Warum dein NAS nicht ins Internet gehört – und wie du trotzdem von unterwegs rankommst

Ein NAS (Network Attached Storage, also ein Speicher, der am Netzwerk hängt) ist praktisch: Fotos, Backups, Filme, alles an einem Ort und von jedem Gerät im Haus erreichbar. Der verständliche nächste Wunsch: auch von unterwegs drankommen. Genau an dieser Stelle geht viel schief. Sobald dein NAS ins Internet gestellt wird, wird aus dem privaten Speicher ein Server, den weltweit jeder anfragen kann – und das tut auch jeder, automatisiert, rund um die Uhr.

Was „ins Internet stellen“ konkret heißt

Gemeint sind vor allem drei Wege:

• Portweiterleitung: Du trägst im Router eine Regel ein, die Anfragen aus dem Internet direkt an die Weboberfläche des NAS durchreicht. Die Anmeldeseite ist damit öffentlich.
• UPnP (Universal Plug and Play): Ein Automatismus, bei dem Geräte im Heimnetz selbst Ports am Router öffnen – ohne dass du es merkst. Viele ältere NAS-Kompromittierungen liefen über so geöffnete Ports. Gehört im Router abgeschaltet.
• Hersteller-Relays wie Synologys QuickConnect oder myQNAPcloud: kein offener Port am Router, dafür läuft der Verkehr über Server des Herstellers. Bequemer und besser als rohe Portweiterleitung – aber die Anmeldung am NAS ist trotzdem weltweit erreichbar. Das ist Komfort, keine Abschottung.

Was in den letzten Jahren passiert ist

Die Liste ist lang, das Muster immer gleich: erreichbarer Dienst plus schwaches Passwort oder ungepatchte Lücke.

• DeadBolt (2022) verschlüsselte je nach Quelle 20.000 bis über 50.000 QNAP-Geräte über eine bis dahin unbekannte Lücke (eine „Zero-Day“-Lücke) in der vorinstallierten App Photo Station. Die Erpresser nahmen mindestens rund 200.000 US-Dollar ein.
• Qlocker (2021) packte Dateien einfach mit 7-Zip in passwortgeschützte Archive. eCh0raix bzw. QNAPCrypt greift seit 2019 QNAP und Synology per Passwort-Raten und bekannte Lücken an, neue Varianten liefen bis 2024. Checkmate (2022) nahm über das Internet erreichbare Dateifreigaben (SMB) ins Visier.
• Western Digitals My Book Live wurde im Juni 2021 massenhaft aus der Ferne per Werksreset gelöscht – über eine jahrealte Lücke, in einem Gerät, das seit 2015 keinen Support mehr bekam und trotzdem am Netz hing.
• Bei D-Link-NAS führte 2024 die Lücke CVE-2024-3273 zu rund 92.000 verwundbaren Geräten. D-Link erklärte offen, ausgemusterte Modelle nicht mehr zu patchen.

Auch der Hersteller greift dann ungefragt ein

Als Reaktion auf DeadBolt spielte QNAP im Januar 2022 ein Firmware-Update zwangsweise auf – auch auf Geräten, bei denen die automatische Aktualisierung ausgeschaltet war. Bei manchen Nutzern brach das laufende Verbindungen und eigene Konfigurationen, und ein Teil der Betroffenen konnte das vom Angreifer angebotene Entschlüsselungswerkzeug danach nicht mehr nutzen. Merke: Ist die Kiste aus dem Netz erreichbar, greift im Zweifel auch der Hersteller hinein, ohne zu fragen.

„Aber ich habe ein starkes Passwort“ – und andere Irrtümer

Ein starkes Passwort reicht. Nicht mehr zwingend. 2024 wurden gleich mehrere Lücken bekannt, die ganz ohne Zugangsdaten funktionieren – sogenannte nicht authentifizierte Remote-Code-Execution-Lücken (ein Angreifer führt aus der Ferne eigenen Code aus, ohne sich anzumelden): CVE-2024-10441 in Synologys Betriebssystem DSM (Schweregrad 9,8 von 10, Patch November 2024) und CVE-2024-10443 („RISK:STATION“) in Synology Photos, das auf vielen DiskStations ab Werk aktiv ist – auf der Sicherheitskonferenz Pwn2Own Ireland 2024 vorgeführt. 2025 kamen weitere dazu, etwa CVE-2025-1021 (unautorisierter Lesezugriff auf beliebige Dateien, Schweregrad 7,5). Auch QNAP musste 2025 unter anderem mit CVE-2025-22481 und CVE-2024-56805 nachbessern.

Bei Pwn2Own Ireland wurden 2024 und 2025 jedes Mal erneut Synology- und QNAP-Geräte geknackt; 2025 flossen über 335.000 US-Dollar Preisgeld allein für NAS-Exploits. Solche Lücken landen inzwischen binnen Tagen im KEV-Katalog der US-Behörde CISA – einer Liste von Schwachstellen, die nachweislich in freier Wildbahn ausgenutzt werden.

Ich ändere einfach den Port, dann findet mich keiner. Das senkt nur das Grundrauschen. Suchmaschinen wie Shodan erkennen einen NAS-Dienst an seinem Fingerabdruck, egal auf welchem Port er lauscht; gezielte Scanner klappern ohnehin den ganzen Portbereich ab.

Meine Daten sind für niemanden interessant. Die Angriffe sind ungezielt und automatisiert. Massenscan plus Standard-Erpressungssoftware fragt nicht, wem das Gerät gehört.

Der richtige Weg von unterwegs: ein VPN

Ein VPN (Virtual Private Network, ein verschlüsselter Tunnel ins eigene Heimnetz) dreht die Logik um: Statt das NAS nach außen zu öffnen, kommst du selbst ins Heimnetz hinein und greifst dann auf das NAS zu, als säßest du zu Hause auf dem Sofa.

Der oft genannte Einwand „einen VPN-Port aufmachen ist doch genauso schlimm“ stimmt nicht. Ein einzelner, geprüfter WireGuard-Port antwortet auf unangemeldete Pakete gar nicht – er ist von außen praktisch unsichtbar – und hat eine winzige Codebasis. Verglichen mit einer NAS-Oberfläche samt Foto-, Sync- und Container-Apps ist das eine drastisch kleinere Angriffsfläche.

Praktische Optionen:

• Tailscale baut ein privates WireGuard-Netz zwischen deinen Geräten auf, ohne dass du am Router einen Port öffnen musst. Es gibt fertige Pakete für Synology und QNAP und einen kostenlosen Privat-Tarif (bis 100 Geräte). Aktuell die gängigste Empfehlung. ZeroTier ist eine Alternative mit ähnlichem Ansatz.
• WireGuard pur oder ein VPN direkt auf dem Router (etwa mit OPNsense oder pfSense) ist die sauberste Lösung: Das VPN endet dann nicht mal auf dem NAS.
• Cloudflare Tunnel kommt ebenfalls ohne offene Ports aus, hat aber Haken: Beim großen Cloudflare-Ausfall im November 2025 waren viele Selbsthoster mit offline, intensives Medien-Streaming ist im Gratis-Tarif laut Nutzungsbedingungen eingeschränkt, und die Verschlüsselung endet bei Cloudflare. Sinnvoll für eine einzelne öffentliche Web-App mit eigener Anmeldung davor – nicht für die Verwaltungsoberfläche des NAS.

Muss ein Web-Dienst wirklich öffentlich sein, dann über einen Reverse Proxy (einen vorgeschalteten Vermittler, der die Verschlüsselung übernimmt und Anfragen weiterreicht) wie Nginx Proxy Manager, Traefik oder Caddy – davor eine zusätzliche Anmeldung mit Authelia oder Authentik und ein Filter gegen automatisierte Angriffe wie CrowdSec oder fail2ban. Das bleibt aufwendiger und riskanter als „nur per VPN“.

Falls doch etwas durchkommt: Backups

RAID ist kein Backup. Ein RAID-Verbund (mehrere Platten, die zusammenarbeiten) hält den Betrieb aufrecht, wenn eine Platte ausfällt – mehr nicht. Gegen Erpressungssoftware, versehentliches Löschen, Diebstahl, Blitz oder Feuer hilft es nicht; dann ist das ganze Gerät weg. Es gilt die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, eine davon außer Haus. Die neuere Fassung 3-2-1-1-0 ergänzt eine unveränderliche oder offline gehaltene Kopie und „null Fehler“ bei einer geprüften Wiederherstellung.

Cloud-Sync ist kein Backup – jedenfalls nicht ohne Versionierung. Ein reiner Abgleich (Synology Drive, ein nicht durchdacht eingerichtetes Hyper Backup) repliziert eine Verschlüsselung durch Ransomware einfach mit. Nötig sind Ziele, die sich nicht nachträglich überschreiben lassen: Backblaze B2 mit Object Lock (Schreibschutz auf Zeit), Werkzeuge wie restic oder Kopia im Nur-Anhängen-Modus, oder Snapshots des Dateisystems (btrfs, ZFS).

Unsere Empfehlung

WD Red Plus 4 TB NAS Interne Festplatte 3,5 Zoll – 5400 U/Min, SATA 6Gb/s
Für eine getrennte Backup-Kopie – die beste Versicherung, falls ein Angriff doch einmal durchkommt – braucht es zuverlässige NAS-Festplatten.
155,99 € (Stand 30.08.2026)

Preis prüfen *

Was sich 2025 getan hat

Beide großen Hersteller härten ihre Geräte nach außen. Synologys DSM 7.3 (Oktober 2025) ist stark auf Sicherheit ausgerichtet: Der Security Advisor bewertet Lücken jetzt mit mehreren Risikokennzahlen, Synology nennt „über 50 proaktive Sicherheitsupdates in 12 Monaten“, dazu kommen passwortloser Login (Secure SignIn) und weitere Funktionen. QNAP hat nach DeadBolt die Voreinstellungen verschärft: aggressiveres Auto-Update, integriertes Security Center und Malware Remover, erzwingbare Zwei-Faktor-Anmeldung, Relay statt Portweiterleitung.

Ein Kaufhinweis am Rande: Synology verlangte 2025 zunächst eigene Festplatten für die volle Funktion der neuen Plus-Modelle, nahm das mit DSM 7.3 aber weitgehend zurück – Platten von WD, Seagate und Toshiba laufen wieder ohne Warnung. Nach Stand Ende 2025 ist offen, ob die M.2-NVMe-Steckplätze weiterhin Synology-SSDs verlangen, wenn man daraus einen Speicherpool bauen will. Wer vor allem einen Medienserver will, sollte zudem wissen: Der DS925+ nutzt einen Prozessor ohne Intel Quick Sync, also ohne Hardware-Unterstützung beim Umrechnen von Videos (Transcoding) für Plex oder Jellyfin.

Deine Kurz-Checkliste

• Portweiterleitungen auf das NAS entfernen, UPnP im Router abschalten.
• Fernzugriff nur über VPN – Tailscale, ZeroTier oder WireGuard, am besten auf dem Router terminiert.
• Automatische Updates an, Zwei-Faktor-Anmeldung an, nicht genutzte Apps (besonders Foto- und Cloud-Dienste) deinstallieren.
• Ein echtes Backup nach 3-2-1, mindestens eine Kopie unveränderlich oder offline.
• Geräte ohne Sicherheitsupdates aus dem Netz nehmen.

Kurz: Dein NAS gehört ins Heimnetz, und du gehörst per Tunnel hinein – nicht andersherum.