Produktdokumentation
Citrix Cloud™
PDF anzeigen

Leitfaden für die sichere Bereitstellung der Citrix Cloud™-Plattform

August 3, 2026
Beitrag von: 
C C

Der Leitfaden für die sichere Bereitstellung von Citrix Cloud bietet einen Überblick über bewährte Sicherheitspraktiken bei der Verwendung von Citrix Cloud und beschreibt die Informationen, die Citrix Cloud sammelt und verwaltet.

Technische Sicherheitsübersichten für Dienste

Weitere Informationen zur Datensicherheit in Citrix Cloud-Diensten finden Sie in den folgenden Artikeln:

Anleitung für Administratoren

  • Verwenden Sie sichere Passwörter und ändern Sie diese regelmäßig.
  • Alle Administratoren innerhalb eines Kundenkontos können andere Administratoren hinzufügen und entfernen. Stellen Sie sicher, dass nur vertrauenswürdige Administratoren Zugriff auf Citrix Cloud haben.
  • Administratoren eines Kunden haben standardmäßig vollen Zugriff auf alle Dienste. Einige Dienste bieten die Möglichkeit, den Zugriff eines Administrators einzuschränken. Weitere Informationen finden Sie in der dienstspezifischen Dokumentation.
  • Die Zwei-Faktor-Authentifizierung für Citrix Cloud-Administratoren wird über den standardmäßigen Citrix Identitätsanbieter realisiert. Wenn Administratoren sich für Citrix Cloud registrieren oder zu einem Citrix Cloud-Konto eingeladen werden, müssen sie sich für die Multi-Faktor-Authentifizierung (MFA) registrieren. Wenn ein Kunde Microsoft Azure zur Authentifizierung von Citrix Cloud-Administratoren verwendet, kann die Multi-Faktor-Authentifizierung wie unter Configure Microsoft Entra ID Multi-Factor Authentication settings auf der Microsoft-Website beschrieben konfiguriert werden.
  • Standardmäßig beendet Citrix Cloud Administrator-Sitzungen nach 72 Stunden automatisch, unabhängig von der Konsolenaktivität. Diese Zeitüberschreitung kann nicht geändert werden.
  • Administratorkonten können mit maximal 100 Kundenkonten verknüpft werden. Wenn ein Administrator mehr als 100 Kundenkonten verwalten muss, muss er ein separates Administratorkonto mit einer anderen E-Mail-Adresse erstellen, um die zusätzlichen Kundenkonten zu verwalten. Alternativ können sie als Administrator von Kundenkonten entfernt werden, die sie nicht mehr verwalten müssen.

Passwort-Compliance

Citrix Cloud fordert Administratoren auf, ihre Passwörter zu ändern, wenn eine der folgenden Bedingungen zutrifft:

  • Das aktuelle Passwort wurde seit mehr als 60 Tagen nicht zum Anmelden verwendet.
  • Das aktuelle Passwort wurde in einer bekannten Datenbank kompromittierter Passwörter aufgeführt.

Neue Passwörter müssen alle folgenden Kriterien erfüllen:

  • Mindestens 8 Zeichen lang (maximal 128 Zeichen)
  • Enthält mindestens einen Groß- und Kleinbuchstaben
  • Enthält mindestens eine Zahl
  • Enthält mindestens ein Sonderzeichen: ! @ # $ % ^ * ? + = -

Regeln für die Passwortänderung:

  • Das aktuelle Passwort kann nicht als neues Passwort verwendet werden.
  • Die 5 vorherigen Passwörter können nicht wiederverwendet werden.
  • Das neue Passwort darf dem Benutzernamen des Kontos nicht ähneln.
  • Das neue Passwort darf nicht in einer bekannten Datenbank kompromittierter Passwörter aufgeführt sein. Citrix Cloud verwendet eine Liste von https://haveibeenpwned.com/, um festzustellen, ob neue Passwörter gegen diese Bedingung verstoßen.

Verschlüsselung und Schlüsselverwaltung

Die Citrix Cloud-Steuerungsebene speichert keine sensiblen Kundeninformationen. Stattdessen ruft Citrix Cloud Informationen wie Administratorpasswörter bei Bedarf ab (indem der Administrator explizit dazu aufgefordert wird).

Für ruhende Daten wird der Citrix Cloud-Speicher mit Schlüsseln verschlüsselt, die AES-256 Bit oder höher sind. Diese Schlüssel werden von Citrix verwaltet.

Für Daten während der Übertragung verwendet Citrix den Industriestandard TLS 1.2 mit den stärksten Cipher Suites. Kunden können das verwendete TLS-Zertifikat nicht steuern, da Citrix Cloud auf der Citrix-eigenen Domain cloud.com gehostet wird. Um auf Citrix Cloud zuzugreifen, müssen Kunden einen Browser verwenden, der TLS 1.2 unterstützt, und akzeptierte Cipher Suites konfiguriert haben.

Die folgenden starken Chiffren werden empfohlen: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Hinweis:

Während TLS 1.2 erforderlich ist, können einige Dienste TLS 1.3 für verbesserte Sicherheit und Leistung aushandeln. Kunden wird empfohlen, die Aushandlung von TLS 1.2 und TLS 1.3 durch ihre Clients zuzulassen. Die folgenden starken Chiffren werden empfohlen:

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

Weitere Informationen zum Schutz von Citrix Cloud-Dienstedaten finden Sie unter Citrix Cloud Services Data Protection Overview auf der Citrix-Website.

Weitere Informationen zur Verschlüsselung und Schlüsselverwaltung innerhalb jedes Cloud-Dienstes finden Sie in der Dokumentation des Dienstes.

Datenhoheit

Die Citrix Cloud-Steuerungsebene wird in den Vereinigten Staaten, der Europäischen Union und Australien gehostet. Kunden haben darüber keine Kontrolle.

Der Kunde besitzt und verwaltet die Ressourcenstandorte, die er mit Citrix Cloud verwendet. Ein Ressourcenstandort kann in jedem Rechenzentrum, jeder Cloud, jedem Standort oder jedem geografischen Gebiet erstellt werden, das der Kunde wünscht. Alle kritischen Geschäftsdaten (wie Dokumente, Tabellenkalkulationen usw.) werden an Ressourcenstandorten gespeichert und unterliegen der Kontrolle des Kunden.

Andere Dienste bieten möglicherweise die Option, Daten in verschiedenen Regionen zu speichern. Konsultieren Sie das Thema Geographical Considerations oder die Technical Security Overviews (am Anfang dieses Artikels aufgeführt) für jeden Dienst.

Einblicke in Sicherheitsprobleme

Die Website status.cloud.com bietet Transparenz bezüglich Sicherheitsproblemen, die sich fortlaufend auf den Kunden auswirken. Die Website protokolliert Status- und Verfügbarkeitsinformationen. Es besteht die Möglichkeit, Updates für die Plattform oder einzelne Dienste zu abonnieren.

Citrix Cloud Connector™

Installieren des Cloud Connectors

Aus Sicherheits- und Leistungsgründen empfiehlt Citrix®, dass Kunden die Cloud Connector-Software nicht auf einem Domänencontroller installieren.

Citrix empfiehlt außerdem dringend, dass die Maschinen, auf denen die Cloud Connector-Software installiert ist, sich innerhalb des privaten Netzwerks des Kunden und nicht in der DMZ befinden. Netzwerkanforderungen, Systemanforderungen und Anweisungen zur Installation des Cloud Connectors finden Sie unter Citrix Cloud Connector.

Konfigurieren des Cloud Connectors

Der Kunde ist dafür verantwortlich, die Maschinen, auf denen der Cloud Connector installiert ist, mit Windows-Sicherheitsupdates auf dem neuesten Stand zu halten.

Kunden können Antivirensoftware zusammen mit dem Cloud Connector verwenden. Citrix unterstützt Kunden, die branchenübliche AV-Produkte verwenden.

In der Active Directory (AD) des Kunden empfiehlt Citrix dringend, dass das Computerkonto des Cloud Connectors auf schreibgeschützten Zugriff beschränkt wird. Dies ist die Standardkonfiguration in Active Directory. Außerdem kann der Kunde die AD-Protokollierung und -Überwachung für das Computerkonto des Cloud Connectors aktivieren, um jegliche AD-Zugriffsaktivitäten zu überwachen.

Anmelden an der Maschine, die den Cloud Connector hostet

Der Cloud Connector ermöglicht die Weitergabe sensibler Sicherheitsinformationen an andere Plattformkomponenten in Citrix Cloud-Diensten, speichert aber auch die folgenden sensiblen Informationen:

  • Dienstschlüssel für die Kommunikation mit Citrix Cloud
  • Hypervisor-Dienstzugangsdaten für die Energieverwaltung in Citrix DaaS (ehemals Citrix Virtual Apps and Desktops™ service)

Diese sensiblen Informationen werden mithilfe der Data Protection API (DPAPI) auf dem Windows-Server verschlüsselt, der den Cloud Connector hostet. Citrix empfiehlt dringend, nur den am höchsten privilegierten Administratoren die Anmeldung an Cloud Connector-Maschinen zu gestatten (z. B. zur Durchführung von Wartungsarbeiten). Im Allgemeinen ist es nicht erforderlich, dass sich ein Administrator an diesen Maschinen anmeldet, um ein Citrix-Produkt zu verwalten. Der Cloud Connector ist in dieser Hinsicht selbstverwaltend.

Endbenutzern ist es nicht gestattet, sich an Maschinen anzumelden, die den Cloud Connector hosten.

Installieren anderer Software auf Cloud Connector-Maschinen

Kunden können Antivirensoftware und Hypervisor-Tools (falls auf einer virtuellen Maschine installiert) auf den Maschinen installieren, auf denen der Cloud Connector installiert ist. Citrix empfiehlt jedoch, dass Kunden keine andere Software auf diesen Maschinen installieren. Andere Software schafft mögliche Angriffsvektoren und könnte die Sicherheit der gesamten Citrix Cloud-Lösung verringern.

Konfiguration der eingehenden und ausgehenden Ports

Der Cloud Connector erfordert, dass der ausgehende Port 443 für den Internetzugang geöffnet ist. Citrix empfiehlt dringend, dass der Cloud Connector keine vom Internet aus zugänglichen eingehenden Ports hat.

Kunden können den Cloud Connector hinter einem Webproxy platzieren, um dessen ausgehende Internetkommunikation zu überwachen. Der Webproxy muss jedoch SSL/TLS-verschlüsselte Kommunikation unterstützen.

Der Cloud Connector kann andere ausgehende Ports mit Internetzugang haben. Der Cloud Connector verhandelt über eine Vielzahl von Ports, um die Netzwerkbandbreite und -leistung zu optimieren, falls andere Ports verfügbar sind.

Der Cloud Connector muss eine Vielzahl von eingehenden und ausgehenden Ports innerhalb des internen Netzwerks geöffnet haben. Die folgende Tabelle listet den Basissatz der erforderlichen offenen Ports auf.

Client-Port Server-Port Dienst
49152 -65535/UDP 123/UDP W32Time
49152 -65535/TCP 135/TCP RPC Endpoint Mapper
49152 -65535/TCP 464/TCP/UDP Kerberos-Passwortänderung
49152 -65535/TCP 49152-65535/TCP RPC für LSA, SAM, Netlogon (*)
49152 -65535/TCP/UDP 389/TCP/UDP LDAP
49152 -65535/TCP 3268/TCP LDAP GC
53, 49152 -65535/TCP/UDP 53/TCP/UDP DNS
49152 -65535/TCP 49152 -65535/TCP FRS RPC (*)
49152 -65535/TCP/UDP 88/TCP/UDP Kerberos
49152 -65535/TCP/UDP 445/TCP SMB

Der Cloud Connector verwendet LDAP-Signierung und -Versiegelung, um Verbindungen zum Domänencontroller zu sichern. Dies bedeutet, dass LDAP über SSL (LDAPS) nicht erforderlich ist. Weitere Informationen zur LDAP-Signierung finden Sie unter Aktivieren der LDAP-Signierung in Windows Server und Microsoft-Anleitung zum Aktivieren der LDAP-Kanalbindung und LDAP-Signierung.

Jeder der in Citrix Cloud verwendeten Dienste erweitert die Liste der erforderlichen offenen Ports. Weitere Informationen finden Sie in den folgenden Ressourcen:

Überwachung der ausgehenden Kommunikation

Der Cloud Connector kommuniziert ausgehend über Port 443 mit dem Internet, sowohl mit Citrix Cloud-Servern als auch mit Microsoft Azure Service Bus-Servern.

Der Cloud Connector kommuniziert mit Domänencontrollern im lokalen Netzwerk, die sich innerhalb der Active Directory-Gesamtstruktur befinden, in der die den Cloud Connector hostenden Maschinen angesiedelt sind.

Im Normalbetrieb kommuniziert der Cloud Connector nur mit Domänencontrollern in Domänen, die auf der Seite Identitäts- und Zugriffsverwaltung in der Citrix Cloud-Benutzeroberfläche nicht deaktiviert sind.

Jeder Dienst in Citrix Cloud erweitert die Liste der Server und internen Ressourcen, die der Cloud Connector im Normalbetrieb kontaktieren könnte. Kunden können auch die Daten nicht steuern, die der Cloud Connector an Citrix sendet. Weitere Informationen zu den internen Ressourcen der Dienste und den an Citrix gesendeten Daten finden Sie in den folgenden Ressourcen:

Anzeigen von Cloud Connector-Protokollen

Alle für einen Administrator relevanten oder umsetzbaren Informationen sind im Windows-Ereignisprotokoll auf der Cloud Connector-Maschine verfügbar.

Installationsprotokolle für den Cloud Connector finden Sie in den folgenden Verzeichnissen:

  • %AppData%\Local\Temp\CitrixLogs\CloudServicesSetup
  • %windir%\Temp\CitrixLogs\CloudServicesSetup

Protokolle dessen, was der Cloud Connector an die Cloud sendet, finden Sie unter %ProgramData%\Citrix\WorkspaceCloud\Logs.

Die Protokolle im Verzeichnis WorkspaceCloud\Logs werden gelöscht, wenn sie einen bestimmten Schwellenwert für die Größe überschreiten. Der Administrator kann diesen Größenschwellenwert steuern, indem er den Registrierungsschlüsselwert für HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CloudServices\AgentAdministration\MaximumLogSpaceMegabytes anpasst.

SSL/TLS-Konfiguration

Der Windows Server, der den Cloud Connector hostet, muss die in Verschlüsselung und Schlüsselverwaltung beschriebenen Chiffren aktiviert haben.

Der Cloud Connector muss der Zertifizierungsstelle (CA) vertrauen, die von den Citrix Cloud SSL/TLS-Zertifikaten und den Microsoft Azure Service Bus SSL/TLS-Zertifikaten verwendet wird. Citrix und Microsoft können Zertifikate und CAs in Zukunft ändern, verwenden aber immer CAs, die Teil der Standardliste der vertrauenswürdigen Windows-Herausgeber sind.

Jeder Dienst innerhalb von Citrix Cloud kann unterschiedliche SSL-Konfigurationsanforderungen haben. Weitere Informationen finden Sie in den Technischen Sicherheitsübersichten für jeden Dienst (aufgelistet am Anfang dieses Artikels).

Sicherheitskonformität

Um die Sicherheitskonformität zu gewährleisten, verwaltet sich der Cloud Connector selbst. Deaktivieren Sie keine Neustarts und legen Sie keine anderen Einschränkungen für den Cloud Connector fest. Diese Aktionen verhindern, dass der Cloud Connector sich bei einem kritischen Update selbst aktualisiert.

Der Kunde muss keine weiteren Maßnahmen ergreifen, um auf Sicherheitsprobleme zu reagieren. Der Cloud Connector wendet alle Sicherheitskorrekturen automatisch an.

Citrix Connector™ Appliance für Cloud Services

Installieren der Connector Appliance

Die Connector Appliance wird auf einem Hypervisor gehostet. Dieser Hypervisor muss sich in Ihrem privaten Netzwerk und nicht in der DMZ befinden.

Stellen Sie sicher, dass sich die Connector Appliance innerhalb einer Firewall befindet, die den Zugriff standardmäßig blockiert. Verwenden Sie eine Positivliste, um nur erwarteten Datenverkehr von der Connector Appliance zuzulassen.

Stellen Sie sicher, dass die Hypervisoren, die Ihre Connector Appliances hosten, mit aktuellen Sicherheitsupdates installiert sind.

Informationen zu den Netzwerk- und Systemanforderungen sowie Anweisungen zur Installation der Connector Appliance finden Sie unter Connector Appliance für Cloud Services.

Anmelden am Hypervisor, der eine Connector Appliance hostet

Die Connector Appliance enthält einen Dienstschlüssel für die Kommunikation mit Citrix Cloud. Erlauben Sie nur den privilegiertesten Administratoren, sich bei einem Hypervisor anzumelden, der die Connector Appliance hostet (z. B. um Wartungsarbeiten durchzuführen). Im Allgemeinen ist es für einen Administrator nicht erforderlich, sich bei diesen Hypervisoren anzumelden, um Citrix-Produkte zu verwalten. Die Connector Appliance ist selbstverwaltend.

Konfiguration der eingehenden und ausgehenden Ports

Die Connector Appliance erfordert, dass der ausgehende Port 443 mit Internetzugang geöffnet ist. Citrix empfiehlt dringend, dass die Connector Appliance keine eingehenden Ports hat, die über das Internet zugänglich sind.

Sie können die Connector Appliance hinter einem Webproxy platzieren, um ihre ausgehende Internetkommunikation zu überwachen. Der Webproxy muss jedoch SSL/TLS-verschlüsselte Kommunikation unterstützen.

Die Connector Appliance kann andere ausgehende Ports mit Internetzugang haben. Die Connector Appliance verhandelt über eine Vielzahl von Ports, um die Netzwerkbandbreite und -leistung zu optimieren, wenn andere Ports verfügbar sind.

Die Connector Appliance muss eine Vielzahl von eingehenden und ausgehenden Ports innerhalb des internen Netzwerks geöffnet haben. Die folgende Tabelle listet den Basissatz der erforderlichen offenen Ports auf.

Verbindungsrichtung Connector Appliance Port Externer Port Dienst
Eingehend 443/TCP Beliebig Lokale Web-UI
Ausgehend 49152-65535/UDP 123/UDP NTP
Ausgehend 53, 49152-65535/TCP/UDP 53/TCP/UDP DNS
Ausgehend 67/UDP 68/UDP DHCP und Broadcast
Ausgehend 49152 -65535/UDP 123/UDP W32Time
Ausgehend 49152 -65535/TCP 464/TCP/UDP Kerberos-Passwortänderung
Ausgehend 49152 -65535/TCP/UDP 389/TCP/UDP LDAP
Ausgehend 49152 -65535/TCP 3268/TCP LDAP GC
Ausgehend 49152 -65535/TCP/UDP 88/TCP/UDP Kerberos
Ausgehend 49152 -65535/TCP/UDP 445/TCP SMB
Ausgehend 137/UDP 137/UDP NetBIOS-Namensdienst
Ausgehend 138/UDP 138/UDP NetBIOS-Datagramm
Ausgehend 139/TCP 139/TCP NetBIOS-Sitzung

Jeder der in Citrix Cloud verwendeten Dienste erweitert die Liste der erforderlichen offenen Ports. Weitere Informationen finden Sie in den folgenden Ressourcen:

Überwachung der ausgehenden Kommunikation

Die Connector Appliance kommuniziert ausgehend über Port 443 mit dem Internet zu den Citrix Cloud-Servern.

