iOS Update auf Firmenhandys: Wie Intune Geräte ohne iOS 27.2.1 von Microsoft 365 fernhält

• Apple hat iOS 27.2.1 und iPadOS 27.2.1 am 9. November 2026 veröffentlicht und damit neun Sicherheitslücken geschlossen, unter anderem in Nachrichten (iMessage), Bluetooth und AirPlay.
• Für iPhones, die noch mit iOS 26 laufen, ist am selben Tag iOS 26.7.3 mit denselben Korrekturen für Nachrichten, Bluetooth und AirPlay erschienen.
• Auf privaten Geräten (BYOD) kann die IT ein iOS Update nicht erzwingen, sie kann aber mit einer Intune App-Schutzrichtlinie den Zugriff auf Firmendaten an eine Mindestversion knüpfen.
• Zusammen mit einer Conditional Access Policy, die eine App-Schutzrichtlinie verlangt, kommen Mitarbeitende ohne aktuelles iOS nicht mehr an Outlook, Teams und OneDrive.
• Auf Firmengeräten mit Intune setzt eine Update-Richtlinie über Declarative Device Management das iOS Update mit Frist selbst durch.

Apple hat am 9. November 2026 das iOS Update 27.2.1 und iPadOS 27.2.1 veröffentlicht. Laut dem Sicherheitsdokument von Apple schließt es neun Sicherheitslücken auf dem iPhone 11 und neueren Modellen sowie auf aktuellen iPad-Modellen. Für Unternehmen sind vor allem diese Lücken relevant:

• Nachrichten (iMessage): Ein Angreifer aus der Ferne konnte einem iMessage-Gruppenchat beitreten und dessen Nachrichten empfangen (CVE-2026-113961). Eine zweite Lücke erlaubte neu hinzugefügten Mitgliedern, ältere Nachrichten der Gruppe zu lesen (CVE-2026-113960).
• Bluetooth: Ein Angreifer in Bluetooth-Reichweite konnte Prozessspeicher beschädigen (CVE-2026-113970).
• Kopplung ohne Zutun des Nutzers: Ein manipuliertes Bluetooth-Gerät konnte sich ohne Interaktion des Nutzers koppeln (CVE-2026-113965), eine weitere Lücke hebelte die Begrenzung der Eingabeversuche beim Kopplungscode aus (CVE-2026-113964).
• AirPlay: Die Begrenzung der Versuche beim AirPlay-Kopplungscode ließ sich in Bluetooth-Reichweite und im selben Netzwerk umgehen (CVE-2026-113968, CVE-2026-113969).

Apple nennt im Sicherheitsdokument keine aktive Ausnutzung der Lücken. Trotzdem gilt: Firmenhandys tragen E-Mails, Teams-Chats und Dateien aus Microsoft 365. Ein iPhone mit bekannten Lücken in Bluetooth und Nachrichten gehört schnell aktualisiert.

Ja. Für iPhones und iPads, die noch mit iOS 26 laufen, hat Apple am selben Tag iOS 26.7.3 und iPadOS 26.7.3 veröffentlicht. Laut Apple enthält es dieselben Korrekturen für Nachrichten, Bluetooth, AirPlay und Kopplung. Das ist wichtig für Ihre Richtlinien: Wer nur „27.2.1“ als Mindestversion festlegt, sperrt auch Mitarbeitende aus, deren Gerät mit iOS 26.7.3 vollständig gepatcht ist.

Auf privaten Geräten, die nicht in Intune registriert sind, hat die IT laut Microsoft in der Regel keine Kontrolle über Software-Updates. Der Nutzer entscheidet selbst, wann er installiert. In der Praxis bleiben einzelne Geräte so wochenlang auf einem alten Stand, obwohl sie täglich auf Firmendaten zugreifen.

Die Lösung ist ein Zugangsschutz, oft auch als Device Fencing bezeichnet: Nicht das Update wird erzwungen, sondern der Zugriff auf Microsoft 365 wird an das Update geknüpft. Wer aktualisiert, arbeitet weiter. Wer nicht aktualisiert, sieht in Outlook oder Teams einen Hinweis und kommt ab einem festgelegten Zeitpunkt nicht mehr an Firmendaten. Das Update ist dann eine Minutensache, und die Mitarbeitenden erledigen es selbst.

Für BYOD ohne Geräteregistrierung ist die App-Schutzrichtlinie (App protection policy) das Werkzeug. Sie gilt für die Microsoft 365 Apps auf dem Gerät, nicht für das ganze iPhone. Private Daten bleiben unberührt.

1. Im Microsoft Intune Admin Center unter Apps > App-Schutzrichtlinien (App protection policies) eine Richtlinie für iOS/iPadOS anlegen oder eine bestehende öffnen.
2. Auf der Seite Bedingter Start (Conditional launch) unter Gerätebedingungen (Device conditions) die Einstellung Min. Betriebssystemversion (Min OS version) hinzufügen. Erlaubt sind Angaben wie 27.2.1 im Format Haupt-, Neben- und Build-Version.
3. Als Aktion Warnen (Warn), Zugriff blockieren (Block access) oder Daten löschen (Wipe data) wählen. Die Einstellung darf mehrfach vorkommen, jeweils mit eigener Aktion.
4. Die Richtlinie Gruppen von Benutzern zuweisen.

Warum brauchen Sie eine Richtlinie je iOS-Hauptversion?

