Wenn Windows anzeigt, dass die Verbindung abgelehnt wurde, weil das Benutzerkonto nicht für die Remotanmeldung autorisiert ist, ist das Passwort nicht das Problem. Es wurde akzeptiert, die Sitzung wurde einen Schritt später, bei der Autorisierung, abgelehnt.
Zwei Prüfungen entscheiden über dieses Ergebnis: Das Konto muss zur lokalen Gruppe Remotedesktopbenutzer oder zur Administratoren-Gruppe gehören, und es muss in der Richtlinie Anmelden über Remotedesktopdienste zulassen in secpol.msc aufgeführt sein. Fehlt eine davon, erhalten Sie diesen Fehler.
Eine Einstellung sticht beide aus: Anmelden über Remotedesktopdienste verweigern. Wenn das Konto oder eine Gruppe, der es angehört, auf dieser Liste steht, wird es blockiert, unabhängig davon, was sonst konfiguriert ist.
Auf in eine Domäne eingebundenen Rechnern gibt es eine vierte Ebene. Gruppenrichtlinien auf Domänen- oder OU-Ebene können beim nächsten Aktualisieren lokale Einstellungen stillschweigend zurücksetzen und damit eine Korrektur rückgängig machen, die vor wenigen Minuten noch erledigt schien.
Beginnen Sie mit der Gruppenmitgliedschaft, das ist die häufigste Ursache.
Quick-Fix-Pfad
Wenn Sie sofort beginnen möchten, ohne die vollständige Erklärung zu lesen, arbeiten Sie diese der Reihe nach durch und hören Sie auf, sobald der Fehler behoben ist.
-
Fügen Sie das Konto auf dem Zielcomputer der lokalen Gruppe ‘Remotedesktopbenutzer’ hinzu.
-
Öffnen Sie secpol.msc und bestätigen Sie, dass die Gruppe des Kontos unter Anmelden über Remotedesktopdienste zulassen aufgeführt ist.
-
Überprüfen Sie an derselben Stelle Anmelden über Remotedesktopdienste verweigern und vergewissern Sie sich, dass das Konto dort nicht aufgeführt ist.
-
Wenn der Computer einer Domäne beigetreten ist, überprüfen Sie die Domänen-GPO in der GPMC, nicht nur die lokale Richtlinie in secpol.msc.
-
Löschen Sie veraltete gespeicherte Anmeldeinformationen aus der Anmeldeinformationsverwaltung erst, nachdem Sie bestätigt haben, dass die oben genannten Richtlinieneinstellungen korrekt sind.
Was echte Nutzer über diesen Fehler berichten
Die häufigste Beschwerde in Foren: Alles sieht korrekt aus, und der Fehler bleibt trotzdem bestehen. Ein Domänenadministrator auf Microsoft Q&A beschrieb eine Windows-11-Arbeitsstation, die alle nicht-administrativen RDP-Verbindungen trotz korrekter Gruppenmitgliedschaft und unauffälliger lokaler secpol.msc verweigerte. Der eigentliche Blocker war eine GPO auf Domänenebene, die die lokalen Einstellungen stillschweigend überschrieben hat. (Microsoft Q&A, September 2024)
Auf Azure-VMs zeigt sich ein verwandtes Problem als Schleife: Ein Konto wird manuell hinzugefügt, Sitzungen funktionieren, dann verschwindet das Konto nach einem Neustart und der Fehler kehrt zurück. Ursache war eine Restricted-Groups-GPO, die bei jeder Richtlinienaktualisierung die Mitgliedschaft entfernte, und keine Änderung in der Oberfläche hält, bis die GPO selbst aktualisiert wird. (Microsoft Tech Community, Juni 2023)
Gespeicherte Anmeldedaten sind ein weniger offensichtlicher Auslöser. Ein RDS-Pool, der jahrelang funktioniert hatte, begann plötzlich, alle Benutzer mit diesem Fehler abzulehnen. Die Berechtigungen hatten sich nicht geändert. Das Löschen des gespeicherten Kennworts und das erneute manuelle Eingeben behob es sofort, bestätigt von mehreren Benutzern im selben Thread. (Microsoft Q&A, Oktober 2022)
Auf domänengebundenen Azure-VMs fügte ein Administrator, der 1.000 Benutzer verwaltet, Konten zur Richtlinie Anmelden über Remotedesktopdienste zulassen hinzu, führte gpupdate /force aus und stieß trotzdem auf den Fehler. Der fehlende Schritt war, die Benutzer der lokalen Gruppe Remotedesktopbenutzer direkt auf der VM hinzuzufügen. Beide Prüfungen sind erforderlich. (Microsoft Q&A, November 2022)
