Android Enterprise QR-Code-Enrollment: Was im Code steckt und wie Sie ihn schützen

Die QR-Code-Registrierung ist eine gängige Methode, um ein geschäftliches Android-Gerät unter Verwaltung zu stellen. Sie setzen das Smartphone auf die Werkseinstellungen zurück, tippen auf den Willkommensbildschirm, richten die Kamera auf ein gedrucktes Quadrat, und wenige Minuten später ist das Gerät registriert, konfiguriert und mit den passenden Apps ausgestattet. Kein Eintippen von Benutzerkonten, keine langen Checklisten für die Einrichtung, kein Kabel.

Dieser Komfort beruht auf dem Inhalt des Codes. Ein Android-Enterprise-QR-Code ist kein Verweis auf eine Webseite. Es handelt sich um eine kleine Konfigurationsdatei, die dem Gerät mitteilt, welche Verwaltungs-App installiert werden soll, zu welcher Organisation es gehört und manchmal auch, mit welchem WLAN-Netzwerk und welchem Passwort es sich verbinden soll. Jeder, der den Code fotografieren kann, kann diese Datei auslesen, und jeder, der eine gültige Kopie besitzt, kann ein Gerät in Ihre Flotte aufnehmen.

Dieser Leitfaden richtet sich an IT-Verantwortliche, die geschäftliche Android-Geräte per QR-Code am Arbeitsplatz oder im Außendienst registrieren und den Prozess sowie dessen Risiken möglicherweise der Geschäftsleitung erklären müssen. Er beginnt mit den Inhalten des Codes, behandelt die Entscheidung zwischen rein geschäftlicher und privater Nutzung, WLAN-Daten im Code, den Zugriff auf den Code und das Vorgehen bei einem Datenleck. Abschließend wird die QR-Registrierung mit Zero-Touch und Knox Mobile Enrollment verglichen, ergänzt durch einen kurzen Abschnitt zur Fehlerbehebung beim Problem „Registrierungstoken abgelaufen“.

Die Grundlagen: Was die QR-Code-Registrierung tatsächlich tut

Zunächst einige Begrifflichkeiten, da der restliche Artikel darauf aufbaut.

• Registrierung (oder Bereitstellung/Provisionierung): der Prozess, der ein neues oder auf Werkseinstellungen zurückgesetztes Gerät in ein verwaltetes Gerät umwandelt. Während der Bereitstellung wird eine Verwaltungs-App installiert und mit Administratorrechten über das gesamte Gerät oder einen Teil davon ausgestattet.
• Device Policy Controller (DPC): die Verwaltungs-App auf dem Gerät, welche die Regeln Ihrer Organisation durchsetzt. Bei der Android Management API, Googles Schnittstelle zur Verwaltung von Android-Enterprise-Geräten, ist der DPC die Android-Device-Policy-App von Google.
• Registrierungstoken (Enrollment Token): eine von Ihrer Verwaltungsplattform ausgegebene Zeichenfolge, die festlegt, welcher Organisation und welcher Richtlinie ein neues Gerät zugewiesen werden soll. Er funktioniert wie ein Einladungscode.
• Einrichtungsassistent (Setup Wizard): die Bildschirme, die Android nach einem Zurücksetzen auf die Werkseinstellungen beim ersten Start anzeigt (Sprache, Netzwerk, Konten).
• Richtlinie (Policy): das Regelwerk aus Vorgaben, Apps und Einstellungen, das die Verwaltungsplattform auf ein Gerät anwendet: Passcode-Anforderungen, erlaubte Apps, WLAN-Netzwerke, Kiosk-Modus und mehr.

