Wer mit geteilten Geräten für Frontline-Worker arbeitet, kennt die Situation: Ein Smartphone oder Tablet gehört dem ganzen Schichtteam, alle nutzen es, aber niemand ist dauerhaft angemeldet. Trotzdem sollen M365-Apps wie Teams, Outlook oder Edge für jeden Nutzer sofort und sicher laufen. In vielen Tenants, die ich betreue, ist das Thema spätestens mit Microsoft 365 Copilot wieder auf den Tisch gekommen. Auf Geräten, die mehrere Mitarbeitende nacheinander in der Hand haben, landen nun eben auch sensible Daten. Entscheidend sind deshalb der Enrollment-Prozess, Conditional Access und die App-Konfiguration in Intune. Auch bei der iOS-Unterstützung bewegt sich bei Microsoft inzwischen einiges.

Unter Android greifen Dedicated Devices und Entra Shared Device Mode ineinander

Für geteilte Geräte in der Frontline ist Android seit Jahren die erste Wahl. Über das Enrollment als „Android Enterprise Dedicated Device“ richtet Intune Geräte ohne persönliche Bindung recht unkompliziert ein (offizielle Anleitung). Schwieriger wird es bei der Anmeldung: Nutzer müssen sich an- und abmelden können, und Apps wie Teams oder Outlook sollen dabei tatsächlich in den Kontext des jeweils angemeldeten Nutzers wechseln.

Dafür gibt es den Microsoft Entra Shared Device Mode. Das Gerät bleibt einem generischen Gerätekonto zugeordnet, während sich einzelne Nutzer vorübergehend anmelden, arbeiten und wieder abmelden – die Apps sind genau darauf ausgelegt. Nach der Abmeldung ist das Gerät wirklich bereinigt. Herzstück ist der Managed Home Screen, den ich über Intune als Launcher (Kiosk-Modus) verteile und mit App-Konfigurationsrichtlinien steuere (Details bei Microsoft). Angemeldet wird meist per QR-Code oder PIN, häufig kombiniert mit Single Sign-On über Entra ID.

{
  "profileType": "kiosk",
  "enrollmentType": "dedicatedDevice",
  "sharedDeviceMode": true,
  "launcher": "ManagedHomeScreen"
}

Beispiel für eine Geräteprofil-Konfiguration in Intune

Teams, die Microsoft 365 Copilot App und Outlook beherrschen den globalen Sign-out. Meldet sich jemand im Managed Home Screen ab, entfernt das System Tokens und Sessions aller unterstützten Apps automatisch. Niemand muss sich also in jeder App einzeln abmelden.

Ein Tipp aus dem Alltag: Lassen Sie die Geräte regelmäßig auf Compliance prüfen und entfernen Sie Altgeräte aus Intune. Andernfalls verliert man bei Compliance-Berichten und Conditional-Access-Regeln schnell den Überblick. Mehr dazu in Intune-Geräte aufräumen: Compliance & Einstellungen.

Unter iOS steckt der Shared Device Mode noch in der Pilotphase

Geteilte Tablets für Teams waren unter iOS lange ein Sorgenkind. Langsam ändert sich das: Mit dem Microsoft Enterprise SSO Plug-in für iOS lassen sich Apple-Geräte inzwischen in den Entra Shared Device Mode versetzen. Im Herbst 2025 reicht das aber noch nicht ganz an Android heran. Den aktuellen Status und den Supportumfang sollte man unter https://learn.microsoft.com/en-us/entra/identity-platform/msal-shared-devices nachlesen.

In meinen ersten Pilotprojekten läuft der Entra Shared Device Mode unter iOS mit unterstützten Microsoft-Apps wie Teams und Outlook, vorausgesetzt, die Geräte werden per User Enrollment oder Automated Device Enrollment (ADE) mit Intune verwaltet. Auch hier entfernt der globale Logout den Nutzerkontext und die Tokens aus den unterstützten Apps. Bei vielen Business-Apps anderer Hersteller ist der Shared Device Mode dagegen noch nicht alltagstauglich. Wer iPads mit wechselnden Nutzern einsetzen will, sollte deshalb gründlich testen, ob das eigene App-Portfolio mitspielt.

