SMB-Port-Sicherheitsleitfaden: Port 139 und Port 445 erklärt

Organisationen erhöhen die Nutzung verschiedener Lösungen, um Kommunikationsbedürfnisse in ihrer Infrastruktur zu adressieren. Da Dateisysteme ein integraler Bestandteil der Zusammenarbeit sind, wird dieser Artikel in eines der am weitesten verbreiteten Protokolle eintauchen, das für viele Systeme notwendig ist. Wir werden mehr über das SMB-Protokoll, Port 139, Port 445, dessen Funktionsweise, die damit verbundenen Risiken und Schritte zur Behebung lernen, um einen sichereren Kommunikationskanal zu bieten.

Was ist SMB-Port?

Der SMB (Server Message Block)-Port ist ein Netzwerkport, der hauptsächlich für die gemeinsame Nutzung von Dateien und Ressourcen in einem Computernetzwerk verwendet wird. SMB arbeitet über den TCP-Port 445 und ermöglicht den gemeinsamen Zugriff auf Dateien, Drucker und serielle Schnittstellen zwischen Geräten in einem Netzwerk.

Darüber hinaus ermöglicht seine Kernfunktion der Ressourcenteilung, dass SMB für folgende Anwendungsfälle genutzt werden kann:

• Einbeziehung von Mailslots (Interprozesskommunikationsmechanismen)
• Benannte Pipes (eine Methode zur Kommunikation von Prozessen entweder auf demselben Rechner oder über ein Netzwerk).

Was sind Port 139 und Port 445?

Damit das SMB-Protokoll korrekt funktioniert, sind Netzwerkports erforderlich, um mit anderen Systemen zu kommunizieren. SMB benötigt entweder Port 139 oder Port 445 als offenen Port.

Port 139

Ursprünglich lief SMB auf Port 139 als Anwendungsschichtprotokoll, damit Windows-Computer auf demselben Netzwerk miteinander kommunizieren konnten. Es wurde über NetBIOS über TCP/IP ausgeführt und wird in modernen Umgebungen von Port 445 übernommen.

Port 445

Port 445 wird von neueren Versionen von SMB verwendet, da Windows 2000 ihn für die direkte TCP/IP-Kommunikation übernommen hat. Im Allgemeinen wird er gegenüber Port 139 bevorzugt, da er auch die Kommunikation über verschiedene Netzwerke für Dinge wie internetbasiertes Filesharing ermöglicht.

Wie funktioniert das SMB-Protokoll?

Client-Server-Kommunikation

SMB ist als ein Response-Request-Protokoll bekannt. Es nutzt den Ansatz einer Client-Server-Beziehung, bei der der Client eine spezifische Anfrage stellt und der Server wie angefordert antwortet. Einige Beispiele für die praktische Nutzung heute sind Situationen, in denen Dateiressourcen angefordert werden oder Drucker gemeinsam genutzt werden müssen. SMB wird auch für andere Zwecke verwendet, wie Mailslots und Named-Pipe-Situationen.

Historische Entwicklung

Historisch gesehen stammt SMB von IBM und wurde 1983 für den DOS-Dateizugriff über Netzwerke entwickelt. Erst 1990 fusionierte Microsoft das SMB-Protokoll mit seinem LAN Manager-Produkt. Von dort aus entwickelte sich das SMB-Protokoll kontinuierlich weiter, was sich in Ereignissen wie der Einführung von CIFS sowie bedeutenden Verbesserungen in Effizienz, Leistung und Sicherheit zeigte, wie durch die oben genannten Upgrades von SMB 2 und SMB 3 beschrieben.

SMB-Protokolldialekte

Mit einer zunehmenden Präsenz von SMB-Implementierungen in der Industrie haben sich die Netzwerkanforderungen entwickelt, um unterschiedliche Anforderungen an SMB zu stellen. Dies führte zum Aufkommen verschiedener SMB-Protokolldialekte, um unterschiedlichen Umgebungen gerecht zu werden. Je nach Bedarf und Verwendung können verschiedene Dialekte für eine Vielzahl von Zwecken implementiert werden.

SMB-Dialektvarianten

Hier ist eine Liste beliebter SMB-Dialekte und deren Verwendungszwecke:

• CIFS (Common Internet File System): war ein von Microsoft entwickelter Dialekt, der erstmals in Windows 95 eingeführt wurde und für Netzwerkverbindungen über entfernte Server konzipiert war. Dieser Dialekt (CIFS Port) ermöglichte es Clients, sich mit entfernten Datei- und Druckerfreigaben zu verbinden, als ob sie lokal zugegriffen würden.
• Samba: Samba ist ein Open-Source-Dialekt (Samba-Port), der es Linux/Unix-Maschinen ermöglicht, mit Windows-Geräten zu kommunizieren.
• NQ: wurde von Visuality Systems entwickelt und bringt das SMB-Protokoll auf Nicht-Windows-Plattformen. Besonders verbreitet ist es in Geräten wie Druckern und Heim-network devices.
• Tuxera SMB und MoSMB: Dialekte wurden ebenfalls als proprietäre Methoden unter Verwendung des SMB-Protokolls für spezifische Funktionen wie Enterprise-Dateifreigabe und erweiterte Authentifizierung erstellt.

