Multi-Faktor-Authentifizierung (2FA/MFA) für Remote Desktop Web Client

Zuletzt aktualisiert am 9. December 2025

Übersicht über MFA für Remote Desktop Web Client

Multi-Faktor-Authentifizierung (MFA) für Remote Desktop Web Client ist eine zusätzliche Sicherheitsschicht, die Zwei-Faktor-Authentifizierung (2FA) und Multi-Faktor-Authentifizierung (MFA) zu den Remote Desktop Web Client Anmeldungen hinzufügt. Der Remote Desktop Web Client ermöglicht es Ihren Benutzern, über einen kompatiblen Webbrowser auf die Remote Desktop Infrastruktur Ihrer Organisation zuzugreifen. Benutzer können mit Remote Apps und Desktops interagieren, als würden sie an einem lokalen PC arbeiten. MFA für den Web Client ermöglicht es Ihnen, diese Anmeldungen durch Multi-Faktor-Authentifizierung (MFA) zu schützen.

Wenn sich ein Benutzer am RD Web Client anmeldet und Rublon 2FA aktiviert ist, muss er wie gewohnt seinen Benutzernamen und sein Passwort eingeben. Anschließend erscheint der Rublon Prompt, und der Benutzer kann die gewünschte Authentifizierungsmethode auswählen. Nachdem der Benutzer seine Identität über eine der verfügbaren Methoden bestätigt hat, wird er am RD Web Client angemeldet. Benutzer, die die Zwei Faktor Authentifizierung nicht abschließen, erhalten keinen Zugriff.

Um Multi-Faktor-Authentifizierung (MFA) und Zwei-Faktor-Authentifizierung (2FA) zu den Anmeldungen des RD Web Clients hinzuzufügen, müssen Sie den Rublon MFA für RD Web Connector installieren. Dieses Dokument beschreibt alle erforderlichen Schritte.

Demo Video

Unterstützte Authentifizierungsmethoden

Authentifizierungsmethode	Unterstützt	Kommentar
Mobile Push	✔	N/A
FIDO	✔	N/A
Passcode	✔	N/A
SMS-Passcode	✔	N/A
SMS-Link	✔	N/A
Telefonanruf	✔	N/A
QR-Code	✔	N/A
E-Mail-Link	✔	N/A
YubiKey OTP Security Key	✔	N/A

Bevor Sie beginnen

Um MFA für den Web Client zu aktivieren, verwenden Sie den Rublon MFA für RD Web Connector. Dieser Connector unterstützt die folgenden Betriebssysteme:

• Windows Server 2012
• Windows Server 2012 R2
• Windows Server 2016
• Windows Server 2019
• Windows Server 2022

Erforderliche Komponenten

• .NET Framework, Version 4.6
• Installierter und gut getesteter Remote Desktop Web Client ab Version 2.1.62.1
• Ein aktualisierter Windows Server
• Ausgehender Port 443 geöffnet für https://core.rublon.net auf dem Server, auf dem RD Web Client installiert ist

Schritte vor der Installation

1. Melden Sie sich in der Rublon Admin Console an.

2. Klicken Sie links auf Applications.

3. Klicken Sie auf Add.

4. Legen Sie einen Namen für Ihre Anwendung fest, z. B. RD Web Client.

5. Setzen Sie Type auf Remote Desktop Web Client.

6. Klicken Sie auf Save, um eine neue Anwendung zu erstellen.

7. Kopieren und notieren Sie die Werte von System Token und Secret Key. Diese werden später benötigt.

8. Stellen Sie sicher, dass die Authentifizierungsmethode Mobile Push oder E-Mail-Link in der Policy aktiviert ist, die der Remote Desktop Web Client Anwendung in der Rublon Admin Console zugewiesen wurde.

9. Um MFA/2FA für Ihren Remote Desktop Web Client zu aktivieren, müssen Sie den Rublon MFA für RD Web Connector herunterladen. Verwenden Sie dazu den folgenden Link:

Download des Rublon MFA für RD Web Installers

Installation von MFA für Remote Desktop Web Client

1. Führen Sie den Installer mit Administratorrechten aus.

2. Lesen Sie auf der ersten Seite des Installers die Informationen über das Produkt, das Sie installieren möchten.

• Wenn Sie den Connector zum ersten Mal installieren, klicken Sie auf Next.

