SynoPower Club-Punkt:<\/strong> Ich habe jahrelang im Support von Synology gearbeitet, und die kompromittierten Systeme, die ich gesehen habe, wurden fast nie durch ausgekl\u00fcgelte Methoden geknackt. Sie hatten immer noch das Standard-Administratorkonto aktiviert, einen Management-Port ins Internet weitergeleitet und keine Zwei-Faktor-Authentifizierung. Gute NAS-Sicherheit ist gr\u00f6\u00dftenteils m\u00fchsame Arbeit, die in der richtigen Reihenfolge erledigt wird. Was mich \u00fcberrascht hat, nachdem wir unseren eigenen Shop gestartet haben, ist, wie viel Arbeit au\u00dferhalb des NAS stattfindet. Der gr\u00f6\u00dfte Teil des Datenverkehrs, den wir heute ablehnen, wird blockiert, bevor er \u00fcberhaupt unsere Leitung erreicht.<\/p>\n<\/blockquote>\n\n\n\n Ein privates NAS hat in puncto Sicherheit eine einzige Aufgabe: Unbefugte vom Login fernzuhalten. Ein NAS, das eine \u00f6ffentliche Website hostet, steht vor dem gegenteiligen Problem. Hier sind es Fremde, die als Kunden fungieren, und t\u00e4glich m\u00fcssen Tausende von ihnen ohne Konto darauf zugreifen k\u00f6nnen. Die Frage verschiebt sich von \u201eWer darf sich verbinden?\u201c zu \u201eWelche Anfragen darf eine Verbindung stellen?\u201c.<\/p>\n\n\n\n Deshalb haben wir aufgeh\u00f6rt, NAS-Sicherheit als Produktmerkmal zu betrachten, und sie stattdessen als Prozess gestaltet. Eine Anfrage in unserem Shop durchl\u00e4uft f\u00fcnf Pr\u00fcfpunkte, und jeder einzelne kann sie ablehnen:<\/p>\n\n\n\n Keine einzelne Schicht gilt als fehlerfrei. Jede einzelne Schicht dient dazu, den Fall zu kompensieren, dass die dar\u00fcberliegende Schicht fehlerhaft, falsch konfiguriert oder einfach umgangen wird.<\/p>\n\n\n\n Gute NAS-Sicherheit beginnt nicht beim NAS selbst. Am einfachsten l\u00e4sst sich die Abwehr von Anfragen verhindern, indem man sie gar nicht erst ankommen l\u00e4sst. In den 24 Stunden vor dem Verfassen dieses Textes verarbeitete Cloudflare 78.690 Anfragen f\u00fcr unsere Domain. 57.620 davon wurden aus dem Cache beantwortet, 5.590 als unerw\u00fcnscht verworfen und nur 15.470 an unseren Ursprungsserver weitergeleitet. Vier von f\u00fcnf Anfragen beanspruchten dabei keine einzige CPU-Leistung des NAS.<\/p>\n\n\n\n Wir nutzen den Pro-Tarif und betreiben 15 benutzerdefinierte Firewall-Regeln sowie zwei Ratenbegrenzungen. Jede einzelne dieser Regeln entstand aufgrund eines bestimmten Problemfalls. Drei Beispiele verdeutlichen das Muster:<\/p>\n\n\n\n Cloudflare Turnstile sch\u00fctzt Formulare, die die Firewall nicht \u00fcberwachen kann: Registrierung, Passwortzur\u00fccksetzung, Kommentare und Kontaktformular. Sowohl das Konto, das all dies steuert, als auch das bei unserem Domain-Registrar erfordern eine Zwei-Faktor-Authentifizierung. Ein Angreifer, der Ihre DNS-Einstellungen \u00e4ndern kann, muss nicht unbedingt Ihr NAS kompromittieren.<\/p>\n\n\n\n Alles, was Cloudflare durchl\u00e4sst, gelangt zu einem Synology-Router mit SRM, der zweiten NAS-Sicherheitsebene. Diese Ebene war bereits in der urspr\u00fcnglichen Notiz zu diesem Artikel erw\u00e4hnt: Bedrohungsabwehr blockiert eine weitere Welle<\/em>. Es handelt sich um ein Intrusion-Prevention-System, das Pakete mit bekannten Angriffssignaturen vergleicht, und unseres ist so konfiguriert, dass hochriskante Treffer automatisch verworfen werden, anstatt sie lediglich zu protokollieren.