RDS-Lizenzierung: Terminalserver richtig lizenzieren

Grundprinzip: doppelte CAL-Pflicht auf dem Terminalserver

Remote Desktop Services (RDS, früher Terminaldienste) sind der Microsoft-Weg, vielen Nutzern zentrale Desktops oder Anwendungen auf einem Windows Server bereitzustellen. Lizenzrechtlich gilt dabei eine einfache, aber oft missverstandene Grundregel: Jeder Nutzer oder jedes Gerät, das eine RDS-Session nutzt, braucht zwei Zugriffslizenzen.

• die normale Windows Server CAL (User oder Device) für den Zugriff auf den Server selbst, und
• zusätzlich eine RDS CAL (User oder Device) für die Remote-Session.

Die RDS CAL ersetzt die Windows Server CAL also nicht, sie kommt obendrauf. Dasselbe Prinzip gilt laut Microsoft auch für Azure-Virtual-Desktop-Zugriffe auf Windows-Server-Session-Hosts. Verwaltet werden die RDS CALs über einen RD-Lizenzserver, der die CALs installiert, an Nutzer oder Geräte ausgibt und nachverfolgt.

Zwei Abgrenzungen vorab: Das allgemeine CAL-Grundsystem von Windows Server (wer überhaupt CALs braucht und welche) erklärt unsere Seite Windows Server CAL: User vs. Device. Und beachten Sie bei der Serverwahl: Die Essentials-Edition kann kein RDS-Sessionhost sein, für einen Terminalserver brauchen Sie mindestens Windows Server Standard.

RDS User CAL oder Device CAL?

Wie bei den normalen Server-CALs gibt es RDS CALs in zwei Varianten, die sich im Betrieb deutlich stärker unterscheiden, als viele erwarten:

Die Faustregel: User CALs, wenn Mitarbeiter von mehreren Geräten zugreifen (Büro-PC, Notebook, Homeoffice-Rechner); Device CALs, wenn sich viele Nutzer wenige Geräte teilen, klassisch im Schichtbetrieb. Eine ausführliche Entscheidungshilfe mit Rechenbeispielen für beide CAL-Arten bietet unsere Vergleichsseite User CAL oder Device CAL.

Versionsregeln: die häufigste Compliance-Falle

RDS CALs sind versionsgebunden, und zwar auf zwei Ebenen. Microsofts Regel: Neuere CALs öffnen ältere Hosts, nie umgekehrt („You can't use RDS CALs for earlier versions to access later versions of Windows Server").

Tabelle 1: Welche CAL darf auf welchen Session Host?

Tabelle 2: Welche CAL darf auf welchen Lizenzserver?

Zusätzlich gilt: RDS CALs lassen sich nur auf einem Lizenzserver gleicher oder neuerer Windows-Server-Version installieren.

Praktische Konsequenz: Betreiben Sie den Lizenzserver auf der neuesten Windows-Server-Version im Haus, dann nimmt er alle CAL-Generationen auf. Und kaufen Sie RDS CALs mindestens in der Version Ihres neuesten Session Hosts; neuere CALs decken ältere Hosts automatisch mit ab, das macht gebrauchte 2022er RDS CALs zur flexiblen Wahl für gemischte Umgebungen bis Server 2022.

Lizenzserver, Clearinghouse und 120-Tage-Grace-Period

Der RD-Lizenzserver ist eine Serverrolle, die Sie auf einem beliebigen Windows Server betreiben (Versionsregel s. o.). Er kann domänen- und forest-übergreifend sowie mit Einschränkungen in Workgroups CALs ausgeben. Drei Betriebsdetails sind lizenzrelevant:

120 Tage Grace Period

Nach Einrichtung der RDS-Rolle gilt eine Kulanzfrist: „There's a licensing grace period of 120 days during which no license server is required." Danach verweigert der Session Host Verbindungen von Nutzern ohne gültige CAL vom Lizenzserver. Die Grace Period ist als Einrichtungsfenster gedacht, nicht als lizenzfreier Produktivbetrieb (siehe Compliance-Falle 3).

Aktivierung gegen das Microsoft Clearinghouse

Der Lizenzserver wird gegen das Microsoft Clearinghouse aktiviert, den Aktivierungsdienst von Microsoft (ausgehende Verbindung über TCP 443). Erst der aktivierte Lizenzserver kann permanente CALs ausstellen.

Besonderheit bei CSP-gekauften RDS CALs: 5x5-Codes

Wer RDS CALs über den CSP-Kanal (neu) bezieht, erhält sie als sogenannte „5x5"-Codes. Diese sind einmalig einlösbar, auch eine erneute Eingabe auf demselben Lizenzserver ist nicht möglich. Bewahren Sie die Nachweise entsprechend auf. Klassische Volumenlizenz-CALs werden dagegen über die Agreement-Nummer installiert; Hintergründe zu den Kaufkanälen auf der Seite Microsoft-Volumenlizenzen.

Externe Nutzer: der External Connector

CALs sind für Mitarbeiter und bekannte Nutzer gedacht. Greifen externe Nutzer (Kunden, Lieferanten, Partner, keine Mitarbeiter oder Onsite-Dienstleister) auf Ihre Server zu, gibt es zwei Lizenzwege:

• Variante 1, CALs auch für Externe: Sie kaufen normale Windows Server CALs plus RDS CALs für jeden externen Nutzer. Wirtschaftlich bei einer kleinen, bekannten externen Nutzerzahl.
• Variante 2, External Connector (EC): Eine EC-Lizenz deckt den Zugriff beliebig vieler externer Nutzer auf einen physischen Server ab. Für RDS-Zugriffe Externer ist der RDS External Connector ein eigenes Produkt zusätzlich zum Windows Server External Connector: Der Terminalserver braucht dann beide. Greifen Externe auf mehrere Server zu (z. B. Web-, Anwendungs- und Datenbankserver), ist je Server ein eigener EC nötig.

Als Entscheidungshilfe (keine Microsoft-Regel): Der EC lohnt bei vielen oder wechselnden externen Nutzern, CALs bei wenigen namentlich bekannten. Prüfen Sie Details und aktuelle Bedingungen vor größeren Beschaffungen gegen die Microsoft Product Terms, und lassen Sie sich im Zweifel beraten: Kontakt zur Lyzio GmbH.

Office auf Terminalservern: Volumenlizenz-Pflicht

Die teuerste Überraschung vieler Terminalserver-Projekte ist nicht die RDS CAL, sondern Office. Es gibt genau zwei zulässige Wege:

Weg 1: Microsoft 365 Apps mit Shared Computer Activation

Microsoft 365 Apps laufen auf RDS nur mit Shared Computer Activation (SCA), von Microsoft als „preferred configuration" für RDS und VDI bezeichnet. Vorausgesetzt wird ein berechtigter Plan: Microsoft 365 Apps for enterprise, E3/E5 oder auch Business Premium. Die Installation erfolgt über das Office Deployment Tool mit SharedComputerLicensing=1. Welche Pläne was enthalten, zeigt unsere Seite Microsoft 365: Pläne und Preise.

Weg 2: Kauf-Office als Volumenlizenz (Office LTSC)

Für unbefristete Kauflizenzen gilt eine klare Volumenlizenz-Pflicht: Microsofts eigene Troubleshooting-Dokumentation blockiert Click-to-Run-Office ohne SCA auf Terminalservern und nennt als Lösung, eine Edition zu installieren, die einen Volume License Key nutzt. Retail- und OEM-Office scheiden für die zentrale Bereitstellung über einen RD Session Host aus.

Dazu kommt die Mengenregel: Office LTSC ist gerätelizenziert. Jedes Gerät, das auf den Terminalserver zugreift und dort Office nutzt, braucht eine Office-LTSC-Lizenz derselben Version und Edition wie das auf dem Server installierte Office. Ein Terminalserver mit 20 Zugriffsgeräten braucht also 20 Office-Volumenlizenzen, ein klassischer Anwendungsfall für gebrauchte Office-LTSC-Volumenlizenzen.

