Die Aktivierungssperre verhindert, dass jemand ein Apple-Gerät nach einem Werksreset verwenden kann, es sei denn, er hat die richtige Apple-ID. Bei unternehmensbesitzenden Geräten, die in das Gerätemanagement eingeschrieben sind, speichert Factorial IT den Umgehungscode für dich, sodass du ein zurückgesetztes Gerät ohne die Apple-ID des Mitarbeitenden entsperren kannst.

Funktion/Funktionalität

Überblick

Auf einem Mac existiert die Aktivierungssperre nur bei Apple-Silicon-Modellen und Intel-Modellen mit dem Apple T2-Sicherheitschip. Ältere Intel-Macs ohne T2-Chip sind nicht betroffen (Apple Deployment Guide).

Die zwei Arten der Aktivierungssperre

Apple hat zwei Möglichkeiten, die Aktivierungssperre für ein Gerät, das deiner Organisation gehört, zu aktivieren (Apple Deployment Guide):

• Organisationsgebunden. Das Gerät muss im Apple Business oder Apple School Manager sein. Das Gerätemanagement kommuniziert direkt mit Apple, um es zu sperren und zu entsperren, mit einem vom Server generierten Umgehungscode. Es hängt nicht vom Mitarbeitenden, von „Mein Gerät suchen“ oder vom Status des Geräts ab.
• Benutzergeschützt. Der Mitarbeitende verknüpft das Gerät mit seinem persönlichen Apple-Konto, indem er „Mein Gerät suchen“ aktiviert. Die untenstehenden Escrow-Regeln und -Szenarien beziehen sich auf diese Art.

Wenn beide auf demselben Gerät ausprobiert werden, gewinnt dasjenige, das die Funktion zuerst aktiviert.

Schlüsselbegriffe

• Überwachung. Apple beschreibt dies als das Gerät, das der Organisation gehört, was zusätzliche Kontrolle über seine Konfiguration und Einschränkungen bietet (Apple). Geräte, die über die automatisierte Geräteanmeldung (ADE), Zero-Touch-Bereitstellung oder Apple Business angemeldet sind, sind überwacht. Bei macOS 11 und später sind auch Macs, die über eine kontobasierte oder profilbasierte Geräteanmeldung angemeldet sind, überwacht. Die Standardbenutzereintragung bietet keine Überwachung.
• Aktivierungssperre. Apples Schutz, der ein Gerät nach einer Löschung an eine Apple-ID bindet. Sie wird aktiviert, wenn der Mitarbeitende „Mein Gerät suchen“ einschaltet.
• Umgehungscode. Ein Code, der mit dem Gerät verknüpft ist und die Aktivierungssperre ohne die Apple-ID des Mitarbeitenden entfernt. Er existiert nur, wenn Factorial IT ihn escrowed hat.
• Escrow. Das Gerätemanagement speichert den Umgehungscode, sobald die Aktivierungssperre aktiviert wird. Es funktioniert nicht rückwärts.

Wann ein Umgehungscode escrowed werden kann

Vier Bedingungen:

1. Das Gerät sollte überwacht sein. Escrow ist nur auf überwachten Geräten zuverlässig.
2. Das Gerät vor der Aktivierungssperre anmelden. Wenn der Mitarbeitende „Mein Gerät suchen“ vor der Anmeldung aktiviert, kann Factorial IT den Code nicht erhalten.
3. Das Gerät muss im Besitz des Unternehmens sein. Persönliche (BYOD) Geräte sind nicht berechtigt.
4. Das MDM-Profil muss auf Systemebene installiert werden. Benutzergenehmigte Anmeldungen ohne Apple Business escrowen Codes nicht zuverlässig.

Wenn das Gerät angemeldet wird, nachdem der Mitarbeitende bereits mit einer Apple-ID angemeldet und „Mein Gerät suchen“ aktiviert hat, gibt es keinen Umgehungscode. Nur die Apple-ID des Mitarbeitenden kann es entsperren.

Die drei Szenarien

Ob der Code funktioniert, hängt von der Überwachung und der Reihenfolge ab, in der das Management und die Aktivierungssperre aktiviert wurden. Das gleiche iCloud Lock-Feld in der Konsole kann in einem Fall korrekt und in einem anderen ein falsches Positiv sein.

