BYOD mit Intune: Firmenhandy richtig zurücksetzen und nur Unternehmensdaten löschen

• Für private Geräte (BYOD) ist in Microsoft Intune die Aktion Abkoppeln (Retire) richtig: Sie entfernt Firmen-Apps, Profile und Firmendaten, private Daten bleiben erhalten.
• Zurücksetzen (Wipe) stellt ein Gerät auf Werkseinstellungen zurück und gehört nur auf Firmenhandys, bei Android mit persönlichem Arbeitsprofil steht die Aktion gar nicht zur Verfügung.
• Private Konten in der Outlook App bleiben beim selektiven Zurücksetzen (App selective wipe) erhalten, private Einträge im Microsoft Authenticator ebenfalls, solange Intune die App nicht deinstalliert.
• Zum Offboarding gehören neben Abkoppeln (Retire) oder Zurücksetzen (Wipe) auch das gesperrte Konto, widerrufene Sitzungen (Revoke sessions) und gelöschte Authentifizierungsmethoden in Microsoft Entra ID.
• Mit App-Schutzrichtlinien, korrektem Besitzertyp und der mehrfachen Administratorgenehmigung (Multi Admin Approval) stellen Sie schon beim Onboarding die Weichen für ein sicheres Zurücksetzen.

Bei BYOD (Bring Your Own Device) nutzen Mitarbeitende ihr privates Smartphone auch für Microsoft 365. Verlässt jemand das Unternehmen oder wird ein Firmenhandy ausgemustert, müssen Administratoren die Unternehmensdaten zuverlässig entfernen, ohne private Fotos, Chats oder Konten anzutasten. Microsoft Intune bietet dafür mehrere Aktionen mit sehr unterschiedlicher Wirkung. Wer die falsche wählt, setzt im schlimmsten Fall das Privatgerät eines Mitarbeiters auf Werkseinstellungen zurück oder lässt Firmendaten unbemerkt auf dem Gerät zurück.

Dieser Beitrag ist als Nachschlagewerk gedacht: Er erklärt die vier Aktionen, zeigt plattformgenau, was entfernt wird, beantwortet die häufigen Fragen zu Microsoft Authenticator und privaten Konten in der Outlook App und beschreibt, wie Sie schon beim Onboarding die Weichen richtig stellen. Wir nennen jeweils die Bezeichnung aus der deutschen Oberfläche des Microsoft Intune Admin Centers und von Microsoft Entra ID, den englischen Originalbefehl in Klammern. Je nach Ansicht und Version kann die deutsche Bezeichnung leicht abweichen. Grundlage ist die aktuelle Dokumentation von Microsoft (Stand November 2026) und unsere Praxis als Microsoft Solutions Partner für Security.

Sie finden die Geräteaktionen unter Geräte > Alle Geräte (Devices > All devices) nach Auswahl des Geräts in der Leiste oben.

• Abkoppeln (Retire): Entfernt verwaltete App-Daten, Einstellungen, Zertifikate, WLAN- und VPN-Profile sowie E-Mail-Profile, die Intune verteilt hat. Persönliche Daten bleiben erhalten. Das Gerät verlässt die Verwaltung beim nächsten Check-in, bis dahin bleibt es im Intune Admin Center sichtbar. Das ist die richtige Aktion für fast jedes BYOD-Gerät.
• Zurücksetzen (Wipe): Setzt das Gerät auf Werkseinstellungen zurück, alle Daten sind unwiederbringlich verloren. Gedacht für Firmenhandys, die neu vergeben, verkauft oder als verloren gemeldet werden. Bei Android mit persönlichem Arbeitsprofil steht Zurücksetzen (Wipe) gar nicht zur Verfügung, bei iPhones mit Benutzerregistrierung (User Enrollment) ebenfalls nicht.
• Löschen (Delete): In der deutschen Oberfläche je nach Ansicht auch „Entfernen“. Entfernt den Geräteeintrag sofort aus dem Admin Center und löst je nach Registrierungsart automatisch ein Abkoppeln (Retire) oder ein Zurücksetzen (Wipe) aus. Bei iOS und bei Android mit persönlichem Arbeitsprofil ist es ein Abkoppeln, bei Android-Firmengeräten (vollständig verwaltet, dediziert oder unternehmenseigenes Gerät mit Arbeitsprofil) ein Zurücksetzen. Löschen ist also keine harmlose Aufräumaktion.
• Selektives Zurücksetzen von Apps (App selective wipe): Oft auch selektives Löschen genannt. Entfernt nur die Firmendaten aus Apps, die durch App-Schutzrichtlinien (App protection policies, MAM) geschützt sind, etwa Outlook, Teams, OneDrive oder Edge. Das funktioniert auch auf Geräten, die gar nicht in Intune registriert sind. Sie finden die Funktion unter Apps > Selektives Zurücksetzen von Apps (Apps > App selective wipe), entweder über Zurücksetzungsanforderung erstellen (Create wipe request) pro Gerät oder über Zurücksetzen auf Benutzerebene (User-Level Wipe) für alle Geräte eines Benutzers.

