy dürfen nicht als Anmeldeinformationsanbieter fungieren, mit Ausnahme der Standard-Anmeldeinformationsanbieter des OEM. # Standort und Geofences Dieses Panel fasst die Android-Richtlinieneinstellungen zusammen, die die Standortmeldung, die Standortdurchsetzung und Geofence-Definitionen für Geräte steuern. Verwenden Sie es, wenn Cerberus Enterprise Gerätestandorte erfassen oder erkennen soll, wenn Geräte in konfigurierte Bereiche eintreten oder sie verlassen. ## Standortmeldung ### Standort melden Aktiviert die Geolokalisierungsmeldung für Geräte. Die über diese Einstellung erfassten Standortdaten werden von der [**Standortkarte im Dashboard**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standortkarte-des-dashboards "Dashboard location map"), dem Standortverlauf der Geräteübersicht und der Geofence-Verarbeitung verwendet.Standortverlauf und Geofence-Ereignisse werden **90 Tage** lang aufbewahrt, ältere Daten werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass das Gerät auf den Karten bleibt.
Bei Geräten, die nicht vollständig verwaltet werden, können Standortdaten weiterhin davon abhängen, dass die Cerberus Enterprise App über die erforderlichen Standortberechtigungen verfügt und die Standortdienste auf dem Gerät aktiviert sind.
Auf persönlichen Apple-Geräten (User Enrollment) sind Standort und Geofences standardmäßig deaktiviert: Sie sind nur verfügbar, wenn in der Apple-Richtlinie **Standort und Geofences auf persönlichen Geräten** aktiviert ist, und nur, wenn der Benutzer den Standort für die App Cerberus Enterprise zulässt.
### Standortmodus Steuert die Gerätestandort-Einstellung auf unternehmenseigenen Geräten. - **Benutzerauswahl**: Standortdienste werden durch die Richtlinie nicht eingeschränkt. - **Erzwungen**: Standortdienste sind auf dem Gerät aktiviert. - **Deaktiviert**: Standortdienste sind auf dem Gerät deaktiviert. ### Standortfreigabe deaktiviert Deaktiviert die Standortfreigabe für Arbeits-Apps. Auf Geräten mit Profilinhaber betrifft dies das Arbeitsprofil. Auf vollständig verwalteten Geräten wird der Standort für das gesamte Gerät deaktiviert und der Gerätestandortmodus überschrieben. ## Automatisches Verhalten bei aktiven Geofences Aktive Geofences erfordern eine funktionierende Standortmeldung. Wenn mindestens ein Geofence aktiv ist, hält Cerberus Enterprise die zugehörigen Standorteinstellungen automatisch konsistent. - **Standort melden** wird zwangsweise aktiviert, solange aktive Geofences vorhanden sind. - **Standortmodus** wird zwangsweise auf **Erzwungen** gesetzt. - **Standortfreigabe deaktiviert** wird zwangsweise deaktiviert. Wenn Sie versuchen, **Standort melden** zu deaktivieren, während ein oder mehrere Geofences aktiv sind, zeigt Cerberus Enterprise einen Bestätigungsdialog an. Wenn Sie fortfahren, werden alle aktiven Geofences in der Richtlinie deaktiviert. ## Geofence-Liste Eine Richtlinie kann bis zu **10 Geofences** enthalten. Geofence-Namen müssen innerhalb der Richtlinie eindeutig sein. Verwenden Sie **Geofence hinzufügen**, um einen neuen Eintrag zu erstellen. Jeder Geofence enthält diese Hauptfelder: - **Name**: erforderlich und eindeutig. - **Breitengrad** und **Längengrad**: der Mittelpunkt des Bereichs. - **Radius (m)**: erforderlich, von **200** bis **10000** Metern. - **Beschreibung**: optionale Notizen für Administratoren. - **Eintritt melden** und **Austritt melden**: Wählen Sie aus, welche Übergangsereignisse generiert werden sollen. - **Aktiv**: aktiviert oder deaktiviert den Geofence, ohne ihn zu löschen.Mindestens eines von **Eintritt melden** oder **Austritt melden** muss für jeden Geofence aktiviert bleiben.
Der Mindestradius betrug zuvor 100 Meter. Bestehende Geofences mit weniger als 200 Metern funktionieren weiterhin und bleiben beim Speichern der Richtlinie unverändert, auch wenn Sie sie verschieben oder umbenennen. Wenn Sie ihren Radius ändern, muss er mindestens 200 Meter betragen.
## Kartenbearbeitungswerkzeuge Jede Geofence-Karte enthält eine Kartenvorschau des Bereichs. Sie können die Geometrie über die Karte oder über die numerischen Felder bearbeiten. - Klicken Sie auf die Karte, um den Geofence-Mittelpunkt zu verschieben, wenn die Bereichsbearbeitung entsperrt ist. - Verwenden Sie die Schaltfläche **Aktueller Standort**, um die Karte auf Ihre aktuelle Browserposition zu zentrieren. - Verwenden Sie die Schaltfläche **Karte neu zentrieren**, um den bevorzugten Ansichtsbereich für diesen Geofence wiederherzustellen. - Verwenden Sie die Sperrschaltfläche, um versehentliche Änderungen an der Geofence-Geometrie zu verhindern. ## Wo Geofence-Daten angezeigt werden Geofence-Übergänge können auf der Seite [**Geräteübersicht**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/gerateubersicht "Device overview") unter Android im Tab **Geofence** des Standort-Panels überprüft werden. Dieser Tab zeigt Übergänge auf einer eigenen Karte zusammen mit Filterwerkzeugen und der Übergangsliste. # Benutzerverwaltung ##### Hinzufügen von Benutzern deaktiviert Ob das Hinzufügen neuer Benutzer und Profile deaktiviert ist. Bei Geräten, deren managementMode **DEVICE\_OWNER** ist, wird dieses Feld ignoriert und der Benutzer darf niemals Benutzer hinzufügen oder entfernen. ##### Ändern von Konten deaktiviert Ob das Hinzufügen oder Entfernen von Konten deaktiviert ist. ##### Konfiguration von Benutzeranmeldeinformationen deaktiviert Ob die Konfiguration von Benutzeranmeldeinformationen deaktiviert ist. ##### Entfernen von Benutzern deaktiviert Ob das Entfernen anderer Benutzer deaktiviert ist. ##### Festlegen des Benutzersymbols deaktiviert Ob das Ändern des Benutzersymbols deaktiviert ist. ##### Festlegen des Hintergrundbilds deaktiviert Ob das Ändern des Hintergrundbilds deaktiviert ist. ##### Authentifizierung bei der Einrichtung des Arbeitskontos Steuert, wie sich Benutzer bei der Einrichtung des Arbeitskontos authentifizieren. Diese Option ist nur für Android-Unternehmen verfügbar, die von einer verwalteten Google-Domain (Google Workspace) unterstützt werden. Während der Geräteeinrichtung/Registrierung beeinflusst diese Richtlinie, ob eine Anmeldung mit einem Arbeitskonto erforderlich ist, aber die Einstellung **Authenticate Using Google** in der Google Admin Console und der Typ des Registrierungstokens können weiterhin eine Authentifizierung erfordern. Für bereits registrierte Geräte gilt diese Richtlinie nur, wenn das Gerät von einem verwalteten Google Play-Konto verwaltet wird (d. h. registriert ohne **Authenticate Using Google Enrollment**). Weitere Informationen und Hilfe zur Fehlerbehebung finden Sie unter [**Authenticate Using Google enrollment**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/authenticate-using-google-enrollment "Authenticate Using Google enrollment"). ##### Blockierte Kontotypen Kontotypen, die vom Benutzer nicht verwaltet werden können. Diese Option verhindert, dass Gerätebenutzer nicht genehmigte Konten hinzufügen. Verwenden Sie **Blockierten Kontotyp hinzufügen**, um einen oder mehrere Kontotypen hinzuzufügen. Jeder Eintrag hat ein Feld **Kontotyp** (erforderlich). Geben Sie eine Zeichenfolge wie **com.google** ein. Entfernen Sie einen Eintrag mit der Löschaktion. # Private Nutzung Wenn Sie [ein unternehmenseigenes Gerät für Arbeit und private Nutzung bereitstellen](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/unternehmenseigene-gerate-fur-berufliche-und-private-nutzung "Company-owned devices for work and personal use"), können Sie Regeln festlegen, um einzuschränken, wie der Benutzer das Gerät außerhalb des Arbeitsprofils privat nutzen kann.Dieser Abschnitt gilt nur für unternehmenseigene Geräte mit Arbeitsprofil. Er hat keine Auswirkungen auf vollständig verwaltete oder private Geräte.
Diese Einstellung hängt von der Option **App-Funktionen** auf Richtlinienebene ab (im Abschnitt App-Verwaltung). Wenn App-Funktionen auf **Nicht zulässig** gesetzt sind, lehnt die API profilübergreifende App-Funktionen mit der Einstellung **Zulässig** ab.
##### Arbeitskontakte im privaten Profil Ob im Arbeitsprofil gespeicherte Kontakte in Kontaktsuchen und bei eingehenden Anrufen im privaten Profil angezeigt werden können. **Zulässig (Standard)**: Ermöglicht, dass Arbeitsprofilkontakte im privaten Profil angezeigt werden. **Nicht zulässig**: Verhindert, dass private Apps auf Arbeitsprofilkontakte zugreifen und Arbeitskontakte nachschlagen. **Nicht zulässig außer System**: Verhindert, dass die meisten privaten Apps auf Arbeitsprofilkontakte zugreifen, mit Ausnahme der Standard-Apps des OEM für Telefon, Nachrichten und Kontakte (Android 14+). Wenn Arbeitskontakte im privaten Profil konfiguriert ist, können Sie optional eine Liste mit Einträgen für **Ausgenommene Paketnamen** definieren. Je nach ausgewähltem Modus wirken diese Ausnahmen als Zulassungs- oder Sperrliste für private Apps. # Statusberichte In diesem Abschnitt können Sie konfigurieren, welche Daten vom Gerät abgerufen werden sollen. Die Statusdaten können auf der Dashboard-Seite [**Gerätestatus**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/chapter/geratestatus "Device status") angezeigt werden. ##### Anwendungsberichte Ob App-Berichte aktiviert sind. (Informationen, die über eine installierte App gemeldet werden.)Diese Option ist vom System erforderlich (für die Integration mit Companion-Apps) und immer aktiviert; sie kann nicht deaktiviert werden.
##### Entfernte Apps einschließen Ob entfernte Apps in Anwendungsberichte einbezogen werden. ##### Geräteeinstellungen Ob die Berichterstellung für Geräteeinstellungen aktiviert ist. (Informationen zu sicherheitsrelevanten Geräteeinstellungen auf dem Gerät.) ##### Softwareinformationen Ob die Berichterstellung für Softwareinformationen aktiviert ist. (Informationen zur Gerätesoftware.) ##### Speicherinformationen Ob die Speicherberichterstellung aktiviert ist. (Ein Ereignis zu Speicher- und Speicherplatzmessungen.) ##### Netzwerkinformationen Ob die Berichterstellung für Netzwerkinformationen aktiviert ist. (Netzwerkinformationen des Geräts.) ##### Displayinformationen Ob die Displayberichterstellung aktiviert ist. Berichtsdaten sind für private Geräte mit Arbeitsprofil nicht verfügbar. (Displayinformationen des Geräts.) ##### Ereignisse zur Energieverwaltung Ob die Berichterstellung für Ereignisse zur Energieverwaltung aktiviert ist. Berichtsdaten sind für private Geräte mit Arbeitsprofil nicht verfügbar. ##### Hardwarestatus Ob die Berichterstellung für den Hardwarestatus aktiviert ist. Berichtsdaten sind für private Geräte mit Arbeitsprofil nicht verfügbar. ##### Systemeigenschaften Ob die Berichterstellung für Systemeigenschaften aktiviert ist. ##### Common-Criteria-Modus Ob die Berichterstellung für den Common-Criteria-Modus aktiviert ist. # Sonstiges #### 1. Easter-Egg-Spiel deaktiviert Ob das Easter-Egg-Spiel in den Einstellungen deaktiviert ist. #### 2. Hinweise zur ersten Verwendung überspringen Flag zum Überspringen von Hinweisen bei der ersten Verwendung. Der Unternehmensadministrator kann die Systemempfehlung aktivieren, dass Apps ihre Benutzereinführung und andere einführende Hinweise beim ersten Start überspringen. #### 3. Kurze Supportnachricht Eine Nachricht, die dem Benutzer im Einstellungsbildschirm angezeigt wird, wo immer Funktionalität durch den Administrator deaktiviert wurde. Wenn die Nachricht länger als 200 Zeichen ist, wird sie möglicherweise abgeschnitten. #### 4. Lange Supportnachricht Eine Nachricht, die dem Benutzer im Einstellungsbildschirm für Geräteadministratoren angezeigt wird. #### 5. Info des Eigentümers auf dem Sperrbildschirm Die Informationen zum Geräteeigentümer, die auf dem Sperrbildschirm angezeigt werden sollen. #### 6. Einrichtungsaktionen Aktionen, die während des Einrichtungsprozesses ausgeführt werden. Während der Registrierung können Sie vom Benutzer verlangen, eine oder mehrere Apps zu öffnen, die für die Geräteeinrichtung erforderlich sind. Verwenden Sie **Einrichtungsaktion hinzufügen**, um Einträge zu erstellen, und entfernen Sie sie mit der Löschaktion. ##### 6.1. App starten Paketname der zu startenden App ##### 6.2. Titel Stellt eine benutzergerichtete Nachricht bereit, um dem Benutzer zu erklären, warum die App gestartet werden muss. ##### 6.3. Beschreibung Stellt eine benutzergerichtete Nachricht bereit, um dem Benutzer zu erklären, warum die App gestartet werden muss. #### 7. Sichtbarkeit des Anzeigenamens des Unternehmens Steuert, ob der Anzeigename des Unternehmens auf dem Gerät sichtbar ist (z. B. als Sperrbildschirmnachricht auf unternehmenseigenen Geräten). **Sichtbar (Standard)**: Der Anzeigename des Unternehmens ist auf dem Gerät sichtbar (unterstützt in Arbeitsprofilen unter Android 7+ und auf vollständig verwalteten Geräten unter Android 8+). **Ausgeblendet**: Der Anzeigename des Unternehmens ist auf dem Gerät ausgeblendet. # Compliance-Regeln Wenn ein Gerät oder Arbeitsprofil die unten aufgeführten Richtlinieneinstellungen nicht erfüllt, blockiert Android Device Policy standardmäßig sofort die Nutzung des Geräts oder Arbeitsprofils: - **Passwortanforderungen** - **Verschlüsselungsrichtlinie** - **Tastensperre deaktiviert** - **Zulässige Eingabemethoden** - **Zulässige Bedienungshilfen** Wenn das Gerät oder Arbeitsprofil nach 10 Tagen weiterhin nicht konform ist, setzt Android Device Policy das Gerät auf die Werkseinstellungen zurück oder löscht das Arbeitsprofil. In diesem Abschnitt können Sie die standardmäßigen Regeln zur Compliance-Durchsetzung überschreiben oder neue hinzufügen. #### Regeln Liste der Regeln, die das Verhalten definieren, wenn eine bestimmte Richtlinie nicht auf ein Gerät angewendet werden kann. Verwenden Sie **Regel hinzufügen**, um eine neue Regel zu erstellen. Jede Regelkarte kann über die Löschaktion entfernt werden. ##### Name der Einstellung Die auf oberster Ebene durchzusetzende Richtlinie. Zum Beispiel **Anwendungen** oder **Passwortanforderungen**. **Erforderlich.** Der Wert muss mit einem unterstützten Richtliniennamen auf oberster Ebene übereinstimmen; andernfalls wird das Feld als ungültig markiert. ##### Blockieren nach Tagen Anzahl der Tage, in denen die Richtlinie nicht compliant ist, bevor das Gerät oder Arbeitsprofil blockiert wird. Um den Zugriff sofort zu blockieren, legen Sie 0 fest. **Blockieren nach Tagen** muss kleiner als **Löschen nach Tagen** sein. Gilt nur für Geräte im Unternehmenseigentum. Zulässiger Bereich: 0–300. ##### Blockierungsbereich Gibt den Bereich der Blockierungsaktion an. Gilt nur für Geräte im Unternehmenseigentum. Standard (neue Regel): **Arbeitsprofil**. **Arbeitsprofil**: Die Blockierungsaktion wird nur auf Apps im Arbeitsprofil angewendet. Apps im persönlichen Profil sind nicht betroffen. **Gesamtes Gerät**: Die Blockierungsaktion wird auf das gesamte Gerät angewendet, einschließlich der Apps im persönlichen Profil. ##### Löschen nach Tagen Anzahl der Tage, in denen die Richtlinie nicht compliant ist, bevor das Gerät oder Arbeitsprofil gelöscht wird. **Löschen nach Tagen** muss größer als **Blockieren nach Tagen** sein. Gilt nur für Geräte im Unternehmenseigentum. **Erforderlich.** Standard (neue Regel): **1**. Zulässiger Bereich: 1–300. ##### Werksreset-Schutz beibehalten Ob die Daten zum Werksreset-Schutz auf dem Gerät beibehalten werden. Diese Einstellung gilt nicht für Arbeitsprofile. Standard (neue Regel): aktiviert. # Richtlinien - Apple # Apple-Richtlinien Apple-Richtlinien definieren Verwaltungseinstellungen, die Cerberus Enterprise über MDM auf Apple-Geräte anwendet. Diese Einstellungen werden im Dashboard im Apple-Richtlinieneditor konfiguriert. ## Bevor Sie beginnen Die Apple-Geräteverwaltung erfordert, dass Apple Management (APNs) konfiguriert ist. Bei Bedarf lesen Sie die Seite [Apple Management setup (APNs)](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-management-einrichtung-apns "Apple Management setup (APNs)"). ## Apple-Richtlinieneditor öffnen Öffnen Sie im Dashboard **Richtlinien** und klicken Sie auf **Neue Apple-Richtlinie erstellen**. Um eine vorhandene Apple-Richtlinie zu bearbeiten, klicken Sie auf ihre Zeile in der Richtlinientabelle. ## Layout des Editors Der Apple-Richtlinieneditor ist als eine Reihe ausklappbarer Bereiche organisiert. Oben auf der Seite können Sie immer Folgendes bearbeiten: - **Name** (erforderlich) - **Id** (schreibgeschützt) - **Beschreibung** (optional) ## Richtlinienbereiche Die folgenden Abschnitte entsprechen den aktuell im Apple-Richtlinieneditor verfügbaren Bereichen. Wenn Sie eine gespeicherte Richtlinie öffnen, sind die Abschnitte mit geänderten Einstellungen bereits geöffnet, die übrigen bleiben geschlossen: - **App-Verwaltung**: Konfigurieren Sie appbezogene Einschränkungen, verwaltete Apps und die Einstellungen der Cerberus Enterprise App. - **Kiosk und Home-Bildschirm**: Einzel-App-Modus, erlaubte und blockierte Apps, Layout des Home-Bildschirms, Webclips, Benachrichtigungseinstellungen und Sperrbildschirmmeldung. - **Sicherheit**: Steuern Sie Funktionen wie automatische Entsperrung und biometrische Entsperrung. - **Passcode-Einstellungen**: Konfigurieren Sie Passcode-Anforderungen und zugehörige Regeln. - **Multimedia**: Kamera und zugehörige Funktionen erlauben/verhindern. - **Mobilfunk**: Steuerung der Mobilfunk-Einstellungen (mobile Dateneinstellungen von Apps, eSIM, Tarifänderungen) und des Mobilfunk-APN. - **Netzwerk**: Wi-Fi-Netzwerke (auch Enterprise 802.1X), VPNs, Zertifikate, globaler Proxy, verschlüsseltes DNS und Webinhaltsfilter sowie Konnektivitätseinschränkungen wie AirDrop und Bluetooth. - **System und Benutzeroberfläche**: Systemfunktionen wie Handoff, Gerätename und Bildschirmschoner einschränken. - **Softwareupdates**: Verlangen Sie eine OS-Version bis zu einer Frist und steuern Sie, wie Updates heruntergeladen und installiert werden. - **macOS**: Firewall, Gatekeeper, Bildschirmschoner und Sperre, externe und Netzwerkspeicher, Bildschirmfreigabe, Datenschutzberechtigungen und Anmeldeobjekte der Macs. - **Apple-Apps und -Dienste**: Apple-Apps und -Dienste wie iMessage, Game Center und Find My einschränken. - **Siri und Apple Intelligence**: Siri, Diktat und die Apple Intelligence-Funktionen einschränken. - **iCloud**: Erlauben oder verhindern Sie bestimmte iCloud-Dienste (Backup, Schlüsselbund-Synchronisierung, Private Relay usw.). - **Standort und Geofences**: Bereiche, in denen iPhones und iPads mit der Cerberus Enterprise-App melden, wenn sie sie betreten oder verlassen, für Ereignisregeln. - **Konten**: Schränken Sie die Kontenänderung ein und konfigurieren Sie Mail-, Exchange-, Google-, Kalender-, Kontakte- und Verzeichniskonten. - **Compliance-Regeln**: Anforderungen (Passcode, minimale OS-Version, Überwachung, FileVault), die Geräte nicht compliant machen, mit optionaler Blockierung.Viele Optionen im Apple-Richtlinieneditor enthalten einen Tooltip, der Anforderungen und unterstützte OS-Versionen dokumentiert.
