Warum NAS-Backups bei Ransomware-Angriffen versagen: RAID, Snapshots und gemeinsam genutzter Zugriff erklärt

Ein NAS kann über ein fehlerfreies RAID, geplante Snapshots und erfolgreich ausgeführte Backup-Aufträge verfügen und nach einem Ransomware-Angriff dennoch keinen brauchbaren Wiederherstellungspfad bieten. Entscheidend ist, ob ein früherer, sauberer Zustand erhalten bleibt, ob der Angreifer ihn verändern kann und ob Sie ihn wiederherstellen können, ohne auf kompromittierte Zugangsdaten oder Systeme angewiesen zu sein.

Die Berichte über Synology-Ransomware vom Oktober 2026 bieten einen aktuellen Einstiegspunkt, doch dieser Beitrag analysiert Speicherarchitekturen und behauptet nicht, dass alle Betroffenen gleich betroffen sind. RAID, Snapshots, Synchronisierung und unabhängige Backups lösen unterschiedliche Probleme. Die Wiederherstellung scheitert, wenn ihre Grenzen missverstanden werden oder scheinbar getrennte Kopien dieselben Berechtigungen teilen.

Titelfoto: Korrupt / Wikimedia Commons, CC BY 4.0. Zugeschnitten und in der Größe angepasst; für den Bildausschnitt gilt weiterhin diese Lizenz. Kontextuelles NAS-Hardwarefoto, kein verifiziertes betroffenes Gerät und keine dokumentierte Szene eines Vorfalls.

Warum ist NAS-Speicher ein Ziel für Ransomware?

Ein NAS stellt Informationen über ein Netzwerk bereit, üblicherweise für mehrere Personen, Anwendungen oder Computer. Das ist sein Zweck. Zugleich bedeutet das, dass unerwünschte Änderungen auf mehreren Wegen an Dateien gelangen können. Ein Angreifer könnte das NAS selbst kompromittieren, ein autorisiertes Konto übernehmen oder eine Arbeitsstation mit Schreibzugriff auf eine Netzwerkfreigabe kontrollieren.

Für diese Angriffspfade sind keine identischen Schutzmaßnahmen erforderlich. Das Beheben einer Sicherheitslücke in einem Verwaltungsdienst entzieht einer infizierten Arbeitsstation nicht ihre bestehenden Freigabeberechtigungen. Umgekehrt kann die Beschränkung der beschreibbaren Ordner eines Benutzers keine anfällige Verwaltungsanwendung reparieren. Die Vorfallanalyse im begleitenden Artikel zu C3RB3R und DSM erklärt, warum es wichtig ist, den Zugriffsweg zu unterscheiden.

Bei der Wiederherstellung stellt sich eine zweite Frage: Kann dieselbe Identität oder Kontrollebene auch die Kopien beschädigen, die anschließend helfen sollen? Wenn ja, kann die Anzahl der Festplatten, Gehäuse oder Cloud-Ziele die tatsächliche Trennung größer erscheinen lassen, als sie ist. Zählen Sie unabhängige Ausfallgrenzen ebenso sorgfältig wie Kopien.

Schützt RAID Daten vor Ransomware?

Redundante RAID-Konfigurationen sind darauf ausgelegt, eine festgelegte Anzahl von Festplattenausfällen zu tolerieren. Sie entscheiden nicht, ob ein legitim wirkender Schreibvorgang ein brauchbares Dokument oder verschlüsselten Datenmüll enthält. In einem RAID-1-Beispiel sorgt das Überschreiben einer Datei durch eine autorisierte Anwendung dafür, dass der Spiegel die Schreibvorgänge ebenfalls übernimmt. Das Array kann weiterhin fehlerfrei sein, während die Datei unbrauchbar wird.

Der Mechanismus ist keine spezielle Umgehungsmöglichkeit für Ransomware. Die Spiegelung erfüllt ihre normale Aufgabe: Sie hält den aktuellen Speicherzustand auf allen Mitgliedslaufwerken aufrecht. Sie bewahrt nicht automatisch eine auswählbare, saubere Version vom Vortag. RAID 0 ist überhaupt nicht redundant; verschiedene RAID-Level dürfen nicht so behandelt werden, als böten sie dieselbe Ausfalltoleranz.

