Als im Sommer 2024 ein fehlerhaftes Content-Update einer weit verbreiteten Cybersicherheits-Plattform weltweit Millionen von Windows-Computern in eine Endlosschleife aus Bluescreens schickte, brachte dieser massenhafte Ausfall zahllose Administratoren ins Schwitzen. Betroffen waren längst nicht nur mobile Anwender, sondern auch teils in Zwischendecken und Schränken verbaute Steuerungsrechner vieler Branchen und Sektoren. Flughäfen stellten den Betrieb ein, Krankenhäuser mussten auf Papierdokumentation umstellen, Banken konnten keine Transaktionen mehr verarbeiten.

Das Perfide an der Situation war nicht allein das Ausmaß der Störung, sondern ihre technisch eher triviale Lösung. Ein Admin musste lediglich manuell eine fehlerhafte Datei löschen. Doch da die betroffenen Endpunkte aus eigener Kraft nicht mehr ordnungsgemäß starten konnten, musste er dazu in den meisten Fällen physisch vor Ort die Windows-Wiederherstellungsumgebung (WinRE) bemühen. Bei Tausenden von verteilten Systemen in Filialen, Home-offices und Remotestandorten, noch dazu teils ohne direkt verbundene Peripherie, bedeutete dies einen logistischen Albtraum, der sich über Tage und Wochen hinzog.

Die Anforderungen und Wünsche an Remote Monitoring and Management (RMM) sind entsprechend groß. Administratoren müssen Geräte verwalten, die sich an wechselnden Standorten befinden, in unterschiedlichsten Netzwerken operieren und dennoch konsistent überwacht, mit Updates versorgt und im Fehlerfall gewartet werden wollen. RMM sollte daher nicht nur den Support im regulären Betrieb unterstützen, sondern idealerweise auch dann noch handlungsfähig bleiben, wenn ein Endpunkt nicht mehr wie erwartet hochfährt. Dies bringt uns zur Software O&O Syspectr, die neben klassischen RMM-Funktionen eine besondere Fähigkeit mitbringt: den Fernzugriff auf WinRE und die Intel Active Management Technology (AMT).

Das nach seinen Gründern Oliver Falkenthal und Olaf Kehrer benannte Berliner Softwarehaus O&O Software entwickelt bereits seit dem Jahr 1997 seine systemnahen Werkzeuge für Microsoft Windows komplett in Deutschland. Zu den bekanntesten Produkten zählt O&O Defrag, ein Defragmentierungs- und Optimierungstool für Festplatten und SSDs. O&O DiskImage bietet vollständige Sicherung und Wiederherstellung von Festplatten und Partitionen. Mit sicherer Datentilgung nach anerkannten Standards sorgt O&O SafeErase dafür, dass gelöschte Daten nicht rekonstruierbar sind.

Bekanntheit erlangte O&O in jüngerer Vergangenheit zudem mit ShutUp10++, seinem kostenlosen Antispy-Tool für Windows 10 und Windows 11, das die zahlreichen Telemetriefunktionen des Betriebssystems granular steuert. Ein weiterer Baustein im Portfolio ist O&O BlueCon, eine bootfähige Notfallumgebung auf Basis des Windows Preinstallation Environment (WinPE), die viele O&O-Werkzeuge sowie zusätzliche Reparatur- und Wiederherstellungsfunktionen in einer Umgebung bündelt.

Im Fokus unseres Interesses stand O&O Syspectr. Die cloudbasierte RMM-Software verwaltet Windows-Endpunkte aus der Ferne und integriert dazu einige der zuvor genannten Produkte. Die Software entstand aus einer strategischen Kooperation mit dem US-amerikanischen Hersteller Laplink Software, der sich ebenfalls auf Windows-Interna und zudem Migrationswerkzeuge, wie PCmover und Profile Migrator, spezialisiert hat. Laplink vertreibt das Produkt in den USA unter dem Namen Laplink Everywhere.

