Remote Desktop Protocol gehört in vielen Unternehmen weiterhin zum Alltag. Administratoren greifen auf Windows-Server zu, Mitarbeiter arbeiten auf Terminalservern, externe IT-Dienstleister benötigen Zugriff auf Kundensysteme und Fachanwendungen werden zentral über RDP bereitgestellt. Das Problem ist deshalb nicht RDP selbst. Entscheidend ist, wie der Zugang zu einer RDP-Verbindung bereitgestellt und abgesichert wird.
Der klassische Weg führt häufig über VPN, einen installierten RDP-Client und anschließend direkt zum Zielsystem. Technisch funktioniert dieses Modell seit Jahren. Aus Sicht moderner IT-Sicherheit entsteht dadurch jedoch eine entscheidende Frage: Muss ein Benutzer tatsächlich Netzwerkzugriff erhalten, nur weil er eine einzelne Anwendung, einen Terminalserver oder einen administrativen Desktop benötigt?
Mit Kyvion Secure Access lässt sich dieser Ansatz grundlegend verändern. Die RDP-Verbindung wird über einen zentral kontrollierten Zugang bereitgestellt und im Browser dargestellt. Auf dem Arbeitsplatz wird weder ein RDP-Client noch zwingend ein VPN benötigt. Für den Anwender bleibt im Wesentlichen nur der Browser – während die eigentliche Verbindung zum Zielsystem kontrolliert innerhalb der vorgesehenen Infrastruktur erfolgt.
RDP sicher nutzen, ohne Port 3389 ins Internet zu stellen
Eine direkte Veröffentlichung von RDP über das Internet sollte heute praktisch keine Option mehr sein. Ein öffentlich erreichbarer TCP-Port 3389 schafft eine unnötige Angriffsfläche und macht Systeme unter anderem für automatisierte Scans, Brute-Force-Angriffe und Angriffe auf Schwachstellen erreichbar.
Die Alternative bestand lange darin, RDP ausschließlich hinter einem VPN bereitzustellen. Das schützt den RDP-Dienst vor dem direkten Internetzugriff, löst aber nicht jedes Problem. Denn nach erfolgreicher VPN-Einwahl befindet sich das Endgerät zumindest teilweise innerhalb des Unternehmensnetzes. Damit erhält der Benutzer häufig mehr Netzwerksichtbarkeit und Kommunikationsmöglichkeiten, als für seine eigentliche Aufgabe erforderlich wären.
Kyvion Secure Access verfolgt einen anderen Ansatz. Der Anwender verbindet sich per HTTPS mit dem Secure-Access-System. Von dort wird die RDP-Sitzung zum freigegebenen Ziel aufgebaut und als HTML5-Sitzung im Browser bereitgestellt. Der RDP-Dienst des Zielsystems muss dadurch nicht direkt gegenüber dem Internet veröffentlicht werden.
Der Browser wird zum kontrollierten Zugangspunkt – nicht das interne Netzwerk.
Browser statt VPN und lokalem RDP-Client
Für den Anwender verändert sich der Zugriff deutlich. Statt zunächst einen VPN-Client zu starten, eine Netzwerkverbindung aufzubauen und anschließend den Remote-Desktop-Client zu öffnen, genügt der Aufruf einer definierten Webadresse. Nach erfolgreicher Authentifizierung stehen ausschließlich die freigegebenen Systeme oder Anwendungen zur Verfügung.
Das ist nicht nur komfortabler. Es verändert auch die Sicherheitsarchitektur. Der Benutzer benötigt keinen allgemeinen Netzwerkzugang zum Zielsystem. Sein Endgerät muss den RDP-Port des Servers nicht erreichen können. Zwischen Arbeitsplatz und Zielsystem entsteht damit keine klassische direkte RDP-Verbindung.
Gerade für Homeoffice-Arbeitsplätze, externe Dienstleister, Administratoren oder temporäre Zugriffe kann dies einen erheblichen Unterschied machen. Ein privates Notebook oder das Gerät eines Dienstleisters muss nicht per VPN in das Unternehmensnetz eingebunden werden, nur damit eine RDP-Sitzung genutzt werden kann.
