Schlagwort: WorkspaceONE

Workspace ONE Modern SaaS (ModStack): Was die neue Architektur bedeutet – und warum On-Prem 2410 die Endstation ist

27. Juli 2026 / / Keine Kommentare

Wer On-Prem betreibt, sollte die Migration jetzt planen: Shared SaaS, Preferred SaaS (dedizierter Tenant, ohne Re-Enrollment der Geräte) oder – für regulierte Umgebungen – die partner-gehostete Sovereign Solution.

Wenn ihr in den letzten Monaten Omnissa-Blogs, KB-Artikel oder Community-Posts verfolgt habt, seid ihr an einem Begriff nicht vorbeigekommen: Modern SaaS Architecture, intern und in der Community meist ModStack (Modern Stack) genannt. Klingt erstmal nach Marketing – ist aber die größte technische Umbaumaßnahme in der Geschichte der Plattform seit den AirWatch-Tagen. Und sie hat handfeste Konsequenzen: für die tägliche Administration, für die Feature-Roadmap und vor allem für alle, die noch On-Premises unterwegs sind.

In diesem Beitrag erkläre ich, was ModStack technisch ist, warum Omnissa diesen Schritt geht, welche Features die neue Architektur bereits gebracht hat und noch bringen wird – und wo für On-Prem-Kunden die harte Deadline liegt.

Was ist ModStack? Der Umbau plausibel erklärt

Workspace ONE UEM stammt architektonisch aus der AirWatch-Ära: ein monolithischer Stack aus Windows-Servern (Console, Device Services, AWCM, API) und einer zentralen MS-SQL-Datenbank. Dieselbe Codebasis lief On-Prem beim Kunden und in Omnissas SaaS-Rechenzentren – die SaaS war im Kern eine gehostete On-Prem-Installation.

Das Modell hat zwei strukturelle Probleme. Erstens die Skalierung: Ein Monolith skaliert nur als Ganzes – wer mehr Enrollment-Durchsatz braucht, muss den kompletten Stack größer ziehen, auch wenn nur eine Teilfunktion am Limit ist. Zweitens die Release-Geschwindigkeit: Jede Änderung muss durch den gesamten Monolithen getestet und als großes Release ausgerollt werden. Quartalsweise Major-Releases plus Patch-Zyklen waren die Folge – in einer Welt, in der Apple und Google im Wochentakt neue MDM-Anforderungen liefern, ein echtes Handicap.

ModStack löst beides, indem das Backend in Microservices zerlegt wird: einzelne, unabhängig deploybare Dienste (Enrollment, Profil-Engine, App-Delivery, Event-Verarbeitung usw.) in Containern, orchestriert in einer Cloud-nativen Umgebung. Jeder Dienst skaliert für sich, jeder Dienst kann einzeln aktualisiert werden – ohne Big-Bang-Release, ohne Wartungsfenster für die ganze Plattform. Die Kommunikation zwischen UEM und Geräten wurde laut Omnissa dabei um mehr als das Zehnfache beschleunigt: Neue Apps und Settings kommen praktisch sofort auf dem Gerät an („Desired State“ statt Polling-Warterei).

Warum macht Omnissa das?

  • Innovationsgeschwindigkeit: Features können pro Microservice entwickelt und ausgerollt werden. Bestes Beispiel: Die Apple-DDM-Integration importiert Declarative-Management-Konfigurationen inzwischen automatisch aus Apples GitHub-Repository – Day-0-Support für neue iOS-Releases (z. B. iOS 26), ohne dass die Plattform ein Versions-Upgrade braucht.
  • Skalierung und Resilienz: Lastspitzen (Massen-Enrollments, große Rollouts) treffen nur die betroffenen Dienste, die horizontal skalieren. Ausfälle bleiben lokal begrenzt statt die Konsole komplett zu reißen.
  • Infrastruktur-Neutralität: Die containerisierte Architektur läuft auf Public Clouds ebenso wie in privaten Rechenzentren. Genau das ermöglicht die neue Omnissa Sovereign Solution – ein von qualifizierten Partnern komplett lokal gehostetes, modernes UEM für regulierte Branchen (Stichwort GDPR, BDSG, CLOUD-Act-Risiken).
  • Eine Codebasis statt zwei Welten: Die Pflege des On-Prem-Monolithen parallel zur SaaS band Entwicklungsressourcen. Die Konsequenz ist bekannt – und Thema des letzten Abschnitts.

Was ModStack an Features bringt – heute und morgen

Bereits verfügbar (auf Modern-SaaS-Umgebungen)

  • Massiv beschleunigte Geräte-Kommunikation und häufigere Desired-State-Abgleiche – Profile und Apps erreichen Geräte deutlich schneller.
  • Fast Lane Deployment für sofortige Auslieferung kritischer Updates.
  • App-Exclusions auf Versions-Ebene statt pauschal pro Bundle-ID – granulareres App-Management (Achtung, Verhaltensänderung – siehe Warn-Box unten).
  • Verbesserte Troubleshooting-Event-Logs mit mehr Detailtiefe in der Konsole.
  • Apple DDM mit automatischem Konfigurations-Import aus dem Apple-GitHub-Repository (Day-0-Support ohne Plattform-Upgrade).
  • Intelligence-UEM Modern Integration: komplett überarbeitete Datenpipeline mit End-to-End-Monitoring, erweitertem Schema und Daten-Joins in Dashboard-Widgets (erfordert Modern Architecture 2506 Patch 16 oder neuer).

Auf ModStack gebaut: die Feature-Welle 2602/2604

Die jüngsten Releases zeigen, wofür der Umbau gemacht wurde – dieses Tempo und diese Feature-Dichte wären auf dem Monolithen kaum denkbar gewesen:

  • Next-Gen Windows Management: Intelligent Hub Managed Mode ohne OMA-DM-Abhängigkeit, koexistenzfähig mit SCCM/anderen MDMs, Server-side Step-up von Registered zu Managed – und Windows Server Management (GA in 2604).
  • Vulnerability Defense (Limited Availability, 2604): CVE-zu-Endpoint-Mapping mit CrowdStrike-Integration und Remediation direkt aus der Konsole.
  • Enterprise App Repository für Windows (10.000+ Apps) und macOS (kuratierter Katalog mit Auto-Updates).
  • Phased App Deployments, eSIM-Management für Android, erweiterte AMAPI-Policies, modernisierte Konsolen-UI – die Liste wächst mit jedem Release.

