Windows-Überwachung einrichten

Was Sie brauchen

• Einen Computer mit Windows 10 oder Windows 11 und Internetzugang.
• Ein Administratorkonto auf diesem Computer (das Konto, das Programme installieren darf).
• Einen Ojava-Zugang mit der Rolle Inhaber oder Administrator.
• Vor der Installation: Informieren Sie die Personen, die den PC nutzen, was überwacht wird und wozu (Bedingungen §7A). Vorlage: ojava.ch/de/employee-notice, auch unter Einstellungen → Sicherheit.

Schritt 1: Frühen Zugang anfragen (Kontoinhaber)

1. Melden Sie sich bei Ojava an und öffnen Sie Geräte (oder die Startseite, wenn Sie Microsoft 365 nicht verbunden haben), klicken Sie dann auf Frühen Zugang anfragen und geben Sie Ihre Anzahl PCs an.
2. Wir genehmigen Ihre Anfrage und senden Ihnen die Schritte per E-Mail; danach zeigt Geräte den Knopf Windows-PC hinzufügen mit dem Download. Auf Wunsch gehen wir die nächsten Schritte mit Ihnen durch (auf der Seite finden Sie einen Link zur Terminbuchung). Während des frühen Zugangs wird für PCs nichts verrechnet.

Schritt 2: PC in Ojava verbinden

1. Öffnen Sie Geräte im linken Menü und klicken Sie auf Windows-PC hinzufügen.
2. Geben Sie den Namen des PCs ein (zum Beispiel «PC Empfang») und auf Wunsch die E-Mail der Person, die ihn nutzt. Bestätigen Sie.
3. Klicken Sie auf Setup für diesen PC herunterladen. Der Knopf erzeugt einen Link, der einmal und 2 Minuten lang gilt; die Seite zeigt auch die Version und die SHA-256-Prüfsumme, um die Datei auf Wunsch mit Get-FileHash zu prüfen. Der Dateiname beginnt mit OjavaAgentSetup und endet mit 8 Zeichen: Das ist der Einmalcode dieses PCs, später ist also nichts einzugeben. Die Datei funktioniert einmal und 24 Stunden lang; ist sie abgelaufen, meldet das Setup dies und ändert nichts: Laden Sie eine neue herunter. Wiederholen Sie das für jeden PC (eine Datei pro PC).
4. Kopieren Sie die Datei auf den PC (USB-Stick, freigegebener Ordner oder E-Mail an sich selbst). Verwenden Sie sie innert 24 Stunden; ist sie älter, laden Sie sie erneut herunter.

Schritt 3: Auf dem PC installieren

1. Öffnen Sie auf dem PC die Datei, die Sie für ihn heruntergeladen haben.
2. Weil das Installationsprogramm noch nicht signiert ist, zeigt Windows ein blaues Fenster «Der Computer wurde durch Windows geschützt». Klicken Sie auf Weitere Informationen, prüfen Sie, dass der Dateiname mit OjavaAgentSetup beginnt, und klicken Sie auf Trotzdem ausführen. Diese Meldung verschwindet mit der signierten Version des Agenten.
3. Danach fragt Windows «Möchten Sie zulassen, dass durch diese App Änderungen an Ihrem Gerät vorgenommen werden?» und zeigt den Herausgeber als unbekannt. Das ist im frühen Zugang normal: Klicken Sie auf Ja.
4. Warten Sie auf die Meldung, dass die Installation abgeschlossen ist, und schliessen Sie das Fenster. Mehr ist nicht zu tun: Der Agent startet bei jedem Start des PCs von selbst.
5. Nur wenn das Fenster nach einem Code fragt: Geben Sie die 8 Zeichen ein, die Ojava neben dem PC anzeigt (zwei Vierergruppen, zum Beispiel K7P2-9QXM; der Bindestrich ist optional). Zum Einfügen klicken Sie mit der rechten Maustaste ins Fenster.

