Multi-Faktor-Authentifizierung (2FA/MFA) für Remote Desktop Gateway

Zuletzt aktualisiert am 15. December 2025

Übersicht zu MFA für Remote Desktop Gateway

Multi-Faktor-Authentifizierung (MFA) für Remote Desktop Gateway ist eine sichere zusätzliche Authentifizierungsebene für Microsoft Remote Desktop Gateway Anmeldungen. Während des Authentifizierungsprozesses sendet Rublon eine Mobile Push Anfrage an den Benutzer, wenn die Rublon Authenticator App installiert ist. Neben der Mobile Push Authentifizierungsmethode können auch E-Mail-Link, Telefonanruf und SMS-Link verwendet werden. Benutzern, die den Prozess der Zwei-Faktor-Authentifizierung nicht abschließen, wird der Zugriff verweigert.

Rublon MFA lässt sich über einen dedizierten Connector namens Rublon MFA für Remote Desktop Gateway in Remote Desktop Gateway integrieren.

Rublon MFA für RD Gateway hat keine Auswirkungen auf den SSL Certificate Tab im Remote Desktop Gateway Manager. Falls Sie Probleme mit Zertifikaten haben, starten Sie den IISS Server und den RDG Dienst neu.

RD Gateway Benutzer, die durch Rublon authentifiziert werden, sollten vor der Bereitstellung darüber informiert werden, dass während der Anmeldung eine zusätzliche Zwei-Faktor-Authentifizierung erforderlich ist, da sie hierzu keine Nachricht erhalten. Es wird empfohlen, dass Benutzer die Rublon Authenticator App verwenden.

Rublon MFA für Microsoft RD Gateway unterstützt die folgenden Betriebssysteme:

• Windows Server 2008 R2
• Windows Server 2012 R2
• Windows Server 2016
• Windows Server 2019
• Windows Server 2022

Demo-Video

Unterstützte Authentifizierungsmethoden

Authentifizierungsmethode	Unterstützt	Kommentare
Mobile Push	✔	N/A
FIDO	–	N/A
Passcode	–	N/A
SMS-Passcode	–	N/A
SMS-Link	✔	N/A
Telefonanruf	✔	N/A
QR-Code	–	N/A
E-Mail-Link	✔	N/A
YubiKey OTP Sicherheitsschlüssel	–	N/A

Bevor Sie beginnen

• Stellen Sie sicher, dass Sie ein gut getestetes, funktionierendes und laufendes RDG haben, bevor Sie Rublon MFA für RD Gateway installieren.
• Beachten Sie, dass Rublon MFA for RD Gateway Ihre aktuellen Geräteweiterleitungen und Timeouts überschreibt. Wir empfehlen, dass Sie die aktuellen Einstellungen der RD Connection Authorization Policies notieren. Sie können diese später in der Rublon MFA für RD Gateway Konfigurationsdatei erneut setzen.
• Wir empfehlen, dass Sie sich mit den verfügbaren Methoden zur Registrierung von Rublon Benutzern vertraut machen. Sie können diese Methoden im Abschnitt Settings der Rublon Admin Console festlegen und bearbeiten.
• Stellen Sie vor dem Fortfahren sicher, dass Ihr Windows aktuell ist und Sie die neuesten Updates installiert haben.

Schritte vor der Installation

1. Melden Sie sich in der Rublon Admin Console an.

2. Klicken Sie links auf Applications.

3. Klicken Sie auf Add Application.

4. Legen Sie einen Namen für Ihre Application fest, z. B. RD Gateway.

5. Setzen Sie Type auf Remote Desktop Gateway.

6. Entscheiden Sie, ob Sie die Benutzernamen-Normalisierung (Username Normalization) und die Ansicht Authentifikatoren verwalten (Manage Authenticators) aktivieren möchten.
Weitere Informationen finden Sie unter: Wie man eine Anwendung hinzufügt

7. Klicken Sie auf Save, um eine neue Application zu erstellen.

8. Notieren Sie die Werte von System Token und Secret Key. Diese werden später benötigen.

9. Rublon MFA für RD Gateway Installer herunterladen.

Installation von Rublon MFA für Remote Desktop Gateway (GUI Installation)

1. Führen Sie den Installer mit Administratorrechten aus.

2. Lesen Sie auf der ersten Seite des Installers die Informationen über das Produkt, das Sie installieren möchten.

• Wenn Sie den Connector zum ersten Mal installieren, klicken Sie auf Next.

