Diese Referenz erklärt jeden Status von Problemen, auf den Sie auf der Seite Compliance > Compliance-Probleme stoßen können: was das Gerät tatsächlich meldet, die Ursachen dafür auf macOS und Windows und wie man es löst. 
Mobile Plattformen (iOS, iPadOS, Android) und Linux werden von einem Teil dieser Regeln abgedeckt — siehe Unterstützte Plattformen, um zu erfahren, was wo gilt.

Wie Factorial IT entscheidet, dass ein Gerät nicht konform ist

Jedes Mal, wenn ein Gerät synchronisiert, führt Factorial IT jede Compliance-Regel erneut aus und berechnet einen Status pro Regel — es gibt keinen separaten Scan.
Ein Gerät löst ein Problem nur aus, wenn sein aktueller Status einer ist, den Sie in den Einstellungen für Compliance > Compliance-Probleme festgelegt haben. Ein auf Aus gesetzter Status löst niemals etwas aus.
Probleme werden automatisch beim nächsten Sync gelöscht, sobald sich der Status verbessert. Es gibt keine manuelle Bestätigung oder Schließung.

Stale Daten zuerst ausschließen

Ein Compliance-Status ist ein Snapshot vom letzten Sync des Geräts. Bevor Sie ein Problem als echte Verletzung behandeln, überprüfen Sie, ob die Daten veraltet sind:

Registrierungsstatus

Eine globale Regel, die auf jedes verwaltete Gerät angewendet wird. Sie überprüft, ob das Gerät vollständig registriert ist und ob der MDM-Agent weiterhin mit dem Server kommuniziert.

Warum Geräte aus der Registrierung abdriften

Ursachen, die für beide Plattformen gelten:

• Der/die Mitarbeitende hat nicht alle Schritte zur Registrierung abgeschlossen oder war nicht lange genug verbunden, um die Synchronisation abzuschließen
• Der Agent wurde manuell deinstalliert oder ein Systemupdate oder Konfigurationsfehler hat die Installation beschädigt
• Der osqueryd-Dienst, der vom Agenten verwendet wird, wurde gestoppt, oder der Agent kann aufgrund von Berechtigungsproblemen nicht gestartet werden
• Das Gerät befindet sich in einem Netzwerk, das den Zugriff auf den MDM-Server blockiert — ein Proxy oder eine Firewall unterbricht die Kommunikation

macOS

1. Ein Admin-Benutzer kann ein entsperrtes MDM-Profil aus den Systemeinstellungen entfernen. Das Gerät meldet dann MDM_OFF, obwohl der Agent möglicherweise weiterhin reagiert.
2. Ein abgelaufenes oder widerrufenes APNs-Token verhindert, dass das Gerät sein Profil validiert — das Profil wird ungültig, ohne dass jemand das Gerät berührt.
3. Eine Aktion zum Deaktivieren von MDM, die von der MDM-Serverseite ausgeführt wird, entfernt die Verwaltung.
4. Die Installation des Fleet-Agenten ist unvollständig — die häufigste Ursache für teilweise Registrierungen auf macOS.
    

Registrierungsprobleme beheben

• MISSING_AGENT — klicken Sie im Geräte-Panel auf die Schaltfläche für den Gerätestatus, um die Installation des Agenten aus der Ferne auszulösen. Wenn das fehlschlägt, bitten Sie den/die Mitarbeitende, ihre Factorial IT-Registrierungsseite zu öffnen, ihr zugewiesenes Gerät auszuwählen und den Agenten herunterzuladen.
• MDM_ON_IN_ANOTHER_MDM — migrieren Sie das Gerät zuerst vom vorherigen MDM.
• MDM_OFF — bitten Sie den/die Mitarbeitende, sich erneut zu registrieren. Sie können dies automatisieren: in Einstellungen > MDM aktivieren Sie die automatische Abmeldung und die Option, MDM-Einladungen automatisch an Mitarbeitende zu senden, deren Geräte gelöscht wurden.

Windows

• Das Gerät ist noch in einem vorherigen MDM registriert und meldet MDM_ON_IN_ANOTHER_MDM — migrieren Sie es zuerst aus dem alten MDM, bevor Sie es erneut registrieren.
• Ein Proxy oder eine Unternehmensfirewall, die die Serververbindung blockiert, lässt einen installierten Agenten still (MISSING_AGENT).
   

