Ein Firmenhandy kann vollständig zurückgesetzt aussehen und trotzdem beim nächsten Start wieder die Verwaltung des alten Unternehmens laden. Genau das passiert bei Android-Geräten, die noch in Zero-touch Enrollment, Samsung Knox oder einer MDM-Plattform registriert sind.
Für den bisherigen Eigentümer ist diese automatische Bereitstellung praktisch. Für den nächsten Nutzer wird sie zum Problem. Das Smartphone startet, verbindet sich mit dem Internet und versucht sich erneut mit der alten Firmenumgebung zu verbinden. Ein normaler Factory Reset löst diese organisatorische Bindung nicht in jedem Fall.
Wer Android-Firmenhandys verkaufen möchte, sollte deshalb zwei Dinge getrennt behandeln: die lokalen Daten auf dem Gerät und die administrative Registrierung außerhalb des Geräts.
Ein Factory Reset entfernt nicht jede Unternehmensbindung
Android Enterprise Zero-touch ist so aufgebaut, dass registrierte Geräte bei der Ersteinrichtung automatisch die vorgesehene Unternehmenskonfiguration erhalten. Google weist ausdrücklich darauf hin, dass ein Gerät nicht einfach durch einen Factory Reset aus Zero-touch entfernt wird. Soll es das Unternehmen dauerhaft verlassen, muss es durch die zuständige IT aus der Verwaltung gelöst werden.
Das gleiche Grundproblem gibt es bei Samsung Knox Mobile Enrollment. Ein Gerät kann zurückgesetzt werden und trotzdem weiterhin mit einem Enrollment-Profil verbunden sein. Für die Wiederverwendung außerhalb des bisherigen Unternehmens muss die Registrierung sauber beendet werden.
Die konkrete Vorgehensweise hängt von der eingesetzten Managementlösung ab. Deshalb sollte nicht versucht werden, die Sperre lokal zu „umgehen“. Zuständig ist der Administrator des bisherigen Unternehmens.
Vor dem Löschen erst klären, welche Plattformen genutzt wurden
In Unternehmen laufen Android-Geräte häufig nicht nur über eine einzige Verwaltungsplattform. Ein Samsung-Smartphone kann beispielsweise gleichzeitig in einem EMM/MDM-System und in Knox Mobile Enrollment registriert sein. Zusätzlich können eSIMs oder andere Cloud-Dienste eingebunden sein.
Vor der Ausmusterung sollte deshalb dokumentiert werden, welche Systeme betroffen sind. Nur das Gerät aus einem MDM zu löschen, während es weiterhin in Zero-touch oder Knox registriert bleibt, kann dazu führen, dass es beim nächsten Setup erneut in eine Firmenkonfiguration läuft.
Bei größeren Smartphone-Flotten lohnt sich eine Seriennummern- oder IMEI-Liste, damit die IT nachvollziehen kann, welche Geräte bereits vollständig freigegeben wurden.
Google Zero-touch: Verkauf bedeutet Deprovisioning
Google beschreibt Zero-touch als automatische Bereitstellung für firmeneigene Geräte. Wird ein Gerät verkauft oder dauerhaft aus der Organisation entfernt, muss es entsprechend aus der Verwaltung genommen werden. Ein zurückgesetztes Smartphone, das weiterhin registriert ist, kann sonst beim neuen Besitzer wieder als Arbeitsgerät des alten Unternehmens erscheinen.
Für den IT-Ankauf ist das relevant, weil ein technisch gutes Smartphone ohne administrative Freigabe nicht sauber weiterverwendet werden kann. Die Hardware besitzt möglicherweise Restwert, die Gerätesperre blockiert jedoch die Vermarktung.
Deshalb sollte die Deprovisionierung nicht erst nach der Abholung erfolgen. Idealerweise erledigt die IT diesen Schritt, solange alle Managementzugänge und verantwortlichen Administratoren noch verfügbar sind.
Samsung Knox benötigt ebenfalls einen sauberen Ausstieg
Bei Samsung-Geräten können Knox-Dienste eine zusätzliche Ebene bilden. Samsung dokumentiert für Knox Mobile Enrollment und Knox Manage eigene Schritte zum Unenroll und Löschen von Geräten. Je nach eingesetzten Diensten muss ein Gerät gegebenenfalls aus mehreren Bereichen entfernt werden.
Besonders bei älteren Flotten ist das wichtig. Wenn die zuständige Person das Unternehmen verlassen hat oder niemand mehr weiß, welcher Knox-Account verwendet wurde, kann eine spätere Freigabe erheblich aufwendiger werden.