Die Richtung ist klar: Neue Features erscheinen zuerst – und zunehmend ausschließlich – auf der Modern-SaaS-Schiene.

On-Premises: Endstation 2410 – die Fakten zur Deadline

Die Kehrseite der ModStack-Strategie: Der On-Prem-Monolith wird nicht auf die neue Architektur portiert. Das bedeutet im Klartext:

Frage Antwort
Bis zu welcher Version kann On-Prem upgegradet werden? Workspace ONE UEM 2410 (24.10) ist die letzte installierbare On-Prem-Version. Einen Upgrade-Pfad auf 2412, 25xx oder 26xx gibt es nicht.
Gibt es noch Patches? Ja – bis zum End of Support werden für 2410 weiterhin Patches bereitgestellt, aber keine neuen Funktionen.
Wann ist Schluss? End of Support: 30. April 2027. Danach gibt es weder Patches noch Support.
Bis wann sollte migriert werden? Deutlich vor dem 30.04.2027 – die Migration selbst (inkl. ACC/UAG/SEG-Neuaufbau, Tests, ggf. Re-Enrollment) braucht je nach Umgebung mehrere Monate Vorlauf. Alle Komponenten müssen für eine unterstützte Migration auf supporteten Versionen laufen.

Wichtig zur Einordnung der Frage „bis wann kann ich noch zu SaaS migrieren“: Es gibt keinen technischen Stichtag, an dem die Migration abgeschaltet wird. Aber nach dem 30.04.2027 betreibt ihr eine unsupportete, ungepatcht alternde Plattform – jede Migration von dort ist ein Risiko-Projekt ohne Herstellerrückendeckung. Praktisch ist der 30.04.2027 daher die Deadline, bis zu der die Migration abgeschlossen sein sollte, nicht gestartet.

Die drei Migrationspfade

Pfad Modell Besonderheit
Shared SaaS Public Cloud, geteilte Ressourcen Kostengünstigster Einstieg; Re-Enrollment der Geräte erforderlich
Preferred SaaS Public Cloud, dedizierter UEM-Tenant Migration ohne Re-Enrollment der Geräte möglich (Device Migration); höhere Kosten
Sovereign Solution Partner-gehostet im lokalen Rechenzentrum Für regulierte Branchen (Energie, Finanzen, Healthcare, Public); volle Datensouveränität auf ModStack-Basis

Fazit

ModStack ist kein Buzzword, sondern die Grundlage für alles, was bei Workspace ONE in den nächsten Jahren passiert – von Day-0-OS-Support über Next-Gen Windows Management bis zur Sovereign Solution. Für SaaS-Kunden heißt das: schnellere Features, aber auch ein paar Verhaltensänderungen, die man vor der Umstellung sauber vorbereitet. Für On-Prem-Kunden heißt es: 2410 ist das Ende des Weges, am 30. April 2027 fällt der Vorhang. Wer jetzt mit der Migrationsplanung beginnt, wandelt die Pflicht in eine Chance – und landet auf einer Plattform, die technologisch endlich wieder vorne mitspielt.

Intelligent Hub Registrierungsfehler nach Backup-Restore: Warum die iOS Keychain dein Enrollment killt

24. Juli 2026 / / Keine Kommentare

Intelligent Hub Registrierungsfehler nach Backup-Restore: Warum die iOS Keychain dein Enrollment killt

Das Fehlerbild

Folgendes Szenario landete diese Woche auf meinem Tisch: Ein iPhone (nicht supervised, Hub-basiertes Enrollment) wird registriert. Schritt 1 und 2 im Hub laufen sauber durch, das MDM-Profil ist installiert – und dann knallt es:

Fehler

Die Registrierung konnte nicht abgeschlossen werden.

Bitte registrieren Sie das Gerät erneut oder wenden Sie sich an Ihren Administrator.

Das Kuriose daran: Aus Sicht der UEM-Konsole ist alles in Ordnung. Das Gerät ist enrolled, Profile werden gepusht und installiert, Compliance läuft, der Benutzer ist in allen Gruppen korrekt zugeordnet. Nur der Intelligent Hub selbst kommt nicht über seine Registrierung hinaus. Und um es noch besser zu machen: Das andere iPhone desselben Benutzers funktioniert ohne Probleme.

Wichtig für das Verständnis: MDM-Enrollment und Hub-Registrierung sind zwei getrennte Vorgänge. Apples mdmclient redet mit den Device Services und installiert das Profil – das lief hier fehlerfrei. Danach macht die Hub-App ihren eigenen Handshake (Token-Austausch plus Hub Services Check-in), um sich mit dem Device Record zu pairen. Und genau der scheiterte.

Was nicht geholfen hat

Die üblichen Verdächtigen wurden der Reihe nach abgearbeitet – ohne Erfolg:

Maßnahme Ergebnis
Device Record auf Duplikate geprüft (Suche per Seriennummer/UDID) Kein doppelter oder veralteter Eintrag vorhanden
Geräte → Lebenszyklus → Registrierungsstatus geprüft Kein verwaister Eintrag, alles sauber
Hub-App gelöscht, Gerät neu gestartet, Hub neu installiert Identischer Fehler beim nächsten Versuch
Enrollment komplett neu (Profil entfernt, Record gelöscht, Re-Enrollment) MDM läuft, Hub-Registrierung scheitert erneut
Benutzer, Gruppen, Enrollment Restrictions geprüft Alles korrekt – zweites Gerät des Users funktioniert

Wenn Konsole, Benutzer und Netzwerk sauber sind und selbst ein komplettes Re-Enrollment nichts ändert, bleibt nur noch eine Erkenntnis: Das Problem liegt auf dem Gerät selbst – und zwar an einer Stelle, die weder App-Neuinstallation noch Re-Enrollment anfasst.

