Von zwei Arbeitsstätten auf DATEV zugreifen: VPN und mIDentity-Stick

[#1]

Hallo!

Ich habe das DATEV KaReWe als Einzelplatzlösung auf meinem PC installiert.

Wenn ich künftig von zwei getrennten Büros (Entfernung 5 km) auf dem DATEV arbeiten möchte, dann müsste ich das über eine VPN-Verbindung realisieren.

Auf PC 1 (Hauptrechner) wird das DATEV installiert. Ich möchte von PC 2 (Nebenstelle) auf PC 1 jederzeit zugreifen und arbeiten können.

Hinweis: Ich hätte in beiden Büros je drei Bildschirme in Verwendung.

Problem ist ja eigentlich nur der mIDentity-Stick, wenn ich es richtig in Erinnerung habe, oder?

Wie löse ich meine Aufgabenstellung bzw. wie läuft das in der Praxis ab?

TeamViewer und Co. fallen aus, hier ist kein effizientes Arbeiten möglich. Ich hatte vor Jahren mal einen externen Serverplatz gemietet, wo ich über CITRIX eingestiegen bin. Dort war das Problem, dass es (für meinen kleinen Betrieb) sehr teuer ist und man auf dem System selbst nichts installieren und verändern darf. 

Viele Grüße

Christoph

[#2]

Für den Softwareschutz ein USB SWM Mini nehmen und den mIDentity immer am lokalen Rechner stecken haben, wo man gerade dran sitzt.

Ansonsten dann noch eine VPN Verbindung auf dem zweiten Rechner zu Standort 1 oder eine Site2Site Verbindung zwischen den Standorten und dann per RDP auf den "Hauptrechner" verbinden.

Dort war das Problem, dass es (für meinen kleinen Betrieb) sehr teuer ist ...

Das ist am Ende vermutlich Definitionssache und hängt dann wohl auch an "konkreten Zahlen".

... und man auf dem System selbst nichts installieren und verändern darf. 

Es finden sich bestimmt Anbieter ohne diese Einschränkung.

[#3]

Hallo @Steuerpirat,

was die SmartCard betrifft, ist das Szenario hier beschrieben: DATEV SmartCard in einer Remotedesktopsitzung ohne Terminalserver nutzen - DATEV Hilfe-Center

[#4]

Dieses Szenario ist eigentlich spätestens seit den Coronamaßnahmen Standard und ohne jeden Kostenaufwand (außer evtl. für das Einrichten, wenn Sie das nicht selbst machen können).

Ihr Szenario übersetze ich mal in:

1 PC im Büro mit darauf installiertem Datev

1 PC im Home 

Was müssen Sie machen:

a) büroseitig:

- Einen VPN Tunnel einrichten. Das kann entweder in einem Kästchen, das Sie haben und als Firewall fürs Büro dient, geschehen. Oder sogar einfach in einer Fritzbox - gerade mit dem neuen Protokoll "Wireguard" ist das auch für Laien extrem einfach geworden.

- Eine Möglichkeit schaffen, Ihren PC im Büro aus der Ferne aufzuwecken. Das dann idealerweise auch in dem Firewall-Kästchen ("Wake on LAN", "WOL") einrichten oder z.B. in der Fritzbox. 

- Ihren PC für Sie als Benutzer freischalten für einen Zugriff per "Remote Desktop". 
Das erfordert allerdings auf dem Rechner im Büro mindestens eine Windows Version "Pro". Mit "Home" ist das leider nicht möglich.

b) im "Home Office":

- am Home-PC: 

- den VPN-Tunnel einrichten mit der zugehörigen Software

- Ein Lesezeichen auf die Wake On LAN Seite Ihres Routers / Firewall im Browser setzen

- ein Symbol für den Remote Desktop Zugriff auf Ihren Rechner im Büro konfigurieren und auf dem Desktop speichern. Im Home Office kann dann übrigens auch ein Rechner mit Windows Home benutzt werden.

Wenn Sie nun arbeiten wollen, gehen Sie von zuhause aus so vor:

- Den VPN Tunnel ins Büro herstellen 

- Das Lesezeichen für Wake on LAN anklicken und danach die Schaltfläche zum Aufwecken Ihres PCs

- Einen Doppelklick auf das RDP-Symbol

- Anmelden am Rechner, als würden Sie davor sitzen

Fertig.

Per Remote Desktop können Sie auch per Häkchen "Alle vorhandenen Monitore" (am Rechner, an dem Sie sitzen) nutzen. Wenn Sie zuhause also 3 Monitore haben, können Sie sie alle 3 benutzen, auch wenn im Büro nur 2 oder gar nur 1 angeschlossen sind. Umgekehrt ist es auch möglich, dass im Büro 3 Monitore angeschlossen sind, aber zuhause nur einer. Dann erfolgt die Anzeige so, als gäbe es eben nur diesen einen Monitor - es dürfen dann entsprechend nicht im Büro gar zu viele Symbole auf den 3 Monitoren vorhanden sein - denn sie müssen dann ja auch gemeinsam auf dem 1 Monitor zuhause angezeigt werden können.

Ebenso können Sie bei Remote Desktop bei den Ressourcen angeben, dass ein Chipkartenleser vom Heimrechner an den Zielrechner im Büro "durchgereicht" wird. Sofern am Zielrechner im Büro nicht noch mehr Leute gleichzeitig arbeiten ("Terminalserver"), geht das ganz problemlos.

Sie können sogar, wenn Sie das Häkchen bei "Drucker" setzen, auf Ihren Druckern zuhause drucken. Ohne dass Sie irgendetwas einrichten müssten. Nur das Häkchen reicht. Alles, was bei Ihnen zuhause gedruckt wird, erkennen Sie dann in der Druckerauswahl an einem "(umgeleitet)" hinter dem Druckernamen.

Ihr EDVler muss natürlich einiges noch beachten bei der Einrichtung, das würde hier jetzt den Rahmen sprengen. 

Prinzipiell geht das Ganze aber völlig kostenlos und ist gleichzeitig sehr komfortabel in der Nutzung und ist überraschenderweise extrem sparsam in Bezug auf Bandbreite. 

Einzige Einschränkung bei diesem Szenario:

Wenn Sie per RDP auf Ihrem Büro-PC arbeiten, kann kein anderer gleichzeitig im Büro an dem PC arbeiten. Nur entweder oder.

[#5]

Vielen herzlichen Dank, TobiasX. Ich werde einem EDV-Techniker diese Angaben weitergeben.

Ich kann mich noch vage an das Herstellen eines VPN-Tunnels (+ RDP) erinnern, weil ich das vor vielen Jahren bereits mal selbst umgesetzt habe. Da ich in Sachen EDV nur gefährliches Halbwissen habe, werde ich damit aber jetzt einen Fachmann beauftragen. Ich brauche in Eigenregie nämlich für diese Umsetzung so lange, dass mein Zeitaufwand in keinem Verhältnis mehr zum Nutzen steht.

Sticks

Wie löse ich das am besten mit den Sticks? Ich habe auf meinem jetzigen Einzelplatz nur einen einzigen Stick in Verwendung. Dieser hat zugleich Betriebsstätten-Rechte (Softwareschutz) und gewöhnliche mIDentity-Rechte (unfachmännisch ausgedrückt). Ich habe kein sog. SWM-Mini-USB.

Ich würde gerne an beiden Arbeitsplätzen je einen Stick dauerhaft liegen haben. Je nachdem, wo ich gerade bin, stecke ich diesen dann an den Rechner. Kann auf dem Remote-Rechner (Büro) mein bisheriger Betriebsstätten-Stick dauerhaft stecken bleiben (und nur dieser und sonst keiner) und auf dem Client einfach ein weiterer gewöhnlicher mIDentity?

Oder muss auf dem Remote-Rechner (Büro) ein SWM-Mini-USB dauerhaft stecken und ich brauche zwei weitere mIDentity? Das heißt: Auf dem Remote-Rechner (Büro) steckt dann ein SWM-Mini-USB (Softwareschutz) und zusätzlich ein mIDentity und auf dem Client (Home) ein weiterer mIDentity?

