indigo im Einsatz.
Vom zertifizierten MDM zum zulassungskonformen Betrieb.
indigo steht für iOS Native Devices in Government Operation und ermöglicht die Nutzung von Mail, Kontakte und Kalender auf iPhone und iPad für Daten auf NATO-RESTRICTED-Niveau. Das BSI zertifiziert den MDM-Server als Target of Evaluation — die Operational Environment außerhalb dieser Zertifizierungsgrenze ist das, was über Erfolg oder Scheitern eines Deployments entscheidet. Platform6 verantwortet genau das.
- ADE/DEP Enrollment-Pipeline für BSI-konforme VS-NfD-Deployments
- Platform SSO, Managed Apple IDs, SCEP/EST-Zertifikatsinfrastruktur
- Governance-Dokumentation: Betriebskonzept, RACI, ADRs, Runbooks
- Zulassung
- VS-NfD / NATO-RESTRICTED
- Norm
- Mobile Solutions for Government Operations
- MDM
- Zertifiziert · BSI-DSZ-CC-1235-2025
- iOS/iPadOS 26
- BSI-VSA-11003 · gültig bis 31.10.2027
- Platform6-Scope
- Operational Environment, außerhalb des TOE
01 Grenze und Scope
Die Zertifizierungsgrenze ist die Architekturgrenze.
Der MDM-Server steht an der Perimeter: Das Gerät erreicht ihn direkt über das Internet, ohne Tunnel — beim Enrollment gibt es das VPN-Profil noch gar nicht. Diese Exposition ist der Grund für das Zertifikat nach BSI-CC-PP-0115. Das Gateway trägt die Nutzdaten. Enrollment, Identity, PKI und Governance liegen außerhalb der Zertifizierungsgrenze.
Der Always-on-Tunnel zum zugelassenen VPN-Gateway ist der einzige Weg nach innen. Der MDM-Server ist von außen nicht erreichbar; Apple-Dienste für Gerät und MDM laufen über den kontrollierten Übergabepunkt des Gateways. Deshalb ist kein MDM-TS-Zertifikat erforderlich — dafür braucht jede externe Abhängigkeit im Stack eine Architekturentscheidung.
Was BSI zertifiziert
Der MDM-Server. BSI Protection Profile PP-0115 (MDM-TS) und PP-0116 (MDM-TS + TCC-Modul) definieren die Sicherheitsanforderungen an die MDM-Serverkomponente — nicht an die umgebende Betriebsumgebung. Vollständig zertifiziert ist derzeit BlackBerry UEM (BSI-DSZ-CC-1235-2025, EAL4+). Samsung SDS EMM und Relution UEM laufen noch unter Übergangsfrist, bis 30.11. beziehungsweise 31.12.2026. Omnissa Workspace ONE und Ivanti EPMM sind ohne Zertifikat aus der Frist gefallen. Strukturell nicht adressierbar bleiben Cloud- und SaaS-Architekturen, solange kein Protection Profile für Cloud-Dienste existiert und die SOGIS-Harmonisierung aussteht.
Was gebaut werden muss
Die OE ist im BSI Protection Profile explizit als außerhalb des TOE definiert. indigo erfordert keine zusätzliche Software — aber es erfordert eine definierte Architektur: ADE/DEP-Enrollment-Pipeline, Platform SSO, Managed Apple IDs, SCEP/EST-Zertifikatsinfrastruktur und vollständige Governance-Dokumentation. Kein zertifiziertes MDM konfiguriert diese Umgebung automatisch. Die OE muss architektonisch entworfen, implementiert und dokumentiert werden.
Ein zertifiziertes MDM ist eine notwendige, aber keine hinreichende Bedingung für einen zulassungskonformen Betrieb. Die Organisationen, die im indigo-Zulassungsverfahren scheitern oder die Inbetriebnahme verzögern, scheitern nicht an der MDM-Zertifizierung — sie scheitern an einer unvollständig definierten Operational Environment. Das ist die Architekturlücke, die Platform6 schließt.
Der indigo-Stack und Platform6-Scope
Was BSI-indigo vorschreibt
- iPhone/iPad — einzige zugelassene Endgeräte. Zugelassene Apps: Mail, Kontakte, Kalender. Apple silicon mit Secure Enclave; MIE (Memory Integrity Enforcement) auf A19/M5-Geräten.
- BSI-zugelassenes VPN-Gateway — iOS unterstützt IKEv2, Cisco IPsec und L2TP over IPsec nativ; primäres Gateway primär Rohde & Schwarz
- BSI-zertifiziertes MDM — aktuell BlackBerry UEM (PP-0116, EAL4+). indigo erfordert keine zusätzliche Software über MDM-Supervision hinaus.
