Factory Reset Protection auf firmeneigenen Android-Geräten: FRP-Konten, Löschvorgänge und gesperrte Geräte

Ein Außendienstgerät kehrt ins Depot zurück. Jemand setzt es über den Recovery-Modus zurück, um es für die nächste Arbeitskraft vorzubereiten. Beim Neustart fordert der Einrichtungsassistent ein Google-Konto an, das zuvor auf dem Gerät eingerichtet war. Niemand weiß, um welches Konto es sich handelte, und das Telefon ist nun unbrauchbar.

Der Mechanismus, der Ihre zurückgegebene Hardware lahmlegt, ist die Factory Reset Protection (FRP). Sie sorgt zugleich dafür, dass ein gestohlenes Firmentelefon für Diebe wertlos ist. Sie möchten FRP nicht deaktivieren. Sie möchten vorab festlegen, wessen Konto Ihre Geräte entsperrt, und Sie möchten bei jedem Zurücksetzen einzeln entscheiden, ob FRP aktiv bleibt.

Diese Anleitung umfasst sechs Schritte:

1. Richten Sie dedizierte FRP-Admin-Konten ein.
2. Wenden Sie diese Konten per Richtlinie an.
3. Wählen Sie für jede Situation die passende Art des Zurücksetzens.
4. Konfigurieren Sie das FRP-Verhalten für automatische Durchsetzungs-Wipes.
5. Etablieren Sie einen Prozess für Geräterückgaben, der Aussperrungen verhindert.
6. Gehen Sie richtig mit Geräten um, die bereits gesperrt sind.

Warnung: Diese Anleitung enthält keine Schritte zum Umgehen von FRP (Bypass) und wird dies auch nie tun. Wenn ein Gerät gesperrt ist, werden die legitimen Wiederherstellungswege in Schritt 6 beschrieben.

Bevor Sie beginnen

Stellen Sie sicher, dass folgende Voraussetzungen erfüllt sind:

• Unternehmenseigene Geräte, die als vollständig verwaltet (fully managed) oder als unternehmenseigen mit Arbeitsprofil registriert sind. Sie können sie über Zero-Touch, Samsung Knox Mobile Enrollment oder per QR-Code registrieren.
• Administratorzugriff auf Ihre MDM-Konsole mit Rechten zum Bearbeiten von Richtlinien und zum Senden von Zurücksetzbefehlen (Wipes).
• Ein Passwort-Tresor, den Ihr IT-Team gemeinsam nutzt.
• Ein freies Testgerät, das Sie mehrmals zurücksetzen können.

Hinweis: Enterprise-FRP-Konten gelten nicht für persönliche Geräte, die lediglich ein Arbeitsprofil besitzen (BYOD). Auf diesen Geräten bleibt FRP an das persönliche Google-Konto der Eigentümerin oder des Eigentümers gebunden, und es gibt keinen Grund, dies zu verwalten.

Wie sich FRP auf einem Unternehmensgerät verhält

Google hat FRP mit Android 5.1 eingeführt. Die Funktionsweise ist einfach: Nach bestimmten Zurücksetzvorgängen schließt das Gerät die Einrichtung erst ab, wenn sich jemand mit einem autorisierten Google-Konto anmeldet.

Was FRP auslöst. FRP wird hauptsächlich nach einem „nicht vertrauenswürdigen“ Zurücksetzen erzwungen. Ein typisches Beispiel ist ein Reset aus dem Recovery-Modus heraus, bei dem niemand nachgewiesen hat, die Bildschirmsperre zu kennen. Ein Zurücksetzen aus den Einstellungen durch eine Person, die die Sperre kennt, löst FRP in der Regel nicht aus. Das genaue Verhalten hat sich über verschiedene Android-Versionen und Hersteller hinweg geändert; testen Sie es daher auf Ihren eigenen Modellen, bevor Sie sich darauf verlassen.

Wessen Konto das Gerät entsperrt. Auf einem Verbraucher-Smartphone verlangt FRP das Google-Konto, das zuletzt auf dem Gerät synchronisiert wurde. Verwaltete Geräte funktionieren anders: Die Geräterichtlinie kann bestimmte Admin-Konten für den Schutz vor dem Zurücksetzen festlegen. In der Android Management API ist das das Feld frpAdminEmails. Google dokumentiert es so: Nach einem Zurücksetzen muss sich einer der aufgeführten Admins anmelden, um das Gerät zu entsperren. Sind keine Admins aufgeführt, bietet das Gerät keinen Schutz vor dem Zurücksetzen auf Werkseinstellungen.

