Veilig op afstand werken: voorkom dat criminelen via RDP binnenkomen

Het probleem: RDP is gemaakt voor binnen het netwerk

Microsoft Remote Desktop is een fantastische tool, maar het is oorspronkelijk gebouwd om binnen het bedrijfsnetwerk te werken — niet om direct op het wilde internet bereikbaar te zijn. Toen corona kwam, hebben veel bedrijven RDP-poort 3389 'even snel' opengezet zodat medewerkers vanuit huis konden werken. Die 'tijdelijke' oplossing staat bij veel bedrijven nog steeds aan, ook in 2026.

Het probleem: criminelen weten dit. Ze scannen het hele internet op openstaande RDP-poorten en als ze er een vinden, beginnen ze automatisch wachtwoorden te proberen. Met een zwak wachtwoord zoals 'Administrator/Welkom123' zijn ze binnen minuten binnen.

Hoe het in de praktijk gebeurt

Een typische aanval: een MKB-bedrijf met 20 medewerkers heeft RDP openstaan voor thuiswerk. Criminelen vinden het IP-adres tijdens een scan, proberen 100.000 wachtwoorden in een paar uur en raken het wachtwoord van 'boekhouding' (Boekhouding2024!). Ze loggen 's nachts in, ontdekken dat dit account toegang heeft tot de boekhoudsoftware en gedeelde mappen.

De criminelen blijven een paar weken stil meekijken om te leren hoe alles werkt en waar de backups staan. Dan, op een vrijdagavond om 23:00, zetten ze de ransomware uit op alle servers tegelijk. Maandagochtend komt het hele bedrijf binnen op een complete stilstand.

De oplossing: zo gebruikt u RDP veilig

RDP volledig stoppen hoeft niet — u kunt het veilig gebruiken. De belangrijkste maatregelen:

• Zet RDP NIET direct vanaf internet open. Gebruik altijd een VPN (bijvoorbeeld WireGuard, OpenVPN of FortiGate SSL-VPN) als 'voordeur' voor het bedrijfsnetwerk
• Schakel multi-factor authenticatie (MFA) verplicht in op de VPN — zonder de tweede factor komt niemand binnen, ook niet met een gelekt wachtwoord
• Gebruik sterke, unieke wachtwoorden van minimaal 14 tekens voor alle accounts met RDP-toegang
• Schakel het ingebouwde 'Administrator' account uit — geef gebruikers persoonlijke accounts
• Beperk welke gebruikers RDP mogen gebruiken — niet iedereen heeft dit nodig
• Stel een 'lockout' in: na 5 verkeerde inlogpogingen account 15 minuten blokkeren
• Houd Windows-updates altijd actueel — RDP heeft in het verleden ernstige beveiligingsgaten gehad (BlueKeep)

Modernere alternatieven voor RDP

Er zijn tegenwoordig veiligere alternatieven die specifiek voor remote work zijn gebouwd:

• Zero Trust Network Access (ZTNA) oplossingen zoals Cloudflare Access of Twingate — alleen geverifieerde gebruikers krijgen toegang tot specifieke applicaties
• Microsoft Azure Virtual Desktop of Windows 365 — veilige cloud-desktops met ingebouwde MFA en monitoring
• Citrix of VMware Horizon — bewezen oplossingen voor grotere organisaties met veel thuiswerkers

Hoe weet u of uw RDP openstaat?

Snelle test: ga naar shodan.io en zoek op uw bedrijfs-IP-adres. Als poort 3389 zichtbaar is, dan staat uw RDP open voor de hele wereld. In dat geval: zet dit per direct uit en bel een IT-specialist om een veilige VPN-oplossing in te richten. Dit is geen 'het komt vast wel goed' situatie — criminelen scannen elk IP-adres ter wereld meermaals per dag.