• Wenn Sie den Connector auf diesem System bereits installiert haben, können Sie entweder die aktuelle Installation aktualisieren oder eine Neuinstallation durchführen.
  • Update current installation: Wenn Sie die aktuelle Installation aktualisieren, können Sie keine bestehenden Optionen ändern. Falls in dieser Version des Installers eine neue Option hinzugefügt wurde, können Sie deren Wert vor Beginn der Installation anpassen. Die Option Update current installation wird empfohlen, wenn Sie auf eine neuere Version aktualisieren möchten und alle aktuellen Einstellungen behalten wollen.
  • Clean installation: Wenn Sie eine Neuinstallation durchführen möchten, fahren Sie mit den weiteren Schritten in diesem Abschnitt fort.

3. Geben Sie die API-Zugangsdaten (System Token und Secret Key) aus Ihrer Application des Typs Remote Desktop Web Client im Bereich Applications der Rublon Admin Console ein und klicken Sie auf Next.

Parameter	Beschreibung
System Token	System Token Ihrer Application in der Rublon Admin Console. Fügen Sie den Wert ein, den Sie zuvor notiert haben.
Secret Key	Secret Key Ihrer Application in der Rublon Admin Console. Fügen Sie den Wert ein, den Sie zuvor notiert haben.
API Address	Behalten Sie den Standardwert https://core.rublon.net bei, sofern Sie die URL des Rublon API Servers nicht ausdrücklich ändern möchten.

4. Aktivieren Sie die gewünschten Konfigurationsoptionen und klicken Sie auf Next. Nutzen Sie das folgende Bild und die Tabelle als Referenz.

Option	Beschreibung
Use proxy	Aktivieren Sie diese Option, wenn Sie einen Proxy verwenden. Wenn die Option aktiviert ist, werden Sie auf der nächsten Seite nach weiteren Details zum Proxy gefragt.

5. Wenn Sie Use proxy aktiviert haben, erscheint eine zusätzliche Seite, auf der Sie die Proxy-Informationen eingeben müssen. Nachdem Sie die Informationen ausgefüllt haben, klicken Sie auf Next. Nutzen Sie das folgende Bild und die Tabelle als Referenz.

Option	Beschreibung
Proxy Host	Die Adresse des Proxyservers.
Proxy Port	Der Port, auf dem der Proxyserver betrieben wird.
Proxy Username	Der Benutzername des HTTP-Proxy-Server-Benutzers. Optional: Füllen Sie diesen aus, wenn eine Verifikation per Benutzername erforderlich ist.
Proxy Password	Das Passwort des HTTP-Proxy-Server-Benutzers. Optional: Füllen Sie dieses aus, wenn es für die Verifikation erforderlich ist.

6. Aktivieren Sie die gewünschte Bypass-Option und klicken Sie auf Next. Nutzen Sie das folgende Bild und die Tabelle als Referenz.

Option	Beschreibung
Bypass MFA when it cannot be performed	Aktivieren Sie diese Option, um MFA zu umgehen (bypass), wenn die Rublon API erreichbar ist, MFA jedoch nicht ausgeführt werden kann (z. B. zu viele Anfragen).

7. Rublon MFA für RD Web ist bereit zur Installation.

Rublon MFA für RD Web führt während der Installation die folgenden Schritte aus:

• Fügt Konfigurationseinstellungen zur Windows-Registry hinzu.
• Installiert die Anwendung an einem vordefinierten Speicherort im System. Dieser Pfad kann nicht geändert werden.
• Startet den Installer für die erforderlichen zusätzlichen Pakete: Microsoft Visual C++ 2015-2019 Redistributable (x64). Rublon für RD Web benötigt dieses Paket, um ordnungsgemäß zu funktionieren. Der RD Gateway Installer installiert das Paket automatisch, wenn es noch nicht im System vorhanden ist. Wenn das Paket bereits im System vorhanden ist, überspringt der Installer diesen Schritt und zeigt auf der Seite Ready to install keine Informationen dazu an.

