Schlüsselpunkte
- Risiken von SMB kennen: TCP 445 ist für den SMB-Betrieb unverzichtbar, birgt aber erhebliche Sicherheitsrisiken, sobald der Port in öffentlichen oder nicht vertrauenswürdigen Netzwerken erreichbar ist.
- Abhängigkeiten ermitteln: Wer SMB-Server, Clients und Arbeitsabläufe erfasst, kann den Zugriff sicher eingrenzen, ohne geschäftskritische Prozesse zu unterbrechen.
- Datenverkehr eingrenzen und blockieren: Blockieren Sie TCP 445 am Perimeter und in nicht vertrauenswürdigen Zonen und lassen Sie ausschließlich freigegebene interne SMB-Pfade zu.
- SMB härten: Erhöhen Sie die SMB-Sicherheit, indem Sie SMB1 deaktivieren, die Signierung aktivieren und moderne Alternativen wie SMB over QUIC nutzen.
- Bereitstellen und steuern: Rollen Sie Regeln kontrolliert aus, überwachen Sie Störungen und sorgen Sie mit einer strikten Ausnahmeverwaltung für dauerhaften Schutz.
Port 445 wird vom Server Message Block (SMB) genutzt, dem Windows-Protokoll für die Dateifreigabe (nicht zu verwechseln mit der Zielgruppenbezeichnung für kleine und mittlere Unternehmen). Über SMB können Benutzer:innen Dateien, Drucker und andere Geräteressourcen gemeinsam nutzen.
Dieser Leitfaden liefert ein herstellerneutrales Vorgehen, mit dem IT-Teams und MSPs den TCP-Port 445 in Windows sicher blockieren oder gezielt eingrenzen können.
Unerwünschte Netzwerkaktivitäten bringen unnötige Risiken mit sich.
→ Testen Sie die IT-Überwachung in Echtzeit für die Unternehmens-IT
Port 445 absichern: Schritt für Schritt
TCP 445 einfach zu blockieren wirkt auf den ersten Blick naheliegend, kann aber Domänenvorgänge, Dateiübertragungen und wichtige Verwaltungsabläufe stören. Die folgenden Schritte zeigen, wie IT-Administrator:innen die Risiken rund um TCP 445 entschärfen, ohne den Betrieb zu beeinträchtigen.
📌 Voraussetzungen: Mit den folgenden Punkten lassen sich die Schritte effizienter umsetzen:
- Eine Inventarliste aller SMB-abhängigen Dienste und Hosts
- Ein festgelegtes Wartungsfenster und eine Auswahl an Pilot-Ringen
- Die Möglichkeit, Regeln der Windows Defender Firewall oder vergleichbare Regeln per GPO oder MDM bereitzustellen
- Zentrale Protokollierung von Firewall-Ereignissen und fehlgeschlagenen Authentifizierungen
Schritt 1: Ermitteln, wo SMB benötigt wird
Server Message Block (SMB) ist ein Netzwerkprotokoll, über das Computer Dateien, Drucker, serielle Schnittstellen und weitere Ressourcen im Netzwerk gemeinsam nutzen. Zu wissen, wo SMB benötigt wird und welche SMB-Pfade in Ihrem Unternehmen legitim sind, ist der erste Schritt, um die Risiken rund um TCP 445 zu senken.
Dieser erste Schritt umfasst:
- Dateiserver, Domain-Controller, Druckserver und administrative Freigaben identifizieren, die erreichbar bleiben müssen.
- Client-Gruppen erfassen, die berechtigt auf diese Server zugreifen.
- Anwendungsfälle für den Fernzugriff und Alternativen wie VPN, SMB over QUIC oder File-Gateways dokumentieren. SMB over QUIC wird inzwischen von allen Editionen von Windows Server 2025 unterstützt (zuvor nur von der Azure Edition) und ist damit eine deutlich breiter verfügbare Option, um den SMB-Fernzugriff abzusichern, ohne TCP 445 freizugeben.
