Was Unattended Access ist
Im Attended-Modus muss jemand am Zielgerät die Verbindung explizit erlauben — Session-ID + PIN durchgeben. Im Unattended-Modus läuft der WinDesk Host als Dienst dauerhaft im Hintergrund, und du kannst dich jederzeit verbinden, ohne dass jemand zustimmt.
Use-Cases:
- Server-Wartung ausserhalb der Bürozeiten
- IT-Dienstleister mit Kundengeräten, die du betreust
- Edge-Devices, Pi-basierte Setups, Build-Maschinen
- Familien-Mac, den du für Eltern oft remote unterstützt
Voraussetzungen
- WinDesk Pro-Abonnement (CHF 29.90/Monat) — Free + Light haben kein Unattended
- Administratorrechte auf dem Zielgerät (für die Dienstinstallation)
- Internet-Zugang am Zielgerät
- Jeweils 5 Minuten pro Gerät
Setup auf Windows
1. WinDesk Host als Pro-User installieren (deinstalliert eine
evtl. existierende Free-Variante automatisch)
2. Beim ersten Start: Anmeldung mit Pro-Konto
3. Im Host-Fenster: "Unattended Access aktivieren" wählen
4. UAC-Dialog bestätigen — installiert Windows-Dienst
5. Im Web-Portal app.windesk.ch prüfen:
Geräte → neue Zeile mit Hostname + "online"
6. Optional: Gerät einer Gruppe zuweisen, Notiz hinzufügen
Token-Speicherung unter C:\ProgramData\WinDesk\ mit den Schutzmechanismen des Betriebssystems (DPAPI, im Dienst-Modus das TPM). Jede Verknüpfung ist zusätzlich an einen Hardware-Fingerabdruck des Hosts gebunden.
Setup auf macOS Apple Silicon
1. WinDesk Host.app aus DMG nach /Applications ziehen
2. Bei erstem Start: Apple-Notarisation-OK, kein Gatekeeper-Drama
3. Bildschirmaufnahme + Bedienungshilfen erlauben (Wizard führt durch)
4. Anmeldung mit Pro-Konto im Host-Fenster
5. "Unattended Access aktivieren" — der Dienst ist ein LaunchDaemon
(/Library/LaunchDaemons/ch.windesk.host.plist), eingerichtet über die Host-App
6. Die Anmeldung des Hosts wird an die Secure Enclave gebunden (Apple Silicon)
Auf Apple Silicon ist die Anmeldung des Hosts an die Secure Enclave gebunden. Jede Verknüpfung ist zusätzlich an einen Hardware-Fingerabdruck des Hosts gebunden.
Setup auf Linux (Ubuntu/Debian)
1. sudo apt install ./WinDesk-Host_<Version>_amd64.deb
(richtet den Dienst windesk-host.service ein und startet ihn)
2. WinDesk Host öffnen, anmelden und den Host im App-Dialog verknüpfen
3. Im Portal verifizieren: Geräte → Hostname → online
Auf Linux ist die Anmeldung des Hosts an das TPM 2.0 gebunden, wo vorhanden. Der Token selbst wird mit TPM 2.0 oder dem Schlüsselbund des Systems geschützt.
Setup auf Raspberry Pi (Pi 4/5)
1. sudo apt install ./WinDesk-Host_<Version>_arm64.deb
(richtet den Dienst windesk-host.service ein und startet ihn)
2. WinDesk Host öffnen, anmelden und den Host im App-Dialog verknüpfen
Unter Linux braucht der Host eine grafische Sitzung (X11 oder Wayland mit wlroots, GNOME oder KDE) — das gilt auch für den Pi.
Zugriff vom Client
Im Client-Portal links: Geräte. Du siehst alle Hosts mit Online-Status. Doppelklick → Verbindung wird aufgebaut. Keine Session-ID, kein PIN nötig — die Verknüpfung authentifiziert das Gerät.
Sicherheits-Konfiguration
Per Default ist Unattended-Access auf:
- ✅ AES-256-GCM verschlüsselt
- ✅ Audit-Trail aktiv (alle Verbindungen geloggt)
- ✅ Sicherheits-Mail bei jeder neuen Verknüpfung
- ✅ Jede Verknüpfung ist an einen Hardware-Fingerabdruck des Hosts gebunden
Zusätzlich gilt:
- Kommt eine unbeaufsichtigte Verbindung aus einem Land, das für den Host nicht freigegeben ist, wird sie gesperrt, und du bekommst eine E-Mail zur Freigabe. Wiederholte Fehlanmeldungen sperren die IP-Adresse.
- Vier Rollen im Team: Inhaber, Administrator, Supporter, Nur Lesen (Hosts, die du als privat markierst, sieht niemand sonst im Team)
- Du bekommst eine E-Mail, wenn sich jemand anderes mit deinem Host verbindet, und eine Warnung, wenn ein Zugriff aus einem ungewohnten Land kommt.
Notfall: Token kompromittiert
Wenn du vermutest, dass ein Host-Gerät kompromittiert ist:
- Im Portal: Geräte → [Hostname] → Sperren
- Die Verknüpfung wird aufgehoben; der Host verliert den unbeaufsichtigten Zugriff. Eine laufende Sitzung beendet die Person am Host über den Hinweis am Bildschirmrand
- Auf dem Host: WinDesk Host neu starten + neu pairen
Häufige Probleme
«Host zeigt nicht online» trotz laufendem Dienst. Firewall-Frage: ausgehender UDP-Verkehr zu *.windesk.ch:443 muss erlaubt sein.
«Token wird ungültig nach Reboot». Auf Windows: Bitlocker-Recovery- Reset hat möglicherweise den TPM-State invalidiert. Lösung: neu pairen.
«Mehrere Hosts mit gleichem Namen». Wenn du einen Host neu installiert hast, steht der alte oft noch im Portal. Manuell löschen.
WinDesk Pro starten · Pro-Funktionen im Detail · Bei Setup-Problemen: support@windesk.ch.