Fernwartung und RDP absichern: Wie Sie das häufigste Einfallstor für Ransomware schließen

Ein offener RDP-Port im Internet ist eine der zuverlässigsten Methoden, sich Ransomware ins Firmennetz zu holen. Angreifer suchen das gesamte Internet automatisiert nach erreichbaren Fernzugängen ab, probieren gestohlene Passwörter durch und melden sich an, statt einzubrechen. Dieser Beitrag zeigt Ihnen, wie Sie Fernwartung und RDP so absichern, dass diese Tür zu bleibt.

Warum RDP das häufigste Einfallstor für Ransomware ist

RDP ist deshalb so gefährlich, weil es einen vollständigen Zugriff auf einen Windows-Rechner ermöglicht und oft direkt aus dem Internet erreichbar ist. Angreifer finden offene Ports binnen Minuten, testen automatisiert gestohlene Zugangsdaten und melden sich mit gültigen Anmeldedaten an. Ein einziger erfolgreicher Login genügt, um das gesamte Netzwerk zu verschlüsseln.

Das Remote Desktop Protocol (RDP) von Microsoft überträgt Bildschirm, Tastatur und Maus eines entfernten Windows-Rechners. Für Fernwartung, Homeoffice und Standortanbindung ist das praktisch. Genau deshalb ist es aber auch ein bevorzugtes Ziel. Die Sicherheitsforscher von Sophos werten jedes Jahr hunderte reale Angriffsfälle aus. In ihrem Active Adversary Report für das Angriffsjahr 2024 war RDP in 84 Prozent der untersuchten Fälle im Spiel und damit das mit Abstand am häufigsten missbrauchte Microsoft-Werkzeug. In der Auswertung des folgenden Zeitraums (November 2024 bis Oktober 2025, 661 Fälle) waren immer noch rund zwei Drittel der Angriffe mit interner RDP-Nutzung verbunden.

Quelle: Sophos Active Adversary Report 2025Auswertung von über 400 Incident-Response- und MDR-Fällen aus 2024.

Der Kern des Problems hat sich verschoben: Angreifer brechen nicht mehr technisch ein, sie loggen sich ein. In der jüngsten Sophos-Auswertung waren rund 67 Prozent der Angriffsursachen mit kompromittierten Identitäten verknüpft, also mit gestohlenen oder erratenen Zugangsdaten. In etwa 59 Prozent der Fälle fehlte eine Mehr-Faktor-Authentifizierung oder war falsch konfiguriert.

Quelle: Sophos Active Adversary Report 2026Auswertung von 661 Incident-Response-Fällen, Zeitraum November 2024 bis Oktober 2025.

Wie Angreifer offene Fernzugänge konkret ausnutzen

Angreifer gehen in einer verlässlichen Reihenfolge vor: Sie scannen das Internet nach offenen RDP- und Fernwartungs-Ports, probieren an den gefundenen Systemen automatisiert Zugangsdaten durch und nutzen den ersten erfolgreichen Login, um sich im Netz auszubreiten. Danach werden Backups gesucht, gelöscht und erst dann die Daten verschlüsselt, meist außerhalb Ihrer Geschäftszeiten.

Die typischen Angriffswege im Detail:

• Offene Ports finden: Suchmaschinen für erreichbare Geräte listen offene RDP-Ports weltweit. Ein neu ins Internet gestellter Zugang wird oft innerhalb von Minuten das erste Mal angesprochen.
• Gestohlene Zugangsdaten: Aus früheren Datenlecks stammen Milliarden von Kombinationen aus Benutzername und Passwort. Angreifer probieren sie systematisch durch (Credential Stuffing).
• Rateangriffe (Brute Force): Schwache oder wiederverwendete Passwörter werden automatisiert erraten. Ein Konto wie Administrator mit einem einfachen Passwort ist innerhalb kurzer Zeit offen.
• Ungepatchte Schwachstellen: Bekannt gewordene Lücken in RDP, VPN-Gateways oder Fernwartungssoftware werden gezielt ausgenutzt, solange Updates fehlen.
• Unsichere Fernwartungssoftware: Auch Tools wie TeamViewer, AnyDesk oder VNC sind Einfallstore, wenn sie ohne festen Zugriffsschutz, ohne MFA und mit Standardeinstellungen laufen.

