RDP-Port ändern: Port 3389 umstellen und RDP absichern

Der Standard-Port für RDP ist 3389, sowohl über TCP als auch über UDP. Ein RD-Gateway verlegt die öffentliche Seite auf TCP 443 und UDP 3391, aber ein Windows-RDP, den du bei einem Hosting-Anbieter mietest, hat selten eines: Du verbindest dich direkt mit Port 3389 auf seiner öffentlichen IP. Hier steht, wie du den RDP-Port ändern kannst, warum das nur die Bots leiser macht und welche Einstellungen den Server in zehn Minuten wirklich schützen.

Geprüft am 1. Oktober 2026.

Welchen Port RDP nutzt: TCP und UDP 3389, dazu 443 für das RD-Gateway

Microsofts Liste der Ports der Remotedesktopdienste:

Port	Protokoll	Genutzt von
3389	TCP	Remotedesktopverbindung (Standard)
3389	UDP	UDP-Transport derselben Verbindung
443	TCP	RD-Gateway (RDP in HTTPS) und RD-Webzugriff
3391	UDP	UDP-Transport des RD-Gateways

Die IANA registriert 3389 für TCP und UDP als ms-wbt-server. Um zu prüfen, auf welcher RDP-Portnummer dein Server lauscht, führ das hier in einer PowerShell mit Administratorrechten aus:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber

Den RDP-Port zu ändern senkt den Lärm, nicht das Risiko

Ihn zu verlegen ist in Ordnung, aber es ist keine Sicherheitsmaßnahme. Bots, die automatisch Passwörter durchprobieren, zielen auf 3389, weil das der Standard ist, und deshalb protokolliert ein Server auf diesem Port einen stetigen Strom fehlgeschlagener Anmeldungen. Verlegst du ihn, verschwindet der Großteil dieses Lärms, und echte Versuche fallen auf.

Versteckt wird der Server dadurch nicht: Ein Scan aller 65.535 Ports findet den neuen schnell. Ändere ihn für ruhigere Logs und zieh die Absicherung unten trotzdem durch.

RDP-Port ändern unter Windows

Microsofts Anleitung besteht aus einem Registry-Wert und einer Firewall-Regel. Öffne zuerst die Firewall, sonst sperrt dich der Neustart aus. Wähl einen freien Port unter 49152: Windows hält 49152 bis 65535 für seine eigenen ausgehenden Verbindungen frei.

$port = 47213

# 1. Open the new port first, TCP and UDP
New-NetFirewallRule -DisplayName "RDP custom TCP" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "RDP custom UDP" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

# 2. Point Remote Desktop at it
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value $port

# 3. Restart to apply
Restart-Computer

Hat dein Anbieter eine eigene Firewall im Kundenbereich, öffne den Port auch dort. Gib beim Verbinden den Port hinter der Adresse an, zum Beispiel 203.0.113.10:47213, und sobald das klappt, deaktiviere die alten Regeln mit Disable-NetFirewallRule -DisplayGroup "Remote Desktop". Lieber mit dem Registrierungs-Editor? Ändere PortNumber unter demselben Schlüssel RDP-Tcp, als Dezimalwert, und starte neu.

Das Risiko, RDP offen ins Internet zu stellen

Offen erreichbares RDP ist ein altbekanntes Einfallstor. Der #StopRansomware Guide der CISA hält fest, dass Angreifer oft über offen erreichbare, schlecht gesicherte Fernzugriffsdienste eindringen, und rät davon ab, RDP überhaupt ins Web zu stellen. Wo RDP nötig ist, verlangt er geschlossene ungenutzte RDP-Ports, Kontosperren, Multi-Faktor-Authentifizierung und protokollierte Anmeldeversuche. In KB5020282 (2022) zählt Microsoft Brute-Force-Angriffe zu den drei häufigsten Angriffswegen auf Windows-Rechner und weist darauf hin, dass sich das integrierte Administratorkonto bis zu den Updates vom Oktober 2022 nicht sperren ließ, sein Passwort über RDP also unbegrenzt geraten werden konnte.

