- Backups nach der 3-2-1-1-0-Regel: mehrere Kopien, eine davon unveränderlich oder offline – ein normales NAS-Backup im selben Netz reicht gegen Ransomware nicht mehr.
- Lange Passphrasen statt erzwungenem Passwortwechsel, wo möglich zusätzlich Passkeys oder Zwei-Faktor-Absicherung.
- Fernzugriff über ein Mesh-VPN wie Tailscale statt offener Ports – das ist inzwischen der Standardweg, nicht mehr die Ausnahme.
- NAS, Router und Docker-Container aktuell halten und nicht mit Root-Rechten laufen lassen – die meisten Vorfälle nutzen bekannte, längst gepatchte Lücken.
Ein Homelab absichern heißt nicht, alles auf einmal umzustellen, sondern an den Stellen anzusetzen, die tatsächlich verhindern, dass aus einem kompromittierten Gerät ein komplettes Datendesaster wird. Die folgenden Punkte sind die, die sich 2025 und 2026 in der Praxis als wirksam erwiesen haben – ohne Panikmache, aber auch ohne die Illusion, ein Heimnetz sei „eh kein interessantes Ziel“.
Backups: von 3-2-1 zu 3-2-1-1-0
Die klassische 3-2-1-Regel – drei Kopien der Daten, auf zwei verschiedenen Medientypen, eine davon außer Haus – gilt seit 2024/2025 nur noch als Mindeststandard, nicht mehr als Optimum. Der Grund: Ransomware verschlüsselt gezielt auch angeschlossene, beschreibbare Backups mit. Ein NAS (Network Attached Storage, also ein Speicher, der am Netzwerk hängt), das im selben Netzwerk ein zweites NAS als Backup-Ziel nutzt, ist damit kein wirklicher Schutz mehr, wenn dieses Ziel dauerhaft erreichbar und beschreibbar bleibt.
Deshalb wird die Regel zur 3-2-1-1-0-Regel erweitert: zusätzlich eine unveränderliche (immutable) Kopie oder eine Offline-Kopie mit echtem Air-Gap (physisch oder logisch getrennt vom laufenden Netz), plus die „0“ für null Fehler bei einer tatsächlich getesteten Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist im Ernstfall nur eine Vermutung.
Zugangsdaten: lange Passphrasen statt Zwangswechsel
Das US-Institut NIST hat seine Passwort-Richtlinie (SP 800-63B, Revision 4, finalisiert im Juli 2025) grundlegend geändert: Ein periodischer Passwortwechsel ohne konkreten Verdacht auf Kompromittierung soll nicht mehr verlangt werden. Stattdessen empfiehlt der Standard lange Passphrasen ab etwa 15 Zeichen, erlaubt bis zu 64. Erzwungene Komplexität – Sonderzeichen, Groß-/Kleinschreibung – gilt inzwischen eher als kontraproduktiv, weil sie zu vorhersehbaren Mustern wie „Passwort1!“ führt.
Für den DSM- oder QTS-Login des NAS heißt das konkret: ein langer, gut zu merkender Satz statt eines kurzen, komplizierten Kunstworts, kombiniert mit Zwei-Faktor-Authentifizierung. Bei QNAP-Geräten mit QuTS hero h6.0.0 ist inzwischen sogar ein passwortloser Login per Passkey (FIDO2-Sicherheitsschlüssel oder biometrische Anmeldung des Geräts) möglich. Ob und wie umfassend Synology DSM das ebenfalls unterstützt, ließ sich nicht sicher klären – hier lohnt vor der Einrichtung ein Blick in die aktuellen Release Notes des jeweiligen Herstellers.
Fernzugriff ohne offene Ports
Der wohl größte Irrtum in Sachen Homelab-Sicherheit lautet: „Mein NAS steht ja hinter dem Router, das findet keiner.“ Genau das Gegenteil ist der Fall. Ransomware-Wellen wie eCh0raix, die seit 2019 immer wieder auftauchen, beruhen fast nie auf raffinierten Exploits, sondern auf simplem Durchscannen des Internets nach offenen NAS-Weboberflächen und anschließendem Ausprobieren des Standard-Admin-Passworts. Wer die DSM- oder QTS-Oberfläche direkt per Portfreigabe aus dem Internet erreichbar macht, macht sie damit auch für jeden automatisierten Scanner sichtbar.
Die robustere Alternative hat sich zwischen 2024 und 2026 als Standardempfehlung durchgesetzt: ein Mesh-VPN auf Basis von WireGuard, etwa Tailscale. Dabei muss kein einziger Port am Router geöffnet werden – die Geräte bauen die Verbindung über einen Koordinationsserver auf und tauschen die eigentlichen Daten anschließend direkt und verschlüsselt miteinander aus. Auch ein klassischer VPN-Server auf Router oder NAS ist nicht grundsätzlich falsch, aber er ist selbst wieder ein exponierter Dienst mit offenem Port – ein zusätzliches Risiko, das ein Mesh-VPN vermeidet.
| Merkmal | Klassische Portfreigabe | Mesh-VPN (z. B. Tailscale) |
|---|---|---|
| Offene eingehende Ports | Ja, direkt am Router | Keine |
| Sichtbar für Internet-Scanner | Ja | Nein |
| Zusätzlicher exponierter Dienst | Die freigegebene Anwendung selbst | Kein eigener offener Dienst nötig |
NAS, Router und Smart-Home-Geräte aktuell halten
Auch die beste Netzwerkstruktur hilft wenig, wenn die Geräte dahinter ungepatcht bleiben. 2025 wurden bei Synology über den Pwn2Own-Wettbewerb mehrere kritische Lücken bekannt: CVE-2025-13392 erlaubte unter bestimmten Bedingungen eine Anmeldung ohne gültiges Passwort und wurde mit DSM 7.2.2-72806-5 beziehungsweise 7.3.1-86003-1 geschlossen. Bei der Einsteiger-Linie BeeStation wurde die als kritisch eingestufte CVE-2025-12686 (Pufferüberlauf mit möglicher Remote-Codeausführung) am 30. Oktober 2025 mit BeeStation OS 1.3.2-65648 gepatcht. Auch bei Ubiquiti/UniFi-Geräten registrierte die US-Behörde CISA aktiv ausgenutzte Schwachstellen. Die Lehre daraus ist immer dieselbe: automatische Updates aktivieren und ein NAS nie ungepatcht direkt am Internet hängen lassen.
UGREEN NASync DH2300 (2 Bay, ohne HDD)
Wer noch ganz am Anfang steht: Ein Einsteiger-NAS wie dieses lässt sich von der ersten Einrichtung an nach den hier beschriebenen Grundsätzen absichern – automatische Updates, starke Zugangsdaten, kein offener Port zum Internet.
Auf Router-Seite kommt seit dem 1. August 2025 zusätzlich Regulierung ins Spiel: Unter der überarbeiteten EU-Funkanlagenrichtlinie gelten für neu verkaufte Geräte mit WLAN oder Bluetooth – also auch Router und Smart-Home-Hardware – erstmals verbindliche Mindestanforderungen an Netzwerkschutz und Datensicherheit. Das betrifft nur neue Geräte, ändert aber nichts an bereits verbauter Altsoftware. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat parallel im Oktober 2024 die Grundlage seines freiwilligen IT-Sicherheitskennzeichens für Router umgestellt: von der deutschen Norm TR-03148 hin zur europäischen ETSI TS 103 848. Ein vorhandenes BSI-Siegel bleibt ein gutes Signal für die Kaufentscheidung, auch wenn die zugrunde liegende Norm gerade wechselt.
Docker-Container nicht als Root laufen lassen
Ein verbreiteter Irrtum ist, Docker-Container seien von Haus aus so isoliert wie eine virtuelle Maschine. Das stimmt nicht: Läuft ein Container-Prozess als Root und wird der Container kompromittiert, ist ein Ausbruch auf das Host-System ein reales Risiko. Seit Docker Engine 20.10 ist der sogenannte Rootless Mode – der Docker-Dienst selbst läuft ohne Root-Rechte – kein Experiment mehr, sondern die Standardempfehlung fürs Homelab. Dazu gehören außerdem der Verzicht auf das `–privileged`-Flag, die Option „no new privileges“ (verhindert, dass ein Prozess sich nachträglich mehr Rechte verschafft) sowie read-only-Dateisysteme mit einem separaten beschreibbaren Bereich (tmpfs) nur dort, wo er wirklich gebraucht wird.
Verschlüsselte Verbindungen automatisieren
Wer Dienste im Homelab über einen Reverse Proxy (eine Art zentraler Türsteher, der Anfragen an die richtige Anwendung weiterleitet) nach außen oder im eigenen Netz bereitstellt, sollte TLS-Zertifikate automatisiert beziehen statt manuell zu verlängern. Let’s Encrypt bietet seit 2025 neben der bisherigen 90-Tage-Laufzeit auch sehr kurzlebige Zertifikate mit sechs Tagen Gültigkeit sowie Zertifikate für reine IP-Adressen an. Die Standardlaufzeit soll laut Ankündigung bis 2028 schrittweise auf 45 Tage sinken. Wer noch von Hand verlängert, sollte spätestens jetzt auf einen automatisierten ACME-Client umsteigen, etwa certbot, acme.sh oder die eingebaute Automatik von Caddy oder Traefik.
Netzwerksegmentierung mit VLANs
Eine zusätzliche Schutzschicht ist die Trennung des Netzwerks in VLANs (Virtual Local Area Networks, also logisch getrennte Teilnetze auf derselben Hardware): Smart-Home-Geräte, Gäste-WLAN und das eigentliche Homelab landen dann in getrennten Netzsegmenten, sodass ein kompromittiertes IoT-Gerät nicht automatisch Zugriff auf das NAS hat. Gängige Werkzeuge dafür sind Open-Source-Firewalls wie pfSense oder OPNsense.
Was ab 2026 noch dazukommt
Der EU Cyber Resilience Act ist bereits seit 2024 in Kraft, entfaltet aber erst gestaffelt Wirkung: Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle innerhalb von 24 Stunden vorläufig und 72 Stunden im Detail an die europäische Cybersicherheitsagentur ENISA melden. Die vollständigen Anforderungen an Security-by-Design und Update-Pflichten über die gesamte Produktlebensdauer greifen erst ab Dezember 2027. Für die Kaufentscheidung heißt das schon jetzt: Bei Hardware und Software mit langer Update-Zusage lohnt sich ein zweiter Blick, bevor man sich für Jahre an ein Produkt bindet.