Das Gefährliche daran ist die Kombination aus Automatisierung und Geduld. Für den Angreifer kostet ein weiterer Scan fast nichts. Er muss nur einen einzigen offenen, schwach gesicherten Zugang in Ihrem Betrieb finden.

Die wichtigste Regel: RDP niemals direkt ins Internet

Die zentrale Regel lautet: Kein RDP-Port und keine Fernwartung darf direkt aus dem Internet erreichbar sein. Jeder Fernzugang gehört hinter eine vorgelagerte, abgesicherte Schleuse, entweder ein VPN oder ein Remote Desktop Gateway, und zusätzlich hinter eine Mehr-Faktor-Authentifizierung. Wer nur diese eine Regel umsetzt, schließt bereits das größte Einfallstor.

Damit reduzieren Sie die Angriffsfläche drastisch. Statt eines offenen RDP-Dienstes, den jeder im Internet ansprechen kann, gibt es nur noch einen gehärteten Einwahlpunkt, der Identität und Berechtigung prüft, bevor überhaupt eine RDP-Sitzung zustande kommt. Welcher Weg für Ihren Betrieb passt, hängt von Größe und Infrastruktur ab.

Mehr-Faktor-Authentifizierung: der wirksamste Einzelhebel

Mehr-Faktor-Authentifizierung (MFA) ist die wirksamste Einzelmaßnahme gegen den Missbrauch gestohlener Zugangsdaten. Selbst wenn ein Passwort bereits im Umlauf ist, scheitert der Angreifer am zweiten Faktor, etwa einer Bestätigung in einer App oder einem Hardware-Token. Genau hier haben in der Praxis die meisten kompromittierten Zugänge versagt, weil MFA fehlte oder falsch eingerichtet war.

Setzen Sie MFA konsequent für jeden Fernzugang durch, ohne Ausnahmen für einzelne Administratoren oder Dienstleister. Bevorzugen Sie App-Bestätigungen mit Nummernabgleich oder Hardware-Token gegenüber SMS-Codes, die abgefangen werden können. Microsoft dokumentiert die verfügbaren Verfahren und die Einrichtung in Microsoft Entra.

Quelle: Microsoft Learn: Microsoft Entra Multifactor Authentication

Systeme aktuell halten und Angriffsfläche verkleinern

Der zweite Baustein ist konsequentes Patchen. RDP-Dienste, VPN-Gateways und Fernwartungssoftware sind ein bevorzugtes Ziel, sobald eine neue Schwachstelle bekannt wird. Angreifer setzen bekannt gewordene Lücken oft innerhalb weniger Tage aktiv ein. Wer Updates zeitnah einspielt, nimmt ihnen dieses Werkzeug aus der Hand. Das BSI bezeichnet regelmäßige Updates als einen Grundpfeiler der IT-Sicherheit.

Quelle: BSI: Softwareupdates als Grundpfeiler der IT-Sicherheit

Zusätzlich verkleinern Sie die Angriffsfläche, indem Sie Unnötiges abschalten:

• Deaktivieren Sie Fernzugänge, die niemand mehr braucht, statt sie nur zu ignorieren.
• Beschränken Sie den Zugriff nach Möglichkeit auf bekannte IP-Adressen oder Länder.
• Nutzen Sie eigene Konten pro Person, keine geteilten Sammelkonten, und deaktivieren Sie Standard-Administratorkonten.
• Vergeben Sie nur so viele Rechte wie nötig, damit ein gekapertes Konto nicht sofort das ganze Netz öffnet.
• Behandeln Sie Fernwartungszugänge Ihrer Dienstleister genauso streng wie eigene Konten.