8. Klicken Sie auf Install, um Rublon MFA for Remote Desktop Web zu installieren.

9. Nach einer erfolgreichen Installation informiert Sie der Installer darüber, dass die Installation abgeschlossen ist. Aktivieren Sie gegebenenfalls View log und anschließend auf Finish.

Konfiguration von MFA für Remote Desktop Web Client

Sie können die Einstellungen von Rublon MFA für Remote Desktop Web in der Windows-Registry ändern unter: HKEY_LOCAL_MACHINE\SOFTWARE\Rublon\RDWeb
Sie müssen RD Web Access vor Änderungen nicht stoppen. Die vorgenommenen Änderungen werden automatisch bei der nächsten Anmeldung angewendet.

Wert	Beschreibung	Standardwert
RublonApiServer	Der Server der Rublon API.	Die während der Installation eingegebene Adresse. Verwenden Sie immer https://core.rublon.net, sofern Rublon Support nichts anderes anweist.
SystemToken	Ein Zeichenfolgenwert aus der Rublon Admin Console, für den Anwendungstyp Remote Desktop Web Client.	Der während der Installation eingegebene Wert.
SecretKey	Ein Zeichenfolgenwert aus der Rublon Admin Console, für den Anwendungstyp Remote Desktop Web Client.	Der während der Installation eingegebene Wert.
ProxyHost	Die Adresse des Proxyservers. Optional.	Der während der Installation eingegebene Wert oder leer.
ProxyMode	Damit ein Proxy funktioniert, müssen mindestens zwei Werte gesetzt werden: ProxyHost und ProxyPort. Wenn beide Werte vorhanden sind, wird der Proxy automatisch aktiviert und ProxyMode wird auf 1 gesetzt. Wenn nur ProxyHost oder nur ProxyPortangegeben wird, werden Registry-Einträge erstellt, aber ProxyMode bleibt 0und der Proxy ist nicht aktiv. Setzen Sie ProxyMode auf 0, um den Proxy zu deaktivieren.	1, wenn während der Installation das Kontrollkästchen Use proxy aktiviert wurde; ansonsten 0.
ProxyPassword	Das Passwort des Proxybenutzers. Optional.	Der während der Installation eingegebene Wert oder leer.
ProxyPort	Der Port des Proxyservers. Optional.	Der während der Installation eingegebene Wert oder leer.
ProxyUsername	Der Benutzername des Proxybenutzers. Optional.	Der während der Installation eingegebene Wert oder leer.
FailMode	Legt fest, ob der Benutzer angemeldet wird, wenn die Multi-Faktor-Authentifizierung aufgrund technischer Probleme nicht durchgeführt werden kann. Mögliche Werte: bypass – Benutzer wird angemeldet, wenn Konfiguration ungültig ist oder keine Verbindung zur Rublon API besteht deny – Benutzer wird blockiert, wenn Konfiguration ungültig ist oder keine Verbindung zur Rublon API besteht safe – Alternative zu bypass, Benutzer wird angemeldet secure – Alternative zu deny, Benutzer wird blockiert	bypass/safe, wenn das Kontrollkästchen Bypass MFA when it cannot be performed aktiviert war; sonst deny/secure.
SendUPN	Wenn auf 1 gesetzt, sucht Rublon den User Principal Name (UPN) im Active Directory und sendet diesen als Rublon Benutzernamen, z. B. user@domain.com. Wenn auf 0 gesetzt, sendet Rublon den sAMAccountName als Rublon Benutzernamen, z. B. Domain\user. Mögliche Werte: 1 – aktiviert das Senden des UPN 0 – deaktiviert das Senden des UPN Wenn SendUPN auf 1 gesetzt ist, aber Rublon keinen UPN im Active Directory findet, wird der Zugriff verweigert und im Log vermerkt.	0
DebugRequests	Wenn auf 1 gesetzt, werden Anfragen und Antworten in der Kommunikation mit der Rublon API detailliert protokolliert. Diesen Wert nur auf 1 setzen, wenn Rublon Support darum bittet.	0
AuthCookieLifeDuration	Die maximale Lebensdauer eines Rublon Session Cookies in Sekunden. Der Wert muss eine positive Ganzzahl sein und kann als String gespeichert werden.	Die Standardlebensdauer beträgt 28800 Sekunden. Allerdings wird AuthCookieLifeDuration nicht automatisch zur Registry hinzugefügt und muss manuell angelegt werden.
MaxRublonAuthWaitTime	Die maximale Wartezeit für die Durchführung der Rublon Authentifizierung in RD Web in Sekunden. Dieser Wert muss identisch sein mit executionTimeout in der Datei C:\Windows\web\rdweb\web.config	Die standardmäßige maximale Wartezeit für die Durchführung der Rublon Authentifizierung beträgt 600 Sekunden. Der Wert MaxRublonAuthWaitTime wird jedoch nicht automatisch zur Windows Registry hinzugefügt. Wenn Sie diesen Wert ändern möchten, müssen Sie ihn manuell in der Registry anlegen.
SecretSessionKey	Signierschlüssel für Rublon Cookies. Geben Sie diesen Schlüssel niemals weiter. Wenn er kompromittiert wurde, generieren Sie einen neuen.	Wird während der Installation automatisch generiert.
SecretStorageKey	Schlüssel zum Signieren temporärer Dateien des Connectors. Geben Sie diesen Schlüssel niemals weiter. Wenn er kompromittiert wurde, generieren Sie einen neuen.	Wird während der Installation automatisch generiert.
SessionDataDir	Gilt nur für High-Availability Installationen, z. B. Load Balancer und mehrere RD Web Instanzen. Pfad zu einem freigegebenen Netzwerkordner, der von allen RD Web Instanzen erreichbar ist, in dem die Session Dateien gespeichert werden. Weitere Informationen finden Sie im Abschnitt Hochverfügbarkeit (HA) Installation und Konfiguration. Unterstützt UNC-Pfad und lokale Pfade.	SessionDataDir wird nicht automatisch zur Registry hinzugefügt und muss manuell angelegt werden.

