Intune & Apple Business Manager: APNs, VPP-Token und ADE einrichten – Schritt für Schritt

iPhones und iPads gehören in fast jedem Unternehmen dazu – verwaltet werden sie aber oft noch von Hand. Mit Microsoft Intune und dem Apple Business Manager landen neue Geräte dagegen fertig eingerichtet beim Mitarbeiter: Auspacken, einschalten, arbeiten. Wir zeigen Schritt für Schritt, wie Sie das Apple-MDM-Push-Zertifikat (APNs), den Apple Business Manager und das Apple VPP-Token in Intune anbinden – und wie alles zusammenspielt.

So spielen Intune, Apple Business Manager, APNs und VPP zusammen

Der Apple Business Manager (ABM) ist Apples kostenloses Portal für Unternehmen. Dort tauchen alle Geräte auf, die Sie über Apple oder einen autorisierten Händler kaufen. Über das sogenannte Automated Device Enrollment (ADE) – früher DEP – weist der ABM diese Geräte Ihrem Intune-Mandanten zu. Intune verteilt dann Richtlinien, WLAN, E-Mail und Apps. Damit Intune überhaupt mit den Geräten „sprechen“ darf, braucht es das APNs-Zertifikat (Apple Push Notification Service). Und das VPP-Token (Volume Purchase Program, heute „Apps und Bücher“) sorgt dafür, dass in ABM gekaufte Apps in Intune verfügbar sind.

Schritt 1: Apple-MDM-Push-Zertifikat (APNs) in Intune einrichten

Das APNs-Zertifikat ist die Grundlage für jede Apple-Verwaltung in Intune – egal ob iPhone, iPad oder Mac.

1. Im Intune Admin Center zu Geräte → Registrierung → Apple → Apple MDM-Push-Zertifikat wechseln.
2. Den Zustimmungshaken setzen und die CSR-Datei (Zertifikatsanforderung) herunterladen.
3. Das Apple Push Certificates Portal (identity.apple.com) öffnen und mit der Firmen-Apple-ID anmelden.
4. „Create a Certificate“ wählen, die CSR hochladen und das Zertifikat als .pem herunterladen.
5. Zurück in Intune: die verwendete Apple ID eintragen, die .pem-Datei hochladen und speichern.

Schritt 2: Apple Business Manager mit Intune verbinden (ADE-Token)

Jetzt verknüpfen Sie den Apple Business Manager mit Intune. So werden Firmengeräte automatisch, betreut (supervised) und nicht entfernbar registriert.

1. In Intune: Geräte → iOS/iPadOS → Registrierung → Registrierungsprogrammtoken → Hinzufügen.
2. Zustimmen und den öffentlichen Schlüssel (.pem) herunterladen.
3. Im Apple Business Manager unter Einstellungen → Geräteverwaltung einen MDM-Server hinzufügen (z. B. „Microsoft Intune“) und den öffentlichen Schlüssel hochladen.
4. Das Server-Token (.p7m) herunterladen und in Intune hochladen.
5. Im ABM Intune als Standard-MDM-Server für iPhone, iPad und Mac festlegen bzw. vorhandene Geräte zuweisen.
6. In Intune ein Registrierungsprofil anlegen: Benutzeraffinität, betreuter Modus, gesperrte Registrierung und die Seiten des Setup-Assistenten festlegen.

Neue Geräte erscheinen nach der Synchronisierung in Intune. Beim ersten Einschalten führt der Setup-Assistent den Mitarbeiter durch die Firmenanmeldung – Richtlinien, WLAN, E-Mail und Apps kommen automatisch. Auch das ADE-Token muss jährlich erneuert werden.

Zero-Touch heißt: Das Gerät geht direkt vom Händler zum Mitarbeiter – die IT fasst es nie an.

Schritt 3: Apple VPP-Token („Apps und Bücher“) in Intune einbinden

Mit dem VPP-Token kaufen Sie Apps zentral im Apple Business Manager und verteilen sie über Intune – gerätebasiert, also ganz ohne Apple ID auf dem Gerät. Das gilt auch für kostenlose Apps wie Microsoft Teams, Outlook oder Authenticator.

1. Im ABM unter Einstellungen → Apps und Bücher das Inhaltstoken (.vpptoken) für den gewünschten Standort herunterladen.
2. In Intune: Mandantenverwaltung → Connectors und Token → Apple VPP-Token → Erstellen.
3. Token hochladen, Apple ID und Land des Stores angeben und die automatische App-Aktualisierung aktivieren.
4. Apps im ABM unter Apps und Bücher in der benötigten Anzahl „kaufen“ – kostenlose Apps ebenfalls.
5. Token in Intune synchronisieren und die Apps unter Apps → iOS/iPadOS als Erforderlich oder Verfügbar zuweisen – Lizenztyp „Gerät“ wählen.

Typische Stolperfallen aus unseren Projekten

Häufige Fragen

Ist der Apple Business Manager kostenlos?

Ja. Der Apple Business Manager kostet nichts. Sie benötigen lediglich eine D-U-N-S-Nummer Ihres Unternehmens für die Verifizierung.

Brauche ich das VPP-Token auch für kostenlose Apps?

Empfehlenswert, ja. Nur so lassen sich Apps ohne Apple ID der Mitarbeiter installieren und automatisch aktualisieren.

Funktioniert das auch für Macs?

Ja. APNs, ABM und VPP gelten ebenso für macOS; Intune nutzt dafür eigene Registrierungsprofile.

Sie möchten die Einrichtung lieber abgeben? Wir übernehmen die komplette Anbindung und sichern Ihr Microsoft 365 samt Intune ab. Alle weiteren Trainings finden Sie unter IT-Schulungen – oder Sie sprechen direkt mit uns.