Verlorenes Gerät in Sophos Mobile: sperren, Arbeitsdaten entfernen oder zurücksetzen?

Nicht vorschnell auf “Wipe” oder “Delete” klicken. “Wipe” kann je nach Oberfläche und Verwaltungsmodus das ganze Gerät zurücksetzen oder nur ein Android-Arbeitsprofil entfernen; “Delete” betrifft den Verwaltungseintrag und kann bei einem vollständig verwalteten Android-Gerät zugleich einen Werksreset auslösen. Eine ausstehende Aufgabe ist noch kein Nachweis, dass Daten auf einem verlorenen Gerät gelöscht wurden.

Diese Entscheidungshilfe erläutert, was vor der Freigabe einer Geräteaktion zu prüfen ist. Sie ersetzt keinen am konkreten Gerät getesteten Incident-Ablauf. Bei jedem vermissten Gerät, auch ohne Diebstahlverdacht, die Verlustmeldung im internen Sicherheitsprozess zur Incident-Triage geben; Eskalation sowie Massnahmen für Identitäts-, Sitzungs- und Anwendungszugänge nach der eigenen Incident-Richtlinie und unabhängig vom Zustand des Geräts beurteilen. Personenbezogene Standortdaten nur mit entsprechender Berechtigung und nach der eigenen Datenschutzregel abfragen.

Vor jeder Geräteaktion

Im richtigen Tenant das konkrete Gerät anhand stabiler Gerätekennung und zugewiesenem Benutzer identifizieren. In My Environment > Mobile Devices die Felder Owner, Management mode, Plattform, letzte Synchronisierung und Verwaltungsstatus prüfen; zusätzlich die Geräteansicht in Sophos Mobile heranziehen. “Personal” bedeutet nicht automatisch Android-Arbeitsprofil, “Corporate” nicht automatisch Vollverwaltung.
Zuständigkeit, Verlustmeldung und Freigabe der Aktion festhalten. Prüfen, ob es ein Firmen- oder Privatgerät ist, ob Sophos tatsächlich MDM verwaltet oder nur eine Sicherheits-App vorhanden ist und ob der Benutzer das Gerät eventuell bereits zurückerhalten hat. Bei unklarem Modus keine destruktive Aktion auslösen.
Vor irreversiblen Schritten Sicherungsstand, benötigte Arbeitsdaten und den konkreten Wiederherstellungsweg klären:
- Android, vollständig verwaltet: Den geplanten Reset-Weg, die FRP-Konfiguration und gültige, bekannte Zugangsdaten des autorisierten Google-Kontos sicher prüfen. Die FRP-Auswahl beim Wipe in Sophos Mobile Admin nicht mit “Delete” oder einem Wipe in der Fusion-Ansicht gleichsetzen.
- Apple-Geräte: Supervision, aktuellen Registrierungsstatus und einen tatsächlich nutzbaren autorisierten Activation-Lock-Weg vor dem Reset prüfen. Sophos Mobile benötigt für “Remove Activation Lock” eine bestehende Registrierung. Dieser Weg wird bei Geräten mit mindestens zwei SIM-/eSIM-Steckplätzen nicht unterstützt. Apple Business setzt voraus, dass das Gerät vor Aktivierung der Sperre in die Organisation aufgenommen und nicht daraus freigegeben wurde. Ein Bypass-Code setzt die zuvor aktivierte Einstellung und eine danach erfolgte Gerätesynchronisierung voraus.
- Mac: Den erforderlichen Entsperr-PIN sicher verwahren.
Zugangsdaten und Codes nur im vorgesehenen sicheren Verfahren verwahren, nicht in diesem Artikel oder Incident-Protokoll. Fehlen nachweislich geeignete Wiederherstellungsmittel oder Freigaben, stoppen und eskalieren. Eine Wiederaktivierung ist nicht garantiert.
Zeitpunkt, gewählte Aktion und erwarteten Datenumfang dokumentieren. Eine aktuelle oder ältere “Last active”-Angabe belegt nur eine Synchronisierung, nicht die Ausführung einer neu gesendeten Aufgabe.

Apple Business: Freigabe aus der Organisation getrennt prüfen

Stopp vor “Release from Organization” in Apple Business. Ein vermisstes Gerät ist ein Incident, keine automatische Freigabe aus der Organisation. Diese eigene Apple-Business-Aktion lässt sich nicht rückgängig machen. Sie ist weder Sophos-Unenroll/Delete noch das Entfernen der Activation Lock oder ein Erase/Wipe. Sie löscht das Gerät nicht und schaltet die Sperre nicht von selbst aus.

Erst ausserhalb der Verlustreaktion die Voraussetzungen prüfen:

Eigentum und Offboarding-Entscheid klären.
Gesonderte Release-Berechtigung beziehungsweise das Release-Recht eines verknüpften Verwaltungsdienstes prüfen.
Sperrstatus und -typ klären, also ob die Sperre benutzer- oder organisationsgebunden ist.
Einen für dieses Gerät tatsächlich verfügbaren, autorisierten Weg zur Wiederaktivierung oder Sperrenentfernung prüfen.

Apple Business kann beide Sperrtypen bei geeignetem Organisationsgerät mit entsprechender Berechtigung entfernen. Die Apple-Business-Aktionsmatrix verneint nur das direkte Entfernen einer benutzergebundenen Sperre durch einen externen Geräteverwaltungsdienst.

Davon zu trennen ist der Weg mit einem zuvor vom betreuten Gerät abgerufenen und sicher verwahrten Bypass-Code. Laut Apples Bereitstellungsleitfaden kann ein entsprechend befähigter Verwaltungsdienst eine benutzergebundene Sperre damit aus der Ferne aufheben. Der Code kann auch direkt am Gerät verwendet werden.

Das belegt keine entfernte Code-Aktion in Sophos Mobile. Sophos dokumentiert separat die Aufgabe Actions > Remove Activation Lock für weiterhin registrierte, geeignete Geräte und die Code-Eingabe am Gerät. Vor Freigabe oder Reset den tatsächlich verfügbaren Weg, die Code-Verwahrung und gegebenenfalls die abgeschlossene Sophos-Aufgabe beziehungsweise Apple-Business-Aktivität für dieses Gerät prüfen. Bei unklarem Status oder Weg nicht freigeben, sondern eskalieren.

Nach Release sind Apple-Business-Verwaltung der Activation Lock und Zuweisung zu einem Geräteverwaltungsdienst nicht mehr möglich. Eine spätere erneute Aufnahme ist möglich, macht Release aber nicht rückgängig. Apples danach vorgesehenes Löschen/Wiederherstellen ist ein separater destruktiver Schritt mit eigener Freigabe, kein Nachweis einer bereits erfolgten Löschung.

Welche Aktion passt zum Verwaltungsmodus?

Android Enterprise, vollständig verwaltet

Eine Gerätesperre erwägen, sofern sie im konkreten Tenant verfügbar ist. Wiederherstellung und FRP klären.

Unenroll erfordert einen Werksreset. Auch das Löschen eines noch verwalteten Geräts kann den Werksreset auslösen. Nicht als harmlose Inventarbereinigung behandeln.

Android Enterprise, nur Arbeitsprofil

Zwischen Lock und Set container access > Deny unterscheiden. Lock sperrt das ganze Gerät; Set container access > Deny sperrt nur das Arbeitsprofil.

Wipe Android work profile in Sophos Mobile Admin beziehungsweise Actions > Wipe in der Fusion-Geräteansicht entfernt das Arbeitsprofil samt Arbeits-Apps und -Daten. Private Apps und Daten werden dadurch nicht entfernt. Die volle Remote-Gerätelöschung in Sophos Mobile Admin ist für diesen Modus nicht verfügbar.

iPhone/iPad, beaufsichtigt

Eine Sperre erwägen. Bei passender Freigabe kommt Managed Lost Mode mit Kontaktinformation und geprüftem Rückweg infrage. Vollständiges Zurücksetzen nur nach Backup- und Activation-Lock-Prüfung.

Managed Lost Mode lässt sich nicht über iCloud abschalten. Nach einem Neustart ohne Verbindung kann der separate Befehl Turn off Managed Lost Mode zum Beenden des Modus scheitern. Das ist kein Befehl zum Ausschalten des Geräts.

iPhone/iPad, Apple User Enrollment

Benutzer und zuständige Verwaltung einbeziehen. Nur tatsächlich angebotene, autorisierte Massnahmen prüfen.

Sophos Mobile bietet hier keine vollständige Remote-Löschung. Die Entregistrierung kann verwaltete Apps, Richtlinien und MDM-Zertifikate entfernen, darf aber nicht als Wiederherstellung privater Daten ausgegeben werden. Kein beaufsichtigtes Managed Lost Mode oder Activation-Lock-Bypass unterstellen.

Mac

Eine verfügbare Sperre nur mit dokumentiertem sechsstelligen Entsperr-PIN auslösen. Bereits remote gesperrte Macs lassen sich laut Sophos Mobile nicht remote wipen. Bei einem Wipe ist ebenfalls ein Entsperr-PIN einzuplanen.

