Ein Windows-PC am Empfang soll Informationen anzeigen, aber niemanden an Deine Dateien lassen. Mit dem Kioskmodus von Windows 11 kannst Du Dein eigenes Benutzerkonto auf eine festgelegte Anwendung beschränken, beispielsweise Microsoft Edge mit einer Besucherinformation.
Die Schnelllösung für einen einzelnen PC: Unter Einstellungen > Konten > Weitere Benutzer > Kiosk einrichten kannst Du ein lokales Kioskkonto erstellen und eine unterstützte App zuweisen. Dafür benötigst Du eine unterstützte Edition wie Windows 11 Pro. Windows 11 Home bietet diese Funktion nicht.
Was ist der Kiosk Modus unter Windows 11?
Der Windows-11-Kioskmodus verwendet den zugewiesenen Zugriff, auch Assigned Access genannt. In der einfachen Variante startet nach der Anmeldung des Kioskkontos eine einzelne unterstützte Anwendung im Vollbild. Ein normaler Windows-Desktop steht diesem Konto während der Kiosksitzung nicht zur Verfügung. Wird die zugewiesene App geschlossen, startet Windows sie im Kioskbetrieb erneut.
Eine UWP-App ist ein bestimmter Windows-App-Typ. Nicht jedes Programm aus dem Microsoft Store gehört automatisch dazu. Typische Einsatzorte für einen Kiosk sind ein Empfangsterminal, eine digitale Infotafel, ein Besucher-PC oder ein Selbstbedienungsgerät. Entscheidend ist die gewünschte Aufgabe: Soll das Gerät nur Inhalte anzeigen, eine Webseite bedienen lassen oder mehrere festgelegte Programme bereitstellen?
| Variante | Funktionsweise | Geeignet für |
|---|---|---|
| Einzel-App-Kiosk | Eine unterstützte UWP-App oder Microsoft Edge läuft ohne normalen Desktop. | Infotafeln, Besucherinformationen und Webterminals |
| Multi-App-Kiosk | Ein eingeschränkter Desktop erlaubt mehrere ausdrücklich freigegebene Anwendungen. | Gemeinsam genutzte Arbeitsplätze mit wenigen festgelegten Aufgaben |
| Einfacher Browser-Vollbildmodus | Der Browser füllt den Bildschirm, das Windows-Konto bleibt jedoch unverändert. | Vorführungen unter Aufsicht, nicht als Ersatz für eine Zugriffsbeschränkung |
Die Taste F11 ist deshalb keine Alternative zum zugewiesenen Zugriff. Ebenso beschränkt das automatische Starten eines Programms nach der Anmeldung allein noch nicht die übrigen Möglichkeiten des angemeldeten Kontos.
Voraussetzungen für den Windows-11-Kioskmodus
Welche Windows-Edition unterstützt den Kioskmodus?
Zugewiesener Zugriff ist in Windows 11 Pro, Enterprise, Education und IoT Enterprise verfügbar. Dazu gehören auch die entsprechenden Enterprise-LTSC-Varianten. Bei Unsicherheit hilft Dir die Anleitung Welche Windows-Version habe ich? bei der Einordnung.
Auf einem Gerät mit Home fehlt der erforderliche Funktionsumfang. Ein Upgrade von Windows 11 Home auf Pro kann daher eine Voraussetzung sein. Eine bloße Änderung des Startverhaltens oder eine Vollbildverknüpfung ersetzt dieses Upgrade nicht.
Konten, Benutzerkontensteuerung und Anwendung vorbereiten
Für die Einrichtung benötigst Du Administratorrechte. Der spätere Kioskbetrieb erfolgt dagegen über ein separates Standardkonto ohne Administratorrechte. Der Einstellungsassistent kann dieses lokale Benutzerkonto direkt erstellen. Ein persönliches Konto mit Dokumenten, gespeicherten Kennwörtern oder geschäftlichen Berechtigungen ist dafür keine gute Wahl.
Die Benutzerkontensteuerung UAC muss aktiviert bleiben. Außerdem muss die vorgesehene Anwendung für das Kioskkonto verfügbar und für diese Betriebsart geeignet sein. Nicht jede installierte App erscheint deshalb automatisch in der Auswahlliste.
Ein sinnvoller Probelauf findet direkt am Gerät statt. Die Einzel-App-Kioskumgebung wird nicht innerhalb einer Remotedesktop-Sitzung unterstützt. Bei einem Touchterminal gehören auch Eingaben, Bildschirmtastatur und angeschlossene Geräte in diesen lokalen Test.
Schritt für Schritt: Kiosk Modus Windows 11 mit Edge einrichten
Die folgende Anleitung beschreibt einen einzelnen PC mit einem lokalen Kioskkonto. Als Beispiel dient ein Besucherterminal, das eine festgelegte Webseite anzeigen soll. Vorher solltest Du sicherstellen, dass Dein separates Administratorkonto funktioniert und seine Anmeldedaten verfügbar sind.
1. Die Kioskeinstellungen aufrufen
Mit Windows-Taste + I gelangst Du in die Einstellungen. Unter Konten > Andere Benutzer befindet sich auf unterstützten Geräten der Bereich Kiosk einrichten. Dort kannst Du den Einrichtungsassistenten starten.
2. Ein eigenes Kioskkonto erstellen
Im Assistenten vergibst Du einen Kontonamen, beispielsweise Besucherterminal. Ein neutraler Name erleichtert später die Zuordnung. Falls bereits geeignete lokale Standardkonten vorhanden sind, kann der Assistent auch die Auswahl eines bestehenden Kontos anbieten.
3. Microsoft Edge als Kiosk-App zuweisen
Für ein Webterminal ist Microsoft Edge die passende Auswahl. Eine andere Anwendung kommt infrage, wenn sie in der Liste angeboten wird und Deine Aufgabe erfüllt. Der einfache Assistent ist keine allgemeine Auswahl für beliebige EXE-Dateien.
4. Zwischen Infotafel und öffentlichem Browser entscheiden
Edge bietet eine Vollbildvariante für digitale Beschilderung beziehungsweise interaktive Anzeigen und eine Variante als öffentlichen Browser. Die Vollbildvariante passt zu einer festen Anzeige oder einer gezielt bedienbaren Webanwendung. Der öffentliche Browser bietet zusätzliche Browserbedienelemente und mehrere Registerkarten.
Für eine Empfangsanzeige wäre die erste Variante naheliegend. Soll ein Besucher dagegen innerhalb erlaubter Webangebote recherchieren, ist die öffentliche Browseroberfläche meist zweckmäßiger. Die Entscheidung sollte sich an der tatsächlichen Bedienung orientieren, nicht nur an der Optik.
5. Startadresse und Sitzungsdauer festlegen
Als Startadresse kannst Du die vollständige HTTPS-Adresse Deiner vorgesehenen Seite eintragen. Beim öffentlichen Browser lässt sich außerdem eine Zeitspanne ohne Aktivität festlegen, nach der Edge die Sitzung neu startet. Fünf Minuten wären beispielsweise ein Ausgangspunkt für kurze Informationsabfragen, nicht aber für längere Formulare.
Ein hilfreicher Probelauf umfasst deshalb auch eine langsam ausgefüllte Anmeldung. Gehen dabei Eingaben durch das Zeitlimit verloren, passt die Sitzungsdauer noch nicht zum Einsatzzweck. Bei vertraulichen Vorgängen sollte die Webseite zusätzlich eine deutlich erkennbare Möglichkeit zum Abmelden anbieten.
6. Einrichtung abschließen und neu starten
Nach Abschluss des Assistenten empfiehlt sich ein Neustart. Bei einem Gerät ohne Verbindung zu einer Active-Directory-Domäne oder Microsoft Entra ID wird die automatische Anmeldung des Kioskkontos normalerweise durch diese Einrichtung konfiguriert. Bei angebundenen oder zentral verwalteten Geräten darfst Du dieses Verhalten nicht voraussetzen.
Die Kioskzuweisung wird bei der nächsten Anmeldung des zugeordneten Kontos wirksam. Erscheint lediglich Dein normaler Desktop, ist zunächst wichtig, welches Konto gerade angemeldet ist. Das Administratorkonto soll weiterhin einen normalen Verwaltungszugang haben.