Schritt 2: TCP 445 am Perimeter und in nicht vertrauenswürdigen Zonen blockieren
TCP 445 in nicht vertrauenswürdigen Zonen zu blockieren ist entscheidend, denn so verringert sich die Angriffsfläche für Cyberbedrohungen. Außerdem darf SMB-Datenverkehr niemals am Internet-Übergang erreichbar sein, um Angriffe aus dem Internet über SMB zu verhindern.
So lässt sich TCP 445 in solchen Zonen unter anderem absichern:
Sperren am Perimeter
Blockieren Sie eingehenden und ausgehenden Datenverkehr über Port 445 an der Firewall oder am Cloud-Übergang, um Bedrohungen aus dem Internet wie Scanner, Exploits und Ransomware-Payloads auszuschließen.
Schutz durch Segmentierung
Nicht vertrauenswürdige oder nicht verwaltete Segmente, etwa Gast-WLAN, IoT-Sensoren und BYOD-Geräte, sollten nicht mit SMB-Diensten des Unternehmens kommunizieren können.
Schutz für Remote-Benutzer:innen
Stellen Sie sicher, dass Remote-Endpunkte Port 445 nicht versehentlich in Heim- oder öffentlichen Netzwerken freigeben. Erzwingen Sie Host-Firewall-Regeln, die eingehenden SMB-Datenverkehr blockieren, sofern sich das Gerät nicht in einem vertrauenswürdigen Domänennetzwerk befindet.
Schritt 3: Internen Zugriff nach dem Prinzip der Minimalprivilegien eingrenzen
Wer den internen Zugriff einschränkt, reduziert den internen Datenverkehr und begrenzt damit laterale Bewegungen. Mit internen Zugriffsregeln auf Basis von Berechtigungen stellen IT-Administrator:innen sicher, dass nur freigegebene SMB-Verbindungen zustande kommen.
Dazu zählen unter anderem:
- Windows-Firewall-Regeln erstellen, die Port 445 nur zwischen freigegebenen Client-Subnetzen und freigegebenen SMB-Hosts zulassen
- Ausnahmen gruppenbasiert über Richtlinien steuern und eine ausdrückliche Zulassungsliste pflegen
- Jeglichen anderen Datenverkehr über Port 445 im LAN und auf Standortverbindungen verweigern
Schritt 4: SMB vor und nach dem Blockieren härten
Das Hardening von SMB ist ein wesentlicher Schritt, um den TCP-Port 445 sicher zu blockieren oder einzugrenzen. Für die meisten Unternehmen sollte es sogar Teil einer Defense-in-Depth-Strategie sein. Dieser Schritt erhöht die Sicherheit des SMB-Protokolls und sorgt dafür, dass Authentifizierungs- und Relay-Versuche seltener erfolgreich sind, selbst auf blockierten Pfaden.
Folgende Maßnahmen bieten sich an:
- SMB1 auf allen Systemen deaktivieren
- SMB-Signierung standardmäßig verlangen
- Die Einstellungen von Domain-Controller und Dateiserver prüfen
- SMB over QUIC für Remote-Szenarien nutzen, damit Port 445 nicht netzwerkübergreifend freigegeben werden muss
Schritt 5: Regeln per GPO oder MDM bereitstellen
In den vorherigen Schritten ging es um mehr Sicherheit, in diesem Schritt um die Bereitstellung auf den verschiedenen Endpunkten im Netzwerk. Werden solche Änderungen per GPO oder MDM verteilt, können IT-Administrator:innen neue Richtlinien sicher und umkehrbar ausrollen. Zudem lassen sich ungewollte Störungen auf diesem Weg schneller erkennen und effizienter beheben.