Wie Remote-Löschungen damit zusammenspielen. Eine aus der Konsole gesendete Löschung kann die Daten für den Rücksetzschutz behalten oder entfernen. In der Android Management API steuert das die Option PRESERVE_RESET_PROTECTION_DATA. Bleiben die Daten erhalten, kann FRP nach der Löschung greifen. Werden sie entfernt, startet das Gerät in einen sauberen Einrichtungsassistenten.

Warum Diebe es hassen. Ein zurückgesetztes Gerät, das ein Konto verlangt, das man nicht bedienen kann, lässt sich weder einrichten noch nutzen oder einfach weiterverkaufen. Das funktioniert allerdings nur, wenn Sie weiterhin Zugriff haben.

Schritt 1: Dedizierte FRP-Admin-Konten erstellen

Die Konten, die Sie hier auflisten, sind die Schlüssel zu jedem zurückgesetzten Gerät in Ihrer Flotte. Behandeln Sie sie wie Notfall-Zugangsdaten (Break-Glass).

1. Erstellen Sie zwei Google-Konten, die der IT-Organisation und nicht einer bestimmten Person gehören, beispielsweise frp-admin-1@ihreorganisation.de und frp-admin-2@ihreorganisation.de. Verwenden Sie Google Workspace-Konten oder standardmäßige Google-Konten, die von der IT kontrolliert werden. Zwei Konten zu haben, bietet Ihnen einen Ausweichpfad, falls eines gesperrt oder suspendiert wird.
2. Speichern Sie beide Anmeldedaten in Ihrem gemeinsamen Passwort-Tresor, mit aktivierter Zugriffsprotokollierung.
3. Wenn Sie die Bestätigung in zwei Schritten aktivieren, stellen Sie sicher, dass der zweite Faktor für Ihr Team jederzeit erreichbar ist. Ein im Depot aufbewahrter Hardware-Sicherheitsschlüssel eignet sich ebenso wie ein im Tresor hinterlegter Authenticator-Seed. Die Person, die ein Gerät entsperrt, wird während der Einrichtung nach diesem Faktor gefragt.
4. Prüfen Sie, ob sich jedes Konto normal interaktiv bei Google anmelden kann, zum Beispiel in einem Browser auf Ihrem Computer. Fügen Sie die Konten nicht Ihrem Testgerät hinzu: Ein auf dem Gerät synchronisiertes Konto könnte es von selbst entsperren und den Test in Schritt 2 wertlos machen.

Warnung: Verwenden Sie niemals das persönliche oder namentliche Arbeitskonto eines einzelnen Administrators als einzigen FRP-Admin. Verlässt diese Person das Unternehmen oder wird ihr Konto deaktiviert, ist jedes zurückgesetzte Gerät, das davon abhängt, gesperrt.

Hinweis: Nicht jeder Kontotyp verhält sich an der FRP-Eingabeaufforderung gleich. Vergewissern Sie sich vor dem Rollout auf die gesamte Flotte, dass Ihr gewählter Kontotyp Ihre Gerätemodelle entsperrt, indem Sie den vollständigen Test in Schritt 2 durchführen.

Erwartetes Ergebnis: Sie verfügen über zwei Google-Konten im Besitz der IT, beide im Tresor gesichert, beide anmeldefähig und beide mit einem zweiten Faktor ausgestattet, auf den Ihr Team zugreifen kann.

Schritt 2: FRP-Admin-Konten per Richtlinie anwenden

1. Öffnen Sie die Richtlinie, die Ihre unternehmenseigenen Geräte verwenden. In Nomid MDM befinden sich die Admin-Konten für den Zurücksetzschutz (Factory Reset Protection) auf der Registerkarte Sicherheit der Richtlinie.
2. Fügen Sie beide E-Mail-Adressen der FRP-Admins hinzu und speichern Sie die Richtlinie. Wenn Sie mehrere Richtlinien verwenden, fügen Sie die Konten jeder Richtlinie Ihrer firmeneigenen Geräte hinzu. Prüfen Sie jede aktive Richtlinie, nicht nur eine Vorlage, damit kein Gerät ohne sie bleibt.
3. Wenn Sie direkt mit der Android Management API arbeiten, sieht das entsprechende Richtlinienfragment wie folgt aus:

{
  "frpAdminEmails": [
    "frp-admin-1@yourcompany.com",
    "frp-admin-2@yourcompany.com"
  ]
}

