↓ Skip to main content
Unveränderliche Snapshots auf demselben NAS: sicher vor Ransomware?

Unveränderliche Snapshots auf demselben NAS: sicher vor Ransomware?

·2634 words·13 mins
AI / Homelab Homelab Hardware Gebraucht Homelab AI / Homelab NAS-Festplatte USV
Table of Contents

Kurze Antwort auf die eigentliche Frage: Unveränderliche Snapshots auf demselben NAS, das gerade verschlüsselt wird, sind dann sicher, wenn man weiß, wogegen sie schützen und wogegen nicht. Sie halten einem Angriff stand, der einen kompromittierten Administrator-Account nutzt, um Backups zu löschen. Sie halten keinem Ereignis stand, das die Hardware selbst zerstört, klaut oder auf Geräteebene überschreibt. Wer bereits ein Offsite-Backup per Hyper Backup fährt, legt mit lokalen unveränderlichen Snapshots eine sinnvolle zweite Ebene darüber. Sie ersetzen das Offsite-Backup aber nicht, und sie machen es auch nicht überflüssig.

Das ist die Kernaussage dieses Artikels. Im Folgenden erkläre ich, was unveränderliche Snapshots technisch sind, warum Angreifer heute gezielt Backups angreifen, was die lokale WORM-Schicht konkret abdeckt, wie man sie einrichtet und wo ihre Grenzen liegen.

Kurzantwort
#

Wie sicher sind unveränderliche WORM-Snapshots auf demselben Synology-NAS vor Ransomware? Grenzen, Einrichtung und der Platz neben dem Offsite-Backup.

Was ein unveränderlicher Snapshot technisch ist
#

Snapshot Replication ist ein Paket von Synology, das auf dem Dateisystem Btrfs aufsetzt. Btrfs erstellt point-in-time-Kopien von freigegebenen Ordnern, LUNs und Namensräumen. Diese Kopien lassen sich auf andere Synology-Systeme replizieren und bei Datenverlust oder versehentlichen Änderungen wiederherstellen 1 .

Ein Snapshot ist dabei kein vollständiger Dateikopie-Duplikat. Btrfs arbeitet mit Copy-on-Write: Beim ersten Snapshot wird nur die Struktur der Dateien festgehalten, nicht deren Inhalt doppelt abgelegt. Erst wenn sich nach dem Snapshot eine Datei ändert, wird die alte Version eingefroren, und die neue Schreiboperation landet in einem anderen Bereich. Deshalb brauchen Snapshots im Vergleich zu Standard-Backups nur minimalen Speicherplatz und lassen sich in Sekunden erstellen 1 . Genau diese Eigenschaft macht es praktikabel, sie dicht getaktet anzulegen, etwa im Minutenrhythmus, statt nur einmal täglich.

Der entscheidende Zusatz ist die Unveränderlichkeit. Synology bezeichnet unveränderliche Snapshots ausdrücklich als WORM-Technologie: Write Once, Read Many. Über die Snapshots werden feste Schutzzeiträume und erweiterte Aufbewahrungspläne gelegt 1 . Das funktioniert in etwa wie ein versiegeltes Archiv: Man legt einen Zeitraum fest, in dem der Snapshot zwar gelesen und wiederhergestellt, aber nicht verändert oder gelöscht werden kann. Erst nach Ablauf dieses Zeitraums wird der Schutz aufgehoben.

Die zentrale Eigenschaft, die Synology selbst nennt, lautet: Sobald ein Schutzzeitraum gesetzt ist, kann in dieser Zeit nichts die Snapshots entfernen. Das schließt einen Administrator ausdrücklich ein, ebenso einen kompromittierten Administrator-Account 2 .

Warum das wichtig ist, zeigt ein Blick darauf, wie moderne Ransomware vorgeht. Nach dem Sophos-Bericht „State of Ransomware 2024" versuchen Angreifer in 94 Prozent der Fälle, die Backups des Opfers zu kompromittieren; in 57 Prozent dieser Versuche gelingt das auch 2 . Wer nach einer erfolgreichen Verschlüsselung keine saubere Kopie mehr hat, steht deutlich schlechter da: Synology verweist darauf, dass die Wiederherstellungskosten rund achtmal höher ausfallen, wenn die Backups kompromittiert wurden 2 .