Sicherheitsrisiken im Zusammenhang mit offenen SMB-Ports

Ports, wie sie beim SMB-Protokoll verwendet werden, sind notwendig, um innerhalb und zwischen verschiedenen Netzen zu kommunizieren. Obwohl ihre Nutzung an sich nicht gefährlich ist, können offene Ports für bösartige Zwecke genutzt und ausgenutzt werden.

Das Vorhandensein von zu vielen offenen Ports kann zu folgenden Schwachstellen führen, wie zum Beispiel:

• Ein wurmfähiger Port
• Man-In-The-Middle-Angriffe,
• NetBIOS-Spoofing,

Fallstudie: WannaCry Ransomware:

Ein jüngstes Ereignis war der WannaCry Ransomware-Angriff, der Windows-Clients anvisierte, die eine veraltete Version von SMB verwendeten. Eine Wurm-Infektion wurde auf einem Zielgerät installiert, wobei die Dateien des Benutzers im Austausch für ein Lösegeld verschlüsselt wurden. Zusätzlich dazu begann das infizierte System auch, nach anderen Maschinen über das SMB v1-Protokoll zu suchen, und falls andere Systeme diese offenen Ports nutzten, wären sie anfällig für die Selbstinstallation der Ransomware auf diesem Gerät und würden deren Verbreitung fortsetzen.

Während WannaCry bei vielen Unternehmen und Netzwerken Chaos und Leid verursachte, hätten die verheerenden Auswirkungen deutlich geringer sein können, wenn die Systeme mit aktuellen Sicherheitsmaßnahmen gepatcht worden wären.

Best Practices zur Sicherung der SMB-Ports 139 und 445

Da SMB-Ports Ziel von Angriffen sein können, finden Sie hier einige bewährte Methoden zur Implementierung, um sich gegen verschiedene Angriffe zu schützen:

Aktivieren Sie die Firewall und den Endpoint Protection

Die Aktivierung dieser Netzwerksicherheitsgeräte kann diese Ports vor Bedrohungen schützen und auch Blacklisting-Dienste gegen bekannte bösartige IP-Adressen bereitstellen.

Nutzen Sie VPNs

Durch die Nutzung von VPNs kann der Netzwerkverkehr verschlüsselt und vor bösartigen Akteuren geschützt werden.

VLANs erstellen

Das Erstellen von Virtual LANs kann genutzt werden, um internen Datenverkehr zu isolieren und die Angriffsfläche zu begrenzen.

MAC-Adressfilterung implementieren:

Diese Filter können verhindern, dass unbekannte Systeme auf Ihr internes Netzwerk zugreifen und es infiltrieren.

Systemkonfigurationsänderungen implementieren

Folgende Änderungen können vorgenommen werden, um Ihre Sicherheit gegen SMB-Angriffe zu verstärken:

NetBIOS über TCP/IP deaktivieren

• Wählen Sie Start, zeigen Sie auf Einstellungen und wählen Sie dann Netzwerk- und DFÜ-Verbindung aus.
• Klicken Sie mit der rechten Maustaste auf Lokale Netzwerkverbindung und wählen Sie dann Eigenschaften.
• Wählen Sie Internetprotokoll (TCP/IP) und dann Eigenschaften aus.
• Wählen Sie Erweitert.
• Wählen Sie die Registerkarte WINS und dann Deaktivieren Sie NetBIOS über TCP/IP aus.

Befehle zur Überwachung des Portstatus

Um festzustellen, ob NetBIOS auf einem Windows-Computer aktiviert ist, führen Sie einen net config redirector oder net config server Befehl aus, um zu sehen, ob ein ‘NetBT_Tcpip’-Gerät an den Netzwerkadapter gebunden ist.

Fazit

Das SMB-Protokoll hat sich als wertvolle und unverzichtbare Methode zum Zugriff auf verschiedene Netzwerkressourcen erwiesen. Es hat zwar Dinge wie Dateifreigabe und Konnektivität ermöglicht, jedoch sollten Sicherheitsmaßnahmen ergriffen werden, um autorisierten Zugang innerhalb des Netzwerks zu gewährleisten. Das Sichern von Ports und das Aktualisieren von Protokollen sind nur ein paar Beispiele dafür, wie Sie Ihr Sicherheitsprofil im modernen Netzwerken verbessern können.

In Verbindung mit Netzwerksicherheit kann Netwrix Ihren Sicherheitsplan auf der Datenebene erfüllen. Mit Netwrix solutions können wir Ihrer Organisation dabei helfen zu sehen, wer Zugang zu Ihren Daten hat und welche Aktivitäten damit verbunden sind. Überwachung ist ein kritischer Teil der Angriffserkennung und des Schutzes vor Sicherheitsverletzungen.

Was ist ein SMB-Port?

Microsoft hat reagiert, indem die Standardeinstellungen geändert wurden, anstatt sich darauf zu verlassen, dass Administratoren jede Lücke erkennen. Windows 11, Version 24H2, und Windows Server 2025 erfordern jetzt standardmäßig SMB-Signierung.

