Also ich glaub ich hab ne Lösung wo aber nich optimal ist. Am Anfang tut das Fenster ein zufälligen Schlüssel mit JS machen und an den Server schicken. Der ist dann gelocked. Reagiert nur noch mit dem Schlüssel. Der wird immer hin und her gegeben mit Response und Request. Alle Requests sind POST damit der User kein Link in neuen Fenster aufmachen kann.
Problem: Wenn das Browserfenster weg ist und der User hat sich nich abgemeldet muss der Admin den Server irgendwie entsperren.
Weiss einer was bessres?
