Remotedesktop vor Brute-Force-Angriffen schützen

Jeder Server mit offenem Remotedesktop bekommt wenige Minuten nach dem Start Anmeldeversuche von Bots. Das ist kein Angriff gegen dich persönlich: Sie probieren Millionen von IPs durch. Mit diesen Maßnahmen haben sie keine Chance.

1. Ein Passwort, das sich nicht erraten lässt

Das Erste und Wirksamste: 16 Zeichen oder mehr, keine Wörter aus dem Wörterbuch, und nirgendwo sonst verwendet. Ein Passwortmanager erzeugt es dir und merkt es sich.

2. Sieh nach, wer es versucht

Die IPs mit den meisten Fehlversuchen der letzten 24 Stunden (PowerShell als Administrator):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Wenn du Hunderte oder Tausende Versuche siehst, ist das bei einem offenen Port 3389 normal. Wichtig ist, dass keiner davon trifft.

3. Sperre nach mehreren Fehlversuchen

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Nach 10 Fehlversuchen wird das betroffene Konto 15 Minuten gesperrt. Achtung: Unter Windows Server 2022 wird das integrierte Konto Administrator standardmäßig nicht gesperrt (damit du dich nie aus deinem eigenen Server aussperrst), das schützt also vor allem die anderen Benutzer. Deshalb zählt das Passwort aus Punkt 1 am meisten.

4. Mit fester IP: nur deine hineinlassen

Das ist die stärkste Maßnahme: Remotedesktop antwortet nur noch deiner Verbindung.

# Ersetze 198.51.100.7 durch deine öffentliche IP (findest du auf jeder „Wie ist meine IP“-Seite)
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7

Wenn du den Port geändert und neue Regeln angelegt hast, wende dasselbe darauf an: Set-NetFirewallRule -DisplayName "Remotedesktop TCP 50000" -RemoteAddress 198.51.100.7. Und wenn sich deine IP zu Hause ändert, sperrst du dich aus: Melde dich über die VNC-Konsole an und öffne es wieder mit -RemoteAddress Any.

5. Ändere den Port

Remotedesktop auf einen anderen Port zu legen, beseitigt die meisten automatischen Versuche. Wie das geht, erklären wir unter Remotedesktop-Port ändern.

Was du lassen solltest

• Benenne das Konto Administrator nicht um: Das Panel braucht es, um das Passwort zurückzusetzen.
• Deaktiviere NLA nicht (die Authentifizierung auf Netzwerkebene): Sie ist aktiv und hält viele Angriffe auf, bevor sie den Anmeldebildschirm erreichen.
• Teile deinen Benutzer nicht: leg für jede Person einen eigenen an.