Windows / Chromebook

Die plattformbezogene Sicherheitsreaktion ausserhalb der Mobile-Sperre abstimmen. Sophos Mobile bietet für diese Plattformen keine Geräteaktion Lock in der Fusion-Mobile-Ansicht.

Bei Windows bewirkt das Löschen des Mobile-Eintrags keine automatische Entregistrierung. Manuelles Unenroll oder, bei verbotener manueller Entregistrierung, ein separat freigegebener Werksreset ist nötig.

Self-Service-Rechte vor dem Incident prüfen

Die Verfügbarkeit einer Aktion in Sophos Central Self Service Portal ist kein Ersatz für die Admin-Freigabe: Je nach zugewiesenen Rechten können Benutzer selbst sperren, orten, das Arbeitsprofil entfernen oder zurücksetzen. Vor dem Incident die tatsächlich zugewiesenen Self-Service-Rechte und App-Entregistrierung prüfen: Das Ausblenden von Unenroll in Sophos Mobile Control verhindert nicht von selbst die Entregistrierung im Self Service Portal; die App-Einstellung greift erst nach Synchronisierung. Beim SSP-“Reset device” gehen alle Gerätedaten verloren; die Aktion ist nicht rückgängig zu machen. Arbeitsprofil-Entfernung ist ebenfalls nicht rückgängig zu machen, betrifft aber nur das Arbeitsprofil.

Für die folgenden SSP-Zweige zählt die wirksame Self-Service-Konfiguration des Benutzers, nicht allein der Zugriff auf das Portal. Die Administration prüft unter Setup > Self Service Portal die zugewiesenen Benutzergruppen und freigegebenen Actions. Bei mehreren passenden Konfigurationen gilt die mit der höchsten Priorität. Insbesondere Managed Lost Mode, Play Lost Mode sound, Locate device und Delete unmanaged device sind getrennte Berechtigungen; keine davon pauschal voraussetzen. Fehlt eine benötigte Aktion, zur zuständigen Administration eskalieren, statt auf Wipe oder eine andere Oberfläche auszuweichen.

Ortung und Sperre vor dem Löschen

Find/Locate zeigt nur den letzten bekannten Standort, keine Bewegungsstrecke. Standortereignisse werden protokolliert; Sophos verlangt für die Admin-Ortung einen Anlass im Dialog. Die Funktion ist für Apple User Enrollment und Macs in Sophos Mobile nicht verfügbar. Beim SSP kann die Ortung auf iPhone/iPad zusätzlich eine Bestätigung am Gerät erfordern. Einen alten Standort nicht als aktuelle Position oder Eigentumsnachweis interpretieren.

Voraussetzungen für die freigegebene Ortung

Die Datenschutzsperren für Admin- und SSP-Ortung gelten getrennt von den jeweiligen Aktionsrechten. Die Datenschutzeinstellungen und ihre Grenzen vor einer Abfrage prüfen: Eine gesperrte Kartenortung verbirgt den letzten Standort nicht im Device location report und beweist weder einen Erfassungsstopp noch die Löschung gespeicherter Daten.

Android: Sophos Mobile Control muss laufen, die Standortdienste müssen eingeschaltet sein und die App muss die Berechtigung Location haben.
iPhone/iPad: Für die gewöhnliche Ortung gelten dieselben drei Voraussetzungen. Bei einem bereits in Managed Lost Mode befindlichen, beaufsichtigten MDM-Gerät sind diese Voraussetzungen nicht erforderlich. Das erweitert weder die Plattformunterstützung noch die Freigabe; Zustellung und geprüfter Rückweg bleiben nötig.
Chromebook: Die Sophos-Chrome-Security-Erweiterung muss aktiv und die Ortung erlaubt sein. Ohne angemeldeten Benutzer bleibt die Ortungsaufgabe auf Notified, bis sich ein Benutzer anmeldet.

Die Compliance-Regeln für Standortbereitschaft unterscheiden Locate permission required für Android und App is able to locate für iPhone/iPad. Sie dienen der Bewertung, nicht als Ortungsfreigabe. Für einen Verlustfall weder Richtlinien ändern noch Check now als Bereitschaftstest auslösen: Dabei können Aktionen für weitere Geräte ausgeführt werden.

Für Chromebooks dokumentiert Sophos zwei Einstellungswege. Vor einer Änderung die tatsächliche Zielmenge der Richtlinie sowie die organisatorische Datenschutz- und Change-Freigabe prüfen; keine pauschale Aktivierung für die Flotte:

Chrome Enterprise: In der Google Admin-Konsole unter Devices > Chrome > Settings > User & browser settings > Geolocation die Einstellung Allow sites to detect users’ geolocation wählen.
Andere Chromebooks: Am Gerät unter Settings > Privacy and security > Site settings > Location die Einstellung Sites can ask for your location wählen.

