Remote Desktop: Sicher aus der Ferne arbeiten

Remote Desktop gilt als schnelle Antwort auf die Frage, wie Mitarbeiter von zu Hause oder unterwegs an ihren Arbeitsplatz kommen. Technisch ist das schnell eingerichtet – und genau darin liegt das Problem. Zwischen „funktioniert“ und „ist sicher“ liegen mehrere Entscheidungen, die in vielen Betrieben nie bewusst getroffen werden. Dieser Artikel erklärt, welche das sind, was Sie zuerst prüfen sollten und wann Sie sich den Aufwand besser sparen.

Was Remote Desktop eigentlich ist

Beim Remote Desktop arbeiten Sie auf einem entfernten Rechner so, als säßen Sie davor: Der Bildschirminhalt wird zu Ihnen übertragen, Tastatur und Maus gehen den Weg zurück. Zwei Varianten sind verbreitet. Bei der ersten greifen Sie direkt auf Ihren Büro-PC zu, der dafür eingeschaltet bleiben muss. Bei der zweiten melden sich viele Mitarbeiter an einem zentralen Server an, auf dem jeder eine eigene Sitzung erhält – klassischerweise über die Remote-Desktop-Dienste von Microsoft, im Sprachgebrauch oft Terminalserver genannt.

Werkzeuge wie TeamViewer oder AnyDesk funktionieren ähnlich, bauen die Verbindung aber anders auf. Für die Sicherheitsfrage ist der Unterschied wichtig: Ein dauerhaft erreichbarer Windows-Remote-Desktop ist ein anderes Angriffsziel als ein Werkzeug, das nur auf Anfrage eine Sitzung öffnet.

Warum ein offener Remote Desktop zum Einfallstor wird

Ein Remote-Desktop-Zugang, der direkt aus dem Internet erreichbar ist, gehört zu den häufigsten Eintrittspunkten für Angriffe auf Firmennetze. Angreifer probieren systematisch Benutzernamen und Passwörter durch, bis eine Kombination passt. Gelingt der Login, sitzen sie mitten im Netz – mit denselben Rechten wie der Mitarbeiter, dessen Konto geknackt wurde. Von dort aus werden Daten kopiert und Verschlüsselungstrojaner verteilt.

Hinzu kommt: Der Remote-Desktop-Dienst selbst hatte in der Vergangenheit wiederholt Sicherheitslücken. Wer den Dienst offen ins Internet stellt und nicht konsequent aktualisiert, riskiert Angriffe ganz ohne Passwort. Die Faustregel lautet deshalb: Ein Remote Desktop gehört nie ungeschützt ins Netz. Er braucht immer eine vorgelagerte Hürde.

Drei Wege, den Zugriff abzusichern

Der erste Weg ist ein VPN: Der Mitarbeiter baut zunächst einen verschlüsselten Tunnel ins Firmennetz auf, und erst darin läuft die Remote-Desktop-Verbindung. Der Dienst ist von außen gar nicht sichtbar.

Der zweite Weg ist ein Remote-Desktop-Gateway. Dabei läuft der Zugriff über eine verschlüsselte HTTPS-Verbindung, die sich mit einer Mehr-Faktor-Authentifizierung kombinieren lässt – also Passwort plus Bestätigung auf dem Telefon. Das Gateway ist der einzige nach außen sichtbare Punkt und lässt sich gezielt überwachen.

Der dritte Weg verlagert das Problem: Wenn die Arbeit ohnehin in Cloud-Anwendungen stattfindet oder auf virtuellen Desktops in einem Rechenzentrum, braucht es den klassischen Fernzugriff auf den Büro-PC oft gar nicht mehr. Welcher Weg passt, hängt weniger von der Technik ab als von der Frage, wer von wo aus was erreichen muss.

Was Sie zuerst prüfen sollten

Bevor Sie über neue Lösungen nachdenken, klären Sie den Ist-Zustand. Der Aufwand dafür ist überschaubar und liefert mehr Erkenntnis als jede Produktpräsentation.

• Ist der Remote-Desktop-Port Ihres Netzes aus dem Internet erreichbar? Ihr IT-Betreuer kann das mit einem externen Scan schnell feststellen.
• Welche Konten dürfen sich remote anmelden? Lautet die Antwort „alle“ oder „weiß keiner“, haben Sie Ihr erstes Ergebnis.
• Gibt es eine Mehr-Faktor-Authentifizierung, oder reicht ein Passwort?
• Werden Gateway, Server und die verwendeten Werkzeuge zeitnah aktualisiert?
• Existieren Protokolle der Anmeldungen, und schaut sie jemand an?
• Ist dokumentiert, wer aus welchem Grund Fernzugriff hat – und wird der Zugang bei einem Austritt sofort entzogen?

