Blockiert Windows 11 den Zugriff auf eine SMB-Freigabe, sollte die Signaturpflicht nicht als erste Maßnahme abgeschaltet werden. Prüfe zuerst, ob Port 445 erreichbar ist, ob die Freigabe eine Anmeldung verlangt und ob das NAS beziehungsweise der Samba-Server SMB-Signierung unterstützt. Eine dauerhafte Lösung besteht meist darin, Signierung auf der Gegenseite zu aktivieren, die Server-Software zu aktualisieren und statt eines anonymen Gastzugangs ein Benutzerkonto zu verwenden.
Fehlermeldungen wie Der Netzwerkpfad wurde nicht gefunden, Auf diesen freigegebenen Ordner kann nicht zugegriffen werden oder der Code 0x80070035 beweisen für sich allein noch keinen Signaturfehler. Dieselben Anzeigen können durch Namensauflösung, Firewallregeln, gespeicherte Zugangsdaten oder einen nicht erreichbaren SMB-Dienst entstehen. Die folgende Prüfreihenfolge trennt diese Fälle, bevor du Sicherheitsvorgaben änderst.
Zuerst feststellen, an welcher Stelle die Verbindung scheitert
Die SMB-Signierung kommt erst beim Aufbau einer SMB-Sitzung zum Tragen. Ist der Server schon über das Netzwerk nicht erreichbar, liegt die Ursache davor. Öffne PowerShell und teste den Servernamen sowie TCP-Port 445. Ersetze SERVER durch den tatsächlichen Namen oder die IP-Adresse des NAS beziehungsweise Dateiservers.
Test-NetConnection -ComputerName SERVER -Port 445Bei TcpTestSucceeded : True ist der SMB-Port erreichbar. Du kannst dann die Signierung, Anmeldung und Freigabeberechtigung untersuchen. Bei False helfen Änderungen an der Signaturpflicht nicht. Prüfe in diesem Zweig, ob das Gerät eingeschaltet ist, ob Server und PC im passenden Netz liegen, ob ein VPN den Weg verändert und ob die Firewall auf der Gegenseite SMB-Verbindungen zulässt.
Teste anschließend den UNC-Pfad direkt im Datei-Explorer. Das korrekte Schema lautet:
\\SERVER\FreigabeFunktioniert der Zugriff über die IP-Adresse, aber nicht über den Servernamen, spricht das eher für ein Problem mit DNS, NetBIOS-Namensauflösung oder einem veralteten gespeicherten Namen. Scheitern Name und IP-Adresse trotz erreichbarem Port 445, rücken Anmeldung, SMB-Konfiguration und Signierung in den Vordergrund.
Signaturstatus des Windows-11-Clients auslesen
Windows stellt den Zustand des SMB-Clients über PowerShell bereit. Der folgende Befehl liest nur Einstellungen aus und verändert das System nicht:
Get-SmbClientConfiguration | Select-Object EnableSecuritySignature, RequireSecuritySignature, EnableInsecureGuestLogonsDie drei Werte haben unterschiedliche Bedeutungen:
EnableSecuritySignaturezeigt, ob der Client SMB-Signierung verwenden kann.RequireSecuritySignaturezeigt, ob der Client eine signierte Sitzung verlangt. Steht der Wert aufTrue, wird eine Gegenstelle abgelehnt, die keine passende Signierung aushandeln kann.EnableInsecureGuestLogonsbetrifft ungesicherte Gastanmeldungen. Dieser Wert ist nicht mit der SMB-Signierung gleichzusetzen, kann aber bei älteren NAS-Geräten ein ähnliches Zugriffsproblem sichtbar machen.
Auf verwalteten Firmen-PCs können Gruppenrichtlinien oder Sicherheitsvorgaben diese Werte setzen. Eine lokale Änderung kann dort wirkungslos bleiben oder bei der nächsten Richtlinienaktualisierung zurückgenommen werden. Prüfe in diesem Fall nicht nur die lokale Anzeige, sondern kläre mit der Administration, welche Vorgabe für den Rechner gilt.