Abkoppeln, Zurücksetzen und Löschen haben Vorrang vor allen anderen ausstehenden Aktionen. Ist das Gerät eingeschaltet und online, greift die Aktion laut Microsoft in der Regel in weniger als 15 Minuten.

Welche Aktion passt zu welchem Gerät?

• Privates Android-Smartphone mit persönlichem Arbeitsprofil (Personally-owned work profile): Abkoppeln (Retire). Intune entfernt das komplette Arbeitsprofil mit allen Firmen-Apps und -Daten, der private Bereich bleibt unberührt.
• Privates iPhone mit Geräteregistrierung über das Unternehmensportal (Company Portal) oder per Web: Abkoppeln (Retire), ergänzt durch App-Schutzrichtlinien für die Microsoft-Apps. Ein Zurücksetzen (Wipe) wäre hier technisch möglich und ist genau deshalb gefährlich.
• Privates iPhone mit kontogesteuerter Benutzerregistrierung (Account-driven User Enrollment): Abkoppeln (Retire). iOS löscht dabei das separate, verwaltete Datenvolume.
• Privates Gerät ohne Registrierung, nur mit App-Schutzrichtlinien: Selektives Zurücksetzen von Apps (App selective wipe).
• Firmenhandy, das neu vergeben, verkauft oder entsorgt wird: Zurücksetzen (Wipe), vorher Aktivierungssperre (Activation Lock) und Schutz vor dem Zurücksetzen auf Werkseinstellungen (Factory Reset Protection) prüfen.
• Verlorenes oder gestohlenes Firmenhandy: Zurücksetzen (Wipe).

iPhone und iPad

Bei einem registrierten iPhone entfernt Abkoppeln (Retire) das Verwaltungsprofil, alle über Intune verteilten WLAN-, VPN- und Zertifikatsprofile (Zertifikate werden zusätzlich widerrufen) sowie über Intune bereitgestellte E-Mail-Profile einschließlich der zwischengespeicherten Mails in der Mail-App von Apple. Für Apps gilt eine wichtige Unterscheidung:

• Verwaltete Apps: Apps, die an das Verwaltungsprofil gebunden sind, werden samt Daten entfernt, sofern bei der App-Zuweisung die Einstellung Bei Geräteentfernung deinstallieren (Uninstall on device removal) aktiv ist. Standardmäßig steht sie bei Branchen-Apps (Line-of-business apps) auf Ja, bei App-Store-Apps, VPP-Apps und integrierten Apps auf Nein. Zuweisungen, die vor Mai 2019 angelegt wurden, kennen die Einstellung nicht: Dort entfernt Intune bei der Abmeldung alle verwalteten Apps.
• Microsoft-Apps mit App-Schutzrichtlinie: Outlook, Teams oder OneDrive erhalten beim Abkoppeln automatisch einen Befehl zum selektiven Zurücksetzen. Beim nächsten App-Start werden nur die Daten des Geschäftskontos entfernt, App und private Daten bleiben. Voraussetzung ist, dass die App zwischen Registrierung und Abkoppeln mindestens einmal die App-Schutzrichtlinie abgerufen hat.

