MDM ohne Jamf: Wie Microsoft Intune auch gemischte Geräteparks verwaltet

Was ist Jamf — und wo stößt es im KMU-Kontext an Grenzen?

Jamf ist seit Jahren die Referenzlösung für MDM in Apple-zentrierten Umgebungen: Schulen, Kreativagenturen, Unternehmen, die ausschließlich Macs und iPhones einsetzen. Die Plattform bietet tiefe Integration in Apple Business Manager (ABM), umfassendes Scripting für macOS-Systemeinstellungen und granulare Konfigurationsprofile für nahezu jeden Apple-Parameter. In dieser Nische ist Jamf Pro konkurrenzlos.

Die Schwachstelle zeigt sich, sobald Windows-Geräte in der Unternehmensumgebung auftauchen — und das ist in den meisten deutschen KMU die Regel: Jamf kann Windows-Endgeräte nicht verwalten. Wer gleichzeitig HP-Laptops mit Windows 11 und MacBooks mit macOS betreibt, braucht zwingend eine zweite MDM-Lösung. Das bedeutet zwei Verwaltungskonsolen, zwei Supportverträge und doppelten Konfigurationsaufwand für jeden Rollout, jede Richtlinienänderung, jeden Sicherheits-Patch.

Hinzu kommt das Preisniveau: Jamf Pro kostet je nach Volumen und Laufzeit typischerweise 9 bis 14 Euro pro Gerät und Monat. Bei 30 verwalteten Apple-Geräten sind das 270 bis 420 Euro monatlich — zuzüglich der Kosten für die Windows-MDM. Für Betriebe, die ohnehin Microsoft 365 einsetzen oder planen, ist diese Doppelstruktur kaum zu rechtfertigen.

Ein weiterer Gesichtspunkt: Jamf erfordert eigene Expertise. Die Plattform ist leistungsfähig, aber nicht trivial zu administrieren — insbesondere wenn Richtlinien, Scripts und ABM-Workflows zusammenwirken müssen. Für IT-Teams ohne dezidierte Apple-Spezialisierung ist der Lernaufwand erheblich.

Microsoft Intune: Die MDM-Plattform aus dem Microsoft-365-Ökosystem

Microsoft Intune ist die MDM- und MAM-Plattform (Mobile Application Management) aus dem Microsoft-Cloud-Portfolio. Intune ermöglicht die zentrale Verwaltung von Konfigurationen, Sicherheitsrichtlinien, Apps und Compliance-Anforderungen für Windows, macOS, iOS und Android — alles über ein einziges Admin-Center im Browser.

Der entscheidende Unterschied zu Jamf: Intune ist in Microsoft 365 Business Premium (ab 22 Euro/Nutzer/Monat) bereits enthalten. Wer diese Lizenz ohnehin nutzt, aktiviert Intune ohne Aufpreis und ohne separaten Vertrag. Selbst wer noch auf Microsoft 365 Business Standard ist, zahlt für das Upgrade auf Business Premium rund 8 Euro mehr je Nutzer und Monat — und erhält damit MDM für alle Plattformen, Microsoft Defender for Business und weitere Enterprise-Features.

Intune arbeitet direkt mit Microsoft Entra ID (früher Azure Active Directory) zusammen: Geräte, die in Entra ID registriert oder Azure-AD-joined sind, erhalten automatisch die zugewiesenen Richtlinien. Neue HP-Laptops werden über Windows Autopilot bei der ersten Einschaltung vollautomatisch konfiguriert — ohne manuelle Vorkonfiguration durch das IT-Team. Apple-Geräte werden analog über Apple Business Manager automatisch enrolled.

Compliance-Richtlinien prüfen kontinuierlich, ob ein Gerät die Sicherheitsanforderungen erfüllt: aktuelles Betriebssystem, aktive Festplattenverschlüsselung, kein Jailbreak. Nicht-konforme Geräte werden über Conditional Access automatisch vom Zugriff auf Unternehmensdaten gesperrt — direkt integriert in Entra ID, ohne zusätzliche Konfigurationsebene. Mehr zu Microsoft 365 Business Premium und den enthaltenen Funktionen.

Gemischte Geräteparks: Windows, macOS, iOS und Android unter einer Oberfläche

Der zentrale Vorteil von Intune für KMU mit heterogener Hardware ist die plattformübergreifende Einheitlichkeit: alle Endgeräte, alle Betriebssysteme, alle Sicherheitsrichtlinien in einem Dashboard.

