WWDC 2026: Das bedeutet OS 27 für das Apple Management in Unternehmen tatsächlich  

Ob iOS 27, iPadOS 27, macOS 27 „Golden Gate“, watchOS 27, tvOS 27 oder visionOS 27: Der Release der OS 27-Generation steht im Herbst dieses Jahres an. Das kündigte Apple auf der WWDC 2026 an. An sich ist dies auch keine Überraschung; schließlich veröffentlicht Apple jedes Jahr ein neues Betriebssystem. IT-Teams sollten sich den Release von OS 27 dennoch ganz oben auf ihre Agenda packen. Denn damit sind einige Veränderungen verbunden. So wird vieles, was bislang optional war, zum Standard – und einiges, worauf sich bestehende Setups bisher verlassen haben, verschwindet. 

Doch welche Veränderungen für Unternehmen sind nun konkret mit OS 27 verbunden? Hierzu müssen wir zunächst unterscheiden, welche Änderungen Apple auf der WWDC 2026 offiziell kommuniziert hat – und welche nicht. Kommuniziert wurden vor allem die folgenden fünf Punkte: 

1. Declarative Device Management ist jetzt der Standard

Ab der OS-27-Generation ist das Thema Declarative Device Management (kurz: DDM) für Unternehmen keine Kür mehr, sondern Pflicht. Das heißt: DDM wird zum Standard für die Verwaltung von Apple Geräten wie iPhone, iPad oder Mac. Und das ist grundsätzlich positiv: Ab diesem Zeitpunkt verwalten die Geräte Konfigurationen wie Tastatureinstellungen, VPN- und Netzwerkprofile autonom auf Basis deklarativer Vorgaben. Änderungen werden vom Gerät selbstständig umgesetzt, und das Gerät meldet seinen Konfigurationsstatus proaktiv an das Managementsystem zurück. Damit entfällt die Notwendigkeit, dass das Managementsystem diese und weitere Daten permanent abfragen muss. Auch das Credential-Management wird deklarativ: Die IT pflegt Zertifikate und Identitäten künftig zentral als eigenständige Assets. Alle davon abhängigen Konfigurationen – wie VPN, DNS oder SSO – referenzieren diese Assets und übernehmen Änderungen bei Erneuerung automatisch. Das heißt: Durch DDM fällt der Aufwand für die IT tendenziell geringer aus. 

Allerdings gibt es einen großen Haken: Mit OS 27 entfernt Apple die klassischen MDM-Commands und -Queries für Software-Updates sowie die zugehörigen Legacy-Einstellungen für Update-Verzögerungen und -Einschränkungen vollständig. Die gesamte Update-Steuerung läuft dann ausschließlich über das DDM-basierte Software Update Enforcement. Wir von CANCOM empfehlen IT-Abteilungen deshalb dringend, rechtzeitig zu überprüfen, ob ihre MDM-Lösung ein DDM-basiertes Update-Management unterstützt. Sollte dies nicht der Fall sein, wird im Herbst ab dem ersten OS 27-Update jede Update-Steuerung ins Leere laufen. 

2. Mac Security: Native Ausführungskontrolle statt Skript-Bastelei 

Mit OS 27 verfolgt Apple das Ziel, die Sicherheit des Mac nochmal deutlich zu erhöhen. Dafür führt Apple mit Binary Execution Controls eine neue Funktion ein – die auf der WWDC 2026 als eine der wichtigsten IT-Neuerungen des Releases dargestellt wurde. Damit lässt sich erstmals direkt auf macOS festlegen, welche Programme auf einem verwalteten Mac ausgeführt werden dürfen und welche nicht. Was nicht freigegeben ist, wird vom Betriebssystem in Zukunft automatisch blockiert. Mac Admins, die diese Blockade bisher über Eigenskripte oder Drittlösungen durchführen mussten, werden somit entlastet. Das ist besonders für regulierte Branchen, für die klare Software-Freigaben und die Eindämmung von Schatten-IT eine zentrale Rolle spielen, ein großer Schritt.

