Ist Ihr NAS aus dem Internet erreichbar?

Ein Gerät, das niemand anfasst

Ein NAS sollte nur dann aus dem Internet erreichbar sein, wenn es nicht anders geht, und dann über ein VPN. So empfiehlt es Synology selbst, und am 18. September 2026 hat der Hersteller acht Lücken in seinem Betriebssystem DSM geschlossen, von denen zwei ohne jede Anmeldung ausnutzbar sind.

Das NAS steht meist unauffällig im Serverschrank. Darauf liegen die Dateiablage, oft auch die Sicherung der Server und Arbeitsplätze. Es läuft jahrelang, ohne dass jemand es anfasst. Genau das macht es zum lohnenden Ziel.

Was Synology gemeldet hat

Die Sicherheitsmeldung Synology-SA-26:13 trägt den Schweregrad kritisch. Zwei der acht Lücken sind mit 9,8 von 10 Punkten bewertet: Angreifer aus der Ferne können damit ohne Anmeldung beliebige Dateien auf dem Gerät lesen oder schreiben und es lahmlegen. Eine Umgehung, die ohne Update schützt, nennt Synology nicht. Es hilft nur die neue Version.

Welche Version läuft, zeigt DSM in der Systemsteuerung. Steht dort eine ältere Version als 7.2.1, führt die Meldung keine Korrektur dafür auf. Dann ist zuerst zu klären, ob das Gerät überhaupt noch Updates bekommt. Das zeigt Synology auf der Seite „Product Support Status“ je Modell.

Warum „nur im internen Netz“ nicht reicht

Ohne Anmeldung heißt: Wer das Gerät über das Netz erreicht, braucht kein Kennwort. Hängt das NAS offen im Internet, ist das jeder. Hängt es nur im internen Netz, ist es jedes Gerät darin, auch ein Arbeitsplatz, der sich über einen Mailanhang etwas eingefangen hat.

Die Abschottung nach außen verkleinert also den Kreis der Angreifer. Das Update ersetzt sie nicht. Beides gehört zusammen.

Woran Sie erkennen, ob Ihr NAS von außen erreichbar ist

Im Router oder in der Firewall steht eine Portfreigabe, die auf die Adresse des NAS zeigt. Ab Werk nutzt DSM die Ports 5000 für HTTP und 5001 für HTTPS. Eine Freigabe dieser Ports ist das deutlichste Zeichen, aber nicht das einzige: Auch Dienste wie Dateifreigaben, Synchronisation oder FTP können eigene Freigaben haben.

Innerhalb von DSM prüft die eingebaute App Security Advisor die Einstellungen und meldet Schwachstellen in der Konfiguration. Den Blick in den Router ersetzt das nicht: Die Portfreigabe steht dort, nicht auf dem NAS.

Was jetzt zu tun ist

• Das Update einspielen, auf mindestens die Version aus der Tabelle. Vorher prüfen, ob die letzte Sicherung vollständig durchgelaufen ist.
• Portfreigaben schließen, die niemand braucht. Wer von unterwegs auf Dateien zugreifen muss, tut das über ein VPN. Synology empfiehlt das ausdrücklich, statt DSM direkt ins Internet zu stellen.
• Wo eine Freigabe bleiben muss, nur die nötigen Ports öffnen, dazu die Sperre nach Fehlversuchen (Auto Block), den Kontoschutz und die Anmeldung mit zweitem Faktor einschalten. Das mitgelieferte Konto „admin“ gehört deaktiviert.
• Die Sicherung nicht nur auf dem NAS halten. Synology selbst rät zu einer verschlüsselten Kopie, die vom Netz getrennt liegt, und zu regelmäßigen Tests der Wiederherstellung. Wer das NAS als einzigen Sicherungsort nutzt, verliert mit dem Gerät auch die Sicherung.

Was das im Betrieb bedeutet

Ein NAS, das seine Dateien verliert, kostet zuerst Zeit: Jeder, der auf die Ablage angewiesen ist, wartet. Liegt darauf auch die einzige Sicherung, wird aus einem Geräteausfall ein Datenverlust. Wie viel davon hinnehmbar ist und wie lange der Stillstand dauern darf, sind die zwei Zahlen, nach denen sich die Sicherung richten sollte. Mehr dazu in Backup ist nicht Notfallvorsorge.

Wie wir das angehen

Backup und Notfallvorsorge mit Veeam und Synology Active Backup gehören zu unseren Kernleistungen, ebenso VPN und die Anbindung im Homeoffice. In Kundenumgebungen setzen wir Synology Active Backup und NAS-Backup ein. Zu unseren Managed Services gehört das Patchmanagement für Server, Arbeitsplätze und Firewalls. Ob das NAS dazugehört, sollte ausdrücklich im Vertrag stehen: Es ist kein Server und fällt deshalb leicht durch die Liste.

Häufige Fragen

Unser NAS ist aus dem Internet nicht erreichbar. Müssen wir trotzdem aktualisieren? Ja. Die beiden kritischen Lücken setzen keine Anmeldung voraus, nur den Zugang über das Netz. Den hat jedes Gerät im internen Netz.

Reicht es, das Update später im Wartungsfenster einzuspielen? Bei einer kritischen Lücke ohne Umgehung ist das nächste Wartungsfenster das richtige, nicht das übernächste. Vorher sollte die letzte Sicherung vollständig durchgelaufen sein.

Wir nutzen das NAS als Ziel für die Sicherung. Ist das ein Problem? Nicht als solches. Es sollte nur nicht der einzige Ort sein. Eine zweite Kopie, die vom Netz getrennt liegt, übersteht auch den Fall, dass das NAS selbst getroffen wird.

Unser NAS ist älter als DSM 7.2.1. Was nun? Zuerst auf der Seite „Product Support Status“ von Synology nachsehen, ob das Modell noch Updates bekommt. Bekommt es keine mehr, bleibt jede neue Lücke darauf offen, und das Gerät gehört ersetzt.

Wenn Sie wissen möchten, wo Ihre Geräte stehen

Wenn Sie wissen wollen, wie Ihre IT insgesamt dasteht: Unsere Infrastrukturanalyse ist kostenlos und unverbindlich. Wir prüfen Ihre gesamte IT-Infrastruktur und dokumentieren diese. Schreiben Sie uns über die Kontaktseite auf virmas.de.

VIRMAS Systemtechnik GmbH ist ein IT-Systemhaus für Geschäftskunden in Neuenhagen bei Berlin; wir betreuen Unternehmen in Berlin und Brandenburg, mit einem festen Ansprechpartner statt einer anonymen Hotline.

Zum Weiterlesen: Backup ist nicht Notfallvorsorge · Ransomware: was in den ersten 24 Stunden zählt · Firewallmanagement: was laufender Betrieb wirklich bedeutet

Quellen

• Synology: Synology-SA-26:13 DSM, veröffentlicht am 18.09.2026
• Synology Knowledge Center: What can I do to enhance the security of my Synology NAS?, Stand 27.05.2026
• Synology Knowledge Center: How can I prevent ransomware attacks on my Synology device?, Stand 10.06.2026
• Synology: Product Support Status