Worum es in dieser Anleitung geht
RMMZit ist ein kostenloses Open-Source-Werkzeug (AGPLv3) zur Fernüberwachung und -verwaltung (RMM). Fernzugriff gehört dazu: Jeden Computer mit dem RMMZit-Agenten können Sie aus der Webkonsole für eine Fernsteuerungssitzung, ein Terminal oder die Dateiverwaltung öffnen. Gehostete Fernwartungswerkzeuge wie TeamViewer oder AnyDesk betreiben ihren Dienst für Sie; RMMZit hosten Sie selbst — die Konsole läuft auf Ihrem Server, und die Sitzungen laufen zwischen Ihrem Server und Ihren Agenten.
Was Sie brauchen
- Einen laufenden RMMZit-Server — falls Sie noch keinen haben, siehe die Installationsanleitung.
- Computer mit dem RMMZit-Agenten: Windows 10 / 11 oder Windows Server 2016 und neuer (64 Bit), oder Linux mit systemd (x86-64 oder ARM64).
- Ein Konto mit der Rolle Administrator oder Techniker. Ein Techniker sieht nur die Kunden, die er verwalten darf.
- Einen aktuellen Webbrowser. Auf dem Computer des Technikers wird nichts installiert.
Wie eine Sitzung den Computer erreicht
Der Server hat zwei Ports: die Konsole (Weboberfläche und API, TCP 8443) und den Agent-Endpunkt (TCP 8444). Die Agenten verbinden sich ausgehend mit dem Agent-Port, die verwalteten Computer brauchen also keine offenen Ports und keine Portweiterleitung. Eine Fernsitzung nutzt dieselbe Agent-Verbindung: Alles läuft über die verschlüsselte Verbindung des Agenten und wird im Prüfprotokoll vermerkt.
Bei der Registrierung merkt sich der Agent den Fingerabdruck des Serverzertifikats, sodass ein gefälschter Server ihn nicht übernehmen kann. Jeder Befehl der Konsole wird vom Server signiert und vom Agenten geprüft. Für Computer außerhalb Ihres Netzwerks öffnen Sie TCP 8444 in der Firewall und tragen die öffentliche Agent-Adresse unter Einstellungen → Netzwerk und Zugriff ein; der Konsolen-Port bleibt geschlossen.
Eine Fernsteuerungssitzung starten
- Öffnen Sie Geräte und klicken Sie auf den Computer (die Suche in der Kopfzeile, Ctrl+K, findet ihn nach Name, Benutzer, IP-Adresse und mehr).
- Klicken Sie auf Fernsteuerung — auf der Geräteseite oder in einem eigenen Fenster. Sie sehen den Bildschirm und steuern ihn mit Maus und Tastatur.
Der Viewer bietet, was die Support-Arbeit braucht:
- Tastatur: Klicken Sie auf den Bildschirm, um zu tippen; die Tasten gehen mit dessen eigenem Tastaturlayout an den entfernten Computer. Strg+Alt+Entf senden und Text senden (tippt einen Text, etwa ein langes Passwort) sind in der Werkzeugleiste.
- Vollbild: Tastenkürzel wie Strg+W oder die Windows-Taste gehen ebenfalls an den entfernten Computer; halten Sie Esc gedrückt, um das Vollbild zu verlassen.
- Qualität: Schnell, Ausgewogen oder Scharf, je nach Verbindung.
- Monitore: einen Monitor oder Alle Monitore wählen.
- Anmelde- und UAC-Bildschirme werden angezeigt und sind bedienbar, sodass Sie sich anmelden und Administratorabfragen bestätigen können.
Was der Benutzer auf der anderen Seite sieht
Die Sitzung beginnt sofort; der Benutzer muss sie nicht annehmen. Standardmäßig sieht die Person am Computer eine Leiste oben am Bildschirm mit Ihrem Namen, solange Sie verbunden sind. Sie selbst sehen die Leiste im Bild nicht.