Über die Dateifreigabe hinaus unterstützt SMB zwei weitere Kommunikationsmechanismen: mail slots, die Einweg-Interprozessnachrichten verarbeiten, und named pipes, die es zwei Prozessen ermöglichen, Daten auf demselben Computer oder über ein Netzwerk auszutauschen.

CISA hat im Oktober 2025 auch eine neue SMB-Privilegieneskalationslücke, CVE-2025-33073, in seinen Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Deshalb müssen Port 139 und Port 445 auch nach Jahrzehnten stillen Betriebs weiterhin kontinuierlich überwacht werden.

Server Message Block (SMB) ist ein Netzwerkprotokoll, das die gemeinsame Nutzung von Dateien und Ressourcen zwischen Computern in einem Netzwerk regelt. SMB läuft hauptsächlich über den TCP-Port 445 und ermöglicht den gemeinsamen Zugriff auf Dateien, Drucker und serielle Anschlüsse zwischen verbundenen Geräten.

Windows-Systeme verlassen sich seit den 1980er Jahren auf SMB, und es ist heute noch das Standard-Dateifreigabeprotokoll in den meisten Windows-Umgebungen.

Port 139 vs. Port 445: Was ist der Unterschied?

Port 139

Port 445

Port 139 war der ursprüngliche SMB-Port, der als Anwendungsprotokoll über NetBIOS in lokalen Windows-Netzwerken lief. Windows 2000 führte Port 445 als Ersatz ein, und die meisten modernen Umgebungen haben Port 139 zugunsten dieses Ports schrittweise eingestellt.

Server Message Block (SMB) hat über vier Jahrzehnte Daten zwischen Windows-Systemen übertragen. Es ist heute noch eines der am stärksten exponierten Protokolle in Unternehmensnetzwerken. Port 445 und sein veraltetes Gegenstück, Port 139, transportieren den Datenverkehr hinter der alltäglichen Datei- und Druckerfreigabe. Angreifer wissen das. Beide Ports stehen bei jedem Scan, den sie gegen ein exponiertes Netzwerk durchführen, ganz oben auf der Liste.

Warum das wichtig ist

Port 445 führt SMB direkt über TCP/IP aus, ohne NetBIOS-Abhängigkeit. Dies ermöglicht SMB-Verkehr, mehrere Netzwerke einschließlich des Internets zu durchqueren, wodurch Port 445 in nahezu jeder aktuellen Windows-Installation die bevorzugte Wahl ist.

Wenn Port 139 irgendwo in Ihrem Netzwerk offen ist, tragen Sie eine veraltete Angriffsfläche mit sich, die Sie wahrscheinlich nicht benötigen. NetBIOS-basierter Datenverkehr verfügt über keine eigene Signatur- oder Verschlüsselungsabsicherung, was genau dazu führte, dass Exploits der EternalBlue-Klasse sich unkontrolliert bei Angriffen wie WannaCry verbreiten konnten.

Port 445 ist besser verteidigbar, aber nur, wenn SMB-Signierung aktiviert ist; andernfalls ist er den gleichen Relay- und Privilegieneskalationstechniken hinter CVE-2025-33073 ausgesetzt.

SMB benötigt einen offenen Netzwerkport, um zu funktionieren, und verwendet je nach Windows-Version entweder Port 139 oder Port 445.

Sie können dies verhindern, indem Sie Port 139 am Netzwerkrand blockieren, Port 445 auf vertrauenswürdige Segmente beschränken und SMB-Signierung überall dort durchsetzen, wo sie unterstützt wird. Tun Sie das, und Sie haben die beiden Wege geschlossen, auf die sich die meisten SMB-Angriffe noch verlassen.

Wie funktioniert das SMB-Protokoll?

SMB arbeitet als Anfrage-Antwort-Protokoll, das auf einem Client-Server-Modell basiert, und eine typische Sitzung folgt vier Schritten:

1. Aushandlung: Der Client und der Server einigen sich auf den SMB-Dialekt, der für die Sitzung verwendet wird.
2. Sitzungseinrichtung: Der Client authentifiziert sich beim Server mit seinen Zugangsdaten.
3. Baumverbindung: Der Client fordert Zugriff auf eine bestimmte freigegebene Ressource an, z. B. einen Ordner oder Drucker.
4. Dateizugriff: Der Client sendet Lese-, Schreib- oder Druckanforderungen, und der Server antwortet direkt auf jede einzelne.

Das Protokoll hat sich seitdem durch mehrere größere Überarbeitungen weiterentwickelt. Dazu gehören der Common Internet File System (CIFS)-Dialekt sowie Leistungs- und Sicherheitsverbesserungen in SMB2 und SMB3.

Jede Überarbeitung behob eine spezifische Schwäche der vorherigen Version, und SMB3 führte die Verschlüsselungsfunktionen ein, auf die aktuelle Windows-Versionen standardmäßig angewiesen sind.

