Firmen-Smartphones ausmustern: iPhones und Android-Handys sperrfrei und gelöscht abgeben

Kurz gesagtEin Firmen-Smartphone ist abgabebereit, wenn es Ihrem Unternehmen gehört, keine Sperre mehr an ein Konto bindet, aus MDM, Apple Business oder Zero-Touch entlassen ist und die Löschung je Gerät belegt ist. Achten Sie auf die Reihenfolge: Wer den MDM-Eintrag zu früh löscht, verliert den dort gespeicherten Umgehungscode für die Aktivierungssperre.

Diensthandys kommen einzeln zurück, wenn jemand das Unternehmen verlässt oder ein neues Modell bekommt. Zwischen Rückgabe und Abgabe können Monate liegen, und dann muss für jedes Gerät geklärt werden, ob es noch an ein Konto gebunden ist und wie sich seine Löschung belegen lässt.

Gehört das Gerät überhaupt Ihrem Unternehmen?

Ein MDM kann auch private Handys von Mitarbeitern verwalten, damit diese dienstliche Mails lesen können. Diese Geräte gehören nicht Ihnen. Sie gehören nicht in die Ausmusterung, und ein vollständiges Löschen würde auch die privaten Daten treffen.

Microsoft unterscheidet in Intune deshalb zwei Aktionen. Retire entfernt nur die Firmendaten: verwaltete Apps, Mailprofile, WLAN- und VPN-Einstellungen, Zertifikate. Private Fotos und Apps bleiben. Bei Android-Geräten mit privatem Arbeitsprofil löscht Retire das ganze Arbeitsprofil mit allen Daten darin. Wipe setzt das Gerät dagegen auf Werkseinstellungen zurück und löscht alles, auch private Inhalte.

Private Geräte erhalten beim Austritt Retire und bleiben beim Mitarbeiter. Nur Geräte, die das Unternehmen gekauft oder geleast hat, gehen in die Ausmusterung. Bei geleasten Geräten gelten zusätzlich die Regeln des Vertrags, mehr dazu unter Leasingende.

Die Reihenfolge entscheidet

Ein Umgehungscode oder eine Registrierung lässt sich nur nutzen oder aufheben, solange der Eintrag dafür noch besteht. Deshalb diese Abfolge:

iPhone und iPad: die Aktivierungssperre

Die Aktivierungssperre bindet ein iPhone an einen Apple Account und überlebt das Zurücksetzen. Apple beschreibt für Firmengeräte zwei Wege, sie wieder zu lösen.

An die Organisation gebunden. Das Gerät steht in Apple Business und wird über ein MDM verwaltet, das diese Funktion unterstützt. Das MDM spricht dann direkt mit Apples Servern und schaltet die Sperre ein und aus. Laut Apple muss das Gerät dafür in Apple Business stehen, bevor die Sperre aktiviert wird.

An den Nutzer gebunden. Ein Mitarbeiter hat „Wo ist?“ mit seinem eigenen Apple Account eingeschaltet. Bei betreuten Geräten (Supervision) kann das MDM einen Umgehungscode speichern. Diesen Code gibt man auf dem Sperrbildschirm in das Passwortfeld ein und lässt den Benutzernamen leer. Apples Anleitung setzt dafür eine Frist: Auf iPhone und iPad ist der Code bis zu 15 Tage nach der ersten Betreuung abrufbar, oder bis das MDM ihn abgeholt und gelöscht hat. Hat Ihr MDM ihn in dieser Zeit nicht gesichert, hilft er Ihnen später nicht.

Prüfen Sie deshalb für jedes iPhone in der Geräteverwaltung, ob ein Umgehungscode hinterlegt ist. Wo keiner da ist, brauchen Sie den Mitarbeiter: Er meldet sich vom Apple Account ab und schaltet „Wo ist?“ aus. Planen Sie das für den letzten Arbeitstag ein, solange der Mitarbeiter noch im Haus ist.

iPhone und iPad: Freigabe in Apple Business

Ein iPhone, das in Apple Business einem MDM zugeordnet ist, meldet sich nach jedem Zurücksetzen wieder bei Ihrer Verwaltung an. Für den Käufer ist es dann nicht frei nutzbar. Lösen lässt sich das über die Freigabe „Release from Organization“. Apples Anleitung nennt dazu:

• Die Freigabe lässt sich nicht rückgängig machen. Neu aufnehmen lässt es sich nur über Apple Configurator oder einen autorisierten Händler.
• Nach der Freigabe können Sie die Aktivierungssperre nicht mehr über Apple Business verwalten. Lösen Sie sie vorher.
• Nach der Freigabe muss das Gerät gelöscht und neu eingerichtet werden.
• Nach den Bedingungen von Apple Business müssen Sie jedes Gerät freigeben, das Sie nicht mehr besitzen oder kontrollieren.

