1 · Überblick

Die Relay-Verwaltung ist die zentrale Oberfläche für BrowserDesk. Über sie sehen und steuern Sie alle Geräte, verwalten Mandanten und Zugänge, rollen Client-Versionen aus und prüfen die Netzwerk-Erreichbarkeit. Der Aufbau:

Melden Sie sich mit dem Admin-Passwort (siehe admin-password.txt im Relay-Datenverzeichnis) oder einem angelegten Benutzerkonto an. Rollen steuern, wer nur lesen und wer verwalten darf (Abschnitt 8).

2 · Geräte verwalten

Unter Geräte sehen Sie alle registrierten Rechner. Jede Zeile zeigt Name, Online-Status, Plattform, die laufende Client-Version, Tags und wann das Gerät zuletzt gesehen wurde.

• Filtern über die Pillen rechts oben (Alle · Online · Offline · Gesperrt) und über die Suche in der Kopfzeile.
• Mandant wählen im Baum links, um die Liste auf einen Mandanten einzugrenzen.
• Mehrfachauswahl über die Kästchen links – damit lässt sich mehreren Geräten in einem Schritt eine Version zuweisen (Abschnitt 5).
• Zeile anklicken öffnet die Detailseite des Geräts (Abschnitt 3). Das Drei-Punkte-Menü bietet Verbinden, Details, Bearbeiten, Sperren und Löschen.

Eine Versionsspalte mit → 20260711.x bedeutet: dem Gerät ist eine Ziel-Version zugewiesen, die es noch nicht erreicht hat – das Update steht also aus.

3 · Geräte-Detailseite

Ein Klick auf ein Gerät öffnet eine eigene Seite (mit „← Zurück"). Sie fasst alles zu diesem Gerät zusammen und macht es steuerbar:

• Übersicht – Status, Mandant, IP, aktuelle und zugewiesene Version, Tags, erste/letzte Sichtung.
• Inventar – vom Client gemeldete Systemdaten: OS/Build, CPU/RAM, GPU, Monitore, Zeitzone, letzter Start … (Grundlage für die Fehleranalyse).
• Sitzungen und Update-Verlauf – nur für dieses Gerät.
• Aktionen oben rechts: Verbinden · Bearbeiten · Version zuweisen · Sperren/Entsperren · Löschen.

4 · Mandanten

Mandanten gruppieren Geräte (z. B. nach Kunde oder Standort). Sie pflegen sie direkt im Baum links in der Geräte-Ansicht: beim Überfahren eines Mandanten erscheinen die Aktionen.

• 👤 Benutzer – Konten anlegen, mit denen ein Client dem Mandanten beitritt; hier lassen sich auch alle Tokens widerrufen.
• ✎ Bearbeiten – Name und Mandant-Passwort ändern.
• ✕ Löschen – Mandant entfernen (der Mandant default ist geschützt).
• + Mandant hinzufügen unten im Baum legt einen neuen an.

Ein Gerät bleibt über seine ID + Geräte-Passwort erreichbar – der Mandant ist eine Gruppierung fürs Adressbuch, keine Zugriffs­sperre.

5 · Client-Versionen & Updates

Client-Versionen berühren drei Stellen — hier der Überblick, welche wofür zuständig ist:

• Versionsverwaltung (Feed) — der Vorrat: welche Client-EXEs überhaupt auf dem Update-Server bereitliegen. Dort lädst du neue Versionen hoch und legst die Standard-Version fest. (Einstellungen → Client-Verwaltung.)
• Versionsmanagement — der systemweite Rollout: eine Version für die ganze Flotte erzwingen; auch neu registrierte Geräte kommen darauf. (Einstellungen → Client-Verwaltung.)
• Version zuweisen (hier beschrieben) — gezielt einem oder wenigen Geräten aus dem Grid eine Ziel-Version geben.

