Zugriff verweigert? Was zu tun ist, wenn die Aktivierung des Remotedesktops partout nicht funktioniert

Die Meldung „Zugriff verweigert” kann einem den letzten Nerv rauben, besonders wenn man dringend auf einen Remote-Computer zugreifen muss. Doch wenn es um die Aktivierung des Remotedesktops geht, sind die Probleme oft tiefergehend als nur ein falsch eingegebenes Passwort. Wir sprechen hier nicht nur von grundlegenden Verbindungsproblemen, sondern gezielt von Herausforderungen, die sich um die korrekte Lizenzierung und Konfiguration der Remotedesktopdienste (RDS) drehen. Dieser umfassende Leitfaden hilft Ihnen dabei, die Ursachen zu ergründen und effektive Lösungen zu finden.

Der Remotedesktop ist ein unverzichtbares Werkzeug in modernen IT-Umgebungen. Ob für die Fernwartung, den Zugriff auf Unternehmensressourcen oder das Home-Office – er ermöglicht Flexibilität und Effizienz. Aber wenn die Aktivierung oder die Lizenzierung streikt, steht man schnell vor einem undurchdringlichen Rätsel. Oftmals ist die Fehlersuche kompliziert, weil die eigentliche Ursache hinter scheinbar allgemeinen Fehlermeldungen verborgen liegt.

Grundlagen des Remotedesktops: Was steckt dahinter?

Bevor wir uns ins Troubleshooting stürzen, ist es wichtig, die Funktionsweise des Remotedesktops zu verstehen. Grundsätzlich gibt es zwei Szenarien:

• Standard-Remotedesktop: Jedes Windows Pro oder Server Betriebssystem erlaubt standardmäßig administrative Remoteverbindungen. Für Server sind das oft zwei gleichzeitige Sitzungen. Hier ist keine spezielle Lizenzierung über Client Access Licenses (CALs) erforderlich, solange es sich um administrative Zwecke handelt.
• Remotedesktopdienste (RDS) / Terminaldienste: Wenn Sie eine größere Anzahl von Benutzern oder Nicht-Administratoren gleichzeitig auf einem Server arbeiten lassen möchten (z.B. für Anwendungen oder Desktop-Virtualisierung), benötigen Sie die Remotedesktopdienste. Und genau hier wird die Lizenzierung mit RDS-CALs obligatorisch und ist eine häufige Quelle für „Zugriff verweigert”-Meldungen.

Dieser Artikel konzentriert sich hauptsächlich auf die Probleme, die im Zusammenhang mit der Aktivierung und Lizenzierung von Remotedesktopdiensten auftreten, da hier die meisten „Aktivierungs”-Fehler liegen.

Die häufigsten Symptome und Fehlermeldungen

Wenn die RDS-Aktivierung nicht funktioniert, äußert sich das oft durch folgende Symptome und Fehlermeldungen:

• „Die Remotedesktop-Sitzung wurde getrennt, da keine Remotedesktop-Clientzugriffslizenzen für diesen Computer verfügbar sind.”
• „Der Remotedesktopdienst befindet sich im Gnadenzeitmodus und verfügt über keine Remotedesktop-Lizenzserver, die für die Bereitstellung von Lizenzen konfiguriert wurden.”
• „Remotedesktop-Dienste können nicht gestartet werden, weil keine Lizenzen installiert sind.”
• Benutzer können sich nach einer gewissen Zeit (z.B. 120 Tage) nicht mehr anmelden, während Administratoren noch Zugriff haben.
• Allgemeine „Zugriff verweigert” oder „Verbindung konnte nicht hergestellt werden” Meldungen, die nicht durch Netzwerk- oder Firewall-Probleme erklärbar sind.

Diese Meldungen weisen eindeutig auf ein Problem mit der Lizenzierung oder der Konfiguration des Lizenzservers hin.

Erste Hilfe: Die grundlegenden Checks (Bevor wir tief eintauchen)

Bevor wir uns den komplexen Lizenzierungsfragen widmen, schließen wir die einfachen Fehlerquellen aus:

1. Netzwerkverbindung und Firewall:
   • Ist der RDS-Hostserver über das Netzwerk erreichbar? Testen Sie mit PING oder einem Portscan auf Port 3389.
   • Ist die Windows-Firewall (oder eine Drittanbieter-Firewall) auf dem RDS-Hostserver und ggf. dem Lizenzserver so konfiguriert, dass RDP-Verbindungen (Port 3389) und die Kommunikation mit dem Lizenzserver (Port 135 und dynamische RPC-Ports oder spezifische feste Ports) zugelassen werden?
2. RDP-Dienststatus:
   • Stellen Sie sicher, dass der Dienst „Remotedesktopdienste” auf dem RDS-Hostserver läuft. Überprüfen Sie dies im Dienste-Manager (services.msc).
3. Benutzerberechtigungen:
   • Sind die betroffenen Benutzer Mitglied der Gruppe „Remotedesktopbenutzer” auf dem RDS-Hostserver?
   • Stellen Sie sicher, dass die Konten nicht gesperrt oder abgelaufen sind.
4. Gruppenrichtlinien (GPOs):
   • Überprüfen Sie, ob GPOs die Remotedesktopverbindungen auf dem Server blockieren oder falsch konfigurieren.
   • Verwenden Sie gpresult /h report.html, um die angewendeten Richtlinien zu überprüfen.