Dasselbe Aushandlungs- und Anfrage-Antwort-Verfahren unterstützt neben der Standardfreigabe von Dateien und Druckern auch die Kommunikation über Mail Slot und Named Pipe. IBM entwickelte SMB 1983 für den DOS-Dateizugriff über lokale Netzwerke. Microsoft integrierte das Protokoll 1990 in sein Produkt LAN Manager.

SMB-Protokolldialekte

SMB-Implementierungen variieren je nach Umgebung, und es sind mehrere Dialekte entstanden, um verschiedene Plattformen und Anwendungsfälle zu unterstützen.

• Samba: Ein Open-Source-Dialekt, der es Linux- und Unix-Systemen ermöglicht, über SMB mit Windows-Geräten zu kommunizieren.
• CIFS (Common Internet File System): Ein von Microsoft eingeführter Dialekt mit Windows 95, der es Clients ermöglicht, eine Verbindung zu entfernten Datei- und Druckerfreigaben herzustellen, als wären sie lokale Ressourcen.
• Tuxera SMB und MoSMB: Proprietäre Implementierungen, die für spezifische Anwendungsfälle entwickelt wurden, einschließlich eingebetteter Systeme und Enterprise-Dateifreigabe mit erweiterter Authentifizierung.

Diese Dialekte teilen sich die gleiche zugrunde liegende SMB-Architektur, und Organisationen, die gemischte Windows-, Linux- und Embedded-Umgebungen betreiben, verlassen sich häufig auf mehr als einen.

• NQ: Eine portable SMB-Implementierung von Visuality Systems, die häufig auf Nicht-Windows-Geräten wie Druckern und Netzwerkgeräten.

Sicherheitsrisiken offener SMB-Ports

Fallstudie: WannaCry (2017)

SMB-Ports übertragen legitimen Datei- und Druckverkehr, und offene Ports schaffen auch einen Pfad, den Angreifer aktiv auskundschaften. Offenliegende oder falsch konfigurierte SMB-Ports haben einige der schädlichsten Netzwerkwürmer und Privilegieneskalations-Exploits des letzten Jahrzehnts ermöglicht, und neue Schwachstellen tauchen weiterhin auf.

CVE-2025-33073: Windows SMB-Client Privilegienerweiterung

Unverwaltet setzen offene SMB-Ports Netzwerke der Ausbreitung von Würmern, Man-in-the-Middle-Abfangaktionen und NetBIOS-Spoofing aus. Diese Risiken treten neben früheren Schwachstellen wie der SMBv3-Schwachstelle auf, die in früheren Patch-Tuesday-Zyklen bekannt wurden, und das Muster macht deutlich, dass SMB eine kontinuierliche Patch-Verwaltung als Standardpraxis erfordert.

WannaCry (2017) bleibt das klarste historische Beispiel dafür, was eine ungepatchte SMB-Schwachstelle anrichten kann. Die Ransomware nutzte eine Schwachstelle in einer veralteten Version von SMBv1 über den EternalBlue-Exploit auf TCP-Port 445 aus, installierte sich auf einem Zielgerät, verschlüsselte Dateien und forderte Lösegeld.

CVE-2025-37899: Linux ksmbd Zero-Day

Infizierte Systeme haben dann das Netzwerk über SMB nach weiteren verwundbaren Maschinen durchsucht und sich selbst verbreitet, ohne dass Benutzeraktionen erforderlich waren. Der Schaden lässt sich direkt auf ungepatchte Systeme mit veralteten SMB-Versionen zurückführen. Deshalb sollte jede Ransomware-Präventionsstrategie die SMB-Version und Patch-Management als Basiskontrolle betrachten.

Microsoft hat CVE-2025-33073 im Juni 2025 veröffentlicht. Die fehlerhafte Zugriffskontrolle im Windows SMB-Client ermöglicht es einem authentifizierten Angreifer, durch Missbrauch der Art und Weise, wie SMB die NTLM-Authentifizierung behandelt, wenn die Signierung nicht erzwungen wird, Privilegien auf SYSTEM-Ebene zu erhöhen.

So sichern Sie den Port 139 und den Port 445

Linux-basierte SMB-Implementierungen erfordern dieselbe Patch-Disziplin wie Windows-Systeme, da Angreifer die SMB-Zielsetzung nicht auf ein einzelnes Betriebssystem beschränken.

Die Schwachstelle hat einen CVSS-Wert von 8,8, und CISA hat sie hinzugefügt zu seinem Katalog der Bekannten Ausgenutzten Schwachstellen im Oktober 2025, nachdem eine aktive Ausnutzung bestätigt wurde. Der Fehler betrifft aktuell unterstützte Versionen von Windows 10, Windows 11 und Windows Server, was die Durchsetzung der SMB-Signatur zu einer Priorität macht und nicht zu einem optionalen Härtungsschritt.

Firewall und Endpoint-Schutz aktivieren

CVE-2025-37899 betrifft ksmbd, den im Linux-Kernel integrierten SMB3-Server. Die Schwachstelle ist eine Use-after-free-Sicherheitslücke in der Art und Weise, wie ksmbd den SMB2 LOGOFF-Befehl verarbeitet, und ist relevant für jede Organisation, die gemischte Windows- und Linux-Dateifreigabeumgebungen betreibt, einschließlich Samba- und ksmbd-Deployments.