Beim gezielten Zuweisen aktualisiert das Gerät beim nächsten Verbindungsaufbau automatisch – unabhängig von seiner lokalen Auto-Update-Einstellung. Ablauf:

1. In Geräte die gewünschten Rechner ankreuzen.
2. Auf „Version zuweisen…" klicken und im Dialog eine der veröffentlichten Versionen wählen (die Liste kommt aus dem Update-Feed). „Keine" entfernt die Zuweisung.
3. Das Gerät lädt beim nächsten Verbindungsaufbau genau diese Version, prüft SHA256 + Authenticode-Signatur und startet neu.
4. Unter Updates sehen Sie den Verlauf: Gerät · Von → Nach · Status (Läuft/Erfolgreich/Fehler) · Zeit. Der Erfolg wird automatisch erkannt, sobald das Gerät die Ziel-Version meldet.

Bestandsgeräte müssen einmalig auf eine aktuelle Client-Version kommen, damit sie zugewiesene Versionen empfangen und den Start/Fehler melden.

6 · Sitzungen & Verlauf

Sitzungen protokolliert, wann sich ein Viewer mit welchem Gerät verbunden hat (Mandant, Client-IP, Start, Dauer, Status). Updates zeigt den Verlauf aller vom Admin ausgelösten Client-Updates. Beide sind auch je Gerät in der Detailseite sichtbar.

7 · Netzwerk-Diagnose

Unter Netzwerk sehen Sie den Status des Relays und des gebündelten TURN/STUN-Servers, die benötigten Ports und die aktuell verteilte ICE-Konfiguration. Der Verbindungstest prüft aus dem Browser heraus die Erreichbarkeit – hilfreich, wenn Verbindungen scheitern.

8 · Benutzer & Rollen

Unter Benutzer legen Sie Konten für die Verwaltung an. Es gibt vier Rollen (absteigende Rechte):

• Admin – darf alles: verwalten, konfigurieren, Versionen zuweisen, Mandanten/Benutzer/Skripte pflegen.
• Supervisor – Aufsicht: Audit-Log und Sitzungs-Aufzeichnungen einsehen, Vier-Augen-Freigaben — plus alle Operator-Rechte.
• Technician – Betrieb: verbinden, Konsole, Skripte ausführen, Geräte sperren/entsperren. Keine Konfiguration/Aufsicht. (Ersetzt „operator".)
• Readonly – nur Ansicht, keine Änderungen.

Das anfängliche Admin-Passwort (ohne Benutzername) sollte nach dem Anlegen benannter Konten in den Einstellungen geändert werden.

9 · Client: verbinden & steuern

Der Ziel-Rechner zeigt im BrowserDesk-Fenster seine ID und ein Passwort. Zum Verbinden gibt der Zugreifende beides ein (im Web-Client oder in der App). Während der Sitzung liegen die Werkzeuge in einer schwebenden, ein-/ausklappbaren Leiste über dem Bild – nach Kategorien geordnet:

• Eingabe – Strg+Alt+Entf, Windows-Tasten, Zwischenablage.
• Ansicht – Monitor/Sitzung wählen, Bildqualität, Codec, Analyse-Overlay.
• Dateien – Dateien senden/holen bzw. Dateimanager.
• Steuerung – Steuerung anfragen oder den Steuerungs-Modus (nur einer vs. alle) umschalten.
• Verwaltung – System-Infos, Neustart/Herunterfahren/Abmelden, Eingabe sperren, Bildschirm schwärzen, Remote-Kommandozeile (nur wenn am Gerät freigegeben).

10 · Einstellungen im Überblick

Der Bereich Einstellungen (Hauptmenü unten links) ist eine eigene Unter-App mit einer nach Themen gruppierten Navigation. Vier Gruppen bündeln alle Bereiche:

System

• Übersicht — Relay-Version, Auto-Update-Status und die aktiven STUN/TURN-Server auf einen Blick.
• Netzwerk & Erreichbarkeit — benötigte Ports, ausgelieferte ICE-Server und ein echter Verbindungstest aus dem Browser.
• TLS-Zertifikat — das Server-Zertifikat für den Browser-Zugriff (HTTPS/wss). Unter Windows aus dem Zertifikatsspeicher, unter Linux als Datei (z. B. Let's Encrypt).
• Konfiguration — die komplette relay.json im Editor (enthält Zugangsdaten, nur für Administratoren).

