AnyDesk Enterprise

AnyDesk wird häufig als beste Alternative zu TeamViewer genannt. Das ist nicht verwunderlich, wurde das Unternehmen im Jahr 2014 doch von drei ehemaligen TeamViewer-Mitarbeitern gegründet. Mit dem eigens für AnyDesk entwickelten Video-Codec "DeskRT" ermöglicht AnyDesk nach eigenen Angaben bereits flüssiges Arbeiten ab einer Bandbreite von rund 100 KBit/s und verfügt damit über ein Alleinstellungsmerkmal. AnyDesk bietet den Client für verschiedene Betriebssysteme und Plattformen an, darunter auch Exoten wie FreeBSD, RaspberryPI und ChromeOS. Für die private Nutzung ist der Einsatz kostenfrei.

Kommerzielle Lizenzen sind in den Versionen "Lite", "Professional" und "Power" verfügbar. Diese werden im Abo-Modell auf monatlicher Basis jährlich im Voraus abgerechnet und erlauben je nach Lizenzstufe, ein oder mehrere Geräte für die Fernwartung einzusetzen, sowie eine unterschiedliche Anzahl gleichzeitiger Sitzungen. In den Lizenzstufen "Power", "Professional" und "Enterprise" besteht die Möglichkeit, den Client individuell anzupassen. Die Lizenzstufen "Power" und "Professional" beziehen sich auf die Cloudversion von AnyDesk, bei der der Verbindungsserver von AnyDesk zentral bereitgestellt wird.

In diesem Test beschäftigen wir uns mit der Enterprise-Variante von AnyDesk. Nur mit dieser On-Premises-Version können Unternehmen den Verbindungsserver in Eigenregie betreiben. AnyDesk Enterprise wird nicht öffentlich zum Download angeboten, die erforderlichen Installationspakete erhalten Kunden erst nach dem Kauf über das AnyDesk Service- und Support-Portal.

Unabhängig vom Internet

AnyDesk Enterprise steht als virtuelle Netzwerk-Appliance zur Verfügung und lässt sich im unternehmenseigenen Netzwerk vollkommen in eigener Verantwortung betreiben. Typischerweise wird der Server in einer demilitarisierten Zone (DMZ) der Firewall installiert, die speziell angepassten Clients verbinden sich dann mit diesem Server in der DMZ. Sämtliche Sitzungen zwischen Fernwarter und Hilfesuchendem finden ausschließlich über dieses System statt. Damit eignet sich AnyDesk Enterprise vor allem für Organisationen, die die vollständige Kontrolle über den Datenverkehr von Fernwartungsverbindungen behalten möchten.

Bild 1: Fernwartung von Windows nach Linux, Android oder macOS oder auch umgekehrt: AnyDesk unterstützt alle Richtungen. Eine Ausnahme bildet iOS, das nur zur Fernsteuerung genutzt, aber nicht selbst ferngesteuert werden kann.

Alternativ lässt sich AnyDesk Enterprise aber auch als rein internes Fernwartungssystem nutzen, da eine Verbindung ins Internet nicht zwingend erforderlich ist. Das ist vor allem für Organisationen interessant, die hochsensible Daten verarbeiten und ihre Rechner deshalb vollständig vom Internet abschotten müssen. In diesem Fall läuft die AnyDesk Enterprise Appliance einfach im internen Netzwerk und ist mithilfe einer Firewall vom Internet getrennt.

Network Address Translation und dynamisches DNS kein Problem

Unternehmen, die einen eigenen AnyDesk-Server betreiben, möchten ihre Fernwartungsverbindungen keinem Clouddienst und damit einem Dritten anvertrauen. Entsprechend muss der in Eigenregie betriebene AnyDesk Server zuverlässig vor Angriffen und nicht autorisierten Zugriffen geschützt werden. Der Server läuft deshalb typischerweise in einer eigenen DMZ. AnyDesk Enterprise nutzt für die Kommunikation die folgenden Standard Ports:

- Relay: TCP/443, TCP/80, TCP/6568, TCP/447

- REST API: TCP/8081

- Web Interface: TCP/8100

- Control: TCP/444, TCP/446

Für die Verbindungen von den Clients zum AnyDesk-Server kommen lediglich die Ports 80, 443 und 6568 zum Einsatz. Zugriffe auf das Webinterface und die REST-API (8081 und 8100) werden nur vom Administrator genutzt und sollten deshalb auch nur vom internen Netzwerk aus erreichbar sein. Die Control Ports 444 und 446 verwendet AnyDesk Enterprise programmintern, daher können diese Verbindungen auf "localhost only" beschränkt werden. Da AnyDesk Enterprise sehr gut mit Network Address Translation (NAT) und dynamischem DNS klarkommt, ist der Betrieb des Servers auch mit privaten IP-Adressen in der DMZ und an einem Internetanschluss mit dynamischer IP-Adresse problemlos möglich. Aus Sicherheitsgründen ist eine Internetanbindung mit fester IP-Adresse aber immer empfehlenswert.