Mobile-Menu

NAS richtig absichern mit diesen essentiellen Sicherheitstipps Security-Checkliste für Synology NAS-Systeme

Von Thomas Joos 5 min Lesedauer

Anbieter zum Thema

Synology GmbH
FTAPI Software GmbH

Betreiben Unternehmen, Privatpersonen, Freiberufler oder Privathaushalte und Vereine ein NAS, ist das ein optimaler Ort für die zentrale Speicherung der Daten. Das kann aber auch eine Schwachstelle sein, wenn es Angreifer schaffen Zugang zu erhalten. Genau das sollen unsere Tipps in diesem Beitrag am Beispiel von Synology-Systemen verhindern.

Die Security-Checkliste für Synology NAS-Systeme bietet essenzielle Tipps zum Schutz vor Datenverlust und Cyberangriffen.(Bild: Dall-E / KI-generiert)
Die Security-Checkliste für Synology NAS-Systeme bietet essenzielle Tipps zum Schutz vor Datenverlust und Cyberangriffen.
(Bild: Dall-E / KI-generiert)

Der Einsatz eines NAS bietet viele Vorteile, wobei die zentrale Speicherung aller Daten oft der größte ist. Um zu verhindern, dass Unbefugte Zugriff erhalten, sollten grundlegende Sicherheitseinstellungen gesetzt werden. In diesem Beitrag zeigen wir einige der wichtigsten Möglichkeiten. Grundsätzlich sollte das NAS an einer sicheren Stelle positioniert sein, am besten versteckt oder grundlegend vor physischem Diebstahl geschützt. Backups auf eine externe Quelle sollten eine Selbstverständlichkeit sein. Hier bietet Synology zahlreiche Möglichkeiten und Apps, zum Beispiel Hyper-Backup. Wir haben das Thema in einem eigenen Beitrag behandelt. Der Großteil der Tipps in diesem Beitrag gilt natürlich analog auch für NAS-Systeme anderer Hersteller.

Bildergalerie
Bildergalerie mit 14 Bildern

Interneterreichbarkeit und VPN

Die beiden ersten Tipps sind zunächst nur dann das NAS über das Internet erreichbar zu machen, wenn es unbedingt sein muss. Klar ist, dass bei öffentlicher Zugänglichkeit die Gefahr eines Angriffes deutlich ansteigt. Rechtfertigt der Nutzen das Risiko, dann macht es Sinn. Lässt sich der erhoffte Nutzen aber anderweitig erreichen, ist das Vermeiden der Veröffentlichung ein wichtiger Schritt Richtung mehr Sicherheit. Schlussendlich ist das NAS bei einer Veröffentlichung mit einem oder sogar verschiedenen Ports über das Internet erreichbar. Diese Ports sind natürlich angreifbar.

Um einen externen Zugriff zu erreichen, ist die direkte Freigabe des NAS ins Internet generell kein guter Weg. Besser ist es ein VPN einzurichten. Hier kann man entweder über einen bereits vorhandenes VPN zugreifen, ein neues VPN auf dem Router einreichten, der die Internetverbindung aufbaut, oder auf dem NAS ein VPN einrichten. Das stellt sicher, dass die Verbindung zum Internet nur über den sicheren VPN-Kanal abläuft. Am besten ist aber das Vorlagern einer Firewall oder einer VPN-Appliance. Für kleine Unternehmen geht das zum Beispiel problemlos mit OPNsense, und auch die Fritzbox oder andere Router bieten eine solche Möglichkeit. Optimal sind dazu OpenVPN, WireGuard oder IPsec.

Updates regelmäßig installieren, am besten automatisch

Unabhängig davon, ob ein NAS extern direkt oder VPN erreichbar ist oder nur Zugriff aus dem internen Netzwerk besteht, sollten regelmäßig die aktuellen Updates installiert werden. Es gibt immer mal wieder Schwachstellen auf Synology-NAS-Systemen, die durch Updates geschlossen werden. Die Aktualisierung erfolgt in der Oberfläche von DSM über "Systemsteuerung -> Aktualisierung und Wiederherstellen". Hier ist zu sehen, ob Updates vorhanden sind, und an dieser Stelle lassen sich diese auch gleich installieren. Über "Update-Einstellungen" lässt sich die Installation der Updates automatisieren.

Admin und Guest unbedingt deaktivieren

Cyberattacken auf NAS-Systeme laufen, wie bei vielen anderen Geräte auch, oft über die vorhandenen Standard-Benutzer. Aus diesem Grund sollte sichergestellt sein, dass in der Systemsteuerung bei "Benutzer und Gruppe" die beiden Nutzer "Admin" und "Guest" deaktiviert sind. Löschen lassen sich diese Benutzer nicht. Vor allem bei der Veröffentlichung ins Internet sind im Protokoll-Center bei "Protokolle" hier oft Zugriffsversuche auf diese Konten zu finden. Selbst bei deaktivierten Konten, sollte man das Kennwort von Admin und Guest auf ein möglichst langes und komplexes setzen.

Bildergalerie
Bildergalerie mit 14 Bildern

Sichere Kennwörter und Multifaktor-Authentifizierung konfigurieren

Bei "Benutzer und Gruppe" sind bei "Regel" Einstellungen zu finden, mit denen sichere Regeln für die Benutzerkennwörter vorgegeben werden können. Hier sollten möglichst alle relevanten Einstellungen gesetzt werden. Vor allem bei der Veröffentlichung ins Internet sollten diese Regeln möglichst streng sein. Darüber hinaus ist es sehr empfehlenswert Multifaktor-Authentifizierung zu aktivieren. Die Vorgehensweise dazu hat Synology in der Dokumentation beschrieben. Mindestens das Admin-Konto sollte mit Multifaktor-Authentifiziert sein.

Benutzer können in der Weboberfläche in ihren Einstellungen bei "Sicherheit" die 2-Faktor-Authentifizierung aktivieren. Um als Admin die Verwendung von Zwei-/Multifaktor zu erzwingen, wird in der Systemsteuerung bei "Sicherheit -> Konto" die Umsetzung für alle Benutzer oder zumindest für Administratoren erzwungen.

Benutzern nur die notwendigen Rechte geben

Bei "Benutzer und Gruppe" lassen sich neue Benutzerkonten für das Zugriff auf das NAS geben. Hier sollte man darauf achten nur die notwendigen Rechte zu vergeben. Dabei ist die Prämisse, dass jeder Benutzer nur die Rechte bekommt, die er unbedingt braucht. Das lässt sich direkt in den Einstellungen des Benutzerkontos über das Menü "Berechtigungen" umsetzen.

Einfacher geht es mit der Verwendung von Gruppen, da sich dadurch Benutzer mit identischen Rechten einfacher zusammenfassen lassen. Neue Benutzer müssen dann nur der entsprechenden Gruppe zugeordnet werden, um die notwendigen Rechte zu erhalten. Generell sollten so wenig Benutzer wie möglich Admin-Rechte auf das NAS erhalten, am besten nur ein oder zwei Benutzer.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Grundsätzlich sollten auch Admins nicht mit dem Admin-Konto herkömmlich mit dem NAS arbeiten. Das Admin-Konto sollte nur zum Verwalten des NAS genutzt werden. Um mit dem NAS zu arbeiten, zum Beispiel Dateien auszutauschen, sollten Admins ein eigenes Konto erhalten, das wiederum keine Admin-Rechte in der Umgebung hat.

Sicherheitseinstellungen optimieren

In der Systemsteuerung sind bei "Sicherheit" über den Menüpunkt "Sicherheit" verschiedene Optionen zu finden, welche die Sicherheit verbessern. Hier sollte man die gängigsten Optionen aktivieren, zum Beispiel vor allem die Optionen bei "Allgemein".

Bei "Schutz" kann man einstellen, dass das NAS den Zugang eines Benutzerkontos von der jeweiligen IP-Adresse eine Zeitlang sperrt, wenn oft das Kennwort falsch eingegeben wurde. Hier lässt sich auch der Schutz vor DoS-Angriffe aktivieren.

Verschlüsselung für Volumes und Freigegebene Ordner aktivieren

Vor allem in Unternehmen ist es mehr als empfehlenswert die Volumes zu verschlüsseln. Das lässt sich bei der Einrichtung des Volumes festlegen. Wir haben das Thema in einem eigenen Beitrag behandelt. Die Verschlüsselung stellt sicher, dass bei Diebstahl des NAS niemand die Daten auslesen kann. Die Verschlüsselung des Volumes ist in jedem Fall der Verschlüsselung von freigegeben Ordner vorzuziehen, da bei verschlüsselten Volumes alle Daten verschlüsselt sind und der Umgang mit der Verschlüsselung sehr viel einfacher ist.

Bildergalerie
Bildergalerie mit 14 Bildern

HTTPS im Anmeldeportal erzwingen

Über die Systemsteuerung kann bei "Anmeldeportal" durch Aktivierung von "HTTP-Verbindung für Desktop automatisch zu HTTPS umleiten" sichergestellt werden, dass keine ungesicherten Zugriffe auf das NAS erfolgen, sondern die Benutzer automatisch umgeleitet werden. Es kann auch sinnvoll sein, die Standardports für den Zugriff zu ändern, vor allem wenn das NAS auch von extern erreichbar ist. Das für HTTPs notwendige Zertifikat kann wiederum bei "Sicherheit" über "Zertifikat" konfiguriert werden. Synology-NAS-Systeme kommen aber mit einem Standard-Zertifikat.

Nicht benötigte Dateidienste aktivieren

Um die Angriffsfläche auf ein NAS zu reduzieren, sollten in der Systemsteuerung bei "Dateidienste" Alle nicht benötigten Dienste abgeschaltet werden.

NAS-Sicherheitsberater-App nutzen

Zur Standard-Installation eines Synology-NAS gehört die Sicherheitsberater-App. Diese scannt alle Einstellungen des NAS und zeigt Verbesserungsvorschläge an. Es ist sinnvoll diese App nach der Einrichtung durchzuarbeiten. Nach dem Scan sind bei "Überblick" die einzelnen Warnungen zu sehen, inklusive Tipps, wie sich die Sicherheitsprobleme lösen lassen.

(ID:50098953)

Weiterführende Inhalte