Das Remotedesktopprotokoll bleibt ein Top-Ziel, da der offengelegte Port 3389, schwache Passwörter und verrauschte Anmeldetelemetrie das Leben von Bots und gering qualifizierten Akteuren erleichtern. Wenn Sie sich fragen, wie Sie RDP-Brute-Force-Angriffe verhindern können, lautet die kurze Antwort: Reduzieren Sie die Gefährdung, erhöhen Sie die Authentifizierungsstärke und beobachten Sie die Protokolle wie ein Falke. Verstecken Sie Port 3389 hinter einem VPN- oder RD-Gateway, erzwingen Sie MFA an jedem Zugriffspunkt, aktivieren Sie die Authentifizierung auf Netzwerkebene, legen Sie Richtlinien zur Kontosperrung zwischen 5 und 10 Versuchen mit einer Dauer von 15 bis 30 Minuten fest und überwachen Sie ständig Spitzen bei der Ereignis-ID 4625. Da Angreifer von Jahr zu Jahr schneller scannen, raten und sich verändern, sind für Ihr Spielbuch konkrete Kontrollen und kein Wunschdenken erforderlich.
TL;DR: Schnellschutz-Checkliste
- Verstecken Sie Port 3389 hinter einem VPN- oder RD-Gateway, um eine öffentliche Sichtbarkeit zu verhindern
- Erfordern Sie eine Multi-Faktor-Authentifizierung für alle RDP-Zugangspunkte
- Aktivieren Sie Network Level Authentication (NLA) für die Überprüfung vor der Sitzung
- Kontosperre festlegen: 5–10 ungültige Versuche, 15–30 Minuten Dauer, 15 Minuten Zurücksetzen
- Überwachen Sie ständig die Windows-Ereignis-IDs 4625 (fehlgeschlagen) und 4624 (erfolgreich).
- Verwenden Sie IP-Zulassungslisten und Geoblocking, um den Quellenzugriff einzuschränken
- Behalten Sie eine sichere Passwortrichtlinie mit einer Mindestlänge von 14+ Zeichen bei
Warum RDP-Brute-Force-Angriffe erfolgreich sind
Open RDP ist attraktiv, weil es durch Massenscans innerhalb von Minuten gefunden werden kann, oft mit lokalen Administratorrechten ausgeführt wird und ein schwaches Passwort zu Ransomware führen kann. Port 3389 ist im öffentlichen Internet sichtbar wie eine Werbetafel für den Zugang, und automatisierte Tools erfordern kein Fachwissen, um auf Anmeldebildschirmen herumzuhacken. Passwortangriffe haben dramatisch zugenommen Microsoft meldet einen Anstieg um 74 % Allein von 2021 bis 2022. Aus diesem Grund beginnt jeder Leitfaden zur Verhinderung von Brute-Force-Angriffen immer damit, 3389 nicht im öffentlichen Internet verfügbar zu machen und dann Ebenen wie MFA und Sperrregeln hinzuzufügen, bevor jemand den Anmeldebildschirm erreicht.
Jüngste Kampagnen von Netzwerken wie FDN3 Mitte 2025 haben gezeigt, wie schnell groß angelegtes Passwort-Spraying SSL-VPN- und RDP-Geräte auf Tausenden von Systemen ins Visier nehmen kann. Die Angriffe erreichen ihren Höhepunkt in bestimmten Zeitfenstern, in denen die Sicherheitsteams am wenigsten vorbereitet sind, und das Muster wiederholt sich, weil die Grundlagen weiterhin fehlerhaft sind. Plötzliche Spitzen bei fehlgeschlagenen Anmeldungen, wiederholte Versuche mit vielen Benutzernamen und IP-Adressen, die zwischen verschiedenen Ländern wechseln, sind die verräterischen Anzeichen, aber wenn Sie sie ohne angemessene Überwachung bemerken, hat der Schaden oft schon begonnen. Es steht viel auf dem Spiel: Verizons Untersuchungsbericht zu Datenschutzverletzungen 2025 fanden heraus, dass bei 44 % aller Verstöße Ransomware vorlag, wobei RDP nach wie vor ein bevorzugter Einstiegspunkt für diese Angriffe ist.
Moderne Endpunkterkennung kann RDP-Daten auf Sitzungsebene zusammenfügen, sodass Einsatzkräfte Sprüh- und Betemuster früher erkennen. Doch Vorbeugung ist immer wichtiger als Erkennung, weshalb sich der nächste Abschnitt auf Kontrollen konzentriert, die Angriffe stoppen, bevor sie zu Zwischenfällen werden.
So verhindern Sie RDP-Brute-Force-Angriffe: Grundlegende Schutzmethoden
Die schnellsten Gewinne ergeben sich aus der Reduzierung der Netzwerkpräsenz, stärkeren Anmeldetoren und integrierten Windows-Richtlinien. Um die Abwehr von RDP-Brute-Force-Angriffen zu beherrschen, müssen Sie einen RDP-Brute-Force-Schutz implementieren, der alle diese Ebenen kombiniert.
Schließen Sie zuerst die offene Tür: Entfernen Sie Public 3389
Verstecken Sie RDP hinter einem VPN oder stellen Sie Remote Desktop Gateway auf Port 443 mit TLS-Verschlüsselung bereit. Eine kurze Zulassungsliste für bekannte IPs und ein Gateway schlagen jedes Mal die reine Portweiterleitung. Dieser Schritt reduziert den Lärm und verringert die Lautstärke beim Erraten von Passwörtern erheblich. Konfigurieren Sie Ihre Perimeter-Firewall so, dass der direkte Zugriff auf Port 3389 aus dem Internet blockiert wird, und leiten Sie dann den gesamten legitimen Datenverkehr über das gesicherte Gateway weiter. Die Angreifer können nicht mit roher Gewalt erzwingen, was sie nicht erreichen können.
Aktivieren Sie die Multi-Faktor-Authentifizierung für RDP
Push-Spam-resistente MFA, wie App-Eingabeaufforderungen mit Nummernabgleich oder Hardwareschlüsseln, blockiert die meisten Eindringversuche, die nur über Passwörter erfolgen. Fügen Sie MFA auf Gateway-Ebene oder über einen RDP-Anbieter mit enger Verzeichnisintegration hinzu. Laut Untersuchungen von Microsoft ist MFA bei über 99 % der kompromittierten Konten nicht aktiviert, was Ihnen alles darüber verrät, warum diese Kontrolle wichtig ist. Stellen Sie es über RD Gateway mithilfe der Network Policy Server-Integration in Azure AD bereit oder verwenden Sie Lösungen von Drittanbietern, die TOTP und Hardware-Tokens unterstützen.
Erfordern Authentifizierung auf Netzwerkebene (NLA)
NLA erzwingt die Authentifizierung, bevor ein vollständiger Desktop geladen wird, wodurch der Ressourcenverbrauch durch fehlgeschlagene Sitzungen verringert und die Angriffsfläche verringert wird. Koppeln Sie NLA mit TLS für eine verschlüsselte Übertragung von Anmeldeinformationen. Dadurch wird die Überprüfung mit Credential Security Support Provider (CredSSP) ganz am Anfang des Verbindungsprozesses verlagert. Einer von Experten überprüften Studie zufolge kann NLA die RDP-Latenz bei aktiven Angriffen um 48 % reduzieren, indem verhindert wird, dass nicht authentifizierte Sitzungen Serverressourcen verbrauchen. Aktivieren Sie es über die Systemeigenschaften, Registerkarte „Remote“, indem Sie „Verbindungen nur von Computern zulassen, auf denen die Authentifizierung auf Netzwerkebene ausgeführt wird“ auswählen.