Die Beobachtung entscheidet über den nächsten Schritt
Ordne das Ergebnis ein, bevor du Einstellungen änderst. Die folgenden Zweige vermeiden, dass ein Anmeldeproblem irrtümlich als Signaturproblem behandelt wird.
- Port 445 ist nicht erreichbar: Behebe Netzwerkweg, Firewall oder SMB-Dienst. Die Signaturprüfung ist noch nicht erreicht worden.
- Port 445 ist erreichbar, die Anmeldung wird abgelehnt: Prüfe Benutzername, Kennwort, gespeicherte Anmeldedaten und Berechtigungen auf der Freigabe.
- Die Freigabe arbeitet nur anonym oder als Gast: Richte auf dem NAS möglichst ein eigenes Benutzerkonto mit Kennwort ein. Signaturpflicht und unsichere Gastanmeldung sind getrennte Sicherheitsmechanismen, können bei alten Geräten aber gemeinsam zum Abbruch führen.
- Der Windows-Client verlangt Signierung und das Problem trat nach einer Sicherheits- oder Richtlinienänderung auf: Prüfe am NAS oder Samba-Server, ob SMB-Signierung unterstützt und aktiviert ist.
- Andere Windows-11-PCs erreichen dieselbe Freigabe: Vergleiche Clientkonfiguration, Anmeldeinformationen und Richtlinien der Rechner. Das spricht eher gegen einen allgemeinen Ausfall des Servers.
- Kein aktueller Rechner kann die Freigabe erreichen: Untersuche zuerst die SMB-Konfiguration und den Kontostatus der Gegenstelle.
Die sichere Reparatur erfolgt bevorzugt am NAS oder Samba-Server
Wenn Windows 11 signierte SMB-Sitzungen verlangt, sollte die Gegenstelle diese Anforderung erfüllen. Suche in der Verwaltungsoberfläche des NAS nach Bereichen wie Dateidienste, SMB, Windows-Dateidienst, Signierung oder digitale Signatur. Die Bezeichnungen hängen vom Hersteller und von der Firmware ab. Aktiviere eine Option, die SMB-Signierung unterstützt oder verlangt, ohne dafür SMB 1.0 einzuschalten.
Bei einem selbst verwalteten Samba-Server sind Samba-Version und Serverkonfiguration maßgeblich. Die passende Einstellung muss zur installierten Version und zur vorhandenen Konfigurationsstruktur passen. Sichere die Konfiguration, ändere nur die Signaturvorgabe und prüfe die Samba-Konfiguration mit den Werkzeugen deiner Distribution, bevor du den Dienst neu lädst. Eine unbesehene Beispielkonfiguration ist hier ungeeignet, weil Paketversion, Include-Dateien und die Rolle des Servers voneinander abweichen können.
Ein älteres NAS kann die nötige Funktion möglicherweise erst nach einem Firmware-Update zuverlässig anbieten. Prüfe in der Herstelleroberfläche die installierte Version und die Dokumentation zu SMB, digitaler Signierung oder Windows-Kompatibilität. Fehlt Signierungsunterstützung vollständig, ist ein Update, ein unterstützter Dateidienst oder der Austausch des Geräts sicherer als eine dauerhafte Absenkung der Windows-Vorgaben.
SMB-Signierung und SMB-Verschlüsselung erfüllen dabei verschiedene Aufgaben. Die Signatur schützt die Integrität und Authentizität der übertragenen SMB-Nachrichten. Sie verschlüsselt den Dateiinhalt nicht. Eine Anzeige wie Signed : True sagt somit nicht automatisch aus, dass die Verbindung verschlüsselt ist.
Gastzugriff von einem echten Signaturkonflikt unterscheiden
Viele ältere Speichergeräte wurden so eingerichtet, dass sie Freigaben ohne Benutzernamen und Kennwort bereitstellen. Windows kann solche unsicheren Gastanmeldungen blockieren. Das wirkt aus Sicht des Nutzers wie ein Signaturfehler, ist technisch jedoch ein eigener Abbruchgrund.
Lege auf dem NAS einen Benutzer an, erteile diesem Benutzer ausschließlich die benötigten Rechte für die betroffene Freigabe und verbinde den UNC-Pfad anschließend mit diesen Anmeldedaten. Verwende für den Benutzernamen bei Bedarf das Format, das die Gegenstelle erwartet, beispielsweise SERVER\Benutzer oder nur Benutzer.
Gespeicherte, nicht mehr passende Kennwörter findest du in der Windows-Suche über Anmeldeinformationsverwaltung. Öffne dort Windows-Anmeldeinformationen und suche nach einem Eintrag für den Servernamen oder seine IP-Adresse. Entferne nur den eindeutig zugehörigen Eintrag. Beim nächsten Verbindungsversuch fragt Windows die Zugangsdaten erneut ab.
Aktiviere unsichere Gastanmeldungen nicht als pauschale Lösung. Gastzugriff erschwert die eindeutige Zuordnung von Zugriffen und kann mit weiteren Sicherheitsvorgaben kollidieren. Wenn ein Gerät ausschließlich Gastfreigaben beherrscht, sollte es höchstens in einem passend abgeschotteten Netz und nur als begrenzte Übergangslösung betrieben werden.
Windows-11-Signaturpflicht nur kontrolliert lockern
Kann die Gegenstelle nicht kurzfristig aktualisiert werden, lässt sich die Signaturanforderung des SMB-Clients technisch ändern. Diese Maßnahme senkt jedoch den Schutz der SMB-Verbindung und sollte nur nach dokumentierter Abwägung erfolgen. Auf Firmenrechnern gehört die Entscheidung zur zuständigen Administration.
Öffne PowerShell als Administrator und dokumentiere zunächst den Ausgangswert:
Get-SmbClientConfiguration | Select-Object RequireSecuritySignatureDer folgende Befehl schaltet die Pflicht zur SMB-Signierung auf dem Client ab. Die Fähigkeit zur Signierung wird dadurch nicht zwangsläufig entfernt; Windows verlangt sie lediglich nicht mehr für jede passende Verbindung.
Set-SmbClientConfiguration -RequireSecuritySignature $falsePowerShell kann eine Bestätigung anfordern. Trenne bestehende Verbindungen zur betreffenden Freigabe und stelle sie danach neu her. Ein Neustart ist als saubere Gegenprobe sinnvoll, wenn alte SMB-Sitzungen oder gespeicherte Verbindungen das Ergebnis verfälschen.
Schlägt der Zugriff trotz deaktivierter Pflicht weiterhin fehl, war die Signierung wahrscheinlich nicht die einzige Ursache. Lass die Schutzvorgabe nicht grundlos abgeschaltet, sondern stelle den Ausgangszustand wieder her:
Set-SmbClientConfiguration -RequireSecuritySignature $trueKontrolliere den Wert anschließend erneut:
Get-SmbClientConfiguration | Select-Object RequireSecuritySignatureEine per PowerShell gesetzte Konfiguration kann von einer Domänenrichtlinie überschrieben werden. Ändert sich der Wert später wieder oder meldet der Befehl eine Einschränkung, ist die zuständige Richtlinie zu prüfen. Umgehungsversuche auf einem verwalteten Gerät können Sicherheits- und Compliance-Vorgaben verletzen.