Deshalb gehört die administrative Freigabe direkt in den Offboarding- oder Rollout-Prozess und nicht in den Lagerraum Monate später.
Datenlöschung und MDM-Freigabe sind zwei verschiedene Aufgaben
Das Entfernen eines Geräts aus MDM oder Zero-touch bedeutet nicht automatisch, dass lokale Unternehmensdaten sicher gelöscht wurden. Umgekehrt bedeutet ein Factory Reset nicht automatisch, dass alle Managementbindungen entfernt sind.
Für eine saubere Übergabe sind daher beide Ebenen relevant. Zuerst werden noch benötigte Daten gesichert und administrative Verbindungen beendet. Anschließend wird das Gerät entsprechend dem internen Datenprozess zurückgesetzt beziehungsweise gelöscht.
ReUsed-IT kann über die Datenlöschung und den IT-Ankauf die physische Hardware weiterbehandeln. Die Freigabe aus unternehmenseigenen Cloud- und MDM-Systemen sollte durch berechtigte Administratoren erfolgen.
eSIM und Mobilfunkvertrag nicht vergessen
Bei modernen Firmenhandys gehört auch die Mobilfunkseite in den Offboarding-Prozess. Eine physische SIM lässt sich leicht entfernen. Bei eSIMs muss geprüft werden, ob das Profil gelöscht und der Vertrag beziehungsweise die Nummer intern weitergeführt wird.
Samsung Knox Manage bietet beispielsweise Optionen, eSIM-Informationen im Rahmen eines Unenrollment-Prozesses zu behandeln. Das zeigt, warum die Mobilfunkkonfiguration nicht erst nach dem Factory Reset betrachtet werden sollte.
Auch hier gilt: Die genaue Vorgehensweise hängt vom eingesetzten Anbieter und Gerätemodell ab.
Gerätefreigabe vor der Abholung testen
Bei größeren Flotten sollte nach der administrativen Freigabe mindestens eine Stichprobe vollständig eingerichtet werden. So erkennt die IT früh, ob Zero-touch, Knox oder ein anderes Enrollment tatsächlich entfernt wurde. Erst danach wird der gesamte Bestand als verkaufsbereit markiert.
Dieser kurze Test verhindert, dass eine komplette Palette technisch guter Smartphones erst nach der Übergabe als weiterhin verwaltet auffällt.
Praxisbeispiel: 45 Android-Smartphones nach einem Mobilfunk-Rollout
Ein Unternehmen ersetzt 45 Samsung-Smartphones. Alle alten Geräte werden zurückgesetzt und in Kartons gesammelt. Bei einem Testgerät erscheint nach der Verbindung mit WLAN jedoch erneut die Firmenbereitstellung.
Die IT prüft daraufhin den Bestand und stellt fest, dass die Geräte zwar aus der täglichen MDM-Verwaltung entfernt, aber noch in Knox Mobile Enrollment registriert sind. Statt jedes Smartphone einzeln nachträglich zu behandeln, werden IMEIs und Seriennummern abgeglichen und die gesamte Flotte sauber deprovisioniert.
Erst danach werden die Geräte zurückgesetzt, geprüft und für den Verkauf freigegeben. Damit werden 45 technisch brauchbare Smartphones nicht durch eine vermeidbare Managementbindung blockiert.
Häufige Fragen
Reicht ein Factory Reset bei einem Firmenhandy?
Nicht immer. Bei Zero-touch, Knox oder anderen Enrollment-Systemen kann die organisatorische Registrierung außerhalb des Geräts weiterbestehen.
Kann ReUsed-IT eine Firmenbindung umgehen?
Nein. Die ordnungsgemäße Freigabe muss über die autorisierten Verwaltungszugänge des bisherigen Unternehmens erfolgen.
Müssen Android-Geräte vor dem Ankauf gelöscht werden?
Die konkrete Übergabe kann abgestimmt werden. Entscheidend ist, dass Datenbehandlung und administrative Freigabe klar geregelt sind.
Fazit
Beim Verkauf von Android-Firmenhandys reicht es nicht, nur auf den Reset-Bildschirm zu schauen. Zero-touch, Samsung Knox, MDM und eSIM können das Gerät weiterhin an die bisherige Organisation binden. Unternehmen sollten diese Verbindungen lösen, solange ihre Administratoren noch Zugriff auf die jeweiligen Plattformen haben. Danach kann ReUsed-IT die Geräte bewerten, Datenprozesse abstimmen und die Hardware dem passenden Wiederverwendungs- oder Recyclingweg zuführen.