Schlüsselpunkte
- Voraussetzungen kennen: Nur verfügbar unter Windows 11 Version 24H2+ und Windows Server 2025 oder höher; erfordert SMB 3.0 oder höher auf Client- und Serverseite.
- PowerShell nutzen: Führen Sie „Set-SmbClientConfiguration -RequireEncryption $true“ in einer PowerShell-Sitzung mit erhöhten Rechten aus. Zum Deaktivieren ersetzen Sie „$true“ durch „$false“.
- Gruppenrichtlinie nutzen: Navigieren Sie zu „Computerkonfiguration“ > „Administrative Vorlagen“ > „Netzwerk“ > „Lanman-Arbeitsstation“ und setzen Sie die Richtlinie „Verschlüsselung anfordern“ auf „Aktiviert“ oder „Deaktiviert“.
- Registry nutzen: Setzen Sie den DWORD-Wert „RequireEncryption“ unter „HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters.” auf „1“ (aktivieren) oder „0“ (deaktivieren).
- Auf Kompatibilitätsprobleme achten: Testen Sie die Änderung in einem gestaffelten Rollout, bevor Sie sie unternehmensweit erzwingen, und halten Sie einen Rollback-Plan über PowerShell oder den Registrierungs-Editor bereit.
SMB steht für Server Message Block und ist ein zentrales Protokoll, mit dem Windows-Systeme Dateien, Drucker und serielle Anschlüsse über ein Netzwerk freigeben. Im Kern handelt es sich um ein Client-Server-Protokoll: Sie (der Client) fordern Zugriff auf Dateien oder andere Ressourcen auf einem Server an, und der Server gewährt den angeforderten Zugriff.
Wie Sie sich denken können, kann das eine Sicherheitsschwachstelle darstellen, besonders in verwalteten IT-Umgebungen. Die Einstellung SMB-Client-Verschlüsselung anfordern in Windows 11 (ab Version 24H2) erzwingt die Verschlüsselung aller ausgehenden SMB-Client-Verbindungen. Mit dieser Funktion können IT-Administrator:innen sicherstellen, dass sensible Daten vor Ausspähen und Abfangen geschützt sind, vor allem in nicht vertrauenswürdigen oder öffentlichen Netzwerken.
Eine visuelle Anleitung finden Sie in unserem Video: So aktivieren oder deaktivieren Sie die SMB-Client-Verschlüsselung in Windows 11.
📌 Empfohlene Bereitstellungsstrategien:
Klicken Sie, um eine Methode zu wählen | 💻 Am besten für Einzelanwender:innen | 💻💻💻 Am besten für Unternehmen |
| Methode 1: Mit PowerShell | ✓ | ✓ |
| Methode 2: Mit Gruppenrichtlinie | ✓ | |
| Methode 3: Mit dem Registrierungs-Editor | ✓ | ✓ |
| Methode 4: Beispiel für eine .reg-Datei | ✓ | ✓ |
So konfigurieren Sie die SMB-Client-Verschlüsselung in Windows 11
Methode 1: Mit PowerShell (empfohlen)
📌 Anwendungsfälle: Ideal für skriptgesteuerte Bereitstellungen, manuelle Konfigurationen oder die Fernadministration
📌 Voraussetzungen:
- Sie benötigen Administratorrechte.
- Erforderlich ist SMB ab Version 3.0 auf Client- und Serverseite.
- Die PowerShell-Ausführungsrichtlinie muss das Ausführen von Befehlen und Skripten erlauben.
- Ein Neustart ist normalerweise nicht nötig, nach einer Änderung aber empfehlenswert.
- Wir empfehlen Ihnen diesen kostenlosen Crashkurs: PowerShell für IT-Ninjas.
Schritte:
- Öffnen Sie PowerShell mit erhöhten Rechten.
- Führen Sie einen der folgenden Befehle aus.
