SMB absichern: Signierung, Verschlüsselung und der Abschied von SMB1
Wie Signierung und Verschlüsselung zusammenwirken, was sich mit den aktuellen Windows-Versionen an den Voreinstellungen geändert hat und wie du die Umstellung ohne Ausfall hinbekommst.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Voreinstellung hat sich geändert, und der Bestand hat davon nichts mitbekommen
Über Jahre war die Signierung von SMB etwas, das man ausdrücklich einschalten konnte und in den meisten Häusern nur für die Freigaben SYSVOL und NETLOGON auf den Domänencontrollern tatsächlich verlangt wurde. Für alles andere war sie möglich, aber nicht verpflichtend, und deshalb hat sich niemand darum gekümmert, ob jedes Gerät im Netz sie beherrscht. Mit Windows Server 2025 und Windows 11 in der Version 24H2 hat Microsoft das umgedreht: Die Signierung wird jetzt für ausgehende Verbindungen standardmäßig verlangt.
Damit verschiebt sich der Zeitpunkt, an dem ein Problem sichtbar wird. Früher hätte eine bewusste Umstellung dazu geführt, dass ein Speichersystem oder ein Multifunktionsgerät nicht mehr erreichbar ist, und man hätte das im Wartungsfenster gemerkt. Jetzt merkt man es, wenn der erste neue Client ausgerollt wird oder wenn ein Server auf die aktuelle Version gehoben wird, also mitten im Betrieb und ohne Zusammenhang zu einer Sicherheitsmaßnahme. Der Fehler, der dabei auftaucht, ist eine kryptische Meldung über eine ungültige Signatur.
Der zweite Teil des Problems ist, dass die verpflichtende Signierung eine Nebenwirkung hat, die kaum jemand auf dem Schirm hat: Sie schaltet den Zugriff über Gastkonten ab. Genau davon leben aber viele einfache Speichergeräte, die eine Freigabe bereitstellen, ohne eine Anmeldung zu verlangen. Diese Geräte melden sich also nicht mit einer Signaturmeldung, sondern mit einem Hinweis darauf, dass die Sicherheitsrichtlinien des Unternehmens den nicht authentifizierten Gastzugriff blockieren, und der Zusammenhang zur Signierung ist von dieser Meldung aus nicht zu erraten.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ein Aufruf, der den Zustand eines Servers in einer Zeile zeigt
Der folgende Aufruf liest sechs Werte aus der Konfiguration des SMB-Servers aus, die zusammen den Sicherheitsstand dieses Systems beschreiben. Jeder Wert beantwortet eine eigene Frage, und keiner davon ersetzt einen anderen.
Der Aufbau
Get-SmbServerConfiguration | Format-List RequireSecuritySignature, EncryptData, RejectUnencryptedAccess, EnableSMB1Protocol, AuditSmb1Access, InvalidAuthenticationDelayTimeInMs - 01 Der Blick auf die Serverseite
Get-SmbServerConfigurationDieser Aufruf liefert die Einstellungen des SMB-Servers, also für eingehende Verbindungen. Für die Gegenrichtung gibt es Get-SmbClientConfiguration mit einem eigenen Satz an Werten. Beide gehören in eine Bestandsaufnahme, weil Client und Server unabhängig voneinander konfiguriert sind: Windows kann ausgehende Signierung verlangen, eingehende, beides oder keines von beidem.
- 02 Wird die Signierung verlangt?
RequireSecuritySignatureSteht hier True, verlangt dieser Server die Signierung für eingehende Verbindungen. Der Wert entspricht der Sicherheitsoption zum digitalen Signieren der Kommunikation mit dem Zusatz immer und dem gleichnamigen Registrierungswert unterhalb der Parameter von LanManServer. Wichtig für das Verständnis: Signiert wird bereits, sobald eine der beiden Seiten es verlangt. Ungesignert läuft eine Verbindung nur dann, wenn beide Seiten auf null stehen. Der ältere Wert EnableSecuritySignature wird ab SMB 2.02 ignoriert.