Operational Environment — außerhalb des TOE
- ADE/DEP Enrollment-Pipeline-Design und Umsetzungsdokumentation
- Platform SSO-Architektur: Identity-Bindung, Managed Apple IDs, Federated Authentication
- SCEP/EST-Zertifikatsinfrastruktur: Design, Ausstellung, Lifecycle
- Security-Baseline mit indigo High-Profil (VS-NfD-Betriebsstandard)
- Governance: Betriebskonzept, RACI-Matrix, ADRs, Runbooks
02 Betrieb und Zulassungslage
Zwei Betriebsmodi — unterschiedliche OE-Anforderungen
Erreichbar, aber souverän betrieben
Der MDM-Server ist aus dem Internet erreichbar — das Gerät spricht ihn beim Enrollment direkt an, bevor ein VPN-Profil existiert — und wird zugleich on-premises auf souveräner Infrastruktur unter deutscher Betriebskontrolle betrieben. Die Erreichbarkeit ist der Grund für das MDM-TS-Zertifikat; die zweite Anforderung entscheidet mehr: Sie bestimmt, welche MDM-Architekturen überhaupt in Frage kommen. Cloud- und SaaS-gehostete Produkte erfüllen sie in ihrer Standardarchitektur nicht, unabhängig vom Standort des Rechenzentrums. Die OE-Anforderungen liegen hier vor allem bei der Zertifikatsinfrastruktur und der Identity-Architektur.
Verdeckt / netzwerkisoliert
Keine direkte Internet-Verbindung. Enrollment-Pipeline, ADE-Kommunikation und Zertifikatsinfrastruktur müssen vollständig on-premises oder in einem kontrollierten Übergabepunkt operieren. Höchste OE-Komplexität. Erfordert explizite Architekturentscheidungen für jeden externen Abhängigkeitspunkt im indigo-Stack.
Zertifizierungsstand der Verwaltungsebene
Das zertifizierte Feld wächst nicht, es schrumpft: fünf zulässige MDM-Server im März, drei im Oktober. Ein Produkt hält das vollständige Zertifikat, die übrigen standen mit befristeten Übergangsfenstern in der Liste. Zwei dieser Fenster sind ohne Zertifikat abgelaufen, zwei laufen bis Jahresende. Stand: 13. Oktober 2026.
| Produkt | Status | Frist |
|---|---|---|
| BlackBerry UEM | Vollständig zertifiziert | 07.09.2030 |
| Samsung SDS EMM | Übergangsfrist | 30.11.2026 |
| Relution UEM | Übergangsfrist | 31.12.2026 |
| Omnissa Workspace ONE | Frist abgelaufen | 30.09.2026 |
| Ivanti EPMM | Frist abgelaufen | 30.06.2026 |
| Cloud- und SaaS-Architekturen | Strukturell offen | — |
Gilt für den Brightsite-Betrieb: Dort ist der MDM-Server aus dem Internet erreichbar und braucht ein Zertifikat nach BSI-CC-PP-0115. Im Darksite-Betrieb unter VS-NfD hinter einem zugelassenen VPN-Gateway ist kein MDM-TS-Zertifikat erforderlich.
Cloud und SaaS bleiben strukturell außen vor, solange kein Protection Profile für Cloud-Dienste existiert und die SOGIS-Harmonisierung aussteht.
Die Übergangsregelung, die einen Betrieb während laufender Evaluierung erlaubte, ist geschlossen: Produkte, die nicht bereits gelistet sind, brauchen eine abgeschlossene Zertifizierung. Für Beschaffung heißt das, dass ein laufendes Verfahren keine Planungsgrundlage mehr ist. Eine Zertifizierung nach PP-0115 dauert realistisch etwa 24 Monate, im Rückfall 30. Was dabei über den Zeitplan entscheidet.
Amber: derselbe Ansatz, auf dem Mac
Amber steht für Apple macOS Based Environment for Restricted und ist das macOS-Gegenstück zu indigo, derzeit in der BSI-Zertifizierung. Wo indigo ein iOS-Gerät mit einem kleinen, festen Satz zugelassener Anwendungen führt, ist Amber ein System-High-Ansatz: Die gesamte Arbeitsstation ist eingestuft.
Was das für die Auswahl einer Verwaltungsebene bedeutet, klären wir lieber im Gespräch als auf einer Webseite.
indigo-Baselines: Base und High
Die mSCP-indigo-Baselines v1.4 (Branch ios26_rev2, NIST GitHub) definieren zwei Konfigurationsprofile. Platform6 übersetzt diese Baseline-Definitionen in deployfertige MDM-Konfigurationsprofile mit dokumentierter Begründung für jede Einstellung — eingebettet in den Governance-Rahmen der Operational Environment.
~70 Regeln. Kernhärtung für iOS im Behördeneinsatz. Grundlage für alle indigo-Deployments.
