Schlüsselpunkte
- Mehrstufige Kontrollen verringern die RDP-Angriffsfläche: Um das Remote Desktop Protocol (RDP) in KMU-Umgebungen abzusichern, braucht es mehrere Schutzebenen (Zugriffsbeschränkung, Hardening der Authentifizierung, Verschlüsselung, Überwachung), damit Brute-Force-Angriffe und Ransomware weniger Angriffsfläche finden.
- Nicht genutzten RDP-Zugriff abschalten: Deaktivieren Sie RDP auf Systemen, die keinen Fernzugriff benötigen, und verkleinern Sie so die Angriffsfläche.
- Authentifizierung und Verschlüsselung blockieren unbefugte Zugriffe: Erzwingen Sie Network Level Authentication (NLA), starke Verschlüsselung und Richtlinien zur Kontosperrung, um unbefugte Zugriffe und Brute-Force-Versuche zu verhindern.
- Zugriff nur aus vertrauenswürdigen Quellen: Beschränken Sie den RDP-Zugriff über Firewalls, vertrauenswürdige IP-Bereiche und kontrollierte Benutzergruppen.
- Zusätzliche Schutzmaßnahmen stärken das gesamte Sicherheitsniveau: Setzen Sie auf ergänzende Maßnahmen wie VPNs, RDP-Gateways, geänderte Ports, Zeitpläne für Sitzungen und die Überwachung von Aktivitäten.
- RDP-Aktivitäten laufend prüfen und darauf reagieren: Überwachen Sie Anmeldeversuche, erkennen Sie ungewöhnliche Zugriffsmuster und richten Sie Alarmierungen für Anomalien ein, um potenzielle Bedrohungen schnell zu bearbeiten und laterale Bewegungen zu verhindern.
Das Remote Desktop Protocol (RDP) ist ein zentrales Tool für IT-Fachleute und MSPs. Es ermöglicht den direkten Zugriff auf entfernte Systeme für Support, Wartung und Fehlerbehebung.
Kleinen und mittleren Unternehmen fehlen häufig Firewalls und Identitätssysteme auf Enterprise-Niveau. Gerade für sie ist ein sicherer Remote-Desktop-Zugriff unverzichtbar.
Empfohlene Vorgehensweisen:
Das Video zu Best Practices für die Absicherung des Remote-Desktop-Zugriffs in KMU-Umgebungen behandelt alle sechs Methoden.
So sichern Sie den Remote-Desktop-Zugriff ab
Methode 1: RDP deaktivieren, wenn es nicht benötigt wird
Anwendungsfälle: Ideal für rein lokale Admin-Arbeitsplätze oder gemeinsam genutzte, öffentlich zugängliche Rechner, die keinen Fernzugriff benötigen
Voraussetzungen:
- Lokale Administratorrechte oder Domänenadministratorrechte
- PowerShell oder Registrierungs-Editor
- Gruppenrichtlinien-Editor (für die GPO-Methode)
- Es wird dringend empfohlen, vorher ein Backup Ihrer Windows-Registrierung anzulegen.
Schritte:
Mit PowerShell
- Öffnen Sie PowerShell.
- Führen Sie den folgenden Befehl aus:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1
Mit der Eingabeaufforderung
- Öffnen Sie die Eingabeaufforderung als Administrator.
- Führen Sie den folgenden Befehl aus:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server"
/v fDenyTSConnections /t REG_DWORD /d 1 /f
Über Gruppenrichtlinien
- Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
- Navigieren Sie zu folgendem Pfad: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktop-Sitzungshost > Verbindungen
- Setzen Sie „Benutzern erlauben, eine Remoteverbindung mithilfe der Remotedesktopdienste herzustellen“ auf Deaktiviert.
Methode 2: Network Level Authentication verwenden
Mit NLA müssen sich Benutzer:innen authentifizieren, bevor eine Sitzung aufgebaut wird.
Anwendungsfälle: Empfohlen für Systeme, die Fernzugriff benötigen, bei denen die Authentifizierung aber vor dem Laden der Sitzung erfolgen soll.
Voraussetzungen:
- Windows 10/11 Pro, Enterprise oder Server 2016+
- Registrierungs-Editor oder Gruppenrichtlinien-Editor
- Sie benötigen Administratorrechte.