Jeder Dienst in Citrix Cloud erweitert die Liste der Server und internen Ressourcen, die die Connector Appliance während des normalen Betriebs kontaktieren könnte. Außerdem können Kunden die Daten, die die Connector Appliance an Citrix sendet, nicht kontrollieren. Weitere Informationen zu den internen Ressourcen der Dienste und den an Citrix gesendeten Daten finden Sie in den folgenden Ressourcen:

Anzeigen von Connector Appliance-Protokollen

Sie können einen Diagnosebericht für Ihre Connector Appliance herunterladen, der verschiedene Protokolldateien enthält. Weitere Informationen zum Abrufen dieses Berichts finden Sie unter Connector Appliance für Cloud Services.

SSL/TLS-Konfiguration

Die Connector Appliance benötigt keine spezielle SSL/TLS-Konfiguration.

Die Connector Appliance vertraut der Zertifizierungsstelle (CA), die von Citrix Cloud SSL/TLS-Zertifikaten verwendet wird. Citrix kann Zertifikate und CAs in Zukunft ändern, verwendet aber immer CAs, denen die Connector Appliance vertraut.

Jeder Dienst in Citrix Cloud kann unterschiedliche Anforderungen an die SSL-Konfiguration haben. Weitere Informationen finden Sie in den Technischen Sicherheitsübersichten für jeden Dienst (aufgelistet am Anfang dieses Artikels).

Sicherheitskonformität

Um die Sicherheitskonformität zu gewährleisten, verwaltet sich die Connector Appliance selbst, und Sie können sich nicht über die Konsole bei ihr anmelden.

Sie müssen keine weiteren Maßnahmen ergreifen, um auf Sicherheitsprobleme des Connectors zu reagieren. Die Connector Appliance wendet alle Sicherheitskorrekturen automatisch an.

Stellen Sie sicher, dass die Hypervisoren, die Ihre Connector Appliances hosten, mit aktuellen Sicherheitsupdates installiert sind.

In Ihrem Active Directory (AD) empfehlen wir, dass das Computerkonto der Connector Appliance auf schreibgeschützten Zugriff beschränkt ist. Dies ist die Standardkonfiguration in Active Directory. Außerdem kann der Kunde die AD-Protokollierung und -Überwachung für das Computerkonto der Connector Appliance aktivieren, um alle AD-Zugriffsaktivitäten zu überwachen.

Anleitung zum Umgang mit kompromittierten Konten

  • Überprüfen Sie die Liste der Administratoren in Citrix Cloud und entfernen Sie alle, denen nicht vertraut wird.
  • Deaktivieren Sie alle kompromittierten Konten in Ihrem Active Directory des Unternehmens.
  • Kontaktieren Sie Citrix und fordern Sie die Rotation der für alle Cloud Connectors des Kunden gespeicherten Autorisierungsgeheimnisse an. Je nach Schwere des Verstoßes ergreifen Sie die folgenden Maßnahmen:
    • Geringes Risiko: Citrix kann die Geheimnisse im Laufe der Zeit rotieren. Die Cloud Connectors funktionieren weiterhin normal. Die alten Autorisierungsgeheimnisse werden in 2-4 Wochen ungültig. Überwachen Sie den Cloud Connector in dieser Zeit, um sicherzustellen, dass keine unerwarteten Vorgänge auftreten.
    • Anhaltend hohes Risiko: Citrix kann alle alten Geheimnisse widerrufen. Die bestehenden Cloud Connectors funktionieren dann nicht mehr. Um den normalen Betrieb wieder aufzunehmen, muss der Kunde den Cloud Connector auf allen betroffenen Computern deinstallieren und neu installieren.
Leitfaden für die sichere Bereitstellung der Citrix Cloud™-Plattform
August 3, 2026
Beitrag von: 
C C
August 3, 2026
Beitrag von: 
C C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.