Ich hoffe, ich habe mich verständlich ausgedrückt.

[#6]

Hallo,

also wenn der Stick gleichzeitig auch noch zur Legitimierung der eingesetzten Datev-Software dient (so habe ich das verstanden), dann würde ich fast befürchten, dass dieser im Büro, dort wo die Software läuft, steckenbleiben muss. 

Möglicherweise funktioniert es ja auch in sonstiger Hinsicht, wenn der Stick an Ihrem Büro-Rechner verbleibt.

Testen könnten Sie das auch ohne VPN im Vorfeld schon einmal, indem Sie einfach innerhalb Ihres Büros von einem anderen PC aus eine RDP-Verbindung zu Ihrem PC aufbauen und alles in Ruhe durchchecken.

[#7]

Die Frage ist also, ob dieses Szenario läuft:

• Auf dem Remote-Rechner (Büro) steckt dauerhaft der Betriebstätten-Stick (mit allen mIDentity-Rechten) und sonst kein weiterer Stick und auch kein SWM-Mini-USB.
  
  
• Auf dem Client-Rechner (Home) steckt ein gewöhnlicher mIDentity. Dieser bleibt auch dauerhaft stecken.

Oder muss es so sein:

• Auf dem Remote-Rechner (Büro) steckt dauerhaft ein SWM-Mini-USB. Zusätzlich steckt ein mIDentity.
  
  
• Will man auf dem Client-Rechner (Home) arbeiten, dann muss man den mIDentity auf dem Remote-Rechner ausstecken. Am Client-Rechner steckt dauerhaft ein mIDentity.

[#8]

Einfach mal die Antworten lesen und ggfs. auch noch die verlinkten Info-DB Dokumente?

DATEV SmartCard in einer Remotedesktopsitzung ohne Terminalserver nutzen - DATEV Hilfe-Center

Voraussetzung:

• Wenn zutreffend, beachten Sie zusätzlich: Bei Nutzung des DATEV mIDentity als Softwareschutz-Modul

  2.1.1 Bei Nutzung des DATEV mIDentity als Softwareschutz-Modul

  	Bei Nutzung des DATEV mIDentity als Softwareschutz-Modul
  	Voraussetzung: Wenn der DATEV mIDentity bisher am Remotecomputer steckt und als Master-Softwareschutz-Modul für den Lizenz-Manager-Server genutzt wird, beachten Sie die nachfolgenden Punkte.
  	Vorgehen:
  1	Für den Lizenz-Manager-Server wird ein physikalisch gestecktes (ggf. per USB-Server) Softwareschutz-Modul benötigt. Der Lizenz-Manager-Server kann nicht mit einem per RDP verbundenen mIDentity-Stick genutzt werden.
  2	Benötigt werden: Softwareschutz-Modul für das System mit dem Lizenz-Manager-Server. Empfehlung: DATEV SWM-Mini (Art.-Nr. 45210) DATEV mIDentity für den lokalen Client (z. B. Heimarbeitsplatz).
  3	Wenn abwechselnd an beiden Systemen gearbeitet wird, zusätzlich beachten: Den DATEV mIDentity jeweils an dem System stecken, von dem aus gerade gearbeitet wird. Je System darf immer nur ein DATEV mIDentity bzw. eine DATEV SmartCard gesteckt sein. SWM-Mini und DATEV mIDentity bzw. DATEV SmartCard können parallel gesteckt sein. Es wird empfohlen nur einen DATEV mIDentity bzw. eine DATEV SmartCard pro Person zu verwenden. Hintergrund: Mehrere SmartCards für eine Person (Dok.-Nr. 1018956)
  4	Der Lizenz-Manager-Server muss als Dienst laufen (Standardeinstellung): Lizenz-Manager-Server als Dienst konfigurieren (Dok.-Nr. 1013344)
  5	Informationen zum Austausch des Master-Softwareschutz-Moduls: Master-Softwareschutz-Modul austauschen (Dok.-Nr. 1035572)

Ich würde dazu raten nur einen einzigen mIDenetity zu nutzen und es mit dem Stick zu halten wie mit ner Hose - Einfach dabei und anhaben. (Dazu rät DATEV ebenfalls. (Fett markiert.))

