KPN blokkeert iPhone bij wanbetaling via MDM, mag dat?

[ikheetjeff]

@Blokker_1999 Even voor de zekerheid, zit er nog verschil tussen een apparaat (Serial Number) toevoegen aan ABM en daadwerkelijk een MDM Profiel pushen?

Of is met toevoegen aan ABM, ook meteen een MDM Profiel aangemaakt? Deze MDM Profiel wordt dan dus gepusht bij een factory reset, omdat dan die check plaats vindt. Maar kan het wel aan ABM toegevoegd worden als het device al in gebruik is?

Of kan ook aan ABM toevoegen (zonder MDM Profiel) ook alleen als de telefoon na factory reset nog niet is ingesteld?

[joke_name]

Dirtyrockers schreef op woensdag 2 juli 2025 @ 16:50:
[...]

Ik regel dit soort MDM omgevingen in ook voor klanten en weet precies hoe deze flow loopt.

Thanks voor deze aanvulling.

Wat ik wel interessant vind.

Als je dus een telefoon bij de mediamarkt of KPN winkel koopt.

Zouden ze dan een flow hebben gemaakt die dus het Imei-nummer automatisch in MDM pusht.

Want om dat handmatig te gaan bijhouden lijkt mij totaal onmogelijk.

Maar effe nog een vraag aan de @ikheetjeff
Toen je de telefoon aangekocht heb je bij MDM niks zien staan?

[CH4OS]

ikheetjeff schreef op woensdag 2 juli 2025 @ 02:14:
Bij vermissing vind ik een blokkade nog logisch, want inderdaad, het toestel is dan nog eigendom van KPN tot het is ontvangen.

En het toestel blijft dus (gedeeltelijk) eigendom van KPN zolang het toestel niet volledig afbetaald is. Zo raar is dat toch niet, wanneer je iets op afbetaling koopt (en al dan niet rente betaald)?

Dit is exact een van de redenen waarom ik mijn toestellen altijd los koop, zonder afbetaling of lening aan te gaan.

[ Voor 12% gewijzigd door CH4OS op 02-07-2025 22:43 ]

[ikheetjeff]

joke_name schreef op woensdag 2 juli 2025 @ 22:24:
[...]
Maar effe nog een vraag aan de @ikheetjeff
Toen je de telefoon aangekocht heb je bij MDM niks zien staan?

Ik heb het zelf niet meegemaakt. @BestBuyPhone wel, wie ook originele topic op KPN Community heeft aangemaakt en eerder vanavond hier had gereageerd.

Hij gaf aan dat inderdaad MDM Profiel niet onder Device Managament zichtbaar was. Ook soms bij factory reset niet en dan maanden later wel. Wat er dus op wijst dat toen tijdens die reset MDM enrollment nog niet is toegewezen, maar wel al is gekoppeld aan het ABM account van KPN.

Kwam een soortgelijk geval op Reddit tegen: https://www.reddit.com/r/...le_device_is_enrolled_in/

Zelf in het huishouden hebben we ook nog een lopend krediet op een iPhone, en hier is ook geen MDM Profiel op zichtbaar onder "Device Management".

[CH4OS]

Tha Deo schreef op woensdag 2 juli 2025 @ 09:25:
Ernstig dit. Lijkt me wettelijk niet toegestaan en zet de weg open naar misbruik.

Andersom dus ook. Waarom zou KPN wel moeten toestaan dat de producten die zij uitleveren onder (contractuele, dus volkomen legaal) voorwaarden gebruikt mogen blijven worden, maar de tegenpartij de voorwaarden schendt?

[ikheetjeff]

CH4OS schreef op woensdag 2 juli 2025 @ 22:42:
[...]
En het toestel blijft dus (gedeeltelijk) eigendom van KPN zolang het toestel niet volledig afbetaald is. Zo raar is dat toch niet, wanneer je iets op afbetaling koopt (en al dan niet rente betaald)?

Dit is exact een van de redenen waarom ik mijn toestellen altijd los koop, zonder afbetaling of lening aan te gaan.

Nee, wat ik concludeer is dat je meteen eigenaar bent. Ook als je op afbetaling koopt. Als dat klopt én KPN mag dan alsnog het apparaat toevoegen aan ADM, zou een Mediamarkt of andere verkoper het ook mogen doen als je direct aftikt. - Waar zit dan de grens?

[MicGlou]

ikheetjeff schreef op woensdag 2 juli 2025 @ 21:14:
@Blokker_1999 Even voor de zekerheid, zit er nog verschil tussen een apparaat (Serial Number) toevoegen aan ABM en daadwerkelijk een MDM Profiel pushen?

Of is met toevoegen aan ABM, ook meteen een MDM Profiel aangemaakt? Deze MDM Profiel wordt dan dus gepusht bij een factory reset, omdat dan die check plaats vindt. Maar kan het wel aan ABM toegevoegd worden als het device al in gebruik is?

Of kan ook aan ABM toevoegen (zonder MDM Profiel) ook alleen als de telefoon na factory reset nog niet is ingesteld?

Je kan ook aan ABM toevoegen zonder MDM profiel, dan is dit profiel uiteraard nog niet zichtbaar op het toestel totdat de koppeling met MDM wordt ingesteld.

nono_einstein schreef op woensdag 2 juli 2025 @ 20:21:
[...]

Sterker nog, indien je een I-device voorzien van een van een MDM profile ter reparatie aanbiedt en het wordt vervangen door een ander (nieuw serienummer), komt je MDM profiel gewoon terug, dat zit naast aan het device ook vast aan je apple ID.

