Remote-Support in Windows 10 mit Quick Assist (Remotehilfe)

Bei der neuen Remotehilfe (engl. Quick Assist) handelt es sich um ein Feature, das per Voreinstellung aktiviert ist. Am einfachsten startet man es, indem man in das Suchfeld "Remotehilfe" eingibt.

Bevor man loslegt, sollte man indes folgende Aspekte bedenken:

• Der Remote-Support klappt nur, wenn die Gegenstelle ebenfalls unter Windows 10 1607 oder höher läuft. Das Tool ist für ältere Versionen des OS nicht verfügbar, so dass man erst klären muss, ob diese Bedingung erfüllt ist.
• Der Einladende, und das ist immer derjenige der die Unterstützung leistet, muss über ein Microsoft-Konto verfügen.
• Die Sound-Ausgabe des betreuten Rechners wird nicht an den Support-Rechner übertragen, so dass etwa eine mündliche Kommunikation auf diesem Weg nicht erfolgen kann.

Verbindung aufbauen

Wenn man die Remotehilfe startet, dann präsentiert sie zwei Optionen, nämlich Unterstützung gewähren und Unterstützung anfordern. Entscheidet man sich für Letztere, dann erscheint im nächsten Schritt ein Eingabefeld für einen Code.

Diesen erhält der Benutzer von der Gegenseite, wo sich der User nach Auswahl von Unterstützung gewähren mit einem Microsoft-Konto anmelden muss. Eine dafür eventuell konfigurierte 2-Faktor-Authentifizierung wird ebenfalls erlaubt. Nach dem Login generiert die App diesen Schlüssel, den man etwa per Mail oder Telefon übermitteln kann.

Nach dessen Eingabe erwartet die Remotehilfe die Zustimmung durch den Benutzer auf dem übernommenen PC, danach startet die Session. Daher lässt sich dieses Feature nicht als universelle Remote-Control-Software einsetzen, weil auf der Gegenseite immer ein User die Eröffnung der Sitzung erlauben muss.

Helpdesk erhält immer Kontrolle über Remote-PC

Anders als die herkömmliche Remote­unterstützung, die auch einen nur "lesenden" Zugriff kennt, übernimmt der User-Support mit Quick Assist immer gleich die Kontrolle über den Remote-PC. Der lokale Benutzer hat aber weiterhin die Möglichkeit, das Gerät mit Maus und Tastatur zu steuern.

Außerdem steht es ihm frei, durch Klick auf die entsprechende Schaltfläche die Session zu pausieren. Dies ist etwa nützlich, wenn er sich an einer Anwendung authentifizieren muss oder vertrauliche Mails öffnen möchte.

Unterstützung durch Anmerkungen

Auf der Seite des Unterstützenden bietet die Kontrollleiste von Quick Assist neben dem Anhalten der Sitzung noch weitere Funktionen. Dazu zählt Bildschirm anpassen, so dass man nicht mehr über den Desktop scrollen muss. Außerdem kann man den Task-Manager remote starten, was aber den lokalen Benutzer zur Eingabe des Passworts in den UAC-Prompt zwingt.

Schließlich besitzt das Tool noch eine Anmerkungs­funktion, die mit Kommentieren bezeichnet wird. Sie erlaubt dem Unterstützer, mit einem Stift in einer von 6 Farben auf den Remote-Bildschirm zu zeichnen. Nach Klicken des Beenden-Buttons für dieses Feature verschwinden die Kritzeleien wieder von der Oberfläche.

Keine zentrale Verwaltung

Schließlich stellt sich natürlich die Frage, wie Administratoren die Remotehilfe zentral verwalten können. Eine Steuerung über Gruppenrichtlinien ist nicht vorgesehen, ebenso wenig die Möglichkeit, den Kreis der zugelassenen Support-Rechner über eine Whitelist einzugrenzen.

Daher könnte dieses Feature in Unternehmen für gezielte Angriffe missbraucht werden, bei denen Angreifer unter einem Vorwand einzelne Mitarbeiter anrufen und diese auffordern, nach dem Start von Quick Assist den von ihnen angegebenen Code einzutippen.

Remotehilfe deinstallieren

Wenn man hier eine Gefahr sieht oder für den Remote-Support ohnehin ein anderes Tool verwendet, dann sollte man Quick Assist deinstallieren. Interaktiv klappt das nur über die App Einstellungen, die System­steuerung ist dazu nicht in der Lage. In zentral verwalteten Umgebungen kann man stattdessen auf eine Script-Lösung setzen.

Dabei muss man in DISM oder PowerShell unter Windows Capabilities nachsehen, die Remotehilfe scheint weder über Get-AppxPackage noch Get-WindowsOptionalFeature auf, auch wenn sie in der App Einstellungen als optionales Feature bezeichnet wird. Der Befehl

Get-WindowsCapability -online | ? Name -like *QuickAssist*|
Remove-WindowsCapability -Online

ermittelt die Remotehilfe und übergibt sie gleich an das Cmdlet für die Deinstallation.

Möchte man sie wiederherstellen, dann hilft das Kommando

Add-WindowsCapability -Online -Name "App.Support.QuickAssist~~~~0.0.1.0"

Alternativ könnte man überlegen, die Remotehilfe installiert zu lassen und sie zentral über ein GPO zu blockieren, indem man eine entsprechende Regel für die Windows-Firewall einrichtet.