Whitepapers

Erfahren Sie, wie Sie Microsoft RD Gateway durch eine sicherere, schnellere und auditierbare RDP-Architektur ersetzen, die die Internet-Exposition reduziert, ohne unnötige Performance-Kosten, operative Reibung und Governance-Lücken zu verursachen.

Dieser Anwendungsfall richtet sich an Organisationen, die derzeit Microsoft Remote Desktop Gateway (RD Gateway) für RDP-Zugang nutzen und eine Alternative suchen, die die Angriffsfläche verkleinert, die Performance verbessert und die Governance vereinfacht.

Zentrale Zielgruppen und Umgebungen, die davon profitieren:

• KMU, die Microsoft RD Gateway nutzen, um RDP über das Internet bereitzustellen, und die externe Angriffsfläche verkleinern möchten.
• MSPs, die sicheren, auditierbaren RDP-Zugang in viele Kundenumgebungen benötigen, ohne mehrere VPNs und fragile Gateway-Konfigurationen zu pflegen.
• Schlanke interne IT- und Sicherheitsteams, die die Governance für Remote-Zugang vereinfachen und dabei MFA, Just-in-Time (JIT)-Freigaben und Least Privilege bei RDP-Sitzungen durchsetzen möchten.
• Organisationen in regulierten oder audit-intensiven Branchen (Finanzen, Gesundheitswesen, öffentlicher Sektor usw.), die pro Sitzung Nachweise für Remote-Administrationszugang erstellen müssen.
• Hybride und Remote-First-Umgebungen, in denen Admins, Lieferanten und Auftragnehmer schnellen, zuverlässigen RDP-Zugang von außerhalb des Unternehmensnetzwerks benötigen, ohne RDP zu exponieren oder übermäßig auf VPNs zu setzen.

DAS PROBLEM

Es ist allgemein anerkannt, dass RDP niemals direkt dem Internet ausgesetzt werden sollte. RD Gateway löst dies, führt aber zu Problemen, die schwer zu bewältigen sind; insbesondere für schlanke IT-Teams in kleinen und mittelständischen Unternehmen (KMU). Die Probleme und Risiken umfassen:

• Brute-Force- und Spray-Exposition gegen Active Directory. RD Gateway nutzt Windows-Authentifizierung (NTLM oder Kerberos) über HTTP. Internet-exponierte Gateways können für Passwort-Spraying und Brute-Force-Angriffe gegen Active Directory missbraucht werden, wenn die Kontrollen nicht strikt durchgesetzt werden.
• Performance-Overhead durch TLS-in-TLS. RD Gateway tunnelt RDP TLS innerhalb von HTTPS, was zusätzliche Einkapselung erfordert und die Benutzererfahrung im Vergleich zu direkteren, protokollbewussten Ansätzen verschlechtern kann.
• MFA-Durchsetzung ist schwierig. Die Integration und konsistente Durchsetzung von MFA bei RD Gateway erfordert oft Drittanbieter-Komponenten und fragile Konfiguration, was den Support-Aufwand und das Bypass-Risiko erhöht.
• Begrenzte Governance auf Anwendungsebene. RD Gateway konzentriert sich auf den Netzwerkeinstieg. Es beantwortet nicht nativ, wer auf welchen Server zugreifen darf, unter welcher Freigabe, wie lange und mit welchen Nachweisen, was Audits und Ermittlungen erschwert.

DIE LÖSUNG

Devolutions Gateway in Kombination mit Devolutions Server und Remote Desktop Manager bietet sicheren Just-in-Time (JIT) RDP-Zugang – ohne RD Gateway zu nutzen. So fügen sich die Komponenten nahtlos zusammen:

• Devolutions Gateway vermittelt RDP an der Anwendungsgrenze. Es gibt keinen netzwerkweiten Tunnel. Nur der spezifische, freigegebene RDP-Pfad wird für die Dauer der Sitzung geöffnet.
• Devolutions Server ist die Steuerungsebene für Identität, Zugriffsrichtlinien, Freigaben, MFA und detaillierte Protokollierung. Das Gateway akzeptiert nur Verbindungsanfragen, die Devolutions Server bereits autorisiert hat.
• Remote Desktop Manager bietet Administratoren eine einfache, einheitliche Möglichkeit, Sitzungen zu starten. Credential Injection hält Passwörter aus den Händen der Benutzer und bewahrt gleichzeitig eine transparente Erfahrung.

Die folgende Tabelle fasst zusammen, wie Devolutions Gateway + Devolutions Server + Remote Desktop Manager die zuvor genannten Herausforderungen direkt adressiert und löst:

Herausforderung: RD Gateway kann für Passwort-Spraying und Brute-Force-Angriffe gegen Active Directory missbraucht werden, da es Windows-Authentifizierung (NTLM/Kerberos) über HTTP nutzt. Lösung: Reduzierung der Exposition gegenüber externen Authentifizierungsangriffen und Begrenzung der Blast Radius. Devolutions Server erzwingt SSO mit MFA und prüft RBAC und Freigaben, bevor eine Verbindung erlaubt wird. Devolutions Gateway akzeptiert nur vorautorisierte Sitzungsanfragen und öffnet einen Pfad strikt zum freigegebenen RDP-Host für das autorisierte Zeitfenster.

Herausforderung: TLS-in-TLS-Overhead bei RD Gateway verschlechtert Performance und Benutzererfahrung. Lösung: Schnelleres, zuverlässigeres RDP ohne HTTPS-Tunneling. Devolutions Gateway vermittelt nur die RDP-Sitzung mit Standard-TLS und vermeidet TLS-in-TLS-Einkapselung und "hairpinned"-Tunnel (d. h. wenn Datenverkehr von einem VPN-Client zurück über das VPN-Gateway zu einem anderen internen Subnetz geleitet wird). Der Datenverkehr ist auf die RDP-Sitzung protokollbezogen begrenzt, was die Latenz senkt und Bandbreitenverschwendung reduziert.