Die Ursache: Die Keychain aus dem Backup

Der entscheidende Hinweis kam aus der Vorgeschichte des Geräts: Es wurde bei der Einrichtung aus einem verschlüsselten iTunes-Backup wiederhergestellt. Und damit war der Fall klar.

Verschlüsselte lokale Backups sichern die komplette Keychain

Verschlüsselte iTunes-/Finder-Backups sichern die iOS Keychain vollständig mit – inklusive der Keychain-Einträge von Third-Party-Apps. Der Intelligent Hub legt genau dort seine Enrollment-Identität ab: das Authentifizierungs-Token, mit dem er sich gegenüber den Device Services als „dieses eine, bereits registrierte Gerät“ ausweist.

Beim Restore kommt diese Identität eins zu eins zurück auf das Gerät. Das Problem: Sie gehört zu einem Enrollment, das serverseitig längst nicht mehr existiert – in unserem Fall war das alte Enrollment vor dem Restore per Enterprise Wipe aus dem MDM entfernt worden. Der Hub präsentiert dem Server also bei jeder Registrierung ein Token, zu dem es keinen Datensatz mehr gibt. Der Server lehnt ab, der Hub wirft die generische Fehlermeldung.

Warum Hub löschen und neu installieren nichts bringt

Hier kommt die zweite iOS-Eigenheit ins Spiel, über die man erst stolpern muss: iOS löscht die Keychain-Einträge einer App bei deren Deinstallation nicht. Der frisch aus dem App Store installierte Hub findet beim ersten Start die alte Identität in der Keychain, verwendet sie – und scheitert exakt gleich. Man kann die App so oft neu installieren, wie man will.

Warum das MDM trotzdem funktioniert

Konfigurationsprofile und der MDM-Verwaltungsstatus sind grundsätzlich nicht Teil von iOS-Backups. Das frische MDM-Enrollment, das nach dem Restore durchgeführt wurde, ist also vollkommen intakt – Apples mdmclient weiß nichts von der Keychain-Leiche und arbeitet brav seine Commands ab. Deshalb das paradoxe Bild: Gerät voll gemanagt, Hub tot.

Info

Diagnose-Tipp: Wenn der Hub nicht bis zum Login kommt, gibt es auch keinen Diagnosebericht aus der App heraus. Alternative: iPhone per USB an einen Mac, Console.app öffnen, Gerät auswählen und den Live-Stream beim Reproduzieren des Fehlers mitschneiden. Filter auf den Hub-Prozess bzw. Suchbegriffe wie „AirWatch“, „awmdm“ oder „deviceservices“. Ein 401/403 beim Registration-Call gegen die Device Services ist die Bestätigung für ein verwaistes Token.

iTunes-Backup vs. iCloud-Backup: Der feine Unterschied

An dieser Stelle lohnt ein Blick in die Apple Platform Security Dokumentation, denn die beiden Backup-Verfahren behandeln die Keychain fundamental unterschiedlich – und genau dieser Unterschied entscheidet darüber, ob euch das Problem beim nächsten Gerätetausch wieder einholt:

Eigenschaft Verschlüsseltes lokales Backup iCloud-Backup
Keychain wird gesichert Ja, vollständig Ja, vollständig
Schutz der Keychain Backup-Passwort (PBKDF2) Gerätespezifischer Hardware-Key (Secure Enclave UID)
Restore auf anderes Gerät Keychain wandert mit (außer ThisDeviceOnly-Items) Keychain wird verworfen – Rest kommt an
Restore auf dasselbe Gerät Keychain kommt zurück Keychain kommt zurück
Risiko im MDM-Kontext Hub-Identität wandert beim Gerätetausch mit Beim Gerätetausch sauber, beim Same-Device-Restore nicht

Kurz gesagt: Das iCloud-Backup verschlüsselt die Keychain mit einem Schlüssel, der aus der Secure Enclave des Geräts abgeleitet wird. Diese Keychain lässt sich damit ausschließlich auf exakt dieselbe Hardware zurückspielen. Beim Gerätetausch bleibt die Hub-Identität des Altgeräts also automatisch auf der Strecke – genau das, was wir im MDM-Umfeld wollen. Das verschlüsselte lokale Backup dagegen schützt die Keychain nur mit dem Backup-Passwort und transportiert sie damit fröhlich auf jede beliebige neue Hardware.

Achtung

Der iCloud-Vorteil greift nur beim Wechsel auf ein anderes Gerät! Wird ein Backup – egal ob lokal oder iCloud – auf dasselbe Gerät zurückgespielt, kommt die Keychain in beiden Fällen zurück. Für ein Re-Enrollment desselben Geräts ist daher grundsätzlich keine Backup-Wiederherstellung geeignet. Und: Auch die Quick-Start-Direktübertragung von Gerät zu Gerät migriert die Keychain – die ist im MDM-Kontext genauso tabu wie das verschlüsselte lokale Backup.

Die Lösung für das betroffene Gerät

Die restaurierte Keychain lässt sich auf dem Gerät nicht selektiv bereinigen – ohne Jailbreak kommt man an die Einträge einer fremden App schlicht nicht ran. Es hilft also nur der harte Schnitt:

  1. MDM-Profil auf dem Gerät entfernen und Device Record in der Konsole löschen (inklusive Check unter Geräte → Lebenszyklus → Registrierungsstatus).
  2. Gerät auf Werkseinstellungen zurücksetzen und als neues iPhone einrichten – ohne Backup-Wiederherstellung.
  3. Enrollment über den Intelligent Hub durchführen und die Registrierung vollständig abschließen, bevor irgendetwas anderes am Gerät passiert.
  4. Persönliche Daten anschließend über die iCloud-Synchronisierungsdienste zurückholen: Fotos, Kontakte, Kalender, Mail und Passwörter via iCloud-Schlüsselbund. Diese Dienste synchronisieren Inhalte, ohne die lokale Keychain des Geräts zu überschreiben.

