In vielen Tenants, die ich betreue, verwaltet Intune noch immer Android-Geräte über die klassische Methode „Android Device Administrator“. Technisch gilt Device Admin zwar schon länger als überholt, trotzdem zieht sich die Umstellung in der Praxis oft hin, vor allem bei BYOD oder älteren Firmen-Tablets. Für Intune-Tenants, deren Geräte Google Mobile Services (GMS) nutzen, enden Support und Fehlerbehebungen am 31. Dezember 2024. Damit ist die Übergangsphase endgültig vorbei. Wer seine Geräte bis dahin nicht auf Android Enterprise migriert hat, steht ohne Support da und muss obendrein spürbare Einbußen bei Sicherheit und Steuerung hinnehmen.

Ab 2025 läuft Android Device Administrator in Intune ohne Support weiter

Lange Zeit war der Device-Administrator-Modus der Standard für die Android-Verwaltung, doch offiziell trägt er seit Jahren das Etikett „Legacy“. Ab Anfang 2025 funktioniert die Verwaltung grundsätzlich weiter. Intune liefert dann allerdings keine Fehlerbehebungen mehr, leistet keinen Support und bringt selbstverständlich auch keine neuen Features. Betroffen sind ausschließlich Geräte mit Zugang zu Google Mobile Services; Geräte ohne GMS in speziellen Szenarien fallen nicht darunter. Microsoft ist übrigens nicht der einzige Treiber: Auch Google streicht mit jeder Android-Version weitere Device-Admin-Funktionen. Spätestens ab Android 12 oder 13 fehlen wichtige Steuerungsoptionen, und manche Richtlinien lassen sich schlicht nicht mehr durchsetzen.

Mein Tipp aus der Praxis ist, sich zuerst einen Überblick zu verschaffen. Im Intune Admin Center unter Devices → All devices können Sie nach Geräten filtern, deren „Management Type“ noch auf „Android device administrator“ steht. Bevor Sie umstellen, sollten Sie alle relevanten Geräte erfassen und einordnen. Dabei kommen häufig Geräte zum Vorschein, die längst ausgemustert sind oder nur zum Testen dienten.

Oft bremsen auch interne Abläufe wie Geräteübergaben oder BYOD-Regelungen die Migration aus. Sprechen Sie deshalb früh mit den betroffenen Nutzer:innen und machen Sie klar, dass die alte Verwaltungsmethode keine Zukunft mehr hat.

Android Enterprise bietet je nach Szenario vier Enrollment-Optionen

Mit Android Enterprise gibt es inzwischen eine Plattform, die moderner und deutlich sicherer ist und mehr Spielraum bei der Geräteverwaltung lässt. Welche Enrollment-Option sich eignet, hängt davon ab, wie das Gerät genutzt wird:

  • Persönlich verwaltetes Arbeitsprofil („work profile“): Für BYOD-Geräte, mit klarer Trennung zwischen privat und dienstlich.
  • Firmenverwaltetes Arbeitsprofil („corporate-owned work profile“): Für Unternehmensgeräte, auf denen private Nutzung erlaubt ist.
  • Vollständig verwaltete Geräte („fully managed“): Für reine Firmengeräte ohne privaten Bereich.
  • Dedizierte Geräte (z. B. für Kioske, Shared Devices): Reduzierter Modus für Sonderfälle.

In der offiziellen Microsoft-Dokumentation finden Sie einen aktuellen Überblick sowie konkrete Anleitungen für jede Enrollment-Option (Quelle, Deployment-Szenarien).

Ein Migrationsassistent hilft, doch einige Stolperfallen bleiben

Microsoft bietet mittlerweile einen Migrationsassistenten an, mit dem sich Device-Admin-Geräte leichter in ein Arbeitsprofil (Work Profile) überführen lassen (siehe Microsoft Docs). Sie finden ihn in Intune unter Devices → Android → Android enrollment. Der Assistent erkennt geeignete Geräte, informiert die Nutzer:innen und begleitet sie, wenn sie den Wechsel selbst durchführen. Voraussetzung ist, dass die Geräte Android Enterprise unterstützen und nicht durch Enrollment-Beschränkungen ausgeschlossen sind.

Immer wieder sehe ich, dass die Enrollment-Beschränkungen („enrollment restrictions“) in Intune neue Device-Admin-Registrierungen weiterhin zulassen, obwohl die Migration längst läuft. Ich prüfe deshalb jedes Mal, ob unter Intune Admin Center → Devices → Enrollment → Device platform restriction die Option „Android device administrator“ konsequent blockiert ist. Andernfalls landen versehentlich neue Geräte im alten Modus.

# Prüfen, ob Device Admin noch erlaubt ist (PowerShell Graph SDK, Rolle: Intune Admin)
Get-IntuneEnrollmentPlatformRestriction | Where-Object { $_.Platform -eq "androidDeviceAdministrator" }

Voraussetzungen: PowerShell 7, Microsoft.Graph.Intune-Modul, mindestens Intune Administrator.

Ohne gute Kommunikation wird es schwierig. Am reibungslosesten verläuft die Umstellung erfahrungsgemäß, wenn die Nutzer:innen rechtzeitig erfahren, dass sie ihr Gerät neu registrieren müssen und was sich dadurch ändert. Gerade wer ein privates Gerät nutzt, sollte wissen, welche Daten das Unternehmen künftig einsehen kann und welche privat bleiben.

Das Diagramm zeigt den typischen Ablauf der Migration

Die folgende Mermaid-Grafik stellt aus Sicht von Admin und Benutzer:innen dar, wie ein Device-Admin-Gerät üblicherweise in ein Android-Enterprise-Arbeitsprofil wechselt.

flowchart TD
    Start["Gerät mit Device Admin" ] --> Sichtbarkeit["Gerät in Intune identifizieren" ]
    Sichtbarkeit --> Nachricht["Benachrichtigung an Nutzer:in" ]
    Nachricht --> Migration["Migration mit Migrationsassistent starten" ]
    Migration --> Einschreibung["Gerät mit Work Profile einschreiben" ]
    Einschreibung --> Abschluss["Gerät jetzt Android Enterprise verwaltet" ]

Abbildung: Ablauf der Migration eines Device-Admin-Geräts zum Android-Enterprise-Work-Profile.

Wer jetzt mit der Migration beginnt, spart sich später Ärger

Bis Ende 2024 ist noch etwas Zeit für die Umstellung, aber erfahrungsgemäß ist sie schneller verbraucht, als man denkt. Wer noch viele Device-Admin-Geräte im Bestand hat, sollte umgehend Klarheit schaffen und einen Migrationsplan aufstellen, der Zeitplan, Kommunikation und die passenden Enrollment-Optionen abdeckt. Die technischen Schritte bereiten dabei meist die geringsten Schwierigkeiten; schwerer wiegen Akzeptanz und eingefahrene Abläufe im Unternehmen. Wer früh beginnt, bringt die Migration ohne Hektik hinter sich und hat dauerhaft mehr Sicherheit, bessere Kontrolle und weiterhin Anspruch auf Support. Wer dagegen abwartet, merkt spätestens beim nächsten Supportfall, was ihm fehlt.