Windows-Geräte (HP-Laptops, Desktop-PCs) werden nativ verwaltet — mit Konfigurationsprofilen, automatischen Update-Richtlinien über Windows Update for Business und Zero-Touch-Onboarding über Windows Autopilot. Intune kann den Rollout von Feature-Updates phasenweise steuern und verhindert damit ungewollte Upgrades auf nicht-getestete Windows-Versionen.

macOS-Geräte werden über einen Intune-Agenten und MDM-Profile verwaltet: Softwareverteilung via Apple Business Manager, FileVault-Verschlüsselung, Systemrichtlinien und Compliance-Prüfung. Die Tiefe ist bei sehr spezifischen macOS-Enterprise-Konfigurationen etwas geringer als Jamf Pro — für typische KMU-Szenarien mit 10 bis 50 Macs ist sie vollständig ausreichend.

iOS- und Android-Geräte werden entweder vollständig verwaltet (Corporate-owned) oder nur auf App-Ebene kontrolliert. Im BYOD-Szenario schützt Intune Unternehmens-Apps auf privaten iPhones per MAM-Richtlinie, ohne Enrollment des Geräts. Das IT-Team erhält Kontrolle über Firmendaten, ohne Zugriff auf private Fotos, Nachrichten oder Anwendungen — DSGVO-konform und für Mitarbeitende deutlich akzeptabler als eine vollständige Geräteverwaltung.

Das Ergebnis: Ein Unternehmen mit 20 Windows-PCs, 10 Macs und 30 iPhones sieht in Intune alle Geräte, alle Compliance-Zustände und alle Richtlinienstatus in einer Oberfläche — ohne Systemwechsel, ohne doppeltes Reporting. Mehr zur Umsetzung unter Geräteverwaltung mit Microsoft Intune.

Intune vs. Jamf: Ein direkter Vergleich für KMU

Für die Entscheidung zwischen Microsoft Intune und Jamf Pro sind diese Kriterien ausschlaggebend:

• Windows-Verwaltung: Intune verwaltet Windows-PCs nativ und vollständig. Jamf bietet keine Windows-MDM-Funktionalität — ein zweites Tool ist zwingend erforderlich.
• macOS-Verwaltung: Jamf ist bei spezifischen macOS-Konfigurationen die tiefere Lösung. Intune deckt typische KMU-Anforderungen vollständig ab; nur bei sehr komplexen Apple-Enterprise-Deployments zeigt Jamf noch Vorteile.
• iOS und Android: Intune unterstützt beide Plattformen vollständig, inklusive MAM für BYOD-Geräte. Jamf konzentriert sich auf iOS; Android wird nur eingeschränkt unterstützt.
• Microsoft-365-Integration: Intune und Entra ID sind ein System — Conditional Access, App-Richtlinien und Compliance greifen direkt ineinander. Jamf erfordert separate SAML- oder API-Konfiguration für Microsoft-Dienste.
• Verwaltungsaufwand: Eine Konsole für alle Plattformen (Intune) reduziert den Schulungs- und Administrationsaufwand gegenüber zwei parallelen MDM-Systemen erheblich.
• Preis: Intune ist in Microsoft 365 Business Premium enthalten. Jamf Pro kostet zusätzlich 9–14 Euro pro Gerät und Monat.
• Zero-Touch-Enrollment: Intune unterstützt Windows Autopilot (Windows) und Apple Business Manager (Apple). Jamf unterstützt nur ABM für Apple-Geräte.

Zusammenfassung: Für reine Apple-Flotten bleibt Jamf die tiefste Lösung. Für gemischte IT-Landschaften in Microsoft-365-Umgebungen ist Intune die wirtschaftlichere und verwaltungsärmere Wahl.

Was kostet Microsoft Intune im Vergleich zu Jamf?

