Erkennt ausgebaute Laufwerke · per Seriennummer jedes Datenträgers

Aus dem PC wurde die SSD ausgebaut. Sie wissen es in 15 Minuten.

Nicht erst, wenn die Daten irgendwo auftauchen. Der Agent erfasst die Seriennummer jedes Datenträgers, und im Gerätepass sehen Sie, ob die Verschlüsselung aktiv ist – der Unterschied zwischen 100 Euro Schaden und einer Datenpanne, die Sie Kunden und Aufsichtsbehörde melden müssen.

BUH-07 · Buchhaltung · Windows 11online

Komponenten · Laufwerke 1 → 0 · Snapshot #2214 · 14:02

CPUIntel Core i5-12400BX8071512400OK

RAM2 × 8 GB Kingston8C5A…1D · 8C5A…22OK

SSDSamsung 870 EVO 1 TBS6PPNX0T4… → —FEHLT

GPUIntel UHD 730—OK

14:02 Laufwerk fehlt · CRITICAL → Telegram, E-Mail, Ticket #418

Erkennt getauschte Grafikkarten · zeigt, was vorher drin war und was jetzt

Die Grafikkarte wurde gegen eine billige ausgetauscht. Wir sehen es.

Eine GPU kostet Hunderte Euro und verschwindet aus Laboren und Schulungsräumen als Erstes. Wir kennen das Modell jeder Grafikkarte und melden, was vorher verbaut war, was jetzt verbaut ist und wann getauscht wurde. Der Alarm kommt, bevor jemand ein Ticket anlegt.

LAB-12 · Labor · Snapshot #124 → #125online

Änderungen · Freitag 13:47 · außerhalb der Arbeitszeit

vorherNVIDIA GeForce RTX 4090 · 24 GBSnapshot #124

jetztNVIDIA GeForce RTX 3060 · 12 GB · ein Bruchteil des WertsSnapshot #125

CPUAMD Ryzen 9 7950XunverändertOK

RAM4 × 16 GBunverändertOK

13:47 Grafikkarte ausgetauscht · CRITICAL → Telegram, Ticket #419

Erkennt fremde Fernzugriffs-Tools · innerhalb von 15 Minuten nach der Installation

Auf dem PC der Buchhaltung ist plötzlich AnyDesk. Erfahren Sie es vor dem Angreifer.

Ein Fernzugriffs-Tool, das nicht Sie installiert haben, ist das Einfallstor Nummer eins für Angriffe auf Unternehmen. Jedes neue Programm ist innerhalb von 15 Minuten sichtbar, und Ihre eigenen Tools markieren Sie als erlaubt – alles andere fällt sofort auf.

BUH-03 · Buchhaltung · Software, letzte 24 honline

Installierte Programme · 41 → 43 · zwei neue über Nacht

+ newAnyDesk 8.1.0installiert 13:10 · nicht auf der ListeNEU

okScreenConnect 24.1Ihr Tool · erlaubtOK

+ newTeamViewer 15installiert 09:42 · nicht auf der ListeNEU

okSlack 4.39—OK

13:10 Regel „neues Fernzugriffs-Programm“ → Telegram an die Geschäftsführung, Ticket

Erkennt unbekannte USB-Sticks · Prüfung alle 15 s

Ein fremder USB-Stick ist gesperrt, bis Sie ihn freigeben.

Der Datenträger wird mit der Liste erlaubter Geräte abgeglichen, und unter Windows und Linux sperrt der Agent ihn, bis Sie entscheiden. Die Meldung kommt per Telegram, freigeben mit einem Klick im Dashboard.

Telegram · hw·keeper bot · USB an REC-01: 0 → 1 unbekannt12:58

hw·keeper

REC-01 · Empfang
Unbekannter USB-Datenträger gesperrt.

Kingston DataTraveler 64 GB · VID 0951 · PID 1666
Benutzer reception · 12:58

Im hw·keeper-Dashboard öffnen

Erkennt getauschten Arbeitsspeicher · Seriennummer jedes Moduls

Ein RAM-Modul wurde gegen ein kleineres getauscht. Vorher 32 GB – jetzt 24.

