Netzwerk-Fix — Kurzanleitung ════════════════════════════════════════════════════════════════════════ Fassung 1.2 · 16.08.2026 · Marke NETZFIX-V1 Fenster: 970 x 950 Punkte. Alle acht Maßnahmen sind ohne Rollen sichtbar; der vollständige Verlauf steht im Bericht, nicht im knappen Protokollfeld. Was es macht ──────────── Stellt den Zugriff auf Freigaben wieder her, die Windows 11 seit 24H2/25H2 abweist. Es geht dabei GESTAFFELT vor: Es testet die Freigabe, setzt die Maßnahmen einzeln von harmlos nach tiefgreifend und prüft nach jeder erneut. Sobald die Freigabe erreichbar ist, hört es auf. Dadurch weiß man hinterher, WORAN es lag — und der Rechner bleibt so sicher wie möglich. Die acht Maßnahmen, nach Eingriffstiefe ─────────────────────────────────────── 1 Namensauflösung sicherstellen (hosts-Eintrag) keine Lockerung 1 Netzwerkprofil auf Privat stellen keine Lockerung 2 Netzwerkerkennung und Freigabe freischalten Firewall, nur privat 2 Veraltete gespeicherte Anmeldedaten entfernen keine Lockerung 2 Arbeitsstationsdienst neu starten trennt Netzlaufwerke! 3 SMB-Signierungspflicht aufheben Lockerung 4 NTLM-Stufe auf 3 setzen siehe Hinweis unten 5 Unsichere Gastanmeldungen erlauben stärkste Lockerung Vorausgewählt sind nur die Stufen 1 und 2 — die ohne Sicherheitsverlust. HINWEIS zur NTLM-Stufe ────────────────────── Stufe 3 ist auf Windows 11 bereits der Standardwert. Ist nichts gesetzt oder schon 3, bringt diese Maßnahme NICHTS. Stand vorher 5, ist sie sogar eine Verschärfung von 5 auf 3. Das Werkzeug erkennt das und meldet "nicht nötig" statt "erfolgreich". Wie geprüft wird — und warum auf drei Wegen ─────────────────────────────────────────── Das Werkzeug läuft ALS ADMINISTRATOR. Netzlaufwerke, gespeicherte Anmeldungen und bestehende SMB-Sitzungen gelten aber pro Anmeldekontext. Der Explorer des angemeldeten Benutzers kommt an die Freigabe — der erhöhte Prozess sieht davon nichts. In Fassung 1.0/1.1 wurde nur der eigene Zugriff geprüft. Das meldete "nicht erreichbar", obwohl im Explorer alles lief. Ab 1.2 wird dreifach geprüft und getrennt ausgewiesen: Server auf Port 445: antwortet / keine Antwort Verbindung des Benutzers: besteht (mit SMB-Dialekt) / keine Zugriff aus diesem Vorgang: möglich / nicht möglich (als Admin) Als "nicht erreichbar" gilt nur, was auf allen Wegen scheitert. Besteht bereits eine Verbindung des angemeldeten Benutzers, meldet das Werkzeug [KEIN FEHLER] ... ist vom angemeldeten Benutzer aus erreichbar und ändert NICHTS — hier zu "reparieren" hieße, die Sicherheit zu senken, ohne dass ein Problem vorläge. Wer trotzdem will, wird gefragt. Der Erfolgsmaßstab ────────────────── Nicht "Registry-Wert gesetzt", sondern: Ist die Freigabe erreichbar? Die Ergebniszeile lautet daher: [ERFOLG] \\stream-space\StreamToolBox ist von LAPTOP-STREAM-1 aus erreichbar · 3 von 8 Maßnahmen nötig · SMB 3.1.1 Und wenn es nicht geholfen hat, sagt es das ausdrücklich und bietet die Rücknahme an. Dauerhaft festschreiben ─────────────────────── Der Haken "dauerhaft als Richtlinie" schreibt die Werte zusätzlich in den Richtlinien-Zweig der Registry. Ohne das holt die nächste Richtlinien- Aktualisierung den alten Wert zurück — spätestens nach 90 Minuten, und die Reparatur ist wieder weg. Betrifft drei Maßnahmen: SMB-Signierung, NTLM-Stufe, Gastanmeldung. WICHTIG: Auf einem Rechner ohne Domäne hält der Eintrag dauerhaft. In einer Domäne überschreibt der Domänencontroller diesen Zweig bei jedem gpupdate — dort hilft nur eine echte Richtlinie auf dem Server. Das Werkzeug erkennt die