Ein Mitarbeiter arbeitet abends im Homeoffice, ein externer IT-Dienstleister muss einen Server warten oder die Kanzlei greift auf ihre Fachanwendung zu. Für solche Fälle wurde RDP entwickelt. Doch sind offene RDP-Ports gefährlich? Ja – insbesondere dann, wenn der Windows-Remotedesktop direkt aus dem Internet erreichbar ist. Für Angreifer ist ein offener RDP-Port oft nicht mehr als eine auffindbare Eingangstür zu einem Unternehmensnetzwerk.
Das bedeutet nicht, dass RDP grundsätzlich unsicher oder im Unternehmen nicht nutzbar ist. Das Risiko entsteht vor allem durch die direkte Veröffentlichung, schwache Zugangsdaten, fehlende Mehrfaktor-Authentifizierung und zu weitreichende Berechtigungen. Gerade kleine und mittelständische Unternehmen sollten deshalb genau prüfen, wie Mitarbeitende und Dienstleister auf interne Systeme zugreifen.
Warum offene RDP-Ports ein konkretes Risiko sind
RDP steht für Remote Desktop Protocol. Es ermöglicht, einen Windows-Rechner oder Server aus der Ferne zu bedienen, als säße man direkt davor. Der Standardport ist 3389. Wird dieser Port über die Firewall ins Internet freigegeben, kann er von automatisierten Scans schnell entdeckt werden. Angreifer prüfen fortlaufend große IP-Adressbereiche nach solchen erreichbaren Diensten.
Der erste Angriffsschritt ist häufig kein technisch aufwendiger Einbruch. Automatisierte Programme probieren bekannte, einfache oder aus früheren Datenlecks stammende Passwörter aus. Besonders riskant sind gemeinsame Konten, etwa ein allgemeiner Administrator-Zugang, sowie Passwörter, die über Jahre unverändert bleiben. Gelingt die Anmeldung, erhält der Angreifer oft eine vollwertige Sitzung im internen Netz.
Von dort aus kann er Daten kopieren, weitere Systeme erkunden oder Schadsoftware nachladen. Bei Ransomware-Angriffen wird RDP regelmäßig als möglicher Erstzugang genutzt. Entscheidend ist dabei nicht allein der offene Port. Häufig treffen mehrere Schwächen zusammen: keine Mehrfaktor-Authentifizierung, lokale Administratorrechte, unzureichende Segmentierung und fehlende Überwachung der Zugriffe.
Sind offene RDP-Ports gefährlich, auch mit starkem Passwort?
Ein langes, individuelles Passwort senkt das Risiko deutlich, beseitigt es aber nicht. Passwörter können durch Phishing, Schadsoftware auf Endgeräten oder frühere Sicherheitsvorfälle in falsche Hände geraten. Außerdem bleibt ein direkt erreichbarer RDP-Dienst eine unnötig große Angriffsfläche. Sicherheitslücken in Betriebssystem, RDP-Komponenten oder vorgeschalteten Systemen müssen dann besonders schnell erkannt und geschlossen werden.
Auch eine Änderung des Standardports ist kein ausreichender Schutz. Sie kann automatisierte Massenangriffe etwas reduzieren, verhindert aber keine gezielte Suche. Ein Scan erkennt den Dienst unabhängig davon, ob er auf Port 3389 oder einem anderen Port läuft. Security by Obscurity ist keine belastbare Zugriffskontrolle.
Ebenso problematisch ist die Annahme, eine Firewall-Freigabe nur für einzelne Mitarbeitende sei automatisch sicher. Wenn diese Freigabe auf wechselnde private Internetanschlüsse oder ganze Provider-Netze ausgeweitet wird, steigt die Komplexität und damit die Fehlerwahrscheinlichkeit. IP-Filter können eine zusätzliche Schutzschicht sein, aber sie ersetzen keine starke Identitätsprüfung.