Zu den Best Practices gehören:
- Mit einem kleinen Pilot-Ring starten und die ausführliche Firewall-Protokollierung aktivieren
- Eingehende und ausgehende Regeln mit klarer Priorisierung und Dokumentation ausrollen
- Ein getestetes Rollback-Skript bereithalten, um Regeln bei Bedarf schnell zu entfernen oder zu lockern
Schritt 6: Änderungen prüfen und überwachen
Änderungen an Ihrer Umgebung sollten immer dokumentiert, überprüfbar und überwacht sein. Dieser Schritt gibt IT-Administrator:innen die Gewissheit, dass die Anpassungen wie vorgesehen funktionieren und geschäftskritische Abläufe nicht stören.
In dieser Phase sollten Sie Folgendes umsetzen:
- Die Netzwerkerreichbarkeit mit Test-NetConnection -ComputerName <server> -Port 445 testen
- Den Zugriff auf Dateifreigaben, die GPO-Verarbeitung und die Authentifizierung prüfen, sofern zutreffend
- Firewall-Protokolle auf Verweigerungen durchsehen, insbesondere wenn diese mit Helpdesk-Tickets zusammenfallen
- Zulassungslisten anhand der beobachteten Daten bei Bedarf anpassen
Schritt 7: Ausnahmen und Lebenszyklen steuern
Eine saubere Steuerung sorgt schließlich für ausreichende Kontrolle über die SMB-Protokolle und verhindert, dass unkontrollierte Ausnahmen die Sicherheit mit der Zeit aushöhlen.
Dieser Schritt ist, ähnlich wie die Überwachung, ein fortlaufender Prozess und umfasst:
- Für jede Ausnahme zu Port 445 Verantwortliche, Begründung und Ablaufdatum dokumentieren
- Ausnahmen regelmäßig prüfen (in der Regel monatlich) und die Sicherheit dort verschärfen oder Ausnahmen entfernen, wo es möglich und nötig ist
- Erforderliche Kontrollen in Ihre Hardening-Baseline aufnehmen und quartalsweise überprüfen
NinjaOne in Ihre SMB-Protokolle einbinden
Mit NinjaOne verwalten IT-Administrator:innen Ihre IT-Infrastruktur strategisch. Folgende Ansätze lassen sich in Ihre Sicherheitsstrategie integrieren:
Bereitstellung von Firewall-Regeln
NinjaOne hilft Ihnen dabei, Sicherheitskonfigurationen im gesamten Netzwerk einzugrenzen und zu automatisieren, etwa durch die Bereitstellung von Skripten und Richtlinien, die das Management von Firewall-Regeln auf verwalteten Endpunkten unterstützen.
Umfassende Protokollierung
Über die Plattform können IT-Administrator:innen detaillierte Authentifizierungs- und Sicherheitsprotokolle erfassen, die Nutzung des SMB-Protokolls nachvollziehen und mögliche Sicherheitsvorfälle erkennen. Zusätzlich ermöglicht die Berichterstattung von NinjaOne umfassende Ausnahmeberichte für monatliche Kundenbesprechungen.
Proaktive Überwachung
Mit proaktiven Überwachungsverfahren bleiben Sie den Risiken einen Schritt voraus. Damit erkennen Sie das Vorhandensein von SMB1, erhalten Alarmierungen und lösen automatisiert die passenden Behebungsskripte aus (in NinjaOne verfügbar). In Kombination mit Ihren übrigen Sicherheitsmaßnahmen tragen diese Funktionen dazu bei, dass Ihr Netzwerk trotz bestehender Risiken geschützt bleibt.
Bündeln Sie Ihre Werkzeuge zur IT-Überwachung in einer einzigen, benutzerfreundlichen Konsole.
Schützen Sie Ihr Netzwerk mit Schutzmaßnahmen für TCP 445
TCP 445 zu blockieren oder eng einzugrenzen senkt das SMB-Risiko spürbar, sofern Bestandsaufnahme, gestaffelte Bereitstellung und laufende Kontrolle dazugehören. Kombinieren Sie Netzwerkkontrollen mit SMB-Hardening und einer konsequenten Verwaltung von Ausnahmen, um dauerhaft geschützt zu bleiben.
Verwandte Themen:
