So ändern Sie den Standard-RDP-Port (3389) unter Windows Server

Kurzfassung: RDP lauscht standardmäßig auf Port 3389, und jeder Angreifer im Internet weiß das. Um ihn zu ändern, bearbeiten Sie im Registrierungs-Editor den Wert PortNumber unter HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp, wählen einen Port zwischen 20000 und 60000, öffnen diesen Port in der Firewall, starten den RDP-Dienst neu und verbinden sich erneut über IP:Port. Die Änderung dauert etwa fünf Minuten und reduziert das automatisierte Brute-Force-Rauschen drastisch.

Der Standardport 3389 zieht ständig automatisierte Angriffe an; ein eigener Port hinter der Firewall nimmt Sie von den Massenscan-Listen.

Warum Angreifer Port 3389 ins Visier nehmen

Port 3389 ist auf jedem Windows-Server der Standardport für das Remote Desktop Protocol (RDP). Da der Port fest und allgemein bekannt ist, gehört er zu den am häufigsten gescannten Ports im Internet: Automatisierte Bots durchsuchen rund um die Uhr den gesamten IPv4-Adressraum nach Servern, die auf 3389 antworten. Honeypot-Studien zeigen regelmäßig, dass die ersten Anmeldeversuche wenige Minuten, nachdem ein neuer Server online gegangen ist, eintreffen.

Sobald ein Bot einen offenen Port 3389 findet, folgen zwei Dinge. Brute-Force-Tools bombardieren den Anmeldebildschirm mit Millionen von Kombinationen aus Benutzername und Passwort. Und weil der Port bekannt ist, ist er auch ein leichtes Ziel für Denial-of-Service-Datenverkehr (DDoS), der den Server verlangsamen oder lahmlegen kann.

Hilft es wirklich, den RDP-Port zu ändern?

Ehrliche Antwort: Durch die Änderung des RDP-Ports verschwinden Sie von den automatisierten Massenscan-Listen, die auf 3389 zielen. Das beseitigt in der Regel den weitaus größten Teil der Brute-Force-Versuche und die damit verbundene Flut an Log-Einträgen. Unsichtbar wird der Server dadurch nicht: Ein entschlossener Angreifer, der einen vollständigen Portscan gegen Ihre konkrete IP durchführt, kann den neuen Port trotzdem finden. Betrachten Sie die Portänderung als Rauschunterdrückung und eine Verteidigungsschicht, und kombinieren Sie sie mit einem starken Passwort, Network Level Authentication und Firewall-Regeln. Darauf gehen wir am Ende dieser Anleitung ein.

Bevor Sie beginnen: eine 2-Minuten-Checkliste

• Sie benötigen Administratorzugriff auf den Server per Remote Desktop.
• Wählen Sie einen neuen Port zwischen 20000 und 60000, den Sie sich leicht notieren können, zum Beispiel 45223. Vermeiden Sie naheliegende Werte wie 3390 oder 33890, die Scanner ebenfalls prüfen.
• Stellen Sie sicher, dass der Port nicht anderweitig genutzt wird: Führen Sie netstat -ano | findstr :45223 in CMD aus. Keine Ausgabe bedeutet, dass der Port frei ist.
• Notieren Sie den neuen Port, bevor Sie etwas ändern. Sie benötigen ihn für jede künftige Verbindung.
• Auf OMC Cloud haben Sie ein Sicherheitsnetz: Die Konsole unter console.omc.cloud gibt Ihnen Bildschirmzugriff auf den Server, selbst wenn RDP nicht erreichbar ist. Ein Fehler sperrt Sie also nie dauerhaft aus.

So ändern Sie den RDP-Port Schritt für Schritt

Schritt 1 — Mit dem Server verbinden und den Registrierungs-Editor öffnen.
Verbinden Sie sich per Remote Desktop, klicken Sie auf Start, geben Sie regedit ein und drücken Sie die Eingabetaste.

Schritt 2 — Zur RDP-Port-Einstellung navigieren.
Gehen Sie im Registrierungs-Editor zu: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Schritt 3 — Den Wert PortNumber ändern.
Doppelklicken Sie auf PortNumber, wählen Sie Dezimal, ersetzen Sie 3389 durch Ihren neuen Port (zum Beispiel 45223) und klicken Sie auf OK.