Typische RDP-Szenarien im Mittelstand
In der Praxis finden sich offene RDP-Zugänge oft dort, wo der Betrieb schnell handlungsfähig sein musste. Ein Handwerksbetrieb veröffentlicht einen Büro-PC, damit die Geschäftsführung von unterwegs Angebote bearbeiten kann. Eine Steuerkanzlei gibt einen Terminalserver frei, damit Mitarbeitende außerhalb der Kanzlei arbeiten können. Ein externer Dienstleister erhält einen dauerhaften Zugang für Wartungsarbeiten.
Diese Anforderungen sind nachvollziehbar. Sie betreffen aber unterschiedliche Schutzbedarfe. Mitarbeitende benötigen meist nur den Zugriff auf bestimmte Anwendungen. Dienstleister brauchen oft zeitlich begrenzte und nachvollziehbare Administrationsrechte. Die Geschäftsführung benötigt einen verlässlichen Zugang, ohne dass sensible Daten dauerhaft auf privaten Geräten liegen. Ein offener RDP-Port behandelt diese Fälle jedoch technisch ähnlich: Er macht zunächst einen entfernten Rechner erreichbar.
Sicherer Fernzugriff sollte daher nicht vom Netzwerkzugang ausgehen, sondern von der Frage: Wer darf wann, von welchem Gerät und auf welche Anwendung zugreifen? Dieses Prinzip reduziert Berechtigungen auf das notwendige Maß und erleichtert die Kontrolle.
Was Unternehmen kurzfristig prüfen sollten
Wenn RDP derzeit aus dem Internet erreichbar ist, sollte die Freigabe nicht einfach unkoordiniert abgeschaltet werden. Zuerst muss geklärt werden, welche Arbeitsprozesse daran hängen und welche sichere Alternative bereitsteht. Gleichzeitig lohnt sich eine schnelle Bestandsaufnahme.
Prüfen Sie, ob überhaupt noch externe RDP-Freigaben bestehen, welche Systeme betroffen sind und welche Benutzerkonten sich anmelden dürfen. Kontrollieren Sie außerdem, ob Mehrfaktor-Authentifizierung aktiv ist, ob alle Systeme aktuell gepatcht sind und ob RDP-Konten lokale Administratorrechte besitzen. Besonders kritisch sind Konten ehemaliger Mitarbeitender, gemeinsam genutzte Zugänge und nicht dokumentierte Dienstleisterkonten.
Melden sich unbekannte Konten zu ungewöhnlichen Zeiten an, treten viele fehlgeschlagene Login-Versuche auf oder wurden neue lokale Administratoren angelegt, sollte dies untersucht werden. Protokolle allein reichen allerdings nicht aus. Sie müssen zentral verfügbar sein und regelmäßig bewertet werden, damit Auffälligkeiten nicht unbemerkt bleiben.
Eine aktuelle, getestete Datensicherung gehört ebenfalls dazu. Sie verhindert keinen unberechtigten RDP-Zugriff, entscheidet aber im Ernstfall darüber, ob Systeme und Daten kontrolliert wiederhergestellt werden können. Daten-Resilienz bedeutet, den Betrieb nach einem Sicherheitsvorfall wieder aufnehmen zu können – nicht nur, eine Sicherung irgendwo abzulegen.
Sicherer Remote Access statt direkter RDP-Freigabe
Die bessere Lösung besteht meist darin, RDP nicht direkt im Internet bereitzustellen. Stattdessen wird der Zugang über eine abgesicherte Zugriffsebene vermittelt. Dort werden Nutzer eindeutig identifiziert, die Anmeldung mit Mehrfaktor-Authentifizierung abgesichert und Berechtigungen gezielt vergeben.