Mobile Admin: Find auslösen und Standort anzeigen

Dieser Ablauf gilt für Sophos Mobile Admin, nicht für die Fusion-Inventaransicht oder SSP-Locate. Erst nach Geräteidentifikation, Incident-Freigabe und Datenschutzprüfung:

Unter Devices das eindeutig identifizierte Gerät auswählen und Actions > Find öffnen.
Den Anlass der Anfrage eingeben und mit Yes bestätigen. Damit wird eine Standortaufgabe angelegt und an das Gerät übertragen. Ihre Ausführung ist damit noch nicht bestätigt.
Den konkreten Aufgabenstatus prüfen. Ist das Gerät offline, bleibt die Aufgabe auf Notified, bis es sich wieder mit dem Server verbindet; auf Chromebooks gilt zusätzlich die oben genannte Benutzeranmeldung.
Erst nach Abschluss der Aufgabe Actions > Find > Show location wählen. Der Standort wird in Google Maps angezeigt; auch dann bleibt er eine letzte bekannte Position, kein Nachweis des aktuellen Aufenthaltsorts.

Fehlt Find, Plattformunterstützung und die oben genannten Voraussetzungen prüfen, insbesondere den Standortzugriff von Sophos Mobile Control auf Android und iPhone/iPad. Fehlende Bereitschaft nicht durch Wipe, Passwort-Reset oder eine andere Geräteaktion umgehen, sondern zur zuständigen Administration eskalieren.

Für mehrere Geräte kann man unter Devices die freigegebenen Zielgeräte auswählen und Actions > Find verwenden; alternativ gibt es den Device location report. Beides bleibt auf den genehmigten Geräte- und Datenschutzumfang begrenzt. Der Bericht ist kein Weg, eine fehlende Ortungsfreigabe zu umgehen.

Sperre und riskante Geräteaktionen abgrenzen

Lock sperrt das Gerät, löscht aber keine Daten. Auf einem Android-Gerät mit verwaltetem Arbeitsprofil sperrt Lock das gesamte Gerät; nur Set container access > Deny sperrt das Arbeitsprofil. Für Mac-Sperren PIN und autorisierten Entsperrweg vor dem Auslösen dokumentieren. Beaufsichtigte iPhones/iPads können stattdessen Managed Lost Mode verwenden; eine Unterbrechung der Verbindung nach Neustart kann die Aufhebung verhindern. Gerät in diesem Zustand nicht testweise neustarten oder ausschalten. Falls der Befehl Turn off Managed Lost Mode zum Beenden des Modus nicht zugestellt oder ausgeführt wird, zur Mobile-/Apple-Administration eskalieren und bei physisch erreichbarem Gerät zuerst den dokumentierten Weg über eine kabelgebundene Netzwerkverbindung prüfen. Das ist nicht der Befehl zum Ausschalten des Geräts. Löschen oder Wiederherstellen mit Apple Configurator beziehungsweise im Wiederherstellungsmodus braucht eine eigene Freigabe: Es löscht Inhalte und beendet die Supervision.

Mobile Admin: Passwort erst nach Wiederauffinden zurücksetzen

Passwort-Reset und Neustart sind kein harmloser Test. Sophos Mobile entfernt beim iPhone/iPad-Passwort-Reset den Code und entsperrt das Gerät: Das schwächt bei einem weiterhin vermissten oder gestohlenen Gerät die Eindämmung. Deshalb keinen Passwort-Reset als Verlustreaktion oder Synchronisierungsprobe auslösen; erst nach Wiederauffinden und gesonderter Incident-Freigabe prüfen.

Der Admin-Reset ist für Android Enterprise sowie iPhones und iPads ohne Apple User Enrollment verfügbar. Er ist nicht verfügbar, wenn beim Gerät nur Sophos Intercept X for Mobile in Sophos Mobile registriert ist. Bei Android Enterprise muss der Benutzer das Gerätepasswort zuvor bestätigt haben. Hat er es schon bei der Ersteinrichtung vor der Installation von Sophos Mobile Control gesetzt, fordert die App ihn bei jeder Synchronisierung zur Bestätigung auf. Solange diese Bestätigung fehlt, ist kein Remote-Passwort-Reset möglich.

Nach Wiederauffinden, Geräteidentifikation und gesonderter Freigabe in Sophos Mobile Admin:

In der seitlichen Menüleiste Devices öffnen und das eindeutig identifizierte Gerät anklicken.
Auf Show device die Aktion Actions > Reset password wählen.
Falls im Bestätigungsdialog ein Einmalpasswort zum Entsperren angezeigt wird, dieses dem autorisierten Benutzer über den vorgesehenen sicheren Kanal mitteilen; nicht im Incident-Protokoll ablegen.
Auf Android muss der Benutzer das Gerät mit diesem Einmalpasswort entsperren und anschliessend ein neues Passwort festlegen. Auf iPhone/iPad wird stattdessen der Code entfernt und das Gerät entsperrt; vor der Wiederinbetriebnahme den Schutzstatus prüfen.

