Die sog. freie Wahl: „kostenfreie“ Zwangsbeglückung oder Lizenzwirrwarr mit erheblichen Nebenkosten

Microsoft fährt gerade durch die Lande und erklärt allen Kunden, die ein entsprechendes Enterprise-Agreement haben, dass sie sich den Einsatz eines anderen Systems für das Betreiben ihrer sicheren Umgebung für die Anbindung und den Betrieb ihrer Smartphones und Tablets sparen könnten, denn sie hätten Intune ja bereits bezahlt. Nun stimmt das meist nicht so ganz, denn in den gerade im Mittelstand weit verbreiteten Lizenztypen sind die Intune-CALs gar nicht enthalten. Wer sie haben will, darf mit 6$ je User und Monat recht tief in die Tasche greifen. Dafür bekommt man bei den technologieführenden Wettbewerbern aus dem UEM/EMM-Markt Äquivalentes und zugleich technisch Gehaltvolleres (inkl. mobilem VPN, was bei Intune völlig fehlt und extra kostet) zu geringeren nicht unerheblich geringeren Kosten.

UEM versus Intune: Warum das ein Vergleich von Äpfeln mit Birnen ist

Wer also Intune inkludiert haben will, muss schon die teureren Lizenzen Microsoft365 E3 oder auch Microsoft365 E5 erwerben. Aber selbst dann fehlt für den sicheren Betrieb noch eine ganze Menge, welches wieder Zusatzkosten auslöst, wie wir weiter unten sehen werden.

Und wenn Microsoft es gerade nicht selbst tut, dann tummeln sich viele seiner Partner, die alle den vollen Durchblick in Sachen Enterprise Mobility haben, weil sie sich mit diesem Thema bereits seit Jahrzehnten intensiv beschäftigen (tun sie nicht, aber so ein Smartphone sicher zu managen, das kann doch kein großes Problem sein). Daher verschweigen sie mangels Kenntnissen sehr häufig, dass man eine sichere Verbindung ins Unternehmens-Netzwerk (andere MDM-Lösungen bieten hier z.B. VPN-Möglichkeiten oder Container-gesicherte Verbindungen in Unternehmens-LAN an) bei Microsoft vergebens sucht.

Dem wird gern entgegnet, dass man nun schließlich ebenfalls einen Container anbiete, der die Sicherheit des Endgerätes erhöhe und einen verschlüsselten Weg zu den internen Ressourcen biete. Schließlich gebe es noch AIP (Azure Informationen Protection) für den Security affinen Kunden. Auch setzt Intune als MDM Informationen in der Cloud voraus. Die Architektur löst im zweiten Schritte immer eine ganze Latte von Security-Fragen aus, deren Auflösung wieder einen Griff in den Geldbeutel bedeutet. Aber eben erst beim genaueren Hinsehen erkannt werden kann, wenn die schönen Powerpoints der harten Wirklichkeit weichen.

Günstig und sicher geht also anders. Aber das erfährt der Kunde meist erst hinterher, wenn der Deal abgeschlossen ist.

Nun hat Microsoft bei den höherwertigeren Lizenzen, die meist größere und sehr große Kunden erwerben, sehr häufig mit einen Private Azure Tenant veredelt, damit es richtig ins Geld geht,  in einem recht: Intune ist in solchen Umgebungen tatsächlich „bereits bezahlt“, was aber nicht daran liegt, dass die Kunden gefragt worden wären, ob sie es denn haben wollen. Richtig ist vielmehr, dass Microsoft den Kunden in diesem Falle gar keine Wahl lässt, sich anders zu entscheiden. Es handelt sich also um eine sog. Zwangsbeglückung, die dadurch unterlegt wird, dass der sichere Zugriff auf die mobilen Office-Apps nur dann funktioniert, wenn Gerät und User im Intune angelegt werden. So kann man Wahlfreiheit und Kundenautonomie auch verstehen.

Kunden, die sich für den Intune-Weg entscheiden, werden im zweiten Schritt feststellen, dass das Versprechen der Kostenlosigkeit sich eigentlich immer rasch in Luft auflöst, wenn die Fragen der Geräte- und der Datensicherheit aufgerufen werden – dann wenn Governance und Corporate Security, auf gut deutsch: die Experten für Datensicherheit und- schutz unter die Schicht der schönen Bilder und Worte geschaut haben. Auf einmal sind nämlich fast immer zusätzliche Lizenzen rund um die AIP (Azure Information Protection) fällig, deren Volumen jedes klassische UEM System mehrfach in den Schatten stellt. Und damit’s richtig passt eben auch Drittsoftware, deren Notwendigkeit zuvor klein- oder weggeredet wurde.

Wer Licht ins Lizenzdunkel bringen will, dem empfehlen wir hier nachzuschauen und sich im Zweifel von jemandem, der die Sache unabhängig betrachtet, beraten zu lassen. Sind die Verträge erst unterschrieben und die Daten migriert, ist das Aufwachen in der Regel ziemlich beim Umsetzen in die betriebliche Praxis recht teuer.

Über den Wert der Gartner-Reports im Allgemeinen und des UEM-Reports im Speziellen.

Nun ist es so, dass der neue Gartner UEM Quadrant aus dem Jahr 2019 Microsoft zu den Leadern zählt, also dort positioniert, wo die wirklichen Technologiechampions sich nach der Lesart vieler CIOs befinden müssen, um als Lieferant akzeptabel zu sein. Für dieses „Gartnering“ investieren alle Hersteller, die berücksichtigt werden, eine ziemlich große Stange Geld. Wenn man nicht im Perimeter der Analysten auftaucht, findet man nicht statt. Nicht nur im Bereich Enterprise Mobility sehen die wirklichen Experten, die also, die täglich damit zu tun haben, die Sache sehr anders als das die mit der Bewertung befassten Analysten tun.

Tatsache ist, dass es Microsoft im Rahmen ihrer Cloud Initiative irgendwie gelungen ist, im Leader-Quadranten zu landen. Vielleicht dadurch, dass die Lizenzen über das Bundling in den Markt gedrückt waren und an die Analysten berichteten Zahlen diese beeindruckt haben. Jedenfalls beginnen jetzt viele der großen Kunden mit Hilfe der oben ausgeführten Argumente Intune einzusetzen. Dass sie im Bericht als Leader bedeutet demnach nicht, dass die Lösung tatsächlich technologisch führen ist.

Nach wie vor hat Intune beim Management von Zertifikaten große Schwächen. Ebenso kann der sichere Betrieb von Android basierten Endgeräten nicht an den Möglichkeiten der anderen technologieführenden Produkte heranreichen. Ebenso sind Intune und 2FA/MFA wie Feuer und Wasser, was den Betrieb, die Implementierung und das Roll-out der Endgeräte angeht. Allein um letzteres Problem aufzufangen, bedurfte es bei größeren internationalen Kunden, für die wir kürzlich eine Untersuchung Intune vs. ein marktführendes UEM abgeschlossen haben, einen Personalaufwand von 3 FTEs nötig, was dazu geführt hat, dass allein durch zusätzlichen Personalausgaben die kompletten TCO des bisherigen UEM Systems gleich mehrfach überschritten wurden. Leider kommen diese Aufwände aus einem anderen Topf als die Lizenzen.

Nun ist in der Tat zu erwarten, dass die Schwäche beim Management der Android-Geräte in der kommenden Zeit nach und nach ausgebügelt werden wird. Das liegt schon deshalb auf der Hand, weil die Surface-Fraktion bei Microsoft neue Surface-Formfaktoren mit Android vorgestellt hat. Dabei wurde klar formuliert, dass Android im Bereich der kleineren Formfaktoren sicherlich Windows 10 ergänzen werde bzw. ablösen. Microsoft liebt inzwischen Linux, wie wir wissen, und zwar nicht nur für Cloud-Umgebungen, auch auf mobilen Endgeräten? Wann wohl die Arbeitsstation und der Laptop fallen?

Der Kampf der IT-Architekturen

Wer sich auf Cloud-basierte Vollversorgung durch Microsoft einlässt, muss sich dessen bewusst sein, dass diese Entscheidung einen Paradigmenwechsel für den IT-Betrieb beinhaltet. Es ist schon ziemlich verwunderlich, dass diese Fragestellung und ihre Konsequenzen bisher so wenig thematisiert worden sind. Niemand bestreitet, dass es enorm schwierig ist, die von Microsoft angebotenen IT-Services zu den gleichen oder geringeren Kosten mit der gleichen Qualität selbst zu produzieren. Allenfalls Google und Amazon kommen jeweils in Segment mithalten.

Dass es diesen Vorteil geben kann, ist rechenbar. Die Frage ist, ob man damit die Seiteneffekte berücksichtigt, die diese Art der IT für eine Organisation und ihren IT-Betrieb mit sich bringt, deren monetäre Bewertung nicht ganz so leichtfällt.

Die Fokussierung auf den User als zentralem Objekt der IT und der Zentrierung der kompletten Rechtestruktur in transparenter Durchgängigkeit hat unbestritten viele Argumente für sich. Die Zentralisierung der Administration führt jedoch zugleich dazu, dass das Gesamtsystem außerordentlich fehlerintolerant wird. Es verzeiht keine falsche Einstellung von Rechten und nicht die kleinste Fehlkonfiguration. Die Folgen einer inkrementell kleinen Veränderung können daher drastisch und dramatisch sein, und es ist so gut wie unmöglich, technisch durch Vorkehrungen zu vermeiden, dass eine Fehlkonfiguration an einer Stelle nicht einen ganzen Rattenschwanz von unbeabsichtigten Nebeneffekten und deren Folgen nach sich zieht.

Das führt zwangsweise dazu, dass nicht wie früher die Betriebs- und Administrationsverantwortung für einzelne Gewerke, hier wäre das der Betrieb der sicheren mobilen Umgebung mit allen ihren Aufgabenstellungen, auf entsprechend geschulte Fachleute wie komplett delegiert werden kann. Deren Arbeiten haben, wenn sie in einer separaten Umgebung laufen, i.d.R. keine Fernwirkungen auf beispielsweise Administration und Betrieb von Datenbankservern oder die Benutzerverwaltung im AD. Es gibt im Betrieb nach Gewerken saubere Übergabepunkte und Schnittstellen, in denen eine Interaktion bzw. Zusammenarbeit erforderlich wird, die sich aber in der Regel auf klar umrissene Einmalaufgaben beschränkt und geplant und sauber mit Abnahmen und klaren Verantwortungsgrenzen- und zuordnungen umsetzen lässt.

Wer Microsoft Cloud einsetzt, muss ganz schnell umdenken, denn dort fehlt diese Fehlertoleranz in der Archtiktur. Es gibt allerdings auch den Mittelweg, sich zu entscheiden, nur die Standarddienste wie Excel, Office, SharePoint und den Betrieb des AD in die Cloud zu geben. Dann könnte man das Beste von zwei Welten zusammenbringen – und wie erhofft tatsächlich Geld sparen, ohne die Beweglichkeit und Agilität für die Herausforderungen von morgen aufzugeben. Einige Überlegungen über das Weshalb und Warum folgen in den nächsten beiden Abschnitten.

Ohne KI kann Office365 eigentlich nicht vernünftig betrieben werden

Nicht umsonst geistert durch die Cloudification Debatte gleichzeitig eine geradezu unheimliche KI-Hoffnung. Das hat damit zu tun, dass die Empfindlichkeit des Systems auf Fehler durch den Betrieb zwar durch rigoroses und striktes Changement und durch penibelste Dokumentation etwas eingehegt, aber nicht ausgeräumt werden kann. Es gibt eben „Fehler im System“, die man nicht durch gute Organisation und beste Qualifikation der Mitarbeiter aussteuern kann. Denn selbst wenn man davon ausgeht, dass Microsoft Patching und Weiterentwicklung in höchster Präzision und Verantwortung erledigt, haben Systeme Fehler, weil sie Menschenwerk sind. Daher sind manchmal At-Hoc-Changes durchzuführen, die man nicht einem klassischen Risiko Assessment vor der Umsetzung unterwerfen kann. Und dann hat man den Salat, wenn man Pech hat.

KI kann – und wird in der Zukunft verstärkt – in Rechenzentren und in den Cloud-Administration Abhilfe schaffen. Sie verringert das Risiko des menschlichen Faktors, und darum geht es in diesem Fall wesentlich. Warum Microsoft bei der Cloudnutzung in der Public Cloud die Firewalls ihrer Kunden in eine Art Schweizer Käse verwandelt? Ganz einfach: Künstliche Intelligenz (KI oder englisch: AI) hat einen riesigen Datenhunger. Und irgendwie muss der Hersteller ja lernen, wie die Systeme genutzt und administriert bzw. betrieben werden. Und wir, die wir seine Cloud-Dienste nutzen, liefern die Basisdaten dafür gleich freiwillig-unfreiwillig mit. Abschalten kann man das Mitplotten des Herstellers mit einer Private Cloud und dort den richtigen Einstellungen.