Nee, MDM heeft totaal niets met je AppleID te maken. Als er een nieuw serienummer voor het toestel komt zal het opnieuw geregistreerd worden. Maarrr... als jij via een officiële reparateur laat repareren behoud je gewoon het serienummer en ABM.

Bushie schreef op woensdag 2 juli 2025 @ 20:34:
[...]

nee dat kan niet, je moet het toestel eerst "preppen",
dit kan met:
- Apple configurator
- toestel "geprepped" kopen bij Apple

Ter aanvulling/verduidelijking, een toestel kan door de geautoriseerde verkoper alleen in ABM worden gezet als dit toestel niet eerder geactiveerd is geweest. Als het toestel al een keer geactiveerd is geweest kan je het toestel alleen nog maar in ABM krijgen als je toegang hebt tot het toestel met gebruik van Configurator.

CH4OS schreef op woensdag 2 juli 2025 @ 22:42:
[...]
En het toestel blijft dus (gedeeltelijk) eigendom van KPN zolang het toestel niet volledig afbetaald is. Zo raar is dat toch niet, wanneer je iets op afbetaling koopt (en al dan niet rente betaald)?

Dit is exact een van de redenen waarom ik mijn toestellen altijd los koop, zonder afbetaling of lening aan te gaan.

En je zal erop moeten vertrouwen dat KPN je toestel na volledige betaling ook nog eens vrijgeeft in ABM zodat er niet achteraf nog gezeur kan komen...

[ikheetjeff]

CH4OS schreef op woensdag 2 juli 2025 @ 22:49:
[...]
Andersom dus ook. Waarom zou KPN wel moeten toestaan dat de producten die zij uitleveren onder (contractuele, dus volkomen legaal) voorwaarden gebruikt mogen blijven worden, maar de tegenpartij de voorwaarden schendt?

Voor de duidelijkheid pleit ik niet dat KPN al zijn 'bestrijdingsmogelijkheden' tegen fraudeurs/wanbetalers moet stopzetten.

Ik pleit voor transparantie en controle, en dat je weet waar je aan toe bent als je een iPhone koopt die van jou is. Dit lijkt mij ook niet schadelijk voor KPN, want schrikt fraudeurs/wanbetalers alleen maar af.

Dat dit alleen niet bekend is, wekt mij juist de vraag of het überhaupt wel eens mag. Als het (juridisch) niet mag, ja, dan moet KPN dat ook niet doen.

[gorgi_19]

CH4OS schreef op woensdag 2 juli 2025 @ 22:42:
[...]
En het toestel blijft dus (gedeeltelijk) eigendom van KPN zolang het toestel niet volledig afbetaald is. Zo raar is dat toch niet, wanneer je iets op afbetaling koopt (en al dan niet rente betaald)?

Dit is exact een van de redenen waarom ik mijn toestellen altijd los koop, zonder afbetaling of lening aan te gaan.

Dat zijn 2 verschillende dingen.

Het voorbeeld waarop je reageert betreft de voorwaarden voor overdracht eigendom (het facet van levering ontbreekt, geldige titel en beschikkingsbevoegd zijn)

Bij wanbetaling zou eigendom bij KPN kunnen blijven, maar alleen als zij eigendomsvoorbehoud hadden bedongen in hun voorwaarden. Dat hebben ze niet gedaan, dus is de klant gewoon eigenaar geworden bij levering.

quote: https://wetten.overheid.n...z=2020-10-15&g=2020-10-15

Indien in een kredietovereenkomst terzake huurkoop de bedingen betreffende het eigendomsvoorbehoud en overgang van de eigendom ontbreken, geldt de overeenkomst als een koop op afbetaling zonder eigendomsvoorbehoud.

Ze noemen een goederenkrediet in de overeenkomst, daar zijn twee vormen in.
* Is er wel eigendomsvoorbehoud gemaakt, dan is het huurkoop.
* Is er geen eigendomsvoorbehoud gemaakt, dan is het koop op afbetaling
(bron: https://wetten.overheid.n...z=2020-10-15&g=2020-10-15)

De vraag is: noemt KPN het eigendomsvoorbehoud ergens, in de voorwaarden of in de overeenkomst? We moeten dus in de voorwaarden zoeken of KPN dit heeft opgenomen, en tot zover heb ik nog niets kunnen vinden.
Opvallend is dat KPN zelf niets zegt over eigendomsrecht als reden voor de blokkades - dat zijn aannames van forumposters.

Mogelijk beroept KPN zich op een clausule over beperken van genot en dienstverlening in hun algemene voorwaarden, maar dat zou een forse oprekking zijn en dit is giswerk. Ze noemen geen grondslag uit overeenkomst, wetgeving of voorwaarden voor de MDM blokkade anders dan 'beleid'.
Ze zijn in ieder geval niet transparant.

Puur praktisch, wat wil je doen?
Je hebt als koper van de tweedehandstelefoon geen contractuele relatie met kpn. En diegene die wel een relatie heeft, staat als wanbetaler gesignaleerd. KPN zal stellen: zoek het maar uit met diegene van wie je de telefoon hebt gekocht. Dit ongeacht de verdere juridische onderbouwing

[ Voor 34% gewijzigd door gorgi_19 op 03-07-2025 07:16 ]

[ccnl]

Een beslag leggen op goederen mag alleen een overheidsorgaan doen zonder een besluit van een rechter. KPN is duidelijk geen overheidsinstantie en hij (ook een deurwaarder) moet eerst naar een rechter stappen, ook voor niet essentiële spullen

[Blokker_1999]

ikheetjeff schreef op woensdag 2 juli 2025 @ 21:14:
@Blokker_1999 Even voor de zekerheid, zit er nog verschil tussen een apparaat (Serial Number) toevoegen aan ABM en daadwerkelijk een MDM Profiel pushen?

