Remote Desktop Gateway einrichten: Schritt für Schritt

Die moderne Arbeitswelt spielt sich längst nicht mehr nur im klassischen Büro ab. Beschäftigte brauchen einen reibungslosen und sicheren Zugriff auf interne Ressourcen, egal ob sie im Homeoffice, auf Reisen oder in einer Niederlassung arbeiten. Lösungen für den Fernzugriff überbrücken die räumliche Distanz und ermöglichen es Benutzer:innen, sich praktisch von überall mit dem Unternehmensnetzwerk zu verbinden.
Es gibt zahlreiche Lösungen für den Fernzugriff, doch eine zentrale Rolle spielt das Remote Desktop Gateway (RD Gateway) von Microsoft. Aber was genau ist ein Remote-Desktop-Gateway-Server und wie sichert er den Fernzugriff auf Unternehmensnetzwerke ab?
In diesem Leitfaden erklären wir Ihnen, wie das RD Gateway funktioniert. Sie erhalten eine Schritt-für-Schritt-Anleitung zur Konfiguration des Gateways für Remote-Desktops, eine Übersicht über die wichtigsten Sicherheitsaspekte und Hinweise, wie Sie typische Probleme am besten lösen.

Was ist ein RD Gateway?

Das RD Gateway, auch Microsoft Remote Desktop Gateway oder kurz Remote Desktop Gateway genannt, ist ein Rollendienst in Windows Server. Er ermöglicht es autorisierten Remote-Benutzer:innen, sich über einen sicheren Kanal mit Ressourcen innerhalb eines internen Unternehmensnetzwerks zu verbinden. Das Gateway fungiert als Vermittler zwischen Remote-Desktop-Clients und dem internen Zielnetzwerk und stellt sicher, dass Verbindungen authentifiziert, verschlüsselt und durch einen sicheren Tunnel geleitet werden.

Es bildet die Schnittstelle zwischen dem öffentlichen Internet und dem internen Netzwerk und schützt dieses vor unbefugtem Zugriff.

Gute Gründe für den Einsatz eines Remote Desktop Gateway

Unternehmen fragen häufig, wie sicher das Remote Desktop Gateway (RD Gateway) eigentlich ist. Es gibt mehrere Gründe, warum ein Unternehmen das RD Gateway für die Verwaltung von Remote-Serververbindungen einsetzt. Dazu gehören:

• Abgesicherter Zugriff auf interne Ressourcen: Das RD Gateway sorgt für sicheren Zugriff, indem es Benutzer:innen authentifiziert und Verbindungen über einen zentralen Punkt leitet. Das ist besonders wichtig, wenn sensible Informationen oder Compliance-Anforderungen im Spiel sind.
• Verschlüsselung und Datenschutz: Auch dies ist eine Antwort auf die Frage, wie sicher das Remote Desktop Gateway ist: Es verschlüsselt die über das Remote Desktop Protocol (RDP) übertragenen Daten mit HTTPS. So wird ein unbefugtes Abfangen verhindert und die Vertraulichkeit und Integrität der zwischen Client und internem Netzwerk übertragenen Informationen gewahrt.
• Zentrale Zugriffskontrolle und Auditing: Administrator:innen können zentrale Zugriffskontrollen einrichten und darin Benutzerberechtigungen und Gruppen festlegen. Darüber hinaus bietet das RD Gateway umfangreiche Auditing-Funktionen, mit denen Unternehmen Benutzeraktivitäten für Compliance– und Sicherheitszwecke überwachen und nachverfolgen können.
• Einfachere Remote-Desktop-Konfiguration: Das RD Gateway vereinfacht die Konfiguration von Remote-Desktop-Verbindungen, indem es zwischen Remote-Clients und internen Ressourcen vermittelt. Komplexe Netzwerk-Setups entfallen und die Benutzererfahrung wird deutlich schlanker.
• Bessere Benutzererfahrung und höhere Produktivität: Durch die sichere und reibungslose Verbindung zu internen Ressourcen verbessert das RD Gateway die Benutzererfahrung, steigert die Produktivität der remote arbeitenden Beschäftigten und reduziert mögliche Verbindungsprobleme.

