RDP-Port 3389: Remote-Desktop-Port prüfen und ändern

Remote Desktop lauscht standardmäßig auf TCP-Port 3389. [1] Wenn das Netzwerk es zulässt, kann Windows zusätzlich UDP 3389 als schnelleren Transportweg nutzen. Dieser Ratgeber zeigt, wie Sie prüfen, welchen Port Ihr Server verwendet, wie Sie den RDP-Port ändern, ohne sich auszusperren, und wie Sie sich über den neuen Port verbinden. Die Befehle funktionieren unter Windows Server 2019, 2022 und 2025 und erfordern ein PowerShell-Fenster mit Administratorrechten.

Wozu Port 3389 dient

Auf Port 3389 wartet der Remote-Desktop-Dienst auf Verbindungen. Jeder Client, von der Remotedesktopverbindung (Remote Desktop Connection) unter Windows bis zur Windows App unter macOS und auf Smartphones, verbindet sich mit diesem Port, sofern Sie ihm keinen anderen angeben.

Wenn Sie Remote Desktop auf einen anderen Port verlegen, gehen die automatisierten Anmeldeversuche von Bots zurück, die im ganzen Internet Port 3389 scannen. Ein Schutz für sich allein ist das nicht: Wer alle Ports scannt, findet den Dienst trotzdem. Setzen Sie weiterhin auf ein starkes Passwort, Network Level Authentication und, wo möglich, eine Firewall-Regel, die nur Ihre eigenen Adressen zulässt.

Prüfen, welchen Port Remote Desktop verwendet

Lesen Sie den Port aus dem Registry-Wert aus, den Remote Desktop beim Start auswertet: [1]

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber'

Die Zeile PortNumber zeigt den Port, zum Beispiel PortNumber : 3389.

So prüfen Sie, ob der Dienst tatsächlich auf diesem Port lauscht:

Get-NetTCPConnection -State Listen -LocalPort 3389

Prüfen Sie von Ihrem eigenen Windows-Computer aus, ob der Port über das Internet erreichbar ist. Ersetzen Sie die Beispieladresse durch die IP-Adresse Ihres Servers: [3]

Test-NetConnection -ComputerName 203.0.113.10 -Port 3389

TcpTestSucceeded : True bedeutet, dass der Port von Ihrem Netzwerk aus offen ist.

Den RDP-Port ändern

Get-NetTCPConnection -State Listen -LocalPort 3390 -ErrorAction SilentlyContinue

$port = 3390
New-NetFirewallRule -DisplayName "Remote Desktop (TCP $port)" -Direction Inbound -Protocol TCP -LocalPort $port -Action Allow
New-NetFirewallRule -DisplayName "Remote Desktop (UDP $port)" -Direction Inbound -Protocol UDP -LocalPort $port -Action Allow

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $port

Restart-Service -Name TermService -Force

Disable-NetFirewallRule -Group '@FirewallAPI.dll,-28752'

Wenn Sie sich nicht verbinden können

• Die Regel fehlt oder ist deaktiviert: Get-NetFirewallRule -DisplayName 'Remote Desktop (TCP*' sollte Ihre Regel mit Enabled : True auflisten.
• Der Dienst lauscht nicht auf dem neuen Port: Get-NetTCPConnection -State Listen -LocalPort 3390 sollte eine Zeile zurückgeben.
• Ihr eigenes Netzwerk blockiert den Port: Firmennetze und öffentliche Netze lassen ausgehend oft nur gängige Ports zu. Versuchen Sie es über eine andere Verbindung.
• Sie haben sich ausgesperrt: Wenden Sie sich an den Support. Als letzten Ausweg können Sie den Server im Kundenbereich neu aufsetzen. Dabei wird das Betriebssystem neu installiert, und die Daten auf dem Server werden gelöscht.

So bleibt Remote Desktop sicher

• Verwenden Sie für das Administratorkonto ein langes Passwort, das Sie nirgendwo sonst nutzen.
• Lassen Sie Network Level Authentication eingeschaltet; das ist die Standardeinstellung.
• Geben Sie den Port nach Möglichkeit nur für Ihre eigenen IP-Adressen frei: Set-NetFirewallRule -DisplayName "Remote Desktop (TCP 3390)" -RemoteAddress 198.51.100.7.
• Installieren Sie regelmäßig Windows-Updates.

Weitere Maßnahmen beschreibt unser Ratgeber RDP absichern: 7 Tipps für Remote Desktop.