In den meisten IT-Umgebungen haben sich RDP, SSH und VNC über Jahre angesammelt. Ein Windows-Server wird per RDP gewartet, ein Linux-System per SSH, eine Maschine in der Produktion per VNC. Jeder Zugang wurde einzeln eingerichtet, oft mit eigener Firewall-Regel, eigenem Passwort und einer Dokumentation, die selten aktuell ist. Das Ergebnis ist ein Flickenteppich aus offenen Wegen in die Infrastruktur, den niemand mehr vollständig überblickt.

Jedes dieser Protokolle ist für sich genommen mächtig und nützlich. Das Problem ist nicht das einzelne Protokoll, sondern die Summe: viele offene Ports, viele Zugangsdaten, viele Einfallstore. Dieser Artikel zeigt, wie ein einziges zentrales Zugangstor diesen Wildwuchs ablöst, für interne Administratoren und externe Dienstleister gleichermaßen.

Das Problem: eine über Jahre gewachsene Protokoll-Landschaft

In den meisten IT-Umgebungen haben sich RDP, SSH und VNC über Jahre angesammelt. Jeder Zugang wurde einzeln eingerichtet, oft mit eigener Firewall-Regel, eigenem Passwort und einer Dokumentation, die selten aktuell ist. Es entsteht ein Flickenteppich aus offenen Wegen in die Infrastruktur, den niemand mehr vollständig überblickt.

Jedes Protokoll ist für sich genommen mächtig und nützlich. Das Problem ist nicht das einzelne Protokoll, sondern die Summe: viele offene Ports, viele Zugangsdaten, viele Einfallstore. Wie schnell ein offener Protokollzugang ausgenutzt wird, zeigt unser Beitrag zum sicheren Remote-Desktop-Zugriff.

Warum direkter Protokollzugriff und VPN nicht mehr ausreichen

Die klassische Antwort lautet VPN. Der externe Dienstleister oder der Admin im Homeoffice bekommt einen VPN-Zugang und ist damit im Netz. Doch ein VPN authentifiziert nur den Tunnel, nicht die einzelne Handlung. Wer im Tunnel ist, sieht oft ein ganzes Netzsegment statt nur das eine System, das er warten soll.

Drei Schwächen wiederholen sich: Es fehlt die Sicht darauf, was in einer Sitzung tatsächlich passiert. Zugangsdaten werden geteilt, sodass sich Handlungen niemandem mehr eindeutig zuordnen lassen. Und einmal vergebene Zugänge werden selten wieder entzogen. Genau hier setzt eine Zero-Trust-Architektur an: kein Zugriff ist von vornherein vertrauenswürdig.

Die Idee: ein einziges Eingangstor

Statt jeden Server direkt über sein Protokoll erreichbar zu machen, führt ein zentrales Zugangstor alle privilegierten Zugriffe an einem Punkt zusammen. Nutzer verbinden sich nicht mehr direkt mit dem Zielsystem, sondern mit dem Tor. Das Tor prüft die Identität, autorisiert den Zugriff auf genau ein System für genau eine Aufgabe und stellt die Verbindung im Hintergrund her. RDP, SSH und VNC laufen weiter, aber gekapselt hinter dem Tor, nicht mehr offen im Netz.

Für den Nutzer bleibt es einfach: ein Einstieg, meist direkt im Browser, ohne Client-Installation. Für die Sicherheit ändert sich alles, weil jeder Zugriff über denselben kontrollierten Weg läuft.

Wie das Zugangstor funktioniert

Ein gut gebautes Zugangstor vereint mehrere Funktionen:

• Die Zielprotokolle RDP, SSH und VNC werden am Tor terminiert. Auf den Zielsystemen muss kein Agent installiert werden, und ihre Ports bleiben nach außen geschlossen.
• Jeder Nutzer hat eine eigene Identität mit Multi-Faktor-Authentifizierung. Geteilte Sammelkonten entfallen.
• Rechte werden nach dem Prinzip der minimalen Rechtevergabe und per Just-in-Time-Freigabe vergeben, also nur für die Dauer der Aufgabe.
• Jede Sitzung wird vollständig aufgezeichnet und lässt sich live mitverfolgen oder im Ernstfall sofort trennen.
• Alle Zugriffe landen in einem revisionssicheren Protokoll.

So wird aus vielen unkontrollierten Wegen ein einziger, an dem Identität, Berechtigung und Nachweis zusammenlaufen. Das ist im Kern gelebtes Privileged Access Management.

Intern und extern über denselben Weg

Der größte praktische Gewinn: interne Administratoren und externe Dienstleister nutzen dasselbe Tor. Der externe Wartungstechniker bekommt keinen VPN-Zugang ins Netz mehr, sondern einen zeitlich begrenzten, aufgezeichneten Zugriff auf genau das System, das er betreuen soll. Wie sich externe Partner kontrolliert anbinden lassen, beschreibt unser Beitrag zum Drittanbieter-Zugriff, im KRITIS-Umfeld etwa beim Dienstleisterzugriff bei Stadtwerken.

Für interne Teams verschwindet der Unterschied zwischen Büro und Homeoffice, weil der Zugriff nicht mehr vom Standort abhängt, sondern von Identität und Berechtigung. Das passt zu den Anforderungen an sichere Remote-Arbeit.

Was das für Compliance bedeutet

Regulatorisch ist ein zentrales Zugangstor mehr als Komfort. Das NIS2-Umsetzungsgesetz verlangt Zugriffskontrolle, Multi-Faktor-Authentifizierung und nachweisbare Kontrolle privilegierter Zugriffe. Ein Tor, das jede Sitzung aufzeichnet und jeden Zugriff dokumentiert, liefert genau diese Nachweise. Das Gleiche gilt für KRITIS-Vorgaben, die DSGVO und Standards wie ISO 27001.

Migration: RDP, SSH und VNC ablösen, ohne den Betrieb zu stören

Der Wechsel muss kein Großprojekt sein. In der Praxis bewährt sich ein schrittweises Vorgehen: zuerst eine Bestandsaufnahme aller offenen Zugänge, dann die kritischsten Systeme hinter das Tor legen, danach die Protokoll-Ports nach außen schließen. Eine agentenlose Lösung lässt sich anbinden, ohne Software auf jedem Zielsystem auszurollen, und stört den laufenden Betrieb nicht.

Worauf es bei der Auswahl ankommt

Drei Punkte entscheiden: Lässt sich die Lösung revisionssicher auswerten, also jede Sitzung lückenlos belegen? Lässt sie sich on-premise betreiben und behält damit die Kontrolle im eigenen Haus? Und bindet sie externe wie interne Nutzer über denselben Weg an? Genau dafür ist VISULOX von amitego gebaut: ein agentenloses Zugangstor, das RDP, SSH und VNC kapselt, Sitzungen aufzeichnet und in unter zwei Tagen einsatzbereit ist. Einen Überblick gibt die VISULOX-Produktübersicht.

RDP, SSH und VNC verschwinden nicht, aber sie gehören nicht mehr offen ins Netz. Ein einziges zentrales Zugangstor macht aus vielen unkontrollierten Wegen einen kontrollierten: gleiche Identität, gleiche Aufzeichnung, gleiche Nachweisbarkeit für interne und externe Nutzer. Das senkt das Risiko, vereinfacht den Betrieb und erfüllt die regulatorischen Anforderungen. Wer heute mit einer Bestandsaufnahme beginnt, hat den größten Teil des Weges schon vor sich geklärt. Vertiefend dazu: Was ist Privileged Access Management?