Handbuch für den Betrieb

Dieses Handbuch richtet sich an die Person, die die Suite installiert und betreut. Die Bedienung der Werkzeuge und Module erklären die Hilfen im Portal und in den Werkzeugen selbst. Es gilt für die Fassung 0.4 (Stufe 4). Alle Skripte liegen im Programmordner unter install.

Sprache der Skripte: Die Installationsskripte schreiben Deutsch oder Englisch – ohne Angabe in der Sprache des Systems (Windows: Anzeigesprache; macOS: bevorzugte Sprache des angemeldeten Benutzers; Linux: LANGUAGE, LC_ALL, LC_MESSAGES, LANG). Für einen Aufruf wählen Sie die Sprache mit --lang de bzw. --lang en (macOS, Linux) oder -Sprache de bzw. -Sprache en (Windows); Skripte, die sich Administratorrechte selbst holen, geben sie weiter. Die Kommandozeile der Suite, app/cli.php, schreibt Deutsch, mit --lang en Englisch.

Schnellstart für Einsteiger

Jeder Schritt hat eine Nummer und genau eine Handlung. Was Sie anklicken oder eintippen, steht in „Anführungszeichen“ – genau so, wie es auf dem Bildschirm steht.

Welcher Weg passt zu mir?

Was Sie brauchen

• Einen aktuellen Browser (Edge, Chrome, Firefox oder Safari) und für die Wege B und C Internet während der Installation – sie lädt PHP herunter, die Programmiersprache, in der die Suite läuft.
• Windows-Fassung nachsehen: Windows-Taste + R, „winver“ tippen, Eingabetaste – das Fenster „Info über Windows“ nennt die Fassung. Für Weg B brauchen Sie das Kennwort eines Administratorkontos.
• macOS-Fassung nachsehen: Apple-Symbol (der kleine Apfel) oben links › „Über diesen Mac“ – dort steht zum Beispiel „Version 14.7“; die erste Zahl muss für Weg C 12 oder größer sein (Intel-Mac oder Apple-Chip). Bei 10.15 oder 11: unter „Systemeinstellungen“ › „Softwareupdate“ nachsehen, ob es kostenlos eine neuere Fassung gibt – sonst Weg A. Für Weg C brauchen Sie das Kennwort, mit dem Sie sich am Mac anmelden. Homebrew oder Xcode brauchen Sie nicht.
• Zeit: Weg A etwa 5 Minuten, Weg B oder C etwa 15 Minuten.

Weg A – Nur im Browser

1. „mc4y-werkzeuge.zip“ herunterladen.
2. Auspacken: unter Windows mit der rechten Maustaste › „Alle extrahieren …“ › „Extrahieren“; auf dem Mac im Finder doppelklicken (Safari packt oft schon selbst aus).
3. Im Ordner „MC4Y-Werkzeuge-…“ auf „index.html“ doppelklicken. Sie sehen jetzt die Seite „MC4Y-Werkzeuge“.
4. Lesezeichen anlegen (Windows: Strg + D, Mac: cmd + D) und ein Werkzeug anklicken. „Speichern“ legt Ihre Arbeit als Datei ab, „Öffnen“ holt sie wieder.

Weg B – Die Suite auf diesem Windows-Rechner

1. „mc4y-suite.zip“ herunterladen. Im Explorer (Windows-Taste + E) › „Downloads“ mit der rechten Maustaste auf die Datei › „Eigenschaften“. Steht unten „Die Datei stammt von einem anderen Computer …“: Häkchen bei „Zulassen“, dann „OK“.
2. Rechte Maustaste auf die Datei › „Alle extrahieren …“ › „Extrahieren“ und den Ordner „MC4Y-Suite-…“ öffnen.
3. Auf „Installer-starten“ doppelklicken. (Blaues Fenster „Der Computer wurde durch Windows geschützt“: „Weitere Informationen“ › „Trotzdem ausführen“.) Ein schwarzes Fenster öffnet sich – offen lassen –, danach im Browser „Was möchten Sie einrichten?“.
4. „Die Suite auf diesem Windows-Rechner“ anklicken, dann „Weiter →“; bei „Neu oder aktualisieren“ wieder „Weiter →“.
5. „Speicherorte“: neben „Alle Orte auf“ ein Laufwerk anklicken (nur eines vorhanden: „Laufwerk C“), dann „Weiter →“. „Werkzeuge“: alles ausgewählt lassen, „Weiter →“.
6. „Voraussetzungen“: Häkchen bei „Ich bin einverstanden, …“, dann „Installieren“. Die Windows-Rückfrage „Möchten Sie zulassen, dass durch diese App Änderungen …“ mit „Ja“ beantworten.
7. Warten, bis „Fertig installiert.“ erscheint (2 bis 10 Minuten), dann „Suite öffnen“ und das erste Konto anlegen. Zum Schluss „Installer beenden“.

Weg C – Die Suite auf diesem Mac

Auf dem Mac geht das am sichersten mit dem Terminal, einem Fenster für Befehle. Sie brauchen nur zwei Befehle. Kopieren: markieren und cmd + C; einfügen: ins Terminal klicken und cmd + V; ausführen: Eingabetaste. Fragt das Terminal nach einem Kennwort, erscheinen beim Tippen keine Zeichen – das ist so gewollt.

1. „mc4y-suite.zip“ herunterladen und im Finder › „Downloads“ doppelklicken (falls Safari nicht schon ausgepackt hat). Sie sehen jetzt den Ordner „MC4Y-Suite-…“. Das Finder-Fenster offen lassen.
2. Terminal öffnen: cmd + Leertaste, „Terminal“ tippen, Eingabetaste.
3. cd und ein Leerzeichen tippen, den Ordner „MC4Y-Suite-…“ aus dem Finder ins Terminal-Fenster ziehen, Eingabetaste. (Fragt macOS nach dem Zugriff auf „Downloads“: „OK“.)
4. Diesen Befehl einfügen und die Eingabetaste drücken:

   bash install/macos/installieren.command

   Das Skript schreibt in der Sprache Ihres Mac; ist er auf Englisch eingestellt, erscheinen die hier zitierten Texte mit --lang de am Ende des Befehls deutsch.
5. Bei „Password:“ das Mac-Kennwort tippen (keine Zeichen sichtbar), Eingabetaste.
6. Beim Datenordner, bei „Desktop-Taskleiste für … gleich mit einrichten?“, bei „Soll die Taskleiste beim Anmelden am Mac automatisch starten?“ und bei „Installation jetzt ausführen?“ jeweils nur die Eingabetaste drücken (= ja).
7. Warten (1 bis 5 Minuten; PHP wird heruntergeladen und geprüft). Bei „Fertig. Adresse: http://127.0.0.1:8090/“ öffnet sich der Browser – erstes Konto anlegen.
8. Danach die Taskleiste starten: cmd + Leertaste, „MC4Y“ tippen, „MC4Y Taskleiste“ wählen, Eingabetaste – und mit demselben Anmeldenamen und Kennwort anmelden. Im Terminal zum Schluss die Eingabetaste drücken und es mit cmd + Q schließen; Suite und Taskleiste laufen weiter.

Bitte die Dateien des Pakets nicht per Doppelklick im Finder starten – macOS blockiert das bei Dateien aus dem Internet. Über das Terminal mit „bash …“ gibt es dieses Problem nicht.