RDP-Zugriff nach dem Least-Privilege-Prinzip
Ein wesentlicher Gedanke moderner Sicherheitskonzepte besteht darin, Benutzern nur genau den Zugriff zu gewähren, den sie tatsächlich benötigen. Wer einen Terminalserver benötigt, muss deshalb nicht automatisch Zugriff auf das dahinterliegende Netzwerk erhalten. Wer einen administrativen Server betreuen soll, benötigt nicht zwangsläufig eine VPN-Verbindung in das gesamte Servernetz.
Kyvion Secure Access kann genau zwischen diesen Ebenen vermitteln. Der Benutzer erhält Zugriff auf die für ihn freigegebene Ressource, während die eigentliche Netzwerkkommunikation zum Zielsystem durch die Secure-Access-Infrastruktur erfolgt.
Damit lässt sich das klassische Prinzip „VPN öffnen und danach RDP verwenden“ durch ein stärker ressourcenorientiertes Modell ersetzen. Aus einem Netzwerkzugang wird ein gezielt kontrollierter Zugriff auf eine Anwendung oder ein System.
Das ist insbesondere dort interessant, wo sensible Systeme voneinander getrennt werden sollen. Administrative RDP-Zugänge auf Server können beispielsweise anders behandelt werden als der Zugriff normaler Mitarbeiter auf einen Terminalserver.
Sichere RDP-Verbindungen für externe Dienstleister
Besonders deutlich wird der Vorteil bei externen IT-Dienstleistern. Maschinenbauer, Softwarehäuser, ERP-Betreuer oder externe Administratoren benötigen häufig nur gelegentlich Zugriff auf einzelne Systeme. Trotzdem werden dafür nicht selten VPN-Konten eingerichtet und Zugänge in interne Netze geschaffen.
Damit entsteht ein dauerhaftes Sicherheits- und Verwaltungsproblem. Das Unternehmen muss nicht nur die Benutzeridentität kontrollieren, sondern letztlich auch einem fremden Endgerät Netzwerkzugriff gewähren.
Bei einem browserbasierten RDP-Zugang kann dieser Zugriff wesentlich enger begrenzt werden. Der Dienstleister meldet sich am definierten Portal an und erhält ausschließlich Zugriff auf die vorgesehenen Systeme. Ein eigener VPN-Client oder eine direkte Erreichbarkeit des Zielsystems ist dafür nicht erforderlich.
Damit eignet sich der Ansatz besonders für Wartungszugänge, Support-Sitzungen und privilegierte Remote-Zugriffe.
RDP-Zugänge kontrollieren und Sitzungen nachvollziehen
Bei administrativen und privilegierten Zugriffen reicht es häufig nicht aus, lediglich zu wissen, dass sich ein Benutzer angemeldet hat. Unternehmen müssen nachvollziehen können, wer auf welches System zugegriffen hat und was während einer Sitzung passiert ist.
Kyvion Secure Access kann RDP-Sitzungen zentral vermitteln und Sitzungsaufzeichnungen ermöglichen. Dadurch entsteht eine zusätzliche Kontroll- und Nachweisebene zwischen Benutzer und Zielsystem.
Das ist insbesondere für privilegierte Zugriffe interessant. Statt Administratoren oder externen Dienstleistern lediglich einen technischen Netzwerkpfad bereitzustellen, wird der Remote-Zugriff zu einem kontrollierbaren Prozess.
Damit nähert sich der Ansatz auch typischen Anforderungen aus dem Bereich Privileged Access Management (PAM) an, ohne dass für jeden Anwendungsfall eine umfangreiche und komplexe PAM-Plattform erforderlich sein muss.
Keine Installation auf dem Arbeitsplatz und dem Zielsystem
Ein weiterer Vorteil browserbasierter RDP-Verbindungen liegt in der technischen Einfachheit. Auf dem Arbeitsplatz muss kein spezieller RDP-Client für den Zugriff bereitgestellt werden. Ein moderner Browser genügt.
Auch auf dem Windows-Zielsystem ist für die eigentliche RDP-Verbindung keine zusätzliche Kyvion-Software erforderlich. Bestehende Windows-Server, Terminalserver und RDP-fähige Systeme können dadurch weiterhin mit ihrem vorhandenen RDP-Dienst betrieben werden.
Das erleichtert insbesondere den Einsatz in heterogenen Umgebungen. Windows-, Linux- und macOS-Arbeitsplätze können über den Browser auf bereitgestellte RDP-Ressourcen zugreifen, ohne dass für jedes Endgerät eine eigene Remote-Access-Software ausgerollt und gepflegt werden muss.
