Kritische Lücken in Synology-NAS: Was jetzt zu tun ist

Ein Synology-NAS steht in vielen kleinen und mittleren Unternehmen unauffällig im Serverraum oder im Nebenzimmer – und bewahrt doch oft das Herzstück der Firmen-IT auf: zentrale Dateifreigaben, Dokumente, womöglich auch Sicherungskopien. Genau deshalb sollten Sie die aktuelle Sicherheitsmeldung des Herstellers nicht auf die lange Bank schieben. Wie heise Security berichtet, hat Synology acht Sicherheitslücken in seinem NAS-Betriebssystem DiskStation Manager (DSM) geschlossen. Zwei davon sind als kritisch eingestuft: Über sie konnten Angreifer beliebige Dateien von dem Gerät auslesen – Voraussetzung war lediglich Netzwerkzugriff.

Was genau passiert ist

Die beiden kritischen Schwachstellen tragen die Kennungen CVE-2026-13684 und CVE-2026-13639 und wurden mit 9,8 Punkten auf der CVSS-Skala bewertet. Sie erlauben es Angreifern, aus der Ferne beliebige Dateien zu lesen oder zu schreiben – und durch gezieltes Löschen zusätzlich einen Denial-of-Service auszulösen, also Daten oder das Gerät lahmzulegen. Besonders brisant ist, wie niedrig die Hürde dafür ist: Die Ausnutzung ist nach Angaben von Synology sehr einfach. Die knappe Beschreibung der Lücken auf der Herstellerseite dürfte Ransomware-Autoren und andere Kriminelle zügig auf den Plan rufen, heißt es in der Meldung.

Dazu kommen zwei weitere Schwachstellen, über die Angreifer Daten auslesen oder manipulieren können – allerdings erst nach erfolgreicher Anmeldung am System. Außerdem wurde eine SQL-Injection mit niedrigem Schweregrad (CVE-2026-13683) behoben. Insgesamt meldet Synology acht geschlossene Lücken.

Die fehlerbereinigten DSM-Versionen sind im Einzelnen:

• DSM 7.4-90075
• DSM 7.3-86009-4
• DSM 7.2.2-72806-9
• DSM 7.2.1-69057-12

Eine Übergangslösung nennt der Hersteller nicht. Wer nicht patchen kann, dem bleibt laut Bericht nur die konsequente Variante: das NAS vorübergehend vom Netz trennen – vom Network Attached Storage zum „Network Detached Storage“.

Warum das gerade Unternehmen Ihrer Größe betrifft

In Firmen mit zehn bis hundert Mitarbeitern ist ein NAS häufig kein Nischengerät, sondern zentrale Infrastruktur. Dort liegen die gemeinsamen Ablagen, Projektordner, oft auch das Backup der Server. Genau das macht die Lücken so unangenehm: Wer „beliebige Dateien“ lesen kann, kann alles lesen, was auf dem Gerät liegt – vom Angebot über Personaldokumente bis zur Buchhaltung. Wer Dateien schreiben oder löschen kann, kann Daten manipulieren oder gezielt zerstören.

Zwei Aspekte verschärfen die Lage zusätzlich. Erstens: Wenn Ihre Sicherungskopien auf demselben NAS liegen wie die Produktivdaten, trifft ein Angriff beides gleichzeitig. Eine Löschaktion würde dann nicht nur die Arbeitsdaten erwischen, sondern auch die Rettungsleine. Zweitens: Die Kombination aus einfacher Ausnutzung und öffentlich verfügbarer Beschreibung senkt die Hemmschwelle für Kriminelle deutlich – dass sich Ransomware-Autoren schnell darauf stürzen dürften, legt schon die Meldung selbst nahe.

