Warum 2026 über RDP hinausschauen
Microsoft RDP ist der Default-Remote-Desktop auf Windows, gratis bei jeder Pro- und Enterprise-SKU, seit über zwanzig Jahren im Einsatz. Es ist auch das am meisten ausgenutzte Remote-Access-Protokoll im öffentlichen Internet — in den 2024er und 2025er Reports von IBM X-Force und CrowdStrike auf Platz 1 der Ransomware-Initial-Access-Vektoren.
Die Gründe sind nicht subtil:
- RDP direkt ans Internet exponieren lädt zu Brute-Force-Angriffen ein. Shodan zeigt im Mai 2026 etwa 4 Millionen erreichbare RDP-Endpoints.
- Keine native Passkey- oder hardware-gebundene Authentifizierung. RDP authentifiziert gegen das Windows-Konto; das nutzt die Passwort-/MFA-Policy, die Sie konfiguriert haben (und «konfiguriert» trägt in vielen KMU viel Last).
- Keine native granulare Session-Policy. Ein verbundener RDP-User hat die Rechte des OS-Kontos — oder nicht.
- Audit-Logging erfordert Windows-Event-Forwarding-Klempnerei. Out-of-the-box hängen RDP-Events isoliert auf jedem Host.
- Cross-Platform-Support ist asymmetrisch. RDP-Clients gibt’s für Mac und Linux, aber RDP-Hosting auf Mac/Linux ist nicht-trivial oder nicht unterstützt.
Für internen Einsatz hinter Conditional Access und sauber segmentiertem Netz ist RDP okay. Für Support von Kunden- oder Vertragspartner-Maschinen ausserhalb Ihres Perimeters ist es 2026 eine Haftungsfalle. Hier fünf Alternativen, die unterschiedliche Formen von «jenseits RDP» abdecken.
Alternative 1: WinDesk (Managed, Schweizer P2P)
Passt am besten zu: Schweizer KMU, IT-Dienstleister, MSPs, die DSGVO/revDSG-konformen Remote Support mit signierten Builds und Schweizer Vertragspartner brauchen.
Architektur: P2P-Media-Kanal, dedizierter Schweizer Signaling-Endpunkt. TPM 2.0 / Secure-Enclave-gebundene Geräte-Zertifikate. EV-signierte Windows-Builds, Apple Developer ID + notarisierte macOS, .deb / .rpm Linux, arm64 Raspberry Pi.
Kernvorteile vs RDP: Hardware-gebundene Tokens ersetzen Passwörter. Granulare Per-RPC-Capability-Tokens für Clipboard, Dateien, Audio, Input. Out-of-the-box Audit-Trail mit SIEM-ready Event-Emission. Cross-Platform (Windows + Mac + Linux + Pi) gleichberechtigt.
Wo’s nicht passt: Air-gapped Netze (kein öffentliches Internet) — Managed Signaling braucht Erreichbarkeit.
Probieren: WinDesk Free, Vergleichsdetails.
Alternative 2: RustDesk (Open-Source, Self-Hosted P2P)
Passt am besten zu: Linux-Admin-starken Teams, die alles im Haus betreiben müssen, air-gapped oder souveränen Deployments, Organisationen mit hartem Nur-Open-Source-Mandat.
Architektur: P2P mit self-hosted Rendezvous- + Relay-Servern. MIT-lizenzierter Source. Cross-Platform-Clients inkl. Linux als First-Class-Citizen.
Kernvorteile vs RDP: Voller Code-Audit möglich. Server selbst gehostet im eigenen Rechenzentrum — keine Drittpartei-Abhängigkeit. Cross-Platform-Parität.
Wo’s nicht passt: Teams ohne Linux-Admin-Kapazität; Deployments, die EV-signierte Windows-Builds out-of-the-box brauchen; Situationen, wo Sie einen Vendor-Vertrag für Compliance-Doku wollen.