## Speichern, löschen und zugeordnete Geräte Verwenden Sie **Richtlinie speichern**, um Ihre Änderungen anzuwenden. Die Schaltfläche ist deaktiviert, wenn keine ausstehenden Änderungen vorhanden sind oder wenn die Lizenz abgelaufen ist. Wenn Sie eine vorhandene Richtlinie bearbeiten, zeigt die Seite außerdem die Aktion **Richtlinie löschen** an. Der Editor kann unten eine Liste **Zugeordnete Geräte** anzeigen, damit Sie sehen, wie viele Geräte derzeit die Richtlinie verwenden. ## Nächste Seiten - Apps & Profile: Konfigurieren Sie installierte Apps und Konfigurationsprofile. - Kiosk und Home-Bildschirm: Einzel-App-Modus, erlaubte Apps, Layout des Home-Bildschirms und Webclips. - Passcode: Konfigurieren Sie Passcode-Anforderungen und zugehörige Sicherheitsoptionen. - Einschränkungen: Definieren Sie erlaubte Funktionen und Einschränkungen auf OS-Ebene. - Netzwerk: Wi-Fi-Netzwerke, VPNs, Zertifikate und Konnektivitätseinschränkungen. - Softwareupdates: erforderliche OS-Updates und Softwareupdate-Einstellungen. - macOS: Firewall, Gatekeeper, Bildschirmsperre, Speicher, Datenschutzberechtigungen und Anmeldeobjekte der Macs. - Standort und Geofences: Bereiche, die iPhones und iPads beim Betreten und Verlassen melden, und was sie zum Funktionieren benötigen. - Konten: Mail-, Exchange-, Google-, Kalender-, Kontakte- und Verzeichniskonten. - Compliance-Regeln: Anforderungen für die Geräte und Blockierung nicht complianter Geräte. # Apps & Profile Dieser Abschnitt dokumentiert, wie verwaltete Anwendungen und Kontonutzlasten für Apple-Geräte konfiguriert werden. ## App-Verwaltung Das Panel **App-Verwaltung** enthält sowohl allgemeine appbezogene Einschränkungen als auch eine Liste verwalteter Apps. ### Allgemeine App-Einschränkungen - **App-Clips erlauben** - **App-Installation erlauben** - **Entfernen von Apps erlauben** - **Automatische App-Downloads erlauben** - **Ausblenden von Apps erlauben** - **Sperren von Apps erlauben** - **In-App-Käufe erlauben** - **Änderung des Standardbrowsers erlauben** - **Vertrauen für Unternehmens-Apps erlauben** ### Verwaltete Apps Verwenden Sie **Anwendung hinzufügen**, um der Richtlinie eine App hinzuzufügen. Jede verwaltete App wird als Karte angezeigt. Sie können die Karte aufklappen, um ihre Einstellungen zu bearbeiten, und die App über die Löschaktion entfernen. - **App Store-ID**: die App Store-Kennung der verwalteten App. - **Bundle-ID**: die Bundle-Kennung der App. - **Installationsverhalten**: steuert, ob die App installiert bleiben muss oder vom Benutzer installiert/entfernt werden kann. - **Zuweisung**: der Lizenztyp, den Cerberus für jedes Gerät wählt: eine Gerätelizenz auf Unternehmensgeräten, eine Benutzerlizenz des Managed Apple Account auf privaten iPhones und iPads (Benutzerregistrierung). Das Feld kann nicht geändert werden. - **VPP-Lizenz**: VPP-Lizenztyp, der für die Installation über den App Store verwendet wird. Die App-Auswahlliste zeigt die verfügbaren und die gesamten Lizenzen jeder App an. Kostenlose Apps zeigen **Unbegrenzt**: Apple stellt ihnen unbegrenzte Lizenzen bereit. Eine App kann einer Richtlinie nur einmal hinzugefügt werden: Eine App mit derselben App Store-ID oder Bundle-ID wie eine bereits in der Richtlinie enthaltene App wird abgelehnt, ebenso eine Richtlinie, die dieselbe App zweimal auflistet, wenn Sie sie speichern. Die App-Auswahlliste zeigt die Apps Ihrer Apple Business-Mediathek. Um eine App hinzuzufügen, öffnen Sie in Apple Business **Apps & Services** → **Apps & Books** → **App Store**, suchen Sie nach der App und klicken Sie auf **View**. Klicken Sie bei einer kostenlosen App auf **Add**, wählen Sie **All current and future** (oder die Organisationseinheit Ihres Apps and Books-Tokens) in **Organizational Units**, klicken Sie auf **Add** und dann auf **Review** und bestätigen Sie. Klicken Sie bei einer kostenpflichtigen App auf ihren Preis, wählen Sie **Managed Licenses** als **License Type** (Einlösecodes können von Cerberus Enterprise nicht verwendet werden), wählen Sie die **Organizational Unit** Ihres Apps and Books-Tokens, geben Sie die Anzahl der **Licenses** ein (bis zu 1.000 pro Bestellung) und klicken Sie dann auf **Review** und kaufen Sie. Eine Zahlungsmethode muss zuvor unter **Settings** → **Payments & Billing** → **Apps & Services** → **Payment Methods** eingerichtet werden. Die Apps erscheinen dann in der App-Auswahlliste. ### Apps auf privaten Geräten (Benutzerregistrierung) Private iPhones und iPads, die mit Benutzerregistrierung registriert wurden, haben keine Seriennummer. Daher erhalten sie die App Store-Apps der Richtlinie mit einer **Benutzerlizenz** des auf dem Gerät angemeldeten Managed Apple Account. Cerberus registriert das Konto bei Apps and Books und weist die Lizenzen selbst zu, auch für kostenlose Apps. Die Managed Apple Accounts und das Apps and Books-Token müssen zur selben Apple Business-Organisation gehören. Eine kostenpflichtige App verwendet eine Lizenz pro Konto, die von allen privaten Geräten dieses Kontos gemeinsam genutzt wird. - **Warten auf eine Benutzerlizenz**: Die App wird erst an das Gerät gesendet, nachdem Apple die Lizenz bestätigt hat, in der Regel innerhalb weniger Minuten. Das Panel **Anwendungen** des Geräts zeigt den Grund an. - **Benutzerlizenz fehlgeschlagen**: Apple konnte die Lizenz nicht zuweisen, zum Beispiel weil für eine kostenpflichtige App keine Lizenz mehr verfügbar ist. Fügen Sie in Apple Business Lizenzen hinzu und verwenden Sie dann **Erneut anfordern**; Cerberus versucht es außerdem jeden Tag selbst erneut. - **Installationsaufforderung**: iOS fragt den Benutzer vor der Installation jeder App. Wenn der Benutzer abbricht, zeigt die App **Warten auf die Zustimmung des Benutzers zur Installation**; **Erneut anfordern** zeigt die Aufforderung erneut an. - **Freigabe**: Wenn Sie die App aus der Richtlinie entfernen oder das letzte private Gerät des Kontos abmelden, wird die App entfernt und ihre Lizenz freigegeben, es sei denn, ein anderes registriertes Gerät desselben Kontos benötigt sie noch. Einzelheiten finden Sie unter [**Kontobasierte Apple-Registrierung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/kontogesteuerte-apple-registrierung "Apple account-driven enrollment"). ### Verwaltete Konfiguration Eine verwaltete Konfiguration gibt einer App ihre Einstellungen (zum Beispiel eine Serveradresse oder einen Kontonamen), so wie der Hersteller der App sie dokumentiert. Öffnen Sie die App in der Richtlinie und klicken Sie auf **Verwaltete Konfiguration hinzufügen**. Sie wird an iPhones und iPads mit **iOS oder iPadOS 18.4 oder höher** und an Macs mit **macOS 27 oder höher** gesendet; an Apple Vision Pro wird sie noch nicht gesendet. Die App muss verwaltete Konfigurationen unterstützen: Eine App, die sie nicht liest, ignoriert sie. Das App-Panel zeigt die Anzahl der Schlüssel neben dem App-Namen an. - **Schlüssel**: Jede Zeile enthält einen Schlüssel, einen Typ und einen Wert. Die Typen sind Text, Ganzzahl, Dezimalzahl, Boolescher Wert, Datum, Textliste und Ganzzahlliste. Schlüssel unterscheiden zwischen Groß- und Kleinschreibung und müssen eindeutig sein. **Schlüssel hinzufügen** fügt eine Zeile hinzu; **Konfiguration entfernen** entfernt alle Schlüssel. - **Variablen**: Werte vom Typ Text und Textliste können $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten, die durch die Werte des jeweiligen Geräts und seines Benutzers ersetzt werden. Eine Variable ohne Wert (zum Beispiel $EMAIL$ auf einem Gerät ohne Benutzer) bleibt leer, und die Systemprotokolle geben dies an. Wenn sich die Daten eines Benutzers ändern, erhalten die Geräte die neuen Werte; bei Benutzern, die aus Google Directory synchronisiert werden, werden die Werte bei der nächsten Änderung der Richtlinie oder des Geräts aktualisiert. - **Konfiguration importieren**: Öffnen oder fügen Sie die Datei ein, die der Hersteller der App für MDM veröffentlicht, und klicken Sie dann auf **Lesen**. Eine **AppConfig-Spezifikationsdatei** (specfile.xml) listet jeden von der App unterstützten Schlüssel mit Beschreibung, Typ, Standardwert und zulässigen Werten auf: Wählen Sie die zu importierenden Schlüssel aus (diejenigen mit Standardwert sind bereits ausgewählt) und füllen Sie die übrigen nach dem Import aus. Ein Warnhinweis erscheint, wenn die Spezifikationsdatei für eine andere App gilt. Eine **Property List** (eine vollständige Property List oder nur ihr <dict>) wird unverändert importiert. Wählen Sie anschließend, ob die aktuellen Schlüssel ersetzt oder ergänzt werden sollen. Verschachtelte Wörterbücher, Datenwerte und Listen mit gemischten oder unbekannten Typen werden nicht unterstützt und als übersprungen aufgeführt. Apple veröffentlicht die Konfigurationsschlüssel von Apps nicht; fragen Sie daher beim Hersteller nach der Datei, wenn sie nicht in dessen Dokumentation enthalten ist. **Als plist kopieren** kopiert die Konfiguration so, wie das Gerät sie erhält, bevor die Variablen ersetzt werden. - **Grenzwerte**: bis zu 200 Schlüssel pro App; Schlüssel bis zu 255 Zeichen; Textwerte bis zu 4.096 Zeichen; Listen bis zu 200 Einträge mit jeweils bis zu 1.024 Zeichen; Datumsangaben zwischen 1970 und 9999; insgesamt 64 KB pro App. - **Nicht für Passwörter**: Die Konfiguration wird nur an das Gerät gesendet, für das sie erstellt wurde, und die Protokolle zeigen nur Schlüsselnamen und -typen. Dashboard-Administratoren können die Werte jedoch lesen, und die Adresse, von der das Gerät sie herunterlädt, ändert sich mit den Werten, sodass ein leicht zu erratender Wert (ein boolescher Wert oder eine kleine Zahl) daraus abgeleitet werden könnte. Legen Sie keine Passwörter oder andere Geheimnisse in einer verwalteten Konfiguration ab. - **Status**: Wenn das Gerät meldet, dass die App seine Konfiguration nicht akzeptiert hat, zeigt das Panel Anwendungen des Geräts neben der App **Konfiguration nicht akzeptiert** an. Dadurch verliert das Gerät nicht seine Compliance. Eine Konfiguration, die das Gerät nicht herunterladen kann, führt jedoch dazu, dass es die Compliance verliert. ### App-Optionen Jede App der Richtlinie (App Store- und benutzerdefinierte Apps) hat diese Optionen. **Gerätestandard** überlässt die Wahl dem Gerät. Geräte, die eine Option nicht unterstützen, erhalten sie nicht; die App wird dennoch installiert. - **Automatische Updates**: App Store-Einstellung, Immer oder Nie. iOS, iPadOS, macOS und visionOS 26 oder höher. Bei benutzerdefinierten Apps verhält sich die App Store-Einstellung wie Nie. - **Downloads über Mobilfunk**: App Store-Einstellung, Immer oder Nie, für automatische Installationen und Updates. Nur überwachte iPhones und iPads mit iOS oder iPadOS 26 oder höher. - **App-Daten sichern**: ob die App-Daten in die Gerätesicherungen einbezogen werden. Nicht auf dem Mac. - **Benutzer kann die App ausblenden** und **Benutzer kann die App sperren**: iOS und iPadOS 18.1 oder höher, erzwungen auf überwachten Geräten. Wenn das Sperren nicht erlaubt ist, wird auch das Ausblenden verhindert. Die Einschränkungen **Ausblenden von Apps erlauben** und **Sperren von Apps erlauben** gelten für alle Apps. - **Gerät nach Tap to Pay-Transaktionen sperren, die die PIN des Kunden erfordern**: nur iPhone. - **Zugeordnete Domains**: die Domains, mit denen die App verknüpft ist (zum Beispiel für universelle Links oder die Passwort-Autofüllung), bis zu 50. Geben Sie einfache Hostnamen wie www.example.com ein, ohne applinks:, Platzhalter oder ?mode=. Nicht auf dem Mac. - **Domains direkt überprüfen**: Das Gerät prüft die Site-Association-Datei der Domains direkt und nicht über die Server von Apple. Aktivieren Sie dies nur für interne Domains, die nicht über das Internet erreichbar sind. - **Entfernung**: Apps, die als **Erforderlich** installiert wurden, können vom Benutzer nicht entfernt werden. ### Mac App Store-Apps Die App-Auswahlliste zeigt die Plattformen jeder App (iPhone/iPad, Mac, Apple TV, Vision); eine App, die nur für Mac existiert, zeigt ihr Mac-Symbol. Eine App, die nur für Mac existiert, gilt beim Hinzufügen für Macs. Eine App Store-App ohne Mac-Version wird nicht an Macs gesendet: Die Richtlinie zeigt unter **Gilt für** „Diese App hat keine Mac-Version: Sie wird nicht an Macs gesendet“. Macs erhalten App Store-Apps anhand ihrer App Store-ID, sodass Apps mit einer anderen Bundle-ID auf dem Mac korrekt installiert werden. ### Cerberus Enterprise App Cerberus installiert seine **Cerberus Enterprise**-App auf jedem iPhone und iPad mit **iOS oder iPadOS 18.4 oder neuer**, mit oder ohne Richtlinie. Die App teilt den Gerätestandort und empfängt Benachrichtigungen und Live-Ortungsanforderungen. Sie wird als **Erforderlich** mit einer Gerätelizenz aus Apps and Books (einer Benutzerlizenz auf privaten Geräten) installiert, sodass der Benutzer sie nicht löschen kann. - **Einmalige Einrichtung**: Fügen Sie die kostenlose App einmal zu Ihrer Mediathek hinzu. Öffnen Sie in Apple Business **Apps & Services** → **Apps & Books** → **App Store**, suchen Sie nach „Cerberus Enterprise“, klicken Sie auf **View** und dann auf **Add**, wählen Sie **All current and future** in **Organizational Units**, klicken Sie auf **Add** und dann auf **Review** und bestätigen Sie. Wenn die App **Manage** anzeigt, ist sie bereits in Ihrer Mediathek: Öffnen Sie sie und prüfen Sie, ob ihre Organisationseinheiten **All current and future units** sind. Bis dahin zeigt das Dashboard ein Banner an und die Geräte zeigen die App als nicht installiert. Siehe **Kontoeinstellungen**. - **Nicht in Richtlinien**: Die App kann einer Richtlinie nicht hinzugefügt werden. Sie ist in der App-Auswahlliste deaktiviert und wird als benutzerdefinierte App abgelehnt (gleiche Bundle-ID). Bei einer Richtlinie, die sie bereits auflistet, wird der Eintrag beim Öffnen entfernt: Speichern Sie die Richtlinie, um dies zu bestätigen. - **Nicht installiert auf**: Geräten mit iOS oder iPadOS älter als 18.4. Shared iPad wird für die Installation unterstützt, aber die App-Funktionen sind dort nicht verifiziert. - **Private Geräte**: Auf iPhones und iPads, die mit der Benutzerregistrierung registriert sind, wird die App ebenfalls installiert, mit einer Installationsaufforderung und einer Benutzerlizenz des Managed Apple Account. Sie empfängt Nachrichten von Ihrer Organisation und greift nicht auf den Standort zu, es sei denn, die Richtlinie aktiviert **Standort und Geofences auf privaten Geräten** und der Benutzer lässt es zu. - **Installiert beibehalten**: Wenn das Apps and Books-Token abläuft oder die App Ihre Mediathek verlässt, bleibt die App auf den Geräten und die Geräteseite meldet, dass Apps and Books Aufmerksamkeit erfordert. Sie wird nur entfernt, wenn die App 24 Stunden später noch immer in Ihrer Mediathek fehlt. ### Benutzerdefinierte Apps Benutzerdefinierte Apps sind Ihre eigenen iPhone- und iPad-Apps (.ipa-Dateien), die ohne den App Store verteilt werden. Exportieren Sie die App in Xcode für die **Enterprise**-Verteilung (Apple Developer Enterprise Program: Sie installiert sich auf jedem Gerät) oder die **Ad Hoc**-Verteilung (Sie installiert sich nur auf den Geräten, die in ihrem Bereitstellungsprofil registriert sind). App Store-Builds können nicht hochgeladen werden. Klicken Sie auf **Benutzerdefinierte App hinzufügen**, um die benutzerdefinierten Apps Ihrer Organisation zu öffnen. **App hochladen** fügt eine .ipa-Datei hinzu (bis zu 2 GB). Wählen Sie eine App aus und klicken Sie auf **Zur Richtlinie hinzufügen**. Die Liste zeigt die Version, die Art der Signierung, die Anzahl der Geräte im Profil von Ad-hoc-Apps und das Ablaufdatum des Bereitstellungsprofils. - **Neue Version**: Laden Sie eine App mit derselben Bundle-ID hoch. Sie ersetzt die vorherige Version, und die Geräte der Richtlinien, die sie verwenden, aktualisieren die App. - **Voraussetzungen**: iPhone und iPad mit iOS 17.2 oder höher. Geräte, die die App nicht installieren können, erhalten sie nicht: eine reine iPad-App auf einem iPhone, ein älteres iOS als von der App benötigt, ein Gerät, das nicht im Profil einer Ad-hoc-App enthalten ist, oder ein abgelaufenes Bereitstellungsprofil. - **Ablauf**: Wenn das Bereitstellungsprofil abläuft, öffnet sich die App nicht mehr. Laden Sie vor dem Ablaufdatum eine mit einem neuen Profil signierte Version hoch. - **Reservierte Bundle-ID**: Eine benutzerdefinierte App mit der Bundle-ID der Cerberus Enterprise App (com.lsdroid.Cerberus.Enterprise) kann einer Richtlinie nicht hinzugefügt werden, da Cerberus diese App selbst installiert. - **Löschen**: Entfernen Sie die App zuerst aus ihren Richtlinien; die Geräte entfernen sie dann. ### Mac-Pakete Die benutzerdefinierten Apps akzeptieren auch Mac-Installer-Pakete (.pkg-Dateien). Das Paket muss ein Distributionspaket sein, das mit **productbuild** erstellt wurde (ein Komponentenpaket, das nur mit pkgbuild erstellt wurde, wird abgelehnt), und mit einem **Developer ID Installer**-Zertifikat signiert sein. Es wird empfohlen, es zu notarisieren und das Ticket anzuheften (**notarytool** und **stapler**). Nicht signierte Pakete, nach der Signierung geänderte Pakete und mit anderen Zertifikaten signierte Pakete werden abgelehnt. Laden Sie die .pkg-Datei mit **App hochladen** hoch und fügen Sie sie der Richtlinie hinzu: Sie erscheint unter **Mac-Pakete**. iPhones und iPads ignorieren sie. Macs mit **macOS 26 oder neuer** (überwacht, was auch manuell registrierte Macs einschließt, aber nicht User Enrollment) erhalten das Paket als **Deklaration**: Der Mac lädt es herunter, installiert es, wiederholt den Vorgang bei Bedarf und aktualisiert es selbstständig und meldet seinen Status. Ältere Macs und als verwaltete Apps installierte Pakete erhalten es mit einem **MDM-Befehl**, in jeder macOS-Version. Ein Mac, der auf macOS 26 aktualisiert wird, wechselt selbstständig zur Deklaration; er installiert jedes Paket möglicherweise noch einmal. Dasselbe kann passieren, wenn ein Mac zu einer anderen Richtlinie wechselt, die dasselbe Paket enthält. - **Neue Version**: Laden Sie ein Paket mit derselben Paketkennung hoch. Es ersetzt die vorherige Version, und die Macs der Richtlinien, die es verwenden, installieren die neue Version. - **Übersprungene Macs**: Macs mit einem älteren macOS als vom Paket erlaubt und Intel-Macs bei Paketen, die nur für Apple silicon erstellt wurden. Die Geräteseite zeigt das Paket als Übersprungen mit der Begründung an; die zuvor installierte Version bleibt auf dem Mac. - **Installieren**: **Erforderlich** (Standard) installiert das Paket auf dem Mac; **Optional** stellt das Paket auf dem Mac bereit, ohne es zu installieren. macOS 26 zeigt optionale Pakete dem Benutzer nicht in den Systemeinstellungen oder im App Store an (getestet unter macOS 26.3), daher muss eine App oder ein Skript auf dem Mac sie installieren; wählen Sie Optional nur, wenn Sie eine solche haben. Dies gilt für Macs mit macOS 26 oder neuer; ältere Macs installieren das Paket immer. Die Auswahl ist für als verwaltete Apps installierte Pakete nicht verfügbar. - **Paketdateien entfernen, wenn es die Richtlinie verlässt (macOS 27 oder neuer)**: Wenn das Paket aus der Richtlinie entfernt wird, löschen Macs mit macOS 27 oder neuer die von ihm installierten Dateien. Die Option ist standardmäßig deaktiviert. Auf älteren Macs bleiben die Dateien erhalten. Für als verwaltete Apps installierte Pakete nicht verfügbar. - **Als verwaltete App installieren**: Aktivieren Sie dies für ein Paket der Richtlinie, um seine App als verwaltete App zu installieren (macOS 11 oder neuer, nicht mit User Enrollment). macOS meldet dann, wenn die Installation fehlschlägt, und MDM kann die App entfernen. Die App muss direkt im Ordner „Programme“ installiert, mit einem **Developer ID Application**-Zertifikat signiert und notarisiert sein; unter macOS 11 bis 13 darf das Paket nur diese App enthalten (keine anderen Dateien oder Skripte). Die benutzerdefinierten Apps zeigen, welche Pakete geeignet sind. Wenn die Option auf einem Mac nicht angewendet werden kann, wird das Paket dort wie üblich installiert und die Geräteseite nennt den Grund. - **Entfernungsoptionen** einer verwalteten App: **Die App entfernen, wenn das Paket aus der Richtlinie entfernt wird** (standardmäßig aktiviert) und **Die App entfernen, wenn der Mac die Verwaltung verlässt**. Das Entfernen einer App löscht auch ihre Daten. Wenn der Benutzer dieselbe App bereits installiert hatte, wird diese Kopie verwaltet und ebenfalls entfernt. - **Entfernung**: Der MDM-Befehl kann ein Paket nicht deinstallieren. Bei einem als verwaltete App installierten Paket wird durch Entfernen aus der Richtlinie die App entfernt (wenn die Option aktiviert ist); ihre anderen Dateien und der Paketbeleg bleiben erhalten. Pakete mit aktivierter Option **Paketdateien entfernen** werden von Macs mit macOS 27 oder neuer entfernt. Bei anderen Paketen: Das Entfernen aus der Richtlinie stoppt nur neue Installationen, die Dateien bleiben auf den Macs. Ein übersprungener Mac (zum Beispiel nach einer neuen Version, die ein neueres macOS erfordert) behält die App, solange das Paket in der Richtlinie ist; wird das Paket dann aus der Richtlinie entfernt, wird auch die App entfernt. Entfernen Sie verbleibende Dateien auf dem Mac (zum Beispiel mit dem eigenen Deinstallationsprogramm des Pakets), und führen Sie `sudo pkgutil --forgetKonto- und Einschränkungsoptionen enthalten Tooltips im Dashboard, die Voraussetzungen und unterstützte Betriebssystemversionen dokumentieren.
# Kiosk und Home-Bildschirm Der Abschnitt **Kiosk und Home-Bildschirm** des Apple-Richtlinieneditors sperrt Geräte in eine App, wählt aus, welche Apps geöffnet werden dürfen, ordnet den Home-Bildschirm an und fügt Websitesymbole hinzu. Jede Einstellung wird auf den Geräten als Konfigurationsprofil installiert.Apple wendet die meisten dieser Einstellungen nur auf überwachte iPhones und iPads an (Geräte, die mit Automated Device Enrollment registriert oder mit Apple Configurator vorbereitet wurden). Andere Geräte erhalten sie nicht. Webclips funktionieren auch auf nicht überwachten iPhones und iPads. Macs erhalten keine dieser Einstellungen.
## Apps auswählen Apps werden anhand ihrer Bundle-ID identifiziert. Geben Sie den Namen einer App ein, um sie aus den integrierten Apple Apps und den Apps der Richtlinie auszuwählen, oder geben Sie eine beliebige Bundle-ID ein, zum Beispiel `com.example.app`. ## Einzelapp-Modus Das Gerät führt nur die ausgewählte App aus: Benutzer können nicht zum Home-Bildschirm zurückkehren oder andere Apps öffnen. Installieren Sie die App zuerst mit der Richtlinie. Das Gerät verlässt den Einzelapp-Modus, wenn Sie die Einstellung deaktivieren oder die App entfernen. - **Optionen**: Deaktivieren Sie den Touchscreen, die Rotation, die Lautstärketasten, den Klingel-/Stumm-Schalter, die Seitentaste oder die automatische Sperre, und aktivieren Sie Bedienungshilfen wie VoiceOver oder Zoom. - **Bedienungshilfen, die der Benutzer aktivieren kann**: Funktionen, die der Benutzer durch dreifaches Drücken der Seitentaste aktivieren kann. ## Erlaubte und blockierte Apps - **Blockierte Apps**: die Geräte blenden diese Apps aus und öffnen sie nicht. `com.apple.webapp` blockiert alle Webclips. Einstellungen und auf dem iPhone Telefon können nicht blockiert werden. - **Nur einige Apps erlauben**: Die Geräte zeigen nur diese Apps an. Lassen Sie die Liste leer, um alle Apps zu erlauben. **Richtlinien-Apps** fügt die von der Richtlinie installierten Apps hinzu; `com.apple.webapp` erlaubt alle Webclips. - **Apps, die den Einzelapp-Modus starten können**: Apps, die das Gerät während ihrer Nutzung in sich selbst sperren können, zum Beispiel während einer Prüfung.Mit **Nur einige Apps erlauben** verschwindet jede App, die nicht in der Liste steht, von den Geräten, einschließlich der Apps der Richtlinie. Einstellungen und auf dem iPhone Telefon bleiben immer erhalten.
## Layout des Home-Bildschirms Ordnen Sie das Dock und die Seiten des Home-Bildschirms an. Fügen Sie Apps, App-Ordner und die Webclips der Richtlinie hinzu, indem Sie mit **Hinzufügen zu** den Ort auswählen, und ziehen Sie die Symbole, um sie zwischen dem Dock und den Seiten zu verschieben. Klicken Sie auf einen Ordner, um seinen Namen und seine Apps zu ändern. Benutzer können die Symbole nicht verschieben oder Apps vom Home-Bildschirm entfernen. Apps, die nicht im Layout enthalten sind, werden auf den Seiten nach den von Ihnen definierten angezeigt. Ein iPhone zeigt vier Symbole im Dock. Benutzer können Apps, die nicht Erforderlich sind, weiterhin im Speicherbildschirm der Einstellungen löschen. Um dies zu verhindern, deaktivieren Sie **Entfernen von Apps erlauben** in der App-Verwaltung. ## Webclips Ein Webclip ist ein Symbol auf dem Home-Bildschirm, das eine Website öffnet. Legen Sie die Bezeichnung und die URL und optional ein Bild fest (PNG oder JPEG, auf ein Quadrat zugeschnitten). - **Benutzer können ihn entfernen**: Deaktivieren Sie die Option, damit das Symbol auf den Geräten bleibt. - **Vollbild**: Die Website wird als Web-App ohne die Adressleiste von Safari geöffnet. **Bei anderen Websites im Vollbild bleiben** öffnet auch die Links zu anderen Websites in der Web-App. - **Mit dieser App öffnen**: eine App, die die URL anstelle von Safari öffnet. ## Mitteilungseinstellungen Wählen Sie aus, wie die Geräte die Mitteilungen einiger Apps anzeigen: ob sie erlaubt sind, wo sie erscheinen (Sperrbildschirm, Mitteilungszentrale, CarPlay), Badges, Töne, kritische Warnungen, Bannerstil, Gruppierung und Vorschauen. Benutzer können diese Einstellungen nicht ändern. ## Sperrbildschirmnachricht Eine Nachricht, die unten auf dem Sperrbildschirm angezeigt wird, zum Beispiel wen man anrufen soll, wenn das Gerät gefunden wird, und eine Inventarnummer. Beide können die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten: Eine Variable ohne Wert für das Gerät bleibt leer. # Code Der Abschnitt **Codeeinstellungen** steuert die Anforderungen an den Gerätecode und die damit verbundenen Sicherheitsregeln (zum Beispiel Mindestlänge und Komplexität). Auf einem Mac (macOS 13 oder neuer, nicht mit User Enrollment) gelten die Regeln für das Anmeldepasswort der Benutzer. ## Optionen Im Apple-Richtlinieneditor werden Codeoptionen mit einer Mischung aus Schaltern und Zahlenfeldern konfiguriert. Viele Felder enthalten Tooltips, die unterstützte Betriebssystemversionen und Überwachungsanforderungen angeben. ### Code-Schalter - **Bei nächster Authentifizierung ändern**: erzwingt das Zurücksetzen des Codes bei der nächsten Authentifizierung des Benutzers. - **Alphanumerischen Code verlangen**: verlangt mindestens ein alphabetisches Zeichen und eine Zahl. - **Komplexen Code verlangen**: verlangt einen „komplexen“ Code (keine wiederholten oder fortlaufenden Muster und mindestens ein nicht alphanumerisches Zeichen). - **Code verlangen**: verlangt einen Code ohne zusätzliche Anforderungen an Länge/Qualität. Hinweis: Das Festlegen anderer Code-Schlüssel setzt implizit einen Code voraus. ### Zahlenfelder - **Zurücksetzen fehlgeschlagener Versuche (Minuten)**: Minuten, bevor der Zähler für fehlgeschlagene Versuche zurückgesetzt wird (erfordert Maximale fehlgeschlagene Versuche). - **Maximale fehlgeschlagene Versuche**: erlaubte fehlgeschlagene Versuche, bevor ein iPhone oder iPad gelöscht oder ein Mac gesperrt wird (Bereich: 2–11). - **Maximale Kulanzfrist (Minuten)**: wie lange das Gerät entsperrt bleiben kann, ohne den Code zu verlangen (0 = keine). - **Maximale Inaktivität (Minuten)**: Leerlaufzeit, bevor das Gerät sperrt (Bereich: 0–15). - **Maximales Alter des Codes (Tage)**: maximales Alter des Codes vor einer erzwungenen Änderung (Bereich: 0–730). - **Minimale komplexe Zeichen**: Mindestanzahl „komplexer“ Zeichen (Bereich: 0–4). - **Minimale Länge**: Mindestlänge des Codes (Bereich: 0–16). - **Wiederverwendungslimit für Codes**: Länge des Code-Verlaufs, um die Wiederverwendung alter Codes zu verhindern (Bereich: 1–50). # Einschränkungen Die Abschnitte „Einschränkungen“ steuern, welche Betriebssystemfunktionen auf verwalteten Apple-Geräten erlaubt sind. Im Apple-Richtlinieneditor werden diese Optionen als gruppierte Bedienfelder mit mehreren Schaltern dargestellt. Die Schalter der Bereiche **App-Verwaltung** und **Netzwerk** werden auf den Seiten [Apps & Profile](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apps-profile "Apps & profiles") und [Netzwerk](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/netzwerk-5yo "Networking") der Apple-Richtlinien beschrieben.Viele Einschränkungen werden nur in bestimmten Betriebssystemversionen unterstützt und erfordern möglicherweise überwachte Geräte. Verwenden Sie die Tooltips im Dashboard für verbindliche Anforderungen.
Auf Geräten mit User Enrollment (persönliche Geräte, die durch Anmelden mit einem Arbeitskonto registriert wurden) werden die Einschränkungen, die Apple dort nicht zulässt, nicht gesendet. Wenn keine der Einschränkungen der Richtlinie gilt, erhalten diese Geräte kein Einschränkungsprofil. Der Richtlinieneditor zeigt an, wie viele Einschränkungen nicht für Geräte mit User Enrollment gelten.
## Sicherheit - **Automatisches Entsperren erlauben** - **Fingerabdruck zum Entsperren erlauben** - **Fingerabdruckänderung erlauben** - **Löschen von Inhalt und Einstellungen erlauben** - **Aktivieren von Einschränkungen erlauben** - **Profilinstallation durch Benutzer erlauben** - **Host-Kopplung erlauben** - **Übermittlung von Diagnosedaten erlauben** - **Änderung der Übermittlung von Diagnosedaten erlauben** - **Personalisierte Werbung von Apple erlauben** - **Änderung der Remote-Verwaltung erlauben** ## Multimedia - **Kamera erlauben** - **Änderungen an der Dateifreigabe erlauben** - **Zugriff von Dateien auf USB-Laufwerke erlauben** - **Anrufaufzeichnung erlauben** - **AirPrint erlauben** - **Speichern von AirPrint-Anmeldedaten erlauben** - **iBeacon-Erkennung für AirPrint erlauben** ## Mobilfunk - **Änderung der App-Mobilfunkdaten erlauben** - **Änderung des Mobilfunkplans erlauben** - **eSIM-Änderung erlauben** - **Ausgehende eSIM-Übertragungen erlauben** - **eSIM beim Löschen des Geräts behalten** - **Hintergrundabruf beim Roaming erlauben** ### Mobilfunk-APN **Mobilfunk-APN** legt den Zugangspunktnamen (APN) fest, den Ihnen Ihr Mobilfunkanbieter gegeben hat, zum Beispiel für ein privates oder geschäftliches Mobilfunknetz. Legen Sie den **Zugangspunktnamen** sowie, falls der Anbieter sie verlangt, die Authentifizierung (PAP oder CHAP), den Benutzernamen (Variablen wie $EMAIL$ sind erlaubt), das Passwort, die IP-Versionen (auch beim Roaming), einen Proxy-Server mit seinem Port und XLAT464 fest. Aktivieren Sie **APN anhängen** nur, wenn der Anbieter Ihnen einen separaten APN für die Verbindung zum Netzwerk gibt. - Nur iPhone und iPad mit Mobilfunk erhalten sie, auch ohne Überwachung. Geräte, die mit User Enrollment registriert wurden (persönliche Geräte), erhalten sie nicht. - Sie gilt nur für die für mobile Daten verwendete SIM. Ein Gerät, auf dem bereits auf andere Weise ein APN-Profil installiert ist, installiert sie nicht. - Das Passwort ist wie die anderen Netzwerkpasswörter geschützt: Das Profil wird nur an das Gerät gesendet, für das es erstellt wurde, und das Passwort wird nicht in den Protokollen geschrieben.Ein falscher APN lässt die Geräte ohne mobile Daten zurück: Testen Sie die Einstellungen zuerst auf einem Testgerät mit einer SIM des Anbieters.
## System und Benutzeroberfläche - **Handoff erlauben** - **Autokorrektur erlauben** - **Automatisches Dimmen erlauben** - **Automatischen Bildschirmschoner erlauben** - **QuickPath-Tastatur erlauben** - **Nachschlagen von Definitionen erlauben** - **Änderung des Gerätenamens erlauben** - **Ruhezustand des Geräts erlauben** - **iPhone-Spiegelung erlauben** - **iPhone-Widgets auf dem Mac erlauben** - **Tastaturkürzel erlauben** ## Apple-Apps und -Dienste - **iMessage erlauben** - **Game Center erlauben** - **Hinzufügen von Game Center-Freunden erlauben** - **Find My-Gerät erlauben** - **Find My-Freunde erlauben** - **Änderung von Find My-Freunde erlauben** - **Book Store erlauben** - **Erotik im Book Store erlauben** - **Sicherung von Unternehmensbüchern erlauben** - **Synchronisierung von Metadaten von Unternehmensbüchern erlauben** - **iTunes Store erlauben** - **Explizite Inhalte erlauben** ## Siri und Apple Intelligence - **Siri erlauben** - **Benutzergenerierte Siri-Inhalte erlauben** - **Siri bei gesperrtem Gerät erlauben** - **Diktat erlauben** - **Integrationen externer Intelligenz erlauben** - **Anmeldung bei externer Intelligenz erlauben** - **Genmoji erlauben** - **Image Playground erlauben** - **Image Wand erlauben** ## iCloud - **iCloud-Adressbuch erlauben** - **iCloud-Backup erlauben** - **iCloud-Lesezeichen erlauben** - **iCloud-Kalender erlauben** - **iCloud-Schreibtisch und -Dokumente erlauben** - **iCloud-Dokumentsynchronisierung erlauben** - **iCloud Freeform erlauben** - **iCloud-Schlüsselbund-Synchronisierung erlauben** - **iCloud Mail erlauben** - **iCloud Notizen erlauben** - **iCloud-Fotomediathek erlauben** - **iCloud Private Relay erlauben** - **iCloud Erinnerungen erlauben** ## Konten (Einschränkung) Das Konten-Panel enthält sowohl eine Einschränkung als auch (optional) eine Kontokonfiguration. Mit dem Schalter für die Einschränkung legen Sie fest, ob der Benutzer Systemkonten ändern darf. - **Kontenänderung erlauben** # Netzwerk Der Abschnitt **Netzwerk** des Apple-Richtlinieneditors konfiguriert Wi-Fi-Netzwerke und VPNs auf den Geräten, installiert Zertifikate und schränkt Konnektivitätsfunktionen wie AirDrop und Bluetooth ein. Jedes Wi-Fi-Netzwerk, VPN und Zertifikat wird als eigenes Konfigurationsprofil installiert, das Sie auf dem Gerät unter **Einstellungen > Allgemein > VPN & Geräteverwaltung** (Mac: **Systemeinstellungen > Allgemein > Geräteverwaltung** oder **Datenschutz & Sicherheit > Profile** unter macOS 13 und 14) und im Bereich **Profile, Zertifikate und Sicherheit** der Geräteseite sehen können.Zertifikate stammen von der Seite [**Zertifikate**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/zertifikatsverwaltung "Certificate management"): Importieren Sie sie zuerst dort. Die Richtlinie verweist nur auf sie, daher wird ein Zertifikat nie in die Richtlinie kopiert.