In von Intune verwalteten Umgebungen zeigt lusrmgr.msc die Azure-Domäne nicht als verfügbaren Speicherort an, sodass die Standardkorrektur über die Gruppenmitgliedschaft nicht greift. Eine erfolgreiche Intune-Konfigurationsrichtlinie reicht allein nicht aus. Für Entra-verbundene Geräte ist eine separate Richtlinie erforderlich, die das Benutzerrecht Anmelden über Remotedesktopdienste zulassen zuweist. (Microsoft Q&A, Dezember 2024)
So beheben Sie "Die Verbindung wurde verweigert, weil das Benutzerkonto nicht für die Remoteanmeldung autorisiert ist"
Lösung 1: Fügen Sie den Benutzer zur Gruppe Remotedesktopbenutzer hinzu
Fehlende Gruppenmitgliedschaft ist die häufigste Ursache für diesen Fehler auf eigenständigen Computern. Führen Sie diese Schritte auf dem Remote-PC aus, nicht auf dem Computer, von dem aus Sie die Verbindung herstellen. Beachten Sie, dass lusrmgr.msc in den Windows-Home-Editionen nicht verfügbar ist; außerdem können Home-Editionen nicht als RDP-Hosts fungieren.
-
Drücken Sie Win + R, geben Sie lusrmgr.msc ein und drücken Sie die Eingabetaste.
-
Wählen Sie im linken Bereich Gruppen aus und doppelklicken Sie dann auf Remotedesktopbenutzer.
-
Klicken Sie auf Hinzufügen.
-
Geben Sie den Benutzernamen ein, klicken Sie auf Namen überprüfen, um zu bestätigen, dass er aufgelöst werden kann, und klicken Sie dann auf OK.
-
Klicken Sie auf OK, um das Fenster der Gruppeneigenschaften zu schließen.
Für eine schnellere Alternative über die Systemeigenschaften: Drücken Sie Win + R, geben Sie sysdm.cpl ein, wählen Sie die Registerkarte Remote, klicken Sie auf Benutzer auswählen und fügen Sie dort das Konto hinzu.
In einer erhöhten PowerShell-Eingabeaufforderung auf dem Remotecomputer:
Add-LocalGroupMember -Group “Remote Desktop Users” -Member “username”
Ersetzen Sie username durch den tatsächlichen Kontonamen. Ein Neustart ist nicht erforderlich.
Lösung 2: Überprüfen Sie die Richtlinie Anmelden über Remotedesktopdienste zulassen
Die Gruppenmitgliedschaft und die Richtlinie für Benutzerrechte werden unabhängig voneinander überprüft. Beide müssen erfüllt sein, und wenn nur eines behoben wird, bleibt der Fehler bestehen. Führen Sie diese Schritte auf dem Remote-PC aus.
-
Drücken Sie Win + R, geben Sie secpol.msc ein und drücken Sie die Eingabetaste.
-
Navigieren Sie zu Sicherheitseinstellungen > Lokale Richtlinien > Zuweisen von Benutzerrechten.
-
Doppelklicken Sie auf Anmelden über Remotedesktopdienste zulassen.
-
Stellen Sie sicher, dass sowohl Remotedesktopbenutzer als auch Administratoren aufgeführt sind. Wenn eine der beiden fehlt, klicken Sie auf Benutzer oder Gruppe hinzufügen, geben Sie den Gruppennamen ein und klicken Sie auf OK.
-
Klicken Sie auf OK und führen Sie dann Folgendes in einer Eingabeaufforderung mit erhöhten Rechten aus: gpupdate /force
Auf einem domänengebundenen Computer kann eine in Konflikt stehende Domänen-GPO diese Einstellung innerhalb weniger Minuten nach dem Speichern überschreiben. Wenn die Einstellung zurückgesetzt wird, gehen Sie zu Lösung 4.
Lösung 3: Prüfen, ob eine Deny-Richtlinie die Allow-Einstellung außer Kraft setzt
Die Richtlinie Anmelden über Remotedesktopdienste verweigern blockiert den Zugriff unabhängig von der Gruppenmitgliedschaft oder der Richtlinie Anmelden über Remotedesktopdienste zulassen. Überprüfen Sie dies auch dann, wenn die Einstellungen für Anmelden über Remotedesktopdienste zulassen vollständig erscheinen.