So starten Sie die Suite und die Taskleiste später

• Windows: Startmenü › „MC4Y-Produktivitaetssuite“ (öffnet die Suite) bzw. „MC4Y Taskleiste“; die Suite liegt auch als Verknüpfung auf dem Desktop.
• Mac: Die Installation legt die Programme „MC4Y-Suite“ (öffnet die Suite im Browser) und „MC4Y Taskleiste“ mit Symbol an. Sie finden sie im Launchpad (im Dock das Symbol mit den bunten Kacheln; unter macOS 26 heißt es „Apps“), über Spotlight (cmd + Leertaste, „MC4Y“ tippen, Eingabetaste) und im Finder unter „Programme“. Tipp: die Symbole ins Dock ziehen.
• Linux: Anwendungsmenü bzw. Programmübersicht › „MC4Y-Produktivitätssuite“ bzw. „MC4Y Taskleiste“.
• Start beim Anmelden (Taskleiste): in der Taskleiste auf 🔍 klicken, unten „Einstellungen“ › Häkchen „Beim Anmelden am Rechner starten“ › „Speichern“. Windows: Windows-Einstellungen › Apps › Autostart. Mac ab macOS 13 auch: Systemeinstellungen › Allgemein › Anmeldeobjekte, Bereich „Im Hintergrund erlauben“. Die Suite selbst läuft immer im Hintergrund.
• Nicht verwechseln: Die Taskleiste, die Sie in der Suite unter „Ihr Konto“ › „Darstellung“ einschalten, gehört zum Browserfenster und schließt sich mit ihm. Die Desktop-Taskleiste („MC4Y Taskleiste“) ist ein eigenes Programm und bleibt offen, bis Sie sie mit ✕ beenden.

Das erste Konto anlegen

1. Auf der Seite „Suite einrichten“ „Organisation“ (kann leer bleiben), „Ihr Name“ und einen „Anmeldenamen“ ohne Leerzeichen eintragen.
2. Ein „Kennwort“ mit mindestens 10 Zeichen eintragen und darunter wiederholen; gut aufbewahren. Auf einem Server zusätzlich den „Einrichtungscode“ eintragen, den der Installer gezeigt hat.
3. Das Häkchen „Mich zusätzlich in die Gruppe „Alle Werkzeuge – Vollzugriff“ aufnehmen“ gesetzt lassen und „Einrichten und anmelden“ anklicken.

So prüfen Sie, ob es geklappt hat

1. http://127.0.0.1:8090/ im Browser öffnen: Sie sehen die Anmeldeseite – auch nach einem Neustart des Rechners.
2. In der Suite „Verwaltung“ › „Systemprüfung“: Die meisten Zeilen sind grün (gelb = Empfehlung, rot = bitte beheben).
3. „Verwaltung“ › „Sicherung“ › „Jetzt sichern“, danach in der neuen Zeile „Prüfen“.

Häufige Probleme

Aktualisieren: das neue Paket laden und denselben Weg noch einmal gehen (Mac: bash install/macos/installieren.command --aktualisieren – bietet dabei auch die Desktop-Taskleiste an und legt das Programm „MC4Y-Suite“ an); Inhalte, Konten und Einstellungen bleiben. Entfernen: siehe Abschnitt 16.

1. Aufbau und Speicherorte

Die Suite besteht aus drei getrennten Teilen. Nur der erste wird über das Netz ausgeliefert.

CMDB: Die IT-Komponenten des Moduls „CMDB“ liegen in einer eigenen Datenbank cmdb/cmdb.sqlite im Datenordner – bei der Einzelplatz-Suite also auf diesem Rechner, bei der Server-Suite auf dem Server. Erfasst wird von Hand, über den Import vorhandener Listen (Excel/CSV, Active Directory, DHCP, Wireshark-Exporte) oder – auf Wunsch – automatisch über Agenten und einen Crawler (Abschnitt „CMDB-Erkennung“). Wer bearbeiten und importieren darf, legen die Berechtigungsgruppen fest (Modul „CMDB“: Lesen, Lesen und Schreiben, Vollzugriff = endgültig löschen). Das ITSM-Werkzeug ordnet Incidents, Problems und Changes Komponenten der CMDB zu, wenn die Person im Modul „CMDB“ mindestens lesen darf; neue Komponenten legt es dort nur mit „Lesen und Schreiben“ an. Die Detailansicht einer Komponente nennt die zugehörigen Tickets. Jede Komponente zeigt ihre Herkunft (von Hand, im ITSM-Werkzeug erfasst, importiert aus Excel, CSV, Active Directory, DHCP oder Wireshark, aus einem CMDB-Export) sowie wann sie angelegt und zuletzt geändert wurde. Zusätzlich trägt jede Komponente eine Klassifizierung (physisch, Software oder abstrakt): von Hand erfasste Einträge erhalten sie aus der Kategorie vorbelegt (z. B. Server → physisch, „Software / Dienst“ → Software, „Anwendung / IT-System“ → abstrakt) und lassen sich frei ändern, von Agenten oder dem Crawler gemeldete Geräte werden automatisch „physisch“ (Software „Software“). Übersicht und Liste filtern nach Herkunft und Klassifizierung. Für Software, Dienste und Anwendungen gibt es eigene Felder: Version (jede Hauptversion als eigene Komponente), Bereitstellung (lokal, auf einem Server, interne oder externe Cloud) sowie Lizenz- und Wartungskosten; nach der Bereitstellung lässt sich ebenfalls filtern.

CMDB und 8EM-Modeller: Wird ein Unternehmensmodell im 8EM-Modeller in der Ablage gespeichert, überträgt der Modeller seine IT-Systeme, technischen Architekturpläne, Plattformen und IT-Komponenten in die CMDB (Herkunft „aus dem 8EM-Modeller übertragen“, Status = Phase des Lebenszyklus). Dafür braucht die speichernde Person im Modul „CMDB“ mindestens „Lesen und Schreiben“; abschalten lässt sich das je Modell in der Eingabemaske des Modellers (Abschnitt „CMDB“) bzw. je Eintrag mit „nicht in die CMDB übertragen“. In der CMDB gepflegte Angaben bleiben erhalten; in den Papierkorb gelegte Komponenten legt der Modeller nicht neu an.

CMDB-Erkennung (Agenten und Crawler): Optional füllen sichtbar installierte Programme die CMDB automatisch – ein Agent auf einem Gerät (Windows, Linux, Raspberry Pi, macOS, Android/Termux, Home Assistant) meldet dessen Bestand, ein Crawler durchsucht die in der Suite eingetragenen Netze (IPv4/IPv6) und meldet erreichbare Geräte – reine Bestandsaufnahme, keine Anmeldeversuche. Eingerichtet wird das im Modul „CMDB“ unter dem Reiter Erkennung (Vollzugriff): dort erzeugen Sie einen Einrichtungsschlüssel und eine Einrichtungsdatei (mc4y-erkennung.json), tragen die Netze ein und sehen die verbundenen Agenten, ihre letzten Meldungen und Läufe; „Jetzt abfragen“ fordert eine sofortige Meldung an. Am einfachsten richten Sie einen einzelnen Rechner über den grafischen Installer ein (Paket mc4y-suite.zip; unter Windows Doppelklick auf Installer-starten.bat – ganz ohne Terminal –, unter Linux/macOS installer-starten.sh bzw. installer-starten.command): dort wählen Sie das Ziel „Dieses Gerät an die CMDB melden (Agent/Crawler)“, tragen Adresse und Einrichtungsschlüssel ein (oder legen mc4y-erkennung.json daneben) und setzen die Häkchen „Agent“ und/oder „Crawler“. Von Hand geht es mit den Erkennungs-Paketen (Schritt für Schritt in deren LIESMICH). Die Pakete (mc4y-erkennung.zip für Windows/Linux/Raspberry Pi/macOS/Android, mc4y-cmdb-homeassistant.zip) liegen unter public/client und im Download-Bereich der Website. Die Agenten senden verschlüsselt über HTTPS nur an diese Suite (Endpunkt agent.php) und liefern nur Bestandsdaten – keine Benutzernamen oder Dateiinhalte; ihre Kennung speichert der Server nur als Prüfwert. Bei selbst signiertem Zertifikat hinterlegen Sie das Suite-Zertifikat beim Installer. Die Daten gehören zur CMDB-Datenbank und werden mit ihr gesichert.