Ja, ein Factory Reset ist genau das, was man bei einem fertig eingerichteten Endanwender-Gerät vermeiden will. Aber die Kombination aus restaurierter Keychain und gewiptem Device Record ist device-seitig anders schlicht nicht zu reparieren – da hilft auch keine noch so kreative Reihenfolge aus Löschen, Neustarten und Neu-Enrollen.

Der richtige Workflow für die Zukunft

Damit euch das Thema nicht beim nächsten Gerätetausch wieder auf die Füße fällt, hier die Empfehlung für die beiden relevanten Szenarien:

Szenario Empfohlen Vermeiden
Gerätetausch (neue Hardware) Neugerät als neues Gerät einrichten, MDM-Enrollment durchführen, persönliche Daten via iCloud-Dienste synchronisieren. Alternativ: Restore aus iCloud-Backup. Verschlüsseltes lokales Backup (iTunes/Finder/Apple Devices App), Quick-Start-Direktübertragung
Re-Enrollment desselben Geräts (z. B. Benutzerwechsel, Austritt) Factory Reset und Einrichtung als neues Gerät. Immer. Jede Form von Backup-Restore – auch iCloud, da auf identischer Hardware die alte Keychain zurückkehrt
Generell Enrollment immer auf frisch eingerichtetem Gerät, Hub-Registrierung komplett abschließen, bevor weitere Schritte folgen Backup-Restore nach oder während des Enrollments
Tipp

Firmen-Apps und -Konfigurationen müssen ohnehin nicht aus einem Backup kommen – die pusht euer MDM nach dem Enrollment automatisch aufs Gerät. Wer die persönlichen Daten der Anwender konsequent über iCloud-Dienste synchronisiert statt über Backups transportiert, hat beim Gerätetausch den saubersten und nebenbei auch den schnellsten Prozess.

Fazit

Ein Fehlerbild, das auf den ersten Blick nach Konsolen- oder Netzwerkproblem aussieht, entpuppt sich als Apple-Security-Feature mit Nebenwirkungen: Die Keychain überlebt App-Deinstallationen und reist in verschlüsselten lokalen Backups mit – inklusive der Enrollment-Identität des Intelligent Hub. Wer das Verhalten der beiden Backup-Verfahren kennt, erspart sich stundenlanges Troubleshooting an Stellen, an denen das Problem gar nicht liegt. Und wer seinen Gerätetausch-Workflow einmal sauber definiert, sieht diesen Fehler nie wieder.

 

iOS 27 und Workspace ONE: DDM-Migration – Der Schrittplan für deutsche Admins

10. Juni 2026 / / Keine Kommentare

iOS 27 und Workspace ONE: DDM-Migration – Der Schrittplan für deutsche Admins

Apple hat auf der WWDC 2026 den Startschuss gegeben – iOS 27 kommt im September. Für dich als Admin bedeutet das: Legacy MDM ist offiziell Geschichte. Hier bekommst du alles, was du wirklich wissen musst.

💡 Das Wichtigste in 30 Sekunden
iOS 27 erscheint September 2026 – Legacy MDM Update-Commands funktionieren danach NICHT mehr.
DDM (Declarative Device Management) ist ab iOS 27 Pflicht für Software-Update-Enforcement.
Workspace ONE UEM 2406+ unterstützt DDM für iOS – du brauchst mindestens diese Version.
Bestehende Profile und Policies bleiben unberührt – nur Update-Management muss migriert werden.
Die Siri AI kommt in der EU NICHT auf iOS 27 (Digital Markets Act) – vorerst nur auf macOS 27.

Was Apple auf der WWDC 2026 angekündigt hat

A m 8. Juni 2026, hat Apple auf der Worldwide Developers Conference in Apple Park iOS 27 offiziell vorgestellt. Der Fokus lag klar auf KI – konkret auf einem von Googles Gemini-Modell betriebenen Siri. Aber für uns Admins ist etwas anderes der eigentliche Knackpunkt:

  • iOS 27 unterstützt alle Geräte, die aktuell iOS 26 laufen – auch das iPhone 11 und neuere.
  • Apple Intelligence läuft nur auf iPhone 15 Pro, iPhone 16 und iPads/Macs mit M1 oder neuer.
  • Legacy MDM Update-Commands (ScheduleOSUpdate, OSUpdateStatus) werden mit iOS 27 komplett ignoriert.
  • DDM ist ab sofort Standard – nicht optional, nicht „demnächst“, sondern jetzt.
⚠️ Wichtig für die EU / Deutschland
Siri AI wird auf iOS 27 und iPadOS 27 in der EU NICHT verfügbar sein.
Apple begründet das mit dem Digital Markets Act (DMA).
Auf macOS 27, watchOS 27 und visionOS 27 ist Siri AI hingegen auch in der EU verfügbar.
Für Unternehmensumgebungen in Deutschland bleibt der operative Betrieb unverändert.

DDM vs. Legacy MDM – Was hat sich eigentlich geändert?

Der Unterschied zwischen Legacy MDM und DDM ist kein Buzzword – er ist architektonisch. Kurz gesagt:

Merkmal Legacy MDM (alt) DDM – Declarative Device Management (neu)
Steuerung Server schickt Befehle, Gerät führt aus Server definiert Zielzustand, Gerät kommt selbst dahin
Software Updates ScheduleOSUpdate-Command Software Update Enforcement Declaration
Check-in Abhängigkeit Ja – Command-Delivery muss klappen Nein – Gerät arbeitet eigenständig
Fehlertoleranz Gering (kein Check-in = kein Update) Hoch (Gerät retried eigenständig)
Statusreporting Nur nach Command-Ausführung Kontinuierlich via Status-Channel
iOS 27 kompatibel? NEIN – Commands werden ignoriert JA – vollständig unterstützt
Nutzer-Benachrichtigung Einmalig Mehrfach, Wochen im Voraus
ℹ️ Wie DDM intern funktioniert
Beim alten MDM: Workspace ONE schickt „Update jetzt!“ – und wartet.
Bei DDM: Workspace ONE erklärt den gewünschten Zustand (z.B. „iOS 27.0 bis 15.09.2026“).
Das Gerät übernimmt die Verantwortung, diesen Zustand zu erreichen.
Kein Check-in? Kein Problem – beim nächsten Kontakt macht das Gerät weiter.
Schlechte Verbindung? Das Gerät retried ohne serverseitigen Eingriff.