Eine App-Schutzrichtlinie kennt nur eine Mindestversion. Microsoft beschreibt deshalb ein Vorgehen mit Filtern: Unter Mandantenverwaltung > Filter (Tenant administration > Filters) legen Sie für verwaltete Apps (Managed apps) je Hauptversion einen Filter an, etwa „OS-Version beginnt mit 27“ und „OS-Version beginnt mit 26“. Dann erstellen Sie je Hauptversion eine eigene App-Schutzrichtlinie mit der passenden Mindestversion, zum Beispiel 27.2.1 und 26.7.3, und weisen sie mit dem jeweiligen Filter zu.

Für die Hauptversion empfiehlt Microsoft einen Ansatz N-1: die aktuelle und die vorherige iOS-Hauptversion zulassen und bei Neben- und Build-Version auf die jeweils aktuellen Sicherheitsupdates achten.

Warum gehört Conditional Access dazu?

Die App-Schutzrichtlinie wirkt in den geschützten Apps. Damit niemand auf Apps ohne diesen Schutz ausweicht, gehört eine Conditional Access Policy dazu. Microsoft beschreibt dafür eine Richtlinie für alle Benutzer und alle Ressourcen auf den Plattformen iOS und Android mit den Gewährungssteuerungen App-Schutzrichtlinie erforderlich (Require app protection policy) und Genehmigte Client-App erforderlich (Require approved client app). Apps, die eine App-Schutzrichtlinie nicht unterstützen, werden dann blockiert. Die Geräte müssen dafür in Microsoft Entra ID registriert sein, was beim ersten Anmelden mit Microsoft Authenticator oder dem Unternehmensportal geschieht.

Microsoft empfiehlt, die Richtlinie zunächst im Modus Nur Bericht (Report-only) zu betreiben und erst nach Prüfung der Auswirkungen einzuschalten. Ergänzend sollte eine Richtlinie den Zugriff von unbekannten oder nicht unterstützten Plattformen blockieren. Mehr zum Aufbau finden Sie auf unserer Seite zu Conditional Access einrichten.

Bei Geräten im Besitz des Unternehmens kann Intune das iOS Update selbst durchsetzen, statt nur den Zugriff zu sperren. Laut Microsoft hat Apple die bisherigen MDM-Befehle für Software-Updates mit OS 27 entfernt. Updates steuern Sie jetzt über Declarative Device Management (DDM) im Einstellungskatalog:

• Neueste Version erzwingen (Software Update Enforce Latest): Das Gerät installiert die jeweils neueste Version nach einer festgelegten Anzahl Tage zur gewählten Uhrzeit, ohne weiteres Zutun der IT.
• Zielversion (Software Update): Sie legen eine bestimmte iOS-Version und eine Frist fest. Ist das Update bis dahin nicht installiert, erscheint ein einminütiger Countdown, danach installiert das Gerät das Update und startet neu.

Die DDM-Update-Richtlinien setzen iOS oder iPadOS 17 oder neuer voraus und gelten für registrierte Geräte (Device Enrollment und Automated Device Enrollment). Zusätzlich prüft eine Konformitätsrichtlinie (Compliance policy) die Mindestversion des Betriebssystems oder die Mindestbuildversion. Ein Gerät darunter gilt als nicht konform, und Conditional Access sperrt den Zugriff, bis das Update installiert ist. Mit einer Übergangsfrist bei den Aktionen für Nichtkonformität geben Sie den Mitarbeitenden Zeit, ohne die Sperre aufzuheben. Was Intune darüber hinaus leistet, lesen Sie auf unserer Seite zu Microsoft Intune.

• Geschwindigkeit: Statt Rundmails und Nachfragen bestimmt eine Richtlinie, bis wann jedes Gerät mit Firmendaten aktualisiert ist.
• Nachweis: Intune zeigt in den Berichten, welche Geräte und Apps unter der Mindestversion liegen. Das hilft bei Audits, etwa im Rahmen von NIS2.
• Weniger Unterbrechungen: Mit Frist und Installationszeit außerhalb der Arbeitszeit stören Updates auf Firmengeräten nicht im Tagesgeschäft.
• Trennung von Privatem und Firma: Bei BYOD greift die IT nur auf die Firmen-Apps zu. Wie Sie bei einem Wechsel nur Unternehmensdaten löschen, zeigt unser Beitrag BYOD mit Intune.

1. In Intune prüfen, welche iOS-Versionen auf Geräten und in den Apps mit Firmendaten laufen.
2. Je iOS-Hauptversion eine App-Schutzrichtlinie mit Filter anlegen und als Mindestversion 27.2.1 bzw. 26.7.3 eintragen, zunächst mit der Aktion Warnen.
3. Nach einer angekündigten Übergangszeit eine zweite Bedingung mit Zugriff blockieren ergänzen.
4. Die Conditional Access Policy für App-Schutzrichtlinien im Modus Nur Bericht testen und danach aktivieren.
5. Für Firmengeräte eine DDM-Update-Richtlinie und eine Konformitätsrichtlinie mit Mindestversion einrichten.
6. Die Mindestversionen nach jedem Sicherheitsupdate von Apple anpassen.

Als Microsoft Solutions Partner für Security richtet die InSys AG^® App-Schutzrichtlinien, Konformitätsrichtlinien, Update-Richtlinien und Conditional Access für iPhones und iPads ein, für Firmengeräte ebenso wie für BYOD. Wir planen die Übergangszeiten so, dass Mitarbeitende rechtzeitig informiert sind und niemand unvorbereitet ausgesperrt wird. Im Microsoft Secure Score Managed Service kümmern wir uns dauerhaft um die Sicherheitskonfiguration Ihres Tenants. Einen schnellen Überblick über den Stand Ihrer Richtlinien gibt der Microsoft Tenant Sicherheitscheck. Weitere Leistungen finden Sie im Microsoft 365 Bereich der InSys AG^®.

Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular unten auf dieser Seite.