Mehrere Rechner auf einmal (Verteiler): Statt jeden Rechner einzeln einzurichten, rollen Sie den Agenten oder Crawler über Erkennung › „Geräte verbinden“ von Ihrem Arbeitsplatz aus – Windows über WinRM, Linux/Raspberry Pi/macOS über SSH. Sie laden dort den kleinen Verteiler-Helfer herunter (mc4y-verteiler.zip), legen die Einrichtungsdatei (verteiler.json) daneben und starten Verteiler-starten.bat; er öffnet die Ansicht verbunden. Dann wählen Sie das Betriebssystem, tragen die Rechner (einer je Zeile: Name, FQDN oder IP) und das Konto ein (Windows: ein Administrator-Konto; SSH: den SSH-Benutzer), prüfen die Verbindung und rollen aus – mit Fortschritt je Rechner. Auf Windows-Zielen muss WinRM aktiv sein (in einer Domäne meist schon; sonst einmalig winrm quickconfig); bei SSH läuft die Anmeldung schlüsselbasiert (OpenSSH-Client auf Ihrem Arbeitsplatz) und für die Installation sind Rootrechte nötig – als root anmelden, NOPASSWD-sudo einrichten oder ein sudo-Kennwort angeben; python3 muss auf dem Ziel vorhanden sein. Alle eingegebenen Kennwörter bleiben nur im Arbeitsspeicher des Helfers und werden nicht gespeichert; der Helfer ist nur über 127.0.0.1 mit einem Zufallsschlüssel erreichbar. Damit die Suite-Ansicht mit diesem lokalen Helfer sprechen darf, erlaubt die Sicherheitsregel der Suite (CSP) Verbindungen zu 127.0.0.1/localhost – nur Verbindungen, keine fremden Skripte. Wählen Sie als Betriebssystem Home Assistant, zeigt die Ansicht statt des Ausroll-Formulars eine Schritt-für-Schritt-Anleitung samt Download: Home Assistant wird nicht aus der Ferne eingerichtet, sondern die Integration einmal am Gerät selbst (Paket mc4y-cmdb-homeassistant.zip, ausführliche Anleitung in dessen LIESMICH).

In Ihrem Netz, in Ihrer Verantwortung: Agenten und Crawler installieren und betreiben die IT-Verantwortlichen im eigenen Netz. Alles Unternehmensspezifische – Suite-Adresse, Einrichtungsschlüssel, Netze, Zeitplan, SNMP-Community – stellen sie selbst ein; das von der Website geladene Paket enthält keine voreingestellte Adresse. Es gibt keine Telemetrie, keine Update-Prüfung bei my-coaching4you.de und keine Abfrage fremder Server (auch die Herstellerkennung kommt aus der lokal hinterlegten Liste). Die Daten bleiben im Unternehmensnetz.

Virenscanner und Firewall: Ein Inventar-Agent liest installierte Software und sendet sie – manche Virenscanner stufen dieses Muster vorsorglich als verdächtig ein oder verschieben eine Datei in Quarantäne (obwohl es kein Schadprogramm ist). Nehmen Sie den Ordner bzw. den Dienst/die Aufgabe des Agenten als Ausnahme auf (Dateien vorher prüfen, nur aus der eigenen Suite oder offiziellen Quelle laden); erscheint der Agent nicht in der Erkennungsansicht, in der Quarantäne nachsehen; ein bereits gesperrter Dateirest verschwindet mitunter erst nach einem Neustart (der Windows-Agent ist deshalb in zwei Teile getrennt – Netz und Auslesen –, alternativ den Python-Agenten nutzen). Für die Firewall gilt: Agenten brauchen nur ausgehend HTTPS (Port 443) zur Suite – kein offener Port auf den Geräten; der Crawler braucht ausgehend Ping (ICMP), die geprüften TCP-Ports und ggf. SNMP (UDP 161) in die eingetragenen Netze (auch IPv6), der Suite-Server nur HTTPS eingehend. Gesperrter Ping macht Geräte für den Crawler unsichtbar; Netzwerk-Schutzsysteme (IDS/IPS) können einen Scan als verdächtig melden – daher vorher mit den Netzverantwortlichen abstimmen, Zeitplan außerhalb der Arbeitszeit, gedrosselt laufen lassen.

Lösungsdatenbank: Erprobte Lösungen (wie ein Wiki, mit Kategorien, Versionen und Anhängen) liegen in einer eigenen Datenbank loesungen/loesungen.sqlite, die Anhänge unter loesungen/anhaenge. Die Oberfläche ist das ITSM-Werkzeug (Modul „Lösungsdatenbank“ bzw. Ansicht „Lösungen“ im Werkzeug); es schlägt beim Erfassen eines Tickets passende Lösungen vor und übernimmt gelöste Tickets auf Wunsch als Entwurf. Rechte (Modul „Lösungsdatenbank“): Lesen, Lesen und Schreiben, Vollzugriff = endgültig löschen und Kategorien löschen. Import und Export von Word, PDF, PowerPoint und LibreOffice laufen im Browser; der Server speichert nur die Ergebnisse.

Wo genau was liegt, zeigt Verwaltung › Speicherorte – mit Größe und freiem Platz. Ein Update ersetzt nur das Programm; Inhalte liegen nie im Programmordner.

konfig.php (neben app) enthält:

2. Welche Betriebsart passt?

Alle Betriebsarten brauchen PHP ab 8.2 (empfohlen 8.4 oder neuer) mit den Erweiterungen pdo_sqlite, mbstring, openssl, fileinfo und zip; empfohlen sodium und opcache, für die Domänen-Anmeldung zusätzlich ldap. Ohne sodium speichert die Suite Kennwörter mit Argon2id aus PHP selbst bzw. mit bcrypt. Eine Datenbank-Software ist nicht nötig (SQLite ist in PHP enthalten).

Der grafische Installer

Am einfachsten startet man im entpackten Paket Installer-starten.bat (Windows 10/11 und Windows Server), installer-starten.sh (Linux, als normaler Benutzer) bzw. installer-starten.command (macOS, im Terminal mit bash installer-starten.command; braucht dort Python, z. B. von python.org – ohne Python ist der Weg über bash install/macos/installieren.command einfacher, siehe macOS). Oben rechts schaltet „DE | EN“ den Installer auf Englisch um. Ein kleiner Helfer lauscht nur auf 127.0.0.1 mit einem Zufallsschlüssel in der Adresse und öffnet installer.html im Browser. Der Installer fragt in sechs Schritten: Zielsystem (auch Nur im Browser – die Einzelwerkzeuge als Dateien, ohne Suite und ohne Administratorrechte; Module der Suite und die Desktop-Taskleiste sind dann ausgegraut), Erstinstallation oder Aktualisierung (eine vorhandene Installation wird erkannt, auch auf einem anderen Laufwerk; Konfiguration, Datenbank, Dokumente, Konten und Einstellungen werden übernommen), Orte mit vollständigen Pfaden für Programm, PHP, Datenablage und Sicherungen (jeder Ort wird geprüft), Werkzeuge und Module, Voraussetzungen und Ergebnis.