Eine normale Inventarisierung zeigt „24 GB“ und verrät nicht, welches Modul wann verschwunden ist. Wir speichern die Seriennummer jedes Moduls – und erkennen den Tausch selbst dann, wenn die Gesamtgröße gleich geblieben ist.

CLASS-2-09 · Schulungsraum · Arbeitsspeicheronline

4 Slots · ~~32 GB~~ → 24 GB · minus 8 GB

DIMM1 · getauscht 12:15

~~16 GB~~ → 8 GB

~~8C5A…1D~~ → 2F19…7B

DIMM2 · unverändert

16 GB

8C5A…22

DIMM3

—

leer

DIMM4

—

leer

12:15 Speichermodul getauscht · 16 GB → 8 GB · CRITICAL → Telegram, Ticket #420 · PDF für die Inventarverwaltung

Erkennt Miner und verbotene Programme · innerhalb von 15 Minuten

Nachts läuft auf einer Workstation ein Krypto-Miner. Der Strom gehört Ihnen, die Coins jemand anderem.

Ein neues Programm ist innerhalb von 15 Minuten nach der Installation sichtbar – nicht erst, wenn die Stromrechnung kommt. Eine fertige Miner-Liste aktivieren Sie mit einem Klick.

DESIGN-04 · Design · Software, letzte 24 honline · 9 Std. 40 Min.

Installierte Programme · 58 → 60 · beide nachts

+ newXMRig 6.21installiert 02:14 · MinerVERBOTEN

+ newNiceHash Minerinstalliert 02:16 · MinerVERBOTEN

okAdobe Photoshop 2026—OK

okFigma—OK

02:14 Miner · Rechner läuft seit 17:30 durch · CRITICAL → Telegram, Ticket #421

Erkennt BIOS-Änderungen · mit dem nächsten Snapshot

Nachts hat jemand das BIOS verändert. Morgens war es keiner.

Eine neue BIOS-Version ist ein frühes Anzeichen für Manipulation. Wir sehen sie mit dem nächsten Snapshot, mit exakter Uhrzeit, bevor etwas Schlimmes passiert. Den Status von Secure Boot und TPM finden Sie im Gerätepass jedes Rechners.

SRV-02 · Serverraum · BIOS und Firmwareonline

Änderungen über Nacht · 0 → 1 · 03:14

BIOSVersion2.17.0 → 2.18.0 · 03:14REVIEW

Secure BootBoot-SchutzaktivOK

TPM 2.0aktivunverändertOK

03:14 BIOS-Version nachts geändert → Telegram an den Bereitschaftsdienst, Ticket #422

Erkennt abgesteckte Monitore · per Seriennummer

Monitor um 23:40 abgesteckt. Am Morgen ist er aus dem Büro verschwunden.

Wir kennen jeden Monitor an seiner Seriennummer (sie ist im Monitor selbst hinterlegt, das nennt sich EDID). Ein Abstecken außerhalb der Arbeitszeit landet im Protokoll mit exakter Uhrzeit – nicht erst ein Jahr später in der Inventurliste.

OFFICE-15 · Büro 15 · Displays und Peripherieonline

Monitore · 2 → 1 · außerhalb der Arbeitszeit

DisplayDELL U2722D 27"S/N CN0…7K → — · abgesteckt 23:40FEHLT

DisplayDELL P2422H 24"S/N CN0…3MOK

USBTastatur, MausunverändertOK

23:40 Monitor abgesteckt · CRITICAL → Telegram an den Werkschutz, Ticket #423 · PDF mit Seriennummer

Erkennt verschwundene Laptops · wann das Gerät zuletzt online war

Der Laptop ist seit drei Tagen nicht mehr online. Der Mitarbeiter hat gestern gekündigt.

Der Agent registriert jede Verbindung des Geräts. Meldet sich ein Laptop länger als einen Tag nicht, erscheint ein Ereignis im Protokoll – Sie erfahren es bevor HR den Austrittsprozess abschließt, nicht erst einen Monat später bei der Inventur.