RAID bleibt nützlich. Ein Laufwerksausfall während des normalen Betriebs muss bei einer ordnungsgemäß funktionierenden redundanten Konfiguration nicht zu einem Dienstausfall führen. Der Fehler besteht darin, zu erwarten, dass Ausfallsicherheit bei Laufwerken auch die Wiederherstellung früherer Datenstände, getrennte Zugriffsrechte oder Schutz vor dem Verlust des gesamten Gehäuses bietet. Der Leitfaden zu RAID und Backups erläutert diesen Unterschied genauer. Auch Synologys Anleitung zur NAS-Datensicherung behandelt Wiederherstellungskopien als eigenständigen Planungsaspekt.

Kann Ransomware NAS-Snapshots löschen oder verschlüsseln?

Ein Snapshot kann eine wirksame Reaktion auf unerwünschte Dateiänderungen sein. Bei vielen Snapshot-Implementierungen überschreibt die Änderung aktiver Dateien nicht die älteren Blöcke, die für einen Snapshot erhalten bleiben. Daher ist nicht automatisch davon auszugehen, dass Malware mit gewöhnlichen Berechtigungen für Dateifreigaben auch über Berechtigungen zur Snapshot-Verwaltung verfügt.

Entscheidend ist der Unterschied zwischen dem Ändern von Dateien und der Kontrolle über den Mechanismus, der frühere Zustände bewahrt. Gewöhnliche Snapshots können von Administratoren mit ausreichenden Berechtigungen möglicherweise gelöscht werden. Andere sind zusätzlich geschützt. Synology dokumentiert unveränderliche Snapshots für unterstützte Systeme mit zeitlich begrenzten Einschränkungen, die während des geltenden Zeitraums auch die darin enthaltenen Speicherstrukturen vor dem Löschen schützen. Es wäre falsch zu behaupten, dass Administratoren immer jeden Snapshot löschen können.

Fragen Sie, welche Snapshots vorhanden sind, welche Kontrollen sie schützen und wann ihr Schutz abläuft. Bei einem kurzen Aufbewahrungszeitraum gibt es womöglich nur noch Versionen nach der Verschlüsselung, wenn der Schaden bemerkt wird. Lokale Snapshots schaffen außerdem kein weiteres physisches Gerät: Diebstahl, physische Zerstörung oder der Verlust des zugrunde liegenden Speichers stellen weiterhin andere Wiederherstellungsprobleme dar.

Warum können Netzwerk-Backups gemeinsam kompromittiert werden?

Nehmen wir an, ein primäres NAS kopiert jede Nacht Dateien auf ein zweites NAS. Wenn das primäre System Zugangsdaten speichert, mit denen das Ziel überschrieben und dessen alte Versionen gelöscht werden können, kann die Kompromittierung des primären Systems beide Kopien gefährden. Ein anderes Gehäuse schafft zwar eine Trennung auf Hardwareebene, aber nicht unbedingt auf Verwaltungsebene.

Dieselbe Überlegung gilt für Cloud-Speicher. Ein Repository kann sich an einem anderen geografischen Standort befinden, während die Zugangsdaten zum Löschen auf einem kompromittierten Host gespeichert bleiben. Die NCSC-Leitlinien des Vereinigten Königreichs zu Offline-Backups befassen sich mit verbundenen lokalen und Cloud-Kopien sowie mit der Bedeutung einer kontrollierten Client-Zugriffsmöglichkeit. Die räumliche Entfernung allein schränkt nicht ein, was eine autorisierte API-Anfrage löschen kann.

Netzwerksegmentierung kann helfen, die Zahl erreichbarer Dienste zu verringern. Eine zugelassene Verbindung mit weitreichenden Berechtigungen kann jedoch weiterhin gefährlich sein. Prüfen Sie die tatsächliche Identität des Backup-Auftrags sowie die Berechtigungen für die Repository-Verwaltung und die Aufbewahrung. „Anderes Netzwerk“ und „anderes Konto“ sind hilfreiche erste Beschreibungen, aber kein Beweis dafür, dass eine destruktive Anfrage abgewiesen wird.

Synchronisierung vs. Backup: Worin liegt der Unterschied?