Workspace ONE UEM und DDM – Was du jetzt brauchst

Die gute Nachricht: Omnissa hat seine Hausaufgaben gemacht. DDM ist kein Zukunftsprojekt mehr – es ist fertig. Hier der aktuelle Stand:

WS1 UEM Version DDM Support Details
2406 (August 2024) iOS / iPadOS GA-Release: Software Update Enforcement, DDM Declarations, Status-Channel
2410 (Oktober 2024) macOS DDM für macOS hinzugekommen
2406+ (SaaS) Vollständig Beide Typen: Imperative und Declarative Profiles parallel möglich

Für On-Premises Kunden: Wenn ihr noch auf WS1 UEM 2306 oder älter seid, müsst ihr bis September 2026 auf mindestens 2406 upgraden – sonst habt ihr nach dem iOS 27 Rollout keine Kontrolle mehr über Software Updates auf iOS-Geräten.

⚠️ On-Premises Admins: Handlungsbedarf jetzt
WS1 UEM 2306 und älter: Kein DDM-Support.
Legacy Update-Commands funktionieren nach iOS 27 Release nicht mehr.
Upgrade auf mindestens WS1 UEM 2406 ist Pflicht vor September 2026.
SaaS-Kunden sind automatisch auf dem aktuellen Stand – kein Handlungsbedarf.

Schrittplan: Migration auf DDM in Workspace ONE

Hier ist der praxiserprobte Schrittplan – inklusive Timeline für September 2026:

Schritt 1: WS1 UEM Version prüfen (Sofort)

Prüfe deine aktuelle WS1 UEM Version unter System > General > Product Information.

  • SaaS: Ihr seid automatisch aktuell.
  • On-Premises: Ihr braucht mindestens Version 2406.
  • Ist deine Version älter als 2406, startet den Upgrade-Prozess asap. Bei Fragen, wende dich an deinen Dienstleister des Vertrauens.

Schritt 2: Bestehende iOS Update Policies inventarisieren (Woche 1–2)

Dokumentiert alle vorhandenen Legacy-Update-Policies unter Devices > Apple Updates > iOS/iPadOS Update Policies.

  • Welche Smart Groups sind zugewiesen?
  • Welche Versionen werden enforced?
  • Welche Deferred-Zeiten sind konfiguriert?
ℹ️ Koexistenz möglich
DDM und Legacy MDM können parallel auf denselben Geräten laufen.
Du musst nicht alles auf einmal migrieren.
Sobald eine DDM Software Update Enforcement Declaration aktiv ist, wird sie priorisiert.
Legacy Update Commands werden dann ignoriert – auch wenn sie noch konfiguriert sind.

Schritt 3: Erstes DDM Profil erstellen – Testumgebung (Woche 2–3)

In der Workspace ONE Console navigierst du zu Resources > Profiles > Add Profile > iOS. Jetzt siehst du eine neue Option:

2. Platform: iOS
3. Management Type: Declarative <– neu seit WS1 2406
4. Declaration Type: Configuration

Schritt 4: Testen und Validieren (Woche 3–4)

Beobachte den Status-Channel in WS1 – das ist das neue Herzstück von DDM:

  • Devices > Device Details > [Gerät] > DDM Status
  • Prüfe, ob die Declaration korrekt zugewiesen wurde.
  • Nutzer bekommen jetzt automatisch Benachrichtigungen auf dem Gerät.
  • Validiere das Update nach Enforcement-Datum.

Schritt 5: Rollout auf Produktion (August 2026 – vor iOS 27)

Sobald der Test stabil läuft, rollt ihr die DDM Declarations auf alle iOS-Geräte aus. Folgende Empfehlung für Timing:

Phase Zeitraum Aktion
Vorbereitung Juni 2026 WS1 Version prüfen, Inventarisierung, Test-Declarations erstellen
Pilot Juli 2026 DDM auf 10–20% der Geräte (IT-Team, Power User)
Rollout Welle 1 August 2026 DDM auf 50% der Geräte, Legacy Policies parallel aktiv lassen
Vollständig Vor September 2026 DDM auf 100% der Geräte aktiv
iOS 27 Release September 2026 iOS 27 erscheint – nur DDM Devices bekommen kontrollierten Update-Rollout
Legacy Cleanup Oktober 2026 Alte Legacy Update Policies aus WS1 entfernen

Achtung: TLS-Verschärfung in iOS 27

iOS 27 und macOS 27 erzwingen strengere TLS-Anforderungen für Systemprozesse. Das ist ein separates Thema, aber ein kritisches – insbesondere für On-Premises WS1-Umgebungen mit eigenen PKI-Infrastrukturen:

⚠️ TLS-Kompatibilität prüfen
iOS 27 erzwingt via neuen ProfileAssetReference-Key strengere TLS-Anforderungen.
Betroffen sind Systemprozesse, die HTTPS-Verbindungen zu internen Servern aufbauen.
Prüft eure internen CA-Zertifikate auf SHA-256 Signatur und ausreichende Key-Länge.
Besonders kritisch: On-Premises WS1 mit eigener PKI (z.B. D-Trust, Microsoft CA).
Test-Enrollment mit iOS 27 Developer Beta empfohlen, sobald verfügbar.