1. Prüfen Sie in der Asset-Liste, ob sich die Geräte seit der Änderung gemeldet haben. Ein Gerät, das offline war, behält die alte Liste oder gar keine, bis es synchronisiert.
2. Bereiten Sie das Ersatzgerät auf den Test vor. Registrieren Sie es mit derselben Richtlinie oder einer Testkopie mit denselben FRP-Admins und fügen Sie kein Google-Konto hinzu. Prüfen Sie, ob es sich seit der Änderung gemeldet hat.
3. Testen Sie den gesamten Ablauf. Senden Sie dem Ersatzgerät eine Löschung, die FRP behält. Wenn es nach einem Konto fragt, melden Sie sich mit einem FRP-Admin-Konto an und prüfen Sie, ob die Einrichtung weiterläuft. Wird das Konto abgelehnt, lesen Sie vor dem Rollout die FAQ zur Fehlerbehebung.
4. Registrieren Sie das Ersatzgerät nach jedem Test neu. Die Löschung entfernt es aus der Verwaltung, es braucht also wieder Ihre übliche Einrichtung per QR-Code, Zero-Touch oder Knox Mobile Enrollment.

Erwartetes Ergebnis: Jedes unternehmenseigene Gerät hat eine Richtlinie mit zwei FRP-Admins erhalten, und Sie haben auf echter Hardware nachgewiesen, dass diese Konten ein zurückgesetztes Gerät entsperren.

Schritt 3: Das passende Zurücksetzen für jede Situation wählen

Hier werden die meisten Aussperrungen entweder verhindert oder verursacht. In Nomid behält der Wipe-Befehl FRP standardmäßig bei, und es gibt einen Schalter, um FRP zu entfernen. Treffen Sie jedes Mal eine bewusste Entscheidung, wenn Sie diesen Schalter betätigen.

Eine einfache Regel deckt die meisten Fälle ab: Entfernen Sie FRP nur dann, wenn sich das Gerät physisch in den Händen der IT befindet. Behalten Sie FRP in jedem anderen Fall bei. Ihre FRP-Admin-Konten ermöglichen es Ihnen, das Gerät wiederherzustellen, falls es jemals zurückkehrt.

Warnung: Wenn Sie FRP von einem Gerät entfernen, das Sie nicht in den Händen halten, erhält die Person, die es besitzt, ein bereinigtes, weiterverkaufbares Telefon. Wenn Sie sich nicht sicher sind, wo sich das Gerät befindet, behalten Sie FRP bei.

Erwartetes Ergebnis: Ihr Team verfügt über eine schriftliche Regel dafür, wann der Schalter „FRP entfernen“ umgelegt werden darf, und bei Verlust- oder Diebstahl-Wipes bleibt die Standardeinstellung erhalten.

Schritt 4: FRP für Durchsetzungs-Wipes konfigurieren

Regeln zur Durchsetzung der Richtlinie können ein Gerät automatisch löschen, wenn es dauerhaft nicht konform ist. Ein typisches Beispiel ist ein Gerät, das die Passwortrichtlinie nie erfüllt. Diese Löschungen geschehen ohne Aufsicht, meist auf Geräten, die nicht im Lager sind. Damit sind es defensive Löschungen. Bevor Sie diese Regeln ändern, stellen Sie sicher, dass Schritt 2 für diese Richtlinie abgeschlossen ist: Eine automatische Löschung, die FRP behält, ist nur sicher, wenn die FRP-Admin-Liste auf dem Gerät aktuell ist.

1. Öffnen Sie die Richtliniendurchsetzungsregeln in Ihrer Richtlinie.
2. Stellen Sie für jede Regel, die in einem Wipe endet, ein, dass FRP beibehalten wird. Nomid unterstützt diese Einstellung bei Durchsetzungsregeln, die zurücksetzen.
3. In der Android Management API sieht die Regel ungefähr so aus:

{
  "policyEnforcementRules": [
    {
      "settingName": "passwordPolicies",
      "blockAction": { "blockAfterDays": 0 },
      "wipeAction": { "wipeAfterDays": 7, "preserveFrp": true }
    }
  ]
}

Erwartetes Ergebnis: Automatische Wipes hinterlassen geschützte Geräte, und die IT kann sie weiterhin mit den FRP-Admin-Konten entsperren.

Schritt 5: Den Leitfaden für Geräterückgaben nutzen

Die meisten Aussperrungen im Depot passieren, weil jemand ein zurückgegebenes Gerät lokal zurückgesetzt hat, anstatt es über die Konsole zu löschen. Verwenden Sie diesen Ablauf für jedes Gerät, das zurückkommt.

