Messen, melden, beenden.

Der Melder: ein Skript, kein Agent

Unter Windows ist der Melder ein PowerShell-Skript, das eine geplante Aufgabe unter dem Systemkonto anlegt: täglich um 9 Uhr mit zufälliger Verzögerung und nach dem Hochfahren. Er liest mit Bordmitteln – WMI, Speicherplatz-API, Windows Update, Sicherheitscenter, Registrierung – und beendet sich nach wenigen Sekunden. Es läuft kein Dienst, es gibt kein Symbol, es wird nichts installiert außer der Datei selbst.

Unter Linux und auf NAS-Geräten ist es ein POSIX-Shell-Skript ohne Abhängigkeiten – es braucht nur curl oder wget und läuft deshalb auch auf Synology und QNAP, wo es keine bash gibt. Der Zeitplan kommt per cron. Auf dem Mac übernimmt launchd.

Was gesendet wird

Eine Meldung ist ein JSON-Dokument mit Messwerten: Rechnername, Hersteller, Modell, Seriennummer, Betriebssystem, freier Platz je Laufwerk, Zustand der Datenträger, Arbeitsspeicher, Auslastung, Laufzeit, Updates, Virenschutzstatus, fehlgeschlagene Dienste, Netzwerkgeschwindigkeit, Temperatur – und die Liste der installierten Programme. Auf Webservern zusätzlich die gefundenen CMS-Installationen mit Version, Plugins und Domain.

Nicht gesendet werden Dokumente, E-Mails, Browserverläufe, Kennwörter oder Inhalte irgendeiner Art. BitLocker-Wiederherstellungsschlüssel sind die einzige Ausnahme, und sie werden ausdrücklich dafür übertragen: verschlüsselt abgelegt, nur auf Klick sichtbar, jede Einsicht protokolliert.

Wie es übertragen wird

Der Melder spricht ausschließlich nach außen, über HTTPS, an eine feste Adresse. Er nimmt keine Verbindungen an und wartet auf keine Befehle. Jedes Gerät meldet sich mit einem eigenen Schlüssel, der bei der ersten Meldung entsteht; die Datei, die Sie herunterladen, enthält nur einen Einrichtungsschlüssel, mit dem sich neue Geräte anmelden können – sonst nichts. Ein stillgelegtes Gerät wird abgewiesen, auch wenn der Melder noch läuft.

Selbstaktualisierung

Bei jeder Meldung erfährt der Melder, ob es eine neuere Fassung gibt. Wenn ja, lädt er sie, prüft die Prüfsumme, lässt sie im Probelauf ihre eigene Versionsnummer nennen und tauscht erst dann die Datei – die vorherige bleibt daneben liegen. Es gibt nur vorwärts, nie ein Zurückstufen von außen. Eine misslungene Aktualisierung verhindert nie die Meldung des Tages.

Bewertung

Die Bewertung passiert bei uns, nicht auf dem Gerät. Schwellen – ab wann ist eine Platte „knapp“, ab wie vielen Tagen ist ein Neustart „überfällig“ – sind zentral einstellbar und wirken sofort auf alle Geräte. Befunde haben einen stabilen Schlüssel, damit ein quittierter Befund quittiert bleibt, bis er sich tatsächlich ändert.

Für Webseiten fragt ComniWatch einmal am Tag wordpress.org und die Versionsquellen von Joomla, TYPO3, Contao und Drupal – je Plugin einmal, nicht je Installation, und höchstens 150 Anfragen je Lauf. Ein Plugin, das wordpress.org aus dem Verzeichnis genommen hat, meist wegen einer Sicherheitslücke, ist ein kritischer Befund: Es bekommt nie wieder ein Update.

Betrieb

ComniWatch läuft auf unseren Servern in Deutschland, betrieben von der SW-Comnizept GmbH & Co. KG in Beckum. Es ist eine eigene Entwicklung ohne Fremd-Cloud und ohne Lizenz, die wir weiterreichen. Kunden mit besonderen Anforderungen können den Betrieb im eigenen Haus mit uns besprechen.