Wenden Sie Richtlinien zur Kontosperrung an
Legen Sie sinnvolle Schwellenwerte und Sperrfenster fest, damit Bots nicht ewig raten können. Hierbei handelt es sich um klassische Methoden zur Verhinderung von RDP-Brute-Force-Angriffen, die bei korrekter Konfiguration weiterhin funktionieren. Konfigurieren Sie über die lokale Sicherheitsrichtlinie (secpol.msc) unter „Kontorichtlinien“ die folgenden Parameter: einen Schwellenwert von 5–10 ungültigen Versuchen, eine Sperrdauer von 15–30 Minuten und einen Reset-Zähler nach 15 Minuten. Diese Werte basieren auf dem Konsens über mehrere Sicherheitsgrundsätze für 2025, einschließlich Windows-Sicherheitsempfehlungen und Branchen-Frameworks. Sorgen Sie für ein Gleichgewicht zwischen Sicherheit und Helpdesk-Auslastung, denn jedes gesperrte Konto generiert ein Support-Ticket.
Verwenden Sie Zulassungslisten und Geo-Fencing
Begrenzen Sie, wer überhaupt an die Tür klopfen darf. Länderblöcke, ASN-Blöcke und kurze statische Zulassungslisten reduzieren den Datenverkehr in vielen kleinen Büroeinrichtungen auf nahezu Null. Konfigurieren Sie diese Regeln auf Firewall-Ebene, blockieren Sie ganze geografische Regionen, mit denen Sie nie Geschäfte machen, und beschränken Sie den Zugriff auf bestimmte IP-Bereiche für Remote-Mitarbeiter. Einige Umgebungen gehen noch einen Schritt weiter, indem sie zeitbasierte Zugriffskontrollen implementieren, die RDP nur während der Geschäftszeiten zulassen.
Passwörter und Rotation härten
Verwenden Sie lange Passphrasen, eindeutige Geheimnisse pro Administrator und einen Passwort-Manager. Dies ist ein grundlegender RDP-Brute-Force-Schutz, doch hier beginnen immer noch zu viele Verstöße. Legen Sie die Mindestlänge des Passworts auf 14 Zeichen fest, wobei die Komplexitätsanforderungen durch Gruppenrichtlinien erzwungen werden. Je länger das Passwort ist, desto schwieriger wird es für automatisierte Tools, es mithilfe von Brute-Force-Methoden zu knacken. Vermeiden Sie die Wiederverwendung von Passwörtern über verschiedene Administratorkonten hinweg, da sich ein kompromittierter Zugangscode auf Ihre gesamte Infrastruktur auswirken kann.
Aktualisieren Sie Windows und RDP-Stack zeitnah
Beheben Sie bekannte RDP-Fehler und führen Sie Updates server- und clientübergreifend durch. Alte Schwachstellen tauchen immer noch auf, und Angreifer zielen zuerst auf nicht gepatchte Systeme ab, weil diese einfacher sind. Implementieren Sie einen regelmäßigen Patch-Zeitplan mithilfe von Windows Update-, WSUS- oder Intune-Baselines, um sicherzustellen, dass Ihre RDP-Infrastruktur vor bekannten Exploits auf dem neuesten Stand bleibt.
Sammeln und benachrichtigen Sie bei fehlgeschlagenen Anmeldungen
Leiten Sie Windows-Sicherheitsprotokolle an ein SIEM weiter, überwachen Sie die Ereignis-IDs 4625 und 4624 und warnen Sie bei ungewöhnlichen Volumes, Quellregionen und Dienstkontotreffern. Um zu lernen, wie man Brute-Force-Angriffe verhindert, muss man immer auch die Protokolle im Auge behalten, denn die reaktive Erkennung begrenzt den Schaden, wenn präventive Kontrollen versagen. Konfigurieren Sie Warnungen für mehr als 10 fehlgeschlagene Versuche von einer einzelnen IP innerhalb einer Stunde und überwachen Sie auf Anmeldemuster vom Typ 10 (remote interaktiv) und Typ 3 (Netzwerk), die auf RDP-Aktivität hinweisen.
