SMB-Sicherheit: signieren, verschlüsseln, alte Versionen blockieren SMB-Datenverkehr im Netzwerk schützen – Verschlüsselung und mehr

Anbieter zum Thema

FTAPI Software GmbH

Unternehmen mit Microsoft-Netzwerken sollten sich die verschiedenen Möglichkeiten zum Schutz des SMB-Protokolls für Dateizugriffe genauer anschauen. Es ist sehr sinnvoll, darauf zu achten, dass Angreifer durch unsichere Konfigurationen keine Sicherheitslücken ausnutzen.

Der SMB-Datenverkehr ist ein wichtiger Faktor für die Sicherheit im Netzwerk. Aus diesem Grund arbeitet Microsoft ständig an Verbesserungen. In Windows 11 ab Build 25987 und in Windows Server 2025 kommen jetzt Einstellungen, mit denen festgelegt werden kann, dass Clients und Server nur verschlüsselte SMB-Verbindungen akzeptieren. Dazu werden alle Clients dafür konfiguriert, SMB 3.x einzusetzen. Ältere Versionen bleiben außen vor. Im Rahmen der Verschlüsselung kann SMB in Windows 10 mit AES-GCM arbeiten; Windows 11 und Windows Server 2022/2025 unterstützen an dieser Stelle bereits AES-256-GCM. Verschlüsselung belastet natürlich die CPU und den Arbeitsspeicher von Client und Server, sodass die Geräte leistungsstark genug sein sollten.

Bildergalerie

Bildergalerie mit 7 Bildern

SMB-Versionen auf einem Server prüfen

Aktuelle Windows-Clients unterstützen bereits SMB 3.x. Samba unterstützt ab Version 4.3 auch SMB 3.x. Es lohnt sich also für Unternehmen, die auf Windows 10/11 setzen und im Netzwerk Samba-Server einsetzen, auf die neue Version 4.x zu aktualisieren. Hier ist es sinnvoll zu überprüfen, ob auf Servern noch die älteren und wesentlich unsichereren Versionen SMB 1 und SMB 2 aktiv sind. Ob SMB 1 aktiv ist, kann in der PowerShell mit dem folgenden Befehl überprüft werden:

Hier sollte bei State „Disabled“ stehen. Ist die alte Version noch aktiv, kann sie in der PowerShell auch gleich deaktiviert werden:

Wenn allerdings kein SMB 1.0 mehr eingesetzt werden soll, können Admins die SMB-1.0-Funktionen aus Windows Server 2022 entfernen. Das erhöht auch die Sicherheit, da diese Verbindungen nahezu problemlos gekapert werden können. Um SMB 1.0 aus Windows Server 2022 zu entfernen, kann die PowerShell verwendet werden:

Außerdem können Server mit Windows Server 2022 daraufhin überwacht werden, ob noch Clients mit SMB 1.0 einen Zugriff auf den Server vornehmen wollen. In diesem Fall schaltet der Server in den unsicheren SMB-1.0-Modus für diese Verbindung, wenn SMB 1 noch verfügbar ist. Die Überwachung aktivieren Admins mit der PowerShell und folgendem Befehl:

Um sich anzeigen zu lassen, ob es noch Clients im Netzwerk gibt, die SMB 1 nutzen, kann ebenfalls die PowerShell verwendet werden. Der Befehl dazu lautet:

SMB 2 kann in der PowerShell ebenfalls deaktiviert werden:

Beim Einsatz von SMB ab Windows Server 2022 versuchen Clients und Server, die Daten mit HTTPs oder TLS 1.3 zu verschlüsseln.

SMB-Verschlüsselung im Netzwerk erzwingen

Die Aktivierung der SMB-Verschlüsselung in Windows 11 und Windows Server 2022/2025 findet über die Einstellung „Verschlüsselung erforderlich“ bei „Computerkonfiguration -> Administrative Vorlagen -> Netzwerk -> LanMan Arbeitsstation“ statt. Hier lassen sich in Windows 11 einige wichtige Einstellungen für den Schutz des SMB-Datenverkehrs vorgeben. Dazu sind die neuen Gruppenrichtlinienvorlagen für Windows 11 Version 23H2 notwendig.

In der PowerShell kann die SMB-Verschlüsslung in Windows 11 ab Version 25987 und in Windows Server 2025 ebenfalls aktiviert werden. Das erfolgt mit dem Befehl:

Ob die Verschlüsslung erzwungen wird, zeigt der folgende Befehl in der PowerShell an:

SMB over QUIC in Azure und in Windows Server 2025

Bei SMB over QUIC verbinden sich Client und Server mit Server Quick UDP Internet Connections (QUIC) für die SMB-Verbindung. Serverseitig können das nur Windows Server 2022 Datacenter: Azure Edition und Windows Server 2025. Diese Verbindungen sind schneller und sicherer. Dadurch lassen sich sogar SMB-Zugriffe über die Cloud sicher und schnell durchführen. Die Daten werden bei SMB over QUIC mit TLS 1.3 verschlüsselt.

Bildergalerie

Bildergalerie mit 7 Bildern

Dateiserver mit SMB-Signierung absichern

Parallel zur Verschlüsselung ist es in Windows Server 2019/2022 auch möglich, SMB-Pakete zu signieren. Das vermeidet gefälschte SMB-Pakete, die Cyberkriminelle für Angriffe nutzen können. Generell ist es selten sinnvoll, Pakete zu verschlüsseln und zu signieren. Die Verschlüsselung reicht normalerweise aus, da hier die Pakete ebenfalls signiert sind. Reicht die Leistung aber nicht dafür aus, kann auch nur mit SMB-Signaturen gearbeitet werden, damit Clients und Server immer sicher sein können, dass die Pakete korrekt und nicht manipuliert sind.

Neben Dateiservern spielt das auch beim Einsatz von Gruppenrichtlinien eine wichtige Rolle. Die dafür notwendigen Einstellungen finden sich in den Gruppenrichtlinien über „Computerkonfiguration -> Richtlinien -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Sicherheitsoptionen“. Die Einstellungen müssen für Clients und Server gesetzt werden. Die Einstellung dazu trägt die Bezeichnung „Microsoft-Netzwerk (Server | Client) Kommunikation digital signieren (immer)“

Ob die Signierung auf Client und Server aktiv ist, lässt sich mit den beiden folgenden Befehlen überprüfen:

Standardmäßig ist die Verwendung der Signierung inaktiv. Nach der Aktivierung über Gruppenrichtlinien sollten die beiden Befehle für SMB-Clients und -Server die erfolgreiche Aktivierung anzeigen. Soll die Aktivierung nicht über Gruppenrichtlinien erfolgen, sondern lokal, geht das ebenfalls mit der PowerShell:

(ID:50125449)