Vitrine – Transparente Bildschirmsperre für Windows

Bildschirm sperren – Monitor bleibt sichtbar: wofür eine durchsichtige Bildschirmsperre?

Die normale Windows-Sperre mit Win+L zeigt den Sperrbildschirm – vom Arbeitsplatz ist dann nichts mehr zu sehen. Im Labor, an der Produktionslinie oder im Leitstand muss ein Prozess aber sichtbar bleiben: Eine Messung läuft, ein Anlagenbild oder ein Dashboard wird beobachtet, nur bedienen soll niemand.

Vitrine ist deshalb eine reine Eingabesperre: Tastatur und Maus werden systemweit abgefangen, die Programme bleiben sichtbar und laufen weiter – ansehen, nicht anfassen. Wer entsperren darf, legen Sie fest: die angemeldete Person, Administratoren, Gruppen und Entra-App-Rollen, einzelne Konten oder jedes gültige Konto, auf Wunsch auf Domänen eingeschränkt.

Funktionen: Tastatur und Maus sperren, Programme sichtbar lassen

• Durchsichtig oder verdeckt sperren

  Standard ist ein transparenter Sperrbildschirm mit leichter Abdunkelung (8 %). Für vertrauliche Inhalte gibt es den verdeckten Modus mit großer Uhr und Datum – die Programme laufen auch dann weiter.

• Bereiche abdecken, Programme freigeben

  Einzelne Rechtecke bleiben während der Sperre verdeckt, etwa der Teil eines LIMS-Fensters mit Patientennamen. Oder alles ist verdeckt außer den Fenstern ausgewählter Programme.

• Entsperren mit Entra ID, Windows oder Sicherheitsschlüssel

  Microsoft Entra ID läuft im eigenen Anmeldefenster von Vitrine, das sich zwischen Personen nichts merkt – mit allem, was der Mandant erlaubt: Passkeys und FIDO2-Schlüssel, Authenticator, MFA. Dazu Windows-Kennwort, Windows-Anmeldedialog (auch Chipkarte), Windows Hello und ein für Vitrine registrierter FIDO2-Sicherheitsschlüssel.

• Eigene Sicherheitsschlüssel ohne Entra ID

  Eine berechtigte Person registriert FIDO2-Schlüssel für Vitrine – lokal auf dem Rechner oder einmal für alle Rechner im Active Directory, ohne App-Registrierung in Entra ID und auch ohne Netz. Der Dienst prüft jede Anmeldung und bestimmt die Person samt Gruppen; die PIN des Schlüssels ist immer Pflicht.

• Viele Wege zu sperren

  Strg+Alt+L, Infobereich, nach Leerlaufzeit, nach Zeitplan, beim Start, als Bildschirmschoner, mit Vitrine.exe --lock oder über die lokale Schnittstelle; auf Wunsch sperrt auch Win+L mit Vitrine statt mit Windows.

• Elektronische Signaturen

  Fachanwendungen, etwa ein LIMS, fordern über eine lokale Schnittstelle eine Signatur an. Person, Zeitpunkt, Grund und Bedeutung landen im Protokoll. Bei Windows-Kennwort, Entra ID und registrierten Sicherheitsschlüsseln prüft der Dienst die Anmeldung selbst.

• Vom Dienst signiertes Protokoll

  Jede Sperre, Entsperrung, jeder Fehlversuch und jede Signatur mit UTC-Zeit, Person und Verfahren. Der Dienst schreibt das Protokoll und signiert jeden Eintrag (ECDSA P-256 mit einem Maschinenschlüssel, den nur er hält); Benutzer können nur lesen. Laufende Nummern und ein Anker außerhalb der Datei machen Änderungen, Lücken und ein abgeschnittenes Ende sichtbar, Vitrine.exe --verify-log prüft mit dem öffentlichen Schlüssel. Kopie auf einer Netzwerkfreigabe und Windows-Ereignisprotokoll sind unabhängige Gegenstücke.

• Rollen und Nachvollziehbarkeit

  Getrennte Rollen für Einstellungs-Administratoren, Registrierer von Sicherheitsschlüsseln und Prüfer (nur lesen und exportieren), auf Wunsch ohne Rechte für lokale Administratoren. Notfall-Anmeldung für festgelegte Gruppen nur mit Begründung, Einstellungsänderungen mit alten und neuen Werten und wahlweise Pflichtbegründung, verantwortliche Person im Protokoll, Berechtigungsbericht als HTML zum Unterschreiben und als CSV.

