RATGEBER
MDM vs. Business‑Tarif: Welche Verwaltung macht was – und wo entstehen Lücken?
MDM verwaltet Geräte, Apps und Sicherheitsrichtlinien. Der Business‑Tarif verwaltet SIMs, Optionen und Vertragsdaten. Entscheidend ist die saubere Aufgabentrennung – sonst entstehen Sicherheits- und Kostenlücken.
- Redaktionell aufbereitet
- Klar erklärt
- Fundiert entscheiden
Gehört eine Aufgabe ins MDM oder in die Business‑Tarifverwaltung?
Als Faustregel gilt: Alles, was das Endgerät selbst betrifft (Sicherheitsrichtlinien, Gerätekonfiguration, App‑Bereitstellung, Gerätesperre/Löschung), gehört ins Mobile Device Management (MDM). Alles, was SIM, Rufnummer, Tarif, Optionen, Rechnungs- und Vertragsdaten betrifft, gehört in die Business‑Tarifverwaltung (Kundenportal/Self‑Service des Providers).
Das deckt sich mit dem Sicherheitsfokus des BSI: Die Kernfunktion eines MDM ist die wirksame Durchsetzung definierter Sicherheitsrichtlinien und Konfigurationsparameter auf mobile Endgeräte. Gleichzeitig zeigen Provider‑Portale typischerweise Funktionen wie das Anpassen von Tarifoptionen (Beispiel Telekom Business Service Portal). Damit ist die Zuständigkeit fachlich klar abgrenzbar, auch wenn sich die Tools in der Praxis oft ergänzen.
Aufgabentrennung in der Praxis: Gerät, Identität, SIM und Vertrag
Damit Sie Zuständigkeiten sauber trennen können, lohnt sich ein Blick auf vier „Verwaltungsebenen“:
Geräteebene (Smartphone/Tablet/Notebook)
Hier ist MDM/UEM Ihr primäres Werkzeug. Ziel ist, Geräte kontrolliert in die IT‑Umgebung einzubinden und Richtlinien zentral durchzusetzen. Typische Aufgaben:
- Geräteregistrierung und Rollout (z. B. automatisierte Registrierung/Onboarding in UEM‑/MDM‑Prozesse)
- Gerätekonfiguration (WLAN/VPN‑Profile, E‑Mail, Kontakte/Kalender)
- Sicherheitsrichtlinien (Passcode‑Vorgaben, Verschlüsselungsanforderungen, Compliance‑Kontrollen)
- Aktionen bei Vorfällen (Sperren, selektives Löschen von Firmendaten, ggf. vollständiges Wipe je nach Szenario)
Das BSI beschreibt MDM explizit als System zur zentralen Verwaltung mobiler Endgeräte und als Mittel zur Durchsetzung von Sicherheitsrichtlinien. Das ist die Leitplanke, an der Sie Ihre Aufgabenlisten ausrichten sollten.
SIM-/eSIM‑Ebene (Karte, Profil, Zuordnung)
Diese Ebene sitzt meist in der Tarifverwaltung (Provider‑Portal), kann aber in Einzelfällen durch ergänzende Tools erweitert werden. Ein Beispiel ist der Mobile Asset Manager bei o2 Business, der als Tool zur SIM‑Karten‑ und eSIM‑Profilverwaltung beschrieben wird und über das Business‑Self‑Service (Business Easy Access) nutzbar ist. Damit bleibt die Verantwortlichkeit in der Regel „telekommunikationsnah“ (Provider‑Prozess), auch wenn der Funktionsumfang über reines Vertragsmanagement hinausgeht.
Vertrags- und Kostenebene (Tarif, Optionen, Abrechnung)
Das ist klar die Domäne der Business‑Tarifverwaltung. Provider‑Portale stellen hier Self‑Service‑Funktionen bereit, etwa das Auswählen und Anpassen von Tarifoptionen. Hier entstehen auch die wichtigsten Kostenhebel: Datenoptionen, Multi‑SIM/One‑Number‑Optionen, internationale Nutzung, Sperren und Limits (sofern tarifseitig verfügbar).
Identitäts- und Zugriffsebene (Konten, Rollen, Rechte)
In modernen Setups entscheidet nicht nur „Gerät ja/nein“, sondern auch „wer darf was administrieren“. Rollen- und Rechtekonzepte sind deshalb sowohl in Provider‑Portalen (Zugangsdaten, Berechtigungen) als auch in Cloud‑/Identity‑Systemen relevant. Beispielhaft beschreibt Telekom Geschäftskunden das Prinzip eines Rollen‑/Rechtekonzepts im Kontext der Verwaltung von Microsoft‑Umgebungen (GDAP‑Rollen). Für Ihre Mobilfunkverwaltung bedeutet das: Trennen Sie Verantwortungen strikt nach Rollen, nicht nach Personen.
