RDP oder VPN: was Ihre Server wirklich brauchen

Der Vergleich, den man zu ziehen glaubt

„RDP oder VPN" klingt nach einer Wahl zwischen zwei Fernzugriffstechniken. Ist es nicht: Ein VPN ersetzt RDP nicht, es entscheidet, wer es erreichen darf. Am Ende benutzen Sie weiterhin Remote Desktop. Die eigentliche Frage lautet, ob der RDP-Dienst dem gesamten Internet zuhört oder einem privaten Netz, dessen Tür Sie kontrollieren.

So formuliert ist der Sicherheitsvergleich nicht knapp. Ein VPN beseitigt die Exponiertheit; direktes RDP verwaltet sie. Jeder ernstzunehmende Härtungsleitfaden sagt: nehmt das VPN. Und jeder ernstzunehmende Härtungsleitfaden hat recht.

Trotzdem sind enorm viele Produktivserver direkt exponiert, betrieben von Leuten, die diese Leitfäden gelesen haben. Das sollte man ernst nehmen statt abtun, denn die Gründe sind meist echt.

Was ein VPN wirklich ändert

Setzen Sie ein VPN davor, und der RDP-Dienst ist nicht mehr aus dem Internet erreichbar. Diese eine Tatsache entfernt eine ganze Problemkategorie:

• Die Scanner finden Sie nicht mehr. Das Volumen fehlgeschlagener Anmeldungen geht praktisch auf null, und Ihr Sicherheitsprotokoll wird wieder lesbar.
• Schwachstellen in RDP selbst vor der Authentifizierung hören auf, dringend zu sein. Erreicht kein Unauthentifizierter den Dienst, ist die nächste RDP-CVE ein Patch, den Sie planen, statt eines Vorfalls, den Sie bewältigen.
• Credential-Angriffe müssen zuerst durch die Authentifizierung des VPN — eine weitere Stelle für Multi-Faktor und ein weiteres Protokoll zum Durchsehen.
• Sie bekommen einen einzigen, prüfbaren Zugangspunkt statt eines auf jedem Server einzeln exponierten Dienstes.

Was der Betrieb kostet

Der Grund, weshalb VPNs empfohlen und nicht eingeführt werden, ist: Die Kosten sind betrieblich statt finanziell, und sie treffen Menschen statt Budgets.

Jede Person mit Zugriffsbedarf braucht Client, Zugangsdaten und eine funktionierende Konfiguration — auch der Auftragnehmer, der für zwei Wochen dazukommt, die Kollegin am Telefon und wer immer um drei Uhr nachts Bereitschaft hat, aus einem Hotelnetz, das den VPN-Port blockiert.

Das VPN selbst wird kritische Infrastruktur. Ist es aus, erreicht niemand mehr etwas, auch nicht die Leute, die es reparieren müssten. Es braucht Monitoring, Patches und einen eigenen Notzugang, und VPN-Appliances waren selbst bei mehreren großen Vorfällen der Einstiegspunkt.

Und es gibt einen Fehlerfall speziell für halb eingeführte VPNs: Das VPN kommt, ein Server bleibt „vorübergehend" direkt exponiert, damit ein Kunde verbinden kann, und diese Ausnahme überlebt alle, die sich an ihre Zustimmung erinnern. Eine dokumentierte, verteidigte direkte Exponiertheit ist sicherer als eine undokumentierte hinter einem VPN, das niemand prüft.

Wann direktes RDP die vertretbare Wahl ist

Kein Zugeständnis — es gibt Situationen, in denen es die bessere technische Entscheidung ist.

Wenn die Zugriffsberechtigten außerhalb Ihrer Kontrolle stehen. Kundeneigene Server, externe Auftragnehmer, Agenturen, die Maschinen hin- und herreichen: Sie können einer Organisation, die Sie nicht verwalten, keine VPN-Zugangsdaten ausstellen.

Wenn Sie einen oder eine Handvoll Server betreiben. VPN-Infrastruktur aufzubauen und zu pflegen, um zwei Maschinen zu schützen, ist ein schlechter Handel, und das VPN wird das wahrscheinlichere Ausfallteil.

Wenn Zugriff von überall und sofort funktionieren muss. Hotel- und Firmennetze blockieren VPN-Protokolle oft genug, dass „ich komme nicht rein" während eines Vorfalls ein reales Betriebsrisiko ist.

In diesen Fällen lautet die ehrliche Position: Der Dienst ist exponiert und braucht kompensierende Maßnahmen, die tatsächlich vorhanden sind — MFA auf jedem Konto, NLA, aktuelle Patches und automatisches Sperren wiederholt scheiternder Quellen. Diese Kombination ist deutlich stärker als ein VPN, um das die Hälfte des Teams herumarbeitet.

Die Optionen dazwischen

Die Wahl ist nicht binär, und im Mittelfeld landen die meisten gut geführten Bestände.

• Remote Desktop Gateway — tunnelt RDP über HTTPS auf 443, funktioniert also aus Netzen, die alles andere blockieren, und gibt Ihnen einen authentifizierten, protokollierten Zugangspunkt. Im Nutzen näher am VPN, im Betriebsaufwand näher an RDP.
• Ein Bastion- oder Jump-Host — eine gehärtete, stark überwachte Maschine ist exponiert, alles andere nur von ihr aus erreichbar. Konzentriert das Risiko dort, wo Sie es sich leisten können, genau hinzusehen.
• Session-Manager der Cloud-Anbieter — Zugriff per Browser oder Agent ganz ohne eingehenden Port. Hervorragend, wo Ihre Server bei einem Anbieter liegen, der das bietet; nicht verfügbar, wo nicht.
• Zero-Trust Network Access — anwendungsbezogener, identitätsbewusster Zugriff ohne Tunnel auf Netzwerkebene. Die Richtung, in die sich die Branche bewegt, mit passendem Abonnement und Einführungsaufwand.
• Quellbeschränktes RDP — kein Tunnel, nur eine Firewall, die eine kleine Liste bekannter Adressen zulässt. Die billigste echte Maßnahme, und sie trägt genau bis jemand verreist.

Entscheiden

Zwei Fragen klären es meistens. Kann jede Person mit Zugriffsbedarf ein VPN zuverlässig erreichen, aus jedem Netz, aus dem sie arbeitet? Und haben Sie jemanden, der dieses VPN gepatcht und überwacht hält?

Zweimal ja: Nehmen Sie das VPN und hören Sie hier auf. Es ist die stärkere Konstruktion, und die Kosten können Sie tragen.

Irgendein Nein: Seien Sie ehrlich, dass der Dienst exponiert ist, und bauen Sie die kompensierenden Maßnahmen richtig, statt ein VPN einzuführen, das umgangen wird. Das heißt MFA überall, NLA an, Patches aktuell, das eingebaute Administrator-Konto deaktiviert und automatisches Firewall-Sperren wiederholt scheiternder Quellen.

RDP Protector deckt diesen letzten Punkt für Server ab, die erreichbar bleiben — Subnetzsperren, dauerhaft und neustartfest, Ihre eigene Adresse auf der Whitelist, bevor irgendetwas blockiert wird, und Ports aus der Registry erkannt statt angenommen. Auch hinter einem VPN lohnt es sich, denn die verbleibenden Fehlanmeldungen kommen dann aus Ihrem Perimeter — und genau von diesem Verkehr wollen Sie wissen.