Die SSP-Variante des Android-Passwort-Resets hat eigene Voraussetzungen und kann bei reiner Arbeitsprofilverwaltung nur dessen Passwort ändern. Den Admin-Ablauf nicht auf das Self Service Portal oder die Fusion-Geräteansicht übertragen.

Mobile Admin: Neustart nur mit geprüftem Rückweg

Sophos Mobile kann Android-Enterprise-Geräte remote neustarten, jedoch nicht, wenn es nur deren Arbeitsprofil verwaltet. Bei iPhones und iPads ist der Remote-Neustart nur für beaufsichtigte Geräte verfügbar.

Nicht als Synchronisierungsprobe verwenden. Mit Code gesperrte iPhones/iPads verbinden sich nach einem Neustart nicht wieder mit dem WLAN. Eine Benutzeraktion kann nötig sein, bevor sie erneut mit Sophos Mobile kommunizieren können. Vor der Freigabe klären, wer den Zugang am Gerät wiederherstellen und die Verbindung prüfen kann. Fehlt dieser Rückweg, stoppen und zur Mobile-/Apple-Administration eskalieren; ein Passwort-Reset ist bei einem weiterhin vermissten Gerät kein Ausweg. Ein Gerät im Managed Lost Mode nicht testweise neustarten.

Nur nach Geräteidentifikation, Prüfung der Plattform und des Verwaltungsmodus sowie gesonderter Freigabe in Sophos Mobile Admin:

In der seitlichen Menüleiste Devices öffnen.
Auf Devices den Pfeil neben dem eindeutig identifizierten Gerät anklicken und Show wählen.
Auf Show device die Aktion Actions > Restart wählen.
Im Bestätigungsdialog mit Yes bestätigen.

Sophos Mobile sendet dem Gerät den Neustartbefehl. Das Gerät startet unmittelbar neu, ohne dass der Benutzer am Gerät bestätigen muss; Yes ist die Bestätigung der Administration. Das Absenden allein belegt noch keine Ausführung auf einem Offline-Gerät. Aufgabenstatus und tatsächlichen Gerätezustand prüfen; nach dem Neustart zusätzlich die Verbindung zu Sophos Mobile kontrollieren und bei fehlender Verbindung den freigegebenen Rückweg nutzen oder eskalieren. Dieser Ablauf gilt nicht für SSP oder die Fusion-Geräteansicht.

Mobile Admin: Beaufsichtigtes iPhone oder iPad ausschalten

Sophos Mobile kann beaufsichtigte iPhones und iPads remote ausschalten. Shut down ist weder das Beenden von Managed Lost Mode noch eine Gerätesperre oder Datenlöschung. Im Managed Lost Mode das Gerät nicht testweise ausschalten. Vor einer gesondert freigegebenen Abschaltung klären, wie das Gerät wieder eingeschaltet und seine Verbindung geprüft werden kann; ohne geeigneten Rückweg stoppen und eskalieren.

Nach Geräteidentifikation, bestätigter Supervision und gesonderter Freigabe in Sophos Mobile Admin:

In der seitlichen Menüleiste Devices öffnen.
Auf Devices den Pfeil neben dem eindeutig identifizierten Gerät anklicken und Show wählen.
Auf Show device die Aktion Actions > Shut down wählen.
Im Bestätigungsdialog mit Yes bestätigen.

Sophos Mobile sendet dem Gerät den Abschaltbefehl. Das Gerät schaltet sich unmittelbar aus, ohne Bestätigung durch den Benutzer am Gerät; Yes bestätigt die Aktion auf Admin-Seite. Auch hier ist das Absenden kein Nachweis der Ausführung auf einem Offline-Gerät. Aufgabenstatus und, soweit möglich, den Zustand am Gerät prüfen. Nach dem freigegebenen Wiedereinschalten die Verbindung und den Schutzstatus prüfen; bei unklarem Ergebnis eskalieren. Nicht mit Turn off Managed Lost Mode, SSP-Turn off Lost Mode oder einer Aktion in der Fusion-Geräteansicht gleichsetzen.

