Terug naar de blog
9 november 2026

Mac beheren met Intune: zo regel je het voor je bedrijf

Medewerker richt een Mac in voor het werk

Werkt je team met MacBooks naast Windows-laptops? Dan kun je die Macs gewoon beheren met Microsoft Intune, in dezelfde omgeving als de rest van je apparaten. Je schrijft elke Mac in, Intune zet er een beheerprofiel op, en vanaf dat moment rol je apps, beveiligingsinstellingen en updates centraal uit. In dit artikel lees je wat je vooraf moet regelen, welke inschrijfmethode bij jouw situatie past, welke instellingen je als eerste aanzet en hoe je ook de Android-telefoons van je team netjes scheidt in werk en privé.

Astia
Beheer je Macs veilig en centraal
ASTIA IT beheert werkplekken, netwerken en telefonie voor mkb-bedrijven, zodat teams veilig kunnen doorwerken zonder zich met techniek bezig te houden.
Ontdek ASTIA IT

Kort samengevat

  • ✅ Intune beheert en beveiligt Macs die eigendom zijn van je bedrijf: apps, instellingen, updates en beveiliging vanuit één console.
  • 🔑 Je hebt vooraf nodig: Intune-licenties, een ingestelde beheerinstantie en een actief Apple MDM-pushcertificaat.
  • 💻 Inschrijven kan handmatig via de Bedrijfsportal-app of automatisch via Apple Business Manager. Voor nieuwe bedrijfs-Macs is automatisch de beste keuze.
  • 🔒 Begin met de basis: FileVault, firewall, Gatekeeper, software-updates en een nalevingsbeleid gekoppeld aan voorwaardelijke toegang.
  • 📱 Android-telefoons beheer je met een werkprofiel: IT ziet en beheert alleen het werkgedeelte, privé blijft privé.

Inhoudsopgave

Wat Intune op een Mac voor je doet

Intune is de cloudservice van Microsoft voor het beheren van apparaten en apps. Volgens Microsoft kun je er apparaten mee inschrijven, configureren, beveiligen en bijwerken, apps uitrollen en bepalen welke gebruikers en apparaten bij je bedrijfsgegevens mogen. Dat geldt niet alleen voor Windows. Intune ondersteunt inschrijving op Android, iOS/iPadOS, Linux, macOS en Windows.

Voor Macs betekent dat concreet dat je:

  • 📦 apps op afstand installeert, zoals Microsoft 365-apps, Teams of je eigen bedrijfssoftware;
  • ⚙️ apparaatfuncties instelt, bijvoorbeeld wie er mag inloggen en wat er gebeurt bij inactiviteit;
  • 🛡️ beveiliging afdwingt, zoals schijfversleuteling, de firewall en antivirus;
  • 🔄 software-updates regelt, zodat niemand maanden op een oude macOS-versie blijft hangen;
  • 🚫 toegang blokkeert voor een Mac die niet aan je regels voldoet.

Microsoft noemt in zijn handleiding voor macOS-eindpunten onder meer naleving en voorwaardelijke toegang, Microsoft Defender voor Eindpunt, FileVault, firewall, Gatekeeper, software-updates en het regelen van gastaccounts en inactieve aanmelding.

Het grote voordeel voor het MKB: je hebt geen aparte tool of aparte leverancier nodig voor die paar Macs in je team. Eén console, één set regels, één overzicht van alle apparaten.

Wat je regelt voordat je begint

Een Mac inschrijven duurt een paar minuten. De voorbereiding in je Microsoft-omgeving is het echte werk. Microsoft noemt in de implementatiehandleiding voor macOS vier vaste stappen: gebruikers en groepen toevoegen, licenties toewijzen, een instantie voor het beheer van mobiele apparaten instellen en het Apple MDM-pushcertificaat instellen.

Loop deze checklist even door:

  1. Gebruikers en groepen. Zorg dat je medewerkers in Microsoft Entra ID staan en zet ze in logische groepen, bijvoorbeeld “Mac-gebruikers” of “Marketing”. Beleid wijs je straks per groep toe.
  2. Licenties. Elke gebruiker van wie je het apparaat wilt beheren, heeft een licentie met Intune nodig. Check welke abonnementen je nu hebt en of Intune daarin zit.
  3. Beheerinstantie. Stel Intune in als instantie voor het beheer van mobiele apparaten. In nieuwere omgevingen staat dit vaak al goed.
  4. Apple MDM-pushcertificaat (APNs). Zonder dit certificaat kan Intune niet met je Macs praten. Het moet aan Intune zijn toegevoegd en actief zijn voordat je ook maar één Mac inschrijft. Beheer je al iPhones in dezelfde omgeving, dan heb je deze stap waarschijnlijk al gedaan.

💡 Praktische tip: maak het pushcertificaat aan met een zakelijk Apple-account dat bij het bedrijf hoort, niet met de persoonlijke Apple ID van een medewerker. Microsoft raadt een beheerde Apple-ID via Apple Business Manager aan en waarschuwt dat toegang via een persoonlijke Apple ID kan wegvallen. Vertrekt die collega, dan wil je niet ontdekken dat niemand het certificaat meer kan vernieuwen. Gebruik bij voorkeur een algemeen beheeradres en zet de vervaldatum in een gedeelde agenda.

Ben je nog bezig met de bredere overstap naar Intune? In ons stuk over Intune voor het MKB lees je hoe je zo’n traject als beslisser aanpakt.

Twee manieren om een Mac in te schrijven

Intune ondersteunt voor Macs inschrijving van persoonlijke apparaten, automatische inschrijving van Apple-apparaten en directe inschrijving voor bedrijfsapparaten. In de praktijk kiezen de meeste MKB-bedrijven tussen twee routes.

Handmatig via Bedrijfsportal Automatisch via Apple Business Manager
Geschikt voor Macs die je al hebt, kleine aantallen Nieuwe bedrijfs-Macs, groeiende teams
Wie doet het De medewerker zelf, met instructie IT regelt het vooraf, de medewerker logt in
Extra nodig Bedrijfsportal-app Apple Business Manager-account en een koppeling (token) met Intune
Beheerprofiel verwijderen Gebruiker kan meer zelf Beter vast te zetten op bedrijfsapparaten
Ervaring Een paar handelingen in de app en instellingen Uitpakken, aanzetten, inloggen, klaar

Handmatig inschrijven via de Bedrijfsportal

Dit is de snelste manier om Macs die al in gebruik zijn onder beheer te brengen. Microsoft beschrijft de stappen voor de gebruiker in de handleiding Mac inschrijven bij de Intune-bedrijfsportal. Kort samengevat:

  1. Download het installatiepakket van de Bedrijfsportal via de link “Mijn Mac inschrijven” en installeer de app.
  2. Meld je aan met je werkaccount.
  3. Kies op het scherm “Toegang instellen” voor Beginnen, lees de privacyinformatie en kies Doorgaan.
  4. Kies bij “Beheerprofiel installeren” voor Profiel downloaden.
  5. Open het profiel in de macOS-systeeminstellingen, kies Installeren, vul het wachtwoord van de Mac in en kies Inschrijven.
  6. Wacht tot het profiel is geïnstalleerd en ga terug naar de app. Zie je een groen vinkje, dan ben je klaar.
  7. Vraagt de app nog om wijzigingen, bijvoorbeeld een sterker wachtwoord? Pas die aan, kies Opnieuw proberen en daarna Gereed.

Na het goedkeuren van het profiel wordt de Mac toegevoegd aan Microsoft Entra ID en beschikbaar in Intune. Let op: sluit de Bedrijfsportal-app niet tussendoor. De app herkent normaal gesproken zelf dat het profiel is geïnstalleerd. Heeft iemand de app toch gesloten, dan moet hij hem opnieuw openen om de registratie af te ronden.

💡 Tip: stuur je team een korte instructie met screenshots en plan een vast moment waarop iemand van IT bereikbaar is. Dan is iedereen in één ochtend ingeschreven.

Automatisch inschrijven via Apple Business Manager

Koop je nieuwe Macs voor je team? Dan is automatische apparaatinschrijving (ADE) de route die je wilt. De Mac wordt via Apple Business Manager aan jouw bedrijf gekoppeld. Zet een medewerker de Mac voor het eerst aan en logt hij in, dan meldt het apparaat zich direct bij Intune en haalt het alle instellingen op.

Daarvoor koppel je Apple Business Manager één keer aan Intune met een token. Met die token kan Intune volgens Microsoft apparaatgegevens synchroniseren, inschrijvingsprofielen naar Apple uploaden en apparaten aan die profielen toewijzen.

Bij het aanmaken van een Apple Business Manager-account vraagt Apple om bedrijfsgegevens, waaronder een geldig D-U-N-S-nummer. Reken op wat doorlooptijd voor de verificatie en begin dus op tijd.

Waarom deze route de moeite waard is:

  • ⏱️ geen handwerk per Mac, ook niet als je er tien tegelijk uitrolt;
  • 🔐 het beheer zit vast aan het apparaat, ook na een herinstallatie;
  • 🙌 je medewerker hoeft niets te weten over profielen of certificaten.

Welke instellingen je als eerste uitrolt

Na de inschrijving gaat het om de regels die je op de Macs zet. Intune gebruikt daarvoor configuratieprofielen die je aan groepen toewijst. Wijs je ze vooraf toe, dan worden ze tijdens de inschrijving automatisch toegepast. De Mac is dan direct goed ingericht.

Microsoft werkt met drie niveaus van basisbeleid: minimaal, verbeterd en hoog. Niveau 1 draait om antivirus, een sterk wachtwoordbeleid en het regelmatig installeren van updates. Niveau 2 voegt onder meer schijfversleuteling, beveiligd opstarten en strengere wachtwoordregels toe.

Een goede startset voor een MKB-bedrijf:

  • 🔒 FileVault aan. Raakt een MacBook kwijt in de trein, dan zijn de bestanden onleesbaar. Het is hetzelfde idee als BitLocker op Windows. Hoe je dat zonder gedoe uitrolt, lees je in onze gids over BitLocker implementeren.
  • 🧱 Firewall en Gatekeeper aan. Gatekeeper zorgt dat alleen vertrouwde apps starten.
  • 🛡️ Microsoft Defender voor Eindpunt. Hiermee bescherm je de Mac tegen malware en zie je dreigingen in hetzelfde overzicht als je Windows-apparaten.
  • 🔄 Updatebeleid. Stel in wanneer macOS-updates worden geïnstalleerd, zodat lekken snel dicht zijn.
  • 👤 Geen gastaccount, automatisch vergrendelen. Een onbeheerde Mac op een bureau is een open deur.
  • ✅ Nalevingsbeleid met voorwaardelijke toegang. Bepaal waaraan een Mac moet voldoen, zoals versleuteling en een recente macOS-versie.

Dat laatste punt is het sluitstuk. Intune werkt met beveiligingsbeleid, configuratiebeleid en nalevingsbeleid die samen je apparaten beschermen. Voldoet een Mac niet, dan kan hij in combinatie met voorwaardelijke toegang worden geblokkeerd voor je bedrijfsgegevens. Botsen regels met elkaar, dan heeft nalevingsbeleid voorrang. Combineer dit met tweestapsverificatie. Heb je die nog niet aan staan, begin dan met onze uitleg over MFA voor Microsoft 365.

Wat je medewerker ervan merkt

Goed ingericht beheer merk je vooral doordat alles gewoon werkt. De apps staan klaar, de mail is ingesteld en updates komen vanzelf.

Toch is het slim om je team vooraf te vertellen wat er gaat gebeuren:

Gebruiken medewerkers ook eigen apparaten voor werk? Leg dan vast wat wel en niet mag. Onze richtlijn voor een BYOD-beleid in het MKB helpt je daarbij.

Android-telefoons beheren met een werkprofiel

Heb je Macs onder beheer, dan komen de telefoons al snel aan bod. Voor Android werkt Intune met een werkprofiel. Dat is een apart deel van de telefoon waarin werkapps en werkgegevens staan. IT kan volgens Microsoft alleen werkgerelateerde e-mail, apps, instellingen en gegevens beheren. Je herkent werkapps aan een klein aktetasje op het icoon.

Dat geeft rust aan twee kanten:

  • 👔 jij weet zeker dat bedrijfsmail en bestanden beveiligd zijn en op afstand te wissen zijn;
  • 🏠 je medewerker weet dat zijn foto’s, WhatsApp en privéapps buiten beeld blijven.

Ook bij telefoons die van het bedrijf zijn en een werkprofiel hebben, ziet de organisatie volgens Microsoft alleen de apps in het werkprofiel.

Zo zet je het in Intune aan: ga naar de inschrijvingsbeperkingen voor apparaattypen, kies het beleid Standaard en selecteer bij de platforms Blokkeren voor Android en Toestaan voor Android-werkprofiel. Microsoft legt dat uit in de handleiding voor het configureren van Android Enterprise-apparaten. Daarna installeert de medewerker de Bedrijfsportal-app op zijn telefoon en volgt hij de stappen.

Medewerker stelt werkprofiel in op Android-telefoon

Veelvoorkomende fouten bij het inschrijven

Loopt een inschrijving vast, dan is de oorzaak meestal een van deze:

Melding Wat er aan de hand is Oplossing
“Uw Mac kan momenteel niet worden ingeschreven” met sleutelhangerfout -25244 Verouderde of beschadigde vermeldingen in de sleutelhanger Verwijder de betreffende sleutels in Sleutelhangerbeheer en installeer de Bedrijfsportal-app opnieuw (Microsoft)
“DeviceCapReached” of “Bedrijfsportal tijdelijk niet beschikbaar” De gebruiker zit aan zijn maximum aantal apparaten Ruim oude apparaatrecords op of verhoog de limiet (Microsoft)
Profiel installeert niet Een inschrijvingsbeperking blokkeert macOS, of er staat nog een oud beheerprofiel op de Mac Controleer je beperkingsbeleid en verwijder oude profielen

💡 Tip: controleer eerst de inschrijvingsbeperkingen. Intune kan inschrijving per platform beperken, en een vergeten blokkade op macOS is een klassieker.

Hoe wij naar Mac-beheer kijken

Wij zien het steeds vaker: een MKB-bedrijf werkt jaren met Windows, en dan komt er een nieuwe directeur of ontwerper die op een MacBook wil werken. Vaak blijft die Mac dan buiten het beheer. Geen versleuteling, geen updatebeleid, en niemand weet precies welke bedrijfsdata erop staat.

Dat hoeft niet. Met Intune hangt een Mac in hetzelfde beheer als de rest van je werkplekken. Dezelfde regels, hetzelfde overzicht, dezelfde beveiliging. Daarom pakken we Macs bij ons altijd mee in het totaalbeheer van de werkplek, samen met je netwerk, telefonie en Microsoft 365.

Wat voor ons het verschil maakt, is dat we het fundament goed neerzetten. Het pushcertificaat op een bedrijfsaccount, de koppeling met Apple Business Manager klaar voordat de nieuwe Macs binnenkomen, en beleid dat al klaarstaat op het moment van inschrijven. Met 24/7 monitoring zien we een Mac die niet meer aan de regels voldoet, voordat het een probleem wordt. En heeft je medewerker een vraag, dan belt hij ons gewoon direct. Geen ticket, geen wachtrij.

Mick

Mac-beheer uitbesteden aan ASTIA

Wil je dat je Macs, Windows-laptops en telefoons gewoon goed geregeld zijn, zonder dat jij of een collega zich in certificaten en profielen hoeft te verdiepen? Bij ASTIA nemen we het complete beheer van je werkplekken over, voor een vast maandbedrag per werkplek. Inrichting, migratie, monitoring en support zitten erbij.

Astia

We richten Intune in, koppelen Apple Business Manager, rollen je beveiligingsbeleid uit en schrijven je apparaten in. Daarna houden we alles proactief in de gaten. Bekijk wat we doen op onze pagina over werkplekbeheer voor het MKB. Wil je de hardware er meteen bij? Dan is Hardware as a Service een optie om te bekijken.

Veelgestelde vragen

Kan ik een Mac beheren met Intune zonder Apple Business Manager?

Ja. Je kunt een Mac handmatig inschrijven via de Bedrijfsportal-app. Dat werkt prima voor Macs die je al in gebruik hebt. Voor nieuwe bedrijfs-Macs is automatische inschrijving via Apple Business Manager handiger, omdat je dan niets per apparaat hoeft te doen.

Is Intune net zo geschikt voor Macs als een Apple-specifieke beheertool?

Voor de meeste MKB-bedrijven met een Microsoft 365-omgeving is Intune een sterke keuze, omdat je Windows en Mac in één console beheert met één set regels. Je hoeft dan geen tweede systeem of leverancier erbij te nemen. In onze vergelijking Intune of een Apple-specifieke tool lees je waar je op let.

Wat gebeurt er als het Apple-pushcertificaat verloopt?

Zonder actief pushcertificaat kan Intune niet meer met je Apple-apparaten communiceren, en nieuwe Macs inschrijven lukt dan ook niet. Vernieuw het certificaat daarom op tijd met hetzelfde zakelijke Apple-account waarmee je het hebt aangemaakt. Zet de vervaldatum in een gedeelde agenda, zodat het niet afhangt van één persoon.

Ziet mijn werkgever mijn privégegevens als ik mijn telefoon inschrijf?

Nee. Volgens Microsoft kan je organisatie bij inschrijving geen persoonlijke informatie zien, wel apparaatkenmerken zoals model en serienummer. Met een Android-werkprofiel beheert IT alleen het werkgedeelte van je telefoon.

Hoe lang duurt het om een Mac in te schrijven?

De inschrijving zelf duurt voor een gebruiker meestal maar een paar minuten. De voorbereiding in Intune kost meer tijd: licenties, groepen, het pushcertificaat en je beleid. Als dat eenmaal goed staat, gaat elke volgende Mac snel.

Astia
Bespreek Mac-beheer voor je bedrijf
Neem contact op met ASTIA IT over het beheer van werkplekken en hoe je team veilig en zorgeloos kan doorwerken.

Bronnen

Aanbevelingen