Aktivieren der Authentifizierungsratenbegrenzung
Der DWORD-Wert `1` aktiviert den Authentifizierungsratenbegrenzer des Windows-SMB-Servers.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows\LanmanServer\EnableAuthRateLimiter
Der DWORD-Wert 1 aktiviert den Authentifizierungsratenbegrenzer des Windows-SMB-Servers. Dieser fügt nach fehlgeschlagenen NTLM- und PKU2U-basierten Authentifizierungsversuchen eine Verzögerung ein und verringert dadurch die Zahl der Kennwörter, die innerhalb eines bestimmten Zeitraums über SMB ausprobiert werden können.
Die Dauer der Verzögerung wird nicht durch EnableAuthRateLimiter selbst festgelegt. Sie wird über die gesonderte Verzögerungseinstellung des SMB-Servers bestimmt; Microsoft dokumentiert hierfür einen Standardwert von 2000 Millisekunden.
Hinweise
Sicherheit
Die Verzögerung erschwert Brute-Force-Angriffe auf über SMB erreichbare Konten, weil automatisierte Kennwortversuche erheblich mehr Zeit benötigen. Sie verhindert solche Versuche jedoch nicht vollständig und sperrt weder Konten noch SMB-Verbindungen. Microsoft ordnet die Funktion deshalb als zusätzliche Schutzschicht ein.
Die Begrenzung betrifft fehlgeschlagene NTLM- und PKU2U-basierte Authentifizierungsversuche. Sie wirkt sich nicht auf die normale Kerberos-Authentifizierung aus, da diese bereits vor dem Aufbau der SMB-Protokollverbindung stattfindet. Andere Netzwerkdienste und deren Authentifizierungswege werden durch diesen Registry-Wert ebenfalls nicht geschützt.
Mögliche Nebenwirkungen
Auch legitime fehlgeschlagene NTLM- oder PKU2U-basierte Anmeldeversuche am SMB-Server unterliegen der konfigurierten Verzögerung. Wiederholte Versuche mit falschen oder veralteten Anmeldeinformationen können daher langsamer beantwortet werden.
Hinweise
Der Wert ist eine computerbezogene Richtlinieneinstellung vom Typ REG_DWORD; 1 bedeutet aktiviert und 0 deaktiviert.
Microsoft dokumentiert den SMB-Authentifizierungsratenbegrenzer für Windows Server 2025 sowie Windows 11, Version 24H2 und höher. Auf diesen Betriebssystemen ist die Funktion standardmäßig aktiviert. Der Schutz ist nur relevant, wenn der SMB-Server über das Netzwerk erreichbar ist.
Microsoft-Dokumentation
Microsoft Learn: LanmanServer-Richtlinien-CSP – EnableAuthRateLimiter
Microsoft Learn: SMB-Authentifizierungsratenbegrenzer für Windows konfigurieren