Das BSI fasst die wichtigsten Schutzmaßnahmen gegen Ransomware kompakt zusammen und bestätigt die Stoßrichtung dieser Punkte.

Quelle: BSI: Top 10 Ransomware-Maßnahmen

Anmeldungen überwachen und Angriffe automatisch bremsen

Absicherung endet nicht bei der Tür, Sie müssen auch sehen, wer klopft. Überwachen Sie fehlgeschlagene und erfolgreiche Anmeldungen an allen Fernzugängen, sperren Sie Konten nach mehreren Fehlversuchen automatisch und lassen Sie sich bei auffälligen Mustern alarmieren, etwa Logins nachts oder aus unerwarteten Ländern. So erkennen Sie einen Angriff, bevor er zum Schaden wird.

Automatische Sperrregeln (Account Lockout) bremsen Rateangriffe wirksam aus. Ein zentrales Auge auf die Anmeldeprotokolle deckt zudem den typischen Zeitpunkt vieler Angriffe auf: In der Auswertung von Sophos wurde ein sehr großer Teil der Schadsoftware außerhalb der lokalen Geschäftszeiten ausgeführt, also genau dann, wenn niemand hinschaut. Auch für das mobile Arbeiten und Homeoffice gibt das BSI konkrete Empfehlungen, die sich gut mit dieser Überwachung verbinden lassen.

Quelle: BSI: Home-Office? Aber sicher!

Der letzte Rettungsanker: getestetes Backup

Selbst bei sauberer Absicherung gilt: Ihr wichtigster Rettungsanker ist ein Backup, das ein Angreifer nicht mitverschlüsseln kann. Halten Sie mindestens eine Sicherung offline oder unveränderbar (immutable) und getrennt vom Tagesbetrieb vor, und testen Sie regelmäßig die Wiederherstellung. Ein Backup, das im Ernstfall nicht zurückspielt, ist kein Backup.

Bei modernen Ransomware-Angriffen ist das gezielte Löschen oder Verschlüsseln der Sicherungen fester Bestandteil des Vorgehens. Deshalb reicht eine Kopie, die dauerhaft mit dem Netz verbunden ist, nicht aus. Bewährt hat sich das Prinzip aus drei Kopien, zwei verschiedenen Medien und einer Kopie außer Haus, ergänzt um eine unveränderbare Version. Das BSI beschreibt die Grundlagen dazu ausführlich.

Quelle: BSI IT-Grundschutz-Kompendium

Ihr Vorgehen in der richtigen Reihenfolge

Gehen Sie in klarer Reihenfolge vor: zuerst die offene Tür schließen, dann das Fundament sauber aufbauen. Die folgende Reihenfolge priorisiert nach Wirkung. Schritt eins allein entfernt bereits das größte Einfallstor, die weiteren Schritte machen den Schutz dauerhaft und belastbar.

1. 1
   Offene Fernzugänge finden
   Verschaffen Sie sich einen Überblick, welche RDP-Ports und Fernwartungstools von außen erreichbar sind. Ein kurzer Blick von außen auf die Firmen-IP-Adresse zeigt oft mehr, als intern bekannt ist.
2. 2
   Direkten Internetzugang schließen
   Nehmen Sie jeden direkt erreichbaren RDP-Port sofort aus dem Internet und legen Sie ein VPN oder ein RD Gateway davor. Das ist die dringendste Einzelmaßnahme.
3. 3
   MFA erzwingen
   Aktivieren Sie Mehr-Faktor-Authentifizierung für jeden Fernzugang, ausnahmslos, auch für Administratoren und externe Dienstleister.
4. 4
   Konten und Rechte aufräumen
   Vergeben Sie eigene Konten pro Person, deaktivieren Sie Sammel- und Standardkonten und reduzieren Sie Berechtigungen auf das Nötige.
5. 5
   Patchen und härten
   Halten Sie RDP, VPN-Gateways und Fernwartungssoftware aktuell und schalten Sie ungenutzte Dienste ab.
6. 6
   Überwachen und sperren
   Protokollieren Sie Anmeldungen, richten Sie automatische Sperren nach Fehlversuchen ein und lassen Sie sich bei Auffälligkeiten alarmieren.
7. 7
   Backup absichern und testen
   Sorgen Sie für eine offline oder unveränderbar gelagerte Sicherung und prüfen Sie regelmäßig die Wiederherstellung.