Registrierungsprobleme beheben

• MISSING_AGENT — klicken Sie im Geräte-Panel auf die Schaltfläche für den Gerätestatus, um die Installation des Agenten aus der Ferne auszulösen. Wenn das fehlschlägt, bitten Sie den/die Mitarbeitende, ihre Factorial IT-Registrierungsseite zu öffnen, ihr zugewiesenes Gerät auszuwählen und den Agenten herunterzuladen.
• MDM_ON_IN_ANOTHER_MDM — migrieren Sie das Gerät zuerst vom vorherigen MDM.
• MDM_OFF — bitten Sie den/die Mitarbeitende, sich erneut zu registrieren. Sie können dies automatisieren: in Einstellungen > MDM aktivieren Sie die automatische Abmeldung und die Option, MDM-Einladungen automatisch an Mitarbeitende zu senden, deren Geräte gelöscht wurden.

Online-Status

Eine globale Regel, die verfolgt, ob das Gerät mit dem Server eincheckt.

Warum Geräte offline gehen

• Das Gerät ist ausgeschaltet oder im Schlafmodus — ein/e Mitarbeitende im Urlaub oder ein Ersatzgerät, das in einer Schublade liegt.
• Das Netzwerk blockiert die Verbindung des Agenten zum Server (VPN, Proxy, Firewall-Regeln). Siehe Netzwerkanforderungen.
• Der Agent läuft nicht mehr. Ein Gerät, das offline erscheint, während es aktiv von einem/einer Mitarbeitenden verwendet wird, weist normalerweise auf einen fehlenden Agenten oder ein Netzwerkproblem hin, nicht auf ein tatsächlich offline Gerät — überprüfen Sie das Problem mit dem Registrierungsstatus für dasselbe Gerät.

Online-Probleme beheben

Bestätigen Sie mit dem/der Mitarbeitenden, ob das Gerät verwendet wird. Wenn ja, behandeln Sie es als einen MISSING_AGENT-Fall (siehe oben). Wenn das Geräusch von kurzen Lücken kommt, lösen Sie Probleme nur bei Offline 7+ Tagen.

Plattformunterstützung

Eine globale Regel, die das Betriebssystem des Geräts mit der Basislinie vergleicht, die Primo als MDM-Signalquelle unterstützt. Ein Gerät, das unter dieser Basislinie liegt, kann sich nicht zuverlässig registrieren, Telemetriedaten melden oder Richtlinien einhalten — dieses Problem ist Ihre Upgrade-Liste.

MEETS_REQUIREMENTS ist der konforme Status. Die Regel bleibt still, bis das Gerät seine OS-Informationen gemeldet hat, sodass ein frisch registriertes Gerät niemals als unbekannt markiert wird.
​
Plattformunterstützungsprobleme beheben

• BELOW_MINIMUM_VERSION — aktualisieren Sie das OS. Die aktuellen Baselines pro Plattform sind in Unterstützte Plattformen aufgeführt.
• UNSUPPORTED_OS_EDITION — aktualisieren Sie die Edition, nicht nur die Version: siehe Windows Home-Geräte verwalten und Upgrade auf Windows 11.
  ​

Verschlüsselung

Überprüft die vollständige Festplattenverschlüsselung: FileVault auf macOS, BitLocker auf Windows. Die Verschlüsselung ist standardmäßig nicht aktiviert — sie beginnt, wenn Sie die Steuerung für die Festplattenverschlüsselung aktivieren, die global für registrierte Geräte gilt, sobald sie erstellt wurde.

