MDM-Systeme für Schulen
Dieter Umlauf
Head of the department of secondary education at Alemannenschule, Wutöschingen
Old School: Device Management von Hand …
Angesichts der digitalen Bildungsoffensive des Bundes und viel Eigeninitiative der Kreise, Städte und Kommunen, aber auch einzelner Schulen, haben mittlerweile doch einige digitale mobile Endgeräte Einzug in die Klassenzimmer der Republik gehalten. Schnell wurde ein Koffer mit iPads oder Androiden angeschafft, um die sich dann meist ein über-motivierter unterbezahlter Idealist für "umme" oder für ein dürftiges Stundendeputat kümmerte.
Bevor jedoch die Bits und Bytes fließen und der Wagen an den Start gehen kann, sind Geduld, Beharrlichkeit und Überredungskünste gefragt, um überhaupt erst einmal die notwendigen technischen Voraussetzungen dafür zu schaffen: Dazu ist zuallererst ein fundiertes technisches Wissen und ein guter Draht zur IT-Abteilung des Trägers oder der Institution selbst gefragt.
Diese muss nämlich zum Betrieb und zur Wartung des Crates ihr Netzwerk freigeben und zum Beispiel für einen iPad-Crate, das mit Configurator als MDM Lösung ferngewartet wird, eingehende (443 TCP/ 80 TCP / 1640 TCP) und ausgehende Ports (123 UDP / 2195, 2196 TCP / 5223 TCP) freischalten, damit die Geräte sich mit dem Apple Time Server und dem APNS verbinden können, um ferngewartet und regelmäßig aktualisiert werden können, oder um über das VPP-Programm Apps zu erwerben und zu verteilen, was dann aber von Hand geschieht.
Für ein solches händisches Gerätemanagement ist ein auf alle Fälle ein MacBook Laptop oder ein iMac erforderlich, an den die iPads nun per USB-Hub mit einem USB-Kabel gekoppelt werden. Jetzt können über die dort installierte zentrale Instanz - aber NUR über diesen Laptop / Rechner - die mobilen Endgeräte konfiguriert werden, was je nach Netzwerkdurchsatz einige Zeit in Anspruch nehmen kann. Doch solche Kofferlösungen stoßen - wie man sich unschwer vorstellen kann - bei wachsender Anzahl an Geräten schnell an personelle und organisatorische Grenzen. Denn selbst der glühendste Idealist verliert irgendwann die Motivation, sich mit den Tücken einer IT-Umgebung herumzuquälen, dessen Be-DIENER, nicht aber dessen MASTER er ist.
2. Eine MDM-Lösung muss her!
Um dennoch - und ohne die eigenen Kollegen sauer zu fahren - die Wartung, Pflege und Konfiguration sowie den sicheren Betrieb der iPads garantieren zu können, wird so manche Schule und oder Bildungsinstitution schnell vor der Aufgabe stehen, ein zuverlässiges zentrales Management der Tablets einzuführen. Laut Computermagazin CHIP muss eine gute MDM-Lösung folgende Funktionen gewährleisten:
- Verwaltung von Mobilgeräten, vergleichbar mit der Verwaltung von Desktop-Computern im Unternehmensnetzwerk. Mobile Geräte können hinzugefügt und bei Bedarf wieder entfernt werden.
- Bereitstellung von Unternehmensanwendungen und freigegebenen Apps über einen eigenen Appstore: Das Unternehmen kann mittels der MDM-Software unternehmeneigene Apps verteilen und unerwünschte Apps sperren.
- Verteilen von Daten, Softwareupdates, Patches und Konfigurationseinstellungen: Bei Bedarf können Dateien und Einstellungen durch das Unternehmen auf alle oder auf bestimmte Geräte verteilt werden.
- Sicherung von Daten mittels Verschlüsselung und Passwort-Abfragen. Sensible Daten können mittels Verschlüsselung und Paswortabfragen vor Fremdzugriff geschützt werden. Dazu gehört auch die Verwaltung von Mailaccounts.
- Bei Verlust die Ortung des Geräts und das Löschen unternehmensbezogener Daten: Im Notfall können Daten von einem Gerät gelöscht werden, einige MDM-Lösungen bieten auch die Ortung der Geräte an."