Bei einer neuen Installation gibt der Installer keinen Ort vor – alle Orte bewusst wählen, etwa mit „Alle Orte auf Laufwerk …“ und danach einzeln (die Sicherungen am besten auf ein anderes Laufwerk). Beim Aktualisieren stehen die bisherigen Orte unveränderbar da. „Aktualisieren und Datenablage bzw. Sicherungen verschieben“ aktualisiert die Programmdateien und bringt danach die Datenablage und/oder die Sicherungen an neue Orte (Windows Server: auf Wunsch auch Programm und PHP); leere Felder bleiben am bisherigen Ort, die bisherigen Ordner bleiben liegen.

Fehlende Voraussetzungen – PHP (von windows.php.net, mit Prüfsumme), Visual-C++-Laufzeit (von Microsoft, Signatur geprüft), IIS-Rollendienste, Pakete des Systems unter Linux, Python mit tkinter für die Taskleiste – zeigt er mit Quelle und Größe und lädt sie erst nach Bestätigung. Vorher lässt er das Installationsskript einmal im Probelauf laufen und zeigt, was es tun wird. Administratorrechte fragt das System erst beim Installieren ab (Windows: Benutzerkontensteuerung; Linux: pkexec, sonst sudo im Terminal; macOS: Kennwortabfrage). Nicht gewählte Werkzeuge stehen in auswahl.txt im Programmordner und bleiben bei jeder Aktualisierung weg; ihre Daten bleiben erhalten. Ohne Internet: PHP-Paket mit .sha256-Datei und vc_redist.x64.exe in einen Ordner voraussetzungen neben installer.html legen. Ohne Helfer (Datei direkt geöffnet) plant der Installer nur und schreibt eine Antwortdatei mc4y-installation.json, die der Helfer auf dem Zielrechner übernimmt. Auf einem Linux-Server ohne Oberfläche nennt der Helfer die Adresse und einen Befehl für eine SSH-Weiterleitung.

3. Einzelplatz unter Windows

Am einfachsten mit dem grafischen Installer – Schritt für Schritt im Schnellstart (Weg B); er lädt PHP und bei Bedarf die Visual-C++-Laufzeit selbst. Ohne grafischen Installer:

1. PHP für Windows von windows.php.net laden: Paket „VS17 x64 Non Thread Safe“; die Prüfsumme (SHA256) steht daneben.
2. Das Paket der Suite entpacken und install\windows\installieren.bat doppelklicken (Windows fragt nach Administratorrechten). Mit PHP-Paket:

   installieren.bat -PhpZip C:\Downloads\php-8.x.y-nts-Win32-vs17-x64.zip -PhpSha256 <Prüfsumme>

3. Das Skript legt das Konto mc4y-systemuser an (darf sich nicht anmelden, führt nur den PHP-Server aus), den Programmordner (Vorschlag C:\Program Files\MC4Y-Suite), den Datenordner (Vorschlag C:\ProgramData\MC4Y-Suite-Daten, bei einem Programm auf E: E:\MC4Y-Suite-Daten) und den Sicherungsordner – es fragt nach allen dreien; ohne Fragen: -Programm E:\MC4Y-Suite -Daten E:\MC4Y-Suite-Daten -SicherungOrdner F:\MC4Y-Suite-Sicherungen und die Aufgabe „MC4Y-Suite“, die beim Systemstart php -S 127.0.0.1:8090 startet.
4. Im Browser öffnet sich die Einrichtung: das erste Konto anlegen (es wird Administrator).

Der Einzelplatz ist nur auf dem eigenen Rechner erreichbar und nutzt deshalb kein HTTPS. Für den Zugriff aus dem Netz eine Server-Installation wählen.

4. Windows Server mit IIS

Was das Installationsskript einrichtet

• IIS-Rollendienste (Webserver, CGI/FastCGI, Windows-Authentifizierung, Verwaltungswerkzeuge), falls sie fehlen. Wurde IIS dabei neu installiert, wird die leere „Default Web Site“ angehalten.
• PHP: vorhandenes PHP oder das angegebene Paket (nach C:\PHP), bei Bedarf die Visual-C++-Laufzeit. Die Suite nutzt eine eigene php.ini unter <Programm>\php\php.ini (andere PHP-Anwendungen bleiben unberührt).
• Anwendungspool „MC4Y-Suite“ mit der virtuellen Identität IIS AppPool\MC4Y-Suite – es wird kein Benutzerkonto angelegt und keine Richtlinie geändert. Das ist auch auf einem Domänencontroller unbedenklich.
• Website „MC4Y-Suite“ auf Port 443 mit Zertifikat (siehe HTTPS); Aufrufe über http://servername/ leitet die Suite auf HTTPS um.
• Datenordner nur für Administratoren, SYSTEM und den Anwendungspool; konfig.php für den Anwendungspool nur lesbar.
• Firewall-Regel „MC4Y-Suite (HTTPS)“ für die Profile Domäne und Privat.
• Aufgabe „MC4Y-Suite-Sicherung“: tägliche Sicherung um 2:30 Uhr als SYSTEM.
• Kurzanleitung <Programm>\KURZANLEITUNG.txt und Protokoll installation_<Zeit>.log.

Auf dem Server selbst

Paket auf den Server kopieren, entpacken, als Administrator:

install\windows\installieren-server.bat -PhpZip C:\Pakete\php-8.x.y-nts-Win32-vs17-x64.zip -PhpSha256 <Prüfsumme> -VcRedist C:\Pakete\vc_redist.x64.exe

Das Skript fragt nach dem Datenordner („Ablage einrichten“) und zeigt dazu die Laufwerke mit freiem Platz. Weitere Schalter: -Daten, -Sicherungen (anderes Laufwerk empfohlen), -HostName (Adresse, Standard: voller Rechnername), -Zertifikat <Fingerabdruck>, -SicherungUhrzeit 02:30, -OhneWindowsAnmeldung, -Probelauf.

Vom Arbeitsplatz aus (ohne Anmeldung am Server)

Auf einem Rechner der Domäne, im entpackten Paket:

powershell -ExecutionPolicy Bypass -File install\windows\auf-server-installieren.ps1 -Server server.firma.local -PhpZip … -PhpSha256 … -VcRedist …

Ein Anmeldefenster von Windows fragt nach einem Administrator-Konto des Servers. Das Kennwort geht nur an Windows (Kerberos über WinRM, Port 5985 – auf Windows Server standardmäßig eingeschaltet) und wird weder gespeichert noch protokolliert. Das Skript kopiert die Pakete, fragt nach dem Datenordner, führt die Installation aus und legt Protokoll, Kurzanleitung und Zertifikat unter Dokumente\MC4Y-Suite-Installationen ab. Am Ende zeigt es den Einrichtungscode für das erste Konto.

Erste Schritte nach der Installation

1. Zertifikat auf den Arbeitsplätzen als vertrauenswürdig eintragen (siehe HTTPS).
2. https://servername/ öffnen, das erste Konto mit dem Einrichtungscode anlegen.
3. Verwaltung › Anmeldung: Domänen-Anmeldung einschalten, AD-Gruppen zuordnen, „Verbindung prüfen“ (siehe Active Directory).
4. Verwaltung › Sicherung: „Jetzt sichern“ und „Prüfen“; danach Verwaltung › Systemprüfung.