## Einschränkungen - **AirDrop erlauben** - **Eingehende AirPlay-Anfragen erlauben** - **Bluetooth-Änderung erlauben** - **Änderung der Bluetooth-Freigabe erlauben** - **Zugriff von Dateien auf Netzwerklaufwerke erlauben** - **Änderung der Internetfreigabe erlauben** - **Inhalts-Caching erlauben** - **iTunes-Dateifreigabe erlauben** ## Wi-Fi-Netzwerke Klicken Sie auf **Wi-Fi-Netzwerk hinzufügen** und füllen Sie aus: - **Netzwerkname (SSID)**: der Name des Netzwerks, bis zu 32 Zeichen. - **Sicherheit**: keine (offenes Netzwerk), WEP, WPA oder WPA2, WPA2 oder WPA3, nur WPA3 oder beliebig. - **Passwort**: das Passwort eines persönlichen Netzwerks. - **Automatisch beitreten** und **Verborgenes Netzwerk** (für Netzwerke, die ihren Namen nicht senden). - **Proxy**: keiner, manuell (Server und Port) oder automatisch (eine PAC-Datei-URL oder leer, um die Einstellungen mit WPAD im Netzwerk zu finden). - **Profilname** (optional) und **Gilt für**, um das Netzwerk auf bestimmte Gerätetypen zu beschränken. ### Unternehmensnetzwerke (802.1X) Aktivieren Sie **Unternehmen (802.1X)**, wenn Benutzer sich mit ihren eigenen Zugangsdaten oder einem Zertifikat anstelle eines gemeinsam genutzten Passworts authentifizieren. - **Authentifizierung**: PEAP, TTLS (mit ihrer inneren Authentifizierung, zum Beispiel MSCHAPv2) oder TLS (nur Zertifikat). - **Zugangsdaten des Gerätebenutzers**: Jedes Gerät verwendet die EAP-Identität, die anonyme Identität und das Passwort seines Benutzers, die auf der Seite „Benutzer“ festgelegt sind. Geräte ohne Benutzer erhalten das Netzwerk nicht. - **Identität**, **Anonyme Identität** und **Passwort**: für jedes Gerät gleich. Die Identität kann die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten. Lassen Sie das Passwort leer, damit der Benutzer es auf dem Gerät eingeben kann. - **Identitätszertifikat**: das Client-Zertifikat, das das Gerät vorlegt (für TLS erforderlich). Siehe die Zertifikatoptionen unten. - **Vertrauenswürdige Zertifikate**: die CA-Zertifikate, die das Zertifikat Ihres RADIUS-Servers ausgestellt haben. Sie werden mit dem Netzwerk installiert. - **Vertrauenswürdige Servernamen**: die Namen der RADIUS-Serverzertifikate, die die Geräte akzeptieren, zum Beispiel radius.example.com oder \*.example.com. ## VPN Klicken Sie auf **VPN hinzufügen**, um ein IKEv2- oder Cisco-IPSec-VPN zu konfigurieren, das in iOS, iPadOS und macOS integriert ist (keine VPN-App erforderlich). - **Typ** und **Server**. Für IKEv2 außerdem die **Remote-Identität** (die Serveridentität, leer bedeutet die Serveradresse) und die **Lokale Identität**, die die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten kann. - **Authentifizierung** des Geräts: ein Zertifikat (von der Seite „Zertifikate“, das Zertifikat des Gerätebenutzers oder von einem SCEP-Server angefordert), ein gemeinsames Geheimnis (mit dem optionalen Gruppennamen für IPSec) oder keine für IKEv2-Server, die nur Benutzername und Passwort prüfen. - **Vertrauenswürdige Zertifikate**: die CA-Zertifikate Ihres VPN-Servers, die mit dem VPN installiert werden. Für IKEv2 können Sie auch den erwarteten Aussteller und Namen des Serverzertifikats festlegen. - **Benutzername und Passwort**: Der Benutzer authentifiziert sich zusätzlich mit einem Benutzernamen (Variablen erlaubt) und einem Passwort (EAP für IKEv2, XAuth für IPSec). Lassen Sie das Passwort leer, damit der Benutzer es auf dem Gerät eingeben kann. - **VPN-Name** (in den Einstellungen angezeigt) und **Gilt für**. ### Verbindung - **Der Benutzer verbindet sich in den Einstellungen**: Das VPN wird installiert und der Benutzer aktiviert es bei Bedarf. - **Bei Bedarf**: Das Gerät verbindet das VPN automatisch. Mit **außer in vertrauenswürdigem Wi-Fi** wird das VPN nicht in den von Ihnen aufgeführten Wi-Fi-Netzwerken verwendet, zum Beispiel im Büronetzwerk. - **Immer an** (nur IKEv2, überwachte iPhones und iPads): Der gesamte Datenverkehr läuft über Mobilfunk und Wi-Fi durch das VPN, und der Benutzer kann es nicht deaktivieren. Andere Geräte erhalten dieses VPN nicht. Wenn das VPN einen Benutzernamen verwendet, muss das Passwort in der Richtlinie festgelegt werden. - **VPN pro App**: Nur einige Apps verwenden das VPN. Wählen Sie das VPN für jede App im Abschnitt **App-Verwaltung** (Feld **VPN** der App, auf dem Mac nicht verfügbar), und führen Sie optional Safari-Domains auf, die es verwenden.Testen Sie ein Immer-an- oder Bei-Bedarf-VPN zuerst auf einem Testgerät: Wenn der Server nicht erreichbar ist, hat das Gerät möglicherweise keine Verbindung.
## Globaler Proxy, verschlüsseltes DNS und Webinhaltsfilter Diese Einstellungen gelten für den gesamten Datenverkehr des Geräts. Aktivieren Sie sie mit ihrem Schalter. - **Globaler HTTP-Proxy** (überwachte iPhones und iPads, Mac): Der gesamte HTTP-Datenverkehr läuft in jedem Netzwerk über den Proxy. Legen Sie Server und Port (mit optionalem Benutzernamen und Passwort) oder eine automatische Konfiguration fest (PAC-Datei-URL oder leer, um sie im Netzwerk zu finden). **Wi-Fi-Anmeldeseiten erlauben** ermöglicht dem Benutzer, sich ohne den Proxy bei öffentlichen Wi-Fi-Netzwerken anzumelden. - **Verschlüsseltes DNS**: Das Gerät löst Namen mit Ihrem DNS-Server über DNS over HTTPS (Server-URL) oder DNS over TLS (Servername) auf, optional nur für bestimmte Domains. Auf überwachten Geräten können Sie verhindern, dass der Benutzer es deaktiviert. - **Webinhaltsfilter** (überwachte iPhones und iPads): Der in iOS integrierte Filter beschränkt Websites für Erwachsene, mit Listen von Websites, die immer erlaubt oder immer blockiert sind, oder erlaubt nur eine Liste von Websites, die in Safari als Lesezeichen angezeigt werden.Ein falscher Proxy- oder DNS-Server kann die Geräte ohne Verbindung zurücklassen: Testen Sie die Einstellungen zuerst auf einem Testgerät.
## Zertifikate Klicken Sie auf **Zertifikat hinzufügen**, um ein Zertifikat separat zu installieren: eine Zertifizierungsstelle, der Safari und die Apps vertrauen müssen, oder eine von Apps verwendete Identität. Die Zertifikate eines Wi-Fi-Netzwerks oder eines VPNs müssen hier nicht hinzugefügt werden. ### Zertifikatoptionen - **Ein Zertifikat der Seite „Zertifikate“**: dasselbe Zertifikat auf jedem Gerät. Klicken Sie auf **Zertifikat auswählen**, um es auszuwählen. - **Das Zertifikat des Gerätebenutzers**: Jedes Gerät erhält das mit seinem Benutzer verknüpfte Client-Zertifikat. Geräte, deren Benutzer kein Zertifikat hat, erhalten es nicht. Wenn Sie dem Benutzer ein anderes Zertifikat zuordnen, werden die Geräte aktualisiert. - **Von einem SCEP-Server angefordert**: Jedes Gerät fordert sein eigenes Zertifikat von Ihrem SCEP-Server an (zum Beispiel Microsoft NDES), sodass der private Schlüssel das Gerät nie verlässt. Legen Sie die Server-URL, die Challenge, falls der Server eine verlangt, den Betreff (zum Beispiel CN=$EMAIL$), die alternativen Namen, die Schlüsselgröße und die Schlüsselverwendung fest.Client-Zertifikate (.p12), die mit der alten RC2-Verschlüsselung geschützt sind, können nicht auf Apple-Geräten installiert werden. Exportieren Sie sie vor dem Importieren erneut mit 3DES- oder AES-Verschlüsselung.
## Sicherheit Profile, die Passwörter oder private Schlüssel enthalten, werden nur an das Gerät gesendet, für das sie erstellt wurden: Das Gerät muss seine Anforderung mit seinem Verwaltungszertifikat signieren. Passwörter und Zertifikate werden nicht in den Protokollen geschrieben. # Softwareupdates Der Bereich **Softwareupdates** des Apple-Richtlinieneditors hält die Geräte auf dem neuesten Stand: Er kann eine bestimmte OS-Version bis zu einer Frist verlangen und steuern, wie die Geräte Updates herunterladen und installieren. ## Erforderliche OS-Updates Klicken Sie auf **Erforderliches Update hinzufügen**, um eine OS-Version zu verlangen. Das Gerät lädt das Update herunter, informiert den Benutzer über die Frist und installiert es bei Fristablauf, falls der Benutzer es nicht vorher erledigt hat. Geräte, die diese Version oder eine neuere bereits ausführen, ignorieren es. Erfordert iOS und iPadOS 17 oder macOS 14. - **Gilt für** (erforderlich): iPhone und iPad oder Mac. Jedes OS hat eigene Versionsnummern, daher fügen Sie für jedes ein erforderliches Update hinzu. - **OS-Version**: die zu installierende Version, zum Beispiel 18.5 oder 15.4.1. - **Build** (optional): ein bestimmter Build, zum Beispiel eine Beta oder eine Background Security Improvement. - **Installieren bis**: die Frist, in der Ortszeit jedes Geräts. Ein Datum in der Vergangenheit bewirkt, dass die Geräte das Update so bald wie möglich installieren. - **Details-URL** (optional): eine Webseite über das Update, die dem Benutzer angezeigt wird.Das Gerät meldet den Fortschritt des Updates (Download, Installation, Fehler) im Bereich **Gerätestatus** der Geräteseite.
## Softwareupdate-Einstellungen Aktivieren Sie **Softwareupdate-Einstellungen für iPhone und iPad** oder **Softwareupdate-Einstellungen für Mac**, um die Updates auf diesen Geräten zu steuern. Wenn ein Schalter ausgeschaltet ist, behalten die Geräte ihre eigenen Einstellungen. Erfordert iOS und iPadOS 18 oder macOS 15: Ältere Geräte ignorieren diese Einstellungen. - **Updates verzögern**: Neue Updates werden dem Benutzer erst nach der angegebenen Anzahl von Tagen angezeigt (1 bis 90). Auf einem Mac können Sie unterschiedliche Zeiträume für Hauptupdates, Nebenupdates und andere Systemupdates festlegen. - **Dem Benutzer angezeigte Updates** (iPhone und iPad): Wenn mehr als ein Update verfügbar ist, zeigen Sie alle an, nur das älteste Nebenupdate oder nur das neueste. - **Standardbenutzer können Updates installieren** (Mac): Benutzer ohne Administratorrechte können macOS-Updates installieren. - **Benutzer über erforderliche Updates benachrichtigen**: die Benachrichtigungen über die erforderlichen Updates und ihre Frist anzeigen. - **Automatischer Download**, **Automatische Installation** und **Automatische Sicherheitsupdates**: Lassen Sie den Benutzer entscheiden (Apple-Standard) oder halten Sie sie immer eingeschaltet oder immer ausgeschaltet. - **Background Security Improvements**: Bieten Sie dem Benutzer die schnellen Sicherheitskorrekturen von Apple an und wählen Sie, ob der Benutzer sie entfernen kann. - **Beta-Programme**: Lassen Sie den Benutzer Apple-Beta-Programmen beitreten oder entfernen Sie das Gerät daraus und blockieren Sie sie (nur auf überwachten iPhones und iPads). ## Ein Update von der Geräteseite aus installieren Der Bereich **Gerätestatus** eines Geräts listet die dafür verfügbaren Updates auf. Verwenden Sie **Nach Updates suchen**, um die Liste vom Gerät anzufordern, und **Installieren**, um ein Update jetzt zu installieren oder es herunterzuladen und den Benutzer installieren zu lassen. Dies funktioniert auf überwachten iPhones und iPads sowie auf Macs. Apple entfernt diese Befehle in iOS, iPadOS und macOS 27: Verwenden Sie in diesen Versionen die erforderlichen Updates der Richtlinie. # macOS Der Abschnitt **macOS** des Apple-Richtlinieneditors verwaltet die Sicherheits-, Datenschutz- und Anmeldeeinstellungen der Macs: FileVault, Firewall, Gatekeeper, Bildschirmschoner und Sperre, externe und Netzwerkspeicher, Bildschirmfreigabe, Datenschutzberechtigungen, Anmeldeobjekte sowie die System- und Kernel-Erweiterungen, die geladen werden dürfen. Er installiert außerdem Konfigurationsdateien von Systemdiensten und Hintergrundaufgaben. Die anderen Geräte der Richtlinie erhalten diese Einstellungen nicht. Aktivieren Sie eine Einstellung, um sie zu verwalten; solange sie deaktiviert ist, behalten die Benutzer ihre eigenen Auswahlmöglichkeiten.Die meisten Einstellungen werden auf dem Mac als Konfigurationsprofile installiert und sind in Systemeinstellungen > Allgemein > Geräteverwaltung sichtbar. FileVault, Datenschutzberechtigungen, Anmeldeobjekte und die Erweiterungseinstellungen erfordern eine vom Benutzer genehmigte MDM: Auf einem Mac, der mit der Registrierungs-URL oder dem QR-Code registriert wurde, genehmigt der Benutzer das Registrierungsprofil in den Systemeinstellungen. Die Geräteseite zeigt dies im Feld **Vom Benutzer genehmigte MDM**. Wenn der Benutzer es später genehmigt, erhält der Mac diese Einstellungen automatisch.
## FileVault FileVault verschlüsselt die Festplatte des Macs. Ist diese Einstellung aktiviert, werden Benutzer aufgefordert, FileVault mit ihrem Passwort zu aktivieren, und der Mac sendet seinen persönlichen Wiederherstellungsschlüssel an Cerberus Enterprise, verschlüsselt mit einem Schlüssel, der nur Ihrer Organisation gehört. Der Schlüssel wird im Feld **FileVault** der Geräteseite angezeigt und geändert (siehe Gerätebefehle). Die Einstellung erfordert macOS 13 oder neuer und eine vom Benutzer genehmigte MDM; ohne vom Benutzer genehmigte MDM wird der Mac nicht aufgefordert, FileVault zu aktivieren, aber wenn ein Benutzer es aktiviert, wird sein Schlüssel gespeichert. - **Bei der Anmeldung erforderlich**: bei der nächsten Anmeldung, nach einer Anzahl von Überspringungen (der Benutzer wird bei jeder Anmeldung und beim Abmelden erneut gefragt) oder nur, wenn sich der Benutzer abmeldet. - **Beim Abmelden nicht fragen**: Der Benutzer wird nur bei der Anmeldung gefragt. Die Option kann nicht mit „Nur beim Abmelden fragen“ kombiniert werden. - **Dem Benutzer den Wiederherstellungsschlüssel anzeigen**: standardmäßig deaktiviert, sodass nur die Administratoren den Schlüssel von der Geräteseite aus kennen. - **Deaktivieren von FileVault verhindern**: standardmäßig aktiviert. - **Schlüssel im Bereitschaftsmodus aus dem Arbeitsspeicher entfernen**: Der Benutzer gibt das Passwort erneut ein, wenn der Mac aus dem Bereitschaftsmodus aufwacht. - **Wo der Schlüssel aufbewahrt wird**: Text, der dem Benutzer im Anmeldefenster angezeigt wird, zum Beispiel wen man anrufen soll, um den Mac wiederherzustellen (Standard: „Cerberus Enterprise“).Ein Mac, der bereits verschlüsselt war, als er die Einstellung erhielt, behält seinen aktuellen Schlüssel, den Cerberus Enterprise nicht erhält: Der Schlüssel wird erst gespeichert, nachdem der Benutzer FileVault deaktiviert und erneut aktiviert hat (mit deaktivierter Option „Deaktivieren von FileVault verhindern“). Das Deaktivieren der Einstellung oder das Entfernen des Macs aus der Verwaltung deaktiviert FileVault nicht, und der gespeicherte Schlüssel funktioniert weiterhin. Die Einstellung kann nicht gespeichert werden, wenn der Server nicht für die Speicherung von Wiederherstellungsschlüsseln konfiguriert ist.
## Firewall - **Firewall aktivieren**: Wenn die Option deaktiviert ist, bleibt die Firewall deaktiviert und Benutzer können sie nicht aktivieren. - **Alle eingehenden Verbindungen blockieren**: Nur die grundlegenden Netzwerkdienste (DHCP, Bonjour, IPSec) können Verbindungen empfangen. - **Tarnmodus**: Der Mac antwortet nicht auf Ping-Anfragen und Verbindungen zu geschlossenen Ports. - **Integrierte Software erlauben** und **Heruntergeladenen signierten Apps erlauben**, Verbindungen zu empfangen, ohne den Benutzer zu fragen (macOS 12.3 oder neuer). - **Regeln für bestimmte Apps**: Erlauben oder blockieren Sie die eingehenden Verbindungen einer App anhand der Bundle-ID. ## Gatekeeper Gatekeeper prüft die Apps, bevor sie geöffnet werden. Wählen Sie aus, ob die Macs nur Apps aus dem App Store oder auch Apps identifizierter Entwickler öffnen. Bei deaktiviertem Gatekeeper kann jede App geöffnet werden, auch nicht signierte oder beschädigte. Unter macOS 15 oder neuer können Sie außerdem auswählen, ob Benutzer aufgefordert werden, blockierte Malware an Apple zu senden. ## Bildschirmschoner und Sperre Starten Sie den Bildschirmschoner nach einer gewissen Inaktivitätszeit, und fordern Sie das Passwort an, wenn der Bildschirmschoner startet oder das Display in den Ruhezustand wechselt, sofort oder nach einer Verzögerung. Eine Einstellung, die auf **Nicht verwaltet** belassen wird, bleibt die Wahl des Benutzers. ## Externer und Netzwerkspeicher Erlauben, schreibgeschützt machen oder blockieren Sie den externen Speicher (USB-Laufwerke, SD-Karten, externe Festplatten) und den Netzwerkspeicher (Dateifreigaben) der Macs. Erfordert macOS 15 oder neuer. ## Bildschirmfreigabe Einschränkungen für Personen, die sich mit der Bildschirmfreigabe mit diesen Macs verbinden: Kopieren von Dateien vom oder auf den Mac, Hochleistungsverbindungen und die Anzahl virtueller Displays. Das Aktivieren der Bildschirmfreigabe bleibt die Wahl des Benutzers. Erfordert macOS 14 oder neuer. ## Datenschutzberechtigungen Gewähren oder verweigern Sie Apps den Zugriff, den Benutzer andernfalls in den Systemeinstellungen > Datenschutz & Sicherheit erlauben würden, zum Beispiel Vollständiger Festplattenzugriff für eine Backup-App, oder verweigern Sie einer App den Zugriff auf die Kamera. Wählen Sie für jede Berechtigung: - **Berechtigung**: Vollständiger Festplattenzugriff, Bedienungshilfen, Automatisierung, die Ordner, Kontakte, Kalender, Fotos, Kamera, Mikrofon, Bildschirmaufnahme und die übrigen unter Datenschutz & Sicherheit. - **Zugriff**: Erlauben oder verweigern. Kamera, Mikrofon, Bildschirmaufnahme und Eingabeüberwachung können durch ein Profil nicht erlaubt, sondern nur verweigert werden; bei Bildschirmaufnahme und Eingabeüberwachung können Sie Benutzern erlauben, sie auch ohne Administratorrechte zu erlauben. - **App**: die Bundle-ID einer App oder der Pfad eines Programms (zum Beispiel eines Befehlszeilentools). - **Codeanforderung**: identifiziert die App anhand ihrer Signatur. Rufen Sie sie im Terminal mit `codesign -dr - /Applications/Example.app` ab und kopieren Sie den Text hinter `designated =>`. - **Automatisierung** erfordert außerdem die gesteuerte App (zum Beispiel den Finder) und ihre Codeanforderung. ## Anmeldeobjekte und Hintergrundobjekte Die Anmeldeobjekte und Hintergrundobjekte, die den Regeln entsprechen, werden verwaltet: Sie werden ohne Nachfrage ausgeführt, und Benutzer können sie nicht in den Systemeinstellungen > Allgemein > Anmeldeobjekte deaktivieren. Eine Regel entspricht der Entwicklerteam-ID einer App, ihrer Bundle-ID oder der Bezeichnung eines Launch-Daemons oder -Agents (auch anhand ihres ersten Teils). Erfordert macOS 13 oder neuer. ## Systemerweiterungen Systemerweiterungen sind die moderne Möglichkeit für Apps, macOS zu erweitern: Netzwerkfilter und VPNs, Endpoint-Security-Agenten und -Treiber. Ist diese Einstellung aktiviert, werden die Systemerweiterungen der aufgeführten Entwicklerteams ohne Nachfrage beim Benutzer geladen. Erfordert macOS 10.15 oder neuer und eine vom Benutzer genehmigte MDM. - **Team-ID**: die 10-stellige Team-ID des Entwicklers (zum Beispiel in den Details „Signiert von“ der App oder mit `codesign -dv`). Jedes Team kann nur einmal vorkommen. - **Erlauben**: jede Erweiterung des Teams oder nur die Erweiterungen mit den aufgeführten Bundle-IDs. - **Typen**: beschränkt das Team auf Treiber-, Netzwerk- oder Endpoint-Security-Erweiterungen. Ist keiner ausgewählt, sind alle Typen erlaubt. - **Entfernung** (nur für aufgeführte Erweiterungen): Die App kann ihre Erweiterung ohne Administrator entfernen (macOS 12 und neuer), die Erweiterung kann bei aktivem Systemintegritätsschutz nicht deaktiviert oder entfernt werden, oder sie kann nicht in den Systemeinstellungen und im Finder entfernt werden (macOS 15 und neuer). Macs mit einem älteren macOS erlauben die Erweiterung weiterhin, jedoch ohne die Entfernungsoption. - **Benutzer können andere Systemerweiterungen genehmigen**: standardmäßig aktiviert. Wenn deaktiviert, können nur die von einem Profil erlaubten Erweiterungen geladen werden; wenn ein Profil auf dem Mac die Option deaktiviert, ist sie deaktiviert.Unter macOS 11.3 und neuer deaktiviert das Entfernen dieser Einstellung die Systemerweiterungen, die sie erlaubt hat, zum Beispiel einen Sicherheitsagenten oder einen Netzwerkfilter. Dies geschieht, wenn die Einstellung deaktiviert wird, wenn die Richtlinie gelöscht wird und wenn der Mac zu einer Richtlinie ohne sie wechselt. Der Editor fordert vor dem Deaktivieren der Einstellung eine Bestätigung an.
## Kernel-Erweiterungen (Legacy) Kernel-Erweiterungen sind die ältere, veraltete Möglichkeit, macOS zu erweitern: Bevorzugen Sie Systemerweiterungen, wenn der Anbieter sie anbietet. Die Kernel-Erweiterungen der aufgeführten Teams (jede Erweiterung eines Teams oder nur die aufgeführten Bundle-IDs) werden nach einem Neustart ohne Nachfrage beim Benutzer geladen. Erfordert macOS 10.13.2 oder neuer und eine vom Benutzer genehmigte MDM. - **Benutzer können andere Kernel-Erweiterungen genehmigen**: standardmäßig deaktiviert, sodass nur die aufgeführten Teams Kernel-Erweiterungen laden können. - **Standardbenutzer können sie ebenfalls genehmigen**: Bei aktivierten Benutzergenehmigungen können Benutzer ohne Administratorrechte sie ebenfalls genehmigen (macOS 11 und neuer).Auf Macs mit Apple silicon reicht ein Profil allein nicht aus: Jemand muss den Mac in recoveryOS starten, im Startup-Sicherheitsdienstprogramm „Reduzierte Sicherheit“ auswählen und die Benutzerverwaltung von Kernel-Erweiterungen identifizierter Entwickler erlauben. Der Mac benötigt möglicherweise außerdem ein in Cerberus Enterprise hinterlegtes Bootstrap Token, um sie zu genehmigen (siehe das Feld „Bootstrap Token“ auf der Geräteseite).
## Mac-Dateien Die Dienstkonfigurationsdateien und die Hintergrundaufgaben verwenden Dateien, die Sie in die **Mac-Dateien** Ihrer Organisation hochladen: ZIP-Archive und Eigenschaftslisten (.plist) bis zu 20 MB. Laden Sie sie hoch, prüfen Sie, wo sie verwendet werden, oder löschen Sie sie über die Schaltfläche **Mac-Dateien** des macOS-Abschnitts oder über **Datei auswählen** in einer Einstellung. Eine von einer Richtlinie verwendete Datei kann nicht gelöscht werden. Um eine Datei zu ändern, laden Sie die neue Version hoch und wählen Sie sie in der Richtlinie aus: Die Macs laden sie erneut herunter. ## Dienstkonfigurationsdateien Installiert die Konfigurationsdateien eines Systemdienstes aus einem ZIP-Archiv. Die integrierten Dienste sind der SSH-Server (sshd), sudo, PAM, Drucken (CUPS), der Apache-Webserver, bash, zsh, Smartcard-Anmeldung und Autorisierung. Sie können auch einen eigenen Dienst mit einer Reverse-DNS-Kennung wie `com.example.service` verwenden: Er findet die Dateien über die Bibliothek der verwalteten Konfigurationsdateien von macOS. Jeder Dienst kann eine Einstellung haben. Erfordert macOS 14 oder neuer.Ein integrierter Dienst verwendet nur die Dateien des Archivs und ignoriert seine eigenen Dateien, zum Beispiel /etc/ssh für sshd: Legen Sie die gesamte Konfiguration im Archiv in Ordnern ab, die vom Stammverzeichnis der Festplatte ausgehen (zum Beispiel `etc/ssh/sshd_config`). Die Dateien sind auf dem Mac schreibgeschützt und werden mit der Einstellung entfernt. Testen Sie das Archiv zuerst auf einem Mac: Eine falsche sudo- oder PAM-Konfiguration kann Benutzer daran hindern, sich anzumelden oder Administratorrechte zu verwenden.
## Hintergrundaufgaben Programme und Skripte, die im Hintergrund ausgeführt und von launchd gestartet werden. Benutzer können sie nicht deaktivieren, und sie werden mit der Einstellung entfernt. Erfordert macOS 15 oder neuer. Wählen Sie für jede Aufgabe: - **Aufgabenkennung**: eine Reverse-DNS-Kennung wie `com.example.task`, die für jede Aufgabe unterschiedlich ist. - **Programme und Skripte** (optional): ein ZIP-Archiv, das der Mac in `/var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/` gefolgt von der Aufgabenkennung entpackt. Behalten Sie die Ausführungsberechtigung der Dateien bei und legen Sie keine Eigenschaftslisten darin ab. - **launchd-Eigenschaftslisten**: die Jobs, die die Programme starten, geladen als Daemon (für das gesamte System als root) oder als Agent (in jeder Benutzersitzung). Verweisen Sie auf die Programme mit ihrem Pfad im obigen Ordner. Eine Aufgabe benötigt die Programme oder mindestens eine Eigenschaftsliste. Wenn sich die Dateien ändern, starten die Macs die Aufgabe neu. # Standort und Geofences Der Abschnitt **Standort und Geofences** des Apple-Richtlinieneditors definiert Bereiche, zum Beispiel einen Standort oder ein Lager. iPhones und iPads mit der Cerberus Enterprise-App melden, wenn sie einen dieser Bereiche betreten oder verlassen, und Ereignisregeln können darauf reagieren: eine E-Mail senden, das Gerät sperren oder deaktivieren oder es wieder aktivieren. Macs verwenden keine Geofences. ## Geofence-Felder Verwenden Sie **Geofence hinzufügen**, um einen neuen Eintrag zu erstellen. Eine Richtlinie kann bis zu **10 Geofences** enthalten, und ihre Namen müssen innerhalb der Richtlinie eindeutig sein. Jeder Geofence enthält diese Felder: - **Name**: erforderlich und eindeutig. - **Breitengrad** und **Längengrad**: der Mittelpunkt des Bereichs. Sie können ihn auch durch Klicken auf die Karte festlegen. - **Radius (m)**: erforderlich, von **200** bis **10000** Metern. - **Beschreibung**: optionale Hinweise für Administratoren. - **Betreten melden** und **Verlassen melden**: Wählen Sie aus, welche Ereignisse erzeugt werden. Mindestens eine Option muss aktiviert bleiben. - **Aktiv**: aktiviert oder deaktiviert den Geofence, ohne ihn zu löschen. Jeder Geofence hat eine Kartenvorschau. Mittelpunkt und Radius eines gespeicherten Geofence sind gesperrt: Verwenden Sie die Sperrschaltfläche auf der Karte, um sie zu ändern. Die anderen Schaltflächen zentrieren die Karte auf den Bereich oder auf Ihren aktuellen Standort. Wenn Sie die Richtlinie speichern, fordert Cerberus Enterprise die iPhones und iPads der Richtlinie auf, die neuen Geofences abzurufen. Dies dauert normalerweise einige Minuten, aber iOS kann es verzögern, zum Beispiel im Energiesparmodus oder ohne Netzwerkverbindung. Die Geräteseite zeigt an, wenn die App die neuesten Geofences noch nicht angewendet hat. ## Voraussetzungen Geofences funktionieren auf iPhones und iPads mit der Cerberus Enterprise App. Macs ignorieren sie. Auf dem Gerät: - die Cerberus Enterprise App ist installiert (Cerberus installiert sie) und der Benutzer hat sie mindestens einmal geöffnet; - der Standortzugriff für die App ist auf **Immer** gesetzt; - **Präziser Standort** ist für die App aktiviert; - **Hintergrundaktualisierung** ist aktiviert.**Standort und Geofences auf persönlichen Geräten**, oben im Abschnitt, ist standardmäßig deaktiviert. Solange es deaktiviert ist, erfasst Cerberus den Standort persönlicher Geräte (User Enrollment) nicht, ihre Geofence-Ereignisse werden nicht erzeugt, und ihre Geräteseite bietet weder „Standort ermitteln“ noch Live-Tracking an. Wenn Sie es aktivieren, teilen persönliche Geräte der Richtlinie ihren Standort und ihre Geofence-Ereignisse wie Firmengeräte, jedoch nur, wenn der Benutzer den Standort für die Cerberus Enterprise App erlaubt; die App erklärt dies dem Benutzer, bevor iOS fragt. Ihre Organisation ist dafür verantwortlich, Benutzer zu informieren und lokale Vorschriften zum Mitarbeiterstandort einzuhalten. Der Modus „Verloren“ und die MDM-Standortanfrage sind auf persönlichen Geräten nie verfügbar (Apple erlaubt sie nicht).
