Wie erstellt man einen Benutzer in Windows Server und erlaubt eine RDP-Verbindung?
Diese Anleitung zeigt, wie Sie einen lokalen Benutzer auf Windows Server erstellen und diesem Benutzer den Zugriff über Remotedesktop gewähren. Der Vorgang besteht aus zwei Teilen: dem Erstellen des Kontos und dem anschließenden Erlauben der Remoteverbindung.
Benutzer erstellen
Sie können einen Benutzer über die grafische Benutzeroberfläche oder mit einem einzigen Befehl erstellen. Beide Methoden erstellen ein standardmäßiges lokales Konto.
Grafische Benutzeroberfläche
Öffnen Sie das Snap-In „Lokale Benutzer und Gruppen“. Drücken Sie Win+R, geben Sie lusrmgr.msc ein und klicken Sie auf „OK“.
Öffnen Sie den Ordner Benutzer, klicken Sie mit der rechten Maustaste auf einen leeren Bereich und wählen Sie Neuer Benutzer.
Geben Sie den Benutzernamen und ein Kennwort ein, das den Sicherheitsanforderungen entspricht. Legen Sie die gewünschten Kennwortoptionen fest und klicken Sie anschließend auf Erstellen.
Das neue Konto wird nun in der Liste Benutzer angezeigt.
Befehlszeile
Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator und führen Sie einen einzelnen Befehl aus. Ersetzen Sie dabei den Namen und das Kennwort durch Ihre eigenen Werte:
net user newuser "StrongP@ssw0rd" /add
Auf modernen Systemen können Sie anstelle des älteren Dienstprogramms „net user“ auch das PowerShell-Cmdlet verwenden:
New-LocalUser -Name "newuser" -Password (ConvertTo-SecureString "StrongP@ssw0rd" -AsPlainText -Force) -Description "RDP user"
Das Kennwort muss den Kennwortrichtlinien des Servers entsprechen. Andernfalls gibt der Befehl einen Richtlinienfehler zurück. Verwenden Sie ein starkes Kennwort mit Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.
RDP-Verbindung zulassen
Das Erstellen des Benutzers allein reicht nicht aus. Remotedesktop muss auf Serverebene aktiviert sein und der Benutzer muss einer Gruppe angehören, die für Remoteverbindungen zugelassen ist.
Remotedesktop auf dem Server aktivieren
Öffnen Sie die Systemeigenschaften. Drücken Sie Win+R, geben Sie sysdm.cpl ein und klicken Sie auf „OK“. Wechseln Sie zur Registerkarte Remote und wählen Sie Remoteverbindungen mit diesem Computer zulassen.
Unter Windows Server 2022 und höher können Sie Remotedesktop auch unter „Einstellungen“, „System“, „Remotedesktop“ aktivieren, ähnlich wie unter Windows 10 und 11. Auf dieser Seite können Sie auch die zugelassenen Benutzer auswählen. Die Methode mit sysdm.cpl funktioniert bei allen unterstützten Versionen.
Lassen Sie die Option „Verbindungen nur von Computern zulassen, auf denen Remotedesktop mit Authentifizierung auf Netzwerkebene ausgeführt wird“ aktiviert. Sie fügt vor dem Start der Sitzung eine zusätzliche Authentifizierungsebene hinzu und ist die sicherere Wahl.
Dasselbe Ergebnis kann über PowerShell erreicht werden. Führen Sie PowerShell als Administrator aus:
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 0 Enable-NetFirewallRule -Name "RemoteDesktop-UserMode-In-TCP","RemoteDesktop-UserMode-In-UDP" Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'UserAuthentication' -Value 1
Die erste Zeile aktiviert Remotedesktop, die zweite öffnet die Firewallregeln und die dritte stellt sicher, dass die Authentifizierung auf Netzwerkebene für den RDP-Listener aktiviert ist.
Die Firewallregeln werden anhand ihrer internen Namen und nicht anhand der Anzeigenamen geöffnet. Der Name der Anzeigegruppe wird auf lokalisierten Systemen übersetzt, während die internen Namen auf einem Server unabhängig von der verwendeten Sprache gleich bleiben. Hier werden sowohl die TCP- als auch die UDP-Regeln aktiviert, wie es auch die grafische Methode macht. Die UDP-Regel ist optional, verbessert jedoch die Reaktionsfähigkeit bei Verbindungen mit hoher Latenz.