Domänenmitgliedschaft und sagt es ausdrücklich, statt Dauerhaftigkeit vorzutäuschen. In der Zustandsspalte steht bei einer wirksamen Richtlinie zusätzlich [Richtlinie: ] — so sieht man sofort, ob der lokale Wert überhaupt zählt. Rücknahme ───────── Vor der ersten Änderung wird der Ist-Zustand gesichert: \Netzwerk-Fix_Zustand_.json Der Knopf "Zurücknehmen" stellt den Windows-Standard wieder her — in umgekehrter Reihenfolge, das Riskanteste zuerst. Gesetzte Richtlinien- Einträge werden dabei mit entfernt. WICHTIG für unterwegs: In fremden Netzen (Turnierhalle, Hotel, Gastnetz) gehören die Lockerungen zurückgenommen. Gastanmeldung bedeutet dort, dass sich der Rechner mit jeder unauthentifizierten Freigabe verbindet, die jemand im selben Netz anbietet. Was es außerdem erkennt ─────────────────────── · Windows-Build — auf 22H2 gibt es diese Restriktionen gar nicht · BlockNTLM (neu ab 24H2) — ist das an, scheitern alle Maßnahmen · Gruppenrichtlinien, die die lokalen Werte überschreiben (sonst ist die Reparatur nach 90 Minuten wieder weg) · Offene Netzlaufwerke vor dem Dienstneustart · Ausgehandelter SMB-Dialekt — sagt, ob es am Server liegt Aufrufe und Rückgabewerte (für den Updater) ─────────────────────────────────────────── Netzwerk-Fix.exe Oberfläche Netzwerk-Fix.exe -NurPruefen nur melden, nichts ändern Netzwerk-Fix.exe -Auto ohne Rückfrage anwenden Netzwerk-Fix.exe -Zuruecksetzen alles zurücknehmen Netzwerk-Fix.exe -Ziel \\server\freigabe anderes Ziel Bei -Auto, -NurPruefen und -Zuruecksetzen schließt sich das Fenster selbst und legt den Bericht im Protokollordner ab. Rückgabewerte: 0 nichts nötig — die Freigabe war schon erreichbar 1 repariert — die Freigabe ist jetzt erreichbar 2 Problem besteht weiter — die Lockerungen haben nicht geholfen 3 nicht durchgelaufen (abgebrochen oder Fehler) Damit lässt sich über GLPI die eigentlich wichtige Frage beantworten: Welche meiner Laptops sind überhaupt betroffen? Ein -NurPruefen-Lauf über die Flotte liefert das, ohne einen Rechner anzufassen. Einstellungen (Netzwerk-Fix.json neben dem Programm) ──────────────────────────────────────────────────── Freigabe Standardziel, wird beim Öffnen vorgeschlagen Hostman D:\Stream-Tools-Updater\Tools\hosts\hm.exe Protokoll D:\Stream-Tools-Updater\Logs Der Knopf "hosts bearbeiten" öffnet Hostman. Fehlt es, wird die hosts-Datei im Editor geöffnet. Aufruf aus dem Updater (läuft als .ps1) ─────────────────────────────────────── Das Werkzeug liegt als .ps1 im Tools-Ordner und bleibt damit änderbar. Das Konsolenfenster blendet es beim Start selbst aus — zu sehen ist nur die Oberfläche. Aus dem Updater heraus: Start-Process powershell.exe -Verb RunAs -ArgumentList @( '-NoProfile','-ExecutionPolicy','Bypass', '-File', 'D:\Stream-Tools-Updater\Tools\Netzwerk-Fix.ps1') Für den stillen Lauf zusätzlich '-Auto' anhängen; das Fenster schließt sich dann selbst und der Rückgabewert steht in $LASTEXITCODE. Falls die Ausführungsrichtlinie im Weg steht, reicht '-ExecutionPolicy Bypass' beim Aufruf — die Systemeinstellung bleibt unangetastet. Übersetzen (nur falls doch als EXE gewünscht) ───────────────────────────────────────────── ps2exe .\Netzwerk-Fix.ps1 .\Netzwerk-Fix.exe -noConsole -requireAdmin Zu beachten ─────────── · Die Datei muss UTF-8 MIT BOM bleiben. · Der Dienstneustart trennt offene Netzlaufwerke — das Werkzeug zeigt vorher, welche verbunden sind, und fragt nach. · Es wird keine Datei ungefragt geschrieben. Ausnahme: die Zustandssicherung, ohne die es keine Rücknahme gäbe. Sie wird im Fenster genannt.