7. Den Besucherbetrieb vollständig durchspielen
Für die Abnahme kannst Du einen vollständigen Besucherablauf durchspielen: Startseite laden, Links benutzen, ein Formular ausfüllen und die Sitzung beenden. Anschließend folgt ein zweiter Durchlauf ohne persönliche Daten des ersten Besuchers. Auch ein erneuter Neustart gehört dazu.
Zusätzlich lohnt sich ein Test mit kurzzeitig unterbrochener Netzwerkverbindung. So erkennst Du, ob das Terminal nach der Wiederverbindung selbstständig zur vorgesehenen Ansicht zurückfindet oder eine Fehlermeldung stehen bleibt.
Edge-Kiosk absichern: Nur bestimmte Webseiten erlauben
Eine Startadresse ist keine Liste erlaubter Webseiten. Sie bestimmt, welche Seite Edge zunächst öffnet. Enthält diese Seite Verknüpfungen zu anderen Angeboten, können weitere Navigationen möglich sein. Auch das normale Ändern der Edge-Startseite ersetzt keine Zugriffsbeschränkung.
Für einen Browser, der ausschließlich festgelegte Webangebote öffnen soll, sind die Edge-Richtlinien URLBlocklist und URLAllowlist vorgesehen. Die technische Grundidee besteht darin, zunächst alle Adressen zu sperren und anschließend benötigte Ausnahmen zu erlauben.
- In der Richtlinienverwaltung müssen die administrativen Vorlagen für Microsoft Edge verfügbar sein. Die betreffenden Einstellungen befinden sich unter Administrative Vorlagen > Microsoft Edge.
- In der Richtlinie
URLBlocklistkann der Eintrag*als allgemeine Sperre dienen. - Die Richtlinie
URLAllowlistenthält anschließend die ausdrücklich erlaubten Adressen beziehungsweise passenden Adressmuster. - Im Kioskkonto folgt ein Test der erlaubten Seiten sowie mindestens einer Adresse, die gesperrt bleiben soll.
Eine Erlaubnisliste allein sperrt nicht automatisch den Rest des Internets. Außerdem können Anmeldungen auf zusätzliche Domains weiterleiten. Daher sollte die Freigabe den vollständigen Arbeitsablauf abdecken, ohne unnötig große Bereiche zu erlauben.
Achte auf den Geltungsbereich der Richtlinien: Eine geräteweite Konfiguration kann auch Edge im Administratorkonto betreffen. Für öffentliche Terminals ist eine bewusst getrennte Verwaltung hilfreicher als eine unüberlegte Sperre auf einem gleichzeitig privat genutzten PC.
InPrivate schützt nicht automatisch vor liegen gebliebenen Downloads
Die Edge-Kioskvarianten verwenden InPrivate. Daraus folgt jedoch nicht, dass heruntergeladene Dateien automatisch vom Datenträger verschwinden. Downloads sollten deshalb entweder für den vorgesehenen Ablauf gesperrt oder gezielt verwaltet werden.
Für eine automatische Bereinigung sieht Edge die Richtlinie KioskDeleteDownloadsOnExit zusammen mit einem passend konfigurierten Downloadverzeichnis vor. Dazu wird die Löschrichtlinie aktiviert und DownloadDirectory auf ${local_app_data}\Microsoft\Edge\KioskDownloads gesetzt. Erst nach einem praktischen Test des Sitzungsendes solltest Du davon ausgehen, dass der nächste Besucher keine Dateien des vorherigen vorfindet.
Kiosk Modus Windows 11 beenden und zum Administrator wechseln
Mit Strg + Alt + Entf lässt sich die Einzel-App-Kiosksitzung standardmäßig verlassen. Anschließend kannst Du Dich über den Anmeldebildschirm mit dem separaten Administratorkonto anmelden. Eine zentral angepasste Konfiguration kann allerdings eine andere Tastenkombination festlegen.
Das Beenden der Sitzung entfernt die Kioskzuweisung nicht. Bei einer erneuten Anmeldung des Kioskkontos startet dessen eingeschränkte Umgebung wieder. Das ist der Unterschied zwischen einer Wartungspause und dem dauerhaften Abschalten des Kioskmodus.