Dazu kommen Sicherheitslücken in den Remotedesktopdiensten. BlueKeep (CVE-2019-0708), im Mai 2019 gepatcht, ließ Angreifer unter Windows XP, 7 und Server 2003 bis 2008 R2 Code ausführen, noch bevor sie sich angemeldet hatten. Microsoft stellte fest, dass die Authentifizierung auf Netzwerkebene (NLA) die Lücke nur teilweise entschärfte: Sie stoppte Würmer, aber keinen Angreifer mit gültigen Zugangsdaten.

Offen erreichbares RDP mit NLA, Kontosperre, langer Passphrase und aktuellen Patches lässt sich verteidigen. RDP, das nur dir antwortet, ist besser.

Einen gemieteten RDP in zehn Minuten absichern

Authentifizierung auf Netzwerkebene eingeschaltet lassen

Mit der RDP-Authentifizierung auf Netzwerkebene muss sich der Client authentifizieren, bevor Windows eine Sitzung erzeugt. So bleiben Lücken wie BlueKeep, die schon vor der Anmeldung greifen, für alle ohne Passwort unerreichbar. Prüf die Einstellung und schalte sie bei Bedarf ein:

$ts = Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'"
$ts.UserAuthenticationRequired   # 1 means NLA is on
Invoke-CimMethod -InputObject $ts -MethodName SetUserAuthenticationRequired -Arguments @{UserAuthenticationRequired = 1}

Die Kontosperrungsrichtlinie prüfen (sie ist womöglich aus)

Microsofts Richtlinienreferenz nennt 0, also nie sperren, als Standard für eigenständige Server und nimmt das integrierte Administratorkonto aus. KB5020282 hat das nur für Windows 11 22H2 geändert und für neue Rechner, die die Updates vom Oktober 2022 schon vor ihrer Ersteinrichtung hatten: 10 Fehlversuche innerhalb von 10 Minuten sperren das Konto für 10 Minuten, Administrator eingeschlossen. Ein Rechner, der erst nach der Einrichtung aktualisiert wurde, behält die alten Standardwerte. Prüf das Image deines Anbieters mit net accounts. Steht bei „Lockout threshold“ der Wert Never:

net accounts /lockoutthreshold:10 /lockoutduration:10 /lockoutwindow:10

Aktiviere danach in secpol.msc unter Account Policies > Account Lockout Policy die Einstellung Allow Administrator account lockout. Die Sperre blockiert nur Anmeldungen über das Netzwerk wie RDP; die Konsole funktioniert weiterhin.

Das Administratorkonto umbenennen und eine lange Passphrase nutzen

Passwort-Bots probieren zuerst Administrator, und ein umbenanntes Konto verhindert außerdem, dass Fremde dich mit deinem eigenen Benutzernamen aussperren:

Rename-LocalUser -Name "Administrator" -NewName "pick-something-unguessable"

Kann der Kundenbereich deines Anbieters das Passwort zurücksetzen, prüf, ob es das umbenannte Konto noch findet. Das erste Passwort hat dein Anbieter erzeugt und wahrscheinlich per E-Mail verschickt, also ersetze es bei der ersten Anmeldung (Strg+Alt+Ende in der Sitzung, dann „Change a password“). Der Leitfaden der CISA verlangt, voreingestellte Admin-Benutzernamen und -Passwörter zu ändern und eindeutige Passwörter mit mindestens 15 Zeichen zu verwenden; halte dich hier mindestens daran.

Nur deine IP zulassen oder per WireGuard oder SSH tunneln

Die beste RDP-Sicherheit ist ein Port, der nur dir antwortet. Hast du eine feste Adresse, beschränke die integrierten Regeln darauf, oder deine eigenen, falls du den Port verlegt hast:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7
# after a port change:
Set-NetFirewallRule -DisplayName "RDP custom TCP","RDP custom UDP" -RemoteAddress 198.51.100.7

Heimadressen ändern sich, und ein VPN löst das nicht. Mullvad und IVPN nehmen beide Monero und halten deine Heim-IP aus den Logs deines Hosting-Anbieters heraus, aber alle Nutzer eines VPN-Servers teilen sich dessen Exit-Adresse, und die taugt kaum für eine Allowlist. Zwei Wege zu einer eigenen Adresse:

• WireGuard auf einem kleinen Linux-VPS. Betreib deinen eigenen WireGuard-Server auf einer günstigen Maschine aus unserem VPS-Schacht und lass RDP nur von dessen IP zu.
• Ein SSH-Tunnel. OpenSSH Server ist ab Windows Server 2019 ein optionales Feature und unter Windows Server 2025 bereits installiert; starte den Dienst sshd und stell seinen Starttyp auf Automatisch. Leg deinen öffentlichen Schlüssel in C:\ProgramData\ssh\administrators_authorized_keys ab, nur für Administratoren und SYSTEM lesbar, wie Microsofts Anleitung zur Schlüsselverwaltung zeigt, setz PasswordAuthentication no in C:\ProgramData\ssh\sshd_config und starte sshd neu. Öffne den Tunnel (ersetze 3389 durch deinen eigenen Port, falls du ihn verlegt hast):

ssh -N -L 13389:127.0.0.1:3389 [email protected]

Verbinde dich in der Remotedesktopverbindung mit 127.0.0.1:13389, und sobald das klappt, deaktiviere die Remotedesktop-Regeln der Firewall. RDP ist damit aus dem Internet verschwunden; offen ist nur noch Port 22, und der akzeptiert ausschließlich Schlüssel.

Nicht benötigte Umleitung von Zwischenablage und Laufwerken abschalten

Ein kompromittierter Server kann auf alles zugreifen, was du an Zwischenablage und Laufwerken zu ihm umleitest. Öffne in der Remotedesktopverbindung Optionen einblenden > Lokale Ressourcen, entferne den Haken bei Zwischenablage und unter Weitere den bei Laufwerke. Um das auf dem Server zu erzwingen, aktiviere in gpedit.msc unter Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Device and Resource Redirection die Richtlinien Do not allow Clipboard redirection und Do not allow drive redirection.

Patchen, dann fehlgeschlagene Anmeldungen auswerten

Führ Windows Update aus und lass die automatischen Updates eingeschaltet. Prüf die Version: Die kostenpflichtigen Extended Security Updates für Windows Server 2012 und 2012 R2 endeten im Oktober 2026 (Microsoft-Lebenszyklus), und Windows 10 hat am 14. Oktober 2025 sein Supportende erreicht. Verlang Server 2022 oder 2025 oder Windows 11.

Eine fehlgeschlagene Anmeldung ist Ereignis 4625; eine erfolgreiche Remotedesktop-Anmeldung ist 4624 mit Anmeldetyp 10, RemoteInteractive. Das hier listet die zehn Adressen mit den meisten Fehlversuchen:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 2000 |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Leer? auditpol /set /subcategory:"Logon" /failure:enable schaltet die Überwachung fehlgeschlagener Anmeldungen ein. Fehlversuche von Fremden sind das Grundrauschen eines offenen Ports. Ein Ereignis 4624 mit Typ 10 von einer Adresse, die du nicht kennst, ist ein Sicherheitsvorfall.

Was dein Hosting-Anbieter sehen kann und was nicht

Der Anbieter betreibt den Hypervisor unter deinem Server:

• Er kann die Konsole öffnen, das Passwort zurücksetzen, einen Snapshot der Festplatte ziehen und alles lesen, was du nicht verschlüsselt hast.
• Er sieht die Adresse, von der aus du dich verbindest (bei einem VPN dessen Adresse), wann du das tust und wie viele Daten fließen.
• Er kann nicht die RDP-Sitzung auf der Leitung mitlesen, denn sie ist verschlüsselt. Dank Hypervisor muss er das aber selten.
• Er weiß, was das Bestellformular und deine Zahlung verraten. Mit Monero und einer Anmeldung ohne KYC ist das eine E-Mail-Adresse oder ein Benutzername.

