RustDesk

Ein laufender RustDesk-Client meldet seine Erreichbarkeit beim ID-Server hbbs. Beim Verbindungswunsch vermittelt dieser zwischen den beiden Endpunkten. Zunächst wird eine direkte Verbindung über die vorhandenen Firewall- und NAT-Grenzen versucht. NAT steht für Network Address Translation, also die Übersetzung von Netzwerkadressen.

Gelingt der direkte Aufbau nicht, leitet hbbr als Relay den Verkehr weiter. Deshalb ist die Last des Relays vor allem vom tatsächlichen Verbindungsweg, der Bildübertragung und den Dateiübertragungen abhängig. Ein funktionierender Login beim ID-Server beweist noch nicht, dass jede Fernwartungsverbindung direkt zustande kommt.

Für den üblichen OSS-Betrieb nennt die Dokumentation TCP 21115 bis 21117 und UDP 21116 als grundlegende Ports. Die WebSocket-Ports 21118 und 21119 werden für den Webclient benötigt, nicht für jede Installation. Die Pro-Webkonsole und API kommen hinzu und sollten über HTTPS geschützt werden. Eine pauschale Freigabe aller Beispielports ist kein sinnvoller Standard.

Clients benötigen die Adresse des eigenen ID-Servers und dessen öffentlichen Schlüssel. Den privaten Schlüssel des Servers dagegen geschützt aufbewahren und mitsichern. Werden Server neu aufgebaut oder Schlüssel unkontrolliert ersetzt, kann die bestehende Clientkonfiguration unbrauchbar werden.

DNS, ausgehende Regeln und Rückverkehr mit den tatsächlich verwendeten IPv4- und IPv6-Verbindungen prüfen. An Standorten mit NAT-Loopback-Problemen können interne und externe Erreichbarkeit auseinanderfallen. Für den Test deshalb auch einen Rechner außerhalb des eigenen LAN verwenden.

Bei betreuter Fernwartung bestätigt der Benutzer die Sitzung. Für unbeaufsichtigten Zugriff gelten andere Voraussetzungen: dauerhaft installierter Client, kontrollierte Zugangsdaten und eine klare Zuständigkeit für Widerruf und Gerätewechsel. Freigaben für Eingabe, Zwischenablage und Dateiübertragung sollten zum jeweiligen Supportfall passen.

RustDesk verwendet verschlüsselte Verbindungen zwischen den Endpunkten. Der öffentliche Serverschlüssel dient dabei der vertrauenswürdigen Konfiguration des eigenen Vermittlungsservers. Er ersetzt weder die Sitzungsfreigabe noch starke Zugangsdaten. Ebenso wenig schützt Verschlüsselung vor einem kompromittierten Supportrechner, dessen Benutzer bereits berechtigt ist.

Fernwartungskonten getrennt von allgemeinen Administratorkonten führen. Bei Personalwechseln, verlorenen Geräten oder einem Supportdienstleisterwechsel müssen Zugänge widerrufen werden können. Für besonders schützenswerte Systeme bietet sich zusätzlich eine Beschränkung auf ein Verwaltungsnetz an.

RustDesk Server OSS stellt die grundlegenden Vermittlungs- und Relay-Dienste bereit. Eine lokale Sitzung und ein zentral verwalteter Benutzerbestand sind unterschiedliche Funktionen. Wer eine zentrale Webkonsole, Geräteverwaltung oder Unternehmensanmeldung erwartet, muss den Funktionsumfang von Server Pro prüfen.

Die Pro-Dokumentation nennt unter anderem OpenID Connect (OIDC), LDAP, Zwei-Faktor-Authentifizierung, Zugriffskontrolle und die Verwaltung mehrerer Relays. Welche Kombination benötigt wird und wie Benutzer, Geräte und Sitzungen gezählt werden, ergibt sich aus dem aktuellen Angebot. Eine allgemeine Aussage wie „alles kostenlos selbst hostbar“ wäre deshalb falsch.

RustDesk-Clients gibt es für mehrere Desktop- und Mobilplattformen. Daraus folgt nicht, dass jede Plattform dieselben Möglichkeiten für eingehende Fernsteuerung, unbeaufsichtigte Anmeldung oder Systemdialoge bietet. Vor einem Rollout genau den benötigten Ablauf testen: anmelden, Bildschirm sehen, Eingaben senden, gegebenenfalls neu starten und wieder verbinden.

Auf macOS sind unter anderem Bildschirmaufnahme und Bedienungshilfen relevant. Unter Linux kann die verwendete Desktop-Sitzung, insbesondere Wayland, den Ablauf beeinflussen. Mobilgeräte haben zusätzliche Betriebssystemgrenzen. Plattformfreigaben gehören deshalb in die Geräteverwaltung und nicht erst in den ersten Supporttermin.

Client und Server OSS werden unter AGPLv3 veröffentlicht. Server Pro ist ein getrenntes kommerzielles Angebot. Für dessen Lizenzierung beschreibt RustDesk eine Zuordnung zum hbbs-Server, während Relay-Server nicht jeweils eine eigene Lizenz benötigen. Die Aktivierung und ein Serverumzug sollten vor der Wiederherstellung geprobt werden.

Zu sichern sind insbesondere Konfiguration, Datenbank und Server-Schlüssel. Updates zunächst mit einer kleinen Clientgruppe prüfen, einschließlich eines vollständigen Fernwartungsablaufs. Relay-Nutzung, Erreichbarkeit und ungewöhnliche Anmelde- oder Verbindungsversuche gehören ins Monitoring.

Ein Unternehmen mit wenigen manuell betreuten Rechnern stellt andere Anforderungen als ein Helpdesk mit mehreren Technikern und wechselnden Kundengeräten. Letzterer benötigt belastbare Rechtevergabe, nachvollziehbare Zuständigkeiten und einen geregelten Entzug von Berechtigungen. Das ist der zentrale Auswahlpunkt zwischen einem einfachen Eigenbetrieb und einer verwalteten Fernwartungsplattform.

Geprüft am 20. September 2026 anhand der aktuellen OSS-/Pro-Dokumentation. Kein eigener Sicherheits- oder Plattformtest.