SMB Security 2026: Signing, Encryption und NTLM-Blocking

SMB Security 2026 – sichere Dateiübertragung mit Kerberos und kontrollierten SMB-Richtlinien.

Dateifreigaben gehören zu den wichtigsten Verbindungen im Unternehmensnetz. Windows-Clients, SQL-Anwendungen, Backup-Systeme, Linux-Samba-Server und Multifunktionsgeräte nutzen Server Message Block (SMB) für Daten und Dienste. Gerade weil viele dieser Verbindungen im Alltag unauffällig funktionieren, bleiben unsichere Anmeldewege, Gastzugriffe und fehlende Schutzmechanismen oft unentdeckt. Die aktuellen Funktionen in Windows 11 24H2 und Windows Server 2025 verbessern die Ausgangslage, können aber ältere NAS-Geräte und Fachanwendungen beeinträchtigen. SMB Security 2026 kombiniert Signing, Encryption, Kerberos und kontrolliertes NTLM-Blocking in einem planbaren Migrationsverfahren. Dieser Leitfaden erklärt die technischen Unterschiede, typische Fehlermeldungen und die sichere Umsetzung in gemischten Windows- und Samba-Netzen.

Autor: Salman Dolatpanah Gortlar · GORTNET IT-Dienstleistungen · 30. Oktober 2026

Das Wichtigste: Signing und Encryption nicht verwechseln. Eine sichere SMB-Migration erfordert konkrete Client-Server-Tests, Kerberos-Prüfung und passende Richtlinien.

Warum SMB ein wichtiges Angriffsziel bleibt

SMB verbindet Endgeräte mit Netzfreigaben, Druckdiensten und Dateisystemen. Manche Anwendungen speichern darüber Dokumente, Backups oder Konfigurationsdaten. Erreicht ein Angreifer eine ungeschützte Dateifreigabe oder kann Authentifizierungsnachrichten manipulieren, drohen unberechtigter Zugriff, Datenveränderung oder der Missbrauch von Anmeldeinformationen. Das Risiko steigt insbesondere bei weitreichenden Berechtigungen, wiederverwendeten Dienstkonten und fehlender Netzwerksegmentierung.

Ein sicheres SMB-Konzept muss mindestens vier Fragen beantworten: Ist der Server authentifiziert? Werden Nachrichten vor Manipulation geschützt? Werden vertrauliche Inhalte gegebenenfalls verschlüsselt übertragen? Welche Konten dürfen welche Daten ändern? SMB Signing und Encryption adressieren unterschiedliche Teile dieses Problems. Auch perfekte Transportkontrollen ersetzen keine sauber verwalteten Dateiberechtigungen, sicheren Backups und die Überwachung privilegierter Zugriffe.

SMB Security 2026: Was sich bei Windows geändert hat

Microsoft hat die SMB-Sicherheit mit Windows 11 Version 24H2 und Windows Server 2025 weiterentwickelt. Windows Server 2025 verlangt als SMB-Client standardmäßig signierte ausgehende Verbindungen. Bei Windows 11 Version 24H2 Enterprise, Pro und Education wird Signing standardmäßig für ausgehende und eingehende SMB-Verbindungen verlangt; für andere Editionen gelten abweichende Voreinstellungen. Diese Änderungen verhindern bestimmte nicht signierte Kommunikationswege, die ältere Systeme zuvor noch akzeptiert haben.

Gleichzeitig unterstützt die neue Plattform das gezielte Erzwingen der SMB-Verschlüsselung sowie das Blockieren von NTLM auf SMB-Client-Verbindungen. Diese Funktionen sind konfigurierbar und dürfen nicht mit einer universell aktivierten Pflicht in jeder Windows-Umgebung verwechselt werden. Prüfen Sie deshalb die tatsächlichen Richtlinien statt ausschließlich den Produktnamen. Ein Windows Server 2025 mit geändertem Baseline-Profil kann sich anders verhalten als ein frisch installiertes Standardsystem.