• Zentral verwalten

  ADMX/ADML-Vorlagen (Englisch und Deutsch) mit 76 Richtlinien für Gruppenrichtlinie und Intune; per Richtlinie gesetzte Werte sind in den Einstellungen gesperrt. Stille Installation mit msiexec /i Vitrine-x64.msi /qn.

• Sperre auf eigenem Desktop

  Wahlweise wechselt Vitrine beim Sperren auf einen eigenen Windows-Desktop: Fenster anderer Programme – auch mit Administratorrechten – bekommen dort keine Eingaben und zeichnen nicht über den Sperrbildschirm. In beiden Sperrarten erkennt Vitrine Desktop-Wechsel während der Sperre, protokolliert sie und schaltet zurück.

• Dienst und Wächter

  Der Dienst „ICT-Baden Vitrine“ startet Vitrine bei jeder Anmeldung. Endet oder hängt Vitrine während der Sperre, trennt er die Sitzung und startet Vitrine gesperrt neu; ohne Dienst sperrt ein Wächterprozess Windows.

• Fehlversuche begrenzen

  Wachsende Wartezeit ab dem dritten Versuch; auf Wunsch wird nach zu vielen Versuchen Windows gesperrt, abgemeldet oder heruntergefahren – diese Aktion ist standardmäßig aus und muss eingestellt werden.

• Fünf Sprachen

  Englisch, Deutsch, Spanisch, Französisch und Chinesisch (vereinfacht); jede Person wählt ihre Sprache, oder eine Richtlinie legt sie fest.

Einsatz im Leitstand, im Labor und an der Produktionslinie

Typische Arbeitsplätze sind Messrechner im Labor, Bedienrechner an Produktionslinien und Leitstand-PCs, auf denen Anlagenbilder sichtbar bleiben müssen. Vitrine legt ein Overlay pro Monitor, passend zur Skalierung jedes Monitors, und zeigt auf Wunsch einen Hinweis wie „Messung läuft – bitte nicht berühren“. Während der Sperre bleibt der Bildschirm an: kein Bildschirmschoner, kein Energiesparmodus.

Für Leitstände und Messrechner kann Vitrine schon beim Start gesperrt sein. Die Tastatur- und Maussperre erfasst auch die Windows-Taste, Alt+Tab, Alt+Esc, Alt+F4 und Strg+Esc, der Mauszeiger steht still, und Win+L tut während der Sperre nichts. Auf geteilten Arbeitsplätzen entsperrt jede Person aus einer lokalen oder Entra-Gruppe mit dem eigenen Schlüssel oder Konto; wer zuletzt entsperrt hat, steht als verantwortliche Person im Infobereich und im Protokoll.

Pharma und GxP: 21 CFR Part 11 und EU GMP Annex 11

Vitrine liefert Bausteine, die GxP-Arbeitsplätze verlangen: Zugriff nur für berechtigte Personen, eindeutige Identifikation, einen vom Dienst signierten Audit-Trail, elektronische Signaturen mit Bedeutung – bei Windows-Kennwort, Entra ID und registrierten Sicherheitsschlüsseln prüft der Dienst die Anmeldung selbst –, getrennte Rollen mit Berechtigungsbericht für die regelmäßige Durchsicht, eine Notfall-Anmeldung mit Begründung und automatisches Sperren nach Leerlaufzeit oder Zeitplan. Das gemeinsame Entsperrkennwort nimmt Vitrine für Signaturen nicht an, weil es keiner Person zuzuordnen ist.

Vitrine ist kein validiertes Produkt, und ICT Baden sagt nicht zu, dass der Einsatz 21 CFR Part 11, EU GMP Annex 11 oder eine andere Vorschrift erfüllt. Validierung und Risikobewertung liegen beim Betreiber; Code und Protokollformat sind bewusst einfach gehalten, damit eine Validierung machbar ist. Ohne den Dienst – also mit der einzelnen Vitrine.exe – gibt es nur eine Hash-Kette ohne Schlüssel, die die Dokumentation ausdrücklich als nicht Part-11-tauglich einstuft.

