Zur Uebersicht

# SystemLocker - Anleitung

Version 1.0.48 - Stand 2026-07-17 - Passwortloser Windows-Login per SystemLocker-Dongle.

## 1. Paketinhalt

Datei | Zweck
--- | ---
`App\SystemLocker-Einrichtung.exe` | Einrichtungsassistent.
`App\SystemLockerCP.dll` | Windows Credential Provider.
`App\SystemLockerService.exe` | SYSTEM-Dienst fuer Login-Freigabe und optional LockOnRemoval.
`App\DongleCheck.exe` | Dongle-Diagnose.
`App\SLDongle.dll` | Dongle-Laufzeitbibliothek.
`Treiber-nur-im-Notfall\` | USB-Treiber nur falls der Dongle nicht treiberlos/HID erkannt wird.

## 2. Grundprinzip

SystemLocker speichert das Windows-Login-Secret dongle-geschuetzt. Beim Windows-Login fragt der Credential Provider den SYSTEM-Dienst. Der Dienst gibt das Secret nur frei, wenn der passende SystemLocker-Dongle steckt.

Empfohlen (Standard "Portabel"): Der Wizard leitet ein langes, kryptisches Windows-Passwort aus dem Dongle ab, setzt es auf dem lokalen Konto und sichert es verschluesselt auf dem USB-Stick. Ein altes bekanntes Passwort wie `1234` ist danach nicht mehr gueltig. Derselbe Dongle setzt auf jedem weiteren PC dasselbe Passwort. Die Wiederherstellung der verschluesselten Recovery-Datei erfolgt ueber TB-Software.

## 3. Einrichtung (erster PC)

1. `App\SystemLocker-Einrichtung.exe` als Administrator starten.
2. Willkommen: Dongle UND genau EINEN USB-Stick einstecken, Modus waehlen (Simulation oder Echtbetrieb). Der USB-Stick wird zum Einrichten benoetigt (verschluesselte Recovery-Datei).
3. Wiederherstellung: nur noetig, wenn eine fruehere Einrichtung rueckgaengig gemacht werden soll - sonst Weiter.
4. Krypto-Material: Maus bewegen. Nur bei einem NEUEN Dongle noetig - die Mausbewegung fliesst in den Schluessel und damit in das Passwort ein. Bei einem bestehenden Dongle entfaellt der Schritt automatisch.
5. Dongle einrichten: Bei einem leeren Dongle auf [Neuen Dongle einrichten]. Bereits eingerichtete Dongles werden erkannt und NICHT ueberschrieben - dann einfach Weiter. Optional: [Dongle klonen] fuer einen Ersatz-/Zweit-Dongle.
6. Dongle-Login einrichten: Modus "Portabel" (Standard) belassen. Danach Credential Provider registrieren und Dienst installieren. Empfohlen: Rettungs-Admin anlegen.
7. Optional: Nur-Dongle einschalten (Passwort-Kachel aus) und/oder LockOnRemoval (Sitzung trennen, wenn der Dongle im Betrieb abgezogen wird).
8. Schutz: BitLocker aktivieren (Kern-Schutz gegen Boot-Stick/Diebstahl), Offline-Schutz pruefen, Text am Anmeldebildschirm setzen.

## 4. Weiterer PC mit DEMSELBEN Dongle

Ein Dongle (oder sein Klon) oeffnet mehrere PCs und setzt auf jedem dasselbe Passwort.

1. Dongle einstecken, Assistent als Administrator starten. Er meldet: "Bestehender Dongle erkannt - dieser PC wird hinzugefuegt".
2. Der Maus-Schritt entfaellt automatisch (das Schluesselmaterial existiert bereits).
3. Beim Schritt "Dongle einrichten" NICHTS schreiben - einfach Weiter. Achtung: Der rote Knopf [Dongle NEU einrichten] wuerde den Schluessel ueberschreiben und den ersten PC aussperren. Nur bei einem fabrikneuen/leeren Dongle verwenden.
4. "Dongle-Login einrichten" mit Modus "Portabel" ausfuehren - auf diesem PC wird dann dasselbe Passwort gesetzt wie auf dem ersten.
5. Ein USB-Stick muss dabei stecken (Recovery-Datei). Es darf derselbe Stick wie beim ersten PC sein - die Dateien werden mit Datum abgelegt und ueberschreiben sich nicht.

Zum spaeteren Anmelden brauchen Sie nur den Dongle, keinen USB-Stick.

## 5. Recovery

Vor Nur-Dongle muss ein Rueckweg vorhanden sein: mindestens ein Ersatz-/Klon-Dongle, ein Wiederherstellungsmedium oder ein administrativer Offline-Zugriff auf Registry/Installation.

Das Login-Passwort wird im Wizard als verschluesselte Recovery-Datei auf USB gesichert. BitLocker wird nur aktiviert, nachdem ein Recovery-Password-Protector erzeugt und auf USB gesichert wurde.

## 6. Treiber

Zuerst treiberlos testen. HID-Dongles benoetigen normalerweise keinen USB-Treiber. Nur wenn der Wizard oder `DongleCheck.exe` den Dongle nicht erkennt, den Ordner `Treiber-nur-im-Notfall\` verwenden.

## 7. Signatur

Der Signaturstatus steht in `SIGNING_STATUS.txt`. Falls dort `UNSIGNED` steht, kann SmartScreen nachfragen.

Aktueller Produktpfad: Credential Provider + SYSTEM-Dienst + SystemLocker-Dongle. Kein separater Autostart-Guard im Release-Paket.