Kurz gesagt: Ein NAS ist als Backupziel nur dann sicher, wenn es nicht wie ein normales Netzlaufwerk im Firmennetz hängt. Ransomware verschlüsselt alles, was mit den Rechten des befallenen Benutzers erreichbar ist, also auch die Sicherung auf einer offenen Freigabe. Das BSI fordert deshalb Offline-Backups, die nach der Sicherung vom Netz getrennt sind, Zugriffsrechte nach dem Need-to-know-Prinzip und regelmäßige Wiederherstellungstests. Ein NAS kann ein Baustein im Backup-Konzept sein, aber nicht der einzige.
Stand: 03.11.2026
Warum ist ein NAS als einziges Backupziel riskant?
Viele kleine Unternehmen und Praxen sichern ihren Server auf ein NAS im selben Netz. Das ist bequem und günstig, hat aber einen Haken: Das NAS ist ein Netzwerkgerät mit Freigaben, Benutzerkonten und einem eigenen Betriebssystem. Alles, was im Firmennetz erreichbar ist, ist auch für einen Angreifer erreichbar, der einen Arbeitsplatz oder den Server übernommen hat.
Das BSI beschreibt in seinen Top-10-Ransomware-Maßnahmen, dass Ransomware mit den Rechten des Benutzers arbeitet, unter dem sie läuft. Eine Backup-Freigabe, auf die der Server mit Schreibrechten zugreift, wird im Ernstfall genauso verschlüsselt wie die Produktivdaten. Dazu kommen typische Schwachstellen des NAS selbst: Standardkennwörter, veraltete Firmware, aus dem Internet erreichbare Weboberflächen und Admin-Konten, die mehrere Personen gemeinsam nutzen. In den vergangenen Jahren waren gerade NAS-Systeme wiederholt Ziel von Angriffen, die genau diese Punkte ausnutzen.
Ein zweiter Punkt: Ein NAS im Serverraum schützt nicht vor Brand, Wasser, Diebstahl oder Überspannung. Fällt der Raum aus, sind Server und Backup gleichzeitig weg.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Was fordert das BSI für Backups?
Das BSI nennt Backups die wichtigste präventive Maßnahme, um nach einem Ransomware-Vorfall die Verfügbarkeit der Daten sicherzustellen. Zum Backup gehört dabei nicht nur die Sicherung, sondern auch die Planung und Vorbereitung von Wiederanlauf und Rücksicherung. Die zentralen Anforderungen aus den Top-10-Ransomware-Maßnahmen des BSI:
- Offline-Backup: Wörtlich heißt es: „Die Daten müssen in einem Offline-Backup gesichert werden.“ Ein Offline-Backup wird nach der Sicherung vom übrigen IT-Netz getrennt und ist damit vor Angriffen und Verschlüsselung geschützt.
- Wiederherstellungstests: Die Planungen zur Rücksicherung sollten praktisch getestet werden, damit Probleme vor dem Ernstfall auffallen. Geprüft werden soll auch, ob sich die Geschäftsprozesse nach einem Datenverlust wieder in Gang bringen lassen.
- Zentrale Datenhaltung und Zugriffsrechte: Netzlaufwerke erlauben es, Zugriffsrechte nach dem Need-to-know-Prinzip zu vergeben und später anzupassen. Schreibrechte auf archivierte Altdaten können entzogen werden. Die Daten bleiben lesbar, können aber von Ransomware mit Nutzerrechten nicht mehr verschlüsselt werden.
- Netzsegmentierung: Eine saubere Segmentierung begrenzt Schäden, weil Ransomware nur benachbarte Systeme erreicht. Das funktioniert laut BSI aber nur mit sicher verwalteten Administratorkonten.
- Administrator-Konten: Privilegierte Konten sind nur für Administrationsaufgaben da, nicht für E-Mail oder Surfen, und sollten mit Zwei-Faktor-Authentisierung geschützt sein.
- Patches: Updates sollen zeitnah nach Veröffentlichung eingespielt werden, besonders bei exponierter Software und kritischen Lücken.
Übertragen auf ein NAS heißt das: Es darf keine offene Freigabe sein, auf die jeder Server-Benutzer schreiben kann, es braucht aktuelle Firmware, eigene Konten mit starken Kennwörtern und Zwei-Faktor-Authentisierung, und es ersetzt kein Offline-Backup.
Wie richtest du ein NAS als Backupziel sicher ein?
- Eigenes Netzsegment. Stelle das NAS in ein eigenes VLAN, das nur vom Backup-Server über die benötigten Ports erreichbar ist. Arbeitsplätze haben keinen Zugriff. Die Weboberfläche des NAS ist nur aus dem Admin-Netz erreichbar, niemals aus dem Internet.
