Windows-VM in der Cloud mit RDP auf Dockup

Eine Windows-VM in der Cloud ist geeignet, wenn der Workload ein echtes Windows-Betriebssystem, interaktiven RDP-Zugriff, Windows-exklusive Software oder eine Umgebung benötigt, die sich nicht als Linux-Container abbilden lässt. Dockup unterstützt virtuelle Maschinen mit Windows Server 2019, 2022 und 2025 sowie Windows 10 und Windows 11.

Eine VM ist kein standardmäßiger Ersatz für einen Container. Sie bringt einen eigenen Lebenszyklus für das Betriebssystem, Remote-Desktop-Zugriff, den Zustand installierter Software und eine größere Angriffsfläche mit sich. Entscheiden Sie sich für eine VM, weil der Workload Windows benötigt – nicht, weil sich RDP vertraut anfühlt.

Welche Workloads benötigen eine Windows-Server-VM?

Häufige Gründe sind:

• Eine Anbieteranwendung unterstützt ausschließlich Windows.
• Der Dienst hängt von Windows-APIs oder einer .NET-Framework-Version ab, die für Linux nicht geeignet ist.
• Ein Build- oder Testprozess benötigt einen Windows-Desktop.
• Eine Automatisierung steuert eine native Windows-Anwendung.
• Ein Legacy-Dienst erwartet ein Windows-Dateisystem oder eine Windows-Registry.
• Ein Operator benötigt einen isolierten Remote-Desktop für freigegebene Arbeiten.
• Kompatibilitätstests müssen Windows 10 oder Windows 11 abdecken.

Verwenden Sie eine Windows-VM nicht ausschließlich zum Hosten einer herkömmlichen Node.js-, Python-, Go- oder containerfreundlichen API. Ein aus Git erstellter Dockup-Dienst lässt sich einfacher reproduzieren, per Blue-Green-Deployment bereitstellen, per Health Check überwachen und zurückrollen.

Anforderung	Besserer Ausgangspunkt
Standard-Web-API	Git-/Container-Service
Windows-exklusives Installationsprogramm	Windows-VM
Interaktiver Desktop	Windows-VM
Zustandsloser Background-Worker	Container-Service
Browser-Kompatibilität unter Windows	Windows-10/11-VM
Test einer Domain-/Serverrolle	Windows-Server-VM
Kurzlebige Linux-Shell	Linux-Box

Machen Sie den Unterschied im Betriebsmodell bereits während des Architektur-Reviews ausdrücklich deutlich.

Welche Windows-Versionen unterstützt Dockup?

Rufen Sie die aktuelle Image-Liste ab:

dockup win versions --json

Die unterstützten Optionen sind:

Image	Typische Verwendung
server-2019	Kompatibilität mit Legacy-Servern
server-2022	Aktuelle Enterprise-Server-Workloads
server-2025	Neue Serverfunktionen und Tests
win-10	Desktop-Kompatibilitätstests
win-11	Aktuelle Desktop-Umgebung

Wählen Sie nur dann die älteste Version, die die Anforderungen des Anbieters und der Sicherheitsrichtlinien erfüllt, wenn die Kompatibilität dies erfordert. Ältere Systeme können den Aufwand für Patching erhöhen und das Support-Risiko vergrößern. Validieren Sie neue Server-Workloads anhand der vom Anbieter unterstützten Windows-Server-Releases.

Halten Sie die exakte Version im Runbook fest. „Ein Windows-Server“ ist für Recovery oder Ersatz nicht reproduzierbar genug.

Wie erstellen Sie die Windows-VM?

Stellen Sie eine VM mit dokumentierter Version sowie festgelegter Arbeitsspeicher- und CPU-Zuweisung bereit:

dockup win create \
  --project production \
  --version server-2022 \
  --memory 4096 \
  --cpu 2 \
  --json

Das Beispiel fordert 4.096 MB Arbeitsspeicher und 2 vCPU an. Dimensionieren Sie die Maschine anhand der gemessenen Working Set-Größe der Software, der Anzahl gleichzeitiger Benutzer und der Background-Services. Weisen Sie nicht vorsorglich das Maximum zu: CPU-, RAM- und Festplattenverbrauch werden mit minutengenauer Messung auf das Kontingent des Tarifs angerechnet.

