sicherer Apple Geräte-Transport

TL;DR - nur Apple kann dauerhafte Gerätesperren setzen, für eine dauerhafte Gerätesperre benötigt Apple die Geräte-Verknüpfung zu einer Apple ID.
MDM-Gerätesperren sind ab MDM-Entfernung aufgehoben was genau das Ziel der Diebe ist.

Voraussetzungen

Apple Business Manager
Händler, welche Geräte vorregistriert
Händler, welcher Freigabeprozesse zwischen Vorregistrierung und Versand ermöglicht
MDM mit Profilen (z.B. Intune)

Doings

Klassische Apple ID anlegen (z.B. transportdevices@company.com)
MDM profil anlegen, enforcing der Apple ID auf iOS
Shop bitten Geräteregistrierung zu machen
Geräte im Apple Business Manager zum MDM server hinzufügen
MDM profil für neu registriertes Gerät setzen
Freigabe zum Versand erteilen

Reaktion bei ordnungsgemäßem Empfang

Vor erstem Anschalten das MDM-Profil ändern
Gerät einsetzen

iPhone Prozess bei Dieb

Dieb oder Käufer der Hehlerware schalten das Gerät ein
Einrichtungsprozess kann durchgangen werden
Dieb sorgt für Internetzugriff, durch SIM oder WLAN
Im Einrichtungsprozess wird keine Möglichkeit gegeben eine Apple ID anzugeben
Die durch das MDM Profil vergebene PIN ist aktiv
Durch die Apple ID können die Geräte von Apple selbst verwaltet werden, weil Apple den MDM Herstellern weniger Zugriff gestattet.
(z.B. Komplett-Deaktivierung des gesamten Geräts, auch nach Entfernung aus MDM)

Nachsorge nach Diebstahl

Voraussetzung: Dieb oder sein Käufer muss das Gerät eingeschaltet haben. Sieht man im MDM.

Als Apple ID transportdevices@company.com mit Apple kommunizieren.
Apple über Diebstahl und polizeiliche Anzeige aufklären.
Anzeige erstatten
Polizei den Umstand mit der Apple ID erklären
Polizei Zugriff auf eure transportdevices Apple ID geben. (Geolokation über "Wo ist" Netzwerk)
Nach Bestätigung von Apple und Zeitablauf der Anzeige dass dieses Gerät komplett deaktiviert wurde aus dem MDM entfernen.

Die meisten Anzeigen werden nicht weiterverfolgt, da es sich nicht um Diebstähle in großem Maß handelt und die Jurisdiktion von Polizeiarbeit über Ländergrenzen hinweg deutlich schwieriger ist.

Warum?

Apple erlaubt ohne Apple ID keine dauerhafte Gerätesperre.
Das Ziel der Diebe ist nicht das iPhone, sondern der Erlös des Verkaufs von diesem.

Der Hehler hat keine Kundschaft, wenn er Geräte verkauft die für seine Kunden nicht einsetzbar sind, und fordert demzufolge auch keine neuen Geräte vom Dieb an.

Drittanbieter-MDM's können keine dauerhaften Gerätesperren setzen! Auch Intune ist in der Hinsicht Drittanbieter.
Dauerhaft bedeutet ein kompletter Soft-Brick der Geräte. Egal nach welcher Methode, diese Seriennummer hat keine Betriebserlaubnis bei Apple mehr...

Wie kann der Dieb mit den Geräten umgehen?

SMD-Lötstation haben
Zugriff auf Spare-Part-Chips aus gleicher Modellserie haben
SMD-Chip auslöten und anderen einlöten

Dies ist ein Prozess der fast ausschließlich nur im Produktionsland der iPhones gemacht werden kann.
Die Endpunkte der Hehlereiware sind in der Regel nicht die Produktionsländer.

Quirks and Features

Mit eurem MDM hat Apple nichts zu tun
Apple kann erst Geräte sperren, wenn sie Internetverbindung hatten, und eine Apple ID auf dem Gerät aktiv war
Über das Enforcing der Apple ID sorgt ihr dafür dass ein Apple Device ab dem ersten einschalten im "Wo ist" Netzwerk von Apple ist.