Viele von meinen Bloglesern haben sicherlich ein NAS-System zuhause stehen und haben dies selbst eingerichtet. Leider ergeben sich daraus aber auch oft kleine bis mittlere Sicherheitslücken. Meine acht Tipps um ein NAS sicher betreiben zu können, werden dir sicherlich helfen.

Heise Online hatte vor einigen Tagen wieder einArtikel (externer Link) veröffentlicht in dem von einer neuen Welle von Angriffen auf QNAP undSynology (externer Link) NAS Systemen geschrieben wird. Viele der Themen und Angriffszenarien lassen sich sich allerdings von Anfang an direkt eliminieren.

Hier sind meine acht Tipps um dein NAS sicher betreiben zu können:

Reduziere die Anzahl der Zusatzpakete

Alle NAS-System Hersteller bieten eine Art Appstore an in dem sich der Benutzer des Systems zusätzliche Programme installieren kann. Das ist sehr praktisch und führt dazu, dass man nur ein größeres System als viele kleine einzelne Server benötigt. Allerdings wird dadurch das Risiko erhöht Schwachstellen zu kreieren. Entsprechend ist es sinnvoll die Anzahl der Anwendungen möglichst klein zu halten. Programme welche man nicht benötigt sollte man deinstallieren.

AntiViren Programme nutzen

Auf seinem Clientsystem haben die meisten Computernutzer ein AntiViren-Programm bereits installiert. Windows 10 Nutzer sind mit dem Windows Defender bereits von Haus aus gut geschützt. Aber auf dem NAS System machen sich da wenig Leute Gedanken.Synology (externer Link) bietet in Kooperation mit verschiedenen Herstellern Paket an die die Dateien auf dem Netzwerkspeicher scannen und evtl. Bedrohungen eliminieren.

HTTPS aktivieren

Bei allen Herstellern ist mit ein paar Mausklick das HTTPS Protokol aktiviert. Damit wird die Benutzeroberfläche verschlüsselt dem Browser präsentiert. Zwar kommen die entsprechenden Zertifikate nur selbstsigniert daher, sind dafür aber schon einmal die halbe Miete. Mit ein paar mehr Mausklicks lassen sich auch Let’s encrypt Zertifikate nutzen.

Anzahl der Loginversuche begrenzen

Im Auslieferungszustand kann ein Angreifer so lange eine Benutzername/Passwort Kombination testen bis er es geschafft hat. Entsprechend ist es hier wichtig, dass man die Anzahl der möglichen Versuch begrenzt und eine Wartezeit einbaut. Viele kennen diese Funktion bereits bei der heimischenFritzbox (externer Link) bei der die Wartezeit sich immer verdoppelt, sollte man ein falsches Passwort eingetragen haben.

Keine default Accounts nutzen

Jeder Hersteller legt seinen eigenen Administratorzugang an. Dieser sollte direkt durch einen neuen, eigenen Benutzer ersetzt werden. Lege dir hierzu einen neuen Benutzer auf deinem NAS-System an, vergebe ihm Administratorenrechte und deaktiviere den standardmäßigen Admin-Account. Angreifer wissen welchen Benutzername sie bei einemSynology (externer Link) oder QNAP NAS verwenden müssen und müssen so „nur“ noch das Passwort erraten.

Kein Gast Zugriff aktivieren

Benutzt immer personalisierte Accounts für alle Geräte. Generische Accounts machen zwar das Leben einfacher, sind aber unsicher. Gerade Ransomware versucht sich auch über Freigaben zu verteilen und Freigaben welche mittels Zugangsdaten geschützt sind, können nicht so leicht angegriffen werden. Windows 10 und Server 2016/2019 habenGastzugriffe z. B. per default deaktiviert.

Externen Zugriff nur via VPN

Synology Quickconnect ist eine feine Sache und lässt sich sehr leicht einreichen. Es ist allerdings „unsicher“. Die zufällig generierte URL lässt sich ausrechnen und potentielle Angreifer versuchen so auf NAS Systeme zu kommen. Es ist damit recht unwahrscheinlich, dass ihr als Ziel direkt angesprochen werdet, allerdings wollen die meisten Angriffe nur möglichst breiten Schaden anrichten. Somit ist es dem Angreifer egal auf welchem Gerät er schlussendlich landet, Hauptsache er kann das System infizieren.