Also wir ein USB SWM Mini benötigt und sinnvollerweise ein mIDentity, den man immer dabei hat. Alternativ halt ein USB SWM Mini und zwei mIDentites, wobei der am "Hauptrechner" aber nicht dauerhaft stecken darf / sollte.

(Oha, Copy&Paste aus der Info-DB ist hier aber abenteuerlich.)

[#9]

Aber das "Softwareschutzmodul" muss am Bürorechner steckenbleiben, richtig?

[#10]

Auf dem Zielrechner (Büro) muss permanent ein Softwareschutzmodul stecken, also auf jenem Rechner, wo das DATEV installiert ist.

Mittlerweile ist das entweder das sog. SWM-mini oder ein spezieller mIDentity-Stick. 

Hat man das SWM-mini, dann braucht man zusätzlich noch einen Stick mit personalisierter SmartCard. Hat man aber den speziellen mIDentity stecken, dann übernimmt dieser beide Funktionen gleichzeitig (d.h. Softwareschutzmodul sowie zugleich personalisierte SmartCard).

https://apps.datev.de/help-center/documents/1080693

Wenn ich es richtig im Kopf habe, kann beim Zielrechner (Büro) dieser spezielle (und nur dieser) mIDentity stecken und am Client kann permanent ein Stick mit personalisierter SmartCard stecken. 

[#11]

Ja, deshalb muss die Funktion "SWM" ja vom mIDentity getrennt werden. Das SWM muss dauerhaft am PC stecken, wo der Lizenz Manager Server läuft.

[#12]

Hallo!

Ich war heute bei einem größeren IT-Unternehmen vor Ort vorstellig, um nach der Möglichkeit einer Verbindung "Homeoffice ins Büro" anzufragen. Er sprach u.a. von der Microsoft Cloud.

Frage 1: Kann man das DATEV (Einzelplatz) in der Microsoft ESHA Cloud installieren und nutzen? Ich vermute nicht, weil ja ein SWM-mini oder mIDentity physisch stecken müsste, oder? Der Techniker (Chef) dort aber meinte, die DATEV-Nutzung müsste sicher gehen, weil auch andere Steuerberatersoftware in der ESHA Cloud ebenfalls laufen würde (BMD Österreich z.B.). Das physische Stecken eines Dongles könne man sicher mit einer anderen Lösung umgehen.

Frage 2: Ansonsten meinte er, für die Verbindung von PC (Home) zu PC (Büro) gäbe es - abgesehen von einer solchen Cloud-Lösung wie ESHA - erstens die Variante VPN-Tunnel (siehe Diskussion oben) und zweitens eine Variante Nicht-VPN mit einer Firewall (wo nur Bilddaten übertragen werden; alles mit Windows internen Mittel herzustellen). Was hat er mit dieser zweiten Variante Nicht-VPN gemeint? (Ich habe ihn fachlich nicht ganz verstanden, bin aber morgen wieder dort.) Dann könnte ich mal googeln.

Viele Grüße

Christoph

[#13]

Bei den offenen Fragen, würde ich mir den morgigen Termin sparen.

Es geht um DATEV Software, warum nicht einfach unter DATEV - Partnernetzwerk einen DATEV Solution Partner in der Nähe suchen und erstmal mit dem Reden. Der kennt dann (hoffentlich) auch die "Besonderheiten" der DATEV Software.

Natürlich lässt sich DATEV in einer VM in Azure (vermutlich "ESHA") betreiben. Aber auch hier wäre es in meinen Augen sinnvoller, über ein SmartIT / PARTNERasp zu reden, was dann in Nürnberg gehostet ist. Eigentlich wurde das im Ausgangsbeitrag aber schon "abgelehnt":

Dort war das Problem, dass es (für meinen kleinen Betrieb) sehr teuer ist und man auf dem System selbst nichts installieren und verändern darf.