Für den Einsatz hierzulande sei aber erwähnt, dass O&O das zentrale Management von Syspectr komplett in der Cloud von IONOS hostet. Sämtliche Cloudkomponenten, die sich um Verwaltung, Kommunikation mit den Endpunkten und Speicherung von Konfigurationsdaten kümmern, befinden sich in deutschen Rechenzentren. O&O bietet passend dazu einen Auftragsverarbeitungsvertrag (AVV) an – relevant für Unternehmen, die bei der Auswahl von Clouddiensten besonderes Augenmerk auf Datenhoheit und die Vermeidung von Datentransfers in Drittländer legen.

O&O bietet Syspectr in fünf Editionen mit aufsteigendem Funktionsumfang an. Die Edition "Free" erlaubt einem Administratorkonto kostenfrei die Verwaltung von bis zu zehn Endpunkten und adressiert damit sehr kleine Umgebungen. Sie unterstützt grundlegende Funktionen der Inventarisierung von Hardware und Software sowie Systemüberwachung von Prozessen, Datenträgern und Windows-Sicherheit mit Aufbewahrung von Ereignissen für 30 Tage. Die Edition "Essentials" gewährt bis zu zehn Endpunkte, ebenfalls mit einem namentlich benannten Administrator, bei monatlicher oder jährlicher Abrechnung. Sie erweitert den Funktionsumfang um den Zugriff per Remotedesktop, Performanceoptimierung von Datenträgern sowie das Sperren unerwünschter Prozesse und bewahrt Ereignisse für 90 Tage auf.

Die Edition "Premium" ermöglicht die Verwaltung einer unbegrenzten Zahl von Endpunkten als Flatrate, wiederum für ein Administratorkonto und gegen Aufpreis auch mit Zugang für weitere Admins. Diese können ihre Endpunkte in Gruppen verwalten, den Syspectr-Client als MSI-Paket etwa per Gruppenrichtlinien automatisiert ausrollen und Ereignisse für 180 Tage aufbewahren. Diese Edition bringt zudem ein Berechtigungssystem für Nutzerkonten und eine Berichtsfunktion mit.

Schließlich richtet sich die Edition "Enterprise" an größere Teams. In diesem Fall verwalten drei Administratorkonten ebenfalls eine unbegrenzte Anzahl an Endpunkten und auch hier schaltet ein Aufpreis bei Bedarf weitere Administratorkonten frei. Dieser Tarif eignet sich zudem für Managed Service Provider (MSP), unterstützt standardmäßig fünf Mandanten und weitere gegen Aufpreis. Die Aufbewahrungsfrist für Ereignisse wächst auf 365 Tage.

Zu guter Letzt beinhaltet die umfangreichste Edition "Resilience" fünf Administratorkonten und legt bei der Abrechnung pro Jahr die Anzahl der verwalteten Endpunkte zugrunde. Sie bietet den vollständigen Funktionsumfang inklusive aller Disaster-Recovery-Funktionen mit Remotedesktop-Zugang zur Wiederherstellungsumgebung WinRE. Sofern ein Endpunkt dies unterstützt, integriert Syspectr Resilience auch Intel AMT. Die Basis dafür bildet die in vielen Geräten der Business-Klasse vorhandene Plattform Intel vPro mit der Intel Management Engine BIOS Extension (MEBx). AMT als Fernwartungstechnologie innerhalb von vPro ebnet Syspectr den Weg für Out-of-Band-Funktionen auch bei abgestürztem oder ausgeschaltetem Client. Für diesen Test hatte uns O&O eine befristete Lizenz der Edition "Resilience" zur Verfügung gestellt.

Sobald wir uns am Webfrontend angemeldet hatten, boten sich uns die Optionen, entweder direkt unsere lokalen Computer in die Verwaltung zu integrieren oder aber die Setuproutine für einen anderen PC oder Server herunterzuladen. Zunächst orientierten wir uns aber in den Einstellungen unseres Kontos, wo wir grundlegende Einstellungen wie Zeitzone und das farbliche Thema der Oberfläche, "light", "litegrey" oder "dark", wählen konnten. Weiterhin nimmt Syspectr hier Logo-Grafiken entgegen, um die Kopfzeile des Webfrontends wie auch PDF-Berichte für das eigene Unternehmen zu individualisieren.

Auf der Registerkarte der Sicherheit aktivierten wir die Zwei-Faktor-Authentifizierung mit einer Authenticator-App nach dem etablierten TOTP-Verfahren. Weiterhin konnten wir dort unsere letzten Kontoanmeldungen sowie aktive Sitzungen nachvollziehen und auf Wunsch auch beenden. Auf der Registerkarte "Verfügbarkeit der Computer" durften wir wählen, ob Syspectr den Betriebszustand der Endpunkte, angeschaltet und mit dem Internet verbunden, aufzeichnen soll. O&O weist an dieser Stelle darauf hin, dass das Ermitteln der Verfügbarkeit unter Umständen als Überwachung von Arbeitsplätzen verstanden werden könnte, wenngleich Syspectr nur den Betriebszustand der Computer, jedoch keine Informationen über deren eigentliche Nutzung speichert. Einmal global aktiviert, konnten wir später die Funktion für einzelne Computer oder für eine Gruppe von Computern individuell deaktivieren. Doch dazu mussten wir unsere Clients erst einmal an Bord nehmen.

Die Setuproutine luden wir als interaktive EXE-Datei oder optional als MSI-Paket herunter. Letzteres ermöglicht die Verteilung über Gruppenrichtlinien-Objekte, Microsoft System Center Configuration Manager, Intune oder eine beliebige andere Plattform zur zentralen Verteilung von Software. In beiden Fällen weist das Webfrontend darauf hin, den Namen der Installationsdatei nicht zu verändern, da er die alphanumerische ID zur Zuordnung zu unserem Mandanten in der Cloud enthält. Da die Clients nur ausgehend mit der Cloudplattform kommunizieren, waren keine eingehenden Firewallregeln erforderlich. Nach der Installation nahm der Syspectr-Agent im Hintergrund automatisch die Arbeit auf und meldete sich im Webfrontend, wo wir noch einmal bestätigen mussten, dass es sich tatsächlich um unsere Endpunkte handelte.

Die Endpunkte erschienen daraufhin auf der Registerkarte "Start", die als zentrales Dashboard fungiert. Hier sahen wir auf einen Blick, wie viele Endpunkte sich als online meldeten und wie viele Warnungen sowie Probleme Syspectr insgesamt und nach den Tagen der vergangenen Woche identifiziert hatte. Darunter erschienen sämtliche Endpunkte, die wir in einer Kachel- oder Listenansicht nach Onlinestatus und Typ filtern sowie auch in Gruppen zusammenfassen konnten, um Einstellungen nicht für jeden Client einzeln, sondern für die gesamte Gruppe zu konfigurieren. Von dort gelangten wir in die Detailansicht eines jeden Endpunkts mit den wiederum in Form von Kacheln organisierten Modulen (Bild 1).

Das Modul "System" zeigt grundlegende Informationen zum Betriebssystem, zu Arbeitsgruppe oder Domäne und zum aktuellen Status des Endpunkts an. Der Bereich "Hardware" blickt derweil unter die Haube und liefert Details zu Prozessor, Arbeitsspeicher, Grafik, Audio, Netzwerk, BIOS und sämtlichen weiteren Geräteklassen. Weiterhin listet "Software" sämtliche installierten Anwendungen auf. In der Premium-Version lassen sich Updates kompatibler Anwendungen per WinGet installieren und Anwendungen aus der Ferne deinstallieren. Letzteres setzt allerdings eine Windows-konforme Deinstallationsroutine voraus, wie sie per MSI-Paket installierte Applikationen mitbringen.