Wenn diese grundlegenden Checks in Ordnung sind und die Fehlermeldungen weiterhin auf Lizenzprobleme hindeuten, ist es Zeit für den Tiefgang.

Wenn die Aktivierung selbst das Problem ist: Der Tiefgang in die RDS-Lizenzierung

Das Herzstück der RDS-Aktivierungsprobleme liegt in der korrekten Einrichtung und Funktion des Remotedesktop-Lizenzservers.

1. Verständnis des Remotedesktop-Lizenzservers

Ein dedizierter Remotedesktop-Lizenzserver ist eine Rolle in Windows Server, die RDS-Clientzugriffslizenzen (RDS-CALs) ausstellt, verwaltet und verfolgt. Ohne einen korrekt konfigurierten Lizenzserver können Clients sich nach einer anfänglichen Gnadenfrist nicht mehr verbinden.

2. Die Gnadenfrist (Grace Period)

Nach der Installation der Remotedesktopdienste beginnt eine Gnadenfrist von 120 Tagen. Während dieser Zeit können sich Clients ohne gültige CALs verbinden. Dies ermöglicht es Administratoren, die RDS-Umgebung einzurichten und zu testen, bevor die Lizenzierung vollständig konfiguriert ist. Nach Ablauf dieser Gnadenfrist werden Verbindungen von Benutzern (nicht-Administratoren) blockiert, wenn kein gültiger Lizenzserver mit verfügbaren CALs konfiguriert ist.

3. Arten von RDS-CALs

Es gibt zwei Haupttypen von RDS-CALs:

• Pro-Benutzer-CALs (Per User CALs): Eine Lizenz ist für einen bestimmten Benutzer, der sich von beliebig vielen Geräten verbinden kann. Ideal, wenn Benutzer mehrere Geräte nutzen.
• Pro-Gerät-CALs (Per Device CALs): Eine Lizenz ist für ein bestimmtes Gerät, das von beliebig vielen Benutzern genutzt werden kann. Ideal, wenn viele Benutzer einen Pool von Geräten nutzen (z.B. Schichtarbeit).

Es ist entscheidend, dass die installierten CALs auf dem Lizenzserver mit der Art übereinstimmen, die auf dem RDS-Hostserver konfiguriert ist. Ein Mismatch führt zu Problemen.

4. Überprüfung und Konfiguration des Lizenzservers

Schritt 1: Lizenzserver installieren und aktivieren

Stellen Sie sicher, dass die Rolle „Remotedesktoplizenzierung” auf einem Server installiert und der Lizenzserver aktiviert wurde. Die Aktivierung erfolgt über den „Remotedesktoplizenzierungs-Manager” (Start > Verwaltung > Remotedesktopdienste).

Schritt 2: RDS-CALs installieren

Im Lizenzierungs-Manager müssen Sie die erworbenen RDS-CALs (Pro-Benutzer oder Pro-Gerät) installieren. Achten Sie darauf, dass Sie die richtige Anzahl und den richtigen Typ installieren.

Schritt 3: RDS-Hostserver auf den Lizenzserver verweisen

Der Remotedesktop-Sitzungshostserver (der Server, auf den sich die Benutzer verbinden) muss wissen, wo er seine Lizenzen anfordern kann. Dies kann auf zwei Arten geschehen:

• Über den Server-Manager (Empfohlen für moderne RDS-Bereitstellungen):
  • Öffnen Sie den Server-Manager.
  • Navigieren Sie zu „Remotedesktopdienste” -> „Übersicht” -> „Bereitstellungsübersicht”.
  • Klicken Sie unter „Bereitstellungsserver” auf „Aufgaben” -> „Bereitstellungseigenschaften bearbeiten”.
  • Wählen Sie „RD-Lizenzierung”.
  • Stellen Sie sicher, dass die „Modus für die Remotedesktoplizenzierung” korrekt auf „Pro Gerät” oder „Pro Benutzer” eingestellt ist.
  • Fügen Sie den Lizenzserver hinzu (IP-Adresse oder FQDN des Lizenzservers).
• Über Gruppenrichtlinien (GPOs) oder lokale Gruppenrichtlinien:
  • Öffnen Sie gpedit.msc (für lokale GPOs) oder die Gruppenrichtlinienverwaltung (gpmc.msc) für Domänen-GPOs.
  • Navigieren Sie zu: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Remotedesktopdienste > Remotedesktop-Sitzungshost > Lizenzierung.
  • Konfigurieren Sie die Einstellung „Den Remotedesktoplizenzierungsmodus festlegen” auf „Pro Gerät” oder „Pro Benutzer” (muss mit den installierten CALs übereinstimmen).
  • Konfigurieren Sie die Einstellung „Die Remotedesktoplizenzserver angeben” und geben Sie hier die IP-Adresse oder den FQDN Ihres Lizenzservers ein.
  • Erzwingen Sie die GPO-Aktualisierung auf dem Hostserver mit gpupdate /force und starten Sie ihn bei Bedarf neu.