Den Geräteeintrag in Microsoft Entra ID entfernt Abkoppeln (Retire) bei iOS nicht. Zudem kann ein abgekoppeltes iPhone bis zu 180 Tage in Intune sichtbar bleiben, wenn Sie es nicht zusätzlich löschen (Delete).

Bei der kontogesteuerten Benutzerregistrierung (Account-driven User Enrollment) legt iOS für Firmen-Apps und -Daten ein eigenes, separat verschlüsseltes Volume an. Beim Abkoppeln (Retire) löscht iOS dieses Volume vollständig, der private Bereich bleibt unberührt. Die ältere profilbasierte Benutzerregistrierung über das Unternehmensportal (User Enrollment with Company Portal) unterstützt Apple seit iOS 18 nicht mehr, Microsoft empfiehlt für neue Registrierungen die kontogesteuerte Variante.

Android mit persönlichem Arbeitsprofil

Hier ist die Trennung am saubersten: Abkoppeln (Retire) entfernt das gesamte Arbeitsprofil mit allen Apps, Daten und Einstellungen. Apps mit dem kleinen Aktenkoffer-Symbol verschwinden, alles im persönlichen Profil bleibt erhalten. Mitarbeitende können das Arbeitsprofil auch selbst in den Android-Einstellungen entfernen. Ein Zurücksetzen (Wipe) bietet Intune für diese Geräte bewusst nicht an.

Ältere Geräte, die noch mit dem Android-Geräteadministrator (Android device administrator) registriert sind, sollten Sie umstellen: Microsoft hat den Support dafür auf Geräten mit Google Mobile Services zum 31. Dezember 2024 beendet. Beim Abkoppeln bleiben dort nicht verwaltete Apps installiert, Zertifikate werden zwar widerrufen, aber nicht entfernt.

Geräte ohne Registrierung: App-Schutzrichtlinien

Viele Unternehmen registrieren private Smartphones gar nicht, sondern schützen nur die Microsoft-Apps mit App-Schutzrichtlinien (MAM ohne Registrierung). Ein Abkoppeln gibt es dann nicht, Sie nutzen das selektive Zurücksetzen von Apps (App selective wipe). Intune legt pro geschützter App eine Zurücksetzungsanforderung an, die beim nächsten Start der App ausgeführt wird. Das Zurücksetzen auf Benutzerebene (User-Level Wipe) löscht die Firmendaten in allen geschützten Apps auf allen Geräten des Benutzers und bleibt aktiv, bis Sie den Benutzer wieder aus der Liste entfernen. Für das Offboarding ist das meist die bessere Wahl.

Das ist die häufigste Sorge von Mitarbeitenden. Die Antwort hängt von der Plattform und von der App-Zuweisung ab.

Android mit Arbeitsprofil: Der Authenticator kann im Arbeitsprofil und im persönlichen Profil getrennt installiert sein. Beim Abkoppeln (Retire) verschwindet nur die Instanz im Arbeitsprofil. Wer private Konten, Einmalcodes oder Passkeys in der Instanz im persönlichen Profil gespeichert hat, behält sie. Private Konten, die versehentlich in der Instanz im Arbeitsprofil angelegt wurden, sind dagegen mit dem Arbeitsprofil verloren.

iPhone: Es gibt nur eine Authenticator-App, in der Geschäfts- und Privatkonten nebeneinander liegen. Wurde der Authenticator selbst aus dem App Store installiert oder als Store-App über Intune verteilt, bleibt er beim Abkoppeln (Retire) mit allen privaten Konten erhalten, weil Store-Apps standardmäßig nicht deinstalliert werden. Kritisch wird es, wenn für den Authenticator Bei Geräteentfernung deinstallieren (Uninstall on device removal) auf Ja steht oder die Zuweisung noch aus der Zeit vor Mai 2019 stammt: Dann entfernt Intune die App und mit ihr alle privaten Einträge. Bei der kontogesteuerten Benutzerregistrierung gilt Ähnliches: Liegt der Authenticator als verwaltete App im Firmen-Volume, wird er beim Abkoppeln mitgelöscht. Unsere Empfehlung: Den Authenticator auf privaten iPhones nicht als verwaltete App mit Deinstallation verteilen, sondern die Mitarbeitenden die App selbst aus dem App Store installieren lassen.