[#14]

---

@janm  schrieb:

Eigentlich wurde das im Ausgangsbeitrag aber schon "abgelehnt":

Dort war das Problem, dass es (für meinen kleinen Betrieb) sehr teuer ist und man auf dem System selbst nichts installieren und verändern darf.

---

Weil der Techniker mir das vorschlug, er würde ein Angebot erstellen. 

Und siehe oben:

Das ist am Ende vermutlich Definitionssache und hängt dann wohl auch an "konkreten Zahlen".

Danke für die Antwort und den Link, ich schaue mir das DATEV-Partnernetzwerk an.

[#15]

---

Kann man das DATEV (Einzelplatz) in der Microsoft ESHA Cloud installieren und nutzen? Ich vermute nicht, weil ja ein SWM-mini oder mIDentity physisch stecken müsste, oder? 

---

Doch solche Szenarien funktionieren, wenn man einen USB-Port über einen USB-Server heranreichen kann (SEH o.ä.). 

---

Der Techniker (Chef) dort aber meinte, die DATEV-Nutzung müsste sicher gehen, weil auch andere Steuerberatersoftware in der ESHA Cloud ebenfalls laufen würde (BMD Österreich z.B.)

---

Suchen Sie sich bitte ein anderes IT-Haus. Anscheinend hat der Herr keine Vorstellung, was DATEV voraussetzt und wie. Und dann noch einen Äpfel-Birnen-Vergleich.

---

Das physische Stecken eines Dongles könne man sicher mit einer anderen Lösung umgehen.

---

Korrekt, siehe oben.

---

erstens die Variante VPN-Tunnel 

---

Korrekt.

---

nd zweitens eine Variante Nicht-VPN mit einer Firewall (wo nur Bilddaten übertragen werden; alles mit Windows internen Mittel herzustellen). 

---

Ich bekräftige nochmal meine Aussage: Suchen Sie sich ein anderes IT-Unternehmen. Er spielt auf die Tatsache an, dass der Remotedesktop auch direkt im Internet verfügbar gemacht werden kann (das ist das Windows-Bordmittel). 

Dann hängt aber der RDP-Port direkt im Internet. Und da gab es in der Vergangenheit auch genug Angriffsvektoren und Versuche. Würde ich auf keinen Fall machen. 

Endrechner haben im Internet meines Erachtens nie was zu suchen. Die gehören immer hinter eine FireWall, die nur dies macht. Alles andere ist machbar, aber so gar nicht "geil":.. 

Beste Grüße
Christian Ockenfels

[#16]

Es wurde mir mitgeteilt, dass die Verbindung beider PCs über VPN u.U. recht zäh und langsam sei und flüssiges Arbeiten verunmöglichen könnte. Es brauche an beiden Stellen jedenfalls eine schnelle Internetverbindung.

Ich bin nur IT-Laie. Eventuell gebe ich die erhaltene Information auch unkorrekt weiter.

[#17]

---

Es wurde mir mitgeteilt, dass die Verbindung beider PCs über VPN u.U. recht zäh und langsam sei und flüssiges Arbeiten verunmöglichen könnte. Es brauche an beiden Stellen jedenfalls eine schnelle Internetverbindung.

---

Gott im Himmel... und sowas soll dann Beratung sein... 

Remotedesktop über einen VPN-Tunnel (erste Variante, die ich bevorzugen würde), konnte seit Jahrzehnten problemlos über eine 1-Kanal-ISDN-Verbindung genutzt werden (64kBit/s). 

Heute sprechen wir, selbst bei ADSL, über Bandbreiten von 7.000kBit/s... und mehr (VDSL 100.000kBit/s).

Wenn eine solche Verbindung zäh werden sollte, dann möglicherweise, weil die Firewall, welche den VPN-Tunnel annimmt und verwaltet ein wenig in die Tage gekommen ist. 

Bei einer, wie geschrieben, Fritz!Box mit genutzten Wireguard, ist mir sowas noch nie untergekommen. 

---

Ich bin nur IT-Laie. Eventuell gebe ich die erhaltene Information auch unkorrekt weiter.