- 03 Wird der gesamte Server verschlüsselt?
EncryptDataDieser Wert schaltet die Verschlüsselung für den gesamten Dateiserver ein. Feiner steuerst du sie über Set-SmbShare je Freigabe oder beim Verbinden eines Laufwerks. Windows Server 2022 und Windows 11 haben für SMB 3.1.1 die Verfahren AES-256-GCM und AES-256-CCM eingeführt und handeln sie automatisch aus, wenn die Gegenstelle sie beherrscht. Voreingestellt wird AES-128-GCM verwendet, weil es das ausgewogenste Verhältnis von Schutz und Geschwindigkeit bietet.
- 04 Dürfen Clients ohne Verschlüsselung trotzdem zugreifen?
RejectUnencryptedAccessDieser Wert steht standardmäßig auf True, und dann erhalten nur SMB-3.x-Clients Zugriff auf verschlüsselte Freigaben, während SMB-1.0-Clients ebenfalls abgewiesen werden. Auf False gesetzt erlaubst du während einer Übergangsphase unverschlüsselten Zugriff für Clients ohne SMB-3.x-Unterstützung. Microsoft rät davon ausdrücklich ab und empfiehlt stattdessen, die Clients zu aktualisieren.
- 05 Ist die alte Protokollversion noch aktiv?
EnableSMB1ProtocolSMB 1.0 ist seit Windows Server 2019 und Windows Server Version 1709 nicht mehr standardmäßig installiert, kann aber in gewachsenen Umgebungen nachträglich hinzugefügt worden sein. Dieser Wert zeigt es an, ohne dass du erhöhte Rechte brauchst. Wenn du SMB1 nicht einfach abschalten willst, weil unklar ist, wer es noch nutzt, hilft der Wert AuditSmb1Access aus demselben Aufruf: Nach dem Einschalten der Prüfung erscheint bei jedem Verbindungsversuch über SMB1 ein Eintrag mit der Kennung 3000 im Prüfprotokoll des SMB-Servers.
- 06 Wie stark werden Rateversuche ausgebremst?
InvalidAuthenticationDelayTimeInMsSeit Windows Server 2025 und Windows 11 in der Version 24H2 ist die Begrenzung der Anmeldeversuche standardmäßig eingeschaltet, mit einer Verzögerung von zweitausend Millisekunden nach jedem fehlgeschlagenen Versuch über NTLM oder PKU2U. Der Wert lässt sich in Schritten von hundert Millisekunden zwischen null und zehntausend setzen, wobei null die Funktion abschaltet. Kerberos ist davon nicht betroffen, weil die Anmeldung dort vor dem Verbindungsaufbau stattfindet.
Wenn es nicht funktioniert
Das siehst du
Beim Zugriff auf eine Freigabe eines Speichersystems eines anderen Herstellers erscheint eine Meldung über eine ungültige kryptografische Signatur, im Protokoll steht der Fehlercode 0xc000a000 beziehungsweise STATUS_INVALID_SIGNATURE. Von älteren Windows-Rechnern aus funktioniert dieselbe Freigabe weiterhin.
Warum
Der neuere Client verlangt die Signierung, das Zielsystem unterstützt sie nicht oder hat sie abgeschaltet. Windows 11 in der Version 24H2 in den Ausgaben Enterprise, Pro und Education verlangt Signierung für ausgehende und für eingehende Verbindungen, Windows Server 2025 verlangt sie für ausgehende. Ältere Windows-Versionen verlangen sie nur gegenüber SYSVOL und NETLOGON, weshalb sie dasselbe Ziel weiterhin erreichen.
Was hilft
Der richtige Weg führt über das Zielsystem: Schalt dort die Signierung ein, denn alle Versionen von Windows unterstützen sie und die meisten Speichersysteme ebenfalls. Microsoft rät ausdrücklich davon ab, die Signierung als Behelfslösung für Gegenstellen anderer Hersteller abzuschalten. Wenn es kurzfristig nicht anders geht, lässt sich die Anforderung über die Sicherheitsoption oder über Set-SmbClientConfiguration mit dem Schalter RequireSecuritySignature zurücknehmen, aber dann gehört ein Termin dazu, an dem der Fall erneut geprüft wird.
