Windows & Server

SMB over QUIC

Allgemeine Infos

SMB over QUIC ist eine alternative Transportschicht für das SMB-Protokoll. Statt über TCP-Port 445 läuft der Verkehr in einem mit TLS 1.3 verschlüsselten QUIC-Tunnel über UDP-Port 443. Microsoft spricht von einem „SMB-VPN“: Mitarbeitende im Homeoffice oder unterwegs erreichen Edge-Dateiserver über das Internet, ohne dass Port 445 offen ist oder ein VPN-Client läuft.

Eingeführt wurde die Funktion mit Windows Server 2022 Datacenter: Azure Edition. Mit Windows Server 2025 steht sie in allen Editionen zur Verfügung, also auch in Standard und Datacenter, ergänzt um Client Access Control und Client-Auditing. Auf Client-Seite unterstützt Windows 11 SMB over QUIC. Die Funktion ist Opt-in: Der Server-Admin muss sie aktivieren, Windows-Clients nutzen standardmäßig TCP und weichen nur auf QUIC aus, wenn TCP scheitert oder QUIC ausdrücklich angefordert wird.

Abgrenzung: SMB (eigener Eintrag) beschreibt das Protokoll mit Versionen, Signierung und Verschlüsselung. SMB over QUIC ändert nur den Transportweg, Multichannel, Signierung, Komprimierung, Continuous Availability und Directory Leasing arbeiten im Tunnel weiter. Für die Kerberos-Anmeldung von außen braucht es einen KDC-Proxy, sonst fällt die Authentifizierung auf NTLMv2 zurück (siehe Eintrag Kerberos). Den Dateiserver als Rolle beschreibt der Eintrag Dateiserver.

Funktionsweise & Details

Der Ablauf von der Einrichtung bis zur Verbindung:

  1. Der Dateiserver erhält ein Zertifikat aus der eigenen PKI (etwa AD CS) oder von einer öffentlichen CA: EKU Server Authentication, RSA ab 2048 Bit oder ECDSA P-256, Signatur ab SHA256 und alle extern genutzten FQDNs im Subject Alternative Name.
  2. Unter Windows Server 2025 bindest Du das Zertifikat per PowerShell mit New-SmbServerCertificateMapping an den Servernamen. Windows Admin Center unterstützt diese Konfiguration für Windows Server 2025 nicht.
  3. Die Firewall lässt UDP 443 eingehend zu, TCP 445 bleibt von außen geschlossen. Die Domain Controller selbst brauchen keinen Internetzugang.
  4. Der Client verbindet sich mit NET USE * \\server\freigabe /TRANSPORT:QUIC oder New-SmbMapping -TransportType QUIC; ohne diesen Parameter versucht er zuerst TCP und dann QUIC.
  5. Optional gleicht der Server per Client Access Control das Client-Zertifikat (EKU Client Authentication) mit Allow- und Deny-Listen nach SHA256-Hash oder ausstellender CA ab, gesteuert über Set-SmbServerCertificateMapping -RequireClientAuthentication und Grant-SmbClientAccessToServer. Deny-Einträge haben Vorrang.
  6. Ein KDC-Proxy leitet Kerberos-Anfragen der externen Clients per HTTPS an die Domain Controller weiter.

Wird das Zertifikat erneuert, ändert sich der Thumbprint, die Zuordnung aktualisierst Du dann mit Set-SmbServerCertificateMapping. Ab Windows 11 24H2 protokolliert der Client SMB-over-QUIC-Verbindungen im Log Microsoft-Windows-SMBClient/Connectivity mit Event-ID 30832.

Vorteile & Nutzen

  • Kein VPN für Dateizugriffe: Außendienst und Homeoffice erreichen Freigaben direkt, das entlastet VPN-Gateways und den Support.
  • Port 445 bleibt im Internet geschlossen, die gesamte SMB-Kommunikation inklusive Anmeldung liegt verschlüsselt im TLS-1.3-Tunnel.
  • Stabiler in Mobilfunknetzen, weil QUIC einen Wechsel von IP-Adresse oder Port übersteht und Paketverluste besser ausgleicht als TCP.
  • Client Access Control beschränkt den Zugriff auf Geräte mit bekanntem Zertifikat, gestohlene Zugangsdaten allein reichen dann nicht.
  • Seit Windows Server 2025 ohne Azure Edition nutzbar, also mit vorhandenen Standard- und Datacenter-Lizenzen.

Praxisbeispiel

Ein Ingenieurbüro mit 40 Mitarbeitenden speichert seine CAD-Projekte auf einem Dateiserver, die Hälfte der Belegschaft arbeitet regelmäßig im Homeoffice. Über das bisherige VPN waren große Dateien langsam, in Mobilfunknetzen brach die Verbindung häufig ab. Die IT stellt einen Windows Server 2025 Standard als Edge-Dateiserver bereit, bindet ein Zertifikat aus der AD-CS-PKI per PowerShell an, öffnet nur UDP 443 und richtet einen KDC-Proxy ein. Über Client Access Control dürfen nur Firmen-Notebooks mit einem Gerätezertifikat aus der eigenen CA verbinden.

Worauf sollte man achten?

  • Verwende keine IP-Adressen im Zertifikats-SAN: Verbindungen per IP erzwingen NTLM, und jeder extern genutzte Name braucht einen DNS-Eintrag auf die öffentliche IP.
  • Richte den KDC-Proxy ein, sonst melden sich externe Clients per NTLMv2 statt per Kerberos an.
  • Schütze den Server gegen Brute-Force und Password-Spraying: starke Kennwörter oder passwortlose Anmeldung (Windows Hello for Business, Smartcards), Kontosperrung per Fine-Grained Password Policy und ein Intrusion-Protection-System.
  • Plane die Zertifikatserneuerung ein, denn ohne neue Zuordnung des Thumbprints bricht der Zugriff nach Ablauf des alten Zertifikats ab.
  • DFS-Namespaces sind von außen in der Regel nicht erreichbar, nutze für externe Zugriffe direkte Servernamen.

Lizenz & Verfügbarkeit

Enthalten in Windows Server 2025 Standard, Datacenter und Datacenter: Azure Edition sowie in Windows Server 2022 Datacenter: Azure Edition. Client Access Control setzt serverseitig Windows Server 2025 voraus, unter Windows Server 2022 Azure Edition das Update KB5035857 mit Feature Preview. Clients: Windows 11, Client Access Control ab Windows 11 24H2. Eine eigene Lizenz gibt es nicht, für Zugriffe gelten die normalen Windows Server CALs. Zusätzlich nötig ist eine PKI (AD CS oder öffentliche CA). Stand: Oktober 2026.

Fazit

SMB over QUIC ist für Firmen mit vielen mobilen Mitarbeitenden eine schlanke Alternative zum VPN für reine Dateizugriffe. Mit Client Access Control und KDC-Proxy lässt sich der Zugang kontrolliert ins Internet öffnen.

Weiterführende Links

Verwandte Artikel