• Wenn Sie den Connector nicht zum ersten Mal auf diesem Endpoint installieren, können Sie entweder die Update current installation oder eine Clean installation durchführen
  • Update current installation: Wenn Sie sich dafür entscheiden, die aktuelle Installation zu aktualisieren, können Sie keine bereits vorhandenen Optionen im Installer ändern. Wenn jedoch in dieser Version des Installers eine neue Option eingeführt wurde, können Sie deren Wert ändern, bevor die Installation beginnt. Die Option Update current installation wird für diejenigen empfohlen, die den Connector auf eine neuere Version aktualisieren und alle aktuellen Einstellungen beibehalten möchten.
  • Clean installation: Wenn Sie sich für Clean installation entscheiden, fahren Sie mit den Schritten in diesem Abschnitt fort.

3. Geben Sie die API-Zugangsdaten (System Token und Secret Key) aus Ihrer Application vom Typ Remote Desktop Gateway im Applications-Tab der Rublon Admin Console ein und klicken Sie auf Next.

Option	Beschreibung
API Server	Geben Sie https://core.rublon.net ein, es sei denn, Sie möchten die Rublon API Server URL ausdrücklich ändern.
System Token	System Token Ihrer Application in der Rublon Admin Console. Fügen Sie den Wert ein, den Sie zuvor notiert haben.
Secret Key	Secret Key Ihrer Application in der Rublon Admin Console. Fügen Sie den Wert ein, den Sie zuvor notiert haben.

4. Aktivieren Sie die gewünschten Konfigurationsoptionen und klicken Sie auf Next. Nutzen Sie das folgende Bild und die Tabelle als Referenz.

Option	Beschreibung
Use proxy	Aktivieren Sie diese Option, wenn Sie einen Proxy verwenden. Wenn die Option aktiviert ist, werden Sie auf der nächsten Seite nach weiteren Details zum Proxy gefragt.

5. Wenn Sie Use proxy aktiviert haben, erscheint eine zusätzliche Seite, auf der Sie die Proxy Informationen eingeben müssen. Nachdem Sie die Informationen ausgefüllt haben, klicken Sie auf Next. Nutzen Sie das folgende Bild und die Tabelle als Referenz.

Option	Beschreibung
Proxy Host	Die Adresse des Proxy-Servers.
Proxy Port	Der Port, auf dem der Proxy-Server betrieben wird.
Proxy Username	Der Benutzername des HTTP-Proxy-Server-Benutzers. Optional: Füllen Sie diesen aus, wenn eine Verifikation per Benutzername erforderlich ist.
Proxy Password	Das Passwort des HTTP-Proxy-Server-Benutzers. Optional: Füllen Sie dieses aus, wenn es für die Verifikation erforderlich ist.

6. Aktivieren Sie die gewünschte Bypass-Option und klicken Sie auf Next. Nutzen Sie das folgende Bild und die Tabelle als Referenz.

Option

Beschreibung

Bypass MFA when it cannot be performed

Aktivieren Sie diese Option, um MFA zu umgehen (bypass), wenn die Rublon API erreichbar ist, MFA jedoch nicht ausgeführt werden kann (z. B. zu viele Anfragen). Wir empfehlen, diese Option aktiviert zu lassen, wenn Sie Rublon zum ersten Mal installieren, damit Sie im Falle von Problemen (z. B. falscher System Token/Secret Key oder Firewall blockiert Rublon) weiterhin Zugriff auf Ihre Maschine haben.

