Unbeaufsichtigter Zugriff mit festem Passwort: Zustimmung oder Konto
Unbeaufsichtigter Zugriff heißt, dass sich jemand per Fernwartungsprogramm mit einem Rechner verbindet, ohne dass dort ein Mensch die Verbindung annimmt. Steht dafür nur ein festes Passwort im Programm, kommt jeder auf den Rechner, der dieses Passwort und die Geräte-ID kennt. Für den Zugriff auf Arbeitsplatz-PCs fordert das BSI im IT-Grundschutz-Kompendium (Edition 2023), dass die Fernwartungssoftware erst nach ausdrücklicher Zustimmung der Person am Rechner verbindet. Unser Rat daraus: Auf Arbeitsplatz-PCs schalten Sie den unbeaufsichtigten Zugriff ab, und der Dienstleister fragt jede Sitzung an.
Wo er wirklich gebraucht wird, etwa an einem Server oder einem Rechner ohne festen Benutzer, binden Sie den Zugriff an ein Konto mit zweitem Faktor statt an ein Passwort im Gerät. Das empfehlen auch die Hersteller: TeamViewer rät, persönliche Passwörter von Geräten zu entfernen, die einem Konto zugewiesen sind, und den Zugang über das Konto mit Zwei-Faktor-Anmeldung zu nutzen. AnyDesk bietet für den unbeaufsichtigten Zugriff einen zweiten Faktor per Authenticator-App an, zusätzlich zum Passwort. Laut AnyDesk-Hilfe lässt sich dieser Faktor für gespeicherte Anmeldungen abschalten, prüfen Sie also auch diese Einstellung.
Was TeamViewer und AnyDesk zu festen Passwörtern schreiben
In seinen Sicherheitsempfehlungen für den unbeaufsichtigten Zugriff (Stand 25.06.2024) geht TeamViewer auf beide Passwortarten ein. Zufällige Passwörter sollen nur auf Rechnern aktiv sein, an denen jemand sitzt, denn auf unbeaufsichtigten Geräten können sie nach Angabe des Herstellers zum Risiko werden. Mit einem persönlichen Passwort kann laut TeamViewer potenziell jeder auf das Gerät, der es kennt. Stattdessen soll der Zugriff über den „Einfachen Zugriff“ laufen, also über das Konto, dem das Gerät zugewiesen ist, möglichst mit Zwei-Faktor-Anmeldung. Dazu kommen Sperr- und Freigabelisten, mit denen nur bestimmte Konten oder Geräte-IDs verbinden dürfen.
Einen Haken hat der Einfache Zugriff: Liegt das Gerät in einer geteilten Gruppe, können laut TeamViewer-Hilfe zu TeamViewer Classic (Stand 16.10.2024) alle, mit denen die Gruppe geteilt ist, ebenfalls darauf zugreifen. Fragen Sie Ihren Dienstleister, mit wem er die Gruppe mit Ihren Rechnern teilt.
AnyDesk schreibt in seiner Hilfe (Stand 17.04.2026), dass jeder, der Passwort und AnyDesk-ID kennt, je nach eingestellten Rechten vollen Zugriff auf das Gerät bekommen kann. Das Passwort muss mindestens 8 Zeichen haben, empfohlen werden mehr als 12. Speichert ein verbindender Rechner die Anmeldung, legt AnyDesk dort einen Token statt des Passworts ab. Diese Tokens bleiben gültig, bis jemand sie am Zielrechner löscht oder das Passwort ändert. Wer also einem früheren Techniker den Zugang nehmen will, muss das Passwort ändern oder die Tokens löschen, ein bloßes Abschalten der Speicherfunktion reicht laut Hilfe nicht.
Der Maßstab des BSI für Fernwartung
Das IT-Grundschutz-Kompendium behandelt Fernwartung im Baustein OPS.1.2.5 (Edition 2023). Das ist die aktuelle Fassung des Kompendiums. Das BSI stellt den IT-Grundschutz auf ein neues digitales Regelwerk um, der bisherige bleibt nach Angaben des BSI in einer mehrjährigen Übergangszeit anwendbar (abgerufen am 16.10.2026). Für kleine Firmen zählen aus unserer Sicht vor allem diese Anforderungen:
- Zustimmung am Arbeitsplatz (A2): Bei Fernwartung auf Desktop-Rechnern muss die Software so eingestellt sein, dass sie erst verbindet, wenn die Person am Rechner ausdrücklich zustimmt.
- Verbindung trennen (A3): Nach dem Zugriff wird jede Fernwartungsverbindung getrennt, die Zugänge bleiben auf das Nötige beschränkt.