5. Linux (Apache oder nginx)

Für Debian 12/13, Ubuntu 22.04/24.04 (apt) sowie RHEL, Rocky, AlmaLinux 8–10 und Fedora (dnf); bash ab 4.4, systemd. Im entpackten Paket:

sudo bash install/linux/installieren.sh --probelauf          zeigt nur, was geschähe
sudo bash install/linux/installieren.sh                      Server mit Apache (fragt nach dem Datenordner)
sudo bash install/linux/installieren.sh --webserver nginx --host suite.firma.local
sudo bash install/linux/installieren.sh --zertifikat /etc/ssl/suite.crt --schluessel /etc/ssl/suite.key
sudo bash install/linux/installieren.sh --einzelplatz        nur dieser Rechner, http://127.0.0.1:8090/
bash install/linux/installieren.sh --hilfe                   alle Angaben

• Fehlende PHP-Pakete installiert das Skript nach Rückfrage (Fremdquellen richtet es nicht ein; zu altes PHP nennt es samt Wegen zu neueren Paketen).
• Systemkonto mc4y-systemuser ohne Anmelde-Shell; unter ihm läuft ein eigener PHP-FPM-Pool „mc4y-suite“ – nicht unter dem Konto des Webservers.
• Programm /opt/mc4y-suite, Datenordner nach Rückfrage (Vorschlag /var/lib/mc4y-suite-daten, Rechte 700), Angaben und Zertifikat unter /etc/mc4y-suite.
• Apache bzw. nginx liefert nur public/ aus, sperrt versteckte Dateien, leitet Port 80 auf HTTPS um (eigenes oder selbst signiertes Zertifikat). Unter SELinux setzt das Skript die Dateikontexte; für die Domänen-Anmeldung zusätzlich setsebool -P httpd_can_connect_ldap 1.
• Firewall nur auf Rückfrage bzw. mit --firewall (ufw oder firewalld).
• Tägliche Sicherung um 02:30 als systemd-Timer mc4y-suite-sicherung.timer (ohne systemd per cron), Kurzanleitung und Protokoll im Programmordner, Einrichtungscode nur am Bildschirm.

Weitere Befehle: sudo bash /opt/mc4y-suite/install/linux/wiederherstellen.sh <Sicherung>, …/datenordner-verschieben.sh <neuer Ordner>, …/deinstallieren.sh. Kommandozeile der Suite immer unter ihrem Konto: sudo runuser -u mc4y-systemuser -- php /opt/mc4y-suite/app/cli.php sicherungen. Alles Weitere, auch die Einrichtung von Hand: install/linux/LIESMICH.txt.

6. macOS

Voraussetzungen: macOS 12 (Monterey) oder neuer, Intel-Mac oder Mac mit Apple-Chip, ein Benutzerkonto mit Administratorrechten, Internet während der Installation. Homebrew und Xcode sind nicht nötig. Auf älteren Macs (macOS 10.15 oder 11) läuft „Nur im Browser“ (mc4y-werkzeuge.zip); viele dieser Macs lassen sich kostenlos auf ein neueres macOS bringen.

Eigenes PHP: Das Skript lädt eine einzelne, fertig übersetzte PHP-Datei (PHP 8.4 von static-php-cli, Erweiterungssatz „common“), prüft sie mit der im Skript fest eingetragenen SHA-256-Prüfsumme und legt sie nach /Library/Application Support/MC4Y-Suite-PHP/<Fassung> (mit HERKUNFT.txt). Startet die Datei nicht, signiert das Skript sie ad hoc. Ohne Internet: die in der Fehlermeldung genannte Datei in einen Ordner voraussetzungen im Paket legen. Mit --php-quelle homebrew wird stattdessen PHP aus Homebrew verwendet, mit --php <Pfad> ein bestimmtes PHP ab 8.2. Beim Aktualisieren bleibt das bisherige PHP; das eigene PHP wird auf die Fassung des Pakets gebracht.

Aufruf (Schritt für Schritt im Schnellstart, Weg C): im Terminal in den ausgepackten Paket-Ordner wechseln (cd, Leerzeichen, Ordner ins Terminal ziehen, Eingabetaste) und

bash install/macos/installieren.command --probelauf    zeigt nur, was geschähe
bash install/macos/installieren.command                Einzelplatz (fragt nach Kennwort und Datenordner)
bash install/macos/installieren.command --hilfe        alle Angaben

• Immer mit bash … im Terminal starten, nicht per Doppelklick: Beim Doppelklick blockiert macOS Dateien aus dem Internet („Apple konnte nicht überprüfen …“), und Pakete, die über Nextcloud oder einen Windows-Rechner kamen, haben oft kein Ausführungsrecht mehr („nicht die nötigen Zugriffsrechte“). Mit bash spielt beides keine Rolle.
• „Operation not permitted“: Das Terminal darf den Ordner nicht lesen (Downloads, Schreibtisch, Dokumente, Cloud-Ordner). „Systemeinstellungen“ › „Datenschutz & Sicherheit“ › „Dateien und Ordner“ › „Terminal“ erlauben.
• „… is not in the sudoers file“: Das Konto braucht Administratorrechte. Das Kennwort wird beim Tippen im Terminal nicht angezeigt.
• „Die Suite braucht macOS 12 (Monterey) oder neuer“: macOS aktualisieren oder „Nur im Browser“ nutzen.

Das Skript legt ein verstecktes Systemkonto mc4y-systemuser ohne Anmeldung an, kopiert das Programm nach /Library/Application Support/MC4Y-Suite, legt den Datenordner nach Rückfrage an (Vorschlag /Library/Application Support/MC4Y-Suite-Daten) und richtet zwei launchd-Dienste ein: den PHP-eigenen Webserver unter http://127.0.0.1:8090/ und die tägliche Sicherung um 02:30 (schlief der Mac, wird sie beim Aufwachen nachgeholt). Protokolle liegen in /Library/Logs/MC4Y-Suite.

Programme mit Symbol: Bei jeder Installation und Aktualisierung entsteht /Applications/MC4Y-Suite.app (öffnet die Adresse der Suite im Standardbrowser; Launchpad, Spotlight, Programme-Ordner) – auch nachträglich für ältere Installationen. Auf Wunsch richtet das Skript die Desktop-Taskleiste für den Benutzer ein, der es gestartet hat: ~/Applications/MC4Y Taskleiste.app, Start beim Anmelden als LaunchAgent (~/Library/LaunchAgents/de.my-coaching4you.mc4y-taskleiste.plist, ab macOS 13 unter „Anmeldeobjekte“ sichtbar und abschaltbar). Ohne Rückfrage: --taskleiste, --ohne-taskleiste, --ohne-autostart. Der Deinstaller entfernt MC4Y-Suite.app; die Taskleiste gehört zum Benutzerkonto und hat ein eigenes deinstallieren-macos.command.

--server schreibt nur ein Grundgerüst (PHP-FPM-Pool und nginx-Eintrag für Homebrew, selbst signiertes Zertifikat); die Dienste startet man selbst. Für mehrere Benutzer im Netz ist ein Linux- oder Windows-Server die erprobtere Wahl. Ein Skript zum Verschieben des Datenordners gibt es unter macOS noch nicht – die Schritte von Hand stehen in install/macos/LIESMICH.txt.