Die 6 Compliance-Fallen im Überblick

Diese sechs Fehler tauchen in Terminalserver-Umgebungen immer wieder auf, und jeder davon wird im Lizenzaudit teuer:

1. Per-User-CALs werden technisch nicht erzwungen: Der Lizenzserver stellt mehr User-Sessions zu, als CALs vorhanden sind („licensing isn't enforced ... administrator's responsibility"). Die stillschweigende Überbuchung fällt erst im Audit auf.
2. CAL-Version älter als der Session Host: Nach einem Host-Upgrade (z. B. von 2019 auf 2022 oder 2025) werden die alten RDS CALs weiterverwendet, obwohl sie den neuen Host nicht mehr abdecken.
3. Die 120-Tage-Grace-Period als „Betriebsmodus": Produktivbetrieb ohne Lizenzserver, bis plötzlich alle Nutzer vor verweigerten Logins stehen. Die Frist ist kein rechtsfreier Testzeitraum.
4. RDS CAL statt Windows Server CAL: Beide sind nötig, die RDS CAL ersetzt die Server-CAL nicht.
5. Office ohne Volumenlizenz je Zugriffsgerät: Retail-, OEM- oder Einzelplatz-Office auf dem Terminalserver, oder Office LTSC ohne Lizenz für jedes zugreifende Gerät.
6. Workgroup-Betrieb mit Per-User-CALs: Ohne Active Directory kann der Lizenzserver User-CALs nicht tracken, im Audit fehlt der Nachweis.

Wie ein Audit abläuft und wie Sie sich vorbereiten, beschreibt unsere Seite Microsoft-Lizenzaudit: Ablauf und Rechte.

Praxisbeispiel: 25-Mitarbeiter-Unternehmen

Ein Steuerberatungs- und Dienstleistungsunternehmen mit 25 Mitarbeitern stellt seine Fachanwendungen und Office zentral über einen Terminalserver (Windows Server 2022 Standard) bereit. 20 Mitarbeiter arbeiten per RDS, davon viele abwechselnd im Büro und im Homeoffice; 5 Mitarbeiter (Lager/Empfang) nutzen nur lokale Dienste wie Dateiablage und Druck.

Zwei Stellschrauben zeigt das Beispiel deutlich: Erstens treiben bei gerätelizenziertem Kauf-Office die Homeoffice-Geräte die Stückzahl, hier kann je nach Arbeitsweise ein M365-Plan mit Shared Computer Activation die bessere Wahl sein. Zweitens wären Device CALs hier falsch, weil fast jeder Nutzer von zwei Geräten zugreift. Im umgekehrten Fall (Schichtbetrieb, 30 Nutzer auf 12 geteilten Geräten) wären 12 RDS Device CALs statt 30 User CALs die sparsame Lösung. Für die Preisseite rechnet der Lizenzrechner auf lyzio.de beide Varianten mit aktuellen Netto-Richtwerten durch.

Fazit

RDS-Lizenzierung ist kein Hexenwerk, wenn man die vier Bausteine sauber trennt: Serverlizenz, Windows Server CAL, RDS CAL und die Office-Frage. Die teuren Fehler entstehen fast immer an denselben Stellen: falsche CAL-Version nach einem Host-Upgrade, Überbuchung von User-CALs, Grace-Period-Dauerbetrieb und Nicht-Volumenlizenz-Office. Wer die Versionstabellen dieser Seite beachtet und die Stückzahlen wie im Beispiel herleitet, ist audit-fest aufgestellt, und spart mit gebrauchten CALs und Office-Volumenlizenzen bis zu 80 % gegenüber dem Neupreis: jetzt Netto-Preise im Lyzio-Shop prüfen.

Häufige Fragen