Das Remote Desktop Protocol (RDP) ist Microsofts Protokoll für den Zugriff auf den grafischen Desktop eines Windows-Rechners über das Netzwerk, standardmäßig über TCP-Port 3389.
Wie RDP funktioniert
Mit RDP arbeiten Administratoren und Mitarbeitende an einem entfernten Rechner, als säßen sie davor: Der Server überträgt das Bildschirmbild, der Client Tastatur- und Mauseingaben. Das Protokoll ist in Windows integriert und wird breit für Serveradministration, Homeoffice und Support genutzt. Moderne Versionen verschlüsseln den Verkehr per TLS und unterstützen Network Level Authentication (NLA), die eine Anmeldung verlangt, bevor eine vollständige Sitzung entsteht.
Warum RDP ein wichtiger Angriffsvektor ist
Hunderttausende RDP-Server sind direkt aus dem Internet erreichbar, viele nur durch ein Passwort geschützt. Damit ist RDP einer der häufigsten Angriffsvektoren für den Erstzugang von Ransomware:
- Brute Force und Password Spraying – Bots probieren ständig gängige Passwörter gegen exponiertes RDP, siehe Brute-Force-Angriff.
- Gestohlene Zugangsdaten – Initial Access Broker verkaufen funktionierende RDP-Zugänge in kriminellen Foren.
- Schwachstellen – BlueKeep (CVE-2019-0708) war eine wurmfähige Remote-Code-Execution-Lücke ohne Authentifizierung in älteren Windows-Versionen.
Im internen Netz nutzen Angreifer RDP mit gestohlenen Admin-Zugangsdaten zudem für die laterale Bewegung, weil RDP-Sitzungen wie normale Administration aussehen.
So sichern Sie RDP ab
- RDP nie direkt ins Internet stellen; es hinter ein VPN oder ein RD-Gateway mit MFA legen.
- NLA, Kontosperrrichtlinien und starke, einzigartige Passwörter aktivieren.
- Erlaubte Nutzer und Quelladressen einschränken und RDP abschalten, wo es nicht gebraucht wird.
- Windows zeitnah patchen und Logs auf viele Fehlanmeldungen und ungewöhnliche RDP-Verbindungen überwachen.
