So sorgt Polpo Desk für Ihre Sicherheit

Das Wichtigste zu Ende-zu-Ende-Verschlüsselung (WebRTC DTLS-SRTP), Verbindungsbestätigung, Einmalkennwörtern, Brute-Force-Schutz und Kontosicherheit.

Zuletzt aktualisiert: 21. Oktober 2026

Fernwartung bedeutet, die Kontrolle über Ihren Computer jemand anderem zu überlassen. Deshalb beruht Polpo Desk auf drei Grundsätzen: Sitzungsinhalte sind Ende-zu-Ende verschlüsselt, Sie entscheiden, wer sich verbindet, und Kennwörter sind so geschützt, dass sie nicht erraten werden können.

Ende-zu-Ende-Verschlüsselung

Bildschirminhalt, Tastatur- und Maussteuerung, Chatnachrichten und übertragene Dateien einer Fernsitzung werden Ende-zu-Ende verschlüsselt (WebRTC DTLS-SRTP) übertragen.

Wann immer möglich, fließen Bild und Daten direkt zwischen den beiden Geräten.
Lässt Ihr Netzwerk keine direkte Verbindung zu, läuft der Datenverkehr über einen Relay-Server (TURN); auch dort bleiben die Inhalte verschlüsselt.
Unsere Server bringen die beiden Seiten lediglich zusammen. Sie sehen und speichern keine Sitzungsinhalte.

Wer entscheidet über eine Verbindung?

Ein Operator kann sich auf drei Arten mit Ihrem Computer verbinden:

Was der Operator kennt	Was passiert
Nur Ihre Verbindungs-ID	Auf Ihrem Bildschirm öffnet sich das Fenster Eingehende Verbindungsanfrage. Es kommt keine Verbindung zustande, bis Sie auf Verbindung zulassen klicken.
ID + das einmalige Sitzungskennwort	Die Verbindung wird ohne Rückfrage angenommen. Wer das Kennwort weitergibt, erlaubt die Verbindung.
ID + ein festes Zugriffspasswort	Unbeaufsichtigter Zugriff: Der Operator verbindet sich ohne Rückfrage. Das funktioniert nur, wenn Sie es einschalten.

Das Bestätigungsfenster zeigt Name, Unternehmen und Profilbild der Person, die sich verbinden möchte. Diese Angaben übermittelt der Server aus dem Polpo Desk-Konto des Operators. Sehen Sie einen Namen, den Sie nicht kennen, klicken Sie auf Ablehnen.

Geben Sie Ihr Sitzungskennwort nur an die Person weiter, die Sie kennen und die Sie gerade unterstützt. Das Polpo Desk-Team fragt Sie niemals von sich aus nach Ihrer ID oder Ihrem Kennwort.

Während einer Verbindung klicken Sie auf die Statuszeile des Clients, um die Liste Verbundene Operatoren zu sehen, und beenden die Verbindung eines Operators jederzeit mit Trennen.

Auch während der Sitzung bleiben Sie informiert und behalten die Kontrolle:

Zeichnet ein Operator die Sitzung auf, zeigt der Client für die gesamte Dauer der Aufzeichnung ein rotes Banner Diese Sitzung wird vom Operator aufgezeichnet. Die Aufzeichnung wird nur auf dem Computer des Operators gespeichert, nie auf unseren Servern.
Mit Dateiübertragung erlauben und Zwischenablage-Freigabe erlauben in den Client-Einstellungen entscheiden Sie, ob Dateien und Inhalte der Zwischenablage ausgetauscht werden dürfen. Siehe Client-Sicherheit: Bestätigung und Berechtigungen.

Einmaliges Sitzungskennwort

Das Sitzungskennwort im Client hat 6 Ziffern.
Jedes Mal, wenn sich der Client beim Server anmeldet (beim Start oder beim erneuten Verbinden nach einem Verbindungsabbruch), wird ein neues Kennwort erzeugt.
Die Schaltfläche Kennwort erneuern macht das alte Kennwort sofort ungültig.
Es ist kein dauerhafter Schlüssel; erneuern Sie es nach einer Support-Sitzung einfach, dann ist es wertlos.

Schutz vor Brute-Force-Angriffen (Erraten von Kennwörtern)

Sich durch Erraten des Kennworts zu verbinden, ist praktisch unmöglich, weil der Server Fehlversuche begrenzt:

Werden für ein Gerät innerhalb von 15 Minuten 5 falsche Kennwörter eingegeben, werden Kennwortverbindungen zu diesem Gerät für 15 Minuten gesperrt, und das Sitzungskennwort wird automatisch erneuert.
Unternimmt ein Operator-Konto innerhalb von 15 Minuten 20 Fehlversuche, werden die Kennwort-Verbindungsversuche dieses Kontos für 15 Minuten ausgesetzt.
Für eine ausstehende Anfrage kann ein Kennwort höchstens 3-mal eingegeben werden; danach wird die Anfrage verworfen.

Unbeaufsichtigter Zugriff

Um sich mit Ihren eigenen Computern oder mit von Ihnen verwalteten Servern zu verbinden, während niemand vor Ort ist, können Sie ein festes Passwort festlegen. Diese Funktion ist standardmäßig aus und funktioniert nur, wenn Sie sie im Client einschalten. Das feste Passwort wird auf dem Server nicht im Klartext gespeichert, sondern als Einweg-Hash. Lässt ein Operator sich das dauerhafte Passwort eines Geräts von der Konsole merken, wird diese Kopie verschlüsselt auf dem Server gespeichert, an das Konto des Operators gebunden und nie an den Browser zurückgesendet; funktioniert sie nicht mehr, wird die gemerkte Kopie gelöscht. Einzelheiten: Unbeaufsichtigten Zugriff einrichten.

Android-Geräte haben kein festes Passwort, und die Bildschirmfreigabe muss zusätzlich bei jeder Sitzung am Gerät bestätigt werden. Siehe Client für Android TV und Smartphone.

Kontosicherheit

Passwörter: Kontopasswörter werden auf dem Server nur als Einweg-Hash (PBKDF2) gespeichert und müssen mindestens 8 Zeichen lang sein.
Sitzungs-Cookie: Ihre Panel- und Konsolensitzung wird in einem Cookie gehalten, das JavaScript nicht lesen kann (HttpOnly), und Anfragen, die Daten ändern, müssen einen zusätzlichen Sicherheits-Header mitführen. So können andere Websites keine Anfragen in Ihrem Namen senden.
Bot-Schutz: Anmelde-, Registrierungs- und Kontaktformulare verwenden die Prüfung durch Cloudflare Turnstile.
E-Mail-Bestätigung: Konten, die ihre E-Mail-Adresse nicht bestätigen, können nach einer kurzen Testphase keine Fernverbindungen mehr starten.
Verschlüsselung gespeicherter Daten: Kontodaten wie E-Mail-Adressen, Namen, Rechnungsangaben, Nachrichten in Supportanfragen und die IP-Adressen in Audit-Einträgen werden verschlüsselt in der Datenbank gespeichert.

Teamverwaltung und Nachvollziehbarkeit

Administratoren können die Konten ausscheidender Mitarbeiter sofort sperren oder löschen und im Audit-Protokoll sehen, wer sich wann angemeldet und mit welchem Gerät verbunden hat. Siehe Benutzer hinzufügen und Rollen und Sitzungs- und Audit-Berichte.

Um die Sicherheitsoptionen in Ihrem Client anzupassen, siehe Client-Sicherheit: Bestätigung und Berechtigungen.