Schlüsselpunkte
- Apple Managed Open In ist eine Steuerungsfunktion im Apple-Gerätemanagement, die den Datenaustausch zwischen verwalteten und nicht verwalteten Apps unter iOS und iPadOS einschränkt.
- Die Funktion erzwingt Regeln für den Datenfluss in eine bestimmte Richtung, abhängig vom Verwaltungsstatus von Quelle und Ziel.
- Ob etwas als verwaltet gilt, ergibt sich aus per MDM installierten Apps, verwalteten Accounts, verwalteten Erweiterungen und verwalteten Domains.
- Managed Open In steuert die Dokumentfreigabe, „Öffnen in“-Aktionen und das Verhalten der Zwischenablage an der Verwaltungsgrenze.
- Die Funktion eignet sich besonders für BYOD-Szenarien und das Apple-Gerätemanagement bei gemischter Nutzung.
- Für eine zuverlässige Durchsetzung braucht es einen einheitlichen App-Geltungsbereich, eine konsistente Account-Bereitstellung und passende Betriebssystemversionen.
- Managed Open In senkt das Risiko von Datenabfluss als Teil einer mehrschichtigen Strategie für das Apple-Gerätemanagement.
In den meisten Unternehmensumgebungen laufen heute sowohl geschäftliche als auch private Anwendungen auf denselben Endpunkten. Mobile Device Management (MDM) kann zwar die Bereitstellung und Konfiguration von Apps steuern, aber nicht vollständig regeln, wie sich Daten während der Nutzung zwischen Apps bewegen. Genau daraus entsteht ein Sicherheitsrisiko für Unternehmen.
Aus diesem Grund hat Apple Managed Open In für iOS– und iPadOS-Endpunkte entwickelt: Die Funktion setzt Grenzen für Datenbewegungen und verringert so die unbeabsichtigte Offenlegung von Daten. Lesen Sie weiter, um mehr zu erfahren.
Das leistet Apple Managed Open In
Apple Managed Open In ist eine per MDM durchgesetzte Funktion, die regelt, wie Daten die Grenze zwischen verwalteten und nicht verwalteten Apps auf iOS- und iPadOS-Geräten überschreiten. Im Mittelpunkt steht, was mit Unternehmensdaten auf einem Gerät passiert, insbesondere wenn Benutzer:innen Inhalte zwischen Apps öffnen, teilen oder übertragen möchten. Diese verwaltete Grenze hilft IT-Teams, die versehentliche Offenlegung von Daten zu reduzieren und trotzdem Workflows mit gemischter Nutzung zu unterstützen.
Diese zentralen Datenflüsse werden über die Grenze gesteuert:
- Einschränkungen von verwaltet zu nicht verwaltet: legt fest, ob Dokumente aus verwalteten Apps oder Accounts in nicht verwalteten Apps geöffnet werden dürfen.
- Freigaben von nicht verwaltet zu verwaltet: steuert, ob Inhalte aus privaten Apps oder Quellen in verwaltete Apps übernommen werden dürfen.
- Verhalten beim Teilen und Öffnen: regelt, wie sich die Menüs „Teilen mit“ und „Öffnen in“ verhalten, wenn Inhalte die verwaltete Grenze überschreiten.
So unterscheidet Apple zwischen verwaltet und nicht verwaltet
Managed Open In stützt sich auf Apples interne Klassifizierung von Inhaltsquellen und -zielen, um zu bestimmen, wie sich Daten auf dem Gerät bewegen dürfen. Diese Unterscheidung ist die Grundlage der Durchsetzung: Jede Datenaktion wird daraufhin bewertet, ob Ursprungsquelle und vorgesehenes Ziel als verwaltet oder als nicht verwaltet gelten.
Zu den typischen verwalteten Elementen gehören:
- verwaltete Apps (installiert und verwaltet über Apple MDM)
- verwaltete Accounts (Unternehmens-Accounts wie geschäftliche E-Mail-Konten samt ihrer Anhänge)
- verwaltete Erweiterungen (App-Erweiterungen, die zu verwalteten Apps gehören)
- verwaltete Domains (Downloads von Domains, die ausdrücklich als verwaltet gekennzeichnet sind)
Jede App, jeder Account, jede Erweiterung und jede Inhaltsquelle, die nicht ausdrücklich als verwaltet gekennzeichnet ist, gilt als nicht verwaltet.