Das siehst du
Ein einfaches Speichergerät ist plötzlich nicht mehr erreichbar. Statt einer Signaturmeldung erscheint der Hinweis, dass die Sicherheitsrichtlinien der Organisation den nicht authentifizierten Gastzugriff blockieren, manchmal auch der Fehlercode 0x80070035 mit der Meldung, der Netzwerkpfad sei nicht gefunden worden.
Warum
Die verpflichtende Signierung schaltet gleichzeitig den Gastzugriff auf Freigaben ab. Viele einfache Geräte stellen ihre Freigaben aber ohne Anmeldung bereit und nutzen dafür ein Gastkonto. Der Zusammenhang ist von der Fehlermeldung aus nicht zu erkennen, weil sie über die Signierung nichts sagt.
Was hilft
Richte auf dem Gerät ein richtiges Konto mit Kennwort ein und verbinde die Freigabe damit, statt den Gastzugriff wiederherzustellen. Das ist meist eine Sache von Minuten und beseitigt gleich zwei Probleme, denn ein Gastzugriff ist auch ohne Signaturfrage in einem Unternehmensnetz schwer zu rechtfertigen. Microsoft rät ausdrücklich davon ab, mit Gastkonten zu signieren.
Das siehst du
Nach dem Einschalten der Verschlüsselung auf einem Dateiserver erhalten einzelne Clients die Meldung Zugriff verweigert. Im Betriebsprotokoll des SMB-Servers erscheint dazu ein Eintrag mit der Kennung 1003.
Warum
Bei der Standardkonfiguration ist unverschlüsselter Zugriff auf verschlüsselte Freigaben nicht erlaubt. Versucht ein Client ohne SMB-3.x-Unterstützung den Zugriff, wird er abgewiesen, und genau dieser Vorgang wird mit der Kennung 1003 protokolliert.
Was hilft
Nimm den Eintrag als Fundstelle und such das betroffene System, statt die Einschränkung zurückzunehmen. In den meisten Fällen handelt es sich um ein Gerät, das ohnehin auf der Austauschliste steht. Falls du eine Übergangsfrist brauchst, lässt sich der Wert RejectUnencryptedAccess vorübergehend auf False setzen, aber Microsoft empfiehlt stattdessen ausdrücklich, die Clients zu aktualisieren.
Das siehst du
Eine Verbindung wird ohne erkennbaren Grund getrennt, und im Betriebsprotokoll des SMB-Servers steht ein Eintrag mit der Kennung 1005.
Warum
Die Erkennung von Herabstufungsversuchen in SMB 3.1.1 hat angeschlagen. Sie schützt die Aushandlung und den Sitzungsaufbau über kryptografische Prüfsummen, deren Ergebnis in die Ableitung der Sitzungsschlüssel einfließt. Wird an diesen Nachrichten manipuliert, trennt die betroffene Seite die Verbindung und schreibt diesen Eintrag.
Was hilft
Behandel diesen Eintrag als Sicherheitsvorfall und nicht als Störung. Klär, ob zwischen den beiden Systemen ein Gerät sitzt, das den Verkehr verändert, etwa eine Beschleunigungslösung für Weitverkehrsnetze. Microsoft weist ausdrücklich darauf hin, dass solche Geräte beim Zugriff auf Freigaben Probleme verursachen können. Ist kein solches Gerät im Spiel, gehört der Fall an die Stelle, die bei euch Vorfälle bearbeitet.
Das siehst du
Nach dem Anlegen einer neuen Freigabe unter Windows Server 2025 erreicht eine ältere Anwendung den Server nicht mehr, obwohl dieselbe Anwendung an einem älteren Server ohne Änderung funktioniert.
Warum
Beim Anlegen einer Freigabe richtet Windows die Firewallregeln inzwischen anders ein. Früher wurde die Gruppe für Datei- und Druckerfreigabe aktiviert, jetzt wird die neue, engere Variante mit dem Zusatz Restrictive eingerichtet, und diese lässt die eingehenden NetBIOS-Ports 137 bis 139 nicht mehr zu. Anwendungen, die sich auf Namensauflösung über NetBIOS stützen, laufen damit auf.
Was hilft
Prüf zuerst, ob die Anwendung tatsächlich NetBIOS braucht oder ob sie nur einen kurzen Namen verwendet, der sich über DNS auflösen ließe. In den meisten Fällen ist das zweite der Fall, und ein sauberer DNS-Eintrag löst das Problem dauerhaft. Wenn die Anwendung wirklich auf NetBIOS angewiesen ist, ist das ein Befund für die Ablösung, denn Microsoft hat die zugehörigen Altprotokolle über mehrere Versionen hinweg zurückgebaut.
Fünf Fragen, bevor du die Signierung erzwingst
- 01 Gibt es im Netz noch Geräte, die SMB1 sprechen, und weiß jemand welche?
- 02 Welche Gegenstellen unterstützen keine Signierung, und welche keine Verschlüsselung?
- 03 Welche Freigaben werden über Gastzugriff angesprochen, ohne dass sich jemand anmeldet?
- 04 Welche Zugriffe laufen über IP-Adressen oder Aliasse und damit über NTLM statt Kerberos?
- 05 Welche Freigaben brauchen tatsächlich Verschlüsselung, und welche tragen die Kosten dafür nicht?
Was du in dieser Reihenfolge festlegst
Sechs Punkte, die den Unterschied ausmachen zwischen einer Umstellung, die im Wartungsfenster stattfindet, und einer, die als Störung auffällt. Die Prüfprotokolle sind dabei der wichtigste Baustein, weil sie das Finden vom Erzwingen trennen.
Signierung und Verschlüsselung getrennt entscheiden
Signierung schützt die Unversehrtheit einer Verbindung, denn jede Nachricht trägt eine Prüfsumme über die gesamte Nachricht samt der Kennungen von Absender und Empfänger. Wer unterwegs etwas verändert, fällt auf, und Angriffe über das Weiterreichen und Vortäuschen von Anmeldungen laufen ins Leere. Verschlüsselung schützt dagegen den Inhalt vor Mitlesen. Das eine ersetzt das andere nicht, aber verschlüsselte Freigaben erhalten die Integritätsprüfung ohnehin mit, unabhängig von den Einstellungen zur Signierung.
Erst prüfen, dann erzwingen
Seit Windows 11 in der Version 24H2 lässt sich die Prüfung so einschalten, dass Windows meldet, wenn eine Gegenstelle Verschlüsselung oder Signierung nicht unterstützt. Das ist der entscheidende Schritt, denn er liefert dir die Liste der Geräte, bevor sie dir die Verbindung abbricht. Auf dem Server prüfst du die Clients, auf dem Client prüfst du die Server, und beides zusammen ergibt das vollständige Bild.
SMB1 loswerden, bevor du über Verschlüsselung nachdenkst
Die Erkennung eines Herabstufungsversuchs in SMB 3.1.1 verhindert, dass eine Verbindung heimlich auf SMB 2 zurückgestuft wird. Was sie nicht verhindert, ist eine Rückstufung auf SMB 1.0, und die würde wieder unverschlüsselten Zugriff bedeuten. Microsoft empfiehlt deshalb ausdrücklich, den SMB-1.0-Server abzuschalten, damit die Verschlüsselung ihre volle Wirkung entfaltet.
Verschlüsselung dort einschalten, wo sie gebraucht wird
Sie lässt sich je Freigabe, für den gesamten Dateiserver oder beim Verbinden eines Laufwerks aktivieren. Rechne mit spürbaren Kosten: Microsoft weist ausdrücklich darauf hin, dass jede durchgehende Verschlüsselung im Vergleich zum ungeschützten Betrieb betriebliche Kosten hat. Für Freigaben mit sensiblen Daten und für Verbindungen über Netze, die dir nicht gehören, lohnt sie sich trotzdem fast immer.