Fragen an Ihren IT-Dienstleister

Wenn Sie den Zugriff extern betreuen lassen, stellen Sie diese Fragen – die Antworten zeigen, ob der Dienstleister das Thema ernst nimmt:

• Über welchen Weg läuft der Zugriff technisch: VPN, Gateway oder etwas anderes – und warum wurde dieser Weg gewählt?
• Wie wird verhindert, dass ein gestohlenes Passwort allein genügt?
• Wie werden neue Mitarbeiter eingebunden, und wie schnell wird der Zugang bei Austritt gesperrt?
• Wer wertet die Anmeldeprotokolle aus, und wer wird bei verdächtigen Versuchen informiert?
• Wie ist der Update-Prozess für die Komponenten geregelt, die nach außen zeigen?
• Was passiert, wenn der Fernzugriff ausfällt – gibt es einen Ersatzweg, und wer bekommt das mit?

Ein Dienstleister, der diese Fragen nicht ohne Vorbereitung beantworten kann, betreut den Zugang vermutlich reaktiv statt konzeptionell.

Woran Sie merken, dass etwas schiefläuft

Technische Warnsignale: Konten, die plötzlich gesperrt sind, weil zu viele Anmeldeversuche fehlgeschlagen sind. Anmeldungen zu Zeiten, zu denen niemand arbeitet. Mitarbeiter, die aus ihrer Sitzung geworfen werden, weil sich jemand mit demselben Konto erneut anmeldet. Ein Server, der ohne erkennbaren Grund langsam wird. Passwörter, die nicht mehr funktionieren, obwohl sie niemand geändert hat.

Mindestens ebenso aufschlussreich sind die organisatorischen Signale: Niemand kann auf Anhieb sagen, wer aktuell Fernzugriff hat. Ein ausgeschiedener Mitarbeiter hat noch Wochen später ein funktionierendes Konto. Der Zugriff wurde irgendwann eingerichtet und seitdem nicht mehr hinterfragt. Solche Zustände sind keine Kleinigkeit – sie bedeuten, dass niemand die Kontrolle hat.

Wer im Unternehmen was verantwortet

Die Geschäftsführung legt fest, wer überhaupt remote arbeiten darf, und trägt die Entscheidung über das verbleibende Risiko. Sie muss die Frage beantworten: Welche Daten und Systeme dürfen von außen erreichbar sein, und welche nicht?

Die IT – ob eigene Stelle oder externer Dienstleister – setzt die Vorgaben technisch um, hält die Systeme aktuell und überwacht die Zugriffe. Wichtig ist, dass diese Verantwortung schriftlich festgelegt ist; bei externen Dienstleistern gehört sie in den Vertrag.

Die Mitarbeiter schließlich sind Teil der Absicherung: eigene, nirgendwo sonst verwendete Passwörter, keine Zugangsdaten im Haushalt herumliegen lassen, den Bildschirm sperren, wenn sie den Platz verlassen, und Auffälligkeiten sofort melden statt sie zu ignorieren.

Ein Punkt wird gern übersehen: Fernzugriff und Homeoffice berühren auch den Datenschutz, zum Beispiel wenn Anmeldeprotokolle personenbezogene Daten enthalten oder Mitarbeiter private Geräte einsetzen. Klären Sie die Spielregeln früh, im Zweifel mit Ihrer Datenschutzverantwortung – und bei bestehendem Betriebsrat mit diesem.

Wann sich Remote Desktop nicht lohnt

Ein ehrlicher Blick auf die Alternativen spart Geld und Nerven. Wenn Mitarbeiter von unterwegs nur an einige Dateien müssen, ist ein sauber eingerichteter Cloud-Speicher oder ein synchronisierter Ablageort meist die einfachere Lösung – ganz ohne Fernzugriff auf das Firmennetz.

Wenn Ihre zentralen Anwendungen ohnehin im Browser laufen, zum Beispiel Buchhaltung, Warenwirtschaft oder Kundenverwaltung als Cloud-Dienst, bringt ein Remote Desktop keinen Zusatznutzen. Er wäre dann nur ein weiterer Zugang, den es abzusichern gilt.

Und für eine kleine Firma, in der nur wenige Personen gelegentlich von zu Hause arbeiten, ist ein eigener Terminalserver mit Gateway regelmäßig überdimensioniert. Hier reicht oft eine schlankere Lösung – vorausgesetzt, sie wird genauso konsequent abgesichert.

Umgekehrt gilt: Wenn Sie die nötige Absicherung nicht leisten können oder wollen, ist ein offener Remote Desktop keine Abkürzung, sondern ein Risiko ohne Gegenwert. Dann ist „nicht anbieten“ die bessere Entscheidung als „halbherzig anbieten“.

Die entscheidende Frage steht vor der Technik

Ob Remote Desktop in Ihrem Betrieb sicher funktioniert, entscheidet sich nicht bei der Auswahl der Software, sondern bei drei Vorfragen: Wer braucht von wo aus Zugriff auf was? Welche Hürde steht zwischen Internet und Zugang? Und wer kontrolliert regelmäßig, ob die Antworten von damals noch stimmen? Wer diese Punkte sauber beantwortet, kann aus der Ferne arbeiten, ohne die Tür zum Firmennetz offenstehen zu lassen.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.