LT-042 · Laptop · Dell Latitude 5540offline · 3 Tage 4 Std.

Status · ~~online~~ → offline · still seit Montag

Verbindungzuletzt onlineMo 27.09 · 18:12 · aus dem Büro3 TAGE

Üblichjeden Arbeitstag09:00–19:00NORMAL

LaufwerkSamsung PM9A1 512 GBVerschlüsselung aktivOK

Di 18:12 Laptop seit mehr als einem Tag still → Ereignis „nicht mehr erreichbar“, Ticket #425

Kostenlos starten So funktioniert’s

01 / 09

50Computer kostenlos

4 OSwindows · macos · linux · android

~10 MBAgent – eine Datei

15 sUSB-Prüfung

hw·keeper – alle Computer im Unternehmenlive · 15:07:43

Computer

248

Online

23193%

Änderungen / 24 h

Alarme

42 kritisch

14:02BUH-07 Laufwerk fehltCRITICALSamsung 870 EVO 1 TB · S6PPNX0T4… → —

13:47LAB-12 Grafikkarte ausgetauschtCRITICALRTX 4090 → RTX 3060

13:10SALES-03 AnyDesk 8.1 installiertNEUnicht auf der Liste erlaubter Fernzugriffs-Tools

12:58REC-01 unbekannter USB-DatenträgerREVIEWKingston DataTraveler 64 GB · gesperrt, wartet auf Freigabe

// Was wir erkennen

Was wir erkennen.

Der Agent vergleicht alle 15 Minuten, was vorher im Rechner war und was jetzt drin ist. Das findet er – in einfachen Worten.

S6PPNX0T4… → —CRITICAL

Laufwerk ausgebaut

Aus einem Rechner wurde das Laufwerk mit den Arbeitsdateien ausgebaut. Innerhalb von 15 Minuten erhalten Sie eine Meldung: welches Laufwerk, mit welcher Seriennummer und wann.

~~RTX 4090~~ → RTX 3060

Grafikkarte getauscht

Eine teure Grafikkarte wurde heimlich gegen eine billige getauscht. Wir kennen jedes Modell und melden sofort: was vorher verbaut war, was jetzt verbaut ist und wann getauscht wurde.

AnyDesk NEUScreenConnect OK

Fremder Fernzugriff

Auf einem Rechner ist ein Fernwartungsprogramm aufgetaucht, das nicht Sie installiert haben. Genau so verschaffen sich Betrüger Zugang. Wir bemerken es innerhalb von 15 Minuten nach der Installation.

Kingston 64GBREVIEW

Unbekannter USB-Stick eingesteckt

Jemand hat einen USB-Stick eingesteckt, der nicht auf der Liste erlaubter Geräte steht. Unter Windows und Linux wird er gesperrt, bis Sie entscheiden. Die Meldung kommt per Telegram, freigeben mit einem Klick im Dashboard.

~~32GB~~ → 16GBS/N 8C5A…1D → 2F19…7B

Arbeitsspeicher getauscht

Ein RAM-Modul wurde entfernt oder gegen ein kleineres getauscht. Bei einer normalen Inventur kann die Größe gleich bleiben – die Seriennummer nicht. Daran erkennen wir es.

BIOS 2.17 → 2.1803:14 · nachts

BIOS und Monitore

Jemand hat nachts das BIOS aktualisiert oder einen Monitor abgesteckt. Auch das landet im Protokoll – mit exakter Uhrzeit.

// Warum eine normale Inventarisierung das nicht sieht – HWKeeper aber schon

Eine normale Inventarisierung zeigt, was jetzt verbaut ist. Und weiß nicht mehr, was gestern drin war.