Herausforderung: Die Durchsetzung von MFA bei RD Gateway ist schwierig und fragil. Lösung: Konsistente, zentral verwaltete MFA bei jeder RDP-Sitzung. MFA wird in der Steuerungsebene in Devolutions Server als Teil der Sitzungsautorisierung durchgesetzt. Bei erforderlicher Freigabe wird die Anfrage weitergeleitet, zeitlich begrenzt und protokolliert; erst dann vermittelt Devolutions Gateway die Sitzung.

Herausforderung: RD Gateway konzentriert sich auf den Netzwerkeinstieg und fehlt Least-Privilege-Kontrollen auf Aktionsebene Lösung: Kontrolle auf Aktionsebene: die richtige Person, zum richtigen Server, für die richtige Dauer Devolutions Server wendet pro-Host-Richtlinien, Freigaben, Zeitpläne und Zeitlimits an, die an die RDP-Aktion gebunden sind. Remote Desktop Manager injiziert gespeicherte Credentials, sodass Benutzer niemals Passwörter handhaben und das Risiko lateraler Bewegung reduziert wird.

Herausforderung: RD Gateway-Protokollierung fehlt pro-Sitzung, Anwendungsebene-Nachweise für Audits und Ermittlungen. Lösung: Klare, auditierbare Spuren, die Ermittlungen beschleunigen. Devolutions Server protokolliert Anfragenden, Zielhost, Start-/Stoppzeiten, Freigabe- oder Ticket-Referenzen, JIT-Fenster und Credential-Injection-Status. Optionale Sitzungsaufzeichnung und SIEM-Weiterleitung liefern vollständige, abfragbare Nachweise.

Herausforderung: Operative Komplexität und Support-Aufwand bei Gateway-Konfiguration und Client-Verhalten. Lösung: Einfachere Operationen mit einheitlicher Steuerungsebene und konsistentem Client-Erlebnis. Zentralisieren Sie Identität und Richtlinien in Devolutions Server, platzieren Sie Devolutions Gateway am Rand mit gültigem TLS und nutzen Sie Remote Desktop Manager als einzigen Admin-Client. Standardisieren Sie Benennung, Freigaben, Aufbewahrung und skalieren Sie bei Bedarf durch Hinzufügen eines weiteren Gateways.

IMPLEMENTIERUNG

Die Einrichtung der Infrastruktur, die benötigt wird, um alle oben beschriebenen Vorteile zu realisieren, ist einfach und unkompliziert:

• Schritt 1: Laden Sie Devolutions Server herunter und installieren Sie es.
• Schritt 2: Stellen Sie Devolutions Gateway bereit und konfigurieren Sie es für die Verwendung mit Devolutions Server.
• Schritt 3: Erstellen oder aktualisieren Sie RDP-Verbindungseinträge in Remote Desktop Manager zur Nutzung von Devolutions Gateway.

Vollständige und detaillierte Bereitstellungs- und Konfigurationsanleitungen werden für die Produkte bereitgestellt. Das erstklassige Support-Team von Devolutions steht ebenfalls für Beratung und Antworten zur Verfügung.

ZUSAMMENFASSUNG DER VORTEILE

• Kleinere Angriffsfläche. Kein netzwerkweiter Tunnel und keine Abhängigkeit von RD Gateway-Authentifizierungspfaden, die für Passwort-Spraying missbraucht werden können.
• Schnellerer und zuverlässigerer Zugang. Direkte, protokollbezogene Vermittlung vermeidet TLS-in-TLS-Overhead und Hairpin-Datenverkehr.
• Kontrolle auf Aktionsebene. Richtlinien legen fest, wer sich unter welchen Bedingungen und wie lange mit welchem Server verbinden darf.
• Geheimnisse bleiben verborgen. Credential Injection verhindert, dass Benutzer privilegierte Passwörter handhaben.
• Standardmäßig auditierbar. Pro-Sitzung-Nachweise und optionale Sitzungsaufzeichnung vereinfachen Compliance und beschleunigen Ermittlungen.
• Einfachere Operationen. Eine einheitliche Steuerungsebene mit konsistentem Client-Erlebnis reduziert Konfigurations-Wildwuchs und Support-Aufwand.
• Passt zu KMU-Realitäten. Beginnen Sie mit einem fokussierten Pilotprojekt, beweisen Sie schnell den Mehrwert und erweitern Sie in Ihrem Tempo.

WEITERGEHEN

Erfahren Sie, wie Devolutions Ihrer Organisation helfen kann, eine Architektur zu etablieren, die sicherer, einfacher zu verwalten und zu betreiben sowie vollständig auditierbar ist.

Fordern Sie eine kostenlose Testversion oder Live-Demo von Devolutions Gateway + Devolutions Server + Remote Desktop Manager an.

Bevorzugen Sie einen maßgeschneiderten Weg? Starten Sie einen 30–90-Tage-Proof of Concept (POC) mit Devolutions Gateway, Devolutions Server und Remote Desktop Manager in Ihrer eigenen Umgebung. Unser Team wird Rollen und RDP-Workflows abbilden, MFA und JIT-Freigaben aktivieren und Ergebnisse wie Verbindungszeit, Audit-Vollständigkeit und Reduzierung exponierter Dienste verfolgen. Fordern Sie noch heute Ihren POC an und sehen Sie schnell messbaren Mehrwert.

Wir laden Sie auch ein, uns für weitere Informationen und Beratung zu kontaktieren.