So fordern Sie die SMB-Client-Verschlüsselung an:
Set-SmbClientConfiguration -RequireEncryption $true
So heben Sie die Anforderung der SMB-Client-Verschlüsselung auf:
Set-SmbClientConfiguration -RequireEncryption $false
So überprüfen Sie Ihre aktuelle Konfiguration:
Get-SmbClientConfiguration
Sehen Sie sich in der Ausgabe das Feld RequireEncryption an, um zu prüfen, ob die Verschlüsselung derzeit angefordert wird. Alternativ können Sie auch direkt einen der folgenden Befehle ausführen:
Get-SmbClientConfiguration | Format-List -Property RequireEncryption
Methode 2: Mit Gruppenrichtlinie (Bereitstellung im Unternehmen)
📌 Anwendungsfälle: Am besten geeignet für Bereitstellungen in Unternehmensgröße über mehrere in eine Domäne eingebundene Systeme hinweg.
📌 Voraussetzungen:
- Sie benötigen einen in eine Domäne eingebundenen Rechner.
- Administratorzugriff auf den Gruppenrichtlinien-Editor ist erforderlich.
- Die Systeme müssen die Durchsetzung von Gruppenrichtlinien unterstützen.
- Auch hier ist SMB ab Version 3.0 erforderlich.
Schritte:
- Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
- Gehen Sie zu Computerkonfiguration > Administrative Vorlagen > Netzwerk > Lanman-Arbeitsstation.
- Suchen Sie Alle SMB-Client-Verbindungen verschlüsseln oder Verschlüsselung anfordern (je nach Ihrem Windows-11-Build) und doppelklicken Sie darauf.
- Setzen Sie die Einstellung auf Aktiviert, um die Verschlüsselung für alle Client-Verbindungen zu erzwingen.
- Setzen Sie sie auf Deaktiviert oder Nicht konfiguriert, um unverschlüsselte Verbindungen zuzulassen.
- Klicken Sie auf OK und übernehmen Sie die Änderungen.
- Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten und führen Sie gpupdate /force aus, damit die Richtlinie sofort wirksam wird. Alternativ können Sie Ihren Computer neu starten.
Methode 3: Mit dem Registrierungs-Editor
📌 Anwendungsfälle: Geeignet für manuelle Überschreibungen, Offline-Umgebungen oder Umgebungen ohne Zugriff auf Gruppenrichtlinien.
📌 Voraussetzungen:
- Sie benötigen Administratorrechte.
- Erfahrung im Bearbeiten der Registry ist von Vorteil.
- SMB ab Version 3.0 wird benötigt.
- Wir empfehlen, vorab ein Backup Ihrer Registry anzulegen. Falsche Konfigurationen können zu Systeminstabilität führen.
Schritte:
- Drücken Sie Win + R, geben Sie regedit ein und drücken Sie die Eingabetaste.
- Navigieren Sie zu folgendem Schlüssel: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
- Erstellen oder ändern Sie den DWORD-Wert (32-Bit) RequireEncryption:
- Setzen Sie den Wert auf 1, um die Verschlüsselung anzufordern.
- Setzen Sie den Wert auf 0, um die Anforderung zu deaktivieren (Standard).
- Starten Sie Ihren Computer neu, um die Änderungen zu übernehmen.
Methode 4: Beispiel für eine .reg-Datei
📌 Anwendungsfälle: Ideal für einfache Bereitstellungen, bei denen kein Skripting nötig ist, eine Automatisierung aber trotzdem hilfreich ist.
📌 Voraussetzungen:
- Diese Methode erfordert Administratorrechte.
- Die Benutzer:innen müssen berechtigt sein, .reg-Dateien zusammenzuführen.
- Zum Übernehmen der Änderungen ist ein manueller Neustart oder eine Ab- und Anmeldung erforderlich.
- Wir empfehlen, vorab ein Backup Ihrer Registry anzulegen. Falsche Konfigurationen können zu Systeminstabilität führen.
Schritte:
So aktivieren Sie die Verschlüsselung:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]
"RequireEncryption"=dword:00000001
So deaktivieren Sie die Verschlüsselung:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]
"RequireEncryption"=dword:00000000
Weitere Punkte, die Sie beim Ändern der SMB-Verschlüsselungseinstellung beachten sollten
- Kompatibilität: Wenn Sie die Einstellung RequireEncryption aktivieren, werden alle SMB-Server ohne Verschlüsselungsunterstützung abgewiesen. Das kann Legacy-Systeme betreffen.