ENCRYPTED ist der konforme Status. iOS- und iPadOS-Geräte melden immer ENCRYPTED — ihr Speicher ist standardmäßig hardwareverschlüsselt. Ein Windows Home-Gerät hebt keinen Verschlüsselungsstatus hervor: Es kann BitLocker nicht ausführen und wird stattdessen unter Plattformunterstützung als UNSUPPORTED_OS_EDITION angezeigt.

macOS

• FileVault wird aktiviert, sobald die Steuerung für die Festplattenverschlüsselung das Gerät anvisiert, aber die Verschlüsselung tritt erst nach dem nächsten Neustart in Kraft. Ein Mac, der sich nie neu startet, bleibt NOT_ENCRYPTED — bitten Sie den/die Mitarbeitende, neu zu starten.
• Der Wiederherstellungsschlüssel wird innerhalb von 24 Stunden nach diesem Neustart verwahrt. Ein frisch verschlüsselter Mac, der in diesem Fenster MISSING_RECOVERY_KEY anzeigt, löst sich von selbst.
• Ein Mac, der vor der Registrierung verschlüsselt wurde, hat einen Schlüssel, den Primo nie gesehen hat — die Verwahrung ist nicht rückwirkend. Der/die Mitarbeitende muss ihr Passwort eingeben, wenn sie dazu aufgefordert wird, damit ein neuer Schlüssel generiert und verwahrt werden kann (ACTION_REQUIRED).

Windows

• BitLocker beginnt mit der Verschlüsselung, sobald die Steuerung das Gerät erreicht, ohne dass ein Neustart erforderlich ist, und der Schlüssel wird gespeichert, sobald die Verschlüsselung aktiviert wird. Ein Windows-Gerät, das auf NOT_ENCRYPTED feststeckt, hat normalerweise einen Blocker, kein Verzögerung.
• BitLocker benötigt einen funktionierenden TPM. Ein fehlender oder firmware-deaktivierter TPM lässt die Verschlüsselung nicht starten.

OS-Update

Überprüft, ob Geräte erforderliche OS-Updates bis zur von Ihnen festgelegten Frist installieren.

UP_TO_DATE ist der konforme Status. Zwischen der Veröffentlichung eines Updates und seiner Frist bleibt das Gerät konform — NOT_UP_TO_DATE tritt nur in Kraft, nachdem die Frist verstrichen ist. Ein Gerät, dessen OS für Primo selbst zu alt ist, ist ein Plattformunterstützungsproblem, nicht ein OS-Update-Problem.

Warum Geräte bei Updates zurückfallen

• Die Frist zählt ab dem Datum der Verfügbarkeit des Updates, nicht ab dem Zeitpunkt, an dem Sie die Richtlinie konfiguriert haben. Das Aktivieren der Richtlinie auf einer Flotte, die ältere Versionen ausführt, kennzeichnet diese Geräte sofort — erwarten Sie eine Welle von Problemen am ersten Tag.
• Wenig Speicherplatz blockiert das Update auf jeder Plattform, und keine von ihnen gibt automatisch Speicher frei. Auf macOS 14+ sieht der/die Mitarbeitende eine Systembenachrichtigung; auf macOS 13 und früher erscheint das Nudge-Fenster immer wieder, während der Download fehlschlägt; auf Windows wird dem/der Mitarbeitende mitgeteilt, dass das Update fehlgeschlagen ist. Ein Administrator muss möglicherweise eingreifen.
• Das Gerät war ausgeschaltet, als die Frist verstrich. Auf macOS 14+ wird das Update eine Stunde nach dem Einschalten geplant; auf Windows erhält der/die Mitarbeitende die konfigurierte Grace-Periode, bevor der automatische Neustart erfolgt.
• Der/die Mitarbeitende schiebt immer wieder innerhalb des erlaubten Fensters — der Druck steigt, je näher die Frist rückt (stündliche Benachrichtigungen 24 Stunden vorher, häufigere in der letzten Stunde).

Update-Probleme beheben

Bitten Sie den/die Mitarbeitende, Speicherplatz freizugeben, wenn dies der Blocker ist, und lassen Sie dann den Durchsetzungsfluss laufen — er eskaliert von selbst. Einzelheiten und den genauen Benachrichtigungszeitplan pro Plattform: OS-Updates durchsetzen.

Endpoint-Schutz (SentinelOne, ThreatDown)

Verfügbar, sobald die entsprechende Integration verbunden ist. Überprüft, ob der Endpoint-Schutz-Agent installiert und meldet.
 

ACTIVE ist der konforme Status für beide Tools.
 