Client-Verwaltung

• Versionsverwaltung (Feed) — der Vorrat an Client-EXEs auf dem Update-Server: hochladen, löschen, Standard-Version setzen (siehe Abschnitt 5).
• Versionsmanagement — eine Version systemweit für die ganze Flotte aktivieren. Die Verteilung nach Version steht als Kennzahl; einzelne Geräte samt Version findest du im Grid unter Geräte (skaliert auch bei tausenden Rechnern).
• Relay-Update — die Version des Relays selbst prüfen/einspielen und den Verlauf der Client-Updates einsehen.
• Skripte — verwaltete Skript-Bibliothek (Abschnitt 12).

Sicherheit & Zugriff

• Admin-Zugang — zentrales Admin-Passwort, Single-Sign-On-Status (OIDC) und der Sprung zu Benutzerkonten & Rollen.
• Geräte-Zertifikate (mTLS), Vier-Augen-Freigaben, Audit-Log — siehe Abschnitt 11.

Wartung

• Hintergründe — Login-Hintergründe für Admin, Web-Client und App verwalten (hochladen, festsetzen, rotieren).
• CleanUp — lange nicht verbundene Geräte entfernen und alte Protokolle aus der Datenbank verdichten (VACUUM).

11 · Sicherheit: mTLS, Freigaben & Audit

Geräte-Zertifikate (mTLS)

Jedes Gerät erhält beim Enrollment ein eigenes Client-Zertifikat und weist sich damit gegenüber dem Relay aus — so kann sich kein fremder Rechner als bekanntes Gerät ausgeben. Die Durchsetzung schaltest du in zwei Stufen:

• Prüfen — legt ein Gerät ein Zertifikat vor, wird es validiert; ungültige werden abgewiesen. Geräte ganz ohne Zertifikat bleiben zunächst erlaubt (sanfter Übergang).
• Erzwingen — ein Gerät, das bereits ein Zertifikat besitzt, muss es künftig vorlegen. Erst aktivieren, wenn die Zähler oben zeigen, dass alle Geräte ein Zertifikat halten und per mTLS verbinden — sonst sperrst du ein zurückgefallenes Gerät aus.

Agenten verbinden über SNI-mTLS auf Port 443 (eigener Agent-Hostname). Dadurch greift die Zertifikatspflicht auch aus Firmennetzen, die nur 443 erlauben — und Browser werden nicht nach einem Zertifikat gefragt. Ein einzelnes Gerät sperrst du im Grid unter Geräte per Rechtsklick → „Zertifikat widerrufen"; das nächste Enrollment stellt automatisch ein frisches aus.

Vier-Augen-Freigaben

Geräte lassen sich als kritisch markieren (Grid → Rechtsklick). Ein Zugriff auf ein kritisches Gerät wartet dann auf die Freigabe eines Supervisors: Unter Einstellungen → Vier-Augen-Freigaben erscheint die offene Anfrage mit Anfragendem und Gerät. Erst nach „Freigeben" wird die wartende Sitzung verbunden; „Ablehnen" (oder Zeitablauf) weist sie ab.

Audit-Log

Sicherheitsrelevante Ereignisse (Anmeldungen, Sperren, Skript-Ausführungen, Zertifikats-Widerrufe, Konfig-Änderungen) landen in einem manipulationssicheren Protokoll mit Hash-Kette: jeder Eintrag hängt kryptografisch am vorherigen, nachträgliches Ändern oder Löschen fällt auf. Über „Kette prüfen" verifizierst du die Unversehrtheit. Das Log ist ausschließlich lesbar.