7. Rublon MFA für RD Gateway ist bereit zur Installation.

Rublon MFA für Remote Desktop Gateway führt während der Installation die folgenden Schritte aus:

• Fügt Konfigurationseinstellungen zur Windows-Registry hinzu.
• Installiert die Anwendung an einem vordefinierten Speicherort im System. Dieser Pfad kann nicht geändert werden.
• Startet den Installer für die erforderlichen zusätzlichen Pakete: Microsoft Visual C++ 2015-2019 Redistributable (x64). Rublon für RD Web benötigt dieses Paket, um ordnungsgemäß zu funktionieren. Der RD Gateway Installer installiert das Paket automatisch, wenn es noch nicht im System vorhanden ist.

8. Klicken Sie auf Install, um Rublon MFA für Remote Desktop Gateway zu installieren.

9. Nach einer erfolgreichen Installation informiert Sie der Installer darüber, dass die Installation abgeschlossen ist. Aktivieren Sie gegebenenfalls View log und anschließend auf Finish.

10. Überprüfen Sie, ob Sie das Plug-in korrekt installiert haben. Gehen Sie zu C:\ProgramData\Rublon\RDG\Logs und öffnen Sie die Datei Rublon-RDG.log. Suchen Sie nach einer Zeile, die wie folgt beginnt:

[info] “Rublon RDG Authentication Plugin version:

Wenn Sie die obenstehende Zeile nicht sehen, warten Sie einen Moment. Eventuell sind Sie schneller als die Software.

11. Die Installation ist abgeschlossen. Wir empfehlen, den Abschnitt Configuration aufzurufen, um mehr über die Parameter zu erfahren, die Sie einstellen können.

Installation von Rublon MFA für Remote Desktop Gateway (Silent Mode Installation)

1. Führen Sie den Installer über eine Kommandozeile aus, mit zum Beispiel cmd oder PowerShell.

2. Bereiten Sie den Installationsbefehl nach folgendem Muster vor:

.\Rublon-RDG-1.6.0.exe /verysilent /rublonApiServer=https://core.rublon.net /token={token} /key={key} /failMode=bypass

Dabei wird jede Option wie folgt gesetzt: /<OptionName>=<OptionValue>

Zum Beispiel:

.\Rublon-RDG-1.6.0.exe /verysilent /rublonApiServer=https://core.rublon.net /token=9BBD412E91594D39BD6FCB841D396C4X /key=97df2dced39aa615a0235819116893

Weitere Informationen finden Sie in der folgenden Tabelle mit den Beschreibungen der Parameter.

Parameter	Beschreibung	Erforderlich
token	System Token Ihrer Anwendung in der Rublon Admin Console. Fügen Sie den zuvor notierten Wert ein.	Ja
key	Secret Key Ihrer Anwendung in der Rublon Admin Console. Fügen Sie den zuvor notierten Wert ein.	Ja
verysilent	Führt den Installer ohne graphical user interface (GUI) aus.	Ja, um den Installer im Silent Mode auszuführen. Wenn dieser Parameter fehlt, wird der Installer im GUI-Modus ausgeführt.
silent	Führt den Installer aus, überspringt dabei den größten Teil der GUI, zeigt aber weiterhin eine Installationsfortschrittsanzeige. Wenn während der Installation ein Fehler auftritt, wird eine grafische Meldung angezeigt, die eine Benutzerinteraktion erfordert.	Nein
suppressmsgboxes	Wenn ein Fehler auftritt, wird statt eines Pop-ups (wie im GUI-Modus) der Fehler in die Logdateien geschrieben.	Nein
failMode	Bypass MFA für Anmeldungen, wenn der Rublon Server nicht erreichbar ist. Setzen Sie den Wert auf bypass, damit die Anmeldung auch ohne MFA fortgesetzt wird. Setzen Sie den Wert auf deny, damit die Anmeldung ohne MFA blockiert wird. Empfohlen: bypass	Nein
proxyHost	Die Adresse des Proxyservers.	Nein
proxyPort	Der Port des Proxyservers.	Nein
proxyUsername	Der Benutzername des HTTP-Proxyserver-Benutzers.	Nein
proxyPassword	Das Passwort des HTTP-Proxyserver-Benutzers.	Nein
rublonApiServer	Der Server der Rublon-API.	Nein
NORESTART	Verhindert einen automatischen Neustart des Systems nach der erfolgreichen Installation oder nach der Vorbereitung auf eine Installation, die einen Neustart erfordert.	Nein