Jedoch gilt zu beachten: Binary Execution Controls ist nur mit Augenmaß sinnvoll. Während zu strenge Regeln legitime Arbeit blockieren, bringen zu weiche kaum Sicherheitsgewinn. Wir empfehlen deshalb die stufenweise Einführung in Wellen (Waves) mit definierten Test- und Ausnahmegruppen. 

Daneben reift der App-Lifecycle weiter – verwaltete Apps lassen sich auf dem Mac nun gerätegebunden bereitstellen, und beim Entfernen einer Paketkonfiguration räumt das System die installierten Dateien gleich mit ab. 

3. Privacy Management: ein Dialog statt einzelner Berechtigungen

Bislang mussten Nutzer für die Verwendung unter anderem von Kamera, Mikrofon, Standort, Standortgenauigkeit, Bluetooth, lokales Netzwerk, Diktierfunktion und Bedienungshilfen jeweils eine separate Berechtigung erteilen. Ab OS 27 gibt es auf verwalteten Geräten einen gebündelten Dialog, der alle benötigten Berechtigungen einer App zusammenfasst. Dieser zeigt den Organisationsnamen, den App-Namen sowie eine vom IT-Administrator hinterlegte Begründung an. Der Nutzer kann alle Berechtigungen mit einem Klick freigeben – oder den Dialog ablehnen. Das gleiche Prinzip greift im Safari-Browser – dann pro Website. 

Wir erwarten, dass sich das neue Dialogsystem im Tagesgeschäft schnell auszahlen wird. Denn so lassen sich künftig Berechtigungen sauber vorkonfigurieren – und damit ein Dauerbrenner im Ticketsystem vermeiden: unklare Berechtigungsabfragen. Probleme, bei denen beispielsweise die Kamera im Videocall nicht startet oder eine App den Zugriff aufs Mikrofon verweigert, werden dann deutlich reduziert.

4. Identität wird deklarativ: Platform SSO über DDM

Mit OS 27 wird das in macOS integrierte Framework Platform SSO in DDM überführt – und verändert damit die Anmeldung am Mac grundlegend. Über eine moderne, Web-basierte Anmeldemaske lassen sich die Authentifizierungsschritte künftig direkt auf dem Login-Bildschirm abbilden. Auf verwalteten Firmengeräten haben Unternehmen zudem die Möglichkeit, Touch ID verpflichtend vorzugeben. Auch mehrstufige Authentifizierungsverfahren wie Einmalcodes, Push-Benachrichtigungen oder QR-Codes lassen sich über die neue Web-basierte Anmeldemaske konsistent abbilden – bis hin zur Entsperrung von FileVault. Darüber hinaus unterstützt die Plattform auch phishingresistente Verfahren wie Passkeys.

Zentraler Baustein hierfür ist die Hinterlegung eines vertrauenswürdigen Identity Providers (kurz: IdP) auf jedem Gerät. Dadurch verschmelzen die Anmeldung am Gerät und die Anmeldung beim IdP in Zukunft zu einem einzigen Vorgang. Für Unternehmen mit Mac Flotten und einem zentralen IdP wie Microsoft Entra ID bedeutet das: Geräte- und Identitätssicherheit rücken näher zusammen und Conditional-Access-Workflows lassen sich sauberer abbilden.  

Ergänzend wird der Authenticated Guest Mode erweitert. Dieser funktioniert nun auch auf FileVault-geschützten Mac Geräten und, angekündigt für 2026 (Stand: WWDC 2026), auf Shared iPad. Gerade bei letzterem wird dadurch in Healthcare, Retail oder im Schichtbetrieb eine alte Lücke zwischen temporärer Nutzung und hoher Gerätesicherheit geschlossen.

5. Mehr Sichtbarkeit und Automatisierung im Betrieb

Im Tagesgeschäft hilft es oft mehr, einem streikenden Gerät schnell auf die Schliche zu kommen, als noch weitere Konfigurationsmöglichkeiten zu haben. Genau hier setzt OS 27 an: Administratoren erhalten erstmals eine verlässliche Rückmeldung, ob ein Gerät während des Enrollments vollständig eingerichtet wurde – noch bevor das Device beim Nutzer ankommt. 

