Diese Referenz erklärt jeden Status, den du auf der Compliance > Compliance-Probleme-Seite antreffen kannst: was das Gerät tatsächlich meldet, die Ursachen dafür unter macOS und Windows und wie du es beheben kannst. Um auszuwählen, welche Status Probleme auslösen, siehe Konfiguriere die Einstellungen für Compliance-Probleme; für den Triage-Workflow selbst siehe Triage die Liste der Probleme.

Mobile Plattformen (iOS, iPadOS, Android) und Linux werden durch eine Teilmenge dieser Regeln abgedeckt — siehe Unterstützte Plattformen für das, was wo gilt.

Wie Factorial IT entscheidet, dass ein Gerät nicht konform ist

• Jedes Mal, wenn ein Gerät synchronisiert, führt Factorial IT jede Compliance-Regel erneut aus und berechnet einen Status pro Regel — es gibt keinen separaten Scan.
• Ein Gerät löst ein Problem nur aus, wenn sein aktueller Status einer ist, den du auf dem Compliance > Einstellungen für Compliance-Probleme festgelegt hast. Ein auf Aus gesetzter Status löst niemals etwas aus.
• Probleme werden automatisch beim nächsten Sync behoben, sobald sich der Status verbessert. Es gibt keine manuelle Bestätigung oder Schließung.

Siehe Compliance-Übersicht für das vollständige Bewertungsmodell.

Stale Daten zuerst ausschließen

Ein Compliance-Status ist ein Snapshot vom letzten Sync des Geräts. Bevor du ein Problem als echte Verletzung behandelst, überprüfe, ob die Daten veraltet sind:

Registrierungsstatus

Eine globale Regel, die auf jedes verwaltete Gerät zutrifft. Sie überprüft, ob das Gerät vollständig registriert ist und ob der MDM-Agent weiterhin mit dem Server kommuniziert.

Warum Geräte aus der Registrierung driftet

Ursachen, die für beide Plattformen gelten:

• Der/die Mitarbeiter/in hat nicht alle Schritte zur Registrierung abgeschlossen oder war nicht lange genug verbunden, um die Synchronisation abzuschließen.
• Der Agent wurde manuell deinstalliert oder ein Systemupdate oder Konfigurationsfehler hat die Installation beschädigt.
• Der osqueryd-Dienst, der vom Agenten verwendet wird, wurde gestoppt oder der Agent kann aufgrund von Berechtigungsproblemen nicht starten.
• Das Gerät befindet sich in einem Netzwerk, das den Zugriff auf den MDM-Server blockiert — ein Proxy oder eine Firewall unterbricht die Kommunikation. Siehe Netzwerkanforderungen.

macOS

• Ein Admin-Benutzer kann ein entsperrtes MDM-Profil aus den Systemeinstellungen entfernen. Das Gerät meldet dann MDM_OFF, obwohl der Agent möglicherweise weiterhin reagiert.
• Ein abgelaufenes oder widerrufenes APNs-Token verhindert, dass das Gerät sein Profil validiert — das Profil wird ungültig, ohne dass jemand das Gerät berührt.
• Eine turn off mdm-Aktion, die von der MDM-Serverseite ausgeführt wurde, entfernt die Verwaltung.
• Die Installation des Factorial IT-Agenten ist unvollständig — die häufigste Ursache für teilweise Registrierung unter macOS.

Windows

• Das Gerät ist noch in einem vorherigen MDM registriert und meldet MDM_ON_IN_ANOTHER_MDM — migriere es aus dem alten MDM, bevor du es erneut registrierst.
• Ein Proxy oder eine Unternehmensfirewall, die die Serververbindung blockiert, lässt einen installierten Agenten stumm (MISSING_AGENT).

Registrierungsprobleme beheben

• MISSING_AGENT — klicke im Gerätebereich auf die Schaltfläche für den Gerätestatus, um die Installation des Agenten aus der Ferne auszulösen. Wenn das fehlschlägt, bitte den/die Mitarbeiter/in, ihre Factorial IT-Registrierungsseite zu öffnen, ihr zugewiesenes Gerät auszuwählen und den Agenten herunterzuladen.
• MDM_ON_IN_ANOTHER_MDM — migriere das Gerät zuerst aus dem vorherigen MDM.
• MDM_OFF — bitte den/die Mitarbeiter/in, sich erneut zu registrieren. Du kannst dies automatisieren: setze in MDM > Einstellungen Automatische Abmeldung auf eine Offline-Verzögerung und aktiviere Einladen des Mitarbeiters zur erneuten Registrierung.

Erlaube bis zu 30 Minuten, damit sich der Status nach der Behebung aktualisiert. Vollständige Details: Registrierungsprobleme beheben.

Online-Status

Eine globale Regel, die verfolgt, ob das Gerät sich beim Server eincheckt.

Warum Geräte offline gehen

• Das Gerät ist ausgeschaltet oder im Schlafmodus — ein/e Mitarbeiter/in ist im Urlaub oder ein Ersatzgerät liegt in einer Schublade.
• Das Netzwerk blockiert die Verbindung des Agenten zum Server (VPN, Proxy, Firewall-Regeln). Siehe Netzwerkanforderungen.
• Der Agent läuft nicht mehr. Ein Gerät, das offline erscheint, während es aktiv von einem Mitarbeiter verwendet wird, deutet typischerweise auf einen fehlenden Agenten oder ein Netzwerkproblem hin, nicht auf ein tatsächlich offline befindliches Gerät — überprüfe das Problem mit dem Registrierungsstatus für dasselbe Gerät.

Online-Probleme beheben

Bestätige mit dem/der Mitarbeiter/in, ob das Gerät in Gebrauch ist. Wenn ja, behandle es als einen MISSING_AGENT-Fall (siehe oben). Wenn das Geräusch von kurzen Lücken kommt, löse Probleme nur bei Offline 7+ Tage aus.

Plattformunterstützung

Eine globale Regel, die das Betriebssystem des Geräts mit der Basislinie vergleicht, die Factorial IT als MDM-Signalquelle unterstützt. Ein Gerät, das unter dieser Basislinie liegt, kann sich nicht zuverlässig registrieren, Telemetriedaten melden oder Richtlinien einhalten — dieses Problem ist deine Upgrade-Liste.

MEETS_REQUIREMENTS ist der konforme Status. Die Regel bleibt stumm, bis das Gerät seine OS-Informationen gemeldet hat, sodass ein frisch registriertes Gerät niemals als unbekannt gekennzeichnet wird.

Plattformunterstützungsprobleme beheben

• BELOW_MINIMUM_VERSION — aktualisiere das OS. Die aktuellen Basislinien pro Plattform sind in Unterstützte Plattformen aufgeführt.
• UNSUPPORTED_OS_EDITION — aktualisiere die Edition, nicht nur die Version: siehe Windows Home-Einschränkungen und Upgrade auf Windows 11.

Verschlüsselung

Überprüft die vollständige Festplattenverschlüsselung: FileVault unter macOS, BitLocker unter Windows. Die Verschlüsselung ist standardmäßig nicht aktiviert — sie beginnt, wenn du die Steuerung für Festplattenverschlüsselung aktivierst, die global für registrierte Geräte gilt, sobald sie erstellt wurde.

ENCRYPTED ist der konforme Status. iOS- und iPadOS-Geräte melden immer ENCRYPTED — ihr Speicher ist von Natur aus hardwareverschlüsselt. Ein Windows Home-Gerät hebt keinen Verschlüsselungsstatus hervor: es kann BitLocker nicht ausführen und wird stattdessen unter Plattformunterstützung als UNSUPPORTED_OS_EDITION angezeigt.

macOS

• FileVault wird aktiviert, sobald die Steuerung für die Festplattenverschlüsselung auf das Gerät abzielt, aber die Verschlüsselung tritt erst nach dem nächsten Neustart in Kraft. Ein Mac, der sich nie neu startet, bleibt NOT_ENCRYPTED — bitte den/die Mitarbeiter/in, neu zu starten.
• Der Wiederherstellungsschlüssel wird innerhalb von 24 Stunden nach diesem Neustart verwahrt. Ein frisch verschlüsselter Mac, der MISSING_RECOVERY_KEY in diesem Zeitraum anzeigt, löst sich von selbst.
• Ein Mac, der vor der Registrierung verschlüsselt wurde, hat einen Schlüssel, den Factorial IT nie gesehen hat — die Verwahrung ist nicht rückwirkend. Der/die Mitarbeiter/in muss ihr Passwort eingeben, wenn sie dazu aufgefordert wird, damit ein neuer Schlüssel generiert und verwahrt werden kann (ACTION_REQUIRED).