Bei einem Zero-Trust-orientierten Ansatz erhält ein Nutzer nicht automatisch Zugriff auf das gesamte interne Netzwerk. Er bekommt nur die Anwendung oder das Zielsystem, das er für seine Aufgabe benötigt. Der Zugriff kann an Gerätezustand, Benutzerrolle, Uhrzeit oder Freigabeprozesse gebunden werden. Das ist für KMU kein theoretisches Großkonzern-Konzept, sondern eine praktische Methode, unnötige Freigaben zu vermeiden.
Für viele Anwendungsfälle ist ein browserbasierter Zugriff sinnvoll. Mitarbeitende rufen etwa eine interne Anwendung oder eine kontrollierte Remote-Sitzung auf, ohne dass der RDP-Port des Zielsystems nach außen geöffnet werden muss. Lösungen wie Kyvion Secure Access können interne Anwendungen und administrative Zugriffe gezielt veröffentlichen, ohne klassisches VPN und ohne pauschalen Netzwerkzugang.
Für externe IT-Dienstleister empfiehlt sich zusätzlich Privileged Access Management, kurz PAM. Dabei werden besonders privilegierte Zugriffe zeitlich begrenzt, freigegeben und protokolliert. Statt eines dauerhaft bekannten Administrator-Passworts erhält der Dienstleister nur für den konkreten Wartungsfall Zugriff. Das verbessert die Nachvollziehbarkeit und begrenzt den Schaden, falls ein Konto kompromittiert wird.
Welche Rolle Firewall und Netzwerksegmentierung spielen
Eine professionell konfigurierte Firewall bleibt ein wesentlicher Teil der Absicherung. Sie sollte nur die Verbindungen zulassen, die für den Geschäftsbetrieb tatsächlich erforderlich sind. Direkte RDP-Freigaben aus dem Internet gehören in den meisten Fällen nicht dazu. Mit einer geeigneten Firewall-Architektur, etwa auf Basis von Fortinet, lassen sich Zugriffe segmentieren, Regeln nachvollziehbar verwalten und verdächtige Verbindungsversuche erkennen.
Segmentierung begrenzt zudem die Folgen eines erfolgreichen Angriffs. Ein kompromittierter Arbeitsplatz sollte nicht ohne Weiteres kritische Server, Backups oder Produktionssysteme erreichen können. Besonders Backup-Systeme brauchen eine eigene Schutzstrategie. Können Angreifer Sicherungen über dieselben Administratorrechte löschen oder verschlüsseln, ist die Wiederherstellung gefährdet.
Technik allein genügt jedoch nicht. Berechtigungen, Änderungsprozesse und Verantwortlichkeiten müssen dokumentiert sein. Wer eine Ausnahmefreigabe beantragt, wer sie prüft und wann sie wieder entfernt wird, sollte klar geregelt sein. Das ist keine Bürokratie um der Bürokratie willen. Es schafft Kontrolle über Zugänge, die für den Geschäftsbetrieb kritisch sind.
Eine sinnvolle Reihenfolge für die Umstellung
Unternehmen müssen nicht jede Fernzugriffslösung über Nacht ersetzen. Sinnvoll ist ein schrittweises Vorgehen: Zuerst werden direkt erreichbare RDP-Systeme erfasst und besonders kritische Freigaben abgesichert. Danach folgen Mehrfaktor-Authentifizierung, die Bereinigung von Konten und die Einführung eines kontrollierten Zugriffswegs. Im nächsten Schritt lassen sich Berechtigungen weiter reduzieren und Dienstleisterzugänge in ein PAM-Konzept überführen.
Wichtig ist, die Lösung an den Arbeitsalltag anzupassen. Wenn ein sicherer Zugang zu kompliziert ist, entstehen schnell Umgehungen. Gute Sicherheit verbindet deshalb klare Regeln mit einem Zugang, den Mitarbeitende zuverlässig nutzen können. Der offene RDP-Port verschwindet dann nicht nur aus der Firewall-Konfiguration, sondern aus einem Sicherheitskonzept, das Zugriff, Identität und Wiederherstellbarkeit gemeinsam betrachtet.
