Storage & Protokolle
SMB
SMB (Server Message Block) ist das Netzwerkprotokoll für Datei- und Druckerfreigaben in der Windows-Welt; Samba bringt es quelloffen auf Linux.
- Datei-Storage
- Windows / Active Directory
- SMB 3.1.1 · Multichannel
- AES-Verschlüsselung
- Samba (Linux)
SMB (Server Message Block) ist das Netzwerkprotokoll für Datei- und Druckerfreigaben in der Windows-Welt. Auf Linux bringt Samba dasselbe Protokoll quelloffen mit und kann sogar als Active-Directory-Domaincontroller dienen.
Dieser Artikel ordnet ein, welche SMB-Versionen aktuell und sicher sind, worauf es bei Verschlüsselung, Authentifizierung und Betrieb ankommt und wie sich SMB gegenüber NFS einordnet.
Kurz gesagt
Stärken
- Standard für Datei- und Druckerfreigaben in Windows/AD; Freigabe wie ein lokales Laufwerk
- SMB 3.1.1: AES-128/256-GCM-Verschlüsselung, Signing, Pre-Authentication Integrity, Multichannel
- Kerberos-Authentifizierung in AD-Umgebungen statt Passwortübertragung
- Quelloffen über Samba, das auch als AD-Domaincontroller dienen kann
- Native SMB3-Clients auch unter macOS und Linux
Schwächen
- SMB1/CIFS gilt als unsicher (EternalBlue/WannaCry) und muss abgeschaltet werden
- In reiner Linux-/Unix-/VMware-Welt ist NFS oft der natürliche Weg
- Datei-, kein Block-Protokoll: rohe Block-Devices liefert ein SAN
1. Was SMB ist
SMB stellt Datei- und Druckerfreigaben über das Netz bereit. Ein Client verbindet sich mit einer Freigabe (etwa \\server\projekte) und arbeitet darauf wie auf einem lokalen Laufwerk. Das Dateisystem liegt auf dem Server.
SMB ist eng mit Windows und Active Directory verzahnt, läuft aber auch auf Linux und macOS. Auf Linux übernimmt Samba die SMB-Rolle (Details im Samba-Abschnitt weiter unten).
2. Versionen: von SMB1 bis SMB 3.1.1
Die SMB-Version entscheidet maßgeblich über Sicherheit und Leistung.
| Version | Eigenschaften | Status |
|---|---|---|
| SMB1 / CIFS | alt, keine moderne Verschlüsselung | unsicher (EternalBlue), abschalten |
| SMB2 / 2.1 | weniger Roundtrips, Leases | veraltet, durch SMB3 abgelöst |
| SMB 3.0 | AES-Verschlüsselung, Multichannel, SMB Direct (RDMA) | Basis von SMB3 |
| SMB 3.1.1 | Pre-Authentication Integrity, AES-128/256-GCM | aktueller Stand der Technik |
SMB1/CIFS gilt als unsicher (CVE-2017-0144 / EternalBlue, ausgenutzt durch WannaCry) und gehört abgeschaltet. Seit Windows Server 2019 und Windows 11 ist es in Neuinstallationen nicht mehr enthalten.
3. Sicherheit in SMB3
In Active-Directory-Umgebungen authentifiziert SMB über Kerberos: Tickets statt Passwortübertragung, mit gegenseitiger Authentifizierung. Das ältere NTLM gilt als überholt und sollte abgelöst werden.
SMB3 bringt Verschlüsselung in der Übertragung (AES-128/256-GCM), Signing gegen Manipulation und, ab SMB 3.1.1, Pre-Authentication Integrity gegen Downgrade-Angriffe. Die Verschlüsselung lässt sich pro Freigabe oder serverweit aktivieren und braucht kein IPsec.
4. Samba: SMB quelloffen auf Linux
Samba implementiert SMB auf Linux/Unix und bindet so Linux-Systeme in Windows-Dateifreigabe-Infrastrukturen ein. Seit Version 4.0 kann Samba auch als vollwertiger Active-Directory-Domaincontroller fungieren, inklusive Kerberos, LDAP und DNS.
Damit lässt sich eine AD-Umgebung quelloffen und ohne Windows-Server-Lizenzen betreiben, ein interessanter Baustein für souveräne Infrastrukturen. Mehr dazu unter Open-Source-Software: Kollaboration & Files.
5. Multichannel, SMB Direct und Samba-Härtung
Ab SMB 3 erkennt SMB Multichannel mehrere oder RSS-/RDMA-fähige Netzwerkkarten automatisch und bündelt sie zu einer Session, mit mehr Durchsatz und Pfad-Resilienz. SMB Direct nutzt darauf aufbauend RDMA (iWARP, RoCE, InfiniBand) für sehr niedrige Latenz und CPU-Last; ab Windows Server 2022 ist SMB Direct mit Verschlüsselung kombinierbar, was sich zuvor ausschloss. Die Signierung entwickelt sich über die Versionen von HMAC-SHA256 (SMB 2) über AES-128-CMAC (SMB 3.0) bis zu AES-128-CMAC bei SMB 3.1.1, das ab Windows Server 2022 und Windows 11 zusätzlich das beschleunigte AES-128-GMAC aushandelt.
- SMB1 entfernen, nicht nur deaktivieren per PowerShell über Set-SmbServerConfiguration bzw. Disable-WindowsOptionalFeature; ab Windows Server 2019/Windows 11 ist SMB1 ohnehin nicht mehr vorinstalliert.
- Mindestdialekt erzwingen in Samba über server min protocol = SMB2_10 (oder höher); unter Windows seit Server 2025 per Dialekt-Min/Max steuerbar.
- Samba-Rollen sauber trennen Standalone, AD-Domaincontroller oder Domain Member (security = ADS, winbind); NT-ACLs über vfs objects = acl_xattr im erweiterten Attribut speichern.
Signing und Encryption getrennt denken
Signing schützt vor Manipulation (Integrität), Encryption vor Mitlesen (Vertraulichkeit). Pre-Authentication Integrity (Pflicht ab SMB 3.1.1, SHA-512) verhindert ein Downgrade auf SMB 2, aber nicht auf SMB 1; deshalb muss SMB1 separat abgeschaltet werden.
6. Herkunft und Einsatzschwerpunkt
SMB ist in Windows- und Active-Directory-Umgebungen der etablierte Weg für Datei- und Druckerfreigaben. Das funktional verwandte NFS kommt aus der Linux-/Unix-Welt; in Mischumgebungen lassen sich beide parallel bereitstellen.
Häufige Fragen zu SMB
CIFS ist ein alter Dialekt und wird in der Praxis oft synonym mit SMB1 verwendet. Aktuelle Versionen (SMB2/SMB3) heißen nicht mehr CIFS.
Für Datei- und Druckerfreigaben in Windows- und Active-Directory-Umgebungen, mit Kerberos-Authentifizierung und ab SMB 3 mit Verschlüsselung. In Linux-/Unix-Umgebungen ist NFS üblich; viele NAS bieten beide Protokolle.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
SMB im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.