Windows

• BitLocker beginnt mit der Verschlüsselung, sobald die Steuerung das Gerät erreicht, ohne dass ein Neustart erforderlich ist, und der Schlüssel wird sofort gespeichert, sobald die Verschlüsselung aktiviert wird. Ein Windows-Gerät, das auf NOT_ENCRYPTED festhängt, hat normalerweise einen Blocker, nicht eine Verzögerung.
• BitLocker benötigt ein funktionierendes TPM. Ein fehlendes oder firmware-deaktiviertes TPM lässt die Verschlüsselung nicht starten.

Steuerungsdetails: Festplattenverschlüsselung.

OS-Update

Überprüft, dass Geräte erforderliche OS-Updates bis zur von dir durchgesetzten Frist installieren.

UP_TO_DATE ist der konforme Status. Zwischen der Veröffentlichung eines Updates und seiner Frist bleibt das Gerät konform — NOT_UP_TO_DATE wird erst ausgelöst, wenn die Frist überschritten ist. Ein Gerät, dessen OS zu alt für Factorial IT selbst ist, ist ein Plattformunterstützungsproblem, kein OS-Update-Problem.

Warum Geräte bei Updates zurückfallen

• Die Frist zählt ab dem Datum der Verfügbarkeit des Updates, nicht ab dem Zeitpunkt, an dem du die Richtlinie konfiguriert hast. Das Aktivieren der Richtlinie auf einer Flotte, die ältere Versionen ausführt, kennzeichnet diese Geräte sofort — erwarte eine Welle von Problemen am ersten Tag.
• Wenig Speicherplatz blockiert das Update auf jeder Plattform, und keine von ihnen gibt automatisch Speicherplatz frei. Bei macOS 14+ sieht der/die Mitarbeiter/in eine Systembenachrichtigung; bei macOS 13 und früher erscheint das Nudge-Fenster immer wieder, während der Download fehlschlägt; bei Windows wird dem/der Mitarbeiter/in mitgeteilt, dass das Update fehlgeschlagen ist. Ein Administrator muss möglicherweise eingreifen.
• Das Gerät war ausgeschaltet, als die Frist ablief. Bei macOS 14+ wird das Update 1 Stunde nach dem Neustart geplant; bei Windows erhält der/die Mitarbeiter/in die konfigurierte Grace-Periode vor dem automatischen Neustart.
• Der/die Mitarbeiter/in verschiebt kontinuierlich innerhalb des erlaubten Fensters — der Druck steigt, je näher die Frist rückt (stündliche Benachrichtigungen 24 Stunden vorher, häufigere in der letzten Stunde).

Update-Probleme beheben

Bitte den/die Mitarbeiter/in, Speicherplatz freizugeben, wenn das der Blocker ist, und lass dann den Durchsetzungsfluss laufen — er eskaliert von selbst. Einzelheiten und den genauen Benachrichtigungszeitplan pro Plattform: Erzwinge die minimale OS-Version.

Endpoint-Schutz (SentinelOne, ThreatDown)

Verfügbar, sobald die entsprechende Integration verbunden ist. Überprüft, ob der Endpoint-Schutz-Agent installiert ist und meldet.

ACTIVE ist der konforme Status für beide Tools.

Warum Geräte als ungeschützt angezeigt werden

• Die Steuerung wurde gerade aktiviert — der Agent wird bei der nächsten Synchronisation auf dem Gerät installiert.
• Der Agent wurde lokal deinstalliert oder läuft nicht.
• Die Integration selbst ist veraltet. Die Dienstbenutzertoken von SentinelOne laufen ab; sobald das Token abläuft, stoppt die Synchronisierung und die Schutzstatus werden geräteübergreifend veraltet. Erstelle ein neues Token und kontaktiere unser Team, um es zu ersetzen. Siehe Erneue das Dienstbenutzer-Token.
• Das Gerät ist offline, sodass sein tatsächlicher Schutzstatus unbekannt ist.

Einrichtung und Behebung: SentinelOne, ThreatDown.

Admin-Konten (Admin-Benutzermanagement, Admin-Passwortrotation)

Überprüft, ob das verwaltete lokale Administratorkonto existiert, die erwarteten Berechtigungen hat und sein Passwort planmäßig rotiert.

