Fragen Sie, was RDP ist, und Sie bekommen zwei Antworten, beide richtig. Die eine ist eine Funktion, die seit der Windows-NT-Zeit in Windows steckt. Die andere ist eine gemietete Windows-Maschine, monatlich verkauft, die Leute „ein RDP" nennen.
Wenn ein Arbeitgeber oder ein Kunde Ihnen gesagt hat, Sie sollen „RDP nutzen", meint er fast sicher die erste. Die haben Sie wahrscheinlich schon. Wenn Sie RDP auf einer Anbieterseite mit einem Preis daneben gefunden haben, haben Sie auf die zweite geschaut.
RDP bedeutet zwei verschiedene Dinge
RDP steht für Remote Desktop Protocol, das Remotedesktopprotokoll. Es ist Microsofts Protokoll, um einen Computer von einem anderen aus über ein Netzwerk zu steuern, und es ist in Windows eingebaut. Dieselben drei Buchstaben tauchen auch auf Produktseiten von Hostern auf. In diesem Zusammenhang bedeutet ein „RDP-Server" üblicherweise eine gehostete Windows-Maschine, oft ein VPS, auf der Remotedesktop schon aktiviert ist. Sie erreichen sie über das Protokoll.
Also: Was ist RDP in Ihrem Fall? Das hängt davon ab, wo Sie das Wort gesehen haben. Eine Installationsanleitung meint normalerweise das Protokoll; Hosting-Angebote meinen oft eine gemietete Windows-Maschine mit aktiviertem RDP.
Microsoft hat RDP 1998 entwickelt. Ausgeliefert wurde es erstmals mit der ersten Version von Windows NT Terminal Server. Auf einem Windows-PC ist die Client-Seite schon installiert und schon bezahlt. Sie heißt Remotedesktopverbindung, und Sie finden sie, indem Sie diesen Namen in das Suchfeld des Startmenüs tippen. Microsoft veröffentlicht außerdem neuere Clients, darunter Windows App. Sie sind auf vielen verschiedenen Gerätetypen über Windows hinaus verfügbar.
Wenn die Maschine, die Sie erreichen müssen, bereits existiert und eine Edition läuft, die Remotedesktop hosten kann, brauchen Sie normalerweise kein separates RDP-Produkt. Das deckt einen Büro-PC ab, einen Server, den Ihr Team betreibt, oder ein VPS, das Sie schon haben. Aktivieren Sie den Zugriff, machen Sie den Host erreichbar, öffnen Sie dann den Client, geben Sie die Adresse ein und melden Sie sich an.
Wie das Remotedesktopprotokoll funktioniert
Drei Bedingungen müssen erfüllt sein, bevor eine RDP-Verbindung zustande kommt, und ein Fehlschlag liegt fast immer an einer davon. Remotedesktop muss am Host eingeschaltet sein. Der Host muss von dort erreichbar sein, wo Sie sitzen, also im gleichen Büronetz oder über einen offenen Weg durch das Internet. Und Sie brauchen ein Konto oder Anmeldedaten, die der Host akzeptiert, mit der Berechtigung zur Remoteanmeldung. Eine IP-Adresse einzugeben ist nur das Letzte der drei.
Sind die gegeben, läuft eine Sitzung in drei Phasen ab:
- Einrichtung. Ein Administrator aktiviert Remotedesktop auf der Host-Maschine und entscheidet, wer sich verbinden darf. Das ist der Punkt, an dem das Absichern eines RDP-Hosts am günstigsten ist, weil noch nichts offen liegt.
- Verbindung. Der Client sendet die Host-Adresse und Ihre Anmeldedaten. Werden sie akzeptiert, öffnet der Host eine Sitzung für Ihr Konto. Die Schritte für das Verbinden von Windows aus sind dieselben, ob der Host neben Ihnen steht oder in einem anderen Land.
- Kommunikation. Der Host sendet Ihnen die Desktop-Grafik; Ihre Tastatur- und Mauseingaben laufen zurück. Ihre Anwendungen laufen auf dem Host, nicht auf Ihrer eigenen Maschine.
Darunter trennt RDP die verschiedenen Arten von Sitzungsdaten in logische virtuelle Kanäle und multiplext diese Kanäle dann über die Verbindung. Bildaktualisierungen, Eingaben, Drucken und Geräteumleitung können getrennt behandelt und priorisiert werden, auch wenn sie weiterhin denselben Netzwerkpfad teilen. Der Sitzungsverkehr ist auf dem Transportweg verschlüsselt. Microsofts eigene Architekturdokumentation ordnet die Komponenten, die diese Kanäle verwalten, in die T.120-Familie der ITU ein. T.122 definiert die Mehrpunktdienste; T.125 definiert das Datenübertragungsprotokoll.
Die Zahl, die man sich merken muss, ist 3389. Remotedesktop lauscht standardmäßig auf Port 3389, und zwar sowohl über TCP als auch über UDP. Dieser Port ist über die Registry konfigurierbar. UDP ist das Neuere der beiden. Es kam mit dem RDP-8.0-Update, das einem Administrator erlaubt, sowohl TCP als auch UDP zu nutzen. Sitzungen brechen dann in verlustbehafteten Netzen sanfter ein. Wenn jemand Sie bittet, „die Firewall für RDP zu öffnen", ist 3389 gemeint.
Was RDP kann
Bei aktivierter Druckerumleitung kann der Drucker auf Ihrem Schreibtisch in der Remotesitzung erscheinen, als wäre er dort angeschlossen. Dieser Trick, Umleitung genannt, ist der größte Teil dessen, was RDP von einem einfachen Bildschirmbetrachter unterscheidet.
| Eigenschaft | Was es macht | Warum es wichtig ist |
|---|---|---|
| Smart Card-Authentifizierung | Nimmt physische Sicherheitstoken mit eingebautem Chip an | Stärker als ein Passwort allein |
| Bandbreiteneinsparung | Codiert und komprimiert Desktop-Aktualisierungen, statt rohes Vollbildvideo zu senden | Nutzbare Sitzungen auf langsamen Verbindungen |
| Mehrere Bildschirme gleichzeitig nutzen | Treibt mehr als einen Monitor in einer einzigen Sitzung an | Der Remotedesktop passt zu Ihrem physischen Aufbau |
| GPU-Unterstützung | Kann GPU-Beschleunigung des Hosts und hardwareseitige H.264/AVC-Codierung nutzen, wo unterstützt und aktiviert | Grafiklastige Anwendungen bleiben ansehbar |
| Audio-Umleitung | Gibt den Remoteton über Ihre lokalen Lautsprecher aus | Video und Anrufe funktionieren innerhalb der Sitzung |
| Dateisystemumleitung | Macht Ihre lokalen Laufwerke in der Remotesitzung verfügbar | Dateien kopieren braucht kein Drittanbieterwerkzeug |
| Drucker-Umleitung | Macht Ihren lokalen Drucker in der Remotesitzung verfügbar | Kein Dokument exportieren, nur um es auf Ihrer Seite zu drucken |
| Port-Weiterleitung | Unterstützt seriell/COM-Umleitung und ausgewählte USB-Umleitung, wenn konfiguriert | Kompatible Peripherie kann aus der Ferne verfügbar bleiben |
Die GPU-Zeile trägt einen Vorbehalt, den man kennen sollte. Die alte Komponente RemoteFX vGPU ist weg. Microsoft führt den RemoteFX-3D-Grafikadapter unter den entfernten Windows-Server-Funktionen und verweist stattdessen auf Discrete Device Assignment. Die Komponente trug außerdem eine Schwachstelle zur Remotecodeausführung, CVE-2020-1036. Moderne Hyper-V-Hosts können GPU-Ressourcen über Discrete Device Assignment oder GPU-Partitionierung bereitstellen, statt über RemoteFX vGPU. Deshalb sind Setups für Remote-Gaming so eigen bei der Host-Hardware.
Ob mehrere Personen gleichzeitig angemeldet sein können, ist eine Eigenschaft des Hosts, nicht des Protokolls. Ein einzelner Windows-Desktop bedient in der Regel eine interaktive Sitzung. Viele isolierte Sitzungen auf einem Windows Server zu hosten ist die Aufgabe der Remotedesktopdienste, nicht des reinen RDP. In einer normalen RDS-Bereitstellung unter Windows Server braucht jeder Nutzer oder jedes Gerät außerdem die passende RDS CAL. Prüfen Sie sowohl das Sitzungsmodell als auch die Lizenzierung, bevor Sie einem Team eine gemeinsame Maschine zusagen.
Wo RDP an seine Grenzen kommt
RDP ist ein gutes Protokoll mit vier konkreten Kosten. Drei davon müssen Sie selbst im Griff haben. Die vierte entscheidet, ob RDP überhaupt das richtige Werkzeug ist.
Port 3389 im offenen Internet
Stellen Sie RDP nicht direkt ins öffentliche Internet. Ein zum Internet offenes 3389 ist ein üblicher Erstzugriffsvektor, und die Geschichte ist dokumentiert. CVE-2019-0708, bekannt als BlueKeep, erlaubte einem nicht authentifizierten Angreifer, Code auf einem Ziel auszuführen. Verbinden und manipulierte Anfragen senden reichte.