Zusätzlich werden Hardware-Zustandsdaten von iPhone und iPad, etwa zu Kamera, Face ID oder Baseband-Modul, auf Flottenebene sichtbar gemacht – sodass sich ein defekter Sensor erkennen lässt, bevor ein Nutzer ein Ticket aufmacht. Und für eskalierte Fälle kann remote eine erweiterte Diagnose angestoßen und an AppleCare übergeben werden, ohne dass der Nutzer mitwirken muss.

Parallel dazu wird die Plattform Apple Business weiter ausgebaut, die Apple Business Manager und Apple Business Essentials unter einem Dach vereint. Apple Business ist inzwischen in über 200 Ländern und Regionen verfügbar. Für die Unternehmenspraxis sind hier vor allem die erweiterten APIs für Benutzer, Gruppen, Konfigurationen und Lizenzen interessant: Diese erzielen die größte Wirkung, wenn wiederkehrende Aufgaben automatisiert und an HR-, Ticketing- oder ITSM-Systeme wie ServiceNow angebunden werden – also insbesondere im Managed Service-Betrieb und in großen Geräteflotten.

Um hier das volle Potenzial auszuschöpfen, müssen Firmen jedoch sicherstellen, dass ihre eingesetzte MDM-Lösung die neuen Statusdaten und Schnittstellen so aufbereitet, dass Betrieb und Service Desk damit arbeiten können. 

Diese Punkte müssen IT-Abteilungen ebenfalls im Auge haben

Neben diesen fünf Themen, die offiziell auf der WWDC 2026 kommuniziert wurden, müssen sich IT-Teams vor dem Release von OS 27 zusätzlich mit folgenden Punkten befassen:

• Strengere TLS-Anforderungen: Für MDM, DDM, Automated Device Enrollment, Profil- und App-Installation sowie Software-Updates müssen Server künftig mindestens TLS 1.2 mit ATS-konformen Cipher Suites und gültigen Zertifikaten unterstützen – Apple empfiehlt TLS 1.3. Ausgenommen sind SCEP- und Content-Caching-Server.
• Geänderter Backup-Restore: Ab iOS, iPadOS und visionOS 27 wird der Management-Status eines Geräts nach einem Restore nicht mehr automatisch wiederhergestellt. Stattdessen wird der bisherige Management-Status nicht aus dem Backup übernommen. Geräte, die in Apple Business registriert sind, durchlaufen nach dem Restore automatisch erneut das Automated Device Enrollment (ADE) und erhalten so den aktuellen Management-Status. Geräte ohne ADE-Registrierung verlieren hingegen ihren Management-Status und müssen manuell neu eingerichtet werden. Unternehmen, die Restore- oder Re-Provisioning-Prozesse nutzen – etwa bei Carve-outs – sollten ihre bestehenden Abläufe entsprechend anpassen. 
• Abkündigung von Microsoft Exchange Web Services: Microsoft beginnt am 1. Oktober 2026 mit der Deaktivierung von Exchange Web Services, die endgültige Abschaltung erfolgt am 1. April 2027. Apple reagiert darauf, indem die nativen Mail-, Kalender- und Kontakte-Apps in macOS von Exchange Web Services auf die Microsoft Graph API umgestellt werden. Dies wird jedoch erst in einem späteren macOS 27-Update erfolgen. Folglich entsteht eine Übergangszeit, die IT-Abteilungen früh einplanen sollten. 
• Das Intel-Aus: macOS 27 läuft ausschließlich auf Apple Silicon. Intel Mac Geräte bleiben auf macOS 26. Über welchen konkreten Zeitraum diese Geräte noch Sicherheitsupdates bekommen, hat Apple nicht genannt. Erfahrungsgemäß versorgt Apple jedoch immer die beiden Vorgängerversionen eines aktuellen macOS mit Sicherheitsupdates. Das heißt: macOS 26 wird voraussichtlich noch bis zum Release von macOS 29 – also bis etwa Herbst 2028 – Sicherheitsupdates bekommen. Rosetta 2 ist in macOS 27 noch vollständig integriert. Ab macOS 28 hat Apple bereits angekündigt, dass Rosetta-2-Support nur noch für einen eingeschränkten Teil älterer, nicht mehr gepflegter Spiele mit Intel-Frameworks besteht. Unternehmen mit Intel-only-Software sollten deshalb macOS 27 als letzte Version mit vollem Rosetta-2-Support einplanen.

