Zum Inhalt springen
Setup FoundrySetup Foundry
ENAnmelden

Dokumentation · Richtlinien-Anhang

Netzwerk und Freigaben

Jede Einstellung des Pakets „Netzwerk und Freigaben“ mit Wirkung, Wert und Empfehlungsquellen.

seit 0.9.8.11

Zweck

Diese Seite nennt jede Einstellung des Pakets „Netzwerk und Freigaben“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.

45 Einstellungen, davon 23 mit spürbarer Nebenwirkung.

Hinweise

Ausgehende Verbindungen im privaten Netzwerk standardmäßig zulassen

Lässt im privaten Netzwerkprofil ausgehende Verbindungen standardmäßig zu.

Ausgehende Verbindungen im öffentlichen Netzwerk standardmäßig zulassen

Lässt im öffentlichen Netzwerkprofil ausgehende Verbindungen standardmäßig zu.

Eingehende Verbindungen im privaten Netzwerk standardmäßig blockieren

Blockiert im privaten Netzwerkprofil eingehende Verbindungen, für die keine Firewall-Regel existiert.

Eingehende Verbindungen im öffentlichen Netzwerk standardmäßig blockieren

Blockiert im öffentlichen Netzwerkprofil eingehende Verbindungen, für die keine Firewall-Regel existiert.

Entfernte Mailslot-Kommunikation abschalten

Deaktiviert entfernte Mailslot-Kommunikation des SMB-Clients über den Mehrfach-UNC-Provider (MUP).

Firewall für das private Netzwerkprofil einschalten

Schaltet die Windows-Firewall für das private Netzwerkprofil ein.

Firewall für das öffentliche Netzwerkprofil einschalten

Schaltet die Windows-Firewall für das öffentliche Netzwerkprofil ein.

Gefälschte NetBIOS-Namensfreigabe-Anfragen ignorieren

Ignoriert Anfragen, den eigenen NetBIOS-Namen freizugeben, außer sie kommen vom WINS-Server.

Geschütztes Anmeldeinformationen-Token bei Remotedesktop-Zielen erlauben

Erlaubt Remote-Zielrechnern, Anmeldedaten nur als geschütztes, nicht exportierbares Token entgegenzunehmen.

Hohe Verschlüsselungsstufe für Remotedesktop-Verbindungen erzwingen

Erzwingt beim Remotedesktop die höchste native RDP-Verschlüsselungsstufe (128 Bit) in beide Richtungen.

Nebenwirkung: Nur sehr alte Remotedesktop-Clients könnten sich dann nicht mehr verbinden; alle aktuellen Windows-Versionen sind unbetroffen.

ICMP-Umleitungen ignorieren

Verhindert, dass ICMP-Umleitungsnachrichten aus dem Netz die Routing-Tabelle dieses Rechners verändern.

IP-Quellenrouting vollständig blockieren

Blockiert IPv4-Pakete mit vorgegebener Route vollständig, um Spoofing-Angriffe per Quellenrouting zu verhindern.

Nebenwirkung: Praktisch keine, da Quellenrouting im normalen Internet-/Heimnetzbetrieb nicht genutzt wird; nur sehr spezielle Netzwerk-Diagnosetools könnten betroffen sein.

IPv6-Pakete mit Quellenrouting vollständig blockieren

Blockiert IPv6-Pakete mit vorgegebener Route vollständig, um Spoofing-Angriffe per Quellenrouting zu verhindern.

LLMNR-Namensauflösung im Netzwerk abschalten

Schaltet die lokale Mehrfachversand-Namensauflösung LLMNR im Netzwerk ab.

Nebenwirkung: Geräte ohne DNS-Eintrag im selben Netzsegment lassen sich nicht mehr per Namen erreichen; bei normaler Internetnutzung merkt der Nutzer nichts.

Lokale IPsec-Regeln im öffentlichen Netzwerk ignorieren

Verhindert im öffentlichen Profil, dass lokal auf dem Gerät gesetzte IPsec-Regeln zusätzlich zu den zentral vorgegebenen gelten.

Maximale SMB-Version des Clients auf SMB 3.1.1 festlegen

Begrenzt den SMB-Client auf höchstens die Protokollversion SMB 3.1.1 (Dialekt-Kennzahl 785).

Netzwerkfreigaben nicht automatisch als vertrauenswuerdiges Intranet einstufen

Verhindert, dass Netzwerkfreigaben (UNC-Pfade) automatisch als vertrauenswürdiges Intranet gelten.

Nur abgesicherte Gegenstellen bei Remotedesktop und PowerShell-Remoting akzeptieren

Verlangt für CredSSP-Verbindungen (z. B. Remotedesktop), dass nur gegen die 2018 bekannt gewordene Verschlüsselungs-Lücke abgesicherte Gegenstellen akzeptiert werden.

Nebenwirkung: Verbindungen zu sehr alten, ungepatchten Rechnern werden verweigert, bis dort ebenfalls das Update installiert ist - in der Praxis 2026 kaum noch relevant.

Nur authentifizierte RPC-Verbindungen zulassen

Lässt nur authentifizierte RPC-Clients mit dem Rechner sprechen, mit Ausnahmen für explizit dafür freigegebene Schnittstellen.

Nebenwirkung: In der Regel keine, sofern alle genutzten RPC-Dienste mit Authentifizierung arbeiten; bei falscher Anwendung kann laut Microsoft die Gruppenrichtlinienverarbeitung oder andere RPC-Dienste gestört werden.

SMB-Bremse gegen Anmelde-Angriffe (Brute-Force) aktivieren

Aktiviert die Bremse gegen SMB-Brute-Force-Anmeldeversuche auf dem Server.

SMB-Server-Maximalversion auf 3.1.1 festlegen

Begrenzt den SMB-Server auf höchstens das SMB-Protokoll 3.1.1.

SMB-Verschlüsselung nicht pauschal für jede Verbindung erzwingen

Erzwingt nicht pauschal Verschlüsselung für jede SMB-Verbindung - Verschlüsselung bleibt server-/freigabeabhängig.

SMB: veraltete Remote-Mailslots abschalten

Schaltet entfernte Mailslots (alter Computer-Browser-Dienst) auf dem SMB-Server ab.

Unsichere SMB-Gastanmeldungen als Client verbieten

Verbietet dem SMB-Client, sich mit unsicheren (unauthentifizierten) Gastanmeldungen bei Netzwerkfreigaben zu verbinden.

Nebenwirkung: Zugriff auf ältere, günstige NAS-Geräte, die ausschließlich Gastzugriff anbieten, schlägt fehl und muss durch echte Zugangsdaten ersetzt werden.

Verschlüsselte RPC-Kommunikation für Remotedesktop erzwingen

Verlangt vom Remotedesktop-Dienst, RPC-Verwaltungsverkehr nur noch verschlüsselt zu akzeptieren.

Verschlüsselte RPC-Verbindungen für den Druckdienst erzwingen

Erzwingt verschlüsselte RPC-Kommunikation für Druckervorgänge und schließt damit eine PrintNightmare-nahe Sicherheitslücke.

Wartezeit zwischen fehlgeschlagenen SMB-Anmeldungen auf 2 Sekunden setzen

Legt die Verzögerung zwischen fehlgeschlagenen SMB-Anmeldeversuchen auf 2000 Millisekunden fest.

Nebenwirkung: Bei einem Tippfehler beim Passwort entsteht eine kurze, kaum störende Pause bis zum nächsten Versuch.

Anonyme Aufzaehlung von Freigaben einschraenken

Der Registry-Wert entspricht der Windows-Sicherheitsoption, die die anonyme Aufzählung von Konten im Security Accounts Manager (SAM) und von Netzwerkfreigaben steuert. Der Datentyp ist DWORD. Der Wert 1 aktiviert die Einschränkung: Nicht authentifizierte Netzwerkverbindungen können die betreffenden Kontonamen und Freigabenamen nicht auflisten.

Nebenwirkung: Kann sehr alte Netzwerk-Software stören, die auf anonymen Zugriff auf Freigabelisten angewiesen ist; im Heim-/Werkstattnetz unüblich. Kann das Durchsuchen von Freigaben aus alten Programmen/Geräten stören, die auf anonyme Freigabenlisten angewiesen sind; für normale Datei-Freigaben mit Anmeldung keine Auswirkung.

Anonyme Benutzer nicht wie die Gruppe „Jeder“ behandeln

Der DWORD-Wert 0 bewirkt, dass Windows die SID der Gruppe „Jeder“ (S-1-1-0) nicht in das Zugriffstoken anonymer Verbindungen aufnimmt. Berechtigungen, die einer Ressource für „Jeder“ erteilt wurden, gelten dadurch nicht automatisch für anonyme Benutzer.

Nebenwirkung: Ist Windows-11-Standard bereits so eingestellt; kaum praktische Auswirkung.

Anonymen Zugriff auf Named Pipes und Freigaben einschraenken

Der DWORD-Wert 1 veranlasst den Windows-Serverdienst, den Zugriff nicht authentifizierter Clients über Nullsitzungen einzuschränken. Anonym zugänglich bleiben nur Named Pipes und Netzwerkfreigaben, die in NullSessionPipes beziehungsweise NullSessionShares aufgeführt sind.

Nebenwirkung: Sehr alte Netzwerkgeräte/-software, die auf anonyme SMB-Aufzählung angewiesen sind, funktionieren dann nicht mehr. Ist Windows-11-Standard bereits aktiviert; betrifft praktisch nur veraltete Netzwerkfreigaben ohne Anmeldung.

Basisauthentifizierung fuer den WinRM-Client verbieten

Verbietet dem WinRM-Client, sich per unsicherer Basic-Authentifizierung anzumelden.

Entfernte Aufrufe an den Security Account Manager (SAM) auf Administratoren begrenzen

Der Zeichenfolgenwert (REG_SZ) enthält einen Sicherheitsdeskriptor in Security Descriptor Definition Language (SDDL). Windows verwendet dessen Zugriffssteuerungsliste für eine zusätzliche Prüfung eingehender Remoteaufrufe über das SAMRPC-Protokoll. Die Prüfung bestimmt, welche Sicherheitsprinzipale remote auf die lokale Datenbank des Security Accounts Manager (SAM) beziehungsweise auf einem Domänencontroller auf Active Directory zugreifen dürfen.

Nebenwirkung: Reine Verwaltungswerkzeuge von Drittherstellern, die remote auf die SAM zugreifen wollen, brauchen dann ausdrücklich Administratorrechte.

Fernzugriff auf den Windows-Suchindex sperren

Dieser Wert steuert, ob andere Computer den Windows-Suchindex dieses Computers remote abfragen können.

Nebenwirkung: Kein Nachteil für ein normales Einzelgerät ohne Freigabe des Suchindex.

Remotedesktopdienste sollen bei jeder Verbindung nach dem Kennwort fragen

Erzwingt bei jeder Remotedesktop-Verbindung eine erneute Passworteingabe, auch wenn das Passwort schon im Client hinterlegt ist.

Nebenwirkung: Wer diesen Rechner regelmäßig per Remotedesktop erreicht, muss bei jeder Sitzung das Passwort erneut eintippen statt automatisch verbunden zu werden.

SMBv1 auf dem SMB-Client abschalten

Deaktiviert den Treiber, über den dieser Rechner selbst als SMB1-Client auf fremde Freigaben zugreifen könnte.

Nebenwirkung: Verbindungen zu Servern, die ausschließlich altes SMB1 anbieten, funktionieren nicht mehr; moderne SMBv2/SMBv3-Freigaben sind nicht betroffen.