Das ist der Grund, warum ein Backup, das selbst ein Administrator nicht mehr löschen kann, eine eigene Sicherheitsstufe darstellt. Es schließt genau die Lücke, die ein gestohlener Passwort- oder Admin-Zugang sonst öffnen würde.

Was die lokale WORM-Schicht abdeckt
#

Ein unveränderlicher Snapshot auf demselben NAS schützt vor einem konkreten Szenario: Ein Angreifer verschafft sich Zugriff auf den NAS, verschlüsselt die Live-Daten und versucht anschließend, die Backups zu löschen, damit das Opfer keine Wiederherstellungsmöglichkeit mehr hat. Genau diese zweite Handlung verhindert der Schutzzeitraum.

Das deckt den häufigsten Angriffsweg ab. Ransomware gelangt in der Regel über Phishing, gestohlene Zugangsdaten oder eine ungepatchte Lücke in das Netz und bewegt sich von dort lateral weiter 2 . Hat der Angreifer erst einmal Administratorrechte auf dem NAS, nützt ihm das bei unveränderlichen Snapshots wenig, solange der Schutzzeitraum läuft: Löschen oder Überschreiben ist in dieser Zeit technisch ausgeschlossen 2 .

Ein wichtiges Detail liegt im Ablauf eines Angriffs. Moderne Ransomware ist schnell. Synology beschreibt, dass einige Akteure ein komplettes Netz innerhalb weniger Stunden verschlüsseln und kaum ein Zeitfenster für menschliche Gegenwehr lassen 2 . Wer erst reagieren will, nachdem er morgens die verschlüsselten Dateien entdeckt, kommt zu spät. Genau deshalb zählt nicht die Peripherie, sondern die Wiederherstellung: Sie entscheidet, ob aus einem Angriff eine Unterbrechung oder ein Desaster wird 2 . Ein lokaler, bereits vorhandener und unveränderlicher Snapshot ist dann der schnellste saubere Ausgangspunkt.

Dazu kommt ein praktischer Vorteil, der über den Sicherheitsaspekt hinausgeht. Eine Wiederherstellung aus einem lokalen Snapshot ist schneller als der Rückweg über ein Offsite-Backup, gerade bei größeren Datenmengen. Unveränderliche Snapshots verbessern also nicht nur die Robustheit, sondern auch die Geschwindigkeit der Wiederherstellung im Ernstfall. Die Zeitspanne vom Vorfall bis zum wiederhergestellten System nennt Synology RTO, Recovery Time Objective; dichte, lokale Snapshots drücken diesen Wert nach unten 3 .

Ein weiterer Baustein ist die Erkennung. Synology beschreibt Active Insight als Überwachungsdienst, der Zugriffsmuster, Änderungsraten und Dateioperationstypen in Echtzeit beobachtet. Bei einem Angriff ändern sich diese Muster auffällig: Ein einzelner Prozess verändert Tausende Dateien pro Minute, Dateiendungen ändern sich massenhaft, und die Änderungszeitpunkte ballen sich. Active Insight erkennt dieses Muster und kann auf unterstützten Systemen automatisch einen unveränderlichen Snapshot auslösen 2 . Das ist als Sicherheitsnetz gedacht, nicht als Ersatz für schnelles menschliches Eingreifen. Es erlaubt einen solchen automatischen Snapshot nur einmal pro freigegebenem Ordner und Tag 2 .

Eine Verwechslung sollte man früh ausräumen: Synchronisation ist kein Backup. Ein Sync-Dienst spiegelt den aktuellen Dateizustand auf jedes verbundene Gerät, auch den verschlüsselten. Wenn Ransomware eine Datei in einem synchronisierten Ordner verschlüsselt, erreicht die verschlüsselte Version innerhalb von Minuten die vermeintliche Kopie und überschreibt sie 2 . Ein Backup dagegen hält versionierte, unabhängige Kopien, die ein Sync-Vorgang nicht überschreiben kann. Nur Letzteres überlebt einen Angriff 2 . Wer seine Absicherung auf Cloud-Sync statt auf echte Versionierung stützt, hat im Ernstfall unter Umständen gar keine saubere Kopie, unabhängig von der Snapshots-Frage.

Homelab Hardware gebraucht – Illustration 2

Was lokale Snapshots nicht schützen
#

An dieser Stelle wird die Frage aus der Überschrift wichtig: Warum ist es überhaupt eine offene Frage, ob Snapshots auf demselben NAS sicher sind? Die Antwort liegt in den Szenarien, die außerhalb der Schutzlogik von DSM liegen.

Ein unveränderlicher Snapshot schützt vor logischem Löschen und Überschreiben innerhalb des laufenden Systems. Er schützt nicht vor:

  • Physischem Verlust: Diebstahl, Feuer, Wasserschaden oder ein Defekt der Hardware vernichten die Daten mitsamt den Snapshots, weil beide auf derselben Kiste liegen.
  • Eingriffen auf Geräteebene: Wer physischen Zugriff auf das Gerät hat, kann Datenträger ausbauen, neu initialisieren oder das System auf andere Weise zurücksetzen. Die WORM-Logik ist eine Eigenschaft der DSM-Software und der Btrfs-Struktur, kein Schutz gegen einen Angreifer mit Schraubendreher.
  • Vollständiger Systemkompromittierung unterhalb der DSM-Ebene: Die Hersteller-Dokumentation bezieht ihre Aussagen auf Administratorrechte in DSM. Einen Angriff, der die Geräteebene selbst übernimmt, deckt die lokale Unveränderlichkeit nicht ab.

Das ist der Kern der eingangs zitierten Überlegung: Unveränderliche Snapshots sind an die Hardware gebunden, auf der sie liegen. Sie brauchen entweder das lokale NAS selbst oder eine Replikation auf ein zweites System im LAN. Eine Offsite-Kopie entsteht daraus nicht automatisch.

Darum ist die Reihenfolge entscheidend. Wer nur lokale unveränderliche Snapshots hat, hat keinen Schutz gegen Standortverlust. Wer nur ein Offsite-Backup hat, hat schnelle Wiederherstellung nur mit Verzögerung und muss darauf vertrauen, dass der Angreifer das Offsite-Backup nicht über kompromittierte Zugangsdaten erreicht hat. Beide Ebenen beantworten verschiedene Fragen. Die lokale WORM-Schicht beantwortet „Überlebt mein Backup einen Angreifer mit Admin-Rechten?", das Offsite-Backup beantwortet „Überlebt mein Backup den Verlust des gesamten Standorts?".

Der Platz in der Gesamtstrategie: 3-2-1-1-0
#

Synology ordnet die beiden Werkzeuge in ein Modell ein, das die klassische 3-2-1-Regel um zwei Ziffern erweitert: drei Kopien der Daten, auf zwei Medientypen, eine Kopie offsite, eine Kopie unveränderlich oder offline, und null Fehler bei einem getesteten Restore 2 .

In diesem Modell übernehmen zwei Produkte komplementäre Rollen. Hyper Backup erstellt versionierte, deduplizierte und verschlüsselte Backups mit Zielen wie externen Laufwerken, einem entfernten Synology-NAS, rsync-Servern oder der Synology-Cloud. Es hält die vollständige Versionshistorie vor, sodass sich ein beliebiger früherer Punkt wiederherstellen lässt und nicht nur der letzte Stand 2 . Snapshot Replication erstellt dagegen die unveränderlichen Snapshots und kann sie zusätzlich auf ein zweites Synology-System replizieren 2 .

Für die eingangs beschriebene Ausgangslage bedeutet das konkret: Wer bereits ein Offsite-Backup per Hyper Backup fährt, hat die „eine Kopie offsite" abgedeckt. Was fehlt, ist die „eine Kopie unveränderlich". Lokale unveränderliche Snapshots füllen genau diese Lücke, ohne dass man die Offsite-Kopie anfasst. Die beiden Ebenen konkurrieren nicht, sie ergänzen sich.

Ein Hinweis zur Modellwahl: Unveränderliche Snapshots setzen ein WORM-unterstütztes Synology-Modell voraus 2 . Bevor man plant, sollte man prüfen, ob das eigene Gerät die Funktion überhaupt anbietet. Wer ein älteres oder ein Einstiegsmodell betreibt, findet die Option möglicherweise nicht.

Einrichtung in der Praxis
#

Die genaue Bezeichnung einzelner Menüpunkte hängt von der DSM-Version ab. Die Schritte lassen sich aber verlässlich beschreiben, weil sie direkt aus den dokumentierten Funktionen folgen: Schutzzeitraum, Aufbewahrungsplan und Replikation 1 , 2 .

