Remote Desktop beveiligen: 7 tips voor veilige RDP-toegang

1. Zorg voor sterke authenticatie

Bij het beveiligen van het Remote Desktop Protocol (RDP) is sterke authenticatie je eerste en belangrijkste verdedigingslinie. Met zwakke wachtwoorden ligt je verbinding open voor geautomatiseerde aanvallen die erop gericht zijn inloggegevens te kraken. Door de authenticatie te versterken, verklein je de kans op een inbraak aanzienlijk.

Kies sterke, unieke wachtwoorden

Je wachtwoord is de toegangspoort tot je RDP-verbinding, en zwakke wachtwoorden zijn een geliefd doelwit voor brute-force-aanvallen. Bescherm jezelf door wachtwoorden van minstens 8 tekens te kiezen, met een mix van hoofdletters, kleine letters, cijfers en speciale tekens. Vermijd woorden die makkelijk te raden zijn, persoonlijke gegevens en voorspelbare patronen.

Een effectieve aanpak is een wachtzin: een combinatie van willekeurige woorden die samen een veilig en toch goed te onthouden wachtwoord vormen. Een wachtzin als “Coffee!Mountain$Dance92” is bijvoorbeeld sterk, maar je onthoudt hem makkelijk. Minstens zo belangrijk: gebruik een wachtwoord nooit voor meerdere accounts. Wordt één account gekraakt, dan blijven de andere dankzij unieke wachtwoorden veilig.

Veel sterke wachtwoorden beheren is lastig, dus overweeg een wachtwoordmanager. Zo’n tool bewaart je inloggegevens veilig, genereert complexe wachtwoorden en maakt inloggen eenvoudiger. Met een wachtwoordmanager houd je je beveiliging sterk zonder dat je een heleboel wachtwoorden hoeft te onthouden.

Zijn je wachtwoorden op orde, dan is het tijd voor een extra beschermingslaag: multifactorauthenticatie.

Schakel multifactorauthenticatie (MFA) in

Sterke wachtwoorden zijn essentieel, maar in combinatie met multifactorauthenticatie (MFA) is je verdediging nog sterker. MFA vraagt om een tweede vorm van verificatie, waardoor aanvallers veel moeilijker binnenkomen, zelfs als ze je wachtwoord hebben. Volgens Microsoft kan MFA meer dan 99,9% van de aanvallen op accounts blokkeren. [5]

Mogelijke MFA-methoden zijn codes uit een mobiele app, sms-berichten, telefoongesprekken, biometrie of hardwaretokens. Kies voor het gemak methoden waarbij je weinig hoeft in te typen, zoals verificatie via een telefoontje of een melding in een app. Gebruik je bijvoorbeeld MFA van Microsoft Entra ID met de NPS-extensie, dan kun je kiezen voor automatische telefoongesprekken of pushmeldingen om het proces te stroomlijnen.

Geen MFA invoeren kan ernstige gevolgen hebben. Neem het ransomware-incident bij LabCorp: volgens CSO Online verspreidde een brute-force-aanval op RDP in juli 2018 ransomware naar 7.000 systemen en 1.900 servers, voordat LabCorp de aanval binnen 50 minuten wist in te dammen. [6] Dat laat zien hoe cruciaal MFA is om zulke snelle en verwoestende inbraken te voorkomen.

Er zijn verschillende manieren om MFA in je RDP-omgeving in te bouwen. Je kunt gebruikmaken van Microsoft Entra ID met een NPS-extensie, MFA-oplossingen van derden, een RDP-gateway met ingebouwde MFA of een VPN met ondersteuning voor MFA. MFA verbetert niet alleen de beveiliging, maar helpt organisaties ook te voldoen aan compliance-eisen zoals HIPAA, PCI DSS en de AVG.

Wil je je MFA-configuratie verder versterken, zorg dan dat je TLS 1.2 of hoger gebruikt en schakel Network Level Authentication (NLA) in voor betere versleuteling. Met tools voor logging en monitoring kun je bovendien toegangspogingen volgen en verdachte activiteit opsporen.

