SMB-Signierung per GPO erzwingen: Leitfaden für Admins

SMB-Signierung per Gruppenrichtlinie erzwingen

Die SMB-Signierung ist kein neues Feature, aber für viele Umgebungen erst jetzt Pflicht. Wer Windows 11 24H2 oder Server 2025 einführt, sollte den Ist-Zustand kennen, bevor der erste Client auf Signatur besteht. Der Leitfaden zeigt, wie Admins die Richtlinie setzen, Ausnahmen definieren und den Rollout prüfen.

Warum das Thema jetzt auf die Agenda gehört

Im Juni 2025 hat Microsoft mit CVE-2025-33073 eine Lücke im Windows-SMB-Client geschlossen, die als unzureichende Zugriffskontrolle beschrieben wird. Ein Angreifer mit einem regulären Domänenkonto kann einen Rechner dazu bringen, sich an einem bösartigen SMB-Server anzumelden, und erhält darüber SYSTEM-Rechte. Der Fall gilt als ausgenutzt und wurde in den KEV-Katalog der US-Behörde CISA aufgenommen.

Die Signierung verhindert genau diese Angriffsklasse. Sie hängt einen Hash über die gesamte Nachricht samt Absender- und Empfängeridentität an; wer Pakete manipuliert oder eine Verbindung umleitet, scheitert an der Prüfung. Für Verwaltungs- und Kliniknetze, in denen Relay-Ketten zum Standardrepertoire von Angreifern gehören, ist das eine der wirksamsten Maßnahmen ohne Zusatzsoftware.

Was Windows 11 24H2 und Server 2025 standardmäßig tun

Ab Windows 11 24H2 (Pro, Enterprise, Education) und Windows Server 2025 sind ausgehende und eingehende SMB-Verbindungen standardmäßig signiert; Server 2025 verlangt nur ausgehende Signaturen. Die Home-Edition von Windows 11 bleibt ausgenommen. Zuvor galt die Pflicht nur für Verbindungen zu SYSVOL und NETLOGON auf Domänencontrollern.

Zwei Nebenwirkungen sind wichtig: Signierung schaltet den Gast-Fallback ab, unauthentifizierte Zugriffe auf Freigaben enden also. Und sie lässt sich zentral wieder aufheben, was aber nur bei Drittanbieter-Speichern sinnvoll ist, die Signaturen nicht beherrschen.

Schritt 1: Ist-Zustand erfassen

Vor der Richtlinie steht die Bestandsaufnahme. Auf jedem Dateiserver und stichprobenartig auf Clients zeigen zwei Cmdlets den aktuellen Stand:

Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature
Get-SmbClientConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature

RequireSecuritySignature True bedeutet: Signatur wird verlangt. Ist nur EnableSecuritySignature aktiv, wird sie angeboten, aber nicht erzwungen. Windows 11 24H2 und Windows Server 2025 bringen zusätzlich eine Überwachung von Signatur und Verschlüsselung mit, mit der sich vor dem Rollout prüfen lässt, welche Verbindungen ohne Signatur laufen.

Schritt 2: Die Einstellung in der Gruppenrichtlinie

Die Richtlinie sitzt an einer Stelle und gilt für alle Computer im Geltungsbereich. Pfad: Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen. Dort sind zwei Einstellungen auf Aktiviert zu setzen:

• Microsoft-Netzwerk (Client): Kommunikation digital signieren (immer) – erzwingt ausgehende Signaturen
• Microsoft-Netzwerk (Server): Kommunikation digital signieren (immer) – erzwingt eingehende Signaturen

Für einen gestuften Rollout gibt es auf der Serverseite die Variante Kommunikation digital signieren (wenn Client zustimmt). Sie bietet die Signatur nur an, erzwingt sie nicht, und ist damit der sichere erste Schritt in gemischten Netzen. Neue GPO im GPMC (gpmc.msc) an der Computer-OU anlegen, per Sicherheitsfilterung eingrenzen und Ausnahmen über eine eigene OU oder einen WMI-Filter führen.

Schritt 3: Testweise per PowerShell

Auf Testsystemen und in Arbeitsgruppen geht die Vorprüfung schneller direkt am Objekt. Die Cmdlets ändern nur die lokale Konfiguration und werden von einer GPO überschrieben:

Set-SmbServerConfiguration -RequireSecuritySignature $true -Force
Set-SmbClientConfiguration -RequireSecuritySignature $true -Force

Danach einen Zugriff auf eine Freigabe testen und die Ereignisprotokolle auf STATUS_INVALID_SIGNATURE (0xc000a000) prüfen. Tritt der Fehler auf, antwortet die Gegenseite ohne Signatur – in der Regel ein NAS, ein Samba-Server oder ein Multifunktionsdrucker mit Scan-to-SMB.

Schritt 4: Typische Stolperfallen

Die häufigsten Bremsen sind Altsysteme: NAS-Geräte ohne Signaturunterstützung, ältere Samba-Versionen, Backup-Appliances und MFPs mit Scan-to-SMB. Solche Systeme gehören in eine dokumentierte Ausnahme-GPO, nicht in einen globalen Kompromiss. Der Gastzugriff auf Freigaben fällt mit der Signierung weg, was gewollt ist, aber vorher kommuniziert werden sollte.

Ebenfalls relevant: Verbindungen über IP-Adressen und CNAME-Einträge umgehen die Kerberos-Authentifizierung. Microsoft empfiehlt, Freigaben über Computernamen anzusprechen und alternative Namen mit netdom zu vergeben. Der Rechenaufwand der Signatur ist bei großen Kopierjobs messbar, in typischen Büroumgebungen aber unkritisch.

Schritt 5: Rollout kontrollieren

Nach dem Verknüpfen der GPO auf den Clients gpupdate /force ausführen und auf den Servern erneut RequireSecuritySignature abfragen. Beide Werte müssen True sein, sonst greift eine lokale Einstellung oder eine GPO mit höherer Priorität. Anschließend einen Testlauf mit einem Client je Standort, eine Prüfung der Fehlerzähler im Ereignisprotokoll und eine Notiz im Änderungsprotokoll – bei Audits nach BSI-Grundschutz ist die dokumentierte Härtungsmaßnahme Teil des Nachweises.

Quellen

• Microsoft Learn: Steuerung des SMB-Signierverhaltens (Stand 14.08.2025)
• Microsoft Learn: SMB-Sicherheitshärtung in Windows Server und Windows Client (Stand 14.08.2025)
• Microsoft Security Response Center: CVE-2025-33073 (Windows SMB Client Elevation of Privilege) (Juni 2025)
• Microsoft Learn: Overview of Server Message Block signing (Stand 12.02.2026)

Abgerufen am 31.10.2026.

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.