Häufig gestellte Fragen
XFA prüft unter anderem, ob Ihre Festplatte verschlüsselt ist, ob sich Ihr Bildschirm automatisch sperrt, ob Betriebssystem und Browser aktuell sind und ob Virenschutz oder Firewall aktiv sind, dazu noch weitere Checks. Welche Checks genau gelten, legt die Richtlinie Ihrer Organisation fest. XFA liest nur diese bestimmten Einstellungen, niemals Ihre Dateien oder Ihre Aktivitäten.
Nein. XFA kann Ihr Gerät nicht übernehmen und ändert nie selbst eine Einstellung: Die App läuft ohne Administratorrechte. XFA liest Ihre Dateien, Ihre Nachrichten und Ihren Browserverlauf nicht. Um riskante Apps zu erkennen, prüft XFA, welche Apps installiert sind, und teilt nur, wie viele es gefunden hat, nicht deren Namen. Besteht etwas einen Check nicht, zeigt XFA Ihnen, wie Sie es beheben. Bei manchen Checks können Sie die Behebung auch in der XFA-App starten, etwa um den Installationsschutz wieder einzuschalten. Das geschieht erst, nachdem Sie es bestätigt haben. Braucht die Änderung Administratorrechte, fragt Ihr Mac nach Ihrem Administratorpasswort, und Windows bittet Sie um Erlaubnis.
Die Installation von XFA dauert nur wenige Minuten und Sie brauchen dafür kein Konto. Bittet Ihre Organisation Sie darum, ein Gerät zu prüfen, folgen Sie dem Link und laden Sie die XFA-App herunter: die Desktop Application unter Windows, macOS und Linux oder die Mobile App unter iOS und Android. Öffnen Sie die Installationsdatei, folgen Sie den Schritten und kehren Sie danach zum Prüfbildschirm zurück, um die Verbindung herzustellen. Unter Linux, auch unter NixOS, führen Sie stattdessen den Installationsbefehl aus, der unter XFA installieren beschrieben ist.
Sieht Ihre Organisation ein Gerät mit dem Status "Verbindung verloren", öffnen Sie die XFA-App auf diesem Gerät (installieren oder aktualisieren Sie sie zuerst, falls nötig) und prüfen Sie, ob Ihre Organisation noch verbunden ist. Ist sie das nicht, nehmen Sie die Einladung erneut an oder folgen Sie der Bestätigungs-E-Mail Ihres IT-Teams. XFA übermittelt danach automatisch einen aktuellen Status.
Vielleicht müssen Sie XFA gar nicht deinstallieren. Möchten Sie nur aufhören, Ihren Gerätestatus zu teilen, trennen Sie in der XFA-App einfach die Verbindung zur Organisation. Möchten Sie XFA vollständig entfernen, trennen Sie zuerst die Verbindung zu allen Organisationen und deinstallieren Sie die App danach auf dem üblichen Weg Ihres Betriebssystems, unter Windows, macOS, Linux, iOS oder Android.
Nein. Sowohl unter macOS als auch unter Windows bieten der eingebaute Virenschutz und die eingebaute Firewall ein gutes Sicherheitsniveau und reichen für sich allein aus. Auf dem Mac war das schon immer so. Sie sind meist standardmäßig aktiv, aber wenn Sie oder jemand anderes sie ausschalten, meldet XFA das bei seinen Checks.
Ja, unter Windows. XFA liest aus, was Windows-Sicherheit selbst meldet, also zählt jeder dort registrierte Virenschutz, nicht nur Microsoft Defender. Der Produktname, den Sie in XFA sehen, ist der Name, den Windows unter "Wer schützt mich" anzeigt. Windows hält Microsoft Defender im passiven Modus neben Ihrem Virenschutz registriert. Das ist normal und hat keinen Einfluss auf den Check. Meldet XFA, dass kein Schutz vor Schadsoftware aktiv ist, obwohl Ihr Virenschutz in Ordnung aussieht, öffnen Sie Windows-Sicherheit und prüfen Sie, ob der Echtzeitschutz dafür aktiviert ist. Öffnen Sie XFA danach erneut, um den Check noch einmal auszuführen. Unter macOS liest XFA das eingebaute XProtect von Apple aus statt eines Produkts eines bestimmten Anbieters.