- Eigenes Backup-Konto. Lege auf dem NAS ein Konto nur für die Backup-Software an, mit Schreibrecht ausschließlich auf den Backup-Ordner. Der Domänen-Administrator und die normalen Benutzer bekommen keine Rechte auf diese Freigabe. Das Backup-Konto wird nirgendwo sonst verwendet.
- Admin-Konto absichern. Standard-Admin deaktivieren oder umbenennen, eigenes Admin-Konto mit langem Kennwort und Zwei-Faktor-Authentisierung, Anmeldung nur aus dem Admin-Netz.
- Firmware aktuell halten. Updates des NAS-Herstellers zeitnah einspielen, nicht genutzte Dienste und Apps abschalten, UPnP und Portweiterleitungen auf dem Router deaktivieren.
- Snapshots mit Schutz. Viele NAS-Systeme bieten Snapshots des Backup-Volumes, die sich nicht über die Freigabe löschen lassen. Aktiviere sie, wenn dein Gerät das unterstützt, und behalte mehrere Stände.
- Zweite Kopie außerhalb. Ergänze das NAS um ein Offline-Backup oder eine Sicherung in ein Rechenzentrum, zum Beispiel TERRA CLOUD Backup. Damit erfüllst du die BSI-Forderung nach einem vom Netz getrennten Backup und bist gegen Brand und Diebstahl geschützt.
- Wiederherstellung testen. Stelle regelmäßig einzelne Dateien und mindestens einmal im Jahr einen kompletten Server aus dem Backup wieder her. Dokumentiere Dauer und Ablauf.
- Überwachung. Fehlgeschlagene Sicherungen müssen auffallen. Lass dir Backup-Berichte per E-Mail schicken oder binde das NAS in dein Monitoring ein.
Welche Alternativen gibt es zum NAS?
| Backupziel | Stärken | Schwächen |
|---|---|---|
| NAS im eigenen Netz | Schnelle Wiederherstellung, günstig, große Kapazität | Im Netz erreichbar, gleicher Standort wie der Server, nur mit Segmentierung und Rechtekonzept sicher |
| Wechselfestplatten (rotierend) | Echtes Offline-Backup, nach dem Abziehen unerreichbar | Manuelle Disziplin nötig, Platten gehen verloren oder bleiben stecken |
| Cloud-Backup im Rechenzentrum | Anderer Standort, vom Firmennetz logisch getrennt, automatisiert | Wiederherstellung großer Datenmengen dauert je nach Internetanbindung länger |
In der Praxis kombinieren wir meist ein lokales Ziel für die schnelle Wiederherstellung mit einer zweiten Kopie außer Haus. Das NAS ist dann der schnelle Weg, das Rechenzentrum oder die Offline-Platte die Versicherung für den Ernstfall.
So unterstützen wir dich
Wir prüfen bestehende NAS-Backups für Unternehmen, Praxen und Kanzleien in Osnabrück und Umgebung, segmentieren das Netz, setzen das Rechtekonzept um und ergänzen eine Sicherung ins Rechenzentrum als TERRA CLOUD Partner, auch per Fernwartung. Mehr dazu auf unserer Seite zu Backup und Wiederherstellung.
Häufige Fragen
Reicht ein NAS als einziges Backup?
Nein. Das BSI fordert ein Offline-Backup, das nach der Sicherung vom Netz getrennt ist. Ein NAS im Firmennetz erfüllt das nicht, auch nicht mit guter Absicherung.
Schützt ein eigenes Backup-Konto auf dem NAS vor Ransomware?
Es hilft, weil Ransomware mit den Rechten des befallenen Benutzers arbeitet und auf die Freigabe dann nicht schreiben kann. Wird aber der Backup-Server selbst kompromittiert, nutzt der Angreifer dessen Zugangsdaten. Deshalb braucht es zusätzlich Snapshots oder ein Offline-Backup.
Wie oft sollte ich die Wiederherstellung testen?
Das BSI verlangt praktische Tests, nennt aber kein Intervall. Wir empfehlen regelmäßige Datei-Rücksicherungen und mindestens einmal jährlich einen kompletten Wiederherstellungstest.
Darf die NAS-Oberfläche aus dem Internet erreichbar sein?
Nein. Weboberfläche und Dienste des NAS gehören nur ins Admin-Netz. Portweiterleitungen und UPnP auf dem Router solltest du abschalten.
Quellen
- Top 10 Ransomware-Maßnahmen (Bundesamt für Sicherheit in der Informationstechnik (BSI), abgerufen am 03.11.2026)
- Backups, Datensicherungskonzept und zentrale Datenhaltung (Bundesamt für Sicherheit in der Informationstechnik (BSI), abgerufen am 03.11.2026)
