Mitarbeiter-App aus dem bestehenden Intranet: SSO, MDM und Push

Für wen sich eine Mitarbeiter-App lohnt

Wer am Schreibtisch arbeitet, hat das Intranet ohnehin im Browser offen. Anders sieht es bei gewerblichen Mitarbeitenden aus: in Filialen, Lager, Pflege, Produktion oder Außendienst. Dort gibt es oft kein Firmennotebook, aber ein Smartphone. Eine App mit eigenem Icon, dauerhafter Anmeldung und Push-Nachrichten erreicht diese Gruppe deutlich besser als eine URL im Lesezeichen.

Eine Neuentwicklung ist dafür selten nötig. Inhalte, Rollen und Berechtigungen liegen bereits im Intranet – ob SharePoint, ein CMS oder ein eigenes Portal. Entscheidend sind vier Themen: Anmeldung, Netzwerkzugriff, Verteilung und Benachrichtigungen.

Single Sign-on mit Entra ID, Okta & Co.

Mitarbeitende sollen sich mit ihrer gewohnten Unternehmensidentität anmelden. Dabei kommt es auf Details an:

1. Login über den Systembrowser: Identitätsanbieter schränken Anmeldungen in eingebetteten Web-Views zunehmend ein. Läuft der Login über die System-Authentifizierung (ASWebAuthenticationSession unter iOS, Custom Tabs unter Android), funktionieren vorhandene SSO-Sitzungen, Passkeys und Authenticator-Apps.
2. Conditional Access prüfen: Richtlinien, die ein konformes oder verwaltetes Gerät verlangen, blockieren eine App, die das MDM nicht kennt. Binden Sie das Identity-Team vor dem ersten Testbuild ein.
3. Sitzungsdauer festlegen: Wer im Schichtbetrieb arbeitet, will sich nicht ständig neu anmelden. Token-Laufzeiten sollten bewusst zur Sicherheitsrichtlinie passen.
4. Geteilte Geräte bedenken: Nutzen mehrere Personen ein Gerät, braucht es einen klaren Abmeldeprozess oder die Shared-Device-Modi Ihres Identitätsanbieters.

Wenn das Intranet nur im Firmennetz erreichbar ist

Eine App kann nur laden, was das Smartphone erreicht. Liegt das Intranet hinter der Firewall, gibt es drei übliche Wege: Veröffentlichung über einen identitätsbasierten Reverse Proxy, ein per MDM verteiltes Per-App-VPN oder die Auslagerung der mitarbeiterrelevanten Inhalte in einen gehosteten Dienst mit vorgeschaltetem SSO. Für private Geräte ist der Proxy meist die reibungsloseste Lösung.

Private Verteilung statt öffentlichem Store-Eintrag

• Apple Business Manager – „Custom Apps“: Die App wird über App Store Connect eingereicht, von Apple geprüft und nur für die von Ihnen benannten Organisationen freigegeben. Ideal für firmeneigene, betreute iPhones und iPads.
• Managed Google Play – private Apps: Veröffentlichung aus der Play Console, beschränkt auf das Managed-Google-Play-Konto Ihres Unternehmens. Passt zu Android-Enterprise-Geräten und Arbeitsprofilen.
• Nicht gelistete App-Store-App: Reguläre Prüfung, aber nicht über die Suche auffindbar – nur per Direktlink. Eine Option für private Geräte ohne MDM.

Mit Intune, Jamf, Workspace ONE oder vergleichbaren Systemen lässt sich die App still installieren und per „Managed App Configuration“ vorkonfigurieren, etwa mit der Intranet-Adresse je Standort. Beachten Sie: Intune-App-Schutzrichtlinien für nicht verwaltete Geräte setzen voraus, dass die App das SDK von Microsoft integriert. Das Apple Developer Enterprise Program ist keine Abkürzung – die Zulassung ist eng gefasst, für die meisten Unternehmen sind Custom Apps der richtige Weg.

Push-Nachrichten, Datenschutz und Betriebsrat

Push ist oft der eigentliche Grund für die App. Segmentieren Sie nach Standort, Abteilung oder Rolle, trennen Sie Sicherheitswarnungen von allgemeinen News und schreiben Sie keine vertraulichen Inhalte in den Benachrichtigungstext – er erscheint auf dem Sperrbildschirm.

In Deutschland hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei technischen Einrichtungen, die zur Leistungs- oder Verhaltenskontrolle geeignet sind. Eine Mitarbeiter-App mit Login und Nutzungsdaten fällt typischerweise darunter. Klären Sie außerdem mit Ihrer Datenschutzbeauftragten, welche Daten anfallen und ob eine Betriebsvereinbarung sinnvoll ist. Das ist keine Rechtsberatung, sondern eine Erfahrung aus vielen Projekten: Wer diese Gespräche früh führt, verliert später keine Wochen.

So unterstützt jocapps

WebViewGold macht aus Ihrem Intranet oder Mitarbeiterportal native iOS- und Android-Apps mit Push, Offline-Modus und nativen Schnittstellen – ohne die Inhaltsebene neu zu bauen. Sind individuelle SSO-Abläufe, Anbindungen an HR- oder ERP-Systeme oder ein langfristiger SLA gefragt, übernimmt OnlineAppCreator, unser ISO-zertifiziertes Delivery-Team für Unternehmen und öffentliche Hand. appsubmitter.io kümmert sich um Signierung und Einreichung von Custom- und nicht gelisteten Apps in Ihren eigenen Entwickler-Accounts.

Wenn Sie Ihre Ausgangslage besprechen möchten, buchen Sie ein kostenloses 30-minütiges Erstgespräch über den Terminplaner.