Fernwartung — der vollständige Leitfaden

Fernwartung bezeichnet den ferngesteuerten Zugriff auf einen Computer, Server oder ein anderes Gerät über das Internet oder ein internes Netzwerk, um Wartung, Support oder Konfiguration durchzuführen — ohne dass der Techniker physisch vor dem Gerät steht. Begriffliche Verwandte:

• Remote Support — Englischer Sammelbegriff, oft synonym mit Fernwartung im Helpdesk-Kontext
• Remote Desktop — bezeichnet das technische Mittel: die ferne Bildschirmübertragung
• Fernzugriff (Remote Access) — Oberbegriff, der auch reine VPN- oder SSH-Verbindungen einschliesst
• Bildschirmübertragung — Sub-Funktion eines Fernwartungs-Tools
• Helpdesk-Tool — Fernwartung im Kontext eines Service-Desks mit Ticketing

Im technischen Kern ist jede Fernwartung ein Zusammenspiel aus drei Komponenten: einem Host (das gewartete Gerät), einem Client (das Gerät des Technikers), und einem Signaling-Pfad (wie die beiden sich finden). Der Datenkanal selbst läuft im modernen Stack als P2P-Verbindung direkt zwischen Host und Client; ältere Tools relayen alles über einen zentralen Cloud-Server.

Attended vs Unattended Access

Cloud-Relay vs P2P

Browser-basiert vs Native-App

Permanent installiert vs Portable

Hinter dieser Frage steht meist die verbreitetste Antwort auf das Thema überhaupt: erst ein VPN aufbauen, dann darüber Remote Desktop. Das funktioniert, stammt aber aus einer Zeit, in der es keine Alternative gab — und es löst eine kleine Aufgabe mit einem sehr grossen Werkzeug.

Ein VPN macht den Rechner des Technikers zum Mitglied des fremden Netzes. Genau das ist sein Zweck, und genau das ist der Preis: Wer drin ist, ist im ganzen Netz. Ein Fernwartungs-Werkzeug baut stattdessen eine Sitzung zu einem Gerät auf, die anfängt, protokolliert wird und wieder aufhört.

Wann ein VPN trotzdem das richtige Mittel ist

• Zugriff auf Netzwerkebene — SSH auf headless Server, Datenbank-Werkzeuge, Konfigurationsoberflächen von Switches und Firewalls. Dort gibt es keinen Bildschirm zu übertragen.
• Geräte ohne Agent — alles, worauf sich keine Software installieren lässt: Drucker, Netzwerkkomponenten, Steuerungen.
• Dauerhafte Standortkopplung — wenn zwei Firmennetze ohnehin zusammenwachsen sollen, ist das VPN das Ziel und nicht der Umweg.

Die Kombination, die man vermeiden sollte

VPN plus RDP ist die verbreitetste und zugleich die unglücklichste Zusammenstellung. Zwei Gründe: Der Einwahlpunkt ist selbst ein lohnendes Ziel — kompromittierte VPN-Zugänge stehen seit Jahren am Anfang vieler Vorfälle. Und ist jemand einmal drin, liegt RDP im internen Netz offen und wird zum bequemsten Weg seitwärts von Rechner zu Rechner. Der Weg über eine punktuelle Fernwartungssitzung nimmt beiden Schritten die Grundlage.

Und wenn das VPN schon da ist?

Dann stört es nicht. Ein Fernwartungs-Werkzeug, das seine Verbindung von innen aufbaut, läuft auch durch einen VPN-Tunnel; es braucht ihn nur nicht. Wer bereits eine Standortkopplung betreibt, verliert also nichts — er muss sie für Support-Fälle bloss nicht mehr aufrechterhalten und nicht mehr für jeden externen Techniker öffnen.

WinDesk benötigt keine Portfreigabe und keinen Einwahlpunkt. Beide Seiten melden sich bei einem Vermittlungsdienst an, der sie einander vorstellt; danach läuft die Verbindung direkt zwischen den beiden Geräten, und die Bildschirmdaten erreichen keinen fremden Server. Details dazu auf der Sicherheitsseite.

