01
Standardnutzer bleibt Standardnutzer.
Kein UAC, keine Admin-Rechte, keine PIM-Just-in-Time-Erhöhung. Der Klick auf „Installieren" passiert in der UI — alles andere im Service-Kontext. Die Privilegien-Grenze bleibt sauber.
Solvia Software Kiosk · v3.2 · stable
Software ohne Admin-Rechte installieren.
Self-Service-Katalog für Windows. Standardnutzer installieren freigegebene Software selbst — ein Windows-Service erledigt das mit Systemrechten. Ohne IT-Ticket. Ohne Risiko.
S
Solvia Software Kiosk
Tenant: treuhand-mueller-ag · 38 Pakete
winget · live
A
Adobe Acrobat DC
24.001.20629 Installieren F
Mozilla Firefox
128.0 Installiert Z
Zoom Workplace
6.1.5 Installieren V
VS Code
1.93 Installiert Das Problem
Wenn Standardnutzer keine Software installieren dürfen, zahlt die IT den Preis.
In den meisten Schweizer Unternehmen sind die Endgeräte sauber gehärtet: Mitarbeitende arbeiten als Standardnutzer, lokale Administrationsrechte gibt es nicht. Das ist richtig — und genau deshalb landen alle Installations-Wünsche im Helpdesk.
Pro Ticket gehen schnell 30 Minuten Admin-Zeit verloren: Anruf, RDP, Installation, Quittung. Multipliziert mit drei Anfragen pro Woche und hundert Endpoints summiert sich das zu einer eigenen Vollzeitstelle.
Die übliche Gegenmassnahme — Mitarbeitenden „kurz mal" lokale Admin-Rechte geben — verletzt das Least-Privilege-Prinzip, untergräbt ISO 27001 und passt nicht zu NIS2 und revDSG.
Sie brauchen einen dritten Weg.
Nutzen
Vier spürbare Effekte.
02
Helpdesk-Volumen sinkt sichtbar.
Triviale Standardinstallationen — Browser, Mediaplayer, PDF-Reader, Conferencing-Tools — wandern aus dem Ticket-System in den Self-Service-Katalog. Der Helpdesk gewinnt Zeit für die echten Probleme.
03
Echte Software-Inventarisierung.
winget-Live-Detection statt Schnappschüsse. Jede Karte zeigt Installiert / Update verfügbar / Nicht installiert mit Quell-Pille — ausgelesen über die winget-COM-API plus Registry- und Skript-Sonden.
04
Self-hosted, kein Cloud-Lock-In.
Server, Katalog, Skripte und Telemetrie laufen auf Ihrer Infrastruktur. Sie behalten die Datenhoheit; keine sensiblen Inventur-Daten verlassen die Schweiz.
Was nicht skaliert
Portable Apps, PWAs, %APPDATA%: warum die DIY-Tricks im Unternehmen scheitern.
Wer „Software ohne Admin-Rechte installieren" googelt, findet schnell drei populäre Workarounds. Alle funktionieren — für eine einzelne Person, an einem einzelnen Tag. Skaliert auf ein Unternehmen kippen sie in IT-Probleme.
| Workaround | Funktioniert für … | Bricht im Unternehmen, weil … |
|---|---|---|
| Portable Apps | Einzel-Tools wie Notepad++ vom USB | Keine Versionskontrolle, kein Update-Pfad, keine Auditierbarkeit; viele Tools brauchen trotzdem Registry- oder Treiber-Schritte. |
| Progressive Web Apps | Browser-basierte Tools | Deckt nur SaaS ab; alles, was lokal rechnen muss (CAD, RIS, Buchhaltung), bleibt aussen vor. |
| Installation in %APPDATA% | Erfahrene Endnutzer | Funktioniert für Apps ohne System-Hooks; scheitert an Treibern, MSI, Schriftarten, Diensten — und ist nicht zentral verwaltbar. |
Der Solvia Software Kiosk ist der strukturelle Ersatz für diese Workarounds: ein freigegebener Katalog, ein zentraler Verteilpfad, vollständige Inventur und ein klares Compliance-Modell.
Funktionen
Sechs Funktionen, eng gebaut.
01 — Architektur
Privilege-Elevation-Gateway
User-Prozess übergibt die Aktion via Named Pipes an einen Windows-Service mit System-Account. Kein offener RPC-Endpunkt, keine Netzwerk-Exposition, ACL-geschützt.
02 — Sicherheit
Skript-Whitelist über HTTPS
Nur Skripte aus der signierten BaseUrl werden ausgeführt. HTTPS ist Pflicht, Pfad-Traversal und URL-Credentials werden abgewiesen, jede Ausführung wird mit Nutzer, Maschine, Paket-ID und Exit-Code geloggt.
03 — Detection
winget-Live-Detection
Status, Version und Quelle eines Pakets kommen direkt aus der Microsoft.Management.Deployment-COM-API — kein Shell-Out, kein Cache, keine Schnappschüsse.