Bei einer Synchronisierung wird normalerweise versucht, Änderungen an der Quelle auch an den Zielen abzubilden. Stellen Sie sich vor, ein Verzeichnis auf einem Laptop wird mit einem NAS synchronisiert. Schadsoftware verschlüsselt die Dateien auf dem Laptop, und der Synchronisierungs-Client lädt die geänderten Inhalte hoch. Ein erfolgreicher Synchronisierungsstatus kann einen fehlgeschlagenen Wiederherstellungsfall korrekt beschreiben: Das Ziel enthält nun originalgetreu die beschädigten aktuellen Dateien.

Versionsverlauf oder die Wiederherstellung gelöschter Dateien können dabei helfen, aber nur, wenn die betreffenden früheren Versionen weiterhin zugänglich sind. Prüfen Sie die Aufbewahrungsdauer, den Umgang mit schnellen Änderungen, ob ein Angreifer den Verlauf löschen kann und ob die Anwendung genau die Ordner schützt, die Ihnen wichtig sind. Die Bezeichnung „Synchronisierung“ allein beantwortet keine dieser Fragen.

Eine sinnvolle Backup-Lösung bewahrt gezielt einen wiederherstellbaren Stand, der vom heutigen Ausgangsstand abweichen kann. Er muss lange genug erhalten bleiben, um Erkennung und Reaktion abzudecken. Ein Ordner, dessen Inhalt laufend überschrieben wird, ist nicht mit einem Repository gleichzusetzen, in dem ältere Versionen unter separat geschützten Kontrollen aufbewahrt werden.

Warum ist eine 3-2-1-Backup-Strategie wichtig?

Die Datensicherungsoptionen der CISA beschreiben die bekannte Grundregel: drei Kopien wichtiger Daten, einschließlich der Arbeitskopie; zwei Medientypen; und eine Kopie an einem anderen Standort. Damit soll verhindert werden, dass ein einzelner lokaler Ausfall alle Kopien zerstört. Das ist ein nützliches Inventarschema, aber keine Garantie gegen jeden Angriff.

Offsite beschreibt den Speicherort. Offline beschreibt die Konnektivität. Unveränderlich beschreibt Einschränkungen für Änderungen während eines festgelegten Zeitraums. Ein Cloud-Repository kann sich außerhalb des Standorts befinden und ständig erreichbar sein; ein getrenntes USB-Laufwerk kann offline sein, aber neben dem NAS aufbewahrt werden. Keine der beiden Beschreibungen ersetzt die andere.

Bei Ransomware sollten Sie die Bestandsaufnahme um Fragen dazu ergänzen, wer die einzelnen Kopien ändern kann und ob eine saubere Version den Vorfall überdauert. Die Ransomware-Empfehlungen der CISA empfehlen Offline-Backups, Verschlüsselung und regelmäßige Wiederherstellungstests. Backup-Verschlüsselung schützt die Vertraulichkeit; sie verhindert für sich genommen nicht, dass ein Angreifer mit entsprechenden Berechtigungen das verschlüsselte Repository löscht.

Was macht ein Backup wirklich unabhängig?

Unabhängigkeit ist eine Beziehung zwischen einer Wiederherstellungskopie und einem bestimmten Ausfall, keine Eigenschaft, die man durch den Kauf einer weiteren Festplatte erhält. Gehen Sie zunächst davon aus, dass die Administration der Produktionsumgebung kompromittiert wurde. Kann dieser Administrator das Repository löschen, die Aufbewahrungsdauer verkürzen, den Wiederherstellungszugriff widerrufen oder die einzige Kopie eines Verschlüsselungsschlüssels entfernen?

Getrennte Identitäten und durchgesetzte Berechtigungen können diese Zugriffsmöglichkeiten einschränken. Ein Backup-Schreibkonto kann neue Wiederherstellungspunkte erstellen dürfen, ohne geschützte ältere löschen zu können. Die Repository-Administration und Wiederherstellungszugangsdaten können getrennt von der Produktionsumgebung aufbewahrt werden. Prüfen Sie das tatsächliche Berechtigungsmodell des Produkts; nicht jedes Protokoll unterstützt eine solche Trennung.