SMB Signing: Integrität statt Geheimhaltung

SMB Signing fügt Nachrichten kryptografische Signaturen hinzu. Dadurch kann die Gegenseite erkennen, ob Paketinhalte unterwegs manipuliert wurden. Die Funktion reduziert das Risiko bestimmter Relay- und Spoofing-Angriffe, weil Änderungen am Datenstrom auffallen. Signing ist jedoch keine vollständige Inhaltsverschlüsselung: Ein signierter Datenstrom schützt seine Integrität und die Bindung an die Sitzung, garantiert aber nicht automatisch, dass sämtliche Nutzdaten gegenüber dem Netzwerk verborgen bleiben.

Verwenden Sie daher den korrekten Begriff in Sicherheitsrichtlinien. Wenn Datenschutz oder technische Geheimhaltung auf einem untrusted Segment verlangt wird, reicht eine Signing-Pflicht nicht zwingend aus. Umgekehrt benötigt eine funktionierende Encryption-Konfiguration kompatible Protokollversionen und zuverlässige Authentifizierung. Unternehmen sollten die Anforderungen pro Dienst definieren: internes, segmentiertes Filesharing kann andere Vorgaben haben als ein sensibler Datenstrom über mehrere unsichere Netzbereiche.

SMB Encryption: Wann eine Verschlüsselungspflicht sinnvoll ist

SMB 3.0 und neuere Versionen unterstützen Verschlüsselung, sodass Inhalte während der Übertragung geschützt werden können. Windows ermöglicht abhängig von Version und Rolle die Verschlüsselung für einzelne Freigaben, ganze Server oder bestimmte Client-Verbindungen. Mit Windows 11 24H2 und Windows Server 2025 kann der Client ausgehende SMB-Verbindungen bei entsprechender Konfiguration nur zu Servern zulassen, die SMB 3.x und Encryption unterstützen.

Microsoft beschreibt diese Client-Encryption-Mandate als optional aktivierbare Sicherheitsmaßnahme, nicht als automatisch für jede Verbindung gültige Pflicht. Prüfen Sie die tatsächliche GPO und SMB-Client-Konfiguration. Vor einem erzwungenen Rollout müssen alle Zielserver einschließlich NAS- und Samba-Systemen die Anforderungen erfüllen. Ein altes NAS, das zwar SMB 3.0 spricht, aber Encryption nicht implementiert, könnte bei einer solchen Regel nicht mehr erreichbar sein.

SMB Signing unter Windows verifizieren

Administratoren können die Client- und Serverkonfiguration mit PowerShell und Gruppenrichtlinien prüfen. Besonders relevant sind die Einstellungen RequireSecuritySignature für SMB-Client und -Server. Verwenden Sie zur Diagnose die dokumentierten Cmdlets Get-SmbClientConfiguration und Get-SmbServerConfiguration; anschließend zeigen geeignete Verbindungsinformationen, ob die tatsächlich aufgebaute SMB-Sitzung signiert oder verschlüsselt ist.

Prüfen Sie zunächst den Ist-Zustand, bevor Sie globale Änderungen durchführen. Ein klassischer Fehler besteht darin, einen Registry-Wert blind zu setzen, ohne Gruppenrichtlinien und Plattformverhalten zu betrachten. Die Microsoft-Dokumentation weist zudem darauf hin, dass die alte Einstellung EnableSecuritySignature bei SMB 2.x und 3.x nicht dieselbe Rolle wie RequireSecuritySignature spielt. Testen Sie die Verbindungen zu echten Zielservern und halten Sie technische Abweichungen nach Hostnamen fest.

Kerberos und FQDN statt IP-basierter Dateiverbindungen

Bei SMB mit Active Directory ist Kerberos in der Regel die bevorzugte Authentifizierung. Dafür muss der Zielname zum korrekten Dienst und Service Principal Name passen. Wer einen Fileserver ausschließlich über seine IP-Adresse anspricht, kann je nach Konfiguration ungewollt einen NTLM-Fallback auslösen. Microsoft empfiehlt deshalb, bei SMB die Verbindung über geeignete Servernamen und Kerberos statt über IP-Adressen aufzubauen. Auch CNAME-Aliase sind für bestimmte Kerberos- und SMB-Szenarien problematisch.

Prüfen Sie FQDN-Auflösung, DNS-Zonen, SPNs und Vertrauensstellungen, bevor NTLM für SMB blockiert wird. Für alternative Servernamen beschreibt Microsoft geeignete Konfigurationswege, statt beliebige DNS-CNAME-Aliase zu verwenden. Arbeiten Sie mit realen Anwendungen: Ein erfolgreiches Laufwerksmapping über einen FQDN beweist nicht, dass Hintergrunddienste, Drucker-Scan-Ziele oder geplante Tasks bereits dieselben Namen verwenden. Inventarisieren Sie sämtliche UNC-Pfade und passen Sie sie kontrolliert an.

SMB NTLM Blocking als eigenständige Schutzmaßnahme

Die neuesten SMB-Clients können ausgehende NTLM-Authentifizierung blockieren und dabei Kerberos bevorzugen beziehungsweise erzwingen. Microsoft dokumentiert diese Fähigkeit für Windows Server 2025 und Windows 11 24H2 oder später. Die Funktion ist auf die SMB-Clientseite bezogen und ersetzt keine vollständige domänenweite NTLM-Abschaltung. Andere Dienste und Protokolle können weiterhin NTLM nutzen, solange ihre eigenen Richtlinien dies erlauben.

Führen Sie einen Audit durch, bevor Sie eine Sperre aktivieren. Testen Sie Benutzeranmeldungen, DFS, Netlogon-Abhängigkeiten, Samba-Freigaben und Dienstkonten. Nur wenn eine unterstützte Anwendung tatsächlich Kerberos verwendet, ist die Migration fachlich erfolgreich. Für einzelne Legacy-Systeme können gegebenenfalls gezielte SMB-NTLM-Ausnahmen konfiguriert werden. Diese sind ausdrücklich zu dokumentieren, zeitlich zu begrenzen und regelmäßig auf Ablösbarkeit zu prüfen.

Windows 11 24H2 und alte NAS-Freigaben: typische Fehler

Nach einer Umstellung können Drittanbieter-Server Probleme melden, wenn sie SMB Signing nicht unterstützen oder sich ausschließlich über Gastzugriff nutzen lassen. Microsoft nennt unter anderem den Fehler STATUS_INVALID_SIGNATURE und Meldungen über durch Organisationsrichtlinien blockierten unsicheren Gastzugriff. Ein Netzwerkpfad kann also grundsätzlich erreichbar sein, während die Sitzung wegen unzureichender Sicherheit bewusst abgelehnt wird.

Der erste Lösungsweg sollte nicht sein, Signing global abzuschalten. Prüfen Sie, ob der NAS- oder Samba-Server SMB Signing und reguläre Benutzerkonten unterstützt. Aktualisieren Sie nach Möglichkeit Firmware und Serverkonfiguration. Falls eine ältere Appliance dauerhaft keine sichere SMB-Verbindung erlaubt, sollten Ersatz, Segmentierung und ein technischer Übergangsplan geprüft werden. Eine schwächere GPO für sämtliche Arbeitsstationen wäre eine unverhältnismäßige Risikovergrößerung.

Samba, Linux und gemischte Windows-Domänen prüfen

Samba ermöglicht SMB-Dateifreigaben auf Linux- und Unix-Systemen. Unterstützte Funktionen hängen von Samba-Version, Sicherheitskonfiguration und verwendeter Authentifizierung ab. Eine generelle Aussage, alle Samba-Server seien mit den neuen Microsoft-Vorgaben inkompatibel, wäre falsch. Bei aktuellen Installationen lassen sich Signing und Encryption häufig gezielt konfigurieren, während historisch gewachsene Systeme Änderungen an smb.conf oder Kerberos-Integration benötigen können.