Ja. In ABM koppel je een apparaat optioneel aan een MDM provider en in die MDM provider moet je dan ook weer de nodige stappen ondernemen om te bepalen wat je met het apparaat gaat doen. Je kan dus wel een apparaat in ABM hebben, maar niet in MDM. Dit maakt het nog altijd mogelijk om bijvoorbeeld het apparaat in lost mode te zetten als bedrijf, of vanop afstand te wissen. Geen idee of je daarmee zo een custom lost boodschap kan zetten, maar er is dus wel een kans dat KPN geen MDM doet, maar deze enkel in ABM heeft staan totdat het toestel is afbetaald.

[Blokker_1999]

ccnl schreef op donderdag 3 juli 2025 @ 06:46:
Een beslag leggen op goederen mag alleen een overheidsorgaan doen zonder een besluit van een rechter. KPN is duidelijk geen overheidsinstantie en hij (ook een deurwaarder) moet eerst naar een rechter stappen, ook voor niet essentiële spullen

Maar beslag leggen doe je op iets dat eigendom is van die persoon. Op je eigen eigendom kan je zelf geen beslag leggen. Voorwaarde is natuurlijk wel dat het toestel wettelijk eigendom blijft van KPN zolang het niet is afbetaald, en daar kan ik dan weer geen uitspraak over doen.

[Imre Himmelbauer]

Hoi allemaal! Ik werd op dit topic gewezen via onze submits en dit is voor ons bij de redactie echt wel een verhaal waard. Ik ben dit nu aan het uitzoeken voor een stuk, maar ik kan wat hulp gebruiken. Is er hier iemand die me zijn of haar contract met KPN zou kunnen sturen, zodat ik kan kijken wat KPN hier in een koopovereenkomst over zegt? Contact mag via DM of op [e-mail]. Is gewoon voor de achtergrond, dus ik noem geen namen of nicks uiteraard.

[joke_name]

Imre Himmelbauer schreef op donderdag 3 juli 2025 @ 16:23:
Hoi allemaal! Ik werd op dit topic gewezen via onze submits en dit is voor ons bij de redactie echt wel een verhaal waard. Ik ben dit nu aan het uitzoeken voor een stuk, maar ik kan wat hulp gebruiken. Is er hier iemand die me zijn of haar contract met KPN zou kunnen sturen, zodat ik kan kijken wat KPN hier in een koopovereenkomst over zegt? Contact mag via DM of op [e-mail]. Is gewoon voor de achtergrond, dus ik noem geen namen of nicks uiteraard.

Volgens mij zou dat gewoon deze moeten zijn:
https://assets.ctfassets....elefoon_december_2023.pdf

[ccnl]

Blokker_1999 schreef op donderdag 3 juli 2025 @ 08:54:
[...]

Maar beslag leggen doe je op iets dat eigendom is van die persoon. Op je eigen eigendom kan je zelf geen beslag leggen. Voorwaarde is natuurlijk wel dat het toestel wettelijk eigendom blijft van KPN zolang het niet is afbetaald, en daar kan ik dan weer geen uitspraak over doen.

Staat in BWB, een koop op afbetaling is geen huurkoop. Met een kredietovereenkomst is bij koop de eigendoom overgedragen aan de verkoper. De koper is geen eigenaar meer maar een schuldeiser en mag bij wanbetaling de hele bedrag in een keer vorderen, in dit via rechtswegen en niet via het recht van de sterkere zoals in een oerwoud.

[ikheetjeff]

@Imre Himmelbauer Ik zal onze overeenkomst delen van een toestellening uit 2024 via de mail.

[Imre Himmelbauer]

Het artikel staat inmiddels online!

review: KPN blokkeert telefoons op afstand bij wanbetaling: 'Juridisch lastig...

[Xander]

@Imre Himmelbauer

Wouter Dammers, IT-jurist bij Lawfox Advocaten, sluit desondanks niet uit dat wat KPN zou doen ‘gewoon’ mag. "Dat ligt heel erg aan de voorwaarden. Afhankelijk daarvan kan best worden afgesproken dat KPN eigenaar is of blijft totdat het toestel volledig is afbetaald. En dat zie je geregeld in zulke overeenkomsten wel staan.

Ook ict-jurist Arnoud Engelfriet denkt dat het blokkeren van een toestel door KPN in geval van wanbetaling te rechtvaardigen is. "Ik denk dat in de relatie met de consument KPN zeker het toestel onbruikbaar mag maken als de consument wanpresteert in de betalingsverplichting of aflossing, maar alleen als het eigendom nog bij hen ligt zoals bij huurkoop."

Leuk zulke generieke reacties. Maar hoe zit het dan met de voorwaarden van KPN? Wordt in de van toepassing zijnde voorwaarden afgesproken dat KPN eigenaar blijft totdat het toestel volledig is afbetaald? Is er sprake van huurkoop? Nee toch?

[Imre Himmelbauer]

Ik heb het zelf niet kunnen vinden, maar het zou kunnen dat het in een andere overeenkomst staat of dat ik het over het hoofd gezien heb. Of het staat niet in een overeenkomst en het is een fout van KPN. De woordvoerder zegt ook dat het bedrijf dit niet doet, dus ik kan me voorstellen dat er iets fout is gegaan bij KPN. Maar dat is natuurlijk speculatie.

