Das Symptom
Auf dem Display des Multifunktionsgeräts steht seit Neuestem ein Verbindungsfehler,
wo jahrelang nichts stand. Der Scan an den Ordner auf dem Büro-PC bricht ab —
mal ohne Erklärung, mal mit einer Nummer, die niemand entziffern kann. Kopieren
geht. Drucken geht. Scannen auf einen USB-Stick geht auch. Nur der Weg ins
Netzwerk ist tot, und am Gerät hat seit Monaten niemand etwas verstellt.
Das stimmt sogar: Am Gerät hat wirklich niemand etwas verstellt.
Die „Layer 8“-Wahrheit
Der Scanner ist nicht kaputt gegangen. Ihm wurde die Straße unter den Rädern
weggenommen, und zwar in drei Etappen, die alle aus derselben Richtung kamen.
Etappe eins ist SMB1. Das Protokoll, mit dem billige Scan-an-Ordner-Funktionen
seit den Neunzigern arbeiten, wird seit Windows 10 Version 1709 nicht mehr
mitinstalliert; unter Windows 11 ist es nach einer sauberen Installation weder
als Client noch als Server vorhanden. Ein Gerät, dessen Firmware nur SMB1
spricht, redet damit ins Leere. Es merkt das nicht und meldet stattdessen etwas
Vages über die Verbindung.
Etappe zwei ist der Gastzugang. Sehr viele dieser Geräte haben nie ein Kennwort
mitgeschickt, weil sie es gar nicht können, und lebten von der Nachsicht der
Gegenseite. Windows hat den eingehenden Gastzugriff seit Windows 2000 abgestellt
und die Gast-Anmeldung über SMB2 und SMB3 seit Windows 10 unterbunden. Microsoft
formuliert die Konsequenz für genau diese Gerätesorte selbst: Man solle solche
Geräte aktualisieren oder ersetzen. Und der oft empfohlene Gegengriff — Gast
wieder erlauben — hebt sich selbst auf, weil Gast-Anmeldungen weder Signierung
noch Verschlüsselung unterstützen.
Etappe drei ist neu und trifft gerade viele auf einmal: Seit Windows 11 Version
24H2 verlangen die Ausgaben Enterprise, Pro und Education SMB-Signierung in
beide Richtungen. Ein Gerät, das nicht signieren kann, bekommt keine höfliche
Absage, sondern eine kryptografische — die Dokumentation nennt sie beim Namen.
Dass ausgerechnet die Home-Ausgabe diese Pflicht nicht hat, erzeugt das
merkwürdigste Symptom dieser ganzen Geschichte: Derselbe Scanner scannt auf den
privaten Rechner und nicht auf den dienstlichen.
Alle drei Etappen haben denselben Grund, und der ist nicht Schikane. SMB1 ist
angreifbar, Gastzugang ist keine Anmeldung, und ohne Signierung kann jemand die
Verbindung übernehmen. Der unangenehme Teil daran: Der Scanner ist damit nicht
defekt, sondern überholt — und das ist eine Diagnose, gegen die kein Neustart
hilft. Der Ausweg führt über die Firmware und ein echtes Benutzerkonto, nicht
über das Zurückdrehen der Schutzmaßnahmen. Wer Letzteres tut, hat den Scan
wieder und dafür ein Netz, das jeden anderen Rechner mitschwächt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Die Fehlermeldung ernst nehmen, statt sie wegzuklicken
Die drei Ursachen sehen am Gerätedisplay gleich aus, in Windows aber nicht. Microsoft nennt die Wortlaute getrennt: Bei fehlender Signierung steht dort sinngemäß, die kryptografische Signatur sei ungültig; beim gesperrten Gastzugang meldet Windows, die Sicherheitsrichtlinien der Organisation blockierten den nicht authentifizierten Gastzugriff; bei SMB1 heißt es, die Freigabe verlange das veraltete SMB1-Protokoll. Wer diese drei Meldungen auseinanderhält, spart sich die Hälfte der Arbeit.