Eine Ausnahme nennt Apple selbst: Geräte, die zur Reparatur an Apple gehen, geben Sie nicht frei. Tauscht Apple ein freigegebenes Gerät aus, steht das Ersatzgerät nicht in Apple Business.

Was der frühere Apple Business Manager war, heißt seit April 2026 Apple Business. Die Freigabe funktioniert für iPhone, iPad und Mac gleich. Die Besonderheiten bei Macs stehen in unserem Beitrag MacBooks im Unternehmen ausmustern.

Android: Factory Reset Protection und Firmenkonten

Bei Android heißt der Schutz Factory Reset Protection, kurz FRP. Google beschreibt in seiner Anleitung zum Zurücksetzen, dass das Gerät danach die Anmeldung mit dem Google-Konto verlangt, das vorher darauf war. Zwei Hinweise aus derselben Anleitung sind für Firmen wichtig: Wer das Passwort des Google-Kontos gerade geändert hat, soll 24 Stunden warten, bevor er das Gerät zurücksetzt. Und die PIN oder das Muster der Displaysperre muss bekannt sein.

Der sichere Weg bei Geräten, die der Mitarbeiter selbst eingerichtet hat: In den Einstellungen unter „Passwörter & Konten“ das Konto antippen, „Konto entfernen“ wählen und bestätigen, dann zurücksetzen. Fehlt dieser Menüpunkt, heißt er laut Google zum Beispiel „Nutzer und Konten“ oder „Konten verwalten“.

Bei Geräten, die über Android Enterprise verwaltet werden, hängt FRP von Verwaltungsart und Löschweg ab. Microsoft hat für Intune aufgeschrieben, wann FRP nach dem Zurücksetzen greift, wenn die Einstellung „Factory reset protection emails“ gesetzt ist:

Für die Ausmusterung ist die letzte Spalte die wichtige: Ein Wipe aus Intune bewahrt laut Microsoft standardmäßig keine FRP-Daten. Ein Gerät, das Sie aus Intune löschen, solange es noch in Ihrem Besitz ist, lässt sich danach frei einrichten. Ein Gerät, das jemand über die Tasten in den Recovery-Modus setzt, verlangt dagegen das hinterlegte Firmenkonto. Microsoft weist außerdem darauf hin, dass Android 15 FRP strenger durchsetzt als frühere Versionen.

Zwei Sonderfälle nennt Microsoft ausdrücklich. Bei vollständig verwalteten Samsung-Geräten darf die Einschränkung „Factory Reset“ nicht auf „Block“ stehen, sonst verliert das Gerät beim Wipe den Kontakt zu Intune und setzt sich nicht zurück. Bei Zebra-Geräten entfernt der Wipe nur Firmendaten und setzt das Gerät nicht zurück.

Android: Zero-Touch und Knox Mobile Enrollment

Was Apple Business für iPhones ist, sind bei Android die Registrierungsdienste. Firmengeräte, die über einen Händler gekauft wurden, können in Googles Zero-Touch-Registrierung stehen. Ein solches Gerät holt sich nach dem Zurücksetzen wieder die Einstellungen Ihres Unternehmens. Google nennt den Verkauf ausdrücklich als Anlass, ein Gerät aus Zero-Touch zu entfernen („unclaim“). Danach fehlt die Firmeneinrichtung, und das Gerät ist nach dem Zurücksetzen nicht mehr verwaltet. Der Schritt ist für Sie endgültig: Wieder aufnehmen kann das Gerät nur Ihr Händler.

Samsung-Geräte können auch in Knox Mobile Enrollment stehen. Samsung beschreibt das Entfernen in der Knox-Konsole unter „Devices“, „Actions“, „Delete devices“. Gleichen Sie beide Listen vor der Abgabe mit den Seriennummern und IMEIs aus Schritt 1 ab.

eSIM, SIM-Karte und Speicherkarte

Beim Wipe aus Intune bleibt der eSIM-Datentarif laut Microsoft standardmäßig erhalten, bei iPhones ebenso wie bei Android-Firmengeräten. Wer ihn entfernen will, muss die Option dafür aktiv wählen. Apple empfiehlt beim Verkauf, Gerät und eSIM-Profil zusammen zu löschen. Kündigen oder übertragen Sie den Tarif vorher mit Ihrem Mobilfunkanbieter.

Physische SIM-Karten und Speicherkarten nehmen Sie laut Apple heraus, bevor das Gerät das Haus verlässt. Für ältere Android-Verwaltungen beschreibt Microsoft, dass Firmendaten auf einer SD-Karte beim Entfernen der Firmendaten verschlüsselt liegen bleiben, aber nicht gelöscht werden.

Reicht der Wipe aus dem MDM?