5. Überprüfung des Lizenzierungsstatus

Um den aktuellen Lizenzierungsstatus auf dem Hostserver zu überprüfen, können Sie den „Remotedesktoplizenzierungs-Diagnose” (lsdiag.msc) oder den Ereignisanzeige verwenden:

• Remotedesktoplizenzierungs-Diagnose (lsdiag.msc):
  • Starten Sie lsdiag.msc auf dem RDS-Sitzungshostserver.
  • Hier sehen Sie, ob der Lizenzserver gefunden wird, welche CAL-Art konfiguriert ist und ob Lizenzierungsprobleme vorliegen. Achten Sie auf rote Symbole.
• Ereignisanzeige (Event Viewer):
  • Öffnen Sie die Ereignisanzeige (eventvwr.msc) auf dem RDS-Sitzungshostserver.
  • Navigieren Sie zu „Anwendungs- und Dienstprotokolle” -> „Microsoft” -> „Windows” -> „TerminalServices-Licensing” und „TerminalServices-SessionBroker”.
  • Suchen Sie nach Warnungen oder Fehlern, insbesondere die Event IDs 4105, 4106, 1128, 1061, die auf Lizenzierungsprobleme hinweisen.

Spezifische Troubleshooting-Schritte für Aktivierungsprobleme

Problem 1: Gnadenfrist abgelaufen, obwohl Lizenzen installiert sind

Dies ist ein häufiges Problem. Oftmals ist der RDS-Hostserver nicht korrekt auf den Lizenzserver konfiguriert oder der Lizenzserver ist nicht erreichbar.

• Überprüfen Sie die Schritte unter „Überprüfung und Konfiguration des Lizenzservers” sorgfältig.
• Stellen Sie sicher, dass die Art der CALs auf dem Lizenzserver (Pro-Benutzer/Pro-Gerät) mit der im Bereitstellungs-Manager oder über GPO konfigurierten Art übereinstimmt.
• Überprüfen Sie die Firewall zwischen dem RDS-Host und dem Lizenzserver. Die Kommunikation erfolgt oft über RPC, was dynamische Ports verwendet, es sei denn, Sie haben feste Ports konfiguriert (was empfohlen wird).
• Zeit- und Datumssynchronisierung: Stellen Sie sicher, dass sowohl der RDS-Hostserver als auch der Lizenzserver die korrekte Zeit und das korrekte Datum haben. Große Abweichungen können zu Lizenzierungsfehlern führen.

Problem 2: Alter Gnadenfrist-Eintrag blockiert die Aktivierung

Manchmal bleiben alte Lizenzinformationen oder die abgelaufene Gnadenfrist-Registrierung im System erhalten, selbst wenn alles andere korrekt konfiguriert ist. Dies ist ein aggressiver Schritt und sollte nur mit Vorsicht und nach einem Backup der Registrierung durchgeführt werden:

• Öffnen Sie den Registrierungs-Editor (regedit.exe) als Administrator auf dem RDS-Sitzungshostserver.
• Navigieren Sie zu HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerRCMGracePeriod.
• Suchen Sie den Schlüssel, der „L$RTMTIC-…” beginnt (oftmals der einzige Schlüssel unter GracePeriod).
• WICHTIG: Erstellen Sie ein Backup dieses Schlüssels, indem Sie ihn exportieren.
• Löschen Sie diesen Schlüssel.
• Starten Sie den Remotedesktop-Sitzungshostserver neu.

Nach dem Neustart wird die Gnadenfrist zurückgesetzt, und wenn der Lizenzserver korrekt konfiguriert ist, sollte der Host sofort die Lizenzen vom Lizenzserver anfordern.