[ikheetjeff]

Xander schreef op donderdag 3 juli 2025 @ 18:30:
@Imre Himmelbauer
Is er sprake van huurkoop? Nee toch?

Dat is inderdaad een vraag die (in mijn ogen) antwoord nodig heeft, want die zorgt er nu voor dat er verschillend naar gekeken wordt. "Ja, maar dit is normaal want het toestel is nog van KPN".

Wat als je wel al juridisch eigenaar bent, is het dan ook normaal?

En als je deze mogelijkheid normaal vind ondanks dat je juridisch al eigenaar bent, vind je dat dan ook als je direct aftikt bij Mediamarkt of Coolblue? Dat is dan uiteindelijk hetzelfde.

[Xander]

Imre Himmelbauer schreef op donderdag 3 juli 2025 @ 18:38:
Ik heb het zelf niet kunnen vinden, maar het zou kunnen dat het in een andere overeenkomst staat of dat ik het over het hoofd gezien heb.

Ik kan het ook niet vinden.

Maar dat maakt de citaten van de deskundigen toch wat onbruikbaar? Tja, het zou kunnen dat een provider dit in zijn voorwaarden zet, maar als deze dit niet heeft gedaan...

[Cybermage]

ikheetjeff schreef op donderdag 3 juli 2025 @ 18:39:
[...]


Dat is inderdaad een vraag die (in mijn ogen) antwoord nodig heeft, want die zorgt er nu voor dat er verschillend naar gekeken wordt. "Ja, maar dit is normaal want het toestel is nog van KPN".

Wat als je wel al juridisch eigenaar bent, is het dan ook normaal?

En als je deze mogelijkheid normaal vind ondanks dat je juridisch al eigenaar bent, vind je dat dan ook als je direct aftikt bij Mediamarkt of Coolblue? Dat is dan uiteindelijk hetzelfde.

Als je bij Mediamarkt / Coolblue / KPN gelijk het hele bedrag van de telefoon aftikt. Dan ben je eigenaar van het toestel en bij wanbetaling van je abbo lijkt me niet dat je afgesloten van je toestel mag worden maar dat zal wel niet het geval zijn. Als je maar een deel van de iphone betaald heb en via maandelijke abbo de rest betaald is het technische gezien gewoon huurkoop/lening/op afbetaling totdat volledige bedrag heb betaald. Het is alleen stom als KPN dat niet in hun voorwaarden zet maar denk dat wel gaat veranderen.

[Imre Himmelbauer]

Ik kan het ook niet vinden.

Maar dat maakt de citaten van de deskundigen toch wat onbruikbaar? Tja, het zou kunnen dat een provider dit in zijn voorwaarden zet, maar als deze dit niet heeft gedaan...

Ik vind van niet. Het stuk beantwoordt eigenlijk de vraag of en wanneer dit mag. Die vraag vind ik relevant, omdat er veel mensen zijn die op kredietbasis duurdere apparatuur financieren. Het antwoord op de vraag "Mag KPN dit doen als het niet in de voorwaarden staat?", is kort. Maar de vraag of het mag als het wél in de voorwaarden staat, is veel interessanter. Dat het niet in de voorwaarden lijkt te staan, is vreemd, maar ten eerste niet helemaal zeker en zoals Cybermage zegt ook door KPN te veranderen.

[Wolly]

Fijn dat KPN het ontkend, dat betekent dat er toch iets anders aan de hand is.

Wellicht alleen bij zakelijke abo’s oid?

[nono_einstein]

Blokker_1999 schreef op woensdag 2 juli 2025 @ 20:28:
[...]

MDM hoort niet vast te zitten aan je user profiel. Het lijkt me dat in zo een geval het toestel gewoon wordt aangepast in de registratie op ABM. Oud serienummer eruit, nieuw er in. Het moet er wel inkomen want anders kan het toestel ook nooit meer vrijgegeven worden of zou het toestel zijn MDM verliezen na een reset en er aangemeld wordt met een ander account.

Ik weet de technische details niet van MDM, wat ik wel weet is dat Apple zelf geen idee had waar het fout ging... Achteraf bleek dat de school van onze zoon (een MDM profiel eraf gehaald had voordat het apparaat ter reparatie door ons aangeboden werd, echter in hun back-end stond het 'pushen' nog aan). Je vraagt je dan af, als Apple hier niet tussen zit (naar eigen zeggen, we hebben tot 3 x een nieuwe gehad omdat niemand snapte wat er aan de hand was), welk mechanisme via welke eigenschappen van de betreffende iPad er voor kunnen zorgen dat zo'n MDM profile tijdens de eerste minuten na activatie er weer opgezet wordt...

[Bushie]

nono_einstein schreef op donderdag 3 juli 2025 @ 20:16:
[...]


Ik weet de technische details niet van MDM, wat ik wel weet is dat Apple zelf geen idee had waar het fout ging... Achteraf bleek dat de school van onze zoon (een MDM profiel eraf gehaald had voordat het apparaat ter reparatie door ons aangeboden werd, echter in hun back-end stond het 'pushen' nog aan). Je vraagt je dan af, als Apple hier niet tussen zit (naar eigen zeggen, we hebben tot 3 x een nieuwe gehad omdat niemand snapte wat er aan de hand was), welk mechanisme via welke eigenschappen van de betreffende iPad er voor kunnen zorgen dat zo'n MDM profile tijdens de eerste minuten na activatie er weer opgezet wordt...