Vergleich: MDM/UEM vs. Business‑Tarifverwaltung (Kundenportal)
| Thema | MDM/UEM (Device‑IT) | Business‑Tarifverwaltung (Provider‑Portal) | Typische Verantwortliche |
|---|---|---|---|
| Sicherheitsrichtlinien durchsetzen | Ja, Kernaufgabe: Policies/Konfiguration zentral auf Geräte | Nein, höchstens indirekt (z. B. Sperr-/Limit‑Optionen) | IT‑Security, IT‑Administration |
| Geräteeinbindung & Rollout | Ja (Registrierung, automatisches Enrollment, Konfiguration) | Nein | IT‑Operations, Client‑Management |
| Apps bereitstellen/steuern | Ja (Business‑Apps, ggf. App‑Policies im UEM‑Kontext) | Nein | IT‑Administration, Fach‑IT |
| Sperren/Löschen bei Verlust | Ja (Geräteaktionen; je nach Policy selektiv oder vollständig) | Teilweise (z. B. SIM sperren, Ersatzprozesse anstoßen) | IT‑Security + Telekommunikations‑Admin |
| SIM-/eSIM‑Profilverwaltung | In der Regel nein | Ja; je nach Provider auch mit erweitertem Tooling (z. B. MAM bei o2) | Telekom‑Admin, Einkauf/Procurement |
| Tarifoptionen anpassen | Nein | Ja (Self‑Service wie Optionen auswählen/anpassen) | Einkauf, Fuhrpark/Asset‑Management, IT‑Service |
| Verbrauch/Vertragsdaten | Nur ergänzend (Inventar-/Compliance‑Sicht) | Ja (Verbrauch, Verträge, Verwaltungsthemen) | Telekom‑Admin, Controlling |
Voraussetzungen und Grenzen: Was Sie organisatorisch festlegen müssen
Eine saubere Aufgabentrennung funktioniert nur, wenn Sie drei Punkte vorab festlegen:
Rollenmodell für zwei Admin‑Welten
Sie haben fast immer mindestens zwei Admin‑Welten: MDM/UEM (Device‑IT) und Provider‑Portal (Vertrags-/SIM‑IT). Definieren Sie getrennte Rollen, damit nicht dieselbe Person aus Bequemlichkeit „alles“ kann. Das reduziert Fehlbedienungen, beschleunigt Audits und verhindert Schattenprozesse.
Prozess für Geräte-Lifecycle und SIM‑Lifecycle
Geräte und SIMs haben unterschiedliche Lebenszyklen. Ein Gerät kann weitergenutzt werden, während die SIM wechselt (oder umgekehrt). Planen Sie daher getrennte Standardprozesse für: Onboarding, Mitarbeiterwechsel, Verlust/Diebstahl, Reparatur/Austausch, Offboarding.
Datenschutz- und Löschkonzept
Wenn Sie Geräte zentral verwalten, brauchen Sie klare Regeln, wann und wie Daten gelöscht werden dürfen. In Telekom‑Unterlagen zur MDM‑App wird beispielsweise das Löschen geschäftlicher Kontakte und E‑Mail‑Konten als Maßnahme zum Schutz von Firmendaten beschrieben, etwa wenn Beschäftigte das Unternehmen verlassen oder Geräte nicht mehr richtlinienkonform sind. Das sollten Sie als Anlass nehmen, interne Freigaberegeln für selektive Löschung vs. vollständiges Zurücksetzen zu definieren.
Risiken, wenn MDM und Tarifverwaltung vermischt werden
Die größten Probleme entstehen nicht durch „zu wenig Tooling“, sondern durch falsche Zuständigkeiten:
Sicherheitslücken durch fehlende Policy‑Durchsetzung
Wenn Teams glauben, eine saubere Tarifverwaltung ersetze MDM, bleiben Geräteeinstellungen und Compliance unkontrolliert. Das BSI setzt MDM gerade als Instrument zur wirksamen Durchsetzung von Sicherheitsrichtlinien an – diese Lücke lässt sich tarifseitig nicht schließen.
Kosten- und Vertragsrisiken durch IT‑Schattenprozesse
Wenn IT‑Teams im Provider‑Portal „mal schnell“ Optionen ändern, entstehen Kostenstellen‑ und Nachvollziehbarkeitsprobleme. Umgekehrt führt „Einkauf ohne MDM‑Richtlinien“ zu unnötigen Helpdesk‑Tickets, unsicheren Defaults und langem Onboarding.
