SMB-Signing per GPO erzwingen: Netzlaufwerke absichern

SMB-Signing per GPO erzwingen

Das Server Message Block (SMB) ist das Standardprotokoll für Datei- und Druckfreigaben in Windows-Netzwerken. Seit WannaCry und EternalBlue empfiehlt das BSI, den SMB-Stack zu härten. Digitale Signaturen schützen vor Manipulation und Spoofing (SMB-Relay-Angriffe). Windows-Clients signieren standardmäßig, wenn der Server es anfordert – Server verlangen es jedoch nicht. Über Gruppenrichtlinie lässt sich die Signatur für beide Seiten verbindlich erzwingen.

Warum SMB-Signing wichtig ist

Ohne Signatur kann ein Angreifer im selben Netzwerk unsignierte SMB-Pakete abfangen, verändern und weiterleiten – Session Hijacking und SMB-Relay sind die Folge. Die Signatur authentifiziert beide Kommunikationspartner und stellt sicher, dass Pakete auf dem Transportweg nicht manipuliert wurden. Microsoft rät von den Legacy-Einstellungen „Wenn Client zustimmt“ / „Wenn Server zustimmt“ ab, da diese nur SMBv1 betreffen; moderne SMBv2/v3-Nutzung wird durch „Immer signieren“ abgedeckt.

GPO-Einstellungen setzen

Erstellen Sie eine neue GPO (z. B. „SMB-Signing erzwingen“) und verknüpfen Sie sie mit den gewünschten OUs. Navigieren Sie zu:

Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Sicherheitsoptionen

Aktivieren Sie folgende beiden Einstellungen:

• Microsoft-Netzwerkserver: Digitale Kommunikation immer signieren → Aktiviert
• Microsoft-Netzwerkclient: Digitale Kommunikation immer signieren → Aktiviert

Die zugehörigen Registrierungswerte (für Skripte oder manuelle Prüfung):

# Server (LanmanServer)
Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetServicesLanmanServerParameters" -Name RequireSecuritySignature -Value 2 -Type DWord -Force

# Client (LanmanWorkstation)
Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetServicesLanmanWorkstationParameters" -Name RequireSecureKey -Value 2 -Type DWord -Force

Wert 2 bedeutet „Immer signieren/erfordern“, 1 = „Wenn Gegenstelle zustimmt“, 0 = „Deaktiviert“. Ein Neustart ist nicht nötig; die Richtlinie wird beim nächsten gpupdate /force wirksam.

Zusätzlich: SMB 1.0 deaktivieren

SMBv1 ist unsicher und seit Windows 10 1709 / Server 1709 nicht mehr standardmäßig installiert. Per GPO lässt sich der Client und Server explizit deaktivieren:

Computerkonfiguration → Administrative Vorlagen → Netzwerk → Lanman-Arbeitsplatz → SMB 1.0/CIFS-Dateifreigabeunterstützung → Deaktiviert
Computerkonfiguration → Administrative Vorlagen → Netzwerk → Lanman-Server → SMB 1.0/CIFS-Dateifreigabeunterstützung → Deaktiviert

Überprüfung nach GPO-Anwendung

Nach gpupdate /force auf dem Zielsystem prüfen Sie per PowerShell:

# Server-Seite: muss True zurückgeben
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature

# Client-Seite: muss "Required" zurückgeben
Get-SmbClientConfiguration | Select-Object RequireSecureWraps

# Alternative per Registry (falls Cmdlets nicht verfügbar)
reg query "HKLMSYSTEMCurrentControlSetServicesLanmanServerParameters" /v RequireSecuritySignature
reg query "HKLMSYSTEMCurrentControlSetServicesLanmanWorkstationParameters" /v RequireSecureKey

Erwartete Werte: RequireSecuritySignature = 2 (bzw. True) und RequireSecureWraps = Required. Bestehende SMB-Verbindungen zeigen die Signatur mit Get-SmbConnection | Select-Object LocalMachine,RemoteMachine,Dialect,SigningRequired.

Auswirkungen und Fallback

Ältere NAS-Geräte, Drucker oder Linux-Server ohne SMB-Signaturunterstützung können nach der Aktivierung keine Freigaben mehr mounten. Testen Sie die GPO daher zunächst in einer Test-OU. Als temporäre Ausnahme können betroffene Geräte in eine OU ohne die GPO verschoben oder per WMI-Filter ausgeschlossen werden. Performance-Einbußen sind auf 1-GBit-Netzen mit moderner CPU vernachlässigbar; bei 10 GBit und schnellerem Storage steigt die CPU-Last merklich.

Quellen

• Microsoft Learn: Microsoft network server: Digitally sign communications (always) (Stand 13.01.2023)
• Microsoft Learn: Microsoft network client: Digitally sign communications (always) (Stand 13.01.2023)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.