04 — Workflow
Update-Workflow für winget
Sobald die Katalog-Version von der installierten abweicht, kippt der Knopf zu „Update". Der Service führt winget upgrade aus — der Nutzer braucht weiterhin keine Rechte.
05 — Stabilität
Pre-Install-Process-Check
Cross-Session-Check, ob das Zielprogramm gerade läuft. Der Service fragt das Nutzer-UI: „Medavis RIS läuft. Soll ich es schliessen?" Erst nach Zustimmung beginnt das Update.
06 — Skalierung
Multi-Tenant & RMM-Bootstrap
Pro Mandant ein Katalog, pro RMM ein Bootstrap. Atera, NinjaOne, N-able, Datto vorbereitet — Roll-out auf 100+ Endpoints in einer Aufgabe.
Anwendungsfälle
Drei typische Einsätze.
KMU mit interner IT
Helpdesk entlasten, Endpoint-Hygiene erhöhen.
- Standardinstallationen wandern in den Self-Service-Katalog
- IT-Tickets für trivial-Installs sinken messbar
- Vollständige winget-Inventur — endlich wissen, was wo läuft
- Keine lokalen Admin-Rechte mehr nötig (ISO-27001-konform)
Mandanten mit einem Tool, je eigener Katalog.
- Multi-Tenant: pro Kunde Katalog, Logo und Skript-Pfad
- Atera-RMM-Bootstrap rollt 100+ Endpoints in einer Aufgabe aus
- Fleet-Dashboard pro Mandant — wer hat was in welcher Version
- Keine Skript-Wildwuchs-Sammlung mehr in OneDrive-Ordnern
Self-hosted EPM ohne Cloud-Abhängigkeit.
- Self-hosted: keine Daten verlassen Ihre Infrastruktur
- Skript-Whitelist via BaseUrl, keine offenen Ports
- Self-contained .NET 10, keine zusätzliche Runtime
- Integration in bestehende SIEM- und Patch-Stacks
Im Vergleich
Wo das Kiosk sich abhebt.
Der Markt ist polarisiert: oben Enterprise-Suiten mit jahrelanger Einführung, unten Cloud-SaaS, der „den User selbst eskalieren" lässt. Der Kiosk ist die mittlere Option — schnell deploybar, mandantenfähig, ohne Compliance-Kompromisse.
| Kriterium | Solvia Software Kiosk | BeyondTrust EPM | Admin By Request | Microsoft Intune Win32-Apps |
|---|---|---|---|---|
| Standardnutzer bleibt ohne Admin-Rechte | ✓ (Service vermittelt) | ✓ (Policy-basiert) | ✗ (Nutzer eskaliert selbst) | ✓ (Intune-Push) |
| Self-hosted möglich | ✓ | ✓ (mit Aufwand) | ✗ (Cloud-only) | ✗ (M365-Cloud) |
| winget-Live-Inventarisierung über COM | ✓ | ✗ | ✗ | ✗ |
| Update-Erkennung pro Endpoint | ✓ | ✓ | teilweise | nur Intune-Apps |
| Multi-Tenant für MSPs | ✓ (per Customer) | (Enterprise-Tool) | (begrenzt) | (per Tenant) |
| Cross-Session-Prompt vor Update | ✓ | ✗ | ✗ | ✗ |
| Onboarding-Dauer | Tage | Monate | Wochen | Wochen |
| Lizenz-Einstieg (Tendenz) | Mittel | Hoch | Mittel | im M365-Stack enthalten |
Wenn Sie BeyondTrust- oder CyberArk-Lizenzen schon im Haus haben, lösen die Ihr Problem auch — mit entsprechender Investition. Wenn nicht, brauchen Sie einen mittelschweren Hammer für ein mittelschweres Problem.
Sicherheit
Sicherheit by Design.
Architektur-Prinzipien, die wir bei jedem Roll-out durchsetzen.
Eine vollständige Architektur-Beschreibung liefern wir auf Anfrage als technisches Dossier — inklusive Threat-Model und Pen-Test-Befunden.
- Least-Privilege-Trennung
Service läuft als LocalSystem, UI im Nutzerkontext. Kein Code wechselt diese Grenze ohne explizite, geloggte Anfrage über die Pipe.
- Skript-Validierung vor Ausführung
Jede Skript-URL wird gegen die konfigurierte BaseUrl geprüft, HTTPS ist erzwungen, Pfad-Traversal und Credentials in URLs werden abgelehnt.
- Eine Installation gleichzeitig
Concurrent-Requests werden mit Busy zurückgewiesen. Keine Race-Conditions auf dem Endpoint.
- Named-Pipe-ACL
Die Pipe akzeptiert nur authentifizierte lokale Nutzer. Keine Netzwerk-Exposition.
- Strukturiertes Logging
Service- und UI-Logs in C:\ProgramData\SolviaKiosk\logs\ mit Tagesrotation, 90 Tage Retention. Jede Installation wird mit Nutzer, Maschine, Paket, Exit-Code und Dauer protokolliert.