2.Feststellen, ob SMB1 überhaupt noch vorhanden ist
Bevor irgendetwas verstellt wird, gehört der Ist-Zustand auf den Tisch. Microsoft nennt für die Abfrage zwei Wege: den Funktionsstatus über DISM und, ausdrücklich ohne erhöhte Rechte, die Serverkonfiguration. Kommt bei EnableSMB1Protocol ein False heraus, ist die Frage beantwortet: Das Gerät redet in einer Sprache, die dieser Rechner nicht mehr kennt.
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
Get-SmbServerConfiguration | Format-List EnableSMB1Protocol
3.SMB1 nicht wieder einschalten, sondern das Gerät hochziehen
Die Anleitung, die einem überall entgegenspringt, lautet: SMB1 nachinstallieren. Sie funktioniert und ist trotzdem falsch herum gedacht. Microsoft führt SMBv1 als abgekündigt und hat es genau deshalb ausgebaut. Der richtige erste Griff geht an die Firmware des Multifunktionsgeräts: Fast jedes Gerät, das ab etwa 2015 gebaut wurde, kann SMB2 oder SMB3 nach einem Firmware-Update. Welche Version Ihr konkretes Modell beherrscht und wo der Schalter dafür sitzt, steht nur im Handbuch des Herstellers — hier endet die belegbare Auskunft.
4.Ein echtes Benutzerkonto für den Scanner anlegen
Gast ist kein Zugang, sondern seine Abwesenheit — und Windows lässt ihn von innen nicht mehr zu. Legen Sie stattdessen auf dem Rechner, der den Ordner freigibt, ein eigenes lokales Konto an, ausschließlich für den Scanner, mit einem festen Kennwort und Schreibrecht nur auf diesen einen Ordner. Genau dieses Konto tragen Sie danach in der Weboberfläche des Geräts unter Benutzername und Kennwort ein. Das ist keine Notlösung, sondern das, was der Hersteller der Freigabe empfiehlt.
5.Prüfen, ob die Signaturpflicht dazwischensteht
Bleibt es beim Fehler, obwohl Konto und Kennwort stimmen, ist die Signierung an der Reihe. Microsoft nennt die Abfrage für beide Seiten getrennt: Für den Scan an einen Ordner zählt die Serverseite, denn dort ist der Windows-Rechner der Server und das Gerät der Client. Steht dort True, während das Gerät nicht signieren kann, ist die Verbindung von vornherein aussichtslos.
Get-SmbClientConfiguration | FL RequireSecuritySignature
Get-SmbServerConfiguration | FL RequireSecuritySignature
6.Die Signaturpflicht nur bewusst und nur befristet aufgeben
Es gibt den Schalter, und Microsoft dokumentiert ihn — aber mit einer ausdrücklichen Warnung davor, ihn als Umweg für fremde Geräte zu benutzen. Wer ihn setzt, gibt den Schutz vor Weiterleitungs- und Täuschungsangriffen für alle Verbindungen dieses Rechners auf, nicht nur für den Scanner. Vertretbar ist das höchstens als Übergang bis zum Firmware-Update oder Gerätetausch, in einem Netz, dem man vertraut. Danach gehört er zurückgestellt.
Set-SmbServerConfiguration -RequireSecuritySignature $false
Set-SmbServerConfiguration -RequireSecuritySignature $true
7.Wenn nichts davon geht: den Weg wechseln, nicht die Sicherheit senken
Ein Gerät, das weder SMB2 noch ein Benutzerkonto noch Signierung kann, ist am Ende seiner Netzwerktauglichkeit — nicht seiner Lebensdauer. Es scannt weiterhin einwandfrei auf einen USB-Stick oder per Scan an E-Mail. Beides umgeht die Freigabe vollständig und kostet nichts an Sicherheit. Das ist die ehrlichere Antwort als ein dauerhaft entschärftes Windows.