Jede Remotedesktopverbindung zu Ihrem eigenen Büro-PC beginnt mit der gleichen Zertifikatwarnung, und jeden Tag auf „Ja“ zu klicken, ist eine schlechte Angewohnheit, die man sich aneignen sollte. Es gibt einen richtigen Weg, es zum Schweigen zu bringen – vertrauen Sie diesem einen Server und nur diesem Server – und einen falschen Weg, der die Warnung für das gesamte Internet ausschaltet.
Das Popup ist kein Fehler. Es ist Windows, das eine Frage stellt, die es selbst nicht beantworten kann: Ist das wirklich der Computer, zu dem Sie eine Verbindung herstellen wollten? Ein normaler Heim- oder Büro-PC präsentiert ein selbstsigniertes Zertifikat, das Windows nicht ausgestellt hat und nicht überprüfen kann, sodass der Client stattdessen Sie fragt. Im Video entfernt Technical Anshu dieses Popup in etwa einer Minute mit einem einzigen REG-Dateiimport. Auf dieser Seite wird erläutert, was ein solcher sicherer Fix tatsächlich ändert, wie Sie jede REG-Datei überprüfen, bevor Sie ihr vertrauen, und die einzige Regel, die den Fix sicher hält: Stummen Sie die Warnung nur für einen Server aus, der Ihnen gehört, und nur, indem Sie seinem genauen Zertifikat vertrauen.
Beim Herstellen der Verbindung weist der Remote-PC seine Identität mit einem Sicherheitszertifikat nach. Große Unternehmen stellen Zertifikate von einer vertrauenswürdigen Stelle aus, sodass Windows diese stillschweigend akzeptiert. Ein normaler PC generiert stattdessen sein eigenes selbstsigniertes Zertifikat, und Windows hat keine unabhängige Möglichkeit, festzustellen, ob es echt ist. Aus diesem Grund wird im Dialogfeld angezeigt, dass das Zertifikat nicht von einer vertrauenswürdigen Zertifizierungsstelle stammt.
Hier zählen zwei ehrliche Fakten. Erstens ist Ihre Sitzung auch mit einem selbstsignierten Zertifikat weiterhin verschlüsselt. Bei der Warnung geht es um Identität, nicht um Verschlüsselung. Zweitens ist die Warnung das Einzige, was Sie davon abhält, Ihr Passwort in den falschen Rechner einzugeben – ein Betrüger-PC im Netzwerk würde genauso aussehen. Aus diesem Grund wird die Frage durch die sichere Lösung nie beseitigt. Es zeichnet Ihre Antwort einmal für einen Server auf, nachdem Sie sie überprüft haben.
Wenn das nächste Mal das Popup für Ihren eigenen PC oder Server erscheint – einen, dessen Namen oder IP-Adresse Sie selbst in Ihrem eigenen Netzwerk eingegeben haben –, gehen Sie wie folgt vor:
Windows speichert jetzt den Fingerabdruck dieses Zertifikats – seinen eindeutigen Fingerabdruck – in Ihrer Benutzerregistrierung unter HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers, in einem Wert namens CertHash in einem Schlüssel, der nach diesem Server benannt ist. Bei der nächsten Verbindung vergleicht der Client das erhaltene Zertifikat mit dem gespeicherten Fingerabdruck. Wenn sie übereinstimmen, erscheint kein Popup. Wenn sich das Zertifikat jemals ändert, wird die Warnung erneut angezeigt – und das bedeutet, dass der Schutz funktioniert und nicht unterbrochen wird.
Die einminütige Route des Videos erledigt den gleichen Job vor der ersten Verbindung: Beim Importieren einer REG-Datei wird dieser CertHash-Eintrag für Sie geschrieben, sodass die allererste Anmeldung bereits ruhig ist. Eine REG-Datei besteht aus reinem Text, und dies ist die wichtigste Angewohnheit auf dieser Seite: Klicken Sie mit der rechten Maustaste auf eine beliebige REG-Datei und öffnen Sie sie im Editor, bevor Sie jemals darauf doppelklicken. Ein sicherer RDP-Popup-Fix betrifft nur den Eintrag Ihres eigenen Servers unter Terminal Server Client\Servers – einen Servernamen oder eine IP-Adresse, einen CertHash-Fingerabdruck.
