Terminalserver und Virtualisierung: wann sich das für einen kleinen Betrieb lohnt

So beschreibt es das Bundesamt für Sicherheit in der Informationstechnik. Im typischen Einsatzszenario stellt ein Terminalserver „mehreren Clients zentralisiert Anwendungen bereit, die aus organisatorischen oder technischen Gründen nicht lokal auf diesen Clients ausgeführt werden sollen oder können“. Genannt wird dabei ausdrücklich „Software mit speziellen technischen Anforderungen an die zugrundeliegende Hardware der Clients“.

Wenn eine Anwendung auf jedem Arbeitsplatz einzeln Ärger macht, ist das genau der Fall, den das BSI hier beschreibt. Ob ein Terminalserver dafür das Richtige ist, entscheidet dann nicht die Technik zuerst, sondern die Lizenz dieser Anwendung.

Beide Wörter fallen meist im selben Gespräch, und sie meinen zwei verschiedene Dinge.

Ein Terminalserver führt die Anwendung aus und schickt nur das Bild an den Arbeitsplatz. Virtualisierung teilt ein Gerät in mehrere Server auf, die getrennt voneinander laufen. Meist kommt beides zusammen, der Terminalserver ist dann einer von mehreren virtuellen Servern auf einem Gerät.

Das BSI beschreibt den Terminalserver als Server, „auf dem Client-Anwendungen (kurz Anwendungen) direkt ausgeführt werden und der nur deren grafische Oberfläche (Bedienoberfläche) an die Clients weiterleitet“. Auf einem solchen Server „können mehrere Personen gleichzeitig auf demselben Betriebssystem arbeiten“.

Bei der Virtualisierung nennt das BSI als Gewinn, dass „Kosten für Hardwarebeschaffung, Strom und Klimatisierung eingespart werden“ können. Im Satz danach steht der Preis dafür. Das BSI schreibt:

„Zudem können sich Probleme auf einem Virtualisierungsserver auch auf alle anderen virtuellen IT-Systeme, die auf demselben Virtualisierungsserver betrieben werden, auswirken.“

Die Software, die diese Aufteilung macht, heißt Hypervisor. Bei Microsoft kostet sie keine eigene Lizenz: Hyper-V ist in Windows Server und in Windows enthalten und steckt in jeder Edition von Windows Server 2025. Die Windows-Server, die darauf laufen, sind damit nicht bezahlt. Die Standard-Edition deckt zwei virtuelle Server ab, für den dritten muss neu lizenziert werden.

Ob Sie überhaupt eines im Haus brauchen, ist die Frage davor und steht auf einer eigenen Seite: Brauchen wir überhaupt noch einen Server.

Drei der vier Punkte hat das BSI in einer Basis-Anforderung aufgeschrieben, also in einem Muss, und zwar in dieser Reihenfolge. Der vierte steht ein Kapitel davor, bei den Gefährdungen.

Erstens die Lizenz Ihrer Anwendung. „Das Lizenzschema der eingesetzten Anwendungen MUSS daraufhin geprüft werden, ob es dafür geeignet ist, diese Anwendungen auf Terminalservern einzusetzen.“

Diese Frage geht nicht an den IT-Dienstleister, sie geht an Ihr Softwarehaus. Wie eine solche Anfrage aussieht, steht bei den drei Fragen an Ihr Softwarehaus.

Zweitens die Zahl der Leute. Das BSI verlangt zwei Prognosen: die Gesamtzahl der einzurichtenden Benutzenden und die Zahl derer, die gleichzeitig am Terminalserver arbeiten. Beide müssen den ganzen Einsatzzeitraum abdecken. Erst daraus ergibt sich, wie viel Prozessorleistung und Arbeitsspeicher der Server braucht.

Drittens der Test, vor der Bestellung. „Für alle benötigten Funktionen MUSS sichergestellt werden, dass diese tatsächlich auch über den Terminalserver abgerufen werden können.“

Und weiter: Es muss getestet werden, ob die Anwendungen die Anforderungen bei der Bereitstellung über den Terminalserver grundlegend erfüllen.