- Leistung: Verschlüsselung verursacht einen gewissen Mehraufwand, besonders in Umgebungen mit hohem Datendurchsatz. Testen Sie die Auswirkungen in leistungskritischen Szenarien, bevor Sie die Einstellung großflächig ausrollen.
- SMB-Signierung: Die SMB-Signierung prüft zwar die Datenintegrität, die Verschlüsselung schützt zusätzlich vor dem Mitlesen. Wird die Verschlüsselung aktiviert, erübrigt sich die Signierung praktisch. Wichtig zu wissen: Windows 11 (Version 24H2) Enterprise, Pro und Education setzen die SMB-Signierung für ein- und ausgehende Verbindungen inzwischen standardmäßig voraus.
- SMB v1: Dieses veraltete Protokoll unterstützt keine Verschlüsselung und gilt als veraltet. Aus Sicherheitsgründen sollte es in allen modernen Umgebungen deaktiviert werden. (Weitere Informationen finden Sie unter So aktivieren oder deaktivieren Sie das SMB1-Dateifreigabeprotokoll in Windows.)
⚠️ Darauf sollten Sie achten
| Risiken | Mögliche Folgen | Rücknahme |
| Verschlüsselung auf Clients aktivieren, obwohl der Server sie nicht unterstützt | Verbindungsfehler; kein Zugriff auf SMB-Freigaben | Deaktivieren Sie RequireEncryption über PowerShell, Gruppenrichtlinie oder die Windows-Registry. |
| Gruppenrichtlinien in Umgebungen mit gemischten Betriebssystemen einsetzen | Die Richtlinie greift möglicherweise nicht korrekt oder unterbricht sogar Verbindungen zu nicht unterstützten Clients. | Setzen Sie die GPO-Einstellung auf Nicht konfiguriert oder Deaktiviert zurück und führen Sie gpupdate /force in einer Eingabeaufforderung mit erhöhten Rechten aus. |
| Die Registry falsch bearbeiten | Kann zu Systeminstabilität führen oder die Dateifreigabe lahmlegen | Legen Sie vorab ein Backup der Registry an. Ist es bereits passiert, spielen Sie das Backup zurück oder setzen Sie das DWORD auf 0. |
| Verschlüsselung in Legacy-Netzwerken erzwingen | Kann die Kompatibilität mit älteren NAS- oder Windows-Systemen beeinträchtigen | Erwägen Sie gestaffelte Rollouts oder Ausnahmen, wo nötig. |
Mehr Datensicherheit durch SMB-Client-Verschlüsselung
Die SMB-Client-Verschlüsselung zu erzwingen, ist ein wirksamer Weg, um die Dateifreigabe im Netzwerk in Windows-11-Umgebungen abzusichern. Ob Sie einen einzelnen Endpunkt verwalten oder Richtlinien unternehmensweit ausrollen: Die Anforderung der Verschlüsselung stärkt die Datensicherheit und hilft Ihnen, Compliance durchzusetzen.
Verwandte Themen:
- Was ist SMB (Server Message Block)?
- Was ist Dateiverschlüsselung?
- So deaktivieren Sie SMBv1 (Server Message Block Protocol) mit PowerShell
Quick-Start-Guide
In Windows 11 können Sie die SMB-Client-Verschlüsselung über Gruppenrichtlinien oder Registry-Einstellungen aktivieren oder deaktivieren. So gehen Sie vor:
1. Über Gruppenrichtlinien:
, Öffnen Sie den Gruppenrichtlinien-Editor
, Navigieren Sie zu: Computerkonfiguration > Administrative Vorlagen > Netzwerk > Lanman-Arbeitsstation
, Suchen und konfigurieren Sie die Richtlinien „Unsichere Gastanmeldungen aktivieren“ und „SMB-Verschlüsselung aktivieren“
2. Über die Registry (möglich auch per NinjaOne-Skript):
REG ADD „HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters” /v „RequireSmb2Encryption“ /t REG_DWORD /d 1 (zum Aktivieren)
REG ADD „HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters” /v „RequireSmb2Encryption“ /t REG_DWORD /d 0 (zum Deaktivieren)
Für eine möglichst präzise Konfiguration empfehlen wir, Ihre individuellen Sicherheitsanforderungen zu prüfen und die Einstellungen in einer kontrollierten Umgebung zu testen.