Apple Intelligence – und der EU-Sonderfall

Wie bereits erwähnt, dominierte Siri AI auf der WWDC 2026 die Schlagzeilen. Hier gibt es für deutsche und europäische Unternehmen jedoch eine Besonderheit: Siri AI wird in der EU zum Start nicht auf iPhone und iPad ausgeliefert. Apple verweist auf die Anforderungen des Digital Markets Act (DMA) und nennt aktuell keinen Termin für eine spätere Verfügbarkeit. Auf macOS 27 und visionOS 27 ist Siri AI in der EU dagegen verfügbar. Auf watchOS 27 ist Siri AI in der EU ebenfalls nicht verfügbar, da es ein kompatibles iPhone mit aktivierter Siri AI in der Nähe voraussetzt. 

Für Geräteflotten in der EU heißt das in der Praxis: Die Frage nach dem Umgang mit Siri AI auf iPhone und iPad stellt sich vorerst gar nicht – auf dem Mac dafür umso mehr. Die übrigen iOS bzw. iPadOS 27-Neuerungen erscheinen in der EU regulär.

Auf der Management-Seite bleibt die Botschaft angenehm nüchtern: Administratoren können granular steuern, welche Apple Intelligence Funktionen auf welchen verwalteten Geräten verfügbar sind. Weil die Verarbeitung zunehmend lokal stattfindet, gewinnt diese Steuerung für Datenschutz- und Compliance-Vorgaben an Gewicht – es lohnt sich deshalb, die verfügbaren Optionen frühzeitig mit den eigenen Acceptable-Use-Richtlinien abzugleichen.

Zusammengefasst: Das müssen Unternehmen im Zuge von OS 27 jetzt angehen 

OS 27 ist kein Release, das sich IT-Teams wegen eines einzelnen Features einplanen. Es ist eines, bei dem im Hintergrund die Statik des Managements der Apple Geräte neu gegossen wird: mehr Automatik, weniger manueller Aufwand – aber auch einige harte Deadlines, die keinen Aufschub dulden. Wer Apple Geräte ernsthaft betreibt, sollte bis zum Herbst vor allem zwei Dinge angehen: Erstens müssen die entsprechenden IT-Teams die eigenen Update- und Enrollment-Prozesse für OS 27 vorbereiten. Zweitens sollten sie die neuen DDM-Funktionen im Vorfeld umfassend testen, bevor die Geräte im großen Stil auf OS 27 aktualisiert werden. Weitere Neuerungen – wie Binary Execution Controls, Platform SSO oder das gebündelte Berechtigungssystem – können anschließend Schritt für Schritt eingeführt werden. 

Dabei bleibt natürlich zu beachten: Wie reibungslos die Umstellung gelingt, hängt nicht allein von Apple ab – sondern auch davon, wie zügig MDM-Anbieter, App-Hersteller und Identity Provider nachziehen.

So unterstützt CANCOM 

Unternehmen müssen die Umstellung auf OS 27 nicht alleine bewältigen – sie können dabei auf die umfassende Unterstützung von CANCOM setzen. Wir von CANCOM analysieren gemeinsam mit Ihnen, wie gut Ihre bestehende Umgebung auf DDM und die anstehenden Stichtage vorbereitet ist. Zudem entwickeln und testen wir die nötigen Policies vor dem Release von OS 27 und führen die Umstellung auf das neue Betriebssystem kontrolliert und schrittweise durch – von der ersten Bestandsaufnahme bis zum laufenden Managed-Service-Betrieb.

Sie möchten die WWDC-Neuerungen für Ihre Umgebung bewerten oder Ihre Apple zentrierte Management-, Identity- und Security-Landschaft gezielt auf OS 27 vorbereiten? Dann sprechen Sie gerne unsere Experten an.