Auf einem Computer prüft die XFA-App Ihr Gerät alle 4 Stunden und meldet seinen Status. Sie prüft außerdem beim Start, wenn Sie im Menü Sicherheitsstatus erneut prüfen wählen, und nachdem Sie sich über XFA angemeldet haben. Auf einem Smartphone prüft die XFA-App, wenn Sie sie öffnen, und alle 6 Stunden im Hintergrund.
Der Check Geheimnisse in der Umgebung von XFA sucht nach Umgebungsvariablen, deren Name vermuten lässt, dass sie Zugangsdaten enthalten, etwa API-Schlüssel, Tokens oder Passwörter, und zwar in Shell-Konfigurationen, laufenden Prozessen und Systemeinstellungen. XFA notiert nur den Namen der Variablen, nie den Wert, und meldet Fälle, in denen diese Daten für jeden Prozess auf dem Gerät sichtbar sein könnten.
Wir suchen nach Variablennamen mit Mustern wie:
- KEY (zum Beispiel API_KEY, PRIVATE_KEY, AWS_ACCESS_KEY)
- TOKEN (zum Beispiel AUTH_TOKEN, GITHUB_TOKEN)
- SECRET (zum Beispiel CLIENT_SECRET, JWT_SECRET)
- PASSWORD / PASSWD (zum Beispiel DB_PASSWORD)
- CREDENTIAL (zum Beispiel AWS_CREDENTIAL)
- OAUTH (zum Beispiel OAUTH_TOKEN)
- ENCRYPTION_KEY, SIGNING_KEY
Wo suchen wir?
- Prozessumgebung: Variablen, die alle untergeordneten Prozesse übernehmen
- Shell-Umgebungen (bash, zsh, fish): Variablen, die in Shell-Konfigurationsdateien gesetzt sind
- Befehlszeilen laufender Prozesse: Geheimnisse, die als Argument übergeben werden (zum Beispiel
docker run -e API_KEY=xxx) - macOS-launchd-Sitzung: Variablen, die grafische Apps übernehmen (IDEs, KI-Assistenten)
- Windows-Registry: Umgebungsvariablen auf Benutzer- und Systemebene
Geheimnisse in Umgebungsvariablen sind für jeden Prozess zugänglich, der in diesem Kontext läuft, auch für KI-Programmierassistenten, IDE-Plug-ins und jedes Programm, das Sie aus dem Terminal oder vom Desktop starten. Das ist eine erhebliche Angriffsfläche.
XFA notiert nur den Namen der Variablen (zum Beispiel OPENAI_API_KEY), nie den geheimen Wert selbst. Bekannte unbedenkliche Variablen wie PATH, HOME, SSH_AUTH_SOCK und Spracheinstellungen werden übersprungen, um Fehlalarme zu vermeiden.
Der Check sucht nach TeamViewer, AnyDesk und Chrome Remote Desktop, wenn sie für unbeaufsichtigten Zugriff eingerichtet sind: ein dauerhaftes Passwort oder eine PIN, mit der sich jemand verbinden kann, ohne dass Sie auf dem Bildschirm zustimmen. Allein die Installation eines dieser Programme lässt den Check nicht fehlschlagen. Kann XFA nicht bestätigen, ob unbeaufsichtigter Zugriff eingerichtet ist, zeigt das Gerät an, dass der Check nicht verifiziert werden konnte, und es gilt nicht als konform, bis XFA es bestätigen kann.
Um den Check zu bestehen, entfernen Sie das dauerhafte Passwort oder die PIN in den Einstellungen des Programms selbst, oder deinstallieren Sie das Programm, wenn Sie es nicht mehr brauchen. Ihre Organisation entscheidet, ob ein fehlgeschlagener Check Sie nur warnt oder die Anmeldung blockiert.
Dieser Check ist unabhängig von den eigenen Checks des Betriebssystems für den Zugriff aus der Ferne: Bildschirmfreigabe, Remote-Anmeldung, Remote-Verwaltung und Remote-Scripting.