MDM-Befehle ohne MDM-Dienst über PowerShell in Windows senden

Zur Verwaltung von Mobilgeräten lässt sich ein MDM (Mobil Device Management) verwenden. Michael Niehaus hat zufällig herausgefunden, dass sich MDM-Befehle direkt per PowerShell verwenden lassen, auch wenn kein MDM-Dienst in Windows vorhanden ist. Er hat ein PowerShell-Script geschrieben, was das ermöglichen soll.

Mir ist nachfolgender Tweet von Ex-Microsoft-Mitarbeiter Michael Niehaus zum Thema untergekommen. Er schreibt, dass das PowerShell-Script bereits über 4 Millionen Mal heruntergeladen worden sei (wobei das Script seit 2022 online ist).

Niehaus ist bei der Recherche zu einigen MDM-bezogenen Themen in Windows auf eine DLL namens mdmlocalmanagement.dll gestoßen. Das weckte sein Interesse und er hat dann angefangen zu graben, wie er im Blog-Beitrag Send MDM commands without an MDM service using PowerShell schreibt.

Im Beitrag beschreibt er, wie er durch Versuch und Irrtum darauf gestoßen ist, dass er MDM-Befehle, die normalerweise einen MDM-Dienst auf einer Maschine erfordern, auch per PowerShell absetzen kann.

Laut der Dokumentation von Microsoft wird der (vom Script verwendete) Embedded-Modus unter Windows 10 IoT Core und Windows 10 IoT Enterprise unterstützt. Nach den Tests von Niehaus funktioniert dieser Mode jedoch auch problemlos unter Windows 10/11 Pro, Education und Enterprise.

Die Cmdlets ermöglichen eine Nutzung der Funktionen des lokalen MDM-Servers unter Windows. Niehaus hat LocalMDM 1.1 als Cmdlets zur Nutzung unter Creative Common in der PowerShell-Gallery zur Verfügung gestellt. Zur Installation der Cmdlets ist folgender Befehl in der PowerShell-Konsole erforderlich.

Install-Module -Name LocalMDM

Die PSResource lässt sich mit folgendem Befehl in der PowerShell-Konsole installieren.

Install-PSResource -Name LocalMDM

Allerdings werden diese Möglichkeiten nicht von Microsoft unterstützt. Die Verwendung von LocalMDM 1.1 erfolgt laut Niehaus auf eigene Gefahr. Wer aber im Lab oder im eigenen Testbereich mit dem Thema "Mobile Device Management" experimentieren will, ohne ein MDM aufzusetzen, finden in den PowerShell Cmdlets möglicherweise eine Spielwiese. Details in dem Beitrag von Niehaus sowie der Beschreibung in der PowerShell-Gallery zu entnehmen.