Ein Administrator kann die Leiste unter Einstellungen → Fernsteuerung ausschalten (Hinweis auf dem entfernten Bildschirm anzeigen, während ein Techniker verbunden ist). Jede Sitzung wird in jedem Fall im Prüfprotokoll vermerkt. Die Sicherheitsempfehlungen von RMMZit raten, den Hinweis eingeschaltet zu lassen, damit Benutzer wissen, wann jemand verbunden ist.
Erklären Sie Ihren Benutzern und Kunden, wie Fernsupport in Ihrem Unternehmen abläuft — dass sich ein Techniker verbinden kann und die Leiste zeigt, wer es ist. Ob Sie mehr brauchen, etwa eine schriftliche Vereinbarung mit dem Kunden, hängt von Ihren Verträgen und den örtlichen Vorschriften ab.
Zwischenablage und Dateien kopieren
Auf Windows-Computern geht kopierter Text in beide Richtungen mit Strg+C und Strg+V. In Ihrem Explorer kopierte Dateien werden auf dem entfernten Computer mit Strg+V eingefügt. Auf dem entfernten Computer kopierte Dateien werden zum Download angeboten (Kopierte Dateien herunterladen), weil ein Browser keine Dateien in Ihre Zwischenablage legen kann. Das Kopieren von Dateien über die Zwischenablage braucht einen angemeldeten Benutzer am Windows-Computer.
Der Austausch über die Zwischenablage lässt sich unter Einstellungen → Fernsteuerung ausschalten.
Remote-Terminal: PowerShell und Root-Shell
Terminal öffnet eine Shell des Geräts im Browser, ohne Verbindung zum Bildschirm — praktisch für Server und für schnelle Korrekturen, während der Benutzer weiterarbeitet.
- Linux: eine Root-Shell.
- Windows: Windows PowerShell als SYSTEM auf einer Pseudokonsole. Dafür sind Agent 0.12 oder neuer und Windows 10 1809 / Windows Server 2019 oder neuer nötig.
Klicken Sie ins Terminal, um zu tippen; kopieren Sie durch Markieren, fügen Sie mit Strg+Umschalt+V oder Text senden ein. Wenn Sie die Seite verlassen, enden die Shell und alle Programme, die sie gestartet hat. Beginn und Ende der Sitzung werden im Prüfprotokoll vermerkt.
Für Befehle, die Sie oft oder auf vielen Computern gleichzeitig ausführen, nutzen Sie stattdessen Skripte: PowerShell, cmd, bash oder sh, als SYSTEM oder root, auf einem Gerät, auf vielen Geräten oder nach Zeitplan, mit der Ausgabe jeder Ausführung.
Dateien, Prozesse, Dienste, Registrierung und Aufgaben
Viele Support-Aufgaben brauchen gar keinen Bildschirm. Die Geräteseite hat Reiter dafür:
- Dateien durchsucht die Laufwerke des Computers: Dateien hochladen (bis 4 GB), herunterladen, einen Ordner oder eine Auswahl als ZIP herunterladen, Ordner anlegen, umbenennen und löschen. Der Agent führt jede Dateioperation als SYSTEM (Windows) oder root (Linux) aus.
- Prozesse listet laufende Programme mit Arbeitsspeicher, Threads und Sitzung und beendet einen Prozess.
- Dienste listet Windows-Dienste oder systemd-Units und startet, stoppt oder startet sie neu. Der RMMZit-Agent schützt sich selbst: Er kann über die Konsole nicht gestoppt oder beendet werden.
- Registrierung (Windows, Agenten ab 0.12) öffnet einen Schlüssel über seinen Pfad oder von den Stämmen HKLM, HKU, HKCR und HKCC aus; Werte und Schlüssel lassen sich hinzufügen, ändern und löschen. Die Stämme, die Schlüssel direkt darunter und die eigenen Zweige des Systems sind geschützt. Die Registrierungen der Benutzer liegen unter HKU (nach ihrer SID).
- Geplante Aufgaben (Windows, Agenten ab 0.12) zeigt die Aufgaben der Aufgabenplanung; eine Aufgabe lässt sich ausführen, beenden, aktivieren, deaktivieren und löschen.