Schritt 4: Prüfen, ob alles funktioniert

1. Innert 5 Minuten erscheint der PC unter Geräte als Online, mit dem Status von Windows Defender und der Windows-Firewall.
2. Wiederholen Sie die Schritte 3 und 4 für jeden weiteren PC. Unter Geräte sehen Sie, wie viele PCs Sie nutzen und wie viele noch frei sind.

Wenn eine Einrichtung nicht abgeschlossen ist

Ein registrierter, aber nie installierter PC zeigt unter Geräte «Warten auf die erste Verbindung». Nach 7 Tagen zählt er nicht mehr als bezahlter PC und wird automatisch entfernt.

Den Agenten aktualisieren

Wenn eine neue Version des Agenten verfügbar ist, markiert Geräte jeden betroffenen PC mit «Update verfügbar», und Inhaber und Administratoren erhalten dazu eine E-Mail mit den Schritten. Klicken Sie auf Update für diesen PC herunterladen, kopieren Sie die Datei auf den PC und öffnen Sie sie als Administrator: Der Agent wird direkt aktualisiert. Der PC behält seine Verbindung, seine Einstellungen und seinen Platz unter Geräte; ein neuer Code ist nicht nötig. Ein älteres Setup ersetzt nie einen neueren Agenten.

Worauf Ojava achtet

Ojava erkennt und alarmiert. Es blockiert und löscht nichts auf Ihren PCs; die einzigen Änderungen sind das Einschalten der Windows-eigenen Sicherheitsprotokollierung und ein paar versteckte Köderdateien (siehe unten). Wenn etwas verdächtig aussieht, erhalten Sie eine Meldung, die erklärt, was passiert ist und was eine Person prüfen oder tun sollte, um es zu beheben. Ojava achtet unter anderem auf:

• Viele Dateien, die in kurzer Zeit verändert oder gelöscht werden (ein typisches Zeichen von Ransomware).
• Ausgeschalteten Windows Defender oder Firewall, oder ein gelöschtes Sicherheitsprotokoll.
• Bekannte Angriffs- und Passwortdiebstahl-Werkzeuge sowie Versuche, Windows-Passwörter aus dem Speicher zu lesen.
• Verdächtige PowerShell-Befehle, neue automatisch startende Programme, neue Dienste und geplante Aufgaben.
• Wiederholte fehlgeschlagene Anmeldungen am PC und das Einstecken von USB-Speichern.
• Zusammenhänge zwischen einer PC-Meldung und einer Microsoft-365-Meldung zur selben Person (zum Beispiel ein gestohlenes Passwort, das aus dem Ausland benutzt wird, danach ungewöhnliche Aktivität auf ihrem PC).

Was der Agent liest und was nicht

Der Agent liest Windows-Sicherheitsereignisse, Namen und Befehlszeilen laufender Programme, für geänderte Dateien in Benutzerordnern nur Ordnerart und Dateiendung (ein Beispielpfad, wenn sich viele auf einmal ändern), der Benutzerordner als %USERPROFILE%, die Adressen von Netzwerkverbindungen, automatisch startende Programme und die Sicherheitseinstellungen von Windows. Er liest weder den Inhalt von Dokumenten oder E-Mails noch den Browserverlauf, Tastatureingaben oder den Bildschirm. Bei der Installation schaltet er die Windows-eigene Protokollierung neu gestarteter Programme und geplanter Aufgaben ein, damit auch kurze Befehle sichtbar sind, sowie welches Programm in den überwachten Benutzerordnern (Desktop, Dokumente, Downloads; nie deren Inhalt) Dateien schreibt, umbenennt oder löscht, vergrössert das Windows-Sicherheitsprotokoll, damit diese Einträge lange genug erhalten bleiben, und legt ein paar versteckte Köderdateien ab (siehe unten); sonst verändert er nichts. Informieren Sie Ihre Mitarbeitenden, dass ihre Arbeits-PCs aus Sicherheitsgründen überwacht werden; in manchen Ländern ist das vor dem Start vorgeschrieben.