Conditional Access und Lizenzen brauchen bei geteilten Geräten besondere Sorgfalt

Bei geteilten Frontline-Geräten stolpern viele über Conditional Access. Die Richtlinien müssen zwei Dinge gleichzeitig berücksichtigen: die Geräte-Compliance (das Gerät wird von Intune verwaltet und ist compliant) und den Nutzerkontext, also wer gerade angemeldet ist. Gerade das Zusammenspiel von gerätebasierten und benutzerbasierten Bedingungen führt im Shared Device Mode leicht dazu, dass Zugriffe ungewollt blockiert oder zu großzügig erlaubt werden. Bevor man Richtlinien im ganzen Tenant ausrollt, lohnt sich daher eine eigene Testgruppe mit dedizierten Geräten und Nutzern. Wer Microsoft 365 Copilot oder Teams Premium einsetzt, kommt ohnehin nicht darum herum, Datenzugriffe an Ort und Zeit zu knüpfen.

Bei der Lizenzierung genügt in den meisten Szenarien eine Microsoft-365-F1- oder -F3-Lizenz pro Nutzer. Allerdings ist nicht jede App automatisch im F1-Plan enthalten, Copilot zum Beispiel nicht. Für die Funktionen des Shared Device Mode braucht der Nutzer die passende Lizenz, nicht das Gerät. Einige Spezialfunktionen wie die rollenbasierte App-Zuweisung im Managed Home Screen können zusätzlich die Intune Suite oder E5-Add-ons erfordern.

Der Managed Home Screen regelt Sitzungsdauer, PIN und Timeouts

In Projekten wird gern übersehen, wie lange Sitzungen dauern dürfen und wie sicher der Nutzerwechsel abläuft. Im Managed Home Screen legt man PIN-Länge, automatische Abmeldung und Session-Timeouts über App-Konfigurationsrichtlinien fest. Bewährt hat sich ein kurzes Timeout von etwa 5–10 Minuten Inaktivität, damit niemand versehentlich im Konto eines Kollegen angemeldet bleibt. Die Mindestlänge der PIN richtet man am besten nach dem jeweiligen Einsatzumfeld aus. Wer Komfort und Sicherheit unter einen Hut bringen möchte, schaltet die automatische Abmeldung nach Schichtende oder bei Inaktivität ein.

Über den Erfolg entscheidet erst der Alltag im Schichtbetrieb

Mit Technik allein sind geteilte Geräte in der Frontline nicht erledigt. Fehlen ein durchdachtes Betriebskonzept und eine Testphase, sorgt das Zusammenspiel von Intune, Managed Home Screen, Entra Shared Device Mode und Conditional Access schnell für Frust. Ich rate dazu, nicht zu früh auf iOS zu setzen, wenn tatsächlich mehrere Nutzer an einem Gerät arbeiten sollen. Außerdem gehört jede eingesetzte App auf den Prüfstand, ob sie mit dem Shared Device Mode zurechtkommt. Derzeit hat Android klar die Nase vorn, vor allem wegen der engen Verzahnung mit Intune und des breiten App-Angebots. Wer Geräteverwaltung und Compliance schleifen lässt, hat bald ein Durcheinander – Tipps zu Android Device Administrator und Compliance habe ich hier zusammengestellt. Den Ausschlag gibt aber der Praxistest: wie leicht sich Nutzer anmelden, wie zuverlässig der Logout funktioniert und wie schnell ein Gerät wieder bereitsteht. Daran entscheidet sich, ob die Lösung im Betrieb funktioniert oder nervt, und damit letztlich auch, wie es um Akzeptanz und Sicherheit bestellt ist.

Zum Schluss zeigt eine kleine Grafik, wie Intune, Entra Shared Device Mode und Managed Home Screen unter Android zusammenarbeiten:

flowchart TD
  Enrollment["Intune Enrollment"] --> Device["Android Dedicated Device"]
  Device --> MHS["Managed Home Screen"]
  MHS --> UserSignIn["Nutzer Anmeldung"]
  UserSignIn --> Apps["Microsoft 365 Apps (Shared Device Mode)"]
  Apps --> GlobalSignOut["Globaler Sign-out"]
  GlobalSignOut --> MHS

Abbildung: So greifen Intune Enrollment, Managed Home Screen und Shared Device Mode unter Android ineinander.