2. Houd je RDP-software up-to-date

Verouderde software draaien is als je voordeur van het slot laten: aanvallers weten precies waar de zwakke plekken zitten. Is je RDP-software niet up-to-date, dan geef je cybercriminelen in feite een routekaart om kwetsbaarheden te misbruiken. Je software bijwerken met de nieuwste beveiligingspatches is cruciaal, want aanvallers zijn altijd op zoek naar nieuwe lekken die ze kunnen uitbuiten.

De risico’s van verouderde RDP-software zijn heel reëel. Neem de kwetsbaarheid CVE-2022-21893, die in januari 2022 werd ontdekt. Volgens Threatpost kon een aanvaller via dit lek, zonder verhoogde rechten, bij de bestandssystemen van andere verbonden gebruikers komen. [8] Het zette de deur open voor het lekken van klembord- en bestandssysteemgegevens, wat kon leiden tot privacyschendingen, onbevoegde laterale beweging binnen netwerken of escalatie van rechten. Het is maar één voorbeeld dat laat zien waarom updates bijhouden geen keuze is, maar een noodzaak.

Updates dichten niet alleen kwetsbaarheden, maar zorgen er ook voor dat je software moderne versleutelingsprotocollen ondersteunt. Zonder die updates kan zelfs een ogenschijnlijk veilige verbinding gevaarlijk kwetsbaar zijn.

Schakel automatische updates in

De makkelijkste manier om veilig te blijven? Schakel automatische updates in. Dan worden patches geïnstalleerd zodra ze uitkomen en blijft de periode waarin je kwetsbaar bent zo kort mogelijk. Hoe dat precies gaat, hangt af van de RDP-client die je gebruikt, maar het doel is steeds hetzelfde: je software altijd veilig houden.

Bij de Microsoft Remote Desktop-client (MSI-versie) zoek je handmatig naar updates door de Remote Desktop-app te openen, rechtsboven op de drie puntjes te klikken en “About” te kiezen. De client controleert dan op updates; is er een update beschikbaar, dan klik je gewoon op “Install update” om die te installeren.

Beheerders kunnen de update-instellingen via het register verfijnen. Met de registerwaarde AutomaticUpdates onder HKLM\Software\Microsoft\MSRDC\Policies bepaal je hoe updates worden afgehandeld:

• Waarde 0: schakelt automatische updates en meldingen volledig uit.
• Waarde 1: toont meldingen, maar de gebruiker moet updates zelf installeren.
• Waarde 2 (standaard): bij installaties per gebruiker worden updates ongemerkt op de achtergrond geïnstalleerd als de client gesloten is; zolang de client draait, verschijnen alleen meldingen. Installaties per computer krijgen alleen meldingen. [2]

De Microsoft Remote Desktop-app uit de Microsoft Store wordt niet meer ondersteund: de ondersteuning is in september 2025 beëindigd en de app is niet meer te downloaden of te installeren. Voor verbindingen met Azure Virtual Desktop en Windows 365 vervangt Microsoft de app door Windows App. Voor verbindingen met Remote Desktop Services en externe pc’s verandert er door die wijziging niets. Microsoft stopte op 27 maart 2026 ook met de ondersteuning van de MSI-client voor publieke cloudomgevingen. [1]

Een voordeel van de ingebouwde RDP-functie van Windows is dat de updates meekomen met de gewone Windows-updates. Dat geeft je een extra beveiligingslaag zonder extra moeite.

Controleer RDP-clients van derden

Gebruik je RDP-clients van derden, dan gelden dezelfde regels: zorg dat ze up-to-date zijn en nog worden ondersteund. Anders dan de ingebouwde RDP-software werken veel clients van derden zichzelf niet automatisch bij, dus moet je zelf nagaan of je de nieuwste versie draait. Software die verouderd is of niet meer wordt ondersteund, krijgt geen beveiligingspatches, waardoor bekende kwetsbaarheden voor onbepaalde tijd openliggen.

Geef bij de keuze van een RDP-client van derden de voorkeur aan clients die aan moderne beveiligingsnormen voldoen. Let op functies als ondersteuning voor actuele versleutelingsprotocollen en Network Level Authentication. Oudere of slecht onderhouden clients missen vaak deze cruciale bescherming, waardoor je systeem gevaar loopt.