SSP: Lost Mode auf einem iPhone oder iPad

Dieser Zweig gilt nur für beaufsichtigte iPhones/iPads mit MDM-Verwaltung, nicht für Apple User Enrollment, Android, Mac oder eine reine Sicherheits-App. Nach Incident-Freigabe und Prüfung des Rückwegs im Sophos Central Self Service Portal > Mobile das eindeutig identifizierte Gerät wählen und Actions > Turn on Lost Mode verwenden. Lock screen message, Lock screen phone number und Footer festlegen; ohne Footer erscheint der Standardhinweis, die Administration zu kontaktieren. Im Modus sind am Gerät nur der Anruf an die konfigurierte Nummer und ein Notruf möglich.

Im SSP stehen bei aktivem Lost Mode und entsprechender Berechtigung Locate, Play Lost Mode sound und Turn off Lost Mode zur Verfügung. Einen im SSP aktivierten Modus kann man nicht in iCloud beenden; umgekehrt beendet das SSP keinen in iCloud aktivierten Lost Mode. Der SSP-Rückweg Turn off Lost Mode ist vom Admin-Befehl Turn off Managed Lost Mode und vom Ausschalten des Geräts zu unterscheiden. Die oben beschriebene Neustart-/Offline-Gefahr bleibt bestehen: nicht testweise neustarten; Zustellung und tatsächlichen Gerätezustand prüfen und bei fehlender Aufhebung eskalieren. Eine Bestätigung im Portal garantiert keine erfolgreiche Wiederherstellung.

Datenentfernung nur nach bestätigter Freigabe

Arbeitsprofil selektiv entfernen: Nur bei Android-Enterprise-Arbeitsprofilverwaltung und nach Bestätigung, dass Arbeitsdaten dort nicht mehr benötigt werden. Das Profil samt Arbeits-Apps und -Daten verschwindet; persönliche Daten bleiben bestehen. Dies ist keine Zusage, dass anderswo gespeicherte Firmenkonten, Tokens oder Kopien widerrufen wurden.
Gesamtes Gerät zurücksetzen: Nur bei geeignetem Plattform-/Verwaltungsmodus, eindeutiger Eigentums- und Datensicherungsfreigabe sowie vorab überprüftem, für diesen Weg anwendbarem organisatorischem Wiederaktivierungsweg. Ein ungültiges oder unbekanntes FRP-Konto kann ein vollständig verwaltetes Android-Gerät nach Wipe unbenutzbar machen; die FRP-Auswahl gehört zum Wipe in Sophos Mobile Admin und ist für “Delete” nicht nachgewiesen. Für iPhone/iPad Activation Lock vor dem Reset anhand des konkreten Wegs und seiner Voraussetzungen klären; ohne altes Apple-Konto beschreibt Sophos die Reaktivierung nur für beaufsichtigte Geräte unter zusätzlichen Bedingungen. Weder User Enrollment noch das Android-Arbeitsprofil als voll löschbar darstellen. Kein Wiederinbetriebnahmeversprechen ohne kontrollierte Prüfung.
Entregistrieren und anschliessend Eintrag löschen: Das ist kein Ersatz für einen bestätigten Wipe. Vor der Freigabe die Folgen für den konkreten Verwaltungsmodus prüfen:
- Android Enterprise, vollständig verwaltet: Entregistrierung bedeutet Werksreset.
- Bestehende Android-Verwaltung im Modus Device administrator: Entregistrierung deaktiviert den Geräteadministrator von Sophos Mobile Control und entfernt die Server-Anmeldedaten sowie alle anderen von Sophos Mobile Control empfangenen Daten. Sophos Intercept X for Mobile wird zurückgesetzt. Das ist weder ein vollständiger Wipe noch ein Widerruf von Cloud-Konten oder eine Datenmigration; diese Folgen nicht auf Android Enterprise übertragen.
- iPhone/iPad: Entregistrierung entfernt verwaltete Apps, Richtlinien und über MDM empfangene Zertifikate. Sophos Intercept X for Mobile wird zurückgesetzt; das ist kein Geräte-Passwort-Reset und keine Zusage, dass die App deinstalliert wird.
- Mac: Entregistrierung entfernt alle Richtlinien und die über MDM empfangenen Zertifikate, setzt den Mac aber nicht auf Werkseinstellungen zurück. Dadurch können verwaltete Netzwerk- oder Anwendungszugänge ausfallen. Vor der Freigabe einen von diesen Richtlinien und Zertifikaten unabhängigen Netzwerk- und Administrationszugang sowie einen geeigneten Wiederherstellungsplan für Zugangsdaten, Zertifikate und benötigte Daten prüfen. Fehlt ein nachweislich geeigneter Weg, stoppen und eskalieren. Bei einem weiterhin vermissten Mac die Zugangsrisiken im Incident weiterverfolgen; eine Entregistrierung am Gerät ohne bestätigte Ausführung nicht behaupten.

