Na ja, auch die Windows Firewall ist im Prinzip sicher, nur halt nicht unbedingt mit den Default Werten und dann kommt noch dazu, dass der Server mit dem nackten Arsch im Internet haengt. Die Bedienungsfreundlichkeit der Windows-Firewall ist ein Thema fuer sich, i. d. R. hilft es, alle aus- und eingehenden Regeln zu loeschen, damit die Default-Werte weg sind und danach ein neues Gruppenrichtlinienobjekt zu erstellen, und dann, wie wir das unter Linux auch kennen, die erforderlichen Ports einzeln aufmachen (das macht man am Besten mit der Konsole, bevor man mit dem Server ueberhaupt online geht). Das geht jedoch erst, wenn man alles anderes bereits konfiguriert hat, weil:
Der Weg dort hin ist etwas steinig, denn man muesste neben DNS auch noch schnell Active-Directory hochziehen, damit die Gruppenrichtlinieverwaltung sich installieren laesst und erst dann, kann man erst (richtig) die Default-Policy und Profilzuordnung setzen. Dann gibt es noch den gemeinen .NET 3.5 Fallstrick (bei pre 2022), die korrekten DNS-Einstellungen der Netzwerkkarte (da sonst kein dcpromo laeuft) und die Installation von hilfreichen, optionalen Komponenten wie Desktop Experience, Telnet und natuerlich die Deinstallation dieses verfluchten Windows Defenders (geht ab 2022 nicht mehr), der jeden Windows Server mit unter 8 GB RAM so unertraeglich langsam macht, dass man... ach egal... FML! Und auf gar keinen Fall einen PPTP-Server (VPN) unter Windows installieren!
Jedenfalls spielt es keine Rolle, ob der RDP-Port nur fuer die eigene IP freigegeben wird oder man ein VPN dazwischen schaltet... es ist weder mehr noch weniger sicher, sondern beides falsch, weil es gegen geltende Normen der IT-Sicherheit verstoesst (BSI, CISA etc.). Die richtigen Vokabeln sind oben schon gefallen: Firewall davor, Jumphost dazwischen, (der JH hat uebrigens kein Internet und ist nur vom Adminnetz aus erreichbar), dann Netztrennung vornehmen, Inter-Zone Verkehr in der Firewall regulieren und dann kommen wir der Sache schon etwas naeher. Ueberfordert aber jeden, der keine sachkundige Person im Bereich IT-Sicherheit ist.
Fuer den Hobby/Privatgebrauch ist das alles irrelevant, aber VPN ist kein Allheilmittel und kann man deswegen getrost weglassen. Meiner Erfahrung nach, sind die meisten VPN-Server nicht unbedingt sicher vom Verantwortlichen konfiguriert (nur PSK, ohne MFA, ohne Zertifikate, ohne IP-Beschraenkungen, ohne Firewall) und jeder, der das beherrscht, braucht glaube ich keine Hilfe mehr, bei der Absicherung eines MS Windows Servers.
Wer es ganz einfach haben moechte, kann Zero-Trust von Cloudflare (oder sonstiger Anbieter) nutzen, aber ich will nicht schon wieder meine Kollegen, von der Datenschutzfraktion auf die Palme bringen. Dennoch, es ist keine Schande, wenn man das als Privatperson nutzt, um sich das Leben einfacher zu machen. Immer noch besser, als einen eigenen VPN-Server -- als Laie -- betreiben zu muessen. 
Fazit: Im Privatbereich -- und das duerfte auf die Meisten hier zutreffen. Ihr macht es euch erheblich einfacher, wenn ihr mit IP-Restriktionen fuer SSH und RDP (auf die eigene WAN IP) in der Netcup Firewall arbeitet.
PS: don't kill the messenger
