NAS absichern: Sieben Schritte gegen Trojaner und Datenverlust

Ein NAS enthält oft das Wertvollste, was eine Familie digital besitzt: Fotos aus vielen Jahren. Genau deshalb ist es für Erpresser interessant. Die gute Nachricht: Mit ein paar Einstellungen seid ihr deutlich besser geschützt als die meisten Geräte da draußen.

Ein Beispiel, warum das wichtig ist

Anfang 2022 verschlüsselte die Erpresser-Software „Deadbolt“ die Daten auf mehr als 3.600 QNAP-Geräten, vor allem in Europa und den USA. Für den Schlüssel verlangten die Täter rund 1.100 Dollar in Bitcoin. Betroffen waren Geräte, die direkt aus dem Internet erreichbar waren. QNAP riet damals dazu, die Geräte vom Internet zu trennen und Portweiterleitungen sowie UPnP im Router abzuschalten.

Das ist kein reines QNAP-Problem. Jedes Gerät, das offen im Internet steht, wird früher oder später angegriffen. Bei Synology, UGREEN und allen anderen gilt dasselbe.

1. Das NAS nicht direkt ins Internet stellen

Das ist der wichtigste Punkt. Richtet im Router keine Portweiterleitung zum NAS ein, und schaltet UPnP für das NAS aus, damit es sich nicht selbst Türen im Router öffnet. Bei einer Fritzbox findet ihr das unter „Internet“ und „Freigaben“.

2. Von unterwegs nur per VPN zugreifen

Ihr wollt trotzdem im Urlaub an eure Fotos? Dann baut eine VPN-Verbindung nach Hause auf. Das Handy verhält sich dann so, als wäre es im Heim-WLAN, das NAS bleibt aber für den Rest der Welt unsichtbar. Viele Router haben das eingebaut, zum Beispiel die Fritzbox mit WireGuard. Die Einrichtung dauert etwa zehn Minuten, die Anleitung steht in Fritzbox-VPN einrichten.

Alternativ bieten die Hersteller eigene Fernzugriffsdienste an (Synology QuickConnect, myQNAPcloud, UGREENlink). Die sind bequem, aber das NAS ist dann über den Dienst des Herstellers erreichbar. Wenn ihr den Komfort braucht, schützt den Zugang mindestens mit Zwei-Faktor-Anmeldung.

3. Updates automatisch installieren

Die meisten Angriffe nutzen Sicherheitslücken, für die es längst ein Update gibt. Schaltet in den Einstellungen die automatische Installation von Sicherheitsupdates ein. Größere Versionssprünge könnt ihr weiterhin selbst anstoßen.

4. Das Standard-Administratorkonto stilllegen

Angreifer probieren zuerst die Standardnamen wie „admin“ aus. Legt ein eigenes Administratorkonto mit einem anderen Namen an und deaktiviert danach das Standardkonto. Schützt das Administratorkonto mit einem langen Passwort und Zwei-Faktor-Anmeldung.

5. Jedem nur die Rechte geben, die er braucht

Jedes Familienmitglied bekommt ein eigenes Konto, ohne Administratorrechte. Die Kinder sehen nur ihre Ordner und den gemeinsamen Fotoordner. Für die Rechner-Backups legt ihr ein eigenes Konto an, das nur in den Backup-Ordner schreiben darf. Wird dann ein einzelner Rechner von einem Trojaner befallen, kommt er nicht an alles heran.

6. Unnötige Apps und Dienste abschalten

Jede installierte App und jeder Dienst ist eine mögliche Schwachstelle. Was ihr nicht nutzt, deinstalliert oder schaltet ihr ab. Dienste wie SSH, Telnet oder FTP braucht eine Familie in der Regel nicht.

7. Snapshots und ein Backup außerhalb des NAS

Selbst mit allen Vorkehrungen kann etwas schiefgehen. Dann retten euch zwei Dinge:

• Snapshots auf dem NAS, damit ihr den Stand von gestern zurückholen könnt. Manche Systeme bieten sogar Snapshots, die sich für eine bestimmte Zeit nicht löschen lassen, auch nicht von einem Angreifer mit Administratorrechten.
• Ein Backup, das nicht dauerhaft am NAS hängt, etwa eine externe Festplatte, die ihr nach der Sicherung absteckt, oder ein Cloud-Backup mit Versionen.

Mehr dazu in RAID ist kein Backup.

Die Checkliste zum Abhaken

• Keine Portweiterleitung zum NAS, UPnP aus
• Fernzugriff nur per VPN, oder Herstellerdienst mit Zwei-Faktor-Anmeldung
• Automatische Sicherheitsupdates an
• Standard-Admin deaktiviert, eigenes Admin-Konto mit Zwei-Faktor-Anmeldung
• Eigene Konten ohne Admin-Rechte für alle Familienmitglieder
• Unbenutzte Apps und Dienste entfernt
• Snapshots aktiv, Backup außerhalb des NAS vorhanden und getestet