Juli-Updates erweitern das RDP-Publisher-Vertrauen

Mit den Windows-Sicherheitsupdates vom Juli 2026 unterstützt die Gruppenrichtlinie für vertrauenswürdige .rdp-Herausgeber neben SHA-1 auch SHA-2-Fingerabdrücke. Microsoft behält SHA-1 nur vorübergehend für die Rückwärtskompatibilität bei und kündigt dessen Entfernung für eine spätere Windows-Version an. Für neue und bestehende RDP-Publisher-Pins sollte deshalb mindestens SHA-256 verwendet werden.

Die Änderung betrifft den klassischen Remotedesktopverbindungsclient mstsc.exe unter Windows 10, Windows 11 sowie unterstützten Windows-Server-Versionen. Sie ist nicht nur eine kryptografische Pflegeaufgabe: Eine RDP-Datei legt das Ziel einer Remotedesktop-Sitzung fest und kann Umleitungen lokaler Ressourcen wie Laufwerke, Zwischenablage oder Drucker anfordern. Manipulierte oder unkontrolliert verteilte Dateien sind damit ein brauchbarer Phishing-Pfad zu einem fremden RDP-Endpunkt.

Drei Richtlinien entscheiden, welche Verbindungen starten

Die Einstellungen liegen unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktopverbindungsclient. Für einen restriktiven Client-Baseline sind drei Entscheidungen erforderlich:

  1. Allow .rdp files from unknown publishers deaktivieren. Dadurch werden unsignierte RDP-Dateien blockiert.
  2. Allow .rdp files from valid publishers and user's default .rdp settings deaktivieren. Dann startet mstsc.exe nur noch Dateien, die von einem explizit vertrauenswürdigen Herausgeber signiert wurden. Auch manuell aus der Oberfläche gestartete Verbindungen sind in diesem Modus blockiert.
  3. Specify thumbprints of certificates representing trusted .rdp publishers aktivieren. Die Liste darf nur die eigenen, für RDP-Signaturen vorgesehenen Zertifikate enthalten und sollte SHA-256- oder stärkere Fingerabdrücke verwenden.

Nach der Migration kann die Computerrichtlinie Do not allow SHA-1 thumbprints unpräfixierte Legacy-Einträge vollständig sperren. SHA-2-Werte werden mit dem passenden Präfix wie sha256: eingetragen; die aktualisierte Richtlinienhilfe beschreibt die gültige Syntax.

Ein passender Fingerabdruck ist eine konkrete Vertrauensentscheidung, kein Ersatz für eine saubere PKI. Zertifikatskette, Laufzeit, Schlüsselschutz und Verantwortlicher müssen dokumentiert sein. Signierte Dateien eines eingetragenen Herausgebers können die in der Datei angeforderten Umleitungen ohne weitere Sicherheitswarnung aktivieren; deshalb bleiben separate Richtlinien für Laufwerks-, Zwischenablage-, Drucker- und Geräteumleitungen notwendig.

Einführung ohne Ausfall legitimer Remote-Pfade

Vor dem Enforcement sollten Administratoren alle legitimen Quellen von RDP-Dateien erfassen: RemoteApp-Feeds, RD-Web-Portale, Supportwerkzeuge, Jump Hosts und lokal gepflegte Admin-Verknüpfungen. Jede Quelle benötigt einen Owner und einen definierten Signaturpfad. RDS-Bereitstellungen können das Zertifikat der Rolle RDPublishing zum automatischen Signieren veröffentlichter Verbindungen nutzen; andere Dateien lassen sich kontrolliert mit rdpsign.exe signieren.

Ein belastbarer Rollout besteht aus vier Schritten:

  1. Juli-Updates auf einer repräsentativen Client- und Admin-Pilotgruppe installieren.
  2. Eigene RDP-Signaturzertifikate und SHA-256-Fingerabdrücke verteilen.
  3. RemoteApp, direkte Admin-Verbindungen und alle benötigten Umleitungen im Pilot testen.
  4. Unsignierte Dateien und SHA-1-Pins erst entfernen, wenn die legitimen Verbindungen vollständig auf den neuen Pfad umgestellt sind.

Der unmittelbare Check: Inventar der verteilten .rdp-Dateien erstellen, unbekannte Herausgeber in einer Pilot-GPO blockieren und alle eigenen Publisher-Pins auf SHA-256 umstellen.