Viele von meinen Bloglesern haben sicherlich ein NAS-System zuhause stehen und haben dies selbst eingerichtet. Leider ergeben sich daraus aber auch oft kleine bis mittlere Sicherheitslücken. Meine acht Tipps um ein NAS sicher betreiben zu können, werden dir sicherlich helfen.

Heise Online hatte vor einigen Tagen wieder einArtikel (externer Link) veröffentlicht in dem von einer neuen Welle von Angriffen auf QNAP undSynology (externer Link) NAS Systemen geschrieben wird. Viele der Themen und Angriffszenarien lassen sich sich allerdings von Anfang an direkt eliminieren.

Hier sind meine acht Tipps um dein NAS sicher betreiben zu können:

Reduziere die Anzahl der Zusatzpakete

Alle NAS-System Hersteller bieten eine Art Appstore an in dem sich der Benutzer des Systems zusätzliche Programme installieren kann. Das ist sehr praktisch und führt dazu, dass man nur ein größeres System als viele kleine einzelne Server benötigt. Allerdings wird dadurch das Risiko erhöht Schwachstellen zu kreieren. Entsprechend ist es sinnvoll die Anzahl der Anwendungen möglichst klein zu halten. Programme welche man nicht benötigt sollte man deinstallieren.

AntiViren Programme nutzen

Auf seinem Clientsystem haben die meisten Computernutzer ein AntiViren-Programm bereits installiert. Windows 10 Nutzer sind mit dem Windows Defender bereits von Haus aus gut geschützt. Aber auf dem NAS System machen sich da wenig Leute Gedanken.Synology (externer Link) bietet in Kooperation mit verschiedenen Herstellern Paket an die die Dateien auf dem Netzwerkspeicher scannen und evtl. Bedrohungen eliminieren.

HTTPS aktivieren

Bei allen Herstellern ist mit ein paar Mausklick das HTTPS Protokol aktiviert. Damit wird die Benutzeroberfläche verschlüsselt dem Browser präsentiert. Zwar kommen die entsprechenden Zertifikate nur selbstsigniert daher, sind dafür aber schon einmal die halbe Miete. Mit ein paar mehr Mausklicks lassen sich auch Let’s encrypt Zertifikate nutzen.

Anzahl der Loginversuche begrenzen

Im Auslieferungszustand kann ein Angreifer so lange eine Benutzername/Passwort Kombination testen bis er es geschafft hat. Entsprechend ist es hier wichtig, dass man die Anzahl der möglichen Versuch begrenzt und eine Wartezeit einbaut. Viele kennen diese Funktion bereits bei der heimischenFritzbox (externer Link) bei der die Wartezeit sich immer verdoppelt, sollte man ein falsches Passwort eingetragen haben.

Keine default Accounts nutzen

Jeder Hersteller legt seinen eigenen Administratorzugang an. Dieser sollte direkt durch einen neuen, eigenen Benutzer ersetzt werden. Lege dir hierzu einen neuen Benutzer auf deinem NAS-System an, vergebe ihm Administratorenrechte und deaktiviere den standardmäßigen Admin-Account. Angreifer wissen welchen Benutzername sie bei einemSynology (externer Link) oder QNAP NAS verwenden müssen und müssen so „nur“ noch das Passwort erraten.

Kein Gast Zugriff aktivieren

Benutzt immer personalisierte Accounts für alle Geräte. Generische Accounts machen zwar das Leben einfacher, sind aber unsicher. Gerade Ransomware versucht sich auch über Freigaben zu verteilen und Freigaben welche mittels Zugangsdaten geschützt sind, können nicht so leicht angegriffen werden. Windows 10 und Server 2016/2019 habenGastzugriffe z. B. per default deaktiviert.

Externen Zugriff nur via VPN

Synology Quickconnect ist eine feine Sache und lässt sich sehr leicht einreichen. Es ist allerdings „unsicher“. Die zufällig generierte URL lässt sich ausrechnen und potentielle Angreifer versuchen so auf NAS Systeme zu kommen. Es ist damit recht unwahrscheinlich, dass ihr als Ziel direkt angesprochen werdet, allerdings wollen die meisten Angriffe nur möglichst breiten Schaden anrichten. Somit ist es dem Angreifer egal auf welchem Gerät er schlussendlich landet, Hauptsache er kann das System infizieren.

Systeme aktuell halten!

Das ist der wichtigste Tipp den ich euch geben kann. Im Netzwerk sollten immer alle Geräte möglichst zeitnah mit Sicherheitsupdates versorgt werden. Jede Software ist fehlerbehaftet und es ist immer nur die Frage wann eine Sicherheitslücke ausgenutzt wird und nicht ob. Wenn du also dein System immer mit den neusten Updates versorgst reduzierst du die Wahrscheinlichkeit eines erfolgreichen Angriffes um ein vielfaches.

Ich hoffe dir haben meine Tipps für ein sicheres NAS weiter geholfen. Wenn du dir das lieber in einem Video anschauen möchtest kannst du dies gern hier tun.

MeineFreundin (externer Link) und ich haben viele Jahre1Passwort (externer Link) genutzt um sämtliche unserer Passwörter zu speichern. Jetzt allerdings wechseln wir zu einem Familienaccount beiBitwarden (externer Link) .

1Password ist sicherlich einer der besten Passwortmanager die es auf dem Markt gibt. Sehr umfangreich, man liest von keinen Sicherheitslücken und gut in der Mac Welt integriert. Viele Apps haben eine direkt Unterstützung eingebaut um den Passwortmanager direkt aufrufen zu können.

Gut aber teuer

Warum aber dann der Wechsel? 1Passwort allein kostet entweder pro Monat oder man muss für einiges an Geld die Apps einzeln kaufen. Für eine Person ist das auf jeden Fall auch sein Geld wert. Ein Familienaccount, so wir ihn betreiben kostet derzeit knapp 70 US-$ pro Jahr. Uns mittlerweile dafür zu viel.

Vor allem weil es mittlerweile sehr gute Alternativen gibt. Zwar könnte man hier auch zuLastpass (externer Link) wechseln, allerdings wäre das auch wieder ein Cloud-only Service. Wir wechseln jetzt allerdings zu Bitwarden. Diese Lösung kann man entweder auch als Cloudlösung betreiben, oder auf dem eigenen Server hosten.

Das hosten der Passwörter auf einem Server ist natürlich nur für diese Personen interessant die Bitwarden – oder jeden anderen Passwortmanager – mit verschiedenen Geräten nutzen und synchronisieren möchten. Standalone in der App auf dem Handy oder Computer ist das alles ohne Cloudservice nutzbar.

Bei uns im Haushalt sind allerdings mehrere Geräte vorhanden. MacBook, iMac, iPad, iPhone etc, die alle auf unsere Passwörter zugreifen sollen. Entsprechend benötigen wir diesen Service sehr intensiv.

Bitwarden ist die beste Alternative

Wer auf Datenschutz und -sicherheit setzen möchte wäre mit Bitwarden, gerade in der Variante mit dem selfhosting, wohl am besten bedient. Natürlich hat nicht jeder die Möglichkeiten oder das Know How das selbst zu betreiben, der kann allerdings immer noch den Clouddienst nutzen.

Bitwarden bietet unter andere auch verschiedene Tarife für verschiedene Ausbaustufen an. Ein einzelner Account ist erst mal kostenfrei und mit den wichtigsten Funktionen ausgestattet. Ein Familienaccount mit bis zu 5 Personen kostet nur 12 US-$ pro Jahr. Hier müssen es übrigens nicht unbedingt Familienmitglieder sein, sondern es sind auch Freunde möglich (unterschiedliche Anschrift)!

Lediglich die Nutzung von Yubi Keys oder TOTPs sind nur mit der Premiumvariante nutzbar. Diese kostet im Einzelaccount 10 US-$ pro Jahr. Für Familienmitglieder (dann wieder für alle) 40 US-$ zusätzlich.

Für Firmen gibt es sogar die Möglichkeit seinen Passwortserver direkt an ein Verzeichnisdienst wieActive Directory oder openLDAP anzubinden.

Fazit zu Bitwarden

Wir (externer Link) nutzen Bitwarden schon seit einziger Zeit in der Firma. Dort hat Bitwarden KeePass abgelöst aus dem wir so langsam rausgewachsen sind. Für den privaten Einsatz habe ich bis jetzt noch nichts vermisst was mir 1Passwort geleistet hat, aber ich mit Bitwarden nicht umsetzen konnte. Für all diejenigen die auf der Suche nach einer Alternative sind, sei der Blick auf Bitwarden also einmal empfohlen.