Logging

Sie können die Logging-Einstellungen in der Datei log4Net.config ändern. Diese Datei befindet sich im Ordner, in dem Sie Rublon MFA für Remote Desktop Web installiert haben (standardmäßig C:\Rublon\RDWeb). Alle Änderungen am Logging werden sofort übernommen und ein Neustart von RD Web Access ist nicht erforderlich.

Ändern des Logdateipfads

Standardmäßig befindet sich die Logdatei unter C:\Rublon\RDWeb\RublonRDWebAccess.log
Sie können diesen Pfad wie folgt ändern:

1. 1. Öffnen Sie die Datei log4Net.config und suchen Sie nach der folgenden Zeile:
<file value=”${SystemDrive}\\Rublon\\RDWeb\\RublonRDWebAccess.log” />

2. Ersetzen Sie ${SystemDrive}\\Rublon\\RDWeb\\RublonRDWebAccess.log durch den neuen Pfad.

3. Ab jetzt werden alle Informationen zu Rublon-Authentifizierungsvorgängen in die neue Datei geschrieben.

Logging-Level ändern

Die Menge der Informationen, die in die Logdatei geschrieben wird, kann über die sogenannten Logging-Levels angepasst werden.

1. Öffnen Sie die Datei log4Net.config und suchen Sie nach folgendem Eintrag:

<root>
<level value="DEBUG" />

2. Ändern Sie den Standardwert DEBUG auf einen der folgenden Werte:

• ALL – protokolliert alles
• DEBUG – protokolliert detaillierte Informationen zum Anmeldeprozess
• INFO – protokolliert Informationen, Warnungen und Fehler
• WARN – protokolliert Warnungen und Fehler
• ERROR – protokolliert nur Fehler
• OFF – deaktiviert das Logging

Hochverfügbarkeit (HA) Installation und Konfiguration

Um die Multi-Faktor-Authentifizierung durchzuführen, verwendet der Rublon MFA für RD Web Connector sogenannte Rublon Session Files. Bei einer High Availability Installation mit einem Load Balancer und mehreren RD Web Instanzen wird ein Netzwerkordner benötigt, auf den alle RD Web Instanzen zugreifen können, um die Rublon Session Files zu speichern.

