Für Ihre IT

Für Ihre IT

Firnkern ist eine Software für Ihr Firmennetz, kein Cloud-Dienst: ein Server mit einer Browser-Oberfläche auf einem Windows-Rechner oder einem Linux-Server (Docker, siehe Linux). Auf den Arbeitsplätzen wird nichts installiert; die Mitarbeitenden öffnen eine Adresse im Browser. Diese Seite fasst zusammen, was Ihre IT wissen muss. Dasselbe als Blatt zum Weitergeben: IT-Merkblatt (PDF).

Systemvoraussetzungen

• Der Rechner läuft während der Arbeitszeit und steht im Firmennetz.
• Der Installer ist rund 430 MB gross und bringt seine Python-Laufzeit mit; Python muss nicht separat installiert werden.
• Installieren Sie als Administrator, wenn Sie Start beim Hochfahren und die Firewall-Regel nutzen wollen.
• Die Rechnerwerte stammen aus der IT-Anleitung 2.7. Ehrlich gesagt: Die Installation als Web-App am Computer ist bisher nur im Browser nachgestellt geprüft, noch nicht auf einem echten Computer im Firmennetz.

Netzwerk und Ports

• Der Installer legt die Firewall-Regel «Firnkern Server» an, wenn Sie die Option wählen. Im Dienstbetrieb erscheint kein Windows-Dialog; sonst: netsh advfirewall firewall add rule name="Firnkern Server" dir=in action=allow protocol=TCP localport=8780
• Firnkern lauscht im Firmennetz; aus dem Internet ist es nicht erreichbar, solange die IT keinen Port freigibt.

Betrieb als Dienst und Autostart

• Beim Hochfahren, ohne Anmeldung: Option im Installer oder Dienst-einrichten.bat als Administrator. Es entsteht die Aufgabe «Firnkern Server (Dienst)» in der Aufgabenplanung mit dem Konto LOCAL SERVICE, ohne Administratorrechte. Rechte: lesen und ausführen im Programmordner, ändern nur im Datenordner %ProgramData%\Firnkern-Server\daten. Ohne Zeitlimit, Neustart bei Absturz (3 Mal, je nach 1 Minute).
• Lässt sich LOCAL SERVICE nicht einrichten, richtet das Programm im Notfall SYSTEM ein und meldet das deutlich. Bitte melden Sie uns das.
• Bei Anmeldung des Benutzers: Autostart-einrichten.bat; die Daten liegen dann unter %LOCALAPPDATA%\Firnkern-Server\daten.
• Der Datenordner lässt sich mit FIRNKERN_DATEN verlegen. Die Anmeldung gilt gleitend 12 Stunden, höchstens 24 Stunden.
• Die Seiten-Schutzregel (Content-Security-Policy) erlaubt nur Skripte vom eigenen Server.

HTTPS im Firmennetz

Mikrofon, Kamera und der Offline-Modus gibt der Browser nur über https frei (Ausnahme: derselbe Rechner, localhost). Auch die Web-App am Computer ist nur mit https und vertrauenswürdigem Zertifikat installierbar oder auf dem Server-Rechner selbst. Zertifikat-erstellen.bat <Rechnername> <IP> legt cert.pem, key.pem und firnkern-ca.crt im Datenordner an. Es gibt drei Wege:

1. Weg A, empfohlen: Zertifikat Ihrer Firmen-CA. Ausstellen für Rechnername, FQDN und IP (SAN), als cert.pem und key.pem (PEM, Schlüssel ohne Passwort) in den Datenordner legen, Server neu starten. Keine Warnseite. Erneuern Sie das Zertifikat rechtzeitig; Firnkern warnt nicht vor dem Ablauf.
2. Weg B: firnkern-ca.crt auf den Arbeitsplätzen eintragen (einzeln oder per Gruppenrichtlinie unter «Vertrauenswürdige Stammzertifizierungsstellen», auf Handys per Einstellung oder MDM). Diese kleine CA gilt nur für die Namen dieses Servers; ihr privater Schlüssel wird nach dem Unterschreiben verworfen.
3. Weg C: Warnseite hinnehmen, nur für Tests. Die Verbindung ist verschlüsselt; im Betrieb sollen sich Mitarbeitende nicht an das Wegklicken von Warnungen gewöhnen.

Firnkern verändert keine Zertifikatspeicher auf Arbeitsplätzen. Admin › «Technik prüfen» zeigt unter «Zertifikat (HTTPS)» den Zustand. Ausführlich: Anleitung «HTTPS im Firmennetz» (Teil der Software).

