GUIDE / ADMINISTRATION / IT-PRAXIS

Windows 11 24H2 & Server 2025: SMB-Signing, NAS-Probleme und alte Freigaben

Windows 11 24H2 und Windows Server 2025 haben das SMB-Sicherheitsniveau spürbar angehoben. Besonders interessant ist die standardmäßige Anforderung von SMB-Signierung für ausgehende Verbindungen. Das kann bei alten NAS-Systemen, Scannern und Drittanbieter-SMB-Servern plötzlich zu Verbindungsproblemen führen.

PROBLEM→ANALYSE→LÖSUNG→BETRIEB

Was SMB-Signing eigentlich macht

SMB-Signing schützt die Integrität von SMB-Nachrichten. Vereinfacht gesagt kann ein Angreifer den Datenverkehr nicht unbemerkt verändern, ohne dass die Signaturprüfung fehlschlägt.

Warum alte NAS-Geräte plötzlich streiken

Viele ältere NAS-Geräte und Embedded-Samba-Versionen waren auf weniger strenge SMB-Standards ausgelegt. Wenn der Windows-Client Signierung verlangt, der Gegenserver sie nicht unterstützt, scheitert die Verbindung.

Erster Diagnosebefehl

Unter Windows helfen `Get-SmbClientConfiguration` und `Get-SmbServerConfiguration`, um die lokalen SMB-Einstellungen zu prüfen.

Get-SmbClientConfiguration
Get-SmbServerConfiguration
Get-SmbConnection

Die Freigabe testen

Mit `Get-SmbConnection` lassen sich bestehende SMB-Verbindungen anzeigen. `net use` ist ebenfalls hilfreich, wenn man klassische Windows-Freigaben untersucht.

Nicht vorschnell SMB-Signing abschalten

Eine Abschaltung kann ein altes Gerät kurzfristig wieder erreichbar machen, reduziert aber die Sicherheit. Besser ist es, das Gegenstück zu aktualisieren oder eine moderne SMB-Konfiguration einzusetzen.

SMB1 ist keine Reparaturstrategie

SMB1 sollte nicht als schnelle Lösung wieder aktiviert werden. Wenn ein Gerät ausschließlich SMB1 spricht, ist das ein starkes Signal für eine Modernisierung oder einen Austausch.

IP-Adresse oder DNS-Name?

Microsoft empfiehlt für SMB-Signing und Kerberos, nicht einfach per IP auf Freigaben zuzugreifen. Sauberes DNS und Kerberos sind die bessere Grundlage.

Samba und Linux-NAS

Bei einem Linux-Samba-Server sollte die SMB-Konfiguration gezielt geprüft und nicht einfach irgendeine alte Kompatibilitätsoption aktiviert werden.

Troubleshooting-Checkliste

Windows-Version prüfen, SMB-Clientkonfiguration prüfen, SMB-Verbindung anzeigen, Gegenserver identifizieren, Server-SMB-Version prüfen, Logs kontrollieren, erst dann eine gezielte Änderung durchführen.

Fazit

SMB-Signing ist kein unnötiger Stolperstein, sondern eine Sicherheitsverbesserung. Die richtige Lösung ist fast immer eine Modernisierung des Gegenservers statt das Sicherheitsniveau des Clients dauerhaft abzusenken.

Praxis-Merksatz: Gute Administration besteht aus nachvollziehbaren Schritten, dokumentierten Änderungen, Backups und einem getesteten Rückweg.