Netzwerk-Fix — Kurzanleitung
════════════════════════════════════════════════════════════════════════
Fassung 1.2 · 16.08.2026 · Marke NETZFIX-V1

Fenster: 970 x 950 Punkte. Alle acht Maßnahmen sind ohne Rollen sichtbar;
der vollständige Verlauf steht im Bericht, nicht im knappen Protokollfeld.

Was es macht
────────────
  Stellt den Zugriff auf Freigaben wieder her, die Windows 11 seit 24H2/25H2
  abweist. Es geht dabei GESTAFFELT vor: Es testet die Freigabe, setzt die
  Maßnahmen einzeln von harmlos nach tiefgreifend und prüft nach jeder
  erneut. Sobald die Freigabe erreichbar ist, hört es auf.

  Dadurch weiß man hinterher, WORAN es lag — und der Rechner bleibt so
  sicher wie möglich.

Die acht Maßnahmen, nach Eingriffstiefe
───────────────────────────────────────
  1  Namensauflösung sicherstellen (hosts-Eintrag)     keine Lockerung
  1  Netzwerkprofil auf Privat stellen                 keine Lockerung
  2  Netzwerkerkennung und Freigabe freischalten       Firewall, nur privat
  2  Veraltete gespeicherte Anmeldedaten entfernen     keine Lockerung
  2  Arbeitsstationsdienst neu starten                 trennt Netzlaufwerke!
  3  SMB-Signierungspflicht aufheben                   Lockerung
  4  NTLM-Stufe auf 3 setzen                           siehe Hinweis unten
  5  Unsichere Gastanmeldungen erlauben                stärkste Lockerung

  Vorausgewählt sind nur die Stufen 1 und 2 — die ohne Sicherheitsverlust.

HINWEIS zur NTLM-Stufe
──────────────────────
  Stufe 3 ist auf Windows 11 bereits der Standardwert. Ist nichts gesetzt
  oder schon 3, bringt diese Maßnahme NICHTS. Stand vorher 5, ist sie sogar
  eine Verschärfung von 5 auf 3. Das Werkzeug erkennt das und meldet
  "nicht nötig" statt "erfolgreich".

Wie geprüft wird — und warum auf drei Wegen
───────────────────────────────────────────
  Das Werkzeug läuft ALS ADMINISTRATOR. Netzlaufwerke, gespeicherte
  Anmeldungen und bestehende SMB-Sitzungen gelten aber pro Anmeldekontext.
  Der Explorer des angemeldeten Benutzers kommt an die Freigabe — der
  erhöhte Prozess sieht davon nichts.

  In Fassung 1.0/1.1 wurde nur der eigene Zugriff geprüft. Das meldete
  "nicht erreichbar", obwohl im Explorer alles lief.

  Ab 1.2 wird dreifach geprüft und getrennt ausgewiesen:

    Server auf Port 445:          antwortet / keine Antwort
    Verbindung des Benutzers:     besteht (mit SMB-Dialekt) / keine
    Zugriff aus diesem Vorgang:   möglich / nicht möglich (als Admin)

  Als "nicht erreichbar" gilt nur, was auf allen Wegen scheitert. Besteht
  bereits eine Verbindung des angemeldeten Benutzers, meldet das Werkzeug

    [KEIN FEHLER]  ... ist vom angemeldeten Benutzer aus erreichbar

  und ändert NICHTS — hier zu "reparieren" hieße, die Sicherheit zu senken,
  ohne dass ein Problem vorläge. Wer trotzdem will, wird gefragt.

Der Erfolgsmaßstab
──────────────────
  Nicht "Registry-Wert gesetzt", sondern: Ist die Freigabe erreichbar?
  Die Ergebniszeile lautet daher:

    [ERFOLG]  \\stream-space\StreamToolBox ist von LAPTOP-STREAM-1 aus
              erreichbar · 3 von 8 Maßnahmen nötig · SMB 3.1.1

  Und wenn es nicht geholfen hat, sagt es das ausdrücklich und bietet die
  Rücknahme an.

Dauerhaft festschreiben
───────────────────────
  Der Haken "dauerhaft als Richtlinie" schreibt die Werte zusätzlich in den
  Richtlinien-Zweig der Registry. Ohne das holt die nächste Richtlinien-
  Aktualisierung den alten Wert zurück — spätestens nach 90 Minuten, und die
  Reparatur ist wieder weg.

  Betrifft drei Maßnahmen: SMB-Signierung, NTLM-Stufe, Gastanmeldung.

  WICHTIG: Auf einem Rechner ohne Domäne hält der Eintrag dauerhaft. In
  einer Domäne überschreibt der Domänencontroller diesen Zweig bei jedem
  gpupdate — dort hilft nur eine echte Richtlinie auf dem Server. Das
  Werkzeug erkennt die Domänenmitgliedschaft und sagt es ausdrücklich,
  statt Dauerhaftigkeit vorzutäuschen.