Die Tastenkombination ist auch kein Ersatz für ein Administratorkennwort. Sie ermöglicht den Weg zur Anmeldung, verleiht dem Besucher aber keine Administratorrechte. Bei einem Terminal ohne dauerhaft angeschlossene Tastatur sollte der Wartungszugang vor der Aufstellung praktisch geklärt sein.
Windows-11-Kioskmodus dauerhaft entfernen
Für einen lokal über die Einstellungen eingerichteten Einzel-App-Kiosk kannst Du die Zuordnung im Administratorkonto wieder aufheben:
- Über Einstellungen > Konten > Andere Benutzer gelangst Du zum Bereich Kiosk.
- Unter Kioskinformationen lässt sich die aktuell zugewiesene Anwendung aufklappen.
- Mit Kiosk entfernen wird die lokale Kioskkonfiguration aufgehoben.
- Nach der Bestätigung empfiehlt sich eine erneute Anmeldung beziehungsweise ein Neustart zur Kontrolle.
Ein nicht mehr benötigtes Benutzerkonto und dessen gespeicherte Daten sind anschließend getrennt zu beurteilen. Die Entfernung einer Kioskzuweisung ist keine verlässliche Aussage darüber, ob alle zuvor gespeicherten Dateien beseitigt wurden.
Stammt die Konfiguration aus Intune, einem anderen Verwaltungssystem oder einem Bereitstellungspaket, muss die Änderung dort erfolgen. Andernfalls kann die Gerätekonfiguration erneut angewendet werden. Bei einem Multi-App-Kiosk ist der beschriebene Entfernen-Schalter nicht der passende Verwaltungsweg.
Mehrere Apps im Windows-11-Kiosk erlauben
Für mehrere Anwendungen benötigst Du eine eingeschränkte Benutzerumgebung mit einer definierten App-Liste. Diese wird häufig als Multi-App-Kiosk bezeichnet. Der einfache Einstellungsassistent bietet dafür keine Mehrfachauswahl.
Die erweiterte Konfiguration beschreibt in einer XML-Datei, welches Profil welchem Konto zugeordnet wird und welche Programme erlaubt sind. Je nach App werden Anwendungskennungen oder Programmpfade verwendet. Auch notwendige Hilfsprogramme müssen zur vorgesehenen Freigabe passen.
Multi-App-Kiosk mit Intune oder Bereitstellungspaket
Die XML-Konfiguration lässt sich über eine Geräteverwaltung wie Intune oder über ein Bereitstellungspaket verteilen. Für eine benutzerdefinierte MDM-Konfiguration ist der Pfad ./Vendor/MSFT/AssignedAccess/Configuration relevant. Als Wert dient die zum Zielsystem passende XML-Konfiguration.
Windows 11 besitzt eigene Konfigurationselemente, beispielsweise für die Startmenübelegung. Ein älteres Windows-10-Beispiel sollte daher nicht unverändert auf produktive Windows-11-Geräte übertragen werden. Eine kleine Pilotgruppe hilft, Programmpfade, benötigte Anwendungen und die Anmeldung vor einer breiten Verteilung zu überprüfen.
Windows 11 Pro ist bei zugewiesenem Zugriff nicht grundsätzlich auf die einfache Einzel-App-Variante beschränkt. Entscheidend sind die unterstützte Konfiguration und ihre korrekte Bereitstellung. Eine Enterprise-Lizenz ist also nicht automatisch für jeden Multi-App-Kiosk erforderlich.
Klassische Desktopprogramme und Shell Launcher unterscheiden
Eine klassische Win32-Anwendung lässt sich nicht beliebig als einzelne App im einfachen Kioskassistenten auswählen. Für einen eingeschränkten Arbeitsplatz kann eine passende Multi-App-Konfiguration auch solche Programme berücksichtigen.
Soll dagegen ein eigenes Desktopprogramm die normale Windows-Oberfläche ersetzen, kommt Shell Launcher als gesonderte Technik infrage. Diese Funktion ist unter anderem in Enterprise, Education und IoT Enterprise verfügbar, jedoch nicht in Windows 11 Pro.