- Es wird dringend empfohlen, vorher ein Backup Ihrer Windows-Registrierung anzulegen.
Schritte:
Mit PowerShell
- Öffnen Sie PowerShell.
- Führen Sie den folgenden Befehl aus:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1
Mit der Eingabeaufforderung
- Öffnen Sie die Eingabeaufforderung als Administrator.
- Führen Sie den folgenden Befehl aus:
reg add „HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\
WinStations\RDP-Tcp“ /v UserAuthentication /t REG_DWORD /d 1 /f
Über Gruppenrichtlinien
- Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
- Navigieren Sie zu folgendem Pfad: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktop-Sitzungshost > Sicherheit
- Aktivieren Sie „Benutzerauthentifizierung mit Authentifizierung auf Netzwerkebene für Remoteverbindungen anfordern“.
Methode 3: RDP-Zugriff über Firewall und lokale Gruppen einschränken
Anwendungsfälle: Diese Methode verkleinert die Angriffsfläche, indem RDP-Zugriffe nur von vertrauenswürdigen IPs und Benutzergruppen aus möglich sind.
Voraussetzungen:
- Sie benötigen Administratorrechte.
- Sie benötigen Rechte zur Verwaltung von PowerShell und Firewall.
- Zugriff auf die Gruppe „Remotedesktopbenutzer“.
Schritte:
- Öffnen Sie PowerShell.
- Führen Sie die folgenden Befehle nach Bedarf aus.
Firewall-Geltungsbereich einschränken
Damit gilt die RDP-Regel nur noch für bestimmte IPs bzw. Subnetze.
Ein Beispiel:
Set-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)" -RemoteAddress "192.168.1.0/24"
Passen Sie die Remoteadresse nach Bedarf an.
Gruppenzugriff steuern
Damit entfernen Sie generische Gruppen wie „Jeder“ oder nicht benötigte Benutzer:innen.
Add-LocalGroupMember -Group "Remote Desktop Users" -Member "JohnDoe"
Ersetzen Sie „JohnDoe“ unbedingt durch die gewünschte Person bzw. den IT-Admin.
Methode 4: Starke Verschlüsselung für RDP-Sitzungen erzwingen
Anwendungsfälle: Ideal für Systeme, auf die über VPN oder halbwegs vertrauenswürdige Netzwerke zugegriffen wird und die verschlüsselte Sitzungen erfordern.
Voraussetzungen:
- Sie benötigen Administratorrechte.
- Sie benötigen Zugriff auf die Registrierung oder GPO.
- Es wird dringend empfohlen, vorher ein Backup Ihrer Windows-Registrierung anzulegen.
Schritte:
Über Gruppenrichtlinien
- Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
- Gehen Sie zu: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktop-Sitzungshost > Sicherheit
- Setzen Sie die Verschlüsselungsstufe der Clientverbindung auf Hoch.
Mit dem Registrierungs-Editor
- Drücken Sie Win + R, geben Sie regedit ein und drücken Sie die Eingabetaste.
- Führen Sie diesen Befehl aus:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name MinEncryptionLevel -Value 3
Methode 5: Intelligente Sperren und Richtlinien zur Kontosperrung konfigurieren
Anwendungsfälle: Verhindert Brute-Force-Anmeldeversuche, indem Konten nach mehreren Fehlversuchen gesperrt werden.
Voraussetzungen:
- Sie benötigen Zugriff auf Gruppenrichtlinien oder die lokale Sicherheitsrichtlinie.
- Sie benötigen Administratorrechte.
Schritte:
- Gehen Sie zu folgendem GPO-Pfad: Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kontosperrungsrichtlinie
- Empfohlene Einstellungen:
- Kontosperrungsschwelle: 5
- Kontosperrdauer: 15 Minuten
- Zurücksetzungsdauer des Kontosperrungszählers: 15 Minuten
PowerShell-Beispiel:
net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15
Hinweis: Das ist lediglich ein Vorschlag. Passen Sie die Zahl (also 15) gerne an die von Ihnen bevorzugte Anzahl Sekunden an.
Methode 6: Eigener RDP-Port + automatisierte Abschaltung außerhalb der Geschäftszeiten
Anwendungsfälle: Diese Methode hilft dabei, Angriffe durch automatisierte Scanner zu reduzieren und Zugriffe außerhalb der Geschäftszeiten zu unterbinden.