Im **Energiesparmodus** funktionieren Geofences weiterhin, aber iOS meldet das Verlassen eines Bereichs später und mit einem weniger präzisen Standort und kann das Abrufen neuer Geofences nach einer Richtlinienänderung um Stunden verzögern, bis die App erneut ausgeführt wird (zum Beispiel beim nächsten Übertritt oder wenn der Benutzer sie öffnet). ## Wie Ereignisse eintreffen iOS überwacht die Bereiche für die App und weckt sie, wenn das Gerät eine Grenze überschreitet, auch wenn die App nicht geöffnet ist. Ereignisse können einige Minuten nach dem Übertritt eintreffen, und ein kleiner Bereich oder ein kurzer Besuch kann verpasst werden: iOS benötigt eine gewisse Strecke, die das Gerät über die Grenze hinaus zurücklegt, und einen längeren Aufenthalt dort. Wenn die App nicht ausgeführt werden kann, zum Beispiel nach einem Neustart, bevor das Gerät entsperrt ist, erkennt auch der Server den Übertritt später anhand der von der App gesendeten Standorte. Jeder Übertritt löst die Ereignisregeln einmal aus, unabhängig davon, ob die App oder der Server ihn erkennt. Wenn die App den Server mehrere Stunden lang nicht kontaktiert hat, bittet der Server iOS, sie zu wecken, damit sie ihre Geofences erneut prüfen kann. iOS garantiert diese Anforderungen nicht. ## Geräteseite Auf der Geräteseite zeigt die Registerkarte **Geofence** des Bedienfelds **Standortkarte** die Übertritte des Geräts an. Wenn die Richtlinie aktive Geofences enthält, teilt eine Statuszeile mit, ob die Geofence-Funktion auf dem Gerät funktioniert oder warum nicht: Die App hat den Server nicht kontaktiert oder muss aktualisiert werden, der Standortzugriff ist nicht auf **Immer** gesetzt, **Präziser Standort** oder **Hintergrundaktualisierung** ist deaktiviert, der **Energiesparmodus** war aktiviert, als die App ihre Einstellungen zuletzt gemeldet hat, oder die App hat die neuesten Geofences noch nicht angewendet.Geofence-Übergänge und Standorte werden **90 Tage** lang aufbewahrt, ältere Daten werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass das Gerät auf den Karten bleibt.
## Einschränkungen - Das Kopieren einer Richtlinie kopiert ihre Geofences nicht: Fügen Sie sie in der Kopie erneut hinzu. - Geofence-Ereignisse auf iPhones und iPads sind nach bestem Bemühen: iOS entscheidet, wann die App ausgeführt werden kann.Um auf Geofence-Ereignisse zu reagieren, erstellen Sie eine Ereignisregel für **Gerät betritt einen Geofence** oder **Gerät verlässt einen Geofence**. Siehe [**Ereignisregeln**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/ereignisregeln "Event rules").
# Konten Der Abschnitt **Konten** des Apple-Richtlinieneditors fügt E-Mail-, Exchange-, Google-, Kalender-, Kontakte- und Verzeichniskonten zu iPhone, iPad und Mac hinzu. Klicken Sie auf **Konto hinzufügen** und wählen Sie den Typ. Der Abschnitt enthält außerdem die Einschränkung **Kontenänderung erlauben** (überwachte Geräte).Auf einem Mac (macOS 13 oder höher) werden die Konten in der Sitzung der für die Verwaltung registrierten Benutzer installiert – in der Regel der Benutzer, der den Mac registriert hat –, wenn diese angemeldet sind. Die Geräteseite listet diese Benutzer unter **Mac-Benutzer** mit dem Status ihrer Konten auf. Konten, die die E-Mail-Adresse vom Gerätebenutzer übernehmen, verwenden den in Cerberus Enterprise dem Mac zugewiesenen Benutzer.
## Allgemeine Einstellungen - **Name und E-Mail des Gerätebenutzers** (E-Mail, Exchange, Google): Jedes Gerät verwendet den Namen und die E-Mail-Adresse seines Benutzers, die auf der Seite Benutzer festgelegt wurden (bei Google das Google-Konto des Benutzers). Geräte ohne Benutzer oder deren Benutzer keine E-Mail-Adresse hat, erhalten das Konto nicht. Legen Sie andernfalls eine feste E-Mail-Adresse und einen vollständigen Namen fest. - **Kontoname** (optional): der Name des Kontos in den Einstellungen und in den Apps. - **Benutzername** und **Passwort** (optional): Der Benutzername kann die Variablen $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ und $UDID$ enthalten. Lassen Sie das Passwort leer, damit der Benutzer es auf dem Gerät eingibt, oder lassen Sie beide leer, damit der Benutzer sie eingibt. - **Gilt für**: Beschränken Sie das Konto auf bestimmte Gerätetypen. ## Kontotypen - **E-Mail-Konto**: IMAP- oder POP-Eingangsserver und Ausgangsserver mit ihren Ports und ihrer Authentifizierung. Der Ausgangsserver kann denselben Benutzernamen und dasselbe Passwort wie der Eingangsserver verwenden. - **Exchange-Konto** (Exchange ActiveSync): der Server oder leer, um ihn aus der E-Mail-Adresse zu ermitteln. Wählen Sie die Dienste (E-Mail, Kontakte, Kalender, Erinnerungen, Notizen) und ob der Benutzer sie ändern kann. Mit **Moderner Authentifizierung (OAuth)** meldet sich der Benutzer über die Seite Ihres Identitätsanbieters an, beispielsweise Microsoft 365. Ein **Authentifizierungszertifikat** (iOS 17 oder höher) authentifiziert das Gerät mit einem Zertifikat. - **Google-Konto**: Der Benutzer meldet sich mit der angegebenen E-Mail-Adresse beim Google-Konto an. - **Kalenderkonto (CalDAV)** und **Kontakte-Konto (CardDAV)**: Server, Port und Pfad. - **Verzeichnis (LDAP)**: Server und Port sowie die Suchvorgänge (Suchbasis, Bereich und Beschreibung), die zum Nachschlagen von Kontakten verwendet werden. - **Abonnierter Kalender**: die URL des Kalenders (https, http oder webcal). ## S/MIME E-Mail- und Exchange-Konten können Nachrichten mit S/MIME signieren und verschlüsseln (iOS 17 oder höher). Wählen Sie für jedes Konto das Zertifikat: eines von der Seite Zertifikate, das Zertifikat des Gerätebenutzers oder eines, das von einem SCEP-Server angefordert wird. Sie können dem Benutzer erlauben, es zu deaktivieren, ein anderes Zertifikat zu wählen und für die Verschlüsselung einen Schalter für jede Nachricht anzuzeigen. ## Sicherheit Passwörter und Zertifikate sind nicht Teil der an die Geräte gesendeten Einstellungen: Jedes Gerät lädt seine eigenen Anmeldedaten von Cerberus Enterprise herunter und signiert die Anfrage mit seinem Verwaltungszertifikat. Sie werden nicht in den Protokollen gespeichert. # Compliance-Regeln Der Abschnitt **Compliance-Regeln** des Apple-Richtlinieneditors legt Anforderungen für die Geräte der Richtlinie fest. Ein Gerät, das eine Regel verletzt, ist sofort nicht konform: Die Geräteseite zeigt unter **Warum das Gerät nicht konform ist** den Grund an, und die Geräteliste zeigt es als nicht konform an. Ein Gerät ist auch dann nicht konform, wenn eine Einstellung der Richtlinie darauf nicht angewendet werden kann. ## Regeln - **Code**: Das Gerät hat einen Code und erfüllt die Codeeinstellungen der Richtlinie. - **Minimale Betriebssystemversion**: für iPhone und iPad oder für Mac. Um die Geräte zu aktualisieren, fügen Sie ein erforderliches Update in Softwareupdates hinzu. - **Überwachtes Gerät**: Geräte, die mit dem Registrierungsprofil oder mit User Enrollment registriert wurden, sind nicht überwacht. - **FileVault aktiviert (Mac)**: Die Festplatte des Macs ist mit FileVault verschlüsselt. Andere Geräte sind nicht betroffen. Eine Regel wird geprüft, wenn das Gerät seinen Status sendet, wenn die Richtlinie gespeichert wird und jede Stunde. Ein Gerät, dessen Status unbekannt ist (zum Beispiel ein Mac, der FileVault noch nicht gemeldet hat), verletzt die Regel nicht. ## Sperren des Geräts Aktivieren Sie **Das Gerät sperren, wenn es weiterhin nicht konform ist** und legen Sie fest, nach wie vielen Tagen (0 sperrt sofort). Überwachte iPhones und iPads wechseln mit der von Ihnen festgelegten Nachricht in den Modus „Verloren“. Die anderen Geräte werden einmal gesperrt; ein Mac startet neu und fragt nach einer PIN, die in den Details des Befehls im Befehlsverlauf angezeigt wird. - **Entsperren**: Wenn das Gerät wieder konform ist, wird der Modus „Verloren“ automatisch deaktiviert. - **Modus „Verloren“ selbst deaktivieren**: Das Gerät wird nicht erneut gesperrt, bis es wieder konform wird und erneut eine Regel verletzt. Verwenden Sie dies, damit der Benutzer das Gerät reparieren kann.Um benachrichtigt zu werden oder auf andere Weise zu reagieren, erstellen Sie eine Ereignisregel für **Gerät wird nicht konform**: Sie erhält auch die Begründungen.
# Gerätestatus # Geräteübersicht Öffnen Sie ein Gerät über **Dashboard** → **Geräte**, indem Sie auf die Gerätezeile klicken. Der Seitentitel zeigt das **Modell** (sofern verfügbar) und die interne **Id** des Geräts. ## Historische Daten im Vergleich zur aktuellen Registrierung Wenn ein Gerät mehrere Registrierungen hat, kann Cerberus Enterprise einen schreibgeschützten historischen Datensatz anzeigen. In diesem Fall zeigt die Seite ein Banner **Historische Daten** und eine Schaltfläche zum Zurückkehren zu den aktuellen Registrierungsdaten an. ## Oberste Felder Der obere Bereich fasst die Geräteidentität, die Zuweisung und den Verwaltungsstatus zusammen. Einige Felder sind plattformspezifisch und erscheinen nur bei Android- oder Apple-Geräten. - **Id** und **Modell**: schreibgeschützte Kennungen. - **Benutzer**: zeigt den aktuell zugewiesenen Benutzer (sofern vorhanden). Über das Benutzermenü können Sie **Benutzer öffnen** oder **Benutzer ändern** oder einen Benutzer zuweisen, wenn keiner festgelegt ist. - **Verwaltungsmodus** und **Eigentum**: werden in der Benutzeroberfläche mit Tooltips angezeigt. - **Status**: aktueller Gerätestatus (mit Symbol und Details im Tooltip). Ein Gerät im Verloren-Modus zeigt **Verloren** sowohl auf Android als auch auf Apple, und ein Banner oben auf der Seite erklärt, was als Nächstes zu tun ist. - **ADE-Profil** (nur Apple): zeigt das zugewiesene Automated Device Enrollment-Profil (sofern vorhanden) und ermöglicht das Öffnen oder Ändern. - **Richtlinie**: zeigt die zugewiesene Richtlinie und ermöglicht das Öffnen oder Ändern oder das Zuweisen einer Richtlinie, wenn keine festgelegt ist. - **Compliance-Status der Richtlinie** (wenn eine Richtlinie zugewiesen ist): gibt an, ob das Gerät compliant ist. - **Richtlinienversion** (wenn eine Richtlinie zugewiesen ist): gibt an, ob auf dem Gerät die neueste Richtlinienversion angewendet wurde. - **Cerberus Enterprise-App** (nur iPhone und iPad): der Status der Cerberus Enterprise-App, die Cerberus auf dem Gerät installiert. **Nicht verfügbar** (iOS oder iPadOS älter als 18.4, keine Seriennummer auf einem Firmengerät oder kein Managed Apple Account auf einem privaten Gerät); **Auf privaten Geräten noch nicht verfügbar**; **Warten auf Geräteinformationen**; **Warten auf die Benutzerlizenz des Managed Apple Account** (private Geräte, während Apple die Lizenz bestätigt); **Nicht installiert** (die App ist nicht in Ihrer Apple Business-Mediathek oder Apps and Books ist nicht eingerichtet, mit einem Link zu **Kontoeinstellungen**); **Installiert · Apps and Books erfordert Aufmerksamkeit** (das Token ist abgelaufen oder die App hat Ihre Mediathek verlassen: die App bleibt installiert); **Konfiguration nicht verfügbar**; **Wird installiert…** (wenn das Gerät 30 Minuten lang keinen Statusbericht sendet, empfiehlt der Tooltip zu prüfen, ob es online ist, und es neu zu starten, was die Installation normalerweise erneut startet); **Warten auf die Genehmigung durch den Benutzer**; **Der Benutzer hat abgelehnt** und **Installation fehlgeschlagen** (beide mit **Erneut versuchen**, das das Gerät erneut auffordert); **Installiert · warten auf den Start der App** (die App wurde noch nicht geöffnet); **Installiert · Konfiguration nicht akzeptiert**; und, sobald die App registriert ist, ihre Version, ihr letzter Kontakt und ob Benachrichtigungen aktiviert sind. - **Registriert am** und **Letzter Statusbericht**: Zeitstempel für die Registrierung und den zuletzt gemeldeten Status. - **Registrierung aufgehoben am**: wird angezeigt, wenn die Registrierung des Geräts aufgehoben wurde.Einige Daten und Bereiche sind nur verfügbar, wenn die entsprechende Kategorie in der Geräterichtlinie aktiviert ist. Weitere Informationen finden Sie auf den Seiten [**Statusberichte**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/statusberichte "Status reporting") und [**Standort und Geofences**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standort-und-geofences "Location and geofences").
## Panels Die Geräteseite ist in ausklappbare Bereiche gegliedert. Je nach Plattform und Status sehen Sie möglicherweise einen oder mehrere der folgenden Bereiche: - **Standortkarte**: ein Panel mit Registerkarten mit der **Standort**-Historie für das aktuelle Gerät und, auf Android-Geräten, iPhones und iPads, einer Registerkarte **Geofence** für Geofence-Übergänge. - **SIM-Verwaltung**: Geräte-EID sowie installierte SIMs und eSIMs. Auf Android außerdem die eSIM-Befehle und deren Verlauf; auf unternehmenseigenen iPhones und iPads mit Mobilfunk außerdem Datenroaming, Persönlicher Hotspot und **Mobilfunktarife aktualisieren**. Siehe die spezielle Seite [**SIM-Verwaltung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/sim-verwaltung "SIMs management"). - **Befehle**: Senden Sie Befehle an das Gerät und rufen Sie den Befehlsverlauf auf (plattformspezifisch). - **Sicherheitszustand**: der Sicherheitszustand des Geräts und seine Risiken. Auf Android auch das Play Integrity-Urteil. Bis das Gerät dies meldet, steht **Nicht angegeben** oder **Noch nicht gemeldet** auf einem Android-Gerät, das noch keine Sicherheitsdaten gesendet hat. - **Warum das Gerät nicht konform ist**: wird nur angezeigt, wenn das Gerät nicht konform ist, mit einem roten Warnsymbol; öffnen Sie den Bereich, um die Gründe zu sehen. Auf Android werden die Richtlinieneinstellungen aufgeführt, die nicht eingehalten werden; auf Apple wird außerdem angegeben, ob eine Compliance-Regel das Gerät blockiert hat. - **Gerätestatus** (nur Apple): vom Gerät gemeldete Betriebssystemversion, Fortschritt der Softwareaktualisierung, Sperrcode, FileVault, Batterie und Konten sowie die dafür verfügbaren Betriebssystemupdates. Siehe die Seite [**Befehle**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/befehle "Commands"). - **Anwendungen** (Android): installierte Apps und ihre Rückmeldungen und Fehlerberichte. - **Anwendungen** (nur Apple): die von der Richtlinie installierten Apps, die mit Befehlen installierten Apps und die vom Benutzer installierten Apps, mit ihrem Installationsstatus, Fehlern und Aktionen (Wiederholen, Entfernen). Auf Macs werden außerdem die von der Richtlinie installierten Pakete mit ihrem Status und **Erneut installieren** aufgelistet; als verwaltete Apps installierte Pakete haben ein **Verwaltet**-Chip, und ein Hinweis erläutert, wann ein Paket unverwaltet installiert wurde und warum oder wann seine App eine Stunde nach dem Download nicht gefunden wurde. Auf iPhones und iPads hat die App Cerberus Enterprise das Chip **Von Cerberus installiert**; sie wird nicht unter dem Filter **Richtlinie** aufgeführt. Eine App, deren verwaltete Konfiguration das Gerät nicht akzeptiert hat, hat das Chip **Konfiguration nicht akzeptiert**. Auf privaten iPhones und iPads (Benutzerregistrierung) zeigt eine Zeile das Verwaltete Apple Account, dessen Benutzerlizenzen die App Store-Apps verwenden; Apps, die auf ihre Lizenz warten, zeigen **Warten auf Benutzerlizenz** oder **Benutzerlizenz fehlgeschlagen**, eine App, deren Installationsaufforderung der Benutzer abgebrochen hat, zeigt **Warten auf Genehmigung der Installation durch den Benutzer**, und **Erneut anfordern** fordert die Lizenz erneut bei Apple an oder zeigt die Aufforderung erneut an. Siehe die Seite [**Befehle**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/befehle "Commands"). - **Profile, Zertifikate und Sicherheit** (nur Apple): vom Gerät gemeldete Konfigurationsprofile, Zertifikate und Sicherheitsstatus. - **Inventaränderungen** (nur Apple): eine Zeitleiste der auf dem Gerät installierten, entfernten oder aktualisierten Apps, Profile und Zertifikate, durchsuchbar und nach Art und Änderung filterbar. Siehe die Seite [**Befehle**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/befehle "Commands"). - **Shared iPad-Benutzer** und **Mac-Benutzer** (nur Apple): die Benutzer eines Shared iPad und die Benutzer eines Mac. Siehe die Seite [**Befehle**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/befehle "Commands"). - **Statusberichte**: zusätzliche vom Gerät gemeldete Daten, dargestellt als Baum aus Kategorien und Werten. - **Registrierungsverlauf**: frühere Registrierungen für dasselbe physische Gerät, dargestellt als Liste. ## Registerkarten des Standortbereichs Der Bereich **Standortkarte** verwendet Registerkarten, um den Standortverlauf und Geofence-Übergänge getrennt zu halten. - **Standort**: zeigt Verlaufsfilter, eine Datumsbereichssuche, Standortmarkierungen, den Genauigkeitskreis und Steuerelemente für das Live-Tracking des aktuellen Geräts. - **Geofence** (Android, iPhone und iPad): zeigt den Verlauf der Geofence-Übergänge auf einer eigenen Karte, mit Zeitraumfiltern, einem optionalen Schalter für archivierte Geofences und einer seitlichen Liste der Übergänge. Auf iPhones und iPads informiert zudem eine Statuszeile, wenn Geofencing auf dem Gerät nicht funktionieren kann. Das vollständige Verhalten dieser Registerkarten finden Sie unter [**Standortkarte**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standortkarte "Location map"). ## Aktionen Unten auf der Seite können Sie Daten aktualisieren und je nach Plattform, Gerätestatus und Lizenzstatus Aktionen ausführen. - **Daten aktualisieren**: lädt den Gerätedatensatz neu. - **Gerät deaktivieren** / **Gerät aktivieren** (nur Android): in unterstützten Zuständen verfügbar. - **Geräteregistrierung aufheben**: entfernt die Verwaltung vom Gerät. Das genaue Verhalten hängt von Plattform und Eigentum ab (zum Beispiel kann Android ein Arbeitsprofil löschen oder auf die Werkseinstellungen zurücksetzen). - **Gerät löschen**: verfügbar, wenn die Registrierung des Geräts bereits aufgehoben wurde und sein Datensatz entfernt werden kann. # Standortkarte Diese Seite dokumentiert die gerätespezifischen Standortwerkzeuge, die in [**Geräteübersicht**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/gerateubersicht "Device overview") verfügbar sind. Der Bereich enthält einen Tab **Standort** für den Positionsverlauf und auf Android-Geräten, iPhones und iPads einen Tab **Geofence** für Geofence-Übergänge. ## Voraussetzungen Auf Android werden Gerätestandortdaten nur angezeigt, wenn die Standortmeldung in der Geräterichtlinie aktiviert ist. Um sie zu aktivieren, öffnen Sie die Richtlinie und schalten Sie **Standort und Geofences** → **Standort melden** ein. Weitere Informationen finden Sie unter [**Standort und Geofences**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standort-und-geofences "Location and geofences"). Auf iPhones und iPads stammt der Standort von der Cerberus Enterprise-App, sobald der Benutzer ihn zulässt, oder vom Befehl **Gerät orten**, während sich das Gerät im Verloren-Modus befindet. Macs und andere Apple-Geräte melden ihren Standort nicht.Bei Geräten, die nicht vollständig verwaltet werden, können Standortdaten weiterhin davon abhängen, dass die Cerberus Enterprise App über die erforderlichen Standortberechtigungen verfügt und die Standortdienste auf dem Gerät aktiviert sind.
Auf persönlichen Geräten (User Enrollment) sind Standort und Geofences nur verfügbar, wenn in der Apple-Richtlinie **Standort und Geofences auf persönlichen Geräten** aktiviert ist und der Benutzer den Standort für die Cerberus Enterprise App erlaubt. Andernfalls zeigt die Geräteseite ihres Geräts die Standortaktionen oder die Live-Verfolgung nicht an. Der Verloren-Modus ist auf persönlichen Geräten nie verfügbar.
Die globale Karte für mehrere Geräte, die über das Dashboard verfügbar ist, finden Sie unter [**Standortkarte des Dashboards**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standortkarte-des-dashboards "Dashboard location map").
## Ladezustand und Zustand ohne Daten - Während die Standortdaten geladen werden, zeigt der Bereich eine Ladeüberlagerung auf der Karte an. - Wenn für das Gerät keine Standortdaten verfügbar sind, zeigt der Bereich die Meldung **Keine Standortdaten verfügbar** an. Auf Android wird ein Hinweis ergänzt, die Standortmeldung in der zugewiesenen Richtlinie zu aktivieren, wenn sie deaktiviert ist. Auf Apple wird angegeben, woher der Standort stammt oder dass dieser Gerätetyp ihn nicht meldet. - Wenn ein Datumsfilter aktiv ist und keine Beispiele dazu passen, zeigt der Bereich **Im ausgewählten Datumsbereich sind keine Daten verfügbar**. ## Standort-Tab Öffnen Sie den Tab **Standort**, um den Verlauf für ein einzelnes Gerät zu prüfen. Zu den verfügbaren Filtern gehören der letzte bekannte Standort, aktuelle Verlaufszeiträume, ein benutzerdefinierter Datumsbereich und die Live-Verfolgung. - **Zuletzt**: zeigt den letzten bekannten Standort. - **Heute**, **Letzte 7 Tage** und **Letzte 30 Tage**: zeigen aufgezeichnete Standorte für den ausgewählten Zeitraum. - **Suchen**: ermöglicht die Auswahl eines benutzerdefinierten Datumsbereichs. - **Live**: startet oder beendet die Live-Verfolgung für das aktuelle Gerät.Standorte werden **90 Tage** lang aufbewahrt: Ältere werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass das Gerät auch dann auf den Karten bleibt, wenn es sich lange nicht gemeldet hat. Bei entfernten Geräten und früheren Registrierungen werden alle Standorte gelöscht, die älter als 90 Tage sind. Deshalb kann der Datumsbereich von **Suchen** nicht mehr als 90 Tage in der Vergangenheit beginnen.
## Markerdetails Wenn Sie auf einen Standortmarker klicken, wird ein Informationsfenster geöffnet mit: - Der Zeitstempel des Standortdatensatzes. - Die gemeldete **Genauigkeit** (in Metern). - Die gemeldete **Geschwindigkeit**, wenn das Gerät sie bereitstellt. - Die gemeldete **Richtung** bzw. der Kurswinkel, wenn das Gerät sie bereitstellt. ## Genauigkeitskreis Wenn das Informationsfenster geöffnet ist, wird um die Markierung ein Genauigkeitskreis angezeigt. Der Radius des Kreises entspricht der gemeldeten Genauigkeit (in Metern). Beim Schließen des Informationsfensters wird der Kreis ausgeblendet. ## Live-Tracking In der Geräteverlaufsansicht startet die Auswahl des Filters **Live** eine Echtzeit-Verfolgungsanfrage für genau dieses Gerät. Cerberus Enterprise fordert vor dem Start der Anfrage eine Bestätigung an. - Live-Tracking läuft bis zu **15 Minuten**. - Während Live-Tracking aktiv ist, zeigen Android-Geräte eine Benachrichtigung und iPhones und iPads den Standortindikator. - Während Live-Tracking aktiv ist, aktualisiert das Panel fortlaufend den neuesten Standort und der Live-Indikator bleibt sichtbar. - Wenn Sie den Filter Live erneut auswählen, können Sie das Live-Tracking vor Ablauf des Zeitlimits beenden. - Auf **iPhone und iPad** läuft das Live-Tracking über die App Cerberus Enterprise, wobei der Standortzugriff auf **Immer** gesetzt sein muss. Die Anfrage weckt die App normalerweise auch dann, wenn sie nicht geöffnet ist, und die App sendet anschließend für die gesamte Sitzung Standorte. iOS garantiert diese Anfragen nicht: Das System kann sie verzögern oder nicht zustellen, etwa im Energiesparmodus oder ohne Netzwerkverbindung. Wenn innerhalb von 2 Minuten kein Standort eintrifft, bricht das Dashboard die Anfrage ab: Bitten Sie den Benutzer, die App einmal zu öffnen, und versuchen Sie es dann erneut. ## Geofence-Tab Auf Android-Geräten, iPhones und iPads zeigt die zweite Registerkarte Geofence-Übergänge an, die aus den in der zugewiesenen Richtlinie definierten Geofences erzeugt wurden. - Die Karte zeigt die aktuellen Geofence-Bereiche zusammen mit den aufgezeichneten Übergangspunkten. - In der Übergangsliste rechts können Sie Ereignisse zum **Betreten** und **Verlassen** prüfen. - Verfügbar sind die Filter **Heute**, **Letzte 7 Tage**, **Letzte 30 Tage** und eine benutzerdefinierte Datumsbereichssuche. - **Archivierte einschließen** zeigt auch Übergänge zu alten Geofence-Definitionen an, die in der aktuellen Richtlinie nicht mehr vorhanden sind. - Geofence-Übergänge werden **90 Tage** lang aufbewahrt, ältere werden jede Nacht automatisch gelöscht. Daher kann die Suche mit benutzerdefiniertem Datumsbereich nicht mehr als 90 Tage in der Vergangenheit beginnen. Auf iPhones und iPads zeigt eine Statuszeile oben auf der Registerkarte, wenn die Richtlinie aktive Geofences enthält, ob Geofencing auf dem Gerät funktioniert. Sie informiert Sie, wenn es nicht funktionieren kann: Die App Cerberus Enterprise hat den Server nicht kontaktiert oder muss aktualisiert werden, der Standortzugriff ist nicht auf **Immer** gesetzt, **Präziser Standort** oder **Hintergrundaktualisierung** ist deaktiviert, der **Energiesparmodus** war aktiviert, als die App zuletzt ihre Einstellungen gemeldet hat (Geofence-Ereignisse und -Änderungen können sich dann um Stunden verzögern), oder die App hat die neuesten Geofences noch nicht übernommen. Wenn alles funktioniert, zeigt sie an, wie viele Geofences die App überwacht. ## Details zu Geofence-Übergängen Wenn Sie einen Übergang auswählen, werden seine Details auf der Karte geöffnet und der entsprechende Listeneintrag hervorgehoben. Sofern verfügbar, zeigt Cerberus Enterprise für diesen Übergang auch die Gerätekoordinaten und die gemeldete Genauigkeit an. # SIM-Verwaltung Die Geräteseite bietet einen Bereich **SIM-Verwaltung**. Auf Android-Geräten verwaltet er die auf dem Gerät installierten SIMs und eSIM-Profile, fügt eSIM-Profile hinzu oder entfernt sie und zeigt den Verlauf der an das Gerät gesendeten eSIM-Befehle. Auf unternehmenseigenen iPhones und Mobilfunk-iPads zeigt er die vom Gerät gemeldeten SIMs und eSIM-Tarife und ermöglicht dem Gerät, die vom Mobilfunkanbieter vorbereiteten eSIM-Tarife herunterzuladen: siehe **iPhone und iPad** unten.Vollständig verwaltete Geräte melden SIM-Informationen, wenn die Berichterstattung **Netzwerkinformationen** in der Geräterichtlinie aktiviert ist (diese Option ist von Cerberus Enterprise immer aktiviert). Siehe die Seite [**Statusberichterstattung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/statusberichte "Status reporting").
## Geräte-EID Die EID (eUICC Identifier) identifiziert die eSIM-Hardware des Geräts. Mobilfunkanbieter verwenden sie, um eSIM-Profile an das Gerät zu binden. Daher ist das Abrufen der EID in der Regel der erste Schritt eines eSIM-Bereitstellungsablaufs. - **Unternehmenseigene Geräte** (Android 13 und höher): Die EID wird automatisch mit dem Gerätestatus gemeldet, und es ist keine Interaktion durch den Benutzer erforderlich. - **Privat genutzte Geräte** (Android 13 und höher): Verwenden Sie die Schaltfläche **EID anfordern**. Der Benutzer erhält auf dem Gerät eine Benachrichtigung mit der Aufforderung, die EID freizugeben, und kann die Anfrage genehmigen oder ablehnen. Die EID wird nur angezeigt, wenn der Benutzer zustimmt. Solange die Anfrage aussteht, bleibt die Schaltfläche deaktiviert.Bevor eine EID-Anfrage gesendet wird, erscheint ein Bestätigungsdialog, da der Benutzer auf dem Gerät eine Benachrichtigung erhält.
## Installierte SIMs Die Tabelle **Installierte SIMs** listet die aktuell für das Gerät bekannten SIMs auf, einschließlich physischer SIMs und eSIM-Profile. Auf privat genutzten Geräten werden mit dem Befehl **eSIM hinzufügen** installierte eSIM-Profile auch dann angezeigt, wenn das Gerät keine SIM-Informationen meldet. - **Mobilfunkanbieter**: der mit der SIM verknüpfte Name des Mobilfunkanbieters (sofern gemeldet). - **Telefonnummer**: die mit der SIM verknüpfte Telefonnummer (sofern gemeldet). - **ICCID**: der Integrated Circuit Card Identifier der SIM. - **Aktivierungsstatus**: ob die eSIM aktiviert ist oder nicht. Wird nur für eSIMs auf Android 15 und höher gemeldet. - **Konfigurationsmodus**: ob die eSIM von einem Administrator oder vom Benutzer konfiguriert wurde. Wird nur für eSIMs auf Android 15 und höher gemeldet. - **SIM-Typ**: zeigt an, ob das Gerät den Eintrag als eSIM meldet.eSIMs mit einem laufenden oder ausgeführten (nicht fehlgeschlagenen) Entfernungsbefehl zeigen vorübergehend den Aktivierungsstatus **Wird entfernt** an. Der Eintrag verschwindet aus der Liste, wenn das Gerät die aktualisierte SIM-Liste meldet. Während eine Entfernung läuft, ist die Schaltfläche zum Entfernen nicht verfügbar, damit derselbe Befehl nicht zweimal gesendet wird.
### eSIM entfernen Verwenden Sie die Schaltfläche zum Entfernen neben einer installierten eSIM, um ihr Profil vom Gerät zu entfernen. Ein Bestätigungsdialog fordert Sie auf, die ICCID der zu entfernenden eSIM zu bestätigen, bevor der Befehl gesendet wird. Das Entfernen einer eSIM wird auf Android 15 und höher unterstützt. ## eSIM hinzufügen Der Abschnitt **eSIM hinzufügen** installiert ein neues eSIM-Profil auf dem Gerät (unterstützt auf Android 15 und höher). Er erfordert: - **Gültigkeit**: wie lange der Befehl gültig ist, wenn er nicht sofort ausgeführt werden kann. - **Aktivierungscode**: der vom Mobilfunkanbieter bereitgestellte Aktivierungscode für das eSIM-Profil. Sie können den vollständigen Code eingeben oder nur die SM-DP+-Adresse, damit das Gerät ein Profil findet, das der Mobilfunkanbieter bereits mit seiner EID verknüpft hat. - **Aktivierungsstatus**: ob das eSIM-Profil nach dem Herunterladen automatisch aktiviert oder unaktiviert gelassen werden soll, damit der Benutzer es manuell aktiviert. ## Befehlsverlauf Unterhalb des Abschnitts eSIM hinzufügen zeigt das Panel den Verlauf der an das Gerät gesendeten eSIM-Befehle: **eSIM hinzufügen**, **eSIM entfernen** und **EID anfordern**. Die Tabelle ist sortierbar und unterstützt die Seitenaufteilung. Einige Zeilen können erweitert werden, um die Befehlsparameter (zum Beispiel den Aktivierungscode oder die ICCID) und den Ausführungsstatus anzuzeigen, einschließlich der eSIM-Fehlerdetails, wenn ein Vorgang auf dem Gerät fehlschlägt. - **Erstellungsdatum** - **Befehl** - **Gültigkeit** - **Status** - **Fehler**: zeigt den eSIM-Fehlerstatus an (zum Beispiel *Benutzer hat abgelehnt*, *Ungültiger Aktivierungscode* oder *ICCID nicht gefunden*), wenn die Befehlsausführung ihn meldet. - **Ausführungsdatum** ## eSIMs beim Zurücksetzen und Aufheben der Registrierung löschen Wenn Sie das Gerät über den Befehlsbereich zurücksetzen, steuert die Option **eSIMs löschen**, ob eSIM-Profile beim Zurücksetzen entfernt werden. Auf privat genutzten Geräten mit Arbeitsprofil ist diese Option standardmäßig aktiviert (verwaltete eSIMs werden entfernt, private eSIMs bleiben unberührt). Dieselbe Option ist im Bestätigungsdialog **Geräteregistrierung aufheben** verfügbar. ## iPhone und iPad Das Panel wird für iPhones und für iPads angezeigt, die Mobilfunkdaten gemeldet haben (ein iPad ohne Mobilfunk hat keine), und nur, wenn das Gerät unternehmenseigen ist und keine Benutzerregistrierung darstellt. Die Mobilfunkinformationen des Geräts werden zusammen mit den Geräteinformationen abgefragt: bei der Registrierung, täglich, mit **Geräteinformationen aktualisieren**, wenn der Besitz auf unternehmenseigen wechselt, und einige Minuten nach **Mobilfunktarife aktualisieren**. - **Geräte-EID**: die zusammen mit den SIMs gemeldete EID, mit einer Schaltfläche zum Kopieren für den Mobilfunkanbieter. Wenn das Gerät sie nicht meldet, findet der Benutzer sie unter Einstellungen > Allgemein > Info. - **Gemeldet**, **Datenroaming**, **Persönlicher Hotspot** und **Modem-Firmware**: wann das Gerät geantwortet hat und welchen Zustand es gemeldet hat. Datenroaming und Persönlicher Hotspot können mit **Geräteeinstellungen** im Befehlsbereich geändert werden, der auch den aktuellen Zustand anzeigt. - **SIMs**: eine Zeile pro SIM oder eSIM-Tarif (Dual-SIM-Geräte haben zwei), mit dem vom Gerät gemeldeten Steckplatz, seiner Bezeichnung und seinem Typ (**eSIM**, wenn das Gerät die EID damit meldet, andernfalls **SIM-Karte**), dem Mobilfunkanbieter (der Heimatanbieter in einem Tooltip, wenn das Gerät in einem anderen Netz roamt), der Telefonnummer, ICCID, EID, IMEI, der für Daten und für Anrufe verwendeten SIM sowie dem Roaming. Ein eSIM-Steckplatz ohne Tarif wird ausgegraut als **Kein Tarif** angezeigt. - **Dieses Gerät hat keine SIM gemeldet** bedeutet, dass das Gerät ohne SIM geantwortet hat; **Noch keine Mobilfunkinformationen** bedeutet, dass es noch nicht geantwortet hat: Verwenden Sie **Geräteinformationen aktualisieren**.Telefonnummern, ICCID, IMEI und EID identifizieren die Person und die Leitung: Sie werden niemals bei privat genutzten Geräten oder Benutzerregistrierungen abgefragt. Wenn ein Gerät privat genutzt wird, werden die Informationen sofort entfernt und in den Ergebnissen der alten Geräteinformationsbefehle im Befehlsverlauf ausgeblendet. Sie werden nicht exportiert und nicht in den Systemprotokollen geschrieben.
### Mobilfunktarife aktualisieren iPhone und iPad können eine eSIM nicht über einen Aktivierungscode installieren. Der Mobilfunkanbieter bindet (reserviert) den eSIM-Tarif auf seinem eSIM-Server (SM-DP+) an die EID des Geräts und teilt Ihnen die Adresse dieses Servers mit; **Mobilfunktarife aktualisieren** fordert das Gerät dann auf, die für es bereitstehenden Tarife herunterzuladen. Die Schaltfläche **Mobilfunktarife aktualisieren** im Panel wählt den Befehl im Befehlsbereich aus, in dem Sie die **URL des eSIM-Servers des Mobilfunkanbieters** eingeben: - **Eine https://-Adresse**, die unverändert gesendet wird. Adressen mit http://, einem Benutzernamen oder Passwort oder einem #-Teil werden nicht akzeptiert. - **Ein Hostname**, zum Beispiel *smdp.carrier.example*, der als https://smdp.carrier.example gesendet wird. - **Ein LPA-Aktivierungscode** (LPA:1$server$code, der Text eines eSIM-QR-Codes): Es wird nur der Server verwendet, da der Befehl den Code nicht übertragen kann. Der Tarif muss vom Mobilfunkanbieter an die Geräte-EID gebunden sein, andernfalls findet das Gerät nichts zum Herunterladen. Das Gerät installiert und aktiviert den Tarif, ohne den Benutzer zu fragen, auch wenn es nicht überwacht wird. Erfolg im Befehlsverlauf bedeutet, dass das Gerät die Anfrage akzeptiert hat, nicht dass ein Tarif installiert wurde: Die Installation kann bis zu drei Minuten dauern, und Cerberus Enterprise fragt das Gerät etwa drei Minuten später erneut nach seinen SIMs, sodass der neue Tarif im Panel erscheint. Die Fehler 36001 (das Gerät konnte sein Mobilfunksystem nicht erreichen), 36002 (keine eSIM-Unterstützung) und 36003 (Mobilfunksystem ausgelastet, versuchen Sie es später erneut) werden in den Systemprotokollen erläutert. Ein einmal heruntergeladener Tarif kann nicht erneut heruntergeladen werden: Wenn die Installation fehlschlägt, wenden Sie sich an den Mobilfunkanbieter. Der Befehl ist auch für mehrere Geräte gleichzeitig im Menü **Apple-Geräteaktionen** der Seite Geräte verfügbar. ### Was Apple nicht erlaubt - **eSIM hinzufügen** über einen Aktivierungscode: nicht möglich, verwenden Sie **Mobilfunktarife aktualisieren** mit einem an die EID gebundenen Tarif. - **eSIM entfernen**: Eine eSIM kann nicht einzeln aus der Ferne entfernt werden. Das Löschen des Geräts mit deaktivierter Option **eSIM-Datentarif behalten** entfernt alle eSIMs. Um einen einzelnen Tarif zu beenden, bitten Sie den Mobilfunkanbieter, ihn zu deaktivieren: Der Tarif bleibt auf dem Gerät, kann aber keine Verbindung herstellen. - **EID anfordern**: nicht erforderlich, die EID wird mit den SIMs unternehmenseigener Geräte übermittelt. - **Macs** haben keine Mobilfunk- oder eSIM-Verwaltung. # Befehle Die Geräteseite bietet einen Bereich **Befehle**, um Fernbefehle an ein verwaltetes Gerät zu senden. Die verfügbaren Befehle hängen von der Plattform (Android oder Apple) und dem Gerätestatus ab. Befehle können nur an ein derzeit registriertes Gerät gesendet werden. Bei einem Gerät mit aufgehobener Registrierung, bei einem ADE-Gerät, das noch nicht registriert ist, und beim historischen Datensatz einer früheren Registrierung zeigt der Bereich nur den Befehlsverlauf.Wenn das Gerät derzeit nicht online ist, wird der Befehl zugestellt und ausgeführt, sobald das Gerät eine Verbindung zum Internet herstellt. Für Android-Befehle können Sie den Parameter **Gültigkeit** festlegen, um zu bestimmen, wie lange ein nicht zugestellter Befehl gültig bleibt.
## Android-Befehle (AMAPI) Für Android-Geräte enthält der Bereich Befehle ein Feld **Gültigkeit** (Wert + Einheit) und eine Auswahl **Befehl**. Einige Befehle erfordern zusätzliche Parameter, die dynamisch angezeigt werden, wenn Sie den Befehl auswählen. ### Allgemeine Parameter - **Gültigkeit**: wie lange der Befehl gültig ist, wenn er nicht sofort ausgeführt werden kann. - **Befehl**: wählen Sie aus, welche Aktion an das Gerät gesendet werden soll. ### Befehle ohne zusätzliche Felder - **Gerät sperren**: sperrt das Gerät. - **Gerät neu starten**: startet das Gerät neu. Erfordert Android 7.0 oder neuer. - **Verloren-Modus deaktivieren**: nimmt das Gerät aus dem Verloren-Modus. - **Eigentum abgeben**: entfernt das Arbeitsprofil und alle Richtlinien von einem unternehmenseigenen Gerät mit Android 8.0 oder neuer und überlässt es der privaten Nutzung. Apps und Daten des persönlichen Profils bleiben erhalten. Das Gerät wird vom Server gelöscht, nachdem es den Befehl bestätigt hat. Dies kann nicht rückgängig gemacht werden. ### Befehle mit zusätzlichen Feldern - **Passwort zurücksetzen**: erfordert **Neues Passwort** und **Neues Passwort bestätigen**. Zu den optionalen Umschaltern gehören **Jetzt sperren**, **Eingabe erforderlich** und **Beim Start keine Anmeldeinformationen abfragen**. - **App-Daten löschen**: erfordert den Ziel-**Paketnamen**. - **Verloren-Modus aktivieren**: erfordert eine **Nachricht für den Verloren-Modus** und unterstützt optionale Kontaktfelder (Straßenadresse, Organisation, Telefonnummer, E-Mail). Wenn das Gerät dies meldet, wird sein Status **Verloren**, die Geräteseite zeigt ein Banner und dieser Befehl wird ausgeblendet, bis der Verloren-Modus deaktiviert wird. - **Gerät löschen**: unterstützt eine **Nachricht mit Löschgrund** (wird Benutzern auf privaten Geräten angezeigt) und optionale Löschoptionen, einschließlich **eSIMs löschen**.Die eSIM-Befehle (**eSIM hinzufügen**, **eSIM entfernen**, **EID anfordern**) sind im dedizierten Bereich [**SIM-Verwaltung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/sim-verwaltung "SIMs management") verfügbar.
### Befehlsverlauf Unterhalb der Sendesteuerelemente zeigt das Dashboard eine Tabelle mit dem Befehlsverlauf. Die Tabelle ist sortierbar und unterstützt Seitenumbruch. Einige Zeilen können erweitert werden, um zusätzliche Parameter oder Ausführungsdetails anzuzeigen. #### Android-Verlaufsspalten - **Erstellungsdatum** - **Befehl** - **Gültigkeit** - **Status** - **Fehler** - **Ausführungsdatum** ## Apple-Befehle (MDM) Für Apple-Geräte bietet der Bereich Befehle eine Auswahl **Befehl**. Einige Befehle erfordern zusätzliche Eingaben. Wie bei Android wird unten eine Tabelle mit dem Befehlsverlauf angezeigt. ### Befehle mit zusätzlichen Feldern - **App installieren**: erfordert die **Bundle-ID** der Anwendung. - **Benachrichtigung senden**: erfordert eine **Benachrichtigungsnachricht** (maximale Länge 200 Zeichen). Auf iPhones und iPads erreichen **Benachrichtigung senden** und die Live-Ortung das Gerät über die **Cerberus Enterprise**-App: Sie sind deaktiviert, bis die App installiert ist und Benachrichtigungen registriert hat (siehe Feld **Cerberus Enterprise-App**). Beim Start der Live-Ortung wird „Live-Ortungsanforderung an das Gerät gesendet“ angezeigt: Die Ortung beginnt, wenn das Gerät seinen ersten Standort sendet. iOS kann die Anforderung verzögern oder nicht zustellen, zum Beispiel im Stromsparmodus oder ohne Netzwerkverbindung: Wenn innerhalb von 2 Minuten kein Standort eintrifft, bitten Sie den Benutzer, die App einmal zu öffnen. Wenn eine Anforderung fehlschlägt, gibt die Meldung den Grund an, zum Beispiel dass die App noch nicht registriert ist, der Benachrichtigungsschlüssel des Servers fehlt oder das Benachrichtigungs-Token des Geräts nicht mehr gültig ist. ### Geräteaktionen Nur die vom Gerät unterstützten Befehle werden aufgelistet: Einige erfordern ein überwachtes iPhone oder iPad, andere sind auf einem Mac nicht verfügbar. Bei störenden Aktionen wird eine Bestätigung angefordert. - **Gerät sperren**: sperrt den Bildschirm, optional mit Nachricht und Telefonnummer. Ein Mac wird neu gestartet und mit einer sechsstelligen PIN gesperrt, die einmal nach dem Senden des Befehls und in den Befehlsdetails angezeigt wird. Das iPhone zeigt den Titel „iPhone verloren“ über Ihrer Nachricht an, obwohl dieser Befehl den Verloren-Modus nicht aktiviert. - **Verloren-Modus aktivieren** (überwachtes iPhone und iPad): sperrt das Gerät und zeigt Ihre Nachricht, Telefonnummer und Fußnote auf dem Sperrbildschirm an. Während der Verloren-Modus aktiv ist, zeigt die Seite ein Banner und die Befehle **Gerät orten** (der Standort erscheint auf der Standortkarte), **Ton abspielen** und **Verloren-Modus deaktivieren**. - Das Gerät teilt demjenigen, der es hält, mit, dass es geortet wurde: Nach **Gerät orten** zeigt der Sperrbildschirm **iPhone geortet** mit der Uhrzeit und dem Namen des Servers, der den Standort empfangen hat, sowie eine Schaltfläche **Weiter**. iOS zeigt diesen Hinweis an, und er kann nicht deaktiviert werden. - **Code löschen**: entfernt den Code eines iPhone oder iPad, zum Beispiel wenn der Benutzer ihn vergessen hat. Wenn die Richtlinie einen Code erfordert, wird der Benutzer aufgefordert, einen neuen festzulegen. - **Geräteinformationen aktualisieren**: fragt das Gerät nach seinen Informationen (Überwachung, OS-Version, Sicherheitsstatus, MDM-Zertifikat) und seinem Inventar. - **Geräteeinstellungen**: öffnet ein Fenster zum Ändern des Gerätenamens, des Hostnamens eines Mac, von Bluetooth, Datenroaming, Persönlichem Hotspot, Zeitzone, Hintergrundbild, ob die Aktivierungssperre zulässig ist, und bei einem Shared iPad seiner Einstellungen (siehe unten). Nur die geänderten Einstellungen werden gesendet; die vom Gerät nicht unterstützten sind mit dem Grund deaktiviert. Ein Gerät kann Datenroaming oder Persönlichen Hotspot bestätigen, ohne sie anzuwenden (zum Beispiel wenn der SIM-Tarif keinen Persönlichen Hotspot enthält), daher liest Cerberus Enterprise sie etwa 30 Sekunden später erneut aus und schreibt eine Warnung in die Systemprotokolle, wenn sie sich nicht geändert haben. - **Gerät neu starten** und **Gerät ausschalten**: startet das Gerät nach einer Bestätigung sofort neu oder schaltet es aus. - **Gerät löschen**: löscht alle Inhalte und Einstellungen und entfernt das Gerät aus der Verwaltung. Auf iPhone und iPad können Sie den eSIM-Datentarif behalten und die Näheinrichtung überspringen; ein Mac erhält eine sechsstellige PIN. - **Return to Service** (Option von **Gerät löschen**, iPhone und iPad mit iOS 17 oder neuer): Nach dem Löschen richtet sich das Gerät ohne Eingreifen von selbst wieder ein und registriert sich erneut mit seiner aktuellen Richtlinie, seinem Benutzer und seinem Eigentum. Wählen Sie für die Einrichtung ein Wi-Fi-Netzwerk der Geräterichtlinie aus, es sei denn, das Gerät verfügt über Ethernet oder mobile Daten: Es können nur persönliche Netzwerke (mit Passwort, ohne Zertifikate) verwendet werden, da das Gerät noch keinen Benutzer und kein Zertifikat hat. Die Aktivierungssperre muss deaktiviert sein. - **Mobilfunkpläne aktualisieren** (iPhone und iPad mit Mobilfunk, iOS 13 oder neuer, nicht User Enrollment): Geben Sie die vom Mobilfunkanbieter bereitgestellte **Carrier eSIM Server-URL** ein (eine https://-Adresse, einen Hostnamen oder einen LPA-Aktivierungscode, von dem nur der Server verwendet wird), und das Gerät lädt die eSIM-Pläne herunter, die der Anbieter an seine EID gebunden hat. Die EID des Geräts wird unter dem Feld angezeigt, damit Sie sie an den Anbieter senden können. Siehe die Seite [**SIM-Verwaltung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/sim-verwaltung "SIMs management"). - Wenn Sie **eSIM-Datentarif behalten** deaktivieren, werden beim Löschen alle eSIMs entfernt. Die Richtlinienbeschränkung **eSIM behalten, wenn das Gerät gelöscht wird** (überwachte Geräte, iOS 17.2 oder neuer) gilt für Löschvorgänge, die auf dem Gerät gestartet wurden (zu viele fehlgeschlagene Codeeingaben, Alle Inhalte und Einstellungen löschen): Apple dokumentiert ihre Auswirkung auf diesen Befehl nicht. - **Benutzer abmelden** (Shared iPad): meldet den aktuellen Benutzer ab und kehrt zum Anmeldebildschirm zurück. Daten, die noch nicht mit iCloud synchronisiert wurden, bleiben auf dem iPad. ### Shared iPad Ein Shared iPad wird von mehreren Personen genutzt, jede mit ihrem eigenen Managed Apple Account, oder von Gästen mit temporären Sitzungen. Es wird mit einem ADE-Profil eingerichtet, das Shared iPad aktiviert (siehe die Seite [**Apple Automated Device Enrollment**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-automated-device-enrollment-ade "Apple Automated Device Enrollment")), und sein Feld **Registrierungstyp** zeigt **Shared iPad** an. - **Shared iPad-Benutzer**: die Benutzer des iPad, mit dem angemeldeten Benutzer, dem von ihnen belegten Speicher und ob einige Daten noch nicht mit iCloud synchronisiert wurden. Verwenden Sie **Aktualisieren**, um die Liste erneut vom iPad anzufordern. Ein Benutzer kann mit seinen Daten gelöscht werden, außer dem angemeldeten Benutzer (melden Sie ihn zuerst ab); **Alle Benutzer löschen** erfordert iPadOS 14 oder neuer. Wenn die Daten noch nicht synchronisiert wurden, warnt die Bestätigung, dass sie verloren gehen. - **Geräteeinstellungen**: der Speicher für jeden Benutzer, die erwartete Anzahl an Benutzern, die Inaktivitätszeit, nach der Benutzer und Gastsitzungen abgemeldet werden, nur Gastsitzungen, die auf dem Anmeldebildschirm vorgeschlagenen Domains für Managed Apple Accounts, wie viele Tage sich ein Benutzer anmelden kann, ohne das Passwort online zu prüfen, und das Überspringen der Sprach- und Regionseinrichtung für neue Benutzer. Leere Felder behalten ihren aktuellen Wert; Einstellungen, die ein neueres iPadOS erfordern, sind deaktiviert. ### Mac-Benutzer Auf einem Mac listet der Bereich **Mac-Benutzer** die Benutzer auf, die in der Verwaltung registriert sind, normalerweise der Benutzer, der den Mac registriert hat. Die Konten der Richtlinie werden in ihren Sitzungen installiert. Für jeden Benutzer wird angezeigt, wann er registriert wurde, der letzte Bericht seiner Sitzung und der Status der Konten: **Aktuell**, **Warten auf den Benutzer** (der Mac installiert sie, wenn der Benutzer angemeldet ist), **Nicht angewendet** mit den vom Mac gemeldeten Gründen oder **Keine Konten**, wenn die Richtlinie keine enthält. Verwenden Sie **Neu laden**, um die Liste erneut zu lesen. ### Aktivierungssperre Das Feld **Aktivierungssperre** zeigt, ob die Aktivierungssperre aktiviert ist. Wenn sie aktiviert ist, kann ein gelöschtes Gerät nur mit dem Apple Account des Benutzers oder mit dem Umgehungscode des Geräts erneut eingerichtet werden. Überwachte Geräte aktivieren die Aktivierungssperre nur, wenn sie in **Geräteeinstellungen** zulässig ist. Cerberus Enterprise fordert von überwachten Geräten ihren Umgehungscode an und speichert ihn: Verwenden Sie **Umgehungscode anzeigen** im Feldmenü, um ihn anzuzeigen (nur Administratoren können das, und jede Anzeige wird im Systemprotokoll aufgezeichnet), und geben Sie ihn dann als Passwort auf dem Aktivierungssperrbildschirm des Geräts ein, wobei der Apple Account leer bleibt. ### Recovery Lock und Firmware-Passwort (Mac) Ein Mac mit Apple Silicon zeigt das Feld **Recovery Lock**, ein Mac mit Intel-Prozessor das Feld **Firmware-Passwort**. Beide schützen den Mac beim Start: Mit Recovery Lock fragt recoveryOS nach dem Passwort; mit einem Firmware-Passwort fragt der Mac danach, um von einem anderen Datenträger oder aus der Wiederherstellung zu starten. Das Feld zeigt, ob der Mac ein Passwort meldet, und in seinem Tooltip, wann Cerberus Enterprise es gespeichert und wann es zuletzt überprüft wurde. - **Passwort festlegen oder ändern**: Cerberus Enterprise generiert ein Passwort aus 20 Buchstaben, die bei jeder Tastaturbelegung auf denselben Tasten liegen, oder ein Administrator gibt eines ein (8 bis 64 Zeichen ohne Akzente; andere Rollen können nur eines generieren, da sie gespeicherte Passwörter nicht sehen können). Das Passwort wird verschlüsselt gespeichert, bevor es gesendet wird, und ersetzt das gespeicherte Passwort erst, wenn der Mac es bestätigt. Wenn auf dem Mac bereits ein Passwort außerhalb von Cerberus Enterprise festgelegt ist, geben Sie es als aktuelles Passwort ein: Es wird einmalig verwendet und nicht gespeichert. - **Passwort überprüfen**: fragt den Mac, ob das gespeicherte Passwort korrekt ist. Das Ergebnis steht im Tooltip und im Systemprotokoll. - **Passwort anzeigen**: Nur Administratoren können das gespeicherte Passwort sehen, und jede Anzeige wird im Systemprotokoll aufgezeichnet. Generierte Passwörter werden in Vierergruppen von Buchstaben angezeigt: Geben Sie sie ohne Leerzeichen ein. - **Passwort löschen**: entfernt das Passwort vom Mac. Ein Mac mit Intel-Prozessor startet neu, um eine Änderung des Firmware-Passworts anzuwenden: Bis dahin wird weiterhin das vorherige Passwort benötigt („Passwort anzeigen“ listet es auf), und eine weitere Änderung kann nicht gesendet werden. Apple akzeptiert außerdem nur einen Firmware-Passwort-Befehl alle 30 Sekunden. Die Passwörter werden im Befehlsverlauf ausgeblendet. Wenn ein Mac die Verwaltung verlässt (Registrierung aufgehoben, vom Benutzer entfernt oder gelöscht), entfernt macOS Recovery Lock von selbst, und Cerberus Enterprise verwirft das gespeicherte Recovery Lock-Passwort; dasselbe geschieht, wenn der Mac meldet, dass er kein Recovery Lock hat, zum Beispiel nachdem er sich erneut registriert. Wenn Sie die Registrierung eines Mac aufheben (oder seine Richtlinie löschen), wird ein gespeichertes Firmware-Passwort zuerst gelöscht, der Mac startet neu und verlässt dann die Verwaltung. Wenn das Löschen fehlschlägt, verlässt der Mac die Verwaltung trotzdem, und das Passwort bleibt gespeichert, sodass Sie es weiterhin anzeigen können. Ein Mac, der vom Benutzer aus der Verwaltung entfernt oder gelöscht wurde, behält sein Firmware-Passwort: Cerberus Enterprise behält es ebenfalls. Durch Löschen des Geräteeintrags wird das gespeicherte Passwort gelöscht. Sie werden daher zuerst um Bestätigung gebeten: Notieren Sie das Passwort, denn ohne es kann nur Apple es entfernen. ### FileVault (Mac) Das Feld **FileVault** zeigt, ob die Festplatte des Mac verschlüsselt ist, und in seinem Tooltip, ob Cerberus Enterprise seinen persönlichen Wiederherstellungsschlüssel speichert. Ein Mac sendet den Schlüssel, wenn FileVault aktiviert wird, nachdem er die FileVault-Einstellung seiner Richtlinie erhalten hat (siehe die Seite [**macOS**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/macos "macOS") der Apple-Richtlinien). - **Wiederherstellungsschlüssel anzeigen**: Nur Administratoren können den Schlüssel sehen, und jede Anzeige wird im Systemprotokoll aufgezeichnet. Verwenden Sie ihn am Anmeldefenster des Mac, um das Passwort des Benutzers zurückzusetzen, oder in der Wiederherstellung, um die Festplatte zu entsperren. Er bleibt verfügbar, nachdem der Mac die Verwaltung verlassen hat; durch Löschen des Geräteeintrags wird er gelöscht. - **Wiederherstellungsschlüssel ändern**: Der Mac ersetzt seinen persönlichen Wiederherstellungsschlüssel und sendet den neuen verschlüsselt; der alte Schlüssel funktioniert nicht mehr. Dies ist nur möglich, wenn der gespeicherte Schlüssel gelesen werden kann: Der Mac wird damit entsperrt, und es ist kein Benutzerpasswort erforderlich. Der gespeicherte Schlüssel wird im Befehlsverlauf ausgeblendet und vom Server entfernt, sobald der Mac antwortet (oder nach 7 Tagen ohne Antwort). ### Bootstrap Token (Mac) Ein Mac mit macOS 10.15 oder neuer sendet seinen **Bootstrap Token** an den Verwaltungsserver, wenn sich ein Benutzer mit einem sicheren Token anmeldet. Der Server behält ihn und gibt ihn nur an diesen Mac zurück, der ihn verwendet, um neuen Benutzern ein sicheres Token zu geben und auf einem Mac mit Apple Silicon Softwareupdates zu installieren und Kernel-Erweiterungen zu genehmigen, ohne ein Administratorpasswort anzufordern. Niemand kann den Token sehen, weder im Dashboard noch anderswo. Das Feld **Bootstrap Token** zeigt seinen Status: - **Hinterlegt**: Der Server hat den Token; der Tooltip zeigt, wann der Mac ihn gesendet hat. - **Früher hinterlegt**: Das gespeicherte Token wurde vor der letzten Registrierung oder MDM-Zertifikaterneuerung des Mac gesendet. Nach einer Erneuerung ist das zu erwarten: Das Token bleibt erhalten, und der Mac sendet es nicht erneut. Nach einer neuen Registrierung ist es möglicherweise nicht mehr gültig: Führen Sie `sudo profiles install -type bootstraptoken` im Terminal auf dem Mac aus. - **Nicht hinterlegt**: Der Mac hat noch keinen Token gesendet. Um ihn jetzt zu senden, führt ein Administrator des Mac im Terminal `sudo profiles install -type bootstraptoken` aus (`sudo profiles status -type bootstraptoken` zeigt, ob er hinterlegt ist). Der Tooltip gibt auch an, ob der Mac den Token zur Authentifizierung zulässt. Macs, die mit Automated Device Enrollment eingerichtet wurden, lassen ihn automatisch zu; auf anderen Macs mit Apple Silicon kann ein Benutzer ihn in Startup Security Utility in recoveryOS zulassen. Intel-Macs können den Token nicht zur Authentifizierung verwenden (**Nicht unterstützt**), aber ein hinterlegter Token gibt neuen Benutzern weiterhin ein sicheres Token. Jedes Mal, wenn ein Mac seinen Token sendet, entfernt oder anfordert, wird dies im Systemprotokoll aufgezeichnet. ### Gerätestatus und OS-Updates Der Bereich **Gerätestatus** zeigt, was das Gerät über sich selbst meldet: die OS-Version und den Build, den Fortschritt eines Softwareupdates (ausstehende Version, Frist, was es ausgelöst hat, Fehler), ob ein Code festgelegt ist und der Richtlinie entspricht, FileVault auf einem Mac, den Batteriezustand und die auf dem Gerät konfigurierten Konten. Die Liste **Verfügbare Updates** zeigt die OS-Updates, die das Gerät installieren kann, erfasst bei der Registrierung und wöchentlich. Verwenden Sie **Nach Updates suchen**, um sie jetzt anzufordern, und **Installieren**, um ein Update sofort zu installieren (das Gerät startet nach einer Bestätigung neu) oder nur herunterzuladen und den Benutzer installieren zu lassen. Dies funktioniert auf überwachten iPhones und iPads sowie auf Macs bis iOS, iPadOS und macOS 26: Bei späteren Versionen und zum Aktualisieren vieler Geräte verwenden Sie die erforderlichen Updates der Richtlinie (siehe die Seite [**Softwareupdates**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/softwareupdates "Software updates") der Apple-Richtlinien). Ein Mac mit Apple Silicon installiert ein Update nur dann ohne Eingabe eines Administratorpassworts, wenn er sein Bootstrap Token zur Authentifizierung zulässt und der Token hinterlegt ist (siehe Bootstrap Token oben). Andernfalls weist die Bestätigung darauf hin, dass ein Benutzer möglicherweise ein Administratorpasswort eingeben muss, bevor das Update installiert wird. ### Anwendungen und Inventar Der Bereich **Anwendungen** listet alle Apps des Geräts in einer Tabelle auf. Der Installationsstatus der von der Richtlinie oder mit einem Befehl installierten Apps wird vom Gerät live gemeldet; Versionen, Größen und die vom Benutzer installierten Apps stammen aus der letzten App-Liste, die bei der Registrierung und wöchentlich erfasst wird. Verwenden Sie **Gerät abfragen**, um sie jetzt anzufordern. - **Verwaltung**: **Richtlinie** für Apps, die durch die Geräterichtlinie installiert wurden, **Verwaltet** für Apps, die mit einem Befehl wie **App installieren** installiert wurden, **Nicht verwaltet** für die vom Benutzer installierten. Die Cerberus Enterprise-App hat den Chip **Von Cerberus installiert**. - **Handlungsbedarf**: Apps, deren Installation fehlgeschlagen ist, die vom Benutzer abgelehnt oder entfernt wurden oder auf den Benutzer warten. Öffnen Sie eine Zeile, um den Fehler anzuzeigen; fehlgeschlagene Richtlinien-Apps können mit der Wiederholen-Schaltfläche erneut installiert werden. Integrierte Apps und App Store-Apps, die das Gerät als nicht validiert meldet, werden nicht gezählt. - **App entfernen**: verwaltete Apps können mit ihren Daten entfernt werden. Um eine von der Richtlinie installierte App zu entfernen, entfernen Sie sie aus der Richtlinie. Die Richtlinie sendet diesen Befehl auch selbst, wenn ein als verwaltete App installiertes Mac-Paket aus der Richtlinie entfernt wird. Der Bereich **Profile, Zertifikate und Sicherheit** zeigt die vom Gerät gemeldeten Konfigurationsprofile, Zertifikate und den Sicherheitsstatus (Code, Verschlüsselung, FileVault und Firewall auf einem Mac).Auf persönlichen Geräten werden die vom Benutzer installierten Apps nicht erfasst, und es werden nur die von Cerberus Enterprise verwalteten Profile und Zertifikate aufgelistet.