Der Ablauf mit sechs Fingertipps

Auf einem auf Werkseinstellungen zurückgesetzten Gerät mit Android 7 oder höher öffnet sechsmaliges Tippen auf dieselbe Stelle des Willkommensbildschirms einen QR-Code-Scanner. Bei einigen älteren Android-Versionen fordert das Gerät zunächst eine Netzwerkverbindung an, um einen QR-Reader herunterzuladen. Neuere Versionen haben den Reader integriert. Sobald der Code gescannt wurde, führt das Gerät folgende Schritte aus:

1. Es liest die im Code hinterlegte Bereitstellungs-Nutzlast (Payload) aus.
2. Es verbindet sich mit dem Netzwerk und nutzt dabei die im Code hinterlegten WLAN-Daten, sofern vorhanden.
3. Es lädt den DPC herunter und prüft dessen Signatur anhand einer Prüfsumme in der Nutzlast, sodass manipulierte Apps abgewiesen werden.
4. Es übergibt das Registrierungstoken an den DPC, der es dem Verwaltungsdienst vorlegt.
5. Es empfängt die mit diesem Token verknüpfte Richtlinie und wendet sie an: Einschränkungen, Apps, Netzwerke, Kiosk-Einstellungen.

Die Rolle von „afw#setup“

Die Methode afw#setup und der QR-Code werden häufig gemeinsam genannt. Es handelt sich um unterschiedliche Einstiegspunkte für dasselbe Ergebnis. afw#setup ist eine DPC-Kennung: Sie geben diesen Begriff im Einrichtungsassistenten anstelle einer E-Mail-Adresse in das Google-Konto-Feld ein, woraufhin das Gerät Android Device Policy herunterlädt. Diese App fragt anschließend nach dem Registrierungstoken, meist durch Scannen eines QR-Codes oder Eintippen des Codes. Die Methode mit den sechs Fingertipps erfasst dieselben Informationen in einem einzigen Scan. In beiden Fällen entscheidet das Registrierungstoken darüber, welcher Organisation das Gerät beitritt.

Was im Code enthalten ist

Ein QR-Code ist eine Methode, um Text als Bild zu kodieren. Er verschlüsselt nichts. Jede QR-Reader-App, einschließlich der Kamera auf den meisten Smartphones, kann das Bild wieder in den ursprünglichen Text umwandeln. Für die Android-Enterprise-Bereitstellung ist dieser Text ein JSON-Dokument. JSON ist ein einfaches, menschenlesbares Format aus Schlüsseln und Werten.

Unten sehen Sie eine beispielhafte Nutzlast mit den Schlüsseln, die Google für die Bereitstellung über die Android Management API dokumentiert. Ihre Verwaltungsplattform erstellt die tatsächliche Nutzlast, und die genauen Felder hängen von Ihren Einstellungen ab.

{
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":
      "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":
      "<veröffentlichte Prüfsumme des DPC>",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION":
      "https://play.google.com/managed/downloadManagingApp?identifier=setup",
  "android.app.extra.PROVISIONING_WIFI_SSID": "Staging-Net",
  "android.app.extra.PROVISIONING_WIFI_PASSWORD": "example-password",
  "android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE": "WPA",
  "android.app.extra.PROVISIONING_TIME_ZONE": "America/Sao_Paulo",
  "android.app.extra.PROVISIONING_LEAVE_ALL_SYSTEM_APPS_ENABLED": false,
  "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE": {
    "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "<Registrierungstoken>"
  }
}

Hier ist aufgeschlüsselt, was die einzelnen Feldgruppen bewirken und wie sensibel sie sind.

Zwei Felder sind besonders kritisch: das Token und das WLAN-Passwort. Der Rest dieses Artikels befasst sich mit dem sicheren Umgang damit.

Unternehmenseigen oder private Nutzung: Warum die Entscheidung bei der Registrierung fällt

Android Enterprise bietet verschiedene Verwaltungsmodi, die definieren, wie viel Kontrolle die Organisation über das Gerät hat.

• Vollständig verwaltet (unternehmenseigen): Der DPC wird zum Device Owner und verwaltet das gesamte Gerät. Dies eignet sich für gemeinsam genutzte Geräte, robuste Barcode-Scanner, Kiosk-Systeme und reine Diensttelefone.
• Unternehmenseigen mit erlaubter privater Nutzung: Die Organisation besitzt das Gerät und kontrolliert dessen Gesamtsicherheit, während der Nutzer zusätzlich einen separaten privaten Bereich erhält. Geschäftliche Apps und Daten liegen in einem Arbeitsprofil, einem isolierten Container mit eigenen Apps und Daten, den die IT verwaltet. Der private Bereich bleibt geschützt.
• Arbeitsprofil auf einem privaten Gerät (BYOD): Der Mitarbeiter besitzt das Gerät. Die Organisation verwaltet ausschließlich das Arbeitsprofil und kann private Daten weder einsehen noch löschen.