3. Führen Sie den vorbereiteten Befehl aus.

4. Überprüfen Sie, ob Sie den Connector korrekt installiert haben. Gehen Sie zu C:\ProgramData\Rublon\RDG\Logs und öffnen Sie die Datei Rublon-RDG.log. Suchen Sie nach einer Zeile, die wie folgt beginnt:

[info] “Rublon RDG Authentication Plugin version:

Wenn Sie die obenstehende Zeile nicht sehen, warten Sie einen Moment. Eventuell sind Sie schneller als die Software.

5. Die Installation ist abgeschlossen. Wir empfehlen, den Abschnitt Configuration aufzurufen, um mehr über die Parameter zu erfahren, die Sie einstellen können.

Konfiguration von MFA für RD Gateway

Sie können die Einstellungen von Rublon MFA für RD Gateway in der Windows-Registry anpassen unter:
HKEY_LOCAL_MACHINE\SOFTWARE\Rublon\RDG.
Der RD Gateway Server muss vor dem Vornehmen von Änderungen nicht gestoppt werden. Die Änderungen werden beim nächsten Login automatisch übernommen.

Die folgende Tabelle beschreibt alle Werte:

Option	Beschreibung	Standardwert
RDG
rublonApiServer	Die Domain des Rublon Authentication Servers.	https://core.rublon.net
systemToken	Ein Zeichenfolgenwert aus der Rublon Admin Console für den Anwendungstyp Remote Desktop Gateway.
secretKey	Ein Zeichenfolgenwert aus der Rublon Admin Console für den Anwendungstyp Remote Desktop Gateway.
failMode	Legt fest, ob der Benutzer angemeldet wird, wenn die Multi Faktor Authentifizierung aus technischen Gründen nicht durchgeführt werden kann. Mögliche Werte: bypass – der Login wird auch ohne MFA fortgesetzt deny – der Login ohne MFA wird blockiert	bypass
sendUPN	Wenn auf 1 gesetzt, sucht Rublon den User Principal Name (UPN) im Active Directory und sendet diesen als Rublon Username (z. B. user@domain.com). Wenn auf 0 gesetzt, sendet Rublon den sAMAccountName als Rublon Username z. B. Domain\user. Mögliche Werte: 1 – aktiviert das Senden des UPN an Rublon 0 – deaktiviert das Senden des UPN an Rublon Angenommen, Sie setzen sendUPN auf 1, aber Rublon kann den User Principal Name (UPN) für einen bestimmten Benutzer in Active Directory nicht finden. In diesem Fall verweigert Rublon den Zugriff und der Fehler wird im Log vermerkt.	0
skipADUserDataSearch	Wenn auf 1 gesetzt, liest Rublon während der MFA-Authentifizierung keine Benutzerdaten aus Active Directory (UPN, E-Mail). Der Connector sendet nur Benutzernamen im Down-Level-Logon-Name-Format (DOMAIN\username) an die Rublon-API. Durch Setzen von skipADUserDataSearch auf 1 kann die MFA beschleunigt werden. Wenn auf 0 gesetzt, liest Rublon während der Authentifizierung die UPN und die E-Mail-Adresse und verwendet diese Werte bei Bedarf. Mögliche Werte: 1 – Deaktiviert das Lesen des UPN und der E-Mail-Adresse des Benutzers bei jeder Authentifizierung. 0 – Aktiviert das Lesen des UPN und der E-Mail-Adresse des Benutzers bei jeder Authentifizierung. Beachten Sie, dass Sie einen Authentifizierungsfehler erhalten, wenn Sie sowohl sendUPN als auch skipADUserDataSearch auf 1 setzen. Dies liegt daran, dass der Connector den Benutzernamen nicht zuordnen kann.	0
authenticationMethods	Legt die Reihenfolge der Ausführung der Authentifizierungsmethoden fest. Sie können eine einzelne Methode (push, email, smsLink, or phoneCall) oder eine Sequenz (z. B. email,push or push,smsLink,email) festlegen. Wenn eine Methode fehlschlägt, fährt der Connector mit der nächsten Methode in der Sequenz fort. Wenn alle Methoden einer Sequenz fehlschlagen, wird der Login entweder fortgesetzt oder blockiert – abhängig vom Wert von failMode. Wichtig: Stellen Sie sicher, dass die in authenticationMethods konfigurierten Authentifizierungsmethoden auch in der Rublon Admin Console aktiviert sind und dass jeder Nutzer mindestens eine dieser Methoden registriert hat. Andernfalls können Nutzer ohne registrierte Methode keinen Zugriff erhalten. Wichtig: Wenn Sie in der Rublon Admin Console eine Rublon Policy für eine Anwendung des Typs Remote Desktop Gateway konfigurieren, stellen Sie sicher, dass die in der Policy festgelegten Authentifizierungsmethoden mit den Methoden übereinstimmen, die im Wert authenticationMethods konfiguriert wurden. Wenn Sie zum Beispiel authenticationMethods auf push,email setzen, müssen Sie in der Rublon Policy ebenfalls Mobile Push und E-Mail-Link als verfügbare Methoden auswählen.	push,email,smsLink,phoneCall
severityLevel	Definiert das Logging-Level. Mögliche Werte: trace, debug, info, warning, error, fatal	info
CAP
allowOnlySDRServers	Erlaubt ausschließlich SDR-Server.	false
disableDriveRedirection	Deaktiviert Drive Redirection.	false
disablePrinterRedirection	Deaktiviert Printer Redirection.	false
disablePortRedirection	Deaktiviert Port Redirection	false
disableClipboardRedirection	Deaktiviert Clipboard Redirection.	false
disablePnpRedirection	Deaktiviert PnP Redirection.	false
idleTimeout	Idle Timeout in Minuten. Wenn auf 0 gesetzt, wird kein Timeout erzwungen.	120
sessionTimeout	Session Timeout in Minuten. Wenn auf 0 gesetzt, wird kein Timeout erzwungen.	480
sessionTimeoutAction	Die Aktion nach Ablauf der Session. Mögliche Werte: disconnect – Session wird getrennt silentreauth – Versuch einer erneuten Autorisierung. Dieser Parameter hängt vom verwendeten RDP Client ab. Für mstsc.exe wird dieser Parameter nicht berücksichtigt. Wenn ein Timeout eintritt, wird der Benutzer getrennt und es erfolgt keine erneute Authentifizierung. Beim RD Web Client hingegen muss der Benutzer nach einem Timeout die Rublon Challenge erneut durchführen. Eine Authentifizierungsmethode, z. B. Mobile Push, wird automatisch gesendet. Die RDP Sitzung wird erst wiederhergestellt, nachdem die sekundäre Authentifizierung erfolgreich abgeschlossen wurde.	disconnect
Proxy
httpProxyHost	Die Adresse des Proxyservers.
httpProxyPort	Der Port des Proxyservers.
httpProxyUser	Der Benutzername für die Proxy-Authentifizierung.
httpProxyPassword	Das Passwort des Proxy-Benutzers.

