Kurz gesagt: Seit Windows 11 Version 24H2 verlangen die Editionen Pro, Enterprise und Education standardmäßig SMB-Signierung für ausgehende und eingehende Verbindungen. Ein NAS oder ein älteres Gerät, das keine Signierung beherrscht, lässt sich dann nicht mehr als Netzlaufwerk verbinden, meist mit dem Fehler 0xc000a000 „Die kryptografische Signatur ist ungültig“. Die saubere Lösung ist, Signierung auf dem Gerät zu aktivieren. Das Abschalten in Windows ist nur ein Notbehelf, von dem Microsoft abrät.
Stand: 03.11.2026
Was ist SMB-Signierung und warum ist sie plötzlich Pflicht?
SMB ist das Protokoll, über das Windows auf Freigaben und Netzlaufwerke zugreift. Bei der SMB-Signierung erhält jede Nachricht eine Signatur mit einem Hash des gesamten Inhalts, berechnet aus dem Sitzungsschlüssel. Wird die Nachricht unterwegs verändert, passt der Hash nicht mehr. Die Signatur enthält auch die Identitäten von Absender und Empfänger. So schützt sie vor Relay- und Spoofing-Angriffen, bei denen sich ein Angreifer in die Verbindung zwischen Client und Server hängt.
Microsoft hat die Standardeinstellung geändert:
- Windows 11 24H2 Pro, Enterprise und Education: Signierung ist ausgehend und eingehend erforderlich.
- Windows Server 2025: Signierung ist nur ausgehend erforderlich.
- Windows 11 24H2 Home: keine Signierung erforderlich.
Der Effekt: Ein Rechner, der nach dem Upgrade auf 24H2 gestern noch auf das NAS zugreifen konnte, kann es heute nicht mehr, obwohl sich am NAS nichts geändert hat.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Welche Fehlermeldungen treten auf?
Beim Verbinden mit einem Drittanbieter-Server ohne Signierung zeigt Windows:
- 0xc000a000 beziehungsweise -1073700864
- STATUS_INVALID_SIGNATURE
- „The cryptographic signature is invalid“ (Die kryptografische Signatur ist ungültig)
Mit der Signierungspflicht ist außerdem der Gastzugriff auf Freigaben deaktiviert. Greift ein Gerät ohne Benutzerkonto auf eine Freigabe zu, erscheint stattdessen die Meldung, dass die Sicherheitsrichtlinien der Organisation den nicht authentifizierten Gastzugriff blockieren, oder der Fehler 0x80070035 „Der Netzwerkpfad wurde nicht gefunden“ beziehungsweise „Systemfehler 3227320323“.
Wie prüfst du, ob die Signierung die Ursache ist?
Öffne PowerShell als Administrator und prüfe die Einstellung auf dem Client:
- Get-SmbClientConfiguration | FL RequireSecuritySignature ausführen. Steht dort True, verlangt der Client Signierung.
- Auf einem Windows-Server zusätzlich Get-SmbServerConfiguration | FL RequireSecuritySignature ausführen.
- Prüfen, ob das Zielgerät SMB-Signierung unterstützt und ob sie dort eingeschaltet ist. Bei NAS-Systemen findet sich die Einstellung in der Regel in den SMB- oder Dateidienst-Optionen der Weboberfläche.
Tritt der Fehler nur auf Rechnern mit 24H2 auf und das Zielgerät ist ein NAS, ein Drucker mit Scan-to-SMB oder ein altes Gerät, ist die Signierung fast sicher die Ursache.
Wie löst du das Problem richtig?
Microsoft empfiehlt, die Einstellungen des Drittanbieter-Servers so anzupassen, dass er SMB-Signierung unterstützt. In der Praxis heißt das:
- Firmware des NAS oder Geräts aktualisieren. Aktuelle Firmware der gängigen Hersteller unterstützt Signierung.
- In den SMB-Einstellungen des Geräts die Signierung aktivieren und, falls vorhanden, SMB 1 abschalten.
- Gastzugriff auf dem Gerät deaktivieren und stattdessen Benutzerkonten mit Passwort anlegen. Das Netzlaufwerk dann mit diesen Anmeldedaten verbinden.
- Die Verbindung mit dem Servernamen statt mit der IP-Adresse herstellen. Microsoft rät außerdem zu Kerberos statt NTLMv2 und davon ab, CNAME-Einträge im DNS zu verwenden. Alternative Namen vergibst du stattdessen mit netdom.exe.
Kann ein Gerät keine Signierung, etwa ein alter Multifunktionsdrucker, der Scans per SMB ablegt, prüfe, ob der Hersteller ein Update anbietet oder ob der Scan alternativ per E-Mail oder auf einen Zwischenserver laufen kann, der Signierung beherrscht.
Wie schaltest du die Signierungspflicht notfalls ab?
Microsoft rät ausdrücklich davon ab, die SMB-Signierung als Workaround für Drittanbieter-Server zu deaktivieren, und ebenso davon, mit Gastkonten zu signieren. Wenn es übergangsweise keinen anderen Weg gibt, geht es so über die lokale Gruppenrichtlinie:
- gpedit.msc öffnen.
- Zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen (Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options) wechseln.
- Die Richtlinie Microsoft-Netzwerkclient: Kommunikation digital signieren (immer) (Microsoft network client: Digitally sign communications (always)) öffnen, Deaktiviert wählen und mit OK bestätigen.
In einer Domäne setzt du dieselbe Richtlinie über die Gruppenrichtlinienverwaltung (gpmc.msc), am besten nur für die betroffenen Rechner. Dokumentiere die Ausnahme und plane den Rückbau, sobald das Gerät ersetzt oder aktualisiert ist. Damit die Einstellung zurück auf Pflicht geht, wählst du in derselben Richtlinie Aktiviert.
So unterstützen wir dich
Wir prüfen vor dem Rollout von Windows 11 24H2, welche NAS, Drucker und Altgeräte im Netzwerk keine SMB-Signierung beherrschen, aktualisieren sie oder richten einen sauberen Ersatzweg ein. So bleibt der Schutz vor Relay-Angriffen erhalten, und die Netzlaufwerke funktionieren weiter. Vor Ort in Osnabrück und Umgebung, entfernter per Fernwartung. Mehr auf unserer Seite zum IT-Support in Osnabrück.
Häufige Fragen
Betrifft das auch Windows 11 Home?
Nein. Windows 11 24H2 Home verlangt keine SMB-Signierung. Betroffen sind Pro, Enterprise und Education.
Warum funktioniert das Netzlaufwerk auf alten Rechnern noch?
Weil dort die Signierung nicht erzwungen wird. Erst mit dem Upgrade auf 24H2 wird sie zur Pflicht. Der Fehler zeigt also kein Problem im Netzwerk, sondern eine neue Sicherheitsvorgabe.
Macht SMB-Signierung das Netzlaufwerk langsamer?
Das Signieren kostet Rechenleistung auf beiden Seiten. Auf aktueller Hardware fällt das im Büroalltag kaum auf. Der Schutz vor Manipulation der Verbindung wiegt das auf.
Reicht es, den Gastzugriff zu erlauben?
Nein. Gastzugriff ohne Signierung ist genau das, was Microsoft nicht empfiehlt. Besser ist ein Benutzerkonto auf dem NAS und Signierung auf dem Gerät.
Quellen
- Control SMB signing behavior (Microsoft Learn, abgerufen am 03.11.2026)