Es steht außer Frage, dass KI in der Lage ist, die Auswirkungen von Konfigurationseinstellungen bereits zu ermitteln, bevor sie scharf geschaltet werden, und den Administrator mit Vorschlägen und Warnungen vor der Aktivierung seines Vorhabens unterstützen kann. Wenn dieses Level einmal erreicht ist, darf der Administrator aber davon ausgehen, dass das System ihn nach und nach überflüssig macht und dem Kunden eine Art Autopilot für seine Cloud-Umgebung bereitstellt, deren Betrieb nun eben auf einer Metaebene gesteuert wird. Es wird dann nicht mehr nötig sein, dass Kunden eigene Spezialisten haben. Auch hier frisst die Revolution am Ende möglicherweise ihre Kinder.

Wer eine agile Organisation will, sollte sich wirklich Gedanken machen

Fehlertolerante oder besser: fehlerresiliente Systeme haben in aller Regel keinen zentralistischen Ansatz, in dem es zu Single Point of Failure Situationen kommen könnte. Office365 fährt exakt diesen zentralistischen Ansatz und erwartet die besten aller Welten, nämlich eine by-the-book Umgebung, am besten genauso, wie es sich die Microsoft Ingenieure auf dem Reißbrett ausgedacht haben. Jede Abweichung von dieser Norm führt umgehend zu einer nachhaltigen Verkomplizierung der Umgebung und zu intransparenten Umgebungen, deren Management nur noch mit sauberster Dokumentation und striktestem Changement möglich ist, will man jederzeit einen stabilen Betrieb aufrechterhalten.

Es ist die Natur von Umgebungen für sicheres mobiles Arbeiten, agil sein zu müssen. In diesem Segment der IT ist die kurzfristige und nicht planbare Veränderung die Regel. Der Wandel ist der Zustand, der Administration, Management und Betrieb von mobilen Endgeräten im professionellen Umfeld mit seinem wahnsinnig schnellen Technologiewechsel und seinen ständig steigenden Anforderungen an Datenschutz und Datensicherheit geradezu bedingt. Starre Strukturen, die Changes verzögern und teilweise ausbremsen, sind nicht nur suboptimal, sie können eine Organisation im Falle einer Bedrohung der Datensicherheit regelrecht gefährden und dazu führen, dass Compliance und Datenschutzregulierungen nicht eingehalten werden.

Auch die Organisationen verändern sich immer schneller und häufig grundlegend

Bei unseren Kunden stellen wir immer mehr fest, dass Carving-in und Carving-out-Strategien bis in den großen Mittelstand Einzug halten. Für die IT und deren Betrieb liegt darin eine echte Herausforderung, die unflexible Umgebungen eigentlich verbietet. Besonders im Gewerk UEM/EMM stoßen wir immer wieder darauf, dass die falsche Umgebung zu großen Schwierigkeiten führen kann.

Darüber hinaus verschwimmen Organisationsgrenzen mehr und mehr. Die Integration von Lieferanten, Kunden und Geschäftspartnern in die mobilen Geschäftsprozesse verlangt Umgebungen, die diese Art von Workflows sicher und stabil bereitstellen können.

Die Frage, ob der Schnelle den Langsamen oder der Große den Kleinen frisst, ist im Zeitalter der Disruption der Geschäftsmodelle keine Frage mehr. Organisationen müssen schnell sein, um neue Geschäftsmodelle zu entwickeln und adaptieren zu können. Starre Strukturen stehen dem im Weg und können effektive Wettbewerbsnachteile werden.

