Zwei RDP-Sitzungen auf einem Windows-PC: Warum sich Remotedesktop-Nutzer gegenseitig trennen
Ein leistungsfähiger Windows-PC im Büro, darauf die Warenwirtschaft oder eine Branchensoftware, und zwei Mitarbeiter, die von zu Hause aus damit arbeiten sollen: Diese Konstellation ist in kleinen Unternehmen Alltag. Der Remotedesktop ist in den Windows-Einstellungen schnell aktiviert, der erste Zugriff gelingt meist auf Anhieb.
Das Problem zeigt sich erst beim zweiten Zugriff. Meldet sich der zweite Mitarbeiter an, erscheint beim ersten die Meldung, dass ein anderer Benutzer angemeldet ist und die bestehende Sitzung getrennt wird. Verbindet sich der erste erneut, fliegt der zweite heraus. Am Ende arbeitet immer nur einer.
Das ist kein Konfigurationsfehler, kein falsch gesetztes Häkchen und auch kein Problem der Internetleitung. Es ist genau so vorgesehen.
Warum Windows immer nur eine Sitzung zulässt
Windows 10 und Windows 11 sind, egal ob Home, Pro oder Enterprise, sogenannte Einzelsitzungs-Betriebssysteme. Sie sind dafür gebaut, dass genau ein Mensch zur selben Zeit an ihnen arbeitet. Es dürfen zwar mehrere Benutzerkonten angelegt sein, und es können auch mehrere Profile gleichzeitig geladen sein, aber interaktiv aktiv sein darf immer nur eine Sitzung. Meldet sich jemand per Remotedesktop an, wird die lokale Sitzung gesperrt. Meldet sich ein zweiter Benutzer remote an, wird der erste verdrängt.
Anders gesagt: Es gibt in einem normalen Windows nur einen einzigen Bildschirm, auch wenn er von außen betrachtet wird. Wer sich verbindet, übernimmt ihn. Zwei Personen können sich diesen einen Bildschirm nicht teilen.
Technisch könnte Windows das anders. Der zuständige Dienst, die Terminaldienste, steckt in jeder Windows-Installation. Es ist derselbe Unterbau, auf dem auch ein klassischer Terminal-Server läuft. Der Unterschied liegt nicht in der Technik, sondern in der Lizenz: Die Nutzungsbedingungen für Windows-Client-Betriebssysteme erlauben den Fernzugriff ausdrücklich nur für jeweils einen Benutzer zur selben Zeit. Wo die Unterschiede zwischen den Editionen im Detail liegen, behandelt ein eigener Beitrag über Windows 11 Home und Pro im Vergleich. An dieser Grenze ändert allerdings auch die Pro-Edition nichts.
Mehrere Benutzer gleichzeitig auf demselben System ist in der Microsoft-Welt eine Servereigenschaft. Und Servereigenschaften kosten Serverlizenzen.
Was ist mit TeamViewer, AnyDesk und Co.?
Diese Frage kommt an dieser Stelle fast immer, und sie ist berechtigt. Fernzugriff auf einen Büro-PC funktioniert nicht nur über die Windows-eigene RDP-Verbindung, sondern auch über Werkzeuge wie TeamViewer, AnyDesk, RustDesk oder Splashtop. Diese Programme sind oft schneller eingerichtet, kommen ohne Portfreigaben und VPN aus und sind für Fernwartung, Support und den gelegentlichen Zugriff auf den eigenen Arbeitsplatz eine gute Wahl.
Nur lösen sie das eigentliche Problem nicht. Denn diese Werkzeuge machen genau das, wonach sie klingen: Sie übertragen den Bildschirm, der ohnehin schon da ist. Fachlich spricht man von der Konsolen-Sitzung, also der Sitzung, die auch am Monitor unter dem Schreibtisch zu sehen wäre. Wenn sich zwei Personen per TeamViewer oder AnyDesk auf denselben Rechner schalten, werden sie nicht getrennt, sie sehen stattdessen beide dasselbe Bild und bewegen beide dieselbe Maus. Für eine gemeinsame Fehlersuche ist das ideal, für zwei Mitarbeiter, die parallel Aufträge erfassen sollen, ist es unbrauchbar.
Damit lässt sich der Sachverhalt auf einen einfachen Nenner bringen: Fernzugriff kann jeder. Getrennte, gleichzeitige Arbeitsplätze auf einem System kann nur eine Mehrbenutzer-Plattform. Und das sind im Wesentlichen die Remotedesktopdienste von Microsoft, also der klassische Terminal-Server, oder Lösungen wie Citrix, die darauf aufsetzen. Alles andere teilt sich entweder einen Bildschirm oder wirft sich gegenseitig raus.