Der Ablauf in Kürze:

  1. Prüfen, ob das Modell unveränderliche Snapshots unterstützt und ob der betreffende freigegebene Ordner auf einem Btrfs-Volume liegt.
  2. Das Paket Snapshot Replication über das Paket-Zentrum installieren, falls es nicht bereits vorhanden ist.
  3. Eine Snapshot-Aufgabe für den freigegebenen Ordner oder die LUN anlegen und einen Zeitplan festlegen. Snapshots und Replikationsaufgaben lassen sich laut Hersteller bis auf Minutenebene präzise planen 1 .
  4. Den Schutzzeitraum setzen. Erst dieser Zeitraum macht den Snapshot unveränderlich: Innerhalb der Frist kann nichts den Snapshot löschen oder verändern, auch kein Administrator 2 .
  5. Einen Aufbewahrungsplan festlegen. Synology nennt dafür Grandfather-Father-Son-Richtlinien, die die Speichernutzung auf beiden Geräten optimieren 1 .
  6. Optional eine Replikationsaufgabe auf ein zweites Synology-System einrichten, damit die unveränderlichen Snapshots zusätzlich auf getrennter Hardware liegen 2 .

Wichtig ist der Unterschied zwischen Aufbewahrungsplan und Schutzzeitraum. Der Aufbewahrungsplan bestimmt, wie lange ein Snapshot überhaupt vorgehalten wird. Der Schutzzeitraum bestimmt, wie lange er sich in dieser Zeit nicht löschen lässt. Wer beides verwechselt, erhält entweder zu wenig Schutz oder läuft in Speicherprobleme.

Dasselbe gilt für die Replikation auf ein zweites Gerät im LAN. Eine Replikationsaufgabe kopiert die unveränderlichen Snapshots auf ein zweites Synology-System 2 . Das erhöht die Ausfallsicherheit gegen den Ausfall der ersten Kiste, bleibt aber räumlich am selben Standort. Für den Schutz gegen Feuer oder Einbruch ist erst die Offsite-Kopie zuständig.

Zusätzlich sollte man die Erkennung aktivieren, wenn das Setup es erlaubt. Active Insight überwacht Dateiaktivität und kann bei auffälligen Mustern automatisch einen unveränderlichen Snapshot auslösen 2 . Das fängt einen Angriff ab, bevor ein Mensch ihn überhaupt bemerkt hat. Zur Prävention hält Synology eine eigene Anleitung bereit, die sich um Absicherung des Geräts und der Zugänge dreht 4 .

Für die Offsite-Seite gibt es zwei dokumentierte Wege, die sich mit der lokalen Schicht ergänzen. Hyper Backup schreibt verschlüsselte, versionierte Kopien auf externe Laufwerke, ein entferntes Synology-System, einen rsync-Server oder die Synology-Cloud 2 . In der Cloud lässt sich die Unveränderlichkeit zusätzlich über C2 Object Lock erzwingen: Für den gesetzten Aufbewahrungszeitraum kann niemand das Objekt ändern oder löschen, auch nicht mit Admin-Zugangsdaten 2 . Damit liegt die „unveränderliche Kopie" wahlweise lokal, auf einem zweiten Gerät im LAN oder in der Cloud, während die Offsite-Kopie unabhängig davon besteht.

Testen, dass der Schutz wirklich hält
#

Eine Backup-Strategie ist erst dann belastbar, wenn sie getestet wurde. Synology macht das mit der Null in der 3-2-1-1-0-Regel explizit: Ein getesteter Restore bestätigt, dass die Kopie tatsächlich sauber zurückkommt, statt nur anzunehmen, dass sie es tut 2 .

Drei Prüfungen gehören zum Minimum:

  1. Restore-Test: Einen unveränderlichen Snapshot auf einen Testbereich zurückspielen und prüfen, dass die erwarteten Dateien vollständig und lesbar ankommen.
  2. Lösch-Test: Versuchen, einen Snapshot innerhalb des Schutzzeitraums zu löschen. Der Versuch muss scheitern. Erst wenn das der Fall ist, funktioniert die WORM-Logik tatsächlich.
  3. Replikations-Test: Falls eine Replikation auf ein zweites Gerät eingerichtet ist, einmal von dort wiederherstellen und das Ergebnis prüfen.

Diese Tests sollte man nicht nur einmal ausführen, sondern regelmäßig wiederholen, insbesondere nach DSM-Updates. Eine Funktion, die nach einem Update stillschweigend deaktiviert wird, nützt im Ernstfall nichts.