3. Die Qual der Wahl
Googlet man im Internet nach dem Begriff MDM-Lösung, stellt man fest, dass in nur 0,37 Sekunden dafür 202.000 Resultate angeboten werden. Der Markt für MDM-Systeme boomt also und das Angebot ist ausufernd und unübersichtlich. Im folgenden sollen hier einige MDM-Lösungen für unterschiedliche Einsatzzwecke vorgestellt werden. Alle Plattformen Zeichen sich durch einen hohen Grad an Professionalität und Funktionalität aus und für welches MDM man sich dann letztendlich entscheidet, hängt stark von der Anzahl der Geräte, dem Einsatzszenario und der vorhandenen Infrastruktur ab.
Im Folgenden sollen nun einige interessante Lösungen kurz vorgestellt werden.
Mit AirWatch bietet sich dem Anwender eine umfangreiche MDM-Lösung, mit der man in großem Maßstab IT Mobilgeräte, Apps, Mobile-Content und -E-Mails zentral managen und sichern kann. Dieses MDM-System unterstützt auch heterogene IT-Systemstrukturen.
MobileIron ist eine weitere interessante MDM-Lösung aus den USA, die ebenfalls zu den Marktführern im MDM-Segment zählt. MobileIron hat einen ganzheitlichen Ansatz und kann sowohl mobile Endgeräte als auch Apps, Ressourcen und Dokumente schützen und verwalten kann.
Auralis ist ideal für kleinere Unternehmen und bietet eine Plattform, die exklusiv für iOS-Anwender konzipiert ist. Mit der Software können Anwender auch "externe" Geräte, zum Beispiel die iPhones und iPads der Mitarbeiter, sicher in die Firmen-IT integrieren.
Tower One ist als Komplettlösung für größere Unternehmen mit komplexen IT-Strukturen konzipiert. Diese Software garantiert den sicheren und effizienten Einsatz von iPhones und iPads, ermöglicht aber auch BYOD sowie das MPM (Mobile Productivity Management).
Wer auf der Suche nach einer plattformübergreifenden MDM-Lösung ist, der sollte einen Blick auf das Mobile Control von Sophos werfen. Im Vordergrund stehen bei dieser Alternative vor allem die Sicherheitsaspekte, die mit dem Umgang mit mobilen Geräten verbunden sind.
Cortado Corporate Server verbindet die Vorzüge eines klassischen MDM-Managements mit umfassenden Funktionen für mobile Produktivität und stellt somit eine Komplettlösung zur sicheren Integration von Tablets und Smartphones in das Netzwerk eines Unternehmens dar (MPM).
Die Freeware App Configurator 2 kann zur Konfiguration von iPad oder Einzelgeräten per USB herangezogen werden und muss auf einem OS-Device installiert werden. Einmal an eine Configurator Instanz gekoppelt - können die iPads nur noch von DIESEM Gerät aus betreut werden.
OS X-Server ist eine intuitiv zu bedienende MDM-Applikation von und für Apple. Dieses "Mini-MDM-System" ist mit einem Preis von 20 Euro sehr günstig und liefert ein voll umfängliches MDM-System für bis zu fünfzig Apple-Devices (OS X und iOS).
4. JAMF Casper Suite
Die JAMF Casper Suite stellt Schulen und Bildungsinstituten eine zentralen Server zur Verfügung. Dieser bietet die Services einer Paket-Verwaltung und das Verteilung von Anwendungen auf Mac-Rechnern. Ein weiteres nützliches Feature ist die Remotefunktion, mit der man über den JAMF-Server Macs und iPads nach der "zero Touch Methode" warten und konfigurieren kann.
Die JAMF Casper Suite bietet darüber hinaus auch ein Self-Service-Portal, über das sich Lehrer und Schüler anmelden können, um sich selbst Programme aus dem Pool der Schule auszusuchen und zu installieren, die dort bereitgestellt werden. Zusätzlich wird eine Self-Service-App angeboten, die der Schul-Admin auf den Rechnern der Anwender installieren kann.