Warum ein späterer Wechsel nicht ohne Weiteres möglich ist

Abgesehen von Testaufbauten für Entwickler vergibt Android die Rolle des Device Owners nur während der Ersteinrichtung nach einem Zurücksetzen auf die Werkseinstellungen. Aus diesem Grund beginnt die Registrierung unternehmenseigener Geräte auf dem Willkommensbildschirm. Ebenso ist der Modus nach erfolgter Registrierung praktisch festgelegt. Der Wechsel eines Geräts von „vollständig verwaltet“ zu einem Arbeitsprofil-Modell oder umgekehrt erfordert in der Regel ein Zurücksetzen auf die Werkseinstellungen und eine Neuregistrierung. Das kostet Zeit und ist auf einem privaten Gerät für den Eigentümer unzumutbar.

Treffen Sie diese Entscheidung, bevor das erste Gerät gescannt wird. Einige praktische Faustregeln:

• Wenn das Gerät geteilt wird, als Kiosk dient oder nur eine einzige Branchen-App ausführt, wählen Sie „vollständig verwaltet“.
• Wenn das Unternehmen das Telefon kauft, Mitarbeiter es jedoch nachvollziehbar für private Anrufe und Apps nutzen dürfen, ziehen Sie „unternehmenseigen mit erlaubter privater Nutzung“ in Betracht, damit die Trennung ab dem ersten Tag klar ist.
• Wenn Mitarbeiter eigene Smartphones mitbringen, nutzen Sie ein Arbeitsprofil. Dieses wird auf dem bereits eingerichteten Gerät über einen Link oder Code registriert, nicht über die Sechs-Tipp-Methode auf dem Willkommensbildschirm.

Der QR-Code trägt diese Entscheidung in sich. Ein für die vollständige Verwaltung erstellter Code richtet für jeden, der ihn scannt, ein vollständig verwaltetes Gerät ein. Benennen und archivieren Sie Ihre ausgedruckten Codes so, dass Techniker bei der Bereitstellung nicht versehentlich den falschen verwenden.

WLAN im Code: Wann es nützt und was vermieden werden sollte

Ein Gerät kann seinen DPC nicht ohne Netzwerkverbindung herunterladen. Sie können den Techniker entweder manuell ein Netzwerk auf dem Gerät auswählen lassen oder die Zugangsdaten in den QR-Code einbetten.

Wann es nützt

Die Einbindung des Einrichtungs-WLANs in den Code ist im Außendienst und bei großen Stückzahlen hilfreich. Ein Techniker, der zwanzig Handhelds im Lager einrichtet, oder ein Filialleiter, der ein Ersatztablet konfiguriert, muss kein langes Passwort zwanzigmal auf einer kleinen Tastatur eingeben. Das verhindert Tippfehler, erspart Nachfragen nach dem Passwort bei Kollegen und macht den Prozess so reproduzierbar, dass er an Nicht-IT-Personal übergeben werden kann. Auf Geräten ohne vollwertige Tastatur, wie etwa robusten Geräten in Umgebungen, in denen Handschuhe getragen werden, entscheidet dies oft darüber, ob die Registrierung überhaupt praktikabel ist.

Was vermieden werden sollte

Das Passwort befindet sich im Klartext im Code. Jeder, der den Code mit einer gewöhnlichen Smartphone-Kamera scannt, kann SSID und Passwort lesen, ohne irgendein Gerät registrieren zu müssen. Das WLAN-Passwort ist also nur so sicher wie die am wenigsten geschützte Kopie des Codes. Zu den riskanten Mustern gehören:

• Ein statischer Code mit Unternehmens-WLAN-Passwort auf einem Poster in einem Lagerraum, Pausenbereich oder Büro. Besucher, Dienstleister und Lieferanten können ihn abfotografieren.
• Die Nutzung des primären Unternehmensnetzwerks als Einrichtungsnetzwerk. Ein Leck des Codes gewährt dann Zugriff auf sämtliche Ressourcen in diesem Netzwerk.
• Codes, welche die Gültigkeitsdauer der Passwortrichtlinie überdauern. Wird das Netzwerkpasswort geändert, alte Ausdrucke aber beibehalten werden, führt dies zu Verwirrung – und früher oder später druckt jemand zur „Behebung“ einen neuen Code mit dem neuen Passwort aus.