So funktioniert das Remote Desktop Gateway

Das Microsoft Remote Desktop Gateway vermittelt als Zwischeninstanz die Verbindungen zwischen Remote-Desktop-Clients und internen Ressourcen. Es authentifiziert Benutzer:innen, sorgt für eine sichere Datenübertragung und ermöglicht den reibungslosen Informationsfluss zwischen Remote-Client und internem Netzwerk.
Eine zweistufige Authentifizierung stellt sicher, dass Benutzer:innen zunächst über einen sicheren Anmeldevorgang authentifiziert werden. Anschließend prüft das RD Gateway, ob sie berechtigt sind, auf die angeforderten internen Ressourcen zuzugreifen.
Das HTTPS-Protokoll tunnelt die Verbindungen zum internen Netzwerk über einen sicheren Kanal. Dadurch werden die zwischen Client und internem Netzwerk übertragenen Daten verschlüsselt und vor Mitlesen oder Manipulation geschützt.
Das RD Gateway ist mit vielen Remote-Desktop-Clients kompatibel, darunter der native Windows-Client „Remotedesktopverbindung“, Anwendungen von Drittanbietern und sogar Mobilgeräte. Per Lastverteilung verteilt das RD Gateway eingehende Verbindungen auf mehrere Server. So bleiben Leistung und Verfügbarkeit auch bei hohem Verbindungsaufkommen erhalten.

RD Gateway installieren

Bevor Sie das RD Gateway einrichten, sollten Sie einige Punkte vorab klären:

Windows Server: Stellen Sie sicher, dass ein Windows Server-Betriebssystem installiert ist, zum Beispiel Windows Server 2022 oder Windows Server 2019. Es bildet die Grundlage für den Betrieb der RD-Gateway-Rolle.

Netzwerkinfrastruktur:

• DNS: Achten Sie darauf, dass Ihre DNS-Einträge korrekt konfiguriert und im Netzwerk erreichbar sind. Der DNS-Server muss Hostname und IP-Adresse des Servers auflösen können.
• Firewall-Regeln: Öffnen Sie die erforderlichen Firewall-Ports auf dem Remote-Desktop-Gateway-Server und auf allen dazwischenliegenden Firewalls.
  • TCP-Port 443: Erforderlich für HTTPS, das die initiale Kommunikation und Authentifizierung des RD Gateway absichert.
  • UDP-Port 3391: TCP 443 ist für den Verbindungsaufbau zwingend nötig. Öffnen Sie zusätzlich UDP 3391, sorgt der zuverlässige UDP-Transport von RDP für eine deutlich bessere Benutzererfahrung. Das reduziert „Ruckler“ bei bandbreitenintensiven Aufgaben wie Videowiedergabe oder schnellem Scrollen spürbar.
  • Hinweis: Geben Sie Port 3389 nicht zum öffentlichen Internet frei, da das RD Gateway diesen Datenverkehr sicher in den HTTPS/UDP-Tunneln kapselt.

Active Directory: Benutzer:innen benötigen die passenden Berechtigungen für den Zugriff auf den Remote-Desktop-Gateway-Server und dessen Ressourcen. Deshalb gehört eine Domänenumgebung mit Active Directory für Authentifizierung und Autorisierung zu den Voraussetzungen.

SSL-Zertifikat: Ein gültiges SSL-Zertifikat einer vertrauenswürdigen Zertifizierungsstelle sichert die Kommunikation zwischen dem Remote-Desktop-Gateway-Server und den Clients ab und gewährleistet Vertraulichkeit und Integrität der Daten.

Installation

1. Server-Manager öffnen: Starten Sie den Server-Manager auf Ihrem Windows Server. Er ist das zentrale Verwaltungswerkzeug für Windows Server.
2. Rollen und Features hinzufügen: Öffnen Sie das Menü „Verwalten“ und wählen Sie „Rollen und Features hinzufügen“. Der Assistent führt Sie durch das Hinzufügen der benötigten Rollen und Features.
3. RD Gateway auswählen: Wählen Sie „Rollenbasierte oder featurebasierte Installation“ und anschließend den gewünschten Server aus. Suchen Sie im Bereich „Serverrollen auswählen“ den Eintrag „Remotedesktopdienste“ und darunter „Remotedesktopgateway“. Folgen Sie dann den Anweisungen auf dem Bildschirm, um die Installation abzuschließen.