Auch abgeschottete Netze erreichbar machen
Interessant wird browserbasierter Remote-Zugriff insbesondere dann, wenn sich Zielsysteme in stärker abgeschotteten Netzwerksegmenten befinden. Mit dem Reverse-Agent-Konzept von Kyvion Secure Access können Zugriffe auch so aufgebaut werden, dass aus dem geschützten Netzwerk heraus eine Verbindung zur Secure-Access-Infrastruktur initiiert wird.
Dadurch lassen sich Architekturen realisieren, bei denen keine eingehende Verbindung zum geschützten Netz erforderlich ist. Das kann beispielsweise für administrative Netze, Produktionsumgebungen, getrennte Serversegmente oder besonders sensible Systeme relevant sein.
Der Grundgedanke bleibt dabei derselbe: Nicht der Arbeitsplatz erhält einen Netzwerkpfad zum Server. Stattdessen wird die benötigte Sitzung gezielt vermittelt.
RDP über den Browser als Alternative zum klassischen VPN
VPN wird dadurch nicht grundsätzlich überflüssig. Es gibt weiterhin Anwendungsfälle, in denen ein Endgerät tatsächlich Netzwerkzugriff benötigt. Wenn ein Mitarbeiter jedoch lediglich eine Anwendung oder einen Remote Desktop verwenden soll, stellt sich die Frage, warum dafür überhaupt ein vollständiger Netzwerkzugang geschaffen werden muss.
Genau hier liegt die Stärke von browserbasiertem Remote Access.
Wenn der Benutzer nur einen Desktop benötigt, sollte er nicht automatisch das Netzwerk bekommen.
Kyvion Secure Access reduziert den Zugriff auf die tatsächlich benötigte Ressource. Gleichzeitig bleiben bestehende Windows-Systeme, RDP-Infrastrukturen und Anwendungen erhalten. Unternehmen müssen ihre Umgebung also nicht zuerst in eine neue Cloud-Plattform migrieren oder ihre Anwendungen neu entwickeln, um einen modernen Remote-Zugriff einzuführen.
Bestehende Anwendungen modern zugänglich machen
Viele Unternehmen verfügen über Fachanwendungen, die weiterhin auf Windows-Servern oder Terminalservern betrieben werden. Dazu gehören ERP-Systeme, Warenwirtschaft, Branchenlösungen, Verwaltungssoftware oder ältere Client-Server-Anwendungen.
Technisch funktionieren diese Systeme oft problemlos. Die Herausforderung besteht vielmehr darin, sie sicher und komfortabel für Homeoffice, mobile Mitarbeiter oder externe Standorte verfügbar zu machen.
Browserbasierte RDP-Verbindungen können genau hier eine Brücke schlagen. Die bestehende Anwendung bleibt auf dem vorhandenen Windows-System. Für den Benutzer wird jedoch nur noch der Browser benötigt.
Damit lässt sich eine klassische Windows-Anwendung in vielen Szenarien ähnlich komfortabel bereitstellen wie eine Webanwendung – ohne dass die Software selbst webfähig sein muss.
Kyvion Secure Access: RDP wird zur kontrollierten Browser-Anwendung
Der entscheidende Unterschied liegt deshalb weniger im RDP-Protokoll als in der Architektur davor. RDP bleibt ein leistungsfähiges Protokoll für die Übertragung von Windows-Desktops und Anwendungen. Statt es jedoch direkt oder über einen breit angelegten Netzwerkzugang erreichbar zu machen, wird die Sitzung über eine kontrollierte Zugriffsschicht vermittelt.
Kyvion Secure Access unterstützt neben RDP auch weitere Protokolle wie SSH, VNC, Telnet sowie HTTP und HTTPS. Dadurch kann ein zentraler browserbasierter Zugang nicht nur für Windows-Systeme, sondern auch für Serveradministration, Netzwerkgeräte und interne Webanwendungen geschaffen werden.
Für Unternehmen entsteht daraus eine interessante Alternative zu klassischen Remote-Access-Konzepten: bestehende Systeme weiterverwenden, Angriffsflächen reduzieren und Anwendern trotzdem einen einfachen Zugriff ermöglichen.
RDP muss nicht verschwinden. Nur der direkte Weg dorthin.