Best Practices für deutsche Admins

  1. Migrationszeitpunkt: Nicht bis September warten. Jetzt anfangen.
  2. Test-Gruppe aufbauen: 3–5 Geräte, mindestens iOS 16+, verschiedene Modelle.
  3. Legacy Policies nicht sofort löschen: Koexistenz nutzen, erst nach validiertem DDM-Rollout aufräumen.
  4. Status-Channel auswerten: Das ist euer neues Dashboard für Update-Compliance.
  5. Nutzer-Kommunikation planen: DDM schickt automatisch Benachrichtigungen – stimmt das Timing mit eurer IT-Policy ab.
  6. On-Prem: Seed-Script für neue iOS-Versionen von Omnissa Connect herunterladen (beta-Unterstützung).
  7. TLS-Audit jetzt: Interne CA-Zertifikate auf iOS 27 Kompatibilität prüfen.

Häufige Fehler – und wie ihr sie vermeidet

Fehler Auswirkung Lösung
WS1 Version < 2406 Kein DDM möglich Upgrade auf 2406 oder neuer vor September
Legacy + DDM ohne Priorität beachten Unerwartetes Verhalten DDM Override verstehen: DDM Declaration gewinnt immer
Enforcement Date zu früh gesetzt Nutzer werden überrascht Mindestens 2 Wochen Vorlauf einplanen
TLS-Zertifikate nicht geprüft Enrollment-Fehler nach iOS 27 Upgrade CA-Zertifikate vor Release prüfen
iOS 27 Beta ignoriert Keine Vorwarnung bei Problemen Jetzt Developer Beta testen

Und zur guter letzt nochmal der Hinweis. WS1 On-Prem ist zum 30.04.2027 abgekündigt und EOL! Hier wird Omnissa keine Grace-Periode geben. Somit ist hier Handlungsbedarf, da ich Migration in die SaaS mehrere Wochen benötigt.

iOS 26: MDM-Migration ohne Factory Reset – Apple beendet den Vendor Lock-in

13. März 2026 / / Keine Kommentare

iOS 26: MDM-Migration ohne Factory Reset – Apple beendet den Vendor Lock-in

Apple löst eines der lästigsten Probleme in der Apple-Enterprise-Welt: Mit iOS/iPadOS/macOS 26 könnt ihr eure Geräte direkt im Apple Business Manager zwischen MDM-Lösungen verschieben – ohne Wipe, ohne Nachtschicht, ohne Drama. Fast.

Ab iOS/iPadOS/macOS 26 könnt ihr ADE-enrolled Corporate Devices direkt im ABM einem neuen MDM zuweisen – kein Factory Reset nötig. Ihr setzt eine Deadline, der User bekommt eine Notification, das Gerät enrollt sich neu. Persönliche Daten bleiben erhalten. Managed Apps auf iPhone/iPad werden entfernt und müssen vom neuen MDM neu ausgerollt werden. VPP-Lizenzen wandern nicht automatisch. Vorbereitung ist trotzdem Pflicht.

Was ist neu – und stimmt das wirklich?

In den letzten Wochen macht ein LinkedIn-Post die Runde, der das neue Feature von iOS 26 beschreibt. Kaum gelesen, weckte dieser Post mein Interesse.

Im Kern stimmt er – aber ein paar Details sind ungenau oder fehlen komplett. Ich hab das Ganze gegen die offizielle Apple-Dokumentation, Microsoft Intune Docs und mehrere MDM-Hersteller-Guides gecheckt. Hier kommt der vollständige Faktencheck.

Abb. 1: MDM-Migration bisher vs. ab iOS/iPadOS/macOS 26

Was stimmt (korrekte Claims im Umlauf)

  • MDM-Migration ohne Factory Reset für iOS/iPadOS/macOS 26 – korrekt
  • Steuerung komplett über Apple Business Manager – korrekt
  • Deadline-Feature mit automatischem Erzwingen – korrekt
  • User-Notifications mit steigender Häufigkeit – korrekt
  • Persönliche Daten bleiben auf dem Gerät – korrekt
Was fehlt oder ist ungenau (wichtige Details)

  • „Ohne Datenverlust“ ist nuanciert: Persönliche Daten bleiben, aber MDM-verwaltete Apps werden auf iPhone/iPad beim Unenrollment entfernt – außer das neue MDM liefert sie via await_device_configured rechtzeitig nach.
  • Nur für ADE-enrolled Corporate Devices: BYOD-Geräte sind komplett ausgeschlossen. Shared iPad und Apple Business Essentials ebenfalls nicht unterstützt.
  • Einmaliger Reset bei alten ABM-Einschreibungen: Geräte, die ursprünglich mit iOS < 26 in ABM eingeschrieben wurden, benötigen EINMALIG einen Reset zur Re-Registrierung. Danach nie wieder.
  • VPP-Lizenzen migrieren nicht automatisch: Der Apps & Books Content Token muss manuell aus dem alten MDM entfernt und im neuen registriert werden.
  • Vorbereitung ist Pflicht: Konfigurationsprofile, Compliance-Policies, Scripts und App-Deployments müssen im neuen MDM vorab nachgebaut werden.

Wie funktioniert das technisch?

Apple hat den nativen MDM-Protokoll-Stack erweitert. Der ABM koordiniert jetzt aktiv den Wechsel zwischen zwei MDM-Servern und kommuniziert gleichzeitig mit beiden. Das Gerät wird vom alten MDM unenrollt und enrollt sich direkt in das neue – alles gesteuert durch das OS, ohne manuellen Eingriff.

Technisch relevant: Das Feature basiert auf Declarative Device Management (DDM). Die Logik läuft direkt auf dem Gerät, wodurch die Abhängigkeit vom MDM-Server reduziert wird. Apple rotiert dabei automatisch sicherheitsrelevante Keys – z.B. den FileVault Personal Recovery Key auf macOS.

Was bleibt auf dem Gerät, was wird entfernt?
Was iPhone/iPad Mac
Persönliche Daten Bleiben vollständig erhalten Bleiben vollständig erhalten
MDM-Konfigurationsprofile Werden entfernt Werden entfernt
Managed Apps (MDM-deployed) Werden entfernt (*) Bleiben ggf. erhalten
App-Daten (bei Preservation) Bleiben bei korrektem Setup Bleiben bei korrektem Setup
VPP-Lizenzen Manuell migrieren! Manuell migrieren!
Activation Lock / Bypass Code Wird vom neuen MDM neu erstellt Wird vom neuen MDM neu erstellt
FileVault Key (macOS) N/A Wird automatisch rotiert

(*) Managed Apps können bei korrektem Setup preserviert werden: Das neue MDM muss die Apps per await_device_configured installieren, bevor DeviceConfigured gesendet wird. Declarative Managed Apps werden immer behalten.

