Kurz gesagt: Wer RDP absichern will, schützt die Remotedesktop-Verbindungen zu seinen Windows-Servern vor unbefugtem Zugriff. Die wichtigste Regel: Öffnen Sie den RDP-Port nie direkt ins Internet, sondern erlauben Sie den Fernzugriff über ein VPN oder ein Remotedesktopgateway (RD Gateway), kombiniert mit Multi-Faktor-Authentifizierung und Kontosperrung.
In vielen KMU läuft Logo oder ein anderes ERP auf einem Terminalserver, und Filialen, das Steuerbüro und Mitarbeitende im Homeoffice verbinden sich per Remotedesktop. Am Tag der Installation wird Port 3389 im Router „schnell mal“ auf den Server weitergeleitet, und so bleibt es jahrelang. Dieser Leitfaden zeigt, wie Sie diese Umgebung Schritt für Schritt absichern, ohne den Betrieb anzuhalten.
Inhalt
- Was bedeutet RDP absichern?
- Wege für den Zugriff von außen
- RDP absichern in 7 Schritten
- Reicht ein anderer Port?
- Was tun bei Verdacht auf einen Angriff?
- Fazit und Checkliste
Was bedeutet RDP absichern und warum ist es so wichtig?
RDP (Remote Desktop Protocol) ist das Microsoft-Protokoll, mit dem man sich über ein Netzwerk mit dem Desktop eines Windows-Rechners verbindet; standardmäßig nutzt es den TCP-Port 3389.
Ein aus dem Internet erreichbarer RDP-Anmeldebildschirm ist eine Tür, an der automatisierte Scanner aus aller Welt klopfen können. Angreifer gehen dabei zwei Wege: schwache oder geleakte Passwörter ausprobieren und ungepatchte RDP-Schwachstellen ausnutzen. Wer drin ist, kann auf dem Server mit Ihrer ERP-Datenbank wie ein Administrator agieren; genau hier beginnen auch viele Ransomware-Angriffe. Deshalb steht RDP absichern bei der Serversicherheit im KMU ganz oben.
Welcher Weg für den Remotedesktop-Zugriff von außen ist sicherer?
Fernarbeit abzuschalten ist für die meisten Unternehmen keine Option. Entscheidend ist, durch welche Tür der Zugriff erfolgt:
| Methode | Was sie bewirkt | Bewertung |
|---|---|---|
| Port 3389 direkt ins Internet öffnen | Der Anmeldebildschirm ist für alle sichtbar | Nicht verwenden; direkt Passwortangriffen und RDP-Schwachstellen ausgesetzt |
| RDP auf einen anderen Port legen | Verringert die Sichtbarkeit etwas | Allein keine Schutzmaßnahme; Scanner finden auch andere Ports |
| VPN + Multi-Faktor-Authentifizierung | Zuerst verschlüsselter Tunnel ins Firmennetz, dann RDP | Verbreitete und für KMU passende Lösung |
| RD Gateway + Multi-Faktor-Authentifizierung | Leitet RDP über HTTPS (443) durch einen einzigen, kontrollierten Zugang | Starke Option bei vielen externen Nutzern und Terminalservern |
Egal welche Methode Sie wählen, das Prinzip bleibt gleich: Der RDP-Anmeldebildschirm darf aus dem Internet nicht direkt sichtbar sein, und am Zugang muss mehr als ein Passwort verlangt werden.
RDP absichern in 7 Schritten: so gehen Sie vor
1. Rechner mit aktivem RDP und Portweiterleitungen finden
Beginnen Sie mit einer Bestandsaufnahme: Auf welchen Servern und PCs ist Remotedesktop aktiv, und welche Ports sind im Router oder in der Firewall nach innen weitergeleitet? Eine vergessene Weiterleitung aus der Installationszeit ist meist die größte Lücke. Für die gesamte Infrastruktur hilft unsere Checkliste für Server- und Netzwerkinfrastruktur.
2. Port 3389 zum Internet schließen und auf VPN oder RD Gateway umstellen
Entfernen Sie die RDP-Weiterleitung in der Firewall und verbinden Sie externe Nutzer über ein VPN oder ein RD Gateway. Testen Sie die Umstellung zuerst mit wenigen Nutzern und schließen Sie die alte Weiterleitung, sobald alle auf dem neuen Weg arbeiten können. Denken Sie auch an Filialen und das Steuerbüro.
3. Multi-Faktor-Authentifizierung verpflichtend machen
Ein Passwort allein reicht nicht; ein geleaktes Passwort öffnet die Tür. Verlangen Sie bei der VPN-Anmeldung oder am RD Gateway einen zweiten Faktor. Das RD Gateway lässt sich über die NPS-Erweiterung mit der Multi-Faktor-Authentifizierung von Microsoft Entra verbinden. Für Einführung und Kommunikation mit den Nutzern lesen Sie unseren Leitfaden zur Multi-Faktor-Authentifizierung.
4. NLA aktiviert lassen und RDP-Nutzer begrenzen
Die Authentifizierung auf Netzwerkebene (NLA) prüft den Nutzer, bevor die Remotesitzung aufgebaut wird; schalten Sie sie ein, falls sie aus ist. In der Gruppe „Remotedesktopbenutzer“ sollten nur Personen stehen, die sich wirklich verbinden müssen. Entfernen Sie Sammelkonten, nutzen Sie das Administratorkonto nicht für die tägliche Arbeit und deaktivieren Sie Konten ausscheidender Mitarbeitender noch am selben Tag.