Das Aktivieren von Remotedesktop über die Registrierung öffnet die Firewall nicht automatisch. Der zweite Befehl öffnet die Remotedesktopregeln in der Windows-Firewall. Wenn Sie stattdessen die grafische Methode verwenden, werden die Firewallregeln automatisch geöffnet.
Überprüfen, ob Remotedesktop aktiviert ist
Um den aktuellen Status zu überprüfen, führen Sie diesen Befehl in PowerShell aus:
Get-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections'
Wenn der Wert 0 ist, ist Remotedesktop aktiviert.
Benutzer zur Gruppe „Remotedesktopbenutzer“ hinzufügen
Lokale Administratoren dürfen standardmäßig eine Verbindung über Remotedesktop herstellen. Ein Standardbenutzer muss der Gruppe „Remotedesktopbenutzer“ hinzugefügt werden. Am schnellsten geht dies mit einem einzigen Befehl, der als Administrator ausgeführt wird:
net localgroup "Remote Desktop Users" newuser /add
Um zu überprüfen, ob der Benutzer hinzugefügt wurde, listen Sie die Mitglieder der Gruppe auf:
net localgroup "Remote Desktop Users"
Wenn Sie die grafische Benutzeroberfläche bevorzugen, drücken Sie Win+R, geben Sie lusrmgr.msc ein und klicken Sie auf „OK“. Öffnen Sie Gruppen, doppelklicken Sie auf Remotedesktopbenutzer, klicken Sie auf Hinzufügen, geben Sie den Benutzernamen ein, klicken Sie auf Namen überprüfen und anschließend auf OK.
Auf einem lokalisierten Windows Server wird die Gruppe in der jeweiligen Systemsprache benannt, beispielsweise „Пользователи удаленного рабочего стола“ auf einem russischen System. In diesem Fall gibt der obige Befehl den Systemfehler 1376 zurück. Verwenden Sie den lokalen Gruppennamen oder sprechen Sie die Gruppe über ihre sprachunabhängige SID an, die immer S-1-5-32-555 lautet:
Get-LocalGroup -SID S-1-5-32-555 | Add-LocalGroupMember -Member "newuser"
Dasselbe Prinzip gilt für Domänenbenutzer. Wenn der Server einer Domäne beigetreten ist, fügen Sie das Konto im Format DOMAIN\user anstelle eines lokalen Benutzernamens hinzu.
lusrmgr.msc öffnet das Snap-In „Lokale Benutzer und Gruppen“ direkt, ohne dass es manuell zu einer leeren Konsole hinzugefügt werden muss. Dies ist der schnellste Weg zu den Gruppeneinstellungen.
Berechtigungen für die Remotedesktopanmeldung überprüfen
Auf Domänencontrollern oder Servern mit verschärften Sicherheitsrichtlinien reicht die Gruppenmitgliedschaft möglicherweise nicht aus. Öffnen Sie die lokale Sicherheitsrichtlinie. Drücken Sie Win+R, geben Sie secpol.msc ein und klicken Sie auf „OK“. Gehen Sie anschließend zu Lokale Richtlinien, Zuweisen von Benutzerrechten und öffnen Sie Anmelden über Remotedesktopdienste zulassen. Die Gruppe „Remotedesktopbenutzer“ muss dort aufgeführt sein.
Auf Domänencontrollern wird diese Einstellung über die Gruppenrichtlinie und nicht über die lokale Sicherheitsrichtlinie verwaltet. Standardmäßig erlaubt ein Domänencontroller der Gruppe „Remotedesktopbenutzer“ keine Anmeldung über RDP. Daher muss die Gruppe in der „Default Domain Controllers Policy“ explizit zu „Anmelden über Remotedesktopdienste zulassen“ hinzugefügt werden. Dies ist ein häufiger Grund dafür, dass die Verbindung zu einem Domänencontroller auch dann fehlschlägt, wenn der Benutzer bereits Mitglied der Gruppe ist.
Verbindung überprüfen
Der Benutzer kann sich nun mit den neuen Anmeldedaten über Remotedesktop mit dem Server verbinden. Öffnen Sie zum Testen den Remotedesktopclient. Drücken Sie Win+R, geben Sie mstsc.exe ein und klicken Sie auf „OK“. Geben Sie anschließend die Verbindungsdaten ein.
Server: IP-Adresse oder Hostname Benutzername: newuser Kennwort: das bei der Erstellung festgelegte Kennwort
Eine erfolgreiche Anmeldung bestätigt, dass das Konto, die Remotedesktopeinstellung und die Gruppenmitgliedschaft korrekt konfiguriert sind.
