Zum Inhalt springen
Setup FoundrySetup FoundryDoku
aktuell · 0.9.8.11
aktuell · 0.9.8.110.9.8.110.9.8.100.9.8.90.9.8.80.9.8.6
ENAnmelden

Netzwerk und Freigaben ​

seit 0.9.8.11

Zweck ​

Diese Seite nennt jede Einstellung des Pakets „Netzwerk und Freigaben“: was sie bewirkt, welchen Wert Setup Foundry setzt und wer sie empfiehlt. Sie wird aus dem Katalog erzeugt und nicht von Hand geändert.

45 Einstellungen, davon 23 mit spürbarer Nebenwirkung.

Hinweise ​

Ausgehende Verbindungen im privaten Netzwerk standardmäßig zulassen ​

Lässt im privaten Netzwerkprofil ausgehende Verbindungen standardmäßig zu.

Ausgehende Verbindungen im öffentlichen Netzwerk standardmäßig zulassen ​

Lässt im öffentlichen Netzwerkprofil ausgehende Verbindungen standardmäßig zu.

Eingehende Verbindungen im privaten Netzwerk standardmäßig blockieren ​

Blockiert im privaten Netzwerkprofil eingehende Verbindungen, für die keine Firewall-Regel existiert.

Eingehende Verbindungen im öffentlichen Netzwerk standardmäßig blockieren ​

Blockiert im öffentlichen Netzwerkprofil eingehende Verbindungen, für die keine Firewall-Regel existiert.

Entfernte Mailslot-Kommunikation abschalten ​

Deaktiviert entfernte Mailslot-Kommunikation des SMB-Clients über den Mehrfach-UNC-Provider (MUP).

Firewall für das private Netzwerkprofil einschalten ​

Schaltet die Windows-Firewall für das private Netzwerkprofil ein.

Firewall für das öffentliche Netzwerkprofil einschalten ​

Schaltet die Windows-Firewall für das öffentliche Netzwerkprofil ein.

Gefälschte NetBIOS-Namensfreigabe-Anfragen ignorieren ​

Ignoriert Anfragen, den eigenen NetBIOS-Namen freizugeben, außer sie kommen vom WINS-Server.

Geschütztes Anmeldeinformationen-Token bei Remotedesktop-Zielen erlauben ​

Erlaubt Remote-Zielrechnern, Anmeldedaten nur als geschütztes, nicht exportierbares Token entgegenzunehmen.

Hohe Verschlüsselungsstufe für Remotedesktop-Verbindungen erzwingen ​

Erzwingt beim Remotedesktop die höchste native RDP-Verschlüsselungsstufe (128 Bit) in beide Richtungen.

Nebenwirkung: Nur sehr alte Remotedesktop-Clients könnten sich dann nicht mehr verbinden; alle aktuellen Windows-Versionen sind unbetroffen.

ICMP-Umleitungen ignorieren ​

Verhindert, dass ICMP-Umleitungsnachrichten aus dem Netz die Routing-Tabelle dieses Rechners verändern.

IP-Quellenrouting vollständig blockieren ​

Blockiert IPv4-Pakete mit vorgegebener Route vollständig, um Spoofing-Angriffe per Quellenrouting zu verhindern.

Nebenwirkung: Praktisch keine, da Quellenrouting im normalen Internet-/Heimnetzbetrieb nicht genutzt wird; nur sehr spezielle Netzwerk-Diagnosetools könnten betroffen sein.

IPv6-Pakete mit Quellenrouting vollständig blockieren ​

Blockiert IPv6-Pakete mit vorgegebener Route vollständig, um Spoofing-Angriffe per Quellenrouting zu verhindern.

LLMNR-Namensauflösung im Netzwerk abschalten ​

Schaltet die lokale Mehrfachversand-Namensauflösung LLMNR im Netzwerk ab.

Nebenwirkung: Geräte ohne DNS-Eintrag im selben Netzsegment lassen sich nicht mehr per Namen erreichen; bei normaler Internetnutzung merkt der Nutzer nichts.