Jedes davon reduziert das Risiko für sich. Zusammen bilden sie Methoden zur Verhinderung von RDP-Brute-Force-Angriffen, die unter echtem Druck standhalten.
| Verfahren | Komplexität der Implementierung | Wo konfigurieren | Hauptvorteil |
| VPN/RD-Gateway | Medium | Firewall oder RD-Gateway (Port 443) | Beseitigt die Gefährdung des öffentlichen Ports 3389 |
| Multi-Faktor-Authentifizierung | Medium | Gateway, Identitätsanbieter oder RDP-Add-on | Stoppt Anmeldeversuche nur mit Passwort |
| Authentifizierung auf Netzwerkebene | Niedrig | Systemeigenschaften → Remote → NLA-Kontrollkästchen | Authentifizierung vor der Sitzungserstellung |
| Richtlinie zur Kontosperrung | Niedrig | secpol.msc → Account Policies → Account Lockout | Beschränkt das unendliche Erraten von Passwörtern |
| Überwachung des Ereignisprotokolls | Medium | SIEM/EDR oder Windows-Ereignisanzeige | Frühzeitige Erkennung von Angriffsmustern |
| IP-Zulassungsliste/Geo-Fence | Niedrig | Firewallregeln oder IPS/Geo-Richtlinien | Beschränkt den Zugriff auf die Verbindungsquelle |
| Richtlinie für sichere Passwörter | Niedrig | Domänen-GPO oder lokale Sicherheitsrichtlinie | Erhöht den Brute-Force-Schwierigkeitsgrad |
| Regelmäßiges Patchen | Niedrig | Windows Update, WSUS oder Intune | Schließt bekannte RDP-Schwachstellen |
So erkennen Sie aktive RDP-Brute-Force-Angriffe
Behalten Sie vor Kontrollen die Grundlagen im Auge. Überwachen Sie die Ereignis-ID 4625 im Windows-Sicherheitsprotokoll auf fehlgeschlagene Anmeldeversuche, da Spitzen auf aktive Angriffe hinweisen. Wenn Sie innerhalb von Minuten Dutzende oder Hunderte von 4625-Ereignissen von derselben Quell-IP sehen, beobachten Sie einen Brute-Force-Versuch in Echtzeit. Die moderne Erkennung sucht nach Anmeldungen vom Typ 3 (Netzwerkauthentifizierung über NLA), gefolgt von Anmeldungen vom Typ 10 (remote interaktiv), da sich der Authentifizierungsablauf mit der Einführung der Authentifizierung auf Netzwerkebene geändert hat.
Achten Sie auf fehlgeschlagene Anmeldemuster über mehrere Benutzernamen von einzelnen IPs hinweg, was eher auf das Versprühen von Passwörtern als auf gezielte Angriffe hindeutet. Auch geografische Inkonsistenzen spielen eine Rolle. Wenn Ihre Benutzer in Nordamerika arbeiten, Sie aber Anmeldeversuche aus Osteuropa oder Asien sehen, ist das ein Warnsignal, das es wert ist, sofort untersucht zu werden. Einige Angreifer nutzen private Proxys, um ihren wahren Standort zu verbergen, aber Lautstärke und Zeitmuster verraten dennoch ihre Anwesenheit.
Leiten Sie diese Ereignisse an ein zentrales Protokollierungssystem oder SIEM weiter, das die Aktivitäten auf mehreren Servern korrelieren kann. Legen Sie Warnschwellenwerte basierend auf den normalen Authentifizierungsmustern Ihrer Umgebung fest, denn was für ein großes Unternehmen normal aussieht, kann für ein kleines Unternehmen verdächtig sein. Das Ziel besteht darin, zu lernen, wie man Brute-Force-Angriffe und deren Muster stoppen kann, bevor sie erfolgreich sind, und nicht nur, sie nach Eintritt des Schadens zu dokumentieren.