Beperk het aantal RDP-clients in je omgeving om het risico te verkleinen. Standaardiseer je op één goed onderhouden client, dan wordt het updatebeheer eenvoudiger en houd je het aantal mogelijke aanvalsvectoren klein. Worden er kwetsbaarheden gevonden in clients van derden, patch dan eerst de lekken waarvoor publieke exploits bekend zijn. Die zijn extra gevaarlijk, omdat aanvallers de middelen om ze te misbruiken al in handen hebben.

3. Beheer de netwerktoegang met firewallregels

Je firewall zo instellen dat hij onbevoegde RDP-verbindingen blokkeert, is een cruciale stap bij het beveiligen van je netwerk. Een sterke firewallconfiguratie vormt een essentiële verdedigingslaag voor je RDP-diensten. Volgens incidentresponsgegevens van Sophos kwam misbruik van RDP voor bij 90% van de aanvallen die het bedrijf in 2023 afhandelde.

Bedrijven zouden RDP van het openbare internet moeten halen om de kans te verkleinen dat cybercriminelen hen als doelwit kiezen.

– Ryan Gregory, Coalition

Firewalls kunnen de toegang beperken tot de poorten waarop Remote Desktop luistert, zoals de standaardpoort TCP 3389. Met de juiste instellingen houd je onbevoegd verkeer van buitenaf tegen, terwijl goedgekeurde gebruikers gewoon verbinding met je netwerk kunnen maken.

Sta alleen toegang toe vanaf vertrouwde IP-adressen

Als je RDP-toegang beperkt tot specifieke IP-adressen of netwerksegmenten, wordt je aanvalsoppervlak een stuk kleiner. Zo stel je dat in Windows Firewall in:

• Open Windows Security en ga naar Firewall and Network Protection > Advanced Settings.
• Zoek de regel “Remote Desktop – User Mode (TCP-In)” en pas die zo aan dat alleen geautoriseerde IP-adressen zijn toegestaan.

Gebruik een IP-checker om na te gaan welke externe IP-adressen toegang moeten krijgen.

Het is essentieel dat je je lijst met vertrouwde IP-adressen regelmatig controleert en bijwerkt, want netwerkconfiguraties kunnen in de loop van de tijd veranderen. RDP-poorten openzetten voor het hele internet is nooit verstandig. Deze combinatie van IP-filtering en zorgvuldige monitoring vormt een solide basis voor je beveiliging.

Wijzig de standaardpoort van RDP

Een andere effectieve manier om de beveiliging te verbeteren, is de standaardpoort van RDP (3389) wijzigen. Dat vervangt geen andere beveiligingsmaatregelen, maar het kan de blootstelling aan geautomatiseerde scanaanvallen verkleinen. Experts raden een poort tussen 49152 en 65535 aan om conflicten met andere diensten te voorkomen.

Zo wijzig je de RDP-poort:

Via de Registry Editor

1. Open de Registry Editor.

2. Ga naar:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

3. Zoek de waarde PortNumber, dubbelklik erop, kies Decimal en voer je nieuwe poortnummer in.

4. Klik op OK en herstart de Remote Desktop-service (of je computer) om de wijzigingen door te voeren.

Met PowerShell

• Controleer de huidige poort met:

  Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber"

• Wijzig de poort met:

  Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber" -Value <new_port>

• Voeg firewallregels toe voor de nieuwe poort:

  New-NetFirewallRule -DisplayName "RDP New Port TCP" -Profile Public -Direction Inbound -Action Allow -Protocol TCP -LocalPort <new_port>  
  New-NetFirewallRule -DisplayName "RDP New Port UDP" -Profile Public -Direction Inbound -Action Allow -Protocol UDP -LocalPort <new_port>  

Maak na het wijzigen van de poort een bijbehorende inkomende regel in Windows Firewall aan. Test de nieuwe poort door verbinding te maken met een adres in de vorm IP_address:new_port (bijvoorbeeld 192.168.1.1:50123) en controleer met dit commando of de poort actief is:

netstat -an | find "<new_port>"

Voeg een extra laag toe met NAT

Network Address Translation (NAT) is nog een manier om je RDP-omgeving te beveiligen. Met NAT koppel je een externe poort aan je interne RDP-poort. Dat voegt een extra laag verhulling toe en maakt het voor aanvallers lastiger om je verbinding te vinden. Samen met firewallregels versterkt deze aanpak je algehele strategie voor RDP-beveiliging.