Dit wordt gestuurd vanuit ABM (Apple Business Manager),
je kan op twee manieren een IOS device in ABM krijgen:
- via de "Apple Configurator" tool kan je dit zelf doen
- via Apple (of een authorized dealer) kan je een toestel kopen, die door Apple in je ABM wordt geplaatst, hiervoor hoeft het toestel niet uit de doos, en het ziet er gewoon als "new in box" uit

ABM kan je aan een MDM (mobile device management) naar keuze koppelen, bijvoorbeeld Intune van Microsoft. Zolang het toestel in ABM staat, kan het koppelen aan een MDM en het pushen van een profiel op elke gewenst moment door de beheerder van de ABM. Dat een toestel in een ABM is opgenomen kan je niet zien. Als er eenmaal een MDM profiel op je telefoon is gepushed, kan je dit wel zien (instellingen > algemeen > VPN- en apparaatbeheer)

[koen1994]

Is het (veel) grotere probleem niet dat KPN informatie kan inzien, als:
- Locatie (geschiedenis)
- Geïnstalleerde apps (Grindr, Religie-apps, Gezondheid-apps, etc)
- App-gebruik
- Device logs (informatie die ‘niet verzameld wordt’ lekt vaak alsnog door debug-log informatie via de inhoud van bijvoorbeeld API calls)
- Etc

Dit zijn de eerste hits op Google over wat de uitgever van het MDM-profiel kan inzien. Gebrekkige nieuwsgaring als niemand dit even checkt eigenlijk ook…

Dit is alsof je een telefoon van de zaak KPN koopt.

EDIT: en DNS, HTTP proxy of VPN forceren voor wat snooping. Force-unlock van een beveiligd iOS apparaat, enz.
EDIT 2: en Root-CA certificaten installeren om HTTPS te slopen zoals in de DigiNotar tijd

[ Voor 30% gewijzigd door koen1994 op 04-07-2025 01:29 ]

[3DDude]

Vraag:

Als je zelf een ABM hebt, kan je hem dan daarin zetten dan kan KPN dan niks meer ?
Want je mag er maar 1 actief hebben of werkt dit ook met meerdere tegelijk?

Ik zou me kunnen voorstellen dat zo'n tussenhandelaar zijn eigen ABM op gaat zetten om van het gezeur af te zijn.. maarja dan heb je nog steeds de punten die koen hierboven noemt..

[koen1994]

3DDude schreef op vrijdag 4 juli 2025 @ 00:46:
Vraag:

Als je zelf een ABM hebt, kan je hem dan daarin zetten dan kan KPN dan niks meer ?
Want je mag er maar 1 actief hebben of werkt dit ook met meerdere tegelijk?

Ik zou me kunnen voorstellen dat zo'n tussenhandelaar zijn eigen ABM op gaat zetten om van het gezeur af te zijn.. maarja dan heb je nog steeds de punten die koen hierboven noemt..

Als iOS ontwikkelaar moet je bijvoorbeeld ook (vaak) die profielen installeren, bijvoorbeeld voor extra logging. Of om privacy-gevoelige instellingen aan te zetten.

Of bijvoorbeeld om nieuwe netwerk technieken als versleutelde DNS en L4S te testen.

Of als je juist privacy features als Private Browsing wilt uitschakelen voor de zakelijke apparaten die je beheerd.

[ikheetjeff]

koen1994 schreef op vrijdag 4 juli 2025 @ 00:33:
Is het (veel) grotere probleem niet dat KPN informatie kan inzien, als:
- Locatie (geschiedenis)
- Geïnstalleerde apps (Grindr, Religie-apps, Gezondheid-apps, etc)
- App-gebruik
- Device logs (informatie die ‘niet verzameld wordt’ lekt vaak alsnog door debug-log informatie via de inhoud van bijvoorbeeld API calls)
- Etc

Dit zijn de eerste hits op Google over wat de uitgever van het MDM-profiel kan inzien. Gebrekkige nieuwsgaring als niemand dit even checkt eigenlijk ook…

Dit is alsof je een telefoon van de zaak KPN koopt.

EDIT: en DNS, HTTP proxy of VPN forceren voor wat snooping. Force-unlock van een beveiligd iOS apparaat, enz.

Zeer terechte vraag, die had ik ook toen ik het bericht op KPN forum als eerste las. Gelukkig lijkt dat mee te vallen. Toevoegen aan Apple Business Manager zonder MDM-server laat je nog niet al die mogelijkheden op het apparaat zelf doen.

Dus stel jij koopt op 1-7-2025 bij KPN telefoon, staat die wel in ABM van KPN. Jij krijgt telefoon binnen, stelt hem in en je zult niks zien over MDM of "This device is managed by KPN Finance B.V.".

Op 12-7-2025 krijg jij je eerste factuur en die betaal je niet. KPN gaat je herinneringen sturen en na enkele maanden loggen ze in op hun ABM account, zoeken ze jouw serienummer op en assignen ze het wél aan een MDM Server. En die MDM server blokt alles.

Echter jouw telefoon is sinds 1-7-2025 in gebruik en jij ziet niks en fantastisch. Maar wanneer jij nu jouw telefoon gaat resetten, controleert bij nieuwe activatie Apple of er een MDM server actief is. Dan is dat wel zo, en dan krijg je bij setup te zien "This device is managed by..".