Entscheidung: lohnt sich die zweite Ebene?
#

Für die konkrete Ausgangslage lässt sich die Entscheidung auf wenige Kriterien herunterbrechen.

Lokale unveränderliche Snapshots sind sinnvoll, wenn:

  • das NAS ein WORM-unterstütztes Modell mit Btrfs-Volumes ist,
  • ein Offsite-Backup bereits besteht und die „unveränderliche Kopie" als Lücke offen ist,
  • schnelle lokale Wiederherstellung im Ernstfall Zeit spart,
  • das Risiko gestohlener Administrator-Zugangsdaten als real eingeschätzt wird.

Lokale unveränderliche Snapshots allein reichen nicht, wenn:

  • es kein Offsite-Backup gibt und ein Standortverlust den kompletten Datenverlust bedeuten würde,
  • die Daten so kritisch sind, dass auch Diebstahl oder Brand abgedeckt sein müssen,
  • das Gerät keinen Schutz auf Geräteebene bietet und physischer Zugriff durch Unbefugte möglich ist.

Es gibt außerdem eine bewusste Entscheidung, die man beim Lösegeld-Fall kennt: Zahlen ist selten der schnellste Weg zurück. Synology verweist darauf, dass ein großer Teil der zahlenden Opfer seine Daten trotzdem nicht vollständig zurückbekommt und die meisten innerhalb eines Jahres erneut getroffen werden 2 . Eine Zahlung signalisiert dem Angreifer Zahlungsfähigkeit und Zahlungsbereitschaft und markiert das Opfer für die nächste Kampagne. Der zuverlässige Weg ist die eigene Wiederherstellung aus einer sauberen Kopie, und genau dafür sind die lokalen unveränderlichen Snapshots plus Offsite-Backup gedacht.

Der entscheidende Punkt bleibt: Unveränderlichkeit auf demselben NAS ist eine Schutzschicht gegen logische Angriffe, keine Versicherung gegen alles. Sie ist sicher vor dem Szenario, das sie adressieren soll, solange man ihre Grenzen kennt. Wer bereits offsite sichert und nun „nachlegen" möchte, tut das mit lokalen unveränderlichen Snapshots an der richtigen Stelle: Er schließt die Lücke, die ein kompromittierter Admin-Account sonst öffnen würde, und behält gleichzeitig die Offsite-Kopie als Rückversicherung gegen Standortverlust.

Bevor man sich allein auf eine der beiden Ebenen verlässt, lohnt der Blick auf das eigene Modell: Ob unveränderliche Snapshots überhaupt verfügbar sind, entscheidet das Gerät, nicht die Planung. Der nächste konkrete Schritt ist daher die Prüfung im Paket-Zentrum und ein anschließender Lösch-Test mit gesetztem Schutzzeitraum. Erst wenn beides funktioniert, ist die zweite Ebene real vorhanden und nicht nur beabsichtigt.

Homelab Hardware gebraucht – Illustration 3

Weiterführende Artikel
#

Passende Produktrecherchen
#

Wenn du die praktische Seite vertiefen möchtest: Diese konkreten Produkte passen zum Thema dieses Artikels. Es ist keine Rangliste und keine Kaufpflicht, sondern eine kurze Auswahl mit Begründung, für wen sie interessant sein kann:

Hinweis: Als Amazon-Partner verdient kalika.de an qualifizierten Verkäufen. Für dich ändert sich der Preis nicht.

Hinweis: Dieser Link ist ein Starlink-Empfehlungslink. Wenn du darüber bestellst, können für dich und kalika.de Vorteile nach den jeweils geltenden Starlink-Bedingungen entstehen.

Grenzen der Einordnung
#

Die Quellen beschreiben den Stand zum Zeitpunkt der Recherche. Sie ersetzen keine Prüfung im konkreten Einsatz; Konfiguration, Voraussetzungen und lokale Rahmenbedingungen können Ergebnisse verändern. Vor wichtigen Entscheidungen sollten Leserinnen und Leser die genannten Primärquellen erneut prüfen.

Transparenzhinweis
#

Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt und automatisiert auf Quellen, Fakten und Qualitätskriterien geprüft.

Quellen
#

[1] Snapshot Replication – Synology

[2] When Only Immutable Backups Survive – Synology Blog

[3] Encryption-based Ransomware Protection – Synology

[4] How can I prevent ransomware attacks on my Synology device? – Synology Knowledge Center

Related