4. Gebruik een VPN voor veilige toegang op afstand

Een VPN legt een versleutelde tunnel aan tussen je apparaat en het netwerk, zodat onderschepte data onleesbaar blijft. Zet je eerst een VPN-verbinding op voordat je je RDP-sessie start, dan heb je een extra beschermingslaag tegen mogelijke cyberaanvallen. Zo regel je VPN-toegang voor je Remote Desktop-verbinding.

VPN-toegang voor RDP instellen

Een VPN-oplossing kiezen

Voor VPN-toegang heb je twee hoofdopties. Een zakelijke VPN-dienst, zoals de gehoste opties van OpenVPN, brengt je apparaten en je server zonder veel configuratie samen in één privénetwerk. VPN-apps voor consumenten, zoals TunnelBear en Proton VPN, zijn een ander soort product: ze sturen je surfverkeer via de servers van de aanbieder en geven je geen privéverbinding met je eigen server, dus op deze manier beschermen ze RDP niet.

Je eigen VPN-server opzetten

Wil je meer controle over je beveiliging, dan is een eigen VPN-server een prima optie. Als je de server zelf beheert, kun je de versleutelingsinstellingen aanpassen, de toegang van gebruikers regelen en beveiligingsmaatregelen op maat invoeren. Gebruik om te beginnen een Linux-server met root-toegang, zoals een Linux VPS; onze WireGuard-gids neemt je mee door de hele installatie. De installatie bestaat meestal uit:

• Verbinding maken met je VPS via SSH.
• VPN-serversoftware zoals OpenVPN installeren.
• Toegang voor je apparaten configureren.

Kies bij het opzetten van je server een locatie dicht bij je doelregio voor betere prestaties. Gebruik altijd sterke versleuteling, zoals 256-bits AES, om je data te beschermen.

Belangrijke beveiligingsinstellingen

Draait je VPN eenmaal, zet dan deze belangrijke stappen om hem verder te beveiligen:

• Schakel tweefactorauthenticatie (2FA) in voor alle VPN-sessies.
• Geef alleen geautoriseerde apparaten VPN-toegang.
• Pas je firewallregels zo aan dat ze naadloos met de VPN samenwerken en onbevoegde toegang blokkeren.
• Gebruik tools als Fail2Ban, schakel inloggen als root uit en controleer de logs regelmatig op ongebruikelijke activiteit.
• Wijzig de standaardpoorten, zodat aanvallers je VPN-server moeilijker kunnen vinden.

Verbinding maken via je VPN

5. Zet een RDP-gateway op

Een RDP-gateway fungeert als essentieel controlepunt en voegt een extra beveiligingslaag aan je netwerk toe. De gateway zorgt ervoor dat alle toegang van buitenaf tot je interne systemen strak wordt gecontroleerd: hij authenticeert gebruikers en versleutelt het verkeer voordat hij toegang geeft tot specifieke resources.

Hoe een RDP-gateway de beveiliging verbetert

Een RDP-gateway leidt Remote Desktop-verkeer via HTTPS op poort 443 in plaats van via de standaardpoort van RDP, 3389. Doordat RDP door HTTPS wordt getunneld, beschermt deze aanpak gevoelige data tegen man-in-the-middle-aanvallen en blijft je interne netwerk afgeschermd. Gebruikers kunnen alleen bij resources waarvoor ze zijn geautoriseerd, wat de kans op kwetsbaarheden aanzienlijk verkleint.

RD Gateway verpakt het Remote Desktop Protocol (RDP) in RPC, binnen HTTP over een SSL-verbinding (Secure Sockets Layer). – Microsoft

Een ander belangrijk voordeel is centrale authenticatie en auditing. De gateway logt en bewaakt elke verbindingspoging, waardoor je makkelijker gebruikersactiviteit kunt volgen en ongewoon gedrag kunt opmerken. Voor maximale beveiliging is het cruciaal dat je het beleid van de gateway correct instelt.

