Für eine RDP-Verbindung muss nicht nur der TCP-Port 3389 erreichbar sein. Auf dem Ziel-PC müssen Remotedesktop aktiviert, ein berechtigtes Benutzerkonto zugelassen und die passende Firewallregel eingeschaltet sein. Unter Windows 11 und Windows 10 erledigst du das am sichersten über die Systemeinstellungen; PowerShell eignet sich zur Kontrolle und für eine automatisierte Einrichtung. Öffne den Port nicht ungeschützt im Internet. Für Zugriffe von außerhalb deines Heimnetzes ist ein VPN oder ein sicher konfiguriertes Gateway die bessere Lösung.
Welche Voraussetzungen für RDP über Port 3389 gelten
Remote Desktop Protocol, kurz RDP, stellt eine grafische Verbindung zu einem Windows-PC her. Der Computer, auf den du zugreifen möchtest, ist der Ziel-PC. Auf diesem Gerät muss der RDP-Dienst Verbindungen annehmen. Der Computer, von dem aus du zugreifst, benötigt lediglich einen geeigneten Remotedesktop-Client.
Die Windows-Edition entscheidet darüber, ob eingehende RDP-Verbindungen möglich sind. Windows 11 Pro, Enterprise und Education können als Zielsystem dienen. Windows 11 Home enthält keinen vollständigen RDP-Host für eingehende Verbindungen. Das Gleiche gilt grundsätzlich für Windows 10 Home. Mit einer Home-Edition kannst du dich also normalerweise auf andere PCs verbinden, aber keine reguläre RDP-Sitzung für eingehende Zugriffe bereitstellen.
Der Ziel-PC muss eingeschaltet sein und während des Zugriffs laufen. Ist er im Energiesparmodus, kann die Verbindung scheitern, obwohl Port 3389 und die Firewall korrekt eingerichtet sind. Bei einem Notebook solltest du außerdem prüfen, ob das Gerät beim Zuklappen in den Energiesparmodus wechselt.
Für die Aktivierung brauchst du normalerweise ein Administratorkonto. Das Konto, mit dem du dich später anmeldest, muss zusätzlich für Remotedesktop berechtigt sein. Ein lokales Konto und ein Microsoft-Konto können je nach Konfiguration funktionieren. Ein Konto ohne Kennwort wird aus Sicherheitsgründen häufig abgewiesen. Lege deshalb ein starkes Kennwort fest, bevor du den Zugriff testest.
Remotedesktop in Windows 11 oder Windows 10 einschalten
Der grafische Weg ist die bevorzugte Methode, weil Windows dabei die notwendige Funktion aktiviert und die zugehörigen Firewallregeln passend einrichtet. Melde dich am Ziel-PC mit einem Administratorkonto an und führe diese Schritte aus:
- Öffne die Windows-Einstellungen mit
Windows-Taste + I. - Wähle unter Windows 11 den Bereich System und anschließend Remotedesktop.
- Unter Windows 10 öffnest du System und danach Remotedesktop. Je nach Ansicht kann der Einstieg auch über die Systemeigenschaften erfolgen.
- Schalte Remotedesktop ein und bestätige die Sicherheitsabfrage.
- Lies den angezeigten PC-Namen ab. Du kannst ihn später im Remotedesktop-Client als Ziel verwenden.
- Öffne den Bereich für Benutzer, die eine Verbindung herstellen dürfen, und füge bei Bedarf ein weiteres Konto hinzu.
Windows zeigt nach der Aktivierung üblicherweise einen Hinweis, dass Verbindungen zugelassen sind. Dieser Hinweis allein beweist noch nicht, dass der Zugriff aus jedem Netzwerk funktioniert. Er bestätigt zunächst nur die lokale Freigabe des RDP-Hosts.
In den Remotedesktop-Einstellungen findest du außerdem Optionen für die Netzwerkauthentifizierung. Die Authentifizierung auf Netzwerkebene, häufig als NLA bezeichnet, sollte aktiviert bleiben. Sie verlangt eine Anmeldung, bevor eine vollständige Remotedesktopsitzung aufgebaut wird, und reduziert die Angriffsfläche. Deaktiviere diese Option nur zur gezielten Fehlersuche in einer kontrollierten Umgebung und aktiviere sie danach wieder.
Benutzer für die RDP-Anmeldung berechtigen
Administratoren dürfen sich in der Regel bereits per Remotedesktop anmelden. Ein normales Benutzerkonto benötigt dagegen eine ausdrückliche Berechtigung. Öffne in den Remotedesktop-Einstellungen die Benutzerverwaltung und füge das gewünschte Konto hinzu. Bei einem Microsoft-Konto kann die Schreibweise vom angezeigten Namen abweichen. Verwende dann die tatsächlich hinterlegte Anmeldekennung und teste die Anmeldung zunächst lokal.
Alternativ kannst du die klassische Systemoberfläche verwenden. Drücke Windows-Taste + R, gib sysdm.cpl ein und bestätige mit der Eingabetaste. Öffne die Registerkarte für Remoteverbindungen und wähle die Option, die Verbindungen mit Remotedesktop zulässt. Über die Auswahl der Benutzer kannst du weitere Konten berechtigen.
Die klassische Oberfläche ist besonders hilfreich, wenn die neue Einstellungsseite nicht verfügbar ist oder eine Unternehmensrichtlinie sie ausblendet. Auf verwalteten PCs kann eine Gruppenrichtlinie die lokale Einstellung überschreiben. In diesem Fall bleibt die Option möglicherweise deaktiviert oder springt nach einem Neustart wieder zurück. Änderungen an einem Firmen-PC solltest du mit der zuständigen Administration abstimmen.
Prüfen, ob die Windows-Firewall Port 3389 freigibt
Beim Einschalten von Remotedesktop legt Windows normalerweise passende eingehende Regeln für die Windows Defender Firewall an. Diese Regeln gelten je nach Konfiguration für private, Domänen- oder öffentliche Netzwerke. Entscheidend ist, welchem Netzwerkprofil die aktuelle Verbindung zugeordnet ist.
Öffne Einstellungen, Netzwerk und Internet sowie die Eigenschaften der aktiven Verbindung. Ein vertrauenswürdiges Heim- oder Firmennetz wird häufig als privates Netzwerk geführt. In einem öffentlichen Netzwerk solltest du eingehende RDP-Verbindungen nicht ohne sorgfältige Prüfung freigeben. Eine falsche Profilzuordnung kann dazu führen, dass RDP im eigenen Netzwerk funktioniert, bei einem anderen Netzwerk aber blockiert wird.
Für eine detaillierte Kontrolle öffnest du die Windows-Firewall mit erweiterter Sicherheit. Drücke Windows-Taste + R, gib wf.msc ein und bestätige. Wähle links Eingehende Regeln und suche nach Regeln mit der Bezeichnung Remotedesktop. Die Regeln sollten aktiviert sein und zum verwendeten Netzwerkprofil passen. Ist eine Regel deaktiviert, kannst du sie über das Kontextmenü aktivieren.
Vermeide es, zusätzlich eine beliebige neue Portregel mit weit geöffnetem Geltungsbereich anzulegen, wenn die vorhandenen Remotedesktopregeln bereits ausreichen. Jede zusätzliche Freigabe vergrößert die Angriffsfläche. Prüfe nach einer Änderung zuerst die lokale Erreichbarkeit, bevor du weitere Einstellungen veränderst.
Port 3389 mit PowerShell kontrollieren
PowerShell kann anzeigen, ob die standardmäßigen RDP-Firewallregeln aktiv sind. Starte PowerShell über das Startmenü. Für die reine Abfrage sind normalerweise keine Administratorrechte erforderlich, für Änderungen dagegen schon.
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object DisplayName, Enabled, Profile, Direction, ActionIn der Ausgabe sollte für die relevanten Regeln bei Enabled der Wert True, bei Direction Inbound und bei Action Allow erscheinen. Die genaue Anzeige kann je nach Windows-Sprache variieren. Wenn die englische Gruppenbezeichnung keine Treffer liefert, öffne die Firewallverwaltung über wf.msc und kontrolliere die lokal angezeigten Regeln.
Mit dem folgenden Befehl kannst du prüfen, ob auf dem Ziel-PC ein Dienst am TCP-Port 3389 lauscht:
Get-NetTCPConnection -LocalPort 3389 -State ListenEine Ausgabe mit einem lokalen Endpunkt auf Port 3389 zeigt, dass ein Prozess den Port abhört. Erhältst du keine Ausgabe, ist der RDP-Dienst möglicherweise nicht aktiv, die Funktion nicht verfügbar oder der Port wurde geändert. Die Abfrage verändert nichts am System.
Der zuständige Dienst heißt TermService. Sein Status lässt sich so auslesen:
Get-Service -Name TermServiceDer Status Running ist für eine aktive Annahme von RDP-Verbindungen erforderlich. Ist der Dienst beendet, prüfe zuerst, ob Remotedesktop in den Einstellungen wirklich aktiviert wurde. Auf verwalteten Geräten können Richtlinien den Start oder die Konfiguration des Dienstes beeinflussen.
Die Firewallregeln gezielt aktivieren
Wenn Remotedesktop bereits eingeschaltet ist, die Regeln aber deaktiviert sind, kannst du sie in einer als Administrator gestarteten PowerShell wieder aktivieren. Klicke dazu mit der rechten Maustaste auf PowerShell und wähle die Option zum Starten mit Administratorrechten.
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"Der Befehl aktiviert die vorhandenen Regeln der Gruppe. Er öffnet nicht automatisch den Router und macht den PC nicht aus dem Internet erreichbar. Nach der Ausführung kontrollierst du die Regeln erneut mit Get-NetFirewallRule und testest anschließend die Verbindung.
Falls die Regeln nur für ein bestimmtes Profil gelten sollen, kannst du die Einschränkung in der erweiterten Firewallverwaltung prüfen. Eine globale Freigabe für alle Profile ist nicht automatisch sinnvoll. Wenn ein Laptop zwischen einem privaten WLAN und einem öffentlichen Hotspot wechselt, sollte RDP im öffentlichen Profil möglichst nicht erreichbar sein.
Deaktivieren kannst du die Windows-Regeln mit:
Disable-NetFirewallRule -DisplayGroup "Remote Desktop"Dieser Befehl unterbindet den eingehenden Zugriff über die betroffenen Regeln, schaltet Remotedesktop selbst aber nicht zwingend aus. Für einen vollständigen Rückweg deaktivierst du anschließend auch Remotedesktop in den Windows-Einstellungen. Teste danach, dass keine Verbindung mehr angenommen wird.
Abweichenden RDP-Port prüfen
Port 3389 ist der Standard für RDP, aber eine Installation kann auf einen anderen Port eingestellt worden sein. Das ist gelegentlich bei speziellen Netzwerkkonfigurationen der Fall. Prüfe deshalb vor Änderungen, ob der Ziel-PC tatsächlich auf dem Standardport lauscht.
Die verwendete Portnummer steht in der Registrierung unter:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-TcpDer relevante Wert heißt PortNumber. Öffne den Registrierungs-Editor nur zum Lesen über regedit, wenn du mit der Registrierung vertraut bist. Vor einer Änderung solltest du den betroffenen Schlüssel exportieren. Ein falscher Wert oder eine beschädigte Registrierung kann dazu führen, dass RDP nicht mehr startet.
Der Wert wird häufig als Zahl gespeichert. Stelle im Registrierungs-Editor sicher, dass du den numerischen Wert und nicht versehentlich eine andere Einstellung änderst. Nach einer Portänderung muss die Firewallregel den neuen Port erlauben, und der RDP-Dienst muss neu gestartet werden. Außerdem musst du beim Verbindungsaufbau den Port angeben, etwa mit der Schreibweise PC-Name:Portnummer.
Eine Portänderung ersetzt keine Zugangssicherung. Sie verhindert weder gezielte Scans noch Angriffe auf schwache Konten. Wenn du den Standardport änderst, dokumentiere die Änderung und kontrolliere sie später erneut, damit die Konfiguration nicht mit einer fehlenden RDP-Freigabe verwechselt wird.
Verbindung zunächst im lokalen Netzwerk testen
Teste RDP zuerst innerhalb desselben lokalen Netzwerks. So trennst du Windows-Probleme von Router-, VPN- und Internetproblemen. Ermittle auf dem Ziel-PC den Computernamen in den Systemeinstellungen. Alternativ kannst du die lokale IPv4-Adresse mit ipconfig anzeigen.
ipconfigVerwende im RDP-Client zunächst den Computernamen. Falls die Namensauflösung nicht funktioniert, teste die lokale IP-Adresse. Drücke auf dem zugreifenden PC Windows-Taste + R, gib mstsc ein und bestätige. Trage im Feld für den Computer den Namen oder die IP-Adresse ein.