Inventarisierungs-Software und Fernwartungssysteme (sogenannte RMM-Tools) speichern nur den aktuellen Zustand. HWKeeper kennt die Seriennummer jedes Bauteils und vergleicht Snapshots: was vorher war und was jetzt ist. Derselbe Rechner in zwei Systemen:

Normale Inventarisierung · heute

RAM8 GB

Laufwerk1 × 1 TB

GrafikkarteRTX 3060

USB-Sticks—

ALLES IN ORDNUNG

HWKeeper · derselbe Rechner

RAM~~16 GB~~ → 8 GB · Modul 8C5A…1D um 14:02 verschwunden

Laufwerk1 × 1 TB · Seriennummer ~~S6PPNX0T4…~~ → S6PP3Q1R8… · ein anderes Laufwerk

Grafikkarte~~RTX 4090~~ → RTX 3060 · gestern um 13:47 getauscht

USB-SticksKingston 64 GB · eingesteckt um 12:58 · gesperrt

4 ÄNDERUNGEN · 2 KRITISCH

HWKeeper ersetzt nicht die Software, mit der Sie Ihre Rechner verwalten: Updates und Fernzugriff bleiben dort. Wir laufen daneben und melden, was ihr entgangen ist.

// So funktioniert’s

Ein kleines Programm. Eine Minute nach der Installation einsatzbereit.

Nichts zu konfigurieren, nichts zu warten. Eine 10-MB-Datei für Windows, macOS und Linux – läuft im Hintergrund und stört nicht. Für Smartphones und Tablets gibt es eine Android-App.

Prozessor · RAM · Laufwerk · USB-Sticks
→ Snapshot #1

Das Programm merkt sich, was im Rechner steckt

Direkt nach der Installation erfasst es die gesamte Hardware mit Seriennummern, die Programmliste und angeschlossene Geräte. Das ist der Ausgangspunkt. Installation per Installer oder mit einem Befehl im Terminal.

~~32 GB~~ → 16 GB
Snapshot #124 → #125

Alle 15 Minuten prüft es, was sich geändert hat

Jeder neue Snapshot wird mit dem vorherigen verglichen. Weicht etwas ab – RAM-Modul, Laufwerk, Programm, USB-Stick –, entsteht ein Eintrag: was vorher war, was jetzt ist und wann.

WENN AnyDesk auftaucht
↓
DANN Alarm · Sperre

Sie entscheiden, worüber Sie informiert werden

Die Regeln sind einfach: „Wenn ein Fernzugriffs-Programm auftaucht – Geschäftsführung per Telegram informieren.“ Ruhezeiten sorgen dafür, dass Sie nachts nur bei Ernstfällen geweckt werden.

E-Mail · Telegram
→ Ticket #419

Die Meldung kommt dort an, wo Sie sie sehen

Per E-Mail, über Telegram oder per Webhook in Ihr Ticketsystem. Auf Wunsch einmal pro Woche eine kurze Zusammenfassung über alle Rechner.

// 30-Tage-Bericht BALD

Nach einem Monat wissen Sie genau, was mit Ihren Rechnern passiert ist.

Stellen Sie sich vor, jeder Rechner führt ein Tagebuch. Alle 15 Minuten wird eingetragen, was sich geändert hat. Nach 30 Tagen werden alle Tagebücher zu einem Bericht zusammengefasst – eine Seite, mit Zahlen und ohne Fachchinesisch.

30-Tage-Bericht · Beispiel GmbH · 1.–30. September48 Computer · BEISPIEL

17Änderungen ohne Ihr Wissen

4kritisch – bitte prüfen

44 von 48Computer ohne Vorfälle

Monatskalender ein Quadrat = ein Tag

ruhiger Tagetwas hat sich geändertkritisches Ereignis

Was sich geändert hat 17 Ereignisse

USB-Sticks eingesteckt, die nicht auf der Liste stehenalle gesperrt · 6 freigegeben · 3 abgelehnt9

Fernzugriffs-Programme installiertAnyDesk ×2, TeamViewer ×1 · nicht von Ihnen3

Bauteile im Rechner getauschtGrafikkarte LAB-12 · RAM-Modul CLASS-2-092

BIOS-Einstellungen geändertSRV-02 · beide Male nachts2

Laufwerk ausgebautBUH-07 · Verschlüsselung war deaktiviert1

Was zu tun ist 3 Punkte

Laufwerk von BUH-07 finden. Ausgebaut am 10. September um 14:02, darauf lag die Kundendatenbank.
Grafikkarte von LAB-12 prüfen. Statt der RTX 4090 steckt seit dem 17. September eine RTX 3060 drin.
Klären, wer AnyDesk auf BUH-03 installiert hat. Wenn niemand – Rechner an die IT-Sicherheit.