-
Navigieren Sie in secpol.msc zu Sicherheitseinstellungen > Lokale Richtlinien > Zuweisen von Benutzerrechten.
-
Doppelklicken Sie auf Anmelden über Remotedesktopdienste verweigern.
-
Überprüfen Sie die Liste. Wenn das Konto, das die Verbindung herstellt, oder eine Gruppe, der es angehört, einschließlich Gäste oder Domänen-Gäste, hier erscheint, wählen Sie es aus und klicken Sie auf Entfernen.
-
Klicken Sie auf OK und führen Sie dann gpupdate /force aus.
Wenn sich die Einstellung nach dem Speichern und dem Ausführen von gpupdate /force immer wieder zurücksetzt, wird sie von einer Domänen-GPO Wenn sich die Einstellung nach dem Speichern und dem Ausführen von gpupdate /force immer wieder zurücksetzt, wird sie von einer Domänen-GPO auf Domänenebene gesteuert. Verwalten Sie diese Richtlinie nur über die Lokale Sicherheitsrichtlinie oder die Gruppenrichtlinienverwaltung. Vermeiden Sie es, Zuweisungen von Benutzerrechten direkt in der Registrierung zu bearbeiten, da die Anmeldeberechtigungen Zulassen und Verweigern von Windows als benannte Privilegkonstanten (SeRemoteInteractiveLogonRight und SeDenyRemoteInteractiveLogonRight) verwaltet werden, nicht als einfache Registrierungswerte. Für die Überwachung verwenden Sie secpol.msc, gpresult oder secedit.
Lösung 4: Die Domänen-GPO direkt bearbeiten
Auf einem domänengebundenen Computer, auf dem lokale Änderungen immer wieder zurückgesetzt werden, überschreibt eine Domänen-GPO diese. Dieser Fix erfordert Zugriff auf die Gruppenrichtlinien-Verwaltungskonsole, die typischerweise auf einem Domänencontroller oder auf einem Computer mit installiertem RSAT verfügbar ist.
-
Öffnen Sie die GPMC über den Server-Manager > Extras > Gruppenrichtlinienverwaltung.
-
Erweitern Sie die Domäne, klicken Sie mit der rechten Maustaste auf das GPO, das den betroffenen Computer steuert, und wählen Sie Bearbeiten.
-
Navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Zuweisen von Benutzerrechten.
-
Öffnen Sie Anmelden über Remotedesktopdienste zulassen und bestätigen Sie, dass sowohl Remotedesktopbenutzer als auch Administratoren aufgeführt sind.
-
Öffnen Sie Anmelden über Remotedesktopdienste verweigern und bestätigen Sie, dass das betroffene Konto und dessen Gruppen nicht aufgeführt sind.
-
Speichern Sie die Änderungen und führen Sie dann Folgendes auf dem betroffenen Computer aus: gpupdate /force
Wenn die betreffende GPO nicht sofort ersichtlich ist, führen Sie Folgendes auf dem betroffenen Computer aus und öffnen Sie die erzeugte Datei, um zu ermitteln, welche Richtlinie das Zuweisen von Benutzerrechten steuert:
gpresult /h gpreport.html
Lösung 5: Veraltete gespeicherte Anmeldeinformationen aus der Anmeldeinformationsverwaltung löschen
Dies ist eine weniger häufige Ursache, aber es lohnt sich, sie zu prüfen, nachdem bestätigt wurde, dass die Gruppenmitgliedschaft und die Richtlinieneinstellungen korrekt sind. Gespeicherte RDP-Anmeldeinformationen können nach einer Kennwortänderung, einer Kontomigration oder Änderungen an einem RDS-Pool ungültig werden. In einigen Fällen führt dies zu Anmeldefehlern, die Autorisierungsfehlern ähneln. Die Abhilfe, die in einem Microsoft Q&A-Thread dokumentiert ist, in dem ein RDS-Pool mit jahrelang gespeicherten Anmeldeinformationen plötzlich bei allen Benutzern fehlschlug, bestand darin, den gespeicherten Eintrag zu löschen und die Anmeldeinformationen manuell erneut einzugeben.