Mobile Admin: Gerät nur nach gesonderter Freigabe zurücksetzen

Wipe setzt das Gerät auf Werkseinstellungen zurück. Die ausgeführte Löschung lässt sich nicht rückgängig machen. Dieser Ablauf gilt für Geräte, die von Sophos Mobile verwaltet werden, und wird in Sophos Mobile Admin ausgeführt, nicht im SSP oder in Fusion. Ausgenommen sind Android-Enterprise-Arbeitsprofilgeräte, Geräte mit Apple User Enrollment und bereits remote gesperrte Macs. Das selektive Entfernen eines Arbeitsprofils ist ein anderer Vorgang.

Erst nach eindeutiger Geräteidentifikation, Eigentums- und Datensicherungsfreigabe sowie Prüfung des für diesen Reset-Weg anwendbaren Wiederaktivierungswegs fortfahren. Die oben genannten FRP-, Activation-Lock- und PIN-Prüfungen bleiben erforderlich; eine sichtbare Wipe-Aktion ersetzt sie nicht. Bei unklarem Verwaltungsmodus, fehlenden Zugangsdaten oder fehlender Freigabe stoppen und eskalieren. Wipe ist keine Synchronisierungsprobe.

In der seitlichen Menüleiste Devices öffnen.
Auf Devices das blaue Dreieck neben dem eindeutig identifizierten Gerät anklicken und Show wählen.
Auf Show device die Aktion Actions > Wipe wählen.
Vor der Bestätigung die Einstellungen für den Gerätetyp prüfen:
- Android Enterprise, vollständig verwaltet: Falls erforderlich, im Wipe-Bestätigungsdialog Turn on Factory Reset Protection wählen. FRP setzt zuvor konfigurierte Google-Konten voraus; deren Gültigkeit und bekannte Zugangsdaten vor dem Auslösen sicher prüfen. Sind diese Konten ungültig oder die Zugangsdaten unbekannt, wird das Gerät nach dem Wipe unbrauchbar. Diese Auswahl nicht auf Delete oder einen Wipe in Fusion übertragen.
- iPhone/iPad: Im Bestätigungsdialog Preserve data plan und Forbid Quick Start gemäss dem freigegebenen Wiederherstellungsplan festlegen. Preserve data plan erhält einen auf dem Gerät vorhandenen Mobilfunk-Datentarif nach dem Werksreset, nicht die übrigen Gerätedaten. Forbid Quick Start überspringt beim ersten Start nach dem Reset den Quick-Start-Schritt im Setup Assistant, mit dem Inhalte von einem anderen iPhone übertragen werden können. Das ist keine dauerhafte Sperre aller Inhaltsübertragungen.
- Mac: Für Wipe einen sechsstelligen PIN festlegen und sicher verwahren. Er muss am Mac zum Entsperren eingegeben werden. Den macOS-System-Lock-PIN findet man auf der Geräteseite unter Device properties > Unlock passcode und auf der Seite Task details unter Lock PIN. Den PIN nur im vorgesehenen sicheren Verfahren verwahren, nicht im Incident-Protokoll.
Erst mit bestätigter Freigabe im Bestätigungsdialog Yes wählen.

Sophos Mobile legt eine Wipe-Aufgabe an und überträgt sie an das Gerät. Eine angelegte, benachrichtigte oder noch ausstehende Aufgabe belegt keine ausgeführte Löschung. Den konkreten Aufgabenstatus prüfen und zwischen erfolgreich gemeldet und am Gerät bestätigt unterscheiden; wenn das Gerät wiedergefunden wird, den tatsächlichen Zustand kontrollieren. Bei Offline-Status, fehlendem Gerät oder widersprüchlichem Ergebnis keine Löschung behaupten, sondern Zugänge und Datenrisiko im Incident weiterverfolgen und eskalieren. Weder eine letzte Synchronisierung noch das Absenden ist ein Erfolgskriterium.

Es gibt keinen Rollback für die ausgeführte Löschung. Eine spätere Registrierung oder Inventaränderung stellt gelöschte Daten nicht wieder her. Eine Wiederinbetriebnahme aus geeigneten Sicherungen ist ein separater, freizugebender Vorgang; Wiederaktivierung, erneute Registrierung und Schutzstatus gemäss „Ergebnis prüfen und eskalieren“ separat kontrollieren. Aus diesem Ablauf keine Zusage ableiten, dass sich eine bereits versendete Aufgabe noch stoppen lässt.

