{"id":22125,"date":"2026-10-25T07:58:10","date_gmt":"2026-10-24T23:58:10","guid":{"rendered":"https:\/\/synopower.club\/?post_type=docs&#038;p=22125"},"modified":"2026-10-25T08:04:28","modified_gmt":"2026-10-25T00:04:28","password":"","slug":"synology-threat-prevention-blind-spots","status":"publish","type":"docs","link":"https:\/\/synopower.club\/de\/docs\/synology-threat-prevention-blind-spots\/","title":{"rendered":"Synology Threat Prevention: Was es erkennt und was es nicht sieht"},"content":{"rendered":"<p class=\"wp-block-paragraph\">Threat Prevention ist das Paket, zu dem die meisten greifen, sobald sie beschlie\u00dfen, eine Website auf einem Synology NAS zu hosten. Es befindet sich auf dem Router, hat ein Schild-Symbol und sein Dashboard z\u00e4hlt Angriffe nach Hunderten \u2013 es sieht also genau nach der L\u00f6sung aus, die eine \u00f6ffentliche Website sch\u00fctzt. Wir f\u00fchren es auf einem RT6600ax vor allen unseren Ger\u00e4ten aus, und es war seine Anschaffung wert. F\u00fcr eine selbst gehostete Website ist es jedoch fast v\u00f6llig am Ziel vorbei.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dieser \u201eNAS Hosting 101\u201c-Artikel \u00f6ffnet unseren eigenen Router, liest die Ereignisse einer echten Woche aus und zeigt anhand von PHP2Shell als Beispiel eines Angriffs, den Threat Prevention niemals erkennen konnte, genau, wo Threat Prevention an seine Grenzen st\u00f6\u00dft.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>SynoPower Club-Punkt:<\/strong> Ich habe lange im Synology-Support gearbeitet, und die Frage kam st\u00e4ndig auf: Welche Option muss ich aktivieren, um diesen Angriff zu stoppen? Es ist der richtige Instinkt, aber das falsche System. Was mir schlie\u00dflich die Augen \u00f6ffnete, war das Lesen unserer eigenen Ereignisliste anstelle der Funktionsseite. Jeder Alarm, den unser Router diesen Monat aufgezeichnet hat, betraf eine Adresse mit schlechtem Ruf, nicht eine Anfrage mit einer sch\u00e4dlichen Nutzlast. Sobald man das gesehen hat, h\u00f6rt man auf, von Threat Prevention zu verlangen, Verkehr zu pr\u00fcfen, den es in einem versiegelten Umschlag h\u00e4lt.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-threat-prevention-actually-does-on-a-synology-router\" class=\"wp-block-heading\">Was Threat Prevention auf einem Synology Router wirklich tut<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Threat Prevention ist ein Intrusion Detection and Prevention System, das auf der Abstammung von Snort und Suricata basiert. Es liest Pakete beim Weiterleiten durch den Router, gleicht sie mit einem Signaturset ab und zeichnet entweder eine Warnung auf oder verwirft das Paket. Auf unserem RT6600ax ist der Signatur-Feed ET Open, die kostenlose Variante des Emerging Threats-Regelsatzes, der t\u00e4glich um 09:00 Uhr aktualisiert wird.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aus diesem Design ergeben sich drei Eigenschaften, und alle drei sind wichtiger als jedes Kontrollk\u00e4stchen in der Benutzeroberfl\u00e4che:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>It can only examine packets the router <strong>forwards<\/strong>. Traffic that never crosses the routing engine is not slow to inspect, it is invisible.<\/li>\n\n<li>It can only match on bytes it can <strong>read<\/strong>. In Threat Prevention gibt es keine TLS-Entschl\u00fcsselung, sodass eine verschl\u00fcsselte Nutzlast undurchsichtig ist.<\/li>\n\n<li>It can only match signatures <strong>somebody else wrote<\/strong>. The interface exposes vendor classes to switch on and off, and nothing that accepts a rule you author yourself.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Nichts davon ist ein Mangel. Ein IPS am Netzwerkperimeter ist eine sinnvolle und n\u00fctzliche Sache. Der Fehler liegt in der Annahme, dass eine Website am Perimeter angegriffen wird.<\/p>\n\n\n\n<h2 id=\"threat-prevention-vs-a-web-application-firewall\" class=\"wp-block-heading\">Threat Prevention vs. eine Web Application Firewall<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Am deutlichsten wird der Unterschied, wenn man Threat Prevention neben eine Web Application Firewall stellt und pr\u00fcft, was beide bei ihrer Entscheidung analysieren. Threat Prevention analysiert ein Paket. Eine WAF analysiert eine entschl\u00fcsselte HTTP-Anfrage.