- Online-Dienste (A5): Die Rechner sollen keine automatischen Verbindungen zum Dienst des Herstellers aufbauen, und der Dienst soll Ende-zu-Ende verschlüsseln. Das BSI beschreibt als Gefahr, dass ein Rechner beim Start eine Verbindung aufbaut und jemand zugreift, ohne dass Benutzer oder Administratoren davon wissen.
- Mehrere Faktoren (A17): Für die Fernwartung sollen Verfahren mit mehreren Faktoren genutzt werden.
- Externe Dienstleister (A19): Mit externem Wartungspersonal müssen vertragliche Regeln zur Sicherheit bestehen. Die Sitzungen sollen interne Mitarbeiter beobachten, und sie sollen aufgezeichnet werden.
Nach unserer Einschätzung passt ein unbeaufsichtigter Zugriff mit festem Passwort, der beim Hochfahren automatisch erreichbar ist, nicht zu A2, A5 und A17. Das ist unser eigener Abgleich, keine Aussage des BSI. Dieser Text ist keine Rechtsberatung.
Bestandsaufnahme an einem Nachmittag
Bevor Sie etwas abschalten, brauchen Sie eine Liste. Das BSI empfiehlt im Baustein eine Dokumentation, aus der hervorgeht, welche Fernwartungszugänge es gibt und ob sie aktiv sind. So kommen Sie dahin:
- Gehen Sie jeden Rechner, jeden Server und die Kasse durch und notieren Sie, welches Fernwartungsprogramm installiert ist, mit Geräte-ID.
- Prüfen Sie in den Einstellungen, ob ein persönliches oder unbeaufsichtigtes Passwort gesetzt ist und ob das Gerät einem Konto zugewiesen ist. Bei AnyDesk gilt: Ist der unbeaufsichtigte Zugriff aus, muss laut Hilfe jemand am Rechner die Verbindung annehmen.
- Fragen Sie Ihren IT-Dienstleister und den Hersteller Ihrer Fachsoftware, welche Zugänge von ihnen stammen und wofür sie sie brauchen.
- Entfernen Sie Programme, die niemand mehr nutzt, auch die eines früheren Dienstleisters. Was beim Wechsel sonst zu übergeben ist, steht unter IT-Dienstleister wechseln.
- Legen Sie das Ergebnis im Tresor ab, als Notiz am Eintrag des jeweiligen Rechners.
Betrugsanrufe falscher Support-Mitarbeiter
Mit Fernwartungsprogrammen arbeiten auch Betrüger, die sich am Telefon als Techniker ausgeben. Die Verbraucherzentrale beschreibt die Masche (Stand 11.04.2023): Angebliche Mitarbeiter von Microsoft rufen an oder lassen eine gefälschte Warnmeldung im Browser erscheinen, behaupten, der Rechner sei befallen, und lassen sich per Fernwartung auf den PC schalten. Danach spähen sie etwa Passwörter für das Onlinebanking aus oder sperren den Rechner und verlangen Geld. Microsoft ruft nach eigenen Angaben nicht unaufgefordert an, um Geräte zu reparieren. Das BSI nennt als klassisches Beispiel für Social Engineering den vorgeblichen Systemadministrator, der anruft und das Passwort eines Mitarbeiters verlangt.
Auch AnyDesk warnt in seiner Hilfe: Der Hersteller fragt nie nach Ihrem Passwort, und seriöse Firmen melden sich nicht bei Ihnen, ohne dass Sie den Kontakt begonnen haben. Für eine Firma heißt das als Regel für alle Mitarbeiter:
- Eine Fernwartungssitzung gibt es nur, wenn jemand aus der Firma den bekannten Dienstleister selbst unter der bekannten Nummer angerufen oder einen Termin mit ihm vereinbart hat.
- Kein Mitarbeiter nennt am Telefon eine Geräte-ID, ein Passwort oder einen Code und installiert während eines Anrufs keine Software.
- Wer unsicher ist, legt auf und ruft beim Dienstleister unter der Nummer aus dem Vertrag zurück.
Hat jemand den Betrügern schon Zugriff gegeben, rät die Verbraucherzentrale, den PC vom Internet zu trennen, von Fachleuten prüfen zu lassen und danach alle Passwörter zu ändern, vor allem für E-Mail, Onlinebanking und Onlineshops, sowie Anzeige bei der Polizei zu erstatten. Die weiteren Schritte für Firmen stehen unter Passwort auf einer Phishing-Seite eingegeben.
Was in den Tresor gehört und was nicht
| Zugang | Tresor? | Wo und warum |
|---|---|---|
| Konto der Firma beim Fernwartungsdienst, falls die Firma eine eigene Lizenz hat | ja | Sammlung „IT“ für Geschäftsführung und Vertretung, dazu der Bestätigungscode, wenn der Dienst eine Authenticator-App anbietet |
| Liste der Rechner mit Programm, Geräte-ID und wer zugreifen darf | ja | als Notiz am Eintrag des Rechners, damit sie im Notfall greifbar ist |
| festes Passwort für unbeaufsichtigten Zugriff, das noch nicht ersetzt ist | vorübergehend | Sammlung „IT“ statt Zettel am Monitor, bis der Zugang über ein Konto läuft |
| Anmeldung des Dienstleisters bei seinem Fernwartungsdienst | nein | gehört dem Dienstleister und bleibt bei ihm, samt seinem zweiten Faktor |
| Passwort, das der Rechner für eine spontane Sitzung anzeigt | nein | wird nur für diese eine Verbindung genannt und nicht aufbewahrt |
Braucht Ihr IT-Dienstleister Zugänge aus dem Tresor, etwa die lokalen Administratorkennwörter, bekommt er ein eigenes Konto im Tresor Ihrer Firma, das nur die Sammlung „IT“ sieht. So muss niemand Passwörter am Telefon durchgeben. Endet der Vertrag, sperren Sie sein Konto, und der Tresor zeigt, welche Sammlungen er sehen konnte. Die Passwörter darin ändern Sie danach trotzdem. Liegt der Bestätigungscode für das Firmenkonto beim Fernwartungsdienst im selben Tresor wie dessen Passwort, hängt der Schutz am Tresor selbst. Wie das mit Codes im Team geht, steht unter Bestätigungscodes im Team teilen.
Ein Beispiel aus einem Ingenieurbüro
Ein erfundenes Ingenieurbüro für Tragwerksplanung hat acht Arbeitsplätze und einen Rechner mit großer Grafikkarte, auf dem die Berechnungen laufen. Ein Werkstudent hatte dort vor zwei Jahren ein Fernwartungsprogramm mit festem Passwort eingerichtet, um abends von zu Hause Berechnungen zu starten. Er ist längst weg, das Programm startet weiter mit Windows. Das fällt erst auf, als der neue IT-Dienstleister für den Vertrag eine Liste aller Zugänge anlegt.
Der Dienstleister entfernt das Programm vom Berechnungsrechner und richtet den Zugriff dort über ein Konto mit zweitem Faktor ein. Auf den acht Arbeitsplätzen läuft die Fernwartung nur noch mit Zustimmung der Person am Rechner. Der Inhaber legt die Liste der Zugänge in der Sammlung „IT“ ab, und der Dienstleister bekommt ein eigenes Konto im Tresor, das nur diese Sammlung sieht. Was ein Planungsbüro sonst an Zugängen hat, beschreibt die Seite für Ingenieurbüros.
Fernwartungszugänge bei Passwortheld
Passwortheld ist ein gewarteter Tresor, dessen Server auf den Namen Ihrer Firma bei netcup läuft. Ihr IT-Dienstleister bekommt darin auf Wunsch ein eigenes Konto ohne Aufpreis, weil es keine Nutzergrenze gibt. Er sieht nur die Sammlungen, die Sie ihm zuweisen, solange er nicht Eigentümer oder Administrator der Organisation ist, denn diese Rollen sehen alle Sammlungen. Für die Anmeldung am Tresor gilt: Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.
Die Wartung des Tresors kostet 16,99 € im Monat inkl. MwSt., egal wie viele Konten Sie anlegen, bei einer Mindestlaufzeit von 12 Monaten. Hinzu kommt der Server bei netcup ab 3,69 € im Monat inkl. MwSt. Wer eine tägliche Sicherung will, bucht das Backup-Paket zu 7,99 € im Monat inkl. MwSt. dazu, ohne dieses Paket sichern wir den Tresor nicht. Fragen im Alltag beantworten wir nach Aufwand zu 74,99 € je Stunde inkl. MwSt., abgerechnet je angefangener Viertelstunde. Das Angebot gilt nur für Unternehmer. Ob das zu Ihrer Firma passt, besprechen wir im kostenlosen Erstgespräch (15 Minuten), wahlweise per Video oder am Telefon.
Quellen: BSI: IT-Grundschutz-Kompendium, Baustein OPS.1.2.5 Fernwartung (PDF, Edition 2023); BSI: Social Engineering, der Mensch als Schwachstelle; Verbraucherzentrale: Warnung vor Abzocke durch angebliche Microsoft-Mitarbeiter (Stand 11.04.2023); TeamViewer: Security recommendations for unattended access (25.06.2024); AnyDesk Hilfe: Set up Unattended Access (Stand 17.04.2026). Stand: 16.10.2026.