Shell Launcher ersetzt die Windows-Shell, ist aber für sich genommen keine vollständige Sperre aller anderen Anwendungen. Zusätzliche Zugriffsbeschränkungen bleiben deshalb ein eigener Teil der Planung.
Typische Probleme beim Kiosk Modus Windows 11 lösen
Die Option Kiosk einrichten fehlt
Ein fehlender Eintrag bedeutet nicht automatisch, dass Windows beschädigt ist. Zuerst sind die installierte Edition und die Anmeldung mit einem Administratorkonto entscheidend. Bei einem verwalteten Firmen-PC sollte außerdem geklärt werden, ob bereits eine zentrale Kioskkonfiguration besteht. Eine lokale Änderung ohne diesen Abgleich kann an der eigentlichen Verwaltung vorbeigehen.
Die gewünschte App fehlt in der Auswahl
Wird eine Anwendung nicht angeboten, sind vor allem zwei Fragen hilfreich: Unterstützt sie die einfache Kioskvariante, und ist sie für das vorgesehene Konto installiert? Eine Installation ausschließlich im Administratorkonto genügt bei benutzerbezogenen Apps nicht unbedingt.
Ein beliebiger Programmpfad lässt sich nicht durch Umbenennen einer Verknüpfung in eine unterstützte Kiosk-App verwandeln. Bei einer klassischen Desktopanwendung führt der sinnvolle Weg über die passende erweiterte Konfiguration.
Die Webseite funktioniert als Administrator, aber nicht im Kiosk
Ein erfolgreicher Aufruf im Administratorkonto beweist noch nicht, dass der Besucherablauf funktioniert. Dort können bereits Anmeldedaten, Cookies oder andere Berechtigungen vorhanden sein. Im Kioskbetrieb sollte die Anwendung dagegen ohne diese persönlichen Voraussetzungen funktionieren.
Bei Anmeldefehlern lohnt sich die Trennung der Ursachen: Lädt schon die Startseite nicht, steht die Erreichbarkeit im Mittelpunkt. Scheitert erst eine Weiterleitung, sind die beteiligten Adressen und Freigaben interessant. Bleibt nur ein Formular hängen, sollte genau dieser Ablauf reproduziert werden.
Das Terminal schläft ein oder bleibt nach dem Neustart stehen
Die Energieeinstellungen sollten zu den Öffnungs- und Betriebszeiten passen. Bei einer dauerhaft benötigten Anzeige darf der konfigurierte Windows-Energiesparmodus den geplanten Ablauf nicht unterbrechen. Außerhalb der Nutzungszeit kann eine gezielte Abschaltung dagegen sinnvoll sein. Für eine weitergehende Diagnose der Energieverwaltung steht außerdem Powercfg für die Windows-Energieeinstellungen zur Verfügung.
Bleibt der PC bereits vor der Windows-Anmeldung stehen, liegt das Problem nicht zwangsläufig an der Kiosk-App. Eine vorgeschaltete Laufwerksentsperrung oder eine unerwartete Wiederherstellungsabfrage verhindert ebenfalls den unbeaufsichtigten Start. Der BitLocker-Wiederherstellungsschlüssel gehört deshalb in eine sichere, außerhalb des Terminals verfügbare Dokumentation.
Die Touch-Tastatur erscheint nicht
Die automatische Touch-Tastatur setzt einen passenden Touchbetrieb voraus. Ein Tipp mit dem Finger in ein Eingabefeld ist nicht dasselbe wie ein Mausklick. Auch eine angeschlossene physische Tastatur kann erklären, warum keine automatische Bildschirmtastatur erscheint.
Dieser Test gehört auf das tatsächliche Touchgerät. Eine virtuelle Maschine bildet das automatische Einblenden der Touch-Tastatur in dieser Kioskumgebung nicht zuverlässig ab.
Die Kiosk-App startet wiederholt neu oder beendet sich
Bei wiederkehrenden Fehlern helfen ein reproduzierbarer Ablauf und der genaue Zeitpunkt des Abbruchs. In der Windows-Ereignisanzeige kannst Du nach passenden Anwendungsfehlern suchen und die betroffene Anwendung eingrenzen.