JAMF erlaubt es den Anwendern, Apps aus einem internen Store, die zum Beispiel mit dem Volume Purchase Program verteilt wurden, herunterzuladen und zu installieren. Diese werden in das Inventar des Rechners aufgenommen und können natürlich von den Administratoren bei Bedarf wieder deinstalliert oder neu zugewiesen werden. Außerdem kann man mit den Tools von JAMF auch eine Inventur aller Apple-Geräte vornehmen; das schließt natürlich auch alle installierten Apps und Einstellungen mit ein, die sich auf den jeweiligen Geräten befinden.
Der Schul-Administrator kann also von jedem beliebigen Ort aus via Internetverbindung einen Blick auf alle wichtigen Informationen der Apple-Geräte der Anwender einsehen. Dabei werden sogar die Informationen zu Hardware, verwendeter Apple-ID und mehr mitgeliefert.
Über das Interface von JAMF kann man die betreuten Devices schnell und einfach nach Gruppen / Klassen / Kursen zusammenfassen um so immer den Überblick darüber zu behalten, welche Apps gerade auf den jeweiligen Endgeräten installiert sind oder noch auf ihnen installiert werden müssen.
Die einmal angelegten Gruppen lassen sich dynamisch konfigurieren, was heißt, der Admin kann vielfältige Kriterien festlegen, nach denen die Geräte zusammengefasst werden sollen und diese bei Bedarf auch modifizieren.
Ein ebenfalls interessantes Feature der Casper Suite ist die Möglichkeit, Images von und für Macs / iPads einer bestimmten Gerätegruppe zu erstellen: Diese Images lassen sich auf beliebig viele andere Rechner anwenden und können dupliziert und leicht modifiziert werden. Auf diesem Weg erstellt man also ein zentrales Image und kann eine beliebig große Anzahl an Macs identisch konfigurieren. Weiterhin ist es möglich, auch Software, Updates und auch Netzwerkdrucker zu managen.
Über Richtlinien, die man in JAMF anlegen kann, lassen sich Apps und Programme zu einem beliebigen Zeitpunkt für bestimmte Gerätegruppen bereitstellen und werden darüber hinaus auch automatisch installiert. Zusätzlich kann man mit diesen Richtlinien auch Updates für das Betriebssystem ausführen, Netzwerkdrucker verbinden oder Skripte starten. Das ermöglicht dem Admin das gleichzeitige Einbinden aller Apple-Geräte.
Mit Hilfe des Volume Purchasing Programs - der zentralen Lizenzierungsplattform für alle Endgeräte - können Schulen Apps für iOS-Geräte oder Macs en gros einkaufen und ihren Lehrern / Schülern zur Verfügung stellen. Die Verteilung kann dann zentral über die Casper Suite vorgenommen werden. Die Apps können von den Usern nicht "weitergegeben", gelöscht der kopiert werden, sondern bleiben im Eigentum der jeweiligen Schule. Auch neuerworbene Geräte können mittels des DEP Device Employment Program sofort in den Bestand übernommen und ausgeliehen werden. Dazu trägt der Händler, der die Geräte liefert, die Seriennummern und Mac-Adressen der Geräte einfach in der JAMF-Instanz der jeweiligen Schule ein. Über das Tool Recon kann dieser Vorgang aber auch vor Ort manuelle vorgenommen werden.
Ein nicht zu unterschätzender Vorzug von JAMF ist der Self-Service: Die Self-Service-App bietet dem Nutzer nicht nur Zugriff auf Apps, die die Schule zur Verfügung stellt, sondern sie können - je nach Berechtigung und Nutzerprofil - mit Hilfe des Portals auch eigene Wartungsaufgaben durchführen. Über das Portal lassen sich aber auch Dokumente für einzelne Nutzergruppen / Kurse / Klassen direkt verteilen.
Neben automatischen Scanvorgängen, haben autorisierte Anwender aber auch die Möglichkeit, ihre Geräte selbst über das Self-Service-Portal bei JAMF registrieren.
Eine solche Benutzeranmeldung bei der JAMF Casper Suite kann auf Basis lokaler Dienste erfolgen, aber auch über Microsoft Active Directory, Apple Open Directory und anderen Verzeichnisdiensten.
Insgesamt können alle hier beschriebenen Vorgänge mit wenigen Klicks über einen Assistenten in Casper ausgeführt werden, somit wird die Administration von schuleigenen Geräten zu einem Kinderspiel.
Links & Literatur: