Help, er staat een Mac op mijn netwerk (9): het privé Apple Account

Aflevering 9 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Het begon met een melding. “Je iCloud-opslag is bijna vol.” Marieke stond met haar MacBook Air in de deuropening van Ruud. “Moet ik nu iets kopen? Het ding zeurt al een week.”

Ruud zette zijn mok neer en opende de Finder. Links in de zijbalk stond niet gewoon Bureaublad, maar Bureaublad onder iCloud Drive. Hij klikte door. Een map “Offertes 2026”. Een map “Calculaties Gemeente”. Een Excel met de inkoopprijzen van alle leveranciers. Daartussen een map “Terschelling juli”, die Ruud heel bewust niet opende.

Toen ging de Foto’s-app vanzelf open, omdat Marieke die gisteren had laten openstaan. Strand, ijsjes, een hond die niet van Marieke was. Ruud klapte hem dicht. Rechtsboven verscheen een berichtje: “Mam waar is de oplader van de PlayStation”. Daarna nog een: “Laat maar”.

“Dat zijn mijn kinderen,” zei Marieke. “Handig hè, dat dat allemaal op de laptop ook binnenkomt.”

Ruud knikte langzaam. Handig was één woord. Hij had er ook een paar andere.

Sam kwam binnen met een rol kabelbinders, keek één keer over Ruuds schouder en zei: “Mag ik even?” Hij opende Systeeminstellingen, klikte op Mariekes naam bovenaan en toen op Zoek mijn. “Zoek mijn Mac staat aan. Op haar privé account. Dus deze Mac zit vast aan haar Apple Account, niet aan ons.”

“En dat betekent?” vroeg Marieke.

“Dat als jij ooit je wachtwoord vergeet, of hier weggaat, wij een hele dure presse-papier hebben,” zei Sam vriendelijk.

Ruud keek naar zijn mok. “Have you tried turning it off and on again?” Dat ging hier niet helpen.

Wat er echt aan de hand is

Op een Mac log je op twee plekken in. Eén keer bij het gebruikersaccount op de Mac zelf, en één keer bij een Apple Account in Systeeminstellingen. Dat tweede account bepaalt waar iCloud alles naartoe stuurt. Marieke had bij het instellen gewoon haar eigen Apple Account ingevuld, hetzelfde als op haar iPhone. Heel logisch, en precies daar zit het probleem.

Met een privé Apple Account synchroniseert de Mac standaard van alles naar het iCloud-account van de gebruiker:

• Bureaublad en Documenten: als die optie aan staat, verhuizen beide mappen naar iCloud Drive. Alles wat Marieke op haar bureaublad zet, staat dus in haar privé cloud.
• Foto’s: met iCloud-foto’s komt de hele bibliotheek van haar iPhone op de werk-Mac.
• Wachtwoorden: de iCloud-sleutelhanger, nu de app Wachtwoorden, neemt ook zakelijke wachtwoorden mee naar haar privé account.
• Berichten: met Berichten in iCloud staat elk gesprek, ook van de kinderen, op de werk-Mac.

Het gevolg werkt twee kanten op. Privé spul staat op een bedrijfsapparaat, en bedrijfsdata staat in een privé cloud waar jij als beheerder niets over te zeggen hebt. Die offertes bevatten namen, adressen en telefoonnummers van klanten. Dat zijn persoonsgegevens, dus de AVG kijkt mee. Het bedrijf heeft geen afspraken met Apple over Mariekes privé iCloud en kan de data niet terughalen of verwijderen als dat moet. Is dat meteen een datalek? Niet per se. Maar het staat wel buiten je beheer. Leg het bij twijfel voor aan wie bij jullie over privacy gaat.

Dan de Activeringsslot. Op een Mac met Apple silicon of een T2-chip zet Zoek mijn automatisch de Activeringsslot aan. Na een wis kan alleen het Apple Account dat het slot heeft gezet de Mac weer activeren. In Windows bestaat zoiets eigenlijk niet: een laptop die aan iemands privé Microsoft-account vastzit, wis je gewoon opnieuw.

Het zakelijke alternatief is een Managed Apple Account. Dat maak je aan in Apple Business, en als je Apple Business federeert met Entra ID, logt de gebruiker in met zijn gewone werkaccount. Het account is van het bedrijf. Jij bepaalt in Apple Business of iCloud Drive, Wachtwoorden en sleutelhanger, iCloud-back-up en webtoegang aan staan, en of iMessage en FaceTime alleen binnen de organisatie werken of helemaal uit staan.

Zo los je het op

1. Eerst de data, dan de rest

1. Installeer de losse OneDrive-app (niet de App Store-versie) en log in met het werkaccount.
2. Zet Bureaublad en Documenten in iCloud uit via Systeeminstellingen, Apple Account, iCloud, iCloud Drive. Let op: de bestanden blijven in iCloud Drive staan en je krijgt lege lokale mappen terug. Verplaats ze daarna zelf.
3. Zet zakelijke bestanden in OneDrive of, beter voor gedeelde offertes, in de juiste SharePoint-bibliotheek. Persoonlijke bestanden blijven waar ze zijn.
4. Haal zakelijke wachtwoorden uit Mariekes iCloud-sleutelhanger en zet ze in jullie zakelijke wachtwoordmanager.
5. Zet daarna OneDrive Folder Backup aan met de instellingen KFMSilentOptIn en KFMOptInWithWizard, zodat Bureaublad en Documenten voortaan naar de zakelijke OneDrive gaan.

2. Activeringsslot onder controle

Laat Marieke zelf uitloggen bij haar Apple Account op de werk-Mac. Dan gaat Zoek mijn uit en verdwijnt de Activeringsslot. Lukt dat ooit niet meer, dan kan iemand met de juiste rechten in Apple Business de Activeringsslot uitzetten, maar alleen als de Mac al in Apple Business stond voordat het slot erop kwam. Een Mac die buiten de vaste leverancier om is gekocht, voeg je toe met Apple Configurator op een iPhone, na een wis. Dus pas na stap 1. Daarna komt hij via Automated Device Enrollment in Intune en is hij supervised. Op een supervised Mac is de gebruikersgebonden Activeringsslot standaard niet toegestaan.

3. Beperkingen via Intune

In de Intune Settings Catalog vind je onder Restrictions de Apple-beperkingen voor iCloud: onder andere iCloud Documenten en Data, iCloud-foto’s, iCloud-sleutelhanger, Wachtwoorden automatisch invullen en AirDrop. Er is ook een aparte instelling voor Bureaublad en Documenten in iCloud. Kijk zelf wat jouw tenant laat zien. Managed Open In, dat je van de iPhone kent, heeft op de Mac geen echte tegenhanger die ik kon bevestigen. Wil je sturen op wat er met bestanden gebeurt, kijk dan naar Endpoint DLP in Microsoft Purview, dat ook op macOS werkt als je licentie het toelaat. En zet in OneDrive DisablePersonalSync aan, zodat een privé OneDrive er niet naast komt.

4. En de eigen Mac van de medewerker?

Apple heeft daarvoor account-driven User Enrollment, op de Mac vanaf macOS 14. De medewerker logt in met een Managed Apple Account, werkdata blijft gescheiden en het bedrijf ziet niets van zijn privé spul. Intune ondersteunt die variant op dit moment alleen voor iPhone en iPad. Een privé Mac schrijf je in Intune in via de Bedrijfsportal-app, en dat is een volledige device enrollment. Bespreek dat dus eerlijk met de medewerker.

5. Het gesprek met de baas

Ruud deed niet moeilijk. Hij zei: “Ik wil niet dat jouw vakantiefoto’s in onze back-up belanden, en ik wil niet dat onze offertes in jouw fotoalbum zitten.” Dat werkte beter dan een uur over de AVG. Haar privé account blijft op haar iPhone, de werk-Mac krijgt het werkaccount. En ze krijgt er iets voor terug: geen volle iCloud meer, en geen PlayStation-berichten tijdens een Teams-call met de gemeente.

De les van Ruud

Het probleem was niet dat Marieke iets fout deed. Ze deed precies wat Apple haar vroeg: inloggen met haar eigen account. Als beheerder moet je dat moment gewoon eerder pakken dan zij. Wie bepaalt met welk account een Mac de eerste keer opstart, bepaalt waar de data de komende jaren heen gaat. En de map “Terschelling juli” heb ik nooit gezien. Echt niet.

Meer lezen: Apple Business, Entra ID en Intune, Wachtwoorden en Mac in een Windows-netwerk.

Dit is aflevering 9 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.