Das Geschäftskonto selbst: Unabhängig vom Gerät bleibt das Geschäftskonto in Microsoft Entra ID als Anmeldemethode registriert, ein Abkoppeln ändert daran nichts. Löschen Sie deshalb beim Offboarding unter Benutzer > Authentifizierungsmethoden (Users > Authentication methods) die Registrierung des Microsoft Authenticator und hinterlegte Passkeys. Den dann funktionslosen Eintrag kann der Mitarbeitende anschließend in der App entfernen.

Backup als Absicherung: Raten Sie Mitarbeitenden, die Sicherung im Authenticator zu aktivieren: auf dem iPhone iCloud-Sicherung (iCloud backup), auf Android Cloudsicherung (Cloud backup) mit einem persönlichen Microsoft-Konto. Private Einmalcodes von Drittanbietern lassen sich so wiederherstellen, allerdings nur auf derselben Plattform. Für Geschäftskonten sichert der Authenticator nur den Kontonamen, eine erneute Anmeldung ist immer nötig. Mehr zum Umzug lesen Sie in unserem Beitrag Microsoft Authenticator auf neues Handy übertragen.

Outlook für iOS und Android unterstützt mehrere Identitäten. App-Schutzrichtlinien gelten nur für das Geschäftskonto, ein privates Konto von Outlook.com, Gmail oder einem anderen Anbieter bleibt unberührt. Beim selektiven Zurücksetzen (App selective wipe) entfernt Intune nur das Geschäftskonto mit seinen Mails, Kontakten und Anhängen. Das private Konto bleibt in der App eingerichtet.

Drei Ausnahmen sollten Sie kennen:

• iPhone mit Deinstallation: Ist Outlook als verwaltete App mit Bei Geräteentfernung deinstallieren (Uninstall on device removal) zugewiesen, entfernt das Abkoppeln (Retire) die ganze App. Die privaten Mails liegen weiterhin beim Anbieter, das private Konto muss aber neu eingerichtet werden.
• Android mit Arbeitsprofil: Outlook im Arbeitsprofil ist eine eigene Instanz. Ein privates Konto, das dort eingerichtet wurde, verschwindet mit dem Arbeitsprofil. Private Konten gehören in die Outlook-Instanz im persönlichen Profil.
• Ohne App-Schutzrichtlinie: Gibt es keine App-Schutzrichtlinie für Outlook und wird die App beim Abkoppeln nicht deinstalliert, bleibt auch das Geschäftskonto in der App. Ohne App-Schutzrichtlinien funktioniert das selektive Zurücksetzen nicht.

Kontakte, die aus Outlook in das Adressbuch des Geräts exportiert wurden, gelten als persönliche Daten und werden beim Abkoppeln nicht entfernt.

1. Geräte identifizieren: Prüfen Sie unter Geräte > Alle Geräte (Devices > All devices) alle Geräte des Benutzers und den Besitz (Ownership), also Persönlich (Personal) oder Unternehmen (Corporate). Bei persönlichen Geräten nie Zurücksetzen (Wipe) auswählen.
2. Abkoppeln bzw. Zurücksetzen auslösen: Private Geräte mit Abkoppeln (Retire), Firmengeräte mit Zurücksetzen (Wipe). Zusätzlich unter Apps > Selektives Zurücksetzen von Apps (Apps > App selective wipe) ein Zurücksetzen auf Benutzerebene (User-Level Wipe) anlegen, damit auch nicht registrierte Geräte erfasst werden.
3. Konto sperren und Sitzungen widerrufen: In Microsoft Entra ID unter Eigenschaften (Properties) den Haken bei Konto aktiviert (Account enabled) entfernen und auf der Übersichtsseite des Benutzers Sitzungen widerrufen (Revoke sessions) wählen. Damit werden alle Aktualisierungstoken ungültig und bestehende Anmeldungen in Apps beendet.
4. Anmeldemethoden entfernen: Unter Authentifizierungsmethoden (Authentication methods) die Registrierung des Microsoft Authenticator, Passkeys und Telefonnummern des Benutzers löschen.
5. Status kontrollieren: Unter Geräte > Geräteaktionen (Devices > Device actions) sehen Sie, ob die Aktionen ausgeführt wurden. Ausstehende Zurücksetzungsanforderungen für Apps bleiben sichtbar, bis Sie sie über Zurücksetzungsanforderung löschen (Delete wipe request) entfernen.
6. Erst danach Konto löschen und Lizenz entziehen: Wird das Konto sofort gelöscht statt deaktiviert, erkennen die Apps das nicht als gesperrtes Konto. Firmendaten auf einem Gerät, das offline ist, bleiben dann bis zum Ablauf der Offline-Toleranzperiode (Offline grace period) zugänglich.

