Kurz gesagt: Das Apple-MDM-Pushzertifikat in Intune gilt 365 Tage und muss jedes Jahr erneuert werden. Nach dem Ablauf bleiben dir laut Microsoft 30 Tage Kulanz. Erneuere es unbedingt mit derselben Apple-ID, mit der es erstellt wurde, sonst müssen alle iPhones, iPads und Macs neu registriert werden.
Stand: 03.11.2026
Was passiert, wenn das Apple-Pushzertifikat abläuft?
Ohne gültiges Apple-MDM-Pushzertifikat kann Intune keine iOS-, iPadOS- und macOS-Geräte verwalten. Microsoft schreibt dazu: Läuft das Zertifikat ab, kann Intune die Geräte, die mit diesem Zertifikat registriert wurden, nicht mehr verwalten. Praktisch heißt das: Neue Einstellungen und Verwaltungsaufgaben erreichen die Geräte nicht mehr. Auch neue Geräte lassen sich nicht registrieren, denn das Zertifikat ist Voraussetzung für die Registrierung über das Unternehmensportal und über Apple Business, Apple School Manager oder Apple Configurator.
Die gute Nachricht: Nach dem Ablauf gibt es laut Microsoft eine Kulanzfrist von 30 Tagen, in der du das Zertifikat noch erneuern kannst. Diese Frist solltest du nicht einplanen, sondern als Notreserve sehen.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Welche Fristen musst du dir merken?
| Was | Frist |
|---|---|
| Gültigkeit des Apple-MDM-Pushzertifikats | 365 Tage ab Erstellung |
| Kulanz nach Ablauf | 30 Tage |
| Erneuerung | jährlich, mit derselben Apple-ID |
| Token für die automatische Geräteregistrierung (ADE) | ebenfalls jährlich erneuern, eigenes Ablaufdatum |
Das ADE-Token aus Apple Business ist ein eigenes Zertifikat. Microsoft weist darauf hin, dass ohne Erneuerung Änderungen aus Apple Business oder Apple School Manager nicht mehr zu Intune synchronisiert werden. Trag dir beide Termine getrennt in den Kalender ein.
Warum ist die Apple-ID so wichtig?
Das Pushzertifikat ist fest an die Apple-ID gebunden, mit der es erstellt wurde. Die Erneuerung muss mit genau diesem Konto erfolgen. Erstellst du stattdessen mit einer anderen Apple-ID ein neues Zertifikat, ist das kein Erneuern mehr: Microsoft beschreibt, dass ein geändertes Pushzertifikat (APNs) eine erneute Registrierung aller Geräte erfordert. Bei vielen Firmengeräten bedeutet das, jedes Gerät einzeln neu einzurichten.
Microsoft empfiehlt deshalb:
- Eine Firmen-E-Mail-Adresse als Apple-ID verwenden, keine private.
- Das Postfach von mehr als einer Person überwachen lassen, zum Beispiel über einen Verteiler.
Ein typischer Stolperstein: Das Zertifikat wurde vor Jahren von einem Mitarbeiter mit seiner Adresse angelegt, der inzwischen nicht mehr da ist. Dokumentiere deshalb die Apple-ID und sichere den Zugang im Passwortmanager.
Wie erneuere ich das Zertifikat in Intune?
Die Schritte laut Microsoft, Menübezeichnungen auf Deutsch mit dem englischen Original in Klammern:
- Melde dich im Microsoft Intune Admin Center an.
- Gehe zu Geräte (Devices), dann Geräteonboarding (Device onboarding), dann Registrierung (Enrollment).
- Wähle die Registerkarte Apple und dort Apple MDM Push Certificate.
- Klicke auf Download your CSR und speichere die Anforderungsdatei lokal.
- Klicke auf Create your MDM push Certificate. Das Apple Push Certificates Portal öffnet sich. Melde dich mit der Apple-ID an, mit der das Zertifikat erstellt wurde.
- Suche das bestehende Zertifikat und wähle Renew. Lege nicht über „Create a Certificate“ ein neues an.
- Wähle über Choose File die gerade heruntergeladene CSR-Datei aus.
- Trag eine eindeutige Notiz zum Zertifikat ein, damit du es später wiederfindest.
- Klicke auf Upload und auf der Bestätigungsseite auf Download. Du erhältst eine .pem-Datei.
- Zurück im Intune Admin Center lädst du die .pem-Datei hoch.
Die Erneuerung ist laut Microsoft abgeschlossen, wenn das Zertifikat sowohl im Intune Admin Center als auch im Apple Push Certificates Portal als aktiv angezeigt wird.
Welches Zertifikat im Apple-Portal ist das richtige?
Liegen im Apple-Portal mehrere Zertifikate, hilft die eindeutige Kennung. Jedes Zertifikat hat eine UID. In den Zertifikatsdetails findest du die Subject-ID mit dem GUID-Teil dieser UID. Auf einem registrierten iPhone oder iPad siehst du denselben Wert unter Einstellungen (Settings), Allgemein (General), Geräteverwaltung (Device Management), dann das Verwaltungsprofil (Management Profile) und Mehr Details (More Details). Der Wert bei Topic enthält die GUID, die du mit dem Zertifikat im Apple-Portal abgleichen kannst.
So unterstützen wir dich
Wir verwalten für Unternehmen in Osnabrück und Umgebung iPhones, iPads und Macs mit Intune und behalten dabei die jährlichen Apple-Fristen im Blick. Ist das Zertifikat schon abgelaufen, klären wir mit dir, ob die Kulanzfrist noch reicht. Mehr dazu auf unserer Seite zu Microsoft Intune in Osnabrück.
Häufige Fragen
Wie lange ist das Apple-MDM-Pushzertifikat gültig?
365 Tage. Danach hast du laut Microsoft noch 30 Tage Kulanz, um es zu erneuern.
Was passiert, wenn ich ein neues Zertifikat mit einer anderen Apple-ID anlege?
Dann müssen laut Microsoft alle Apple-Geräte neu registriert werden. Erneuere deshalb immer mit der ursprünglichen Apple-ID.
Woran erinnert mich Intune?
Beim Einrichten trägst du die Apple-ID im Admin Center ein. Microsoft nutzt sie, um dich an die fällige Erneuerung zu erinnern.
Ist das ADE-Token dasselbe wie das Pushzertifikat?
Nein. Das Token für die automatische Geräteregistrierung aus Apple Business ist separat und muss ebenfalls jährlich erneuert werden.
Quellen
- Get an Apple MDM push certificate (Microsoft Learn, abgerufen am 03.11.2026)
- End-to-end guide to get started with macOS endpoints (Microsoft Learn, abgerufen am 03.11.2026)
- Set up automated device enrollment token for Apple mobile (Microsoft Learn, abgerufen am 03.11.2026)
