Wie sichere ich Remotedesktop auf einem Windows VPS?

Wie ändere ich das Administrator-Passwort auf einem Windows VPS?

Ändern Sie es bei Ihrer ersten Anmeldung, denn das temporäre Passwort wurde in Ihrem Dashboard angezeigt. Sie melden sich als Administrator über Remote Desktop auf Port 3389 an; das temporäre Passwort erscheint in Ihrem Dashboard, und Sie ändern es bei der ersten Anmeldung.

Drücken Sie im Remotedesktop-Fenster STRG+ALT+ENTF. Damit öffnen Sie den Bildschirm Windows-Sicherheit des Servers, wie STRG+ALT+ENTF auf einem lokalen PC. Wählen Sie Passwort ändern. Alternativ funktioniert auch einer der beiden Befehle unten an einer Eingabeaufforderung.

Verwenden Sie ein zufälliges Passwort mit 16 oder mehr Zeichen, das Sie in einem Passwort-Manager aufbewahren. Microsofts Richtlinienseite legt die Untergrenze auf 8 Zeichen fest; ein Server, der dem Internet ausgesetzt ist, verdient mehr. Niemand aus unserem Team wird Sie jemals per E-Mail oder im Chat nach Ihrer Kontonummer oder Ihrem Administrator-Passwort fragen.

# Prompts twice for the new password; nothing appears on screen
net user Administrator *

# PowerShell equivalent
$Password = Read-Host -AsSecureString
Set-LocalUser -Name "Administrator" -Password $Password

Wie installiere ich Windows-Updates auf Windows Server 2022 und 2025?

Verwenden Sie SConfig, das Server Configuration Tool von Microsoft, das auch auf Servern mit Desktop Experience läuft. Öffnen Sie PowerShell als Administrator und geben Sie SConfig ein.

• Jetzt installieren: Option 6 (Updates installieren), dann 1 für alle Qualitätsupdates, dann A, um alle zu installieren.
• Automatisch installieren: Option 5 (Update-Einstellung), dann A. Windows sucht dann täglich um 3:00 Uhr Serverzeit nach Updates und installiert sie. Die Standardeinstellung D lädt sie nur herunter.

Windows Server 2022 erhält Sicherheitsupdates bis 14. Oktober 2031, Windows Server 2025 bis 14. November 2034.

Windows Server 2012 R2 hat den erweiterten Support am 10. Oktober 2023 verlassen, und die kostenpflichtigen Extended Security Updates endeten am 13. Oktober 2026. Die Prüfung von Onyxpane vom 30. Oktober 2026 fand es weiterhin im Verkauf. Der 2-GB-Plan von Cloudzy und "VPS Hosting 1" von 1Gbits laufen nur mit Windows Server 2012 oder 2012 R2.

# PowerShell as administrator
SConfig
# 6 = Install updates  > 1 = all quality updates > A = install all
# 5 = Update setting   > A = automatic (checks and installs daily at 3:00 AM)

Wie prüfe ich, ob Network Level Authentication aktiviert ist?

Network Level Authentication (NLA) sorgt dafür, dass sich ein Benutzer anmeldet, bevor Windows die Remotesitzung erstellt. Microsoft Learn empfiehlt, NLA in den meisten Umgebungen aktiviert zu lassen. Die folgenden Befehle zeigen die Einstellung und aktivieren sie bei Bedarf.

Drei weitere Wege führen zur selben Einstellung:

• SConfig: Option 7, E, dann 1 (nur Clients mit Network Level Authentication).
• Systemeigenschaften: Führen Sie sysdm.cpl aus, öffnen Sie die Registerkarte Remote und setzen Sie das Häkchen bei Verbindungen nur von Computern zulassen, auf denen Remotedesktop mit Netzwerkebenenauthentifizierung ausgeführt wird.
• Gruppenrichtlinie: Aktivieren Sie in gpedit.msc die Option Benutzerauthentifizierung für Remoteverbindungen durch Netzwerkebenenauthentifizierung erforderlich. Sie finden sie unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktop-Sitzungshost > Sicherheit.

Wenn ein alter Client danach keine Verbindung mehr herstellen kann, aktualisieren Sie den Client, statt NLA zu deaktivieren.