Warum die kursierenden Bastellösungen keine Lösung sind
Wer nach einer Möglichkeit sucht, per Remote Desktop mehrere Benutzer gleichzeitig auf einem Windows-PC arbeiten zu lassen, landet innerhalb weniger Minuten bei zwei Namen: dem RDP Wrapper und dem Austausch beziehungsweise Patchen der Systemdatei termsrv.dll. Beide Wege setzen an derselben Stelle an. Sie hebeln die eingebaute Begrenzung aus, indem sie entweder die zuständige Systemdatei manipulieren oder sich in die Kommunikation der Windows-Komponenten einklinken.
Das mag im Labor funktionieren. Im Unternehmenseinsatz sprechen mehrere sehr handfeste Gründe dagegen.
Der erste ist rechtlicher Natur. Der RDP Wrapper und das Patchen der termsrv.dll verstoßen gegen die Lizenzbedingungen von Microsoft, die Nutzung erfolgt auf eigenes Risiko und wird für produktive Umgebungen nicht empfohlen. Was früher in einer Grauzone lag, ist längst eindeutig geregelt. Für ein Unternehmen bedeutet das ein reales Risiko, spätestens beim nächsten Lizenzaudit oder bei einer Betriebsprüfung, in der Software und Lizenznachweise abgeglichen werden. Der Geschäftsführer haftet, und die Ersparnis von ein paar Lizenzen steht in keinem Verhältnis dazu.
Der zweite Grund ist Betriebssicherheit. Diese Eingriffe sind naturgemäß fragil. Nach größeren Windows-Updates funktioniert der Wrapper oft nicht mehr, jedes größere Update kann ihn deaktivieren, und man muss warten, bis eine angepasste Konfigurationsdatei verfügbar ist. In der Praxis heißt das: Der Patchday am Dienstag legt am Mittwochmorgen die halbe Belegschaft lahm, und niemand weiß auf Anhieb, wann es wieder läuft.
Der dritte Grund ist Sicherheit im engeren Sinn. Eine ältere Version einer Systemdatei zurückzuspielen, um eine Sperre zu umgehen, bedeutet, bewusst auf einen aktuellen Patchstand zu verzichten. Ausgerechnet der Remotedesktop-Dienst war in den vergangenen Jahren mehrfach von kritischen Schwachstellen betroffen. Ein Dienst, der direkt aus dem Internet erreichbar ist und dessen Sicherheitsupdates man aktiv verhindert, ist eine Einladung. Wie schnell aus so einer Lücke ein Verschlüsselungstrojaner wird, beschreibt der Beitrag darüber, warum ein Virenscanner allein nicht vor Ransomware schützt.
Der saubere Weg heißt Terminal-Server
Die technisch und lizenzrechtlich korrekte Antwort auf die Frage nach mehreren gleichzeitigen Sitzungen gibt es seit über zwanzig Jahren, und sie heißt Terminal-Server. In der aktuellen Microsoft-Sprache sind das die Remotedesktopdienste auf einem Windows Server, ergänzt um Zugriffslizenzen pro Benutzer oder pro Gerät. Jeder Mitarbeiter erhält eine eigene, voneinander getrennte Sitzung mit eigenem Desktop, eigenen Einstellungen und eigenen Berechtigungen. Niemand sieht den Bildschirm des anderen, niemand wirft den anderen raus. Die Anwendung selbst, also die Warenwirtschaft, das PPS-System oder die Branchensoftware, ist nur einmal installiert und wird zentral gepflegt.
Genau dafür sind viele dieser Programme auch gebaut. Client-Server-Anwendungen mit einer SQL-Datenbank im Hintergrund laufen in einer Terminalumgebung deutlich besser als in jedem Konstrukt aus VPN und langsamen Datenbankzugriffen über die WAN-Strecke. Warum ein Tunnel in das Büronetz hier selten die beste Wahl ist, beschreibt der Artikel über Alternativen zur klassischen VPN-Verbindung ausführlicher.
Der klassische Weg wäre nun, einen eigenen Server anzuschaffen, ihn in den Serverschrank zu stellen, zu lizenzieren, abzusichern, zu sichern und alle paar Jahre zu ersetzen. Das funktioniert, bindet aber Kapital und vor allem Aufmerksamkeit. Wer schon einmal ausgerechnet hat, was Strom, Klimatisierung, Wartungsfenster und Ausfallzeiten wirklich kosten, kennt die Zahlen aus dem Beitrag zu den oft übersehenen Kosten des Eigenbetriebs.
