Windows RDP absichern – NLA und Zertifikate aktivieren

Aktualisiert am 31.10.2026 · Lesezeit ca. 7 Min. · Niveau: Fortgeschrittene · von Viktor Tribus, IT-Tribus Nideggen

In der aktuellen Cyber-Sicherheitslandschaft ist die Absicherung von Remote Desktop Protokoll (RDP) eine wichtige Maßnahme. Besonders in privaten Umgebungen oder Home-Office Szenarien, wo Sicherheit oft übersehen wird, kann ein korrekter RDP-Einsatz entscheidend sein. Dieser Artikel erklärt Schritt für Schritt, wie Sie Network Level Authentication (NLA) aktivieren und Zertifikate verwenden können, um Ihre RDP-Sitzungen zu schützen.

Network Level Authentication (NLA) ist eine Sicherheitsmaßnahme, die erfordert, dass Benutzer sich bereits authentifizieren müssen bevor sie eine RDP-Verbindung herstellen können. Dies verhindert Angriffe wie Man-in-the-Middle-Angriffe und ermöglicht es Ihnen, nur autorisierten Personen Zugang zu gewähren. Zertifikate hingegen bieten zusätzliche Verschlüsselungsebene, die Daten in der Übertragung schützt.

Diese Konfiguration ist besonders wichtig, wenn Sie über das Internet oder ungesicherte Netzwerke verbinden und möchten, dass Ihre Verbindung sicher bleibt. Ohne diese Schritte können RDP-Verbindungen leicht für Angriffe missbraucht werden, insbesondere während des Europäischen Monats der Cybersicherheit im Oktober.

• Windows-Version: Windows 10 oder neuer (für ältere Versionen ist NLA manuell zu aktivieren)
• Administratorenrechte: Sie müssen über Administratorrechte verfügen, um die Gruppenrichtlinien und Systemeinstellungen anpassen zu können.
• Zertifikate: Ein gültiges Zertifikat von einer vertrauenswürdigen Stelle oder ein selbst signiertes Zertifikat für interne Verwendung (mehr dazu im Artikel).

Prüfen Sie Ihre Windows-Version: wmic os get caption, version.

Network Level Authentication kann über Gruppenrichtlinien (GP) oder die Registry konfiguriert werden.

1. Öffnen Sie die Eingabeaufforderung mit Administratorenrechten.
2. Führen Sie den Befehl gpedit.msc aus, um das Gruppenrichtlinien-Editor zu öffnen.
3. Navigieren Sie zu Computer-Konfiguration → Administrative Vorlagen → Komponenten von Windows → Remotedesktopdienste → Remotedesktopsessionhost → Sicherheit.
4. Doppelklicken Sie auf „Remotedesktop-Zugriff erfordert Netzwerkebene-Authentifizierung“ und wählen Sie „Aktiviert“.
5. Klicken Sie auf „OK“ um die Änderungen zu speichern.

So prüfen Sie, ob es geklappt hat: Führen Sie den Befehl reg query "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections aus. Der Wert „fDenyTSConnections“ sollte 0 sein.

1. Navigieren Sie zum Ordnern mit dem Zertifikat (z.B. C:\Zertifikate\).
2. Führen Sie den Befehl certutil -addstore -f "Remote Desktop" C:\Pfade\zu\Ihrer\Certificate.cer aus, um das Zertifikat zu installieren.
3. Navigieren Sie in der Eingabeaufforderung mit Administratorechten zum Verzeichnis von „C:\Program Files (x86)\Microsoft Terminal Services Licensing\TLSSrv.inf“.
4. Führen Sie den Befehl tlssrv -install aus, um das Zertifikat zu konfigurieren.

So prüfen Sie, ob es geklappt hat: Öffnen Sie die Eingabeaufforderung und führen Sie netstat -an | find "3389". Es sollte eine sichere Verbindung mit dem Status „LISTENING“ angezeigt werden.

1. Navigieren Sie zu Windows-Firewall in den Systemeinstellungen (Win + X → Windows Defender Firewall).
2. Klicken Sie auf „Eingehende Regeln“ und dann auf „Neu“.
3. Erstellen Sie eine neue Regel für TCP-Port 3389 mit der Aktion „Zulassen“.

So prüfen Sie, ob es geklappt hat: Führen Sie den Befehl netsh advfirewall firewall show rule name=all | findstr "Remote Desktop" aus. Es sollten zulassende Regeln für Port 3389 angezeigt werden.

1. Führen Sie den Befehl wie hier beschrieben SSH auf Windows aktivieren und konfigurieren.
2. Navigieren Sie zum Ordner mit dem SSH-Schlüssel (z.B. C:\Users\Benutzername\.ssh).
3. Fügen Sie den öffentlichen Schlüssel in die Datei ~/.ssh/authorized_keys ein.
4. Konfigurieren Sie eine SSH-Forwarding-Vorrichtung, um RDP über SSH zu verbinden: ssh -L 33890:localhost:3389 BENUTZER@SERVER-IP.

