RDP auf einem Windows-VPS absichern: NLA, Kontosperre und IP-Freigabeliste

Ein RDP-Port, der dem ganzen Internet antwortet, bekommt wenige Minuten nach dem Start des Servers die ersten Passwortversuche. Ein langes Passwort hält stand, aber jeder Versuch ist trotzdem ein Anmeldeversuch, füllt das Ereignisprotokoll und gibt dem nächsten RDP-Fehler einen Gesprächspartner. Fünf Schritte beheben das. Jeder ist ein PowerShell-Befehl, und jeden haben wir vor der Veröffentlichung auf unserem Windows-Server-2022-Image ausgeführt.

Öffnen Sie PowerShell als Administrator über RDP (so verbinden Sie sich) und gehen Sie der Reihe nach vor. Schritt 4 zuletzt: Nur er kann Sie selbst aussperren.

1. Ein langes, eindeutiges Passwort

Wenn Sie noch das Passwort der ersten Anmeldung nutzen, ändern Sie es im Dashboard in ein langes (20+ Zeichen, aus einem Passwortmanager). Alle Schritte unten setzen voraus, dass das Passwort selbst nicht zu erraten ist.

2. Authentifizierung auf Netzwerkebene (NLA) einschalten

Mit NLA prüft Windows Ihre Anmeldedaten, bevor es eine Sitzung erstellt und einen Anmeldebildschirm zeichnet. Nicht authentifizierte Verbindungen erreichen den Desktop-Code nie, und genau dort lagen die bekanntesten RDP-Fehler. Den aktuellen Zustand prüfen:

(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

1 heißt, NLA ist an. Sehen Sie 0, schalten Sie es ein:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Aktuelle Remotedesktop-Clients für Windows, macOS und Linux (xfreerdp) unterstützen NLA. Die nächste Verbindung fragt das Passwort ab, bevor der entfernte Bildschirm erscheint.

3. Konten nach Fehlversuchen sperren

Eine Standardinstallation von Windows Server 2022 sperrt nie ein Konto, egal wie viele falsche Passwörter ankommen. Auf Servern, die seit dem 24. Oktober 2026 aus unserem Image installiert wurden, ist die Grenze unten bereits gesetzt; auf älteren setzen Sie sie:

net accounts /lockoutthreshold:5 /lockoutwindow:15 /lockoutduration:15
net accounts

Fünf falsche Passwörter innerhalb von 15 Minuten sperren das Konto für 15 Minuten. Wir haben es getestet: Nach fünf Fehlversuchen waren sowohl ein normaler Benutzer als auch der eingebaute Administrator gesperrt. Die Sperre hebt sich von selbst auf, ein Morgen voller Tippfehler kostet Sie also eine Viertelstunde, nicht den Server.

4. RDP nur von Ihrer IP-Adresse erlauben

Dieser Schritt entfernt fast das ganze Rauschen. Regeln der Windows-Firewall akzeptieren eine Liste entfernter Adressen; setzen Sie Ihre. Ihre aktuelle öffentliche IP zeigt jede „Wie ist meine IP“-Seite, dann:

$myIp = '203.0.113.10'   # your public IP; several: '203.0.113.10','198.51.100.0/24'
Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule | Set-NetFirewallRule -RemoteAddress $myIp

Der Befehl findet jede eingehende Regel auf Port 3389, nicht nur die eingebaute Gruppe „Remotedesktop“. Das ist wichtig: Server, die vor dem 24. Oktober 2026 aus unserem Image installiert wurden, haben eine zusätzliche Regel namens „EQVPS RDP 3389“, die den Port für alle öffnet, und andere Software kann eigene Regeln hinzufügen. Beschränken Sie nur die eingebaute Gruppe, hält eine solche Regel den Port offen. Genau diesen Fehler haben wir beim Testen selbst gemacht. Prüfen Sie das Ergebnis:

Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389 | Get-NetFirewallRule |
  Select-Object DisplayName, @{n='Remote';e={($_ | Get-NetFirewallAddressFilter).RemoteAddress}}

Jede Zeile sollte Ihre Adresse zeigen. In unserem Test lief eine Verbindung von jeder anderen Adresse ins Leere, die erlaubte kam durch.

Auf einem NAT-Tarif funktioniert das genauso. Die Weiterleitung von Ihrem persönlichen Port behält Ihre echte Adresse, geben Sie also Ihre eigene öffentliche IP frei.

Ändert sich Ihre IP, antwortet RDP auch Ihnen nicht mehr. Öffnen Sie die Browser-Konsole aus dem Dashboard (sie läuft nicht über RDP oder die Firewall), melden Sie sich an und führen Sie den Befehl mit der neuen Adresse aus. Um die Freigabeliste ganz aufzuheben, nutzen Sie -RemoteAddress Any.

5. Sehen, wer hineinwill

Fehlgeschlagene Anmeldungen sind Ereignis 4625 im Sicherheitsprotokoll. Dies zeigt den Kontonamen und die Adresse jedes Versuchs:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}

Vor der Freigabeliste erwartet Sie ein stetiger Strom von Administrator, admin, user von unbekannten Adressen. Danach sollte die Liste still werden.

Was sich nicht lohnt

• Den RDP-Port ändern. Auf einem Tarif mit eigener IPv4 senkt das nur das Log-Rauschen; Scanner finden den neuen Port schnell. Auf einem NAT-Tarif bricht es Ihren Zugang, weil die Weiterleitung auf 3389 geht.
• Die Firewall abschalten, „damit es geht“. Antwortet RDP nach einer Regeländerung nicht mehr, korrigieren Sie die Regel über die Browser-Konsole.

Aktuell halten

Die schwersten RDP-Vorfälle kamen von Protokollfehlern, nicht von Passwörtern. Windows Server 2022 erhält Sicherheitsupdates bis zum 14. Oktober 2031, lassen Sie Windows Update also an und starten Sie neu, wenn es danach fragt.

Das Image ist Windows Server 2022 mit Ihrer eigenen Lizenz (so funktioniert BYOL). Die Tarife beginnen bei Windows-Small: 4 vCPU, 4 GB RAM, 50 GB, $11/Monat mit NAT. Mit eigener IPv4 kostet Windows Small-IP $28/Monat. Alle vier Tarife stehen auf der Windows-VPS-Seite. Für SSH neben RDP siehe OpenSSH auf Windows Server.