indigo im Einsatz.
Vom zertifizierten MDM zum zulassungskonformen Betrieb. iOS in Government Operations.
From certified MDM to approval-compliant operation.
Apple Indigo ermöglicht die Nutzung von Mail, Kontakte und Kalender auf iPhone und iPad für Daten auf NATO-RESTRICTED-Niveau. Das BSI zertifiziert den MDM-Server als Target of Evaluation — die Operational Environment außerhalb dieser Zertifizierungsgrenze ist das, was über Erfolg oder Scheitern eines Deployments entscheidet. Platform6 verantwortet genau das. Apple Indigo enables use of Mail, Contacts, and Calendar on iPhone and iPad for NATO RESTRICTED level data. The BSI certifies the MDM server as the Target of Evaluation — the Operational Environment outside that certification boundary is what determines whether a deployment succeeds or fails. Platform6 takes responsibility for exactly that.
- ADE/DEP Enrollment-Pipeline für BSI-konforme VS-NfD-Deployments ADE/DEP enrollment pipeline for BSI-compliant VS-NfD deployments
- Platform SSO, Managed Apple IDs, ACME/Attestation-Zertifikatsinfrastruktur Platform SSO, Managed Apple IDs, ACME/Attestation certificate infrastructure
- Governance-Dokumentation: Betriebskonzept, RACI, ADRs, Runbooks Governance documentation: operating concept, RACI, ADRs, runbooks
Die Zertifizierungsgrenze ist die Architekturgrenze. The certification boundary is the architecture boundary.
Was BSI zertifiziert What BSI certifies
Der MDM-Server. BSI Protection Profile PP-0115 (MDM-TS) und PP-0116 (MDM-TS + TCC-Modul) definieren die Sicherheitsanforderungen an die MDM-Serverkomponente — nicht an die umgebende Betriebsumgebung. Derzeit vollständig zertifiziert: BlackBerry UEM (BSI-DSZ-CC-1235-2025, EAL4+). Ivanti EPMM und Omnissa Workspace ONE befinden sich in vorläufiger Zulassung. The MDM server. BSI Protection Profiles PP-0115 (MDM-TS) and PP-0116 (MDM-TS + TCC module) define the security requirements for the MDM server component — not the surrounding operational environment. Currently fully certified: BlackBerry UEM (BSI-DSZ-CC-1235-2025, EAL4+). Ivanti EPMM and Omnissa Workspace ONE hold provisional approval.
Was gebaut werden muss What must be built
Die OE ist im BSI Protection Profile explizit als außerhalb des TOE definiert. Indigo erfordert keine zusätzliche Software — aber es erfordert eine definierte Architektur: ADE/DEP-Enrollment-Pipeline, Platform SSO, Managed Apple IDs, ACME/Attestation-Zertifikatsinfrastruktur und vollständige Governance-Dokumentation. Kein zertifiziertes MDM konfiguriert diese Umgebung automatisch. Die OE muss architektonisch entworfen, implementiert und dokumentiert werden. The OE is explicitly defined in the BSI Protection Profile as outside the TOE. Indigo requires no additional software — but it requires a defined architecture: ADE/DEP enrollment pipeline, Platform SSO, Managed Apple IDs, ACME/Attestation certificate infrastructure, and complete governance documentation. No certified MDM configures this environment automatically. The OE must be architecturally designed, implemented, and documented.
Ein zertifiziertes MDM ist eine notwendige, aber keine hinreichende Bedingung für einen zulassungskonformen Betrieb. Die Organisationen, die im Indigo-Zulassungsverfahren scheitern oder die Inbetriebnahme verzögern, scheitern nicht an der MDM-Zertifizierung — sie scheitern an einer unvollständig definierten Operational Environment. Das ist die Architekturlücke, die Platform6 schließt. A certified MDM is a necessary but not sufficient condition for compliant operations. Organizations that fail in the Indigo approval process or delay deployment do not fail because of MDM certification — they fail because of an incompletely defined Operational Environment. That is the architecture gap Platform6 closes.