Problem 3: Lizenzserver selbst ist nicht erreichbar oder hat Probleme

• Dienste auf dem Lizenzserver: Stellen Sie sicher, dass der Dienst „Remotedesktoplizenzierung” auf dem Lizenzserver läuft.
• Port 135 und dynamische RPC-Ports: Die Kommunikation zwischen dem RDS-Host und dem Lizenzserver verwendet standardmäßig RPC (Remote Procedure Call), der über Port 135 initiiert wird und dann dynamische Ports für die weitere Kommunikation nutzt. Stellen Sie sicher, dass diese Ports in der Firewall des Lizenzservers und allen dazwischenliegenden Netzwerkgeräten geöffnet sind. Alternativ können Sie RPC so konfigurieren, dass feste Ports verwendet werden, um die Firewall-Konfiguration zu vereinfachen.
• DNS-Auflösung: Stellen Sie sicher, dass der RDS-Host den Lizenzserver korrekt über seinen Namen auflösen kann (nslookup ).
• Lizenzierungs-Manager: Öffnen Sie den Remotedesktoplizenzierungs-Manager auf dem Lizenzserver. Überprüfen Sie den Status des Servers und der installierten CALs. Sind genügend Lizenzen des richtigen Typs verfügbar und als „installiert” markiert?

Problem 4: Zertifikatsprobleme bei der Remote Desktop Connection

Obwohl nicht direkt ein „Aktivierungsproblem” im Sinne der Lizenzierung, können Zertifikatsfehler die RDP-Verbindung beeinträchtigen und den Zugriff verhindern. Dies ist besonders relevant in einer RDS-Bereitstellung, wo eine Sammlung von Servern oft ein einheitliches Zertifikat verwendet.

• Überprüfen Sie im Server-Manager unter „Remotedesktopdienste” -> „Übersicht” -> „Bereitstellungseigenschaften bearbeiten” -> „Zertifikate”, ob alle Rollendienste gültige und vertrauenswürdige Zertifikate verwenden.
• Ein abgelaufenes oder nicht vertrauenswürdiges Zertifikat kann Verbindungsversuche blockieren.

Problem 5: Netzwerk Level Authentication (NLA)

NLA verbessert die Sicherheit, indem es die Authentifizierung des Benutzers durchführt, bevor eine vollständige Remotedesktop-Sitzung hergestellt wird. Wenn NLA aktiviert ist, aber der Client oder die Netzwerkumgebung es nicht unterstützt oder das Client-Gerät veraltete Anmeldeinformationen hat, kann der Zugriff verweigert werden.

• Versuchen Sie, NLA testweise zu deaktivieren (Systemeigenschaften > Remote > Authentifizierung auf Netzwerkebene). Wenn es dann funktioniert, liegt das Problem bei NLA oder der Client-Konfiguration. Aktivieren Sie NLA aus Sicherheitsgründen danach wieder und beheben Sie die Ursache.

Wichtige Best Practices für eine reibungslose RDS-Aktivierung

• Dedizierter Lizenzserver: Nutzen Sie immer einen dedizierten Server für die RDS-Lizenzierungsrolle, besonders in größeren Umgebungen.
• Regelmäßige Überprüfung: Überprüfen Sie regelmäßig den Status Ihrer Lizenzen und der Lizenzserver über den Remotedesktoplizenzierungs-Manager und die Diagnosetools.
• Dokumentation: Dokumentieren Sie Ihre Lizenzschlüssel und die Art der CALs.
• Kompatibilität: Achten Sie auf die Kompatibilität der CALs mit Ihrer Server-Version (z.B. Windows Server 2019 RDS-CALs für einen Windows Server 2019 RDS-Host).
• Automatische Updates: Halten Sie Ihre Server mit den neuesten Updates und Patches aktuell, um bekannte Fehler zu vermeiden.

Wann professionelle Hilfe suchen?

Wenn Sie alle diese Schritte durchlaufen haben und immer noch keinen Erfolg haben, könnte es an einer sehr spezifischen oder komplexen Konfiguration in Ihrer Umgebung liegen. In diesem Fall ist es ratsam, einen erfahrenen IT-Administrator oder einen Microsoft-Supportpartner zu konsultieren. Oftmals kann ein externer Blickwinkel helfen, versteckte Probleme aufzudecken.

Fazit

Die Fehlersuche bei „Zugriff verweigert” im Kontext der Remotedesktop-Aktivierung kann frustrierend sein, ist aber mit den richtigen Schritten methodisch lösbar. Der Schlüssel liegt im Verständnis der RDS-Lizenzierungsmechanismen, der Gnadenfrist und der korrekten Konfiguration des Remotedesktop-Lizenzservers. Mit Geduld und einer systematischen Herangehensweise können Sie die Kontrolle über Ihre Remote-Zugriffe zurückgewinnen und sicherstellen, dass Ihre Benutzer stets produktiv bleiben können. Denken Sie immer daran: Ein gut konfigurierter und lizenzierter RDS-Dienst ist das Rückgrat für einen effizienten und sicheren Remote-Arbeitsplatz.