Okay, vielen Dank erstmal für die Antworten.

VPN halte ich für ausreichend sicher. Aber wenn jemand den Anmeldeschirm sieht, dann könnte er es mal einem ihm bekannten Mitarbeiter des Haupthauses und dessen Vornamen als Passwort versuchen. So ist es ... leider.

Aber wenn ich einzelne Bildschirme beschränken kann, dann könnte das ein Ansatz sein. Ich muss dann nur irgendwie verhindern, dass in der Emulation eine andere oder keine Workstation-ID eingetragen wird. Vielleicht gibt es auch noch eine Möglichkeit, mit den IP-Host-Tabelleneinträgen zu arbeiten? Und das mit dem eigenen Subsystem schaue ich mir auch noch mal an.

@GeorgG: Das liegt nicht an der 400, sondern viel mehr an dem Admin, der hier bei der Passwortvergabe etwas "einfallslos" gehandelt hat.

Danke
Andreas