Hilfreich ist außerdem ein Vergleich vor und nach der letzten Änderung. Wurde die App aktualisiert, ein Programmpfad geändert oder eine neue Richtlinie verteilt? Mehrere gleichzeitige Änderungen erschweren die Fehlersuche und sollten bei einem Reparaturversuch vermieden werden.
Wartung und Sicherheit eines öffentlichen Kiosk-PCs
Ein Kioskmodus ersetzt weder Sicherheitsupdates noch den Schutz des Geräts vor physischem Zugriff. Für einen öffentlich erreichbaren PC gehören ein abgesichertes Administratorkonto, eine passende Laufwerksverschlüsselung und kontrollierte Wartungszugänge zur Planung.
Updates sollten nicht dauerhaft deaktiviert werden, nur damit die Anzeige ununterbrochen läuft. Sinnvoller ist ein festgelegter Wartungszeitraum mit anschließendem Funktionstest. Dabei sind die Startseite, die Anmeldung, eventuell angeschlossene Geräte und der automatische Wiederanlauf die wichtigsten Stationen.
Praxistipp: Eine kurze Betriebsdokumentation kann Kontoname, zuständige Administration, erlaubte Webangebote, benötigte Geräte und den Weg zur Wiederherstellung enthalten. Kennwörter und Wiederherstellungsschlüssel gehören nicht auf einen Zettel am Terminal, sondern in eine dafür vorgesehene geschützte Ablage.
FAQ: Häufige Fragen zum Kioskmodus unter Windows 11
Nein. Einen einfachen lokalen Einzel-App-Kiosk kannst Du direkt in den Windows-Einstellungen einrichten. Intune wird vor allem interessant, wenn Du mehrere Geräte zentral konfigurieren und verwalten möchtest. Die dafür benötigten Verwaltungs- und Lizenzvoraussetzungen sind getrennt vom lokalen Kioskmodus zu betrachten.
Der Kioskmodus selbst benötigt nicht für jede Sitzung eine Internetverbindung. Ob das Terminal offline nutzbar ist, hängt von der Anwendung und ihren Daten ab. Eine öffentliche Webseite ist ohne geeignete Offline-Funktion nicht erreichbar. Eine intern bereitgestellte Anwendung kann dagegen nur eine Verbindung zum lokalen Netzwerk benötigen.
Grundsätzlich unterstützt Edge das Drucken auch im Kioskbetrieb. Voraussetzung sind passende Richtlinien, ein erreichbarer Drucker und ein funktionierender Treiber. Für einen öffentlichen PC sollte der Druckzugriff auf den tatsächlichen Bedarf begrenzt sein. Druckdialog und Seitenausgabe gehören zum Test mit dem Kioskkonto.
Nein. Der Kioskmodus begrenzt eine bestimmte Windows-Umgebung auf vorgegebene Aufgaben. Er ist keine vollständige Lösung für altersabhängige Inhaltsfilter, individuelle Bildschirmzeiten oder die Verwaltung unterschiedlicher Familienmitglieder. Dafür ist eine gesonderte, zum Familienalltag passende Konfiguration erforderlich.
Edge lässt sich mit Kioskparametern starten. Eine solche Verknüpfung richtet aber keinen zugewiesenen Windows-Zugriff ein. Auch ein Browserparameter für das Beenden einer inaktiven Sitzung sorgt allein nicht dafür, dass Edge anschließend automatisch wieder startet. Für ein unbeaufsichtigtes Terminal müssen Kontobeschränkung und Wiederanlauf gesondert geregelt sein.
Fazit: Ein guter Windows-11-Kiosk erfüllt genau eine geplante Aufgabe
Für ein Besucherterminal oder eine Infotafel ist der lokale Edge-Kiosk eine wunderbare Möglichkeit. Sobald allerdings mehrere Programme verwendet werden sollen oder Anmeldungen vieler Geräte hinzukommen, lohnt sich eine zentral geplante Konfiguration.
Ein zuverlässiger Kiosk schützt die Daten auf dem Gerät, lässt sich gut steuern und funktioniert auch nach einem Windows Update oder PC Neustart sehr zuverlässig.
Neueste Kommentare