- Versionsstempel und Startup-Banner
Jede Binary wird mit v1.0.YYYYMMDD.HHMM gestempelt, jeder Service-Start schreibt einen Banner mit Maschine, OS, Runtime und Kunden-Konfig in das Log.
- Fleet-Telemetrie ohne Inhalt
Heartbeats enthalten Maschine, Kunde, Version und Zeitpunkt — nichts aus Skripten, Katalogen oder Nutzer-Dateien.
FAQ
Was oft gefragt wird.
Können Standardnutzer mit dem Solvia Software Kiosk wirklich Software ohne Admin-Rechte installieren?
Ja. Der Endnutzer bleibt durchgängig Standardnutzer ohne lokale Administrationsrechte. Der Solvia Software Kiosk besteht aus zwei Komponenten: einem Windows-Service mit Systemrechten und einer WPF-Oberfläche im Nutzerkontext. Der Nutzer wählt im Katalog ein freigegebenes Paket aus, der Service prüft die Skript-Quelle und führt die Installation mit Systemrechten aus. Der Nutzer erhält selbst nie erweiterte Rechte.
Wie unterscheidet sich der Software Kiosk von Microsoft Intune oder BeyondTrust EPM?
Microsoft Intune eignet sich für die zentrale App-Verteilung in Microsoft-365-Umgebungen, zeigt aber nur, was es selbst installiert hat. BeyondTrust EPM ist ein Enterprise-Werkzeug für Privilege-Policies mit entsprechendem Preisniveau und Onboarding-Aufwand. Der Solvia Software Kiosk ist self-hosted, leichtgewichtig, deutlich günstiger und bringt eine Live-Inventarisierung über winget mit, die unabhängig vom Verteilkanal jede Software auf dem Endpoint erkennt — auch das, was IT nicht kennt.
Welche Software lässt sich über den Solvia Software Kiosk installieren?
Alles, wofür sich eine Installation als PowerShell-Skript oder als winget-Paket abbilden lässt — also praktisch jede Windows-Software. Pro Kunde wird ein Katalog gepflegt (sw-packages.json); typische Pakete reichen von Standard-Tools wie Chrome oder VLC über Branchenanwendungen bis zu Architektur- und Medizinsoftware (zum Beispiel ArchiCAD, Medavis-RIS-Komponenten oder CodeMeter-Konfigurationen).
Welche Daten verlassen den Endpoint?
Der Solvia Software Kiosk lädt zwei Dinge vom konfigurierten Server: den Paket-Katalog (sw-packages.json) und das jeweilige Installations-Skript. Beide Quellen werden gegen die konfigurierte BaseUrl validiert, ausschliesslich über HTTPS bezogen, Pfad-Traversal und Credentials in URLs werden abgewiesen. Die optionale Fleet-Telemetrie sendet nur Maschine, Kunde, Version und Heartbeat-Zeitpunkt — keinerlei Inhalte aus Skripten oder Dateien.
Wie schnell ist der Roll-out auf hundert oder mehr Endpoints?
Mit einem RMM-System wie Atera erfolgt der Roll-out in einem Schritt. Wir liefern ein vorbereitetes Bootstrap-Skript, das Atera als „Run Script"-Aufgabe ausführt: es lädt die Setup-Routine, startet die Installation mit den kundenspezifischen Parametern, prüft, dass der Service läuft, und meldet einen sauberen Exit-Code zurück. Die Atera-Aufgabe wird grün oder rot — keine manuellen RDP-Sitzungen nötig.
Was passiert, wenn ein Update fehlschlägt oder ein Programm noch geöffnet ist?
Der Kiosk kennt einen Pre-Install-Gate. Im Katalog kann pro Paket ein Prozess-Check hinterlegt werden — zum Beispiel: „Solange Medavis RIS läuft, frage den Nutzer, ob er es schliessen darf." Diese Abfrage erfolgt cross-session aus dem Service in das UI des Nutzers. Erst nach expliziter Zustimmung wird der Prozess beendet und das Update gestartet. Schlägt das Skript fehl, sieht der Nutzer eine klare Statusmeldung; im Service-Log liegt die vollständige Fehlerursache für den Helpdesk.
Wie ist das Lizenzmodell?
Wir lizenzieren in drei Paketen — Starter für KMU mit interner IT, Pro für Multi-Tenant-MSPs und Enterprise für Unternehmen mit erweiterten Compliance-Anforderungen. Die Preise hängen von Endpoint-Anzahl, Mandanten und Wartungsumfang ab. Anfrage über das Kontaktformular oder direkt an hello@solvia.ch.
30 Minuten. Live im Tenant.
Wir zeigen das Kiosk in einem echten Tenant — den Katalog, eine konkrete Installation, das winget-Inventar und das Fleet-Dashboard. Keine Folien, kein Sales-Layer.