12 · Skripte

Die Skript-Bibliothek (Einstellungen → Client-Verwaltung → Skripte) hält wiederverwendbare, parametrisierbare PowerShell-, Batch- oder Bash-Skripte — pro Mandant oder global. Statt jedes Mal Befehle in die Konsole zu tippen, führst du ein geprüftes Skript mit Parametern gezielt auf einem Gerät aus.

• Anlegen/Bearbeiten — Name, Typ (PowerShell/Batch/Bash), Skript-Text und benannte Parameter (auch als Geheimnis markierbar). Global oder auf einen Mandanten beschränkt.
• Signatur — beim Speichern wird das Skript relay-seitig signiert (HMAC über die kanonische Form + Inhalts-Hash). Der Host verifiziert vor jedem Lauf, dass Inhalt und Signatur zusammenpassen — manipulierte Skripte werden nicht ausgeführt.
• Ausführen — benötigt die Rolle Techniker (oder höher) und die Geräte-Capability scriptExec. Parameterwerte gibst du beim Start ein; als Geheimnis markierte werden maskiert.
• Historie — wer wann welches Skript wo mit welchem Ergebnis (Exit-Code, Dauer) ausgeführt hat; Secrets erscheinen maskiert.

13 · Fehlerbehebung

Ein Gerät zeigt keine Version / kein Inventar.

Es läuft noch mit einer älteren Client-Version. Nach einem Update auf eine aktuelle Version meldet es Version und Inventar automatisch.

Das zugewiesene Update passiert nicht.

Das Update greift beim nächsten Verbindungsaufbau des Geräts. Ist der Rechner offline, geschieht es, sobald er sich wieder verbindet. Prüfen Sie den Verlauf unter Updates.

„Verbinden" aus der Konsole geht nicht.

Das Gerät muss online sein und im Browser ein Passwort hinterlegt haben (Zahnrad-Menü „Bearbeiten"), sonst fragt der Web-Client danach.

Keine Verbindung trotz Online-Status.

Prüfen Sie unter Netzwerk die Ports und den Verbindungstest. Für WAN-Verbindungen müssen die TURN-Ports am Relay erreichbar sein.

14 · Dateiablage & Aufräumen

Damit Sie im Support-Fall wissen, wo welche Datei liegt, hier die vollständige Ablage auf einem Windows-Client. BrowserDesk läuft in einer von zwei Betriebsarten – die Ablage unterscheidet sich nur beim Programmordner.

Die zwei Betriebsarten

• 👤 Benutzer-Installation (Standard) – installiert pro Benutzer nach %LOCALAPPDATA%\BrowserDesk. Der Ordner ist schreibbar, daher aktualisiert sich der Client lautlos selbst, ohne Administrator­rechte und ohne Dienst.
• ⚙ Dienst-Installation (unbeaufsichtigt) – eine geplante Aufgabe BrowserDeskUnattended startet den Host als SYSTEM in der angemeldeten Sitzung. Damit ist der Rechner auch ohne angemeldeten Benutzer und über einen Neustart hinweg erreichbar. Sichtbar in der Aufgabenplanung (taskschd.msc), nicht in den Diensten (services.msc).

Wo liegt was?

Betriebsdaten in C:\ProgramData\BrowserDesk

• identity.json – Geräte-ID und Schlüssel. Diese Datei bestimmt, unter welcher ID der Rechner in der Konsole erscheint. Nicht löschen – sonst taucht der Rechner als neues Gerät auf.
• host-settings.json – lokale Host-Einstellungen (z. B. Passwort-Richtlinie).
• pending-update.json – vorgemerktes Update, das beim nächsten Start angewendet wird.
• bd-service.log / relaunch.log – Protokolle für die Fehlersuche.
• bd-relaunch.cmd – temporäres Skript, das den Client nach einem Update sauber neu startet (räumt sich selbst wieder ab).