Probieren: RustDesk-Migrations-Guide, WinDesk vs RustDesk.
Alternative 3: Apache Guacamole (Browser-basiertes Gateway)
Passt am besten zu: Organisationen, die RDP/VNC/SSH behalten wollen, aber nicht mehr ins Internet exponieren; Browser-basierter Zugriff ohne Client-Install; Bastion-Host-Muster.
Architektur: Self-hosted HTML5-Gateway vor RDP/VNC/SSH/Telnet. User verbinden sich via Browser, Guacamole proxiert das darunterliegende Protokoll. Apache-2.0-lizenziert.
Kernvorteile vs nacktes RDP: Ein internet-fronting Endpoint zum Härten. Browser-basiert, keine Client-Installation. Session-Logging und Screen-Recording eingebaut. Kombiniert sich gut mit Reverse-Proxy-MFA (Cloudflare Access, Authentik, Keycloak).
Wo’s nicht passt: Fälle, wo Sie native Protokoll-Performance wollen (Guacamole hat Transcoding-Overhead). Setups, wo Sie RDP komplett verlassen wollen — Guacamole nutzt darunter immer noch RDP.
Alternative 4: TeamViewer Tensor (Enterprise)
Passt am besten zu: internationalen Konzernen mit etabliertem TeamViewer-Bestand, Multi-Party-Session-Bedarf, Compliance-Teams, die namentlich gelistete Vendor-SOC-2- / ISO-27001-Reports fordern.
Architektur: Cloud-relayed Sessions durch TeamViewer-Infrastruktur (meist EU und USA). Conditional-Access-Integration mit Entra ID / Okta. Custom-Client-Builds mit selbst-imposed Restrictions.
Kernvorteile vs RDP: Enterprise-IAM-Integration. Eingebaute Session-Aufzeichnung für Compliance. Cross-Platform inkl. Mobile.
Wo’s nicht passt: Schweizer Compliance-Kontexte, wo CLOUD-Act-Risiko zählt — TeamViewers US-Präsenz ist nicht null. Budget-bewusste KMU — Tensor-Preise starten bei CHF 60–100/Monat pro Techniker.
Alternative 5: BeyondTrust Remote Support (PAM-integriert)
Passt am besten zu: Organisationen mit etablierter Privileged-Access-Management-Strategie, regulierten Branchen (Finance, Healthcare) mit den tiefsten Audit-Trail-Anforderungen.
Architektur: On-Premises oder Cloud-Appliance. Tiefe Integration mit BeyondTrust-PAM-Suite (Password Safe, Privileged Remote Access). Gehärtet für Hoch-Compliance-Umgebungen.
Kernvorteile vs RDP: Tiefste Just-in-Time-Elevation-Workflows. Vendor-Remote-Access (Drittparteien, die Ihre Infrastruktur unterstützen) ist ein First-Class-Szenario.
Wo’s nicht passt: KMU ohne bestehende PAM-Strategie. Budget-knappe Teams — Preise auf Enterprise-Niveau.
Eine Seite-an-Seite-Übersicht
| Tool | Hosted | P2P | Schweizer Option | Open Source | Cross-Platform | KMU-Preis |
|---|---|---|---|---|---|---|
| WinDesk | ✓ | ✓ | ✓ | Source-Available-Core | ✓ (Win/Mac/Linux/Pi) | ✓ (Free + Pro CHF 19.90) |
| RustDesk | self-host | ✓ | nur wenn Sie hosten | ✓ MIT | ✓ | self-hosted gratis |
| Apache Guacamole | self-host | nein (Gateway) | nur wenn Sie hosten | ✓ Apache 2.0 | nur Gateway | self-hosted gratis |
| TeamViewer Tensor | ✓ | teilweise | teilweise | nein | ✓ | ✕ (Enterprise) |
| BeyondTrust | ✓ | teilweise | ✕ | nein | ✓ | ✕ (Enterprise) |
Migrations-Plan weg von RDP
Wenn Sie aktuell auf internet-exponiertes RDP für Kunden-Support oder Vertragspartner-Zugriff setzen, hier eine Sechs-Wochen-Migration, die nichts kaputt macht:
Woche 1: Bestandsaufnahme. Jede RDP-Exposition kartieren: welche Hosts, welche User, welche Ports, welche Firewall-Regeln. Einfachster Output: ein Excel.
