Backup in der Cloud
Wenn man keinen anderen Computer einsetzen will, bieten sich Backups in der iCloud an. Diese sind grundsätzlich immer verschlüsselt und beinhalten nahezu alle Daten und Einstellungen, die auf einem Gerät gespeichert sind.
Auch die Backups in der iCloud enthalten nicht alle Daten eines iOS-Gerätes. Folgende Daten sind nicht enthalten:
- Bereits in iCloud gespeicherte Daten (z. B. Kontakte, Kalender, Notizen, iCloud-Fotos, iMessage-Nachrichten, Sprachmemos, Text- (SMS) und Multimedianachrichten (MMS) sowie Gesundheitsdaten)
- Apple-Mail-Daten
- Apple-Pay-Daten und -Einstellungen
- Face-ID- oder Touch-ID-Einstellungen
- dienstlich per MDM-System installierte (managed) Apps
- per User-Enrollment verteilte Daten
- Cloud-Musikmediathek und App Store-Inhalte
- App-Daten, die der Entwickler aktiv von einem Backup ausgeschlossen hat
Auch in der iCloud wird ein spezieller Backup-Keybag verwendet. Der iCloud-Backup-Keybag ist dem lokal verwendeten Backup-Keybag dabei sehr ähnlich. Alle Klassenschlüssel in diesem Keybag sind asymmetrisch (per Curve25519) verschlüsselt. Nun werden alle Daten an die iCloud gesendet. Die entsprechenden Klassenschlüssel werden (die mit der Datenschutzklasse „NSFileProtectionNone“ ausgenommen) mit den iCloud-Schlüsseln aus dem Keybag geschützt. Die Klassenschlüssel der KeyChain werden mit einem Schlüssel verpackt, der von der UID abgeleitet wird, wie bei einem nicht verschlüsselten iTunes-Backup.
Entscheiden Sie sich zwischen einem lokalen Backup oder einem Backup in der iCloud!
Wer sich zwischen einem lokalen und einem iCloud-Backup entscheiden will, kann folgenden Umstand in seine Entscheidung einfließen lassen: Der große Vorteil eines lokalen Backups ist, dass hier mehrere Backups als Datei existieren können und dass diese Backups sich über die Zeit hinweg archivieren lassen. Ein iTunes-Backup gewährt hingegen nur den Zugriff auf die letzten beiden erstellten Backups.
Welche Bedeutung hat dies für den Unternehmenseinsatz?
Viele Unternehmen sind der Meinung, dass Backups auf privaten Rechnern oder in der Cloud problematisch sind. Ich teile diese Einschätzung nicht, aber aus einem anderen Grund als Sie vielleicht glauben.
Werfen wir hier zuerst einen Blick darauf, was ein Backup sichern kann und was nicht. Abgesehen von den bisher genannten Einschränkungen kann keine Backupmethode die dienstlichen Apps (managed Apps), die durch ein MDM-System verteilt wurden, sichern. Dies trifft auch für deren App-Inhalte und -Daten zu. Aber nicht nur diese Apps sind von einem Backup ausgeschlossen. Auch das neu mit iOS 13 eingeführte APFS-Volumen für die Benutzer-Registrierung (User Enrollment) wird ausgeschlossen.
Warum sollte man also gegen lokale Backups sein? Grundsätzlich sind Backups immer gut, denn egal ob der Anwender seine Daten lokal oder in der iCloud sichert – seine Daten sind, so gut es geht, geschützt.
Aus Unternehmenssicht würde ich ein iCloud-Backup einer kabelgebundenen Lösung vorziehen. Wenn Sie sich fragen warum, lässt sich das einfach erklären:
Die Anbindung an die iCloud auf der „privaten“ Seite hat keine Auswirkungen auf Ihre Unternehmensdaten. Ein Datenabfluss muss nicht befürchtet werden. Auch wenn dies für die kabelgebundene Backupvariante ebenso gilt, hat Letzteres einen starken Nachteil. Das Erlauben der Nutzung eines Kabels als Datenverbindung zwischen einem iOS-Gerät und einem Computer ist das Einfallstor Nummer Eins für Jailbreaks. Aus genau diesem Grund würde ich als Firma ein iCloud-Backup immer vorziehen und die kabelgebundene Variante durch das generelle Verbieten von USB-Datenverbindungen per MDM-Konfiguration unterbinden.
MDM Settings, DEP-Enrollment, Supervised-Mode und Auswirkungen auf das Backup
Ich gehe davon aus, dass Sie die Begriffswelten der Überschrift kennen. Wir sprechen in diesem Abschnitt von unterschiedlichen Szenarien und unterscheiden dabei zwischen zwei imaginären iOS-Geräten A und B. Dies soll verdeutlichen, wie sich ein Backup verhält, wenn es auf dem gleichen (iOS-Gerät A) oder einem anderen Gerät (iOS-Gerät B) wiederhergestellt wird.
Beginnen wir mit der Frage, wie sich MDM-Konfigurationen bzw. der Enrollment-Prozess in einem Backup-Fall auswirken. Es handelt sich also bei iOS-Gerät A um ein MDM-registriertes Gerät, das in ein Backup gesichert wurde. Stellt man dieses Backup auf iOS-Gerät A wieder her, ist dieses Gerät wieder bzw. weiterhin mit dem ursprünglichen MDM-System verbunden. Wird das Backup hingegen auf iOS-Gerät B eingespielt, ist das Gerät NICHT mit dem MDM-System verbunden.
Es ist dabei unerheblich, ob sich das iOS-Gerät A zusätzlich im Supervised (Betreuungsmodus) befindet oder nicht. Auch dieser Modus wird beim Zurückspielen des Backups auf iOS-Gerät A wiederhergestellt, auf iOS-Gerät B hingegen nicht. Der Grund dafür ist mit dem Wissen aus dem ersten Abschnitt erklärbar.
Damit ein Gerät per MDM gesteuert werden kann, muss es an einem solchen mithilfe der APNS-Dienste von Apple registriert und ausgerollt werden. Dabei erzeugt das APNS einen so genannten Trust-Token und das Gerät selbst eine Zeichenkette, die als PushMagic bekannt ist. Diese Zeichenkette wird an den MDM-Server gesendet und mit dem Datensatz des MDM für dieses Gerät verknüpft. Dieser PushMagic-Wert stellt dabei eine UUID dar, mit deren Hilfe sichergestellt werden soll, dass der MDM-Server mit dem richtigen Gerät spricht, wenn er Befehle sendet.
Genau dieser Wert wird im Backupfall mit der UID des Gerätes gesichert und ist damit nur auf dem gleichen Gerät (iOS-Gerät A) lauffähig. Wird ein Backup auf einem anderen Gerät wiederhergestellt, ist dieser Wert nicht mehr gültig und das System muss neu ausgerollt werden.
Bisher hört sich alles sicherlich noch nachvollziehbar und schlüssig an. Bei DEP-Geräten wird die Sache zwar nicht komplizierter, aber „spezieller“. Der Grund liegt in der zeitlichen Abfolge von DEP, MDM-Enrollment und dem Zurückspielen des Backups.
Wird ein Gerät per DEP (Device Enrollment Program) ausgerollt, erfolgt das Einspielen des Backups nach dem DEP-Prozess und damit nach der (erneuten) Registrierung am MDM-System. Handelt es sich bei dem Gerät um iOS-Gerät A, werden Sie sich wundern, denn die Wiederherstellung auf dem gleichen Gerät schlägt fehl. Die MDM-Anbindung geht in diesem Fall verloren. Der Grund ist einfach. Zwar stellt das Backup alle Daten korrekt wieder her, diese sind aber im Zeitverlauf ungültig geworden. Diese Ungültigkeit liegt darin versteckt, dass der Rollout per DEP die Generierung von Trust-Token und PushMagic neu veranlasst hat. Werden die Daten aus dem Backup nun wiederhergestellt, werden diese neuen und gültigen Werte mit den alten Werten aus dem Backup überschrieben. Stellt der Anwender das Ganze auf iOS-Gerät B wieder her, stimmt die UID nicht überein – die Daten werden aus dem Backup nicht übernommen und das Gerät ist trotzdem am MDM-System (bedingt durch das DEP) registriert – dank DEP.
Einige MDM-Systeme können mit diesen Szenarien trotzdem umgehen. Der Grund liegt darin, dass diese in der Lage sind, die Push-Magic-Zeichenkette zu speichern und bei einem neuen Geräteintrag im MDM-System zu korrigieren. Wird nun das IOS-Gerät A neu aufgesetzt, am DEP registriert und aus einem Backup von iOS-Gerät A wiederhergestellt, können diese MDM-Systeme diese Push-Magic-Zeichenkette neu vergleichen bzw. Erkennen, und die MDM-Anbindung funktioniert. Leider ist mir aber kein MDM-System bekannt, das diese Funktion offiziell bewirbt oder gar dokumentiert. Es funktioniert “einfach”. Sprechen Sie hier am besten Ihren MDM-Lieferanten oder -Dienstleister an.
Anmerkung am Rande
Alles dies kann Administratoren zur Verzweiflung bringen. Der Grund liegt einfach darin, dass diese Zusammenhänge nicht direkt ersichtlich bzw. als nicht als übersichtliche Dokumentation einsehbar sind.
Meine Meinung zu iCloud habe ich bereits zum Besten geben. An dieser Stelle gibt es noch eine Backup-Funktion, die weder so benannt noch als solche direkt erkannt wird. Die Rede ist von GameCenter. Ich empfehle Ihnen dringend, die Nutzung von GameCenter per MDM nicht zu unterbinden. Der Frustrationslevel von Mitarbeitern und Führungskräften ist enorm, wenn ein Gerätewechsel einen Spielstand ruiniert. Stellen Sie sich vor, Ihr Chef spielt über viele Jahre Angry Birds und fragt Sie, wo dieser Spielstand – unwiederbringlich – geblieben ist.
Geräte-Backups sind in erster Linie eine vom Endanwender gesteuerte Funktion. Es gibt keine Garantie dafür, dass sich diese Funktionalität in Zukunft nicht drastisch ändert oder sogar für Enterprise-(DEP-)fähige Geräte unzulässig wird.
Ich würde Unternehmen daher empfehlen, dass der Backup- und Wiederherstellungs-Screen auf DEP-Geräten komplett unterbunden wird und stattdessen die MDM-Möglichkeiten Verwendung finden, ein Gerät wieder ordnungsgemäß zu konfigurieren.
Eine Enterprise-Backup-Funktion bietet iOS (Stand heute) nicht.
Fazit
Das Backup-Thema ist stetiger Begleiter meiner Seminare. Ich habe diesen Artikel verfasst, um Ihnen die grundsätzlichen Zusammenhänge aus meiner Erfahrung zu erläutern. Weitere Details und Hintergründe habe ich in meinem Intensiv-Seminar vorbereitet. Hier erfahren Sie mehr über Push-Magic, die Risiken eines Backups bezogen auf die Apple Watch und vieles mehr. Ich würde mich freuen, Ihre Erfahrungen, Herausforderungen und Erkenntnisse im iOS Umfeld in mein Seminar einfließen lassen zu dürfen und würde Sie gerne persönlich bei diesem begrüßen.