Lokale IPsec-Regeln im öffentlichen Netzwerk ignorieren ​

Verhindert im öffentlichen Profil, dass lokal auf dem Gerät gesetzte IPsec-Regeln zusätzlich zu den zentral vorgegebenen gelten.

Maximale SMB-Version des Clients auf SMB 3.1.1 festlegen ​

Begrenzt den SMB-Client auf höchstens die Protokollversion SMB 3.1.1 (Dialekt-Kennzahl 785).

Netzwerkfreigaben nicht automatisch als vertrauenswuerdiges Intranet einstufen ​

Verhindert, dass Netzwerkfreigaben (UNC-Pfade) automatisch als vertrauenswürdiges Intranet gelten.

Nur abgesicherte Gegenstellen bei Remotedesktop und PowerShell-Remoting akzeptieren ​

Verlangt für CredSSP-Verbindungen (z. B. Remotedesktop), dass nur gegen die 2018 bekannt gewordene Verschlüsselungs-Lücke abgesicherte Gegenstellen akzeptiert werden.

Nebenwirkung: Verbindungen zu sehr alten, ungepatchten Rechnern werden verweigert, bis dort ebenfalls das Update installiert ist - in der Praxis 2026 kaum noch relevant.

Nur authentifizierte RPC-Verbindungen zulassen ​

Lässt nur authentifizierte RPC-Clients mit dem Rechner sprechen, mit Ausnahmen für explizit dafür freigegebene Schnittstellen.

Nebenwirkung: In der Regel keine, sofern alle genutzten RPC-Dienste mit Authentifizierung arbeiten; bei falscher Anwendung kann laut Microsoft die Gruppenrichtlinienverarbeitung oder andere RPC-Dienste gestört werden.

SMB-Bremse gegen Anmelde-Angriffe (Brute-Force) aktivieren ​

Aktiviert die Bremse gegen SMB-Brute-Force-Anmeldeversuche auf dem Server.

SMB-Server-Maximalversion auf 3.1.1 festlegen ​

Begrenzt den SMB-Server auf höchstens das SMB-Protokoll 3.1.1.

SMB-Verschlüsselung nicht pauschal für jede Verbindung erzwingen ​

Erzwingt nicht pauschal Verschlüsselung für jede SMB-Verbindung - Verschlüsselung bleibt server-/freigabeabhängig.

SMB: veraltete Remote-Mailslots abschalten ​

Schaltet entfernte Mailslots (alter Computer-Browser-Dienst) auf dem SMB-Server ab.

Unsichere SMB-Gastanmeldungen als Client verbieten ​

Verbietet dem SMB-Client, sich mit unsicheren (unauthentifizierten) Gastanmeldungen bei Netzwerkfreigaben zu verbinden.

Nebenwirkung: Zugriff auf ältere, günstige NAS-Geräte, die ausschließlich Gastzugriff anbieten, schlägt fehl und muss durch echte Zugangsdaten ersetzt werden.

Verschlüsselte RPC-Kommunikation für Remotedesktop erzwingen ​

Verlangt vom Remotedesktop-Dienst, RPC-Verwaltungsverkehr nur noch verschlüsselt zu akzeptieren.

Verschlüsselte RPC-Verbindungen für den Druckdienst erzwingen ​

Erzwingt verschlüsselte RPC-Kommunikation für Druckervorgänge und schließt damit eine PrintNightmare-nahe Sicherheitslücke.

Wartezeit zwischen fehlgeschlagenen SMB-Anmeldungen auf 2 Sekunden setzen ​

Legt die Verzögerung zwischen fehlgeschlagenen SMB-Anmeldeversuchen auf 2000 Millisekunden fest.

Nebenwirkung: Bei einem Tippfehler beim Passwort entsteht eine kurze, kaum störende Pause bis zum nächsten Versuch.

Anonyme Aufzaehlung von Freigaben einschraenken ​

Der Registry-Wert entspricht der Windows-Sicherheitsoption, die die anonyme Aufzählung von Konten im Security Accounts Manager (SAM) und von Netzwerkfreigaben steuert. Der Datentyp ist DWORD. Der Wert 1 aktiviert die Einschränkung: Nicht authentifizierte Netzwerkverbindungen können die betreffenden Kontonamen und Freigabenamen nicht auflisten.

Nebenwirkung: Kann sehr alte Netzwerk-Software stören, die auf anonymen Zugriff auf Freigabelisten angewiesen ist; im Heim-/Werkstattnetz unüblich. Kann das Durchsuchen von Freigaben aus alten Programmen/Geräten stören, die auf anonyme Freigabenlisten angewiesen sind; für normale Datei-Freigaben mit Anmeldung keine Auswirkung.

Anonyme Benutzer nicht wie die Gruppe „Jeder“ behandeln ​

Der DWORD-Wert 0 bewirkt, dass Windows die SID der Gruppe „Jeder“ (S-1-1-0) nicht in das Zugriffstoken anonymer Verbindungen aufnimmt. Berechtigungen, die einer Ressource für „Jeder“ erteilt wurden, gelten dadurch nicht automatisch für anonyme Benutzer.

Nebenwirkung: Ist Windows-11-Standard bereits so eingestellt; kaum praktische Auswirkung.

Anonymen Zugriff auf Named Pipes und Freigaben einschraenken ​

Der DWORD-Wert 1 veranlasst den Windows-Serverdienst, den Zugriff nicht authentifizierter Clients über Nullsitzungen einzuschränken. Anonym zugänglich bleiben nur Named Pipes und Netzwerkfreigaben, die in NullSessionPipes beziehungsweise NullSessionShares aufgeführt sind.

Nebenwirkung: Sehr alte Netzwerkgeräte/-software, die auf anonyme SMB-Aufzählung angewiesen sind, funktionieren dann nicht mehr. Ist Windows-11-Standard bereits aktiviert; betrifft praktisch nur veraltete Netzwerkfreigaben ohne Anmeldung.

Basisauthentifizierung fuer den WinRM-Client verbieten ​

Verbietet dem WinRM-Client, sich per unsicherer Basic-Authentifizierung anzumelden.

Entfernte Aufrufe an den Security Account Manager (SAM) auf Administratoren begrenzen ​

Der Zeichenfolgenwert (REG_SZ) enthält einen Sicherheitsdeskriptor in Security Descriptor Definition Language (SDDL). Windows verwendet dessen Zugriffssteuerungsliste für eine zusätzliche Prüfung eingehender Remoteaufrufe über das SAMRPC-Protokoll. Die Prüfung bestimmt, welche Sicherheitsprinzipale remote auf die lokale Datenbank des Security Accounts Manager (SAM) beziehungsweise auf einem Domänencontroller auf Active Directory zugreifen dürfen.

Nebenwirkung: Reine Verwaltungswerkzeuge von Drittherstellern, die remote auf die SAM zugreifen wollen, brauchen dann ausdrücklich Administratorrechte.

Fernzugriff auf den Windows-Suchindex sperren ​

Dieser Wert steuert, ob andere Computer den Windows-Suchindex dieses Computers remote abfragen können.

Nebenwirkung: Kein Nachteil für ein normales Einzelgerät ohne Freigabe des Suchindex.

Remotedesktopdienste sollen bei jeder Verbindung nach dem Kennwort fragen ​

Erzwingt bei jeder Remotedesktop-Verbindung eine erneute Passworteingabe, auch wenn das Passwort schon im Client hinterlegt ist.

Nebenwirkung: Wer diesen Rechner regelmäßig per Remotedesktop erreicht, muss bei jeder Sitzung das Passwort erneut eintippen statt automatisch verbunden zu werden.

SMBv1 auf dem SMB-Client abschalten ​

Deaktiviert den Treiber, über den dieser Rechner selbst als SMB1-Client auf fremde Freigaben zugreifen könnte.

Nebenwirkung: Verbindungen zu Servern, die ausschließlich altes SMB1 anbieten, funktionieren nicht mehr; moderne SMBv2/SMBv3-Freigaben sind nicht betroffen.