Wichtig: Alle Befehle zum Abkoppeln und Zurücksetzen erreichen nur Geräte, die online sind. Ein Smartphone, das ausgeschaltet in der Schublade liegt, behält seine Daten, bis es sich wieder meldet. Dafür sorgen die Sicherheitsnetze, die Sie beim Onboarding einrichten.

• Aktivierungssperre (Activation Lock) beim iPhone: Hat der Mitarbeitende seine private Apple-ID mit „Wo ist?“ (Find My) verbunden, ist das iPhone nach dem Zurücksetzen gesperrt. Bei betreuten Geräten aus der automatisierten Geräteregistrierung (Automated Device Enrollment, ADE) über Apple Business Manager speichert Intune einen Umgehungscode (Activation Lock bypass code). Kopieren Sie ihn vor dem Zurücksetzen aus den Hardware-Details des Geräts oder nutzen Sie die Geräteaktion Aktivierungssperre deaktivieren (Disable Activation Lock). Nach dem Zurücksetzen ist der Code in Intune nicht mehr verfügbar.
• Schutz vor dem Zurücksetzen auf Werkseinstellungen (Factory Reset Protection) bei Android: Legen Sie für Firmengeräte im Profil für Geräteeinschränkungen (Device restrictions) die E-Mail-Adressen für den Schutz vor dem Zurücksetzen auf Werkseinstellungen (Factory reset protection emails) mit unternehmenseigenen Google-Konten fest. Ein Zurücksetzen (Wipe) aus Intune entfernt die FRP-Daten standardmäßig, der Schutz greift je nach Registrierungsart beim Zurücksetzen über die Einstellungen oder den Wiederherstellungsmodus, etwa nach einem Diebstahl.
• eSIM: Beim Zurücksetzen eines iPhones mit eSIM bleibt der Mobilfunktarif standardmäßig erhalten. Soll er mitgelöscht werden, aktivieren Sie im Dialog die Option Auch den Datentarif des Geräts entfernen (Also remove the device's data plan).
• Verkauf oder Entsorgung: Geben Sie ADE-Geräte nach dem Abkoppeln (Retire) in Apple Business Manager über Aus Organisation entfernen (Release from Organization) frei, sonst registriert sich das Gerät beim nächsten Einrichten wieder in Ihrem Tenant.
• Aufräumen: Unter Geräte > Regeln zur Gerätebereinigung (Devices > Device cleanup rules) lassen sich Einträge von Geräten, die sich nicht mehr melden, nach 30 bis 270 Tagen ohne Check-in automatisch entfernen. Diese Regeln lösen aber weder Abkoppeln noch Zurücksetzen aus.

Die meisten Probleme beim Offboarding entstehen am ersten Tag. Mit diesen Entscheidungen beim Onboarding wird das spätere Zurücksetzen planbar.