Verwenden Sie VPNs

Das Schließen unnötiger SMB-Expositionen und das Absichern der offenen Ports erfordert eine Kombination aus Netzwerkkontrollen und Konfigurationsänderungen. Es ist Teil eines umfassenderen Netzwerksicherheits-programms; es steht nicht allein.

VLANs erstellen

Eine Firewall oder Endpoint-Schutzplattform blockiert Verbindungsversuche von nicht erkannten oder bekannten bösartigen IP-Adressen, bevor sie einen SMB-Dienst erreichen. Die meisten Endpoint-Schutzplattformen führen auch Blocklisten, die automatisch aktualisiert werden, sobald neue bösartige Infrastruktur identifiziert wird.

Ein VPN verschlüsselt SMB-Verkehr während der Übertragung und verhindert, dass Angreifer, die sich entlang des Netzwerkpfads befinden, den Dateifreigabeverkehr zwischen Systemen lesen oder manipulieren.

Die Segmentierung des internen Verkehrs in VLANs begrenzt, wie weit sich ein Angreifer nach der Kompromittierung eines einzelnen Geräts bewegen kann, da der SMB-Verkehr innerhalb seines zugewiesenen Netzwerksegments bleibt.

MAC-Adressfilterung implementieren

SMB-Signierung durchsetzen

Die MAC-Adressfilterung beschränkt den Netzwerkzugang auf eine definierte Liste genehmigter Geräte und verhindert, dass nicht erkannte Systeme auf SMB-Freigaben zugreifen, selbst wenn sie sich mit demselben physischen Netzwerk verbinden.

SMB-Signierung verhindert Relay-Angriffe und Manipulationen, indem sie überprüft, dass der Datenverkehr während der Übertragung nicht verändert wurde, und schließt so den Exploit-Pfad, auf den CVE-2025-33073 angewiesen ist.

NetBIOS über TCP/IP und SMBv1 deaktivieren

Organisationen, die noch ältere Windows-Versionen verwenden, sollten die Signierung manuell über die Gruppenrichtlinie aktivieren, anstatt auf ein erzwungenes Upgrade zu warten.

Ab Windows 11, Version 24H2, und Windows Server 2025 erfordert Microsoft standardmäßig SMB-Signierung. Die Editionen Enterprise, Pro und Education von Windows 11 24H2 erfordern sowohl ausgehende als auch eingehende Signierung, während Windows Server 2025 nur ausgehende Signierung verlangt.

Port 139 und Port 445 über die Zeit sicher halten

Port 139 und Port 445 existieren, weil die Dateifreigabe eine Kernfunktion fast jedes Windows-Netzwerks bleibt, und dieselbe Funktion macht SMB zu einem dauerhaften Ziel.

Um NetBIOS über TCP/IP auf älteren Systemen über die Benutzeroberfläche zu deaktivieren, öffnen Sie Netzwerk- und DFÜ-Verbindungen, klicken Sie mit der rechten Maustaste auf die aktive Verbindung und wählen Sie Eigenschaften. Wählen Sie Internetprotokoll (TCP/IP), dann erneut Eigenschaften, wählen Sie Erweitert, dann die Registerkarte WINS und wählen Sie NetBIOS über TCP/IP deaktivieren.

SMBv1 ist standardmäßig in Windows 10, Windows 11 und Windows Server 2019 und später deaktiviert. Gehen Sie nicht davon aus, dass es so bleibt. Bestätigen Sie es. Um SMBv1 über PowerShell zu deaktivieren, führen Sie aus:

Das Protokoll hat sich seit seinen DOS-Ursprüngen erheblich weiterentwickelt, und aktuelle Standardeinstellungen, wie die obligatorische SMB-Signierung in Windows 11 24H2 und Windows Server 2025, schließen Lücken, die jahrelang offen geblieben waren. Konsistente Updates, Durchsetzung der Signierung und Netzwerksegmentierung halten die Ports selbst verteidigungsfähig.

Das Schließen unnötiger Ports und das Erzwingen von Signaturen verringert die Angriffsfläche auf der Netzwerkschicht. Daten hinter einer offenen SMB-Freigabe benötigen dennoch eine eigene Zugriffsprüfung, da sich Ordnerberechtigungen im Laufe der Zeit ansammeln, unabhängig davon, wie gut der Port selbst gesichert ist. Ein PowerShell script kann Dateisystem-ACLs direkt prüfen und anpassen, was Teams Zeit spart, die sonst für manuelle Verwaltung aufgewendet würde.

Die Sicherung des Ports ist nur die halbe Miete. Die Dateien und Ordner hinter einer SMB-Freigabe benötigen ihre eigene Sichtbarkeit und Governance, da Berechtigungen lange nach dem ursprünglichen geschäftlichen Grund für deren Vergabe kumulieren.

Fordern Sie eine Demo an um zu sehen, wie Netwrix Ihnen helfen kann, die Aktivität von Dateifreigaben zu verfolgen, überberechtigte SMB-Freigaben zu kennzeichnen und die Sammlung von Auditnachweisen zu vereinfachen.