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Question<\/th><th>Router IPS<\/th><th>Reverse-proxy WAF<\/th><\/tr><\/thead><tbody><tr><td>Wo es verl\u00e4uft<\/td><td>On the routing path, before TLS ends<\/td><td>At the edge, after TLS ends<\/td><\/tr><tr><td>What it inspects<\/td><td>Packet headers and any cleartext bytes<\/td><td>Method, path, headers, cookies, body<\/td><\/tr><tr><td>HTTPS traffic<\/td><td>Opaque<\/td><td>Fully readable<\/td><\/tr><tr><td>Rules you can add<\/td><td>Vendor classes on or off<\/td><td>Your own expressions, plus managed rulesets<\/td><\/tr><tr><td>Same-subnet traffic<\/td><td>Never seen<\/td><td>Not applicable, it is upstream of everything<\/td><\/tr><tr><td>Typical catch<\/td><td>Reputation hits, scans, cleartext exploits, outbound command and control<\/td><td>Injection, traversal, known CVE request shapes, credential stuffing, bots<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Das sind keine konkurrierenden Produkte. Sie decken verschiedene Abschnitte derselben Strecke ab, und eine selbst gehostete Website ben\u00f6tigt das zweite weit mehr als das erste. Wir nutzen beide und erwarten von jedem etwas v\u00f6llig anderes.<\/p>\n\n\n\n<h2 id=\"reading-595-events-from-one-week-on-our-own-router\" class=\"wp-block-heading\">Auswertung von 595 Ereignissen aus einer Woche auf unserem eigenen Router<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Hier ist die \u00dcbersichtsansicht von Threat Prevention auf unserem Produktionsrouter vom 25. Oktober 2026. F\u00fcnfhundertf\u00fcnfundneunzig b\u00f6sartige Ereignisse in sieben Tagen, davon 75 mit hoher Schweregradstufe. Es liest sich wie eine Schutzmauer gegen eine Flut.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events.webp\" alt=\"Synology Threat Prevention-\u00dcbersicht auf einem RT6600ax, die 595 sch\u00e4dliche Ereignisse in sieben Tagen und ein Ger\u00e4t mit potenziellen Bedrohungen zeigt\" class=\"wp-image-22119\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-1000x482.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Sieben Tage auf unserem eigenen RT6600ax. Ein einzelnes Ger\u00e4t ist f\u00fcr jedes Ereignis mit hoher Schweregradstufe verantwortlich \u2013 und es ist der Mailserver, nicht der Webhost.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Zwei Details auf diesem Bildschirm sind mehr wert als die Gesamtzahl der Haupt\u00fcberschrift. Das erste ist, dass \u00fcberhaupt nur ein Ger\u00e4t unter den potenziellen Bedrohungen auftaucht, und zwar REVERSE_MAIL, das Ger\u00e4t, das TLS beendet und MailPlus ausf\u00fchrt. Das zweite ist das Signaturdatum neben dem gr\u00fcnen H\u00e4kchen. \u00d6ffnen Sie nun ein einzelnes Ereignis und lesen Sie, was tats\u00e4chlich ausgel\u00f6st wurde.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature.webp\" alt=\"Ein Threat Prevention-Ereignisdetail, das eine IP-Signatur mit schlechtem ET CINS-Ruf mit dem Status Alert und einen Regelk\u00f6rper zeigt, der nur auf IP-Adressen reagiert\" class=\"wp-image-22120\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Der Inhalt der Signatur verr\u00e4t es. Er beginnt mit alert ip gefolgt von einer Liste von Adressen, sodass an der Anfrage selbst nichts \u00fcberpr\u00fcft wurde.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Klassifizierung Misc Attack, Schweregrad Medium, Status Alert, Signaturname ET CINS Active Threat Intelligence Poor Reputation IP group 24. \u00d6ffnet man den Regel-Body, beginnt er mit alert ip gefolgt von einer langen Liste von Adressen. Das ist ein einfacher Blocklist-Abgleich. Kein Teil der HTTP-Anfrage wurde gelesen, weil kein Teil gelesen werden konnte. Wir haben Ereignisse an einem zweiten Ziel, unserem Virtual DSM-Host, stichprobenartig gepr\u00fcft und dieselbe Regelklasse mit einer anderen Gruppennummer gefunden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das ehrliche Fazit einer Woche lautet also: Der Router hat ein paar hundert Verbindungen von Adressen erkannt, die bereits einen schlechten Ruf hatten. Das ist durchaus n\u00fctzlich. Es ist jedoch keine Erkennung von Webangriffen, und niemand sollte die Zahl 595 so interpretieren, als w\u00e4re sie das.<\/p>\n\n\n\n<h2 id=\"how-to-audit-threat-prevention-in-4-steps\" class=\"wp-block-heading\">So \u00fcberpr\u00fcfen Sie Threat Prevention in 4 Schritten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Bevor Sie Threat Prevention irgendetwas anvertrauen, nehmen Sie sich zehn Minuten Zeit, um herauszufinden, was es in Ihrem eigenen Netzwerk tats\u00e4chlich tut. Jeder der folgenden Schritte ist schreibgesch\u00fctzt und \u00e4ndert nichts.