Wenn du den Port testen möchtest, ohne gleich eine Sitzung zu öffnen, verwendest du PowerShell auf dem zugreifenden PC:
Test-NetConnection -ComputerName PC-NAME -Port 3389Ersetze PC-NAME durch den tatsächlichen Computernamen oder die lokale IP-Adresse. Der Wert TcpTestSucceeded : True zeigt, dass eine TCP-Verbindung zum angegebenen Port möglich ist. Bei False prüfst du zuerst, ob beide Geräte im selben Netz sind, der Ziel-PC eingeschaltet ist, der Port stimmt und die Firewallregel aktiv ist.
Ein erfolgreicher TCP-Test bestätigt nur die Netzwerkerreichbarkeit. Die Anmeldung kann trotzdem an einem falschen Kennwort, fehlender Benutzerberechtigung, NLA, einer Kontosperre oder einer Richtlinie scheitern. Behandle die Netzwerkprüfung und die Authentifizierung daher als zwei getrennte Fehlerbereiche.
RDP aus einem anderen Netzwerk sicher bereitstellen
Eine direkte Weiterleitung von TCP-Port 3389 am Router an den Windows-PC ist technisch möglich, aber sicherheitlich riskant. Der Port wird von automatisierten Scans gefunden, und schwache oder wiederverwendete Kennwörter können zu unbefugten Anmeldeversuchen führen. Eine reine Änderung der externen Portnummer bietet keinen verlässlichen Schutz.
Für den Fernzugriff ist ein VPN meist die bessere Variante. Der externe Client baut zunächst den VPN-Tunnel zum Heim- oder Firmennetz auf. Danach verwendest du RDP über die interne IP-Adresse oder den internen Computernamen, ohne den Windows-PC direkt aus dem Internet freizugeben. Der VPN-Anbieter oder die Netzwerkadministration muss die Einrichtung unterstützen.
In Unternehmensumgebungen kommt ein Remote Desktop Gateway infrage. Dabei wird die Verbindung zentral authentifiziert und kontrolliert, statt jeden Ziel-PC direkt zu veröffentlichen. Welche Lösung zulässig ist, hängt von der Netzwerkinfrastruktur und den Sicherheitsvorgaben ab.
Wenn du trotzdem eine Routerfreigabe einrichtest, beschränke die Quelle so weit wie möglich, verwende starke individuelle Kennwörter, aktiviere NLA, halte Windows aktuell und überwache die Anmeldeereignisse. Eine Portweiterleitung sollte nur auf den tatsächlich benötigten Ziel-PC zeigen. Prüfe außerdem, ob die öffentliche IP-Adresse dynamisch wechselt. Die Routerkonfiguration liegt außerhalb von Windows und kann je nach Hersteller anders aussehen.
Typische Fehlermeldungen richtig einordnen
| Beobachtung | Wahrscheinlicher Bereich | Nächste Prüfung |
|---|---|---|
| Der Ziel-PC wird nicht gefunden | Name, DNS oder Netzwerk | Lokale IP-Adresse mit Test-NetConnection testen |
| Port 3389 ist nicht erreichbar | Firewall, Dienst oder falscher Port | Firewallregeln, TermService und RDP-Tcp prüfen |
| Die Anmeldung wird abgewiesen | Konto, Kennwort, Berechtigung oder NLA | Benutzerfreigabe und Anmeldekennung kontrollieren |
| Die Verbindung bricht sofort ab | Richtlinie, Sitzung oder Dienst | Ereignisanzeige und Remotedesktop-Einstellungen prüfen |
| Es funktioniert nur im Heimnetz | Router, VPN oder externe Firewall | Keine direkte Freigabe voraussetzen, externen Pfad prüfen |
Die Meldung, dass der Remotecomputer nicht erreicht werden kann, deutet zunächst auf Netzwerk, Firewall, Namensauflösung oder einen ausgeschalteten PC hin. Eine Meldung über ungültige Anmeldeinformationen entsteht dagegen erst, wenn der Ziel-PC grundsätzlich antwortet. Diese Unterscheidung verhindert, dass du wegen eines Netzwerkfehlers unnötig Kennwörter oder Benutzerrechte änderst.