Dus privacyzorgen zijn in mijn ogen iets gezakt, maar nog steeds zegt het wel veel over je eigenaarschap en dat je dus niet de baas bent over je eigen apparaat. Nu ben je dat met Apple al niet volledig, maar dat weet je wanneer je 'm aanschaft. Bovenstaande detail weet je niet..

[koen1994]

ikheetjeff schreef op vrijdag 4 juli 2025 @ 00:52:
[...]


Zeer terechte vraag, die had ik ook toen ik het bericht op KPN forum als eerste las. Gelukkig lijkt dat mee te vallen. Toevoegen aan Apple Business Manager zonder MDM-server laat je nog niet al die mogelijkheden op het apparaat zelf doen.

Dus stel jij koopt op 1-7-2025 bij KPN telefoon, staat die wel in ABM van KPN. Jij krijgt telefoon binnen, stelt hem in en je zult niks zien over MDM of "This device is managed by KPN Finance B.V.".

Op 12-7-2025 krijg jij je eerste factuur en die betaal je niet. KPN gaat je herinneringen sturen en na enkele maanden loggen ze in op hun ABM account, zoeken ze jouw serienummer op en assignen ze het wél aan een MDM Server. En die MDM server blokt alles.

Echter jouw telefoon is sinds 1-7-2025 in gebruik en jij ziet niks en fantastisch. Maar wanneer jij nu jouw telefoon gaat resetten, controleert bij nieuwe activatie Apple of er een MDM server actief is. Dan is dat wel zo, en dan krijg je bij setup te zien "This device is managed by..".

Dus privacyzorgen zijn in mijn ogen iets gezakt, maar nog steeds zegt het wel veel over je eigenaarschap en dat je dus niet de baas bent over je eigen apparaat. Nu ben je dat met Apple al niet volledig, maar dat weet je wanneer je 'm aanschaft. Bovenstaande detail weet je niet..

Is dit nog steeds zo? Voor MacOS zag ik dat het gedrag sinds MacOS 14 Sonoma gewijzigd is;
Enforcing Automated Device Enrollment

If a Mac with macOS 14 or later that’s registered to Apple School Manager or Apple Business Manager doesn’t enroll into device management during the first setup, a full-screen setup experience is displayed.
The user can choose “Not now” once, which causes the screen to be dismissed for 8 hours. During those 8 hours, the user sees a follow-up option in System Settings to start the enrollment. After the time expires, an administrator needs to enroll the device.
This replaces the current notification experience and ensures that the device needs to be enrolled into device management in order to be used. Enforcing device enrollment results in fewer unmanaged organization-owned devices.
Published Date: December 11, 2024

Bij elke iOS update kan zo’n MDM profiel bovendien geactiveerd worden.

[ikheetjeff]

koen1994 schreef op vrijdag 4 juli 2025 @ 00:58:
Bij elks update kan zo’n MDM profiel bovendien geactiveerd worden.

Bedoel je software update? Want dan heb ik wel weer zorgen over de privacy, want dan na zo'n software update heeft het apparaat al je persoonlijke gegevens nog en dan zou KPN in theorie dat wel allemaal kunnen zien.

[koen1994]

Oh nee. Rood ❌ wanneer ‘Devices are personal or bring-your-own (BYOD)’ volgens de Microsoft documentatie van hun Intune MDM oplossing:

Not recommended. Applications on BYOD or personal devices can be managed using MAM, or User and Device enrollment.

[ Voor 22% gewijzigd door koen1994 op 04-07-2025 01:30 ]

[koen1994]

ikheetjeff schreef op vrijdag 4 juli 2025 @ 01:15:
[...]


Bedoel je software update? Want dan heb ik wel weer zorgen over de privacy, want dan na zo'n software update heeft het apparaat al je persoonlijke gegevens nog en dan zou KPN in theorie dat wel allemaal kunnen zien.

Jup. Set-up assistant opent ook na iOS updates. (Dat scherm om de privacy voorwaarden te accepteren, standaard browser keuze te maken, en dergelijke)

Assigning a device to an MDM server is a setting that’s applied the next time a device or devices go through Setup Assistant. Those devices use Automated Device Enrollment, allowing the device to be enrolled into management during initial setup. Assigning an MDM server doesn’t affect a current enrollment of a device.

Schendt dit bovendien niet de voorwaarden van Apple zelf?

Apple Business Manager is a web-based portal for IT administrators to deploy
iPhone, iPad, iPod touch, Apple TV, and Mac all from one place. Working
seamlessly with your mobile device management (MDM) solution, Apple
Business Manager makes it easy to automate device deployment, purchase
apps and distribute content, and create Managed Apple IDs for employees.

[ Voor 45% gewijzigd door koen1994 op 04-07-2025 01:42 ]

[swhnld]

Ik snap de zorgen die mensen hebben, maar de oplossing is simpel.

Je koopt geen toestel op afbetaling.

En ja, er zijn allemaal excuses waarom je geld moet lenen voor de aanschaf van een iPhone te verzinnen, en je loopt dus het risico dat bij wanbetaling of oplichting dit fout gaat. Maar feit is, als Apple deze optie aan KPN kan geven, dan betekend dat ook dat Apple (US) deze optie aan zichzelf kan geven. Ik zou zeggen, niet doen.

[ Voor 3% gewijzigd door swhnld op 04-07-2025 09:58 ]

[SgtElPotato]

Weten we al zeker dat dit om een consumenten toestel gaat en niet om een KPN ONE toestel, dus bedoelt voor de zakelijke markt?

