Sichern des Remote-Desktop-Zugriffs (RDP) eines Windows-VPS

Sobald ein Port 3389 im Internet sichtbar wird, wird er innerhalb weniger Minuten entdeckt und kontinuierlich getestet. Dies ist keine theoretische Bedrohung, sondern der Alltag jedes exponierten Windows-Rechners. Im Folgenden erfahren Sie, wie Sie diese Lücke ordnungsgemäß schließen können – geordnet nach Wirksamkeit.

Benötigen Sie einen Server? Informieren Sie sich über unseren VPS-RDP-Server mit dedizierter IPv4-Adresse und Administratorrechten.

Warum RDP ein ständiges Angriffsziel ist

Der Remote-Desktop bietet über eine grafische Benutzeroberfläche vollständigen Zugriff auf den Rechner. Für einen Angreifer ist das ein Glücksfall: Er muss sich nicht eingehend mit Windows auskennen, es genügen lediglich ein Benutzername und ein Passwort.

Roboter durchsuchen kontinuierlich alle öffentlichen IP-Adressen auf der Suche nach Port 3389. Sobald sie diesen gefunden haben, probieren sie gängige Kombinationen aus: „Administrator“ mit klassischen Passwörtern, gefolgt von Listen aus Datenlecks. Ein Server, der mit einem schwachen Passwort betrieben wird, wird innerhalb weniger Stunden geknackt.

Die Folgen sind konkret: Ransomware, der Rechner wird als Relaisstation zum Versenden von Spam oder zum Starten von Angriffen missbraucht, Diebstahl der darauf gespeicherten Daten. Und da der Server auf Ihren Namen läuft, tragen Sie die Verantwortung dafür.

Beginnen Sie mit den Konten und Passwörtern

Benennen Sie das Standard-Administratorkonto um oder deaktivieren Sie es und arbeiten Sie mit einem benennspezifischen Konto. Bots versuchen es zunächst mit bekannten Namen.

Legen Sie ein langes, zufällig generiertes Passwort fest, das in einem Passwort-Manager gespeichert wird. Auf einem öffentlich zugänglichen Server ist ein Passwort, das man sich merken kann, ein Passwort, das leicht zu erraten ist.

Aktivieren Sie die Kontosperre nach mehreren fehlgeschlagenen Anmeldeversuchen: Dies verlangsamt automatisierte Versuche erheblich. Und wenn mehrere Personen auf den Server zugreifen, richten Sie für jede Person ein eigenes Konto ein, damit Sie nachvollziehen können, wer sich angemeldet hat.

Die wirksamste Maßnahme: Nach IP-Adresse filtern

Beschränken Sie in der Windows-Firewall die Regel für den Remote-Desktop ausschließlich auf die IP-Adressen, von denen aus Sie sich verbinden. Ein Bot, der von einer anderen Adresse aus scannt, gelangt nicht einmal zum Anmeldebildschirm.

Sollte sich Ihre Privatadresse regelmäßig ändern, gibt es zwei Möglichkeiten: Entweder Sie geben den Adressbereich Ihres Internetanbieters an – was jedoch wesentlich einschränkender ist als die Angabe „weltweit“ – oder Sie nutzen ein Gateway, auf das wir weiter unten eingehen.

Dieser Vorgang dauert fünf Minuten und beseitigt den Großteil des Rauschens. Führen Sie ihn vor allen anderen Maßnahmen durch.

Den Port ändern: nützlich, aber kein Schutz

Wenn Sie den RDP-Port von 3389 auf einen anderen Port verlegen, lässt sich die Anzahl der Angriffsversuche erheblich reduzieren, da die meisten Bots nur den Standardport scannen. Ihre Protokolle werden dadurch übersichtlicher.

Ein vollständiger Scan stellt den Dienst jedoch innerhalb weniger Minuten wieder her. Betrachten Sie diese Änderung daher als Maßnahme zur Verringerung von Störsignalen, keinesfalls jedoch als Sicherheitsmaßnahme. Sie ersetzt weder die Filterung nach IP-Adresse noch ein sicheres Passwort.

Ein Gateway oder ein VPN vor dem RDP einrichten

Die beste Konfiguration besteht darin, den Remote-Desktop überhaupt nicht mehr nach außen hin zugänglich zu machen: Sie stellen zunächst eine Verbindung zu einem privaten Netzwerk her und verbinden sich dann von diesem Netzwerk aus mit dem Server. Der Port 3389 ist dann nur noch von innen sichtbar.

Ein WireGuard-VPN reicht hierfür aus und lässt sich an einem Abend einrichten. Das Prinzip ist dasselbe wie bei einem Linux-Server, bei dem man SSH hinter einem eingeschränkten Zugriff schützt.

Für ein Team ermöglicht die Remote-Desktop-Brücke von Windows Server die Zentralisierung der Zugriffe und die Nachverfolgung der Verbindungen.

Verbindungen überwachen

Überprüfen Sie regelmäßig den Sicherheitsereignis-Monitor: Dort werden erfolgreiche und fehlgeschlagene Verbindungen protokolliert. Eine Reihe von Fehlversuchen, auf die ein erfolgreicher Versuch von einer unbekannten Adresse folgt, ist das deutlichste Warnsignal überhaupt.

Richten Sie eine einfache Benachrichtigung ein, beispielsweise einen täglichen Bericht, der per E-Mail versendet wird. Viele unbefugte Zugriffe bleiben wochenlang unbemerkt, nur weil niemand darauf achtet.

Was das Netzwerk betrifft, filtert unser Anti-DDoS-Schutz volumetrische Angriffe heraus, ersetzt jedoch nicht diese Einstellungen: Er schützt die Verfügbarkeit, nicht Ihre Zugangsdaten.

Die Checkliste in sieben Punkten

Das Standard-Administratorkonto wurde umbenannt oder deaktiviert. Für jedes Konto gilt ein langes und einzigartiges Passwort. Die Sperre nach fehlgeschlagenen Anmeldeversuchen ist aktiviert. Der Remote-Desktop-Zugriff ist auf bestimmte IP-Adressen beschränkt. Der Port wurde geändert, um den Datenverkehr zu reduzieren. Vor dem RDP wird ein Gateway oder ein VPN eingesetzt. Die Protokolle werden überprüft und es werden Warnmeldungen ausgegeben.

Wenn Sie heute Abend nur zwei Maßnahmen ergreifen müssen, dann sind es diese: das Passwort und die IP-Filterung. Allein diese beiden Maßnahmen wehren bereits die überwiegende Mehrheit der Angriffsversuche ab.

Den Remote-Desktop-Zugriff (RDP) auf einen Windows-VPS sichern

Warum RDP ein ständiges Angriffsziel ist

Beginnen Sie mit den Konten und Passwörtern

Die wirksamste Maßnahme: Nach IP-Adresse filtern

Den Port ändern: nützlich, aber kein Schutz

Ein Gateway oder ein VPN vor dem RDP einrichten

Verbindungen überwachen

Die Checkliste in sieben Punkten

Weiterlesen

Über Remote Desktop eine Verbindung zu einem Windows-VPS herstellen

So sichern Sie Ihren Linux-VPS in 10 Schritten

VPS-Handel: Welche Konfiguration ist für MetaTrader und die Handelsroboter erforderlich?

Windows-VPS