Voraussetzungen:
- Sie benötigen Zugriff auf die Registrierung und PowerShell.
- Zugriff auf die Aufgabenplanung (optional)
- Sie benötigen Administratorrechte.
Schritte:
RDP-Port ändern
- Drücken Sie Win + R, geben Sie regedit ein und drücken Sie die Eingabetaste.
- Gehen Sie zu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber
- Legen Sie einen ungenutzten Port fest, zum Beispiel 3395.
- Starten Sie den Rechner neu.
Den neuen Port überwachen
- Öffnen Sie die Eingabeaufforderung.
- Führen Sie den Befehl aus: netstat -an | find „3395“
RDP außerhalb der Geschäftszeiten deaktivieren (manuell oder per Automatisierung)
- Öffnen Sie PowerShell.
- Führen Sie den Befehl aus:
Stop-Service -Name TermService
Tipp: Sie können das mit der Aufgabenplanung automatisieren, um die Remotedesktopdienste (TermService) nach Feierabend zu stoppen und sie morgens bei Bedarf wieder zu aktivieren.
Darauf sollten Sie achten
| Risiken | Mögliche Folgen | Gegenmaßnahmen |
| RDP auf kritischen Systemen deaktivieren | Kann den Fernzugriff für Support oder Patching verhindern | Nutzen Sie Tools wie NinjaOne oder lokalen Zugriff, um RDP wieder zu aktivieren oder die Richtlinie anzupassen. |
| Falsch konfigurierte Firewall-Regeln | Legitime Benutzer:innen könnten ausgesperrt werden | Testen Sie den IP-Geltungsbereich, dokumentieren Sie Änderungen und erlauben Sie bei der Fehlersuche vorübergehend einen breiteren Zugriff. |
| Zu strenge Sperrschwellen | Können zu Kontosperrungen führen und das Help-Desk-Aufkommen erhöhen | Überwachen Sie die Überwachungsprotokolle und erhöhen Sie die Schwellen leicht, wenn zu viele Fehlalarme auftreten. |
| Ändern des RDP-Ports | Kann Skripte, Überwachungstools oder Integrationen beeinträchtigen | Informieren Sie die relevanten Beteiligten und aktualisieren Sie sämtliche Dokumentationen und Tools mit dem neuen Port. |
| RDP nach Feierabend deaktivieren | Kann nächtliche Wartungen oder automatisierte Aufgaben unterbrechen | Richten Sie Ausnahmen für Wartungsfenster ein und planen Sie bei Bedarf eine Reaktivierung. |
| Uneinheitliche NLA-Konfiguration | Clients können sich nicht verbinden, wenn sie NLA nicht unterstützen | Stellen Sie sicher, dass die Endpunkte aktualisiert sind, oder stellen Sie die Verschlüsselungsstufe vorübergehend auf „Clientkompatibel“. |
Weitere Überlegungen zur Absicherung des Remote-Desktop-Zugriffs
Ein RDP-Gateway einsetzen
Mit einem Remotedesktop-Gateway zentralisieren Sie die Verwaltung der RDP-Zugriffe. Es ergänzt einen sicheren HTTPS-Tunnel, unterstützt MFA (Multi-Factor Authentication) und gibt Ihnen bessere Kontrolle über Protokollierung, Auditing und Sitzungsbeschränkungen.
Tipp: Lesen Sie So richten Sie ein Remotedesktop-Gateway ein.
RDP mit VPN-Zugang kombinieren
Es wird dringend empfohlen, alle Remoteverbindungen zunächst über ein VPN zu leiten. Beachten Sie dabei: Das Risiko von Ransomware verschwindet dadurch nicht, es lässt sich aber deutlich senken.
Geräteumleitung einschränken
Verhindern Sie Datenabfluss, indem Sie während RDP-Sitzungen die Zwischenablage sowie die Drucker- und Laufwerksumleitung deaktivieren. Nutzen Sie dafür Gruppenrichtlinien:
Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktop-Sitzungshost > Geräte- und Ressourcenumleitung
RDP-Anmeldungen und Fehlversuche prüfen
Wir empfehlen, erfolgreiche (Ereignis-ID 4624) und fehlgeschlagene (Ereignis-ID 4625) Anmeldeversuche mit PowerShell zu überwachen:
Get-WinEvent -LogName "Security" | Where-Object { $_.Id -eq 4624 -or $_.Id -eq 4625 }
Richten Sie Alarmierungen für auffällige Aktivitäten ein, etwa Brute-Force-Muster oder ungewöhnliche Anmeldezeiten.
