Reverse-RDP-Welle: Wenn der Server den Client angreift, nicht umgekehrt
Sieben kritische RDP-Client-Lücken im Juni-Patchday – und warum gerade Administratoren das Hauptziel sind
Die meisten denken bei RDP-Sicherheit an einen exponierten Server, den jemand von außen angreift. Der Juni-Patchday 2026 dreht dieses Bild um: Eine Welle kritischer Lücken steckt im Remote-Desktop-Client (mstsc.exe). Das Opfer ist nicht der Server, sondern der, der sich verbindet. Diese Angriffsklasse ist als „Reverse RDP“ bekannt – und sie trifft ausgerechnet die, die am häufigsten und mit den höchsten Rechten RDP nutzen: Administratoren.
Die zentrale Umkehrung: Hier muss der Client gepatcht werden, nicht der Server. Genau das wird gern vergessen, weil Patch-Routinen oft auf Server zielen und Admin-Workstations als „nur Clients“ durchrutschen.
Was ein Reverse-RDP-Angriff ist
Wenn Sie sich per RDP verbinden, vertraut Ihr Client den Daten, die der Server zurückschickt – Bildschirminhalte, aber auch Inhalte über virtuelle Kanäle wie Zwischenablage-Synchronisierung und Laufwerksumleitung. Ein bösartiger oder kompromittierter Server kann genau diese Verarbeitung ausnutzen: Eine unzureichende Validierung der vom Server gelieferten Daten erlaubt es, Code auf dem verbindenden Rechner auszuführen. Die Technik wurde breiter erstmals 2019 dokumentiert; die aktuelle Welle zeigt, dass die Angriffsfläche im RDP-Client weiter lebendig ist.
Die Juni-Welle
Microsoft hat im Juni sieben als kritisch eingestufte RCE-Lücken im Remote-Desktop-Client gepatcht (CVSS 7.5 bis 8.8); je nach Zählweise reichen die Tallies inklusive weiterer Einträge bis an die zehn. Alle teilen dasselbe Muster: Ein Angreifer, der einen RDP-Server kontrolliert, löst die Codeausführung aus, sobald sich ein Opfer mit dem verwundbaren Client verbindet.
| Beispiel-CVE | Charakteristik |
|---|---|
| CVE-2026-42985 | Heap-basierter Pufferüberlauf im RDP-Client, RCE über Netzwerk – von Microsoft als „Exploitation more likely“ eingestuft. |
| CVE-2026-48563 | Ebenfalls Heap-Overflow im RDP-Client; Codeausführung beim Verbinden mit einem bösartigen Server. |
Warum gerade Administratoren im Visier sind
Admins verbinden sich den ganzen Tag per RDP – oft mit privilegierten Konten, oft von einer privilegierten Workstation aus, oft auf viele Systeme. Genau das macht sie zum Idealziel. Typische Fallen:
- Verbindung auf einen bereits kompromittierten Server – der schlägt zurück auf die Admin-Maschine.
- Eine präparierte .rdp-Datei per Phishing, die auf einen Angreifer-Server zeigt.
- Verbindungen auf nicht vertrauenswürdige Cloud-VMs, Labor- oder Test-Systeme.
Das Tier-0-Worst-Case: Ein Tier-0-Admin verbindet sich von seiner Privileged Access Workstation auf einen kompromittierten Tier-2-Server – und der popt die PAW. Ohne sauberes Tiering wird so aus einem einzelnen kompromittierten Server die Komplettübernahme. Das „Clean Source“-Prinzip ist hier kein Luxus, sondern die Notbremse.
Was Sie jetzt tun sollten
- Clients patchen, nicht nur Server. Die Juni-Updates fixen den RDP-Client. Admin-Workstations und Jump-Hosts gehören hier in die erste Welle.
- Zwischenablage- und Laufwerksumleitung deaktivieren. Diese virtuellen Kanäle sind die klassische Angriffsfläche. Wo nicht zwingend gebraucht, per GPO abschalten („Umleitung der Zwischenablage nicht zulassen“, „Laufwerksumleitung nicht zulassen“).
- .rdp-Dateien wie Anhänge behandeln. Keine .rdp-Dateien aus E-Mails oder unbekannten Quellen öffnen – sie können still auf einen Angreifer-Server zeigen.
- Ausgehende RDP-Wege begrenzen. Segmentierung und RD-Gateway so setzen, dass Admin-Maschinen nur bekannte, vertrauenswürdige Ziele erreichen.
- Clean Source / Tiering durchsetzen. Niemals von einer höher privilegierten Maschine auf ein niedriger eingestuftes System verbinden. Ein kompromittierter Tier-2-Server darf keine Tier-0-Workstation erreichen können.
Fazit
Reverse RDP zwingt zu einem Umdenken: Beim Verbinden ist nicht automatisch der Server das Risiko, sondern der eigene Client das Ziel. Für Administratoren ist das besonders heikel, weil ihre Maschinen die wertvollsten im ganzen Netz sind. Die Antwort ist eine Kombination aus schnellem Client-Patch, abgeschalteten Umleitungskanälen, .rdp-Hygiene und einem konsequenten Tier-Modell. Dann bleibt aus einem bösartigen Server bestenfalls ein abgewehrter Verbindungsversuch – und nicht der Einstieg in die Domain.
Härtung wirklich durchgesetzt – oder nur dokumentiert?
Der ISW GPO Analyzer Pro prüft, ob Ihre RDP-Härtung (Umleitungs-Sperren, Anmelderechte) tatsächlich greift, und der ISW AD Tier Model Manager setzt das Clean-Source-Prinzip durch, das Reverse-RDP-Angriffe auf Admin-Maschinen ins Leere laufen lässt. Mehr auf isw-adtools.de.