Schritt 4 — Den neuen Port in der Windows-Firewall zulassen.
Bevor Sie etwas neu starten, öffnen Sie CMD als Administrator und führen Folgendes aus: netsh advfirewall firewall add rule name="RDP Custom Port" dir=in action=allow protocol=TCP localport=45223

Schritt 5 — Den RDP-Dienst neu starten.
Starten Sie entweder den Server neu (Start, dann Neu starten) oder nur den Remotedesktopdienst über eine Administrator-CMD: net stop termservice && net start termservice. Ihre aktuelle RDP-Sitzung wird getrennt; das ist so vorgesehen.

Schritt 6 — Den Port in der OMC Cloud Firewall öffnen.
Die Server-Firewall ist nur die halbe Strecke; der neue Port muss auch in der externen Firewall geöffnet sein. Melden Sie sich in der OMC Cloud-Konsole an, wählen Sie Ihren Server, öffnen Sie die Registerkarte Firewall und fügen Sie eine Regel hinzu: Direction IN, Interface ANY, Protocol TCP, Port Ihr neuer Port, Policy ACCEPT. Löschen oder deaktivieren Sie dabei gleich die alte Regel für 3389, damit der Standardport vollständig geschlossen ist.

Die gesamte Änderung in sechs Schritten, danach verbinden Sie sich mit IP:Port.

Der schnelle Weg: drei PowerShell-Befehle

Sie möchten die grafische Oberfläche überspringen? Führen Sie diese Befehle in dieser Reihenfolge in einer PowerShell mit Administratorrechten aus und ersetzen Sie 45223 durch Ihren Port:

• Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 45223
• New-NetFirewallRule -DisplayName "RDP Custom Port" -Direction Inbound -Protocol TCP -LocalPort 45223 -Action Allow
• Restart-Service TermService -Force

Öffnen Sie dann denselben Port in der OMC Cloud Firewall, wie oben in Schritt 6 beschrieben.

Verbindung über den neuen Port

Ab sofort ergänzen Sie im Remote-Desktop-Client die Adresse um den Port. Geben Sie im Feld Computer die Server-IP, einen Doppelpunkt und den Port ein, zum Beispiel: 203.0.113.5:45223. Gespeicherte .rdp-Dateien und Verbindungsmanager müssen ebenso angepasst werden. Alles andere an der Verbindung bleibt genau gleich.

Fehlerbehebung: ausgesperrt oder keine Verbindung?

• Zeitüberschreitung bei der Verbindung. In fast allen Fällen fehlt in einer der beiden Firewalls die neue Regel. Prüfen Sie, ob sowohl die Regel in der Windows-Firewall als auch die in der OMC Cloud Firewall Ihren exakten Port und TCP enthalten.
• Sie haben den neuen Port vergessen. Öffnen Sie den Server über die OMC Konsole (kein RDP nötig), starten Sie PowerShell und führen Sie Folgendes aus: (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp').PortNumber
• Sie müssen die Änderung rückgängig machen. Setzen Sie über die Konsole PortNumber mit demselben Befehl aus dem PowerShell-Abschnitt wieder auf 3389, starten Sie TermService neu und aktivieren Sie die Firewall-Regeln für 3389 wieder.
• Kommen Sie immer noch nicht weiter? Der OMC Support ist 24/7 per Telefon, E-Mail oder Ticket in der Konsole erreichbar und hilft Ihnen, wieder Zugriff zu erhalten.