So stoppen Sie einen laufenden RDP-Brute-Force-Angriff
Wenn die Überwachung eine Warnung wegen wiederholter fehlgeschlagener Anmeldungen oder Anmeldeinformations-Sprays auslöst, führen Sie die Schritte der Reihe nach aus. Begrenzen Sie zunächst die Quelle, indem Sie die IP oder den Bereich an der Perimeter-Firewall blockieren. Wenn die Lautstärke hoch ist, wenden Sie vorübergehende Geschwindigkeitsbegrenzungen an, um den Angriff während der Untersuchung zu verlangsamen. Warten Sie nicht darauf, dass automatisierte Tools aufholen, wenn Sie den Angriff in Echtzeit sehen können.
Zweitens stabilisieren Sie die Identität, indem Sie das Passwort des Zielkontos ablaufen lassen und prüfen, ob es für andere Dienste wiederverwendet werden kann. Deaktivieren Sie das Konto, wenn der Verdacht einer Kompromittierung besteht, denn das Verhindern des Zugriffs ist wichtiger als das Aufräumen nach einem Verstoß. Überprüfen Sie die letzten erfolgreichen Anmeldungen für dieses Konto, um festzustellen, ob der Angreifer bereits eingedrungen ist, bevor Sie es bemerkt haben.
Drittens validieren Sie die Zugriffspfade, indem Sie bestätigen, dass für den Zugriff ein RD-Gateway oder VPN erforderlich ist, und entfernen Sie alle unerwünschten Portweiterleitungen, die 3389 erneut dem Internet zugänglich machen. Manche Angriffe sind erfolgreich, weil jemand vor Monaten eine temporäre Firewall-Regel geöffnet und vergessen hat, sie zu schließen. Viertens: Suchen Sie nach Nebenwirkungen, indem Sie RDP-Sitzungsprotokolle, neue lokale Administratoren, Dienstinstallationen und geplante Aufgaben überprüfen. Die EDR-Telemetrie hilft dabei, Persistenzbewegungen zu erkennen, die Angreifer während kurzer Zugriffsfenster einbauen.
Optimieren Sie schließlich die Erkennungen, indem Sie Regeln für fehlgeschlagene Anmeldestürme auf privilegierten Konten hinzufügen und Ticketerstellung für Folgemaßnahmen auslösen, damit Unterricht zu Standardwerten wird. Diese Maßnahmen halten Vorfälle kurz und zeigen genau, wie man verhindert, dass Brute-Force-Angriffe Schaden anrichten, sobald Erkennungsalarme ausgelöst werden.
Erweiterte RDP-Brute-Force-Schutzstrategien
Ein paar zusätzliche Schritte lohnen sich, insbesondere für Workloads mit Internetzugriff und Administratoren, die viel unterwegs sind. Legen Sie pro IP-Schwellenwerte auf Ihrem RD-Gateway oder Ihrer Firewall fest und passen Sie IPS-Signaturen an, die mit RDP-Flood-Handshake-Floods übereinstimmen. Dadurch wird verhindert, dass Bots Sie mit Maschinengeschwindigkeit belästigen, und SOC-Warnmeldungen erhalten mehr Kontext für die Triage. Durch die Ratenbegrenzung am Netzwerkrand wird verhindert, dass einzelne Angreifer alle Ihre Authentifizierungsressourcen verbrauchen. Große Ransomware-Gruppen, darunter Black Basta und RansomHub, haben RDP-Brute-Forcing als primäre Erstzugriffstechnik eingeführt.