Kerberos statt NTLM, damit die Signierung stark ist
Alle Schlüssel für Signierung und Verschlüsselung in SMB 2 und SMB 3 leiten sich vom Sitzungsschlüssel ab, und der stammt letztlich aus dem Kennwort. Microsoft nennt deshalb drei Empfehlungen in einem Atemzug: ein langes, komplexes Kennwort verwenden, Kerberos statt NTLMv2 einsetzen und nicht über IP-Adressen oder CNAME-Einträge auf Freigaben zugreifen, weil in diesen Fällen NTLM statt Kerberos verwendet wird.
Die neuen Voreinstellungen kennen, statt sie zu entdecken
Mit Windows Server 2025 haben sich mehrere Standardwerte verschoben: die verpflichtende Signierung für ausgehende Verbindungen, die Verzögerung nach fehlgeschlagenen Anmeldungen, eine engere Firewallregel beim Anlegen einer Freigabe und die Möglichkeit, ausgehende Verbindungen ohne Verschlüsselung ganz zu verbieten. Wer diese Liste kennt, plant die Umstellung. Wer sie nicht kennt, sucht die Ursachen einzeln.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was Signierung leistet und was nicht
Bei der Signierung trägt jede SMB-Nachricht eine Signatur im Kopf, die eine Prüfsumme über die gesamte Nachricht enthält. Verändert jemand unterwegs etwas, passt die Prüfsumme nicht mehr. In die Prüfsumme fließen zusätzlich die Kennungen des ursprünglichen Absenders und des vorgesehenen Empfängers ein, weshalb sich damit nicht nur Manipulation, sondern auch das Weiterreichen einer Verbindung an ein anderes Ziel erkennen lässt. Genau darin liegt der Schutz gegen die zwei verbreiteten Angriffsarten in Windows-Netzen: das Weiterleiten von Anmeldungen und das Vortäuschen einer Identität.
Die Verfahren haben sich über die Jahre entwickelt. SMB 1 verwendete MD5, mit SMB 2.02 kam HMAC-SHA-256 dazu, SMB 3.0 führte AES-CMAC ein, und Windows Server 2022 sowie Windows 11 haben AES-128-GMAC für SMB 3.1.1 ergänzt, das Windows automatisch aushandelt, wenn die Gegenstelle es beherrscht. AES-128-CMAC wird weiterhin unterstützt. Für die Praxis heißt das, dass neuere Systeme untereinander die Signierung schneller erledigen als ältere, was das übliche Argument über Geschwindigkeitsverluste deutlich entschärft hat.
Was die Signierung nicht leistet, ist Vertraulichkeit. Wer den Verkehr mitschneidet, sieht die Inhalte weiterhin, er kann sie nur nicht unbemerkt verändern. Dafür ist die Verschlüsselung zuständig, und die beiden Mechanismen sind getrennt einstellbar. Eine Ausnahme gibt es: Für verschlüsselte Freigaben sorgen die verwendeten Verfahren ohnehin für eine Integritätsprüfung, unabhängig von den Einstellungen zur Signierung.
Ein Punkt, der in der Planung oft fehlt, betrifft die Stärke des Ganzen. Alle Schlüssel für Signierung und Verschlüsselung leiten sich vom Sitzungsschlüssel ab, und dieser hängt letztlich am Kennwort. Microsoft nennt deshalb drei Empfehlungen gemeinsam: lange, komplexe Kennwörter ohne Wörterbuchbezug, Kerberos statt NTLMv2 und keinen Zugriff über IP-Adressen oder CNAME-Einträge, weil dann NTLM statt Kerberos verwendet wird. Für Aliasse empfiehlt Microsoft stattdessen zusätzliche Computernamen.
