Juli-Updates erweitern das RDP-Publisher-Vertrauen

Mit den Windows-Sicherheitsupdates vom Juli 2026 unterstuetzt die Gruppenrichtlinie fuer vertrauenswuerdige .rdp-Herausgeber neben SHA-1 auch SHA-2-Fingerabdruecke. Microsoft behaelt SHA-1 nur voruebergehend fuer die Rueckwaertskompatibilitaet bei und kuendigt dessen Entfernung fuer eine spaetere Windows-Version an. Fuer neue und bestehende RDP-Publisher-Pins sollte deshalb mindestens SHA-256 verwendet werden.

Die Aenderung betrifft den klassischen Remotedesktopverbindungsclient mstsc.exe unter Windows 10, Windows 11 sowie unterstuetzten Windows-Server-Versionen. Sie ist nicht nur eine kryptografische Pflegeaufgabe: Eine RDP-Datei legt das Ziel einer Remotedesktop-Sitzung fest und kann Umleitungen lokaler Ressourcen wie Laufwerke, Zwischenablage oder Drucker anfordern. Manipulierte oder unkontrolliert verteilte Dateien sind damit ein brauchbarer Phishing-Pfad zu einem fremden RDP-Endpunkt.

Drei Richtlinien entscheiden, welche Verbindungen starten

Die Einstellungen liegen unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktopverbindungsclient. Fuer einen restriktiven Client-Baseline sind drei Entscheidungen erforderlich:

  1. Allow .rdp files from unknown publishers deaktivieren. Dadurch werden unsignierte RDP-Dateien blockiert.
  2. Allow .rdp files from valid publishers and user's default .rdp settings deaktivieren. Dann startet mstsc.exe nur noch Dateien, die von einem explizit vertrauenswuerdigen Herausgeber signiert wurden. Auch manuell aus der Oberflaeche gestartete Verbindungen sind in diesem Modus blockiert.
  3. Specify thumbprints of certificates representing trusted .rdp publishers aktivieren. Die Liste darf nur die eigenen, fuer RDP-Signaturen vorgesehenen Zertifikate enthalten und sollte SHA-256- oder staerkere Fingerabdruecke verwenden.

Nach der Migration kann die Computerrichtlinie Do not allow SHA-1 thumbprints unpraefixierte Legacy-Eintraege vollstaendig sperren. SHA-2-Werte werden mit dem passenden Praefix wie sha256: eingetragen; die aktualisierte Richtlinienhilfe beschreibt die gueltige Syntax.

Ein passender Fingerabdruck ist eine konkrete Vertrauensentscheidung, kein Ersatz fuer eine saubere PKI. Zertifikatskette, Laufzeit, Schluesselschutz und Verantwortlicher muessen dokumentiert sein. Signierte Dateien eines eingetragenen Herausgebers koennen die in der Datei angeforderten Umleitungen ohne weitere Sicherheitswarnung aktivieren; deshalb bleiben separate Richtlinien fuer Laufwerks-, Zwischenablage-, Drucker- und Geraeteumleitungen notwendig.

Einfuehrung ohne Ausfall legitimer Remote-Pfade

Vor dem Enforcement sollten Administratoren alle legitimen Quellen von RDP-Dateien erfassen: RemoteApp-Feeds, RD-Web-Portale, Supportwerkzeuge, Jump Hosts und lokal gepflegte Admin-Verknuepfungen. Jede Quelle benoetigt einen Owner und einen definierten Signaturpfad. RDS-Bereitstellungen koennen das Zertifikat der Rolle RDPublishing zum automatischen Signieren veroeffentlichter Verbindungen nutzen; andere Dateien lassen sich kontrolliert mit rdpsign.exe signieren.

Ein belastbarer Rollout besteht aus vier Schritten:

  1. Juli-Updates auf einer repraesentativen Client- und Admin-Pilotgruppe installieren.
  2. Eigene RDP-Signaturzertifikate und SHA-256-Fingerabdruecke verteilen.
  3. RemoteApp, direkte Admin-Verbindungen und alle benoetigten Umleitungen im Pilot testen.
  4. Unsignierte Dateien und SHA-1-Pins erst entfernen, wenn die legitimen Verbindungen vollstaendig auf den neuen Pfad umgestellt sind.

Der unmittelbare Check: Inventar der verteilten .rdp-Dateien erstellen, unbekannte Herausgeber in einer Pilot-GPO blockieren und alle eigenen Publisher-Pins auf SHA-256 umstellen.