Alle Produkte 
Windows-VPS: Lizenzierung, RDP und sichere Anmeldung
Ein Windows-Server kostet nicht nur wegen des Arbeitsspeichers mehr als Linux: Im Preis steckt eine Lizenz, und wie sie geregelt ist, entscheidet darüber, ob Sie rechtlich sauber arbeiten und wie viele Personen sich verbinden können. Ein offener RDP-Port ist zudem der häufigste Weg, auf dem solche Server gehackt werden. Hier finden Sie beide Themen.
Die Wahl der Windows-Server-Version und der passenden Speichergröße behandeln die Auswahlseiten. In diesem Artikel geht es um zwei Dinge, die ein Tarif meist in einer Zeile oder gar nicht beschreibt: auf welcher Grundlage der Hoster Ihnen Windows bereitstellt und wie Sie sicherstellen, dass nur Sie sich anmelden können. Prüfen Sie beides vor der Bezahlung: Einen Server nachträglich neu zu lizenzieren oder ihn nach einem Einbruch neu aufzusetzen, kostet mehr, als von Anfang an den richtigen Tarif zu wählen.
Wie Hoster Windows Server lizenzieren
Ein Hoster kauft nicht für jeden Kunden eine Box-Version von Windows. Anbieter nutzen das Microsoft-Programm SPLA (Services Provider License Agreement): Lizenzen werden gemietet und monatlich nach tatsächlicher Nutzung an Microsoft bezahlt. Deshalb ist Windows im Tarif ein monatlicher Aufpreis, und deshalb entfällt er, wenn Sie den Server löschen.
Unter SPLA wird Windows Server pro Kern lizenziert. Bei der Lizenzierung pro virtueller Maschine zahlt der Hoster so viele Kernlizenzen, wie die VM virtuelle Kerne hat, aber mindestens acht pro VM. Der Windows-Aufpreis für einen kleinen Tarif mit 1–2 vCPU ist daher fast genauso hoch wie für einen Tarif mit 8 vCPU und wirkt im Verhältnis zum Serverpreis groß. Bei günstigen Tarifen kostet Windows manchmal mehr als der Server selbst.
Was Sie in der Tarifbeschreibung prüfen sollten:
- dass ausdrücklich steht, die Lizenz sei im Preis enthalten oder als Option hinzubuchbar, und nicht nur „Windows-Image“ oder „Windows-Installation“;
- welche Edition: Standard oder Datacenter. Für einen einzelnen VPS macht das für Sie meist keinen Unterschied; entscheidend ist, dass eine Lizenz vorhanden ist;
- was Windows bei der Verlängerung und beim Hinzufügen von Kernen kostet.
Stellt der Tarif nur ein System-Image ohne Lizenz bereit, läuft Windows unaktiviert mit Hinweisen und Einschränkungen, und die Rechtmäßigkeit dieser Nutzung liegt bei Ihnen.
Können Sie eine eigene Lizenz mitbringen
Technisch ja: Unter KVM können Sie ein eigenes ISO-Image booten. Rechtlich hängt es von der Art der Lizenz ab.
- Retail- und OEM-Schlüssel aus Onlineshops berechtigen nicht dazu, Windows Server auf der geteilten Hardware eines Hosters zu betreiben. Eine OEM-Lizenz ist zudem an einen bestimmten physischen Server gebunden.
- Volumenlizenzen mit Software Assurance oder Abonnementlizenzen dürfen seit Oktober 2022 zu Drittanbietern übertragen werden, auch auf geteilte Hardware (der Flexible Virtualization Benefit). Ausgenommen sind die größten Public Clouds auf der Liste von Microsoft, für die eigene Regeln gelten.
Hat das Unternehmen keine aktive Software Assurance, ist ein Tarif mit der Lizenz des Hosters einfacher und sicherer. Eine eigene Lizenz lohnt sich, wenn sie im Rahmen eines Volumenvertrags bereits bezahlt ist.
Die Desktop-Versionen Windows 10 und 11 sind ein eigener Fall. Sie gehören nicht zu SPLA, und ihre Lizenzbedingungen sind nicht auf die Vermietung auf geteilter Hardware ausgelegt. Details finden Sie auf den Seiten VPS mit Windows 10 und VPS mit Windows 11.
Wie viele Personen sich per RDP verbinden können
Ohne zusätzliche Lizenzen akzeptiert Windows Server zwei gleichzeitige RDP-Verbindungen, gedacht für die Administration. Arbeiten Mitarbeiter auf dem Server, etwa Buchhaltung, Vertrieb oder Sachbearbeiter, brauchen Sie die Rolle Remote Desktop Session Host und eine Lizenz für jeden Benutzer.
| Szenario | Was Sie brauchen | Wer zahlt |
|---|---|---|
| 1–2 Administratoren | Nichts außer der Windows-Server-Lizenz | Im Tarif enthalten |
| Mitarbeiter arbeiten auf dem Server | Rolle RD Session Host und eine Lizenz pro Benutzer | Beim Hoster: eine RDS SAL pro Benutzer und Monat |
| Eigene Lizenzinfrastruktur | Ein RDS-Lizenzserver und das Recht, ihn bei einem Anbieter zu nutzen | Das Unternehmen, im Rahmen seines eigenen Vertrags |
Unter SPLA heißt die Benutzerlizenz RDS SAL und wird monatlich abgerechnet: Hatte ein Benutzer auch nur an einem Tag im Monat Zugang, wird der ganze Monat bezahlt. Fragen Sie den Hoster, ob er diese Lizenzen verkauft und zu welchem Preis; für ein kleines Team kann das das Serverbudget verdoppeln. Wie Sie Arbeitsspeicher und Kerne pro Benutzer bemessen, steht auf der Seite RDP-Server.
