Port 3389 offen im Internet: was tatsächlich passiert

Was „offen" praktisch bedeutet

Ein Server, dessen TCP-Port 3389 von jeder Adresse im Internet erreichbar ist, ist nicht unauffällig. Er ist erfasst. Scan-Dienste indizieren den gesamten IPv4-Raum fortlaufend — Shodan und Censys veröffentlichen die Ergebnisse durchsuchbar — und die Zahl der Windows-Maschinen, die zu einem beliebigen Zeitpunkt auf 3389 antworten, geht in die Millionen.

Exponiertheit ist damit keine Wahrscheinlichkeit, sondern ein Fahrplan. Ihre Adresse muss von niemandem gezielt entdeckt werden; sie steht bereits auf einer Liste, und diese Liste wird von allen, die Credential-Angriffe fahren, gekauft, geteilt und neu gescannt.

Die praktische Folge: Ein frisch exponierter Server hat keine ruhige Phase. Es gibt kein Zeitfenster, in dem Sie die Standardeinstellungen stehen lassen und sich nächste Woche um die Härtung kümmern können.

Die erste Woche, Stunde für Stunde

Das Muster ist so beständig, dass es sich vorhersagen lässt. Diese Größenordnungen sind auf einem frischen Windows Server mit offenem RDP und ohne Schutz zu erwarten:

• Erste Stunde — der erste Verbindungsversuch eines Scanners. Oft innerhalb von Minuten, denn Massenscanner arbeiten durchgehend und nicht nach Zeitplan.
• Erster Tag — Dutzende bis wenige hundert fehlgeschlagene Anmeldungen. Die Kontonamen stammen aus einer Standardliste: Administrator, admin, user, test, sql, backup, scanner.
• Erste Woche — einige tausend pro Tag, gleichmäßig rund um die Uhr. Mehrere verschiedene Botnetze haben Sie nun, und sie stimmen sich nicht ab, also addieren sich die Mengen.
• Erster Monat — häufig Zehntausende. Das Sicherheitsprotokoll rotiert so schnell, dass ältere Ereignisse verschwinden, bevor jemand sie liest.
• Danach — die Rate stabilisiert sich. Sie klingt nicht ab: Es gibt keinen Mechanismus, durch den die Bots zu dem Schluss kämen, Sie seien den Versuch nicht wert.

Was tatsächlich versucht wird

Zwei verschiedene Techniken erzeugen dasselbe Verkehrsprofil, und sie zu unterscheiden ist wichtig, weil die Abwehr sich unterscheidet.

Klassisches Brute-Force bearbeitet ein Konto intensiv — meist Administrator — und arbeitet eine Passwortliste ab. Es ist laut, es löst Sperrrichtlinien aus, und es scheitert an jedem Passwort, das nicht auf der Liste steht.

Password Spraying dreht das um: ein verbreitetes Passwort, einmal gegen viele Kontonamen, dann eine Pause, dann das nächste Passwort. Es bleibt konstruktionsbedingt unter den Sperrschwellen, und es ist die Technik, die tatsächlich Erfolg hat — in jeder Organisation mit genug Konten nutzt irgendjemand das Saison-Passwort.

Beide sind im selben 4625-Strom sichtbar, und beide werden durch dasselbe gestoppt: die Quelle blockieren, bevor sie die Liste durchhat. Keine von beiden wird durch eine Sperrrichtlinie gestoppt — Spraying ist gebaut, um sie zu umgehen, und Brute-Force macht daraus einen selbst verursachten Ausfall.

Prüfen, ob Sie exponiert sind

Tun Sie das von außerhalb Ihres eigenen Netzes. Innerhalb des LAN antwortet alles, was nichts aussagt. Von einer anderen Maschine an einer anderen Leitung:

# Von einer Maschine außerhalb Ihres Netzes, gegen die öffentliche IP des Servers:
Test-NetConnection -ComputerName 203.0.113.10 -Port 3389

# Auf dem Server selbst: was lauscht, und auf welcher Schnittstelle?
Get-NetTCPConnection -State Listen |
  Where-Object LocalPort -in 3389,3390 |
  Select-Object LocalAddress, LocalPort, OwningProcess

# Und welche Firewall-Regeln RDP derzeit hereinlassen:
Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
  Where-Object { ($_ | Get-NetFirewallPortFilter).LocalPort -contains 3389 } |
  Select-Object DisplayName, Profile

Schließen, nach Wirksamkeit geordnet

Sortiert danach, wie viel Risiko die jeweilige Option tatsächlich entfernt:

• Gar nicht exponieren. Den Server über VPN, ein RD Gateway oder einen Bastion-Host erreichen. Das beseitigt die Exponiertheit, statt sie zu verwalten, und alles Folgende ist ein Kompromiss dagegen.
• Die Quelle einschränken. Ist die Menge legitimer Adressen klein und stabil — Büro-Bereiche, ein VPN-Ausgang, ein Jump-Host —, erlauben Sie in der Firewall nur diese und verwerfen den Rest. Hervorragend, wenn es passt, und es passt nicht mehr, sobald jemand verreist.
• Angreifende Quellen automatisch sperren. Den Fehlschlagstrom beobachten und alles, was eine Schwelle überschreitet, dauerhaft und subnetzweise per Firewall blockieren. Das ist die Antwort, wenn der Dienst von beliebigen Adressen erreichbar bleiben muss.
• Weg von 3389. Senkt das ungezielte Volumen um rund 90% und schützt vor nichts, was gezielt nach Ihnen sucht. Sinnvoll als Rauschunterdrückung zusätzlich zu einem der obigen Punkte, nie als Ersatz.

Wenn es offen bleiben muss

Viele Server können nicht hinter ein VPN — Auftragnehmer, kundeneigene Maschinen, Teams, die von überall verbinden. Trifft das zu, ist die Exponiertheit gegeben, und die Aufgabe besteht darin, sie überlebbar zu machen.

Aktivieren Sie Network Level Authentication, damit für einen nicht authentifizierten Client nie eine Sitzung entsteht. Verlangen Sie lange Passwörter und Multi-Faktor-Authentifizierung für jedes Konto, das sich remote anmelden kann. Benennen Sie das eingebaute Administrator-Konto um oder deaktivieren Sie es, denn es ist der erste Name auf jeder Liste. Halten Sie den Host gepatcht — RDP hatte bereits Schwachstellen vor der Authentifizierung und wird weitere haben.

Ergänzen Sie dann, was Windows nicht mitliefert: etwas, das den Fehlschlagstrom beobachtet und in Firewall-Regeln übersetzt. Genau das tut RDP Protector — mit Subnetzsperren, dauerhaften Blockaden, die Neustarts überleben, und einer Whitelist, die Ihre eigene Adresse enthält, bevor irgendetwas blockiert wird. Ein Server ist dauerhaft kostenlos, genug, um Ihre echten Zahlen zu sehen statt sie zu schätzen.