Best Practices

• Nutzen Sie ein separates Bereitstellungsnetzwerk: segmentiert, mit reinem Internetzugriff nur für die zwingend benötigten Registrierungsschritte und mit einem Passwort, das Sie jederzeit rotieren können.
• Verwenden Sie bevorzugt einen Code, dessen WLAN aus einem bereits in der Richtlinie definierten Netzwerk stammt, damit die Zugangsdaten zentral gepflegt und nicht in Ad-hoc-Codes eingetippt werden.
• Wenn Sie eine einmalige Ausnahme benötigen, etwa an einem Kundenstandort mit eigenem Gastnetzwerk, erstellen Sie einen temporären Code, den Sie nicht speichern und nach der Nutzung vernichten.
• Nutzen Sie zertifikatsbasiertes Enterprise-WLAN (802.1X) erst über die Richtlinie, die nach der Registrierung angewendet wird, nicht bereits in der Setup-Nutzlast. Ein einfacheres, isoliertes Bereitstellungsnetzwerk lässt sich während der Einrichtung deutlich leichter unterstützen.
• Verfügt ein Standort über Mobilfunkdaten oder Ethernet, sollten Sie erwägen, vollständig auf WLAN-Daten im Code zu verzichten.

Der Registrierungsbildschirm von Nomid bildet diese Trennung genau ab. Der standardmäßige QR-Code für eine Richtlinie übernimmt das Einrichtungs-WLAN aus einem Netzwerk, das bereits Teil der Richtlinie ist, wobei das Passwort direkt aus der Richtlinie stammt. Eine separate Option „Einmalig ein anderes WLAN verwenden“ erzeugt einen temporären Code, der nicht gespeichert wird, und das Portal warnt ausdrücklich davor, dass jeder mit dem QR-Code das Passwort auslesen kann.

Den Code wie einen Schlüssel behandeln

Die Metapher des „Generalschlüssels“ ist treffend, dennoch sollte man genau definieren, was dieser Schlüssel öffnet, um das Risiko weder zu übertreiben noch zu verharmlosen.

Was ein durchgesickerter Code kann und was nicht

Ein gültiges Registrierungstoken ermöglicht es jemandem, ein Gerät zu Ihrer Flotte hinzuzufügen – und zwar unter der Richtlinie, die mit diesem Token verknüpft ist. Dieses Gerät kann anschließend alles empfangen, was über die Richtlinie bereitgestellt wird. Dazu gehören unter Umständen:

• Ihre internen oder privaten Apps, die über Managed Google Play oder einen privaten App-Store verteilt werden.
• Netzwerkkonfigurationen, einschließlich WLAN-Zugangsdaten, die die Richtlinie nach der Registrierung ausrollt.
• Web-Links, Dateien und Inhalte, die für Mitarbeiter bestimmt sind.
• VPN- oder Zertifikatseinstellungen, die in der Richtlinie enthalten sind.

Zudem fügt es Ihrem Inventar ein unbekanntes Gerät hinzu, was Berichte verfälscht und Lizenzen beanspruchen kann.

Was das Token nicht tut: Es gewährt keinen Zugriff auf Ihre Verwaltungskonsole, auf bestehende Geräte oder auf deren Daten. Es ist der Schlüssel zur Eingangstür der Registrierung, nicht zum Kontrollraum. Diese Unterscheidung ist wichtig, wenn Sie einen Sicherheitsvorfall gegenüber der Geschäftsleitung erläutern müssen. Die Gefährdung beschränkt sich auf das, „was jedes registrierte Gerät in dieser Richtlinie empfängt“, plus das WLAN-Passwort, falls eines im Code enthalten war.

Wer Codes erstellen und drucken darf

Behandeln Sie Registrierungscodes wie andere Zugangsdaten nach dem Prinzip der geringsten Rechte (Least Privilege). Prüfen Sie:

• Welche Konsolen-Administratoren den Registrierungscode einer Richtlinie überhaupt einsehen dürfen.
• Wer ihn neu generieren darf.
• Benötigen Regional- oder Standort-Administratoren Codes für jede Richtlinie oder nur für diejenigen, die an ihren Standorten zum Einsatz kommen?

In Nomid können Administratoren ohne Bereitstellungsberechtigung für eine Richtlinie deren Registrierungscodes nicht einsehen, und das erneute Generieren eines Codes erfordert die Berechtigung zur Bearbeitung der Richtlinie. Die Rollengestaltung ist somit die erste Sicherheitslinie. Weisen Sie Filial- oder Außendienstleitern nur Bereitstellungsrechte für die Richtlinien zu, in die sie tatsächlich Geräte aufnehmen.

Wo der Code landen kann

Für ein Leck braucht es keinen Angreifer. Oft verbreitet sich der Code schlicht weiter als vorgesehen. Typische Wege:

• Fotos: Ein Techniker fotografiert den Code ab, „um ihn griffbereit zu haben“, und er landet im Cloud-Foto-Backup oder in einem geteilten Album.
• Chat-Gruppen: Ein mit einem Kollegen geteilter Code wird an eine regionale Gruppe und anschließend an eine Dienstleistergruppe weitergeleitet.
• Poster und Ausdrucke: An Wände geklebte, in Staging-Räumen liegengelassene oder Versandunterlagen beigelegte Codes.
• Screenshots in Tickets und Dokumentationen: Helpdesk-Artikel, Präsentationen und Onboarding-Leitfäden, die einen aktiven Code zeigen.
• E-Mail-Einladungen: Werden über den vorgesehenen Empfängerkreis hinaus weitergeleitet.

Praktische Verhaltensregeln:

• Teilen Sie Codes mit namentlich benannten Personen statt mit Gruppen und zeigen Sie den Code während einer Bereitstellungssitzung lieber im Vollbildmodus auf einem Laptop, anstatt Papierausdrucke zu verteilen. Jeder andere Weg des Teilens hinterlässt eine Kopie: In Nomid sind das ein heruntergeladenes Bild, ein Ausdruck, ein kopierter Link, eine WhatsApp-Nachricht oder eine E-Mail-Einladung.
• Sammeln und vernichten Sie Ausdrucke nach einem Rollout.
• Verwenden Sie in Dokumentationen ausschließlich Platzhalterbilder, niemals aktive Codes.
• Führen Sie eine kurze Übersicht darüber, wo der Code einer Richtlinie geteilt wurde, damit Sie im Falle einer Neugenerierung den betroffenen Radius kennen.

Ablaufdatum

Registrierungstoken besitzen eine Gültigkeitsdauer. Nach deren Ablauf können über die darauf basierenden Codes und Links keine Geräte mehr registriert werden. Das begrenzt den Zeitraum, in dem ein vergessener Ausdruck ein Sicherheitsrisiko darstellt, erklärt aber auch, warum ein Code aus dem letzten Quartal heute möglicherweise nicht mehr funktioniert. Wie lange ein Token gültig bleibt, hängt von der Ausstellung durch Ihre Plattform ab. Anstatt sich auf Erinnerungswerte zu verlassen, prüfen Sie das in Ihrer Konsole angezeigte Ablaufdatum und planen Sie Rollouts danach. Der Registrierungsbildschirm von Nomid zeigt für das Token jeder Richtlinie die Angaben „Gültig bis <Datum>“ und „Zuletzt neu generiert“ an.

Das Ablaufdatum ist eine Sicherheitsbarriere, kein Ersatz für das manuelle Neugenerieren. Wenn Sie wissen, dass ein Code kompromittiert wurde, warten Sie nicht auf dessen Ablauf.

Ein kompromittierter Code: Neugenerieren und die Folgen

Angenommen, ein Bereitstellungscode wurde in einer Chat-Gruppe mit externen Dienstleistern geteilt oder ein Aushang blieb nach einem Filialumbau an der Wand hängen. Gehen Sie die folgenden Schritte durch.