Warum Geräte als ungeschützt angezeigt werden

• Die Steuerung wurde gerade aktiviert — der Agent wird bei der nächsten Synchronisation auf dem Gerät installiert.
• Der Agent wurde lokal deinstalliert oder läuft nicht.
• Die Integration selbst ist veraltet. Die Benutzer-Token des SentinelOne-Dienstes laufen ab; sobald das Token abläuft, stoppt die Synchronisation und die Schutzstatus veralten geräteübergreifend. Erneuern Sie das Token in Einstellungen > Integrationen > SentinelOne.
• Das Gerät ist offline, sodass sein tatsächlicher Schutzstatus unbekannt ist.

Admin-Konten (Admin-Benutzermanagement, Rotation des Admin-Passworts)

Überprüft, ob das verwaltete lokale Administratorkonto existiert, die erwarteten Berechtigungen hat und sein Passwort planmäßig rotiert.

Warum Admin-Kontoaktionen stocken

• CREATION_PENDING auf einem offline Gerät wird gelöst, sobald es synchronisiert.
• Auf macOS wartet die Degradierung, bis das Factorial IT-verwaltete Admin-Konto selbst einen SecureToken hat — den Token, auf den FileVault angewiesen ist. Factorial IT degradiert absichtlich niemanden vorher, sodass das Gerät niemals ohne einen Token haltenden Admin zurückgelassen wird, und DEMOTION_PENDING bleibt bestehen (das Gerät protokolliert das Ereignis ADMIN_DEMOTION_BLOCKED_SECURE_TOKEN_NOT_GRANTED). Der verwaltete Admin erhält seinen Token bei seiner ersten Anmeldung auf dem Gerät — lassen Sie jemanden einmal in diesem Konto anmelden oder gewähren Sie den Token manuell. Siehe SecureToken-Regeln.
• Das Cockpit kann bis zu 24 Stunden benötigen, um den Status des lokalen Kontos im Benutzer-Tab des Geräts zu aktualisieren — überprüfen Sie das Gerät, bevor Sie einen Fehler abschließen.

Die Regel zur Rotation des Admin-Passworts meldet ihre eigenen Status: PENDING, SUCCESS, ERROR. SUCCESS ist konform; PENDING wird gelöscht, sobald das Gerät die Rotation anwendet, sodass ERROR der Status ist, bei dem es sich lohnt, ein Problem zu melden.

iCloud-Sperre (Aktivierungssperre)

Nur macOS — die Aktivierungssperre existiert auch auf iOS und iPadOS, aber diese Compliance-Regel bewertet nur Macs. Sie überprüft, dass, wenn die Aktivierungssperre aktiviert ist, Primo den Umgehungscode hat, sodass das Gerät nach einem Zurücksetzen ohne das Apple-Konto des/der Mitarbeitenden wiederhergestellt werden kann.

Warum ein Umgehungscode fehlt

Die Verwahrung erfolgt in dem Moment, in dem die Aktivierungssperre aktiviert wird — sie ist nicht rückwirkend. Alle diese Bedingungen müssen erfüllt sein, damit der Code verwahrt werden kann:

• Das Gerät wird über MDM überwacht.
• Das Gerät wurde registriert, bevor die Aktivierungssperre aktiviert wurde. Wenn der/die Mitarbeitende „Mein iPhone suchen“ vor der Registrierung aktiviert hat, kann der Code nicht abgerufen werden — der einzige Wiederherstellungspfad sind die Anmeldeinformationen ihres Apple-Kontos.
• Das Gerät gehört der Firma (BYOD-Geräte sind nicht berechtigt).
• Das MDM-Profil ist auf Systemebene installiert (benutzergenehmigte Registrierung ohne ABM verwahrt keine Codes zuverlässig).

Recovery OS

Nur macOS. Überprüft, ob die Konfiguration des recoveryOS-Schutzes angewendet wird. Nur Apple Silicon Macs werden bewertet — Intel Macs können den recoveryOS-Schutz nicht unterstützen und erzeugen keinen Status.

PROTECTED ist der konforme Status. Die vollständige Durchsetzung erfordert, dass das Gerät mit dem entsprechenden Überwachungsgrad registriert ist — ein nicht überwacht Mac ist das erste, was bei FAILED zu überprüfen ist.