Apple beschreibt, dass „Alle Inhalte und Einstellungen löschen“ und der Fernlöschbefehl einen Schlüssel vernichten, ohne den alle Dateien auf dem iPhone nicht mehr lesbar sind. Das Verfahren heißt kryptografisches Löschen. Auch Android-Geräte sind verschlüsselt: Für neue Geräte ab Android 10 sieht die Android-Dokumentation nur noch die dateibasierte Verschlüsselung vor.

Was der Wipe nicht liefert, ist ein Nachweis. Im MDM sehen Sie, dass ein Befehl gesendet wurde. Ob er auf dem Gerät vollständig ausgeführt wurde, mit welchem Ergebnis und wann, steht dort nicht als Dokument je Gerät. Fragt Ihr Datenschutzbeauftragter nach, haben Sie ohne ein solches Dokument nur den Befehlsverlauf.

Die Richtlinie NIST SP 800-88, seit September 2025 in Revision 2, ordnet das genauer ein. In den Antworten zu häufigen Fragen vom 16.07.2026 zählt NIST das Zurücksetzen auf Werkseinstellungen zur Stufe Clear, wenn sich der Speicher nicht überschreiben lässt. Für kryptografisches Löschen als Purge nennt NIST Bedingungen, etwa dass vor dem Einrichten der Schlüssel keine sensiblen Daten unverschlüsselt auf dem Speicher lagen. Außerdem verlangt NIST zwei Prüfschritte: die Kontrolle, ob die Löschung fehlerfrei abgeschlossen wurde, und die Freigabe des Ergebnisses durch die Organisation. Zur Löschrichtlinie gehören laut NIST ausdrücklich Nachweise in Form von Löschzertifikaten. Für die Abgabe an Dritte brauchen Sie deshalb ein Löschprotokoll mit Seriennummer für jedes einzelne Gerät, auch für die, die Ihre IT schon zurückgesetzt hat. Welche Unterlagen Sie insgesamt aufbewahren sollten, zeigt unser Beitrag Belege für die Prüfung.

Was Sie jetzt tun sollten

1. Liste teilen. Private Geräte mit Firmenzugang bekommen Retire und bleiben beim Mitarbeiter. Nur Firmengeräte kommen in die Ausmusterung.
2. Je Gerät erfassen. Seriennummer, IMEI, Modell, Speicher, letzter Nutzer, Verwaltungsart. Bei verwalteten Geräten zeigt das MDM diese Angaben. Grundlage ist eine saubere Inventarisierung.
3. Umgehungscodes prüfen. Für jedes iPhone nachsehen, ob das MDM einen Code hat. Wo nicht, den Mitarbeiter um Abmeldung bitten, solange er erreichbar ist.
4. Android-Konten klären. Private Google-Konten entfernen. Für verwaltete Geräte den Wipe aus Intune nutzen, solange das Gerät bei Ihnen ist, und vorher die Samsung-Einschränkung prüfen. Über die Sammelaktion in Intune löschen Sie bis zu 100 Android-Firmengeräte in einem Auftrag.
5. Registrierungen aufheben. iPhones in Apple Business freigeben, Android-Geräte aus Zero-Touch und Knox Mobile Enrollment entfernen. Geräte, die zur Reparatur an Apple gehen, nicht freigeben.
6. eSIM entscheiden. Tarife kündigen oder übertragen, beim Wipe die Option zum Entfernen wählen. SIM- und Speicherkarten herausnehmen.
7. Zuletzt austragen. Erst nach Freigabe und Wipe die Einträge in MDM und Microsoft Entra ID löschen. Microsoft empfiehlt das Entfernen aus Entra ID, damit keine verwaisten Einträge mit Berechtigungen im Verzeichnis bleiben.
8. Nachweis einplanen. Für jedes Gerät ein Löschprotokoll mit Seriennummer. Die Checkliste zur IT-Ausmusterung hilft beim Abhaken.

Fehlt bei einzelnen Geräten ein Schritt, notieren Sie das in der Liste und geben Sie die übrigen Geräte schon ab.

So helfen wir bei Diensthandys

Wir kaufen Smartphones und Tablets ab einem Gerät bis zum ganzen Lager an, auch gemischt mit Notebooks und Monitoren. Sie bekommen ein Angebot mit Preis je Gerät, die Abzüge stehen einzeln daneben, bezahlt wird der geprüfte Ist-Zustand. Vor jeder Abholung von Geräten mit Daten schließen wir einen Auftragsverarbeitungsvertrag. Gelöscht wird in Deutschland mit Securaze nach NIST SP 800-88 Purge, auf Wunsch vor Ort bei Ihnen. Sie erhalten einen Übergabeschein und für jedes Gerät ein Löschprotokoll mit Seriennummer. Mehr zu Modellen und Ablauf finden Sie unter Smartphones und Tablets verkaufen.

Keine Rechtsberatung. Stand der Angaben: 11. Oktober 2026.