Der Bereich **Inventaränderungen** zeigt, was sich zwischen zwei vom Gerät gesendeten Listen geändert hat: installierte, entfernte oder aktualisierte Apps (mit alter und neuer Version), installierte, entfernte oder aktualisierte Profile sowie hinzugefügte oder entfernte Zertifikate. Eine Änderung wird erkannt, wenn das Gerät eine neue Liste sendet – wöchentlich für Apps und Profile, täglich für Zertifikate – oder wenn Sie **Gerät abfragen** verwenden: Das angezeigte Datum ist das Erkennungsdatum, die Änderung fand zwischen der vorherigen Liste und dieser statt. Die erste Liste eines Geräts und die erste nach einer neuen Registrierung oder einer Eigentumsänderung wird nur als Ausgangspunkt erfasst. Suchen Sie nach Name oder Kennung, und filtern Sie nach Art und Änderung. Änderungen werden 365 Tage lang aufbewahrt.Wenn ein OS-Update viele Apple-Apps auf einmal ersetzt, werden sie als eine Zeile angezeigt (zum Beispiel "23 Apple-Apps aktualisiert"), die Sie erweitern können. Eine Erneuerung des MDM-Zertifikats wird als **MDM-Zertifikat erneuert** angezeigt. Auf persönlichen Geräten werden nur die Änderungen der von Cerberus Enterprise verwalteten Elemente angezeigt.
#### Apple-Verlaufsspalten - **Erstellungsdatum** - **Befehl** - **Status**: **Gesendet** (wartet auf das Gerät, wird zugestellt, sobald es sich verbindet), **Erfolgreich**, **Beantwortet** (öffnen Sie die Zeile, um das Ergebnis zu sehen), **Warten auf das Gerät** (das Gerät kann den Befehl derzeit nicht ausführen), **Fehlgeschlagen** (öffnen Sie die Zeile, um den Grund zu sehen) oder **Abgebrochen** (die Befehlswarteschlange des Geräts wurde geleert, zum Beispiel als es sich erneut registriert hat). - **Ausführungsdatum** ## Aktualisieren Verwenden Sie die Aktualisierungsaktion im Bereich Befehle, um den Befehlsverlauf neu zu laden. # Standortkarte des Dashboards Die Standortkarte des Dashboards bietet eine globale Ansicht der letzten bekannten Position von Geräten, die Standortdaten melden. Öffnen Sie sie über **Dashboard**, um mehrere Geräte auf derselben Google-Karte zu prüfen. ## Voraussetzungen Ein Gerät erscheint auf dieser Karte nur, wenn die Standortmeldung in seiner zugewiesenen Richtlinie aktiviert ist. Um sie zu aktivieren, öffnen Sie die Richtlinie und schalten Sie **Standort und Geofences** → **Standort melden** ein. Weitere Informationen finden Sie unter [**Standort und Geofences**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standort-und-geofences "Location and geofences").Bei Geräten, die nicht vollständig verwaltet werden, können Standortdaten weiterhin davon abhängen, dass die Cerberus Enterprise App über die erforderlichen Standortberechtigungen verfügt und die Standortdienste auf dem Gerät aktiviert sind.
Persönliche Geräte (User Enrollment) teilen ihren Standort nur, wenn in ihrer Apple-Richtlinie **Standort und Geofences auf persönlichen Geräten** aktiviert ist und der Benutzer den Standort für die Cerberus Enterprise App erlaubt. Andernfalls erfasst Cerberus ihren Standort nicht, und die Live-Verfolgung ist für sie nicht verfügbar.
Informationen zum Verlauf pro Gerät und zu Geofence-Übergängen im Geräteeditor finden Sie unter [**Standortkarte**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standortkarte "Location map").
Der Standortverlauf wird **90 Tage** lang aufbewahrt, ältere Standorte werden jede Nacht automatisch gelöscht. Der letzte Standort jedes registrierten Geräts bleibt immer erhalten, sodass auch Geräte, die sich lange nicht gemeldet haben, weiterhin auf der Karte angezeigt werden.
## Ladezustand und Zustand ohne Daten - Während die Standortdaten geladen werden, zeigt die Karte eine Ladeüberlagerung an. - Wenn derzeit für keine Geräte Standortdaten verfügbar sind, zeigt die Seite die Meldung **Keine Standortdaten verfügbar**. ## Marker und Cluster Jedes Gerät mit verfügbaren Standortdaten wird als Marker angezeigt. Wenn viele Geräte nahe beieinander liegen, werden die Marker automatisch gruppiert, damit die Karte übersichtlich bleibt. Geräte, die sich derzeit in der Live-Verfolgung befinden, werden mit einem animierten Marker hervorgehoben, damit sie auf der Karte leichter zu erkennen sind. ## Kartensteuerelemente Wenn die Karte Gerätestandorte enthält, zeigt Cerberus Enterprise oben rechts auf der Karte Aktionsschaltflächen an. - **Aktueller Standort**: verwendet den Standort Ihres Browsers, um die Karte auf Ihre aktuelle Position zu verschieben und den gemeldeten Genauigkeitsbereich einzupassen. - **Karte neu zentrieren**: passt die Karte erneut um die aktuell angezeigten Gerätemarker an. - **Verfolgt** Statusanzeige für Live-Verfolgung: erscheint, wenn ein oder mehrere Geräte live verfolgt werden, und zeigt an, wie viele derzeit aktiv sind. - **Alle Live-Verfolgungen beenden**: Die Symbolschaltfläche in der Statusanzeige für die Live-Verfolgung beendet nach einer Bestätigung die Live-Verfolgung für alle derzeit verfolgten Geräte. ## Markerdetails Wenn Sie auf einen Marker klicken, wird ein Informationsfenster geöffnet mit: - Das Gerät **Modell** und interne **ID**. - Der Zeitstempel des zuletzt gemeldeten Standorts. - Die gemeldete **Genauigkeit** in Metern. - Die gemeldete **Geschwindigkeit**, sofern verfügbar. - Die gemeldete **Kursrichtung** oder Peilung, sofern verfügbar. Die Geräte-ID im Informationsfenster ist ein Link, der die entsprechende Seite [**Geräteübersicht**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/gerateubersicht "Device overview") öffnet. ## Aktionen im Informationsfenster Jedes Informationsfenster enthält außerdem Aktionsschaltflächen für das ausgewählte Gerät. - **Gerätelink**: Der Gerätename und die ID oben im Informationsfenster öffnen die entsprechende Geräteübersicht. - **Vergrößern**: zentriert die Karte auf das ausgewählte Gerät und passt den gemeldeten Genauigkeitskreis enger um das Gerät an. - **Live**: startet die Live-Verfolgung für dieses Gerät. Wenn die Live-Verfolgung bereits aktiv ist, beendet dieselbe Schaltfläche sie nach einer Bestätigung. - **Live-Verfolgung aktiv**: Wenn diese Statuszeile vorhanden ist, wird das ausgewählte Gerät bereits in Echtzeit verfolgt. ## Genauigkeitskreis Wenn ein Marker ausgewählt ist, zeigt die Karte einen Genauigkeitskreis um den Standort an. Der Radius des Kreises entspricht der gemeldeten Genauigkeit. ## Verhalten der Live-Verfolgung Wenn Sie die Live-Verfolgung aus einem Informationsfenster starten, wird eine Echtzeit-Verfolgungsanfrage an das Gerät gesendet. Cerberus Enterprise aktualisiert die Karte dann automatisch, solange die Sitzung aktiv ist. - Jede Live-Verfolgungssitzung läuft bis zu **15 Minuten**. - Während die Live-Verfolgung aktiv ist, zeigen Android-Geräte eine Benachrichtigung und iPhones und iPads den Standortindikator. - Die Live-Verfolgung kann entweder im Informationsfenster des ausgewählten Geräts oder über die globale Schaltfläche **Alle Live-Verfolgungen beenden** auf der Karte beendet werden. - Auf **iPhone und iPad** läuft die Live-Verfolgung über die Cerberus Enterprise App, wobei der Standortzugriff auf **Immer** gesetzt ist. Die Anfrage weckt die App normalerweise auch dann, wenn sie nicht geöffnet ist, und die App sendet dann während der gesamten Sitzung Standorte. iOS garantiert diese Anfragen nicht: Es kann sie verzögern oder nicht zustellen, zum Beispiel im Stromsparmodus oder ohne Netzwerkverbindung. Wenn innerhalb von 2 Minuten kein Standort eintrifft, bricht das Dashboard die Anfrage ab: Bitten Sie den Benutzer, die App einmal zu öffnen, und versuchen Sie es dann erneut. # Private Apps In diesem Abschnitt des Dashboards können Sie Ihre eigenen privaten Android-Apps hochladen oder Web-Apps erstellen, um sie auf Ihren Geräten zu verteilen. Die einzigen Angaben, die Sie machen müssen, sind der Titel und die APK einer App. Private Apps werden automatisch für Ihre Organisation genehmigt und sind in der Regel innerhalb von 10 Minuten zur Verteilung bereit. Sie können insgesamt 15 private Apps pro Tag hochladen. Beachten Sie, dass Web-Apps ebenfalls zu dieser Gesamtzahl zählen. Wenn Sie zum ersten Mal eine private App veröffentlichen, müssen Sie eine E-Mail-Adresse angeben, um Benachrichtigungen von der Play Console zu Ihren Apps und Ihrem Google Play-Entwicklerkonto zu erhalten. Außerdem erstellt Managed Google Play automatisch ein Play-Entwicklerkonto im Namen Ihrer Organisation. Für dieses Konto müssen Sie keine Registrierungsgebühr bezahlen. Private Apps, die über das iframe veröffentlicht werden: - Unterliegen nicht denselben Prüfungen wie andere Apps. Daher können sie nicht in öffentliche Apps umgewandelt werden. - Sind nicht übertragbar. Sie können das Eigentum an einer App nicht auf ein anderes Play-Entwicklerkonto übertragen. Weitere Informationen finden Sie in der [Hilfe zu Managed Google Play ](https://support.google.com/googleplay/work/answer/9146439) # Zertifikatsverwaltung Das Dashboard enthält einen Abschnitt **Zertifikate** zum Importieren, Anzeigen und Löschen von Zertifikaten. Wenn Sie auf eine Zertifikatszeile klicken, wird der Zertifikatseditor geöffnet. ## Zertifikatsliste Zertifikate werden in einer sortierbaren Tabelle mit Seitenumbruch angezeigt. Die Liste enthält sowohl Client-Zertifikate als auch Zertifizierungsstellen (CA). ### Filter Oben auf der Seite können Sie Filter über die Chip-Liste aktivieren. Einige Filter schließen sich gegenseitig aus. - **Alle**: alle Zertifikate anzeigen. - **Client**: nur Client-Zertifikate anzeigen. - **Zertifizierungsstelle (CA)**: nur CA-Zertifikate anzeigen. - **Suchen**: zeigt ein Textfeld (Bezeichnung **Name oder Dateiname**) zum Suchen nach Zertifikatsname oder importiertem Dateinamen. - **Ohne Benutzer**: Client-Zertifikate anzeigen, die keinem Benutzer zugeordnet sind. ### Tabellenspalten - **Name** - **Typ** - **Ablauf** - **Benutzer** (wird für Client-Zertifikate angezeigt) - **Importierter Dateiname** - **Importdatum** ### Aktionen - **Zertifikat öffnen**: Klicken Sie auf eine Zeile, um den Zertifikatseditor zu öffnen. - **Zertifikat löschen**: nur verfügbar, wenn das Zertifikat keinem Benutzer und keiner Richtlinie zugeordnet ist und nicht von Geräten verwendet wird. Die Aktion kann auch deaktiviert sein, wenn die Lizenz abgelaufen ist. - **Mehrzeilige Auswahl**: Sie können die mehrzeilige Auswahl aktivieren, um mehrere Zertifikate gleichzeitig zu löschen. Es können nur löschbare Zertifikate ausgewählt werden. - **Aktualisieren**: lädt die Zertifikatsliste neu. ## Zertifikate importieren Um Zertifikate zu importieren, klicken Sie auf **Zertifikat importieren** und wählen Sie eine oder mehrere Dateien aus. Die unterstützten Formate werden im Tooltip der Import-Schaltfläche angezeigt. ### Clients Unterstütztes Format: Base64-kodiertes PKCS#12 (.p12 / .pfx). Client-Zertifikate identifizieren einen Benutzer oder ein Gerät im Unternehmensnetzwerk. Client-Zertifikate können einem bestimmten Benutzer zugeordnet werden. Jedes Client-Zertifikat kann optional einem bestimmten Benutzer zugewiesen werden: So kann dieselbe Wi‑Fi-EAP-Konfiguration auf vielen Geräten bereitgestellt werden. Das können Sie im Abschnitt [Netzwerkkonfiguration](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/netzwerk "Networking") der Richtlinie tun, indem Sie die Option **EAP-Anmeldeinformationen von Benutzern** verwenden.Alternativ können Sie ein Zertifikat auf der Seite **Benutzer** einem Benutzer zuweisen.
Auf Apple-Geräten werden Zertifikate mit dem Abschnitt **Netzwerk** der Apple-Richtlinie installiert, in der Sie auch **Das Zertifikat des Gerätebenutzers** auswählen können. Siehe die Seite [Netzwerk](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/netzwerk-5yo "Networking") der Apple-Richtlinien. ### Zertifizierungsstellen (CA) Unterstützte Formate: Base64-kodiertes X.509 (.crt / .pem / .cer / .der). CA-Zertifikate identifizieren eine Zertifizierungsstelle und teilen dem Gerät mit, dass allen von der Zertifizierungsstelle ausgestellten Zertifikaten vertraut werden soll. Das Dashboard prüft, ob ein importiertes X.509-Zertifikat eine Zertifizierungsstelle ist. ## Zertifikatseditor Wenn Sie ein Zertifikat öffnen, zeigt der Editor seine Hauptfelder und einen schreibgeschützten Bereich **Zertifikatsinformationen**. ### Hauptfelder - **Name** (erforderlich) - **ID** (schreibgeschützt) - **Typ** (schreibgeschützt) - **Ablauf** (schreibgeschützt) - **Importdatum** (schreibgeschützt) - **Importierter Dateiname** (schreibgeschützt) ### Benutzerzuordnung (Client-Zertifikate) Für **Client**-Zertifikate zeigt der Editor ein Feld **Benutzer** an. Wenn ein Benutzer zugewiesen ist, können Sie über ein Menü **Benutzer öffnen**, **Benutzer ändern** oder **Benutzerzuordnung aufheben** auswählen. Wenn kein Benutzer zugewiesen ist, können Sie über die Benutzeraktionsschaltfläche einen zuweisen. ### Zertifikat löschen Die Aktion zum Löschen ist deaktiviert, wenn das Zertifikat derzeit einem Benutzer zugeordnet oder in Richtlinien verwendet wird. Sie kann auch deaktiviert sein, wenn die Lizenz abgelaufen ist. # Ereignisregeln Ereignisregeln ermöglichen es Ihnen, Reaktionen auf unterstützte Geräteereignisse zu automatisieren. Öffnen Sie **Dashboard** → **Ereignisregeln**, um Regeln zu erstellen, die Registrierung, Aufhebung der Registrierung, Nichteinhaltung der Compliance und Geofence-Ereignisse überwachen (Android- und Apple-Geräte; Geofence-Ereignisse stammen von Android-Geräten, iPhones und iPads) und dann automatisch eine oder mehrere Aktionen auslösen. ## Was eine Ereignisregel bewirken kann Jede Regel kombiniert ein **Subjekt**, ein **Ereignis** und eine oder zwei **Aktionen**. Unterstützte Subjekte sind **Alle Geräte**, **Bestimmtes Gerät** und **Richtlinie**. - **Ereignisse**: Gerät registriert, Registrierung des Geräts aufgehoben, Gerät wird nicht konform, Geofence betreten, Geofence verlassen. - **Geräteaktionen**: Gerät deaktivieren, Gerät aktivieren, Gerät sperren. - **E-Mail-Aktion**: eine Benachrichtigungs-E-Mail an Administratoren und, wenn aktiviert, an delegierte Manager senden.Eine Regel kann nur eine E-Mail-Aktion, nur eine Geräteaktion oder eine Geräteaktion plus eine E-Mail-Aktion enthalten. Wenn beide Aktionen konfiguriert sind, führt Cerberus Enterprise zuerst die Geräteaktion und danach die E-Mail-Aktion aus.
## Plattform- und Kompatibilitätsregeln Die verfügbaren Ereignisse und Aktionen hängen vom ausgewählten Subjekt und von der Plattform ab, die für dieses Subjekt gilt. - **Android** unterstützt Ereignisse zu Registrierung, Registrierungsaufhebung, Compliance-Verstößen und Geofences. - **Apple** unterstützt Ereignisse zu Registrierung, Registrierungsaufhebung, Compliance-Verstößen und Geofences. Geofence-Ereignisse kommen von iPhones und iPads mit der Cerberus Enterprise App. - **Gerät deaktivieren** ist sowohl auf Android als auch auf Apple verfügbar. Auf überwachten iPhones und iPads aktiviert es den Verloren-Modus; andere Apple-Geräte werden stattdessen gesperrt (ein Mac mit einer sechsstelligen PIN, die im Befehlsverlauf des Geräts angezeigt wird). Der Verloren-Modus wird auf der Geräteseite deaktiviert. - **Gerät aktivieren** wird nur für Geofence-Ereignisse angeboten, auf Android und Apple. Auf iPhones und iPads deaktiviert es den Verloren-Modus. - **Gerät deaktivieren** und **Gerät aktivieren** lassen ein Android-Gerät im Verloren-Modus aus: Nur der Befehl **Verloren-Modus deaktivieren** nimmt es aus dem Verloren-Modus. Die anderen Aktionen der Regel werden weiterhin ausgeführt, und das Systemprotokoll gibt an, warum die Geräteaktion ausgelassen wurde. - **Gerät sperren** und **E-Mail senden** sind sowohl auf Android als auch auf Apple verfügbar, wenn das ausgewählte Ereignis sie unterstützt. Ein Mac wird mit einer sechsstelligen PIN gesperrt, die im Befehlsverlauf des Geräts angezeigt wird. - **Registrierung des Geräts aufgehoben** unterstützt nur E-Mail. ## Regelliste Die Liste der Ereignisregeln ist die zentrale Verwaltungsseite für diese Funktion. Sie enthält eine durchsuchbare Tabelle mit Regelname, Betreff, Ereignis, Aktionen, Plattform, Aktivierungsstatus und Aktualisierungszeit. - Verwenden Sie die Filter-Chips, um zwischen allen Regeln, aktivierten Regeln, deaktivierten Regeln und der Textsuche zu wechseln. - Verwenden Sie die Schaltfläche **Aktualisieren**, um die aktuelle Tabellenansicht neu zu laden. - Verwenden Sie den Aktivierungsschalter in jeder Zeile, um eine Regel vorübergehend zu aktivieren oder zu deaktivieren. - Verwenden Sie den Modus zur Mehrfachauswahl von Zeilen, um mehrere Regeln gleichzeitig zu löschen. - Verwenden Sie **Ereignisregel erstellen**, um den Editor für eine neue Regel zu öffnen. ## Regeleditor Der Editor ist in die Abschnitte **Allgemein**, **Geltungsbereich**, **Auslöser** und **Aktionen** unterteilt. Am unteren Seitenrand sorgt eine fixierte Aktionsleiste dafür, dass die wichtigsten Schaltflächen beim Scrollen sichtbar bleiben. ### Allgemein - **Name**: erforderlich, bis zu 150 Zeichen. - **Beschreibung**: optional, bis zu 2000 Zeichen. - **Regel aktiviert**: speichert die Regel im aktivierten oder deaktivierten Zustand. ### Geltungsbereich Der Geltungsbereich legt fest, für welche Geräte die Regel gelten kann. Der Editor zeigt außerdem die ermittelte Plattform und, sofern verfügbar, den effektiven Richtlinienkontext an. - **Alle Geräte**: Die Regel kann für alle unterstützten Geräte im Unternehmen gelten. - **Bestimmtes Gerät**: Wählen Sie im Auswahldialog ein verwaltetes Gerät aus. - **Richtlinie**: Wählen Sie im Auswahldialog eine Richtlinienvorlage aus. ### Auslöser Der Abschnitt „Auslöser“ filtert die verfügbaren Ereignisse automatisch anhand des ausgewählten Geltungsbereichs und der Plattform. #### Geofence-Auslöser Regeln für das Betreten und Verlassen von Geofences gelten für Android-Geräte, iPhones und iPads, und eine Regel für ein Gerät oder eine Richtlinie erfordert einen gültigen Richtlinienkontext. Die Geofence-Definitionen finden Sie unter [**Standort und Geofences**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standort-und-geofences "Location and geofences") (Android) und [**Standort und Geofences**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/standort-und-geofences-MnS "Location and geofences") (Apple). - Wenn der Betreff **Alle Geräte** lautet, gilt die Regel immer für **Beliebiger Geofence**. - Wenn der Betreff ein Gerät oder eine Richtlinie ist, können Sie zwischen **Beliebiger Geofence** und **Bestimmter Geofence** wählen. - Die Liste der bestimmten Geofences wird aus dem effektiven Richtlinienkontext des ausgewählten Geräts oder der ausgewählten Richtlinie geladen. - Geofence-Regeln für alle Geräte, die gespeichert wurden, bevor Geofences auf iPhone und iPad verfügbar waren, gelten weiterhin nur für Android-Geräte. Öffnen und speichern Sie sie erneut, damit sie auch für Apple-Geräte gelten. ### Aktionen Im Abschnitt „Aktionen“ können Sie eine optionale Geräteaktion und eine optionale E-Mail-Benachrichtigung auswählen. Die Benutzeroberfläche blendet nicht unterstützte Kombinationen automatisch aus. Die E-Mail-Benachrichtigung ist standardmäßig aktiviert, auch wenn Sie eine Geräteaktion auswählen: Deaktivieren Sie sie, wenn Sie nur die Geräteaktion möchten. - Wenn für das ausgewählte Ereignis und den Geltungsbereich keine Geräteaktion verfügbar ist, können Sie dennoch eine reine E-Mail-Regel speichern. - Wenn E-Mail für das ausgewählte Ereignis und die Plattform deaktiviert ist, ist der E-Mail-Schalter nicht verfügbar. - Eine Regel ohne Aktion ist ungültig und kann nicht gespeichert werden. ## E-Mail-Empfänger E-Mail-Aktionen enthalten immer Unternehmensbenutzer mit der Rolle **ADMIN**. Wenn das Unternehmen über Multi-Tenancy verwaltet wird, können Sie die Empfänger um MT-Manager erweitern. - **Nur Hauptmanager**: enthält Unternehmensadministratoren und die Kontakte der Haupt-MT-Manager. - **Hauptmanager und Unterkonto-Manager**: Fügt zusätzlich zugewiesene Unterkonto-Manager hinzu. - Die Vorschauliste zeigt die tatsächlichen E-Mail-Adressen, die beim Ausführen der Regel verwendet werden. - In die endgültige Empfängerliste werden nur delegierte Manager aufgenommen, denen Zugriff auf das Unternehmen gewährt wurde. ## Ausführungsverhalten Ereignisregeln werden sofort ausgeführt, wenn Cerberus Enterprise ein unterstütztes Ereignis von den Backend-Integrationen empfängt. Deaktivierte Regeln werden automatisch übersprungen. Erfolgreiche, übersprungene und fehlgeschlagene Ausführungen werden mit verständlichen Meldungen im Systemprotokoll aufgezeichnet, einschließlich des Grundes, wenn eine Regel oder eine Geräteaktion übersprungen wurde.Das Systemprotokoll bewahrt Gerätestatus- und Standortereignisse sowie erfolgreiche oder übersprungene Regelausführungen **90 Tage** lang auf. Die anderen Ereignisse, etwa Administratoraktionen, Anmeldungen, Warnungen und Fehler (einschließlich fehlgeschlagener Regelausführungen), werden **12 Monate** lang aufbewahrt. Ältere Einträge werden jede Nacht automatisch gelöscht.