SSL-Zertifikat installieren

1. Zertifikat beschaffen: Ein SSL-Zertifikat weist den Remote-Desktop-Gateway-Server gegenüber den Clients aus und verschlüsselt die Kommunikation. Beziehen Sie deshalb ausschließlich gültige SSL-Zertifikate von einer vertrauenswürdigen Zertifizierungsstelle.
2. Zertifikat importieren: Importieren Sie das Zertifikat über die Microsoft Management Console (MMC) in den persönlichen Speicher des lokalen Computers. Damit steht es dem RD Gateway zur Verfügung.
3. RD Gateway konfigurieren: Öffnen Sie den RD-Gateway-Manager, wechseln Sie zum Serverknoten und wählen Sie „Eigenschaften“. Wählen Sie auf der Registerkarte „SSL-Zertifikat“ das installierte Zertifikat aus, um es dem RD-Gateway-Server zuzuordnen.

RD Gateway einrichten

Server konfigurieren:

• Netzwerkeinstellungen: Die Netzwerkeinstellungen des Remote-Desktop-Gateway-Servers, also IP-Adresse, Subnetzmaske und Standardgateway, müssen korrekt sein. Nur so kann der Server mit anderen Geräten im Netzwerk kommunizieren.
• Zugriffsregeln festlegen: Mit einer Verbindungsautorisierungsrichtlinie (Connection Authorization Policy, CAP) steuern Sie, wer auf die Remote-Desktop-Umgebung zugreifen darf. Legen Sie dazu CAPs an, in denen Sie die Benutzer:innen oder Gruppen festlegen, die sich mit dem Remote Desktop Gateway verbinden dürfen.

Verbindungsautorisierungsrichtlinie (CAP) erstellen

VPN-Verbindungen einrichten: VPN-Verbindungen stellen einen sicheren Tunnel bereit, über den der Datenverkehr das RD Gateway erreicht. Mitunter müssen Sie zusätzlich VPN-Verbindungen (Virtual Private Network) einrichten, um Remote-Standorte oder Netzwerke anzubinden, die Zugriff auf das RD Gateway benötigen.

DNS-Einstellungen: Prüfen Sie, ob der Server DNS-Namen korrekt auflösen kann. Das ist Voraussetzung für den Zugriff auf Netzwerkressourcen.

Bedingungen festlegen: Mit vordefinierten Bedingungen setzen Sie zusätzliche Sicherheitsmaßnahmen und Einschränkungen um. Definieren Sie Zugriffsbedingungen, etwa bestimmte IP-Adressen, Zeiträume oder Gerätetypen.

Die Hierarchie der Richtlinien verstehen

Bevor Sie konkrete Regeln definieren, lohnt es sich zu verstehen, wie diese beiden Richtlinien zusammenwirken, um Ihre Umgebung abzusichern. Eine CAP ist dabei der Schlüssel zur „Haustür“, während die RAP bestimmt, welche „Räume“ Benutzer:innen danach betreten dürfen.

Merkmal	CAP (das „Wer“)	RAP (das „Wohin“)
Zweck	Steuert, wer sich mit dem Gateway verbinden darf.	Steuert, welche internen PCs oder Server erreichbar sind.
Typische Kriterien	Mitgliedschaft in Active-Directory-Benutzergruppen, MFA-Status oder Gerätezustand.	In AD verwaltete Computergruppen oder bestimmte IP-Bereiche im Netzwerk.
Sicherheitsebene	Primäre Authentifizierung: Überprüft die Identität der Remote-Benutzer:innen.	Netzwerksegmentierung: Setzt das Prinzip der Minimalprivilegien durch.

Ressourcenautorisierungsrichtlinie (RAP) erstellen

Zugriff gewähren: Mit einer Ressourcenautorisierungsrichtlinie (Resource Authorization Policy, RAP) steuern Sie, welche Ressourcen für welche Benutzer:innen erreichbar sind. Erstellen Sie RAPs, um Benutzer:innen oder Gruppen Zugriff auf bestimmte Ressourcen im internen Netzwerk zu gewähren.

Berechtigungen festlegen: Legen Sie für jede Ressource den Zugriffsumfang fest, etwa Vollzugriff oder nur Lesezugriff. Damit bestimmen Sie, welche Aktionen Benutzer:innen auf den Ressourcen ausführen dürfen.

