Headless Raspberry Pi: SSH, VNC oder RDP?

Sie haben einen Pi geflasht, ihn hinter dem Fernseher verstaut – ohne Monitor, ohne Tastatur – und müssen ihn jetzt erreichen. Sie haben ein VNC-Tutorial gefunden und Schritt für Schritt befolgt – und gescheitert, weil dort stand, Sie sollten „RealVNC aktivieren", was das aktuelle Raspberry Pi OS klammheimlich entfernt hat. Ein Dutzend anderer Anleitungen rät munter, einen Port ins Internet weiterzuleiten – genau so landen Pis in Botnetzen.

Hier ist die aktuelle und sichere Version: welche Fernzugriffs-Methode zu welcher Aufgabe passt, wie Sie einen Pi ganz ohne Peripherie erreichen, und wie Sie sich von überall verbinden, ohne ein Loch zu öffnen.

TL;DR

SSH für Server und schnelle Eingriffe, VNC (wayvnc) oder RDP (xrdp), wenn Sie den echten Desktop brauchen, Raspberry Pi Connect für Zero-Config-Zugriff übers Internet.
Raspberry Pi OS Bookworm ist auf Wayland umgestiegen, daher ist der alte RealVNC-Server verschwunden – das eingebaute VNC heißt jetzt wayvnc und wird in raspi-config aktiviert.
Richten Sie einen headless Pi komplett über die erweiterten Optionen des Raspberry Pi Imager ein (Strg+Umschalt+X): Hostname, SSH, Nutzer und WLAN vor dem ersten Start.
Leiten Sie niemals Port 22, 5900 oder 3389 roh ins Internet weiter. Nutzen Sie SSH-Schlüssel, einen SSH-Tunnel, ein VPN oder Pi Connect.
Nutzen Sie SSH-Schlüssel statt Passwörter – der größte Sicherheitsgewinn, den Sie in zwei Minuten haben.

Welche Methode für welche Aufgabe

Alle drei Protokolle erreichen den Pi, geben Ihnen aber Unterschiedliches. Wählen Sie nach dem, was Sie wirklich vorhaben – nicht nach der ersten Anleitung, die Sie gefunden haben:

Methode	Was Sie bekommen	Am besten für	Standardport	Sicher, roh offen?
SSH	Ein Terminal	Server, schnelle Eingriffe, Automatisierung, Skripte	22	Nur mit Schlüsseln – VPN trotzdem vorzuziehen
wayvnc (VNC)	Den echten Desktop des Pi (spiegelt den Bildschirm)	GUI-Arbeit an der realen Sitzung	5900	Nein – Tunnel oder VPN
xrdp (RDP)	Eine eigene Desktop-Sitzung, Windows-nativer Client	Windows-Nutzer, private Sitzung	3389	Nein – Tunnel oder VPN
Raspberry Pi Connect	Bildschirm und Shell übers Internet, kein Setup	Zero-Config-Zugriff durch NAT	Relay	Ja – offizielles Relay

Der Punkt, an dem die meisten stolpern: wayvnc spiegelt den physischen Bildschirm (das, was ein am Pi angeschlossener Monitor zeigen würde), während xrdp Ihnen eine eigene Login-Sitzung unabhängig von der Konsole gibt. Für einen headless Server wollen Sie selten eines von beiden – SSH ist leichtgewichtiger, skriptbar und immer das richtige erste Werkzeug.

Tip

Die meisten „Ich brauche VNC auf meinem Pi"-Probleme sind eigentlich „Ich muss einen Befehl ausführen". Greifen Sie zuerst zu SSH; ein Desktop-Protokoll nur dann, wenn Sie wirklich eine grafische Oberfläche brauchen, etwa um eine App mit GUI zu konfigurieren.

Headless-Ersteinrichtung: Zugriff ganz ohne Peripherie

Sie brauchen überhaupt keinen Monitor. Der Raspberry Pi Imager packt das komplette Setup schon auf die SD-Karte, bevor der Pi zum ersten Mal startet. Öffnen Sie auf dem letzten Bildschirm die erweiterten Optionen mit Strg+Umschalt+X und setzen Sie:

#Imager erweiterte Optionen (Strg+Umschalt+X)
- Hostname:          pi-server.local
- SSH aktivieren:     Passwort ODER Ihren öffentlichen Schlüssel einfügen
- Nutzername/Passwort: eigene Werte setzen (den Standardnutzer 'pi' gibt es nicht mehr)
- WLAN:               SSID + Passwort + Ihr Land
- Region:             Zeitzone + Tastaturlayout

Flashen, starten – der Pi verbindet sich mit Ihrem WLAN und meldet sich selbst per SSH, ganz ohne je einen Bildschirm gesehen zu haben. Von einem anderen Rechner aus:

ssh [email protected]

Note

Aktuelle Raspberry-Pi-OS-Versionen haben den alten Standard-Login pi/raspberry entfernt. Wenn eine Anleitung ssh pi@... verlangt, stammt sie aus der Zeit davor – nutzen Sie den Nutzernamen, den Sie im Imager gesetzt haben. Dieselbe „alte Anleitung, neues OS"-Falle bricht auch die RealVNC-Anweisungen weiter unten.

Die VNC-Änderung, über die alle stolpern

Das hier kostet am meisten Zeit. Als Raspberry Pi OS mit Bookworm auf Wayland umgestiegen ist, wurde der mitgelieferte RealVNC-Server durch wayvnc ersetzt, und der alte Dienst vncserver-x11-serviced existiert nicht mehr. Jede Anleitung, die „RealVNC in raspi-config aktivieren" sagt, beschreibt ein OS, das vor Jahren erschienen ist.

Der aktuelle Weg ist kurz. Aktivieren Sie es über SSH:

sudo raspi-config
#Interface Options -> VNC -> Yes  (das aktiviert wayvnc)

Verbinden Sie sich dann mit einem beliebigen VNC-Viewer (RealVNC Viewer oder TigerVNC funktionieren beide) zur Adresse des Pi auf Port 5900. Das war's – kein Konto für den eingebauten Server nötig, und er spiegelt den echten Desktop des Pi.

Warning

wayvnc bedient die Desktop-Sitzung – der Pi muss zum grafischen Desktop gestartet sein, nicht zum reinen Konsolen-„Lite"-Ziel. Verbindet sich VNC, zeigt aber einen schwarzen Bildschirm, ist der Pi fast sicher zur CLI gestartet – stellen Sie in raspi-config auf Desktop-Start um.

SSH richtig: Schlüssel statt Passwörter

Ein reiner Passwort-Login per SSH im Internet ist ein Glücksspielautomat für Bots. Stellen Sie einmal auf Schlüssel-Authentifizierung um, und Sie tippen nie wieder ein Passwort – Brute-Force-Versuche laufen ins Leere.

#auf Ihrem Rechner: Schlüssel erzeugen, falls noch keiner vorhanden ist, dann kopieren
ssh-keygen -t ed25519
ssh-copy-id [email protected]

#dann auf dem Pi: Passwort-Login abschalten
sudo nano /etc/ssh/sshd_config
#setzen:  PasswordAuthentication no
sudo systemctl restart ssh

KEY-STAT: 3389 und 5900 — die Ports für RDP und VNC – zu den am häufigsten gescannten im Internet, genau deshalb geben Sie sie niemals roh frei

Niemals roh freigeben: der Sicherheitsteil

Hier die Regel, die die meisten Anleitungen auslassen und die wirklich zählt: leiten Sie Port 22, 5900 oder 3389 nicht vom Router zum Pi weiter. Ein offener RDP- oder VNC-Port wird von automatisierten Scannern binnen Stunden gefunden. Sie haben drei gute Wege, den Pi von außerhalb Ihres Zuhauses zu erreichen:

Option 1 – der SSH-Tunnel. VNC über eine SSH-Verbindung erreichen, der Sie bereits vertrauen. Nichts außer SSH (schlüsselgeschützt) berührt je das Internet:

#den VNC-Port des Pi über SSH weiterleiten, dann den Viewer auf localhost:5900 richten
ssh -L 5900:localhost:5900 [email protected]

Option 2 – ein VPN. Stellen Sie den Pi hinter WireGuard, und Laptop oder Handy treten dem Heimnetz bei, als wären sie lokal. Das ist die sauberste Lösung, wenn Sie mehrere Geräte erreichen wollen; unser Vergleich WireGuard vs. OpenVPN zeigt, was Sie selbst hosten sollten und warum WireGuard auf einem Pi meist gewinnt.

Option 3 – Raspberry Pi Connect. Der offizielle kostenlose Dienst leitet sowohl Bildschirmfreigabe als auch Shell über die Server von Raspberry Pi weiter, sodass Sie Fernzugriff ganz ohne Port-Weiterleitung erhalten. Der Weg mit dem geringsten Aufwand, wenn Sie nur einen einzelnen Pi von überall erreichen wollen.

Warning

„Es ist doch nur mein Raspberry Pi, wen interessiert das" ist genau die Annahme hinter den meisten kompromittierten Heimgeräten. Scanner ist egal, was hinter dem Port steckt – ein offener Port 3389 ist ein offener Port 3389. Tunnel, VPN oder Pi Connect; niemals eine rohe Weiterleitung.

Das ehrliche Fazit

Für einen headless Server – den ganzen Sinn eines versteckt verbauten Pi – ist SSH mit Schlüsseln in 90 % der Fälle die Antwort: leichtgewichtig, skriptbar und sicher genug, um Automatisierung darauf aufzubauen. Ergänzen Sie wayvnc oder xrdp nur, wenn Sie wirklich einen grafischen Desktop brauchen, und erreichen Sie beides über einen SSH-Tunnel oder ein VPN statt über einen offenen Port. Wenn Sie nur mal eben einen einzelnen Pi vom Handy aus der Bahn erreichen wollen, ist Raspberry Pi Connect der Zero-Config-Weg.

Einmal den Fernzugriff richtig eingerichtet, wird er zur unsichtbaren Infrastruktur – dem Fundament, auf dem jedes andere Projekt aufsetzt. Wenn Sie von hier aus weiterbauen, zeigt unser Einsteiger-Leitfaden zum Aufbau eines Homelabs, wo Fernzugriff unter den anderen Entscheidungen einzuordnen ist, und falls ein einzelner Pi zu eng wird, fährt ein kleiner Mini-PC als Heimserver exakt dasselbe SSH-first-Vorgehen mit mehr Spielraum.

FAQ

Wie greife ich auf einen headless Raspberry Pi zu?

Backen Sie es in die SD-Karte ein: Drücken Sie im Raspberry Pi Imager Strg+Umschalt+X, um Hostname zu setzen, SSH zu aktivieren, Ihren Nutzer anzulegen und Ihr WLAN einzutragen. Nach dem ersten Start verbindet sich der Pi mit dem Netzwerk und antwortet auf SSH, ohne dass je ein Monitor angeschlossen war.

Funktioniert RealVNC noch auf Raspberry Pi Bookworm?

Der mitgelieferte RealVNC-Server nicht mehr – Bookworm ist auf Wayland umgestiegen und hat ihn durch wayvnc ersetzt. Aktivieren Sie VNC in raspi-config (Interface Options → VNC), das schaltet wayvnc ein, dann verbinden Sie sich mit einem VNC-Viewer auf Port 5900. RealVNC Connect funktioniert weiterhin als separate, kontobasierte Option.

Ist SSH oder VNC besser für einen Raspberry Pi?

SSH für alles Serverartige – leichter, skriptbar und das richtige erste Werkzeug. VNC (oder RDP), wenn Sie gezielt den grafischen Desktop brauchen. Viele nutzen SSH täglich und greifen nur zu VNC, um eine App mit GUI zu konfigurieren.

Wie greife ich sicher übers Internet auf meinen Raspberry Pi zu?

Leiten Sie SSH, VNC oder RDP nie roh weiter. Nutzen Sie einen SSH-Tunnel für VNC, stellen Sie den Pi hinter ein WireGuard-VPN, oder nutzen Sie Raspberry Pi Connect, das den Zugriff ganz ohne Port-Weiterleitung durchreicht. Verwenden Sie immer SSH-Schlüssel mit deaktiviertem Passwort-Login.

Welchen Port nutzt Raspberry-Pi-VNC?

wayvnc lauscht standardmäßig auf Port 5900. Geben Sie diesen Port nicht ins Internet frei – erreichen Sie ihn über einen SSH-Tunnel (ssh -L 5900:localhost:5900 …) oder ein VPN.