NetBird auf Firmengeräten ausrollen, ohne dass Nutzer die Einstellungen verbiegen? Wir planen Rollout, Richtlinien und Lizenz und betreiben NetBird auf Wunsch für Sie - siehe Secure Access Flatrate mit Managed NetBird ab 349,90 € netto im Monat (Basispaket mit Monitoring, Updates, Backups und Support) und NetBird-Expertise, oder direkt ein Erstgespräch vereinbaren.
NetBird lässt sich seit dem Sommer 2026 wie andere Unternehmenssoftware über das vorhandene MDM steuern. Mit Client-Version 0.73.0 vom 18. Juni 2026 hat NetBird Unterstützung für MDM-Konfigurationsprofile über die Windows-Registry und macOS-plists eingeführt (NetBird v0.73.0). Die neue Desktop-App aus Version 0.75 ist ausdrücklich dafür gebaut, „über die MDM-Plattform, die Ihr Unternehmen bereits nutzt", verteilt und verwaltet zu werden (NetBird v0.75).
Dieser Beitrag zeigt, was die Funktion genau leistet, wie der Rollout mit Intune, Jamf oder Gruppenrichtlinien abläuft und wo ihre Grenzen liegen. Er trennt dabei zwei Dinge, die oft vermischt werden: verwaltete Client-Einstellungen und Compliance-Gating. Stand Oktober 2026.
Inhaltsverzeichnis
- Zwei Funktionen, die man auseinanderhalten muss
- Was die MDM-Richtlinien technisch tun
- Windows, macOS und iOS im Überblick
- Eine sinnvolle Grundrichtlinie
- Der Rollout in vier Aufgaben
- Die Grenzen offen benannt
- Compliance-Gating mit Intune und EDR
- Einordnung gegenüber Tailscale und Cloudflare
- Unser Vorgehen bei WZ-IT
- Weiterführende Guides
Zwei Funktionen, die man auseinanderhalten muss
| Verwaltete Client-Einstellungen | Compliance-Gating | |
|---|---|---|
| Frage | Wie ist der Client konfiguriert? | Darf dieses Gerät ins Netz? |
| Wo es wirkt | Auf dem Endgerät | Im NetBird-Management |
| Seit | Client 0.73.0 (Juni 2026) | Bereits vor dieser Neuerung verfügbar |
| Anbindung | Jedes MDM über Registry, Profil oder App-Konfiguration | API-Abgleich mit Intune, CrowdStrike, SentinelOne, Huntress, FleetDM |
| Plattformen | Windows, macOS, iOS, tvOS | Bei Intune nur Windows und macOS |
| Lizenz | Laut Dokumentation keine Tarifbeschränkung | Cloud Business oder Self-Hosting mit Enterprise-Lizenz |
Die Neuerung aus 2026 ist die linke Spalte. Das Gating gab es schon vorher, es ist aber oft der Grund, warum Unternehmen nach „NetBird Intune" suchen. Beides ergänzt sich: Das MDM sorgt dafür, dass der Client richtig eingestellt ist, das Gating dafür, dass nur konforme Geräte Zugriff bekommen.
Was die MDM-Richtlinien technisch tun
Das MDM schreibt Werte an eine vom Betriebssystem geschützte Stelle. Der Client liest sie, wendet sie zuletzt und damit über allen anderen Einstellungen an und sperrt die betroffenen Optionen, sodass sie auf dem Gerät niemand ändern kann (NetBird, MDM-Integration).
NetBird bringt dafür keinen eigenen Agenten mit. Der Mechanismus gehört zum Betriebssystem: Jedes MDM, das unter Windows einen Registry-Wert schreiben, unter macOS ein Konfigurationsprofil verteilen oder unter iOS eine App-Konfiguration senden kann, funktioniert. Namentlich nennt die Dokumentation Microsoft Intune, Jamf Pro, Kandji, Mosyle, Workspace ONE, JumpCloud, Gruppenrichtlinien und Apple Configurator 2.
Das Verhalten im Detail:
- Vorrang: Die Richtlinie wird zuletzt angewendet. Ein Änderungswunsch, der einen fixierten Wert betrifft, wird als Ganzes abgelehnt.
- Aktualisierung: Unter Windows und macOS lädt der Client die Richtlinie jede Minute neu.
- Oberfläche: Fixierte Optionen werden ausgeblendet, nicht ausgegraut. Der Nutzer sieht den Hinweis „Your NetBird configuration was updated by your IT policy."
- Prüfung:
netbird debug configzeigt im FeldmDMManagedFields, welche Einstellungen fixiert sind. - Mindestversion: Client 0.73.0; ältere Versionen ignorieren verwaltete Richtlinien vollständig (NetBird, GPO-Deployment).
Windows, macOS und iOS im Überblick
| Plattform | Speicherort der Richtlinie | Verteilung | Besonderheiten |
|---|---|---|---|
| Windows | Registry HKLM\Software\Policies\NetBird |
ADMX/ADML-Vorlagen für GPO; Intune über dieselben ADMX oder OMA-URI | Management-URL immer mit Port angeben, etwa https://api.example.com:443 |
| macOS | Präferenz-Domain io.netbird.client in /Library/Managed Preferences/ |
Vorlage netbird-macos.mobileconfig, reine plist für Jamf Pro, Skript für JumpCloud |
Ohne MDM-Registrierung löscht macOS /Library/Managed Preferences/ bei jedem Neustart |
| iOS / tvOS | Managed App Configuration für io.netbird.app / io.netbird.app.tv |
Über das MDM als App-Konfiguration | Eine Richtlinie wirkt erst beim nächsten Öffnen der App; unter tvOS wird nur die App verwaltet, nicht der Tunnel |
| Linux | Kein MDM-Kanal | Konfigurationsmanagement wie Ansible oder Puppet | - |
| Android | Keine dokumentierte MDM-Integration | - | Seit 0.79.0 Richtlinien-Brücke im SDK, Auslieferung nicht beschrieben |
Quellen: macOS-Richtlinie, iOS-Richtlinie, MDM-Rollout, NetBird v0.79.0.
Eine sinnvolle Grundrichtlinie
NetBird dokumentiert 23 verwaltbare Schlüssel. Für die meisten Unternehmen reicht ein kleiner Satz, der den Client auf die eigene Instanz festlegt und die Optionen sperrt, an denen Nutzer nichts ändern sollen:
| Schlüssel | Wirkung | Empfehlung |
|---|---|---|
managementURL |
Legt fest, mit welcher NetBird-Instanz sich der Client verbindet | Immer setzen, besonders beim Self-Hosting |
disableProfiles |
Verhindert eigene Profile und damit Verbindungen zu fremden Instanzen | Setzen |
disableUpdateSettings |
Sperrt die Update-Einstellungen im Client | Setzen, wenn Updates über das MDM laufen |
disableAutostart |
Steuert den Start mit der Anmeldung; seit 0.75 bei jedem Start der App durchgesetzt | Nach Bedarf |
disableAutoConnect |
Steuert das automatische Verbinden | Nach Bedarf |
blockInbound |
Blockiert eingehende Verbindungen zum Gerät | Für Notebooks setzen |
allowServerSSH |
Erlaubt den eingebauten SSH-Server | Auf Client-Geräten deaktivieren |
rosenpassEnabled |
Post-Quanten-Schlüsselaustausch | Nach Sicherheitskonzept |
Drei Schlüssel sind laut Dokumentation noch ohne Wirkung: splitTunnelMode, splitTunnelApps und disableMetricsCollection. Version 0.78.0 hat zudem ergänzt, dass Remote-Jobs wie ein ferngesteuertes Debug-Bundle eine ausdrückliche Freigabe brauchen, die sich ebenfalls per MDM setzen lässt (NetBird v0.78.0).
Der Rollout in vier Aufgaben
NetBird empfiehlt, den Rollout in vier Aufgaben mit je einem klaren Verantwortlichen zu teilen (NetBird, MDM-Rollout):
- Installation über das MDM. Unter Windows als Win32-App (
.intunewin) oder MSI, ab Windows 10 22H2 (Intune-Anleitung). Wichtig: EXE- und MSI-Installer erkennen sich gegenseitig nicht. Ein Unternehmen sollte sich für ein Format entscheiden. - Eine SSO-Anmeldung je Nutzer. Die Geräte melden sich über den Identity Provider an. Setup-Keys sind laut NetBird für Server gedacht, nicht für Notebooks.
- Einstellungen über die Richtlinie. Die Grundrichtlinie aus dem vorigen Abschnitt, verteilt über ADMX, Konfigurationsprofil oder App-Konfiguration.
- Ein Verantwortlicher für Updates. Entweder das MDM oder der Client selbst, nicht beides. Wer Updates über das MDM steuert, sperrt die Update-Einstellungen im Client.
Seit Version 0.75.0 legt der Installer keinen maschinenweiten Autostart-Eintrag für die Oberfläche mehr an. Wer den Start mit der Anmeldung zentral festlegen will, regelt das über die Richtlinie.
Die Grenzen offen benannt
Die Funktion ist ein großer Schritt für verwaltete Umgebungen, aber kein vollständiger Zwangstunnel. Die Dokumentation sagt das selbst deutlich:
- Kein erzwungener Tunnel. Die Richtlinie fixiert die Konfiguration, nicht den Verbindungszustand. Nutzer können sich mit
netbird downoder dem Trennen-Button abmelden. - Lokale Administratoren bleiben mächtig. Wer Administratorrechte auf dem Gerät hat, kann den Dienst stoppen, den Client deinstallieren oder die Registry bearbeiten. Ohne entzogene Adminrechte ist die Richtlinie eine Konfigurationsvorgabe, keine Sperre.
- Linux und Android fehlen. Für Linux gibt es keinen MDM-Kanal, für Android noch keine dokumentierte Integration.
- iOS mit Verzögerung. Eine Richtlinie, die bei geschlossener App ankommt, wirkt erst beim nächsten Öffnen.
- Sicherheitsstand des Clients. Die Schwachstelle GHSA-qcpp-8vwj-hhwr im Client-Daemon (CVSS 8.8) betraf die Versionen bis 0.75.1. Wer per MDM ausrollt, sollte mindestens 0.76.0 verteilen.
Compliance-Gating mit Intune und EDR
Getrennt von den Richtlinien kann NetBird den Zugriff an den Status im MDM oder EDR koppeln. NetBird gleicht dafür die Liste der verwalteten Geräte per API ab und blockiert den Zugriff, wenn der Agent fehlt oder das Gerät nicht konform ist (NetBird, EDR- und MDM-Integrationen). Das gilt nur für die ausgewählten Gruppen.
Unterstützt werden CrowdStrike Falcon, FleetDM, Huntress, Microsoft Intune und SentinelOne Singularity. Für Intune gelten feste Regeln (NetBird, Intune-Integration):
| Regel | Wert |
|---|---|
| Benötigte Graph-Berechtigung | DeviceManagementManagedDevices.Read.All |
| Akzeptierter Status | Compliant oder InGracePeriod |
| Letzte Synchronisation mit Intune | innerhalb der letzten 24 Stunden |
| Plattformen | nur Windows und macOS; Linux, iOS und Android sind ausgeschlossen |
| Lizenz | NetBird Cloud Business oder Self-Hosting mit Enterprise-Lizenz |
In der NetBird Cloud kostet der Business-Tarif 12 Euro pro Nutzer und Monat und enthält laut Preisseite die MDM- und EDR-Gerätekontrollen (netbird.io/pricing). Beim Self-Hosting reicht dafür weder die kostenlose Community Edition noch der Commercial Starter; nötig ist die Enterprise-Lizenz. Die Abgrenzung der Editionen beschreibt unser Beitrag zur NetBird-Self-Hosting-Lizenz.
Unabhängig vom Gating gibt es die eingebauten Posture Checks, etwa für Client-Version, Land, Netzbereich, Betriebssystem oder laufende Prozesse (NetBird, Posture Checks). Sie brauchen kein MDM und decken viele Anforderungen bereits ab.
