Fernverwaltung in Windows sicher und verlässlich aktivieren

MSPs brauchen eine sichere Grundkonfiguration für die Fernverwaltung, die sich problemlos auf alle Windows-Endpunkte und -Server anwenden lässt. Die benötigten Dienste müssen allerdings zusammen mit einer sauberen Eingrenzung und einem konsequenten Hardening aktiviert werden, um unnötige Risiken zu vermeiden. Für eine sichere Konfiguration brauchen Sie das passende Transportprotokoll, eingegrenzte Firewall-Regeln, Gruppenzuweisungen nach dem Prinzip der Minimalprivilegien und eine nachprüfbare Protokollierung.

Dieser Leitfaden zeigt Ihrem MSP- und IT-Team konkret, wie Sie Remote Desktop Protocol (RDP), Windows Remote Management (WinRM) und die Remoteunterstützung aktivieren. Die beschriebenen Schritte sind auditierbar, kontrolliert und bestens für den Rollout in großem Maßstab geeignet.

So aktivieren Sie die Fernverwaltung in Windows sicher

Bevor Sie mit der Aktivierung der Fernverwaltung in Windows beginnen, sollten Sie die folgenden grundlegenden Voraussetzungen erfüllen:

📌 Voraussetzungen:

• Sie haben bereits eine Admin-Gruppe für Remotedesktopbenutzer oder lokale Administrator:innen angelegt.
• IT-Teams müssen den Fernzugriff per Firewall-Regeln auf Management-Subnetze oder festgelegte Jump-Hosts beschränken.
• Für die WinRM-HTTPS-Listener müssen auf allen verwalteten Endpunkten vertrauenswürdige Zertifikate konfiguriert sein.
• Anmelde- und Remote-Sitzungsereignisse müssen an einen zentralen Log-Collector oder an ein Security Information and Event Management (SIEM)-Tool weitergeleitet werden.

Checkliste der Voraussetzungen

Schritt 1: Transportprotokolle auswählen und RDP sicher aktivieren

📌 Anwendungsfälle:

• Dieser Schritt stellt sicher, dass Sie die Fernverwaltung nutzen können, ohne Systeme breit zu exponieren, der Zugriff bleibt kontrolliert und sicher.
• Sie können Fehler beheben, Aufgaben automatisieren oder Benutzer:innen aus der Ferne unterstützen und dabei eine Authentifizierung erzwingen.

📌 Voraussetzungen:

• Sie benötigen Administratorrechte auf dem System, um RDP zu aktivieren und Firewall-Regeln zu konfigurieren.
• Dafür brauchen Sie Zugriff auf die Systemeigenschaften, die Einstellungen der Windows-Firewall oder die Gruppenrichtlinien-Verwaltungskonsole.

Vorgehen:

1. Entscheiden Sie zunächst, welches Transportprotokoll Sie verwenden:
   1. RDP für interaktive Fehlerbehebung
   2. WinRM für skriptgesteuerte Verwaltung
   3. Remoteunterstützung für begleitete Sitzungen
2. Öffnen Sie anschließend Systemeigenschaften > Remote und wählen Sie Remoteverbindungen zulassen aus.
3. Erzwingen Sie danach die Authentifizierung auf Netzwerkebene (NLA) für alle RDP-Sitzungen.
4. Nehmen Sie ausschließlich vertrauenswürdige Konten in die Gruppe Remotedesktopbenutzer auf.
5. Aktivieren Sie die integrierten Remotedesktop-Firewallregeln in der Windows Defender Firewall mit erweiterter Sicherheit.
6. Grenzen Sie die Firewall-Regeln auf vertrauenswürdige Admin-Subnetze oder Jump-Hosts ein.

💡 Ports auf einen Blick:

• RDP: TCP 3389 (erfordert NLA)
• WinRM (HTTPS): TCP 5986

Remoteunterstützung: TCP 135 + dynamische Ports (oder RPC)

Schritt 2: WinRM für die sichere Fernverwaltung aktivieren

📌 Anwendungsfälle:

• Ermöglicht eine sichere, skriptbasierte Fernverwaltung mit PowerShell.
• Reduziert die Abhängigkeit von RDP, weil Automatisierung und Konfiguration ohne vollständigen Desktop-Zugriff möglich sind.

📌 Voraussetzungen:

• Sie benötigen Administratorrechte auf den Endpunkten oder Domänencontrollern.
• Dafür brauchen Sie erweiterten Zugriff auf die Gruppenrichtlinien-Verwaltungskonsole (GPMC) oder die lokale PowerShell.
• Sie benötigen ein Zertifikat, dem der Endpunkt vertraut.

Vorgehen:

1. Konfigurieren Sie Windows Remote Management (WinRM) über HTTPS, um PowerShell-Remoting zu unterstützen.
2. Erstellen Sie einen vertrauenswürdigen HTTPS-Listener per PowerShell:

winrm create winrm/config/Listener?Address=*+Transport=HTTPS @{Hostname=“serverFQDN“;CertificateThumbprint=“thumbprint“}

3. Deaktivieren Sie anschließend die Basic-Authentifizierung und unverschlüsselte Authentifizierung:

winrm set winrm/config/service/auth @{Basic=“false“}
winrm set winrm/config/service @{AllowUnencrypted=“false“}

4. Lassen Sie über Firewall-Regeln oder IP-Filter ausschließlich Management-Subnetze zu. Ersetzen Sie dies durch:

New-NetFirewallRule -DisplayName "Allow WinRM HTTPS" -Direction Inbound -Protocol TCP -LocalPort 5986 -RemoteAddress 192.168.10.0/24

5. Orientieren Sie sich für den domänenweiten Rollout an IBMs Anleitung zur WinRM-Gruppenrichtlinie.

Schritt 3: Remoteunterstützung und Firewall-Bereiche konfigurieren

📌 Anwendungsfälle:

• Ermöglicht eine sichere, von den Benutzer:innen begleitete Fehlerbehebung, wenn ein direktes Eingreifen der Administration nötig ist.
• So kann Ihr Personal unterstützen, ohne Systeme einem breiten Zugriff auszusetzen.

📌 Voraussetzungen:

• Prüfen Sie, ob Sie auf den Zielsystemen über lokale Administratorrechte oder Domänenadministratorrechte verfügen.
• Stellen Sie sicher, dass Sie auf die Gruppenrichtlinien-Verwaltungskonsole (GPMC) oder die lokalen Systemeinstellungen zugreifen können, in denen die Richtlinien angewendet werden.
• Sorgen Sie dafür, dass die Support-Mitarbeiter:innen den Sicherheitsgruppen hinzugefügt sind, die Rechte für die Remoteunterstützung erhalten.

Vorgehen:

1. Aktivieren Sie zunächst die Remoteunterstützung (falls erforderlich).
   1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole (GPMC).
   2. Navigieren Sie anschließend zu Computerkonfiguration > Administrative Vorlagen > System > Remoteunterstützung
   3. Aktivieren Sie Angebotene Remoteunterstützung konfigurieren und Erbetene Remoteunterstützung konfigurieren.
2. Geben Sie als Nächstes im selben Fenster die Support-Sicherheitsgruppen Ihres MSP als zugelassene Helfer an.
3. Legen Sie unter Erbetene Remoteunterstützung die maximale Gültigkeitsdauer des Tickets fest (stellen Sie 30 Minuten ein).
4. Erzwingen Sie die Zustimmung der Benutzer:innen, indem Sie Helfern das Fernsteuern des Computers erlauben auf Zustimmung des Benutzers einholen setzen.
5. Aktivieren Sie in der Windows Defender Firewall die folgenden eingehenden Regeln:
   1. Remotedesktop
   2. Windows-Remoteverwaltung
   3. Remotedienstverwaltung
   4. Grenzen Sie sie unbedingt über Registerkarte Bereich > Remote-IP-Adresse auf Ihre Management-Netzwerke ein

Schritt 4: Fernzugriff absichern und Einstellungen überprüfen

📌 Anwendungsfälle:

• So stellen Sie sicher, dass die Einstellungen für den Fernzugriff korrekt angewendet und gehärtet sind.
• Sie erhalten auditierbare Nachweise für Compliance- und Sicherheitsprüfungen.
• Dieser Schritt hilft Ihnen, Fehlkonfigurationen früh zu erkennen, bevor sie ausgenutzt werden können.

📌 Voraussetzungen:

• Sie benötigen eine Admin-Workstation mit aktiviertem RDP und PowerShell-Remoting.
• Für diesen Schritt brauchen Sie Zugriff auf das SIEM, um die Protokolle zu validieren.

