Der Solvia Software Kiosk schafft lokale Admin-Rechte ab — self-hosted in der Schweiz, mit vollständigem Audit-Trail, NIS2- und revDSG-konform. Eine schlanke Komponente an genau der Stelle, wo BeyondTrust eine Suite verkauft.
Im produktiven Einsatz in regulierten Schweizer Branchen — Architektur dokumentiert, Threat-Model auf Anfrage.
Workplace-Engineering-Teams in regulierten Branchen kennen den Druckpunkt: eine Audit-Empfehlung verlangt, dass lokale Admin-Rechte für Endnutzer endlich verschwinden. Die naheliegende Antwort ist eine grosse EPM-Suite — BeyondTrust, CyberArk, ThreatLocker — mit Policy-Engine, Application-Reputation und entsprechendem Lizenz- und Onboarding-Aufwand.
Was Sie eigentlich brauchen, ist ein lautloser, scharfer Mechanismus an einer einzigen Stelle: dem Punkt, an dem ein Standardnutzer Software installieren will. Sie wollen keinen Suite-Roll-out, keine Policy-Schulung, keine Cloud-Reputation-Datenbank — Sie wollen, dass dieser eine Use Case sauber, prüfbar und reversibel gelöst ist.
Der Solvia Software Kiosk ist genau diese eine Komponente.
Service als LocalSystem, UI im Nutzerkontext. Keine Komponente überschreitet diese Grenze ohne explizite, geloggte Anfrage über die Pipe.
Der Service führt nur Skripte aus, deren URL mit der konfigurierten BaseUrl beginnt. HTTPS Pflicht, Pfad-Traversal und Credentials in URLs werden abgewiesen — vor dem Download, nicht danach.
Die UI-Service-Pipe akzeptiert nur authentifizierte lokale Nutzer. Keine Netzwerk-Exposition, keine offenen Ports, keine Firewall-Diskussion.
Jede Installation produziert einen Log-Eintrag mit Nutzer, Maschine, Paket-ID, Skript-URL, Skript-Hash, Exit-Code, Dauer, Stdout-Auszug, Stderr. Tagesrotation, 90-Tage-Retention. Direkt in jedes SIEM forwardbar (Serilog-Sink).
Jede Binary trägt einen Build-Timestamp. Jeder Service-Start schreibt einen Banner mit Maschine, OS, Runtime und Kunden-Konfig in das Log — die ersten Zeilen jedes Tageslogs beantworten „was läuft hier".
Server, Katalog, Skripte und Telemetrie laufen auf Ihrer Infrastruktur. Der Kiosk ruft niemals Solvia-Endpunkte auf, wenn die Konfiguration es nicht explizit erlaubt.
Server, Katalog-Repository, Skript-Repository und Telemetrie-Endpunkt sind containerisierbar oder als simpler Webserver mit PHP und SQLite installierbar. Sie betreiben sie in Ihrer Cloud, in Ihrem Rechenzentrum oder bei uns — die Kiosk-Komponenten auf dem Endpoint sehen nur die konfigurierte BaseUrl. Damit Sie die Datenresidenz selbst bestimmen.
Der Kiosk schreibt mit Serilog. Sie ergänzen den Sink in appsettings.json (Elasticsearch, Splunk, Sentinel-Log-Forwarder, Syslog) und der gesamte Event-Strom landet in Ihrem SIEM — Skript-Validierungen, Installation-Requests, Pipe-Events, Startup-Banner. Kein separater Connector, keine Custom-Parser. Damit Sie Compliance-Reporting aus dem Werkzeug ziehen, das Ihre SOC-Analysten ohnehin schon nutzen.
Wenn ein Update ein laufendes Programm betrifft, prompted der Service den angemeldeten Nutzer über die UI: „Soll ich X schliessen?" Die Antwort ist im Log. Damit existiert ein expliziter, signierter Nachweis, dass der Nutzer dem Eingriff zugestimmt hat — relevant für Audits in Branchen mit hoher Eingriffs-Rückverfolgbarkeit (Healthcare, Banking).
winget-COM-Detection plus Registry-, Datei- und Skript-Sonden geben Ihnen pro Endpoint ein vollständiges Software-Bild — Installiert / Update verfügbar / Nicht installiert. Ergänzt durch das Fleet-Dashboard wissen Sie für jede Maschine, welche Versionen produktiv sind. Damit Sie im Audit-Fall für jeden Endpoint einen aktuellen Software-Stand vorlegen können, ohne ein zusätzliches CMDB-Tool zu pflegen.
