Synology-NAS im Visier: Ransomware C3RB3R greift alte DSM-Versionen an – was jetzt hilft
Synology-NAS-Ransomware ist seit Ende Oktober 2026 ein akutes Thema: Am 29. Oktober hat Synology gewarnt, dass Angreifer NAS-Systeme mit veralteter DSM-Software angreifen, Daten verschlüsseln und Lösegeld fordern. Sicherheitsforscher und Fachmedien führen die Erpresser-Software unter dem Namen C3RB3R. Ausgenutzt wird eine Lücke, die Synology schon im Dezember 2024 geschlossen hat. Wer sein NAS regelmäßig aktualisiert, ist also im Vorteil. Hier lesen Sie, wie Sie das schnell prüfen.
Was hinter den Angriffen steckt
Laut Synology nutzen die Täter eine Schwachstelle, die im Sicherheitshinweis Synology-SA-24:20 beschrieben ist. Die schwerste Lücke darin, CVE-2024-10441, erreicht 9,8 von 10 Punkten und erlaubt Angreifern aus dem Netz, eigenen Code auf dem NAS auszuführen, ohne Anmeldung. Gefunden wurde sie beim Hacker-Wettbewerb Pwn2Own 2024.
Die Updates dafür gibt es seit Ende 2024. Angegriffen werden also Geräte, die seitdem nicht aktualisiert wurden. Das ist bei NAS-Systemen leider häufig: Sie laufen jahrelang unauffällig im Abstellraum, und niemand schaut auf die Software.
Nach Angaben des Sicherheitsteams der Chinese University of Hong Kong hängt die Erpresser-Software verschlüsselten Dateien die Endung .L0CK3D an und hinterlässt eine Lösegeldnotiz namens read-me3.txt. Diese Merkmale stammen nicht von Synology selbst, eignen sich aber als Hinweis.
Welche NAS-Systeme betroffen sind
Gefährdet sind Synology-Geräte, deren DiskStation Manager (DSM) älter ist als diese Stände:
- DSM 7.2.2 vor 7.2.2-72806-1
- DSM 7.2.1 vor 7.2.1-69057-6
- DSM 7.2 vor 7.2-64570-4
- DSM 7.1 vor 7.1.1-42962-7
Unabhängig davon hat Synology im September 2026 mit Synology-SA-26:13 weitere kritische Lücken geschlossen. Aktuell sind unter anderem DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 und 7.2.1-69057-12. Wer auf einem dieser Stände ist, hat auch die alte Lücke von 2024 hinter sich.
Am größten ist das Risiko, wenn die Verwaltungsoberfläche des NAS aus dem Internet erreichbar ist, etwa über eine Portfreigabe im Router.
Sie wissen nicht genau, welche Version auf Ihrem NAS läuft oder ob es von außen erreichbar ist? Gakko-IT prüft das für Sie, mehr dazu bei Backup & Notfall.
Ist mein NAS betroffen? So prüfen Sie es
Die Prüfung dauert wenige Minuten:
- In DSM anmelden und Systemsteuerung > Update & Wiederherstellung öffnen. Dort steht die installierte Version und ob ein Update bereitliegt.
- Im Router nachsehen, ob Portfreigaben auf das NAS zeigen, standardmäßig auf die DSM-Ports 5000 (HTTP) und 5001 (HTTPS), manchmal auch umgeleitet über 80 oder 443.
- In DSM prüfen, ob unbekannte Benutzerkonten oder neue Aufgaben im Aufgabenplaner auftauchen.
- Auf Freigaben nach Dateien mit der Endung .L0CK3D oder einer Datei read-me3.txt suchen.
Finden Sie verschlüsselte Dateien oder eine Lösegeldnotiz, ist das NAS bereits angegriffen. Dann bitte nicht weiter experimentieren, sondern direkt zu den Notfallschritten im nächsten Abschnitt.
Was jetzt zu tun ist
Ist das NAS noch sauber, gehen Sie so vor:
- DSM auf den neuesten verfügbaren Stand bringen und automatische Updates einschalten, wie Synology es ausdrücklich empfiehlt.
- Portfreigaben auf die Verwaltungsoberfläche im Router entfernen. Zugriff von außen besser nur über ein VPN, siehe Homeoffice sicher anbinden.
- Für alle Administratorkonten die Zwei-Faktor-Anmeldung aktivieren und das Standardkonto „admin“ deaktiviert lassen.
- Schnappschüsse auf den Freigaben einschalten und eine Sicherung außerhalb des NAS anlegen, die vom Netz getrennt ist.
Ist das NAS bereits verschlüsselt: Netzwerkkabel ziehen, Gerät nicht neu aufsetzen, nichts löschen und kein Lösegeld zahlen. Dokumentieren Sie, was Sie sehen, und holen Sie sich Unterstützung. Hilfe für den Ernstfall finden Sie bei uns unter IT-Notfall.
Was der Fall für kleine Betriebe zeigt
Ein NAS ist bequem, aber es ist ein Server mit allen Pflichten eines Servers. Die meisten Angriffe dieser Art treffen nicht die Geräte mit der neuesten Software, sondern die vergessenen. Und ein NAS, auf dem gleichzeitig die Daten und die einzige Sicherung liegen, ist bei einer Verschlüsselung schlicht weg.
Deshalb gilt die bewährte 3-2-1-Regel: drei Kopien, zwei Medien, eine davon außer Haus oder offline. Worauf es bei Einrichtung und Betrieb sonst ankommt, steht in NAS im Betrieb richtig einrichten.
Wenn Sie Ihr NAS prüfen lassen oder die Sicherung neu aufstellen wollen, sind wir für Betriebe in Paderborn und OWL auch vor Ort da. Wie wir Backups mit getestetem Rückweg einrichten, steht bei Backup & Notfall. Einen ersten Überblick gibt der kostenlose Sicherheits-Check.