Sechs typische Anwendungsfälle:

Drei Rechtswerke sind für Schweizer Fernwartung relevant:

Schnelle Orientierung — ausführlicher Vergleich auf der Vergleichstabelle:

Detaillierter Praxis-Guide auf der Sicherheitsseite und im Remote-Desktop-Sicherheit-Blog-Post. Im Kern:

1. 01 Ende-zu-Ende-Verschlüsselung (AES-256-GCM ist Standard)
2. 02 Mehr-Faktor-Authentifizierung (mind. TOTP, besser hardware-gebunden via WebAuthn/Passkey)
3. 03 Hardware-gebundene Geräte-Token (Secure Enclave / TPM 2.0)
4. 04 Audit-Trail mit unveränderbaren Session-Logs
5. 05 Granulare Rollen + Permissions (kein "alle Techniker dürfen alles")
6. 06 Endgeräte-Hygiene: gepatchte Betriebssysteme, keine kompromittierten Techniker-Maschinen
7. 07 Klarer Off-Boarding-Prozess: wenn ein Techniker das Unternehmen verlässt, müssen seine Tokens innert Stunden invalidiert sein

AUSSEN: KRYPTOGRAFIE · INNEN: ORGANISATION

Einer der häufigsten Fehler bei der Tool-Auswahl: nur auf das eigene Heim-OS schauen. Moderne IT ist Cross-Platform:

Wenn du heute ein Fernwartungs-Tool nutzt und wechseln möchtest, ist ein Cutover-Plan wichtig — nicht ein hartes Umschalten. Wir empfehlen 2–4 Wochen Parallelbetrieb. Konkrete Anleitungen:

Drei Wege führen zu einer Fernwartung, und sie kosten alle etwas — nur an unterschiedlichen Stellen.

Gratis-Stufen kommerzieller Anbieter

Fast jeder Anbieter hat eine, und fast jede ist auf den privaten Gebrauch zugeschnitten. Üblich sind Grenzen bei Sitzungsdauer, Anzahl verwalteter Geräte oder Monatsstunden; unbeaufsichtigter Zugriff fehlt meistens ganz. Der zweite Haken ist weniger sichtbar: Mehrere Anbieter erkennen gewerbliche Nutzung automatisch und sperren die Verbindung mitten im Einsatz. Wer beruflich hilft, sollte eine Gratis-Stufe als Probe verstehen, nicht als Betriebsmodell.

Open Source, selbst betrieben

RustDesk und vergleichbare Projekte geben den Quelltext und den Vermittlungsserver frei. Die Software kostet nichts, der Betrieb schon: ein erreichbarer Server, Zertifikate, Aktualisierungen, Überwachung, und jemand, der einspringt, wenn die Vermittlung um halb sieben abends steht. Für ein Team mit eigener Serverlandschaft ist das ein fairer Tausch und manchmal die einzige Möglichkeit — etwa in abgeschotteten Netzen. Für einen Zwei-Personen-IT-Dienstleister ist es ein zweites Produkt, das gepflegt werden will.

Ein zweiter Punkt wird oft übersehen: Signierte Installationsdateien gibt es bei selbst gebauten Paketen nicht von allein. Ohne Signatur warnt Windows bei jeder Installation, und macOS verweigert den Start, bis jemand die Sperre von Hand aufhebt. Wer Endkunden anleitet, kennt den Aufwand.

Bezahlte Werkzeuge

Sie nehmen den Betrieb ab und kosten Geld, üblicherweise je Techniker und Monat. Die Unterschiede liegen weniger im Funktionsumfang als im Abrechnungsmodell: je Techniker, je Gerät, je gleichzeitiger Sitzung, im Paket. Wer wächst, merkt das erst später — darum lohnt der Blick auf die Stufe darüber, bevor man unterschreibt.

Ausführlich gegenübergestellt sind die Gratis-Wege unter Remote Desktop kostenlos; der Vergleich mit dem bekanntesten Open-Source-Vertreter steht unter Alternative zu RustDesk.

Ein Wort, zwei Fachgebiete. Wer «Fernwartung» sucht, meint entweder Computer — darum geht es auf dieser Seite — oder Anlagen: Steuerungen in einer Produktionshalle, ein Klärwerk am anderen Ende des Kantons, ein Aufzug, eine Photovoltaikanlage, ein Router an einem Standort ohne Festnetz. Die beiden Welten haben ausser dem Namen wenig gemeinsam.

Wo die Grenze praktisch verläuft

Die Trennlinie ist nicht die Branche, sondern die Frage, ob auf dem Gerät ein Betriebssystem mit Bildschirm läuft. Ein Industrie-PC in der Fertigung, ein Bedienpanel auf Windows-Basis, ein Raspberry Pi als Anzeigerechner — alles Rechner, alles im Rahmen. Eine Steuerung, die über ein Feldbusprotokoll spricht, oder die Weboberfläche eines Routers sind es nicht: Dort gibt es keinen Bildschirm zu übertragen, und ein Fernwartungs-Werkzeug wäre das falsche Mittel.

WinDesk unterstützt Kunden in der ganzen Schweiz. Lokale Übersichten für die grössten Wirtschaftsräume — mit regionalem Kontext für IT-Dienstleister und KMU vor Ort: