Stand: 30. September 2026
SMB-Dateifreigaben gehören traditionell ins interne Netzwerk oder hinter ein VPN. Windows Server 2025 verändert dieses Modell mit SMB over QUIC. Die Technik kapselt SMB in eine TLS-1.3-geschützte QUIC-Verbindung über UDP 443 und ermöglicht dadurch sicheren Dateizugriff über nicht vertrauenswürdige Netze.
Besonders interessant ist, dass SMB over QUIC mit Windows Server 2025 nicht mehr nur auf Azure Edition beschränkt ist. Microsoft stellt die Funktion auch in Standard und Datacenter bereit. Damit kann die Technik in klassischen On-Premises-Umgebungen eine echte Option für Remote- und Edge-Szenarien werden.
Was SMB over QUIC technisch macht
Normalerweise läuft SMB über TCP 445. Dieser Port wird im Internet aus gutem Grund fast überall blockiert und sollte nicht direkt veröffentlicht werden. SMB over QUIC verwendet stattdessen QUIC über UDP 443. Der Transport wird mit TLS 1.3 verschlüsselt, während SMB-Funktionen wie Signierung, Multichannel, Komprimierung und Authentifizierung innerhalb des Tunnels weiterarbeiten.
Microsoft beschreibt das Konzept vereinfacht als „SMB VPN“. Das bedeutet nicht, dass QUIC ein vollständiges Unternehmens-VPN ersetzt, sondern dass für genau den SMB-Dateizugriff ein sicherer Tunnel aufgebaut werden kann.
Warum QUIC für mobile Nutzer interessant ist
QUIC wurde für moderne, wechselnde Netzwerkbedingungen entwickelt. Eine Verbindung kann besser mit Paketverlust umgehen und sogar Änderungen von IP-Adresse oder Port überstehen. Für mobile Benutzer, die zwischen WLAN und Mobilfunk wechseln, kann das robuster sein als klassische TCP-Verbindungen.
Windows Server 2025 erweitert den Einsatzbereich
In Windows Server 2022 war SMB over QUIC an die Datacenter Azure Edition gebunden. Windows Server 2025 öffnet die Funktion für Standard und Datacenter. Unternehmen können dadurch Edge-Fileserver oder zentrale File Services aufbauen, ohne den Server zwingend in Azure betreiben zu müssen.
Zertifikate sind ein zentraler Bestandteil
Der QUIC-Tunnel wird mit einem Serverzertifikat authentifiziert. Deshalb gehören Zertifikatslaufzeit, SANs, private Schlüssel und automatische Erneuerung direkt in das Design. Ein abgelaufenes Zertifikat kann den Remote-Dateizugriff vollständig unterbrechen.
Gerade deshalb passt SMB over QUIC zum GORTNET-Beitrag TLS-Zertifikate 2026: Warum 200 Tage Laufzeit Automatisierung erzwingen.
Kerberos, NTLM und Active Directory
In einer domänenverbundenen Umgebung kann SMB innerhalb des QUIC-Tunnels Kerberos verwenden. Microsoft weist gleichzeitig darauf hin, dass auch NTLM möglich ist, beispielsweise in Workgroup-Szenarien. Der sichere Transport macht NTLM nicht zu einem modernen Authentifizierungsprotokoll; Organisationen sollten weiterhin Kerberos bevorzugen und NTLM-Abhängigkeiten reduzieren.
Mehr dazu im Artikel NTLM: Warum das alte Authentifizierungsprotokoll zum Sicherheitsrisiko wird.
Was SMB over QUIC nicht löst
SMB over QUIC ersetzt keine Berechtigungsstrategie. NTFS-Rechte, Share Permissions, Gruppenmodelle und Least Privilege bleiben unverändert wichtig. Ebenso muss der Server selbst gehärtet, gepatcht und überwacht werden.
Auch DFS-Szenarien benötigen besondere Planung. Microsoft warnt bei externen QUIC-Endpunkten vor Namensauflösungs- und Referral-Problemen, wenn interne DFS-Namen für Clients außerhalb des Unternehmensnetzes nicht erreichbar sind.
Ein sicherer Einführungsplan
1. Use Case definieren: Welche Benutzer oder Standorte brauchen wirklich SMB außerhalb des internen Netzes?
2. Windows-Versionen prüfen: Server und Clients müssen die Funktion unterstützen.
3. Zertifikat planen: Öffentlichen Namen, CA, Renewal und Monitoring festlegen.
4. Firewall begrenzen: Nur erforderlichen QUIC-Verkehr zulassen und keine klassische SMB-Freigabe ins Internet öffnen.
5. Kerberos testen: DNS, SPNs und AD-Erreichbarkeit prüfen.
6. Monitoring einrichten: Verbindungsfehler, Zertifikate, Authentifizierung und ungewöhnliche Zugriffe überwachen.
SMB-Signing und Encryption Auditing
Windows Server 2025 bringt zusätzliche Möglichkeiten, SMB-Signierung und -Verschlüsselung zu auditieren. Unternehmen können dadurch vor einer Härtung besser erkennen, welche Clients moderne Sicherheitsfunktionen unterstützen und welche Legacy-Abhängigkeiten noch existieren.
Für die Netzwerksicht lohnt außerdem der Beitrag Netzwerk & WLAN: Stabilität und Sicherheit richtig planen.
Fazit
SMB over QUIC ist 2026 eine der interessantesten Neuerungen für sichere Windows-Dateidienste. Es ermöglicht verschlüsselten SMB-Zugriff über UDP 443, reduziert die Abhängigkeit von klassischen VPN-Tunneln und ist in Windows Server 2025 breiter verfügbar. Erfolgreich wird die Technik aber nur, wenn Zertifikate, Kerberos, Berechtigungen, Firewall und Monitoring gemeinsam geplant werden.
Weiterführende Quellen
Microsoft Learn: SMB over QUIC
Microsoft Learn: SMB Security Hardening
Titelbild: Scott Rodgerson / Unsplash
Autor: Salman Dolatpanah Gortlar