Über die Portänderung hinaus: RDP richtig absichern

Ein eigener Port reduziert das Rauschen; diese Maßnahmen stoppen die verbleibenden Angriffe:

• Nach Quell-IP beschränken. Die wirksamste Einzelmaßnahme: Erlauben Sie in der OMC Cloud Firewall den RDP-Port nur von den IP-Adressen Ihres Büros oder Homeoffice. Bots können keinen Port per Brute Force angreifen, den sie nicht erreichen.
• Lassen Sie Network Level Authentication (NLA) aktiviert. NLA verlangt Zugangsdaten, noch bevor eine Sitzung erstellt wird. Das blockiert viele automatisierte Angriffe und bekannte RDP-Exploits.
• Verwenden Sie ein langes, eindeutiges Passwort für jedes Konto mit RDP-Rechten, und benennen Sie das Standardkonto Administrator um oder deaktivieren Sie es, wo es praktikabel ist.
• Legen Sie eine Kontosperrungsrichtlinie fest (zum Beispiel sperren 10 Fehlversuche das Konto für 15 Minuten), damit Brute-Force-Versuche ins Leere laufen.
• Ziehen Sie ein VPN in Betracht. Wenn Sie RDP hinter ein VPN oder ein privates Netzwerk legen, ist es vollständig aus dem öffentlichen Internet verschwunden; kombinieren Sie dies mit dem privaten OMC LAN zwischen Ihren Servern.
• Behalten Sie die Logs im Blick. In der Windows-Ereignisanzeige zeigt das Sicherheitsprotokoll mit der Ereignis-ID 4625 fehlgeschlagene Anmeldungen. Nach dem Wechsel weg von 3389 ist der Unterschied meist drastisch.

Häufige Fragen

Stoppt die Änderung des RDP-Ports Brute-Force-Angriffe?
Sie stoppt die automatisierten Massenscans, die auf Port 3389 zielen und die überwältigende Mehrheit der Versuche ausmachen. Ein gezielter Angreifer kann den neuen Port mit einem vollständigen Portscan dennoch finden. Kombinieren Sie die Änderung daher mit einem starken Passwort, NLA und Firewall-Regeln.

Welchen Port sollte ich für RDP verwenden?
Jeder freie Port zwischen 20000 und 60000 eignet sich gut. Vermeiden Sie vorhersehbare Varianten wie 3390, 33890 oder 13389, denn Scanner probieren auch diese aus.

Wie prüfe ich, welchen Port RDP aktuell verwendet?
Führen Sie (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp').PortNumber in PowerShell aus. Der zurückgegebene Wert ist der aktive RDP-Port.

Muss ich den Server nach der Änderung des RDP-Ports neu starten?
Ein vollständiger Neustart ist nicht erforderlich. Ein Neustart des Remotedesktopdienstes mit net stop termservice && net start termservice übernimmt die Änderung sofort.

Ich habe den RDP-Port geändert und kann mich jetzt nicht verbinden. Was tun?
Prüfen Sie, ob der neue Port sowohl in der Windows-Firewall als auch in der OMC Cloud Firewall zugelassen ist und ob Sie im RDP-Client IP:Port eingegeben haben. Wenn Sie weiterhin ausgesperrt sind, öffnen Sie den Server über die OMC Konsole, die ohne RDP funktioniert, und korrigieren Sie die Einstellung oder machen Sie sie rückgängig.

Reicht die Änderung des RDP-Ports aus, um einen Server abzusichern?
Nein. Sie ist eine wirksame Schicht zur Rauschunterdrückung, kein vollständiger Schutz. Kombinieren Sie sie für echte Sicherheit mit Firewall-Regeln nach Quell-IP, NLA, starken Passwörtern und einer Kontosperrungsrichtlinie.

Schützt die Portänderung vor DDoS?
Sie hilft gegen opportunistische Fluten, die auf bekannte Ports zielen, aber ein gezielter DDoS-Angriff auf Ihre IP-Adresse bleibt davon unberührt. DDoS-Resilienz entsteht auf Netzwerkebene, die die OMC Rechenzentren vorgelagert abwickeln.

Wie verbinde ich mich per RDP über einen eigenen Port?
Geben Sie im Remote-Desktop-Client die Adresse als IP:Port ein, zum Beispiel 203.0.113.5:45223, und verbinden Sie sich wie gewohnt.

Fazit

Jeder OMC Cloud Windows-Server bietet eine externe Firewall pro Server, Bildschirmzugriff über die Konsole, der auch funktioniert, wenn RDP es nicht tut, tägliche Backup-Optionen und ein menschliches 24/7-Support-Team. Starten Sie einen Windows-VPS in Sekunden und wenden Sie diese Anleitung ab der ersten Minute an.