RDS-CALs: Welche Lizenz ein Terminalserver braucht – und warum er nach 120 Tagen aufhört

Der Anruf kommt an einem Montag: „Niemand kommt mehr auf den Terminalserver. Gestern ging es noch.“ Die Fehlermeldung spricht von einem Lizenzserver, den es nie gab. Der Terminalserver wurde vor vier Monaten eingerichtet, lief seitdem, und nun ist eine Frist abgelaufen, von der niemand wusste: 120 Tage. So lange läuft nach Microsoft Learn ein Remotedesktop-Sitzungshost ohne Lizenzserver. Danach müssen Clients eine gültige RDS-CAL vorweisen, bevor sie sich anmelden können.

Dieser Beitrag erklärt, was in diesen vier Monaten hätte passieren müssen – und was eine RDS-CAL überhaupt ist, denn der Begriff wird mit der Windows-Server-CAL verwechselt, die etwas anderes abdeckt.

Zwei CALs, zwei Fragen

Die Windows-Server-CAL beantwortet die Frage: Darf diese Person oder dieses Gerät auf einen Windows Server zugreifen – Dateien, Anmeldung, Drucker, Anwendungen? Jeder Nutzer oder jedes Gerät braucht eine, auch wenn der Zugriff mittelbar über eine Anwendung läuft. Die RDS-CAL beantwortet eine zweite Frage: Darf diese Person oder dieses Gerät eine Remotedesktop-Sitzung auf einem Sitzungshost öffnen? Nach Microsoft Learn braucht jeder Benutzer und jedes Gerät, das eine Verbindung zu einem Sitzungshost für Remotedesktopdienste herstellt, eine RDS-CAL – zusätzlich.

Die beiden stehen deshalb nebeneinander auf der Rechnung, und die zweite fehlt häufiger, weil nichts sie beim Einrichten verlangt. Der Sitzungshost läuft, die Nutzer arbeiten, und erst der Lizenzserver – ein eigener Dienst, der RDS-CALs installiert, ausstellt und verfolgt – macht die Lizenz technisch wirksam. Ohne ihn gilt die Kulanzfrist. Mit ihm, aber ohne installierte CALs, gilt sie auch.

Je Benutzer oder je Gerät

Die RDS-CAL gibt es in zwei Arten, und Microsoft beschreibt den Unterschied klar. Je Gerät: physisch jedem Gerät zugewiesen, vom Lizenzserver verfolgt, mit einer temporären CAL bei der ersten Anmeldung, die 90 Tage gilt; bis zu 20 Prozent der Geräte-CALs lassen sich widerrufen. Je Benutzer: einem Benutzer in Active Directory zugewiesen, nicht widerrufbar, und – das ist der entscheidende Satz – nicht technisch erzwungen. Der Lizenzserver gibt auch dann eine CAL aus, wenn der Pool erschöpft ist; die Einhaltung liegt in der Verantwortung des Administrators.

Die Wahl ist eine Rechenaufgabe: Je Gerät, wenn sich Schichten einen Arbeitsplatz teilen – zwei Schichten, zehn Terminals, zehn Geräte-CALs statt zwanzig Benutzer-CALs. Je Benutzer, wenn jeder Mitarbeiter mehrere Geräte nutzt – Büro-PC, Notebook, Tablet. Der Lizenzrechner nimmt die kleinere der beiden Zahlen; mischen ist erlaubt, nur muss jede Person oder jedes Gerät durch eine der beiden Arten gedeckt sein.

Die Versionsregel, die beim Upgrade zuschlägt

RDS-CALs tragen eine Version, und die muss zum Sitzungshost passen. Nach Microsoft Learn lassen sich keine RDS-CALs älterer Versionen für den Zugriff auf neuere Windows-Server-Versionen verwenden, wohl aber neuere CALs für ältere Server. Konkret: Eine RDS-CAL für Windows Server 2022 öffnet einen Sitzungshost mit Windows Server 2022, 2019 oder 2016 – aber keinen mit Windows Server 2025. Wer den Terminalserver auf 2025 hebt, braucht neue CALs, und der Lizenzserver muss ebenfalls auf 2025 laufen, um sie zu installieren.

Das ist der zweithäufigste Anruf zum Thema: Der Server wurde erneuert, die CALs blieben, und nach 120 Tagen ist Schluss. Die Versionsregel gilt für Windows-Server-CALs genauso – nach Microsofts Produktbestimmungen muss die CAL-Version der Serverversion entsprechen oder neuer sein. Eine Erneuerung des Servers ist also immer auch eine Erneuerung der Zugriffslizenzen, und das gehört in die Kalkulation, bevor die Hardware bestellt wird.

Bei Miete über SPLA: nur je Benutzer

Wird der Terminalserver bei einem Dienstleister gemietet, gilt das Services Provider License Agreement. Dort ist Windows Server je Kern und Monat lizenziert und deckt den Zugriff beliebig vieler Benutzer – die Windows-Server-CAL entfällt. Remote Desktop dagegen gibt es unter SPLA ausschließlich je Benutzer: eine Subscriber Access License je Nutzer und Monat, unabhängig von der Zahl seiner Geräte. Die Frage je Benutzer oder je Gerät stellt sich dort nicht; die Frage, wie viele Nutzer es sind, umso mehr – und die Antwort steht jeden Monat auf der Rechnung, was den Lizenznachweis für den Prüfer zur einfachsten Übung macht.

Was der Prüfer dazu sehen will

Eine Lizenzprüfung durch Microsoft oder einen beauftragten Wirtschaftsprüfer fragt nicht, ob der Terminalserver läuft, sondern ob jede Sitzung gedeckt ist: die Zahl der Nutzer, die sich in einem Zeitraum angemeldet haben, gegen die Zahl der installierten RDS-CALs derselben oder einer neueren Version. Der Lizenzserver liefert dafür einen Bericht; bei Benutzer-CALs ist er die einzige Aufzeichnung, weil die Lizenz nicht erzwungen wird. Wer den Bericht nie gezogen hat, erfährt die Lücke vom Prüfer. Wer ihn vierteljährlich zieht und mit der Kaufliste abheftet, hat die Antwort auf einer Seite – dieselbe Logik wie bei jedem anderen Beleg in der Nachweismappe: nicht die Absicht zählt, sondern die Zuordnung mit Datum.

Was heute zu tun ist

Verwandte Themen: Wer hier weiterdenkt, liest bei Fernarbeitsplatz: Terminalserver, VDI oder Cloud-PC, Windows Server und Microsoft 365 außerhalb von Microsoft sichern weiter.