DATEV wünscht allen
einen guten Rutsch und ein gesundes, erfolgreiches neues Jahr 2026!
Verbinden sich zu einer Citrix 7.15 Farm, SmartCards durchschleifen läuft auch.
Da kann ich mir das gut vorstellen, weil das Citrix Protokoll die SmartCard mitnimmt. Aber hat ja nicht jeder das KnowHow und Geld für eine Citrix Farm 
.
Die meisten werden ggf. einfach nur via RDP auf den TS zugreifen. Und ich meine, dass z.B. die Fujitsu Linux ThinClients keine SmartCards durchreichen können.
Oder wie ist da der Stand der Technik?
Die müssen nicht unbedingt Zugriff zum Internet haben. Also in der Windows Firewall das lokale Netz (ohne Gateway!) nur freigeben (sowohl in wie out) und gut ist.
Und was ist mit Lücken bzw. Viren, die nicht via Internet kommen? Dann würde ich eher zentral via GPO den Zugriff auf den IE oder Edge sperren und muss da nicht die Hände über den Kopf zusammenschlagen.
Was ist mit Viren, die sich via USB-Sticks ausbreiten? Und der USB-Stick kommt von Mandant, der nichts darüber weiß. Oder was ist mit Windows Lücken, die zentral in Windows bestehen? Ich erinnere nochmal an Eternal Blue. Sowas kann uns jederzeit nochmal treffen und da hilft es nichts, wenn man das GW entfernt oder falsch konfiguriert oder einen Proxy vorschaltet.
Wenn man Windows nutzt, müssen die Systeme unterstützt und mit Updates versehen werden. Punkt. Nicht umsonst unterstützt DATEV keine Systeme, die nicht auch Microsoft freigegeben hat. Und wer trägt die Verantwortung, wenn zwar alle möglichen technischen Maßnahmen getroffen wurden, um Viren und Co. zu verhindern, es aber dennoch passiert und ggf. Externe feststellen: abgelaufenes Windows? Das geht gar nicht.
Ich finde das sehr, sehr riskant.
Da gibt es den Ratschlag des BSI, den Dienst "Benutzererfahrung und Telemetrie im verbundenen Dienst" zu deaktivieren (hat Qualitätsupdates bisher auch überstanden) bzw. in der Firewall den entsprechenden EIntrag (ich komm grad nicht auf den Namen) zu ändern in "blockieren". Klappt auch auf TS.
Kann man machen. Aber wer weiß, was Microsoft dann noch anderes plant. Ich habe z.B. auch gelesen, dass Windows Clients, die keinen Zugriff zum Internet haben auch den im eigenen Netz konfigurierten WSUS nicht richtig nutzen. Ja, das verstehe ich auch nicht aber wenn MS das so programmiert, haben wir da 0 Einfluss drauf. Erst nachdem der Client einmalig Zugriff aufs Internet hatte, liefen auch alle Updates vom WSUS durch. Ob das noch aktuell ist, kann ich nicht sagen.
die Datenschützer (sorry, ich bin auch einer)
Und dann "empfehlen" Sie wirklich den Weiterbetrieb von nicht unterstützten Windows Systemen nach Januar 2020? Ich bin erstaunt.
Aber prinzipiell kann man in einer WTS-Umgebung durchaus WIn 7-Clients weiter benutzen!
Prinzipiell ist in der IT derart vieles möglich . Aber ob das alles nach gewissen Standards und Vorgaben auch so sinnvoll ist, wage ich zu bezweifeln.
Möglichst 1803, weil 1809 schon wieder (aus meiner SIcht) ekelhafte Änderungen hatte.
Dann nutzen Sie die Enterprise Version? Sonst ist auch bei 1803 mit sicherheitsrelevanten Updates im Dezember 2019 Schluss. Der November 2019 Patchday ist der letze für 1803 für Home, Enterprise, Education Pro und Pro for Workstation.
Anonym: Sind Sie sich sicher, dass Ihr genannter Aufwand den Nutzen rechtfertigt? Neue ThinClients kostet ca. 350€ netto. Und die werden dann wieder 5 Jahre Spaß machen und sind für die Zukunft fit.
herrkirner: Wenn Sie wirklich die alten PCs mit Windows 10 fit machen: Können Sie mir dann rein aus Interesse mitteilen, wie lange Sie für die PCs / pro PC gebraucht haben und ob Sie damit zufrieden sind? Danke! 
Läuft über meinen Tisch 😉
Es freut mich, wenn Sie noch so guter Dinge sind. Ich hoffe, Sie sind es auch, wenn der Ernstfall wirklich eintritt und der ist meist nur 1 Klick weit entfernt 
.
Und dann, wie sagt man: hätte, hätte, Fahrradkette 
.
Das ein Restrisiko von Lücken in der Client-Firewall selber, steckt ist klar.
Firewall ist mein Kleinstes Problem. Ich sehe da eher SMB, IE, JavaScript und andere Übeltäter als schwerwiegendere Softwareprobleme. Auch wenn sie vermutlich / vermeintlich lokal nicht genutzt werden.
Weil das Risiko von Betriebsstörungen recht groß ist.
Finden Sie? Ich habe da eher kein Problem mit. Man kann die Updates gerne verschieben aber Bluescreens und größere Aussetzer hat ein Windows Update nicht mehr zur Folge. Außer man hat Fremdantivirenlösungen drauf 
.
Will sagen, Updates sind nicht immer das Nonplusultra. - Leider!
Nein, das sicherlich nicht. Zumindest nicht, wenn sie nicht sicherheitsrelevant sind. Aber drumherum kommen wir leider auch nicht. Deshalb ist auf meinem privaten Notebook noch 1709, was jetzt hoffentlich bald durch 1903 abgelöst wird. Dann habe ich wieder 18 Monate Ruhe.
Was ist da das kleinere Übel?
Tja. Im worst-case ist beides gleichauf. Ruin des Unternehmens / der Kanzlei, weil alle Daten unwiederbringlich verloren sind oder derart hohe Geldstrafe, dass man den Betrieb ebenfalls aufgeben muss. Wobei letzteres eher unwahrscheinlich und unverhältnismäßig ist. Daher würde ich eher ein Datenschutzproblem in Kauf nehmen, zumal man ja keine wirkliche, technische Alternative hat. Was soll die Behörde daher sagen? Nutzen Sie bitte Apple? Eher nein.
ist vor allem Glaubenssache derzeit
Malen Sie sich das technisch mögliche und schlimmste aus: das wird aktuell angewandt und genutzt . Die NSA war doch nur ein Tropfen auf einen heißen Stein. BND und Co. sind nicht minder schlimmer ...
Ich finde gerade das Thema USB-Sticks wird, auch hier, sehr vernachlässigt. Es gibt so schicke, kleine Tools, die zentral alle USB-Ports, Floppys, DVD-Laufwerke und Co. der Clients steuern können. Es braucht ja auch nur einen privaten, verseuchten USB-Stick und schon hat man Locky und Co. drauf.