Leg nichts auf einem gemieteten Windows-Rechner ab, was du dem Unternehmen, das ihn betreibt, nicht auch geben würdest.

Worauf du bei einem RDP-Anbieter achten solltest

• Eine Konsole im Kundenbereich, für den Tag, an dem eine Firewall-Regel oder eine Kontosperre schiefgeht. Frag vor der Bestellung nach.
• Ein aktuelles Windows-Image: Server 2022 oder 2025 oder Windows 11. Wähl es bei der Bestellung, auch wenn ältere angeboten werden.
• DDoS-Schutz und volle Administratorrechte, beides inklusive.
• Monero als Zahlungsart und eine Anmeldung, die nach einer E-Mail-Adresse oder einem Benutzernamen fragt, nie nach einem Ausweis.

Zwei Einheiten in unserem RDP-Schacht verkaufen Windows-RDP gegen Monero, hier alphabetisch:

	MurmurHost	rdp.monster
Günstigster RDP	44 $ bei monatlicher Zahlung oder 224,40 $ im Jahr	8,99 $ im Monat
Windows	Server 2019 und 2022, Windows 10 und 11	Server 2012 und 2022
Monero	Zahlung an die eigene Wallet, Freigabe nach 10 Bestätigungen	Unter den Zahlungsmethoden aufgeführt
Anmeldung	Kein Name, kein Telefon, kein Ausweis	Nur E-Mail, kein KYC
Inklusive	Volle Adminrechte, DDoS-Schutz mit 10 Gbit/s	Volle Adminrechte, Anti-DDoS, alle Ports offen außer 25 (Option für 5 $ im Monat)

Auch für VPS, Domains und E-Mail: unsere Liste der Hosting-Anbieter, die Monero akzeptieren.

FAQ

Ist 3389 der RDP-Port?

Ja. Remotedesktop lauscht standardmäßig auf Port 3389, der bei der IANA für TCP und UDP registriert ist. Ein Administrator kann ihn mit einem einzigen Registry-Wert verlegen.

Ist der Remotedesktop-Port 3389 TCP oder UDP?

Beides. TCP trägt die Verbindung und muss offen sein; UDP auf demselben Port ist ein zusätzlicher Transport, den der Client nutzt, wenn er kann. Wenn du den Port verlegst, öffne beide.

Nutzt RDP Port 443?

Über ein RD-Gateway ja: Es verpackt RDP in HTTPS auf TCP 443 und ergänzt UDP 3391. Ein einfacher gemieteter RDP hat kein Gateway und nutzt 3389.

Ist der RDP-Port 22?

Nein, Port 22 ist SSH. Du kannst RDP durch einen SSH-Tunnel auf Port 22 leiten, aber RDP selbst lauscht weiterhin auf 3389.

Ist RDP auf Port 3389 sicher?

Die Portnummer ändert daran nichts. RDP verschlüsselt die Sitzung; die Sicherheit kommt von NLA, Patches, einer Kontosperre, einem starken Passwort und davon, wie wenige Adressen RDP überhaupt erreichen können.

Ist es sicher, RDP offen ins Internet zu stellen?

Es ist die riskanteste Variante: Jeder kann Passwörter ausprobieren, und jede ungepatchte Lücke ist erreichbar. Wenn es sein muss, lass NLA an, richte eine Kontosperre ein, nimm eine lange Passphrase und patche; besser noch, lass nur deine Adresse oder einen Tunnel zu.

Kurz gesagt

Port 3389, TCP und UDP. Ändere ihn für ruhigere Logs, nicht für die Sicherheit. Dann: NLA an, eine Kontosperre, die auch das Administratorkonto erfasst, ein umbenanntes Konto mit langer Passphrase, der Port für alle außer dir geschlossen, Umleitung aus, Patches an und ein wöchentlicher Blick auf Ereignis 4625. Zehn Minuten pro Server.