Print-Spooler: eingehende Fernverbindungen einschränken

Dieser Registry-Wert gehört zur computergestützten Windows-Richtlinie, die steuert, ob der Druckspooler eingehende Clientverbindungen akzeptiert.

Nebenwirkung: Falls der Rechner selbst als Druckserver für andere PCs dienen soll, funktioniert das dann nicht mehr.

Automatisches Verbinden mit offenen WLAN-Hotspots unterbinden

Deaktiviert automatisches WLAN-Verbinden über Wi-Fi Sense (offene Hotspots, geteilte Netzwerke, Zahl-WLANs).

Nebenwirkung: Der Rechner verbindet sich nicht mehr von selbst mit solchen vorgeschlagenen Netzwerken – jede Verbindung muss manuell hergestellt werden.

Kennwoerter im Remotedesktop-Client nicht speichern lassen

Verbietet es, in der Remotedesktopverbindung ein Passwort zum automatischen Anmelden zu speichern.

Nebenwirkung: Wer Remotedesktop-Verbindungen als Client nutzt, muss das Passwort bei jeder Verbindung neu eingeben statt es abspeichern zu können.

Laufwerksumleitung in Remotedesktop-Sitzungen sperren

Verhindert, dass lokale Laufwerke des Clients in einer Remotedesktop-Sitzung als Netzlaufwerke erscheinen.

Nebenwirkung: Wer diesen Rechner als Remotedesktop-Ziel nutzt (z. B. Fernwartung durch die Werkstatt), kann keine Dateien mehr per Explorer-Laufwerk zwischen den Rechnern kopieren; andere Übertragungswege bleiben möglich.

SMB1-Dateifreigabe auf dem Rechner abschalten (Server-Seite)

Schaltet das veraltete, unsichere SMB1-Dateifreigabeprotokoll auf dem Server dieses Rechners ab.

Nebenwirkung: Sehr alte Geräte oder Software (uralte NAS, Windows XP), die ausschließlich SMB1 sprechen, erreichen die Freigaben dann nicht mehr; in aktuellen Windows-Installationen ist SMB1 ohnehin meist schon deaktiviert.

Unsichere TLS-Neuaushandlung abschalten (Client)

Der DWORD-Wert AllowInsecureRenegoClients steuert, ob Schannel in seiner lokalen Serverrolle TLS-Clients akzeptiert, die keine sichere Neuaushandlung gemäß RFC 5746 unterstützen.

Nebenwirkung: Kann die Verbindung zu sehr alten Servern/Geräten mit veralteter TLS-Implementierung stören.

Unsichere TLS-Neuaushandlung abschalten (Server)

Der DWORD-Wert 0 versetzt Schannel für ausgehende TLS-Verbindungen in den strikten Clientmodus. Der lokale Computer kann TLS-Sitzungen nur mit Servern aufbauen oder neu aushandeln, die eine sichere Neuaushandlung unterstützen.

Nebenwirkung: Kann die Verbindung zu sehr alten Servern/Geräten mit veralteter TLS-Implementierung stören.

Windows-Remoteunterstuetzung (angeforderte Remote Assistance) deaktivieren

Schaltet die 'angeforderte' Remoteunterstützung (Ask for Help per E-Mail/Datei) auf diesem Rechner komplett ab.

Nebenwirkung: Die klassische Windows-Funktion 'Remoteunterstützung anfordern' steht nicht mehr zur Verfügung; die meisten Privatnutzer kennen oder brauchen sie ohnehin nicht, Quick Assist ist davon unabhängig.

Firewall fuer das Domaenen-Netzwerkprofil einschalten

Schaltet die Windows-Firewall für das Domänenprofil ein.

Eingehende Verbindungen im Domaenennetzwerk standardmaessig blockieren

Blockiert im Domänenprofil standardmäßig jede eingehende Verbindung, die keine Firewallregel erlaubt.

Nebenwirkung: Dienste, die eingehende Verbindungen brauchen, müssen über eine eigene Regel freigegeben werden; entspricht dem Windows-Standard.

Siehe auch