Sophos Mobile: Richtlinien für Apple User Enrollment einordnen

Zuerst den Verwaltungsmodus prüfen: Die iOS user policy in Sophos Mobile ist für iPhones und iPads mit Apple User Enrollment bestimmt. Diese Registrierung richtet sich an private Geräte (BYOD). Sie ist nicht der Verwaltungsmodus Apple Device Enrollment, bei dem Sophos Mobile das ganze Gerät verwaltet; ebenso wenig ist sie Automated Device Enrollment (ADE) über Apple Business. Dort automatisch registrierte iPhones und iPads sind betreut (supervised). Ein betreutes Gerät kann nicht per Apple User Enrollment registriert werden. Einstellungen aus einer iOS device policy oder einer ADE-Anleitung deshalb nicht ungeprüft auf eine Benutzerrichtlinie übertragen.

Was die Trennung tatsächlich bedeutet

Apple User Enrollment nutzt neben dem privaten Apple Account einen verwalteten Apple Account. Geschäftliche Daten liegen in einem verwalteten APFS-Volume; dazu gehören verwaltete Apps und App-Daten, ein verwalteter Schlüsselbund sowie Daten des verwalteten Apple Accounts. Beim Abmelden aus Sophos Mobile entfernt iOS dieses verwaltete Volume vom Gerät. Das ist nicht dasselbe wie die Zusage, dass ein Admin das gesamte private Gerät zurücksetzen oder persönliche Inhalte lesen kann. Sophos Mobile kann bei dieser Registrierungsart persönliche Daten sowie Gerätekennungen wie UDID, IMEI und MAC-Adresse nicht abfragen; wegen der fehlenden MAC-Adresse steht NAC für diese Geräte nicht zur Verfügung.

Vor dem Einsatz klären, ob das Gerät wirklich im User-Enrollment-Modus registriert ist und ob der Benutzer einen verwalteten Apple Account für die Registrierung hat. Die profilbasierte Variante ist laut Sophos nur bis iOS/iPadOS 17 verfügbar; neuere Rollouts nicht auf einen alten Profilablauf stützen. Eine konkrete Registrierungs- oder Tenant-Prozedur ist nicht Gegenstand dieses Entwurfs.

Richtlinien nach Aufgabe auswählen

Gerätecode: Wenn die Konfiguration Password policies einem Gerät im Verwaltungsmodus Apple User Enrollment zugewiesen wird, verlangt Sophos für den Gerätecode eine sechsstellige PIN und untersagt PINs mit wiederholten oder aufeinanderfolgenden Ziffern (laut Sophos zum Beispiel 555555 und 987654). Das betrifft auch den privaten Gerätezugang. Sophos Mobile kann einen vergessenen Gerätecode nicht zurücksetzen. Erfüllt das Gerät bei Zuweisung dieser Konfiguration die Kennwortanforderungen nicht, beginnt laut Sophos eine 60-minütige Frist. Während dieser Frist fordert das Gerät bei jedem Öffnen des Home-Bildschirms zum Ändern des Gerätecodes auf. Nach Ablauf der Frist lassen sich unter Umständen keine Apps mehr starten, einschliesslich integrierter und persönlicher Apps. Diese Konfiguration nicht als harmlose Arbeitsbereichsregel behandeln und nicht ohne vorherige Benutzerkommunikation ausrollen.
Geschäftliche Konten: Email account fügt Exchange Online oder Exchange Server zu Apple Mail hinzu; dieses Konto ist verwaltet. IMAP/POP konfiguriert eingehenden und ausgehenden Mailserver separat, Google account verlangt die Eingabe der Google-Zugangsdaten durch den Benutzer. CalDAV und CardDAV betreffen Kalender- beziehungsweise Kontaktesynchronisation. Server, Ports, Authentisierung und TLS müssen zum tatsächlichen Dienst passen; Beispiel-URLs sind keine universellen Sollwerte. Sowohl %_USERNAME_% als auch %_EMAILADDRESS_% kommen in Email account und IMAP/POP vor, je nach Feld mit unterschiedlicher Funktion. Die entsprechenden Benutzerfelder in Sophos Fusion müssen gepflegt sein; für Email account insbesondere Exchange Login und Email Address ausfüllen.
Mail-Datenfluss: Ein verwaltetes Mail-Konto allein und das verwaltete APFS-Volume garantieren keine vollständige Isolation. Bei Email account und IMAP/POP gesondert prüfen, ob Allow move das Verschieben von Nachrichten in andere Konten oder Antworten/Weiterleiten über ein anderes Konto ermöglicht, ob Allow recent address syncing zuletzt verwendete Adressen über iCloud auf andere Geräte synchronisiert und ob Use in Mail only die Verwendung als sendendes Konto aus anderen Apps beschränkt. Bei IMAP/POP zusätzlich Allow Mail Drop als eigenen Datenfluss prüfen. Keine dieser Optionen allein als belegte DLP-Garantie behandeln.
Datenfluss: Restrictions enthält getrennte Dokumentregeln für die Richtung verwaltet → nicht verwaltet und nicht verwaltet → verwaltet, für das Lesen verwalteter Kontakte durch nicht verwaltete Apps sowie für Zwischenablage und iCloud-Synchronisierung. Für die dokumentierte Trennung verwalteter Mail-Anhänge sind ein verwaltetes Konto und verwaltete Apps nötig. Wird die Regel für Dokumente innerhalb verwalteter Apps/Konten ausgeschaltet, sind die beiden folgenden Optionen (Kontaktfreigabe und Dokumentregel für nicht verwaltete Apps/Konten) deaktiviert. Sind beide Dokumentregeln aus, hat die Zwischenablage-Beschränkung keine Wirkung. Gewünschte Richtung, Kontaktfreigabe, iCloud-Synchronisierung und beobachtbaren Datenfluss am Testgerät getrennt prüfen; keine pauschale Datenisolationszusage.
Zugang und Darstellung: Single sign-on beschreibt Kerberos-SSO für Drittanbieter-Apps; die dokumentierte Konfiguration gilt nur bis iOS 26 beziehungsweise iPadOS 26. AirPrint fügt Drucker zur Druckerliste hinzu; IP-Adresse, Ressourcenpfad, Port und TLS hängen vom Druckdienst ab. Web Clip legt einen Schnellzugriff auf dem Home-Bildschirm an. Ein nicht entfernbarer Web Clip kann laut Sophos erst durch Entfernen der installierenden Richtlinie verschwinden; daher diese Option nicht ohne Rückweg planen.