Viertens der Fall, dass der Server steht. Das BSI schreibt dazu: „Von Ausfällen des Netzes oder des Terminalservers sind in der Regel nicht nur einzelne Clients betroffen. In vielen Fällen sind zahlreiche oder sogar alle Clients einer Institution auf den Terminalserver angewiesen.“

Vorher fiel ein Arbeitsplatz aus, nachher steht die Arbeit. Das ist kein Argument gegen den Terminalserver, aber es gehört in dieselbe Rechnung wie die Anschaffung.

Bei uns laufen Terminalserver in mehreren Branchen. In der Spedition, bei einem sozialen Träger, in einer Marketingagentur, für den Außendienst und überall dort, wo die Internetverbindung nicht so schnell ist. Darauf arbeiten zwischen fünf und fünfzig Leute.

Für eine Sitzung auf einem Terminalserver reicht die Lizenz des Servers nicht. Microsoft verlangt eine eigene Zugriffslizenz für die Remotedesktopdienste, kurz RDS-CAL. Fällig wird sie für jeden Nutzer und jedes Gerät, das sich an einem Sessionhost anmeldet. Das ist der Server, auf dem die Sitzung läuft. Sie kommt zur normalen Windows-Server-CAL hinzu, sie ersetzt sie nicht.

Wie diese Lizenzen beim Serverwechsel teuer werden, mit Lizenzserver und der Übergangszeit von 120 Tagen, steht beim Serverkauf.

Davon gibt es zwei Arten, und der Unterschied ist betrieblich und nicht technisch. Eine Geräte-Lizenz hängt am Rechner, eine Nutzer-Lizenz am Konto im Verzeichnisdienst. Microsofts eigenes Beispiel: Zwei Schichten an denselben Rechnern sprechen für die Geräte-Lizenz, eigene Geräte für die Nutzer-Lizenz. Bis zu zwanzig Prozent der Geräte-Lizenzen lassen sich zurückziehen, Nutzer-Lizenzen gar nicht.

Wer keine Domäne betreibt, hat diese Wahl nicht. Für Arbeitsgruppen-Server sind laut Microsoft Nutzer-Lizenzen nicht zulässig, dort bleibt die Geräte-Lizenz.

Ein Punkt entscheidet außerdem die Editionsfrage: Auf Essentials läuft kein Terminalserver. Dort wird nur der Zugang über das Gateway eingerichtet. Die übrigen Rollendienste der Remotedesktopdienste sind nicht unterstützt, und der Sessionhost gehört dazu. Microsoft nennt die kleine Edition geeignet für bis zu 25 Nutzer und 50 Geräte; das ist eine Lizenzgrenze und keine Empfehlung. Für einen Terminalserver fällt sie aus, dafür wird es die Standard-Edition.

Und in der Cloud? Microsoft hat dafür Azure Virtual Desktop. Nehmen Sie dort Windows Server als Sessionhost, bleibt die RDS-CAL. Sie muss dann sogar aus einem Wartungsvertrag mit Microsoft stammen, der Software Assurance heißt. Der Weg in die Cloud spart diesen Posten also nicht. Nehmen Sie stattdessen Windows 11 Enterprise in der Mehrbenutzer-Fassung, genügt für Ihre eigenen Leute unter anderem eine Lizenz Microsoft 365 Business Premium. Wer die schon hat, hat das Zugriffsrecht bereits bezahlt. Was in den Paketen steckt, steht im Vergleich, welche Microsoft-365-Lizenz wofür passt. Dazu kommt die Azure-Infrastruktur mit eigenen Posten für Maschinen, Speicher und Netz.

Einen Preis je Nutzer nennen wir hier nicht. Microsoft veröffentlicht ihn auf der eigenen Preisseite nicht und verweist auf den Preisrechner.

Ein Terminalserver hat eine Eigenschaft, die im Angebot nicht auftaucht: wie schnell er antwortet. Das BSI wird an dieser Stelle deutlich: Empfangen die Clients die Antworten verzögert, kann die Bedienbarkeit so eingeschränkt sein, „dass dies einem Ausfall des Dienstes gleichkommt“.

