Windows-vServer: Erste Schritte und RDP absichern

Ihr Windows-vServer ist bereitgestellt und Sie haben die Zugangsdaten erhalten. Bevor Sie Anwendungen installieren, sollten Sie einige grundlegende Einstellungen vornehmen. Diese Anleitung führt Sie durch die erste Anmeldung, die wichtigsten Updates und vor allem durch die Absicherung des Remotedesktop-Zugangs (RDP), der im Internet ständig automatisiert angegriffen wird.

Schritt 1: Erste Anmeldung

Verbinden Sie sich per Remotedesktop mit der IP-Adresse aus Ihrer Bereitstellungs-E-Mail. Wie das unter Windows, macOS und Linux funktioniert, erklärt unser Artikel Remotedesktop-Verbindung zu Ihrem Windows-Server herstellen.

Melden Sie sich mit dem Benutzer Administrator und dem mitgeteilten Passwort an. Ändern Sie das Passwort sofort mit Strg+Alt+Ende → Kennwort ändern. Verwenden Sie mindestens 16 Zeichen.

Schritt 2: Updates installieren

Öffnen Sie Einstellungen → Windows Update und installieren Sie alle verfügbaren Updates. Starten Sie den Server danach neu und wiederholen Sie den Vorgang, bis keine Updates mehr angeboten werden. Unter Erweiterte Optionen → Nutzungszeit legen Sie fest, wann Neustarts nicht stattfinden sollen.

Schritt 3: Eigenen Administrator anlegen

Der Benutzername Administrator ist Angreifern bekannt. Legen Sie deshalb einen eigenen Administrator mit einem anderen Namen an und verwenden Sie diesen für die tägliche Arbeit. Öffnen Sie eine PowerShell als Administrator:

$pw = Read-Host -AsSecureString "Neues Passwort"
New-LocalUser -Name "ahadmin" -Password $pw -PasswordNeverExpires
Add-LocalGroupMember -Group "Administratoren" -Member "ahadmin"
Add-LocalGroupMember -Group "Remotedesktopbenutzer" -Member "ahadmin"

Auf englischsprachigen Systemen heißen die Gruppen Administrators und Remote Desktop Users. Melden Sie sich anschließend mit dem neuen Konto an und prüfen Sie, ob alles funktioniert. Danach können Sie das Standardkonto deaktivieren:

Disable-LocalUser -Name "Administrator"

Schritt 4: Kontosperrung aktivieren

Eine Kontosperrung bremst Passwort-Rateangriffe aus. Öffnen Sie secpol.msc → Kontorichtlinien → Kontosperrungsrichtlinien und setzen Sie:

• Kontensperrungsschwelle: 10 ungültige Anmeldeversuche
• Kontosperrdauer: 15 Minuten
• Zurücksetzen des Kontosperrungszählers nach: 15 Minuten

Alternativ per Kommandozeile:

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Ab Windows Server 2025 ist für lokale Konten bereits eine Sperre voreingestellt. Prüfen Sie die Werte trotzdem.

Schritt 5: Network Level Authentication prüfen

Mit Network Level Authentication (NLA) muss sich ein Benutzer anmelden, bevor überhaupt eine Remotedesktop-Sitzung aufgebaut wird. Das schützt vor einer ganzen Klasse von Angriffen. Prüfen Sie unter Systemsteuerung → System → Remoteeinstellungen, ob die Option Verbindungen nur von Computern zulassen, auf denen Remotedesktop mit Authentifizierung auf Netzwerkebene ausgeführt wird aktiviert ist.

Schritt 6: RDP-Zugriff einschränken

Die wirksamste Maßnahme ist, RDP nicht für das gesamte Internet freizugeben. Dafür gibt es mehrere Wege:

Variante A: Nur bestimmte IP-Adressen zulassen

Wenn Sie eine feste IP-Adresse im Büro haben, beschränken Sie die Firewall-Regel darauf:

Get-NetFirewallRule -DisplayGroup "Remotedesktop" |
  Where-Object { $_.Direction -eq "Inbound" } |
  Set-NetFirewallRule -RemoteAddress 198.51.100.20

Ersetzen Sie 198.51.100.20 durch Ihre eigene IP-Adresse. Mehrere Adressen trennen Sie mit Kommas. Bei englischen Systemen lautet die Gruppe Remote Desktop. Achtung: Haben Sie keine feste IP, sperren Sie sich damit beim nächsten Adresswechsel aus.

Variante B: Zugriff über VPN

Noch sicherer ist es, RDP ausschließlich über ein VPN wie WireGuard zu erlauben. Der RDP-Port ist dann aus dem Internet gar nicht mehr erreichbar. Wie das geht, zeigt unser Artikel WireGuard-VPN auf einem Linux-Server einrichten.

Variante C: RDP-Port ändern

Ein anderer Port statt 3389 reduziert die Zahl automatisierter Anmeldeversuche, ist aber kein Ersatz für die Varianten A oder B. Wenn Sie den Port ändern, legen Sie zuerst die neue Firewall-Regel an und ändern erst dann den Port, sonst sperren Sie sich aus.

Schritt 7: Fehlgeschlagene Anmeldungen kontrollieren

Fehlgeschlagene Anmeldungen werden im Ereignisprotokoll mit der ID 4625 gespeichert. Diese Abfrage zeigt die letzten 20 Einträge:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 |
  Select-Object TimeCreated, @{n='IP';e={$_.Properties[19].Value}}

Tauchen hier Tausende Einträge auf, wird Ihr Server aktiv angegriffen. Spätestens dann sollten Sie den Zugriff nach Variante A oder B einschränken.

Schritt 8: Weitere Empfehlungen

• Microsoft Defender aktiviert lassen und regelmäßig prüfen
• Nicht benötigte Rollen und Dienste nicht installieren
• Backups einrichten und die Wiederherstellung testen
• Keine Freigaben (SMB, Port 445) direkt ins Internet öffnen

Häufige Fragen

Ich habe mich ausgesperrt. Was nun?

Über die Konsole in Ihrem Kundenbereich erreichen Sie den Server auch ohne Netzwerkzugang. Melden Sie sich dort an und korrigieren Sie die Firewall-Regel. Kommen Sie nicht weiter, eröffnen Sie bitte ein Ticket.

Brauche ich zusätzliche RDS-Lizenzen?

Für die Administration sind zwei gleichzeitige Sitzungen ohne zusätzliche Lizenzen erlaubt. Sollen mehrere Benutzer gleichzeitig mit dem Server arbeiten, benötigen Sie RDS-CALs.

Weitere Informationen zu unseren Windows-Servern finden Sie auf der Seite Windows-vServer.