Verwaltete Apps und Per-App-VPN: keine Kurzschlüsse

Eine verwaltete App ist nicht einfach jede App auf dem privaten Gerät. Für User Enrollment beschreibt Sophos nur Apps, die über Apple Business erworben wurden: Die Verteilung erfolgt über Sophos Mobile oder über eine Zuweisung zum verwalteten Apple Account. Ist dieselbe App bereits privat installiert, lässt sie sich nicht zusätzlich als verwaltete App installieren. Eine vom Benutzer entfernte verwaltete App bleibt bei einer erneuten Installation verwaltet. Mail, Notes und Calendar können dagegen Daten sowohl des privaten als auch des verwalteten Accounts halten; ihre Daten nicht allein aus dem App-Namen klassifizieren.

Apple erlaubt die AppLayerVPN-Payload bei User Enrollment; diese Plattformfreigabe belegt nicht, dass Sophos Mobile eine Verbindung aus einer Benutzerrichtlinie einer App zuweisen kann. Sophos führt VPN pro App (englische Hilfe: Per app VPN) als Konfiguration einer iOS-Benutzerrichtlinie auf und verlinkt von dort eine Anleitung zur App-Zuweisung. Diese nennt jedoch als Voraussetzung eine oder mehrere Geräterichtlinien mit VPN pro App und beschreibt die auswählbaren Verbindungen ausschliesslich als Konfigurationen aus Geräterichtlinien; zugleich verlinkt sie zurück auf die iOS-Benutzerrichtlinie. Zwischen der Benutzerrichtlinien-Seite und der auf Geräterichtlinien beschränkten Zuweisungsbeschreibung besteht damit eine ungeklärte Spannung in der Dokumentation, kein Nachweis für widersprüchliches Produktverhalten. Ob eine Verbindung aus einer Benutzerrichtlinie im App-VPN-Selektor bei Apple User Enrollment tatsächlich verfügbar ist, bleibt ungeklärt. Dieser Entwurf enthält deshalb weder die Aufforderung, eine solche Verbindung einer App zuzuweisen, noch eine Klickfolge oder eine VPN-Wirkungszusage; für privat installierte Apps ist daraus ebenfalls keine VPN-Zuweisung abzuleiten. Eine spätere Betriebsanweisung setzt die unabhängige Bestätigung im freigegebenen User-Enrollment-Tenant voraus: passend lizenzierte verwaltete App, Verfügbarkeit der Benutzerrichtlinien-Konfiguration im Selektor, On-Demand-Verhalten, tatsächlicher appbezogener Datenweg und Entfernung der Zuordnung. Das Feld Alle Daten über VPN übertragen (englische Hilfe: Send all traffic through VPN) im Per-App-Profil belegt keine geräteweite VPN-Führung.

Vor einer Freigabe offen

Vor einem produktiven Rollout fehlen eine Einwilligung der betroffenen Person, ein abgestimmtes Backup-/Aufbewahrungskonzept und ein Test mit einem dafür freigegebenen Gerät: Registrierungsmodus, OS-Version, Edition/Lizenz, App-Lizenz und -Verwaltungsstatus, Konten und vorhandene Daten erfassen. Für einen vergessenen Gerätecode einen Eskalationsweg statt eines nicht verfügbaren Sophos-Resets vereinbaren; nach Ablauf der dokumentierten 60-Minuten-Frist können auch private Apps blockiert sein. Dokument- und Mail-Datenflüsse sowie VPN-Verkehr nur anhand beobachtbarer Ergebnisse freigeben.

Die Rücknahme ist payloadweise zu testen, nicht aus dem Entfernen einer Richtlinienzuweisung abzuleiten: Konten und App-Status nach Policy-Entzug prüfen; für einen nicht entfernbaren Web Clip die installierende Richtlinie einbeziehen; bei verwalteten Apps auch Deinstallation beziehungsweise Lizenzentzug und den Zustand einer erneut installierten App prüfen. Vorab festlegen, welche Geschäftsdaten erhalten bleiben müssen und wie sie ausserhalb des Geräts gesichert werden. Eine Abmeldung entfernt das verwaltete APFS-Volume samt dort liegenden Geschäftsdaten; sie ist kein verlustfreier Rollback, auch wenn persönliche Gerätedaten dadurch nicht pauschal gelöscht werden. Hier wurden weder Tenant noch iPhone/iPad getestet, keine Reihenfolge der Rücknahme praktisch bestätigt und keine Payload-Wirkung technisch abgenommen. Eine dokumentarische Freigabe dieses Artikels ist von der technischen Abnahme eines produktiven Rollouts zu trennen; sie bestätigt keine Wirkung im Tenant oder auf dem Gerät. Insbesondere Codezwang, Dokumentfreigaben und VPN-Zuweisung nicht ohne diese technische Abnahme als produktive Anleitung verwenden.