RDP-Absicherung und die Pflichten aus NIS2 und DSGVO

Sichere Fernzugänge sind nicht nur sinnvoll, für viele Unternehmen sind sie inzwischen Pflicht. Das deutsche NIS2-Umsetzungsgesetz verlangt von betroffenen Betrieben ausdrücklich Maßnahmen wie Zugriffskontrolle und Mehr-Faktor-Authentifizierung sowie die Meldung erheblicher Sicherheitsvorfälle. Und ein Ransomware-Vorfall mit personenbezogenen Daten ist regelmäßig auch ein meldepflichtiger Datenschutzvorfall nach DSGVO.

Quelle: BSI: NIS-2-regulierte Unternehmen

Für die DSGVO gilt: Nach Artikel 32 müssen Sie den Stand der Technik bei technischen und organisatorischen Maßnahmen berücksichtigen. Ein offener, ungesicherter RDP-Zugang ist damit kaum vereinbar. Kommt es zu einem Datenabfluss, greift zudem die 72-Stunden-Meldefrist an die zuständige Datenschutzaufsicht. Wer Fernzugänge sauber absichert, erfüllt hier gleich mehrere Anforderungen auf einmal.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Was kostet die Absicherung, und was kostet der Ausfall

Die gute Nachricht: Der wirksamste Teil, RDP aus dem Internet nehmen und MFA erzwingen, verursacht meist geringe direkte Kosten und ist in wenigen Tagen umsetzbar. Aufwendiger sind die dauerhaften Bausteine wie Monitoring, Patch-Prozess und ein geprüftes Backup. Diese laufenden Aufgaben lassen sich gut in einer planbaren IT-Pauschale abbilden.

Gemessen an einem echten Ransomware-Vorfall ist das ein kleiner Betrag. Ein verschlüsseltes Firmennetz bedeutet Tage bis Wochen Stillstand, Wiederherstellungskosten, mögliche Bußgelder und einen Vertrauensverlust bei Kunden. Das Bundeskriminalamt und das BSI verweisen im aktuellen Lagebericht darauf, dass gerade kleine und mittlere Unternehmen stark von Ransomware betroffen sind, weil bei ihnen Basisschutzmaßnahmen oft fehlen.

Quelle: BSI: Die Lage der IT-Sicherheit in Deutschland 2025Berichtszeitraum Juli 2024 bis Juni 2025.

So unterstützt ITCC

Wenn Sie nicht sicher sind, ob und wo in Ihrem Betrieb ein Fernzugang offen im Internet steht, klären wir das gemeinsam. ITCC ist Ihre externe IT-Abteilung für kleine und mittlere Unternehmen in der Pfalz, im Rhein-Neckar-Raum und im Rhein-Main-Gebiet. Wir prüfen Ihre Fernzugänge, schließen offene RDP-Ports, richten VPN oder RD Gateway mit Mehr-Faktor-Authentifizierung ein und sorgen mit Monitoring, Patch-Management und geprüften Backups dafür, dass die Tür geschlossen bleibt.

Das Ganze läuft bei uns in einer planbaren monatlichen Pauschale statt in unübersichtlichen Einzelrechnungen, damit Sie Ihre IT-Kosten und Ihr Sicherheitsniveau im Griff haben. Sprechen Sie uns an, wenn Sie eine ehrliche Einschätzung Ihrer Fernzugänge möchten. Ein kurzer Blick von außen zeigt oft schon, wie dringend gehandelt werden muss.