Woche 2: Alternative wählen. Matrix oben nutzen. Für die meisten Schweizer KMU sind WinDesk oder RustDesk der Sweet-Spot; für Konzerne Tensor oder BeyondTrust.
Woche 3: Pilot auf niedrig-priorisierten Hosts. Zwei oder drei interne Test-Maschinen. Neues Tool parallel zu RDP laufen lassen. Alle Workflows verifizieren: Dateitransfer, Multi-Monitor, Audio, Drucken.
Woche 4: Auf einen Kunden oder ein Team ausweiten. Reale Nutzung, reales Feedback. Issues in einer Checkliste sammeln.
Woche 5: Cutover-Plan. Tatsächlichen Wechsel mit jedem Kunden / Team terminieren. Neues Tool kommunizieren, neuen Client vor dem Wechsel-Datum installieren.
Woche 6: RDP-Exposition stilllegen. Firewall-Ports schliessen. RDP hinter Conditional Access verschieben, falls Sie es noch für interne Administration brauchen. Mit Shodan oder internem Port-Scan verifizieren, dass nichts mehr leakt.
Schritt-für-Schritt für die häufigsten Übergänge:
- Migration von AnyDesk zu WinDesk
- Migration von TeamViewer zu WinDesk
- Migration von RustDesk zu WinDesk
Was ist mit Chrome Remote Desktop?
Gratis, einfach, funktioniert. Drei Gründe, weshalb die meisten professionellen Kontexte es meiden: es ist Google-gehostet (CLOUD-Act-Risiko), es hat keine Enterprise-Admin-Konsole, und es gibt keinen Support-Eskalations-Pfad ausser einer Google-Hilfeseite. Für Solo-Hobbyisten, die ihren Heim-PC erreichen wollen, okay. Für Business-Remote-Support nicht angemessen.
Achtung bei RDP-«Alternativen», die immer noch RDP sind
Vorsicht bei Tools, die als «sichere RDP-Alternative» vermarktet werden und in Wahrheit RDP nur in einen anderen Transport wrappen. Beispiel: Dritt-Anbieter-RDP-Broker, die RDP über HTTPS tunneln. Sieht modern aus, erbt aber RDPs Authentifizierungs-Modell und Protokoll-Angriffsfläche. Der Punkt beim Verlassen von RDP ist, das Protokoll zu verlassen — nicht nur den Transport.
Die ehrliche Bilanz
RDP ist nicht kaputt; es passt nicht zum Bedrohungsmodell der öffentlich-internet-exponierten Nutzung 2026. Die fünf Alternativen oben decken jeden legitimen «Jenseits-RDP»-Use-Case ab. Für Schweizer KMU und IT-Dienstleister ist die Gewinner-Kombi hardware-gebundene Tokens + Schweizer Hosting + Cross-Platform-Parität — genau das, worum WinDesk gebaut ist. Starten Sie den Gratis-Test, lassen Sie es eine Woche parallel zu RDP laufen, und Sie wissen, ob sich der Weiterweg lohnt.
Weiterlesen
- Remote-Desktop-Sicherheit Best Practices 2026 — die Kontrollen, die jede Alternative liefern sollte
- Zero-Trust-Remote-Desktop-Lösungen 2026 — das Architektur-Muster hinter modernen Remote-Support-Tools
- Fernwartung — der vollständige Leitfaden — Pillar-Artikel, der das Thema zusammenfasst
- WinDesk-Vergleichstabelle — Feature-für-Feature-Sicht