Terminal-Server aus der Cloud statt Blech im Keller
Hier setzt der Remote-Arbeitsplatz von serverstart an. Er ist im Kern nichts anderes als das bewährte Prinzip des Terminal-Servers, nur eben als Cloud-PC auf Basis von Azure Virtual Desktop in der Microsoft Cloud betrieben und von uns verwaltet. Genau dafür ist AVD gemacht: Es bringt die Mehrbenutzerfähigkeit der Remotedesktopdienste mit, ohne dass irgendwo ein eigener Server stehen muss, und ist damit für kleine und mittlere Unternehmen die derzeit sauberste Antwort auf die Frage nach gleichzeitigen, getrennten Sitzungen.
Jeder Mitarbeiter meldet sich mit seinem eigenen Konto an und bekommt seinen eigenen Windows-Desktop, auf dem die gewohnte Software läuft. Mehrere Benutzer arbeiten gleichzeitig, jeder in seiner eigenen Sitzung, sauber lizenziert, ohne Eingriffe in Systemdateien und ohne die Sorge, dass das nächste Update alles aushebelt. Niemand wird mehr getrennt, weil sich jemand anderes angemeldet hat.
Der Zugriff funktioniert vom Büro-PC, vom Notebook im Homeoffice, vom Rechner beim Kunden. Die Daten bleiben dabei im Rechenzentrum, es wird nur das Bildschirmbild übertragen. Das entschärft gleich mehrere Themen auf einmal: Ein gestohlenes Notebook enthält keine Kundendaten, ein defekter Arbeitsplatzrechner ist in einer Stunde ersetzt, und ein neuer Mitarbeiter ist nicht nach Tagen, sondern nach kurzer Zeit arbeitsfähig. Wie das im Alltag aussieht, erklären wir Schritt für Schritt auf der Seite Was ist ein Remote-Arbeitsplatz und im Vergleich der verschiedenen Ausbaustufen.
Dass dieser Weg kein Sonderfall mehr ist, zeigt der aktuelle Cloud Report des Digitalverbands Bitkom. Demnach nutzen bereits 86 Prozent der deutschen Unternehmen Cloud-Dienste, weitere 14 Prozent befinden sich in der Planungs- oder Diskussionsphase. Bemerkenswert ist dabei, dass IT-Sicherheit inzwischen der wichtigste Grund für Cloud-Investitionen ist. Es geht also längst nicht mehr nur um Flexibilität, sondern um Stabilität und Schutz.
Was das für Ihre Entscheidung bedeutet
Wenn in Ihrem Unternehmen gerade jemand versucht, einen normalen Windows-Rechner zum Mehrbenutzersystem umzubauen, ist das kein Zeichen von Unfähigkeit, sondern von Pragmatismus. Der Bedarf ist echt: Mehrere Menschen sollen mit derselben Software arbeiten, von verschiedenen Orten aus, ohne dass Daten hin und her kopiert werden. Nur ist ein Einzelplatz-Windows dafür schlicht das falsche Werkzeug.
Die ehrliche Einordnung sieht so aus: Für zwei bis drei Personen, die sich zeitlich abwechseln, reicht ein einzelner Rechner mit Fernzugriff durchaus, egal ob über RDP, TeamViewer oder AnyDesk. Solange sich niemand in die Quere kommt, ist das eine völlig legitime Lösung. Sobald aber mehrere Mitarbeiter wirklich zeitgleich arbeiten sollen, sobald eine Branchensoftware im Spiel ist oder sobald ein bestehender Server ohnehin in die Jahre kommt, ist die Frage nicht mehr, ob ein Terminal-Server sinnvoll ist, sondern nur noch, wo er stehen soll. Wer diese Entscheidung ohnehin vor sich hat, etwa weil der Support für Windows Server 2019 ausläuft, sollte den Schritt gleich in einem Zug gehen, statt zweimal zu investieren.
Wir schauen uns Ihre Ausgangslage gerne an, prüfen, ob Ihre Software für den Betrieb in einer Terminalumgebung geeignet ist, und sagen Ihnen auch offen, wenn ein anderer Weg für Sie besser passt. Eine Bestandsaufnahme kostet Sie ein Gespräch. Melden Sie sich einfach über unser Kontaktformular oder lesen Sie vorab, wie unsere IT-Beratung arbeitet.