Die Bedrohungslage
Remote-Desktop-Tools sind Hochwert-Ziele für Angreifer. Wer eine Remote-Session übernimmt, hat:
- Zugriff auf alles, was der angemeldete User am Host-Gerät sehen + tun kann
- Möglichkeit, Schadsoftware zu installieren
- Möglichkeit, sich lateral durchs Netz zu bewegen
Die häufigsten Angriffe in 2025/2026:
- Credential-Stuffing auf das Web-Portal des Tool-Anbieters
- Phishing für die Session-ID + PIN (oft via Tech-Support-Scam)
- Token-Diebstahl auf einem kompromittierten Gerät
- Man-in-the-Middle bei schwacher TLS-Konfiguration
Sieben Schichten, die ein gutes Tool haben muss
1. Ende-zu-Ende-Verschlüsselung pro Session
Jede Session bekommt einen ephemeren AES-256-Schlüssel via ECDH (P-256). Schlüssel wird nach Session-Ende verworfen. Auch der Tool-Anbieter kann im Nachhinein keine Sessions entschlüsseln, selbst wenn du ihn dazu zwingst.
2. Hardware-gebundene Geräte-Token
Der Token, der das Gerät beim Anbieter authentifiziert, sollte mit Hardware verschlüsselt sein:
- Windows: TPM 2.0
- macOS Apple Silicon: Secure Enclave
- Linux: TPM 2.0 + tpm2-tools
Ein gestohlenes Token-File auf einem anderen Rechner ist dann unbrauchbar.
3. Multi-Factor-Authentication für Account-Logins
TOTP (Authenticator-App) oder Passkey (FIDO2/WebAuthn) sollten zwingend für Admin-Rollen sein, empfohlen für alle. Kein Passwort allein.
4. Frische Authentifizierung für sensible Aktionen
Geräte widerrufen, Rolle ändern, Abo kündigen → erneute Passwort- oder Passkey-Bestätigung mit kurzer Freshness-Window (z.B. 10 Min). Verhindert, dass jemand mit übernommener Session diese Aktionen unbemerkt ausführt.
5. Audit-Trail per Default
Unveränderliche Aufzeichnung von Verbindungen, Dateitransfers und Berechtigungsänderungen. Filter nach Benutzer + Zeitraum. Bei Verdacht auf Vorfall: forensisch nachvollziehbar.
6. Anti-Tech-Scam-Indikatoren
Ein Banner am Host-Gerät, der visualisiert: «Aktive Verbindung mit [Name].» Plus eine Möglichkeit, mit einem Klick zu trennen. Verhindert, dass der Endnutzer die Session «vergisst», wenn der Angreifer die Verbindung im Hintergrund hält.
7. Rate-Limiting für die Session-ID
Bei Brute-Force auf Session-ID + PIN: nach X falschen Versuchen wird die ID invalidiert, neue Session muss generiert werden. Verhindert, dass Angreifer die 6-stellige PIN durchprobieren.
Praxis-Setup-Checkliste für IT-Dienstleister
□ Pro-Plan abgeschlossen (mit Audit-Trail aktiviert)
□ Admin-Rolle: 2FA verpflichtend (Passkey bevorzugt)
□ Supporter-Rollen: 2FA empfohlen, Login-Notification per E-Mail
□ Read-only-Rolle für Junioren ohne Eingriffs-Rechte
□ Hardware-Token aktiviert auf jedem Host
□ Session-History wöchentlich gesichtet (Anomalien?)
□ Standard-AVV mit jedem Kunden unterzeichnet
□ Notfall-Prozedur dokumentiert: Token kompromittiert → Revoke → Neu
□ Backup-MFA-Method konfiguriert (Recovery-Codes physisch + sicher gespeichert)
Worauf du bei einem Tool-Anbieter achten solltest
- Kann der Anbieter die Schlüssel sehen? Ende-zu-Ende = nein.
- Wo stehen die Server? Ideal: Schweiz/EU.
- Welche Compliance-Zertifizierungen? Audit ist Plus, ISO-27001 idealer.
- Wie wird inkrementell verbessert? Bug-Bounty? CVE-Disclosure-Policy? Security-Advisories?
- Was passiert bei Anbieter-Insolvenz? Kannst du weiter zugreifen, oder verschwinden Daten?
Bei WinDesk konkret
- AES-256-GCM + ECDH P-256 pro Session
- Host-Anmeldung an den Sicherheitschip gebunden, wo vorhanden (TPM unter Windows und Linux, Secure Enclave auf dem Mac)
- 2FA für Admin obligatorisch, Passkey-Support für alle
- Sensible Aktionen: 10-Min-Freshness-Re-Auth
- Protokoll per Default: Sitzungen, neue und aufgehobene Verknüpfungen sowie Rollenwechsel
- Anti-Scam: Sitzungshinweis «Remote-Support aktiv» am Bildschirmrand (einklappbar, aber nicht ausblendbar)
- Kein externes Security-Audit und kein Penetrationstest — wir sagen das offen, statt ein Datum zu nennen
- Bug-Reports an security@windesk.ch; ehrliche CVE-Disclosure