RDP-Zugriff zeitlich beschränken
Nutzen Sie die Aufgabenplanung oder PowerShell-Skripte, um RDP außerhalb der Geschäftszeiten zu deaktivieren. Alternativ blockieren Sie RDP-Traffic nach Feierabend über Firewall-Regeln mit geplanten Aktivierungsfenstern.
Häufige Probleme beheben
| Was passieren kann | Warum es passiert | So lösen Sie es |
| Benutzer:innen können sich nicht verbinden | NLA-Abweichung oder blockierter Port | NLA-Einstellung prüfen, Port (Standard oder benutzerdefiniert) in der Firewall kontrollieren |
| Viele fehlgeschlagene Anmeldungen | Laufender Brute-Force-Angriff | Richtlinie zur Kontosperrung erzwingen, IP-Bereiche einschränken |
| Nicht passende RDP-Verschlüsselung | Veralteter RDP-Client oder veraltetes Betriebssystem | Verschlüsselung vorübergehend auf „Clientkompatibel“ herabsetzen |
| RDP-Dienst startet nicht | Portkonflikt oder TermService-Fehler | TermService neu starten, Ereignisprotokolle oder Portkonflikte prüfen |
| Portänderung funktioniert nicht | Firewall oder NAT-Gerät nicht aktualisiert | Firewall-Regeln, NAT-Portweiterleitung und Client-Konfigurationen aktualisieren |
So unterstützt NinjaOne Sie bei der Absicherung von RDP
NinjaOne, die automatisierte Software für Endpunkt-Management, der über 40.000 Kunden in mehr als 140 Ländern vertrauen, hilft Ihnen bei der Absicherung von RDP:
- RDP aus der Ferne aktivieren oder deaktivieren, je nach Gerätegruppe, Benutzerrolle oder Richtlinie
- RDP-Ports rotieren oder Standardports in ganzen Umgebungen blockieren
- Abschaltung des RDP-Dienstes nach Feierabend oder auf ungenutzten Endpunkten planen
- Alarmierungen bei Häufungen fehlgeschlagener Anmeldungen oder ungewöhnlichen Fernzugriffsversuchen erhalten
- RDP-Exposition (intern wie extern) mit Echtzeit-Inventarberichten prüfen
- Ausrollen von Firewall-Regeln und Sitzungsbeschränkungen mit eigenen Skripten automatisieren
NinjaOne setzt auf allen Endpunkten auf ein Zero-Trust-Modell für den Fernzugriff. Dieser Ansatz stört die Benutzer:innen nicht und erhöht den administrativen Aufwand nicht. So können sich Teams ohne zusätzliches Risiko auf ihr Kerngeschäft konzentrieren.
Verwalten und steuern Sie Windows-, Mac- und Linux-Endpunkte aus der Ferne mit NinjaOne.
Erfahren Sie mehr über NinjaOne Fernzugriff.
Erleben Sie bessere RDP-Sicherheit
RDP ist ein zentrales Tool für Unternehmen. Bei schwacher Absicherung wird daraus ein direktes Einfallstor für Angreifer.
Setzen Sie die Strategien für einen sicheren Remote-Desktop-Zugriff aus diesem Leitfaden um. Diese Maßnahmen verkleinern Ihre Angriffsfläche. Besonders wichtig sind sie in KMU-Umgebungen ohne mehrstufige Sicherheitsarchitektur.
Verwandte Themen:
- Was ist das Remote Desktop Protocol (RDP)?
- So richten Sie ein Remotedesktop-Gateway ein
- Remote Desktop Protocol (RDP) auf Workstations mit PowerShell aktivieren oder deaktivieren
- Protokolle für den Fernzugriff verstehen
- Best Practices für den Fernzugriff für MSPs und IT-Fachleute
- IT-Leitfaden: So löschen Sie gespeicherte RDP-Anmeldeinformationen in Windows
- Erstellung von Remotedesktop-Verknüpfungen mit PowerShell automatisieren