5. Kontosperrung und starke Passwortrichtlinie umsetzen
Microsoft nennt in KB5020282 als Basisempfehlung für die Kontosperrung die Einstellung 10/10/10: Nach 10 Fehlversuchen innerhalb von 10 Minuten wird das Konto für 10 Minuten gesperrt. Das betrifft Netzwerkanmeldungen wie RDP. Mit den Updates vom Oktober 2022 kam außerdem eine Richtlinie hinzu, mit der sich auch das integrierte lokale Administratorkonto sperren lässt; auf bestehenden Servern müssen Sie diese Einstellungen selbst aktivieren. Kombinieren Sie die Sperre mit langen, schwer zu erratenden Passwörtern.
6. Updates nicht aufschieben
In RDP gab es bereits kritische Schwachstellen, die Remotecodeausführung erlaubten; BlueKeep (CVE-2019-0708) aus dem Jahr 2019, das ältere Windows-Versionen betraf, ist ein bekanntes Beispiel. Planen Sie Updates für Server und VPN-Geräte fest ein und machen Sie Windows-Versionen ohne Support nie per Fernzugriff erreichbar. Zur Planung lesen Sie unseren Beitrag zum Patch-Management.
7. Anmeldeprotokolle überwachen und Backups getrennt halten
Im Windows-Sicherheitsprotokoll steht Ereignis 4625 für eine fehlgeschlagene Anmeldung, Ereignis 4624 mit Anmeldetyp 10 für eine erfolgreiche Remotedesktop-Anmeldung. Richten Sie Warnungen für viele 4625-Ereignisse in kurzer Zeit oder unerwartete Anmeldungen außerhalb der Arbeitszeit ein. Für den Ernstfall bewahren Sie Sicherungen der ERP-Datenbank getrennt vom Server auf und testen die Wiederherstellung; Details in unserem Leitfaden zur SQL-Datenbanksicherung.
Reicht es, den RDP-Port zu ändern?
Nein. Ein anderer Port als 3389 reduziert vielleicht einige automatisierte Versuche, aber der Anmeldebildschirm bleibt im Internet. Da Portscanner alle Ports prüfen können, ist das keine Schutzmaßnahme, sondern nur ein wenig Verschleierung. Ein geänderter Port ersetzt weder VPN oder RD Gateway noch Multi-Faktor-Authentifizierung und Kontosperrung.
Was tun bei Verdacht auf einen Angriff über RDP?
Nehmen Sie diese Anzeichen ernst: unbekannte Benutzerkonten, neu in die Gruppe Administratoren aufgenommene Konten, nächtliche Remotedesktop-Anmeldungen, ein deaktivierter Virenschutz oder Tausende Fehlversuche in kurzer Zeit. Dann gilt:
- Trennen Sie den Server vom Internet, fahren Sie ihn aber nicht herunter; die Protokolle werden für die Analyse gebraucht.
- Ändern Sie die Passwörter von Administrator- und RDP-Konten von einem sauberen Gerät aus.
- Prüfen Sie neu angelegte Konten, geplante Aufgaben und installierte Programme.
- Stellen Sie sicher, dass die Backups intakt und unabhängig vom Server sind.
- Sind personenbezogene Daten betroffen, prüfen Sie Ihre Meldepflichten nach DSGVO und holen Sie fachliche Unterstützung.
Fazit und Checkliste: RDP absichern
- Ist noch ein RDP-Port direkt aus dem Internet erreichbar?
- Läuft der Fernzugriff nur über VPN oder RD Gateway?
- Ist am Zugang Multi-Faktor-Authentifizierung Pflicht?
- Ist NLA aktiv und die Gruppe Remotedesktopbenutzer aktuell?
- Gilt die Kontosperrung auch für das Administratorkonto?
- Sind Server und VPN-Gerät auf dem aktuellen Stand?
- Werden die Ereignisse 4625 und 4624 überwacht und Backups getrennt aufbewahrt?
RDP absichern heißt nicht, Fernarbeit zu verbieten, sondern den Remotedesktop über eine einzige, gut geschützte Tür anzubieten. Wir von ÇAP Teknoloji prüfen Ihren aktuellen Fernzugriff, planen die Umstellung auf VPN oder RD Gateway ohne Betriebsunterbrechung und setzen sie im Rahmen unserer Cybersicherheitsberatung um; erreichen Sie uns über unsere Kontaktseite.
Häufig gestellte Fragen
Warum ist ein offener RDP-Port im Internet gefährlich?
Automatisierte Scanner erreichen einen offenen RDP-Anmeldebildschirm von überall. Angreifer probieren dort schwache oder geleakte Passwörter aus und versuchen, ungepatchte Schwachstellen auszunutzen. Deshalb sollte der Fernzugriff über ein VPN oder ein RD Gateway laufen.
VPN oder RD Gateway: Was passt besser?
Beides ist bei richtiger Einrichtung sicher. Für KMU mit wenigen externen Nutzern reicht oft ein VPN mit Multi-Faktor-Authentifizierung. Bei vielen externen Nutzern und Terminalservern bündelt ein RD Gateway den RDP-Verkehr über HTTPS an einem einzigen, kontrollierten Zugang.
Was ist NLA und sollte sie aktiv sein?
Die Authentifizierung auf Netzwerkebene (NLA) prüft den Nutzer, bevor die Remotesitzung aufgebaut wird. Nicht authentifizierte Verbindungen erreichen den Anmeldebildschirm der Sitzung dadurch gar nicht erst. Aktuelle Windows-Clients unterstützen NLA, sie sollte daher aktiv bleiben.
Welche Einstellungen für die Kontosperrung sind sinnvoll?
Microsoft nennt in KB5020282 die Basisempfehlung 10/10/10: Nach 10 Fehlversuchen innerhalb von 10 Minuten wird das Konto für 10 Minuten gesperrt. Auf bestehenden Servern müssen Sie diese Richtlinie und die Sperrmöglichkeit für das integrierte Administratorkonto selbst aktivieren.