<\/p>\n\n\n\n Am 2. August 2026 unternahm eine Adresse 116 Angriffe, um eine PHP-Schwachstelle auszunutzen, die ausschlie\u00dflich Windows-Server betrifft. Dieser Angriff h\u00e4tte gegen uns niemals funktioniert, und genau das ist der springende Punkt: Die Bedrohungsabwehr blockierte jeden einzelnen Versuch, und als wir anschlie\u00dfend die Webserver-Logs durchsuchten, war die Adresse dort nicht mehr zu finden. Der Angriff endete am Router.<\/p>\n\n\n\n Drei einfachere Einstellungen auf demselben Ger\u00e4t leisten f\u00fcr die NAS-Sicherheit genauso viel wie die Inspektions-Engine:<\/p>\n\n\n\n Das vordere NAS ist das erste Synology-System, das ein externes Datenpaket erreichen kann. Daher gelten hier die klassischen Sicherheitshinweise f\u00fcr NAS-Systeme uneingeschr\u00e4nkt. Unsere Einstellungen sind bewusst unoriginell:<\/p>\n\n\n\n Zwei Vorgehensweisen sind f\u00fcr die NAS-Sicherheit genauso wichtig wie die Switches. Wir greifen von extern entweder \u00fcber QuickConnect oder gar nicht auf DSM zu, weshalb kein Management-Port ge\u00f6ffnet sein muss. Tempor\u00e4re Helfer erhalten tempor\u00e4re Konten: Ben\u00f6tigt ein externer Dienstleister oder ein KI-Agent Administratorzugriff, erstellen wir ein benanntes Konto, lassen die Arbeit abschlie\u00dfen und deaktivieren es noch am selben Tag.<\/p>\n\n\n\n WordPress l\u00e4uft nicht auf dem Haupt-NAS. Es l\u00e4uft in einem Container innerhalb eines Virtual DSM, einer komplett zweiten Kopie von DSM, die von Virtual Machine Manager gehostet wird. E-Mail, Reverse-Proxy und Shop befinden sich daher in separaten Systemen mit separaten Konten und separatem Speicherplatz.<\/p>\n\n\n\n Isolation ist der Teil der NAS-Sicherheit, der nicht versucht, einen Einbruch zu verhindern. Sie begrenzt vielmehr den Nutzen eines solchen Einbruchs. Wird beispielsweise ein WordPress-Plugin kompromittiert, landet der Angreifer in einem Container mit begrenztem Arbeitsspeicher, innerhalb einer virtuellen Maschine, die weder E-Mails noch Backups enth\u00e4lt. Und da die gesamte Maschine f\u00fcr Virtual Machine Manager eine einzige Datei ist, dauert ein Snapshot vor jeder riskanten \u00c4nderung nur Sekunden, w\u00e4hrend das Zur\u00fccksetzen nur wenige Minuten in Anspruch nimmt.<\/p>\n\n\n\n Virtual Machine Manager beinhaltet auf unterst\u00fctzten Modellen eine kostenlose Virtual DSM-Instanz, die f\u00fcr einen ersten Test dieses Layouts ausreicht. F\u00fcr jede weitere Instanz wird eine Lizenz ben\u00f6tigt.<\/p>\n\n\n\nWas NAS-Sicherheit bedeutet, sobald das NAS eine Website hostet<\/h2>\n\n\n\n
\n
Schicht 1: Cloudflare wehrt die meisten Angriffe ab, bevor sie uns erreichen.<\/h2>\n\n\n\n
![\"Cloudflare-Sicherheitsanalysen](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/cloudflare-security-analytics-mitigated-requests-scaled.webp\")
\n
Schicht 2: Bedrohungsabwehr auf dem Synology-Router<\/h2>\n\n\n\n
![\"Die](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-router-threat-prevention-map.webp\")
\n
Schicht 3: NAS-Sicherheit innerhalb von DSM, von 2FA bis zur automatischen Blockierung<\/h2>\n\n\n\n
\n
Administrator<\/code> und Gast<\/code> sind deaktiviert. Jeder automatisierte Login-Angriff beginnt mit diesen beiden Namen.<\/li>\n\n\n\n![\"Registerkarte](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/dsm-enforce-2fa-administrators-adaptive-mfa.webp\")
Schicht 4: Ein Virtual DSM, der den Schaden enth\u00e4lt<\/h2>\n\n\n\n