Bei macOS 11 und später sind die meisten angemeldeten Macs überwacht (Szenario 1), selbst ohne Zero-Touch. Szenarien 2 und 3 betreffen Geräte, die nicht überwacht bleiben, wie ältere macOS-Versionen oder einfache Benutzereintragungen.

Szenario 1: überwacht. Die Aktivierungssperre ist kein Hindernis. Das Gerätemanagement sendet einen ActivationLockBypassCodeCommand direkt an das Gerät, wann immer der Mitarbeitende „Mein Gerät suchen“ aktiviert hat. Der Code funktioniert.

Szenario 2: unüberwacht, vor „Mein Gerät suchen“ angemeldet. Du hast das Gerät manuell angemeldet, sodass es nicht überwacht ist, aber das Management war bereits da, als der Mitarbeitende „Mein Gerät suchen“ aktiviert hat. Der Code wurde zu diesem Zeitpunkt escrowed und du kannst ihn verwenden.

Szenario 3: unüberwacht, „Mein Gerät suchen“ vor der Anmeldung. Die Aktivierungssperre war bereits aktiviert, als das Gerät angemeldet wurde, sodass kein Code escrowed werden konnte. Jeder Code, den die Konsole anzeigt, ist ein falsches Positiv: Wenn du ihn auf dem Aktivierungssperrbildschirm eingibst, erscheint Ihr Apple-Konto oder Passwort ist falsch. Nur die Apple-ID des Mitarbeitenden kann es entsperren.

Apple bietet keine Möglichkeit zu überprüfen, ob ein escrowed Code ein gültiger Gerätecode ist. Auf unüberwachten Geräten können Mitarbeitende auch „Mein Gerät suchen“ ein- und ausschalten, ohne dass ein neuer Code escrowed wird. Behandle den iCloud Lock-Wert auf unüberwachten Geräten als unbestätigt, bis du weißt, wie das Gerät angemeldet wurde.

So verwendest du 

Überprüfe, ob ein Umgehungscode existiert

1. Gehe zu Geräte > Alle Geräte.
2. Öffne das Gerät.
3. Scrolle zum Abschnitt Compliance.
4. Sieh dir iCloud Lock an:
   • ✅ Aktiviert: ein Umgehungscode ist escrowed und verfügbar.
   • ❌ Fehlender Umgehungscode: kein Code wurde gespeichert; du benötigst die ursprüngliche Apple-ID.

Gib den Umgehungscode ein

macOS. Kopiere den Code aus dem Gerätedatensatz. Starte den Mac und warte auf den Aktivierungssperrbildschirm. Klicke in der Menüleiste auf Wiederherstellungsassistent, wähle Mit MDM-Schlüssel aktivieren und gib den Code ein (Apple Deployment Guide).

iPhone und iPad. Kopiere den Code aus dem Gerätedatensatz. Während der Einrichtung nach der Löschung, lasse das Benutzernamenfeld leer und gib den Code in das Passwort-Feld ein (Apple Deployment Guide).

Bei beiden ist der Code groß- und kleinschreibungsempfindlich und funktioniert einmal pro Gerät.

Bei iPhone und iPad kann der vom Gerät generierte Code nur in den 15 Tagen nach der ersten Überwachung abgerufen werden oder bis ein MDM ihn abruft und löscht. Wenn er in diesem Zeitraum nicht escrowed wurde, ist er für immer verloren.

Stelle einen Mac wieder her, der auf dem Aktivieren-Mac-Bildschirm feststeckt

Ein Mac, der mit aktivierter Aktivierungssperre und ohne gültigen Code (Szenario 3) gelöscht wurde, bleibt auf dem Aktivieren Mac-Bildschirm. Höre auf, den Code erneut einzugeben: Er wird immer Ihr Apple-Konto oder Passwort ist falsch zurückgeben, da er nie escrowed wurde.

Versuche diese Optionen in der angegebenen Reihenfolge.

Option 1: Deaktiviere die Aktivierungssperre in Apple Business. Wenn der Mac vor der Aktivierungssperre in Apple Business war und nicht aus deiner Organisation entfernt wurde, kann ein Benutzer mit Rechten im Gerätemanagement die Aktivierungssperre in Apple Business deaktivieren. Dies funktioniert sowohl bei organisationsgebundenen als auch bei benutzergeschützten Sperren, und der Mac muss nicht einem MDM-Server zugewiesen sein (Apple Deployment Guide).