1. Das Token neu generieren

Durch die Neugenerierung wird ein neues Registrierungstoken für die Richtlinie ausgestellt und das alte ungültig gemacht. In Nomid erfordert „QR-Code neu generieren“ auf dem Bildschirm „Geräte registrieren“ der Richtlinie Bearbeitungsrechte für die Richtlinie. Der Administrator muss bestätigen: „Ich verstehe, dass alte QR-Codes und Links nicht mehr funktionieren“, bevor der Vorgang ausgeführt wird.

2. Verstehen, was nicht mehr funktioniert

Da jeder QR-Code und jeder Registrierungslink einer Richtlinie dasselbe Token enthält, wirkt sich die Neugenerierung auf alle gleichzeitig aus. Nach der Neugenerierung in Nomid gilt:

• Jeder QR-Code dieser Richtlinie funktioniert nicht mehr – einschließlich Ausdrucken, heruntergeladenen Bildern und Screenshots.
• Jeder Registrierungslink funktioniert nicht mehr – einschließlich Links, die per Chat geteilt oder in Dokumente kopiert wurden.
• Jede per E-Mail versendete Einladung für diese Richtlinie wird ungültig.

Dies ist beabsichtigt, bedeutet jedoch operativen Aufwand. Jeder Standort mit einem legitimen Ausdruck benötigt den neuen Code. Informieren Sie Außendienstteams vor oder unmittelbar nach der Neugenerierung und stellen Sie Ersatz über einen sichereren Kanal bereit als den, über den das Leck entstanden ist.

3. Warum bereits registrierte Geräte weiterarbeiten

Administratoren befürchten häufig, dass eine Neugenerierung bestehende Geräte aus der Verwaltung wirft. Das ist nicht der Fall. Jedes Gerät legt das Registrierungstoken ein einziges Mal vor – genau in dem Moment, in dem es beitritt (dasselbe Token kann weitere Geräte aufnehmen, bis es abläuft oder neu generiert wird). Danach besitzt das Gerät eine eigene Identität und Beziehung zum Verwaltungsdienst und greift nicht mehr auf das Token zurück. Durch die Neugenerierung ändert sich die Einladung, nicht die bestehende Mitgliedschaft. In Nomid bleiben bereits registrierte Geräte von der Neugenerierung unberührt.

4. Auf Zero-Touch-Abhängigkeiten prüfen

Verwendet eine Zero-Touch-Konfiguration das Token der Richtlinie, würde eine Neugenerierung künftige Zero-Touch-Geräte, die dieser Konfiguration zugewiesen sind, unbemerkt blockieren. Nomid verhindert dies: Das Portal verweigert die Neugenerierung, solange die Zero-Touch-Konfiguration nicht auf eine andere Richtlinie verweist. Weisen Sie diese Konfiguration zuerst um und generieren Sie das Token erst danach neu.

5. Bereinigung nach dem Leck

Das Neugenerieren verhindert künftige Neuregistrierungen. Es macht jedoch bereits erfolgte Registrierungen nicht rückgängig. Führen Sie folgende Schritte durch:

• Überprüfen Sie alle Geräte, die seit dem mutmaßlichen Zeitpunkt des Lecks unter dieser Richtlinie registriert wurden, und achten Sie auf unbekannte Gerätenamen, Modelle oder Standorte.
• Entfernen oder löschen Sie jedes Gerät aus der Ferne, das Sie nicht eindeutig zuordnen können.
• Rotieren Sie das WLAN-Passwort, falls der kompromittierte Code eines enthielt – denn die Neugenerierung des Tokens ändert nichts an einem bereits ausgelesenen Passwort.
• Überprüfen Sie die Inhalte der Richtlinie. Werden darüber sensible Konfigurationen verteilt, prüfen Sie, ob diese in eine stärker eingeschränkte Richtlinie gehören.

Für die Geschäftsleitung lautet die Zusammenfassung: „Wir haben den Code widerrufen, bestehende Geräte arbeiten unberührt weiter, wir haben unautorisierte Geräte ausgeschlossen und das Netzwerkpasswort geändert.“

QR vs. Zero-Touch vs. Knox Mobile Enrollment

QR-Codes sind nur einer von mehreren Registrierungswegen, und jeder hat seine Berechtigung. Die Android Zero-Touch-Registrierung verknüpft Geräte beim Kauf über einen teilnehmenden Händler direkt mit Ihrer Organisation. Das Gerät registriert sich beim ersten Start vollautomatisch ohne Scannen, und es gibt keinen gedruckten Code, der durchsickern könnte – allerdings setzt dies den Bezug über einen Zero-Touch-Händler voraus. Samsung Knox Mobile Enrollment bietet eine ähnliche automatische Registrierung für Samsung-Geräte, wobei die Geräte über das Samsung-Portal oder einen teilnehmenden Händler hinterlegt werden. Die QR-Registrierung funktioniert auf nahezu jedem bereits vorhandenen Gerät ab Android 7, unabhängig von der Bezugsquelle. Das macht sie zur praxisnahen Wahl für gemischte Flotten, die Neuregistrierung nach Reparaturen und kleinere Chargen – erfordert jedoch einen sorgfältigen Umgang mit dem Code. Eine sinnvolle Aufteilung ist Zero-Touch oder Knox für Neuanschaffungen und QR-Codes für alle anderen Szenarien.

Fehlerbehebung bei häufigen Problemen mit der QR-Registrierung

„Registrierungstoken abgelaufen“ oder „Ungültiges Token“

Das Token hat seine Gültigkeitsdauer überschritten oder wurde neu generiert, sodass der Code nicht mehr gültig ist. Daran sollten Sie zuerst denken, wenn ein alter Ausdruck oder ein gespeicherter Screenshot fehlschlägt. Rufen Sie den aktuellen Code aus der Konsole ab und prüfen Sie dessen Ablaufdatum. Wurde der Code kürzlich neu generiert, schlagen alle zuvor erstellten Kopien wie vorgesehen fehl.

Das Tippen auf den Willkommensbildschirm bewirkt nichts

Stellen Sie sicher, dass das Gerät vollständig auf die Werkseinstellungen zurückgesetzt wurde und sich auf dem allerersten Willkommensbildschirm befindet. Tippen Sie sechsmal auf exakt dieselbe Stelle. Einige ältere Android-Versionen benötigen zuerst eine Netzwerkverbindung, um einen QR-Reader nachzuladen. Wurde der Willkommensbildschirm bereits übersprungen, erfordert die unternehmenseigene Registrierung ein erneutes Zurücksetzen.

Das Gerät scannt den Code, kann sich aber nicht verbinden

Prüfen Sie, ob das Einrichtungsnetzwerk in Reichweite ist und dessen Passwort seit Erstellung des Codes nicht geändert wurde. Stellen Sie zudem sicher, dass der Sicherheitstyp von der Nutzlast unterstützt wird. Captive Portals – die bei Gastnetzwerken üblichen Vorschaltseiten zur Anmeldung – blockieren die Bereitstellung. Nutzen Sie ein Netzwerk ohne ein solches Portal.

Das Gerät wurde im falschen Modus registriert

Das Gerät wurde mit einem Code gescannt, der für einen anderen Nutzungstyp oder eine andere Richtlinie erstellt wurde. Da der Modus bei der Registrierung festgelegt wird, besteht die Lösung darin, das Gerät zu entfernen, auf Werkseinstellungen zurückzusetzen und mit dem korrekten Code neu zu registrieren. Beschriften Sie ausgedruckte Codes eindeutig, um Verwechslungen auszuschließen.

Die Registrierung ist erfolgreich, aber Apps fehlen

Das Herunterladen von Apps nach der Registrierung kann einige Zeit in Anspruch nehmen, insbesondere bei langsamen Verbindungen. Vergewissern Sie sich, dass das Gerät über eine stabile Verbindung verfügt und die Apps in der Richtlinie zugewiesen sind. Auf von Nomid verwalteten Geräten enthält die Nomid-Settings-App einen Prüfungsbildschirm (Check-up), sofern die Richtlinie die entsprechende Schaltfläche anzeigt. Dieser prüft, ob die Apps des Nomid Store aus der Richtlinie installiert sind, ob das Gerät die Nomid-API und Remote-Access-Server erreichen kann und ob Play Store, Google Play-Dienste, Standortdienste sowie Agent-Berechtigungen ordnungsgemäß eingerichtet sind. Fehlgeschlagene Prüfungen bieten Korrekturmöglichkeiten, und der Durchlauf wird im Befehlsverlauf des Geräts protokolliert.

Fazit

Ein Android-Enterprise-QR-Code ist eine lesbare, als Bild gedruckte Konfigurationsdatei. Er benennt die Verwaltungs-App, transportiert ein Registrierungstoken, das Geräten Zugriff auf eine bestimmte Richtlinie gewährt, und kann Einrichtungs-WLAN-Daten samt Passwort im Klartext enthalten. Genau deshalb beschleunigt er die Registrierung – und genau deshalb erfordert er dieselbe Sorgfalt wie jedes andere Passwort oder Zertifikat.

Wichtigste Erkenntnisse:

• Wissen Sie genau, was in Ihren Codes steht. Das Registrierungstoken und enthaltene WLAN-Passwörter sind die sensiblen Bestandteile.
• Legen Sie den Verwaltungsmodus (vollständig verwaltet, unternehmenseigen mit privater Nutzung oder Arbeitsprofil) vor der Registrierung fest. Eine spätere Änderung erfordert meist ein Zurücksetzen.
• Binden Sie WLAN-Daten in den Code ein, um manuelle Eingaben vor Ort zu vermeiden, nutzen Sie dafür jedoch ein dediziertes, segmentiertes Bereitstellungsnetzwerk und hängen Sie keine temporären Codes mit Passwörtern öffentlich aus.
• Beschränken Sie die Rechte zum Einsehen und Neugenerieren von Codes, teilen Sie sie mit namentlich genannten Personen statt mit Gruppen und vernichten Sie Ausdrucke nach Rollouts.
• Behalten Sie das Ablaufdatum des Tokens im Blick und warten Sie im Falle eines bekannten Lecks nicht erst auf das reguläre Ablaufdatum.
• Bei einem Leck: Token neu generieren, neue Codes über einen engeren Kanal ausgeben, auf unbekannte Geräte prüfen und kompromittierte WLAN-Passwörter rotieren. Bestehende Geräte arbeiten unterbrechungsfrei weiter.
• Nutzen Sie Zero-Touch oder Knox Mobile Enrollment, wo Ihre Beschaffungswege dies unterstützen, und QR-Codes für alle übrigen Fälle.

Nächste Schritte: Erfassen Sie alle Registrierungscodes, die derzeit im Umlauf sind: Ausdrucke, Screenshots, Chat-Nachrichten und Dokumentationen. Notieren Sie für jeden Code die zugehörige Richtlinie und ob er ein WLAN-Passwort enthält. Entscheiden Sie anschließend, welche Codes sofort neu generiert werden sollten und welche bis zum Ablaufdatum verbleiben können.

Wenn Sie Plattformen vergleichen: Nomid MDM stellt diese Sicherheitskontrollen auf dem Bildschirm „Geräte registrieren“ jeder Richtlinie bereit:

• Ein QR-Code pro Richtlinie, basierend auf den gespeicherten Standardwerten der Richtlinie (Nutzungstyp, Zeitzone, ein Richtlinien-WLAN und Bereitstellungsoptionen).
• Eine deutlich gekennzeichnete Einmal-Option für ein abweichendes WLAN-Netzwerk.
• Arbeitsprofil-Links für private Geräte, sofern die Richtlinie dies gestattet.
• Sichtbare Angaben zu „Gültig bis“ und „Zuletzt neu generiert“.
• Eine Neugenerierungsfunktion, die eine Bestätigung verlangt und vorab Zero-Touch-Abhängigkeiten prüft.

Zero-Touch, Knox Mobile Enrollment und das Registrierungstoken selbst stehen als alternative Wege zur Verfügung. Ein kostenloser Tarif deckt bis zu 10 Geräte ohne zeitliche Begrenzung ab – ausreichend, um Ihren Registrierungsprozess und den Umgang mit Codes vor dem breiten Rollout zu testen.