Der Indigo-Stack und Platform6-Scope The Indigo stack and Platform6 scope
Was BSI Indigo vorschreibt What BSI Indigo requires
- iPhone/iPad — einzige zugelassene Endgeräte. Zugelassene Apps: Mail, Kontakte, Kalender. Apple silicon mit Secure Enclave; MIE (Memory Integrity Enforcement) auf A19/M5-Geräten. iPhone/iPad — only approved endpoints. Approved apps: Mail, Contacts, Calendar. Apple silicon with Secure Enclave; MIE (Memory Integrity Enforcement) on A19/M5 devices.
- BSI-zugelassenes VPN-Gateway — iOS unterstützt IKEv2, Cisco IPsec und L2TP over IPsec nativ; primäres Gateway primär Rohde & Schwarz BSI-approved VPN gateway — iOS supports IKEv2, Cisco IPsec, and L2TP over IPsec natively; primary gateway primarily Rohde & Schwarz
- BSI-zertifiziertes MDM — aktuell BlackBerry UEM (PP-0116, EAL4+). Indigo erfordert keine zusätzliche Software über MDM-Supervision hinaus. BSI-certified MDM — currently BlackBerry UEM (PP-0116, EAL4+). Indigo requires no additional software beyond MDM supervision.
Operational Environment — außerhalb des TOE Operational Environment — outside the TOE
- ADE/DEP Enrollment-Pipeline-Design und Umsetzungsdokumentation ADE/DEP enrollment pipeline design and implementation documentation
- Platform SSO-Architektur: Identity-Bindung, Managed Apple IDs, Federated Authentication Platform SSO architecture: identity binding, Managed Apple IDs, federated authentication
- ACME/Attestation-Zertifikatsinfrastruktur: Design, Ausstellung, Lifecycle ACME/Attestation certificate infrastructure: design, issuance, lifecycle
- Security-Baseline mit Indigo High-Profil (VS-NfD-Betriebsstandard) Security baseline with Indigo High profile (VS-NfD operational standard)
- Governance: Betriebskonzept, RACI-Matrix, ADRs, Runbooks Governance: operating concept, RACI matrix, ADRs, runbooks
Zwei Betriebsmodi — unterschiedliche OE-Anforderungen Two deployment modes — distinct OE requirements
Internet-erreichbar Internet-accessible
MDM-Server ist über das Internet erreichbar. Enrollment-Pipeline nutzt öffentlich zugängliche ADE/DEP-Endpunkte von Apple. Standard-Deployment-Modus für Behörden ohne vollständige Netzwerkisolation. Die OE-Anforderungen umfassen insbesondere die sichere Zertifikatsinfrastruktur und die Identity-Architektur. MDM server is internet-accessible. Enrollment pipeline uses Apple's publicly accessible ADE/DEP endpoints. Standard deployment mode for agencies without full network isolation. OE requirements focus particularly on certificate infrastructure security and identity architecture.
Verdeckt / netzwerkisoliert Covert / network-isolated
Keine direkte Internet-Verbindung. Enrollment-Pipeline, ADE-Kommunikation und Zertifikatsinfrastruktur müssen vollständig on-premises oder in einem kontrollierten Übergabepunkt operieren. Höchste OE-Komplexität. Erfordert explizite Architekturentscheidungen für jeden externen Abhängigkeitspunkt im Indigo-Stack. No direct internet connection. Enrollment pipeline, ADE communication and certificate infrastructure must operate entirely on-premises or at a controlled handoff point. Highest OE complexity. Requires explicit architecture decisions for every external dependency point in the Indigo stack.