Die Installation von Windows ist umfangreicher als das Starten eines Containers. Die Bereitstellung erfolgt daher nicht sofort. Bewahren Sie das zurückgegebene Projekt-/VM-Ziel auf und warten Sie, bis die VM verfügbar ist, bevor Sie den Zugang anfordern.

Kostenpflichtige Dockup-Tarife erlauben unbegrenzte Deployments, Datenbanken und Workspaces. Der empfohlene Pro-Tarif kostet 20 $ pro Monat und enthält ein Nutzungsguthaben von 20 $. Der tatsächliche Verbrauch von Windows-Ressourcen wird unabhängig von der Bezeichnung des Abonnements separat erfasst.

Wenn der Workload lediglich SSH und ein Linux-Betriebssystem benötigt, vergleichen Sie Linux-Boxen.

Wie rufen Sie den RDP-Zugang ab und verwenden ihn?

Fordern Sie die Verbindungsdaten für das exakte VM-Ziel an:

dockup win rdp production/win-abc123 --json

Die Antwort enthält Host, RDP-Port, Benutzernamen und Passwort. Behandeln Sie das Passwort als Zugangsdaten, die möglicherweise für die Einrichtung des Zugriffs zurückgegeben werden. Fügen Sie es nicht in eine Agent-Antwort, ein Issue oder ein dauerhaftes Runbook ein.

Stellen Sie mit einem RDP-Client von einem freigegebenen Gerät aus eine Verbindung her. Prüfen Sie vor dem Öffnen der Sitzung:

1. Vergewissern Sie sich, dass das Ziel dem vorgesehenen Workspace und der vorgesehenen VM entspricht.
2. Speichern Sie die Zugangsdaten in einem freigegebenen Passwortmanager.
3. Bestätigen Sie, wer zur Verbindung berechtigt ist.
4. Vermeiden Sie gemeinsam genutzte persönliche Zugangsdaten.
5. Halten Sie Zweck und voraussichtlichen Zeitraum der Sitzung fest.
6. Sperren oder schließen Sie die Sitzung nach Abschluss der Arbeiten.

Der RDP-Transport ermöglicht interaktiven Zugriff, macht jedoch nicht jede administrative Aktion sicher. Ein Benutzer mit Administratorrechten kann Software installieren, Firewall-Einstellungen ändern, Daten offenlegen oder Sicherheitskontrollen deaktivieren.

Einem AI-Agent sollte in einem Prompt niemals das unverschlüsselte RDP-Passwort übergeben werden. Verwenden Sie die VM für von Menschen gesteuerte Desktop-Arbeiten oder einen separat geprüften Automatisierungspfad.

Wie sollte eine Windows-VM für den Produktionseinsatz konfiguriert werden?

Behandeln Sie die VM als Server mit deklarierter Konfiguration, auch wenn Dockup die Rechenkapazität bereitstellt.

Dokumentieren Sie:

• Windows-Image und Edition.
• CPU-, Arbeitsspeicher- und Festplattenanforderungen.
• Installierte Software und Lizenzinhaber.
• Benötigte Windows-Dienste.
• Verfahren zur Installation und Aktualisierung der Anwendung.
• Datenverzeichnisse und Backup-Methode.
• RDP-Benutzer und Zugriffsrichtlinie.
• Patch-Fenster und Verhalten bei Neustarts.
• Speicherorte für Monitoring und Logs.
• Recovery- oder Ersatzplan.

Vermeiden Sie Wissen, das ausschließlich manuell vorhanden ist. Bewahren Sie Installationsskripte, Konfigurationsexporte oder präzise Runbooks ohne Zugangsdaten in der Versionsverwaltung auf. Eine VM, die nur durch das Erinnern an einzelne Klicks neu aufgebaut werden kann, ist ein Single Point of Failure im Betrieb.

Trennen Sie dauerhafte Daten vom ersetzbaren Systemzustand, sofern die Anwendung dies erlaubt. Speichern Sie Quellcode und Installationsprogramme an kontrollierten Orten. Sichern Sie Anwendungsdaten mit einer für die jeweilige Software geeigneten Methode. Ein Volume-Workflow für Dockup-Services gilt für Container, nicht automatisch für jede Windows-Anwendung.

Welche Sicherheitskontrollen sind für RDP wichtig?

RDP ist ein privilegierter Zugriffsweg. Setzen Sie das Least-Privilege-Prinzip um und verkürzen Sie den Zeitraum der Exponierung.

Risiko	Gegenmaßnahme
Geteilte Zugangsdaten	Individuelle, kontrollierte Zugangsdaten
Passwort im Transkript	Niemals in den Chat ausgeben oder kopieren
Ungepatchtes Betriebssystem	Festgelegtes Update-Fenster
Nicht erfasste Software	Installationsinventar
Dauerhafte Administratorsitzung	Nach der Arbeit abmelden
Auf ein lokales Gerät kopierte Daten	Freigegebene Richtlinie für Datentransfers
Deaktivierter Schutz	Baseline-Review und Audit
Abweichungen der VM-Konfiguration	Dokumentation zum Wiederaufbau

Deaktivieren Sie Windows-Sicherheitsfunktionen nicht einfach, damit ein Installationsprogramm funktioniert, ohne die Konsequenzen zu verstehen. Bevorzugen Sie eine vom Anbieter unterstützte Konfiguration.

Wenn die VM einen internetseitig erreichbaren Dienst betreibt, ergänzen Sie anwendungsspezifisches TLS, Authentifizierung, Logging und Monitoring, die für diese Software geeignet sind. Der RDP-Zugriff selbst ist weder ein Deployment- noch ein Observability-System.

Der Artikel zu Security Best Practices behandelt allgemeine Prinzipien für den Produktionseinsatz. Produktionsleitplanken für AI-Agents erklärt, warum Zugangsdaten außerhalb von Agent-Transkripten bleiben müssen.

Wann sollte der Workload von einer VM weg migriert werden?

Überdenken Sie den Einsatz der VM, wenn:

• Die Anwendung zustandslos und containerkompatibel wird.
• Die Installation in einem Dockerfile reproduzierbar abgebildet werden kann.
• Kein interaktiver Desktop-Zugriff mehr erforderlich ist.
• Für die Skalierung mehrere identische Instanzen benötigt werden.
• Manuelles Patching und Configuration Drift den Betrieb dominieren.
• Ein Managed Service die Windows-exklusive Abhängigkeit ersetzt.
• Der Anbieter unterstützte Linux- oder Web-Deployments einführt.

Ein containerisierter Dockup-Service bietet Git-basiertes Deployment, Builds über Dockerfile oder Nixpacks, unterbrechungsfreies Blue-Green-Cutover, Health Gates, automatisches Deployment bei Pushes und Deployment-Rollback. Diese Funktionen lassen sich mit einer intransparenten, über einen Desktop verwalteten VM nur schwer nachbilden.

Checkliste für die Übergabe einer Windows-VM

Eine vollständige Übergabe einer Windows-VM in der Cloud enthält das Ziel, die exakte Version, die angeforderte CPU- und Arbeitsspeicherausstattung, den Verantwortlichen für RDP, den Speicherort der Zugangsdaten, das Inventar der installierten Software, die Patch-Richtlinie, das Daten-Backup, das Monitoring und den Wiederaufbauplan.

Überprüfen Sie Images und Zugriffsbefehle anhand der Dockup-CLI-Referenz. Informationen zur Kostenmodellierung nach tatsächlicher Nutzung finden Sie unter PaaS-Preise erklärt.