Die passende Registrierungsart wählen. Firmenhandys gehören in die automatisierte Geräteregistrierung (Automated Device Enrollment) über Apple Business Manager bzw. zu Android Enterprise als vollständig verwaltetes Gerät (Fully managed) oder als unternehmenseigenes Gerät mit Arbeitsprofil (Corporate-owned work profile). Für private Geräte eignen sich Android Enterprise mit persönlichem Arbeitsprofil (Personally-owned work profile), die kontogesteuerte Benutzerregistrierung (Account-driven User Enrollment) bei iOS oder reine App-Schutzrichtlinien ohne Registrierung. Microsoft stellt die Verwaltung von Android-Geräten mit persönlichem Arbeitsprofil 2026 auf die Android Management API und eine webbasierte Registrierung um, die App Microsoft Intune ersetzt dabei das Unternehmensportal (Company Portal) als Benutzer-App. Prüfen Sie Ihre Einrichtungsanleitungen für Mitarbeitende entsprechend.

Den Besitz korrekt setzen. Intune unterscheidet beim Besitz (Ownership) zwischen Persönlich (Personal) und Unternehmen (Corporate). Bei persönlichen Geräten sieht die IT nur die verwalteten Apps und die letzten vier Ziffern der Telefonnummer. Wird ein Gerät auf Unternehmen umgestellt, sieht sie das gesamte App-Inventar und in den meisten Fällen die vollständige Nummer. Ein falscher Besitzertyp ist ein Datenschutzproblem und erhöht das Risiko eines versehentlichen Zurücksetzens.

App-Schutzrichtlinien als Sicherheitsnetz. Konfigurieren Sie in der App-Schutzrichtlinie unter Bedingter Start (Conditional launch) die Bedingung Deaktiviertes Konto (Disabled account) mit der Aktion Daten zurücksetzen (Wipe data): Sobald ein Konto in Entra ID deaktiviert ist, löschen die geschützten Apps die Firmendaten selbst. Zusätzlich löscht die Bedingung Offline-Toleranzperiode (Offline grace period) mit der Aktion Daten zurücksetzen (Wipe data) Firmendaten nach einer festgelegten Zahl von Tagen ohne Verbindung. Der Standardwert liegt bei 90 Tagen, für viele Unternehmen ist ein kürzerer Wert sinnvoll.

Authenticator und Outlook bewusst zuweisen. Setzen Sie Bei Geräteentfernung deinstallieren (Uninstall on device removal) für den Authenticator auf privaten iPhones auf Nein und prüfen Sie alte Zuweisungen. Erklären Sie Android-Nutzern, dass private Konten in Authenticator und Outlook in die Apps des persönlichen Profils gehören. Wer private Konten in verwalteten Apps grundsätzlich ausschließen möchte, kann auf registrierten Geräten den Modus für zulässige Organisationskonten (Org allowed accounts) nutzen.

Löschaktionen mit Vier-Augen-Prinzip schützen. Mit der mehrfachen Administratorgenehmigung (Multi Admin Approval) unter Mandantenverwaltung > Mehrfache Administratorgenehmigung > Zugriffsrichtlinien (Tenant administration > Multi Admin Approval > Access policies) lassen sich Abkoppeln (Retire), Zurücksetzen (Wipe) und Löschen (Delete) so absichern, dass ein zweiter Administrator jede Aktion freigeben muss. Das verhindert Fehlbedienungen und schützt vor kompromittierten Admin-Konten. Wie wichtig das ist, zeigt der Fall Stryker Hack und Multi Admin Approval.

Transparenz für Mitarbeitende schaffen. Eine schriftliche BYOD-Richtlinie sollte festhalten, was die IT sieht, was sie löschen kann und wann. Hinterlegen Sie in den Einstellungen des Unternehmensportals (Company Portal) eine eigene Datenschutzerklärung und Kontaktdaten. Wer weiß, dass beim Ausscheiden nur das Arbeitsprofil verschwindet, stimmt der Registrierung eher zu.

Als Microsoft Solutions Partner für Security richtet die InSys AG^® Microsoft Intune für Firmen- und Privatgeräte ein, von der Registrierungsart über App-Schutzrichtlinien bis zur mehrfachen Administratorgenehmigung und einem dokumentierten Offboarding-Prozess. In bestehenden Umgebungen zeigt der Microsoft Tenant Sicherheitscheck, ob Ihre Intune-Einstellungen beim Ausscheiden von Mitarbeitenden wirklich greifen. Einen Überblick über alle Leistungen finden Sie auf der Seite Microsoft 365 Security und Beratung.