PDF herunterladen An die Geschäftsführung senden Vormonat anzeigen

15m

Wie er entsteht

Alle 15 Minuten prüft das Programm jeden Rechner und notiert, was sich geändert hat: RAM-Modul, Laufwerk, USB-Stick, Programm. Wie ein Tagebuch, das sich selbst schreibt.

30T

Was drinsteht

Wie viel sich insgesamt geändert hat, was davon kritisch ist, an welchen Tagen es passiert ist – und eine To-do-Liste auf der ersten Seite. Keine CPU-Auslastungskurven und keine Begriffe, die man erst googeln muss.

Für wen er ist

Für die Geschäftsführung – um zu wissen, dass im Unternehmen nichts verschwindet. Für die Inventarverwaltung – um Verluste nicht erst bei der Jahresinventur zu suchen. Für IT-Dienstleister und MSPs – um dem Kunden zu zeigen, wofür er bezahlt.

Dieser Bericht ist in Entwicklung, die Zahlen im Beispiel sind ein Muster. Schon heute bietet das Programm 180 fertige Berichte und eine wöchentliche Zusammenfassung per E-Mail.

// Ein Nachweis, den Sie vorlegen können BALD

Verlust entdeckt? Sie erhalten einen Nachweis: was, wo, wann und wer.

Den Verlust zu entdecken ist die halbe Miete. Danach müssen Sie ihn belegen: gegenüber Geschäftsführung, Werkschutz, Versicherung. Wir speichern jedes Ereignis mit Seriennummern und exakter Uhrzeit und erstellen daraus per Klick einen Nachweis als PDF.

BEISPIEL

Ereignisnachweis #418hwkeeper.com · Beispiel GmbH

Was ist passiert: Laufwerk aus dem Rechner ausgebaut
Rechner: BUH-07 · Buchhaltung
Bauteil: Samsung 870 EVO 1 TB · Seriennummer S6PPNX0T4…
Vorher: Vorhanden · Prüfung 10.09. um 13:47
Nachher: Fehlt · Prüfung 10.09. um 14:02
Wann genau: 10. September, zwischen 13:47 und 14:02
Verschlüsselung: Auf diesem Rechner deaktiviert – die Daten auf dem Laufwerk sind lesbar
Benachrichtigt: Geschäftsführung (Telegram, 14:02) · Ticket #418

automatisch erstellt · 10.09. 14:03hwkeeper.com

👔

Für die Geschäftsführung

Was fehlt, wann und von welchem Rechner – auf einer Seite. Kein „irgendwas stimmt nicht“, sondern ein Fakt mit Seriennummer.

🔒

Für den Werkschutz

Um einen Verlust aufzuklären, braucht man Seriennummer und Uhrzeit. Der Nachweis enthält beides, auf 15 Minuten genau.

🛡️

Für die Versicherung

Die Versicherung wird fragen, wann es passiert ist und woher Sie es wissen. Die Antwort liegt bereit, bevor sie fragt.

🙋

Für Mitarbeitende

Schützt auch ehrliche Menschen: War jemand um 14:02 in der Mittagspause, zeigt der Nachweis das – niemand wird zu Unrecht beschuldigt.

Der Nachweis per Klick ist in Entwicklung. Schon heute lässt sich das Ereignisprotokoll für jeden Zeitraum als Tabelle exportieren oder als PDF drucken.

// Installieren

Eine Minute nach der Installation steht der Rechner in der Liste.

Installer herunterladen, starten – fertig. Das Programm sendet sofort Daten: Der erste Snapshot des Rechners kommt innerhalb einer Minute an. Keine Einstellungen, kein Neustart, kein Warten.

1Min.

Erste Daten – eine Minute nach dem Start des Installers.Danach arbeitet das Programm selbstständig: Es prüft den Rechner alle 15 Minuten und meldet sich, wenn sich etwas geändert hat.