[squaddie]

@swhnld Als je de TS leest wordt dit ook gebruikt voor toestellen die niet correct worden afgeleverd, waaruit ik afleidt dat KPN alle toestellen in ABM zet en zijn daarmee automatisch vatbaar voor MDM profielen.

De grote vraag is of KPN nadat bevestigd is dat het toestel correct is afgeleverd en het eigenaarschap is overgegaan van verkoper naar koper deze toestellen uit ABM verwijderd, immers KPN heeft vanaf dat moment geen enkel belang meer om het toestel te kunnen beheren. Of is de KPN ABM een groot archief van alle toestellen die KPN ooit verkocht heeft?

[Commendatore]

@squaddie Daarover mag inderdaad wel wat meer transparantie komen, want dit is misschien wel het grootste probleem aan het hele verhaal.

[BertNL]

Imre Himmelbauer schreef op donderdag 3 juli 2025 @ 18:38:
Ik heb het zelf niet kunnen vinden, maar het zou kunnen dat het in een andere overeenkomst staat of dat ik het over het hoofd gezien heb. Of het staat niet in een overeenkomst en het is een fout van KPN. De woordvoerder zegt ook dat het bedrijf dit niet doet, dus ik kan me voorstellen dat er iets fout is gegaan bij KPN. Maar dat is natuurlijk speculatie.

Er zijn nog meer juridisch interessante gevolgen. Als de handelaar in 2e hands iPhones de toestellen te goeder trouw heeft gekocht (en de verkoper de toestellen niet door diefstal heeft verkregen), is het de vraag of het aanbrengen van een toestelblokkade door KPN (of een andere provider) nadat de handelaar eigenaar is geworden, niet onrechtmatig is jegens die handelaar. Als de handelaar de toestellen al weer heeft verkocht aan particulieren dan kunnen deze particulieren zich overigens richting de handelaar weer beroepen op wanprestatie.

[BertNL]

squaddie schreef op vrijdag 4 juli 2025 @ 10:36:
@swhnld Als je de TS leest wordt dit ook gebruikt voor toestellen die niet correct worden afgeleverd, waaruit ik afleidt dat KPN alle toestellen in ABM zet en zijn daarmee automatisch vatbaar voor MDM profielen.

De grote vraag is of KPN nadat bevestigd is dat het toestel correct is afgeleverd en het eigenaarschap is overgegaan van verkoper naar koper deze toestellen uit ABM verwijderd, immers KPN heeft vanaf dat moment geen enkel belang meer om het toestel te kunnen beheren. Of is de KPN ABM een groot archief van alle toestellen die KPN ooit verkocht heeft?

Goeie vraag inderdaad. KPN zou de toestellen uit ABM moeten verwijderen direct na overdracht van de eigendom. Het serienummer is na verkoop aan een particulier namelijk een persoonsgegeven geworden (immers het serienummer is dan gekoppeld aan een persoon). De vraag is of KPN dan nog wel een (AVG) grondslag heeft het serienummer geregistreerd te houden in de ABM database. Sowieso zal KPN dit geregistreerd houden in ABM (na overdracht eigendom) voorafgaande aan de koop moeten melden aan potentiële kopers, en dat gebeurt vrijwel zeker niet. Maar KNP heeft dus bevestigd niet te blokkeren o.b.v. serienummers in ABM/DRM, kennelijk is er iets anders aan de hand (een glitch of bijvoorbeeld toestellen van KPN medewerkers die onder MDM stonden?).

[ikheetjeff]

BertNL schreef op vrijdag 4 juli 2025 @ 13:29:
Maar KNP heeft dus bevestigd niet te blokkeren o.b.v. serienummers in ABM/DRM, kennelijk is er iets anders aan de hand (een glitch of bijvoorbeeld toestellen van KPN medewerkers die onder MDM stonden?).

Ik ga nu wel erg speculeren, maar ik denk dat de woordvoerder dat zonder enige navraag heeft gezegd. Het topic op KPN Community is nog steeds niet gerectificeerd.

Daarnaast na de eerste reactie is er opnieuw bij Security gevraagd of dit klopte, en toen kwam er een standaard antwoord uit. Het werd toen alleen niet gerectificeerd.

Weet het niet zeker, maar vreemd vind ik het wel. Waarom zou Security dit zonder dit nieuwsartikel niet al hebben gerectificeerd als het echt niet zou kloppen?

[BertNL]

ikheetjeff schreef op vrijdag 4 juli 2025 @ 13:38:
[...]


Ik ga nu wel erg speculeren, maar ik denk dat de woordvoerder dat zonder enige navraag heeft gezegd. Het topic op KPN Community is nog steeds niet gerectificeerd.

Daarnaast na de eerste reactie is er opnieuw bij Security gevraagd of dit klopte, en toen kwam er een standaard antwoord uit. Het werd toen alleen niet gerectificeerd.

Weet het niet zeker, maar vreemd vind ik het wel. Waarom zou Security dit zonder dit nieuwsartikel niet al hebben gerectificeerd als het echt niet zou kloppen?

Het is nog steeds niet gerectificeerd op https://community.kpn.com...phones-636310/index3.html En het 1e antwoord van Security op dat forum is dermate specifiek en gedetailleerd dat ik me ook afvraag of het 1e antwoord van Security niet gewoon klopt maar KPN om een andere reden (mogelijk dat ze zelf alsnog juridische issues zien) gisteren ineens via de woordvoerder aan Tweakers liet weten dat er nooit wordt geblokkeerd via ABM/MDM.