Fünf Ursachen nennt das BSI dafür:

• die Verzögerung auf der Übertragungsstrecke
• zu knapp ausgelegte VPN-Zugänge
• zu wenig Prozessorleistung oder Arbeitsspeicher
• zu viele gleichzeitige Nutzer
• zu wenig Leitungskapazität für ein klares Bild

Ein weiterer Punkt bestimmt, wo das Gerät im Netz hängt. Auf einem Terminalserver laufen Anwendungen, die als Client arbeiten, und „hierdurch ähnelt ein Terminalserver von der Vertrauenswürdigkeit her eher einem Client als einem Server“.

Daraus wird beim BSI ein Muss. Der Terminalserver „MUSS in dedizierten Netzsegmenten oder in Client-Netzsegmenten positioniert werden“, und „eine bestehende Netztrennung DARF NICHT über einen Terminalserver umgangen werden können“.

Also in ein eigenes Stück Netz, nicht dorthin, wo die Server stehen.

Sitzungen, in denen niemand mehr arbeitet, bleiben offen. Das BSI führt das als Gefährdung und nennt dazu das RDP Session Hijacking. Inaktive Sitzungen sollen nach einer festgelegten Zeit beendet werden, je Benutzergruppe verschieden. Eine Zahl dafür nennt das Kompendium nicht.

Ein zweiter Server, der einspringt, ist beim BSI keine Grundausstattung. Hochverfügbarkeit steht dort unter den Anforderungen bei erhöhtem Schutzbedarf, zusammen mit redundanter Netzanbindung und Ersatzgeräten für die Arbeitsplätze.

Nein. Ein Snapshot hält einen Zustand fest, und beim Zurückspielen ist alles weg, was seitdem passiert ist. Das BSI schreibt dazu, dass dabei „auch bereits gepatchte Sicherheitslücken wieder offen sein“ können. Dazu zwei Punkte: Ein Snapshot kann den Inhalt des Hauptspeichers enthalten, und er lässt sich außerhalb der ursprünglichen Umgebung wiederherstellen und untersuchen.

Was eine Sicherung stattdessen leisten muss, steht in der Backup-Strategie.

Zwei weitere Punkte bei Virtualisierung. Reichen die Mittel nicht, stören sich die virtuellen Maschinen gegenseitig und fallen am Ende aus; genannt sind Speicherplatz, Prozessorleistung, Arbeitsspeicher und Netzanbindung. Und der Hypervisor ist die Stelle, an der alles hängt: Wird er erfolgreich angegriffen, sind alle virtuellen Systeme darauf kompromittiert.

Bei den Basis-Anforderungen steht dazu ein Satz, der viel verlangt:

„Jede Person, die virtuelle IT-Systeme administriert, MUSS wissen, wie sich eine Virtualisierung auf die betriebenen IT-Systeme und Anwendungen auswirkt.“

Wir betreuen Server im Haus, virtuelle Server und gemischte Aufbauten, und wir bauen die Virtualisierung selbst.

Vor einem Umzug oder einem Neukauf fragen wir außerdem bei Ihrem Softwarehaus nach, welche Windows-Version es freigegeben hat. Die Fahrpläne der Branchensoftware haben wir nicht im Kopf, und so tun wir auch nicht.

So ein Projekt planen wir mit Ihnen zusammen. Entweder Sie haben die Infrastruktur schon, dann setzen wir darauf auf. Oder wir schauen uns erst die Anforderungen an: Wie wollen Sie arbeiten, was brauchen Sie genau, was geben Ihre jetzigen Systeme her? Hardware, Software, Lizenzen, Internetleitung. Wie viele Leute sind es, und wie schnell ist das Internet bei den Mitarbeitern selbst?

Dann planen wir das und setzen die Maschine auf, physisch bei Ihnen oder in der Cloud, mit den passenden Lizenzen. Wir richten den Server als Terminalserver ein, bringen Ihre Software darauf zum Laufen und stellen alles so ein, dass genug Bandbreite für die Geräte da ist.

Wenn Sie nicht sagen können, ob Ihre Anwendung einen Terminalserver verträgt, ist das ein guter erster Punkt fürs Erstgespräch.