Die zentralen Steuerungsmöglichkeiten von Managed Open In
Der Mechanismus hinter Managed Open In beruht auf wenigen gerichteten Regeln, die festlegen, wie sich Daten zwischen verwalteten und nicht verwalteten Kontexten bewegen dürfen. Damit nicht zu viel blockiert wird, gibt es Steuerungsmöglichkeiten, die riskante Szenarien unterbinden, legitime Arbeitsschritte aber weiterhin zulassen.
Die wichtigsten gerichteten Steuerungen sind:
- Öffnen oder Teilen von nicht verwalteten Quellen (Inhalte aus privaten Apps oder Accounts) in verwalteten Zielen erlauben oder einschränken.
- Öffnen oder Teilen von verwalteten Quellen (Unternehmensdokumenten) in nicht verwalteten Zielen erlauben oder einschränken.
Hinzu kommen einige ergänzende Kontrollen zum Datenschutz:
- AirDrop als nicht verwaltetes Ziel behandeln.
- Aktionen über die Zwischenablage (Kopieren und Einfügen) einschränken, wenn Inhalte die verwaltete Grenze überschreiten.
Zusammen sorgen diese Kontrollen dafür, dass Unternehmensdaten in genehmigten Apps und Accounts bleiben.
Anwendungsfälle für Managed Open In im Unternehmen
Managed Open In eignet sich besonders für Unternehmen mit gemischter Nutzung und BYOD-Szenarien (Bring Your Own Device). Sensible Daten lassen sich schützen, ohne das Gerät komplett zu sperren und damit die Nutzbarkeit zu beeinträchtigen. So gelingt eine praxistaugliche Trennung von geschäftlicher und privater Nutzung, die Endbenutzer:innen mehr Spielraum lässt.
Typische Szenarien im Unternehmen sind:
- verhindern, dass Unternehmensdateien in privaten Speicher-, Messaging- oder Filesharing-Apps geöffnet werden.
- die Möglichkeit einschränken, Inhalte aus verwalteten Produktivitäts-Apps in Consumer-Anwendungen zu kopieren.
- Unternehmensdaten in genehmigten Speicher-, E-Mail- und Collaboration-Tools halten.
- geschäftliche und private Apps nebeneinander erlauben, ohne Unternehmensdaten preiszugeben.
Sicherheit und Benutzerfreundlichkeit in Einklang bringen
Beim Einsatz dieses Mechanismus kommt es darauf an, zu scharfe Einschränkungen zu vermeiden, die Geschäftsprozesse unbeabsichtigt stören. Gehen Sie diese Einstellungen immer umsichtig und mit Augenmaß an, um Risiken zu senken, ohne Reibung zu erzeugen.
Bewährte Vorgehensweisen bei der Implementierung sind:
- Datenbewegungen von verwaltet zu nicht verwaltet einschränken und anschließend gezielt einzelne genehmigte Ziele freigeben.
- sicherstellen, dass gängig genutzte Viewer, Collaboration-Tools und Speicher-Apps als verwaltete Apps bereitgestellt werden.
- prüfen, ob Downloads von verwalteten Domains durchgängig als verwaltete Inhalte behandelt werden.
- klar kommunizieren, damit Benutzer:innen verstehen, warum bestimmte Öffnen- oder Teilen-Aktionen blockiert werden.
Um unternehmensweite Probleme zu vermeiden, sollten Sie vor dem breiten Rollout der Richtlinie die Workflows erfassen und Pilottests durchführen.
Betrieb und Durchsetzung: Was Sie beachten sollten
Mehrere technische und umgebungsbedingte Faktoren beeinflussen die Durchsetzung von Managed Open In und können zu uneinheitlichem Verhalten führen, wenn sie nicht sorgfältig gesteuert werden.
Folgende Punkte sollten Sie berücksichtigen:
- Geräteüberwachung und Registrierung: Wie stark die Durchsetzung greift und welche Funktionen verfügbar sind, hängt von der Art der Registrierung und vom Supervision-Status ab.
- Verhalten des Betriebssystems: Unterschiede zwischen iOS- und iPadOS-Versionen können beeinflussen, wie verwaltete Grenzen interpretiert und durchgesetzt werden.
- Unterstützung durch die App-Implementierung: Nicht alle Apps berücksichtigen verwaltete Kennzeichnungen oder Erweiterungen vollständig, was das erwartete Verhalten verändern kann.
- Einheitliche Bereitstellung: Verwaltete Apps und Accounts müssen einheitlich bereitgestellt werden, damit die Klassifizierung zuverlässig funktioniert.