Vergleiche müssen unternehmenskritische Prozesse und ebensolche Use Cases als Basis haben

Wenn es darum geht, Lösungen für das sichere mobile Arbeiten zu vergleichen, sind unsere Erfahrung nach Softwarelizenzkosten eher nebensächlich und eine Randerscheinung bei den notwendigen TCO-Betrachtungen. Sie sind aber natürlich für das Management am leichtesten greifbar und daher meist der Anlassgeber eines Vergleichs UEM gegen Intune. Wie wir bereits weiter oben ausführten, erwachsen aus den Praxisanforderungen sehr häufig zusätzliche Anforderungen an die Lizensierung. Es reicht nicht aus, mit der Bemerkung ein laufenden UEM System abzuschalten, man würde damit die kompletten Lizenzen einsparen. Das greift zu kurz und kann ein teurer Spaß werden.

Es hat sich bei der Spiegelung gegen die Realität immer wieder gezeigt, dass ein Enterprise Agreement Level 3 nicht ausreicht, dass Level 5 eingekauft werden oder aber Einiges an Erweiterungen beschafft werden muss, um die Anforderungen abzudecken. Manchmal reicht nicht einmal das aus, und es müssen rund um AIP weitere Services beschafft werden. Schon da kann es passieren, dass der reine Vergleich der Lizenzkosten bei Erfassung aller EA Erweiterungen am Ende für das alte UEM System spricht.

Wegen des raschen Technologiewandels ist es häufig äußerst hilfreich, ein Testbett zu haben, um Konfigurationen zu testen. Selbst mit einem separaten zweiten Private Tenant, dessen Kosten nicht unerheblich sind, lassen sich bei Microsoft Cloudumgebungen nicht einfach Konfigurationen per Kopie übernehmen. Sie müssen vielmehr Punkt für Punkt am offenen Herzen des nachgezogen werden, mit dem Risiko, dass inzwischen neuen Konfigurationen seitens der AD Spezialisten erfolgt sind, die den ganzen Test obsolet gemacht haben.

Es hat sich in vielen Fällen gezeigt, dass selbst Standardprozesse des Gerätelebenszyklus mit Intune erheblichen Mehraufwand produzieren und die Automatisierbarkeit mehr oder minder eingeschränkt ist. Hier wird erkennbar, dass die markt- und technologieführenden EMM/UEM-Systeme in der Praxis gereift sind und damit einen erheblichen Vorteil in den Bereichen Betrieb, Administration und Management bieten. Bis Intune an diese Praxistauglichkeit herankommt, wird noch eine etwas längere Zeit ins Land gehen.

Wie man vorgeht, damit ein den projekt- und kundenspezifischen Anforderungen entsprechendes Resultat bei der Untersuchung entsteht

Neben der Ermittlung von 5 bis 10 kritischen Use Cases aus Betrieb der EMM/UEM Umgebung und weiteren kritischen Geschäftsprozessen, die mit der aktuellen Umgebung umgesetzt worden sind, ist es notwendig, sowohl für die laufende Umgebung als auch für die zukünftige Intune-Implementierung eine TCO-Kalkulation aufzustellen, die alle Kosten, auch die versteckten, aufbereitet, und damit eine transparente Entscheidungsbasis bereitstellt. Man muss dabei beachten, dass die Intune-Umgebung durch ihre Integration in die Administration von Azure Tenant und Office365 nicht getrennt davon gesehen werden kann. Dadurch bestehen technische Abhängigkeiten, die dazu führen, dass sich in vielen Fällen die Lizensierungsinhalte des Enterprise Agreements ändern werden und damit in den bisherigen Betrachtungen nicht erkannte versteckte Lizenz- und damit auch Betriebskosten ergeben.

In einigen der aktuellen Projekte wurde zudem festgestellt, dass hybride Umgebungen mit ihren unterschiedlichen Releaseständen sogar dazu führen können, dass Intune gar nicht wie geplant eingesetzt werden kann, bevor nicht bestimmte Altsysteme völlig abgeschaltet sind. Es ist ganz generell erkennbar, dass der Hersteller Microsoft gerne alles in der Cloud-Umgebung haben möchte, alle anderen Umgebungen also Krückenlösungen und Verbiegungen erfordern, die die Komplexität beliebig erhöhen und die Betriebskosten nicht unerheblich erhöhen können.