---

Damit wir uns richtig verstehen: Ich will Sie auf keinen Fall für irgendwas angreifen. Wenn ich aber solche Äußerungen lese, bekomme ich Augenkrebs... Das ist IT aus dem Mittelalter.

Deshalb ja auch meine Bitte: Fragen Sie bei einem anderen IT-Dienstleister nach. Gern auch einen DATEV-Solution-Partner. Die haben die DATEV-Spezifika dann auch direkt mit auf dem Schirm.

Beste Grüße
Christian Ockenfels

[#18]

---

@Steuerpirat  schrieb:

Und siehe oben:

Das ist am Ende vermutlich Definitionssache und hängt dann wohl auch an "konkreten Zahlen".

---

Dann braucht es aber auch mal grobe Zahlen. Eine Azure VM für einen "DATEV geeigneten Arbeitsplatz" dürfte selbst mit "Sparplan" oder "reserved Instance" und 3 Jahre Laufzeit ~ 150€  bis 200€ und mehr / Monat sein. Und da ist dann noch kein VPN Gateway / Firewall VM o.ä. drin.

[#19]

Danke für diese Info.

Ich bin auch ganz verwundert, dass es heutzutage immer noch Software-Dongles gibt. Das ist ja wie noch in den 80er Jahren, als es kein Internet gab.

Normalerweise geht heute ja die Lizenzprüfung über gelegentliche Abgleiche mit den Hersteller-Servern.

Also, auf jeden Fall gut zu wissen - danke.

[#20]

OK, danke, das leuchtet ein.

Jetzte nur noch die Frage, ob man nicht auch die "Chipkarte" bzw. deren Funktion auch nutzen kann, wenn sie im Rechner mit den Programmen steckt?

Früher, als wir das mal mit anderer Software (Agenda und Starmoney) gemacht hatten, da funktionierte das so. Also dass die Chipkarten fest am Büro-PC angeschlossen waren.

Wenn das im beschriebenen Szenario auch funktionieren würde, könnte man ja ggf. auf die Trennung verzichten. (Außer es sprechen Sicherheitsgründe dagegen, weil die Mitarbeiter zu viele böse Sachen probieren würden..)

[#21]

Frage 1: Microsoft Cloud

Für mich spricht dagegen schon einmal die Tatsache, dass das datenschutzrechtlich überhaupt nicht erlaubt ist. Auch wenn das gerne (etwas verschwurbelt und nie wirklich klar gerne anders dargestellt wird).

Man lädt die Daten zu einem US-Anbieter hoch, der unter amerikanischem Recht steht. Im amerikanischen Recht ist festgelegt, dass der Anbieter den US-Behörden jederzeit Zugang zu den Daten auf dem Server geben muss. Für Ausländer wie uns fällt da sogar jedweder Schutz weg. Ob die Server von Microsoft in Irland stehen, einem "EU Land", wie das immer so schön sicher klingen soll, spielt hierbei überhaupt keine Rolle. Microsoft mus die Daten zugänglich machen. Man wird deshalb auch von Microsoft keine Erklärung zur Auftragsdatenverarbeitung nach DSGVO bekommen.

Den nächsten Punkt haben Sie ja schon selbst genannt:

Es dürfte diverse Probleme geben, angefangen bei dem Softwareschutz-Stick. Aber auch beim Warten und Pflegen der Installation in der Cloud....

Also diesen Umweg, nur um von zuhause arbeiten zu können, würde ich schnellstens wieder ad acta legen.

> "Frage 2: Ansonsten meinte er, für die Verbindung von PC (Home) zu PC (Büro) gäbe es - abgesehen von einer solchen Cloud-Lösung wie ESHA - erstens die Variante VPN-Tunnel (siehe Diskussion oben) und zweitens eine Variante Nicht-VPN mit einer Firewall (wo nur Bilddaten übertragen werden; alles mit Windows internen Mittel herzustellen). Was hat er mit dieser zweiten Variante Nicht-VPN gemeint? (Ich habe ihn fachlich nicht ganz verstanden, bin aber morgen wieder dort.) "

Naja, da sehe ich zwei Möglichkeiten:

a) man greift per RDP eben ohne VPN-Tunnel auf den Rechner zu und versucht das durch hohe Sicherheitsmaßnahmen abzufangen.

