Belangrijkste punten
- Ken de vereisten: alleen beschikbaar op Windows 11 versie 24H2+ en Windows Server 2025 of later; vereist SMB 3.0 of hoger op zowel de client als de server.
- Gebruik PowerShell: voer “Set-SmbClientConfiguration -RequireEncryption $true” uit in een PowerShell-sessie met verhoogde rechten. Vervang “$true” door “$false” om de vereiste uit te schakelen.
- Gebruik Groepsbeleid: ga naar “Computerconfiguratie” > “Beheersjablonen” > “Netwerk” > “Lanman Workstation” en zet het beleid “Versleuteling vereisen” op “Ingeschakeld” of “Uitgeschakeld”.
- Gebruik het register: stel de DWORD-waarde “RequireEncryption” in op “1” (inschakelen) of “0” (uitschakelen) onder “HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters.”
- Let op compatibiliteitsproblemen: test de wijziging in een gefaseerde uitrol voordat u die organisatiebreed afdwingt en houd een terugrolplan klaar via PowerShell of de Register-editor.
SMB, kort voor Server Message Block, is een kernprotocol waarmee Windows-systemen bestanden, printers en seriële poorten delen via een netwerk. Het is in feite een client-serverprotocol: u (de client) vraagt toegang tot bestanden of andere bronnen op een server en de server reageert door die toegang te verlenen.
Zoals u zich kunt voorstellen kan dit een beveiligingslek vormen, zeker in beheerde IT-omgevingen. De instelling SMB client encryption requirement in Windows 11 (versie 24H2 of later) dwingt versleuteling af voor alle uitgaande SMB-clientverbindingen. Met deze functie zorgen IT-beheerders ervoor dat gevoelige gegevens beschermd zijn tegen meekijken en onderschepping, vooral op niet-vertrouwde of openbare netwerken.
Liever een visuele uitleg? Bekijk dan onze video: Zo schakelt u de SMB client encryption requirement in of uit in Windows 11.
📌 Aanbevolen implementatiestrategieën:
|
Klik om een methode te kiezen |
💻 Beste voor individuele gebruikers |
💻💻💻 Beste voor grote organisaties |
| Methode 1: via PowerShell | ✓ | ✓ |
| Methode 2: via Groepsbeleid | ✓ | |
| Methode 3: via de Register-editor | ✓ | ✓ |
| Methode 4: voorbeeld van een .reg-bestand | ✓ | ✓ |
Zo configureert u de SMB client encryption requirement in Windows 11
Methode 1: via PowerShell (aanbevolen)
📌 Toepassingen: ideaal voor geautomatiseerde uitrol via scripts, handmatige configuraties of beheer op afstand
📌 Vereisten:
- U hebt beheerdersrechten nodig.
- Hiervoor is SMB v3.0 of hoger nodig op zowel de client als de server.
- Het uitvoeringsbeleid van PowerShell moet het uitvoeren van opdrachten en scripts toestaan.
- Opnieuw opstarten is meestal niet nodig, maar na een wijziging is het wel een goede gewoonte.
- We raden u aan zich in te schrijven voor deze gratis spoedcursus: PowerShell for IT Ninjas.
Stappen:
- Open PowerShell met verhoogde rechten.
- Voer een van de volgende opdrachten uit.
Vereiste SMB-clientversleuteling inschakelen:
Set-SmbClientConfiguration -RequireEncryption $true
Vereiste SMB-clientversleuteling uitschakelen:
Set-SmbClientConfiguration -RequireEncryption $false
Uw huidige configuratie controleren:
Get-SmbClientConfiguration
Kijk in de uitvoer naar het veld RequireEncryption om te bevestigen of versleuteling momenteel vereist is. U kunt ook een van de volgende opdrachten rechtstreeks uitvoeren:
Get-SmbClientConfiguration | Format-List -Property RequireEncryption
Methode 2: via Groepsbeleid (uitrol in grote organisaties)
📌 Toepassingen: het meest geschikt voor grootschalige uitrol over meerdere systemen die lid zijn van een domein.
📌 Vereisten:
- U hebt een machine nodig die lid is van een domein.
- Beheerderstoegang tot de Editor voor lokaal groepsbeleid is vereist.
- De systemen moeten handhaving van groepsbeleid ondersteunen.
- Ook hier is SMB v3.0 of hoger vereist.
Stappen:
- Druk op Win + R, typ gpedit.msc en druk op Enter.
- Ga naar Computerconfiguratie > Beheersjablonen > Netwerk > Lanman Workstation.
- Zoek Alle SMB-clientverbindingen versleutelen of Versleuteling vereisen (afhankelijk van uw Windows 11-build) en dubbelklik erop.
- Zet de instelling op Ingeschakeld om versleuteling voor alle clientverbindingen af te dwingen.
- Zet de instelling op Uitgeschakeld of Niet geconfigureerd om onversleutelde verbindingen toe te staan.
- Klik op OK en pas de wijzigingen toe.
- Open een opdrachtprompt met verhoogde rechten en voer gpupdate /force uit zodat het beleid meteen van kracht wordt. U kunt ook uw computer opnieuw opstarten.
Methode 3: via de Register-editor
📌 Toepassingen: geschikt voor handmatige aanpassingen, offline omgevingen of omgevingen zonder toegang tot Groepsbeleid.
📌 Vereisten:
- U hebt beheerdersrechten nodig.
- Ervaring met het bewerken van het register is een pre.
- SMB versie 3.0 of hoger is nodig.
- We raden u aan een back-up van uw register te maken voordat u verdergaat. Onjuiste configuraties kunnen tot instabiliteit van het systeem leiden.
Stappen:
- Druk op Win + R, typ regedit en druk op Enter.
- Ga naar de volgende sleutel: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
- Maak of wijzig de DWORD-waarde (32-bits) RequireEncryption:
- Zet de waarde op 1 om versleuteling te vereisen.
- Zet de waarde op 0 om de vereiste uit te schakelen (standaard).
- Start uw computer opnieuw op om de wijzigingen toe te passen.
Methode 4: voorbeeld van een .reg-bestand
📌 Toepassingen: ideaal voor eenvoudige uitrol waarbij scripting niet nodig is maar automatisering wel handig is.
📌 Vereisten:
- Voor deze methode zijn beheerdersrechten nodig.
- De gebruiker moet .reg-bestanden mogen samenvoegen.
- Handmatig opnieuw opstarten of uit- en weer inloggen is nodig om de wijzigingen door te voeren.
- We raden u aan een back-up van uw register te maken voordat u verdergaat. Onjuiste configuraties kunnen tot instabiliteit van het systeem leiden.
Stappen:
Versleuteling inschakelen:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]
"RequireEncryption"=dword:00000001
Versleuteling uitschakelen:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters]
"RequireEncryption"=dword:00000000
Waar u nog meer op moet letten bij het aanpassen van de SMB-versleutelingsvereiste
- Compatibiliteit: als u de instelling RequireEncryption inschakelt wordt elke SMB-server zonder ondersteuning voor versleuteling geweigerd. Dat kan gevolgen hebben voor oudere systemen.
- Prestaties: versleuteling zorgt voor enige overhead, vooral in omgevingen met veel dataverkeer. Test de impact in prestatiekritische scenario’s voordat u grootschalig uitrolt.
- SMB-ondertekening: SMB-ondertekening controleert de integriteit van gegevens, terwijl versleuteling ook beschermt tegen afluisteren. Als u versleuteling inschakelt, is ondertekening in feite niet meer nodig. Het is wel belangrijk om te weten dat Windows 11 (versie 24H2) Enterprise, Pro en Education standaard zowel uitgaande als inkomende SMB-ondertekening vereisen.
- SMB v1: dit verouderde protocol ondersteunt geen versleuteling en wordt niet meer ondersteund. Om veiligheidsredenen zou het in alle moderne omgevingen uitgeschakeld moeten zijn. (Zie Zo schakelt u het SMB1-bestandsdelingsprotocol in of uit in Windows voor meer informatie.)
⚠️ Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Terugdraaien |
| Versleuteling inschakelen op clients terwijl de server die niet ondersteunt | Mislukte verbindingen; geen toegang tot SMB-shares | Schakel RequireEncryption uit via PowerShell, Groepsbeleid of het Windows-register. |
| Groepsbeleid gebruiken in omgevingen met verschillende OS-versies | Het beleid wordt mogelijk niet correct toegepast of kan zelfs verbindingen met niet-ondersteunde clients verbreken. | Zet de GPO-instelling terug op Niet geconfigureerd of Uitgeschakeld en voer gpupdate /force uit in een opdrachtprompt met verhoogde rechten. |
| Het register verkeerd aanpassen | Kan leiden tot instabiliteit van het systeem of bestandsdeling onmogelijk maken | Maak een back-up van het register voordat u verdergaat.
Gebeurt het toch, probeer dan de back-up terug te zetten of de DWORD weer op 0 te zetten. |
| Versleuteling afdwingen op verouderde netwerken | Kan de compatibiliteit met oudere NAS- of Windows-systemen verbreken | Overweeg een gefaseerde uitrol of uitzonderingen waar nodig. |
Verbeter de gegevensbeveiliging met SMB-clientversleuteling
SMB-clientversleuteling afdwingen is een effectieve manier om bestandsdeling via het netwerk in Windows 11-omgevingen te beveiligen. Of u nu één endpoint beheert of beleid uitrolt over de hele organisatie: versleuteling vereisen versterkt de gegevensbeveiliging en helpt bij het afdwingen van compliance.
Gerelateerde onderwerpen:
- Wat is SMB (Server Message Block)?
- Wat is bestandsversleuteling?
- Zo schakelt u SMBv1 (Server Message Block-protocol) uit met PowerShell
Quick-start guide
In Windows 11 kunt u SMB-clientversleuteling in- of uitschakelen via Groepsbeleid of via het register. Zo doet u dat:
1. Via Groepsbeleid:
– Open de Editor voor lokaal groepsbeleid
– Ga naar: Computerconfiguratie > Beheersjablonen > Netwerk > Lanman Workstation
– Zoek de beleidsregels “Onveilige gastaanmeldingen inschakelen” en “SMB-versleuteling inschakelen” en configureer ze
2. Via het register (wat ook via een NinjaOne-script kan):
REG ADD “HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters” /v “RequireSmb2Encryption” /t REG_DWORD /d 1 (inschakelen)
REG ADD “HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters” /v “RequireSmb2Encryption” /t REG_DWORD /d 0 (uitschakelen)
Voor de meest nauwkeurige configuratie raden we u aan uw specifieke beveiligingseisen te raadplegen en de instellingen in een gecontroleerde omgeving te testen.