Die Ein/Aus-Schaltflächen auf der Geräteseite starten den Computer neu oder fahren ihn herunter, sofort oder verzögert, mit einer optionalen Nachricht an den angemeldeten Benutzer.
Wer sich verbinden darf und was protokolliert wird
Jede Person meldet sich mit ihrem eigenen Konto und Zwei-Faktor-Anmeldung an. Rollen bestimmen, was sie darf:
- Administrator — alles, einschließlich Benutzern und Einstellungen (etwa Hinweis und Zwischenablage); sieht immer alle Kunden.
- Techniker — verwaltet die Geräte der erlaubten Kunden: Fernzugriff, Skripte, Updates, Programme, Alarme.
- Nur lesen — sieht nur die erlaubten Kunden; kein Fernzugriff und keine Skripte.
Techniker und Nur-Lesen-Benutzer erhalten Zugriff auf alle Kunden oder nur auf einige. Konten legen Sie unter Benutzer an, oder sie kommen aus Active Directory / LDAP oder Single Sign-on.
Das Prüfprotokoll listet jede Änderung und jede Fernaktion mit Benutzer, Ziel und Adresse: Fernsteuerungssitzungen, Terminalsitzungen (Beginn und Ende), jede Dateioperation mit Ihrem Namen, jede Registrierungsänderung mit dem ersetzten Wert, jede Aktion an einer geplanten Aufgabe. Die Einträge sind per Hash verkettet; die Konsole prüft die Kette bei jeder Anzeige und meldet, wenn ein Eintrag geändert oder gelöscht wurde. Kundenberichte zeigen die Arbeit der Techniker aus dem Prüfprotokoll — Fernsteuerungs- und Terminalsitzungen, ausgeführte Skripte und Dateioperationen.
Netzwerk und Sicherheit
- Halten Sie die Konsole nur aus Ihren Admin-Netzwerken erreichbar; für den Zugriff von außen nutzen Sie ein VPN (zum Beispiel WireGuard), statt den Konsolen-Port zu öffnen.
- Öffnen Sie den Agent-Port nur dort, wo Agenten sind, und legen Sie die Agent-Netzwerke fest, wenn alle Agenten von bekannten Adressen kommen.
- Geben Sie jeder Person ein eigenes Konto mit der kleinsten Rolle und nur den Kunden, die sie braucht; deaktivieren Sie Konten von Personen, die gehen.
- Verwenden Sie ein Zertifikat, dem Browser vertrauen (Let's Encrypt oder Ihre eigene CA), unter Einstellungen → Zertifikat.
- Lassen Sie den Hinweis auf dem entfernten Bildschirm eingeschaltet und sehen Sie ab und zu ins Prüfprotokoll.
Ein Terminal, ein Skript oder eine Dateioperation läuft mit vollen Rechten (SYSTEM oder root). Wer sich als Techniker anmelden kann, kann diese Computer verändern — schützen Sie die Konten entsprechend.
Grenzen
- Linux-Desktops: Die Fernsteuerung funktioniert mit X11 (Xorg). Wayland erlaubt einem Hintergrunddienst nicht, den Bildschirm zu sehen oder zu steuern: Melden Sie sich dort mit einer X11-Sitzung an oder verwenden Sie das Terminal. Ohne grafischen Desktop verwenden Sie das Terminal.
- Zwischenablage und Dateikopie über die Fernsteuerung funktionieren mit Windows-Computern.
- Terminal unter Windows: Agent 0.12 oder neuer und Windows 10 1809 / Windows Server 2019 oder neuer.
- Registrierung und geplante Aufgaben: nur Windows, Agenten ab 0.12.
- Uploads in der Dateiverwaltung: bis 4 GB pro Datei.
Alles, was RMMZit kann, steht auf der Funktionsseite; herunterladen können Sie es auf der Download-Seite, die vollständige Referenz ist die Dokumentation, dazu die Sicherheitsseite. Für Server und erste Agenten folgen Sie der Installationsanleitung. Fragen sind in den GitHub Discussions willkommen. Unternehmen erhalten kommerziellen Support von MaxZit (nur auf Englisch).