Seien Sie ehrlich zu sich selbst, was die Grenzen einer heruntergeladenen Datei angeht: Eine von jemand anderem erstellte REG-Datei enthält den Fingerabdruck seines Servers, nicht Ihren. Der korrekte Fingerabdruck für Ihren PC muss also vom Zertifikat Ihres eigenen Servers stammen. Innerhalb des Videos dauert der Import selbst Sekunden – führen Sie die Datei zusammen, antworten Sie mit „Ja“ auf die Bestätigung des Registrierungseditors und stellen Sie eine Verbindung her. Wenn eine Datei, die Ihnen angeboten wird, weiter reicht und das clientweite Authentifizierungsverhalten ändert, sodass Warnungen für jeden Server, ob bekannt oder unbekannt, nicht mehr angezeigt werden, legen Sie sie ab. Dabei handelt es sich nicht mehr um einen Vertrauenseintrag pro Server; Das bedeutet, das Schloss von der Tür zu entfernen, und das wird im letzten Abschnitt dieser Seite ausführlich behandelt.
Das Anheften eines Fingerabdrucks funktioniert, aber es handelt sich dabei um eine Regelung pro Benutzer und pro PC, und das selbstsignierte Zertifikat auf einem normalen PC wird im Laufe der Zeit erneuert oder neu generiert – jede Änderung bringt das Popup einmal zurück. Die saubere Lösung besteht stattdessen darin, die Serverseite zu reparieren: Installieren Sie ein Zertifikat, dem die Clients bereits vertrauen.
SSLCertificateSHA1Hash.Sobald der Server ein vertrauenswürdiges Zertifikat vorlegt, stellt jeder Benutzer eine Verbindung ohne Popup und ohne Registrierungstricks her – und die Warnung ist für jeden Computer, der nicht Ihr eigener ist, immer noch vollständig aktiviert.
Einige Dateien und Forenbeiträge versprechen mehr: Eine Änderung und Remote Desktop zeigt niemals wieder eine Zertifikatwarnung an, egal auf welchem Computer, egal wo. Beschreiben Sie dieses Versprechen ehrlich – es ist gefährlich. Das bedeutet, dass Sie an dem Tag, an dem eine Verbindung stillschweigend auf einen falschen oder feindlichen Computer umgeleitet wird, Ihr Passwort ohne jegliche Vorwarnung weitergeben und sich an das eine Signal gewöhnt haben, das Sie hätte retten können.
Die Regel, die sich durch diesen gesamten Leitfaden zieht: Sie dürfen das Popup nur für Server, die Sie besitzen oder verwalten, stummschalten, jeweils nur für einen Server und nur, wenn Sie dessen genauen Zertifikat vertrauen. Ein unerwartetes Popup für einen Server, mit dem Sie sich jeden Tag verbinden, ist kein Ärgernis – es ist eine Information. Eine separate Seite in diesem Set behandelt genau diesen Moment und warum die Antwort dort immer Nein lautet, bis Sie es überprüft haben.
Terminal Server Client\Servers. Alles, was darüber hinausgeht, verdient Ihren Verdacht, nicht Ihren Doppelklick.Der vollständige einminütige Fix, Schritt für Schritt live auf einem echten Windows 11-PC gezeigt.
Watch Full VideoNein. Auch ein selbstsigniertes Zertifikat verschlüsselt die Sitzung. Bei dem Popup geht es um die Identität – Windows kann nicht bestätigen, dass der PC wirklich Ihnen gehört – nicht um die Verschlüsselung. Genau aus diesem Grund besteht die richtige Lösung darin, dieses eine Zertifikat zu überprüfen und ihm zu vertrauen, und nicht darin, den Scheck wegzunehmen.
Dies ist möglich, und wenn dies der Fall ist, bedeutet dies normalerweise, dass sich das Zertifikat des Servers geändert hat – eine Neuerstellung, eine Migration oder die Erneuerung des selbstsignierten Zertifikats. Behandeln Sie das zurückkehrende Popup als funktionierendes System. Stellen Sie sicher, dass der Server noch Ihnen gehört, und vertrauen Sie dann dem neuen Zertifikat auf die gleiche Weise.
Denn der Import selbst ist tatsächlich eine Ein-Minuten-Arbeit – die Pflege davor und danach gehört dazu. Das Lesen der REG-Datei dauert zwanzig Sekunden, und wenn man dem richtigen Fingerabdruck vertraut, bleibt die Warnung für alle anderen Server bestehen. Schnell und sicher sind hier keine Gegensätze.