# 1 = NLA required, 0 = not required
$ts = Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired

# Turn it on if the line above printed 0
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{ UserAuthenticationRequired = 1 }

Wie richte ich eine Kontosperrungsrichtlinie ein, die auch den Administrator erfasst?

Legen Sie einen Schwellenwert von 10 fehlgeschlagenen Anmeldungen fest und aktivieren Sie Kontosperrung für Administrator zulassen. Ohne diese zweite Einstellung überspringt die Sperrrichtlinie den integrierten Administrator – den einzigen Kontonamen, den jeder Angreifer bereits kennt.

Unter Windows Server ist das integrierte Administratorkonto vom Schwellenwert für die Kontosperrung ausgeschlossen, sofern Kontosperrung für Administrator zulassen nicht aktiviert ist.

1. Führen Sie secpol.msc aus, um die Lokale Sicherheitsrichtlinie zu öffnen.
2. Gehen Sie zu Sicherheitseinstellungen > Kontorichtlinien > Kontosperrungsrichtlinie.
3. Setzen Sie Schwellenwert für Kontosperrung auf 10 ungültige Anmeldeversuche, den Wert, den die Windows-Sicherheitsbaselines empfehlen.
4. Setzen Sie Dauer der Kontosperrung und Zurücksetzen des Kontosperrungszählers nach auf 10 Minuten. Die Dauer muss mindestens so lang sein wie die Rücksetzzeit.
5. Setzen Sie Kontosperrung für Administrator zulassen auf Aktiviert. Unter Windows Server 2022 kam diese Einstellung mit dem kumulativen Update vom 11. Oktober 2022.

Eine Sperrrichtlinie hat ihren Preis: Wer den Kontonamen kennt, kann das Konto für 10 Minuten sperren. Schritt 5, die Firewall-Allow-List, beseitigt dieses Risiko, weil Fremde den Anmeldebildschirm nicht mehr erreichen.

Wie erlaube ich Remote Desktop nur von meiner IP-Adresse?

Beschränken Sie die integrierten Remotedesktop-Firewallregeln auf Ihre eigene öffentliche IP-Adresse. Windows erstellt diese Regeln beim Aktivieren von Remotedesktop, für TCP und für UDP. Nach der Änderung verwirft der Server Verbindungsversuche von jeder anderen Adresse.

Ein für das ganze Internet offener Remotedesktop-Port lädt zum Durchprobieren von Passwörtern ein; eine Allow-List mit Ihrer eigenen IP stoppt das noch vor dem Anmeldebildschirm.

Prüfen Sie zuerst Ihre öffentliche IP. Halten Sie diese Sitzung offen und testen Sie aus einem zweiten Remotedesktop-Fenster. Ändert sich Ihre Heim-IP häufig, erlauben Sie den Bereich Ihres Providers in CIDR-Form, etwa 203.0.113.0/24, oder fügen Sie eine zweite Adresse hinzu.

Mit der Maus: Führen Sie wf.msc aus und wählen Sie Eingehende Regeln. Öffnen Sie jede Regel der Gruppe Remotedesktop, gehen Sie zur Registerkarte Bereich und fügen Sie unter Remote-IP-Adresse > Diese IP-Adressen Ihre Adresse hinzu. Wenn eine andere eingehende Regel ebenfalls Port 3389 öffnet, beschränken oder deaktivieren Sie auch diese.

Wenn Sie sich aussperren, schreiben Sie zuerst an den Support: Eine Person beantwortet Support-E-Mails innerhalb von 12 Stunden, sieben Tage die Woche, einschließlich Hilfe bei Remote-Desktop-Verbindungen, Neuinstallationen und Windows-Firewall-Regeln. Neustart, Neuinstallation und Löschung werden über Ihr Dashboard beantragt und vom Team ausgeführt; eine Neuinstallation löscht die Festplatte und bringt ein neues Administrator-Passwort mit.

# Replace 198.51.100.7 with your own public IPv4 address
Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7

# Several addresses or a whole range also work:
# -RemoteAddress 198.51.100.7, 203.0.113.0/24

# Check the result
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Get-NetFirewallAddressFilter

Sollte ich den Remotedesktop-Port von 3389 ändern?

Es ist optional und allein keine Sicherheitsmaßnahme. Ein neuer Port versteckt den Server vor Scans, die nur auf Port 3389 zielen; ein Scan aller Ports findet ihn trotzdem. Die Allow-List aus Schritt 5 bewirkt deutlich mehr.