Base + vollständige iCloud-Isolation, verpflichtendes S/MIME mit definierten Zertifikatsregeln, bekannte Netzwerke only, Safari JS-Deaktivierung, RCS-Deaktivierung, TLS-Untrusted-Disable. VS-NfD-Betriebsstandard.
Platform6 verantwortet, was der Stack offen lässt.
Für jede zertifizierte Komponente im indigo-Stack gibt es einen etablierten Akteur. Für die Operational Environment nicht.
Platform6 schließt diese Lücke: die Architektur, die VPN-Stack, MDM-Server und App-Schicht verbindet und die im BSI Protection Profile explizit außerhalb des zertifizierten Bereichs liegt.
Die folgenden Unternehmen liefern zertifizierte oder zugelassene Komponenten des indigo-Stacks. Es besteht keine Vertriebs- oder Partnerbeziehung zu Platform6; die Aufstellung beschreibt den Markt.
- Rohde & Schwarz Cybersecurity — BSI-zugelassener VPN-Stack
- BlackBerry UEM — BSI-zertifizierter MDM-Server (Target of Evaluation)
- agilimo Consulting — Verteidigungs- und Bundesbetrieb
- Materna Virtual Solution — SecurePIM, Trust-Produkte, App-Schicht
- ADE/DEP Enrollment-Pipeline: Design, Sequenz, Dokumentation
- Identitätsarchitektur: Platform SSO, Managed Apple IDs, Federated Authentication
- SCEP/EST-Zertifikatsinfrastruktur: Design, Ausstellung, Lifecycle
- Governance: Betriebskonzept, RACI-Matrix, ADRs, Runbooks
03 Reichweite und Zusammenarbeit
NATO-RESTRICTED: Dieselben MDM-Anforderungen. 32 Mitgliedsstaaten.
Apple hat im Februar 2026 bestätigt, dass iPhone und iPad für die Verarbeitung von als NATO RESTRICTED eingestufter Information zugelassen sind. Die NATO IAPC-Erweiterung vom Februar 2026 auf 32 Mitgliedsstaaten hat das identische MDM-Anforderungsprofil wie indigo. Für System Integratoren, die NATO-Beschaffungsberatung für mehrere Mitgliedsstaaten durchführen, ist die OE-Architektur der invariante Kern. Die BSI-Zertifizierung des MDM-Servers ist der gemeinsame Nenner, die Operational Environment muss für jede nationale Deployment-Realität ausgelegt werden. Platform6 adressiert Beschaffungsberater und SI-Architekten auf dieser Ebene.
- BSI-DSZ-CC-1235-2025: BlackBerry UEM, vollständig zertifiziert (MDM-Server, PP-0116, EAL4+)
- BSI-DSZ-CC-1241: Verfahren zu Ivanti EPMM, Übergangsfrist am 30. Juni 2026 ohne Zertifikat ausgelaufen
- Omnissa Workspace ONE: Übergangsfrist am 30. September 2026 ohne Zertifikat ausgelaufen
- BSI-VSA-11003: iOS/iPadOS 26, NATO RESTRICTED, gültig bis 2027-10-31
- BSI-VSA-10901: indigo, Einsatzerlaubnis für VS-NfD, gültig bis 2027-10-31
Für wen ist das relevant
System Integratoren mit Behördenmandaten
Ihre Teams liefern MDM-Betrieb und VPN-Stack. Die Architektur der Operational Environment — Enrollment-Pipeline, Identity-Modell, Zertifikatsinfrastruktur, Governance-Dokumentation — ist die Lücke zwischen einem zertifizierten MDM und einem zulassungskonformen Deployment. Platform6 füllt genau diese Lücke.
Bundesbehörden und NATO-Beschaffungsberater
Ein zertifiziertes MDM in Ihrer Ausschreibung ist notwendig, aber nicht hinreichend. Ohne definierte Operational Environment erhalten Sie ein zertifiziertes Produkt in einer undokumentierten Umgebung — und damit kein belastbares Compliance-Argument. Platform6 liefert die Architekturverantwortung für die OE, die Ihnen erlaubt, vom Compliance-Nachweis zur Beschaffungsentscheidung zu gelangen.
Erstgespräch zur OE-Architektur
Platform6 führt strukturierte Erstgespräche für indigo-Vorhaben in Planung oder laufender Ausschreibung. Gegenstand ist die Einordnung der Operational Environment — Deploymentmodus, Identity-Infrastruktur, Zertifikatsanforderungen und Governance-Scope — im Verhältnis zur BSI-Zertifizierungsgrenze.
Für die Vorbereitung hilfreich: Deploymentmodus (Brightsite/Darksite), MDM-Auswahl, bestehende Identity-Infrastruktur sowie ob das Vorhaben durch einen System Integrator oder die Behörde selbst geführt wird.