[squaddie]

Persoonlijk ben ik van mening dat zowel KPN als Apple transparanter moeten zijn. KPN dat een ABM registratie plaatsvindt en wanneer onder welke voorwaarden deze wordt verwijderd.

Daarnaast vindt het ook een aardige misslag van Apple dat een ABM registratie feitelijk volledig onzichtbaar is op het toestel, in mijn optiek zou het toestel op zn minst moeten melden dat het toestel bij een ABM is geregistreerd met vermelding van de contactgegevens van de partij die de registratie heeft gedaan.

[ccnl]

KPN moderator sluit de topic

Arjan van KPNModerator
Zoals jullie hebben kunnen lezen op Tweakers zetten we MDM-blokkades niet in bij wanbetaling (KPN blokkeert telefoons bij wanbetaling). MDM-blokkades worden alleen toegepast in geval van fraude, denk aan diefstal uit een winkel en fraude in het leverproces. Met deze informatie kunnen we dit topic sluiten. Onze excuses voor de eerdere verwarring.

Maar hoe komt de MDM-blokkades op de tweedehands telefoons, deze worden afgeleverd aan de klanten maar pas paar maanden later worden MDM profielen geactiveerd nadat de klant niet betaald had. Dit staat haaks met de bewering van KPN woordvoerder. Als ik de handelaar was, zou ik gewoon een bodemprocedure aanspannen om uit te zoeken, hoe het in elkaar zit.

[Wolly]

ccnl schreef op vrijdag 4 juli 2025 @ 14:27:
KPN moderator sluit de topic

[...]

Maar hoe komt de MDM-blokkades op de tweedehands telefoons, deze worden afgeleverd aan de klanten maar pas paar maanden later worden MDM profielen geactiveerd nadat de klant niet betaald had. Dit staat haaks met de bewering van KPN woordvoerder. Als ik de handelaar was, zou ik gewoon een bodemprocedure aanspannen om uit te zoeken, hoe het in elkaar zit.

Er kan toch wat verwerkingstijd tussen zitten? Klant meldt toestel is nooit aangekomen, verkoopt snel toestel en kpn blokkeert na een tijdje.

[knakworst]

Wolly schreef op vrijdag 4 juli 2025 @ 14:45:
[...]


Er kan toch wat verwerkingstijd tussen zitten? Klant meldt toestel is nooit aangekomen, verkoopt snel toestel en kpn blokkeert na een tijdje.

Behalve dat ik het bizar vind dat KPN dit dan blijkbaar voor elk toestel kan doen, mag KPN dat dan überhaupt doen of moet een rechter eerst zeggen dat je dat mag doen.

Je zou maar zo'n toestel gekocht hebben, ergens in nood zijn, 112 moeten bellen, en een onverlaat van KPN heeft juist op dat moment het toestel geblokkeerd.

Of nog erger, tikfoutje en de verkeerd wordt per ongeluk geblokkeerd...

[ccnl]

Wolly schreef op vrijdag 4 juli 2025 @ 14:45:
[
Er kan toch wat verwerkingstijd tussen zitten? Klant meldt toestel is nooit aangekomen, verkoopt snel toestel en kpn blokkeert na een tijdje.

Nee, bij KPN moet je één cent pinnen om de telefoon te ontvangen. Het is onmogelijk om telefoon als verloren te melden en toch van de koerier te krijgen.

knakworst schreef op vrijdag 4 juli 2025 @ 14:50:
Behalve dat ik het bizar vind dat KPN dit dan blijkbaar voor elk toestel kan doen, mag KPN dat dan überhaupt doen of moet een rechter eerst zeggen dat je dat mag doen.

MDM profielen mogen alleen toegepast van een werkgever op een werknemer telefoon, het is al tegen Apple voorwaarden.
Een product onbruikbaar te maken zonder een vonnis van een rechtbank mag sowieso niet.

[BertNL]

knakworst schreef op vrijdag 4 juli 2025 @ 14:50:
[...]


Behalve dat ik het bizar vind dat KPN dit dan blijkbaar voor elk toestel kan doen, mag KPN dat dan überhaupt doen of moet een rechter eerst zeggen dat je dat mag doen.

Je zou maar zo'n toestel gekocht hebben, ergens in nood zijn, 112 moeten bellen, en een onverlaat van KPN heeft juist op dat moment het toestel geblokkeerd.

Of nog erger, tikfoutje en de verkeerd wordt per ongeluk geblokkeerd...

Ik ben van mening dat dit dus niet mag (meerdere juridische gronden). Uitzondering zijn mogelijk situaties waar ergens in de keten van KPN naar de eindgebruiker sprake is van diefstal.

[kodak]

Sissors schreef op woensdag 2 juli 2025 @ 17:07:
[...]

Dus dan moeten er hogere kosten voor iedereen gerekend worden, moeten er voor iedereen meer hoepeltjes komen, zodat degene die wel een iPhone willen maar er niet voor willen betalen wel hun iPhone kunnen behouden?

Als je meer financieel risico neemt is het zeer gebruikelijk meer kosten in rekening te brengen. Als je meer vrijheid krijgt, zoals kosten uit te kunnen stellen, dan is het gebruikelijk dat je daar meer voor moet betalen dan in een keer een koop doen. Men is het financieel risico nu aan het afdekken op kosten van veel meer dan een paar euro extra in rekening brengen. Die 12% voor leningen en op de pof kopen werd niet slechts doorberekend om er 12% winst op te maken. Het is ook om kosten alvast te dekken wanneer een aantal klanten de betaalafspraken niet nakomen.