Warum Admin-Kontobewegungen ins Stocken geraten

• CREATION_PENDING auf einem offline Gerät löst sich, sobald es synchronisiert.
• Unter macOS wartet die Herabstufung, bis das Factorial IT-verwalte Admin-Konto selbst einen SecureToken hält — den Token, auf den FileVault angewiesen ist. Factorial IT stuft absichtlich niemanden vor diesem Zeitpunkt herab, sodass das Gerät niemals ohne einen Token-haltenden Admin bleibt, und DEMOTION_PENDING bleibt bestehen (das Gerät protokolliert das Ereignis ADMIN_DEMOTION_BLOCKED_SECURE_TOKEN_NOT_GRANTED). Der verwaltete Admin erhält seinen Token bei seinem ersten Login auf dem Gerät — lasse jemanden einmal in diesem Konto einloggen oder gewähre den Token manuell. Siehe SecureToken-Regeln.
• Das Cockpit kann bis zu 24 Stunden benötigen, um den Status des lokalen Kontos im Benutzer-Tab des Geräts zu aktualisieren — überprüfe das Gerät, bevor du einen Fehler feststellst.

Wenn der Benutzername bereits auf dem Gerät existiert und Factorial IT das Konto nicht erstellt hat, wird Admin-Benutzermanagement als erstellt gemeldet (ADMIN_ACCOUNT_PRE_EXISTING). Factorial IT hält sein Passwort nicht, bis eine Steuerung zur Admin-Passwortrotation es ersetzt.

Die Regel zur Admin-Passwortrotation meldet ihre eigenen Status: PENDING, SUCCESS, ERROR. SUCCESS ist konform; PENDING wird gelöscht, sobald das Gerät die Rotation anwendet, sodass ERROR der Status ist, auf den ein Problem angesprochen werden sollte.

Ein ERROR ohne zusätzlichen Status bedeutet, dass die Rotation überfällig ist.

Steuerungsdetails: Admin-Management, Admin-Passwortrotation.

iCloud-Sperre (Aktivierungssperre)

Nur macOS — die Aktivierungssperre gibt es auch auf iOS und iPadOS, aber diese Compliance-Regel bewertet nur Macs. Sie überprüft, dass, wenn die Aktivierungssperre aktiviert ist, Factorial IT den Umgehungscode hält, sodass das Gerät nach einem Wipe ohne das Apple-Konto des Mitarbeiters wiederhergestellt werden kann.

ENABLED (Sperre aktiviert, Code verwahrt) und DISABLED (Sperre deaktiviert) sind beide konform. Die Regel produziert keinen Status, solange das Gerät nicht vollständig registriert ist oder sein Sperrstatus noch unbekannt ist.

Warum ein Umgehungscode fehlt

Die Verwahrung erfolgt in dem Moment, in dem die Aktivierungssperre aktiviert wird — sie ist nicht rückwirkend. Alle diese Bedingungen müssen erfüllt sein, damit der Code verwahrt werden kann:

• Das Gerät wird über MDM überwacht.
• Das Gerät wurde vor Aktivierungssperre aktiviert. Wenn der/die Mitarbeiter/in „Mein iPhone suchen“ vor der Registrierung aktiviert hat, kann der Code nicht abgerufen werden — der einzige Wiederherstellungspfad sind die Apple-Kontodaten.
• Das Gerät gehört dem Unternehmen (BYOD-Geräte sind nicht berechtigt).
• Das MDM-Profil ist auf Systemebene installiert (benutzergenehmigte Registrierung ohne Apple Business verwahrt Codes nicht zuverlässig).

Szenario-für-Szenario-Analyse und Behebung: Verwahrung des Aktivierungssperre-Umgehungscodes.

Recovery OS

Nur macOS. Überprüft, ob die Konfiguration des recoveryOS-Schutzes angewendet wurde. Nur Apple Silicon-Macs werden bewertet — Intel-Macs können keinen recoveryOS-Schutz unterstützen und produzieren keinen Status.

PROTECTED ist der konforme Status. Vollständige Durchsetzung erfordert, dass das Gerät mit dem entsprechenden Überwachungsgrad registriert ist — ein nicht überwacht Mac ist das erste, was du bei FAILED überprüfen solltest. Steuerungsdetails: recoveryOS-Schutz.

Warum der recoveryOS-Schutz fehlschlägt

Neben der Überwachung gibt es zwei Ursachen, die einen Mac auf FAILED lassen:

• Die Option Recovery Lock-Passwort der Flotte ist aktiviert. Die Flotte verweigert dann den Befehl von Factorial IT und setzt ihr eigenes Passwort auf neu registrierten Macs.
• Der Mac hat bereits ein Wiederherstellungssperrpasswort, das von einem anderen Tool oder einem anderen MDM festgelegt wurde. Der Mac verweigert das Passwort von Factorial IT, solange dieses vorhanden ist.

Was für jede Ursache zu tun ist: Fehlersuche beim recoveryOS-Schutz.