Was ist ein SMB-Port?

Microsoft hat reagiert, indem die Standardeinstellungen geändert wurden, anstatt darauf zu vertrauen, dass Administratoren jede Lücke erkennen. Windows 11, Version 24H2, und Windows Server 2025 erfordern jetzt standardmäßig SMB signing.

Server Message Block (SMB) ist ein Netzwerkprotokoll, das die gemeinsame Nutzung von Dateien und Ressourcen zwischen Computern in einem Netzwerk regelt. SMB läuft hauptsächlich über den TCP-Port 445 und ermöglicht den gemeinsamen Zugriff auf Dateien, Drucker und serielle Anschlüsse zwischen verbundenen Geräten.

CISA hat im Oktober 2025 auch eine neue SMB-Privilegieneskalationslücke, CVE-2025-33073, in seinen Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Deshalb benötigen die Ports 139 und 445 auch nach Jahrzehnten des stillen Betriebs im Hintergrund weiterhin eine kontinuierliche Überwachung.

Server Message Block (SMB) hat seit vier Jahrzehnten Daten zwischen Windows-Systemen übertragen. Es ist heute noch eines der am stärksten exponierten Protokolle in Unternehmensnetzwerken. Port 445 und sein veraltetes Gegenstück, Port 139, tragen den Datenverkehr hinter der alltäglichen Datei- und Druckerfreigabe. Angreifer wissen das. Beide Ports stehen bei jedem Scan, den sie gegen ein exponiertes Netzwerk durchführen, ganz oben.

Über die Dateifreigabe hinaus unterstützt SMB zwei weitere Kommunikationsmechanismen: mail slots, die unidirektionale Interprozessnachrichten verarbeiten, und named pipes, die zwei Prozessen den Datenaustausch auf demselben Rechner oder über ein Netzwerk ermöglichen.

Port 139

Port 139 vs. Port 445: Was ist der Unterschied?

Windows-Systeme nutzen SMB seit den 1980er Jahren und es ist auch heute noch das Standard-Dateifreigabeprotokoll in den meisten Windows-Umgebungen.

SMB benötigt einen offenen Netzwerkport zum Funktionieren und verwendet je nach Windows-Version entweder Port 139 oder Port 445.

Warum das wichtig ist

Port 445

Port 139 war der ursprüngliche SMB-Port, der als Anwendungsprotokoll über NetBIOS in lokalen Windows-Netzwerken lief. Windows 2000 führte Port 445 als Ersatz ein, und die meisten modernen Umgebungen haben Port 139 zugunsten dieses Ports eingestellt.

Port 445 führt SMB direkt über TCP/IP aus, ohne NetBIOS-Abhängigkeit. Dadurch kann SMB-Verkehr mehrere Netzwerke, einschließlich des Internets, durchqueren, was Port 445 zur bevorzugten Wahl in fast allen aktuellen Windows-Installationen macht.

Wenn Port 139 irgendwo in Ihrem Netzwerk offen ist, tragen Sie eine veraltete Angriffsfläche mit sich, die Sie wahrscheinlich nicht benötigen. NetBIOS-basierter Datenverkehr verfügt über keine eigene Signatur oder Verschlüsselung, was genau dazu führte, dass Exploits der EternalBlue-Klasse sich unkontrolliert bei Angriffen wie WannaCry verbreiteten.

Port 445 ist besser verteidigbar, aber nur, wenn SMB-Signierung aktiviert ist; andernfalls ist er den gleichen Relay- und Privilegieneskalationstechniken hinter CVE-2025-33073 ausgesetzt.

Wie funktioniert das SMB-Protokoll?

Sie können dies verhindern, indem Sie Port 139 am Netzwerkrand blockieren, Port 445 auf vertrauenswürdige Segmente beschränken und SMB-Signierung überall dort erzwingen, wo sie unterstützt wird. Tun Sie das, und Sie haben die zwei Wege geschlossen, auf die sich die meisten SMB-Angriffe noch verlassen.

SMB arbeitet als Anfrage-Antwort-Protokoll, das auf einem Client-Server-Modell basiert, und eine typische Sitzung folgt vier Schritten:

1. Aushandlung: Der Client und der Server einigen sich auf den SMB-Dialekt, der für die Sitzung verwendet wird.
2. Sitzungseinrichtung: Der Client authentifiziert sich mit seinen Anmeldedaten beim Server.
3. Baumverbindung: Der Client fordert den Zugriff auf eine bestimmte freigegebene Ressource an, z. B. einen Ordner oder Drucker.
4. Dateizugriff: Der Client sendet Lese-, Schreib- oder Druckanfragen, und der Server antwortet direkt auf jede einzelne.

Das Protokoll hat sich seitdem durch mehrere große Überarbeitungen weiterentwickelt. Dazu gehören der Common Internet File System (CIFS)-Dialekt sowie Leistungs- und Sicherheitsverbesserungen in SMB2 und SMB3.

Jede Überarbeitung behebt eine spezifische Schwäche der vorherigen Version, und SMB3 führte die Verschlüsselungsfunktionen ein, auf die aktuelle Windows-Versionen standardmäßig setzen.