Tips voor een goede gatewayconfiguratie

Om het meeste uit je RDP-gateway te halen, stel je Connection Authorization Policies (CAP) en Resource Authorization Policies (RAP) in:

• CAP-beleid: bepaalt wie verbinding mag maken: de gebruikersgroepen (en als je wilt ook de computers) die de gateway mogen gebruiken, de inlogmethode (wachtwoord of smartcard) en welke lokale apparaten kunnen worden omgeleid. Accountvergrendeling na mislukte inlogpogingen is een aparte instelling in Group Policy, en de IP-bereiken waarvandaan verbinding mag worden gemaakt, beperk je in de firewall.
• RAP-beleid: bepaalt tot welke resources gebruikers toegang hebben zodra ze verbonden zijn. Volg je het principe van minimale rechten (least privilege), dan krijgt elke gebruiker alleen toegang tot de resources die nodig zijn. Zo beperk je de mogelijke schade als een account wordt gekraakt.

Andere belangrijke stappen zijn:

• Schakel MFA in: multifactorauthenticatie op de toegang tot je gateway versterkt de beveiliging.
• Gebruik vertrouwde SSL-certificaten: haal certificaten bij erkende aanbieders zoals DigiCert, GlobalSign of Let's Encrypt. Dwing TLS 1.2 of hoger af, schakel zwakke versleutelingsalgoritmen uit en vernieuw certificaten regelmatig om je verbindingen veilig te houden.
• Beperk de toegang: geef na de ingebruikname alleen specifieke gebruikers en systemen toegang. Zorg dat alle Remote Desktop-diensten alleen verbindingen accepteren die via de RD Gateway binnenkomen.
• Houd de logs in de gaten: log alle verbindingspogingen en controleer ze regelmatig op afwijkingen.

De RD Gateway-server fungeert als tussenstation tussen de externe client en de RDSH en zorgt voor een extra beveiligingslaag door de gebruiker te authenticeren en het verkeer te versleutelen. – Limitless Technology

6. Voeg versleuteling en tunneling toe

Om je RDP-sessies (Remote Desktop Protocol) te beschermen tegen onbevoegd onderscheppen of meekijken, zijn versleuteling en tunneling onmisbaar. Met meerdere lagen versleuteling bouw je een sterk schild tegen afluisteren en mogelijke aanvallen. Een belangrijke stap daarbij is sterkere authenticatie, bijvoorbeeld door Network Level Authentication (NLA) in te schakelen.

Schakel Network Level Authentication (NLA) in

Network Level Authentication (NLA), in de Nederlandse versie van Windows “verificatie op netwerkniveau”, voegt een extra beschermingslaag toe: gebruikers moeten zich authenticeren voordat een Remote Desktop-sessie begint. Onbevoegden komen daardoor niet eens bij het inlogscherm, en dat maakt NLA tot een cruciale beveiligingsbarrière.

NLA helpt risico’s als brute-force-aanvallen, denial-of-service-pogingen (DoS) en diefstal van inloggegevens tijdens het verbinden te beperken. Bovendien gaat NLA zuiniger om met resources, omdat onbevoegde pogingen geen geheugen en CPU van de server opslokken. Voor legitieme gebruikers ondersteunt NLA NT Single Sign-On (SSO), zodat de toegang soepeler verloopt.

Schakel NLA voor maximale beveiliging altijd in op je RDP-verbindingen. Moet je NLA vanwege compatibiliteitsproblemen uitschakelen, compenseer dat dan met andere beschermende maatregelen, zoals sterke wachtwoorden, goed ingestelde firewalls en strikte toegangscontrole.

Gebruik SSH- of IPSec-tunneling

SSH-tunneling is nog een effectieve manier om je RDP-sessies te beveiligen. Door je RDP-verkeer in een versleutelde SSH-tunnel te verpakken, voeg je een extra beveiligingslaag toe tijdens de gegevensoverdracht.

CloudThat, een partner van AWS en Microsoft, publiceerde een handleiding over het opzetten van RDP-toegang via een SSH-tunnel met PuTTY. Hun stappenplan omvat:

• PuTTY instellen met de gegevens van je SSH-server (bijvoorbeeld hostnaam, poort 22, SSH-verbinding).
• Een tunnel instellen die een lokale poort (bijvoorbeeld 127.0.0.1:9999) doorstuurt naar de interne RDP-poort (localhost:3389).
• De SSH-sessie actief houden en via RDP verbinding maken met “localhost:9999”.