Print-Spooler: eingehende Fernverbindungen einschränken ​

Dieser Registry-Wert gehört zur computergestützten Windows-Richtlinie, die steuert, ob der Druckspooler eingehende Clientverbindungen akzeptiert.

Nebenwirkung: Falls der Rechner selbst als Druckserver für andere PCs dienen soll, funktioniert das dann nicht mehr.

Automatisches Verbinden mit offenen WLAN-Hotspots unterbinden ​

Deaktiviert automatisches WLAN-Verbinden über Wi-Fi Sense (offene Hotspots, geteilte Netzwerke, Zahl-WLANs).

Nebenwirkung: Der Rechner verbindet sich nicht mehr von selbst mit solchen vorgeschlagenen Netzwerken – jede Verbindung muss manuell hergestellt werden.

Kennwoerter im Remotedesktop-Client nicht speichern lassen ​

Verbietet es, in der Remotedesktopverbindung ein Passwort zum automatischen Anmelden zu speichern.

Nebenwirkung: Wer Remotedesktop-Verbindungen als Client nutzt, muss das Passwort bei jeder Verbindung neu eingeben statt es abspeichern zu können.

Laufwerksumleitung in Remotedesktop-Sitzungen sperren ​

Verhindert, dass lokale Laufwerke des Clients in einer Remotedesktop-Sitzung als Netzlaufwerke erscheinen.

Nebenwirkung: Wer diesen Rechner als Remotedesktop-Ziel nutzt (z. B. Fernwartung durch die Werkstatt), kann keine Dateien mehr per Explorer-Laufwerk zwischen den Rechnern kopieren; andere Übertragungswege bleiben möglich.

SMB1-Dateifreigabe auf dem Rechner abschalten (Server-Seite) ​

Schaltet das veraltete, unsichere SMB1-Dateifreigabeprotokoll auf dem Server dieses Rechners ab.

Nebenwirkung: Sehr alte Geräte oder Software (uralte NAS, Windows XP), die ausschließlich SMB1 sprechen, erreichen die Freigaben dann nicht mehr; in aktuellen Windows-Installationen ist SMB1 ohnehin meist schon deaktiviert.

Unsichere TLS-Neuaushandlung abschalten (Client) ​

Der DWORD-Wert AllowInsecureRenegoClients steuert, ob Schannel in seiner lokalen Serverrolle TLS-Clients akzeptiert, die keine sichere Neuaushandlung gemäß RFC 5746 unterstützen.

Nebenwirkung: Kann die Verbindung zu sehr alten Servern/Geräten mit veralteter TLS-Implementierung stören.

Unsichere TLS-Neuaushandlung abschalten (Server) ​

Der DWORD-Wert 0 versetzt Schannel für ausgehende TLS-Verbindungen in den strikten Clientmodus. Der lokale Computer kann TLS-Sitzungen nur mit Servern aufbauen oder neu aushandeln, die eine sichere Neuaushandlung unterstützen.

Nebenwirkung: Kann die Verbindung zu sehr alten Servern/Geräten mit veralteter TLS-Implementierung stören.

Windows-Remoteunterstuetzung (angeforderte Remote Assistance) deaktivieren ​

Schaltet die 'angeforderte' Remoteunterstützung (Ask for Help per E-Mail/Datei) auf diesem Rechner komplett ab.

Nebenwirkung: Die klassische Windows-Funktion 'Remoteunterstützung anfordern' steht nicht mehr zur Verfügung; die meisten Privatnutzer kennen oder brauchen sie ohnehin nicht, Quick Assist ist davon unabhängig.

Firewall fuer das Domaenen-Netzwerkprofil einschalten ​

Schaltet die Windows-Firewall für das Domänenprofil ein.

Eingehende Verbindungen im Domaenennetzwerk standardmaessig blockieren ​

Blockiert im Domänenprofil standardmäßig jede eingehende Verbindung, die keine Firewallregel erlaubt.

Nebenwirkung: Dienste, die eingehende Verbindungen brauchen, müssen über eine eigene Regel freigegeben werden; entspricht dem Windows-Standard.

Siehe auch ​