So prüfen Sie, ob es geklappt hat: Verwenden Sie einen SSH-Client wie PuTTY oder OpenSSH zum Testen der Verbindung.

Erstellen Sie vorher ein Backup bzw. einen Wiederherstellungspunkt.

1. Führen Sie den Befehl net stop termservice aus, um den Remotedesktopdienst zu beenden.
2. Nach dem Beenden des Dienstes führen Sie den Befehl net start termservice aus, um ihn erneut zu starten.

So prüfen Sie, ob es geklappt hat: Führen Sie den Befehl sc query termservice aus. Der Dienst sollte als „RUNNING“ angezeigt werden.

1. Navigieren Sie zum Dienst-Manager (Win + R → services.msc).
2. Suchen Sie nach „Remote Desktop Services“ und öffnen Sie die Eigenschaften.
3. Stellen Sie sicher, dass der Starttyp auf „Automatisch“ eingestellt ist.

So prüfen Sie, ob es geklappt hat: Führen Sie den Befehl tasklist | find "termservice" aus. Es sollte ein aktives Prozess mit dem Namen „termservice.exe“ angezeigt werden.

Ursache: NLA ist aktiviert, aber das Zertifikat fehlt oder ist ungültig. Lösung: Installieren Sie ein gültiges Zertifikat und führen Sie tlssrv -install aus.

Ursache: Die Firewall blockiert eingehende Verbindungen auf Port 3389. Lösung: Erstellen Sie eine neue Eingangsregel in der Windows-Firewall mit dem Befehl New-NetFirewallRule -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Allow.

Ursache: Der Remotedesktopdienst ist nicht gestartet. Lösung: Starten Sie den Dienst über die Eingabeaufforderung mit net start termservice.

Ursache: Die Gruppenrichtlinie für NLA wurde nicht korrekt konfiguriert. Lösung: Öffnen Sie den Gruppenrichtlinien-Editor (gpedit.msc) und aktivieren Sie die Richtlinie „Remotedesktop-Zugriff erfordert Netzwerkebene-Authentifizierung“.

Um die Änderungen rückgängig zu machen, können Sie den Gruppenrichtlinien-Editor wieder öffnen und die Einstellungen zurücksetzen. Für das Zertifikat können Sie es aus dem Store entfernen.

1. Öffnen Sie den Gruppenrichtlinien-Editor (gpedit.msc).
2. Navigieren Sie zu „Computer-Konfiguration → Administrative Vorlagen → Komponenten von Windows → Remotedesktopdienste → Remotedesktopsessionhost → Sicherheit“.
3. Doppelklicken Sie auf „Remotedesktop-Zugriff erfordert Netzwerkebene-Authentifizierung“ und wählen Sie „Deaktiviert“.
4. Entfernen Sie das Zertifikat aus dem Store: Öffnen Sie den Gerätestatus (Win + X → Zertifikate), öffnen Sie „Zertifikatspeicher für Computer“ und löschen Sie das RDP-Zertifikat.

Ja, SSH kann auf vielen Plattformen konfiguriert werden (Linux, macOS). Für weitere Informationen lesen Sie den Artikel hier.

NLA bietet zusätzliche Sicherheit durch vorzeitige Authentifizierung, was Angriffe wie Man-in-the-Middle-Angriffe verhindert.

Ja, SSH kann als sichere Tunnel-Technologie für RDP verwendet werden. Lesen Sie dazu den Artikel hier.

Das Entfernen des Zertifikats deaktiviert die Verschlüsselung und macht Ihre Verbindung weniger sicher.

Sicher! IT-Tribus in Nideggen bietet Unterstützung für die Konfiguration von RDP-Sitzungen, einschließlich Sicherheitsmaßnahmen wie NLA und Zertifikate.

Die Absicherung Ihrer Remote Desktop-Verbindungen ist eine wichtige Vorsichtsmaßnahme, um Ihre Systeme vor Angriffen zu schützen. Durch die Aktivierung von Network Level Authentication (NLA) und das Verwenden von Zertifikaten können Sie sicherstellen, dass nur autorisierte Benutzer Zugriff auf Ihre RDP-Sitzungen haben. IT-Tribus kann Ihnen dabei helfen, diese Schritte korrekt umzusetzen, um eine optimale Sicherheit zu gewährleisten.

• Remote Desktop via RDP: Best Practices (4/4) – heise.de
• Der Benutzer kann sich nicht authentifizieren oder muss sich … – learn.microsoft.com
• RDP NLA Encryption Level Security Layer – der-windows-papst.de
• Tipps für die Absicherung von RDP-Verbindungen – computerweekly.com
• Fernverwaltung in Windows sicher aktivieren – ninjaone.com
• Network Level Authentication: Ein Leitfaden für geschützten Zugriff – splashtop.com

Hinweis: Dieser Beitrag wurde am 31.10.2026 mit KI-Unterstützung erstellt, auf Basis der genannten Quellen eigenständig formuliert und redaktionell von IT-Tribus betreut. Alle Angaben ohne Gewähr – bitte prüfen Sie Befehle vor dem Einsatz in produktiven Umgebungen und legen Sie vorher eine Sicherung an.