Wenn Sie ihn dennoch ändern, folgen Sie der Reihenfolge von Microsoft:

1. Legen Sie den neuen PortNumber unter HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp fest.
2. Fügen Sie eingehende Firewallregeln für den neuen Port hinzu, TCP und UDP, beschränkt auf Ihre IP.
3. Starten Sie den Server neu und verbinden Sie sich dann mit IP:port, zum Beispiel 198.51.100.20:3390.
4. Sobald der neue Port funktioniert, deaktivieren Sie die alten Remotedesktop-Regeln.

Die Verbindungsdetails von Onyxpane gehen von Port 3389 aus, notieren Sie Ihren neuen Port also an einem sicheren Ort. Wählen Sie einen Port, den kein anderes Programm auf dem Server verwendet.

# Microsoft Learn steps, with -RemoteAddress added and -Profile Any
# (Microsoft's example uses -Profile Public)
$portValue = 3390
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $portValue
New-NetFirewallRule -DisplayName 'RDPPORTLatest-TCP-In' -Profile Any -Direction Inbound -Action Allow -Protocol TCP -LocalPort $portValue -RemoteAddress 198.51.100.7
New-NetFirewallRule -DisplayName 'RDPPORTLatest-UDP-In' -Profile Any -Direction Inbound -Action Allow -Protocol UDP -LocalPort $portValue -RemoteAddress 198.51.100.7
Restart-Computer

# Only after you have connected on the new port:
Disable-NetFirewallRule -DisplayGroup "Remote Desktop"

Wie sehe ich fehlgeschlagene Remotedesktop-Anmeldungen?

Windows zeichnet jede fehlgeschlagene Anmeldung im Sicherheitsprotokoll als Ereignis-ID 4625 auf, "Ein Konto konnte sich nicht anmelden", sofern die Anmeldeüberwachung aktiviert ist. Das Ereignis nennt das Konto und die Netzwerkadresse, von der der Versuch kam. Nach Schritt 5 sollten Fehlversuche von Fremden aufhören.

Dieses Protokoll wird in Ihrem eigenen Server geschrieben, und Sie entscheiden, ob Sie es aufbewahren, exportieren oder löschen.

# Is failure auditing on for logons?
auditpol /get /subcategory:"Logon"

# Turn it on if needed
auditpol /set /subcategory:"Logon" /failure:enable

# The 20 latest failed sign-ins
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625 } -MaxEvents 20

Was übernimmt Onyxpane, und was ist meine Aufgabe?

Onyxpane übergibt einen frischen Windows Server, und alles darin liegt in Ihrer Verantwortung.

• Netzwerk: Der ausgehende Port 25 (SMTP) ist auf jedem Server geschlossen, um Spam zu stoppen, und er bleibt geschlossen. Die Ports 465 und 587 zu Mail-Providern bleiben offen. Es wird kein DDoS-Schutz zugesagt, der über das hinausgeht, was das Datacenter-Netzwerk standardmäßig leistet.
• Backups: Es sind keine automatischen Backups enthalten: Bewahren Sie Ihre eigenen Kopien von allem auf, was wichtig ist.
• Daten: Keine Logs: Wir speichern keine Verbindungslogs, keine Traffic-Logs und keine IP-Adressen von Besuchern oder Kunden – weder auf der Webseite, noch im Dashboard, noch auf dem Server. DMCA ignored: Wir reagieren nicht auf DMCA-Mitteilungen oder andere ausländische Urheberrechtsmitteilungen. Wir unterliegen ausschließlich panamaischem Recht und den Anordnungen panamaischer Gerichte.

Laut der Prüfung von Onyxpane vom 30. Oktober 2026 werden 9 von 40 Windows-Hosts mit Test-, Evaluierungs- oder Bring-Your-Own-License-Windows ausgeliefert. The Windows Server license is included in the price: no extra license fee. Zu jedem Plan finden Sie Details unter wie viel ein Windows RDP bei Onyxpane kostet.

Für den größeren Zusammenhang lesen Sie ist es sicher, ein gekauftes Windows RDP zu nutzen. Für die erste Verbindung siehe wie verbinde ich mich von Windows aus mit einem Windows RDP. Trader, die MetaTrader rund um die Uhr betreiben, sollten außerdem lesen was ist das beste Windows RDP oder VPS für den Forex-Handel.