NAS mit Ransomware-Schutz: Was wirklich hilft

Von Leo, woCyber — über lokale Datenspeicherung, Private Cloud und DIY-Heimsicherheit.

Überlebt ein NAS-Backup einen Ransomware-Angriff?

Key Takeaways

• Ja, es kann verschlüsselt werden. Ein NAS mit Ransomware-Schutz ist eine Sammlung von Einstellungen, kein Schild — und eine Freigabe, die auf einem Arbeitsplatz-Rechner verbunden ist, ist genau so sicher wie dieser Rechner.
• RAID überlebt eine defekte Platte, nicht eine verschlüsselte. Ein Mirror kopiert den Chiffretext in derselben Sekunde auf beide Einschübe.
• Snapshots mit Aufbewahrungsfenster entscheiden darüber, ob Sie wiederherstellen oder zahlen. Versionierung, nicht Redundanz, ist der entscheidende Hebel.
• Rechenbeispiel: Ein 4K-Stream mit 8 Megabit pro Sekunde schreibt rund 84 Gigabyte pro Tag. Vier Kameras plus vierzehn Tage Fenster landen bei etwa 4,7 Terabyte — der Bereich vier bis acht Terabyte, nicht ein Terabyte.

Das Wichtigste zuerst

Ransomware kann einen Snapshot, der bereits geschlossen und gesperrt ist, nicht erneut verschlüsseln. Genau diese Eigenschaft kaufen Sie.

Daraus folgen drei Einstellungen statt einer Produktkategorie:

• Eigenes Administratorkonto für die NAS. Nie ein Desktop-Login wiederverwenden.
• Eine zweite Kopie auf einem Ziel, das nicht dauerhaft verbunden ist. Verbinden, Job laufen lassen, trennen.
• Snapshots aktivieren, als Startwert vierzehn Tage Aufbewahrung, dann gegen Ihre eigene Erkennungszeit justieren.

Müssen Sie sich für eine der drei entscheiden, nehmen Sie die Snapshots. Die anderen beiden sichern die Tür. Snapshots sichern die Dateien, nachdem die Tür offen ist.

Warum klingt die Antwort nach „vielleicht“?

Zwei Lager verkaufen zwei verschiedene Dinge, und beide haben mit ihrer eigenen Hälfte recht.

Das Speicher-Lager zeigt auf Redundanz: zwei Platten, vier Einschübe, ein Rebuild, der Stunden dauert und nichts verliert. Das stimmt. Es hilft nur nicht mehr, wenn die Daten selbst mit einem gültigen Schlüssel überschrieben wurden — ein Rebuild stellt die verschlüsselten Dateien tadellos wieder her.

Das Sicherheits-Lager zeigt auf Härtung: eigene Konten, keine Standard-Passwörter, gepatchte Firmware, kein offener Verwaltungsport. Auch das stimmt, und es reicht trotzdem nicht allein. Ein einziger Phishing-Anhang auf einem Arbeitsplatz reicht, um jede Freigabe zu erreichen, die dieser Rechner beschreiben darf.

Redundanz hält ein System am Leben. Versionierung hält Daten wiederherstellbar. Käufer suchen das erste und glauben, das zweite gekauft zu haben.

Wie gelangt Ransomware überhaupt zu einer NAS-Freigabe?

Auf demselben Weg wie Ihre eigene Backup-Software. Drei Routen decken praktisch jeden Fall aus den Fallstudien ab:

1. Verbundenes Laufwerk. Die NAS erscheint als Laufwerk Z: auf einem Arbeitsplatz. Alles, was auf diesem Rechner läuft, schreibt mit den Rechten des Benutzers auf Z:.
2. Gespeicherte Zugangsdaten in einem Sync-Client. Der Client legt Token oder Passwort auf der Platte ab. Schadsoftware liest sie und nutzt die Sitzung weiter.
3. Offene Verwaltungsoberfläche. Die Admin-Seite ist aus dem Internet erreichbar. Dann braucht es keinen Benutzer im Haus: Der Angreifer meldet sich an oder umgeht die Anmeldung über eine Schwachstelle im Anmeldemodul.

Route eins und zwei brauchen einen menschlichen Fehler. Route drei braucht nur einen offenen Port.

Was bedeutet „unveränderbar“ auf einer NAS?

Ein unveränderbarer Snapshot ist eine eingefrorene, schreibgeschützte Kopie eines Volumes zu einem Zeitpunkt. Er entsteht im Dateisystem, nicht in Ihrer Backup-Software, und der Schreibschutz wird von der Speicherschicht erzwungen — nicht von einer Passwortabfrage.

Dieser Unterschied zählt mehr als jede Funktionsliste. Ein Ordner mit „Löschen verweigern“ lässt sich von jedem entsperren, der das Admin-Konto hält. Ein Snapshot lässt sich nach Herstellerangabe innerhalb seines Aufbewahrungsfensters nicht vorzeitig löschen — weder von Ihnen noch von etwas, das mit Ihren Zugangsdaten läuft.

Deshalb schlägt Versionierung den Mirror bei dieser Bedrohung. Sie versuchen nicht, das Array online zu halten. Sie versuchen, eine ältere Kopie zu behalten, die die aktuelle Sitzung nicht erreicht.

Worauf stütze ich mich – und was habe ich nicht getestet?

Dieser Artikel stützt sich auf die Spezifikationsblätter unserer Speicherhardware, die oben verlinkten öffentlichen CVE-Einträge und das dokumentierte Snapshot-Verhalten der beteiligten Dateisysteme. Gegen ein Live-Array habe ich keinen Ransomware-Sample laufen lassen, und ich werde nicht so tun, als hätte ich das getan — eine kontrollierte Detonation im Labor ist ein echtes Forschungsprojekt, und ich habe keines vorzuweisen.

Wofür ich gerade stehe, sind die Mechanik und die Arithmetik: wo ein Snapshot liegt, wer ihn löschen darf und was mit einem RAID-Rebuild passiert, wenn die Dateien darin bereits verschlüsselt sind.

Welche Schicht stoppt die Verschlüsselung wirklich?

Schichten sind nicht gleichwertig. Sortiert danach, was sie verhindern, samt des Aufwands:

Die ersten beiden Zeilen kosten nichts, und sie sind genau die beiden, die kleine Setups auslassen. Die letzte Zeile überlebt auch einen Angreifer mit Ihrem Administrator-Passwort — deshalb gehört sie in den Plan, obwohl sie am unbequemsten ist.

Wie viel Speicher braucht ein belastbares Setup?

Rechnen Sie mit Ihren eigenen Kameras, statt eine Zahl aus einer Liste zu übernehmen. Die Formel ist kurz:

Megabit pro Sekunde ÷ 8 = Megabyte pro Sekunde. Mal 86.400 Sekunden ergibt einen Tag.

Bei 8 Megabit pro Sekunde — den echten Wert finden Sie in den Kameraeinstellungen — ist das ein Megabyte pro Sekunde, rund 86.400 Megabyte pro Tag, also etwa 84 Gigabyte. Vier Kameras in diesem Tempo schreiben etwa 337 Gigabyte pro Tag, über ein vierzehntägiges Fenster rund 4,7 Terabyte.

Dazu den Snapshot-Overhead für geänderte Blöcke, dazu Dokumente und Fotos, und der praktische Zielbereich liegt bei einem Zweischub-Gehäuse mit zwei 8-Terabyte-Platten oder einem Vierischub-Modell, wenn Sie ohne Migration wachsen wollen. Zwei 8-Terabyte-Platten im Mirror ergeben 8 Terabyte nutzbare Kapazität.

Kleines Budget? Ein Paar generalüberholte Platten senkt den Einstiegspreis stärker als ein billigeres Gehäuse. Ein Vierischub-Gehäuse lohnt sich nur, wenn Sie sicher wissen, dass Sie 8 Terabyte binnen eines Jahres sprengen; sonst gehört das Geld ins zweite Backup-Ziel. Kameras und Speicher gemeinsam geplant? Das NAS Security Kit führt Kamera-Linie und lokalen Speicher in einer Konfiguration zusammen.

Wie richte ich das ein, ohne den nächtlichen Job zu brechen?

1. Zuerst das Speicher-Admin-Konto anlegen. Eigener Name, eigenes Passwort, nirgends wiederverwendet. Bevor eine Freigabe existiert.
2. Festlegen, welche Konten Schreibrecht auf welcher Freigabe haben. Kamerabilder dürfen von der Kamera einmalig beschrieben werden. Dokumente dürfen von den Leuten bearbeitet werden, die sie bearbeiten — von niemandem sonst.
3. Geplante Snapshots auf den Volumes mit unwiederbringlichen Daten aktivieren. Vierzehn Tage sind ein vertretbarer Start; dreißig, wenn Sie die Backup-Protokolle nur monatlich öffnen.
4. Das zweite Ziel einrichten und per Zeitplan verbinden, nicht dauerhaft. Ein Skript, das verbindet, synchronisiert und trennt, ist langweilig. Langweilig ist der Punkt.
5. Eine Wiederherstellung testen. Eine einzelne gelöschte Datei aus einem Snapshot ziehen und öffnen. Ein ungetesteter Snapshot ist ein Gerücht.

Wer eine eigene Private Cloud ohne Abo betreibt, wendet dieselben Regeln an.

Wo scheitert dieses Setup unbemerkt?

• Das Snapshot-Fenster ist kürzer als die Verweildauer des Angreifers. Lief die Verschlüsselung vor elf Tagen und Ihr Fenster ist sieben Tage, ist die saubere Kopie bereits weg.
• Das zweite Ziel steht im selben Raum. Brand, Diebstahl und ein umgekippter Kaffee löschen beide Kopien gleichzeitig — genau wie ein gemeinsamer Stromkreis.
• Alle benutzen das Admin-Konto. Bequemlichkeit löst die Trennung aus Schritt eins auf, ein geteiltes Passwort nach dem anderen.

Der erste Punkt ist ein Konfigurationsfehler, und genau den würde ich heute beheben. Kalender nehmen, abschätzen, wie lange ein Problem unbemerkt bliebe, und das Fenster über diese Zahl setzen. Vierzehn Tage sind ein Startwert, kein Standard.

Was würde ich kaufen – und wovon würde ich abraten?

Ich würde ins zweite Ziel investieren, bevor ich ins Gehäuse investiere. Ein Zweischub-Gerät mit einer ehrlichen Offline-Kopie schlägt ein Vierischub-Gerät, dessen Platten rund um die Uhr verbunden sind — und läuft günstiger. Am Einstiegspreis zählt die Platte mehr als das Gehäuse; der Beitrag zu generalüberholten Enterprise-Platten legt die Rechnung offen.

Der kontraintuitive Teil: Ein größeres, schnelleres Array macht Sie gegen diese Bedrohung nicht sicherer. Es macht den verschlüsselten Datensatz größer und den Rebuild langsamer. Sind die Platten älter als acht Jahre und das Array Ihre einzige Kopie, kaufen Sie keine Kapazität nach — das Geld gehört in ein separates Backup-Ziel und eine dokumentierte Wiederherstellung.

Ehrlich gesagt: Ein Einschub mit externer Platte auf demselben Tisch ist für mich eine Kopie, nicht zwei. Dieses Setup würde ich diese Woche stilllegen. Davon würde ich abraten, bevor irgendein Ratgeber das für Sie tut.

Was wir nicht wissen

Aufbewahrungsfenster sind lastabhängig, und die ehrliche Antwort lautet: Ihres hängt davon ab, wie schnell Ihr Betrieb ein Problem bemerkt — eine Zahl, die ich von hier aus nicht messen kann. Fühlt sich vierzehn Tage willkürlich an, nehmen Sie diese Korrektur: Fenster gleich Erkennungszeit plus sieben Tage, und nach dem ersten echten Wiederherstellungsversuch erneut prüfen.

Wie ein konkreter Angreifer gegen Ihr konkretes Netzwerk vorgeht, können wir ebenso wenig sagen. Wer Ihnen eine feste Erfolgsquote für eine Abwehr nennt, rät.

FAQ

Lohnt sich ein NAS mit Ransomware-Schutz gegenüber Cloud-Speicher?

Das hängt davon ab, welchen Preis Sie vermeiden wollen. Ein Cloud-Abo läuft weiter, solange die Daten liegen, und der Anbieter hält Schlüssel und Konto. Lokaler Speicher streicht das Abo und das Drittkonto und gibt die Backup-Disziplin an Sie zurück. Pflegen Sie keine Offline-Kopie, macht ein Anbieter diesen Teil besser als Sie.

Schützt RAID vor Ransomware?

Nein. RAID schützt vor einer defekten Platte. Ransomware überschreibt die Daten, die RAID brav dupliziert — ein Mirror kopiert die verschlüsselte Fassung auf beide Einschübe. RAID ist ein Verfügbarkeitsmerkmal, kein Wiederherstellungsmerkmal.

Was kostet ein NAS mit Ransomware-Schutz über drei Jahre?

Eine Pauschalzahl nennen wir hier bewusst nicht — sie hängt von Einschüben, Plattenklasse und Ihrer Aufbewahrung ab, und jede pauschale Zahl wäre geraten. Fix ist nur die Struktur: Die Hardware ist ein Einmalkauf, die laufenden Kosten sind Strom und Plattentausch, und es gibt keine monatliche Position, keine Gebühr pro Kamera und keine Verlängerung. Nennen Sie uns Kameraanzahl und Aufbewahrungsfenster, rechnen wir Ihre Konfiguration einzeln durch — innerhalb von 24 Stunden mit einer Zahl.

Was brauche ich, bevor ich starte?

Eine NAS mit mindestens zwei Einschüben, zwei Platten, ein abtrennbares zweites Backup-Ziel und etwa eine Stunde für Konten und Snapshots. Die Speicherschicht ist der einfache Teil. Die Konten-Disziplin ist der Teil, der ausgelassen wird.

Wie es weitergeht

Öffnen Sie heute Abend die NAS-Verwaltung und prüfen Sie zwei Dinge: welche Konten auf das Volume mit Ihren unwiederbringlichen Dateien schreiben dürfen und ob Snapshots mit einem Fenster aktiviert sind, das länger ist als Ihre Erkennungszeit. Diese beiden Antworten sagen Ihnen, wo Sie stehen.

Soll die Konfiguration gegen Ihre Kameraanzahl und Ihr Aufbewahrungsfenster gerechnet werden, schicken Sie uns die Zahlen. Wir bauen lokalen Speicher ohne Monatsplan — und sagen Ihnen, wann das kleinere Setup die bessere Wahl ist.