7. Webhosting-Paket

1. PHP-Version des Pakets auf 8.2 oder neuer stellen; prüfen, ob pdo_sqlite und zip aktiv sind (sodium empfohlen).
2. Die Ordner app, public und install sowie .htaccess und konfig.beispiel.php aus der Paketwurzel per SFTP hochladen – auch die versteckten Dateien (.htaccess, public/.user.ini). Ideal: Die Domain zeigt auf public, alles andere liegt eine Ebene höher. Erlaubt das Paket keine eigene Dokumentwurzel, sperren sich app und install über eigene .htaccess-Dateien, die .htaccess der Paketwurzel sperrt konfig.php, Einrichtungscodes und Skripte.
3. PHP-Grenzen (Upload 100 MB, Laufzeit 600 s, Speicher 512 MB, keine Fehleranzeige) stehen in public/.user.ini – bei PHP als FastCGI/PHP-FPM (z. B. STRATO) wirken Einträge in .htaccess nicht. Was der Anbieter fest vorgibt, zeigt die Systemprüfung.
4. Die Adresse aufrufen: Die Suite zeigt „Ablage einrichten“. Den Einrichtungscode aus ablage-einrichtungscode.txt (per SFTP lesen) eingeben und einen Datenordner außerhalb des Webverzeichnisses wählen.
5. Danach das erste Konto anlegen (der zweite Code steht in <Datenordner>/system/einrichtungscode.txt).
6. Tägliche Sicherung: im Kundenmenü des Anbieters einen Cronjob php /pfad/zu/app/cli.php sicherung --auto anlegen; die Sicherungen regelmäßig herunterladen (Verwaltung › Sicherung › Herunterladen).

8. Ablage einrichten und verschieben

Die Installationsskripte fragen nach dem Datenordner und schreiben konfig.php selbst. Fehlt der Eintrag (Webhosting, Installation von Hand), zeigt die Startseite den Dialog „Ablage einrichten“: Er prüft PHP und die Erweiterungen, legt den Ordner an, prüft das Schreibrecht und lehnt Orte im Webverzeichnis ab. Von außen ist dafür der Code aus ablage-einrichtungscode.txt im Programmordner nötig.

Datenordner und/oder Sicherungsordner verschieben (z. B. auf ein größeres Laufwerk) – die Suite ist dabei kurz nicht erreichbar:

powershell -ExecutionPolicy Bypass -File "<Programmordner>\install\windows\datenordner-verschieben.ps1" -Ziel E:\MC4Y-Suite-Daten -Sicherungen F:\MC4Y-Suite-Sicherungen

Beide Angaben sind einzeln möglich; das Skript findet die laufende Installation selbst, auch wenn sie nicht unter C:\Program Files liegt. Zusammen mit einer Aktualisierung: installieren.bat -Aktualisieren -DatenNeu … -SicherungenNeu … bzw. im grafischen Installer „Aktualisieren und Datenablage bzw. Sicherungen verschieben“. Nach „Zum Verschieben JA eintippen …“ (JA oder YES) hält das Skript die Suite an, kopiert mit den bisherigen Zugriffsrechten, vergleicht Anzahl, Größe und Prüfsummen der Datenbanken (Suite, CMDB, Lösungsdatenbank), stellt konfig.php um (die alte Fassung bleibt daneben) und startet die Suite wieder. Ein neuer Sicherungsordner bekommt die Zugriffsrechte des Datenordners, vorhandene Sicherungen werden hineinkopiert und der Ort in der Suite eingetragen; Sicherungen, die bisher im Datenordner lagen, ziehen mit. Die neuen Orte stehen danach auch in installation.json. Der bisherige Ordner bleibt unverändert liegen, bis Sie ihn selbst löschen. Unter Linux: sudo bash /opt/mc4y-suite/install/linux/datenordner-verschieben.sh <neuer Ordner> (stellt auch Pool bzw. Dienst um); unter macOS von Hand nach install/macos/LIESMICH.txt. Den genauen Befehl für Ihre Installation zeigt auch Verwaltung › Speicherorte.

9. HTTPS und Zertifikat

Kennwörter und Inhalte dürfen nur verschlüsselt durchs Netz. Darum verlangt die Suite HTTPS, sobald sie nicht nur über 127.0.0.1 aufgerufen wird.

Selbst signiertes Zertifikat (Standard der Server-Installation)

Gültig fünf Jahre für den vollen Rechnernamen, den Kurznamen und die IP-Adresse. Es liegt im Zertifikatspeicher „Webhosting“ des Servers – so verwendet ein Domänencontroller es nicht versehentlich für LDAPS. Damit Browser nicht warnen, den öffentlichen Teil einmal auf jedem Arbeitsplatz eintragen:

• Einzelner Rechner: https://servername/zertifikat/mc4y-suite.cer herunterladen (oder aus <Programm>\zertifikat), doppelklicken › „Zertifikat installieren“ › „Lokaler Computer“ › Speicher „Vertrauenswürdige Stammzertifizierungsstellen“.
• Alle Rechner der Domäne: Gruppenrichtlinie › Computerkonfiguration › Richtlinien › Windows-Einstellungen › Sicherheitseinstellungen › Richtlinien für öffentliche Schlüssel › „Vertrauenswürdige Stammzertifizierungsstellen“ › Importieren.

Firefox nutzt die Windows-Zertifikate, wenn security.enterprise_roots.enabled eingeschaltet ist (Standard bei verwalteten Installationen).

Eigenes Zertifikat

Ein Zertifikat der eigenen Zertifizierungsstelle (z. B. Active Directory-Zertifikatdienste) oder eines öffentlichen Anbieters in „Lokaler Computer › Eigene Zertifikate“ importieren und bei der Installation -Zertifikat <Fingerabdruck> angeben – oder später im IIS-Manager unter „Bindungen“ austauschen.

Hinter einem Proxy

Endet HTTPS an einem vorgeschalteten Proxy oder Load Balancer, in konfig.php 'https' => 'proxy' setzen; der Proxy muss X-Forwarded-Proto: https senden und die Suite darf nur über ihn erreichbar sein.

10. Anmeldung über Active Directory

Mitarbeitende melden sich mit ihrem Windows-Konto an – mit name, name@firma.local oder FIRMA\name. Die Suite prüft Kennwort und Konto direkt beim Domänencontroller (LDAP-Anmeldung mit dem Konto selbst, kein Dienstkonto, kein gespeichertes Kennwort) und liest Name, E-Mail und Gruppen.

Einschalten (Verwaltung › Anmeldung)

„Verbindung prüfen“ testet ohne Anmeldung die Verbindung oder – mit Namen und Kennwort – ein Konto samt Gruppen. Bestehende Konten lassen sich unter Verwaltung › Benutzer mit einem Domänenkonto verknüpfen; ihr eigenes Kennwort in der Suite entfällt dann. Das Konto wird über die Kennung (SID) wiedererkannt, auch nach einer Umbenennung.

LDAPS und Signatur

Für ldaps braucht der Domänencontroller ein Zertifikat (üblich mit Active Directory-Zertifikatdiensten), dem der Suite-Server vertraut. Verlangt die Domäne LDAP-Signatur (Meldung „verlangt eine signierte bzw. verschlüsselte Verbindung“), ldaps oder starttls verwenden bzw. die Suite auf dem Domänencontroller mit 127.0.0.1 betreiben.