Freigaben eines Windows-PCs als Server untersuchen
Stellt ein anderer Windows-Rechner die Dateien bereit, prüfst du dort zusätzlich die SMB-Serverkonfiguration. Führe den folgenden reinen Lesebefehl auf dem freigebenden PC aus:
Get-SmbServerConfiguration | Select-Object EnableSecuritySignature, RequireSecuritySignatureVerlangt der Server Signierung, muss der zugreifende Client diese aushandeln können. Ist der Windows-PC lediglich der Client eines NAS, verändert eine Änderung an Set-SmbServerConfiguration dagegen nicht die ausgehende Verbindung. SMB-Client und SMB-Server sind getrennte Rollen; die Änderung muss an der tatsächlich beteiligten Seite ansetzen.
Bei Windows-Freigaben sind außerdem zwei Berechtigungsebenen zu beachten: die Freigabeberechtigung und die Dateisystemberechtigung des Ordners. Eine erfolgreiche SMB-Aushandlung kann daher trotzdem mit Zugriff verweigert enden. Dieser Wortlaut deutet eher auf Konto- oder Berechtigungsfragen als auf fehlende SMB-Signierung hin.
Die aktive Verbindung nach der Reparatur kontrollieren
Nach erfolgreicher Verbindung zeigt PowerShell die bestehenden SMB-Sitzungen an. Öffne zunächst die Freigabe und führe dann diesen Lesebefehl aus:
Get-SmbConnection | Select-Object ServerName, ShareName, Dialect, Signed, EncryptedSuche die Zeile des betroffenen Servers. Signed : True bestätigt, dass die bestehende Sitzung signiert ist. Dialect zeigt die ausgehandelte SMB-Protokollvariante. Encrypted beschreibt separat, ob SMB-Verschlüsselung für diese Verbindung aktiv ist.
Fehlt die erwartete Verbindung in der Ausgabe, wurde die Freigabe möglicherweise noch nicht geöffnet oder der Zugriff scheiterte bereits vor dem Sitzungsaufbau. Werden mehrere Verbindungen angezeigt, beurteile nur die Zeile mit dem passenden Server- und Freigabenamen.
Ereignisprotokolle liefern den entscheidenden Fehlerhinweis
Bleibt die Ursache unklar, öffne die Ereignisanzeige und navigiere unter Anwendungs- und Dienstprotokolle zu den Microsoft-Windows-Protokollen für SMBClient. Besonders die Bereiche für Verbindung und Sicherheit können Hinweise zur fehlgeschlagenen Aushandlung enthalten. Die verfügbaren Unterprotokolle und Meldungstexte können von Windows-Version und Systemkonfiguration abhängen.
Notiere den Zeitpunkt des fehlgeschlagenen Zugriffs, versuche die Verbindung einmal erneut und untersuche nur Meldungen aus diesem engen Zeitfenster. Achte auf den genannten Servernamen, den Authentifizierungsstatus sowie Hinweise auf Signierung oder Gastanmeldung. Einzelne ältere Einträge ohne zeitlichen Bezug zum Test sind keine belastbare Diagnose.
Wann die Fehlersuche am Windows-PC enden sollte
Eine Änderung der Windows-Sicherheitsvorgaben ist nicht sinnvoll, wenn das NAS veraltete Firmware nutzt, ausschließlich anonyme Freigaben beherrscht oder die erforderliche Signierung technisch nicht anbietet. In diesem Fall liegt die dauerhafte Aufgabe beim Dateiserver. Auch wiederholte Anmeldefehler, gesperrte Konten oder fehlende Freigaberechte müssen dort korrigiert werden.
Die belastbare Reihenfolge lautet: Erreichbarkeit von Port 445 prüfen, UNC-Pfad über Namen und bei Bedarf IP-Adresse testen, Clientstatus auslesen, Anmeldung von Signierung unterscheiden, die Gegenstelle aktualisieren oder korrekt konfigurieren und erst danach eine zeitlich begrenzte Lockerung erwägen. Ist die Freigabe wieder verbunden, bestätigt Get-SmbConnection, ob die Sitzung tatsächlich signiert aufgebaut wurde. So bleibt die Reparatur überprüfbar, ohne die SMB-Sicherheit vorschnell dauerhaft herabzusetzen.
