SMB-Signierung unter Windows prüfen und aktivieren

Ein älteres NAS oder ein Gastzugriff kann nach einer Änderung der SMB-Signierung den Zugriff auf eine Freigabe verlieren. Prüfen Sie zuerst, welche Seite Ihres Windows-PCs oder Servers eine Signatur verlangt. So ändern Sie gezielt die Client- oder Serveranforderung.

Prüfen Sie die Anforderung für Client und Server

Ein Windows-Server kann selbst eine Verbindung zu einer anderen Freigabe aufbauen. Prüfen Sie deshalb beide Rollen, auch wenn der Rechner vor allem Dateien bereitstellt. Öffnen Sie PowerShell mit Administratorrechten und lesen Sie die Werte aus:

Get-SmbClientConfiguration | FL RequireSecuritySignature
Get-SmbServerConfiguration | FL RequireSecuritySignature

True bedeutet, dass die jeweilige Rolle Signaturen verlangt. Bei False verlangt diese Rolle sie nicht zwingend. Das beweist nicht, dass eine Verbindung unsigniert ist: Auch die Gegenseite kann die Signatur anfordern. Die beiden Abfragen zeigen die Konfiguration, nicht den Signaturstatus jeder aktiven Sitzung.

Microsoft dokumentiert unterschiedliche Standardwerte je nach Windows-Version und Edition. Windows 11 24H2 Pro, Enterprise und Education verlangen Signaturen für eingehende und ausgehende Verbindungen; Home verlangt sie standardmäßig nicht. Windows Server 2025 verlangt standardmäßig ausgehende Signaturen. Prüfen Sie die konkrete Edition und Konfiguration, statt diese Werte auf andere Versionen zu übertragen.

Aktivieren Sie nur die benötigte Rolle

Notieren Sie zuerst die ausgelesenen Werte. Eine erhöhte PowerShell-Sitzung ist für die Änderung erforderlich. Für Verbindungen, die der Rechner als SMB-Client aufbaut, verwenden Sie:

Set-SmbClientConfiguration -RequireSecuritySignature $true

Soll der Rechner Signaturen für eingehende SMB-Verbindungen verlangen, lautet der Befehl:

Set-SmbServerConfiguration -RequireSecuritySignature $true

Führen Sie nur den Befehl für die Rolle aus, die Sie ändern möchten. Lesen Sie den Wert anschließend erneut mit der passenden Get-Smb…Configuration-Abfrage aus und testen Sie den benötigten Zugriff.

In einer verwalteten Domäne gehört die Änderung in die zuständige Gruppenrichtlinie. Für eine Domänen-GPO öffnen Sie gpmc.msc; gpedit.msc bearbeitet die lokale Richtlinie. Die deutschen Richtlinien heißen „Microsoft-Netzwerk (Client): Kommunikation digital signieren (immer)“ und „Microsoft-Netzwerk (Server): Kommunikation digital signieren (immer)“. Stimmen Sie eine zentrale Änderung mit der IT-Verantwortlichen oder dem IT-Verantwortlichen ab und rollen Sie sie zunächst in einem begrenzten Bereich aus.

Microsoft dokumentiert außerdem in Windows Admin Center den Pfad Server > Settings > File Shares (SMB server) > SMB signing > Required für die Serverrolle. Das ist eine optionale grafische Alternative; die Clientanforderung wird dort nicht geändert.

Prüfen Sie NAS und Gastzugriffe vor dem breiten Einsatz

Ein Gerät ohne passende Unterstützung für SMB-Signaturen kann die Verbindung ablehnen. Signaturpflicht und Gastzugriff sind ebenfalls nicht miteinander vereinbar. Prüfen Sie vor einer breiten Änderung, ob das NAS Signaturen unterstützt und ob der Zugriff mit einem authentifizierten Konto funktioniert. Für herstellerspezifische Schritte ist die Dokumentation des jeweiligen Geräts maßgeblich.

Fehler wie STATUS_INVALID_SIGNATURE (0xc000a000) können auf eine Inkompatibilität hinweisen. 0x80070035 kann im Zusammenhang mit Gastzugriff auftreten. Keiner dieser Fehlercodes allein beweist die Ursache. Schalten Sie die Signaturanforderung nicht als pauschale Umgehung ab; klären Sie zuerst Geräteunterstützung und Anmeldeart.

Wenn eine zentrale Richtlinie den Wert steuert, ändern Sie ihn nicht lokal gegen diese Vorgabe. Bei einem NAS, das die Signierung nicht unterstützt, stoppen Sie die Ausweitung und klären Sie die Kompatibilität, bevor Arbeitsplätze oder Warenwirtschaft auf die Freigabe angewiesen sind.

Quellen: Microsoft Learn: What is Server Message Block signing? und Microsoft Learn: Control SMB signing behavior. Deutsche Richtlinienbezeichnungen: Microsoft Learn (Deutsch).