Davon würde ich aber GANZ DRINGEND abraten.

b) man benutzt eine Remote-Software, die von sich aus schon einen Tunnel aufbaut.

Naja..  da müsste man jetzt die jeweilige Software im Detail betrachten. Ob sie es zulässt, Chipkarten durchzureichen, andere Ressourcen von zuhause zum Arbeitsrechner durchzuschleifen, und natürlich die Sicherheit dieser Software.

Ich würde notfalls diese Trennung machen zwischen Software-Dongel und der Benutzer-Authentifizierung, falls das anders nicht geht, und dann ein VPN in die Kanzlei und dort hindurch dann das RDP. Das hat Ihnen jemand, der damit etwas erfahren ist, in 1 Stunde eingerichtet. Ich kenne jetzt Ihre Hardware nicht (Router, Firewall, ...), aber ggf. ist die Software für das VPN bei Ihnen auch schon bereits vorhanden, sodass auch keine Hardwareanschaffungen notwendig sind.

[#22]

> "Es wurde mir mitgeteilt, dass die Verbindung beider PCs über VPN u.U. recht zäh und langsam sei und flüssiges Arbeiten verunmöglichen könnte. Es brauche an beiden Stellen jedenfalls eine schnelle Internetverbindung."

Das ist definitiv falsch!!!!

Das RDP-Protokoll braucht nur ganz geringe Bandbreite - es sein denn, sie wollten Videos darüber schauen. Aber dafür ist RDP sowieso völlig ungeeignet, weil es keine modernen Video-Codecs unterstützt. Das ist diesbezüglich auf dem Stand von 1990 stehengeblieben (etwas ketzerisch formuliert).

Aber für normale Bürotätigkeiten merken Sie so gut wie gar keine Verzögerungen, wenn Sie tippen oder die Maus bewegen, auch bei eher langsamen DSL-Verbindungen. Es geht dann sowieso weniger um die Geschwindigkeit, als um die "Ping"-Zeiten.

Mit einem normalen Internetanschluss können sie völlig zufriedenstellend arbeiten.

Mal so als Beispiel:

Eine 40-Mann (und Frau) Kanzlei, die von mir betreut wird, arbeitete lange Zeit mit einem DSL mit 50 MBit Download und 10 MBit Upload, völlig problemlos. Up müssen ja eh nur Mausbewegungen und Tastendrücke übertragen werden (es sei denn, man scannt etwas), und down hat das auch ausgereicht. Lediglich bei denjenigen, die Hintergrundbilder auf ihren Desktops hatten, konnte man gelegentlich sehen, wie es ca. 1 Sekunde dauerte, bis das alles übertragen war. (Kann man aber in RDP auch abstellen). Natürlich sind die heute trotzdem deutlich schneller unterwegs, ich wollte nur aufzeigen, dass man KEIN schnelles Internet benötigt für eine einzige RDP-Verbindung.

Auch ein VPN Tunnel erhöht die Latenz nicht merkbar, selbst wenn er nur dirch eine Fritzbox oder eine kleine Mini-Firewall bereitgestellt wird.

[#23]

---

@TobiasX  schrieb:

a) man greift per RDP eben ohne VPN-Tunnel auf den Rechner zu und versucht das durch hohe Sicherheitsmaßnahmen abzufangen.

Davon würde ich aber GANZ DRINGEND abraten.

---

Es gibt durchaus "VPN-less Lösungen", wo man nicht direkt per RDP auf das Zielsystem zugreift. Hier wäre bspw. "Citrix Virtual Apps & Desktops" mit dem Netscaler eine Option. Alternativ auch "nur" der kostenlose Netscaler mit dem "RDP Proxy". Ebenfalls gibt es Firewalllösungen, die "RDP" einfach per/in "HTML5 proxien". Da wird dann eben "alles" VPN-less durch https getunnelt.

(Aber ja, RDP (tcp 3389 im WAN) ist ein No-Go.)