1. Erfassen Sie die Rückgabe. Aktualisieren Sie die Zuweisungsfelder des Geräts. Der Zuweisungsverlauf zeigt dann, wer das Gerät hatte und wann es zurückkam.
2. Schalten Sie es ein und verbinden Sie es mit dem WLAN. Prüfen Sie, ob es in der Konsole als kürzlich gesehen erscheint. Eine Löschung aus der Konsole erreicht nur ein Gerät, das online und noch registriert ist. Taucht es nie auf, prüfen Sie zuerst WLAN und Akku. Setzen Sie es nur dann lokal zurück, wenn Sie wissen, dass es Ihre FRP-Admin-Liste erhalten hat, und entsperren Sie es danach mit einem FRP-Admin-Konto wie in Schritt 6.
3. Sichern Sie, was aufbewahrt werden muss, gemäß Ihren Aufbewahrungsregeln.
4. Senden Sie eine Löschung aus der Konsole mit aktiviertem Schalter "FRP entfernen".
5. Beobachten Sie den Neustart. Das Gerät sollte einen sauberen Einrichtungsassistenten ohne Kontobestätigung erreichen.
6. Entscheiden Sie über den nächsten Schritt:Wiedereinsatz: Lassen Sie es per Zero-Touch, Knox Mobile Enrollment oder QR-Code neu registrieren.
7. Weiterverkauf, Recycling oder Leasingrückgabe: Entfernen Sie es aus Ihrem Zero-Touch- oder Knox-Mobile-Enrollment-Portal, damit es sich beim nächsten Besitzer nicht in Ihrem Unternehmen registriert.
8. Beschriften Sie das Gerät mit "FRP entfernt, geprüft", mit Datum und Ihrem Kürzel.

Warnung: Setzen Sie zurückgegebene Geräte im Depot nicht über den Recovery-Modus oder Tastenkombinationen auf die Werkseinstellungen zurück. Das ist ein nicht vertrauenswürdiger Reset, wodurch FRP greift. Setzen Sie Geräte immer über die Konsole zurück, solange sie noch registriert sind.

Allgemeine Methoden zum Zurücksetzen und was jede davon löscht, finden Sie in unserem Leitfaden zum Zurücksetzen von Android-Geräten auf Werkseinstellungen im Nomid-Blog.

Erwartetes Ergebnis: Jedes Gerät verlässt die IT entweder neu registriert für eine andere Arbeitskraft oder bereinigt und aus Ihren Registrierungsportalen entfernt. Kein Gerät verlässt die IT im gesperrten Zustand.

Schritt 6: Ein bereits gesperrtes Gerät wiederherstellen

Sobald ein Gerät zurückgesetzt wurde, ist es nicht mehr registriert. Kein Konsolenbefehl kann es mehr erreichen. Gehen Sie diese Optionen der Reihe nach durch.

1. Testen Sie die FRP-Admin-Konten. Wenn das Gerät vor dem Zurücksetzen eine Richtlinie mit frpAdminEmails erhalten hat, sollte die Anmeldung mit einem dieser Konten das Gerät entsperren.
2. Testen Sie ältere FRP-Admin-Konten. Wenn Sie die Liste kürzlich geändert haben, enthält das Gerät möglicherweise noch die vorherige Version. Probieren Sie alle Konten aus, die zu dem Zeitpunkt hinterlegt waren, als das Gerät zuletzt online gesehen wurde.
3. Finden Sie den vorherigen Nutzer. Hat das Gerät keine FRP-Admin-Liste erhalten und hat der vorherige Nutzer ein Google-Konto hinzugefügt, kann dieses Konto es entsperren. Prüfen Sie den Zuweisungsverlauf, bitten Sie die Person, in die IT zu kommen und sich anzumelden, und lassen Sie sich niemals ihr Passwort schicken.
4. Berücksichtigen Sie kürzliche Passwortänderungen. Die Google-Kontohilfe empfiehlt, nach einem Passwort-Reset zu warten, bevor das Konto auf einem zurückgesetzten Gerät verwendet wird. Prüfen Sie die aktuellen Hinweise von Google und versuchen Sie es dann erneut.
5. Wenden Sie sich an Händler, Netzbetreiber oder Hersteller. Halten Sie Kaufnachweis, Seriennummer und IMEI bereit. Manche bieten ein Entsperrverfahren an, sobald der Besitz nachgewiesen ist, und jeder hat eigene Regeln.
6. Wenn keine dieser Optionen funktioniert, erfassen Sie das Gerät als nicht wiederherstellbar, mustern Sie es aus dem Inventar aus und nutzen Sie den Vorfall, um die Lücke in Ihrem Prozess zu schließen.