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">\u00d6ffnen Sie ein Ereignis und lesen Sie den Signatur-Body<\/h3>\n<div class=\"rank-math-step-content\"><p>Gehen Sie zu Threat Prevention, dann zu Ereignisse, und klicken Sie auf einen beliebigen Eintrag. Blicken Sie hinter das farbige Schweregrad-Badge auf das Feld \u201eSignaturregeln\u201c. Eine Regel, die mit alert ip beginnt, basiert allein auf der Adress-Reputation. Eine Regel, die content oder pcre enth\u00e4lt, pr\u00fcft die Nutzdaten (Payload). Z\u00e4hlen Sie, wie viele von jeder Regelart Sie in Ihrer eigenen Liste finden, bevor Sie entscheiden, was Threat Prevention sch\u00fctzt.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">\u00dcberpr\u00fcfen Sie, welche Schnittstellen \u00fcberwacht werden<\/h3>\n<div class=\"rank-math-step-content\"><p>\u00d6ffnen Sie die Einstellungen und lesen Sie die Tabelle der \u00fcberwachten Schnittstellen. Nur die dort ausgew\u00e4hlten Schnittstellen werden \u00fcberpr\u00fcft, und bei einer normalen Bereitstellung sind dies die dem Internet zugewandten. Der Datenverkehr zwischen zwei Ger\u00e4ten im selben LAN-Subnetz wird geswitcht und nicht geroutet, sodass er die \u00dcberpr\u00fcfungs-Engine nie erreicht und keine Einstellung auf dieser Seite dies \u00e4ndern kann.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Finden Sie heraus, was passiert, wenn der Router ausgelastet ist<\/h3>\n<div class=\"rank-math-step-content\"><p>Schauen Sie im selben Panel auf den Standardmodus. \u201ePriorit\u00e4t auf Netzwerkstabilit\u00e4t\u201c bedeutet, dass bei Datenverkehr, der die Verarbeitungskapazit\u00e4t der Engine \u00fcbersteigt, der \u00dcberschuss ungefiltert durchgelassen wird. \u201ePriorit\u00e4t auf Sicherheit\u201c bedeutet, dass der \u00dcberschuss stattdessen verworfen wird. Eine Option arbeitet nach dem Fail-Open-Prinzip und h\u00e4lt Ihre Verbindung aufrecht, die andere nach dem Fail-Closed-Prinzip und unterbricht Ihre Verbindung. Entscheiden Sie, welche Option Sie tats\u00e4chlich m\u00f6chten.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Versuchen Sie, eine eigene Regel hinzuzuf\u00fcgen<\/h3>\n<div class=\"rank-math-step-content\"><p>\u00d6ffnen Sie die benutzerdefinierte Richtlinie. Sie k\u00f6nnen die Aktion f\u00fcr eine vom Anbieter bereits bereitgestellte Signatur \u00e4ndern und diese nach Quell- oder Zieladresse eingrenzen. Es gibt nirgendwo ein Feld, das eine selbst erstellte Signatur akzeptiert. Wenn Ihre Bedrohung neuer ist als Ihr Signatur-Feed, werden Sie auf diesem Bildschirm feststellen, dass Sie keine M\u00f6glichkeit haben zu reagieren.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<h2 id=\"where-it-genuinely-earns-its-place\" class=\"wp-block-heading\">Wo es sich seinen Platz wirklich verdient<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wir lassen Threat Prevention aktiviert, und das nicht aus Aberglauben. Es erledigt vier Aufgaben, die sonst nichts in unserem Stack \u00fcbernimmt.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Outbound command and control.<\/strong> This is the strongest case by far. A compromised device has to call home, that call has to leave through the router, and a good share of it is still either cleartext or aimed at a known address. Our router ships the Malware Command and Control Activity class with 3,450 of 3,498 rules enabled, and the Domain Observed Used for C2 class with 7,157 of 7,202.<\/li>\n\n<li><strong>Cleartext protocols from the internet.<\/strong> Our mail server answers on port 25, and SMTP is cleartext until STARTTLS. That is real inspectable traffic, and it is no accident that the mail host is the one device our events list keeps naming.<\/li>\n\n<li><strong>Scanning and reconnaissance.<\/strong> Port sweeps and fingerprinting are recognised by connection behaviour rather than by payload, so encryption does not hide them.<\/li>\n\n<li><strong>Visibility.<\/strong> A searchable log of who knocked and with what reputation is worth having, even when every entry is only a reputation hit. It is monitoring value, and it should be counted as monitoring value rather than as protection.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Was diese vier gemeinsam haben: Bei keiner davon handelt es sich um einen Angriff auf eine Website.<\/p>\n\n\n\n<h2 id=\"why-a-site-owner-asks-threat-prevention-for-the-wrong-thing\" class=\"wp-block-heading\">Warum Website-Betreiber von Threat Prevention das Falsche erwarten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Sie eine Website auf einem NAS hosten, enth\u00e4lt der Anfragepfad normalerweise einen Reverse Proxy. Unserer sieht folgenderma\u00dfen aus, und dessen Aufbau entscheidet \u00fcber alles:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>The visitor reaches <strong>Cloudflare<\/strong>, which answers most requests from cache and inspects the rest in cleartext.