Für eine organisationsgebundene Sperre, die das Gerätemanagement nicht aufheben kann, gibt es noch eine weitere Rückfalloption: Melde dich auf dem Aktivierungssperrbildschirm mit dem Apple Business-Konto an, das das MDM-Server-Token erstellt hat, das Factorial IT mit Apple Business verknüpft.

Option 2: Frage den ehemaligen Mitarbeitenden. Wenn du sie erreichen kannst, können sie die Sperre selbst aufheben:

• indem sie sich mit ihrer Apple-ID auf dem Aktivierungssperrbildschirm anmelden, oder
• indem sie das Gerät von ihrem Konto unter icloud.com/find entfernen: Wähle das Gerät aus und wähle Dieses Gerät entfernen (Apple Support). Sie können dies auch von jedem anderen Apple-Gerät tun, das sie besitzen.

Dies ist normalerweise der schnellste Weg, also versuche es, bevor du dich an Apple wendest.

Option 3: Apple Support mit Nachweis des Eigentums. Wenn du den ehemaligen Mitarbeitenden nicht erreichen kannst, kann Apple die Sperre entfernen, sobald deine Organisation nachweist, dass sie das Gerät besitzt. Halte Folgendes bereit:

• die ursprüngliche Kaufrechnung im Namen des Unternehmens, mit der Seriennummer darauf
• die Seriennummer (auf dem Aktivierungssperrbildschirm oder dem Gehäuse)
• Unternehmensdetails und die Identität der Person, die die Anfrage stellt

Schicke die Anfrage über Apples Supportseite zur Aktivierungssperre oder über AppleCare für Unternehmen oder Enterprise, falls du es hast (Apple Support: So entfernst du die Aktivierungssperre). Überprüfungen dauern in der Regel mehrere Tage. Apple lehnt Anfragen mit einer unvollständigen Rechnung oder ohne Seriennummer ab.

Fehlerbehebung und FAQ

Fehlerbehebung

• Der Code gibt „Ihr Apple-Konto oder Passwort ist falsch“ zurück. Das Gerät befindet sich im Szenario 3: Der angezeigte Code ist ein falsches Positiv. Verwende die Wiederherstellungsoptionen für einen feststeckenden Mac oder die Apple-ID des Mitarbeitenden.
• iCloud Lock zeigt fehlenden Umgehungscode an. Es wurde kein Code escrowed. Du benötigst die ursprüngliche Apple-ID oder eine der Wiederherstellungsoptionen.
• Der Code funktioniert beim zweiten Versuch nicht. Codes sind einmalig pro Gerät und groß- und kleinschreibungsempfindlich. Überprüfe die Großbuchstaben.
• Es gibt keine Aktivierungssperre auf einem älteren Mac. Intel-Macs ohne T2-Chip unterstützen keine Aktivierungssperre.

FAQ

1. Kann ich einen Umgehungscode für ein persönliches (BYOD) Gerät erhalten?
   Nein. Nur unternehmensbesitzende Geräte sind berechtigt.
    
2. Der Mitarbeitende hat „Mein Gerät suchen“ vor der Anmeldung aktiviert. Kann ich trotzdem einen Code erhalten?
   Nicht auf einem unüberwachten Gerät. Escrow erfolgt nur, wenn die Aktivierungssperre aktiviert wird, während das Gerät bereits verwaltet wird.
    
3. Wo finde ich den Code?
   In Geräte > Alle Geräte, öffne das Gerät und gehe zum Abschnitt Compliance, Feld iCloud Lock.
    
4. Wie gebe ich den Code auf einem iPhone ein?
   Auf dem Aktivierungssperrbildschirm lasse das Benutzernamenfeld leer und gib den Code in das Passwortfeld ein.
    
5. Was benötige ich, um Apple zu bitten, die Sperre zu entfernen?
   Die Kaufrechnung im Namen des Unternehmens mit der Seriennummer, die Seriennummer selbst, Unternehmensdetails und die Identität der anfragenden Person.