Was Sie jetzt konkret tun sollten

1. Bestand aufnehmen. Finden Sie heraus, ob und wo Synology-Geräte bei Ihnen laufen. Denken Sie auch an Zweitgeräte in Außenstellen, reine Backup-Geräte oder ein NAS, das einmal „nur übergangsweise“ aufgestellt wurde und seitdem vor sich hin läuft.
2. Version prüfen. Gleichen Sie die installierte DSM-Version mit den oben genannten fehlerbereinigten Versionen ab. Läuft ein älterer Stand, ist das Gerät verwundbar.
3. Zeitnah aktualisieren. Die Empfehlung des Berichts ist eindeutig: schnellstmöglich patchen. Planen Sie das Update am besten noch heute ein, nicht „irgendwann im Quartal“.
4. Erreichbarkeit klären. Die Lücken setzen Netzwerkzugriff voraus. Prüfen Sie deshalb, von wo aus Ihr NAS erreichbar ist: nur aus dem internen Netz – oder auch über das Internet, etwa für den Zugriff von unterwegs oder aus dem Homeoffice? Ein von außen erreichbares, ungepatchtes Gerät ist in dieser Situation das größte Risiko.
5. Notfalls abstöpseln. Lässt sich das Update kurzfristig nicht einspielen, trennen Sie das Gerät bis dahin vom Netz. Das ist unbequem, aber die einzige Alternative, die sich aus der Herstellerinformation ableiten lässt.
6. Backups gegenprüfen. Klären Sie, ob Ihre Sicherungskopien unabhängig vom betroffenen Gerät vorliegen – also auf einem zweiten System oder ausgelagert. Ein Backup auf demselben NAS, das gerade verwundbar ist, ist im Ernstfall keins.

Was aus der Meldung nicht hervorgeht

Ein ehrlicher Blick auf die offenen Punkte: Ob die Lücken bereits aktiv ausgenutzt werden, geht aus dem Bericht nicht hervor. Ebenso wenig lässt sich daraus ablesen, ob es vor der Veröffentlichung bereits Angriffe gab oder ob Ihr konkretes Gerät schon betroffen ist. Wenn Sie Anzeichen für unbefugte Zugriffe prüfen wollen, ist das ein Fall für einen genaueren Blick in die Protokolle des Geräts.

Auch zur Update-Versorgung älterer Geräte schweigt die Meldung: Die genannten Versionen decken die Zweige 7.2.1 bis 7.4 ab. Was für Geräte gilt, die diese Stände nicht mehr erreichen, bleibt offen – hier lohnt ein Blick auf die Hinweisseite des Herstellers.

Einordnung: Das NAS ist ein Server – und will wie einer behandelt werden

Über den konkreten Vorfall hinaus lohnt sich ein grundsätzlicher Gedanke: Ein NAS ist kein Möbelstück, das man einmal aufstellt und dann vergisst. Es ist ein vollwertiger Server mit eigenem Betriebssystem, eigener Angriffsfläche und – wie dieser Fall zeigt – gelegentlich kritischen Lücken. Er gehört deshalb in denselben Update-Rhythmus wie Ihre übrige Infrastruktur: mit klarer Verantwortlichkeit, festen Wartungsfenstern und einem Prozess, der Hersteller-Sicherheitshinweise zeitnah auf dem Schirm hat.

Drei Fragen sollten Sie sich und Ihrem IT-Verantwortlichen oder Dienstleister stellen: Wer bekommt bei uns Sicherheitsmeldungen zu NAS- und Netzwerkgeräten überhaupt mit? Wie schnell können wir im Ernstfall patchen – und wer entscheidet das? Und: Wüssten wir überhaupt, wenn eines unserer Geräte aus dem Internet erreichbar wäre?

Am Rande sei erwähnt, dass Synology zuletzt auch anderweitig für Diskussionen gesorgt hat: Der Hersteller war mit Kunden aneinandergerasselt, weil er versuchte, sie über Kompatibilitätsprüfungen an Speichermedien der Eigenmarke zu binden. Das ändert nichts an der Dringlichkeit des aktuellen Updates, unterstreicht aber, dass es sich lohnt, Abhängigkeiten von einem einzelnen Hersteller bewusst zu gestalten – bei der Hardware ebenso wie bei der Frage, wo die Daten im Ernstfall liegen.

Kurz gesagt: Wenn bei Ihnen ein Synology-NAS läuft, ist die Reihenfolge klar – Version prüfen, Update einspielen, Erreichbarkeit kontrollieren, Backup-Lage klären. Alles Weitere ist dann Routine. Genau die sollte es aber geben.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.