Wenn NLA-Fehler auftreten, prüfe die Uhrzeit des Ziel-PCs, die Anmeldedaten und die Vertrauensbeziehung bei einem Domänenkonto. Bei einem lokalen Konto muss die lokale Benutzerkennung verwendet werden. In einer Domäne kann die Schreibweise DOMÄNEBenutzername erforderlich sein. Verwende dabei die tatsächlich vorhandene Domänenbezeichnung und ersetze sie nicht durch einen Beispielwert.
Ereignisanzeige und Dienststatus für die Fehlersuche nutzen
Wenn die grundlegenden Tests keinen eindeutigen Hinweis liefern, öffne die Ereignisanzeige mit eventvwr.msc. Suche unter den Windows-Protokollen und den Anwendungs- und Dienstprotokollen nach Einträgen, die zeitlich zu deinem Verbindungsversuch passen. Die genaue Struktur kann sich zwischen Windows-Versionen und Richtlinien unterscheiden.
Notiere den Zeitpunkt, den verwendeten Benutzernamen und den angezeigten Fehlercode. Ein einzelner Eintrag ist nicht immer die eigentliche Ursache. Aussagekräftiger ist die Kombination aus Dienststatus, Firewalltest, lokaler Verbindung und Authentifizierungsereignis.
Den Dienststatus kannst du mit PowerShell weiter untersuchen:
Get-Service -Name TermService | Select-Object Name, Status, StartTypeÄndere den Starttyp nicht ohne Grund. Ein automatisch gestarteter Dienst ist für einen dauerhaft erreichbaren Ziel-PC üblich, während ein Gerät, das nur gelegentlich Fernzugriff benötigt, anders geplant werden kann. Wenn der Dienst wiederholt beendet wird, prüfe Systemereignisse und Unternehmensrichtlinien, statt ihn lediglich immer wieder zu starten.
RDP nach der Einrichtung absichern
Aktiviere den Zugriff nur auf dem Gerät und in den Netzwerkprofilen, die du wirklich benötigst. Entferne nicht mehr benötigte Benutzer aus der Remotedesktopgruppe. Verwende keine gemeinsam genutzten Konten, weil sich Anmeldungen dann schwerer zuordnen lassen.
- Verwende ein langes, einzigartiges Kennwort für jedes zugelassene Konto.
- Aktiviere die Netzwerkauthentifizierung und lasse aktuelle Sicherheitsupdates installieren.
- Schränke Firewallregeln auf vertrauenswürdige Profile oder Quellnetze ein.
- Nutze für externe Zugriffe bevorzugt ein VPN oder ein Remote Desktop Gateway.
- Deaktiviere Remotedesktop wieder, wenn du ihn nicht mehr brauchst.
- Prüfe die Windows-Sicherheitsprotokolle auf unbekannte Anmeldeversuche.
Port 3389 sollte nicht als allgemeiner Freigabekanal für beliebige Geräte verstanden werden. Die Firewall schützt nur auf Netzwerkebene. Sie ersetzt weder sichere Konten noch Updates, Mehrfaktor-Authentifizierung am vorgelagerten VPN noch eine sinnvolle Begrenzung erlaubter Quelladressen.
Aktivierung überprüfen und sauber zurücknehmen
Nach der Einrichtung führst du eine kurze Kontrolle durch. Remotedesktop muss in den Einstellungen als aktiviert erscheinen, das gewünschte Benutzerkonto muss zugelassen sein und der Dienst TermService muss laufen. Der Test mit Test-NetConnection sollte aus dem vorgesehenen Netzwerk den erwarteten Port erreichen.
- Lokalen Computernamen und IP-Adresse notieren.
- Verwendete Windows-Edition prüfen.
- Benutzerberechtigung und Kennwort kontrollieren.
- Firewallprofil und aktive Remotedesktopregel prüfen.
- Portnummer in der Registrierung nur bei begründetem Verdacht kontrollieren.
- Eine Testanmeldung aus dem zulässigen Netzwerk durchführen.