Auch Anforderungen wie die komplette Umsetzung der Vorgaben der DSGVO führen unweigerlich dazu, dass die Umgebung nicht mehr der Idealauslegung entspricht, die die Ingenieure des Herstellers bei der Architektur von Azure und Office365 hatten. Daraus ergibt sich, dass in solchen Fällen nicht mehr by-the-book eingerichtet werden kann und das System zusätzliche Komplexitätsaspekte erhält, die der Microsoft Cloud Administrator, dem ein Abweichen vom Standard eigentlich nie gefällt, nicht gerne sieht. Dementsprechendes findet man vor, wenn man dann solche Vergleichsprojekte durchführt: Die Umgebung ist oft nicht mehr so richtig nach Standard, aber eben auch nicht so ganz nach DSGVO, weil sonst nämlich das eine oder andere nicht mehr fluffig bequem und einfach funktioniert, wie es die Fachabteilung gerne hätte. Und Microsoft der Geschäftstleitung im Vorfeld der Beschaffung blumig versprochen hat.

Ebenso findet man oft heraus, dass vorhandene weit verbreitete zertifikatsbasierte Access-Management-Lösungen auf einmal nicht mehr genutzt werden können. Damit geraten dann Investitionen in so Nebenkriegsschauplätze wie sicheres W-LAN und das automatische Einbuchen der mobilen Endgeräte in die dieselben in den Fokus, die einen wahren Rattenschwanz an zusätzlichen Arbeiten und Kosten genieren würden. Wir raten nicht umsonst immer, dem Grundsatz „Bedenke das Ende“ gerade bei der IT-Beschaffung zu folgen. Halbes und Halbgares rächen sich bitter – und teuer.

UEM versus Intune im Betrieb

Grundsätzlich lässt sich eine mobile nullachtfünfzehn Umgebung mit Intune betreiben. Aber wer hat das schon bei sich. Und selbst dann hakelt es schon bei den Standard-Use Cases wie Geräteprovisionierung, -umzug und -deprovisionierung. Das geht bei den anderen markt- und technologieführenden Systemen besser. Immer dann, wenn Anforderungen gestellt werden, die weniger „üblich“ sind, genannt seien MFA, Rollout von Zertifikaten oder W-LAN-Konfigurationen, Verteilung von Apps etc.,  treten mehr oder minder großen Einschränkungen und Mehraufwände in den Prozessen zu Tage, die sich beim Einsatz von Android-Geräten zu echten Kopfschmerzen ausweiten können.

Man kann es kurz wie folgt zusammenfassen: Wenn ein Kunde iOS-Geräte einsetzt, komplett auf Microsoft-Technologie setzt und nur die PIM-Funktionalität verwendet, steht einer Migration nach Intune nur entgegen, dass man sich fragen muss, ob es vernünftig ist, in der IT eine Single-Vendor-Strategie zu fahren und sich somit in die totale Abhängigkeit einer Architektur zu begeben, die die oben dargelegten Schwächen als DNA mit sich herumträgt. Spätestens wenn es um die Einführung mobiler Workflows geht, wird es schon schwierig-

Was mich immer wieder überrascht, war die Tatsache, dass unsere Spezialisten die Intune- und die AD- und anderen Konfigurationen beim Kunden geradeziehen mussten, die man für den professionellen Betrieb einer sicheren mobilen Umgebung mindestens benötigt. Das galt selbst dann, wenn der Hersteller selbst seine Experten dazu ausrücken ließ, die beim Kunden nachher unverrichteter Dinge und ohne Testergebnis wieder abrückten. Man sollte also am Ende doch die seine Systeme von Dienstleistern installieren und konfigurieren lassen, die nachgewiesenermaßen etwas davon verstehen, weil sie sich seit Jahren nur damit -und das jeden Arbeitstag im Kundeneinsatz – beschäftigen.

Wer aber eine agile mobile Infrastruktur braucht, in anderen Weltregionen Android- statt iOS-Geräte einsetzt und sogar auf Ruggadized- und Ex-Schutz-Geräte angewiesen ist, die immer mit Android laufen, sowie in bestimmten Einsatzfeldern weiterhin Drittanbieter verwenden will, der sollte sich ernsthaft überlegen, vorerst wenigstens bei seinem bestehenden System zu bleiben, weil er am Ende damit – trotz behaupteter unnötiger Lizenzen – am Ende sogar wirtschaftlicher und beinahe immer besser fährt. Manchmal liegt das Gute so nah, dass man es fast übersieht. Das gilt vielleicht auch in diesem Fall der UEM Systeme eher mehr als weniger.

Der Artikel – erschien gekürzt und bearbeitet in Channelpartner