Hinweis: Diese Tabelle ist ein Mapping-Vorschlag, kein Zertifizierungs-Nachweis. Solvia ist nicht ISO-/SOC-zertifiziert; das Mapping zeigt, welche Kontrollen der Kiosk operativ erleichtert. Final beurteilt Ihr Auditor.
| Anforderung / Kontrolle | Wie der Kiosk hilft |
|---|---|
| NIS2 Art. 21 — Risikomanagement, Asset-Management | winget-Live-Inventarisierung pro Endpoint, aggregiert im Fleet-Dashboard |
| NIS2 Art. 21 — Zugriffskontrolle nach Least Privilege | Vermittler-Modell: Endnutzer bleiben durchgängig Standardnutzer |
| NIS2 Art. 21 — Vorfallsmeldung (operativ) | Strukturierte Logs, SIEM-Forwarding, vollständiges Audit-Trail je Installation |
| ISO 27001 A.8.1 — Inventory of assets | Fleet-Dashboard mit Per-Endpoint-Versionsständen |
| ISO 27001 A.8.5 — Secure authentication / Privileged access | Pipe-ACL für authentifizierte lokale Nutzer; keine Netzwerk-Exposition |
| ISO 27001 A.8.18 — Use of privileged utility programs | Skript-Whitelist über BaseUrl; Skript-Hash optional verifizierbar |
| ISO 27001 A.8.32 — Change management | Jede Installation als nachvollziehbarer Change im Log (User, Paket, Exit-Code) |
| revDSG Art. 8 — Datensicherheit (TOM) | Self-hosted Option, keine Drittlands-Übermittlung; Telemetrie-Payload minimal |
| revDSG Art. 24 — Bearbeitungsverzeichnis | Heartbeat-Felder dokumentiert (Maschine, Kunde, Version, Zeitpunkt) |
| Kriterium | Solvia Software Kiosk | BeyondTrust EPM | CyberArk EPM | Microsoft Intune EPM | ThreatLocker |
|---|---|---|---|---|---|
| Self-hosted / On-Premises möglich | ✓ | ✓ (mit Aufwand) | ✓ (mit Aufwand) | ✗ (M365-Cloud) | (Cloud-Mix) |
| Datenresidenz Schweiz | ✓ (kontrolliert) | (eigene Infra nötig) | (eigene Infra nötig) | (M365-CH-Tenant) | (USA-First) |
| Standardnutzer ohne Admin-Rechte | ✓ (Vermittler) | ✓ (Policy) | ✓ (Policy) | ✓ (Push) | ✓ (Allowlist) |
| winget-Live-Inventarisierung | ✓ | ✗ | ✗ | ✗ | ✗ |
| SIEM-Anbindung über Standard-Log-Sinks | ✓ | ✓ (eigene Connectors) | ✓ (eigene Connectors) | ✓ (Sentinel) | ✓ |
| Cross-Session-Confirmation | ✓ | ✗ | ✗ | ✗ | ✗ |
| Onboarding-Dauer | Tage bis Wochen | Monate | Monate | Wochen | Wochen |
| Lizenz-Einstieg (Tendenz) | Mittel | Hoch | Sehr hoch | im M365-E5-Stack | Mittel-hoch |
| Fokus | Privilege-Elevation an einer Stelle | Vollständige Privilege-Suite | Vollständige Privilege-Suite | App-Verteilung im M365-Kontext | Allowlist + Network |
Wenn Sie BeyondTrust oder CyberArk bereits betreiben, ist der Kiosk redundant. Wenn nicht — und wenn das Privilege-Elevation-Problem die Audit-Empfehlung treibt, nicht die volle Suite — ist der Kiosk die deutlich kleinere Operation.
Wir bringen einen Architekten und einen Engineer mit. Architektur-Diagramme, Threat-Vektoren, Ihre SIEM-Pipeline, Ihre Compliance-Anforderungen. Sie entscheiden auf Basis von Architektur — nicht auf Basis eines Brochure-PDFs.