Dieser gleiche Aushandlungs- und Anfrage-Antwort-Mechanismus unterstützt neben der Standardfreigabe von Dateien und Druckern auch die Kommunikation über Mail Slot und Named Pipe. IBM entwickelte SMB 1983 für den DOS-Dateizugriff über lokale Netzwerke. Microsoft integrierte das Protokoll 1990 in sein LAN Manager-Produkt.

SMB-Protokolldialekte

SMB-Implementierungen variieren je nach Umgebung, und es haben sich mehrere Dialekte entwickelt, um verschiedene Plattformen und Anwendungsfälle zu unterstützen.

• CIFS (Common Internet File System): Ein von Microsoft mit Windows 95 eingeführter Dialekt, der es Clients ermöglicht, sich mit entfernten Datei- und Druckerfreigaben zu verbinden, als wären sie lokale Ressourcen.
• Samba: Ein Open-Source-Dialekt, der es Linux- und Unix-Systemen ermöglicht, über SMB mit Windows-Geräten zu kommunizieren.
• Tuxera SMB und MoSMB: Proprietäre Implementierungen für spezifische Anwendungsfälle, einschließlich eingebetteter Systeme und Unternehmensdateifreigabe mit erweiterter Authentifizierung.

Diese Dialekte teilen sich dieselbe zugrundeliegende SMB-Architektur, und Organisationen mit gemischten Windows-, Linux- und Embedded-Umgebungen verlassen sich häufig auf mehr als einen.

• NQ: Eine portable SMB-Implementierung von Visuality Systems, die häufig auf Nicht-Windows-Geräten wie Druckern und network devices.

Sicherheitsrisiken offener SMB-Ports

Fallstudie: WannaCry (2017)

SMB-Ports übertragen legitimen Datei- und Druckverkehr, und offene Ports schaffen auch einen Pfad, den Angreifer aktiv auskundschaften. Offenliegende oder falsch konfigurierte SMB-Ports haben einige der schädlichsten Netzwerk-Würmer und Privilegieneskalations-Exploits des letzten Jahrzehnts ermöglicht, und neue Schwachstellen tauchen weiterhin auf.

CVE-2025-33073: Windows SMB-Client Privilegieneskalation

Unverwaltet setzen offene SMB-Ports Netzwerke der Wurmverbreitung, Man-in-the-Middle-Abfangung und NetBIOS-Spoofing aus. Diese Risiken treten neben früheren Schwachstellen wie der SMBv3-Sicherheitslücke auf, die in früheren Patch-Tuesday-Zyklen bekannt wurden, und das Muster zeigt deutlich, dass SMB eine kontinuierliche Patch-Verwaltung als Standardpraxis erfordert.

WannaCry (2017) bleibt das klarste historische Beispiel dafür, was eine ungepatchte SMB-Schwachstelle anrichten kann. Die Ransomware nutzte eine Schwachstelle in einer veralteten Version von SMBv1 über den EternalBlue-Exploit am TCP-Port 445 aus, installierte sich auf einem Zielrechner, verschlüsselte Dateien und forderte Lösegeld.

Microsoft veröffentlichte CVE-2025-33073 im Juni 2025. Die fehlerhafte Zugriffskontrolle im Windows SMB-Client ermöglicht einem authentifizierten Angreifer, Rechte auf SYSTEM zu erhöhen, indem er ausnutzt, wie SMB die NTLM-Authentifizierung handhabt, wenn das Signieren nicht erzwungen wird.

Infizierte Systeme durchsuchten dann das Netzwerk über SMB nach weiteren verwundbaren Maschinen und verbreiteten sich selbst, ohne dass eine Benutzeraktion erforderlich war. Der Schaden lässt sich direkt auf ungepatchte Systeme mit veralteten SMB-Versionen zurückführen. Deshalb sollte jede Ransomware-Präventionsstrategie die SMB-Version und Patch-Verwaltung als Basiskontrolle betrachten.

CVE-2025-37899: Linux ksmbd Zero-Day

Linux-basierte SMB-Implementierungen erfordern dieselbe Patch-Disziplin wie Windows-Systeme, da Angreifer die SMB-Zielauswahl nicht auf ein Betriebssystem beschränken.

So sichern Sie Port 139 und Port 445

Die Schwachstelle hat einen CVSS-Wert von 8,8, und CISA hat sie hinzugefügt in seinen Katalog der Bekannten Ausgenutzten Schwachstellen im Oktober 2025, nachdem eine aktive Ausnutzung bestätigt wurde. Der Fehler betrifft derzeit unterstützte Versionen von Windows 10, Windows 11 und Windows Server, was die Durchsetzung der SMB-Signatur zu einer Priorität macht und nicht zu einem optionalen Härtungsschritt.

CVE-2025-37899 betrifft ksmbd, den im Linux-Kernel integrierten SMB3-Server. Die Schwachstelle ist eine Use-after-Free-Sicherheitslücke in der Art und Weise, wie ksmbd den SMB2 LOGOFF-Befehl verarbeitet, und ist relevant für Organisationen, die gemischte Windows- und Linux-Dateifreigabeumgebungen betreiben, einschließlich Samba- und ksmbd-Installationen.