# Geräte # Geräte Der Bereich **Geräte** des Dashboards (*Dashboard* → *Geräte*) listet alle in Ihrem Konto registrierten Geräte auf. Auf dieser Seite können Sie die Liste filtern, einen Gerätedatensatz öffnen und Geräteaktionen wie Deaktivieren oder Aufheben der Registrierung ausführen. ## Filter Oben auf der Seite können Sie einen oder mehrere Filter über die Chip-Liste aktivieren. Ausgewählte Chips stellen die aktuell aktiven Filter dar. Die Filter hängen von den in Ihrem Konto eingerichteten Plattformen ab: Filter für Apple- oder Android-Geräte erscheinen nur, wenn diese Plattform eingerichtet ist, und die Android- und Apple-Filter erscheinen nur, wenn beide eingerichtet sind. ### Verfügbare Filter - **Alle**: alle Geräte anzeigen. - **Registriert**: zeigt registrierte Geräte, unabhängig von ihrem Status (zum Beispiel Aktiv, Verloren oder Deaktiviert). Geräte mit aufgehobener Registrierung und ADE-Geräte, die noch nicht registriert sind, werden nicht angezeigt. Dieser Filter ist beim Öffnen der Seite ausgewählt: Wählen Sie Alle, um Geräte mit aufgehobener Registrierung und von Apple Business synchronisierte Geräte zu sehen, die noch nicht registriert sind. - **Nicht konform**: zeigt Geräte, die nicht richtlinienkonform sind. - **Nicht sicher**: Geräte mit einem unsicheren Zustand anzeigen. - **App-Fehler**: Android-Geräte anzeigen, deren Apps Fehlerfeedback gesendet haben, und Apple-Geräte mit verwalteten Apps, die Aufmerksamkeit erfordern (Installation fehlgeschlagen, vom Benutzer abgelehnt oder entfernt oder auf den Benutzer wartend). - **Verloren**: zeigt Geräte im Verloren-Modus, auf Android und Apple. Ihr Status wird als Verloren angezeigt. - **Status nicht aktualisiert**: Geräte anzeigen, die in den letzten 72 Stunden keinen Status gemeldet haben. - **Richtlinie nicht aktualisiert**: Geräte anzeigen, bei denen Richtlinienänderungen ausstehen. - **MDM-Zertifikat läuft ab**: Apple-Geräte anzeigen, deren MDM-Zertifikat abgelaufen ist oder innerhalb von 14 Tagen abläuft. - **Android**: nur Android-Geräte anzeigen. - **Apple**: nur Apple-Geräte anzeigen. - **iPhone**, **iPad**, **Mac**: nur diese Apple-Geräte anzeigen. Sie können mehr als eines auswählen. - **Unternehmenseigen**: nur unternehmenseigene Geräte anzeigen. - **Persönlich**: nur persönliche Geräte anzeigen. - **Device Owner**: nur vollständig verwaltete Android-Geräte anzeigen. - **Profile Owner**: nur Android-Geräte mit Arbeitsprofil anzeigen. - **Überwacht** / **Nicht überwacht**: Apple-Geräte anzeigen, die überwacht werden oder nicht. - **Suche**: ein Textsuchfeld aktivieren. ### Suche Wenn Sie den Filter **Suche** aktivieren, erscheint ein Textfeld mit der Bezeichnung **ID, Modell, Benutzer, Seriennummer oder Betriebssystem**: Es durchsucht die Geräte-ID, das Modell, den Benutzernamen, die Seriennummer und die Betriebssystemversion. Die Liste wird automatisch aktualisiert, sobald Sie mit der Eingabe aufhören. ## Gerätetabelle Geräte werden in einer sortierbaren, paginierten Tabelle angezeigt. Ein Klick auf eine Zeile öffnet den Geräteeditor. ### Spalten - **Modell**: Gerätemodell. - **Benutzer**: zugeordneter Benutzer (Name, E-Mail oder ID, je nach Verfügbarkeit). - **Zustand**: Gerätezustand (mit Tooltip-Details). - **Compliance**: Anzeige des Compliance-Status. - **Sicherheit**: Sicherheitszustand (mit Tooltip-Details). Auf Apple-Geräten: **Gefährdet** ohne Passcode und auf Macs mit deaktiviertem FileVault oder sicherem Start; **Möglicherweise kompromittiert** auf Macs mit deaktiviertem System Integrity Protection oder signiertem Systemvolume. Die Geräteseite listet die Risiken auf. Apple meldet jailbroken iPhones und iPads nicht an die Geräteverwaltung. - **App-Fehler**: Anzeige für App-Fehler. - **Letzter Statusbericht**: Zeitstempel des letzten Statusberichts (falls verfügbar). - **Richtlinie**: aktuell zugewiesene Richtlinie. - **Betriebssystem**: Betriebssystem und Version (zum Beispiel iOS 17.7 oder Android 14). Die Sortierung erfolgt zuerst nach System und dann nach Version. - **Eigentum**: unternehmenseigen oder persönlich (mit Tooltip-Details). - **Verwaltungsmodus**: Verwaltungsmodus (mit Tooltip-Details). - **ID**: interne Gerätekennung. ### Aktualisieren und Paginierung - Verwenden Sie die Aktualisierungsaktion, um die Liste neu zu laden. - Die Tabelle ist paginiert (10/25/50 Einträge pro Seite). ## Geräteaktionen Jede Gerätezeile kann Aktionen bereitstellen, je nach Plattform und Gerätezustand. Einige Aktionen sind deaktiviert, wenn Ihre Lizenz abgelaufen oder beendet ist. ### Aktionen pro Gerät - **Gerät deaktivieren** / **Gerät aktivieren**: verfügbar für Android-Geräte in unterstützten Zuständen. - **Geräteregistrierung aufheben**: entfernt die Verwaltung. Auf Android kann dies das Arbeitsprofil löschen oder das Gerät auf die Werkseinstellungen zurücksetzen (je nach Eigentum); auf Apple werden die Richtlinieneinstellungen entfernt. - **Gerät löschen**: verfügbar für Geräte, deren Registrierung bereits aufgehoben wurde (entfernt den Datensatz aus dem System). Ein Mac, dessen Firmware-Passwort noch in Cerberus Enterprise gespeichert ist, wird erst nach einer Bestätigung gelöscht, da das Passwort mit ihm gelöscht wird. ### Mehrfachauswahl Sie können die Mehrfachauswahl in der Aktionsleiste unterhalb der Tabelle aktivieren. Wenn sie aktiviert ist, können Sie mehrere Zeilen auswählen und Sammelaktionen anwenden (deaktivieren, aktivieren, Registrierung aufheben oder löschen), je nachdem, welche Geräte ausgewählt sind. Für Apple-Geräte sperrt das Menü **Apple-Geräteaktionen** alle ausgewählten Geräte, startet sie neu, fährt sie herunter, aktualisiert ihre Informationen oder löscht sie. Eine Aktion ist verfügbar, wenn jedes ausgewählte Gerät ein registriertes Apple-Gerät ist, das sie unterstützt. Die PINs der Macs, die gesperrt oder gelöscht werden, werden nach dem Senden des Befehls einmal angezeigt. Das Aufheben der Registrierung von Apple-Geräten entfernt deren Registrierungsprofil und Richtlinieneinstellungen, ohne sie zu löschen. **Mobilfunkpläne aktualisieren** fordert die ausgewählten iPhones und iPads auf, die eSIM-Pläne herunterzuladen, die der Mobilfunkanbieter an ihre EIDs gebunden hat, und zwar von einem Mobilfunk-eSIM-Server, der in einem Fenster für alle eingegeben wird. Im Gegensatz zu den anderen Aktionen wird sie nur an die ausgewählten Geräte gesendet, die sie unterstützen: Macs, User Enrollments, Geräte mit einem älteren iOS und iPads, die nie Mobilfunkdaten gemeldet haben, werden übersprungen und im Ergebnis aufgeführt. Siehe die Seite [**SIM-Verwaltung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/sim-verwaltung "SIMs management"). ## Apple Business-Synchronisierung Wenn Apple Management konfiguriert ist und ein Token für die Automatische Geräteregistrierung vorhanden ist, kann die Seite die Aktion **Von Apple Business synchronisieren** anzeigen, um Geräte aus Apple Business zu importieren. Eine Meldung gibt an, wie viele Geräte hinzugefügt wurden. Wenn einige hinzugefügt wurden, wechselt die Liste zum Filter **Alle**, da Geräte, die noch nicht registriert sind, vom Filter **Registriert** nicht angezeigt werden. ## Gerät registrieren Verwenden Sie **Gerät registrieren**, um den Bereich „Registrierungstoken“ zu öffnen und die Registrierung eines neuen Geräts zu starten. # Benutzer # Benutzer Der Abschnitt **Benutzer** des Dashboards (*Dashboard* → *Benutzer*) listet alle in Ihrem Konto konfigurierten Benutzer auf. Auf dieser Seite können Sie nach Benutzern suchen, den Benutzereditor öffnen, neue Benutzer erstellen und Benutzer löschen, die derzeit nicht mit Geräten verknüpft sind. ## Suche Oben auf der Seite befindet sich ein Suchfeld mit der Bezeichnung **Suche** und dem Platzhalter **Name, Benutzername oder E-Mail**. Die Liste wird automatisch aktualisiert, sobald Sie die Eingabe beenden. ## Benutzertabelle Benutzer werden in einer sortierbaren, paginierten Tabelle angezeigt. Wenn Sie auf eine Zeile klicken, wird der Benutzereditor geöffnet. ### Spalten - **Name**: Vor- und Nachname des Benutzers. Die Tabelle ist standardmäßig nach Namen sortiert. - **E-Mail**: E-Mail-Adresse des Benutzers. - **Benutzername**: Benutzername (oft ein Verzeichnisbenutzername). - **Geräte**: Anzahl der dem Benutzer derzeit zugeordneten Geräte, mit Ausnahme von Geräten, deren Registrierung aufgehoben wurde. Dazu gehören Apple-Geräte, die dem Benutzer zugewiesen sind und noch nicht registriert wurden. - **Letzte Geräteaktivität**: der zuletzt von einem der Geräte des Benutzers gesendete Statusbericht. Das Feld ist leer, wenn der Benutzer keine Geräte hat. Sortieren Sie nach dieser Spalte, um inaktive Benutzer zu finden. - **WiFi-Zertifikat**: Name des dem Benutzer zugewiesenen Wi‑Fi-Zertifikats, mit einem Symbol. Das Feld ist leer, wenn der Benutzer kein Zertifikat hat. - **ID**: interne Benutzerkennung. ### Aktualisieren und Paginierung - Die Aktion zum Aktualisieren lädt die Liste neu. - Die Tabelle ist paginiert (10/25/50 Einträge pro Seite). ## Benutzeraktionen ### Neuen Benutzer erstellen Verwenden Sie **Neuen Benutzer erstellen**, um den Dialog zur Benutzererstellung zu öffnen. Diese Aktion ist deaktiviert, wenn Ihre Lizenz abgelaufen ist. ### Von Google Workspace synchronisieren Wenn die Google Workspace-Verzeichnissynchronisierung für Ihr Konto verfügbar ist, wird auf der Seite **Von Google Workspace synchronisieren** angezeigt. Wenn Sie eine Synchronisierung starten, wird während der Ausführung der Anforderung ein Fortschrittsindikator angezeigt. ### Benutzer löschen Sie können einen Benutzer nur löschen, wenn der Benutzer keinem Gerät zugeordnet ist (die Spalte **Geräte** muss 0 sein). Die Löschaktion ist deaktiviert, wenn Ihre Lizenz abgelaufen oder beendet ist. ### Mehrzeilenauswahl und Massenlöschung Über die Aktionsleiste unterhalb der Tabelle können Sie die Mehrzeilenauswahl aktivieren. In diesem Modus können Sie mehrere Benutzer auswählen und sie in großen Mengen löschen. - **Zulässigkeit**: Nur Benutzer mit **Geräte** = 0 können zum Löschen ausgewählt werden. - **Alle auswählen**: Das Kontrollkästchen **Alle** wählt alle zulässigen Zeilen auf der aktuellen Seite aus. - **Massenlöschung**: **Ausgewählte Benutzer löschen** ist deaktiviert, wenn keine Zeilen ausgewählt sind oder wenn Ihre Lizenz abgelaufen oder beendet ist. ## Wi‑Fi-Zertifikate und EAP Die Spalte **WiFi-Zertifikat** zeigt den Namen des Zertifikats, das einem Benutzer derzeit zugewiesen ist. Benutzerzertifikate werden in der Regel für Wi‑Fi-EAP-Konfigurationen (zum Beispiel EAP‑TLS) verwendet. Informationen zur Zuweisung und Verwaltung von Zertifikaten finden Sie unter [**Zertifikatsverwaltung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/zertifikatsverwaltung "Certificate management"). # Benutzereditor Der Benutzereditor ist über *Dashboard* → *Benutzer* verfügbar, indem Sie auf eine Benutzerzeile klicken. Dort können Sie Benutzerdetails bearbeiten, benutzerspezifische Wi‑Fi-EAP-Anmeldeinformationen konfigurieren und die dem Benutzer zugeordneten Geräte anzeigen. ## Benutzerdetails Der obere Abschnitt enthält die Hauptfelder des Benutzers. Einige Felder sind erforderlich, und der Editor zeigt Validierungsfehler an, wenn sie fehlen oder ungültig sind. - **ID**: schreibgeschützte Kennung. - **Vorname**: erforderlich. - **Nachname**: erforderlich. - **Benutzername**: erforderlich. - **E-Mail**: erforderlich und muss eine gültige E-Mail-Adresse sein. - **Telefonnummer**: optional. - **Google-Konto**: optional und muss, falls angegeben, eine gültige E-Mail-Adresse sein. - **Apps and Books** (schreibgeschützt, wird im Feld **Managed Apple Account** angezeigt, sobald der Benutzer ein persönliches iPhone oder iPad per User Enrollment registriert hat): der Status des Apps-and-Books-Benutzers, den Cerberus für das Managed Apple Account erstellt hat, um dem Benutzer App-Lizenzen für seine persönlichen Geräte zuzuweisen: *zugeordnet*, *registriert, wartet auf Apple*, *wird erstellt*, *fehlgeschlagen* oder *zurückgezogen*. Ein Benutzer, der registriert bleibt, kann weiterhin Lizenzen erhalten; *fehlgeschlagen* bedeutet in der Regel, dass das Konto nicht zur selben Apple-Business-Organisation wie der Apps-and-Books-Token gehört. ## Standardsrichtlinie für die Google-Authentifizierung In Google Workspace-Umgebungen mit aktivierter Google-Authentifizierung kann der Editor **Standardsrichtlinie für die Google-Authentifizierung** anzeigen. Dies ist die Richtlinie, die auf Geräte angewendet wird, die von diesem Benutzer über die Google-Authentifizierung registriert wurden. - **Richtlinie ändern**: öffnet den Dialog zur Richtlinienauswahl. - **Richtlinie öffnen**: öffnet die ausgewählte Richtlinie im Richtlinieneditor (wenn eine Richtlinie festgelegt ist). - Nach der Auswahl einer neuen Standardrichtlinie müssen Sie den Benutzer speichern, um die Änderung anzuwenden. Der Editor zeigt eine Benachrichtigung an, die Sie zum Speichern auffordert. ## Wi‑Fi-EAP-Anmeldeinformationen Der Abschnitt **WiFi-EAP-Anmeldeinformationen** wird verwendet, um benutzerspezifische Anmeldeinformationen zu konfigurieren, die automatisch auf den Geräten des Benutzers installiert werden, wenn die ihm zugewiesene Richtlinie eine Wi‑Fi-EAP-Konfiguration enthält, die diese erfordert. Die Wi‑Fi-EAP-Konfiguration ist Teil der Android-Richtlinie [Netzwerkkonfiguration](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/netzwerk "Networking"). ### Clientzertifikat Sie können einem Benutzer optional ein Clientzertifikat zuweisen. Wenn ein Zertifikat zugewiesen ist, wird es im Feld **Clientzertifikat** angezeigt und ein Menü bietet Aktionen. Wenn kein Zertifikat zugewiesen ist, zeigt das Feld **Kein Zertifikat zugewiesen** an und Sie können eines zuweisen. - **Zertifikat zuweisen**: öffnet den Dialog zur Zertifikatsauswahl. - **Zertifikat öffnen**: öffnet den Zertifikatseditor. - **Zertifikat ändern**: wählt ein anderes Clientzertifikat aus. - **Zertifikat trennen**: entfernt das Zertifikat vom Benutzer. Das System entfernt das Zertifikat außerdem von allen mit diesem Benutzer verknüpften Geräten. Informationen zum Importieren und Verwalten von Zertifikaten finden Sie unter [**Zertifikatsverwaltung**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/zertifikatsverwaltung "Certificate management"). ### Identität, anonyme Identität und Passwort - **Identität**: Identität des Benutzers. Bei tunnelnden äußeren Protokollen (PEAP, EAP‑TTLS) wird diese innerhalb des Tunnels verwendet. - **Anonyme Identität**: wird bei tunnelnden äußeren Protokollen als die außerhalb des Tunnels angezeigte Identität verwendet. Wenn nicht angegeben, wird standardmäßig eine leere Zeichenfolge verwendet. - **Passwort**: das Benutzerpasswort für EAP-Methoden, die es erfordern. Wenn es nicht angegeben ist, kann das Gerät den Benutzer dazu auffordern. Eine Aktion zum Ein-/Ausblenden schaltet die Sichtbarkeit des Passworts um. ## Verknüpfte Geräte Der Abschnitt **Verknüpfte Geräte** zeigt die Liste der derzeit mit dem Benutzer verknüpften Geräte. Wenn der Benutzer ein oder mehrere verknüpfte Geräte hat, kann der Benutzer nicht gelöscht werden. ## Speichern und löschen - **Benutzer speichern**: nur aktiviert, wenn das Formular gültig ist, ausstehende Änderungen vorhanden sind und die Lizenz aktiv ist. Während des Speicherns wird ein Fortschrittsindikator angezeigt. - **Benutzer löschen**: deaktiviert, wenn der Benutzer mit Geräten verknüpft ist oder wenn die Lizenz abgelaufen/beendet ist. Wenn das Löschen zulässig ist, wird ein Bestätigungsdialog angezeigt. Wenn der Benutzer Registrierungstokens zugewiesen ist, warnt der Dialog davor, dass mit diesen Tokens registrierte Geräte keinem Benutzer mehr zugewiesen werden. Beim Löschen des Benutzers werden außerdem die App-Lizenzen seines Apps-and-Books-Benutzers freigegeben und dieser bei Apple zurückgezogen. ## Warnung bei nicht gespeicherten Änderungen Wenn Sie nicht gespeicherte Änderungen haben und versuchen, die Seite zu verlassen, fragt das Dashboard, ob Sie die Änderungen verwerfen möchten. # Konto # Einstellungen Die Seite **Einstellungen** (*Dashboard* → *Einstellungen*) fasst Konto- und Lizenzinformationen zusammen und bietet Aktionen zur Verwaltung der Abrechnung, der Plattformeinrichtung (Android Management und Apple Management) und optionaler Verzeichnis-/Token-Integrationen. ## Lizenzbanner (läuft bald ab / abgelaufen) Wenn Ihre Lizenz **bald abläuft**, **abgelaufen ist** oder **beendet wurde**, wird oben auf der Seite ein auffälliger Banner angezeigt. Je nach Abonnementstatus bietet er entweder die Aktion **Abrechnung verwalten** (Stripe-Kundenportal) oder die Aktion **Lizenz kaufen** an.Wenn die Lizenz abgelaufen ist, kann das Konto nur noch die Registrierung von Geräten aufheben. Nach der Kulanzfrist kann das Konto gekündigt werden, und die Registrierung von Geräten kann automatisch aufgehoben werden.
## Banner für Apple-Zertifikate und -Token (läuft bald ab / abgelaufen) Das Apple Push Certificate (APNs), das Apple Business Token (Automated Device Enrollment) und das Apps and Books Token (früher VPP) müssen jedes Jahr erneuert werden. Beginnend **30 Tage vor dem Ablauf** wird oben im Dashboard ein Banner für jedes Zertifikat bzw. jeden Token angezeigt, das bzw. der **bald abläuft** oder **abgelaufen ist**, zusammen mit dem Ablaufdatum oder der Funktion, die nicht mehr funktioniert. Die Aktion **So erneuern Sie** öffnet diese Seite mit den passenden, ausgeklappten Anleitungen zur Erneuerung. Ein Banner wird außerdem angezeigt, wenn das MDM-Zertifikat einiger Apple-Geräte innerhalb von 14 Tagen abläuft und die automatische Erneuerung nicht abgeschlossen wurde oder abgelaufen ist: Diese Geräte müssen erneut registriert werden. Die Aktion **Geräte anzeigen** öffnet die Geräteliste mit dem Filter **MDM-Zertifikat läuft bald ab**.Wenn das Apple Push Certificate abläuft, können Apple-Geräte keine Befehle oder Richtlinienaktualisierungen mehr empfangen. Wenn das Apple Business Token abläuft, funktioniert Automated Device Enrollment nicht mehr. Wenn das Apps and Books Token abläuft, können Apps nicht mehr verteilt werden.
## Banner für die Cerberus Enterprise App Cerberus installiert seine kostenlose App **Cerberus Enterprise** auf iPhones und iPads (iOS und iPadOS 18.4 oder neuer) mit einer Apps and Books Gerätelizenz. Oben im Dashboard wird ein Banner angezeigt, wenn die App nicht in Ihrer Apple Business Bibliothek ist, wenn das Apps and Books Token fehlt oder abgelaufen ist oder wenn einige iPhones und iPads noch auf die App warten (mit deren Anzahl). **So fügen Sie sie hinzu** öffnet diese Seite bei der Zeile **Cerberus Enterprise app** mit den Schritten; **So richten Sie sie ein** (wird angezeigt, wenn das Apps and Books Token fehlt oder abgelaufen ist) öffnet die Anleitung für das Apps and Books Token. ## Enterprise-Manager-Zugriff Die Karte **Enterprise-Manager-Zugriff** wird nur für Unternehmen angezeigt, die von einem Multi-Tenancy-Konto verwaltet werden (zum Beispiel einem Managed Service Provider). Sie zeigt Ihnen, welche Manager-Konten in Ihrem Unternehmen tätig sein können, und ermöglicht es Ihnen, deren Zugriff zu steuern. Die Karte zeigt: - The **Inhaber** des Unternehmens. Der Inhaber hat immer Zugriff, und sein Zugriff kann nicht entzogen werden. - Jedes Manager-Konto des Multi-Tenancy-Kontos, gekennzeichnet als **Hauptmanager** oder **Unterkonto**, mit Name, Benutzername und Zugriffsstatus (**Gewährt**, **Entzogen** oder **Nicht gewährt**). ### Zugriff gewähren und entziehen Verwenden Sie **Gewähren**, damit ein Manager-Konto auf Ihr Unternehmen zugreifen und es verwalten kann, und **Entziehen**, um diesen Zugriff zu entfernen. Jede Aktion erfordert eine Bestätigung. Ein Manager, dessen Zugriff entzogen wurde, kann nicht mehr im Unternehmen tätig sein, auch wenn er gerade damit arbeitet. - Als Unternehmensadministrator können Sie den Zugriff für jedes aufgelistete Manager-Konto gewähren oder entziehen. - Der Hauptmanager kann den Zugriff für seine eigenen Unterkonten gewähren oder entziehen, aber nur solange sein eigener Zugriff gewährt ist. Er kann sich selbst keinen Zugriff gewähren und seinen eigenen Zugriff nicht entziehen.Das Entziehen des Zugriffs für den **Hauptmanager** entzieht auch den Zugriff für alle seine Unterkonten. In diesem Fall listet der Bestätigungsdialog die Unterkonten auf, die den Zugriff verlieren.
## Kontoinformationen Die **Kontoinformationen** zeigt schreibgeschützte Felder: - **Benutzername** - **Unternehmensname** - **Unternehmens-ID** ### Passwort ändern Wenn Sie nicht mit Google, Apple oder Microsoft angemeldet sind, zeigt die Karte außerdem die Aktion **Passwort ändern** an. Diese öffnet einen Dialog, in dem Sie den Ablauf zum Ändern des Passworts fortsetzen können. Sie können Ihr Passwort jederzeit auch über das Benutzermenü in der oberen Symbolleiste ändern, indem Sie **Passwort ändern** verwenden. Das ist nützlich für Multi-Tenancy-Konten, die ihr Passwort ändern können, ohne ein Unternehmen zu betreten.Wenn ein Administrator Ihr Konto erstellt oder Ihr Passwort zurückgesetzt hat, melden Sie sich mit einem temporären Passwort an und müssen ein neues Passwort wählen, bevor Sie fortfahren.
## Lizenzinformationen Die Karte **Lizenzinformationen** zeigt den aktuellen Lizenzstatus und Ihr Gerätelimit. Sie bietet außerdem Aktionen zum Kontaktieren des Vertriebs sowie zum Verwalten der Abrechnung oder zum Kauf einer Lizenz. - **Lizenzstatus**: wird als **Aktiv** oder **Abgelaufen** angezeigt (mit einem Symbol-Badge und Tooltip). - **Kostenlose Testversion**: wird angezeigt, wenn sich das Konto derzeit im Testmodus befindet. - **Lizenzierte Geräte**: maximale Anzahl der von der Lizenz erlaubten Geräte. Der Link *Mehr Geräte benötigt?* öffnet eine Nachricht an den Support. Registrierte Geräte zählen, unabhängig von ihrem Status (zum Beispiel Aktiv, Verloren oder Deaktiviert). Geräte mit aufgehobener Registrierung zählen nicht, ebenso wenig Geräte, die von Apple Business synchronisiert wurden, bis sie sich registrieren. Wenn das Limit erreicht ist, wird kein neues Gerät hinzugefügt und seine Registrierung entfernt: Das Ereignis wird im Systemprotokoll festgehalten, und die Kontoadministratoren erhalten eine E-Mail. Auf Apple-Geräten dauert die Entfernung etwa eine Minute, und ein bereits gezähltes Gerät kann sich erneut registrieren, ebenso ein mit Return to Service gelöschtes Gerät. - **Nächste geplante Verlängerung**: wird für aktive Abonnements angezeigt, die automatisch verlängert werden. Andernfalls zeigt die Karte das **Ablaufdatum** an. ## Android Management Die Karte **Android Management** zeigt den Status von Android Management für Ihr Unternehmen. Wenn Android Management noch nicht konfiguriert ist, bietet die Karte die Aktion **Android Management einrichten**, die den Einrichtungsablauf öffnet. ### Konfigurierter Zustand Wenn Android Management konfiguriert ist, kann die Karte Folgendes anzeigen: - **Management-ID** - **Bindungstyp**: gibt an, ob das Unternehmen ein **Managed Google Play-Konto** oder eine **verwaltete Google-Domain** verwendet. - **Mit Google Workspace synchronisiert** (Badge wird angezeigt, wenn die Verzeichnissynchronisierung aktiv ist) - **Mit Google Workspace synchronisieren** (wird angezeigt, wenn die Verzeichnissynchronisierung nicht konfiguriert ist; öffnet das Anleitungsfenster unten auf der Seite) ### Android Enterprise-Bindung Android Management kann entweder mit einem **Managed Google Play-Konto** oder einer **verwalteten Google-Domain** verknüpft werden. Das Feld **Bindungstyp** zeigt, welche Option derzeit mit Ihrem Unternehmen verknüpft ist. Ein **Managed Google Play-Konto** ist ein schlankes Android Enterprise-Konto. Es eignet sich für die Verwaltung von Android-Geräten und -Apps über Cerberus Enterprise, ist jedoch von einer Google Workspace- oder Cloud Identity-Organisation getrennt. Es bietet nicht die zentrale Google-Verwaltung, die mit einer verwalteten Google-Domain verfügbar ist. Eine **verwaltete Google-Domain** verknüpft Android Enterprise mit der Google-Identität Ihrer Organisation. IT-Administratoren können Google-Produkte wie Google Workspace, Cloud Identity und Gemini über die Google Admin Console verwalten und gleichzeitig Android-Apps und -Richtlinien in Cerberus Enterprise verwalten. Dies ermöglicht einen optimierten, integrierten Ansatz für die Android-Verwaltung und unterstützt Registrierungs- und Benutzerverwaltungsabläufe auf Basis von Google Workspace. Wenn das Unternehmen ein Managed Google Play-Konto verwendet, bietet die Karte Einstellungen die Aktion **Auf verwaltete Google-Domain upgraden** und eine Informationsaktion. Das Upgrade öffnet den geführten Prozess von Google, um das bestehende Android Enterprise in eine verwaltete Domain zu verschieben.Während des Upgrades kann Google ein vorhandenes Google Admin-Konto verknüpfen, das Ihrer geschäftlichen E-Mail-Adresse zugeordnet ist, oder automatisch ein neues kostenloses Google Admin-Konto erstellen. Verwenden Sie eine geschäftliche E-Mail-Adresse wie *name@enterprise.com*, um den geführten Einrichtungsprozess von Google fortzusetzen.
## Apple Device Management Die Karte **Apple Device Management** zeigt den Status der Apple-Geräteverwaltung (MDM) für Ihr Unternehmen. Wenn die Apple-Verwaltung noch nicht konfiguriert ist, bietet die Karte die Aktion **Apple Management einrichten**, die den Einrichtungsablauf öffnet. ### Konfigurierter Zustand Wenn die Apple-Verwaltung konfiguriert ist, kann die Karte Folgendes anzeigen: - **Apple-ID** - **Ablauf des Apple Push Certificate**: zeigt das Ablaufdatum und ein Symbol-Badge. Wenn das Zertifikat bald abläuft oder abgelaufen ist, ist das Badge anklickbar und öffnet die Anleitung zur Erneuerung. - **Ablauf des Apple Business Token**: zeigt den Ablauf des Apple Business Token, das für Automated Device Enrollment verwendet wird (mit einem anklickbaren Badge, wenn eine Aktion erforderlich ist). - **Apps and Books Token**: zeigt den Organisationsnamen und den Ablauf des Apple Apps and Books Content-Tokens, früher Volume Purchase Program (VPP) (mit einem anklickbaren Badge, wenn eine Aktion erforderlich ist). - **Cerberus Enterprise app**: zeigt auf der Karte für das Apps and Books Token, ob die App in Ihrer Apple Business Bibliothek ist: **In Ihrer Bibliothek (unbegrenzte Lizenzen)**, **Nicht in Ihrer Bibliothek** oder **Nicht verfügbar: Das Apps and Books Token ist abgelaufen**, und wie viele iPhones und iPads darauf warten. Wenn die App fehlt, listet die Zeile die Schritte auf, um sie hinzuzufügen (öffnen Sie in Apple Business **Apps & Services** → **Apps & Books** → **App Store**, suchen Sie nach „Cerberus Enterprise“, klicken Sie auf **View**, dann auf **Add**, wählen Sie **All current and future** in **Organizational Units**, klicken Sie auf **Add**, dann auf **Review** und bestätigen Sie). **Check again** liest die Bibliothek erneut (höchstens alle 5 Minuten); die Geräte, die auf die App warten, erhalten sie dann. - **Apple Business**: Link zum Apple Business Portal, wird angezeigt, wenn ein Apple Business Token vorhanden ist. - **Mit Apple Business synchronisieren** und **Mit Apple Apps and Books synchronisieren**: werden angezeigt, wenn Token fehlen.Die Apple-Verwaltung erfordert die Einrichtung des APNs-Zertifikats. Bei Bedarf finden Sie unter [**Apple Management einrichten (APNs)**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/apple-management-einrichtung-apns "Apple Management setup (APNs)") weitere Informationen.