Vorgehen:

1. Validieren Sie alle Konfigurationen für den Fernzugriff von einer Admin-Workstation aus.
2. Testen Sie RDP mit Authentifizierung auf Netzwerkebene (NLA) und WinRM über HTTPS.
3. Prüfen Sie, ob die Ereignis-IDs für Remote-Anmeldungen und PowerShell-Remoting im SIEM protokolliert werden.
4. Exportieren Sie als Nachweis Momentaufnahmen der Gruppenmitgliedschaften, Firewall-Bereiche und WinRM-Listener-Zustände. Verwenden Sie dazu die folgenden PowerShell-Befehle:
   1. Für Daten zur Gruppenmitgliedschaft: Get-LocalGroupMember -Group "Administrators"
   2. Für Daten zu den Firewall-Bereichen: Get-NetFirewallRule | Format-Table Name, Enabled, Direction, Action
   3. Für Daten zu den WinRM-Listener-Zuständen: Get-WSManInstance -ResourceURI winrm/config/Listener -Enumerate
5. Halten Sie das Sicherheitsniveau hoch, indem Sie TLS erzwingen, MFA verlangen und regelmäßiges Patching durchführen.

Schritt 5: Fernverwaltung, Rollback und Notfallzugriff auf die Konsole sicherstellen

📌 Anwendungsfälle:

• Das ist Ihr Sicherheitsnetz, falls die Fernverwaltung missbraucht oder kompromittiert wird.
• So können Administrator:innen RDP und WinRM schnell deaktivieren und behalten trotzdem Zugriff auf die Notfallkonsole.

📌 Voraussetzungen:

• Dafür sind Administratorrechte nötig, um die Einstellungen der Fernverwaltung zu ändern.
• Sie benötigen Zugriff auf Gruppenrichtlinien oder PowerShell, um RDP/WinRM zu deaktivieren.

Vorgehen:

1. Erstellen Sie einen Plan für ein schnelles Rollback, um die Fernverwaltung bei Missbrauch oder Kompromittierung zu deaktivieren.
2. Halten Sie unbedingt ein kurzes Runbook mit Befehlen oder GPO-Schritten bereit, um RDP und WinRM zu deaktivieren.
3. Sorgen Sie für einen Notfallzugriff auf die Konsole, der unabhängig von der Netzwerkauthentifizierung funktioniert, etwa über die direkte Konsole, IPMI oder die Konsole des Virtualisierungshosts.
4. Testen Sie Rollback und Konsolenzugriff regelmäßig, damit beides im Ernstfall verfügbar ist.

Schritt 6: Konfigurationen für die Fernverwaltung in großem Maßstab ausrollen und validieren

📌 Anwendungsfälle:

• Mit diesem Schritt wenden Sie einheitliche Richtlinien für den Fernzugriff auf allen Endpunkten an.
• Sie standardisieren die Konfigurationen für WinRM, Firewall und Protokollierung über Domänenumgebungen hinweg.
• So bleiben auch Arbeitsgruppen- oder Hybrid-Geräte im Einklang mit den Sicherheitsstandards des Unternehmens.

📌 Voraussetzungen:

• Dafür sind Administratorrechte zum Erstellen und Verknüpfen von GPOs sowie Zugriff auf Active Directory für in die Domäne eingebundene Systeme nötig.
• Sie benötigen ein Konfigurationsmanagement- oder Überwachungstool, das Abweichungen erkennt, zum Beispiel Intune.

Vorgehen:

1. Wenden Sie zunächst einheitliche Richtlinien für den Fernzugriff auf allen Endpunkten an. So gehen Sie vor:
   1. Erzwingen Sie per GPO die WinRM-HTTPS-Listener, Firewall-Bereiche und Protokollierungseinstellungen.
   2. Verknüpfen Sie die Richtlinien mit den Organisationseinheiten (OUs), die die verwalteten Systeme enthalten.
2. Standardisieren Sie die Konfigurationen per GPO wie folgt:
   1. Konfigurieren Sie die Einstellungen des WinRM-Diensts über diesen Pfad: Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten
   2. Aktivieren Sie die vordefinierten Firewall-Gruppen für Remotedesktop, WinRM und Remotedienstverwaltung.
   3. Konfigurieren Sie Protokollierungsrichtlinien für die PowerShell-Skriptblock-Protokollierung und Remote-Anmeldeereignisse.
3. Unterstützen Sie Arbeitsgruppen- oder Hybrid-Geräte mit diesen Methoden:
   1. Stellen Sie signierte PowerShell-Skripte bereit, um WinRM und Firewall-Bereiche zu konfigurieren.
   2. Validieren Sie die Signaturen, damit die Skripte vertrauenswürdig und unverändert sind.
4. Prüfen und korrigieren Sie zum Schluss Konfigurationsabweichungen mit diesen Aufgaben:
   1. Exportieren Sie regelmäßig Momentaufnahmen der Firewall-Regeln, WinRM-Listener-Zustände und Gruppenmitgliedschaften.
   2. Vergleichen Sie sie mit den Basiskonfigurationen, etwa mit PowerShell Desired State Configuration (DSC) oder Überwachungstools.
   3. Automatisieren Sie die Behebung, wenn Abweichungen erkannt werden, um die Compliance wiederherzustellen.