Einordnung gegenüber Tailscale und Cloudflare
| NetBird | Tailscale | Cloudflare WARP | |
|---|---|---|---|
| Client-Einstellungen per MDM | Windows, macOS, iOS, tvOS | Windows, macOS, iOS, tvOS, Android | Windows, macOS, Linux, iOS, Android |
| Tunnel sperrbar | Nein | Ja (AlwaysOn.Enabled) |
Ja (switch_locked) |
| Tarif für MDM-Einstellungen | Laut Dokumentation ohne Beschränkung | ab Standard | nicht geprüft |
| Gating über MDM/EDR | Intune, CrowdStrike, SentinelOne, Huntress, FleetDM | Device Posture mit Integrationen | u. a. CrowdStrike, Microsoft Endpoint Manager, SentinelOne, Workspace ONE |
| Self-Hosting | Ja | Nein (nur über Headscale) | Nein |
Quellen: Tailscale MDM-Schlüssel, Tailscale Device Posture, Cloudflare WARP MDM-Deployment, Cloudflare Service-Provider.
Der Vorteil von NetBird liegt in der Kombination aus selbst hostbarem Management, offenem Client und MDM-Richtlinien ohne dokumentierte Tarifschranke. Der Nachteil ist der fehlende Zwangstunnel. Wer ihn zwingend braucht, sollte das vor der Auswahl prüfen. Einen breiteren Vergleich bietet unser Mesh-VPN-Vergleich 2026.
Unser Vorgehen bei WZ-IT
Als offizieller NetBird-Reseller rollen wir NetBird so aus, dass es zum vorhandenen Gerätemanagement passt:
- Bestand klären: welches MDM, welche Plattformen, welcher Identity Provider, ob lokale Adminrechte entzogen sind.
- Lizenz festlegen: Community, Commercial Starter, Enterprise oder Cloud-Tarif, je nachdem, ob Compliance-Gating nötig ist.
- Grundrichtlinie bauen: Management-URL, gesperrte Profile, Update-Weg, eingehende Verbindungen, SSH, getestet auf je einem Gerät pro Plattform.
- Rollout in Wellen: Pilotgruppe, dann Abteilungen, mit Prüfung über
netbird debug configund den Gerätelisten im Management. - Betrieb: Updates, Policy-Pflege und Monitoring als Teil der Secure Access Flatrate oder im Rahmen unserer NetBird-Expertise.
Weiterführende Guides
- NetBird-Self-Hosting-Lizenz 2026 - Community, Commercial Starter und Enterprise abgegrenzt
- VPN ablösen: vom klassischen VPN zu Zero Trust - der Weg weg von Appliance und Portfreigabe
- Was ist neu in NetBird - Dashboard, identitätsbasiertes SSH und Self-Hosting
- Mesh-VPN im Vergleich 2026 - NetBird, Tailscale, Headscale und weitere
- Was ist NetBird? - Grundlagen und Architektur
NetBird sauber auf alle Firmengeräte bringen? Wir planen MDM-Richtlinie, Lizenz und Rollout mit Ihnen und übernehmen auf Wunsch den laufenden Betrieb. Jetzt Erstgespräch vereinbaren oder die Secure Access Flatrate ansehen.
Quellen
- NetBird v0.73.0: MDM-Konfigurationsprofile
- NetBird v0.75: neue Desktop-App
- NetBird v0.78.0: Remote-Jobs mit MDM-Freigabe
- NetBird v0.79.0: Richtlinien-Brücken für iOS- und Android-SDK
- NetBird-Dokumentation: MDM-Integration
- NetBird-Dokumentation: MDM-Rollout
- NetBird-Dokumentation: Windows-GPO-Deployment
- NetBird-Dokumentation: macOS-Richtlinie
- NetBird-Dokumentation: iOS-Richtlinie
- NetBird-Dokumentation: Intune-Deployment
- NetBird-Dokumentation: EDR- und MDM-Integrationen
- NetBird-Dokumentation: Intune-Compliance
- NetBird-Dokumentation: Posture Checks
- NetBird Preise
- GHSA-qcpp-8vwj-hhwr: Schwachstelle im Client-Daemon
- Tailscale: MDM-Schlüssel
- Cloudflare WARP: MDM-Deployment