Systeme aktuell halten!

Das ist der wichtigste Tipp den ich euch geben kann. Im Netzwerk sollten immer alle Geräte möglichst zeitnah mit Sicherheitsupdates versorgt werden. Jede Software ist fehlerbehaftet und es ist immer nur die Frage wann eine Sicherheitslücke ausgenutzt wird und nicht ob. Wenn du also dein System immer mit den neusten Updates versorgst reduzierst du die Wahrscheinlichkeit eines erfolgreichen Angriffes um ein vielfaches.

Ich hoffe dir haben meine Tipps für ein sicheres NAS weiter geholfen. Wenn du dir das lieber in einem Video anschauen möchtest kannst du dies gern hier tun.

In meinem Homelab betreibe ich seit langem ein Proxmox Server. Die Software ist für mich im Homelab der beste Kompromiss aus Features, Stabilität und Kosten. Es war also nur eine Frage der Zeit bis ein Proxmox Cluster im Homelab einziehen wird.

Seit längerer Zeit habe ich auch noch ein kleinen Server daheim stehen der zumeist ausgeschaltet war. Eine gewisse Zeit lief dieser Rechner auch mal alslow cost Plex Server mit Hardware Transcoding sehr zufriedenstellend. Allerdings bin ich dann doch wieder auf mein normalen Server umzogen.

Vor ein paar Tagen habe ich mich dann entschlossen einmal ein Proxmox Cluster auszuprobieren. Angeblich soll man diedritte Node (externer Link) ja mit einemRaspberry Pi (externer Link) vorhalten können. Dieses Unterfangen hat allerdings bei mir nicht funktioniert.

EinProxmox Cluster imHomelab lässt sich sehr einfach erstellen. Alles kann über eine Netzwerkkarte laufen. Empfohlen ist aber, ein extra Netzwerk für die Kommunikation von corosync zu erstellen. In meinem Test habe ich das allerdings nicht gemacht.

Storage für den Proxmox Cluster

Das Storage wird in diesem Test auch nicht via Ceph bereit gestellt, sondern ganz klassisch via NFS auf meinemSynology NAS. Auch hierfür sollte man am besten ein eigenes Netzwerk bereitstellen.

Den Cluster selbst kann man seit einigen Versionen schon recht schnell und einfach in der Oberfläche von Proxmox erstellen. Man vergibt einen Namen, wählt das Clusternetzwerk aus und schon ist die erste Node hinzugefügt. Anschließend kopiert man die Clusterinformationen und fügt die unter dem Punkt Cluster bei der zweiten Node ein. Wenn man weitere physikalische Nodes hat, fährt man entsprechend fort.

Ich hatte es erst mit einemRaspberry Pi (externer Link) als corosync Node probiert. Das hat allerdings überhaupt nicht funktioniert. Die Anleitung ist auch schon etwas älter und sicherlich sind einige Dinge seit dem geändert worden.

Schlussendlich habe ich mich dann mit einer etwas unschönen Lösung beholfen und habe eine virtuelle Maschine erstellt und virtualisiere meine dritte Node alsVM . Hierfür muss natürlich nested virtualisiation eingeschaltet sein, denn sonst gibt es bei der Installation von Proxmox Probleme. Diese kann man zwar für unseren Zweck ignorieren, allerdings bin ich dann da doch recht altmodisch. Als Hardware hab ich nur 1 vCPU und 2 GB RAM verwendet. Mehr benötigt die VM auch nicht, denn sie dient für mich nur als Clusterzeuge.

Sobald die VM also installiert ist, kann man die Clusterinformationen dann im Punkt Cluster des virtualisierten Proxmox einfügen. Nach ein paar Sekunden hat man dann einen funktionierenden Proxmox Cluster im Homelab welcher auch Hochverfügbarkeit beherrscht. Natürlich nicht mit einer supporteten Konfiguration!

Windows blockiert SMB-Gastzugriff: Ursache & Lösung

Mit Windows Server 2019 und den aktuellen Versionen von Windows 10 und Windows 11 hat Microsoft die Sicherheit rund um SMB deutlich angezogen. Eine dieser Maßnahmen betrifft denGastzugriff auf SMB-Freigaben, der aus Sicherheitsgründen mittlerweile standardmäßig deaktiviert ist.

Vor kurzem bin ich genau in diese Falle getappt:
Unsere Hyper-V Server sollten Veeam-Backups auf ein Synology NAS ablegen. Der Zugriff erfolgt normalerweise anonym – also alsSMB-Gastzugriff, ohne Benutzername und Passwort. Doch plötzlich wurde der Zugriff verweigert.

Typische Symptome, wenn Windows Gastzugriff blockiert

WennEnableInsecureGuestLogons deaktiviert ist, treten häufig folgende Probleme auf:

• Zugriff auf NAS, Samba oder Synology-Freigaben schlägt fehl
• Veeam kann Backup-Shares nicht schreiben oder mounten
• Windows meldet „Zugriff verweigert“ oder „Der Netzwerkpfad wurde nicht gefunden“
• Im Eventlog erscheint ein Hinweis, dass unsichere Gastzugriffe blockiert wurden

Zuerst hatte ich SMB1 im Verdacht – allerdings war SMB1 auf der Synology korrekt deaktiviert.

Prüfen, ob Gastzugriff blockiert ist

Mit folgendem PowerShell-Befehl lässt sich die aktuelle SMB-Konfiguration auslesen:

Get-SmbClientConfiguration

In der Ausgabe findet sich der entscheidende Eintrag:

EnableInsecureGuestLogons: False

Sobald dieser WertFalse ist, blockiert Windows jeden anonymen Zugriff – egal ob auf Synology, Samba oder Windows-Freigaben.

Lösung: Gastzugriff in Windows wieder aktivieren

Um den Zugriff wieder zu erlauben, öffnest du einPowerShell-Fenster mit Administratorrechten und führst folgenden Befehl aus:

Set-SmbClientConfiguration -EnableInsecureGuestLogons $true

Damit lassen sich anonyme SMB-Freigaben wieder nutzen – z. B. für Backup-Ziele, Lab-Umgebungen oder ältere Geräte, die keinen Auth-Mechanismus unterstützen.

Wichtiger Sicherheitshinweis

Der Gastzugriff gilt aus Microsoft-Sicht als unsicher. Ich empfehle:

• diese Einstellungnur in abgeschotteten oder privaten Netzwerken zu aktivieren
• in produktiven Umgebungen stattdessen immer:
  • Benutzerkonten
  • ACL-basierte Berechtigungen
  • SMB2/3
  • ggf. SMB-Signierung

Nutze Gastzugriff wirklich nur dort, wo er technisch notwendig ist.

Weiterführendes Tutorial

Wenn du eine Samba-Freigabe unter Linux (z. B. Ubuntu) einrichtest und anonymen Zugriff benötigst, findest du hier mein ausführlichesTutorial .

FAQ

Warum funktioniert mein SMB-Gastzugriff unter Windows plötzlich nicht mehr?
Weil Windows 10/11 und Windows Server 2019/2022 den Gastzugriff aus Sicherheitsgründen standardmäßig blockieren.

Was bedeutet „EnableInsecureGuestLogons“?
Das ist eine Windows-Policy, die festlegt, ob der SMB-Client anonyme Verbindungen zu Freigaben erlaubt.

Ist es sicher, Gastzugriff zu aktivieren?
Nur in abgesicherten, vertrauenswürdigen Netzwerken. In produktiven Umgebungen solltest du stattdessen authentifizierte Freigaben nutzen.

EinSYNOLOGY (externer Link) NAS mitICINGA2 (externer Link) überwachen erfordert nicht unbedingt ein gesondertes Plugin, da die Systeme auch ohne Probleme direkt via SNMP überwacht werden können. Fertige Plugins haben allerdings den Vorteil, dass sie schneller zum Einrichten und zum anderen übersichtlicher sind.

Bis vor kurzem habe ich immer mit dem Plugin check_synology gearbeitet. Allerdings hatte das bei mir unter verschiedenen Systemen immer mal wieder zu aussetzern geführt. Aus diesem Grund habe ich mich vor ein paar Tagen auf die Suche nach einem neuen CheckPlugins gemacht und bin natürlich fündig geworden.

SYNOLOGY NAS MIT ICINGA2 ÜBERWACHEN

check_synology.py (externer Link) funktioniert ausschließlich mit SNMPv3, bietet also noch mehr Sicherheit als lediglich über SNMPv2 oder gar v1.

Nach dem herunterladen des Plugins und einfügen des CheckCommands (Pluginersteller liefert das glücklicherweise mit), kann man schon anfangen die Service Checks zu schreiben. Meine sehen derzeit so aus:

apply Service "syno-load" {
check_command = "check_synology"
vars.synology_mode = "load"
vars.synology_host = "$address$"
vars.synology_warning = "$synology_load_w$"
vars.synology_critical = "$synology_load_c$"
assign where host.vars.os_type == "DSM"
}
apply Service "syno-memory" {
check_command = "check_synology"
vars.synology_mode = "memory"
vars.synology_host = "$address$"
vars.synology_warning = "$synology_load_w$"
vars.synology_critical = "$synology_load_c$"
assign where host.vars.os_type == "DSM"
}
apply Service "syno-status" {
check_command = "check_synology"
vars.synology_mode = "status"
vars.synology_host = "$address$"
vars.synology_warning = "$synology_load_w$"
vars.synology_critical = "$synology_load_c$"
assign where host.vars.os_type == "DSM"
}
apply Service "syno-disks" {
check_command = "check_synology"
vars.synology_mode = "disk"
vars.synology_host = "$address$"
vars.synology_warning = "$synology_load_w$"
vars.synology_critical = "$synology_load_c$"
assign where host.vars.os_type == "DSM"
}

Anschließend noch die Host Definition

object Host "synology.int.casalani.de" {
check_command = "hostalive"
address = "10.0.1.21"
vars.os_type = "DSM"
vars.synology_snmp_user = "icinga2"
vars.synology_snmp_authkey = "strenggeheim"
vars.synology_snmp_privkey = "strenggeheim"
}

Anschließend noch die config validieren undICINGA2 neu laden. InICINGA (externer Link) Web 2 sieht es dann so aus:

Nach jetzt mehreren Tagen Test, kann ich sagen, dass das Plugin hervorragend funktioniert. Entsprechend meine Weiterempfehlung.

Leider habe ich erst vor kurzem entdeckt, dass es möglich ist, Office365 Konten mit einemSynology (externer Link) NAS zu sichern. Mit der App „Active Backup for Office 365“ gibt es die Möglichkeit, E-Mails, Kalender, Kontakte sowie OneDrive zu sichern. Natürlich kann beim Office 365 Backup mitSynology auch Einzelelemente wiederhergestellt werden.

Die Installation gestaltet sich extrem einfach. Allerdings gibt es dafür drei Voraussetzungen:

1. Ein gemeinsamer Ordner zur Ablage der Sicherungsdateien auf derSynology (externer Link) (ich habe hierfür einen neuen angelegt)
2. Einen Benutzer der administrative Zugriffe auf den Office 365 Tennent hat
3. EureSynology (externer Link) muss mit einem Account aktiviert sein. Inwiefern das Xpenology funktioniert, müsst ihr selbst herausfinden.

Im Paketzentrum findet ihr dann die Anwendung „Active Backup for Office 365“.

Sobald ihr die Anwendung öffnet, geleitet sie euch durch den Assistenten. Falls etwas fehlen sollte, könnt ihr das während der Laufzeit natürlich noch nachholen.

Sobald alles eingerichtet ist, fängt die Anwendung auch schon mit der Sicherung von allen Postfächern an. Hat euer gewählter Account keine Rechte auf die anderen Accounts zuzugreifen, ist eine Sicherung dieser natürlich nicht möglich. Dann müsstet ihr am Besten verschiedene Sicherungsaufgaben anlegen.

Es dauert einige Zeit, bis alle Accounts gesichert sind. Ihr könnt dies im Dashboard von „Active Backup for Office 365“ jederzeit überprüfen. Bei mir sieht es nach knapp 7 Stunden leider noch so aus:

Emails kinderleicht wiederherstellen

Zusätzlich zur Sicherungsanwendung wird auch gleichzeitig ein Portal installiert, mit dem die Benutzer ihre E-Mails und/oder Dateien wiederherstellen können. Loggt ihr euch mit dem Admin Account an eurerSynology ein, habt ihr natürlich Zugriff auf alle Daten. Es macht also Sinn, einzelne Accounts für die Benutzer anzulegen.

Eine Langzeiterfahrung kann ich euch derzeit noch nicht liefern. Ein Backup der Exchange Konten sowie der OneDrive Dateien sind sicherlich immer hilfreich. Auch, wenn natürlich ein Backup nur so gut wie seine Wiederherstellungsmöglichkeiten ist.

Ein Vergleich von Onlinebackup-Anbietern für eure Daten auf derSynology (externer Link) habe euch hiervorgestellt .

Vor einigen Tagen habe ich das ThemaSynology (externer Link) Cloud Backup in einem separaten Video behandelt und möchte dieses nun explizit noch mal für die Datensicherung vonSynology -NAS-Systemen aufgreifen. Dabei soll es nicht um Backups allgemein gehen, sondern um Cloud Backups. Eine Datensicherung außerhalb der eigenen vier Wände ist dahingehend wichtig, da wir alle nicht vor Elementarschäden und anderweitigen Möglichkeiten der vollständigen Zerstörung unseres Hauses gefeit sind.

Direkt angeschlossene Datensicherungsziele können bei Ransomware ebenfalls befallen werden. So ist auch das Backup im Worst-Case-Szenario verschlüsselt und somit unbrauchbar. Und hier liegt der Vorteil von Backups in der Cloud, denn alte Versionen werden durch Ranswomware nicht verschlüsselt, da diese lediglich read-only verfügbar sind. Natürlich ist es auch möglich, entsprechende Technik mit Read-Only-Backups auch offline einzurichten (z. B. durch Snapshots). Dann benötigt man allerdings größere Hardware und diese ist gleichbedeutend erhöhter Aufwand.

Die Synology Cloud Backup Anbieter

Ich möchte in diesem Beitrag auch nicht auf die Einrichtung der verschiedenen Backupmöglichkeiten eingehen, sondern im wesentlichen vier Anbieter miteinander vergleichen. Alle vorgestellten Anbieter unterstützenSynology (externer Link) nativ.

Backblaze (externer Link)

Nehmen wir zum ersten den PlatzhirschBackblaze (externer Link) . Seit dem Crashplan auch noch bekannt gegeben hat, dass es keine Backups mehr für Privatpersonen anbieten werden, hatBackblaze (externer Link) nochmal an Popularität, vor allen in den USA, hinzugewonnen. Das Unternehmen ist sicherlich einigen von euch durch die Veröffentlichung der Ausfallzahlen der benutzen Festplatten bekannt.

Microsoft Azure

Als weiteren Anbieter gehe ich auf Microsoft Azure ein. Azure ist wie Amazon AWS eigentlich viel mehr als nur schnöder Speicherplatz. Hier lassen sich neben kompletten Netzwerken auch Backups in der Cloud darstellen und betreiben. Auch Windows ab Version 8 kann nativ zu Microsoft Azure sichern.

Google Drive

Der dritte Anbieter in der Runde ist Google Drive sein. Nicht speziell auf Backups abzielend, sondern vielmehr regulärer Onlinespeicherplatz wie z. B. auch Microsoft OneDrive oder Dropbox, lassen sich auch hier in eure Daten derSynology (externer Link) Systeme sichern.

Synology C2

Last but not leased der native BackupdienstSynology C2 (externer Link) . Dieses Backupangebot hatSynology (externer Link) ungefähr Mitte des diesen Jahres der breiten Masse zugänglich gemacht. Entsprechend ist hier die Anpassung an das Betriebssystem DSM am größten.

Der Vergleich

Wie möchte ich denn die Anbieter vergleichen? Sehr einfach: Wir gehen im ersten Step davon aus, dass wir 100 GB an Daten zu den verschiedenen Anbietern sichern werden. Im nächsten Schritt beobachten wir, was uns gar 1 Terabyte an Daten zum Backup kosten wird. Step drei wird die Wiederherstellung von Daten sein und zu guter letzt überprüfen wir, wie es mit der Datensicherheit und -hoheit aussieht.

Step 1

BeiBackblaze (externer Link) wird pro Gigabyte bezahlt und zwar pro Gigabyte, die online gesichert werden, ergo der benutzte Speicherplatz. Dieses schlägt mit 0,005 US-$ Cent zu Buche. Heißt, bei 100 GB sind wir bei einem halben US-$ bzw. 42 Euro Cent.
Microsoft Azure wird ebenfalls pro Gigabyte abgerechnet. Hier werden 0,018 $-Cent fällig. Auf 100 GB hoch gerechnet sind wir bei 1,80 US-$ oder 1,49 Euro.

Google undSynology (externer Link) werden in Datenpaketen abrechnet. Google berechnet für 100 GB pro Monat 1,99 Euro. Synology für bis zu 100 GB 9,99 Euro pro Jahr, heißt 83 Cent pro Monat.

Wichtig bei dem Vergleich ist allerdings auch, was genau abrechnet wird.Backblaze (externer Link) , Google und Azure werden auch den Speicherplatz für die Versionierung der Backups berechnen. Bei Synology wird lediglich nach ausgewähltem Speicherplatz bezahlt.

Step 2

Wenn man vor allem Fotos und sogar Videos sichern möchte, sind 100 GB erreicht. Sagen wir daher, wir möchten bis zu einem Terabyte an Daten in die Cloud sichern. Dieses Terabyte kostet uns bei Synology 5 Euro, beiBackblaze (externer Link) 5,12 Euro, bei Google 9,99 Euro und bei Microsoft 18,43 Euro. Wie ihr seht klafft nun hier die Preisgefüge-Schere doch schon ein gutes Stück auseinander.

Step 3

Und was ist, wenn 10 GB aus Versehen gelöscht wurde? Bei vielen Anbietern ist nämlich der ausgehende Traffic kostenpflichtig. Das ist zwar während des Backups kein Problem, da der Datenverkehr aus Sicht des Providers eingehend ist, allerdings nicht beim Restore von Daten. Google und Synology berechnen für den ausgehenden Traffic nichts extra. BeiBackblaze (externer Link) und Microsoft Azure sind das allerdings anders aus. 10 GB an Daten zur Wiederherstellung kostet beiBackblaze (externer Link) 17 Cent und in Redmond 42 Cent. Eigentlich keine großen Beträge, soll aber zur Vergleichbarkeit herangezogen werden.

Step 4

Nun haben wir das Finanzielle geklärt. Gehen wir über zur Datensicherheit. Bei allen vier Anbietern ist es möglich, direkt auf der Synology das Backup clientseitig zu verschlüsseln. Die Datenablage ist beiBackblaze (externer Link) , Azure und Synology auch im Rechenzentrum entsprechend verschlüsselt. Zu Google Drive konnte ich noch keine verlässlichen Informationen finden.

Betrachten wir neben der Sicherheit noch den Speicherort der Daten, differenziert sich das Bild wiederum: Synology speichert die Backups via C2 in einem Rechenzentrum in Frankfurt. Bei Google undBackblaze (externer Link) kann ich keinen Standort auswählen, ist also primär erst mal die USA.
Bei Microsoft Azure wird es komplizierter. Bei Anlage des Speicherortes habe ich die Möglichkeit, auszuwählen, in welcher Region die Daten abgespeichert werden sollen. Hier steht auch Deutschland zu Verfügung. Der Preis für die „Deutschland Cloud“ ist allerdings um ungefähr 20 Prozent teurer. Dafür werden hier die Daten bei dem Treuhänder, der Deutschen Telekom, in einem deutschen Rechenzentrum (derzeit Leipzig) gesichert. Es bieten also nur Synology (mit Option) und Microsoft die Möglichkeit an, die Daten in deutschem Hoheitsgebiet zu sichern.

Mein Fazit der Synology Cloud Backup Anbieter

Wen favorisiere ich nach dieser Gegenüberstellung der vier Synology Cloud Backup Anbieter? Ganz klar Synology. Sowohl durch die Speicherung innerhalb Deutschlands als auch die festen Preise ist das kalkulatorische Risiko am Geringsten. Zudem ist der Backupdienst direkt in DSM verknüpft und entsprechende Änderungen sind schnell in neuen DSM-Versionen zu finden. Ändert einer der anderen Anbietern etwas an seinem System, kann es passieren, dass auch das Sicherungsziel in Hyper-Backup nicht mehr verfügbar ist.

Ich habe im Laufe der Zeit mit Azure,Backblaze (externer Link) und Synology als Anbieter zusammengearbeitet und konnte bei allen ohne Probleme Daten nach einiger Zeit wiederherstellen. Zur Sicherung zu Google Drive kann ich keine persönliche Aussage treffen.