Häufige Fehler beheben

Problem: „WinRM-HTTPS-Verbindung abgelehnt.“

• Lösung: Stellen Sie sicher, dass der CN (Common Name) des Zertifikats exakt mit dem FQDN des Servers übereinstimmt.

Problem: „RDP funktioniert lokal, aber nicht über VPN.“

Lösung: Prüfen Sie, ob das VPN-Subnetz auf der Registerkarte Bereich der Windows-Firewallregel enthalten ist.

⚠️ Darauf sollten Sie achten

Best Practices, um die Fernverwaltung in Windows sicher zu aktivieren

Umsetzungsbeispiele für die sichere Aktivierung der Fernverwaltung in Windows

Hier finden Sie einige Ansatzpunkte, die Ihnen helfen, die Fernverwaltung in Windows sicher einzuführen.

• Aktivieren Sie RDP mit NLA, um Brute-Force-Angriffe schon vor dem Sitzungsbeginn zu blockieren.
• Erstellen Sie einen WinRM-HTTPS-Listener, um den Datenverkehr der Fernverwaltung verschlüsselt abzusichern.
• Beschränken Sie Firewall-Regeln auf die CIDR-Adressen (Classless Inter-Domain Routing) des Managements, um den Zugriff auf vertrauenswürdige Admin-Netzwerke zu begrenzen.
• Sie können Support-Gruppen zu den Remotedesktopbenutzern hinzufügen, um autorisierten Support-Teams einen kontrollierten Zugriff zu gewähren.
• Deaktivieren Sie die Basic-Authentifizierung für WinRM, damit keine Anmeldedaten im Klartext offengelegt werden
• Führen Sie Test-Remoting-Aufrufe durch, um die Konnektivität zu prüfen und die erfolgreiche Konfiguration zu bestätigen.
• Schreiben Sie eine JSON-Nachweisdatei, die lokale Gruppen, Firewall-Bereiche, Listener-Zustand und Testergebnisse mit Zeitstempeln erfasst.
• Setzen Sie eine GPO-gestützte Variante ein, um dieselbe Konfiguration einheitlich auf allen Endpunkten durchzusetzen.

Ideen für die NinjaOne-Integration bei der sicheren Aktivierung der Fernverwaltung in Windows

• Mit NinjaOne können Sie das Aktivierungsskript nach Geräterolle ausrollen und so pro Systemtyp die passende Konfiguration anwenden.
• Planen Sie regelmäßige Prüfungen von RDP mit NLA, WinRM über HTTPS, Firewall-Bereichen und lokalen Gruppenmitgliedschaften, um Compliance und Sicherheit dauerhaft sicherzustellen.
• Hängen Sie Nachweis-Momentaufnahmen an die NinjaOne Documentation an, um den Konfigurationsstand zu belegen und auditbereit zu sein.
• Lassen Sie in NinjaOne Ticketing automatisiert Tickets öffnen, wenn Firewall-Bereiche abweichen oder nicht autorisierte Konten bei den Remotedesktopbenutzern auftauchen, damit sofort nachgebessert wird.

Die Windows-Fernverwaltung sicher in Ihrem Netzwerk einführen

Die Fernverwaltung lässt sich sicher und zuverlässig umsetzen, wenn Sie die Transportprotokolle bewusst auswählen, die Firewall-Exposition eingrenzen, auf moderne Authentifizierung setzen und Nachweise sammeln. Sobald Sie diese Einstellungen angewendet und überprüft haben, bleibt der Zugriff planbar und nachvollziehbar.

Verwandte Themen:

• Was ist Fernzugriff? Eine umfassende Übersicht
• Die beste Software für Fernzugriff 2026: sichere Lösungen für den Fernzugriff
• Was ist das Remote Desktop Protocol (RDP)?
• Remote-Befehle
• Was ist Fernzugriff? [FAQs]