Nach Unenroll: Wiederinbetriebnahme prüfen

Für die Wiederinbetriebnahme nach einer Entregistrierung gelten die Prüfungen von erneuter Registrierung und Schutzstatus im Abschnitt “Ergebnis prüfen und eskalieren”. Ein App-Reset ist kein Nachweis eines weiterhin wirksamen Schutzes.

Vor Delete: Entregistrierung und Synchronisierung prüfen

Vor dem Löschen aus Sophos Mobile das Gerät entregistrieren. Sophos warnt ausdrücklich, dass es sonst unbrauchbar werden kann. Selbst das Löschen eines noch verwalteten Android-Enterprise-Geräts im Vollgerätemodus kann einen Werksreset auslösen.

Bei einem noch registrierten Gerät ausser Windows erfolgt die durch das Löschen des Eintrags ausgelöste Entregistrierung laut Sophos erst bei der nächsten Synchronisierung mit Sophos Mobile. Sie erfolgt nicht sofort und nicht als späterer Admin-Schritt. Bleibt das Gerät offline, ist die Entregistrierung am Gerät nicht bestätigt. Bei Windows gilt diese automatische Entregistrierung nach dem Löschen gerade nicht.

Entregistrierung in App und SSP unterscheiden

Die Entregistrierung in der Sophos Mobile Control App ist nicht mit einer Deinstallation gleichzusetzen. Sie entfernt die Serververbindung und die zugehörigen Daten, lässt die App aber installiert.

Das ist keine Aussage über die SSP-Entregistrierung. Dort wird Sophos Mobile Control bei iPhone/iPad laut Sophos deinstalliert. Die Beschreibung des App-Bedienwegs ersetzt auch nicht die oben genannten modusabhängigen Folgen der Entregistrierung.

Nach Delete: Aufbewahrung und Datenschutz getrennt prüfen

“Delete” entfernt den Sophos-Mobile-Eintrag und die dort gespeicherten Gerätedaten. Zuvor in den Sophos Data Lake hochgeladene Daten bleiben bis zum Ende der geltenden Sophos-XDR-Aufbewahrungsfrist erhalten.

Das Löschen beweist weder die Löschung auf einem Offline-Gerät noch die Entfernung aller Cloud-/Auditdaten oder die Erfüllung eines umfassenden Löschersuchens. Aufbewahrung und Datenschutz separat nach dem Organisationsprozess prüfen.

SSP: Bereits entregistriertes oder zurückgesetztes Gerät aus der Liste löschen

Delete unenrolled device ist eine nachgelagerte Listenbereinigung, keine Verlustmassnahme und kein Remote-Wipe. Erst nach bestätigter Entregistrierung oder einem separat freigegebenen, tatsächlich erfolgten Reset und mit der Berechtigung Delete unmanaged device im Sophos Central Self Service Portal > Mobile das richtige Gerät wählen und Actions > Delete verwenden. Danach prüfen, dass es nicht mehr in der eigenen Geräteliste erscheint. Ein bloss ausstehender Unenroll-/Reset-Auftrag erfüllt diese Vorbedingung nicht; bei einem Offline-Gerät keine bereits erfolgte Entregistrierung oder Zurücksetzung unterstellen.

Dieser SSP-Zweig ist nicht mit Fusion-Delete eines noch verwalteten Geräts gleichzusetzen. Er beweist keine Löschung am Gerät und stellt keine Daten wieder her; insbesondere bleiben die oben beschriebenen Android-Werksreset-, Windows-Unenroll-, Wiederaktivierungs- und Aufbewahrungsgrenzen bestehen.

Ergebnis prüfen und eskalieren

Nach einer freigegebenen Aktion den konkreten Aufgabenstatus in Sophos Mobile und den Zeitpunkt der letzten Synchronisierung prüfen. Wenn verfügbar, auch den tatsächlichen Zustand am wiedergefundenen Gerät prüfen. Zwischen angelegt/benachrichtigt, erfolgreich gemeldet und physisch bestätigt unterscheiden. Bei Offline-Status, widersprüchlichem Ergebnis oder fehlendem Gerät keine Löschung behaupten; Zugänge und Datenrisiko weiter im Incident verfolgen. Für Wiederinbetriebnahme erst Wiederaktivierung, benötigte Sicherung, erneute Registrierung und Schutzstatus separat freigeben. Ein einmal entferntes Arbeitsprofil oder gelöschte Gerätedaten stellt eine spätere Inventaränderung nicht wieder her.

Grenzen dieser Entscheidungshilfe

Die Herstellerdokumentation belegt die Produktgrenzen, nicht die Freigabe für ein konkretes Gerät. Bedienoberflächen, Eigentum, Verwaltungsmodus und Richtlinien im eigenen Tenant vor Ort prüfen. Release ist keine Sofortmassnahme bei Verlust.