MFA für Remote Desktop Gateway Beispiel (RDP-Datei)

Dieses Beispiel zeigt die Multi-Faktor-Authentifizierung für RD Gateway unter Verwendung einer RDP-Datei, die über den RD Web Feed (RemoteApp und Desktopverbindungen) in Ihr Startmenü hinzugefügt oder über Remote Desktop Web Access heruntergeladen wurde. Weitere Informationen zur Funktionsweise der Multi-Faktor-Authentifizierung finden Sie in den folgenden Artikeln:

• MFA für RD Web Feed Anmeldebeispiel
• MFA für RD Web Access Anmeldebeispiel

Sobald Sie die RDP-Datei haben:

1. Öffnen Sie die Datei.

2. Geben Sie bei Bedarf Ihre Anmeldedaten ein und klicken Sie auf Connect.

3. Remote Desktop beginnt mit dem Verbindungsaufbau und startet die ausgewählte Anwendung.

4. Sie erhalten eine Mobile Push Authentifizierungsanfrage. Tippen Sie auf APPROVE.

5. Die Anwendung wird geöffnet.

Beispiel für die Anmeldung mit Rublon MFA für Remote Desktop Gateway (Web Client)

Dieses Beispiel zeigt die Verwendung von Rublon MFA für RD Gateway über den Remote Desktop Web Client. Wenn Sie mehrere Anwendungen über den Web Client öffnen möchten, müssen Sie die Multi-Faktor-Authentifizierung nur beim Öffnen der ersten Anwendung durchführen. Danach werden alle weiteren Anwendungen ohne MFA geöffnet, solange die Sitzung aktiv ist.

1. Melden Sie sich beim RD Web Client an. (Beispiel: MFA für RD Web Client Anmeldebeispiel)

2. Wählen Sie eine Anwendung aus, mit der Sie sich verbinden möchten.

3. Der RD Web Client stellt die Verbindung her und startet die von Ihnen ausgewählte Anwendung.

4. Sie erhalten eine Mobile Push Authentifizierungsanfrage. Tippen Sie auf APPROVE.

5. Die Anwendung wird geöffnet.

Aktualisierung von Rublon MFA für RD Gateway

Um Ihren Rublon MFA für RD Gateway Connector zu aktualisieren, laden Sie die neue Version herunter und installieren Sie sie auf dem Rechner, auf dem bereits eine ältere Version installiert ist.

Führen Sie den Installer aus und wählen Sie Update current installation aus.

Falls der neue Installer eine Option enthält, die in früheren Versionen des Connectors nicht verfügbar war, können Sie diese nach dem Klick auf Next anpassen. Andernfalls wird die Aktualisierung direkt gestartet.

Deinstallation von MFA für RD Gateway

Führen Sie unins000.exe aus, die sich unter C:\Program Files\Rublon\RDG\ befindet, um Rublon MFA für RD Gateway als Administrator zu deinstallieren.

Alternativ können Sie Apps & features öffnen, Rublon für RD Gateway auswählen und auf Deinstallieren klicken.

Fehlerbehebung bei MFA für Remote Desktop Gateway

Sollten Sie auf ein Problem stoßen oder eine Frage haben, sehen Sie sich zuerst die Rublon MFA für RD Gateway – FAQ an.

Falls Sie in der FAQ keine Lösung für Ihr Problem finden, suchen Sie die Logdateien, die sich standardmäßig unter C:\ProgramData\Rublon\RDG\Logs befinden, und senden Sie sowohl Rublon-RDG.log als auch Rublon-RDG-Setup.log zusammen mit einer Problembeschreibung an den Rublon Support.

Wenn Sie Probleme mit Ihrer Rublon-Integration feststellen, wenden Sie sich bitte an den Rublon Support.

Verwandte Beiträge

Rublon MFA für Remote Desktop Gateway – Release Notes

Rublon MFA für Remote Desktop Gateway – FAQ

Rublon MFA für Remote Desktop Gateway – Download