Beim interaktiven Fernzugriff helfen die Module "Remote Desktop" und "Remote Console". Ersteres öffnet eine grafische Sitzung auf dem Endpunkt, wobei O&O die Frage des Datenschutzes geschickt löst. Ist ein Benutzer lokal am Endpunkt angemeldet, erhält er eine Meldung mit Nennung des entfernten Admin-Kontos, das zugreifen möchte. Der Benutzer hat die Wahl, die Verbindung zu genehmigen oder abzulehnen.

Bleibt die Reaktion aus, weil etwa niemand am Endpunkt anwesend ist oder weil Tastatur und Maus defekt sind, wartet Syspectr 30 Sekunden. Daraufhin sperrt der Agent die Sitzung auf dem Client und verbindet sich grafisch mit dem Sperrbildschirm, sodass sich der Pannenhelfer mit einem anderen Konto anmelden kann. Syspectr kann dazu über Aktionen im Browser aus der Ferne Strg+Alt+Entf sowie die Windows-Taste senden, die Bildschirmtastatur einblenden und auch bidirektional Texte per Zwischenablage austauschen. Ein Transfer von Dateien von und zum entfernten Endpunkt ist aber nicht vorgesehen. Die Remote Console startet eine privilegierte Eingabeaufforderung, nicht im Kontext eines Benutzers, sondern in dem des Systems selbst.

Das Modul "Windows-Sicherheit" behält den Überblick über das Betriebssystem, darunter Bitlocker, UAC, Firewall und Konten von Admins und Gästen, und meldet ebenso, wenn Drittanbieter-Tools wie Browser nicht aktuell sind. Das Modul meldet aber nur und greift nicht ein. Auf kritische Befunde mussten wir entsprechend mit anderen Modulen reagieren. "Windows-Updates" steuert dagegen aus der Ferne die Einstellungen zu wichtigen und optionalen Updates und kann diese auch ausblenden oder installieren. Der Bereich "Microsoft Defender Antivirus" verwaltet den Windows-eigenen Virenwächter, führt sofort oder geplant eine Prüfung durch und stellt auch die Berichte im Webfrontend bereit.

Wer bereits O&O ShutUp10++ in Aktion gesehen hat, wird das Modul "Windows-Privatsphäre" sofort wiedererkennen. Es bedient die gewohnten Anti-Spy-Schalter aus der Ferne und wendet dabei, wie sein lokales Pendant auch, nur empfohlene, empfohlene und bedingt empfohlene oder alle gebotenen Einstellungen zu Datenschutz und Privatsphäre an.

Drei Module kümmern sich um fest eingebaute Massenspeicher. Die "Laufwerksüberwachung" informiert über Temperatur und Gesundheitszustand von Datenträgern auf Basis von SMART-Daten. Die "Speicherplatznutzung" wacht über die Belegung der Partitionen auf den Datenträgern. Weiterhin integriert das Modul "O&O Defrag" das gleichnamige Werkzeug des Herstellers, dessen In- stallation wir allerdings zunächst remote anstoßen mussten. Daraufhin konnten wir aus der Ferne Partitionen analysieren und optimieren sowie auch zeitgesteuerte Aufgaben planen.

Droht ein Kapazitätsengpass, hilft die "Datenträgerbereinigung", mit der wir die gespeicherten Daten analysieren und daraufhin Miniaturansichten, Speicherabbilddateien sowie temporäre Dateien remote löschen konnten. Über Wechseldatenträger informiert das Modul "USB-Speicher", das Dateisystem, Gesamtgröße und freien Speicherplatz angeschlossener Medien im Webfrontend anzeigt und auf Wunsch aus der Ferne die Verwendung von USB-Massenspeichern am Endpunkt sperrt.

Im Bereich "Prozesse und Dienste" erhielten wir eine Übersicht aller auf einem Endpunkt vorhandenen Prozesse und Services mit ihrem jeweiligen Status. Diese konnten wir wahlweise als unerwünscht oder kritisch markieren, sodass Syspectr warnt, sobald der erwartete vom tatsächlichen Status, angehalten oder gestartet, abweicht. Ähnlichen Zwecken dient "Prozesse überwachen". Hier konnten wir beliebige Programme, Prozesse und Dienste eintragen, die wahlweise immer oder nie laufen sollen. Der Hersteller möchte die beiden historisch gewachsenen Module perspektivisch zu einem zusammenfassen.

Bei Abweichungen vom gewünschten Zustand informieren die Module allerdings nur; den Zustand ändern mussten wir anderweitig, etwa über den Remotedesktop, die Konsole oder auch das Modul "PowerShell". Das führt Skripte auf entfernten Rechnern manuell, beim Systemstart oder nach Zeitplan aus und listet die Ergebnisse im Webfrontend. O&O stellt in der integrierten Skriptbibliothek Beispiele bereit, die etwa prüfen, ob Java installiert ist oder wie alt das Passwort eines Administratorkontos ist. Diese Skripte konnten wir anpassen oder als Vorlagen für eigene Skripte verwenden. Syspectr erfasst im Webfrontend den Exit-Code sowie die letzte Ausgabezeile einer jeden Ausführung.

Als besondere Stärke erwies sich zu guter Letzt die "Rettungsumgebung". Beim ersten Aufruf zeigte uns das Modul für unsere Testclients jeweils nur die Schaltfläche "Rettungsumgebung jetzt aktivieren". Damit modifizierte Syspectr WinRE auf den Endpunkten, sodass der Syspectr-Agent die Rettungsumgebung jeweils um Netzwerkfunktionen erweiterte. Die Schaltfläche im Webfrontend wechselte daraufhin zu "Rettungsumgebung jetzt starten".

Sobald wir dieses durch eine zusätzliche Sicherheitsabfrage gesicherte Kommando ausführten, meldete der Endpunkt, falls vorhanden, eine Benutzersitzung ab und startete WinRE. Anschließend konnten wir aus dem Webfrontend heraus eine Remote-Desktop-Verbindung zur Rettungsumgebung auf dem Ziel herstellen und diese fernbedienen, Probleme diagnostizieren und gezielte Reparaturmaßnahmen durchführen (Bild 2). Startete der Client lokal in WinRE, sei es aufgrund von Benutzerinteraktion oder wiederholter Fehler, funktionierte dies gleichermaßen.

Zu beachten ist, dass dies nur funktioniert, sofern dem keine Hürden auf Netzwerkebene entgegenstehen. Die Verbindungsaufnahme zu einem neuen WLAN oder per Captive Portal geschützten Netz funktioniert nicht ohne Weiteres, da WinRE von Haus aus nicht dafür ausgelegt ist und keine grafischen Dialoge zur Netzwerkkonfiguration anbietet. Am zuverlässigsten erwiesen sich kabelgebundene Verbindungen. Setzt ein Netzwerk etwa auf Clientzertifikate zur Authentifizierung per IEEE 802.1X, so kann Syspectr ein solches Zertifikat mangels Zugriffes auf dessen privaten Schlüssel nicht in WinRE übernehmen. Netzwerk-Admins müssten folglich Clients, die sich nicht authentifizieren, zumindest in ein Quarantänenetz einsortieren, aus dem sie Kontakt zur Syspectr-Cloud aufnehmen können.

Ist Konnektivität gegeben, ist der Fernzugriff auf WinRE von unschätzbarem Wert, gelingen Reparaturen so doch auch ohne Vor-Ort-Einsatz. Separate Lizenzen vorausgesetzt, integriert Syspectr sogar mit O&O BlueCon und stellt über die Bordmittel von Windows hinaus weitere leistungsfähige Reparatur- und Wiederherstellungstools bereit.

Zusätzliche Möglichkeiten eröffnet Syspectr in Verbindung mit Intel AMT. Oftmals verfügen Organisationen bereits über vPro-fähige Clients, die diese Technologie unterstützen, nutzen sie aber nicht. Denn typischerweise verlangt AMT nach einer komplexen Infrastruktur, wie dedizierten Servern für den Intel Endpoint Management Assistant (EMA) mit erheblichem Konfigurationsaufwand, wodurch der Einsatz für kleinere und mittlere Unternehmen unattraktiv erscheint. Syspectr integriert AMT ohne separate Managementinfrastruktur und erschließt damit den Mehrwert von AMT mit vergleichsweise geringem Aufwand.

Laut O&O harmoniert Syspectr am besten mit modernen Clients, die AMT in der Version 15 oder neuer mitbringen. Wir hatten aber auch mit einem älteren Notebook aus unserem Fundus Erfolg. Sobald wir die Firmware aktualisiert, AMT im BIOS aktiviert und den Client dann wieder gestartet hatten, erschien im Webfrontend eine zusätzliche Kachel für das Modul "Intel AMT".

Darüber aktivierten und konfigurierten wir AMT zunächst und mussten uns dabei entscheiden, ob wir das Gerät im ausgeschalteten Zustand per Kabel oder WLAN ansprechen wollten. In letzterem Fall mussten wir ein WLAN-Profil mit SSID sowie PSK übergeben. Die Funktion eignet sich somit vor allem für Endpunkte, die sich in definierten Umgebungen befinden, nicht unbedingt für den Handlungsreisenden, der sich in ständig wechselnden Netzen tummelt.

Sobald Syspectr AMT provisioniert hatte, konnten wir über das Modul die Versionen von BIOS und AMT sowie Eckdaten zu Prozessor und Hauptplatine einsehen. Über den Bereich "Ein-/Ausschalt-Optionen" ließ sich das Betriebssystem ordnungsgemäß herunterfahren, neu starten oder in den Ruhezustand versetzen, weiterhin das Gerät aber auch hart zurücksetzen oder ausschalten (Bild 3). Im ausgeschalteten Zustand blieb AMT weiterhin aktiv und mit Syspectr verbunden, sodass wir das Gerät aus der Ferne wieder einschalten und weiterhin einmalige oder regelmäßige Zeitpunkte für Starts konfigurieren konnten.

Im regulären Betrieb behalten Administratoren mit Syspectr den Überblick über ihre Endpunkte. Sie führen Inventarisierungen durch, verwalten Updates, überwachen den Sicherheitsstatus und greifen bei Bedarf per Remotedesktop oder Remote-Console auf einzelne Systeme zu. Über Gruppen lassen sich Einstellungen gleichartiger Endpunkte gemeinsam konfigurieren und Power-Shell-Skripte automatisieren wiederkehrende Aufgaben über mehrere Clients hinweg.

Perspektivisch hat der Hersteller die Entwicklung eines agentischen API angekündigt, das die Verwaltungsfunktionen von Syspectr auch programmgesteuert erschließen soll. Ohne API ist es noch nicht möglich, Syspectr mit übergeordneten Automatisierungsworkflows, Ticket-Systemen oder anderweitigen Managementportalen zu integrieren.

Auch ohne solche Integrationen kann Syspectr aber seine Stärken ausspielen, sobald Probleme auftreten, die einen regulären Betrieb verhindern. Syspectr startet ohne lokale Interaktion die Rettungsumgebung, mit der Admins auch remote Reparaturen durchführen und den normalen Betrieb wiederherstellen können. Bei Systemen mit Intel vPro gelingt dies selbst dann, wenn sie vollständig ausgeschaltet sind. Gerade diese Fähigkeit hebt Syspectr deutlich von klassischen RMM-Werkzeugen ab – vorausgesetzt, die Netzwerkverbindung steht.

(ln)