Voraussetzungen

Bevor ihr loslegt, müssen folgende Punkte erfüllt sein:

Abb. 2: Voraussetzungen auf einen Blick

  • Gerät läuft auf iOS 26, iPadOS 26 oder macOS 26
  • Gerät ist per Automated Device Enrollment (ADE) enrolled – kein User Enrollment, kein BYOD
  • Gerät ist in Apple Business Manager (ABM) oder Apple School Manager (ASM) erfasst
  • Neues MDM ist als MDM-Server in ABM konfiguriert (Token-Austausch abgeschlossen)
  • APNs-Zertifikat im neuen MDM ist aktiv
  • VPP/Apps & Books Token für das neue MDM ist eingerichtet (falls Apps per VPP deployt werden)
  • Neues MDM ist vollständig vorbereitet: Profile, Policies, Apps und Scripts nachgebaut
Einschränkungen

  • Nicht unterstützt: Apple Business Essentials, Shared iPad, BYOD-Geräte
  • Return to Service mit App Preservation (is_return_to_service = TRUE) blockiert die Migration
  • Geräte offline nach Unenrollment: User wird zur WLAN-Auswahl geleitet, bis Migration abgeschlossen
  • Bei VPP-Apps: Deadline nicht größer als 30 Tage setzen

How-to: MDM-Migration mit iOS 26 – Schritt für Schritt

Phase 1: Vorbereitung (vor dem ersten Klick in ABM)

Die Migration selbst dauert Minuten – aber die Vorbereitung entscheidet über Erfolg oder Chaos. Hier solltet ihr keine Abkürzungen nehmen.

# Aufgabe Prio
1  Vollständiges Inventar aller Geräte exportieren – Seriennummern, OS-Version, Enrollment-Status Pflicht
2  Alle Konfigurationsprofile dokumentieren: Wi-Fi, VPN, Zertifikate, Restrictions, E-Mail Pflicht
3  Compliance-Policies, Security-Baselines und Scripts erfassen Pflicht
4  App-Deployment dokumentieren: Welche Apps, VPP oder direkt, welche Managed Configs Pflicht
5  Neues MDM vollständig konfigurieren: APNs, ABM-Token, Enrollment Profile, alle Profile nachbauen Pflicht
6  VPP Content Token: Aus altem MDM entfernen, neues Token im neuen MDM registrieren Kritisch
7  Pilot-Gruppe definieren (5–10 Geräte) für Testlauf vor Massenrollout Empfohlen
8  User-Kommunikation vorbereiten: Was passiert, wann, was müssen User tun Empfohlen

Phase 2: Migration in ABM starten

  1. Anmelden bei business.apple.com als Administrator oder Device Enrollment Manager
  2. Im Seitenmenü auf ‚Devices‘ gehen
  3. Geräte suchen und auswählen (Seriennummer, Order-Nummer oder Filter ‚Eligible Devices‘ nutzen)
  4. Auf das Gerät klicken → ‚…‘ (Ellipsis-Menü) oder ‚Edit‘ → ‚Assign Device Management‘
  5. Neuen MDM-Server auswählen
  6. ‚Add Deadline‘ klicken und Datum/Uhrzeit setzen (kein Deadline = kein automatisches Erzwingen)
  7. ‚Continue‘ → Prompt lesen → ‚Confirm‘

Hinweis: Ohne Deadline kein Zwang!

Wenn ihr keine Deadline setzt, migriert das Gerät nur bei einem nächsten Erase oder wenn ihr manuell den profiles-Befehl ausführt. Für einen kontrollierten Rollout immer Deadline setzen.

Troubleshooting: „Add Deadline“ nicht verfügbar

Wenn der „Add Deadline“-Button im ABM ausgegraut ist oder gar nicht erscheint, liegt das fast immer an einem der folgenden drei Gründe:

Problem Ursache Lösung
OS < iOS/iPadOS/macOS 26 ABM zeigt die Option erst ab iOS 26 an – das Feature ist OS-seitig implementiert Gerät auf iOS 26 updaten, dann erneut in ABM prüfen
Gerät nur „Assigned“, nicht „Enrolled“ Migration setzt aktives, laufendes Enrollment voraus – „Assigned“ allein reicht nicht Gerät normal enrollen, dann Migration starten
Gerät im Status „Pending“ Gerät frisch ausgepackt oder noch im Setup Assistant – Enrollment-Flow noch nicht abgeschlossen Setup abschließen und einmalig enrollen, dann Option prüfen
Enrolled, aber Option fehlt trotzdem Letzter Check-in zu weit zurück oder MDM-Push ausstehend Force Check-in über MDM senden, ABM-Seite neu laden
Quelle = „Apple Configurator“ Gerät wurde manuell über Configurator 2 in ABM eingebracht – nicht über Reseller/DEP Siehe nächster Abschnitt
Schnellcheck: Enrolled vs. Assigned

Den Enrollment-Status „Enrolled“ bzw. „Assigned“ findet ihr nicht in ABM, sondern im jeweiligen MDM (z.B. Intune: Geräte → Gerät auswählen → Übersicht). ABM zeigt unter „Geräteverwaltungsdienst“ nur den zugewiesenen MDM-Server – keinen separaten Enrolled/Assigned-Status.

Was ihr direkt in ABM prüfen solltet: das Feld „Quelle“ unter Details. Steht dort „Apple Configurator“ → siehe nächster Abschnitt. Steht dort „Apple“ oder ein Reseller-Name → Migration sollte funktionieren, sofern das Gerät auf iOS 26 läuft und aktiv enrolled ist.