Automatisches Aufräumen

Bei jedem Start räumt der Client selbstständig auf und behält nur die aktuelle Version:

• Reste früherer Updates (BrowserDesk.old.exe, BrowserDesk.new.exe) im Programmordner werden entfernt.
• Veraltete Unterordner im Entpack-Zwischenspeicher (warp\packages) werden gelöscht – nur der Ordner der laufenden Version bleibt.

Sie müssen also nichts von Hand aufräumen. Diese Ordner wieder anwachsen zu sehen ist normal, solange nur genau ein aktueller Stand übrig bleibt.

Zugriff auf den laufenden Client (Tray-Symbol)

In beiden Betriebsarten zeigt BrowserDesk ein Symbol im Infobereich der Taskleiste (rechts unten, ggf. unter dem Pfeil „ausgeblendete Symbole"). Darüber erreichen Sie den Prozess:

• Benutzer-Installation: Linksklick holt das Fenster zurück; das Menü bietet Öffnen und Beenden.
• Dienst-Installation: Der Host läuft ohne Fenster, zeigt aber ein Tray-Symbol mit der Geräte-ID, Geräte-ID kopieren und BrowserDesk beenden (stoppt auch die geplante Aufgabe, sodass er sich nicht sofort neu startet).

Auf dem Anmelde-/Sperrbildschirm (kein angemeldeter Benutzer) kann kein Tray-Symbol erscheinen – der Rechner bleibt aber über die Konsole erreichbar.

15 · Remote Console

Die Remote Console öffnet eine echte Kommandozeile (Pseudo-Terminal / ConPTY) auf einem Zielgerät – Sie arbeiten, als säßen Sie davor: cmd oder PowerShell mit Prompt, Farben und Verlauf. Ideal, um einem Rechner per Befehl zu helfen, ohne den Bildschirm zu übernehmen.

So öffnen Sie eine Sitzung

• Über den Menüpunkt Remote Console: Gerät und Shell wählen, Verbinden.
• Oder in der Geräteliste über das ⋮-Menü → Remote Console.

Voraussetzung: aktivieren

Aus Sicherheitsgründen ist die Konsole je Gerät standardmäßig aus. Sie aktivieren sie:

• direkt beim Verbinden über den Schalter „Jetzt aktivieren", oder
• auf der Geräte-Detailseite → Fernverwaltung → „Remote Console" (dort auch als Mandanten-Standard für alle Geräte setzbar).

Auf dem Zielgerät läuft der Empfang im normalen BrowserDesk-Host – in der GUI wie im SYSTEM-Dienst. Es muss kein zusätzlicher Dienst installiert werden; die Konsole ist erst erreichbar, wenn sie für das Gerät aktiviert wurde.

Run-As — Sitzung unter anderem Benutzer

Über Run-As … öffnen Sie die Konsole als ein beliebiger Windows-Benutzer (z. B. ein Dienst- oder Domänenkonto). Sie geben Benutzer, Passwort und optional „Benutzerprofil laden" an. Das Passwort wird im Browser mit dem öffentlichen Schlüssel des Geräts verschlüsselt — der Relay-Server sieht es nie im Klartext, nur das Zielgerät entschlüsselt es und meldet sich damit an. Der Status zeigt dann den aktiven Benutzer.

Run-As benötigt gültige Anmeldedaten auf dem Zielgerät. Läuft der Host als normaler Benutzer (nicht als SYSTEM-Dienst), kann Windows die Anmeldung als anderer Benutzer je nach Richtlinie verweigern — dann als Dienst installieren.

Fernverwaltung: alle Einstellungen aus der Konsole

Im Panel Fernverwaltung (Geräte-Detailseite) steuern Sie jede Host-Einstellung zentral: Steuerung erlauben, Zwischenablage, Dateiübertragung, Zugriffs-Bestätigung, Bildqualität, automatische Updates und eben die Remote Console. Jede Einstellung kennt drei Zustände: Ererbt (nutzt den Mandanten-Standard bzw. den lokalen Wert), An oder Aus. Änderungen wirken beim nächsten Verbindungsaufbau des Geräts.