Synology warnt vor Angriffen mit Erpressungssoftware auf Netzwerkspeicher (NAS), auf denen eine veraltete Version des Betriebssystems DSM läuft. Laut der Mitteilung des Herstellers vom 29. Oktober 2026 nutzen die Angreifer eine Schwachstelle, die bereits im Dezember 2024 geschlossen wurde, um Daten zu verschlüsseln und Lösegeld zu fordern. Opfer berichten von der Ransomware C3RB3R. Gefährdet ist jedes Synology-Gerät ohne aktuelles DSM – nach Angaben von Qihoo 360 auch Geräte, die seit September 2026 kein Update erhalten haben.
Was über die Angriffe bekannt ist
| Merkmal | Angabe |
|---|---|
| Warnung des Herstellers | 29. Oktober 2026: Angriffe auf veraltete DSM-Versionen über eine im Dezember 2024 geschlossene Lücke |
| Hinweis von Synology | Synology-SA-24:20 („DSM (PWN2OWN 2024)“) mit drei Lücken (CVE-2024-10441, CVE-2024-50629, CVE-2024-10445); welche ausgenutzt wird, nennt Synology nicht |
| Ransomware | C3RB3R (auch Cerber genannt); verschlüsselte Dateien enden auf „.L0CK3D“, in jedem verschlüsselten Ordner liegt „read-me3.txt“ |
| Beginn | Laut Qihoo 360 seit Oktober 2026; erste Berichte Betroffener etwa Mitte Oktober |
| Reichweite | Laut Shadowserver sind mehr als 380.000 Synology-NAS aus dem Internet erreichbar; wie viele angegriffen wurden, ist nicht bekannt |
| Was verschlüsselt wird | Dateien im gesamten Dateisystem, ausgenommen Systemordner und ausführbare Dateien; je Datei ein eigener Schlüssel |
Welche Lücke genau ausgenutzt wird, ist nicht abschließend geklärt. Synology nennt keine Kennung, verweist aber auf den Sicherheitshinweis SA-24:20 aus dem Herbst 2024, dessen letzte Korrektur im Dezember 2024 erschien. Das chinesische Sicherheitsunternehmen Qihoo 360 nennt dagegen zwei neuere Lücken, CVE-2026-13639 und CVE-2026-13684, die Synology am 18. September 2026 mit dem Hinweis SA-26:13 geschlossen hat. Für Betreiber hat das eine einfache Folge: Erst die Stände aus SA-26:13 oder neuer schließen beide Wege – am sichersten ist die jeweils neueste DSM-Version.
| DSM-Zweig | Mindestversion laut SA-24:20 | Mindestversion laut SA-26:13 |
|---|---|---|
| DSM 7.4 | – | 7.4-90075 |
| DSM 7.3 | – | 7.3.2-86009-4 |
| DSM 7.2.2 | 7.2.2-72806-1 | 7.2.2-72806-9 |
| DSM 7.2.1 | 7.2.1-69057-6 | 7.2.1-69057-12 |
| DSM 7.2 | 7.2-64570-4 | kein Eintrag – auf 7.2.1 oder neuer aktualisieren |
| DSM 7.1 | 7.1.1-42962-7 | kein Eintrag – auf 7.2.1 oder neuer aktualisieren |
| DSM 6.2 | 6.2.4-25556-8 | kein Eintrag – Gerät ersetzen, wenn es DSM 7.2.1 oder neuer nicht unterstützt |
Synology-Update: so sichern Sie Ihr NAS jetzt ab
- DSM-Version prüfen. In der Systemsteuerung unter „Aktualisieren und Wiederherstellen“ steht die installierte Version. Liegt sie unter den Ständen der Tabelle oben, ist das Gerät gefährdet.
- Auf die neueste Version aktualisieren. Vorher prüfen, ob eine aktuelle Sicherung existiert. Dann das Update einspielen und anschließend automatische Updates einschalten – das empfiehlt Synology ausdrücklich.
- Erreichbarkeit aus dem Internet beenden. Portweiterleitungen auf die Verwaltungsoberfläche am Router entfernen und nicht benötigte Dienste abschalten. Für den Zugriff von außen einen VPN-Zugang nutzen.
- Konten härten. Das Standardkonto „admin“ deaktivieren, Zwei-Faktor-Anmeldung für alle Administratoren einschalten, die automatische Sperre nach Fehlversuchen aktivieren.
