Das Symptom
Die Verbindung zum Bürorechner steht, die Arbeit läuft – und dann, wie nach
Fahrplan, ist Schluss. Entweder schließt sich das Fenster mit einer Meldung, oder
man sitzt plötzlich wieder vor dem Anmeldebildschirm, ohne dass irgendetwas
kaputt aussieht. Nach dem Neuverbinden ist alles noch da. Und eine Viertelstunde
später passiert es wieder.
Die „Layer 8“-Wahrheit
Wenn etwas immer nach derselben Zeit passiert, ist es keine Störung, sondern eine
Einstellung. Genau das ist der Unterschied, den Microsoft selbst zieht:
Trennungen ohne gleichbleibendes Zeitmuster gehen eher auf Netzwerkprobleme
zurück, alles mit Rhythmus auf Konfiguration. Wer das nicht trennt, tauscht
Netzwerkkabel gegen ein Problem, das im Gruppenrichtlinien-Editor sitzt.
Der zweite Denkfehler ist noch teurer: Trennung und Sperre werden ständig
verwechselt. Bei einer Trennung wird die Verbindung gekappt, das Fenster geht zu,
die Sitzung läuft auf dem Server weiter. Bei einer Sperre bleibt die Verbindung
bestehen, man wird nur auf den Anmeldebildschirm geschickt – ohne jede
Fehlermeldung. Das sind zwei völlig verschiedene Mechanismen mit zwei völlig
verschiedenen Stellschrauben: Zeitlimits für Sitzungen auf der einen Seite,
Inaktivitätsgrenze und Bildschirmschoner auf der anderen. Wer im falschen Lager
sucht, findet nie etwas.
Und dann ist da noch die Falle, in die praktisch jeder einmal tappt: Die Werte in
der Registrierung stehen in Millisekunden. Wer dort 600 einträgt in der Annahme,
zehn Minuten gesetzt zu haben, hat eine gute halbe Sekunde konfiguriert. Dass
Richtlinien Vorrang vor den Standardkonfigurationen haben und Computerrichtlinien
Vorrang vor Benutzerrichtlinien, sorgt für den Rest der Verwirrung – die
Einstellung, die man ändert, ist oft nicht die, die gewinnt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Den Abstand messen, bevor man etwas ändert
Die entscheidende Vorarbeit dauert eine Sitzung lang: Wie viel Zeit vergeht bis zum Abbruch, und ist dieser Abstand immer gleich? Ein gleichbleibender Rhythmus deutet auf eine Konfiguration, ein unregelmäßiger auf das Netz. Microsoft zieht diese Trennlinie ausdrücklich – sie erspart es, tagelang in Richtlinien zu suchen, die gar nicht greifen.
2.Die Meldung lesen und zuordnen
Windows verrät im Abbruchtext, welches Limit gezogen hat. Meldet es sinngemäß, die Sitzung sei beendet worden, weil der Remotecomputer keine Eingabe erhalten habe, dann war es das Limit für aktive, aber untätige Sitzungen. Meldet es dagegen, die Sitzung sei beendet worden, weil das Gesamtlimit der Anmeldezeit erreicht wurde, war es das Limit für aktive Sitzungen. Zwei verschiedene Stellschrauben, zwei verschiedene Meldungen.
3.Die Werte am Sitzungshost auslesen
Bei einer Remotedesktop-Bereitstellung schreibt der Verbindungsbroker die Standardwerte in die Registrierung der Sitzungshosts. Die beiden Werte heißen MaxIdleTime und MaxConnectionTime, beide vom Typ REG_DWORD. Auslesen in einer Eingabeaufforderung mit Administrator-Rechten – eine Meldung über einen nicht gefundenen Wert bedeutet schlicht, dass hier nichts gesetzt ist:
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v MaxIdleTime
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v MaxConnectionTime
4.Die Richtlinien prüfen, die darüberliegen
Die Zeitlimits stehen im Gruppenrichtlinien-Editor an dem Pfad, den Microsoft als „Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Session Time Limits“ angibt; die deutsche Oberfläche verwendet die entsprechende Übersetzung, die je nach Windows-Version leicht abweicht. Lokal öffnet man gpedit.msc, in der Domäne gpmc.msc. Wichtig für die Fehlersuche: Die zugehörigen Werte in der Registrierung stehen in Millisekunden – 900000 sind 15 Minuten, nicht 900 Sekunden:
gpedit.msc
5.Prüfen, ob es gar keine Trennung, sondern eine Sperre ist
Landet man auf dem Anmeldebildschirm, ohne dass das Fenster sich schließt, war es keine Trennung, sondern eine Sperre. Dafür kommen zwei Konfigurationen infrage. Die erste ist die Richtlinie für die Inaktivitätsgrenze des Computers, deren Wert in Sekunden angegeben wird und nur auf Computerebene gesetzt werden kann. Wichtig: Ist sie konfiguriert, sperrt das Gerät laut Microsoft nicht nur beim Überschreiten dieser Grenze, sondern auch, wenn der Bildschirmschoner startet oder die Anzeige wegen der Energieeinstellungen abschaltet:
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v InactivityTimeoutSecs
6.Den Bildschirmschoner als zweiten Sperrgrund ausschließen
Die zweite Ursache einer Sperre ist der Bildschirmschoner. Microsoft nennt drei Registrierungswerte, die dafür zusammenkommen müssen: ScreenSaveActive schaltet ihn ein oder aus, ScreenSaverIsSecure entscheidet über den Kennwortschutz, ScreenSaveTimeOut legt die Untätigkeit in Sekunden fest. Den Dialog dazu ruft der dokumentierte Befehl direkt auf; dort das Kontrollkästchen für die Anmeldeseite bei Reaktivierung beachten:
control desk.cpl,,1
7.Erst danach neu verbinden und nachmessen
Änderungen an den Zeitlimits greifen nicht in der laufenden Sitzung. Laut Dokumentation müssen Benutzer sich neu verbinden oder ab- und wieder anmelden, damit die Konfiguration übernommen wird. Wer das überspringt, misst den alten Zustand nach und hält die richtige Änderung für wirkungslos.