BlueKeep und DejaBlue wurden beide 2019 offengelegt und behoben. Das Expositionsmuster, das sie ausnutzten, ist nicht verschwunden. Anmeldedaten gegen einen offenen Port zu raten brauchte von Anfang an keine Schwachstelle.
Die Gegenmaßnahmen sind gewöhnlich. Stellen Sie den Host hinter ein VPN oder ein Remotedesktopgateway, damit der Port nicht von beliebigen Adressen erreichbar ist. Beschränken Sie, welche Quelladressen sich verbinden dürfen. Ergänzen Sie Mehrfaktorauthentifizierung auf der Zugriffsebene, wo Ihr Aufbau das unterstützt, etwa mit einer RD-Gateway-Bereitstellung. Spielen Sie Windows-Updates in einem Rhythmus ein, den Sie halten können. Wenn die Maschine von überall erreichbar sein muss, gehört das Begrenzen fehlgeschlagener Anmeldungen ebenfalls auf diese Liste.
Die Verbindung ist das Erlebnis
Jedes Bild, das Sie sehen, hat ein Netzwerk durchquert. Auf einer stabilen Leitung fühlt sich RDP fast lokal an. Auf einer überlasteten oder latenzstarken kommt jeder Tastendruck zu spät, und die Verzögerung summiert sich über einen Satz hinweg. Große Dateioperationen sind schlimmer als der Bildaufbau. Mobilfunknetze verstärken das. RDP von einem Android-Gerät profitiert davon, die Sitzungsauflösung zu senken, bevor Sie den Server beschuldigen.
Der Host bezahlt die Sitzung
Den Desktop zu rendern, ihn zu codieren und Ihre Anwendungen auszuführen passiert alles auf dem Host. Eine Maschine, die einen Hintergrunddienst locker stemmt, kann ins Straucheln kommen, sobald jemand interaktiv darauf arbeitet. Mit jeder zusätzlichen Sitzung wird es schlimmer. Bemessen Sie den Host für die Arbeit, die Sie darin vorhaben, nicht für die Arbeit, die er heute leistet.
Windows auf dem Host, fast alles auf dem Client
Das ist die Grenze, die über das Werkzeug entscheidet. Die Client-Seite ist deutlich weniger eingeschränkt. Die Host-Seite nicht. Microsofts Dokumentation nennt die Editionen, die eine Sitzung hosten können: Professional, Enterprise, Education und Windows Server. Home-Editionen können es nicht.
Das begrenzt Microsofts eingebautes RDP-Hosting auf Windows. macOS bietet nativ keinen RDP-Host, einen Mac zu steuern führt Sie also zu einem anderen Fernzugriffswerkzeug. Linux ist die Ausnahme, die man kennen sollte. Die Open-Source-Implementierung xrdp beantwortet RDP-Verbindungen ohne irgendetwas von Microsoft, und xRDP unter Ubuntu ist der übliche Startpunkt.
Was Hosting-Anbieter mit einem RDP-Server meinen
Sie kaufen einen, und der Anbieter gibt Ihnen die Verbindungsdaten: typischerweise eine IP-Adresse, einen Benutzernamen und ein Passwort. Es gibt keinen physischen Kasten und kein lokales Installationsprogramm. Je nach Anbieter können Sie die Windows-Version bei der Bereitstellung wählen; der Server selbst läuft in einem Rechenzentrum mit aktiviertem Remotedesktop, bevor Sie sich verbinden.
In Hosting-Angeboten ist dieses Produkt meist ein Windows-VPS mit aktiviertem RDP. Das VPS betreibt seine eigene Windows-Umgebung auf gemeinsam genutzter physischer Infrastruktur, und Sie mieten die virtuelle Maschine, statt die Hardware zu besitzen. Der Anbieter konfiguriert die Protokollhälfte vor, sodass der Host aktiviert, erreichbar und in Betrieb ist, bevor Sie sich das erste Mal verbinden.
Die wichtigste Variable zwischen den Tarifen ist, ob die Maschine allein Ihnen gehört oder geteilt wird. Das entscheidet, was Sie installieren dürfen und was passiert, wenn ein Nachbar viel zu tun bekommt. Es ist die Grenze zwischen geteilten und Administrator-RDP-Tarifen.