Anmelden mit dem angemeldeten Windows-Konto

Bei der Server-Installation mit IIS zeigt die Anmeldeseite zusätzlich „Mit dem angemeldeten Windows-Konto anmelden“ (Kerberos über windows-anmeldung.php). Das gilt für Konten, die in der Suite mit einem Domänenkonto verknüpft sind bzw. automatisch angelegt werden. Damit der Browser ohne Rückfrage anmeldet, die Adresse der Suite in die Zone „Lokales Intranet“ aufnehmen (Gruppenrichtlinie „Liste der Site-zu-Zonen-Zuweisungen“, Wert 1); sonst fragt der Browser einmal nach Name und Kennwort.

11. Sicherung und Wiederherstellung

Eine Sicherung ist eine ZIP-Datei mc4y-sicherung_<Datum>_<Zeit>_<Anlass>.zip mit dem gesamten Datenordner, konsistenten Momentaufnahmen der Datenbank, der CMDB und der Lösungsdatenbank (auch während der Arbeit), einer Beschreibung MC4Y-SICHERUNG.json und Prüfsummen (SHA-256) aller Dateien. Ältere Sicherungen werden nach der eingestellten Anzahl (Standard 14) entfernt.

• Täglich: Aufgabe „MC4Y-Suite-Sicherung“ (Windows Server), Cronjob bzw. systemd-Timer (Linux), launchd (macOS) oder Cronjob beim Webhosting – jeweils php app/cli.php sicherung --auto.
• Von Hand: Verwaltung › Sicherung › „Jetzt sichern“; dort auch Prüfen, Herunterladen (nur Administratoren, wird protokolliert) und Löschen.
• Ort: Standard <Datenordner>\sicherungen. Besser ein anderes Laufwerk oder ein Netzlaufwerk eintragen (Verwaltung › Sicherung › Einstellungen) und die Dateien zusätzlich außer Haus aufbewahren (Regel 3-2-1: drei Kopien, zwei Medien, eine außer Haus).

Wöchentlicher CMDB-Aufräumlauf

Für die CMDB richtet die Installation zusätzlich einen wöchentlichen Lauf ein (Windows: geplante Aufgabe „MC4Y-Suite-CMDB-Aufraeumen“, sonntags 03:30, als SYSTEM; Linux: systemd-Timer bzw. Cronjob; macOS: launchd) – php app/cli.php cmdb-aufraeumen. Er entfernt die Installationsverknüpfungen stiller Geräte (Geräte, die sich seit einstellbar vielen Tagen – Standard 30, CMDB › Gruppen-Regeln – nicht mehr gemeldet haben) und vermerkt das im Verlauf der jeweiligen Software-Komponente; die Komponenten selbst bleiben, von Hand gepflegte Geräte ebenso. Der Lauf läuft außerdem höchstens einmal pro Woche automatisch, sobald jemand die CMDB öffnet – die Aufgabe sorgt nur dafür, dass er auch ohne Benutzung stattfindet. Von Hand: CMDB › Gruppen-Regeln › „Wochenlauf jetzt“ (mit Probelauf). Die Deinstallation entfernt die Aufgabe wieder.

Zurückspielen

powershell -ExecutionPolicy Bypass -File "C:\Program Files\MC4Y-Suite\install\windows\wiederherstellen.ps1" -Sicherung mc4y-sicherung_2026-10-17_02-30-00_auto.zip

Ohne -Sicherung zeigt das Skript die vorhandenen Sicherungen und fragt nach dem Namen. Es prüft die Sicherung zuerst gegen ihre Prüfsummen, fragt „Zum Zurueckspielen JA eintippen“ (angenommen werden JA und das englische YES; -Ja überspringt die Frage), hält die Suite an, verschiebt den bisherigen Inhalt nach <Datenordner>\_vor-wiederherstellung_<Zeit> (nichts wird gelöscht), spielt zurück und startet die Suite. Unter Linux: sudo bash /opt/mc4y-suite/install/linux/wiederherstellen.sh <Sicherung>, unter macOS: bash "/Library/Application Support/MC4Y-Suite/install/macos/wiederherstellen.command".

Üben Sie das Zurückspielen einmal, am besten auf einem Testrechner: Erst eine geprüfte Wiederherstellung macht eine Sicherung verlässlich.

Befehle für die Kommandozeile (im Programmordner). Die Ausgaben sind deutsch; mit --lang en (bzw. der Umgebungsvariablen MC4Y_SPRACHE=en) englisch:

php app/cli.php status              Fassung, Datenordner, Sicherungsordner
php app/cli.php sicherung           Sicherung anlegen
php app/cli.php sicherungen         vorhandene Sicherungen
php app/cli.php pruefen <Name>      Sicherung gegen ihre Prüfsummen prüfen
php app/cli.php cmdb-aufraeumen     Installationen stiller Geräte entfernen (--probelauf zeigt nur, --tage N setzt die Frist)
php app/cli.php system              Systemprüfung als Text

Auf dem Windows Server mit der php.ini der Suite: C:\PHP\php.exe -c "C:\Program Files\MC4Y-Suite\php\php.ini" app\cli.php …

11a. Kennwort vergessen – Konto wieder zugänglich machen

Es gibt bewusst keine Rücksetzung per E-Mail. Kann sich jemand nicht mehr anmelden, erzeugt die Person, die den Server betreut, dort einen Rücksetzcode für das Konto; damit setzt die Kontoinhaberin/der Kontoinhaber selbst ein neues Kennwort. Ein Administrator kann ein Kennwort auch direkt in Verwaltung › Benutzer setzen (Abschnitt „Kennwort“, Häkchen „muss das Kennwort bei der nächsten Anmeldung ändern“) – das ist der Weg, wenn noch ein Administrator anmelden kann.

Am Server einen Rücksetzcode erzeugen (sichtbares Fenster; der Code erscheint nur dort, wird nirgends gespeichert und nicht ins Protokoll geschrieben):

Windows:  Kennwort-zuruecksetzen.bat        (im Ordner install\windows; oder kennwort-zuruecksetzen.ps1)
Linux:    sudo bash /opt/mc4y-suite/install/linux/kennwort-zuruecksetzen.sh [Anmeldename]
macOS:    bash "/Library/Application Support/MC4Y-Suite/install/macos/kennwort-zuruecksetzen.command" [Anmeldename]
oder:     php app/cli.php kennwort-code <Anmeldename>

Das Skript fragt nach dem Anmeldenamen (falls nicht angegeben) und zeigt einen Code wie K7PX-QM4R-TV9H. Geben Sie ihn nur der Kontoinhaberin/dem Kontoinhaber (nicht per unverschlüsselter E-Mail). Der Code ist 30 Minuten gültig, nur einmal verwendbar und verfällt nach fünf falschen Eingaben.

Im Browser neues Kennwort setzen: Auf der Anmeldeseite „Kennwort vergessen?“ anklicken, dann Anmeldename, Code und ein neues Kennwort eingeben. Danach sind Fehlversuche und eine etwaige Sperre aufgehoben und alle übrigen Sitzungen des Kontos beendet; die Person meldet sich mit dem neuen Kennwort an.