Was sich mit Windows Server 2025 und Windows 11 24H2 geändert hat
Die auffälligste Änderung ist die Voreinstellung bei der Signierung. Sie wird jetzt für alle ausgehenden SMB-Verbindungen verlangt, während sie zuvor nur beim Zugriff auf die Freigaben SYSVOL und NETLOGON auf Domänencontrollern gefordert wurde. Dabei gibt es feine Unterschiede: Windows 11 in der Version 24H2 verlangt in den Ausgaben Enterprise, Pro und Education sowohl ausgehende als auch eingehende Signierung, Windows Server 2025 verlangt ausschließlich die ausgehende, und die Home-Ausgabe von Windows 11 24H2 verlangt keine von beiden.
Auf der Verschlüsselungsseite gibt es eine neue Möglichkeit, die für den Zugriff über fremde Netze wichtig ist. Administratoren können verlangen, dass alle ausgehenden Verbindungen des SMB-Clients verschlüsselt sind. Beherrscht ein Zielserver SMB 3.x und Verschlüsselung nicht, kommt gar keine Verbindung zustande. Das ist ein wirksames Mittel für mobile Geräte, verlangt aber vorher eine vollständige Bestandsaufnahme der Ziele.
Bei den Anmeldeversuchen greift eine neue Voreinstellung. Der SMB-Server verzögert jeden fehlgeschlagenen Versuch über NTLM oder PKU2U um zwei Sekunden. Microsoft rechnet vor, was das für einen Angriff bedeutet: Wer zuvor dreihundert Versuche je Sekunde über fünf Minuten schaffte, also neunzigtausend Kennwörter, braucht dafür nun fünfzig Stunden oder mehr. Der Zweck ist ausdrücklich nicht, den Angriff unmöglich zu machen, sondern die Maschine als Ziel unattraktiv zu machen.
Dazu kommen mehrere kleinere Änderungen, die im Betrieb auffallen können. Beim Anlegen einer Freigabe richtet Windows jetzt die engere Firewallgruppe mit dem Zusatz Restrictive ein, die die eingehenden NetBIOS-Ports 137 bis 139 nicht mehr zulässt. Der SMB-Client kann statt der üblichen Ports 445, 5445 und 443 auch andere verwenden, konfiguriert über Gruppenrichtlinie oder PowerShell. SMB over QUIC steht nicht mehr nur in der Azure-Ausgabe zur Verfügung, sondern auch in Standard und Datacenter, und bringt in Windows Server 2025 eine Zugriffssteuerung über Zertifikate mit. Und die Aushandlung der Protokollvarianten lässt sich jetzt steuern, sodass der Server festlegt, welche Varianten von SMB 2 und SMB 3 er überhaupt aushandelt.
Verschlüsselung: wann sie sich lohnt und was sie kostet
SMB-Verschlüsselung schützt die Daten auf dem Weg zwischen Client und Server, und zwar unabhängig davon, welche Netze dazwischen liegen. Sie braucht dafür weder IPsec noch besondere Geräte, und sie lässt sich je Freigabe, für den gesamten Dateiserver oder beim Verbinden eines Laufwerks einschalten. Sie deckt ausdrücklich nicht den ruhenden Zustand ab, dafür ist eine Datenträgerverschlüsselung zuständig, und sie hat mit dem verschlüsselnden Dateisystem in NTFS nichts zu tun.
Zwei Anwendungsfälle nennt Microsoft ausdrücklich. Der erste ist der Transport sensibler Daten von Personen, die damit arbeiten, wenn der Weg dorthin über Netze führt, die dir nicht gehören. Der zweite betrifft Serveranwendungen wie SQL Server oder Hyper-V, die ihre Daten über SMB 3.0 auf durchgehend verfügbarem Speicher ablegen. Dort ist die Verschlüsselung deutlich einfacher zu handhaben als die Lösungen, die für Speichernetze sonst nötig wären.
