pcvisit - Remote Support erhalten, und sich dabei völlig ausliefern?

Vor kurzem habe ich zum ersten Mal Bekanntschaft mit dem Tool pcvisit gemacht: Ein neuer Softwarelieferant einer Arztpraxis, für die ich den IT-Service vor Ort mache, setzt es für seinen Support ein. Auf den ersten Blick ein weiterer Wettbewerber zu TeamViewer, AnyDesk oder RustDesk, und auch keineswegs neu auf dem Markt. Trotzdem wusste ich bis dato nicht, dass es überhaupt existiert.

Ich weiß nicht, ob ich darüber froh oder besorgt sein soll. Jetzt, wo ich pcvisit in Aktion erlebt habe, kann ich jedenfalls nur davor warnen: Wenn euch ein Supporter anbietet, mit pcvisit zu helfen, solltet ihr ihm wirklich bedingungslos vertrauen.

Was der Kunde sieht

Bilder sagen oft mehr als tausend Worte. Deshalb zunächst ein Screenshot von einem PC, mit dem ich mich als Supporter über pcvisit verbunden habe.

Der Besitzer dieses PCs (ebenfalls ich) hat sich über den Button „An Fernwartung teilnehmen" auf der pcvisit-Website das Kunden-Modul heruntergeladen und gestartet. Anschließend hat er die ID eingegeben, die ihm der Supporter genannt hatte und die dieser zuvor im Kundenbereich von pcvisit erstellt hatte. Es folgte noch eine kurze Rückfrage, ob er den Zugriff wirklich gewähren wolle, und schon war die Verbindung hergestellt. Von diesem Moment an kann der Supporter den fremden Rechner direkt aus seinem Browser fernsteuern.

So weit, so normal, möchte man meinen – genau das erwartet man schließlich von einer Remote-Support-Sitzung. Nicht ohne Grund habe ich den Mauszeiger aber genau über dem Symbol für die Dateiübertragung in dem kleinen Fenster unten rechts platziert. Die Meldung dort ist eindeutig: „Keine Dateien werden übertragen". Spoiler: Sie lügt.¹

Was der Supporter sieht

Das zweite Bild zeigt den Browser auf dem Rechner des Supporters. Von dort aus wurde bereits eine Sitzung mit FileZilla Portable gestartet – dazu reicht ein Klick auf das Symbol mit den zwei Pfeilen oben in der Toolbar (im Screenshot direkt neben dem Sitzungs-Timer). Und wie man unschwer erkennen kann, hat der Supporter auch bereits munter einen riesigen Download begonnen. Der „Kunde" ist dabei völlig arglos. Sein Kunden-Modul behauptet ihm gegenüber weiterhin, dass nichts übertragen wird.

Wer sich fragt, warum FileZilla offenbar mit dem localhost des Supporters verbunden ist: Für die Dateiübertragung aus der Web App verwendet pcvisit laut eigener Dokumentation FileZilla, das über ein lokal auf dem Supporter-Rechner gestartetes Kunden-Modul oder einen Remote-Host aufgerufen wird. Technisch fungiert dieses lokale Modul dabei offenbar als SFTP-Endpunkt beziehungsweise Vermittler zum entfernten Kunden-Modul.

Die gleiche Dokumentation verspricht übrigens, dass eine aktive Dateiübertragung „in der Menüleiste" angezeigt wird: Das Symbol färbt sich orange und ein pulsierender Kreis erscheint. Auf dem Rechner des „Kunden" habe ich davon nichts gesehen. Sollte damit das Symbol in der Taskleiste gemeint sein, hilft das dem Supporter sogar noch: Windows versteckt es nämlich standardmäßig im Überlaufbereich, wie man auf dem ersten Screenshot gut erkennen kann. Der Kunde sieht nur das kleine Fenster unten rechts, und das versichert ihm, es würde nichts übertragen.

Ob das vollständige Support-Modul die Dateiübertragung auf Kundenseite korrekt anzeigen würde, habe ich nicht getestet. Sollte es das tun, wäre die Transparenz gegenüber dem Kunden allerdings davon abhängig, welchen Client der Supporter verwendet.