12. Aktualisieren

Neues Paket entpacken und das Installationsskript mit -Aktualisieren starten (Server: installieren-server.bat -Aktualisieren, vom Arbeitsplatz: auf-server-installieren.ps1 … -Aktualisieren). Vorher werden die Datenbank und – falls vorhanden – die CMDB und die Lösungsdatenbank nach <Datenordner>\_update-sicherung gesichert; ersetzt werden nur app, public und install. konfig.php, Datenordner, Zertifikat und Einstellungen bleiben; die Orte (auch auf anderen Laufwerken) und der Port kommen aus der bestehenden Installation. Mit -DatenNeu/-SicherungenNeu werden Datenablage bzw. Sicherungen danach verschoben (siehe Ablage). Die neue Fassung stellt die Datenbank beim ersten Aufruf selbst um. Linux: sudo bash install/linux/installieren.sh --aktualisieren (Pool, Webserver-Eintrag und Dienste bleiben; mit --konfiguration-erneuern neu geschrieben), macOS: bash install/macos/installieren.command --aktualisieren – jeweils aus dem neuen Paket.

Ändert ein Update den Aufbau einer Datenbank (z. B. Fassung 0.4.5: Wiki und Lösungsdatenbank mit deutscher und englischer Fassung), legt die Suite beim ersten Aufruf zusätzlich selbst eine Kopie an: <Datenordner>\_update-sicherung\<Zeit>_vor-datenbank-11\suite.sqlite bzw. …_vor-loesungen-2\loesungen.sqlite. Gelingt diese Kopie nicht (z. B. Speicher voll), bleibt die Datenbank unverändert und das Portal meldet den Fehler. Nach der Umstellung gelten vorhandene Wiki-Seiten und Lösungen als deutsch; ihre englische Fassung ist eine Kopie, die sich mitändert, bis jemand sie übersetzt.

13. Systemprüfung

Verwaltung › Systemprüfung prüft in drei Gruppen und zeigt je Punkt grün, gelb oder rot mit Hinweis:

• Betrieb: PHP-Version und Erweiterungen, Schreibrecht und freier Platz beim Datenordner, Upload-Grenzen, Größe der Datenbank, OPcache, Fehlerprotokoll.
• Sicherung: Alter der letzten Sicherung (gelb ab zwei Tagen), Anzahl, Sicherung auf einem anderen Datenträger als die Daten?
• Sicherheit: Datenordner außerhalb des Webverzeichnisses, HTTPS und sicheres Cookie, Fehleranzeige im Browser aus, PHP-Version nicht verraten, Rechte des Datenordners (Linux/macOS), Zahl der Administratoren, Mindestlänge der Kennwörter (empfohlen 12), offener Einrichtungscode, Domänen-Anmeldung.

Darunter stehen die letzten Einträge des Fehlerprotokolls (<Datenordner>/system/fehler.log).

14. Prüfliste für eine Sicherheitsprüfung

Für eine eigene oder externe Prüfung (z. B. vor dem Einsatz mit personenbezogenen Daten). Die Suite ist kein zertifiziertes Produkt; die Liste ersetzt keine fachkundige Prüfung.

Betrieb und Server

• Betriebssystem, Webserver und PHP erhalten Sicherheitsupdates; PHP-Version wird noch unterstützt.
• Nur public wird ausgeliefert; https://…/app/kern.php, …/konfig.php, …/install/ liefern keinen Inhalt.
• Datenordner liegt außerhalb des Webverzeichnisses; nur Administratoren, System und Webserver-Konto haben Rechte.
• HTTPS mit gültigem bzw. verteiltem Zertifikat; HTTP leitet um oder ist gesperrt; nach Abschluss der Einführung hsts einschalten.
• Firewall: nur Port 443 (und ggf. 80 für die Umleitung) aus den vorgesehenen Netzen; keine Freigabe ins Internet ohne zusätzlichen Schutz (VPN oder vorgeschalteter Proxy).
• Webserver-Protokolle: Aufbewahrungsdauer festgelegt und dokumentiert.

Konten und Rechte

• Mindestens zwei, höchstens wenige Administratoren; Administratoren haben ohne Gruppen keine Inhaltsrechte.
• Mindestlänge der Kennwörter mindestens 12 (Verwaltung › Einstellungen); bei Domänen-Anmeldung gelten die Kennwortregeln der Domäne.
• Berechtigungsgruppen nach dem Prinzip der geringsten Rechte; Vollzugriff nur, wo nötig.
• Ausgeschiedene Personen deaktiviert (bzw. im AD gesperrt – die Suite lehnt sie dann ab).
• Einrichtungscodes entfernt (Systemprüfung: kein offener Einrichtungscode).

Sicherung und Notfall

• Tägliche Sicherung läuft; die letzte Sicherung ist höchstens einen Tag alt (Systemprüfung grün).
• Sicherungen liegen zusätzlich auf einem anderen Laufwerk bzw. außer Haus, geschützt wie die Daten.
• Wiederherstellung wurde geübt und dokumentiert.

Anwendung

• Anmeldung: Sperre nach 5 Fehlversuchen, Begrenzung je Adresse, gleiche Meldung bei unbekanntem Konto und falschem Kennwort.
• Sitzungs-Cookie HttpOnly, SameSite=Strict, bei HTTPS Secure; Schutz vor fremden Anfragen (CSRF-Schlüssel, Herkunftsprüfung).
• Kopfzeilen: Content-Security-Policy, X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy.
• Hochgeladene Dateien werden nur als Download oder in einer abgeschotteten Ansicht ausgeliefert.
• Protokoll (Verwaltung › Protokoll) wird regelmäßig gesichtet; Fehlerprotokoll ist leer oder erklärt.
• Werkzeuge rufen keine fremden Server auf (Ausnahme: Firmensuche im Vertriebs-Navigator – in der Suite gesperrt).

Datenschutz

• Verzeichnis der Verarbeitungstätigkeiten um die Suite ergänzt; Hinweise für die Benutzer (Datenschutz-Seite der Suite) an die eigene Organisation angepasst (Verwaltung › Einstellungen).
• Löschfristen für Protokoll, Papierkorb und Sicherungen festgelegt.
• Bei Betrieb durch Dritte (Webhosting, Rechenzentrum): Auftragsverarbeitungsvertrag.

15. Fehlersuche

16. Deinstallieren

Einzelplatz: install\windows\deinstallieren.bat. Server mit IIS: install\windows\deinstallieren-server.bat (entfernt Website, Anwendungspool, FastCGI-Eintrag, Sicherungsaufgabe, Firewall-Regel und Programmordner; mit -ZertifikatLoeschen auch das erzeugte Zertifikat). Der Datenordner bleibt immer erhalten – außer mit -DatenLoeschen und der Eingabe LOESCHEN. PHP, IIS und die Visual-C++-Laufzeit bleiben installiert. Linux: sudo bash /opt/mc4y-suite/install/linux/deinstallieren.sh [--konto-behalten] [--daten-loeschen], macOS: bash "/Library/Application Support/MC4Y-Suite/install/macos/deinstallieren.command" (entfernt auch das eigene PHP der Suite und das Programm „MC4Y-Suite“; die Desktop-Taskleiste entfernt bash ~/"Library/Application Support/MC4Y/Taskleiste/deinstallieren-macos.command") – auch dort bleibt der Datenordner, außer mit --daten-loeschen und der Eingabe LOESCHEN. „Nur im Browser“: den Werkzeug-Ordner in den Papierkorb ziehen.

Schritt für Schritt (Einzelplatz Windows): im ausgepackten Paket (oder im Programmordner) install › windows öffnen, „deinstallieren“ doppelklicken, Windows-Rückfrage mit „Ja“ beantworten, bei „Suite deinstallieren? (j/n)“ j tippen und die Eingabetaste drücken. Mac: Terminal öffnen (cmd + Leertaste, „Terminal“), den Befehl oben einfügen, Eingabetaste, Kennwort tippen, bei „… deinstallieren? [j/N]“ j und Eingabetaste.