Weitere Aspekte
Der Mechanismus ist für sich genommen keine umfassende Lösung zur Verhinderung von Datenverlust. Deshalb ist es wichtig, seine Grenzen und Feinheiten zu kennen, um realistische Erwartungen zu setzen.
- Managed Open In verhindert keine Screenshots, keine Bildschirmaufzeichnung und kein manuelles Abtippen von Informationen.
- Das App-Verhalten kann sich unterscheiden, je nachdem, wie Entwickler:innen die Unterstützung für verwaltete Kennzeichnungen und Erweiterungen umgesetzt haben.
- Administrator:innen haben kaum Einblick in einzelne Durchsetzungsentscheidungen oder blockierte Aktionen.
- Am wirksamsten ist Managed Open In in Kombination mit weiteren Datenschutz- und Zugriffskontrollen.
Typische Probleme, die Sie prüfen sollten
Manchmal verhält sich Managed Open In nicht wie erwartet, weil Lücken in der Klassifizierung bestehen oder sich Umgebungen unterscheiden. Die folgenden Szenarien helfen Ihnen, häufige Implementierungsfehler einzugrenzen und zu beheben.
Unternehmensdokumente lassen sich weiterhin in privaten Apps öffnen
Stellen Sie sicher, dass die Quellanwendung oder der Quell-Account als verwaltete Entität gekennzeichnet ist und die Ziel-App korrekt als nicht verwaltet behandelt wird.
Kopieren und Einfügen funktioniert unerwartet
Prüfen Sie, ob die Kontrollen für die verwaltete Zwischenablage aktiviert sind und ob Quell- und Ziel-App korrekt klassifiziert sind. Außerdem können Apps, die das Verhalten der verwalteten Zwischenablage nicht vollständig unterstützen, eine begrenzte Datenübertragung zulassen.
Benutzer-Workflows brechen ab
Zu weit gefasste Einschränkungen blockieren häufig legitime Ziele, die eigentlich ausdrücklich erlaubt sein sollten. Finden Sie heraus, welchen benötigten Apps oder Erweiterungen der verwaltete Status fehlt, und passen Sie den Geltungsbereich der Richtlinie gezielt an.
Uneinheitliches Verhalten auf verschiedenen Geräten
Prüfen Sie Unterschiede beim Supervision-Status, bei den Betriebssystemversionen oder bei den Registrierungsmethoden, die die Durchsetzung beeinflussen können. Schon kleine Abweichungen im Gerätezustand führen zu spürbar unterschiedlichem Verhalten der Richtlinie.
Integration mit NinjaOne
NinjaOne ergänzt Apple Managed Open In um Transparenz und die Durchsetzung von Richtlinien, sodass Datenschutzkontrollen auf iOS- und iPadOS-Geräten einheitlich angewendet werden.
| NinjaOne-Funktion | Unterstützung für Managed Open In |
| Durchsetzung von MDM-Richtlinien | ermöglicht die einheitliche Bereitstellung von Einstellungen rund um Managed Open In auf allen registrierten Apple-Geräten |
| Geltungsbereich verwalteter Apps | hilft sicherzustellen, dass benötigte Produktivitäts-, Collaboration- und Speicher-Apps korrekt als verwaltet klassifiziert sind |
| Transparenz über Accounts | unterstützt die korrekte Bereitstellung verwalteter Accounts, die die Klassifizierung von Inhalten beeinflussen |
| Abstimmung im Betrieb | reduziert Supportfälle durch falsch konfigurierte Einschränkungen oder lückenhafte verwaltete Abdeckung |
Sicherheit und Benutzerfreundlichkeit im Apple-Gerätemanagement ausbalancieren
Mit Managed Open In erhalten Unternehmen eine präzisere Kontrolle über Endpunkte mit Apple-Geräten. Durch die klare Trennung zwischen verwalteten und nicht verwalteten Kontexten können IT-Teams die versehentliche Offenlegung von Daten verringern und Benutzer:innen trotzdem Spielraum in ihren Workflows auf dem Gerät lassen. Wichtig ist nur, die Feinheiten zu verstehen und die Einstellungen vor dem Rollout zu testen, damit Nutzbarkeit und Sicherheit in iOS- und iPadOS-Umgebungen gleichermaßen gewährleistet sind.
Verwandte Themen:
- Was ist Apple Business Manager und wie funktioniert er?
- Was ist iOS Device Supervision?
- Überwachte und nicht überwachte Geräte: Worin liegt der Unterschied?
- So wirkt sich Apple Business Manager (ABM) auf das Gerätemanagement aus
- Geräte zu Apple Business Manager hinzufügen und im großen Stil registrieren