Profil-gelieferte Kontrollen

Firewall, Passwort-Richtlinie, Wi-Fi, USB-Blockierung, App-Blockierung, Bildschirmaufnahme, AirDrop deaktivieren, Profile sperren, Google Chrome, Gerätenamen, benutzerdefinierte Konfigurationsdatei, Web-Clip, AirPrint, Software-Update (macOS) und die SSO-Kontrollen (Entra SSO, Okta SSO, Primo SSO) funktionieren alle gleich: Primo liefert eine Konfiguration an das Gerät, und das Gerät meldet zurück. Sie teilen sich die gleichen Lieferstatus:

ENFORCED ist der konforme Status.

Warum eine Konfiguration nicht angewendet werden kann

macOs

• Ein Admin-Benutzer hat das MDM-Profil entfernt, das die Konfiguration enthält (es sei denn, das Sperren von Profilschemen verhindert dies).
• APNs-Probleme verhindern, dass das Gerät Profile empfängt oder validiert — überprüfen Sie das Problem mit dem Registrierungsstatus für dasselbe Gerät.
• Die Steuerung zielt auf eine Fähigkeit ab, die das Gerät nicht hat: Plattform-SSO-Kontrollen erfordern aktuelle macOS-Versionen (Primo SSO benötigt macOS 14+), und der/die Mitarbeitende muss die Registrierung beim Identitätsanbieter in ihrer Sitzung abschließen.

PENDING, das anhält, bedeutet normalerweise, dass das Gerät offline ist — beheben Sie zuerst die Konnektivität. Bei ERROR öffnen Sie die Geräteschublade, springen Sie zur entsprechenden MDM-Kontrolle, um deren Konfiguration zu überprüfen, und wenden Sie sie erneut an.

Windows

• Windows Home / Family wendet Sicherheitsrichtlinien nur teilweise an — mehrere Konfigurationen erfordern Pro, Enterprise oder Education und schlagen ohne einen expliziten Fehler auf Home fehl. Siehe Windows Home-Geräte verwalten.
• Eine widersprüchliche Einstellung von einem vorherigen MDM oder einer lokalen Gruppenrichtlinie überschreibt den gelieferten Wert.

PENDING, das anhält, bedeutet normalerweise, dass das Gerät offline ist — beheben Sie zuerst die Konnektivität. Bei ERROR öffnen Sie die Geräteschublade, springen Sie zur entsprechenden MDM-Kontrolle, um deren Konfiguration zu überprüfen, und wenden Sie sie erneut an.

Remote-Zugriff (RustDesk)

Im Gegensatz zu den profil-gelieferten Kontrollen verfolgt die Regel für den Remote-Zugriff eine Softwareinstallation, nicht ein Konfigurationsprofil.

INSTALLED ist der konforme Status. Ein persistentes PENDING bedeutet normalerweise, dass das Gerät offline ist oder die Installation noch in der Warteschlange steht — überprüfen Sie den Status der Softwareinstallation im Geräte-Panel und lassen Sie dann den nächsten Sync das Problem beheben.

Jedes Problem beheben: die allgemeine Schleife

1. Öffnen Sie die Geräteschublade. Klicken Sie auf die Problembeschreibung auf Compliance > Compliance-Probleme. Überprüfen Sie den vollständigen Status des Geräts über jede Regel — mehrere Probleme auf einem Gerät haben oft eine gemeinsame Ursache (offline, Agent fehlt, Profil entfernt).
2. Trennen Sie veraltete von echten Daten. Überprüfen Sie, wann das Gerät zuletzt synchronisiert wurde. Wenn es offline war, beheben Sie die Konnektivität, bevor Sie etwas anderes tun.
3. Beheben Sie die Grundursache. Verwenden Sie die Abschnitte oben. Maßnahmen zur Behebung (Profil pushen, sperren, löschen) sind über die Geräteschublade verfügbar — siehe Ihre Geräte verwalten.
4. Lassen Sie das Problem sich selbst beheben. Probleme lösen sich automatisch beim nächsten Sync des Geräts, sobald sich der Status verbessert. Wenn ein Problem niemals hätte ausgelöst werden sollen, setzen Sie diesen Status stattdessen auf Aus in den Einstellungen für Compliance > Compliance-Probleme.

Berechtigungen