Ein direkter Kostenvergleich für einen typischen Betrieb mit 25 Nutzern und gemischtem Gerätepark (20 Windows-PCs, 15 Macs, 20 iPhones):

Szenario A — Jamf Pro plus separate Windows-MDM:

• Jamf Pro (35 Apple-Geräte): ca. 12 Euro/Gerät/Monat = 420 Euro/Monat
• Separate Windows-MDM (20 PCs): ca. 4 Euro/Gerät/Monat = 80 Euro/Monat
• Gesamtkosten MDM: ca. 500 Euro/Monat = 6.000 Euro/Jahr

Szenario B — Microsoft 365 Business Premium mit Intune:

• M365 Business Premium (25 Nutzer): 22 Euro/Nutzer/Monat = 550 Euro/Monat
• Intune-Kosten: 0 Euro (im Lizenzpaket enthalten)
• Enthaltene Leistungen: Exchange, Teams, SharePoint, Defender for Business, Azure AD Premium P1
• Zusatzkosten für MDM: 0 Euro

Falls der Betrieb derzeit Microsoft 365 Business Standard nutzt, kostet das Upgrade auf Business Premium 8 Euro/Nutzer/Monat — für 25 Nutzer also 200 Euro/Monat oder 2.400 Euro/Jahr. Damit ist Intune immer noch deutlich günstiger als die separate Jamf-Lizenz von 500 Euro/Monat.

Der Amortisationszeitraum für die Migrationsinvestition: Bei einem typischen Migrationsprojekt von 3.000 bis 7.000 Euro sind die eingesparten Jamf-Lizenzkosten innerhalb von 6 bis 14 Monaten eingefahren.

Von Jamf zu Intune: Migration in drei Phasen

Der Wechsel von Jamf zu Intune ist technisch etabliert. Für typische Mittelstandsumgebungen mit 20 bis 50 Apple-Geräten rechnet implec mit 4 bis 8 Wochen von der Planung bis zur vollständigen Migration.

Phase 1 — Bestandsaufnahme und Planung: Inventarisierung aller Jamf-registrierten Geräte, aktiver Konfigurationsprofile und Scripts. Apple Business Manager mit Microsoft Entra ID verknüpfen. Konfigurationsprofile, App-Richtlinien und Compliance-Vorgaben in Intune abbilden — nicht alle Jamf-Scripts laufen 1:1, plattformspezifische API-Unterschiede müssen vorab identifiziert werden.

Phase 2 — Pilotbetrieb: Migration von 5 bis 10 Geräten als kontrollierter Pilot. Typische Stolperstellen: MDM-Profile, die sich gegenseitig blockieren, oder Apps mit abweichenden Bundle-IDs. Jamf bleibt in dieser Phase parallel aktiv.

Phase 3 — Rollout und Decommission: Abteilungsweiser Rollout, bis alle Geräte in Intune stabil laufen. Nach mindestens zwei Wochen stabilem Betrieb wird Jamf abgeschaltet, der Lizenzvertrag zum nächsten Termin gekündigt.

Der Vorteil dieser phasenweisen Vorgehensweise: Endnutzer merken kaum etwas vom Wechsel. Die neue MDM-Lösung konfiguriert sich auf den Geräten im Hintergrund; nur eine kurze Enrollment-Anfrage erscheint auf dem Display.

Wann ist Intune die richtige Wahl — und wann bleibt Jamf sinnvoll?

Intune ist die richtige Wahl, wenn:

• Das Unternehmen eine gemischte IT-Landschaft aus Windows- und Apple-Geräten betreibt
• Microsoft 365 bereits im Einsatz ist oder geplant wird
• Das IT-Team den Verwaltungsaufwand reduzieren will (eine Konsole statt zwei)
• BYOD-Szenarien mit Datenschutztrennung relevant sind
• Conditional Access und Zero-Trust-Architektur angestrebt werden

Jamf bleibt sinnvoll, wenn:

• Ausschließlich Apple-Geräte (Mac, iPhone, iPad) verwaltet werden — ohne jeden Windows-PC
• Sehr tiefe, Apple-spezifische Konfigurationen benötigt werden (komplexe Custom-Scripts, proprietäre Apple-Enterprise-APIs)
• Die Unternehmensstruktur keine Microsoft-365-Abhängigkeit aufbauen will

Fazit zu MDM für gemischte Geräteparks: Wer heute neu entscheidet, landet für Windows-Apple-Mischumgebungen fast immer bei Intune — allein schon durch die enthaltene M365-Lizenz. Wer von Jamf wechseln will, findet in Intune eine vollwertige Alternative mit schnellerem ROI und weniger Verwaltungsaufwand. implec begleitet als Microsoft-Intune-Partner den gesamten Wechsel — von der Bestandsaufnahme bis zur vollständigen Gerätemigration.