Indigo-Baselines: Base und High Indigo baselines: Base and High
Die mSCP-Indigo-Baselines v1.4 (Branch ios26_rev2, NIST GitHub) definieren zwei Konfigurationsprofile. Platform6 übersetzt diese Baseline-Definitionen in deployfertige MDM-Konfigurationsprofile mit dokumentierter Begründung für jede Einstellung — eingebettet in den Governance-Rahmen der Operational Environment. The mSCP Indigo baselines v1.4 (branch ios26_rev2, NIST GitHub) define two configuration profiles. Platform6 translates these baseline definitions into deployment-ready MDM configuration profiles with documented rationale for each setting — embedded in the governance framework of the Operational Environment.
~70 Regeln. Kernhärtung für iOS im Behördeneinsatz. Grundlage für alle Indigo-Deployments. ~70 rules. Core hardening for iOS in government use. Foundation for all Indigo deployments.
Base + vollständige iCloud-Isolation, verpflichtendes S/MIME mit ACME/Attestation-Zertifikatsregeln, bekannte Netzwerke only, Safari JS-Deaktivierung, RCS-Deaktivierung, TLS-Untrusted-Disable. VS-NfD-Betriebsstandard. Base + full iCloud isolation, mandatory S/MIME with ACME/Attestation certificate rules, known networks only, Safari JS disable, RCS disable, TLS untrusted disable. VS-NfD operational standard.
Platform6 verantwortet, was der Stack offen lässt. Platform6 is responsible for what the stack leaves open.
Für jede zertifizierte Komponente im Indigo-Stack gibt es einen etablierten Akteur. Für die Operational Environment nicht.
Platform6 schließt diese Lücke: die Architektur, die VPN-Stack, MDM-Server und App-Schicht verbindet und die im BSI Protection Profile explizit außerhalb des zertifizierten Bereichs liegt.
For every certified component in the Indigo stack, there is an established actor. Not for the operational environment.
Platform6 closes this gap: the architecture that connects VPN stack, MDM server and app layer and that is explicitly outside the certified range in the BSI Protection Profile.
- Rohde & Schwarz Cybersecurity — BSI-zugelassener VPN-StackRohde & Schwarz Cybersecurity — BSI-approved VPN stack
- BlackBerry UEM — BSI-zertifizierter MDM-Server (Target of Evaluation)BlackBerry UEM — BSI-certified MDM server (Target of Evaluation)
- agilimo Consulting — Verteidigungs- und Bundesbetriebagilimo Consulting — defence and federal operations
- Materna Virtual Solution — SecurePIM, Trust-Produkte, App-SchichtMaterna Virtual Solution — SecurePIM, Trust products, app layer
- ADE/DEP Enrollment-Pipeline: Design, Sequenz, DokumentationADE/DEP enrollment pipeline: design, sequence, documentation
- Identitätsarchitektur: Platform SSO, Managed Apple IDs, Federated AuthenticationIdentity architecture: Platform SSO, Managed Apple IDs, federated authentication
- ACME/Attestation-Zertifikatsinfrastruktur: Design, Ausstellung, LifecycleACME/Attestation certificate infrastructure: design, issuance, lifecycle
- Governance: Betriebskonzept, RACI-Matrix, ADRs, RunbooksGovernance: operating concept, RACI matrix, ADRs, runbooks
NATO-RESTRICTED: Dieselben MDM-Anforderungen. 32 Mitgliedsstaaten. NATO-RESTRICTED: Same MDM requirements. 32 member states.
Die NATO IAPC-Erweiterung vom Februar 2026 auf 32 Mitgliedsstaaten hat das identische MDM-Anforderungsprofil wie Indigo. Für System Integratoren, die NATO-Beschaffungsberatung für mehrere Mitgliedsstaaten durchführen, ist die OE-Architektur der invariante Kern — die BSI-Zertifizierung des MDM-Servers ist der gemeinsame Nenner, die Operational Environment muss für jede nationale Deployment-Realität ausgelegt werden. Platform6 adressiert Beschaffungsberater und SI-Architekten auf dieser Ebene. The NATO IAPC expansion in February 2026 to 32 member states carries the identical MDM requirements profile as Indigo. For system integrators advising NATO procurement across multiple member states, the OE architecture is the invariant core — the BSI-certified MDM server is the common denominator; the Operational Environment must be designed for each national deployment reality. Platform6 addresses procurement advisors and SI architects at this level.