Trennen Sie Desktop-Zugriff und Dienstverfügbarkeit

Eine RDP-Sitzung ist ein Administrationskanal, kein Health Check. Ein getrennter Desktop kann die Anwendung weiterlaufen lassen, und eine erfolgreiche RDP-Anmeldung beweist nicht, dass die Anwendung fehlerfrei arbeitet.

Definieren Sie Service-Level-Prüfungen außerhalb der interaktiven Sitzung: einen öffentlichen oder privaten Endpunkt, den Status des Windows-Dienstes, ein Anwendungslog, das Ergebnis einer geplanten Aufgabe oder einen vom Anbieter bereitgestellten Monitor. Halten Sie fest, wo diese Prüfungen ausgeführt werden und wer die Alerts erhält.

Planen Sie Patching und Neustarts

Windows-Updates und Installationsprogramme von Anbietern können einen Neustart erfordern. Testen Sie die Startsequenz der Anwendung nach einem Neustart und stellen Sie sicher, dass benötigte Dienste nicht davon abhängen, dass sich ein Operator anmeldet.

Planen Sie Patches, dokumentieren Sie den vorherigen Softwarezustand, schützen Sie dauerhafte Daten und validieren Sie den Workload anschließend. Eine Windows-VM in der Cloud ist erst produktionsbereit, wenn Wartungsarbeiten ohne improvisierte Aktionen in einer geöffneten Desktop-Sitzung durchgeführt werden können.

Halten Sie die Lizenzverantwortung fest

Dokumentieren Sie, welche Organisation Eigentümer der auf der VM installierten Windows- oder Drittanbieter-Softwarelizenzen ist und wie die Berechtigung beim Wiederaufbau überprüft wird.

Legen Sie ein Datum für die Zugriffsprüfung fest

Prüfen Sie, wer die RDP-Zugangsdaten abrufen oder verwenden kann, und entfernen Sie Zugriffe, für die kein aktueller betrieblicher Zweck mehr besteht.

Beginnen Sie mit einer überprüfbaren Bereitstellung

Stellen Sie ein Windows-Image für Nicht-Produktionszwecke bereit, dokumentieren Sie jeden manuellen Installationsschritt und weisen Sie nach, dass ein zweiter Operator eine Verbindung herstellen und die Umgebung ohne in Chats gespeicherte Zugangsdaten neu aufbauen kann.

Kostenlos auf app.dockup.ai starten. Der Free-Tarif kostet 0 $ pro Monat, enthält ein Startguthaben von 10 $ und unterstützt einen Workspace, drei Datenbanken und drei Deployments.

FAQ

Welche Windows-Versionen kann Dockup bereitstellen?

Dockup unterstützt Images für Windows Server 2019, 2022 und 2025 sowie Windows 10 und Windows 11.

Wie erhalte ich RDP-Zugangsdaten für eine Windows-VM von Dockup?

Verwenden Sie dockup win rdp mit dem exakten Projekt-/VM-Ziel und --json. Speichern Sie den zurückgegebenen Host, Port, Benutzernamen und das Passwort anschließend sicher.

Sollte eine normale Web-API in einer Windows-VM ausgeführt werden?

In der Regel nicht, wenn sie containerkompatibel ist. Ein Git- oder Container-Service lässt sich einfacher reproduzieren, per Health Check überwachen, ohne Ausfallzeit deployen und zurückrollen.

Werden Ressourcen einer Windows-VM als feste Instanz abgerechnet?

Dockup erfasst den Verbrauch von CPU, RAM und Festplatte minutengenau und rechnet ihn auf das Tarifguthaben an. Überwachen Sie daher die tatsächliche Nutzung, statt sich ausschließlich auf die angeforderte Größe zu verlassen.

Kann ich einem AI-Agent das RDP-Passwort geben?

Vermeiden Sie es, RDP-Zugangsdaten in Prompts oder Transkripten zu hinterlegen. Verwenden Sie einen von Menschen kontrollierten Zugriff oder eine separat geprüfte Automatisierungsschnittstelle mit klar begrenzten Berechtigungen.