Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 1057

SMB-Relay-Angriff

Was ist SMB-Relay-Angriff?

SMB-Relay-AngriffSpezialfall des NTLM-Relays, bei dem ein Angreifer die SMB-Authentifizierung eines Opfers an einen anderen SMB-Server weiterleitet, um in dessen Namen Code auszufuehren oder Dateien zu lesen.

Ein SMB-Relay missbraucht die Authentifizierung von Windows-Dateifreigaben, wenn SMB-Signing nicht erzwungen ist. Der Angreifer positioniert sich zwischen Opfer-Host und Zielserver, oft durch Vergiften der Namensaufloesung mit Responder oder durch Coercion auf einen schadhaften UNC-Pfad. Die NTLM-Authentifizierung des Opfers wird an einen SMB-Server weitergeleitet, der kein Signing verlangt. Hat die relayte Identitaet lokale Admin-Rechte auf dem Ziel, kann der Angreifer ueber eine PsExec-aehnliche Service-Installation Befehle ausfuehren, Tasks anlegen oder sensible Shares lesen. Die zentrale Gegenmassnahme ist erzwungenes SMB-Signing auf Clients und Servern; reine Kerberos- oder LDAPS-Umgebungen reduzieren das Risiko weiter. Standard-Werkzeuge sind Impacket smbrelayx und ntlmrelayx mit -t smb://.

● Beispiele

  1. 01

    Kompromittierung einer Finanz-Workstation durch Relay ihres NTLM zu einem Peer, auf dem dasselbe Admin-Passwort wiederverwendet wird.

  2. 02

    Auslesen von Gehaltsdaten von einem nicht-signierenden Dateiserver nach Relay eines NTLMv2-Hashes.

● Häufige Fragen

Was ist SMB-Relay-Angriff?

Spezialfall des NTLM-Relays, bei dem ein Angreifer die SMB-Authentifizierung eines Opfers an einen anderen SMB-Server weiterleitet, um in dessen Namen Code auszufuehren oder Dateien zu lesen. Es gehört zur Kategorie Angriffe und Bedrohungen der Cybersicherheit.

Was bedeutet SMB-Relay-Angriff?

Spezialfall des NTLM-Relays, bei dem ein Angreifer die SMB-Authentifizierung eines Opfers an einen anderen SMB-Server weiterleitet, um in dessen Namen Code auszufuehren oder Dateien zu lesen.

Wie funktioniert SMB-Relay-Angriff?

Ein SMB-Relay missbraucht die Authentifizierung von Windows-Dateifreigaben, wenn SMB-Signing nicht erzwungen ist. Der Angreifer positioniert sich zwischen Opfer-Host und Zielserver, oft durch Vergiften der Namensaufloesung mit Responder oder durch Coercion auf einen schadhaften UNC-Pfad. Die NTLM-Authentifizierung des Opfers wird an einen SMB-Server weitergeleitet, der kein Signing verlangt. Hat die relayte Identitaet lokale Admin-Rechte auf dem Ziel, kann der Angreifer ueber eine PsExec-aehnliche Service-Installation Befehle ausfuehren, Tasks anlegen oder sensible Shares lesen. Die zentrale Gegenmassnahme ist erzwungenes SMB-Signing auf Clients und Servern; reine Kerberos- oder LDAPS-Umgebungen reduzieren das Risiko weiter. Standard-Werkzeuge sind Impacket smbrelayx und ntlmrelayx mit -t smb://.

Wie schützt man sich gegen SMB-Relay-Angriff?

Schutzmaßnahmen gegen SMB-Relay-Angriff kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für SMB-Relay-Angriff?

Übliche alternative Bezeichnungen: SMB-Relaying, Cross-Protocol-SMB-Relay.

● Verwandte Begriffe