Remote Desktop im Homeoffice: sicher auf den Bürorechner, ohne offene Tür

Remote Desktop, bei Microsoft Remotedesktop geschrieben, ist in Windows eingebaut. Sie sehen zu Hause den Bildschirm Ihres Bürorechners und arbeiten darauf, als säßen Sie davor. Die Programme laufen dabei im Büro.

Der Rechner zu Hause darf jede Windows-Ausgabe haben. Auch ein Mac, ein iPhone oder ein Android-Gerät kommt mit der App von Microsoft hinein.

Nur in eine Richtung. Mit Windows 11 Home können Sie sich mit einem anderen Rechner verbinden, auf einen Rechner mit Home kann sich aber niemand verbinden. Der Bürorechner, auf dem Sie von zu Hause arbeiten wollen, braucht Windows 11 Pro oder eine der größeren Ausgaben.

Welche Ausgabe darauf läuft, steht am Bürorechner in den Einstellungen unter System und Info. Bei Windows-Spezifikationen zeigt die Zeile Edition, ob es Pro ist.

Am Bürorechner öffnen Sie Start, Einstellungen, System und dort Remotedesktop. Den Schalter stellen Sie auf Ein und bestätigen die Rückfrage. Notieren Sie den PC-Namen, der dort steht, den brauchen Sie später zum Verbinden.

Umlegen darf den Schalter nur, wer auf dem Rechner Administratorrechte hat. In einem Betrieb, in dem die Leute ohne diese Rechte arbeiten, ist das also Sache der IT.

Drei Dinge gehören dazu, und alle drei nennt Microsoft selbst. Die Anmeldung auf Netzwerkebene bleibt an: Dann muss sich jeder anmelden, bevor überhaupt eine Sitzung entsteht. Das Konto braucht ein Kennwort, denn ein lokales Konto ohne Kennwort kommt in der Grundeinstellung nicht aus der Ferne herein. Und der Rechner darf nicht schlafen, weil sich auf einen Rechner im Energiesparmodus niemand verbinden kann.

Von zu Hause starten Sie dann die App Remotedesktopverbindung, geben den PC-Namen ein und melden sich an. Das klappt aber nur, wenn Sie im Netz des Büros sind. Genau hier fängt die wichtige Frage an.

Nicht, wenn der Bürorechner direkt aus dem Internet erreichbar ist. Microsoft beschreibt diesen Weg über eine Weiterleitung am Router und schreibt dazu, dass Sie damit Ihren PC für das Internet öffnen, „was nicht empfohlen wird“. Empfohlen ist eine verschlüsselte Verbindung ins Büronetz davor und ein zweiter Faktor bei der Anmeldung.

Das BSI nennt Protokolle für den Fernzugriff ein „Hochwertziel“, weil über sie besonders hohe Schäden entstehen können. Passwortraten an Zugängen, die im Internet erreichbar sind, ist laut Lagebericht 2025 für Angreifer „ein typisches Einfallstor in interne Netze“.

Wie solche Angriffe bei kleinen Betrieben ankommen, steht unter Wie Ransomware reinkommt. Was das BSI für Zugänge von außen konkret empfiehlt, steht unter Ransomware-Schutz.

Sicher heißt hier zweierlei: Der Bürorechner bleibt von außen unsichtbar, und wer herein will, weist sich zweimal aus. Dafür gibt es drei Wege.

Ein VPN allein ist dabei nicht die ganze Antwort. Passwortraten betrifft laut BSI alle erreichbaren Zugänge, insbesondere die Stellen, an denen ein VPN beginnt. Bei einem Angriff auf einen kommunalen IT-Dienstleister 2023 lief der erste Zugriff laut Lagebericht 2024 über ein VPN. Der Bericht nennt erbeutete oder erratene Zugangsdaten oder eine Schwachstelle als Weg.

Deshalb gehört der zweite Faktor dazu. Wo ein Zugang ohne VPN erreichbar bleibt, rät das BSI außerdem zu einer Sperre nach mehreren Fehlversuchen.

Im IT-Grundschutz ist Homeoffice zuerst eine Frage der Regeln und dann der Technik. Als Basis-Anforderungen stehen dort: Die Telearbeit ist geregelt, die Leute bekommen die Regeln in die Hand, und an den Rechner für die Telearbeit kommen nur Befugte.

Beim Remotedesktop selbst empfiehlt das BSI, festzulegen, wer sich überhaupt verbinden darf. Und es rät, die Bequemlichkeiten zu prüfen: Zwischenablage, Drucker und eingebundene Laufwerke. Wer darüber Dateien vom Bürorechner auf den Rechner zu Hause zieht, trägt Firmendaten aus dem Büro.

Wer nicht mehr im Betrieb ist, braucht auch keinen Zugang von außen mehr. Nicht mehr benötigte VPN-Zugänge zeitnah zu sperren, ist im Grundschutz eine Basis-Anforderung. Was beim Austritt sonst noch an Zugängen hängt, steht unter Wenn ein Mitarbeiter geht.

Wir richten alle drei Wege ein, je nachdem, was bei Ihrem Betrieb passt. Das entscheidet sich an dem, was bei Ihnen steht: ob es einen Server gibt, wie viele Leute von außen arbeiten und mit welchen Geräten. Terminalserver betreiben wir bei Kunden in mehreren Branchen, auch für den Außendienst. Einen zweiten Faktor empfehlen wir für jeden Zugang von außen.

Wir sind die externe IT-Abteilung für Betriebe und Vereine im Raum Köln, die keine eigene haben.

Unser eigener Zugang zu Ihren Rechnern ist etwas anderes als Ihr Weg ins Büro. Die Fernwartung bauen wir nur nach Absprache auf, und unsere eigenen Fernzugänge laufen mit zweitem Faktor.

Wer einen zweiten Standort anbinden will, findet das unter Standortvernetzung.