Profilbereitgestellte Steuerungen

Firewall, Passwortrichtlinie, Wi-Fi, USB-Blockierung, App-Blockierung, Bildschirmaufnahme, AirDrop deaktivieren, Profileinstellungen sperren, Google Chrome, Gerätebenennung, benutzerdefinierte Konfigurationsdatei, Web Clip, AirPrint, Software-Update (macOS) und die SSO-Steuerungen (Entra SSO, Okta SSO, Factorial IT SSO) funktionieren alle gleich: Factorial IT liefert eine Konfiguration an das Gerät, und das Gerät meldet zurück. Sie teilen sich die gleichen Lieferstatus:

ENFORCED ist der konforme Status.

Warum eine Konfiguration nicht angewendet werden kann

macOS

• Ein Admin-Benutzer hat das MDM-Profil entfernt, das die Konfiguration trägt (es sei denn, Lock Profiles Pane verhindert dies).
• APNs-Probleme hindern das Gerät daran, Profile zu empfangen oder zu validieren — überprüfe das Problem mit dem Registrierungsstatus für dasselbe Gerät.
• Die Steuerung zielt auf eine Fähigkeit ab, die das Gerät nicht hat: Plattform-SSO-Steuerungen erfordern aktuelle macOS-Versionen (Mac-Login mit Factorial IT benötigt macOS 27 oder höher), und der/die Mitarbeiter/in muss die Aufforderung zur Registrierung des Identitätsanbieters in ihrer Sitzung abschließen.

Windows

• Windows Home / Family wendet Sicherheitsrichtlinien nur teilweise an — mehrere Konfigurationen erfordern Pro, Enterprise oder Education und schlagen ohne einen expliziten Fehler auf Home fehl. Siehe Windows Home-Einschränkungen.
• Eine widersprüchliche Einstellung von einem vorherigen MDM oder einer lokalen Gruppenrichtlinie überschreibt den gelieferten Wert.

PENDING, das bestehen bleibt, bedeutet normalerweise, dass das Gerät offline ist — behebe zuerst die Konnektivität. Bei ERROR öffne die Geräteschublade und springe zur entsprechenden MDM-Steuerung, um ihre Konfiguration zu überprüfen. Dann sende das Profil erneut an dieses Gerät: klicke im Abschnitt MDM-Steuerungen der Schublade auf Profil erneut senden in der Zeile der Steuerung. Das Gerät installiert das Profil bei seinem nächsten Check-in. Ein iPhone oder iPad installiert es, sobald es entsperrt wird.

Das Cockpit verweigert ein erneutes Senden, wenn kein Konfigurationsprofil die Steuerung anwendet, wenn das Profil eine Erklärung ist, wenn es nicht diesem Gerät zugewiesen ist oder wenn es noch geliefert wird. In letzterem Fall warte, bis das Gerät eincheckt.

Fernzugriff (RustDesk)

Im Gegensatz zu den profilbereitgestellten Steuerungen verfolgt die Regel für den Fernzugriff eine Softwareinstallation, nicht ein Konfigurationsprofil.

INSTALLED ist der konforme Status. Ein persistierendes PENDING bedeutet normalerweise, dass das Gerät offline ist oder die Installation noch in der Warteschlange steht — überprüfe den Status der Softwareinstallation im Gerätebereich und lasse dann den nächsten Sync das Problem klären.

Jedes Problem beheben: der allgemeine Loop

1. Öffne die Geräteschublade. Klicke auf die Problemzeile unter Compliance > Compliance-Probleme. Überprüfe den vollständigen Status des Geräts über jede Regel — mehrere Probleme auf einem Gerät haben oft eine gemeinsame Ursache (offline, Agent fehlt, Profil entfernt).
2. Trenne veraltete von echten. Überprüfe, wann das Gerät zuletzt synchronisiert wurde. Wenn es offline war, behebe die Konnektivität, bevor du etwas anderes tust.
3. Behebe die Hauptursache. Nutze die Abschnitte oben. Behebungsmaßnahmen (Profil pushen, sperren, löschen) sind aus der Geräteschublade verfügbar — siehe Geräte verwalten.
4. Lass das Problem sich selbst klären. Probleme lösen sich automatisch beim nächsten Sync des Geräts, sobald sich der Status verbessert. Wenn ein Problem niemals hätte auftreten sollen, setze diesen Status stattdessen auf Aus in Compliance > Einstellungen für Compliance-Probleme.

Berechtigungen