Modernes EDR fügt Sitzungsmetadaten hinzu, die dabei helfen, Administratorarbeit von inszenierten Angriffen zu unterscheiden, und unterstützen die Jagd über verwandte Hosts hinweg. Dieser Kontext verkürzt die Verweildauer, wenn sich Angreifer seitlich durch Ihre Umgebung bewegen. Der Unterschied zwischen der Erkennung eines Einbruchs in Stunden oder in Tagen hängt oft davon ab, dass die richtigen Telemetriedaten an den richtigen Stellen vorhanden sind.
Deaktivieren Sie unnötige Laufwerks-, Zwischenablage- und Druckerumleitungen auf Hosts mit hohem Risiko. Das Deaktivieren von Komfortfunktionen erhöht die Hürde für Eindringlinge, die versuchen, Daten zu exfiltrieren oder Tools in Ihre Umgebung zu verschieben. Kombinieren Sie es mit dem Prinzip der geringsten Rechte und der Trennung lokaler Administratoren, damit durch die Kompromittierung eines Kontos nicht alles verloren geht. Brute-Force-Versuche lassen sich leichter stoppen, wenn die seitliche Bewegung auf ein Kriechen reduziert wird.
Durch die Portverschleierung durch Ändern des Standardports 3389 werden bestimmte Scans nicht gestoppt, aber das Rauschen von Bots, die nur auf Standardports zugreifen, wird reduziert. Wenn Sie es ändern, koppeln Sie es weiterhin mit VPN, Zulassungslisten und MFA, da die Unklarheit allein gegen gezielte Angriffe versagt. Bestätigen Sie auf neuen Windows-Servern Remotedesktopeinstellungen, NLA und Firewallregeln von einem erhöhten Terminal aus mit PowerShell oder CMD. Aufgaben wie die Aktivierung von RDP über die Befehlszeile bleiben sauber und reproduzierbar, wenn sie in Skripts erstellt und überprüft werden, und verknüpfen diese Schritte mit Ihrem Änderungsprozess, sodass Abweichungen frühzeitig erkannt werden.
RDP-Hygiene ist Teil einer umfassenderen Fernzugriffsgeschichte. Wenn Sie Systeme über Browser oder Apps von Drittanbietern verwalten, prüfen Sie diese auch –Sicherheitsrisiko für Chrome Remote Desktop, kann beispielsweise genauso viel Protokollrauschen erzeugen wie exponiertes 3389. Eine gute Hygiene aller Tools sorgt dafür, dass der RDP-Brute-Force-Schutz auf ganzer Linie stark ist.
Abschluss
Jetzt haben Sie eine klare, vielschichtige Antwort auf die Frage „Wie verhindert man RDP-Brute-Force-Angriffe?“ Halten Sie die Gefährdung mit einem VPN oder Gateway gering, legen Sie die Messlatte mit MFA-, NLA- und Sperrrichtlinien höher und überwachen Sie die Authentifizierungsprotokolle genau. Diese Schritte bilden eine praktische Verhinderung von Brute-Force-Angriffen, die in realen Umgebungen unter tatsächlichem Druck funktioniert, nicht nur in der Dokumentation.
Wenn Sie eine saubere Umgebung zum Testen dieser Kontrollen oder eine Produktionsbasis mit angemessener Sicherheit benötigen, können Sie das tun RDP kaufen von Anbietern, die schnelle Konnektivität, NVMe-Speicher für schnelle I/O und eine geeignete Überwachungsinfrastruktur bieten. Wählen Sie Rechenzentren aus, die zum Standort Ihres Teams passen, damit die Latenz gering bleibt, und stellen Sie sicher, dass der Anbieter die von Ihnen benötigten Sicherheitskontrollen unterstützt.
Benötigen Sie einen Remotedesktop?
Zuverlässige, leistungsstarke RDP-Server mit einer Betriebszeit von 99,95. Nehmen Sie Ihren Desktop mit in alle großen Städte in den USA, Europa und Asien.
Holen Sie sich einen RDP-Server