Seit Jahren bekannt, seit 2018 „in Umsetzung"

Neu ist das alles übrigens nicht. Bereits im März 2018 wünschte sich ein Supporter im Feedback-Forum² von pcvisit eine Transferanzeige beim Kunden – mit der bemerkenswerten Begründung, er müsse seinen Kunden jedes Mal selbst mitteilen, dass er nun einen Dateitransfer starte, den sie leider nicht sehen könnten. Die Antwort von pcvisit: FileZilla laufe nur auf einer Seite, eine Fortschrittsanzeige auf der Gegenseite sei dort als Feature nicht verfügbar. Mit anderen Worten, der Hersteller bestätigt selbst, dass der Kunde auf der Remote-Seite keine Fortschrittsanzeige der Übertragung erhält. Der Beitrag steht seitdem auf dem Status „In Umsetzung" – seit über acht Jahren. Mein aktueller Test zeigt, dass die Realität sogar noch eine Stufe darüber liegt: Das Kunden-Modul zeigt die Übertragung nicht etwa nur nicht an, es behauptet aktiv das Gegenteil.

Wenn eine derart intransparente Dateiübertragung über acht Jahre bestehen bleibt, lässt sich das kaum noch als kurzfristig übersehener Bug betrachten. Faktisch ist dieses Verhalten seit Jahren Bestandteil des Produkts. Und das passt zum Geschäftsmodell: pcvisit richtet sich ausdrücklich an IT-Dienstleister und Supporter – die zahlen die Lizenzen. Der „Kunde" am anderen Ende ist nicht der Kunde von pcvisit – und zumindest bei dieser Funktion wurden seine Interessen erkennbar nicht priorisiert. Nur merkt er das nicht einmal.

Ein schwacher Trost

Zugegeben, ganz uneingeschränkt ist der Zugriff nicht. Der Supporter kommt auf diesem Weg geräuschlos nur an die Dateien heran, auf die auch der lokal angemeldete Benutzer ohne erhöhte Rechte zugreifen darf. Alles, was Administratorrechte erfordert, bleibt ihm zunächst verschlossen. Das gilt allerdings nur, solange das Kunden-Modul selbst nicht mit erhöhten Rechten läuft, also der Kunde nicht ohnehin als Administrator arbeitet oder eine UAC-Abfrage des Moduls bestätigt hat.

Wirklich beruhigend ist das aber nicht. Die Rechtegrenze schützt das System, nicht den Benutzer: Windows-Verzeichnisse und Programmdateien bleiben zunächst außen vor, aber Dokumente, Fotos, E-Mails und gespeicherte Browser-Passwörter liegen alle im frei zugänglichen Benutzerprofil. Und die Grenze endet nicht am lokalen Rechner: Der Supporter agiert mit der Identität des angemeldeten Benutzers, verbundene Netzlaufwerke eingeschlossen. Gerade im Unternehmensumfeld heißt das schnell Zugriff auf Team-Ablagen und ganze Abteilungsfreigaben. Und das alles, während das kleine Fenster unten rechts dem Kunden freundlich versichert, es würden keine Dateien übertragen.

Fazit

Um zu verdeutlichen, was das in der Praxis bedeutet, zurück zu meinem Ausgangspunkt: In einer Arztpraxis läuft eine solche Support-Sitzung auf einem Rechner, an dem der angemeldete Benutzer selbstverständlich Zugriff auf das Praxisverwaltungssystem und die dazugehörigen Freigaben hat – also auf Patientendaten, die zu den sensibelsten Informationen überhaupt gehören und der ärztlichen Schweigepflicht unterliegen. Ich unterstelle dem konkreten Dienstleister ausdrücklich nichts – darum geht es nicht. Es geht darum, dass niemand in der Praxis auch nur die Möglichkeit hätte, einen stillen Abfluss von Daten zu bemerken. Genau deswegen habe ich pcvisit im Vorhinein ausprobiert und die Nutzung im konkreten Fall abgelehnt.

Es bleibt also bei meiner Warnung vom Anfang: Wer sich per pcvisit helfen lässt, sollte dem Menschen am anderen Ende nicht nur ein bisschen, sondern bedingungslos vertrauen.