## Präferenzen & Datenschutz Die Karte **Präferenzen & Datenschutz** enthält einen Umschalter für Marketingpräferenzen und Links zu den Nutzungsbedingungen und der Datenschutzrichtlinie. Verwenden Sie **Präferenzen speichern**, um Änderungen zu übernehmen (während des Speicherns wird ein Fortschrittsindikator angezeigt). ## Feedback senden Wenn Abonnements für das Konto aktiviert sind, kann die Seite eine Karte **Feedback senden** mit Links zu **Funktionswunsch einreichen** und externen Bewertungsplattformen anzeigen. ## Inline-Anleitungen für Einrichtung und Erneuerung Unten auf der Seite kann das Dashboard je nach aktuellem Status erweiterbare Anleitungsfenster anzeigen (zum Beispiel, wenn ein Zertifikat bzw. Token fehlt oder bald abläuft). ### Apple Push Certificate (APNs) erneuern Wenn das APNs-Zertifikat bald abläuft oder abgelaufen ist, zeigt die Seite ein Fenster mit Schritten zum Herunterladen einer CSR, zum Erneuern des Zertifikats im Apple Portal und zum Hochladen des neuen Zertifikats in Cerberus Enterprise.Solange ein Zertifikat oder Token noch gültig ist, öffnet die Schaltfläche zum Hochladen daneben dieselben Schritte. Verwenden Sie sie, wenn Sie ein neues Apple Business- oder Apps and Books-Token heruntergeladen haben, weil das alte nicht mehr funktioniert, oder um das Apple Push Certificate vorzeitig zu erneuern. Erneuern Sie immer das aktuelle Apple Push Certificate: Ein anderes wird abgelehnt, solange Apple-Geräte registriert sind, da sie sonst nicht mehr erreichbar wären.
### Mit Apple Business synchronisieren Wenn das Apple Business Token fehlt, abgelaufen ist oder bald abläuft, zeigt die Seite ein Fenster mit den Schritten zum Herunterladen eines Tokens aus Apple Business und zum Hochladen in Cerberus Enterprise. Für eine neue Verbindung generieren Sie das öffentliche Schlüsselzertifikat in Cerberus Enterprise und öffnen Sie dann in Apple Business **Devices** → **Management Services**, klicken Sie auf **Add** unter **Device Management Services**, wählen Sie **Connect external device management** und klicken Sie auf **Continue**; geben Sie einen **Service Name** ein (zum Beispiel Cerberus Enterprise), laden Sie das Zertifikat mit **Upload Certificate** hoch, klicken Sie auf **Next** und dann auf **Download Service Token** und **Done**. Um den Token zu erneuern, wählen Sie den Dienst Cerberus Enterprise in **Management Services** aus, klicken Sie oben rechts auf die Schaltfläche **…** (mehr) und wählen Sie **Download Token**.Geräte werden nur dann bei Cerberus Enterprise registriert, wenn sie in Apple Business seinem Dienst zugewiesen sind: Öffnen Sie **Devices** → **Management Services** → **Default Device Assignment**, um neue Geräte automatisch zuzuweisen (pro Gerätetyp), oder öffnen Sie **Devices** → **Inventory**, wählen Sie die Geräte aus und klicken Sie auf **Assign Device Management**.
### Mit Apple Apps and Books (VPP) synchronisieren Wenn das Apps and Books Token fehlt, abgelaufen ist oder bald abläuft, zeigt die Seite ein Fenster mit den Schritten zum Herunterladen eines Content-Tokens aus Apple Business und zum Hochladen in Cerberus Enterprise: Öffnen Sie in Apple Business oben rechts das Organisationsmenü (Ihr Organisationsname) → **Settings** → **Organizational Units**, wählen Sie die Organisationseinheit aus (die Standardeinheit ist Ihre Organisation) und klicken Sie auf **Download** im Abschnitt **Content Token**. Der Token läuft nach einem Jahr ab oder früher, wenn sich das Passwort des Apple Account ändert, mit dem er heruntergeladen wurde. Der letzte Schritt der Apps and Books Einrichtung fügt die kostenlose Cerberus Enterprise App Ihrer Apple Business Bibliothek hinzu, sodass Cerberus sie auf Ihren iPhones und iPads installieren kann. ### Mit Google Workspace synchronisieren Wenn die Google Workspace Verzeichnissynchronisierung nicht konfiguriert ist, zeigt die Seite ein Fenster, das die Integration erläutert und eine Schaltfläche zur Autorisierung bereitstellt. Außerdem wird der erforderliche Google OAuth-Bereich aufgeführt: **https://www.googleapis.com/auth/admin.directory.user.readonly**.Informationen zur erstmaligen Android-Einrichtung finden Sie unter [**Android Management einrichten**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/einrichtung-von-android-management "Android Management setup").
# Mandantenfähigkeit # Multi-Tenancy-Übersicht Der Abschnitt **Multi-Tenancy** ist für MSP- und Unternehmensmanagerkonten verfügbar, die mehrere Kundenunternehmen von einer einzigen Anmeldung aus verwalten. Dieses Kapitel erläutert das Unternehmensbereichsmodell, den Unternehmenswechsel, die Verwaltung verwalteter Unternehmen und Unterkonten.Um ein Multi-Tenancy-Konto anzufordern, wenden Sie sich an [**enterprise@cerberusapp.com**](mailto:enterprise@cerberusapp.com).
## Kernkonzepte - **Haupt-Multi-Tenancy-Konto**: das primäre Managerkonto, das auf den globalen Multi-Tenancy-Arbeitsbereich zugreifen kann. - **Unterkonto**: ein vom Hauptkonto erstelltes delegiertes Managerkonto mit auswählbaren Unternehmenszuweisungen. - **Ausgewählter Unternehmenskontext**: das aktive Unternehmen, das derzeit im Dashboard für den täglichen Betrieb geöffnet ist. - **Delegierung**: eine vom Eigentümer eines Unternehmens erteilte Berechtigung, die es einem Managerkonto ermöglicht, auf das Unternehmen zuzugreifen und es zu verwalten. ## Navigationsmodell Wenn kein Unternehmenskontext ausgewählt ist, zeigt die Seitennavigation Multi-Tenancy-Bereiche wie **Unternehmen** und, für Hauptkonten, **Unterkonten** an. Nach dem Öffnen eines Unternehmens wechselt das Dashboard zur standardmäßigen Einzelunternehmens-Navigation (Startseite, Benutzer, Geräte, Registrierung, Richtlinien und mehr). ## Eigentum und Delegierung Jedes verwaltete Unternehmen hat einen Eigentümer. Der Eigentümer kann stets auf dieses Unternehmen zugreifen. Managerkonten, die nicht Eigentümer sind, können nur dann auf ein Unternehmen zugreifen, wenn eine Delegierung gewährt wurde. - Wenn ein Unternehmen über einen eigenen Administratorbenutzer verfügt, ist dieser Administrator der Eigentümer und entscheidet, welche Managerkonten auf das Unternehmen zugreifen dürfen. - Wenn ein Unternehmen über keinen eigenen Administratorbenutzer verfügt, ist das Haupt-Multi-Tenancy-Konto der Eigentümer. - Bei Unternehmen, die einem Kundenadministrator gehören, kann das Hauptkonto den Zugriff für seine eigenen Unterkonten gewähren oder entziehen, solange ihm selbst Zugriff gewährt wurde; es kann sich jedoch nicht selbst Zugriff gewähren. - Wenn der Unternehmensadministrator den Zugriff für das Hauptkonto entzieht, wird auch der Zugriff für dessen Unterkonten entzogen. - Wenn Sie ein Unternehmen aus den Zuweisungen eines Unterkontos entfernen, wird auch der Zugriff dieses Unterkontos auf das Unternehmen entzogen. Wenn Sie es später erneut zuweisen, muss der Zugriff erneut gewährt werden. Unternehmensadministratoren verwalten den Zugriff über die Karte **Zugriff für Unternehmensmanager** auf der Seite **Einstellungen**.Eigentümer- und Delegierungsstatus werden direkt auf den Unternehmenskarten angezeigt, damit der Zugriffsbereich vor dem Öffnen eines Unternehmens klar ersichtlich ist.
## Lizenz- und Abrechnungsaktionen Multi-Tenancy-Ansichten zeigen Lizenzstatus, Gerätelimits und Abrechnungsaktionen für Unternehmen an. Je nach Abonnementstatus des Unternehmens und Ihren Berechtigungen kann die Karte **Abrechnung verwalten** oder **Lizenz kaufen** anzeigen. Bei Unternehmen, die von einem Multi-Tenancy-Konto erstellt wurden, wird die Lizenzverwaltung von Multi-Tenancy-Benutzern übernommen. Das Hauptkonto kann die Lizenzverwaltung stets übernehmen, während Unterkonten dies nur können, wenn das Hauptkonto **Kann Lizenzen verwalten** für dieses Unterkonto aktiviert. ## Seiten in diesem Kapitel - [**Verwaltete Unternehmen**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/verwaltete-unternehmen "Managed enterprises"): Suche, Filter, Kartendetails und Erstellung von Unternehmen. - [**Unternehmenswechsel**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/unternehmenswechsel "Enterprise switching"): Verhalten des oberen Umschalters und Bereichsübergänge. - [**Unterkonten**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/unterkonten "Sub-accounts"): delegierte Bediener, Zuweisungen und Verwaltung von Anmeldedaten. # Verwaltete Unternehmen Die Seite **Unternehmen** (*Dashboard* → *Unternehmen*) ist die Steuerzentrale für den Zugriff auf verwaltete Unternehmen. Sie listet alle Unternehmen auf, die für Ihr Multi-Tenancy-Konto sichtbar sind, und ermöglicht es Ihnen, zu filtern, Eigentum/Delegierung zu prüfen, einen Unternehmenskontext zu öffnen und neue verwaltete Unternehmen zu erstellen (nur Hauptkonten). ## Suche und Filter - **Unternehmen suchen**: filtert nach Unternehmensname oder Unternehmens-ID. - **Delegierung**: **Alle**, **Delegiert** oder **Nicht delegiert**. - **Lizenzstatus**: **Alle**, **Gültig**, **Läuft bald ab**, **Abgelaufen** oder **Beendet**. ## Unternehmenskarten Jede Unternehmenskarte zeigt wichtige Verwaltungsmetadaten: - **Lizenzstatus** mit Symbol-Badge und kontextbezogenem Tooltip. - **Lizenzierte Geräte** (Gerätelimit des Unternehmens). - **Nächste geplante Verlängerung** oder **Ablaufdatum**, je nach Abonnementstatus. - **Delegierungsstatus** (**Eigentümer**, **Gewährt** oder **Nicht gewährt**). - Anzeigename und Benutzername des **Eigentümers**. ### Kürzlich ausgewählte Unternehmen Unternehmen, auf die Sie kürzlich zugegriffen haben, werden im Abschnitt **Kürzlich ausgewählt** angeheftet, um wiederholte Kontextwechsel zu beschleunigen. ## Unternehmensaktionen - **Unternehmen öffnen**: öffnet den Kontext des ausgewählten Unternehmens, wenn Delegierung/Eigentum den Zugriff erlaubt. - **Abrechnung verwalten**: öffnet die Abrechnungsverwaltung des Unternehmens, wenn verfügbar und zulässig. - **Lizenz kaufen**: öffnet den Kaufvorgang für das Unternehmen, wenn die Abrechnung nicht aktiv ist. ### Wer Lizenzen verwalten kann Bei Unternehmen, die von einem Multi-Tenancy-Konto erstellt wurden, wird die Lizenzverwaltung von Multi-Tenancy-Benutzern gesteuert. Das Hauptkonto kann für diese Unternehmen jederzeit Abrechnungs- und Lizenzaktionen verwalten. Unterkonten können Abrechnungs- und Lizenzaktionen nur verwalten, wenn das Hauptkonto die Berechtigung **Kann Lizenzen verwalten** auf der Seite [**Unterkonten**](https://enterprise.cerberusapp.com/docs/books/benutzerhandbuch/page/unterkonten "Sub-accounts") erteilt. ## Verwaltetes Unternehmen erstellen Haupt-Multi-Tenancy-Konten können **Verwaltetes Unternehmen erstellen** im unteren Aktionsbereich aufklappen. - **Unternehmensname** ist erforderlich. - **Administratorbenutzer pro Unternehmen erstellen** steuert den Eigentumsmodus. - Wenn aktiviert, sind **Administrator-Benutzername** (E-Mail-Format) und **Administratorname** erforderlich. - Vor der Erstellung fasst ein Bestätigungsdialog den Vorgang zusammen und warnt gegebenenfalls, dass temporäre Anmeldedaten per E-Mail an den neuen Administratorbenutzer gesendet werden.Der neue Administratorbenutzer muss bei der ersten Anmeldung mit dem temporären Passwort ein neues Passwort wählen.
### Eigentumsmodus - **Administrator pro Unternehmen aktiviert**: Der neue Administratorbenutzer ist Eigentümer des Unternehmens und kann die Verwaltung an Ihr Multi-Tenancy-Konto delegieren. - **Administrator pro Unternehmen deaktiviert**: Das Unternehmen gehört direkt Ihrem Multi-Tenancy-Konto. ### Unternehmenskontingent Wenn das Konto das konfigurierte Unternehmenskontingent erreicht, wird die Erstellung blockiert und das Formular zeigt eine Support-Kontaktmeldung mit der aktuellen und maximalen Unternehmensanzahl an.Wenn das Unternehmenskontingent erreicht ist, können Sie keine weiteren verwalteten Unternehmen erstellen, bis Ihr Limit erhöht wird.
# Unternehmenswechsel Der Unternehmensumschalter in der oberen Symbolleiste ermöglicht es Multi-Tenancy-Benutzern, zwischen delegierten Unternehmen zu wechseln, ohne sich abzumelden. Er ist verfügbar, wenn mindestens ein Unternehmenskontext ausgewählt werden kann. ## Verhalten des Umschalters - Der Umschalter zeigt den Namen des aktuellen Unternehmens (oder die Unternehmens-ID, falls kein Name verfügbar ist). - Das Menü listet delegierte/zugängliche Unternehmen auf und markiert das aktuelle Unternehmen als bereits ausgewählt. - Während des Wechsels sind die Aktionen des Umschalters vorübergehend deaktiviert, um gleichzeitige Bereichsänderungen zu verhindern. ## Unternehmen verlassen Das Umschaltmenü enthält **Unternehmen verlassen**, wodurch der aktuelle Unternehmenskontext gelöscht und Sie zum globalen Multi-Tenancy-Arbeitsbereich zurückgeführt werden. ## Regeln zum Zurücksetzen des Kontexts Das Wechseln oder Verlassen eines Unternehmens setzt den Dashboard-Bereich zurück. Unternehmensspezifische Seiten und Daten werden für den neu ausgewählten Kontext aktualisiert, und die Sichtbarkeit des Menüs passt sich an, ob derzeit ein Unternehmen ausgewählt ist. Das ausgewählte Unternehmen gilt für alle Ihre geöffneten Browser-Tabs. Wenn Sie in einem Tab ein Unternehmen wechseln oder verlassen, laden die anderen Tabs das Dashboard bei ihrer nächsten Aktion neu, sodass sie nie mit einem anderen Unternehmen arbeiten als dem angezeigten.Verwenden Sie den Umschalter für schnelle operative Kontextwechsel, prüfen Sie jedoch den Namen des ausgewählten Unternehmens, bevor Sie sensible Aktionen wie Richtlinienaktualisierungen oder Gerätebefehle ausführen.
# Unterkonten Die Seite **Unterkonten** (*Dashboard* → *Unterkonten*) ist für Haupt-Multi-Tenancy-Konten verfügbar. Sie ermöglicht es Ihnen, delegierte Managerbenutzer zu erstellen, verwaltete Unternehmen zuzuweisen, Abrechnungsberechtigungen zu steuern und Anmeldedaten für Unterkonten zu verwalten. ## Liste der Unterkonten Jede Unterkonto-Karte zeigt Identitäts- und Verwaltungselemente: - **Name** und **Benutzername/E-Mail**. - **Verwaltete Unternehmen**: Mehrfachauswahl-Zuweisung. - **Kann Lizenzen verwalten**-Berechtigungsumschalter. - **Passwort zurücksetzen** und **Löschen**-Aktionen. ## Zuweisung verwalteter Unternehmen Unternehmenszuweisungen werden über das Mehrfachauswahlfeld **Verwaltete Unternehmen** bearbeitet. Wenn Sie die Auswahl nach Änderungen schließen, fragt das Dashboard vor dem Speichern der Aktualisierungen eine Bestätigung ab. Durch die Zuweisung eines Unternehmens wird es für das Unterkonto verfügbar, aber das Unterkonto kann es erst öffnen, nachdem der Zugriff gewährt wurde. Wenn Sie ein Unternehmen aus den Zuweisungen entfernen, wird auch der Zugriff des Unterkontos darauf entzogen. ## Berechtigung zur Lizenzverwaltung Der Umschalter **Kann Lizenzen verwalten** steuert, ob ein Unterkonto auf Abrechnungs-/Lizenzverwaltungsaktionen des Unternehmens zugreifen kann. Bei Unternehmen, die vom Multi-Tenancy-Konto erstellt wurden, hat das Hauptkonto stets Lizenzverwaltungsrechte. Unterkonten erhalten Lizenzverwaltungsrechte nur, wenn dieser Umschalter vom Hauptkonto aktiviert wird. ## Passwort zurücksetzen **Passwort zurücksetzen** generiert nach der Bestätigung ein neues temporäres Passwort und sendet es per E-Mail an das Unterkonto.Bei der Anmeldung mit einem temporären Passwort – sei es nach einem Zurücksetzen oder bei einem neu erstellten Unterkonto – muss der Benutzer ein neues Passwort wählen, bevor er fortfährt.
## Unterkonto löschen Das Löschen eines Unterkontos erfordert eine Bestätigung und entzieht dem Konto dauerhaft den delegierten Zugriff. ## Unterkonto erstellen Verwenden Sie den unteren Aktionsbereich **Unterkonto erstellen**, um einen neuen delegierten Manager hinzuzufügen. - **E-Mail**: erforderlich und wird im E-Mail-Format validiert. - **Name**: erforderlicher Anzeigename. - **Kann Lizenzen verwalten**: optionale anfängliche Abrechnungsberechtigung. - Vor der Erstellung warnt ein Bestätigungsdialog, dass eine E-Mail mit einem temporären Passwort an die angegebene Adresse gesendet wird. # Einblicke Hier sind einige Artikel, die Ihnen zeigen, wie MDM Ihrem Unternehmen helfen kann: ## [Was ist der Kioskmodus? Ein Leitfaden zum Absichern von Android- und Apple-Geräten für Unternehmen](https://enterprise.cerberusapp.com/de/insights/what-is-kiosk-mode-lock-down-android-apple-business) Der Kioskmodus verwandelt Standard-Smartphones und -Tablets in fokussierte Business-Tools. Cerberus Enterprise hilft Organisationen, Geräte auf eine App oder eine kleine, genehmigte Auswahl von Apps zu beschränken – für Anwendungsfälle wie POS im Einzelhandel, Check-in für Gäste und Flottennavigation – und macht diese spezialisierten Geräte gleichzeitig einfacher zu sichern, zu unterstützen und im großen Maßstab zu verwalten. ## [Die richtige MDM-Lösung wählen: Eine 7-Punkte-Checkliste für kleine Unternehmen](https://enterprise.cerberusapp.com/de/insights/choose-right-mdm-solution-small-business-checklist) Die Auswahl einer MDM-Lösung spät im Beschaffungsprozess ist einfacher, wenn der Vergleich praxisnah bleibt. Diese Checkliste hilft kleinen Unternehmen, Anbieter anhand der sieben Kriterien zu bewerten, die bei realen Bereitstellungen meist am wichtigsten sind: Sicherheit, Unterstützung für Android und Apple, Benutzerfreundlichkeit für schlanke Teams, Skalierbarkeit, Datenschutzgrenzen, Gesamtbetriebskosten und alltägliche Supportfähigkeit. ## [Einen sicheren und fokussierten digitalen Unterrichtsraum schaffen: Ein Leitfaden zu MDM für K-12-Schulen](https://enterprise.cerberusapp.com/de/insights/k12-schools-mdm-safe-focused-digital-classroom) Von Schulen verwaltete Geräte funktionieren am besten, wenn sie auf das Lernen ausgerichtet bleiben. Cerberus Enterprise hilft K-12-Organisationen, Schüler-Geräte durch verwaltete Apps, Einschränkungen im Kioskstil, standardisierte Einrichtungen für gemeinsam genutzte oder ausgeliehene Geräte und Remote-Wiederherstellungsaktionen fokussiert zu halten, die Verluste, Abweichungen und Unterrichtsstörungen reduzieren. ## [Ihre Außendiensttechniker ausstatten: Wie MDM Effizienz und Sicherheit vor Ort steigert](https://enterprise.cerberusapp.com/de/insights/field-technicians-mdm-onsite-efficiency-security) Außendiensttechniker sind bei der Arbeit vor Ort auf mobile Geräte angewiesen, um Zeitpläne, Servicenotizen, technische Referenzen, Kundenhistorie und Auftragsaktualisierungen abzurufen. Cerberus Enterprise hilft, diese Geräte durch verwaltete Apps, standardisierte Gerätemodelle, Remote-Support-Befehle und standortbasierte Transparenz bereitzuhalten, die die Dispositionskoordination verbessern und gleichzeitig die Sicherheit im Außendienst stärken kann. ## [Jenseits der Karte: MDM für intelligenteres Flottenmanagement und mehr Fahrersicherheit](https://enterprise.cerberusapp.com/de/insights/mdm-smarter-fleet-management-driver-safety) Flottenbetriebe verlassen sich auf mobile Geräte für Navigation, Disposition, Messaging, Protokollierung und Außendiensteinsätze. Cerberus Enterprise hilft, diese Geräte durch verwaltete Apps, Kiosk- und dedizierte Gerätesteuerung, sichere Kommunikationsrichtlinien, Remote-Fehlerbehebung und standortbasierte Überwachung auf genehmigte Arbeitsabläufe auszurichten, wodurch Ausfallzeiten reduziert und sicherere Fahrvorgänge unterstützt werden können. ## [Wie Geofences, Live-Tracking und Standortkarten Unternehmensabläufe verbessern](https://enterprise.cerberusapp.com/de/insights/geofences-live-tracking-location-maps) Standortbasierte Funktionen in Cerberus Enterprise helfen Organisationen, von einfacher Gerätetransparenz zu praktischerer operativer Kontrolle überzugehen. Regelmäßige Standortmeldungen, Live-Tracking, Geofence-Übergänge und interaktive Karten können Logistik, Außendienst, Gesundheitswesen, Einzelhandel, Bauwesen und andere verteilte Teams unterstützen, die besser verstehen müssen, wo gearbeitet wird und wann Geräte wichtige Bereiche betreten oder verlassen. ## [Wie Multi-Tenancy MSPs dabei hilft, MDM-Dienste zu skalieren und neue Einnahmequellen zu erschließen](https://enterprise.cerberusapp.com/de/insights/multi-tenancy-mdm-msp-growth) Multi-Tenancy ermöglicht es MSPs, Wiederverkäufern und Organisationen mit mehreren Unternehmen, mehrere Mandanten von einem einzigen Cerberus-Enterprise-Konto aus zu verwalten und dabei jede Umgebung getrennt zu halten. Dieses Modell reduziert operativen Reibungsverlust, verbessert die Skalierbarkeit der Dienste und unterstützt delegierten Zugriff über Unterkonten und ausdrücklich kundengesteuerte Administration. Es schafft zudem stärkere Geschäftsmöglichkeiten für Anbieter, die Softwarelizenzierung mit Onboarding, Support, Compliance und Managed-Mobility-Diensten kombinieren möchten. ## [Die betriebliche Effizienz im Unternehmen mit MDM-Lösungen steigern](https://enterprise.cerberusapp.com/de/insights/mdm-operativity) Mobile Device Management zentralisiert die Kontrolle über Unternehmensgeräte und vereinfacht Registrierung, Konfiguration und Wartung. Automatisiertes Provisioning und Massenvorgänge reduzieren manuelle IT-Arbeit und sorgen für einheitliche Richtlinien auf allen Geräten. Sicherheitsfunktionen wie Verschlüsselung, Compliance-Überwachung und Remote-Wipe schützen Unternehmensdaten. Insgesamt steigert MDM die Produktivität und senkt gleichzeitig Supportkosten und operative Komplexität. ## [Erweiterte Sicherheit im Android Enterprise Management](https://enterprise.cerberusapp.com/de/insights/android-enterprise-security) Android Enterprise verwendet ein Arbeitsprofil, um Unternehmens-Apps und -Daten auf demselben Gerät von persönlichen Inhalten zu trennen. Diese Containerisierung schafft getrennte verschlüsselte Umgebungen, die von IT-Administratoren unabhängig verwaltet werden. Sicherheitsrichtlinien können die Freigabe von Unternehmensdaten steuern, ohne persönliche Apps zu beeinträchtigen. Die Architektur schützt Geschäftsdaten auch dann, wenn persönliche Anwendungen kompromittiert werden. ## [Apple iPhone MDM und automatisierte Registrierung](https://enterprise.cerberusapp.com/de/insights/apple-iphone-mdm) Das MDM-Framework von Apple ermöglicht die zentrale Verwaltung von iPhones in Unternehmensumgebungen. In Kombination mit Apple Business Manager können Geräte sich bei der ersten Aktivierung automatisch registrieren und konfigurieren. Administratoren können Unternehmens-Apps im Hintergrund bereitstellen und konfigurieren, Sicherheitseinstellungen durchsetzen und die Compliance überwachen. Diese Automatisierung sorgt für eine einheitliche Gerätekonfiguration und reduziert Einrichtungsfehler. ## [Mobile Device Management verstehen](https://enterprise.cerberusapp.com/de/insights/understanding-mdm) Mobile Device Management bietet eine zentrale Plattform zum Überwachen, Absichern und Steuern mobiler Geräte, die auf Unternehmenssysteme zugreifen. Zu den Kernfunktionen gehören das Durchsetzen von Sicherheitsrichtlinien, die Verwaltung von Anwendungen sowie das Remote-Sperren oder -Löschen verlorener Geräte. MDM hilft, Unternehmensdaten zu schützen und gleichzeitig die Compliance der Geräte aufrechtzuerhalten. Es ermöglicht Organisationen jeder Größe, wachsende mobile Belegschaften sicher zu verwalten. ## [Bereitstellungsmodelle für Unternehmensgeräte](https://enterprise.cerberusapp.com/de/insights/device-deployment-models) Organisationen können verschiedene Eigentumsmodelle für Geräte einsetzen, etwa BYOD, CYOD, COPE, COBO und COSU. Jedes Modell gewichtet Kosten, Benutzerflexibilität und Sicherheitskontrolle unterschiedlich. BYOD priorisiert den Benutzerkomfort, während COBO und COSU die Unternehmenskontrolle und Sicherheit maximieren. Die Wahl des richtigen Modells hängt von regulatorischen Anforderungen, den Anforderungen der Belegschaft und der IT-Verwaltungskapazität ab. ## [MDM vs. EMM vs. UEM](https://enterprise.cerberusapp.com/de/insights/mdm-emm-uem-difference) MDM konzentriert sich auf die Verwaltung und Absicherung mobiler Geräte durch Richtlinendurchsetzung, Konfigurationskontrolle und Remoteverwaltung. EMM erweitert diesen Umfang um Anwendungs- und Inhaltsverwaltung, während UEM versucht, alle Endpunkte einschließlich Laptops und Desktops zu verwalten. Für viele kleine und mittlere Unternehmen bringen vollständige EMM- oder UEM-Suiten unnötige Komplexität mit sich. In der Praxis decken robuste MDM-Funktionen häufig die meisten Anforderungen an die mobile Verwaltung ab. ## [MDM auf privaten Smartphones und Datenschutz für Mitarbeiter](https://enterprise.cerberusapp.com/de/insights/mdm-personal-phone-privacy) Moderne MDM-Systeme nutzen Containerisierung, um Arbeits- und persönliche Daten auf mitarbeitereigenen Geräten zu trennen. Arbeitgeber können nur die Arbeitsumgebung verwalten und überwachen, einschließlich Unternehmens-Apps und Compliance-Informationen der Geräte. Persönliche Daten wie Fotos, Nachrichten und Browserverlauf bleiben für das Unternehmen unzugänglich. Diese technische Trennung ermöglicht sichere BYOD-Programme und wahrt gleichzeitig die Privatsphäre der Mitarbeiter. ## [MDM-ROI und Geschäftswert](https://enterprise.cerberusapp.com/de/insights/mdm-roi-business-value) MDM sollte als strategische Investition und nicht als reine Sicherheitsausgabe betrachtet werden. Es erzielt finanzielle Erträge durch weniger Geräteverluste, niedrigere IT-Supportkosten und eine höhere operative Effizienz. Automatisierte Verwaltung steigert zudem die Mitarbeiterproduktivität und reduziert Ausfallzeiten. Darüber hinaus senkt eine stärkere Sicherheit das Risiko und die finanziellen Auswirkungen von Datenschutzverletzungen. ## [HIPAA-konforme Geräteverwaltung](https://enterprise.cerberusapp.com/de/insights/hipaa-compliant-device-management) Gesundheitsorganisationen müssen elektronische Patientendaten gemäß den HIPAA-Sicherheitsanforderungen schützen. MDM hilft, Verschlüsselung, Authentifizierungskontrollen, sichere Datenübertragung und detaillierte Prüfprotokolle durchzusetzen. Es ermöglicht außerdem Remote-Wipe und zentrale Richtlinendurchsetzung für Geräte, die auf medizinische Systeme zugreifen. Diese Kontrollen verringern Compliance-Risiken und ermöglichen gleichzeitig mobile Arbeitsabläufe im Gesundheitswesen. ## [MDM für Einzelhandelsbetrieb und Sicherheit](https://enterprise.cerberusapp.com/de/insights/retail-operations-mdm-security) Einzelhandelsorganisationen verlassen sich auf mobile Geräte für POS-Systeme, Bestandsverwaltung und betriebliche Abläufe im Geschäft. MDM stellt sicher, dass diese Geräte sicher und aktuell bleiben und Standards wie PCI-DSS erfüllen. Die zentrale Verwaltung reduziert Ausfallzeiten und vereinfacht die Gerätebereitstellung an mehreren Standorten. Das Ergebnis sind eine höhere operative Effizienz und ein geringeres Risiko zahlungsbezogener Sicherheitsvorfälle.