-
Öffnen Sie die Systemsteuerung, gehen Sie zu Benutzerkonten und klicken Sie dann auf Anmeldeinformationsverwaltung.
-
Wählen Sie Windows-Anmeldeinformationen aus.
-
Suchen Sie nach Einträgen, die mit TERMSRV/ beginnen, gefolgt vom Computernamen oder der IP-Adresse des Remote-PCs.
-
Erweitern Sie jeden relevanten Eintrag und klicken Sie auf Entfernen.
-
Schließen Sie die Anmeldeinformationsverwaltung und versuchen Sie die RDP-Verbindung erneut, wobei Sie die Anmeldeinformationen bei Aufforderung manuell eingeben.
Lösung 6: Verwenden Sie HelpWire als kostenlose Alternative, während Sie RDP beheben
Wenn der Autorisierungsfehler den Zugriff auf einen Computer blockiert, den Sie gerade benötigen, bietet Ihnen HelpWire eine funktionierende Remote-Verbindung, während Sie die Richtlinienkonfiguration in Ordnung bringen. Es verwendet weder den Windows-Remotedesktopdienst noch Port 3389, sodass Probleme mit Gruppenmitgliedschaft und Benutzerrechten, die den Fehler “Benutzerkonto nicht autorisiert” verursachen, keine Auswirkungen darauf haben.
HelpWire läuft unter Windows, macOS und Linux und ist kostenlos nutzbar. Die Einrichtung dauert nur wenige Minuten: Installieren Sie den Operator-Client auf Ihrem Computer, installieren Sie den HelpWire-Agenten auf dem Remote-Computer und verbinden Sie sich. Für den unbeaufsichtigten Zugriff auf einen von Ihnen verwalteten Computer kann der Agent so konfiguriert werden, dass er als Hintergrunddienst ausgeführt wird, ohne dass am entfernten Ende jemand jede Verbindung annehmen muss.
Häufig gestellte Fragen
Administratorkonten gehören zur lokalen Gruppe Administratoren, die Windows in der Richtlinie Anmelden über Remotedesktopdienste zulassen immer einschließt. Standardbenutzerkonten werden standardmäßig weder der Gruppe Remotedesktopbenutzer noch der Richtlinie Zulassen hinzugefügt, sodass ihnen der Zugriff verweigert wird, bis beides explizit konfiguriert ist.
Ja. Auf Domänen-, Standort- oder OU-Ebene angewendete Domänen-GPO-Einstellungen überschreiben bei jeder Aktualisierung der Gruppenrichtlinie die lokalen secpol.msc-Einstellungen. Wenn eine lokale Korrektur sich immer wieder zurücksetzt, ist eine widersprüchliche GPO aktiv. Verwenden Sie die GPMC, um das Problem auf Domänenebene zu beheben, und führen Sie auf dem betroffenen Computer gpresult /h gpreport.html aus, um festzustellen, welche Richtlinie die Zuweisung von Benutzerrechten steuert.
Es blockiert jedes darin aufgeführte Konto oder jede Gruppe, die dieses Konto enthält, daran, sich über RDP zu verbinden. Die Verweigerungsrichtlinie setzt sowohl die Einstellung “Anmelden über Remotedesktopdienste zulassen” als auch die Mitgliedschaft in der Gruppe “Remotedesktopbenutzer” außer Kraft. Konten können versehentlich in einer Verweigerungsgruppe landen, etwa wenn sie der Gruppe “Gäste” angehören, die viele gehärtete Umgebungen standardmäßig in die Verweigerungsrichtlinie einschließen.
“Die Verbindung wurde abgelehnt, weil das Benutzerkonto nicht für die Remoteanmeldung autorisiert ist” bedeutet, dass die Sitzungsanforderung den Zielrechner erreicht hat und auf der Autorisierungsebene abgelehnt wurde, typischerweise wegen fehlender Gruppenmitgliedschaft, einer Lücke in der Richtlinie für Benutzerrechte oder einer aktiven Verweigerungsrichtlinie. “Zugriff verweigert” ist weiter gefasst und kann auch auf Einschränkungen durch Credential Guard, SAM-Zugriffsbeschränkungen oder allgemeine Berechtigungsprobleme hinweisen, die nicht speziell mit Remoteanmelderechten zusammenhängen. Der Unterschied ist wichtig, weil sie auf unterschiedliche Wege zur Fehlerbehebung hinweisen.