- Unveränderbare Snapshots und Kopie außerhalb einrichten. Snapshots mit Schreibschutz für einen festen Zeitraum einschalten und die Daten zusätzlich auf ein zweites Ziel außerhalb des Netzes sichern. Die Rücksicherung einmal tatsächlich ausprobieren.
Warum ein NAS keine Datensicherung ist
In vielen kleinen Unternehmen ist das NAS Dateiablage und Sicherungsziel zugleich. Die aktuellen Angriffe treffen beides auf einmal: Die Erpressungssoftware verschlüsselt die Freigaben und mit ihnen die Sicherungen, die auf demselben Gerät liegen. Eine Datensicherung im eigentlichen Sinn liegt getrennt vom Original, ist gegen Veränderung geschützt und wird regelmäßig zurückgespielt. Erst die 3-2-1-Regel – drei Kopien, zwei Medien, eine außer Haus – macht aus einem Speicher eine Sicherung.
Synology hat die Lücken aus dem Herbst 2024 bis Dezember 2024 und die neueren im September 2026 geschlossen. Dass Angriffe trotzdem Erfolg haben, liegt an Geräten, die niemand aktualisiert. Ein NAS gehört deshalb in denselben Update-Ablauf wie Server und Firewall – mit Verantwortlichem und Kontrolle.
In unserer Betreuung führen wir NAS-Systeme im Patch-Management, schalten ihre Verwaltung nicht ins Internet und sichern die Daten zusätzlich unveränderbar außerhalb des Geräts. Bei einem Vorfall übernehmen wir Trennung, Sicherung der Spuren und Wiederanlauf.
Häufige Fragen
Welche Synology-Geräte sind gefährdet?
Netzwerkspeicher mit einer veralteten DSM-Version. Synology verweist auf eine Lücke, die im Dezember 2024 geschlossen wurde; Qihoo 360 nennt zusätzlich zwei Lücken, die im September 2026 geschlossen wurden. Sicher sind die Stände aus SA-26:13 oder neuer, am besten die jeweils neueste DSM-Version.
Wie aktualisiere ich DSM?
In der Systemsteuerung unter „Aktualisieren und Wiederherstellen“ nach Updates suchen und installieren. Vorher eine aktuelle Sicherung prüfen. Danach automatische Updates einschalten.
Woran erkenne ich, dass mein NAS verschlüsselt wurde?
Dateien tragen die Endung „.L0CK3D“, in den verschlüsselten Ordnern liegt eine Datei „read-me3.txt“ mit der Lösegeldforderung.
Was tun, wenn das NAS bereits verschlüsselt ist?
Das Gerät vom Netz trennen, Synchronisations- und Sicherungsaufträge anhalten, das Gerät nicht zurücksetzen oder formatieren und sich nicht auf eine Lösegeldzahlung verlassen. Danach prüfen, welche Sicherungen unberührt sind. Spuren werden für die Aufarbeitung gebraucht.
Ist ein NAS eine Datensicherung?
Allein nicht. Eine Sicherung liegt getrennt vom Original, ist gegen Veränderung geschützt und wird regelmäßig zurückgespielt. Ein NAS braucht dafür unveränderbare Snapshots und eine zusätzliche Kopie außerhalb des Netzes.
Hängen die Angriffe mit PHP2Shell zusammen?
Das ist nicht bestätigt. Synology hat einen eigenen Hinweis zu PHP2Shell veröffentlicht, eine Verbindung zu den Ransomware-Angriffen aber nicht bestätigt.
Verwandte Themen: Wer hier weiterdenkt, liest bei Synology, Immutable Backup und Hilfe nach einem Ransomware-Angriff weiter.
Im Text erwähnt
Quellen
- Synology urges users to update DSM following ransomware attacks on outdated DSM versions · Synology
- Synology-SA-24:20 DSM (PWN2OWN 2024) · Synology
- Synology-SA-26:13 · Synology
- Analyse der Angriffe auf Synology-NAS (C3RB3R) · Qihoo 360
- Synology warns customers of ongoing C3RB3R ransomware attacks · BleepingComputer
- Synology NAS devices targeted in ransomware attacks · The Hacker News
- Security Alert: Ransomware attacks targeting Synology NAS devices · HKCERT
- Attacken auf Lücken in Drupal, Ivanti Connect Secure und Synology laufen · heise online