Datensicherung und Wiederherstellung

• Der Server sichert täglich automatisch (Datenbank plus Aufnahmen, Unterlagen, KI-Einstellungen und Zertifikat als ZIP) und erneuert die Tagessicherung alle sechs Stunden. Es bleiben 14 Tagessicherungen.
• Der Admin kann unter «Mitarbeitende» › «Sicherung» jederzeit «Jetzt sichern», den Datenordner als ZIP herunterladen und eine Sicherung zurückspielen. Dafür tippt er das Bestätigungswort WIEDERHERSTELLEN; vorher entsteht eine Sicherung des Ist-Zustands, alle Sitzungen werden beendet.
• Aufgabe der IT: den Datenordner täglich in die Firmensicherung aufnehmen. Bei laufendem Server die Dateien aus sicherungen\ verwenden, nicht die geöffnete firnkern.db.
• Die Download-Sicherung enthält den Cloud-Schlüssel (ki_schluessel.txt) im Klartext, dazu geheimnis.key; ohne diese Datei lassen sich die Zwei-Faktor-Geheimnisse nach einer Wiederherstellung nicht mehr lesen. Bewahren Sie Sicherungen so geschützt auf wie die Datenbank.

Updates

• Der Admin installiert Updates selbst; es gibt kein automatisches Einspielen. Während der Laufzeit haben Sie Anspruch auf alle neuen Fassungen (AGB B4).
• Vorher sichern: Server stoppen, Datenordner kopieren, dann die neue Fassung installieren. Der Datenordner liegt ausserhalb des Programmordners und bleibt. Vor einer Schema-Erweiterung legt der Server automatisch eine Sicherung vor-update-…db an.
• Die Update-Prüfung ist eine Option, ausgeschaltet bis der Admin sie unter «Meldedienst und Updates» einschaltet. Sie ruft täglich eine unterschriebene Liste ab; dabei erhält Firnkern IP-Adresse und Fassung.
• Firnkern unterstützt die aktuelle und die vorhergehende Hauptfassung (AGB B4).

Was die Software ins Internet sendet

Nichts ohne Zutun Ihres Admins. Die Software sendet ohne Zutun des Admins nichts an Firnkern; Dossier-Inhalte werden nie gesendet (AGB 10.1, F4). Was Sie einschalten können oder was einmalig geschieht:

• Die IT kann die Cloud-KI mit der Umgebungsvariablen FIRNKERN_CLOUD_KI_AUS=1 dauerhaft verbieten.
• Bei Installation aus dem Programmordner (IT-Anleitung 2.7) braucht die Einrichtung einmalig Zugriff auf pypi.org und files.pythonhosted.org.
• Telemetrie gibt es nicht. Grundlage: Datenschutzerklärung 2.5 bis 2.7.

Linux-Server mit Docker

Statt auf Windows läuft Firnkern auch auf einem Linux-Server Ihrer Firma, in einem Docker-Container im eigenen Firmennetz. Es ist dieselbe Software mit gleicher Lizenz (in der Pilotphase mit Voucher); die Daten bleiben auf Ihrem Server.

Das Linux-Paket 1.7 steht hier zum Download, sobald Firnkern 1.7 nach dem Abschlusstest freigegeben ist. Als Pilotbetrieb erhalten Sie den Link auf Anfrage: Pilotbetrieb werden.

sha256sum -c SHA256SUMS-Linux-<Fassung>.txt
tar xzf Firnkern-Linux-<Fassung>.tar.gz && cd Firnkern-Linux-<Fassung>
./firnkern.sh start                       # zeigt die Adresse
./firnkern.sh code                        # Einrichtungscode für die erste Einrichtung im Browser
./firnkern.sh zertifikat server.firma.local 192.168.1.20   # HTTPS im Firmennetz
./firnkern.sh sicherung /srv/sicherung/firnkern            # z. B. täglich per cron

Weitere Befehle: status, stopp, wiederherstellen, update, protokoll. Die ausführliche Anleitung (DE/EN) liegt im Paket: LIES-MICH-Linux.txt.

Installer: unsigniert, SmartScreen, Prüfsumme

Die SHA-256-Prüfsumme steht mit dem Download von Firnkern 1.7 auf der Seite Ausprobieren; zu jedem Installer gehört zudem eine Datei SHA256SUMS.txt. Berechnen Sie den Wert in PowerShell:

Get-FileHash -Algorithm SHA256 .\Firnkern-Setup-<Fassung>.exe

Stimmt der Wert nicht überein: nicht ausführen und uns melden. Die Massnahmen stammen aus einem internen Sicherheitstest; ein externer Penetrationstest ist nicht erfolgt.

Supportzeitraum für Sicherheitsupdates

Sicherheitsupdates stellt Firnkern für jede Hauptfassung während mindestens fünf Jahren ab ihrer Markteinführung kostenlos bereit, auch nach Ende der Lizenzlaufzeit im Lesemodus (AGB B4). Das Enddatum (Monat und Jahr) ist noch nicht festgelegt; es folgt mit dem Verkaufsstart. Sicherheitslücken melden Sie bitte über Sicherheitslücke melden (security@firnkern.com).

Merkblatt und Kontakt

IT-Merkblatt (PDF)

Fragen zur Installation: info@firnkern.ch oder das Anfrageformular. Die Hilfe für Anwenderinnen und Anwender finden Sie im Hilfe-Center.

Stand 3. November 2026, ohne Gewähr. Firnkern GmbH i. Gr., Bosenhaldenweg 26, 4125 Riehen, Schweiz.