Sonderfall: Quelle „Apple Configurator“ – Migration nicht möglich

Wenn im ABM-Gerätedetail unter „Quelle“ der Wert „Apple Configurator“ steht, wurde das Gerät manuell über Apple Configurator 2 in ABM eingebracht – und nicht automatisch über den Kaufprozess via Reseller oder direkt bei Apple. Die Quelle ist fest gesetzt und lässt sich nachträglich nicht ändern. Die Option „Add Deadline“ erscheint für diese Geräte nicht.

Optionen und Lösungswege

Option 1 – Einmaliger Reset auf iOS 26 (empfohlen): Factory Reset des Geräts auf iOS 26. Beim Neuaufsetzen enrollt es sich sauber im ADE-Flow. Danach funktioniert die nahtlose MDM-Migration – dauerhaft, ohne weiteren Reset. Der einmalige Wipe ist der „Eintrittsbonus“ für den neuen Mechanismus.

Option 2 – Aus ABM entfernen und neu hinzufügen: über Configurator 2 möglich, ändert aber nichts – die Quelle bleibt „Apple Configurator“. Für dieses Problem kein sinnvoller Weg.

Option 3 – Für neue Geräte: Geräte künftig direkt über einen Apple Authorized Reseller oder Apple selbst kaufen. Diese landen automatisch mit Quelle „Apple“ bzw. Reseller-Name in ABM und sind von Anfang an für die nahtlose Migration geeignet.

Phase 3: User-Experience und Monitoring

Was der User sieht, hängt vom Zeitpunkt ab:

Abb. 3: Notification-Verhalten je nach Zeitpunkt bis zur Deadline

Zeitpunkt Notification-Verhalten
Deadline gesetzt Tägliche Benachrichtigung
24h vor Deadline Stündliche Benachrichtigung
Letzte Stunde Benachrichtigung alle 60, 30, 10 und 1 Minute(n)
Deadline erreicht Nicht-wegklickbarer Vollbild-Dialog, Enrollment wird erzwungen
Wann erscheint die erste Notification? Kann man das beschleunigen?

Die initiale Notification erscheint bei einem online Gerät in der Regel innerhalb weniger Minuten nach der ABM-Zuweisung. Der Ablauf dahinter: ABM benachrichtigt das alte MDM über das MDM-Protokoll → das alte MDM schickt einen APNs-Push ans Gerät → das Gerät checkt beim alten MDM ein, holt sich die Migration-Instruction und zeigt dem User die Notification an. Ist das Gerät offline, wartet APNs auf die nächste Verbindung.

Wichtig: Die täglichen, stündlichen und minuten-genauen Benachrichtigungen aus der Tabelle oben sind der Reminder-Rhythmus für den Fall, dass der User noch nicht reagiert hat – nicht der Zeitplan für die initiale Erstbenachrichtigung.

Beschleunigen möglich? Ja – aber nur über das alte MDM: einen manuellen Force Check-in / Sync-Befehl ans Gerät schicken. Das triggert sofort ein Check-in, das Gerät holt sich die Migration-Instruction und zeigt die Notification ohne Wartezeit an. Ein ABM-Sync im neuen MDM hat darauf keinen Einfluss – die User-Notification läuft ausschließlich über das alte MDM und APNs.

Phase 4: Was auf dem Gerät passiert (User-Flow)

Auf iPhone/iPad:

  1. User erhält eine Notification ‚Enrollment Required‘
  2. Tippen auf die Notification öffnet Einstellungen → VPN & Geräteverwaltung
  3. ‚Enrollment starten‘ antippen
  4. Gerät startet neu – nach dem Neustart enrollt sich das Gerät automatisch im neuen MDM
  5. Alle neuen MDM-Konfigurationen werden direkt im Anschluss OTA verteilt

Auf Mac:

  1. Notification erscheint im Notification Center
  2. Klick öffnet Systemeinstellungen → Geräteverwaltung
  3. ‚Enrollment starten‘ → Vollbild-Dialog → ‚Enroll‘
  4. MDM-Profile werden entfernt, Gerät enrollt sich neu
  5. Nach erfolgtem Enrollment: alle neuen MDM-Konfigurationen werden OTA verteilt
Was wenn’s schiefläuft?

Schlägt das Enrollment fehl (z.B. kein WLAN), wird das Gerät nicht mehr vom alten MDM verwaltet und gilt als ‚unmanaged‘. In diesem Fall: Gerät wie ein neu zu enrollendes Gerät behandeln. Es gibt keinen automatischen Rückfall zum alten MDM.

Wie sieht das konkret für Intune und Workspace ONE aus?

Beide Lösungen unterstützen das Feature. Die Vorbereitung auf Intune-Seite laut Microsoft:

  • APNs-Zertifikat in Intune hochladen
  • ABM/ASM-Token in Intune registrieren (gegenseitiger Token-Austausch)
  • Enrollment Profile in Intune erstellen und Geräten zuweisen
  • Danach in ABM: MDM-Server auf Intune umstellen und Deadline setzen

Für Workspace ONE gilt dasselbe Prinzip. Da ich in nächster Zeit den ganzen Prozess selbst teste, folgt dazu ein detaillierter Praxisbericht – Stay tuned.

Best Practices für die Praxis

  • Immer mit einer Pilot-Gruppe anfangen: 5–10 Geräte, alles prüfen, dann skalieren.
  • Separate ABM-Server-Tokens: Für altes und neues MDM je einen eigenen Token verwenden.
  • await_device_configured nutzen: Dadurch können Apps (inkl. deren Daten) preserviert werden – wichtig für nahtlose User-Experience.
  • VPP-Migration zuerst planen: Token aus altem MDM ZUERST entfernen, dann im neuen registrieren. Deadline max. 30 Tage bei VPP-Apps.
  • User-Kommunikation: Vorab informieren, was passiert. Kein Datenverlust, aber der Enrollment-Dialog kommt – das kann erschrecken.
  • Offline-Fälle einplanen: Geräte ohne WLAN nach der Deadline landen im Setup-Assistant, bis sie sich verbinden.