Testen Sie Client-Server-Kombinationen unter realen Bedingungen: neue Windows-11-Clients, Windows-Server-2025-Systeme, Linux-Samba-Freigaben, NAS-Geräte und vorhandene Multifunktionsdrucker. Kontrollieren Sie Dateizugriff, große Übertragungen, Schreibrechte und Authentifizierungstickets. Stimmen Sie Änderungen mit den fachlichen Nutzern ab, besonders wenn Applikationsserver oder automatisierte Importe auf einer Samba-Freigabe arbeiten. Dokumentieren Sie jede Abweichung mit Zielversion und verantwortlichem Betreiber.

Gastzugriff und ältere SMB-Dialekte abschaffen

Unsichere Gastanmeldungen erlauben Zugriff ohne verlässliche Benutzeridentität und sind mit modernen SMB-Sicherheitsfunktionen häufig unvereinbar. Außerdem soll das veraltete SMBv1-Protokoll im Unternehmensnetz nicht wieder aktiviert werden, nur weil ein altes Gerät andernfalls keine Dateien übertragen kann. Microsoft rät ausdrücklich dazu, veraltete SMB-Server zu aktualisieren oder zu ersetzen, statt Sicherheitsmechanismen für die gesamte Clientflotte herabzusetzen.

Inventarisieren Sie besondere Altlasten wie Scanner-to-Share, Produktionsmaschinen oder Backup-Appliances. Prüfen Sie, ob SFTP, ein gesicherter Übergabedienst oder ein aktualisierter SMB-Server als Ersatz möglich ist. Wenn eine Übergangsphase erforderlich ist, minimieren Sie den Zugriff auf ein isoliertes Ziel und begrenzen Sie Berechtigungen. Ein dokumentierter Ausnahmeprozess verhindert, dass aus einer kurzfristigen technischen Notlösung eine dauerhafte Unternehmensschwachstelle wird.

SMB Firewall, Segmentierung und Zugangskontrolle

Neue SMB-Standardregeln in Windows Server 2025 sind restriktiver gegenüber älteren NetBIOS-Ports. Unternehmen sollten trotzdem aktiv prüfen, ob TCP 445 nur in den notwendigen Quell- und Zielsegmenten zugelassen ist. Ein freier SMB-Zugriff über alle VLANs erleichtert die laterale Bewegung bei kompromittierten Endgeräten. Besonders File-, Backup- und Domain-Controller-Server benötigen passende Zonengrenzen.

Firewall-Regeln und Kerberos müssen zusammen funktionieren. Ein vollständig isolierter Server kann keine notwendigen Verzeichnisdienste erreichen und führt dann unter Umständen zu Anmeldeproblemen. Definieren Sie deshalb Datenflüsse pro Anwendung und testen Sie die vorgesehenen Kommunikationswege. Eine wirksame Konfiguration schützt die Dateidienste, ohne die fachliche Funktion durch zu breite Blockaden zu beeinträchtigen.

SMB-Auditing und Fehlerdiagnose mit PowerShell

Microsoft stellt Auditmöglichkeiten bereit, mit denen fehlende Signing- oder Encryption-Unterstützung auf Client- und Serverseite sichtbar wird. Nutzen Sie diese Funktionen vor strengeren Richtlinien, um problematische Geräte zu identifizieren. Ein fehlgeschlagener SMB-Zugriff ist nicht immer ein Netzproblem: DNS-Auflösung, SPN, NTLM-Blockierung, Signing, Encryption, Gastzugriff und ACLs können unterschiedliche Fehlermeldungen erzeugen.

Ein geeignetes Diagnoseticket erfasst Clientbetriebssystem, Ziel-FQDN, erfolgreiche DNS-Auflösung, Kerberos-Status, verwendeten SMB-Dialekt, Signing-/Encryption-Zustand und die genaue Fehlernummer. Prüfen Sie dann gezielt die passende Ursache. Ein wiederholt gemeldeter Fehler nach einem Update sollte nicht mit einem pauschalen Abschalten von Signing beantwortet werden. Erst die technische Einordnung erlaubt eine sichere und dauerhafte Korrektur.

Einführung ohne Ausfall: Pilot und Checkliste

Beginnen Sie mit einer Erfassung aller File- und Samba-Server, ihrer SMB-Versionen und der genutzten Authentifizierungsverfahren. Prüfen Sie, welche Clients bereits Signing verlangen und ob Encryption für besonders sensible Freigaben benötigt wird. Testen Sie neue Richtlinien in einem kontrollierten Pilot mit echten Arbeitsplätzen und Applikationen. Ein Teil der Testmatrix muss bewusst eine unerlaubte Verbindung enthalten, die sicher abgewiesen wird.

Rollout-Woche eins: Inventar und GPO-Analyse. Woche zwei: SMB Signing und notwendige Encryption auf ausgewählten Servern prüfen. Woche drei: Kerberos/FQDN-Umstellung, NTLM-Audit und Test der Samba-Kompatibilität. Woche vier: abgestufte Richtlinienaktivierung, Anwendungsabnahme und Monitoring. Hinterlegen Sie einen Rückfallplan, der nicht auf einer pauschalen dauerhaften Sicherheitsabschwächung beruht. So wird aus SMB-Hardening ein kontrollierter Betriebsprozess.

Häufige Fragen zu SMB Security 2026

Ist SMB Signing dasselbe wie SMB Encryption?

Nein. Signing schützt die Integrität der Nachrichten; Encryption schützt zusätzlich die Vertraulichkeit des übertragenen Inhalts.

Verlangt Windows Server 2025 standardmäßig alle SMB-Verbindungen verschlüsselt?

Eine allgemeine Verschlüsselungspflicht für alle ausgehenden Verbindungen ist konfigurierbar; sie sollte anhand der tatsächlichen Richtlinien überprüft werden. Das standardmäßige Signing ist davon zu unterscheiden.

Kann SMB NTLM Blocking ohne domänenweite NTLM-Abschaltung genutzt werden?

Ja, es ist eine eigene SMB-Clientfunktion auf unterstützten neueren Windows-Versionen.

Sollte man Signing bei Problemen mit einem NAS abschalten?

Microsoft rät davon ab. Prüfen und aktualisieren Sie stattdessen die SMB- und Authentifizierungskonfiguration des Zielgeräts.

Fazit: Moderne SMB-Sicherheit ohne ungeplante Ausfälle

SMB Security 2026 schützt Unternehmen am besten, wenn SMB Signing, gegebenenfalls Encryption, Kerberos und restriktive Netzwerkberechtigungen zusammenwirken. Eine technische Umstellung gilt erst als abgeschlossen, wenn Windows- und Samba-Freigaben, Anwendungsjobs und die vorgesehenen Sicherheitsblockaden erfolgreich getestet wurden. Vermeiden Sie pauschale Deaktivierungen von Schutzmechanismen als vermeintlich schnelle Reparatur.

Über den Autor

Salman Dolatpanah Gortlar schreibt für GORTNET über Windows Server, Active Directory, SMB-Dateidienste und die sichere Modernisierung von Unternehmensnetzen. Die dargestellten Kontrollen müssen individuell mit der jeweiligen Infrastruktur abgeglichen werden.

Weiterlesen und IT-Beratung

• NTLM sicher ablösen
• Kerberos RC4 2026: AES-Migration
• GORTNET Systemadministration

Für eine überprüfbare SMB-Bestandsaufnahme und kontrollierte Migration GORTNET kontaktieren.

Microsoft-Dokumentation und technische Quellen

• Microsoft: Control SMB Signing Behavior
• Microsoft: SMB Security Hardening
• Microsoft: Require SMB Client Encryption
• Microsoft: Block NTLM over SMB
• Microsoft: What’s New in Windows Server 2025

Redaktionsstand 30. Oktober 2026. Konkrete Windows-Edition, Build-Stand und SMB-Richtlinieneinstellungen im Betrieb prüfen.