SMB-Signing erzwingen: Schutz vor Relay-Angriffen via GPO

Warum SMB-Signing erzwingen?

SMB-Signing schützt Dateifreigaben vor Manipulation und Relay-Angriffen: Jede SMB-Nachricht erhält eine Signatur, die bei Änderungen in der Übertragung nicht mehr passt. Ohne Signierung können Angreifer SMB-Verbindungen abfangen und Relay-Angriffe durchführen – ein klassischer Angriffsweg in Windows-Domänen.

Seit Windows 11 24H2 (Enterprise, Pro, Education) und Windows Server 2025 ist SMB-Signing standardmäßig erforderlich. Windows Server 2025 erzwingt die Signierung jedoch nur für ausgehende Verbindungen (als Client). Für eingehende Verbindungen (als Server) muss die Signierung manuell per GPO oder PowerShell aktiviert werden – sonst bleibt die Lücke bestehen.

GPO-Konfiguration: SMB-Signing erzwingen

Öffnen Sie die Gruppenrichtlinienverwaltung (gpmc.msc) und bearbeiten Sie das gewünschte GPO. Navigieren Sie zu:

ComputerkonfigurationWindows-EinstellungenSicherheitseinstellungenLokale RichtlinienSicherheitsoptionen

Aktivieren Sie folgende vier Richtlinien:

• Microsoft network client: Digitally sign communications (always) → Aktiviert
• Microsoft network client: Digitally sign communications (if server agrees) → Aktiviert
• Microsoft network server: Digitally sign communications (always) → Aktiviert
• Microsoft network server: Digitally sign communications (if client agrees) → Aktiviert

Die Richtlinien mit „always“ erzwingen die Signierung, die mit „if … agrees“ aktivieren sie, sofern die Gegenstelle zustimmt. Für vollständigen Schutz sollten alle vier aktiviert werden.

GPO per PowerShell konfigurieren

Alternativ können Sie SMB-Signing direkt auf Servern und Clients per PowerShell aktivieren:

# Client (ausgehende Verbindungen)
Set-SmbClientConfiguration -RequireSecuritySignature $true

# Server (eingehende Verbindungen)
Set-SmbServerConfiguration -RequireSecuritySignature $true

Prüfen Sie den Status mit:

Get-SmbClientConfiguration | FL RequireSecuritySignature
Get-SmbServerConfiguration | FL RequireSecuritySignature

Wichtige Hinweise

Gastzugriff wird deaktiviert

Durch die SMB-Signierung wird der Gastzugriff auf Freigaben deaktiviert. Falls Gastzugriff benötigt wird, muss SMB-Signing deaktiviert werden – das ist jedoch nicht empfohlen.

Drittanbieter-Server

Wenn Ihre Umgebung Server von Drittanbietern nutzt, die SMB-Signing nicht unterstützen, können nach der Aktivierung keine Verbindungen zu diesen Freigaben hergestellt werden. Testen Sie die Änderung zunächst in einer Test-OU, bevor Sie sie domänenweit ausrollen.

Rollout-Empfehlung

Aktivieren Sie die Richtlinien zunächst in einer Test-OU mit wenigen Servern. Prüfen Sie nach gpupdate /force, dass alle Freigaben weiterhin erreichbar sind. Erst dann auf die gesamte Domäne ausrollen.

Quellen

• Microsoft Learn: Steuerung des SMB-Signierverhaltens (Stand: 13.08.2025)
• Microsoft Learn: Overview of Server Message Block signing (Stand: 12.02.2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.