Was Sie mit einem gehosteten RDP-Server bekommen
Die erste Sitzung sieht so aus. Öffnen Sie Remotedesktopverbindung, fügen Sie die Adresse ein, geben Sie dann Benutzernamen und Passwort ein, die Sie erhalten haben. Ein Windows-Desktop erscheint. Ab da verhält er sich wie jede andere Windows-Maschine. Sie installieren Software, surfen, starten Anwendungen und lassen Dinge laufen, wenn Sie das Fenster schließen.
Wofür Sie zahlen, ist der Teil darunter. Der Anbieter besitzt die Hardware, das Netzwerk und die physische Sicherheit. Er hält die Maschine an, wenn Ihr eigener Laptop es nicht ist. Seien Sie sich klar darüber, wo die Grenze liegt. In einem selbst verwalteten Tarif bleibt alles, was innerhalb von Windows passiert, bei Ihnen. Updates, Benutzerkonten und Firewallregeln sind Ihre Aufgabe. Ein gehosteter Server nimmt das Hardwareproblem von Ihrem Schreibtisch; er nimmt Ihnen das Patchproblem nicht ab.
Zwei weitere Eigenschaften zählen in der Praxis. Ressourcen sind meist elastisch, sodass eine zu klein bemessene Maschine mehr CPU oder Speicher bekommen kann, ohne neu aufgebaut zu werden. Und der Standort ist eine Entscheidung, die Sie einmal treffen und jeden Tag spüren, weil die Entfernung die Untergrenze dafür setzt, wie reaktionsschnell die Sitzung sein kann. Anbieter unterscheiden sich bei beidem, und darin, wie viel vom Stack sie anfassen. Das sind die drei Punkte, die es abzuwägen gilt, wenn Sie einen RDP-Anbieter auswählen.
Wer RDP-Server nutzt
Diese vier Situationen brauchen dasselbe: eine Windows-Maschine, die eingeschaltet bleibt, erreichbar bleibt und nicht in einer Tasche mitreist.
Verteilte Teams und Remote-Arbeit
Ein gehosteter Desktop gibt jedem Teammitglied dieselben Werkzeuge und Dateien, egal welche Hardware davor steht. Er kann Arbeitsdaten auf einer vom Unternehmen kontrollierten Maschine halten, statt sie lokal zu speichern, sofern die Richtlinien für Zwischenablage, Laufwerke und andere Umleitungen entsprechend konfiguriert sind.
Entwicklungs- und Testumgebungen
Bauen und Testen braucht Hardware, die die meiste Zeit ungenutzt dasteht. Sie monatlich zu mieten erspart den Kauf von Hardware für die Spitze. Eine Testmaschine, die zerschossen wird, kann neu aufgebaut werden, ohne dass jemand seinen Arbeitsplatz verliert.
Schulungs- und Laborumgebungen
Ein identischer, vorkonfigurierter Desktop, jedem Teilnehmer übergeben, bedeutet, dass jeder vom gleichen Stand aus startet. Niemand verbringt die erste Stunde damit, Software zu installieren oder das Treiberproblem eines Laptops zu beheben.
Auftrags- und Freelance-Arbeit
Ein Kunde kann einem Auftragnehmer eine getrennte Arbeitsumgebung geben, ohne ihm direkten Zugriff auf einen Firmenarbeitsplatz zu gewähren. Daten können auf der gehosteten Maschine bleiben, wenn Zwischenablage, Laufwerke und andere Umleitungswege eingeschränkt sind. Endet das Projekt, kann das Konto oder die Maschine entfernt werden.
RDP-Alternativen, die man kennen sollte
Zwei der drei Alternativen unten können einen Mac steuern. Das ist die Achse, um die sich diese Kategorie dreht. Die Prüffrage ist nicht, welches Werkzeug mehr Funktionen hat, sondern was die Zielmaschine ausführt und ob Sie sie erreichen können.
| Tool | Unterstützte Zielplattformen | Wie Sie es erreichen |
|---|---|---|
| Remotedesktopprotokoll | Windows | Die eigene Adresse des Hosts, standardmäßig über TCP- oder UDP-Port 3389 |
| Chrome Remote Desktop | Mac, Windows oder Linux | Über den Browser, mit einer PIN, die beim Verbinden eingegeben wird |
| TeamViewer | Windows, macOS, Linux und unterstützte Android-Geräte; auf iOS/iPadOS und ChromeOS nur Bildschirmfreigabe | TeamViewer-Software auf dem entfernten Gerät; Desktop- oder Webclient auf der verbindenden Seite |
| UltraVNC | Windows | Ein Windows-Betrachter oder ein Java-Betrachter von Linux, macOS und anderen Systemen aus |
Googles eigene Dokumentation behandelt das Einrichten von Chrome Remote Desktop für den Fernzugriff auf einen Mac-, Windows- oder Linux-Rechner, also genau den Fall, den RDP nicht abdecken kann. Es ist hier die Option, die am leichtesten zum Laufen kommt. Es ist auch die, die am meisten Drittanbieter-Infrastruktur in den Verbindungsweg stellt, und genau dort liegen seine Sicherheitskompromisse.
TeamViewer deckt hier die größte Plattformbreite ab, aber die Unterstützung ist nicht auf jedem Ziel identisch. Seine aktuelle Support-Matrix umfasst Windows, macOS, Linux, Android, iOS/iPadOS und ChromeOS; iOS/iPadOS und ChromeOS sind Fälle von Bildschirmfreigabe und nicht von vollständiger Fernsteuerung.
Die VNC-Familie ist der engste technische Verwandte und in der Praxis der verschiedenste. Die eigene Dokumentation von UltraVNC beschreibt einen Server nur für Windows mit einem Java-basierten Betrachter für andere Plattformen. Sie behandelt Verschlüsselung außerdem als Plug-in statt als Standard, und das ist das Wichtigste, was man wissen sollte, bevor man es über ein nicht vertrauenswürdiges Netz betreibt. Auf einem Windows-Host läuft die Wahl zwischen RDP und VNC meist darauf hinaus.
Wann eine Windows-Maschine zu mieten die richtige Antwort ist
Die Host-Seite von RDP läuft auf eine kurze Anforderungsliste hinaus: eine Maschine, die eingeschaltet und erreichbar bleibt, genug CPU und Speicher für interaktive Arbeit hat und gepatcht wird. Wenn Sie diese Maschine schon haben und sie Remotedesktop hosten kann, gibt es keinen separaten RDP-Dienst zu kaufen. Aktivieren Sie Remotedesktop, machen Sie den Host erreichbar und verbinden Sie sich mit einem Client.
Wenn Sie sie nicht haben, ist genau diese Anforderungsliste das, was ein gehosteter RDP-Server erfüllt. Bei Cloudzy werden unsere Windows-RDP-Server mit vorinstalliertem Windows Server und aktiviertem Remotedesktop ausgeliefert, mit einem Verfügbarkeits-SLA von 99,95 %. Sie laufen in Rechenzentren in Nordamerika, Europa, dem Nahen Osten und Asien-Pazifik, sodass Sie die Maschine nahe an die Leute stellen können, die sie nutzen. Es gibt eine 14-tägige Geld-zurück-Garantie, falls die Latenz schlechter ausfällt als gehofft.
Häufig gestellte Fragen
Ist RDP kostenlos?
Für das RDP-Protokoll und den eingebauten Windows-Client fällt keine separate Gebühr an. Wenn Sie schon einen unterstützten Host besitzen oder betreiben, können Sie sich damit verbinden, ohne ein „RDP"-Produkt zu kaufen. Was Geld kostet, ist die Maschine am anderen Ende. Ein Anbieter, der „ein RDP" zum Monatspreis bewirbt, vermietet Ihnen einen gehosteten Windows-Server, nicht das Protokoll.
Kann ich RDP auf einem Mac oder unter Linux nutzen?
Verbinden können Sie sich von beiden. Microsoft stellt Windows App und Remotedesktop-Clients für macOS und mehrere andere Plattformen bereit; unter Linux brauchen Sie einen RDP-Client eines Drittanbieters. Das Hosten ist die andere Richtung. Linux kann RDP über xrdp beantworten, während macOS nativ keinen RDP-Host bietet.
Ist das Remotedesktopprotokoll dasselbe wie ein VPN?
Nein. RDP gibt Ihnen Bildschirm und Tastatur einer bestimmten Maschine. Ein VPN setzt Ihr Gerät in ein Netzwerk, damit Sie erreichen, was darin liegt, aber es übergibt Ihnen keinen Desktop. Beides wird oft zusammen genutzt: Das VPN liefert den privaten Weg, und RDP betreibt die Sitzung darüber.
Sollte ich den Standard-RDP-Port ändern?
Das senkt den Lärm, nicht das Risiko. Ungezieltes Scannen prüft 3389 und zieht weiter, ein anderer Port hält diesen Verkehr also aus Ihren Protokollen. Zugriffssteuerung ist es nicht: Ein Scan, der auf Ihre Adresse zielt, findet den Dienst trotzdem. Behandeln Sie es als Aufräumen, niemals als Ersatz dafür, den Zugriff einzuschränken.