  In der Zustandsspalte steht bei einer wirksamen Richtlinie zusätzlich
  [Richtlinie: <Wert>] — so sieht man sofort, ob der lokale Wert überhaupt
  zählt.

Rücknahme
─────────
  Vor der ersten Änderung wird der Ist-Zustand gesichert:
    <Protokollordner>\Netzwerk-Fix_Zustand_<Rechner>.json
  Der Knopf "Zurücknehmen" stellt den Windows-Standard wieder her —
  in umgekehrter Reihenfolge, das Riskanteste zuerst. Gesetzte Richtlinien-
  Einträge werden dabei mit entfernt.

  WICHTIG für unterwegs: In fremden Netzen (Turnierhalle, Hotel, Gastnetz)
  gehören die Lockerungen zurückgenommen. Gastanmeldung bedeutet dort, dass
  sich der Rechner mit jeder unauthentifizierten Freigabe verbindet, die
  jemand im selben Netz anbietet.

Was es außerdem erkennt
───────────────────────
  · Windows-Build — auf 22H2 gibt es diese Restriktionen gar nicht
  · BlockNTLM (neu ab 24H2) — ist das an, scheitern alle Maßnahmen
  · Gruppenrichtlinien, die die lokalen Werte überschreiben
    (sonst ist die Reparatur nach 90 Minuten wieder weg)
  · Offene Netzlaufwerke vor dem Dienstneustart
  · Ausgehandelter SMB-Dialekt — sagt, ob es am Server liegt

Aufrufe und Rückgabewerte (für den Updater)
───────────────────────────────────────────
  Netzwerk-Fix.exe                          Oberfläche
  Netzwerk-Fix.exe -NurPruefen              nur melden, nichts ändern
  Netzwerk-Fix.exe -Auto                    ohne Rückfrage anwenden
  Netzwerk-Fix.exe -Zuruecksetzen           alles zurücknehmen
  Netzwerk-Fix.exe -Ziel \\server\freigabe   anderes Ziel

  Bei -Auto, -NurPruefen und -Zuruecksetzen schließt sich das Fenster selbst
  und legt den Bericht im Protokollordner ab.

  Rückgabewerte:
    0   nichts nötig — die Freigabe war schon erreichbar
    1   repariert — die Freigabe ist jetzt erreichbar
    2   Problem besteht weiter — die Lockerungen haben nicht geholfen
    3   nicht durchgelaufen (abgebrochen oder Fehler)

  Damit lässt sich über GLPI die eigentlich wichtige Frage beantworten:
  Welche meiner Laptops sind überhaupt betroffen? Ein -NurPruefen-Lauf über
  die Flotte liefert das, ohne einen Rechner anzufassen.

Einstellungen (Netzwerk-Fix.json neben dem Programm)
────────────────────────────────────────────────────
  Freigabe    Standardziel, wird beim Öffnen vorgeschlagen
  Hostman     D:\Stream-Tools-Updater\Tools\hosts\hm.exe
  Protokoll   D:\Stream-Tools-Updater\Logs

  Der Knopf "hosts bearbeiten" öffnet Hostman. Fehlt es, wird die
  hosts-Datei im Editor geöffnet.

Aufruf aus dem Updater (läuft als .ps1)
───────────────────────────────────────
  Das Werkzeug liegt als .ps1 im Tools-Ordner und bleibt damit änderbar.
  Das Konsolenfenster blendet es beim Start selbst aus — zu sehen ist nur
  die Oberfläche.

  Aus dem Updater heraus:
    Start-Process powershell.exe -Verb RunAs -ArgumentList @(
        '-NoProfile','-ExecutionPolicy','Bypass',
        '-File', 'D:\Stream-Tools-Updater\Tools\Netzwerk-Fix.ps1')

  Für den stillen Lauf zusätzlich '-Auto' anhängen; das Fenster schließt
  sich dann selbst und der Rückgabewert steht in $LASTEXITCODE.

  Falls die Ausführungsrichtlinie im Weg steht, reicht '-ExecutionPolicy
  Bypass' beim Aufruf — die Systemeinstellung bleibt unangetastet.

Übersetzen (nur falls doch als EXE gewünscht)
─────────────────────────────────────────────
  ps2exe .\Netzwerk-Fix.ps1 .\Netzwerk-Fix.exe -noConsole -requireAdmin

Zu beachten
───────────
  · Die Datei muss UTF-8 MIT BOM bleiben.
  · Der Dienstneustart trennt offene Netzlaufwerke — das Werkzeug zeigt
    vorher, welche verbunden sind, und fragt nach.
  · Es wird keine Datei ungefragt geschrieben. Ausnahme: die
    Zustandssicherung, ohne die es keine Rücknahme gäbe. Sie wird im
    Fenster genannt.