Die Kosten sind real und werden von Microsoft nicht kleingeredet: Bei jedem durchgehenden Schutz dieser Art entstehen im Vergleich zum ungeschützten Betrieb spürbare Betriebskosten. Eine deutliche Verbesserung gab es allerdings bei SMB Direct über RDMA. Früher schaltete die Verschlüsselung dort die direkte Datenablage ab und machte RDMA damit so langsam wie TCP. Seit Windows Server 2022 und Windows 11 werden die Daten vor der Ablage verschlüsselt, was den Verlust auf ein vergleichsweise geringes Maß begrenzt.
Ein Punkt gehört zwingend vor die Einführung: Die Erkennung von Herabstufungsversuchen in SMB 3.1.1 verhindert zwar eine Rückstufung auf SMB 2.x, aber nicht auf SMB 1.0. Microsoft schreibt deshalb ausdrücklich, dass der SMB-1.0-Server abgeschaltet sein muss, damit SMB-3.1.1-Clients für verschlüsselte Freigaben garantiert Verschlüsselung verwenden. Wer die Verschlüsselung einschaltet und SMB1 stehen lässt, hat die Kosten und nur einen Teil des Nutzens.
SMB1 finden, statt es zu vermuten
SMB 1.0 ist seit Windows Server 2019 und Windows Server Version 1709 nicht mehr standardmäßig installiert, und dasselbe gilt für Windows 11 in allen Ausgaben. Das heißt aber nicht, dass es in deiner Umgebung nicht existiert. In gewachsenen Netzen wurde es häufig nachträglich installiert, um ein einzelnes Gerät anzubinden, und danach nie wieder ausgebaut. Prüfen lässt sich das mit dem Aufruf Get-SmbServerConfiguration und dem Wert EnableSMB1Protocol, was ausdrücklich ohne erhöhte Rechte funktioniert, oder über die entsprechende Windows-Funktion mit Get-WindowsOptionalFeature.
Wenn du nicht weißt, wer SMB1 noch nutzt, schalt zuerst die Prüfung ein. Nach dem Aufruf von Set-SmbServerConfiguration mit dem Schalter AuditSmb1Access wird für jeden Verbindungsversuch über SMB1 ein Eintrag mit der Kennung 3000 in das Prüfprotokoll des SMB-Servers geschrieben. Damit hast du nach einigen Wochen die Liste der Geräte, die tatsächlich betroffen sind, statt einer Vermutung. Für eine Übersicht darüber, welche Produkte SMB1 früher gebraucht haben und mit welchen Aktualisierungen diese Abhängigkeit entfallen ist, führt Microsoft eine eigene Sammelseite.
Beim Abschalten gibt es eine wichtige Einschränkung, auf die Microsoft ausdrücklich hinweist: Manche Systeme brauchen Zugriff auf SYSVOL oder andere Freigaben, unterstützen aber weder SMB 2 noch SMB 3. Dazu zählen alte Windows-Systeme sowie ältere Linux- und Partnersysteme. Auf Domänencontrollern ist beim Abschalten deshalb besondere Vorsicht angebracht, und es gibt einen guten Grund, dort mit der Prüfung zu beginnen und nicht mit der Abschaltung.
Eine Nebenwirkung ist erwähnenswert, weil sie regelmäßig zu Rückfragen führt. Mit dem Wegfall des SMB1-Dienstes wurde auch der Computerbrowserdienst standardmäßig abgeschaltet, und dieser Dienst ist seit Windows Server 2025 als nicht mehr weiterentwickelt eingestuft. Microsoft bezeichnet das zugehörige Protokoll ausdrücklich als veraltet und unsicher. Wer also die Netzwerkumgebung im Explorer vermisst, sucht keinen Fehler, sondern sieht das Ergebnis einer bewussten Entscheidung.
Die Prüfprotokolle, mit denen die Umstellung ohne Ausfall gelingt
Der wichtigste Baustein für eine ruhige Umstellung ist die Möglichkeit, das Finden vom Erzwingen zu trennen. Seit Windows 11 in der Version 24H2 lässt sich einstellen, dass Windows meldet, wenn eine Gegenstelle Signierung oder Verschlüsselung nicht unterstützt. Microsoft nennt dazu einen bemerkenswerten Punkt: Wenn ein Gerät eines anderen Herstellers angibt, SMB 3.1.1 zu unterstützen, die Signierung aber nicht beherrscht, verstößt es gegen die Anforderungen der Erkennung von Herabstufungsversuchen. Solche Fälle findest du nur über die Prüfung.