Follow these steps:

1. Erstellen Sie einen gemeinsamen Netzwerkordner, der für alle RD Web Instanzen erreichbar ist.

2. Binden Sie auf jeder RD Web Instanz den gemeinsamen Ordner als Laufwerk ein, zum Beispiel als Z:. 

3. Stellen Sie sicher, dass der IIS Serverbenutzer Schreibrechte auf diesen Ordner hat.

4. Führen Sie auf jeder RD Web Instanz folgende Schritte aus:

1. Installieren Sie den Rublon MFA für RD Web Connector (Version 1.5.1 oder höher).
2. Legen Sie den Pfad zum gemeinsamen Ordner in der Windows-Registry an.
   Fügen Sie einen neuen Parameter unter folgendem Schlüssel hinzu:
   HKEY_LOCAL_MACHINE\SOFTWARE\Rublon\RDWeb
   Value Type: String
   Value Name: SessionDataDir
   Value Data: Z: (oder der vollständige UNC-Pfad des gemeinsamen Ordners, zum Beispiel: \\server_name\folder_name)

5. Setzen Sie einen gemeinsamen SecretStorageKey für alle RD Web Instanzen:

• Rublon schützt Session Files mit HMAC-SHA256.
• Der geheime Storage Key wird während der Installation erzeugt.
• Kopieren Sie den SecretStorageKey aus der Windows-Registry einer RD Web Instanz und fügen Sie denselben Wert bei allen anderen Instanzen ein.

Maximale Zeit für den Abschluss der Rublon-Authentifizierung ändern

Die Rublon-Authentifizierung im RD Web Client hat eine festgelegte maximale Abschlusszeit. Die standardmäßige maximale Abschlusszeit beträgt 10 Minuten. Wenn der Benutzer den Authentifizierungsprozess innerhalb dieser Zeit nicht abschließt, muss er die Seite aktualisieren und es erneut versuchen.

Sie können die maximale Zeit für den Abschluss der Rublon-Authentifizierung ändern, indem Sie die folgenden zwei Parameter auf den gleichen Wert setzen:

1. In der RD Web Anwendungs-Konfigurationsdatei:
   • Standardmäßig unter C:\windows\web\rdweb\web.config gespeichert.
   • Suchen Sie folgenden Eintrag:
     <httpRuntime enableVersionHeader="false" executionTimeout="600" encoderType="System.Web.Security.AntiXss.AntiXssEncoder" />
   • Ändern Sie den Wert von executionTimeout auf den gewünschten Timeout-Wert in Sekunden.
2. In der Windows Registry unter folgendem Schlüssel: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Rublon\RDWeb 
   • Ändern Sie den Wert von maxRublonAuthWaitTime auf den gewünschten positiven Integer-Wert in Sekunden.
     Dieser Wert muss identisch sein mit dem Wert, den Sie in der Datei web.config gesetzt haben.

Beispiel

Angenommen, Sie möchten die maximale Zeit für den Abschluss der Rublon-Authentifizierung auf 15 Minuten erhöhen.

1. Öffnen Sie die Datei web.config und suchen Sie den Eintrag executionTimeout. Ändern Sie den Wert auf 900 (15 Minuten entsprechen 900 Sekunden).

2. Öffnen Sie in der Windows-Registrierung den folgenden Pfad:
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Rublon\RDWeb
Setzen Sie den Wert maxRublonAuthWaitTime auf 900.

3. Bei allen folgenden Anmeldungen beträgt die maximale Zeit für den Abschluss der Rublon-Authentifizierung nun 15 Minuten.

Hinweis: Die maximale Zeit für den Abschluss der Rublon-Authentifizierung wird auch in den Logdateien angezeigt. Beispiel:

30-07 10:31:29.8006 [59] DEBUG Rublon.RDWeb.WebClientModule "rublon\psz "(0: oqxspupxr0bf4gcqxg3aszh1|Forms)" " "IIS APPPOOL\RDWebAccess" " Starting Rublon auth, Rublon settings: Block when auth fails: True,  api Url: https://core.rublon.net,system token A85BBC64291A4FFBA1AAA96378D8809B, debug Rublon requests False, sendUPN: True, maxRequestTimeout: 600000ms"

Aktualisierung von MFA für Remote Desktop Web Client

Wenn Sie Rublon MFA für RD Web bereits installiert haben und auf eine neuere Version aktualisieren möchten, öffnen Sie die neue Installationsdatei und führen Sie den Installationsprozess erneut durch. Ihre Einstellungen aus der vorherigen Version bleiben erhalten.