Warnung: Verwenden Sie keine FRP-Bypass-Tools, Downloads oder „Entsperrdienste“. Diese enthalten oft Schadsoftware, verstoßen möglicherweise gegen Ihre Vereinbarungen mit dem Hersteller und untergraben denselben Schutz, auf den Sie sich verlassen, wenn ein Gerät gestohlen wird.

Erwartetes Ergebnis: Sie haben das Gerät entweder über einen legitimen Pfad entsperrt oder es dokumentiert und ausgemustert, und Sie wissen, welcher Schritt des Leitfadens versäumt wurde.

Häufig gestellte Fragen zur Fehlerbehebung

Wir haben FRP entfernt, aber das Gerät verlangt trotzdem ein Konto. Warum?
In den meisten Fällen wurde das Gerät nach dem Konsolen-Wipe nochmals lokal zurückgesetzt, oder der Wipe wurde ohne den entsprechenden Schalter gesendet. Prüfen Sie außerdem, ob das Gerät den Wipe-Befehl mit „FRP entfernen“ überhaupt empfangen hat. War es offline, kam der Befehl möglicherweise nie an, bevor jemand das Gerät manuell zurückgesetzt hat.

Das Gerät verlangt ein Konto, aber unsere FRP-Admins funktionieren nicht.
Das Gerät hat die Richtlinie mit diesen Admins wahrscheinlich nie erhalten oder verfügt über eine ältere Liste. Vergleichen Sie den Zeitpunkt, an dem das Gerät zuletzt online war, mit dem Datum Ihrer Richtlinienänderung. Stellen Sie außerdem sicher, dass das Admin-Konto nicht gesperrt ist und Sie Zugriff auf dessen zweiten Faktor haben.

Umgehen Zero-Touch oder Knox Mobile Enrollment die FRP-Sperre?
Nein. Dies sind Registrierungsmethoden, keine Entsperrmethoden. Gehen Sie davon aus, dass die FRP-Abfrage erfüllt werden muss, bevor eine erneute Registrierung erfolgen kann.

Eine Arbeitskraft hat das Gerät über die Einstellungen zurückgesetzt. Ist es gesperrt?
Normalerweise nicht, da die Person die Bildschirmsperre kennen musste, um das Zurücksetzen zu starten. Das Verhalten variiert jedoch je nach Android-Version und Hersteller; verifizieren Sie dies daher auf Ihren eigenen Modellen.

Kann ich FRP auf einem bereits gesperrten Gerät aus der Ferne löschen?
Nein. Nach dem Reset ist das Gerät nicht mehr registriert, sodass kein Konsolenbefehl es erreicht. Nutzen Sie die Wiederherstellungsreihenfolge in Schritt 6.

Sollten wir die FRP-Admin-Liste leer lassen, um Sperren zu vermeiden?
Damit tauschen Sie ein Prozessproblem gegen ein Sicherheitsproblem. Laut Google bietet ein Gerät ohne aufgeführte FRP-Admins keinen Schutz vor dem Zurücksetzen, ein gestohlenes Gerät ließe sich also einfach zurücksetzen und weiterverwenden. Behalten Sie die Admins und verbessern Sie stattdessen den Ablauf.

Wichtigste Erkenntnisse und nächste Schritte

• Behalten Sie die Kontrolle über die Schlüssel. Richten Sie zwei IT-eigene FRP-Admin-Konten per Richtlinie ein und testen Sie sie auf realer Hardware.
• Defensive Wipes behalten FRP bei. Dies betrifft Verlust-, Diebstahl-, Nicht-Rückgabe- und Durchsetzungs-Wipes.
• Administrative Wipes entfernen FRP, und zwar nur, wenn sich das Gerät in Ihrer IT-Werkstatt befindet.
• Niemals lokal im Depot zurücksetzen. Führen Sie das Zurücksetzen immer über die Konsole durch, während das Gerät noch registriert ist.
• Legitim wiederherstellen über FRP-Admins, vorherige Nutzende oder den Hersteller – und niemals über Bypass-Tools.

Führen Sie als nächsten Schritt in dieser Woche die Schritte 2 und 5 auf einem Testgerät vollständig durch und nehmen Sie den Rückgabeleitfaden in die Standardabläufe Ihres Depots auf.

Wenn Sie Ihre Flotte mit Nomid MDM verwalten, sind die drei Einstellungen, auf denen dieser Leitfaden aufbaut, bereits in der Konsole. Um den Ablauf vorab zu üben, deckt der kostenlose Plan bis zu 10 Geräte ohne zeitliche Begrenzung ab, genug für Ihre Ersatzgeräte vor dem Rollout.