Firewall und Endpoint-Schutz aktivieren

Das Schließen unnötiger SMB-Exposition und das Absichern offener Ports erfordert eine Kombination aus Netzwerkkontrollen und Konfigurationsänderungen. Es ist Teil eines umfassenderen Netzwerksicherheits-Programms; es steht nicht allein.

VLANs erstellen

Eine Firewall oder eine Endpoint Protection-Plattform blockiert Verbindungsversuche von nicht erkannten oder bekannten bösartigen IP-Adressen, bevor sie einen SMB-Dienst erreichen. Die meisten Endpoint Protection-Plattformen führen auch Blocklisten, die automatisch aktualisiert werden, sobald neue bösartige Infrastruktur erkannt wird.

Ein VPN verschlüsselt SMB-Verkehr während der Übertragung und verhindert, dass Angreifer, die sich auf dem Netzwerkpfad befinden, den Dateifreigabeverkehr zwischen Systemen lesen oder manipulieren.

Verwenden Sie VPNs

Die Segmentierung des internen Verkehrs in VLANs begrenzt, wie weit sich ein Angreifer nach der Kompromittierung eines einzelnen Geräts bewegen kann, da der SMB-Verkehr innerhalb seines zugewiesenen Netzwerksegments bleibt.

MAC-Adressfilterung implementieren

SMB-Signierung erzwingen

Die MAC-Adressfilterung beschränkt den Netzwerkzugang auf eine definierte Liste genehmigter Geräte und verhindert, dass nicht erkannte Systeme auf SMB-Freigaben zugreifen, selbst wenn sie mit demselben physischen Netzwerk verbunden sind.

SMB-Signierung verhindert Relay-Angriffe und Manipulationen, indem sie überprüft, dass der Datenverkehr während der Übertragung nicht verändert wurde, und schließt so den Exploit-Pfad, auf den CVE-2025-33073 angewiesen ist.

NetBIOS über TCP/IP und SMBv1 deaktivieren

Organisationen, die noch ältere Windows-Versionen verwenden, sollten die Signierung manuell über Gruppenrichtlinien aktivieren, anstatt auf ein erzwungenes Upgrade zu warten.

Ab Windows 11, Version 24H2, und Windows Server 2025, Microsoft requires SMB signing standardmäßig. Die Editionen Enterprise, Pro und Education von Windows 11 24H2 erfordern sowohl ausgehende als auch eingehende Signaturen, während Windows Server 2025 nur ausgehende Signaturen verlangt.

SMBv1 ist standardmäßig in Windows 10, Windows 11 und Windows Server 2019 und später deaktiviert. Gehen Sie nicht davon aus, dass das so bleibt. Überprüfen Sie es. Um SMBv1 über PowerShell zu deaktivieren, führen Sie aus:

Port 139 und Port 445 dauerhaft sicher halten

Um NetBIOS über TCP/IP auf älteren Systemen über die Oberfläche zu deaktivieren, öffnen Sie Netzwerk- und DFÜ-Verbindungen, klicken Sie mit der rechten Maustaste auf die aktive Verbindung und wählen Sie Eigenschaften. Wählen Sie Internetprotokoll (TCP/IP), dann erneut Eigenschaften, anschließend Erweitert, dann die Registerkarte WINS und wählen Sie NetBIOS über TCP/IP deaktivieren.

Port 139 und Port 445 existieren, weil die Dateifreigabe eine Kernfunktion fast jedes Windows-Netzwerks bleibt, und diese Funktion macht SMB zu einem dauerhaften Ziel.

Das Schließen unnötiger Ports und das Erzwingen von Signaturen verringert die Angriffsfläche auf der Netzwerkschicht. Daten hinter einer offenen SMB-Freigabe benötigen dennoch eine eigene Zugriffsprüfung, da sich Ordnerberechtigungen im Laufe der Zeit ansammeln, unabhängig davon, wie gut der Port selbst gesichert ist. Ein PowerShell script kann Dateisystem-ACLs direkt prüfen und anpassen, was Teams Zeit spart, die sonst für manuelle Verwaltung aufgewendet würde.

Das Protokoll hat sich seit seinen DOS-Anfängen erheblich weiterentwickelt, und aktuelle Standardeinstellungen wie die obligatorische SMB-Signierung in Windows 11 24H2 und Windows Server 2025 schließen Lücken, die jahrelang offen waren. Konsistentes Patchen, Durchsetzung der Signierung und Netzwerksegmentierung halten die Ports selbst verteidigungsfähig.

Die Sicherung des Ports ist nur die halbe Miete. Die Dateien und Ordner hinter einer SMB-Freigabe benötigen eigene Sichtbarkeit und Governance, da Berechtigungen lange nach Ablauf des ursprünglichen geschäftlichen Grundes für deren Vergabe weiterbestehen.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihnen hilft, Dateiaktivitäten zu verfolgen, überberechtigte SMB shares zu kennzeichnen und die Audit-Beweissammlung zu vereinfachen.