Daten von einem Backup-Server abzurufen, kann bestimmte Zugangsdaten vom Produktions-NAS fernhalten, aber „Abrufen“ ist nicht grundsätzlich sicher und „Übertragen“ nicht grundsätzlich unsicher. Prüfen Sie, wo die Zugangsdaten gespeichert sind und was sich mit ihnen tun lässt. Auch eine Offline-Rotation erfordert ein kontrolliertes Verfahren zum erneuten Verbinden: Ein zuvor isoliertes Laufwerk ist bei der nächsten Backup-Sitzung wieder erreichbar.

Woran erkennen Sie, ob sich ein Backup wiederherstellen lässt?

Ein abgeschlossener Auftrag belegt, dass ein Vorgang abgeschlossen wurde, nicht aber, dass sich der gewünschte Dienst wiederherstellen lässt. Testen Sie die Wiederherstellung an einem sauberen Ziel. Öffnen Sie repräsentative Dokumente, stellen Sie wichtige Berechtigungen wieder her und bestätigen Sie, dass jede Anwendungsdatenbank mit ihren Dateien konsistent ist. Stellen Sie außerdem fest, ob der gewählte Wiederherstellungspunkt vor den unerwünschten Änderungen liegt.

Das Wiederherstellungspunktziel (RPO) bezeichnet den akzeptablen Zeitraum an Datenverlust. Das Wiederherstellungszeitziel (RTO) bezeichnet die akzeptable Zeit bis zur Wiederaufnahme des Betriebs. Ein stündlicher Zeitplan belegt kein RPO von einer Stunde, wenn aktuelle Wiederherstellungspunkte beschädigt oder nicht verfügbar sind. Die schnelle Wiederherstellung einer Datei belegt nicht, dass der gesamte Dienst sein RTO einhält.

Als veranschaulichende Untergrenze dauert die Übertragung von 2 TB dezimaler Daten über eine 1-Gbit/s-Verbindung bei perfekter Auslastung etwa 4,4 Stunden. Eine tatsächliche Wiederherstellung erfordert zusätzlich Zeit für Overhead, Überprüfung, die Verarbeitung kleiner Dateien und die Arbeit an Anwendungen. Diese Berechnung ist kein NAS-Benchmark. Sie zeigt, warum ein Wiederherstellungsziel am gesamten Arbeitsablauf gemessen werden sollte.

Die Veröffentlichung von NIST zur Backup-Planung legt Wert auf die Durchführung, Pflege und Prüfung von Backups. Auch der Leitfaden zur Wiederherstellung der Datenintegrität betrachtet vertrauenswürdige wiederhergestellte Informationen als Ziel. Die Verfügbarkeit von Daten und das Vertrauen in diese Daten hängen zusammen, sind aber unterschiedliche Ergebnisse.

Wie sieht eine ransomware-resiliente NAS-Architektur aus?

Ein praxistauglicher Entwurf kombiniert mehrere Ebenen, statt eine einzelne Funktion für ausreichend zu erklären. Schreibzugriffe auf Produktionsfreigaben sind begrenzt. Unterstütztes redundantes RAID fängt geeignete Festplattenausfälle ab. Snapshots ermöglichen die Wiederherstellung früherer Zustände, sofern verfügbar mit geschützter Aufbewahrungsfrist. Ein separat kontrolliertes Backup-Repository sowie eine isolierte oder angemessen unveränderliche Kopie bieten zusätzliche Wiederherstellungsoptionen.

Ein hypothetisches kleines Büro könnte lokale Snapshots in kurzen Abständen für versehentliche Änderungen, ein separat verwaltetes Repository mit Versionierung und eine rotierende, getrennt aufbewahrte Kopie an einem anderen Ort verwenden. Diese Anordnung ist ein Beispiel, das es zu bewerten gilt, keine Behauptung über ein Opfer im Oktober und keine allgemeingültige Empfehlung. Die Details hängen von der Vertraulichkeit der Daten, den verfügbaren Mitarbeitenden und den Wiederherstellungszielen ab.

Verfolgen Sie einen wichtigen Datensatz durch den Entwurf. Ermitteln Sie den letzten bekannten guten Stand, die für die Wiederherstellung benötigten Zugangsdaten, den Aufbewahrungsort der Schlüssel und den sauberen Rechner, der sie lesen kann. Wiederholen Sie die Übung anschließend unter der Annahme, dass das Produktions-NAS nicht verfügbar ist. Fehlende Schritte verraten mehr als ein Dashboard mit mehreren grünen Backup-Aufträgen.

