Wer die Apple-Verwaltung in Intune in den letzten Monaten verfolgt hat, hat die Umstellung auf Apple DDM sicher mitbekommen. In vielen Tenants, die ich betreue, geben vor allem die Software-Updates auf iPhones, iPads und Macs regelmäßig Anlass zu Diskussionen. Mal kommen sie zu spät, mal zu früh, die Nutzer fragen ständig nach, oder niemand weiß genau, ob wirklich alle Geräte auf dem gewünschten Stand sind. Apple hat angekündigt, die klassischen MDM-Befehle und Payloads für Software-Updates durch das deklarative Gerätemanagement (DDM) zu ersetzen, und damit die Richtung klar vorgegeben. In Intune kommt man seitdem an der DDM-Steuerung nicht mehr vorbei.

Mit DDM legt Intune Zielversion und Frist für Updates genau fest

Das deklarative Gerätemanagement macht die Update-Steuerung deutlich präziser. Statt der alten MDM-Kommandos, auf die oft wenig Verlass war, legen Administratoren im Intune-Einstellungskatalog unter „Deklaratives Gerätemanagement → Softwareupdate“ fest, welche iOS/iPadOS- oder macOS-Version bis wann installiert sein muss. Praktisch finde ich vor allem, dass sich neben Zielversion und Fristdatum auch eine Uhrzeit für die verpflichtende Installation angeben lässt. Die Geräte bekommen diese Vorgaben direkt von Intune und setzen sie um, sobald das jeweilige Betriebssystem die Funktion unterstützt. Für die Nutzer erscheinen dann automatisch Hinweise und Aufforderungen, das Update einzuspielen. Noch hat Apple die alten MDM-Funktionen nicht aus Intune entfernt, sie sind aber unübersehbar als veraltet markiert. Wer die Migration bisher vor sich hergeschoben hat, sollte sie jetzt einplanen.

Mein Tipp aus der Praxis: Testet DDM-Update-Richtlinien zuerst nur mit Pilotgruppen. Die User Experience unterscheidet sich je nach Betriebssystem, und nicht jede Firmware-Version läuft auf Anhieb sauber.

Auch unter macOS merkt man den Fortschritt durch DDM, besonders im Zusammenspiel mit modernen Authentifizierungs- und Compliance-Konzepten wie macOS Platform SSO mit Entra ID. Dort zeigt sich schnell, dass einheitliche und aktuelle Softwarestände für ein reibungsloses SSO und für Compliance-Prüfungen unverzichtbar sind.

Neue DDM-Richtlinien ersetzen die alten Update-Profile

In gewachsenen Umgebungen laufen die klassischen Update-Richtlinien oft noch weiter, meist aus Gewohnheit oder weil Admins Ärger mit den Nutzern fürchten. Die MDM-Kommandos werden allerdings nicht mehr weiterentwickelt, und Apple hat ihre Ablösung offiziell angekündigt. Für die Migration entfernt man die alten Update-Profile, die meist unter den Gerätekonfigurationsrichtlinien liegen, und legt im Intune-Einstellungskatalog neue Richtlinien auf DDM-Basis an. Für iOS/iPadOS wie für macOS lassen sich dort granulare Einstellungen setzen. Unterstützt werden alle Geräte, die DDM beherrschen und die nötige OS-Version mitbringen.

In der Regel läuft das so ab:

flowchart TD
    AltPolicy["Alte MDM-Update-Richtlinie"] --> Entfernen["Richtlinie entfernen"]
    Entfernen --> NeueDDM["Neue DDM-Richtlinie im Intune-Katalog"]
    NeueDDM --> Zuweisen["Zielgruppen zuweisen"]
    Zuweisen --> Umsetzung["Geräte erhalten DDM-Updatevorgaben"]
    Umsetzung --> Reporting["Status & Berichte in Intune"]

Abbildung: Migration von alten MDM-Update-Richtlinien zu DDM in Intune

Auf der Registerkarte „Reporting“ der jeweiligen Richtlinie sieht man anschließend, welche Geräte compliant sind und wo es noch klemmt. Gerade bei größeren Flotten findet man Fehler so wesentlich schneller.

Fristen und Benachrichtigungen machen Updates planbar

Am neuen Ansatz gefällt mir besonders, dass sich genau festlegen lässt, wann und auf welche Weise ein Update durchgesetzt wird. Die Geräte machen die Nutzer deutlich auf anstehende Fristen aufmerksam. Manche OS-Versionen räumen noch einen kurzen Aufschub ein, andere erzwingen das Update exakt zum festgelegten Zeitpunkt. Größere Organisationen wissen diese Kontrolle zu schätzen, weil sie ihre Wartungsfenster damit gezielt planen können. Zwar hängt das Nutzererlebnis vom Betriebssystem ab, denn macOS zeigt andere Pop-ups als iOS, insgesamt wirkt die Steuerung aber einheitlicher. Wer viele unterschiedliche Gerätegenerationen im Einsatz hat, sollte vorher prüfen, wie diese mit DDM klarkommen. Ausreißer gibt es immer wieder.

Weitere Details zu Optionen und Einschränkungen beschreibt Microsoft im zugehörigen Docs-Artikel, den das Unternehmen regelmäßig aktualisiert.

Die Berichte zeigen, welche Geräte noch hinterherhinken

Ob die Geräte tatsächlich wie vorgegeben aktualisiert wurden, wertet man am zuverlässigsten über den Richtlinienstatus im Intune-Portal aus (Intune → Geräte → Update-Richtlinien → Berichte). Dort ist sofort erkennbar, welche Geräte compliant sind und auf welchen noch alte Versionen laufen. Zusammen mit weiteren Compliance-Richtlinien lassen sich Geräte, denen Updates fehlen, auch automatisch isolieren oder vom Zugriff auf kritische Ressourcen aussperren. Wer seine Flotte sauber halten will, sollte die eigene Compliance-Strategie regelmäßig auf den Prüfstand stellen, denn über veraltete Geräte nehmen Sicherheitsvorfälle häufig ihren Anfang.

Wer genau steuern möchte, welche Einstellungen die Nutzer zu sehen bekommen, etwa bei Benachrichtigungen, findet im Settings Catalog von Intune mittlerweile eine beachtliche Auswahl an Optionen.

DDM wird die alten Update-Befehle dauerhaft ersetzen

Wer Apple-Updates im Unternehmen ernsthaft steuern will, kann auf Apple DDM in Intune nicht mehr verzichten. Technisch ist die Migration meist gut zu bewältigen, vorausgesetzt, man nimmt sich Zeit für gründliche Tests und informiert die Nutzer rechtzeitig nach einem klaren Plan. Transparente Berichte und planbare Fristen nehmen Admins spürbar Arbeit ab, und die alten MDM-Update-Kommandos haben ohnehin ausgedient. Wer jetzt noch abwartet, verliert womöglich spätestens beim nächsten größeren iOS- oder macOS-Update die Kontrolle.

Je moderner die Update-Steuerung, desto sicherer und störungsfreier läuft die Geräteflotte. Davon haben Single Sign-on und Compliance ebenso etwas wie die Produktivität der Nutzer.