Zoals Chrissy LeMaire, MVP voor SQL & PowerShell, het verwoordt:

Heb je onveilige protocollen open en bloot op het internet gezet, overweeg dan alsjeblieft om ze in de liefdevolle armen van SSH te leggen.

Voor extra veiligheid gebruik je een afwijkende SSH-poort en kies je zelf de poorten voor de interne port forwarding, zodat je opstelling minder voorspelbaar wordt. Nu OpenSSH in Windows 10 is ingebouwd, is deze methode nog makkelijker toe te passen. Je kunt deze aanpak verder versterken met een bastion host of jumpserver: een extra controlepunt dat de toegang tot gevoelige resources in je beveiligde netwerk regelt. Deze gelaagde tunnelstrategie maakt je RDP-beveiliging aanzienlijk sterker.

7. Pas de principes van Zero Trust toe

Voor moderne RDP-beveiliging is het niet genoeg om alleen op versleuteling en gecontroleerde toegang te vertrouwen. Om interne risico’s echt aan te pakken, is een Zero Trust-aanpak onmisbaar. Dit model werkt volgens een eenvoudige maar krachtige regel: “Never trust, always verify” (vertrouw nooit, verifieer altijd).

Zero Trust is vooral belangrijk voor RDP-verbindingen, omdat gecompromitteerde inloggegevens een veelgebruikte route zijn om systemen op afstand binnen te komen. Anders dan traditionele beveiligingsmodellen, die draaien om het afschermen van de netwerkperimeter, eist Zero Trust dat elke gebruiker en elk apparaat zijn identiteit bewijst, waar die zich ook bevindt.

De kernprincipes van Zero Trust

Zero Trust versterkt de RDP-beveiliging met drie basisprincipes:

Door deze principes toe te passen, maak je de beveiliging van je RDP-omgeving aanzienlijk sterker.

Eis doorlopende verificatie

Traditionele RDP-opstellingen authenticeren gebruikers alleen bij het inloggen. Zero Trust pakt het proactiever aan en eist continue authenticatie en validatie gedurende de hele sessie. Zo wordt ook tijdens een actieve sessie elke actie gemonitord en geverifieerd.

Stel bijvoorbeeld dat een gebruiker die normaal vanuit New York werkt, ineens gevoelige bestanden downloadt vanaf een onbekend IP-adres. Een Zero Trust-systeem markeert die activiteit en vraagt om extra verificatie, zodat mogelijke dreigingen worden onderschept voordat ze escaleren.

Geef alleen de minimaal benodigde toegang

Een andere hoeksteen van Zero Trust is het principe van minimale rechten (least privilege). Dat betekent dat gebruikers en applicaties alleen toegang mogen hebben tot de resources die ze absoluut nodig hebben voor hun rol. Hubert Brychczynski zegt het zo:

Zero Trust betekent dat elke persoon binnen de organisatie een mogelijke aanvalsvector kan zijn, bewust of onbewust.

Zo dwing je minimale rechten af:

• Beperk de toegang tot de resources die nodig zijn voor de rol van elke gebruiker.
• Verwijder overbodige of ongebruikte rechten.
• Houd het aantal accounts met verhoogde rechten tot het strikte minimum beperkt.
• Zorg dat de NTFS-rechten en de rechten op gedeelde resources aansluiten bij het principe van minimale rechten.

Gebruik tools als Active Directory en groepen in Microsoft Entra ID om toegangsrechten centraal te beheren en te controleren. Beperk RDP-toegang tot een vooraf goedgekeurde lijst met IP-adressen en gebruikersaccounts. Voorkom bovendien directe RDP-toegang vanaf externe netwerken door eerst een VPN-verbinding te vereisen.

Pas microsegmentatie toe om mogelijke inbraken verder in te dammen. Daarbij verdeel je je infrastructuur in kleinere segmenten, zodat aanvallers zich minder makkelijk lateraal door het netwerk kunnen bewegen. Combineer dit met beleid op basis van minimale rechten en continue monitoring van al het netwerkverkeer, zodat je overzicht houdt en dreigingen vroeg opmerkt.