FAQ

Behält RAID 1 eine unverschlüsselte Kopie, wenn Ransomware eine Datei ändert?

Nein. Eine Spiegelung übernimmt normalerweise die aktuellen Schreibvorgänge, einschließlich unerwünschter Änderungen, die mit ausreichenden Berechtigungen vorgenommen wurden. Sie ist keine automatische historische Kopie. Um einen früheren Zustand wiederherzustellen, benötigen Sie einen überlebenden Snapshot, ein Backup mit Versionierung oder eine andere geeignete Quelle.

Sind Snapshots gegen Ransomware nutzlos?

Nein. Sie können frühere Zustände bewahren und eine schnelle Wiederherstellung ermöglichen. Wie gut sie schützen, hängt von Berechtigungen, Aufbewahrungsdauer, Implementierung und verfügbaren Unveränderlichkeitsfunktionen ab. Ein lokaler Snapshot ist außerdem physisch von seinem Speichersystem abhängig – das ist eine andere Schutzgrenze als der Schutz auf Dateiebene.

Ist ein Cloud-Backup an einem anderen Standort automatisch isoliert?

Nein. Offsite bedeutet an einem anderen Ort, nicht unbedingt unter einer anderen Berechtigungshoheit oder ohne Internetverbindung. Prüfen Sie, wer Versionen löschen kann, ob die Produktion über diese Zugangsdaten verfügt und ob der geschützte Versionsverlauf nach einer Kontokompromittierung verfügbar bleibt.

Verhindert die Verschlüsselung eines Backups, dass Ransomware es löscht?

Nein. Verschlüsselung schützt die Vertraulichkeit von Backup-Inhalten. Die Berechtigung zum Löschen ist eine separate Frage. Schützen Sie Repository-Berechtigungen und Aufbewahrungsdauer, und stellen Sie sicher, dass Wiederherstellungsschlüssel über ein Verfahren verfügbar bleiben, das nicht allein vom kompromittierten System abhängt.

Wie lange sollten Snapshots und Backup-Versionen aufbewahrt werden?

Eine allgemeingültige Dauer gibt es nicht. Die Aufbewahrungsdauer muss abdecken, wie lange unerwünschte Änderungen unbemerkt bleiben könnten, sowie den Zeitbedarf für Untersuchungen und Wiederherstellung – im Rahmen der verfügbaren Speicherkapazität. Der Leitfaden zur Aufbewahrung von Dateiversionen nach einem Ransomware-Angriff behandelt die Frage, wie sich ein sauberer Wiederherstellungspunkt planen lässt. Testen Sie, ob die gewählte Richtlinie einen zugänglichen, sauberen Wiederherstellungspunkt bereitstellt und nicht nur kürzlich beschädigte Versionen.

Was ist der sinnvollste erste Wiederherstellungstest?

Stellen Sie einen wichtigen Datensatz an einem sauberen Speicherort wieder her – mit den Zugangsdaten und Tools, die Ihnen auch bei einem echten Ausfall zur Verfügung stünden. Überprüfen Sie Dateiinhalte, Berechtigungen, Anwendungskonsistenz und benötigte Zeit. Prüfen Sie anschließend, ob das Ergebnis den festgelegten Zielen für Datenverlust und Ausfallzeit entspricht.

Fazit

RAID, Snapshots und Backups bleiben wertvoll, wenn ihre jeweiligen Aufgaben klar sind. Das größere Problem entsteht, wenn Arbeitsdaten und alle Wiederherstellungsoptionen derselben destruktiven Berechtigung unterliegen oder wenn erst zu spät auffällt, dass sich eine aufbewahrte Kopie nicht wiederherstellen lässt. Zählen Sie die Kopien, prüfen Sie aber auch Berechtigungen, Isolation, Aufbewahrungsdauer und getestete Wiederherstellung. Die Analyse des Synology-Vorfalls untersucht die andere Seite dieses Problems: Was öffentliche Belege über den Erstzugriff aussagen und was nicht.