Wenn du den Zugriff nicht mehr benötigst, schalte Remotedesktop in den Windows-Einstellungen aus. Deaktiviere zusätzlich eine eventuell eingerichtete Routerweiterleitung oder VPN-Regel. Überprüfe danach von einem zweiten Gerät, dass Port 3389 nicht mehr erreichbar ist. Eine zuvor manuell angelegte Firewallregel entfernst du erst, wenn feststeht, dass sie nicht für eine andere Anwendung gebraucht wird.
Bei beschädigten Systemdateien, wiederkehrenden Dienstabbrüchen, unbekannten Richtlinien oder einem nicht mehr erreichbaren Administratorkonto solltest du die Konfiguration nicht durch wahllose Registry-Änderungen erzwingen. Sichere zunächst wichtige Daten und hole Unterstützung durch die zuständige Administration oder eine qualifizierte PC-Fachkraft. Das gilt besonders, wenn der Rechner BitLocker, eine Domänenanbindung, mehrere Windows-Installationen oder geschäftskritische Daten enthält.
Häufige Fragen zum Aktivieren von RDP über Port 3389
Kann ich RDP auf Windows 11 Home oder Windows 10 Home als Zielsystem aktivieren?
Nein, die Home-Editionen enthalten normalerweise keinen vollständigen RDP-Host für eingehende Verbindungen. Du kannst von einem Home-PC aus weiterhin den Remotedesktop-Client verwenden, benötigst als Ziel aber beispielsweise Windows 11 Pro, Enterprise oder Education beziehungsweise eine passende Windows-10-Edition.
Warum ist Port 3389 trotz aktiviertem Remotedesktop nicht erreichbar?
Prüfe zuerst, ob der Dienst TermService läuft, die Remotedesktopregeln der Windows Defender Firewall aktiviert sind und das aktuelle Netzwerkprofil zur Regel passt. Scheitert der Test nur von außerhalb deines Heimnetzes, liegt die Ursache häufig an fehlendem VPN-Zugriff, einer Firewall im Router oder einer nicht eingerichteten Weiterleitung und nicht an der lokalen Windows-Aktivierung.
Muss ich Port 3389 im Router freigeben, damit RDP funktioniert?
Für eine Verbindung innerhalb desselben lokalen Netzwerks ist normalerweise keine Routerfreigabe erforderlich. Eine direkte Weiterleitung von TCP-Port 3389 ins Internet solltest du vermeiden und für externe Zugriffe stattdessen ein VPN oder ein sicher konfiguriertes Remote Desktop Gateway verwenden.
Wie ändere ich den RDP-Port, wenn 3389 bereits von einer anderen Anwendung genutzt wird?
Eine Änderung des Standardports betrifft nicht nur Windows, sondern auch die Firewallregeln, den verwendeten RDP-Client und gegebenenfalls ein VPN oder Gateway. Da dafür normalerweise eine Registry-Änderung und ein Neustart des Remotedesktop-Dienstes erforderlich sind, solltest du vorher einen Rückweg dokumentieren und die Anpassung nur vornehmen, wenn ein konkreter Konflikt nachgewiesen ist.
Warum wird mein Benutzerkonto bei der RDP-Anmeldung abgewiesen?
Kontrolliere, ob das Konto auf dem Ziel-PC für Remotedesktop zugelassen ist, ein Kennwort besitzt und mit der korrekten Anmeldekennung verwendet wird. Bei einem Microsoft-Konto kann die erwartete Schreibweise von der sichtbaren Kontobezeichnung abweichen; auf einem Firmen-PC können zusätzlich Gruppenrichtlinien oder Anmeldebeschränkungen greifen.
Wie kann ich feststellen, ob Port 3389 nur lokal oder auch aus einem anderen Netzwerk erreichbar ist?
Führe auf einem zweiten Gerät im vorgesehenen Netzwerk einen Test mit Test-NetConnection und dem Zielnamen oder der Ziel-IP-Adresse aus, zum Beispiel Test-NetConnection -ComputerName 192.168.1.20 -Port 3389 mit einer eigenen Beispieladresse. Ein erfolgreicher TCP-Test bestätigt nur die Erreichbarkeit des Ports, nicht die Berechtigung des Kontos oder den erfolgreichen Aufbau einer RDP-Sitzung.