<\/li>\n\n<li>What is left crosses the <strong>router<\/strong>, wo Threat Prevention einen verschl\u00fcsselten TLS-Stream sieht und mehr nicht.<\/li>\n\n<li>Der <strong>reverse proxy NAS<\/strong> terminates TLS and forwards plain HTTP to the machine that runs the site.<\/li>\n\n<li>That last hop is on the <strong>same subnet<\/strong>, so the frame goes through a switch and the router is not in the path.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Liest man diese vier Zeilen zusammen, wird die Falle offensichtlich. Der einzige Abschnitt, in dem die Anfrage in lesbarer Form vorliegt, ist der letzte Hop, und genau das ist der eine Abschnitt, den der Router nicht beobachten kann. \u00dcberall sonst, wo der Router beobachten kann, ist die Anfrage verschl\u00fcsselt. Es gibt kein Kontrollk\u00e4stchen, das einen solchen Widerspruch aufl\u00f6st, und Threat Prevention versagt nicht, wenn es ruhig bleibt. Es berichtet pr\u00e4zise \u00fcber Datenverkehr, den es strukturell nicht lesen kann.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dies ist auch der Grund, warum es nicht funktioniert, Threat Prevention auf eine bestimmte Website auszurichten. Das Paket ist an Router-Schnittstellen gebunden, nicht an Hostnamen. Es hat keine Vorstellung davon, zu welcher Ihrer Websites eine Verbindung geh\u00f6rt, da es den Host-Header nie sieht.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces.webp\" alt=\"Threat Prevention-Einstellungen, die \u00fcberwachte Schnittstellen zeigen, die auf die internetzugewandten Ports beschr\u00e4nkt sind, den Priorit\u00e4tsmodus f\u00fcr Netzwerkstabilit\u00e4t und die ET Open-Signaturquelle\" class=\"wp-image-22121\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Monitored Interfaces ist der gesamte Umfang von Threat Prevention. Beachten Sie den Standardmodus darunter und die Signaturquelle ganz unten.<\/figcaption><\/figure>\n\n\n\n<h2 id=\"three-reasons-php2shell-was-invisible-at-the-router\" class=\"wp-block-heading\">Drei Gr\u00fcnde, warum PHP2Shell am Router unsichtbar war<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP2Shell, das Paar von Schwachstellen zur Remotecodeausf\u00fchrung vor der Authentifizierung, die als CVE-2026-109618 und CVE-2026-109619 nachverfolgt werden, wurde am 20. Oktober 2026 bekannt und am n\u00e4chsten Tag upstream gepatcht. Es ist genau die Art von Sache, von der man hofft, dass ein Router-IPS sie abf\u00e4ngt, und es lohnt sich, genau zu erl\u00e4utern, warum das nicht m\u00f6glich war.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Erstens war der Datenverkehr auf jedem Abschnitt, den der Router \u00fcberwacht, verschl\u00fcsselt.<\/strong> The exploit lives in the HTTP request, and the HTTP request only exists in the clear after TLS has been terminated, which happens downstream of the router on a hop the router never carries.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Zweitens gibt es keine Threat Prevention-Signatur, die man aktivieren k\u00f6nnte.<\/strong> We checked again on 25 October 2026 and found no published Snort or Emerging Threats rule for either CVE. Our feed is ET Open, the free tier, which lags the commercial set, and the Self-Defined Policy screen accepts no rule of your own. So even an operator who knew precisely what to match for had nowhere to put it.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy.webp\" alt=\"Der Bildschirm \u201eBenutzerdefinierte Richtlinie\u201c in Threat Prevention, leer, mit nur \u201eBearbeiten\u201c und \u201eL\u00f6schen\u201c verf\u00fcgbar und ohne Option zum Erstellen einer neuen Signatur\" class=\"wp-image-22123\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Self-Defined Policy passt die Aktion f\u00fcr Signaturen an, die der Anbieter bereits mitliefert. Es gibt kein Feld, das eine selbst geschriebene Regel akzeptiert.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Drittens, und am grundlegendsten, weist dieser Angriff keine Payload-Struktur auf, die abgeglichen werden k\u00f6nnte.<\/strong> The chain takes two requests. The first has to push PHP into exhausting its memory limit, which makes the engine abandon a request through a path that skips cleanup and leaves some global state behind. The second request is ordinary, and it is the one that reaches a stale pointer and turns into code execution.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die erste Anfrage wird dadurch definiert, wie viel Speicher sie verbraucht, nicht durch eine Bytefolge, und ein gro\u00dfer Upload, ein riesiger JSON-Body, ein tiefes Array sowie eine lange Zeichenfolge in einem regul\u00e4ren Ausdruck erf\u00fcllen alle diese Voraussetzung. Die zweite enth\u00e4lt keinerlei b\u00f6sartige Bytes. Ein IPS entscheidet pro Paket und pro Flow. Es verf\u00fcgt \u00fcber kein Modell eines Worker-Prozesses, der kontaminierten Status von einer Anfrage in die n\u00e4chste \u00fcbertr\u00e4gt \u2013 und genau dort befindet sich dieser Fehler.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das setzt auch die Grenzen der Gegenma\u00dfnahme, die zu dieser Zeit im Umlauf war und darin bestand, session.upload_progress in der PHP-Konfiguration zu deaktivieren. Sie entfernt zwar einen gut dokumentierten Weg zum zweiten CVE, und auf einem System, das man wirklich nicht patchen kann, ist sie besser als nichts. Es ist jedoch keine L\u00f6sung: Die Speicherersch\u00f6pfung kann nicht nur \u00fcber diese eine Funktion erreicht werden, und die Einstellung hat keinerlei Einfluss auf CVE-2026-109618. Wir haben sie auf genau einem Host als \u00dcbergangsl\u00f6sung eingesetzt und als gewonnene Zeit betrachtet, nicht als L\u00f6sung. Der vollst\u00e4ndige Bericht dar\u00fcber, wie wir gepatcht haben, befindet sich in unserem <a href=\"https:\/\/synopower.club\/de\/synology-php2shell-emergency-patch\/\">PHP2Shell write-up<\/a>.<\/p>\n\n\n\n<h2 id=\"fail-open-by-design-and-the-day-it-cost-us-our-mail\" class=\"wp-block-heading\">Fail-Open by Design und der Tag, an dem es uns unsere E-Mails kostete<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Es gibt noch eine weitere Eigenschaft, die man kennen sollte, bevor man Threat Prevention als verl\u00e4ssliche Schutzma\u00dfnahme betrachtet. Der empfohlene Standardmodus ist der Priorit\u00e4tsmodus f\u00fcr Netzwerkstabilit\u00e4t, und die Benutzeroberfl\u00e4che erkl\u00e4rt ungeschminkt, was das bedeutet: Wenn der Datenverkehr die Verarbeitungskapazit\u00e4t \u00fcbersteigt, werden ausstehende Pakete ohne Filterung durchgewinkt. Die Alternative, der Priorit\u00e4tsmodus f\u00fcr Sicherheit, verwirft sie stattdessen und warnt davor, dass die Verbindung instabil ist, bis das Problem behoben ist.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das ist eine sinnvolle Standardeinstellung f\u00fcr einen Heimrouter. Es bedeutet jedoch, dass Threat Prevention genau in dem Moment am schw\u00e4chsten ist, in dem man es am st\u00e4rksten br\u00e4uchte, da eine Flutwelle sowohl das ist, was man gefiltert haben m\u00f6chte, als auch das, was die Kapazit\u00e4t \u00fcbersteigt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wir haben auch die andere Fehlerart dokumentiert. Am 2. August 2026 bombardierte jemand unseren Reverse Proxy 116 Mal mit einem Exploit f\u00fcr einen Windows PHP-CGI-Fehler, der unter Linux \u00fcberhaupt nicht funktionieren kann. Threat Prevention verwarf so viele Pakete, dass sich sein eigener Status festfuhr, und verweigerte schlie\u00dflich den ausgehenden Datenverkehr genau der Maschine, die es sch\u00fctzen sollte. Unsere E-Mail-Warteschlange kam zum Stillstand und das Symptom sah genauso aus wie ein DNS-Fehler. Ein Neustart des Routers behob das Problem. Im Proxy-Zugriffsprotokoll erschien nichts, da nie etwas den Proxy erreichte. Ein Angriff, der strukturell nicht erfolgreich sein konnte, f\u00fchrte dennoch zu einem Ausfall \u2013 verursacht durch genau das System, das ihn eigentlich verhindern sollte.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list.webp\" alt=\"Die Klassen- und Signaturliste in Threat Prevention mit Anzahl aktivierter Regeln pro Klasse, einschlie\u00dflich Web Application Attack bei 5.928 von 6.010 Regeln\" class=\"wp-image-22122\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Schalter auf Klassenebene mit einer Anzahl der aktivierten Regeln auf der rechten Seite. Das ist der gesamte Anpassungsbereich.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Schauen Sie sich bei der Gelegenheit die Anzahl der aktivierten Regeln in dieser Liste an. Web Application Attack zeigt 5.928 von 6.010 Regeln als aktiv an, und das Verh\u00e4ltnis ist bei den f\u00fcr uns relevanten Klassen \u00e4hnlich. Das Aktivieren einer Klasse aktiviert nicht jede darin enthaltene Regel, und die Benutzeroberfl\u00e4che bietet keine M\u00f6glichkeit zu sehen, welche der verbleibenden Regeln Ihnen fehlen.<\/p>\n\n\n\n<h2 id=\"put-a-proxy-in-front-then-lock-the-origin-to-it\" class=\"wp-block-heading\">Schalten Sie einen Proxy davor und beschr\u00e4nken Sie den Origin darauf<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Sie eine Website \u00fcber ein NAS bereitstellen, ist eine Reverse-Proxy-WAF die Sicherheitsma\u00dfnahme, die das erledigt, was der Router nicht kann. Wir nutzen Cloudflare, und der Grund daf\u00fcr ist eher die Position als die Marke: TLS endet am Edge, sodass die vollst\u00e4ndige Anfrage in dem Moment lesbar ist, in dem die Entscheidung getroffen wird. Methode, Pfad, Abfrage (Query), Header, Cookies und Body stehen einer Regel alle zur Verf\u00fcgung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Deshalb sind die PHP2Shell-Schutzma\u00dfnahmen dort und nicht auf dem Router angekommen. Als die CVEs bekannt wurden, erhielt das verwaltete Regelset innerhalb von zwei Tagen sieben Regeln f\u00fcr das Paar, und diese waren in allen vier von uns betriebenen Zonen live, bevor wir den Neuaufbau unserer eigenen Container abgeschlossen hatten. Im Threat Prevention-Feed erschien nie ein \u00c4quivalent, und f\u00fcnf Tage sp\u00e4ter gibt es immer noch keine \u00f6ffentliche Snort- oder Emerging Threats-Regel zur Installation.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eine Warnung, die wichtiger ist als die Wahl des Anbieters: Ein vorgeschalteter Proxy hilft nur, solange er nicht umgangen werden kann. Wenn Ihre Origin-Adresse direkt auf das \u00f6ffentliche Internet antwortet, \u00fcberspringt jeder, der sie entdeckt, jede von Ihnen erstellte Edge-Regel. Beschr\u00e4nken Sie Port 443 auf dem Origin-Server auf die Netzwerkbereiche des Proxys, rufen Sie diese Bereiche vom Provider-Endpunkt ab, anstatt sie fest einzucodieren, und \u00fcberpr\u00fcfen Sie die Sperre, indem Sie die Website direkt \u00fcber ihre Adresse aufrufen. Unser erweitertes Setup und die vier Ebenen dahinter werden beschrieben in <a href=\"https:\/\/synopower.club\/de\/docs\/synology-nas-security-public-website\/\">the five layers we run<\/a>.<\/p>\n\n\n\n<h2 id=\"threat-prevention-limits-and-security-notes\" class=\"wp-block-heading\">Threat Prevention-Einschr\u00e4nkungen und Sicherheitshinweise<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Threat Prevention ben\u00f6tigt externen Speicher auf dem Router und ist nicht f\u00fcr jedes Modell verf\u00fcgbar. \u00dcberpr\u00fcfen Sie daher die Unterst\u00fctzung f\u00fcr Ihre Hardware, bevor Sie damit planen. Die Engine ist zudem die meiste Arbeit, die Ihr Router verrichtet, und bei einem Verbraucherger\u00e4t ist sie die Komponente, die am ehesten zur Durchsatzgrenze wird. Messen Sie vorher und nachher, anstatt den Marketingzahlen zu vertrauen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Betrachten Sie jede Zahl auf dem \u00dcbersichtsbildschirm als eine Anzahl von Signatur-Treffern, nicht als eine Anzahl verhinderter Angriffe. Die beiden weichen in beide Richtungen voneinander ab. Ein Reputations-Treffer gegen einen Scanner, der ohnehin nichts erreicht h\u00e4tte, treibt die Gesamtzahl in die H\u00f6he, und eine ruhige Woche beweist nichts \u00fcber den HTTPS-Datenverkehr, den die Engine nicht lesen kann.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Bei Threat Prevention ist der Status ebenso wichtig wie die Schwere des Risikos. \u201ePakete mit hohem Risiko automatisch verwerfen\u201c wirkt sich nur auf den hohen Bereich aus, sodass Eintr\u00e4ge mit mittlerer Schwere aufgezeichnet und weitergeleitet werden. Eine Benutzeroberfl\u00e4che, die \u201eWarnung\u201c anzeigt, teilt Ihnen mit, dass das Paket zugestellt wurde.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der Signatur-Feed ist eine Lieferkette. ET Open wird nach einem Zeitplan aktualisiert, hinkt dem kommerziellen Regelset hinterher und liefert m\u00f6glicherweise \u00fcberhaupt nichts f\u00fcr eine Schwachstelle, die bereits Tage alt ist. Ein Dashboard, das meldet, dass die Datenbank auf dem neuesten Stand ist, meldet, dass sie mit dem Feed \u00fcbereinstimmt \u2013 nicht, dass der Feed abdeckt, was derzeit ausgenutzt wird.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nichts davon ersetzt das Einspielen von Patches. Jede hier besprochene Ebene verschafft Zeit f\u00fcr das, was eine Sicherheitsl\u00fccke tats\u00e4chlich schlie\u00dft: die Aktualisierung der betroffenen Software. F\u00fcr PHP2Shell bedeutete dies neue PHP-Pakete und neu erstellte Container, und keine Netzwerksteuerung konnte dies ersetzen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Widerstehen Sie schlie\u00dflich dem Drang, nach dem Lesen einer Sicherheitswarnung jede Klasse einzuschalten. Klassen wie \u201eMisc activity\u201c enthalten Tausende von geringwertigen Regeln, die haupts\u00e4chlich Rauschen erzeugen und dieselbe Kapazit\u00e4t verbrauchen, die die n\u00fctzlichen Klassen ben\u00f6tigen. Eine ruhige, gut abgestimmte Ereignisliste, die Sie tats\u00e4chlich lesen, ist besser als eine laute, die Sie zu ignorieren lernen.<\/p>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">H\u00e4ufig gestellte Fragen<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Sch\u00fctzt Threat Prevention eine auf meinem NAS gehostete Website?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Kaum, und nicht auf die Weise, die der Name vermuten l\u00e4sst. Eine Website wird \u00fcber HTTPS bereitgestellt, und Threat Prevention f\u00fchrt keine TLS-Entschl\u00fcsselung durch, sodass die Anfrage \u00fcberall dort, wo der Router sie sehen kann, undurchsichtig ist. Bei einem typischen Setup wird die Anfrage erst lesbar, nachdem ein Reverse Proxy TLS terminiert, und dieser Hop befindet sich gew\u00f6hnlich im selben Subnetz, sodass er geswitcht statt geroutet wird und der Router ihn nie verarbeitet. Verwenden Sie eine Reverse-Proxy-WAF f\u00fcr die Website und nutzen Sie Threat Prevention daf\u00fcr, worin es gut ist.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Welche Option sollte ich aktivieren, um eine bestimmte CVE zu stoppen?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Usually none, because the answer depends on whether the vendor shipped a signature for it at all. Open Self-Defined Policy and you will find you can change the action on an existing signature but cannot add one of your own. If no rule exists in the feed, there is nothing to enable, and for a vulnerability a few days old that is the normal case.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Why does my event list only name one or two devices?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Because those are the devices receiving traffic the engine can actually read. On our network it is consistently the mail server, which answers cleartext SMTP on port 25. A web host behind a reverse proxy produces few entries not because it is attacked less, but because its traffic is encrypted at every point the router inspects.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">\u00dcberpr\u00fcft Threat Prevention den Verkehr zwischen Ger\u00e4ten in meinem LAN?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No. Two devices in the same subnet reach each other through a switch, and the router is not in that path, so the packets are never offered to the inspection engine. The Monitored Interfaces table in Settings shows the real scope, and no option there extends it to same-subnet traffic.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Ist es sicher, Threat Prevention aktiviert zu lassen?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Yes, with one caveat worth knowing. The recommended default passes traffic through unfiltered when the engine is saturated, which keeps your line up at the cost of inspection. The opposite mode drops that traffic instead. We have also had the engine wedge under a flood of harmless exploit attempts and start refusing a server&#8217;s outbound traffic, which cost us a mail outage, so include the router in your list of suspects when a machine goes quiet.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Hat Threat Prevention bei PHP2Shell \u00fcberhaupt geholfen?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No, and three separate reasons each would have been enough on their own. The traffic was encrypted everywhere the router looks, no Snort or Emerging Threats signature was published for either CVE, and the exploit has no payload shape to match because the first request is defined by the memory it consumes and the second looks completely ordinary. The fix was new PHP packages, with a reverse-proxy WAF covering the gap in the meantime.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Is disabling session.upload_progress enough on an unpatchable host?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>It helps and it is not enough. Switching it off removes one documented route to CVE-2026-109619, which is worth doing on a host you truly cannot update, but memory exhaustion is reachable by other means and the setting does nothing for CVE-2026-109618. Treat it as borrowed time and plan the package update.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">What should I buy or configure first for a NAS-hosted site?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Schalten Sie einen Reverse Proxy mit einem verwalteten Regelsatz vor die Website und beschr\u00e4nken Sie den Ursprung so, dass Port 443 nur diesem Proxy-Netzwerk antwortet. Diese beiden Schritte verlegen den Pr\u00fcfpunkt an eine Stelle, an der die Anfrage lesbar ist, und beseitigen die Umgehung, die ihn aufheben w\u00fcrde. Lassen Sie Threat Prevention danach f\u00fcr ausgehenden Command-and-Control-Verkehr und f\u00fcr Klartextdienste aktiviert, wo es seine eigentliche Arbeit leistet.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<h2 id=\"references-and-video-walkthroughs\" class=\"wp-block-heading\">Referenzen und Video-Anleitungen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Prim\u00e4re Quellen f\u00fcr alles oben Genannte sowie drei Anleitungen, die Ihre Zeit wert sind.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/SRM\/help\/ThreatPrevention\/threatprevention_desc\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Knowledge Center: Threat Prevention<\/a> covers requirements, modes and model support.<\/li>\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_14\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:14<\/a> lists the fixed PHP package versions for DSM, including the 7.4 build.<\/li>\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/php2shell\/Synology%20Statement%20on%20PHP2Shell%20Vulnerabilities\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Statement on PHP2Shell<\/a> names the affected packages and the one that needs a manual update.<\/li>\n\n<li><a href=\"https:\/\/developers.cloudflare.com\/waf\/managed-rules\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Cloudflare WAF managed rules<\/a> explains how managed rulesets are versioned and deployed.<\/li>\n\n<li><a href=\"https:\/\/www.cloudflare.com\/ips\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Cloudflare IP-Bereiche<\/a> is the endpoint to read when locking an origin to the proxy instead of hard-coding addresses.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"SRM Threat Prevention \u2013 Echtzeit-Netzwerkschutz erkl\u00e4rt\" width=\"1200\" height=\"675\" src=\"https:\/\/www.youtube.com\/embed\/yT_xGpxGF7k?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">SRM Threat Prevention erkl\u00e4rt, einschlie\u00dflich der Position des Pakets im Netzwerk<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Synology-Router-Geschwindigkeitstest mit aktiviertem Threat Prevention.\" width=\"1200\" height=\"900\" src=\"https:\/\/www.youtube.com\/embed\/wuuRthcZQ_E?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Ein Durchsatztest mit aktivierter Threat Prevention \u2013 die Kosten, die niemand erw\u00e4hnt<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Protecting Your Public Websites with Cloudflare WAF\" width=\"1200\" height=\"675\" src=\"https:\/\/www.youtube.com\/embed\/NbEo8p2Hvt8?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Cloudflare \u00fcber den Schutz \u00f6ffentlicher Websites mit einer WAF \u2013 die Ebene, die die Anfrage liest<\/figcaption><\/figure>","protected":false},"excerpt":{"rendered":"<p>Threat Prevention is the package most people reach for the moment they decide to host a website on a Synology NAS. It sits on the router, it has a shield icon, and its dashboard counts attacks in the hundreds, so it looks like the thing that keeps a public site safe. We run it on [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22124,"comment_status":"open","ping_status":"closed","template":"","meta":{"_eb_attr":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"doc_category":[197],"doc_tag":[],"class_list":["post-22125","docs","type-docs","status-publish","has-post-thumbnail","hentry","doc_category-nas-hosting-101"],"year_month":"2026-10","word_count":3684,"total_views":"43","reactions":{"happy":"0","normal":"0","sad":"0"},"author_info":{"name":"Adair Hsu","author_nicename":"adairpk17","author_url":"https:\/\/synopower.club\/de\/author\/adairpk17\/"},"doc_category_info":[{"term_name":"NAS Hosting 101","term_url":"https:\/\/synopower.club\/de\/docs-category\/nas-hosting-101\/"}],"doc_tag_info":[],"_links":{"self":[{"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/docs\/22125","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/docs"}],"about":[{"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/types\/docs"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/comments?post=22125"}],"version-history":[{"count":2,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/docs\/22125\/revisions"}],"predecessor-version":[{"id":22127,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/docs\/22125\/revisions\/22127"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/media\/22124"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/media?parent=22125"}],"wp:term":[{"taxonomy":"doc_category","embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/doc_category?post=22125"},{"taxonomy":"doc_tag","embeddable":true,"href":"https:\/\/synopower.club\/de\/wp-json\/wp\/v2\/doc_tag?post=22125"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}