- BSI-DSZ-CC-1235-2025: BlackBerry UEM, vollständig zertifiziert (MDM-Server, PP-0116, EAL4+) BSI-DSZ-CC-1235-2025: BlackBerry UEM, fully certified (MDM server, PP-0116, EAL4+)
- BSI-DSZ-CC-1241: Ivanti EPMM + Omnissa Workspace ONE, vorläufige Zulassung BSI-DSZ-CC-1241: Ivanti EPMM + Omnissa Workspace ONE, provisional approval
- BSI-VSA-11003: iOS/iPadOS 26, NATO RESTRICTED, gültig bis 2027-10-31 BSI-VSA-11003: iOS/iPadOS 26, NATO RESTRICTED, valid until 2027-10-31
- BSI-VSA-10901: iOS/iPadOS 26, Betriebsgenehmigung, gültig bis 2027-10-31 BSI-VSA-10901: iOS/iPadOS 26, operating permit, valid until 2027-10-31
Für wen ist das relevant Who this is relevant for
System Integratoren mit Behördenmandaten System integrators with government mandates
Ihre Teams liefern MDM-Betrieb und VPN-Stack. Die Architektur der Operational Environment — Enrollment-Pipeline, Identity-Modell, Zertifikatsinfrastruktur, Governance-Dokumentation — ist die Lücke zwischen einem zertifizierten MDM und einem zulassungskonformen Deployment. Platform6 füllt genau diese Lücke. Your teams deliver MDM operations and VPN stack. The Operational Environment architecture — enrollment pipeline, identity model, certificate infrastructure, governance documentation — is the gap between a certified MDM and a compliant deployment. Platform6 closes exactly this gap.
Bundesbehörden und NATO-Beschaffungsberater Federal agencies and NATO procurement advisors
Ein zertifiziertes MDM in Ihrer Ausschreibung ist notwendig, aber nicht hinreichend. Ohne definierte Operational Environment erhalten Sie ein zertifiziertes Produkt in einer undokumentierten Umgebung — und damit kein belastbares Compliance-Argument. Platform6 liefert die Architekturverantwortung für die OE, die Ihnen erlaubt, vom Compliance-Nachweis zur Beschaffungsentscheidung zu gelangen. A certified MDM in your tender is necessary but not sufficient. Without a defined Operational Environment, you get a certified product in an undocumented environment — and therefore no defensible compliance argument. Platform6 delivers the architectural responsibility for the OE that allows you to move from compliance evidence to procurement decision.
Erstgespräch zur OE-Architektur Initial OE Architecture Consultation
Platform6 führt strukturierte Erstgespräche für Indigo-Vorhaben in Planung oder laufender Ausschreibung. Gegenstand ist die Einordnung der Operational Environment — Deploymentmodus, Identity-Infrastruktur, Zertifikatsanforderungen und Governance-Scope — im Verhältnis zur BSI-Zertifizierungsgrenze. Platform6 conducts structured initial consultations for Indigo deployments in planning or active procurement. The focus is the assessment of the Operational Environment — deployment mode, identity infrastructure, certificate requirements and governance scope — in relation to the BSI certification boundary.
Für die Vorbereitung hilfreich: Deploymentmodus (Brightsite/Darksite), MDM-Auswahl, bestehende Identity-Infrastruktur sowie ob das Vorhaben durch einen System Integrator oder die Behörde selbst geführt wird. To prepare: deployment mode (Brightsite/Darksite), MDM selection, existing identity infrastructure, and whether the deployment is led by a system integrator or the agency directly.