Eingeschaltet wird das über vier Richtlinien unterhalb von Computerkonfiguration, Administrative Vorlagen, Netzwerk, jeweils zwei für Lanman Server und zwei für Lanman Workstation. Über PowerShell gehen dieselben Einstellungen mit Set-SmbServerConfiguration und den Schaltern AuditClientDoesNotSupportEncryption sowie AuditClientDoesNotSupportSigning und mit Set-SmbClientConfiguration und den Schaltern AuditServerDoesNotSupportEncryption sowie AuditServerDoesNotSupportSigning. Die Ereignisse landen unter Anwendungs- und Dienstprotokolle bei den Prüfprotokollen von SMBClient mit den Kennungen 31998 und 31999 sowie von SMBServer mit den Kennungen 3021 und 3022.
Damit ergibt sich ein Vorgehen, das ohne Ausfall auskommt. Schalt zuerst auf Servern und Clients die Prüfung ein und lass sie einen vollständigen betrieblichen Zyklus laufen. Sammel die Ereignisse zentral ein und werte sie nach unterschiedlichen Gegenstellen aus, nicht nach der Zahl der Einträge. Arbeite die gefundenen Geräte ab, entweder durch Aktualisierung, durch Konfiguration auf dem Gerät selbst oder durch Austausch. Erst wenn diese Liste leer oder begründet abgeschlossen ist, machst du die Signierung verpflichtend.
Zwei praktische Hinweise zum Schluss. Prüf den Stand jederzeit mit Get-SmbClientConfiguration oder Get-SmbServerConfiguration und dem Wert RequireSecuritySignature, wobei True für verlangt steht. Und behalt im Blick, dass die Steuerung der ausgehenden Signierung auf dem Client ausschließlich über Gruppenrichtlinie und PowerShell möglich ist, nicht über die grafische Verwaltungsoberfläche. Wer die Umstellung über ein Werkzeug mit Oberfläche plant, wird an genau dieser Stelle stolpern.
Dazu passende Kurse
Weil sich Signierung, Verschlüsselung und Freigabeberechtigungen gegenseitig beeinflussen, sind Kurse rund um Dateidienste und Freigaben der schnellere Weg zu einer Umstellung ohne Rückschritte.
Wenn nach der Umstellung einzelne Gegenstellen ausfallen und die Meldung nicht weiterhilft, ist die systematische Fehlersuche gefragt, und dafür gibt es Trainings zur Fehlersuche im Netzwerk .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Müssen wir Signierung und Verschlüsselung beide einschalten?
Kostet die Signierung Geschwindigkeit?
Unser Speichersystem kann keine Signierung. Was jetzt?
Warum funktioniert unser NAS nicht mehr, obwohl es gar nichts mit Signierung zu tun hat?
Wie finden wir heraus, wer bei uns noch SMB1 verwendet?
Können wir verlangen, dass mobile Geräte nur noch verschlüsselt zugreifen?
Quellen
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Die Umstellung planen, bevor die Voreinstellung sie erzwingt
Wer die Prüfprotokolle einmal an einer echten Umgebung gelesen hat, plant die Umstellung ins Wartungsfenster statt in den laufenden Betrieb. Bei cmt gibt es dafür Kurse zur Absicherung von Active Directory, zur Administration der aktuellen Serverversion und zur Fehlersuche im Netz.
Passt dazu
- NTLM zurückdrängen und auf Kerberos umstellen
- Dateiserver umziehen, ohne Berechtigungen und Freigaben zu verlieren
- NTFS-Berechtigungen und Freigaben planen, statt Rechte einzeln zu setzen
- Active Directory absichern: Tier-Modell, privilegierte Konten und saubere Delegierung