Verbindung vom Client aus: der letzte Schritt

Ist die serverseitige Konfiguration abgeschlossen, müssen Sie noch den Client „Remotedesktopverbindung“ auf dem lokalen Rechner der Benutzer:innen so einrichten, dass er das Gateway erkennt und verwendet.

So konfigurieren Sie den Windows-RDP-Client (mstsc.exe):

1. Öffnen Sie die Remotedesktopverbindung: Suchen Sie im Startmenü nach „Remotedesktop“.
2. Erweiterte Einstellungen aufrufen: Klicken Sie auf Optionen einblenden und wechseln Sie dann zur Registerkarte Erweitert.
3. Gateway konfigurieren: Klicken Sie im Bereich „Verbindung von überall herstellen“ auf die Schaltfläche Einstellungen.
4. Gateway-Daten eintragen:
   • Wählen Sie Diese RD-Gatewayservereinstellungen verwenden.
   • Servername: Geben Sie den externen FQDN Ihres Gateways ein (z. B. gateway.ihrunternehmen.de).
   • Anmeldemethode: Stellen Sie sicher, dass hier „Später auswählen“ oder „Kennwort“ eingestellt ist.
   • Kontrollkästchen aktivieren: „RD-Gatewayanmeldeinformationen für Remotecomputer verwenden“ (das ermöglicht Single Sign-On).
5. Verbinden: Wechseln Sie zurück zur Registerkarte Allgemein, geben Sie den internen Computernamen oder die IP-Adresse des Zielservers ein und klicken Sie auf Verbinden.

Sicherheit modernisieren: MFA einbinden

In der aktuellen Bedrohungslage ist es ein erhebliches Sicherheitsrisiko, sich beim Fernzugriff allein auf Benutzername und Kennwort zu verlassen. Zum Schutz vor Diebstahl von Anmeldeinformationen und Brute-Force-Angriffen empfiehlt es sich dringend, MFA (Multi-Factor Authentication) in Ihr RD-Gateway-Deployment zu integrieren.

Mit MFA müssen Benutzer:innen eine Push-Benachrichtigung bestätigen oder einen Code auf ihrem Mobilgerät eingeben, bevor das RD Gateway den Zugriff auf das interne Netzwerk freigibt. Gängige Umsetzungswege sind:

• Microsoft Entra MFA (früher Azure MFA): Installieren Sie die NPS-Erweiterung für Azure MFA auf Ihrem Gateway-Server, verbinden Sie Ihr lokales RD Gateway mit cloudbasierter MFA. Benutzer:innen erhalten dann während der Anmeldung eine Aufforderung in Microsoft Authenticator.
• Duo Security: Eine beliebte Alternative von einem Drittanbieter, die über einen schlanken Proxy Authentifizierungsanfragen abfängt und einen Duo Push auslöst.
• RADIUS-Integration: Unternehmen, die andere Identitätsanbieter nutzen, können das RD Gateway so konfigurieren, dass es mit jeder MFA-Lösung kommuniziert, die das RADIUS-Protokoll unterstützt.

Sicherheitshinweis: MFA auf Gateway-Ebene entschärft das Risiko gestohlener Anmeldeinformationen wirksam, denn Angreifende bräuchten zusätzlich physischen Zugriff auf das Zweitgerät der Benutzer:innen, um sich erfolgreich in Ihr Netzwerk zu tunneln.

Best Practices für die RD-Gateway-Konfiguration

Nach der Installation des RD Gateway sind einige Konfigurationsschritte nötig, damit es den Best Practices für den Fernzugriff entspricht:

Richtlinien für das Remote Desktop Gateway festlegen

Definieren Sie Richtlinien für das Remote Desktop Gateway, um Benutzerzugriff, Verbindungsparameter und Sicherheitseinstellungen zu steuern. Starten Sie den RD-Gateway-Manager und wechseln Sie zum Knoten „Richtlinien“. Klicken Sie mit der rechten Maustaste darauf und wählen Sie „Neue Autorisierungsrichtlinien erstellen“. Folgen Sie den Anweisungen, um Zugriffsrichtlinien auf Basis von Benutzergruppen, Ressourcenautorisierung und Verbindungsparametern festzulegen.

Zugriffsberechtigungen und Gruppen definieren

Konfigurieren Sie Zugriffsberechtigungen und Gruppen, um festzulegen, wer sich mit dem RD Gateway und den internen Ressourcen verbinden darf. Öffnen Sie den „Server-Manager“ und wählen Sie im linken Menü „Remotedesktopdienste“. Wählen Sie unter dem Knoten „Sammlungen“ die gewünschte Sammlung aus. Klicken Sie im Bereich „Aufgaben“ auf „Eigenschaften bearbeiten“ und legen Sie auf der Registerkarte „Benutzergruppen“ fest, welche Benutzergruppen sich verbinden dürfen.

Eigenschaften des RD Gateway anpassen

Passen Sie die Eigenschaften des RD Gateway an die Anforderungen und Sicherheitsrichtlinien Ihres Unternehmens an. Starten Sie den RD-Gateway-Manager, wechseln Sie zum Serverknoten, klicken Sie mit der rechten Maustaste darauf und wählen Sie „Eigenschaften“. Passen Sie dort Einstellungen wie Timeout-Zeiten, Geräteumleitung und Protokollierungsoptionen an Ihre Anforderungen an.

Typische Konfigurationsprobleme beheben

Treten während oder nach der Einrichtung Fehler oder Schwierigkeiten auf, sollte Ihre erste Anlaufstelle die Ereignisanzeige sein. Unter Anwendungs- und Dienstprotokolle > Microsoft > Windows > TerminalServices-Gateway finden Sie spezifische Protokolle, die zeigen, ob eine CAP oder RAP Benutzer:innen blockiert.

FQDN und Zustand des Zertifikats

Die häufigste Ursache für fehlgeschlagene Verbindungen ist eine nicht passende SSL-Konfiguration oder ein Vertrauensproblem.

• Die FQDN-Regel: Ihr SSL-Zertifikat muss zur externen URL passen, die Benutzer:innen im Client eingeben (z. B. remote.ihrunternehmen.de).
• Keine .local-Zertifikate: Öffentliche Clients lehnen Zertifikate ab, die auf interne Namen (etwa myserver.local) ausgestellt sind. Verwenden Sie deshalb immer eine öffentlich auflösbare Domain.

Ablauf von Zertifikaten im Blick behalten

Eine häufige Ursache für komplette Ausfälle ist ein abgelaufenes SSL-Zertifikat. Überwachen Sie die Ablaufdaten regelmäßig und richten Sie Erinnerungen ein, damit genügend Zeit für die Erneuerung bleibt. So bleibt der sichere Tunnel aktiv und plötzliche Verbindungsprobleme für Ihre gesamten Arbeitskräfte werden vermieden.

Netzwerk und Firewall aufeinander abstimmen

Ist das Zertifikat gültig, die Verbindung schlägt aber trotzdem fehl, prüfen Sie, ob TCP-Port 443 auf Ihrer externen Firewall geöffnet ist. Für optimale Leistung sollte zusätzlich UDP-Port 3391 erreichbar sein, damit der RDP-Datentransport flüssiger läuft.

Sichern Sie Ihre Remote-Verbindungen richtig ab: Sehen Sie sich an, wie Sie ein Remote Desktop Gateway einrichten.

Das volle Potenzial des RD Gateway nutzen

Ein eingerichtetes Remote Desktop Gateway ermöglicht sicheren und effizienten Fernzugriff. Mit der richtigen Einrichtung, Wartung und Betriebsführung wird das RD Gateway zum verlässlichen Zugangspunkt für Unternehmen.

Das RD Gateway sorgt für verschlüsselte und authentifizierte Verbindungen und ermöglicht es Unternehmen so, Remote-Arbeit zu nutzen, ohne Abstriche bei der Sicherheit zu machen.
NinjaOne Remote ist das Fernzugriffs-Tool von NinjaOne, das direkt in NinjaOne RMM integriert ist. Es wurde von Grund auf neu entwickelt und bietet ein leistungsstarkes, sicheres RDP-Tool über unser eigenes Gateway. Sehen Sie sich eine Demo an oder registrieren Sie sich für eine kostenlose Testversion, um Ninja Remote in Aktion zu erleben.