Köderdateien

Der Agent legt zwei kleine versteckte Köderdokumente (~ojava-check-1.docx und ~ojava-check-2.xlsx) im Hauptordner jedes Benutzers (C:\Users\Name), in Öffentliche Dokumente und in Dokumente ab, Letzteres nur, wenn dieser Ordner nicht mit OneDrive synchronisiert wird; so erscheinen sie nie in Ihrem Cloud-Speicher. Niemand muss sie öffnen, und sie enthalten keine Daten. Ransomware verändert jedes Dokument, das sie findet: Ändert oder benennt etwas anderes als der Agent eine davon um, erhalten Sie sofort eine kritische Meldung. Wird eine gelöscht, erhalten Sie eine normale Meldung, und der Agent legt sie wieder an. Programme, die Dateien nur lesen, etwa OneDrive, Virenscans und die Windows-Suche, lösen nichts aus. Beim Deinstallieren des Agenten werden sie gelöscht.

Einen PC entfernen

1. Öffnen Sie in Ojava Geräte, klicken Sie auf den PC und dann auf Gerät entfernen. Ab diesem Moment zählt der PC nicht mehr als bezahlter PC, und der Ojava-Agent entfernt sich beim nächsten Kontakt mit Ojava selbst (seine Dateien und sein Windows-Dienst, sonst nichts).
2. Sie können ihn auch selbst auf dem PC entfernen: Starten Sie dieselbe Installationsdatei erneut (OjavaAgentSetup gefolgt vom Code des PCs, .exe) und wählen Sie Deinstallieren.
3. Stoppt die Windows-Überwachung (zum Beispiel Ende des Abos oder Zahlungsverzug), hört der Agent auf zu sammeln und wartet. Er macht von selbst weiter, wenn die Überwachung wieder startet. Wird das Konto gelöscht, entfernt sich der Agent von jedem PC.

Was Ihre Mitarbeitenden wissen sollten

• Ojava überwacht den PC auf Anzeichen eines Angriffs: startende Programme, massenhaft geänderte Dateien, ausgeschalteter Windows-Schutz. Es liest keine Dokumente, E-Mails, Browserverläufe oder Tastatureingaben und macht keine Bildschirmfotos.
• Ojava blockiert, löscht und ändert nichts. Die einzigen Änderungen am PC: Der Agent schaltet die Sicherheitsprotokollierung von Windows ein (neue Programme, geplante Aufgaben und welches Programm Dateien in den Benutzerordnern ändert; das Sicherheitsprotokoll wird vergrössert) und legt ein paar versteckte Köderdateien ab, die niemand öffnen muss. Die Deinstallation stellt diese Einstellungen wieder her wie zuvor.
• Informieren Sie Ihr Team vor der Installation (oft ist das Pflicht): was überwacht wird, warum, und wer die Alarme sieht.

PCs, die ein IT-Dienstleister verwaltet, oder mit anderem Virenschutz

• Ojava läuft neben Microsoft Defender oder einem anderen Virenschutz; es ersetzt ihn nicht. Stellt Ihr Virenschutz das Installationsprogramm unter Quarantäne (es ist noch nicht signiert), bitten Sie die zuständige Person, die Datei OjavaAgentSetup… von ojava.ch zuzulassen, oder senden Sie uns den Namen des Virenschutzes.
• Von einem Dienstleister verwaltete PCs (Intune, Gruppenrichtlinien): Die Installation braucht einen lokalen Administrator. Bitten Sie Ihren Dienstleister, die Sicherheitsprotokollierung von Windows nicht wieder auszuschalten: Ohne sie sieht Ojava weniger Warnsignale.
• Der PC muss https://api.ojava.ch (Port 443) erreichen. Ein Firmen-Proxy oder eine Firewall, die das blockiert, lässt den PC auf «Wartend».

Hilfe benötigt?

Schreiben Sie an support@ojava.ch. Wenn ein Techniker den Agenten mit Ihnen installieren soll, klicken Sie unter Geräte auf Techniker anfragen: Wir antworten mit Preis und Termin, bevor etwas gebucht wird.