Sie müssen die alte Version von Rublon MFA für RD Web nicht deinstallieren, bevor Sie sie aktualisieren.

Sie müssen die Installationsparameter nicht erneut angeben, wenn Sie Rublon MFA für RD Web aktualisieren.

Deinstallation von MFA für Remote Desktop Web Client

Führen Sie unis000.exe als Administrator aus, die sich im Ordner C:\Program Files\Rublon\RDWeb\ befindet, um Rublon MFA für RD Web zu deinstallieren.

Alternativ können Sie Apps & Features öffnen, Rublon for RD Web auswählen und Deinstallieren anklicken.

MFA für Remote Desktop Web Client Anmeldebeispiel

Das folgende Beispiel zeigt einen Anmeldeablauf für den RD Web Client, wenn Rublon 2FA aktiviert ist. Die Remote Desktop Web Client URL lautet https://server_fqdn/RDWeb/webclient/index.html, wobei server_fqdn der vollständig qualifizierte Domainname des verwendeten Servers ist.

1. Starten Sie den Web Client.

2. Geben Sie Ihre Anmeldeinformationen ein und klicken Sie auf Sign in.

3. Es erscheint ein Fenster mit verschiedenen 2FA-Optionen von Rublon. Wählen wir Mobile Push.

4. Sie erhalten eine Mobile Push-Authentifizierungsanfrage. Tippen Sie auf APPROVE.

5. Sie werden erfolgreich angemeldet.

Lösungen für bekannte Fehler

Wenn Ihre Anmeldung über den RD Web Client fehlschlägt, wird die folgende Warnmeldung angezeigt:

Wenn Sie eine solche Warnmeldung erhalten, stellen Sie sicher, dass der Benutzer, der sich anmelden möchte, im Reiter Users in der Rublon Admin Console eingetragen ist. Sollte das Hinzufügen des Benutzers in der Admin Console das Problem nicht beheben, prüfen Sie die Logdatei. Diese befindet sich standardmäßig unter: C:\Rublon\RDWeb\RublonRDWebAccess.log

Wenn Sie in den Logs den Fehler “Invalid session id” finden, hat dies wahrscheinlich mit dem Cache zu tun. Versuchen Sie Folgendes:

• Führen Sie einen Hard Refresh der RD Web Client Anmeldeseite durch:
  • Chrome, Firefox oder Edge unter Windows: Drücken Sie Strg+F5 (Wenn das nicht funktioniert, probieren Sie Shift+F5 oder Strg+Shift+R)
• Versuchen Sie den Incognito-Modus
• Leeren Sie den Browsercache
• Starten Sie den Server neu

Wenn keiner dieser Schritte funktioniert, senden Sie die Logdatei zusammen mit einer Problembeschreibung an Rublon Support.

MFA für Remote Desktop Web Access

Der Rublon MFA für Remote Desktop Web Connector fügt auch MFA zu Remote Access Web Access Anmeldungen hinzu. Weitere Informationen finden Sie unter Rublon MFA for RD Web Access.

MFA für Remote Desktop Web Feed

Der Rublon MFA für Remote Desktop Web Connector fügt auch MFA zu Remote Access Web Feed Anmeldungen hinzu. Weitere Informationen finden Sie unter MFA for RD Web Feed.

Fehlerbehebung

• Wenn Sie ein Problem oder eine Frage haben, lesen Sie zuerst die Rublon MFA for RD Web – FAQ.
• Sehen Sie sich den Abschnitt Lösungen für bekannte Fehler in dieser Dokumentation an.
• Suchen Sie Ihre Logdatei. Diese befindet sich standardmäßig unter C:\Rublon\RDWeb\RublonRDWebAccess.log und senden Sie die Datei zusammen mit einer Problembeschreibung an Rublon Support.
• Wenn Sie Probleme mit Ihrer Rublon Integration haben, kontaktieren Sie bitte den Rublon Support.

Verwandte Beiträge

Rublon MFA für Remote Desktop Web Access – Dokumentation

Rublon MFA für Remote Desktop Web – Release Notes

Rublon MFA für Remote Desktop Web – FAQ

Rublon MFA für Remote Desktop Web – Download