Umstieg von kommerziellen transparenten Bildschirmsperren: Vitrine als Alternative

Für Organisationen, die heute eine kommerzielle transparente Bildschirmsperre einsetzen – als eigenständiges Programm oder als Funktion einer Authentifizierungs-Suite: Alle erfüllen dieselbe Aufgabe, die Eingabe ist gesperrt, der Bildschirm bleibt sichtbar. Vitrine ist eine Alternative zu diesen transparenten Sperren mit folgenden Eigenschaften:

• Vitrine ist kostenlos unter der MIT-Lizenz, ohne Lizenzschlüssel, ohne Lizenzserver, ohne Aktivierung und ohne Gerätebindung; die Software sendet keine Daten an ICT Baden.
• Verteilung als MSI (still mit msiexec /i Vitrine-x64.msi /qn), Verwaltung über 76 Richtlinien in ADMX/ADML-Vorlagen für Gruppenrichtlinie und Intune.
• Entsperren mit Microsoft Entra ID, Windows-Kennwort, Windows Hello oder einem für Vitrine registrierten FIDO2-Sicherheitsschlüssel – Letzterer ohne Entra-App und auch ohne Netz; elektronische Signaturen für Fachanwendungen.
• Vom Dienst signiertes, manipulationserkennendes Protokoll, Rollen für Einstellungen, Schlüsselregistrierung und Prüfung, verdeckte Bereiche und „nur ausgewählte Programme sichtbar“.

Was Umsteiger wissen sollten: Vitrine ist eine Vorabversion, noch nicht signiert und noch nicht auf echten Geräten durchgetestet. Eine eigene Anbindung für Chipkarten oder Kartenleser hat Vitrine nicht – Fingerabdruck und Gesicht gehen über Windows Hello, Chipkarten über den Windows-Anmeldedialog, anderes über ein eigenes Anmelde-Plugin. Vitrine ersetzt nur die transparente Sperre, keine Authentifizierungs-Suite.

Systemvoraussetzungen

Betriebssystem

Windows 10 ab Version 1809 (Build 17763) oder Windows 11, 64 Bit

.NET

nicht nötig für die MSI und Vitrine.exe; die ZIP-Variante braucht die .NET 10 Desktop Runtime

Installation

die MSI braucht Administratorrechte; Vitrine.exe läuft ohne Installation

Microsoft Entra ID

optional, zum Entsperren, für Signaturen und Administratorbestätigungen: App-Registrierung im Mandanten (Umleitungs-URI http://localhost, optionaler Claim auth_time); das Anmeldefenster braucht die Microsoft Edge WebView2 Runtime; die Anmeldung braucht das Netz

Sicherheitsschlüssel

optional: Windows 10 ab Version 1903, der Vitrine-Dienst (MSI-Installation) und FIDO2-Schlüssel mit PIN (USB oder NFC); Ablage lokal oder im Active Directory

Dateien

Vitrine-x64.msi, Vitrine.exe, Vitrine-win-x64-framework.zip, SHA256SUMS.txt, Stückliste Vitrine-sbom.cdx.json

Grenzen, ehrlich gesagt

• Vorabversion, noch nicht signiert: Windows SmartScreen warnt. Noch nicht auf echten Geräten durchgetestet – Entra ID mit MFA, Windows Hello, Remotedesktop, mehrere Monitore und die MSI auf einem frischen Rechner stehen aus; Sicherheitsschlüssel, die Ablage im Active Directory und die Sperre auf eigenem Desktop sind bisher nur mit automatischen Tests geprüft.
• Das eigene Microsoft-Anmeldefenster erfüllt keine Bedingungen des bedingten Zugriffs, die die Geräteidentität brauchen („konformes Gerät“, „hybrid eingebunden“) – die Vitrine-App von solchen Richtlinien ausnehmen oder auf Geräten mit persönlichem Benutzer den Windows-Kontobroker einschalten.
• Strg+Alt+Entf kann keine Anwendung abfangen. Vitrine blendet dort Task-Manager, Abmelden, Kennwort ändern, den Ein/Aus-Schalter und „Sperren“ aus und schaltet Win+L während der Sperre ab; „Benutzer wechseln“ bleibt.
• Vitrine läuft als normaler Benutzerprozess unter Aufsicht eines Dienstes; Administratoren können beide beenden.
• Durchsichtig heißt sichtbar – für vertrauliche Inhalte den verdeckten Modus oder abgedeckte Bereiche wählen.
• Das Protokoll ist manipulationserkennend, nicht manipulationssicher: Es macht Änderungen sichtbar, verhindert sie aber nicht. Administratoren können den Dienst stoppen und seinen Schlüssel übernehmen; Netzkopie und weitergeleitetes Ereignisprotokoll sind die zweite Spur.
• Anmeldungen mit Entra ID brauchen das Netz; für den Offline-Fall Windows-Kennwort, Windows Hello oder registrierte Sicherheitsschlüssel aktiviert lassen.
• Nach Fehlversuchen gibt es standardmäßig nur eine wachsende Wartezeit; eine Aktion nach zu vielen Versuchen muss eingestellt werden.
• Spanisch, Französisch und Chinesisch sind maschinell übersetzt und noch nicht von Muttersprachlern geprüft.