Incident‑Chaos bei Verlust oder Austritt
Bei Verlust/Diebstahl oder Offboarding müssen SIM‑Sperre, Gerätesperre und Datenlöschung zusammenspielen. Ohne festes Runbook wird entweder zu spät reagiert oder zu hart (z. B. Datenverlust durch ungeplantes Full‑Wipe). Trennen Sie deshalb: Provider‑Seite sperrt/ersetzt die SIM, MDM/UEM setzt Geräteaktionen nach Policy um.
Entscheidungslogik: So bauen Sie eine belastbare Zuständigkeitsmatrix
Nutzen Sie diese einfache Entscheidungskette für jede Aufgabe:
- Geht es um Sicherheitsrichtlinien oder Konfiguration auf dem Gerät? Dann MDM/UEM.
- Geht es um SIM/eSIM, Rufnummer, Tarif, Optionen oder Abrechnung? Dann Provider‑Portal/Tarifverwaltung.
- Geht es um einen Vorfall (Verlust, Diebstahl, Austritt)? Dann zweigleisig: SIM‑Sperre/Ersetzung im Provider‑Portal und Geräteaktion im MDM/UEM nach festgelegter Policy.
- Geht es um Transparenz/Inventar? Dann definieren Sie ein „System of Record“: Gerätestatus aus MDM/UEM, Vertrags-/SIM‑Status aus dem Provider‑Portal. Synchronisieren Sie, wo möglich, aber ersetzen Sie nicht.
Wenn Sie aktuell vor allem Business‑Tarife vergleichen oder Ihre Tarifbasis konsolidieren möchten, starten Sie mit einer zentralen Tarifverwaltung und setzen MDM/UEM parallel als Sicherheits- und Betriebsstandard auf. Eine gute Übersicht für die Einordnung Ihrer nächsten Schritte finden Sie auch im Business‑Hub sowie beim Business‑Mobilfunkvergleich.
FAQ: Häufige Fragen zur Trennung von MDM und Tarifverwaltung
Kann ein Business‑Kundenportal ein MDM ersetzen?
Nein. Ein Kundenportal verwaltet primär Tarif-, SIM- und Vertragsfunktionen. Ein MDM ist laut BSI gerade dafür gedacht, Sicherheitsrichtlinien und Konfigurationen wirksam auf Endgeräte durchzusetzen.
Wer sollte im Unternehmen die SIM‑Verwaltung verantworten?
Typisch ist eine Rolle zwischen IT‑Service und Einkauf/Controlling: Dort liegen Kostenverantwortung, Vertragsdaten und Provider‑Prozesse. Die IT‑Security bleibt parallel für Geräteschutz und Richtlinien zuständig.
Was ist UEM und wann brauche ich es statt reinem MDM?
UEM (Unified Endpoint Management) erweitert MDM um einen ganzheitlichen Ansatz zur Verwaltung unterschiedlicher Unternehmensgeräte. Provider beschreiben UEM als Lösung zur ganzheitlichen Geräteverwaltung und MDM als Bestandteil davon. Praktisch lohnt UEM, wenn Sie neben Smartphones auch weitere Endpunkte konsistent verwalten wollen.
Wie reagiere ich bei Geräteverlust richtig?
Kombinieren Sie zwei Maßnahmen: SIM im Provider‑Portal sperren (und Ersatz anstoßen) und im MDM/UEM die passende Geräteaktion ausführen (z. B. sperren oder Firmendaten löschen) – beides nach einem vorher festgelegten Runbook.
Welche Aufgaben gehören ins MDM, wenn Mitarbeitende private Geräte nutzen (BYOD)?
Auch bei BYOD geht es im MDM/UEM um Richtlinien, Konfiguration und kontrollierten Zugriff auf Unternehmensressourcen. Wichtig ist ein Lösch- und Datenschutzkonzept, damit bei Bedarf geschäftliche Daten entfernt werden können, ohne private Daten unnötig zu berühren.
Wie verhindere ich, dass „zu viele Admins“ zu viel dürfen?
Arbeiten Sie mit getrennten Rollen in MDM/UEM und Provider‑Portal und vergeben Sie nur die Rechte, die für den jeweiligen Job nötig sind. Ergänzend sollten Sie Änderungen dokumentieren und Zuständigkeiten eindeutig benennen.
Quellen
- Mindeststandard des BSI für Mobile Device ManagementBundesamt für Sicherheit in der Informationstechnik (BSI)
- Business Service Portal (BSP) | Telekom GeschäftskundenTelekom Deutschland (Geschäftskunden)
- Unified Endpoint Management | vodafone.deVodafone Business
- Datenschutzhinweis MDM Telekom AppTelekom Deutschland