Warum RDP am häufigsten angegriffen wird
Port 3389 wird ständig gescannt: Ein neuer Windows-Server mit offenem RDP erhält innerhalb weniger Minuten nach Vergabe der IP die ersten Anmeldeversuche. Es gibt zwei Hauptbedrohungen.
- Passwort-Raten. Bots probieren gängige Benutzernamen, allen voran Administrator, und Passwörter aus geleakten Datenbanken. Das ist die häufigste Ursache für Einbrüche.
- Schwachstellen im RDP-Dienst selbst. Ein Beispiel ist BlueKeep (CVE-2019-0708) aus dem Jahr 2019: Eine Lücke in älteren Windows-Versionen erlaubte die Ausführung von Code ohne Passwort. Die Korrektur kam mit Updates, und kein System ohne sie sollte im Internet erreichbar sein.
Der Schutz wird in Schichten aufgebaut: Zuerst begrenzen Sie, wer RDP überhaupt erreichen kann, dann erschweren Sie die Anmeldung, und schließlich schließen Sie Schwachstellen mit Updates.
Schicht 1: Netzwerk
- IP-Allowlist. Erlauben Sie den RDP-Port in der Windows-Firewall nur für Ihre eigenen Adressen. Bietet der Hoster in seinem Panel einen Netzwerkfilter an, legen Sie die Regel dort zusätzlich an, damit unerwünschter Traffic den Server gar nicht erst erreicht.
- Privates Firmennetzwerk. Ändern sich die Adressen der Mitarbeiter, verbinden Sie sie über das VPN-Gateway des Unternehmens mit dem Server und lassen RDP nur im internen Netzwerk lauschen. Wie Sie das aufbauen, erklärt Firmennetzwerk auf einem VPS.
- Remote Desktop Gateway (RD Gateway). Es leitet RDP innerhalb von HTTPS über Port 443, prüft Benutzer anhand von Zugriffsrichtlinien und erlaubt einen zweiten Faktor. Nützlich, wenn es viele Benutzer gibt und Sie ihnen keine VPN-Clients installieren möchten.
RDP von Port 3389 wegzuverlegen reduziert das Rauschen im Log, schützt aber nicht: Scanner finden RDP auch auf nicht standardmäßigen Ports.
Schicht 2: Anmeldung
- Network Level Authentication (NLA). Der Benutzer gibt seine Zugangsdaten ein, bevor der Server eine vollständige Sitzung öffnet. Das spart bei Brute-Force-Versuchen Ressourcen und blockiert einige Schwachstellen, die vor der Anmeldung greifen. NLA sollte immer aktiviert sein.
- Sperrrichtlinie. Auf Systemen, die mit den Updates von Oktober 2022 oder neuer installiert wurden, gilt standardmäßig eine Sperre von 10 Minuten nach 10 Fehlversuchen, auch für den integrierten Administrator. Ältere Images haben sie womöglich nicht; prüfen Sie das in der lokalen Sicherheitsrichtlinie.
- Getrennte Konten. Jeder Mitarbeiter erhält ein eigenes Konto ohne Administratorrechte. Benennen Sie den integrierten Administrator um oder deaktivieren Sie ihn, und ändern Sie bei der ersten Anmeldung das Passwort, das der Hoster Ihnen geschickt hat.
- Zweiter Faktor. Für Server mit Zugriff auf Geld und personenbezogene Daten ergänzen Sie eine Zwei-Faktor-Authentifizierung über RD Gateway oder eine Drittanbieterlösung für die Windows-Anmeldung.
Schicht 3: Updates und Wiederherstellung
Korrekturen für RDP, SMB und den Windows-Kernel erscheinen jeden Monat am zweiten Dienstag. Aktivieren Sie die automatische Installation mit Neustart in einem nächtlichen Zeitfenster und behalten Sie die Supportdaten der Version im Blick: Windows Server 2016 erhält Korrekturen bis zum 12. Januar 2027, 2019 bis zum 9. Januar 2029, 2022 bis zum 14. Oktober 2031 und 2025 bis zum 14. November 2034. Ein Server mit einer nicht mehr unterstützten Version bleibt angreifbar, egal wie gut die Anmeldung abgesichert ist.
Halten Sie ein Daten-Backup außerhalb des Servers und einen Snapshot des sauberen Systems nach der Einrichtung bereit. Zeigt das Sicherheitsprotokoll eine erfolgreiche Anmeldung von einer unbekannten Adresse, ist es sicherer, aus einer Vorlage neu zu installieren und die Daten wiederherzustellen, als zu suchen, was der Angreifer verändert hat. Besonderheiten der Versionen finden Sie auf den Seiten Windows Server 2022 und Windows Server 2025.
Checkliste: die erste Stunde auf einem Windows-VPS
- Die Tarifbeschreibung nennt eine Windows-Server-Lizenz, und der Verlängerungspreis ist bekannt.
- Bei mehr als zwei Benutzern sind RDS SALs beim Hoster geklärt.
- Das Passwort des Hosters ist ersetzt, und der integrierte Administrator ist umbenannt oder deaktiviert.
- NLA ist aktiviert, und die Kontosperrrichtlinie greift.
- RDP ist nur für Ihre IPs, über das private Firmennetzwerk oder über RD Gateway erreichbar.
- Automatische Updates sind aktiviert, und die Windows-Version wird noch unterstützt.
- Es gibt ein Daten-Backup außerhalb des Servers und einen Snapshot nach der Einrichtung.
Tarife mit bereits enthaltener Lizenz finden Sie unter VPS mit Windows und günstige Windows-VPS. Allgemeine Kriterien für die Serverwahl stehen in VPS auswählen.