Kurz gesagt: Synology warnt seit dem 29. Oktober 2026 vor Ransomware-Angriffen auf NAS-Systeme mit veralteter DSM-Version. Die Angreifer nutzen eine Lücke, die Synology bereits im Dezember 2024 geschlossen hat, verschlüsseln die Daten auf dem Gerät und fordern Lösegeld. Betreibst du ein Synology-NAS, prüf heute zwei Dinge: Ist DSM aktuell, und ist die Anmeldeseite aus dem Internet erreichbar?
Stand: 03.11.2026
Synology-NAS sind in kleinen Unternehmen, Praxen und Kanzleien weit verbreitet, als zentrale Dateiablage und oft auch als Backup-Ziel. Genau das macht den Angriff gefährlich: Liegt das Backup auf demselben NAS, wird es mitverschlüsselt.
Was ist passiert?
Synology hat am 29. Oktober 2026 mitgeteilt, dass Angreifer gezielt NAS-Geräte mit veraltetem DSM angreifen. Ausgenutzt wird laut Synology eine Schwachstelle aus dem Sicherheitshinweis SA-24:20. Dahinter steht CVE-2024-10441, eine Lücke mit der höchsten Risikostufe (CVSS 9,8), über die Angreifer ohne Anmeldung Code auf dem NAS ausführen können. Die Updates dafür gibt es seit dem 5. November 2024.
In Medienberichten wird die Schadsoftware als C3RB3R bezeichnet. Verschlüsselte Dateien erhalten demnach die Endung .L0CK3D, die Lösegeldforderung liegt als Datei read-me3.txt auf dem Gerät. Synology selbst nennt in seiner Mitteilung weder einen Namen noch betroffene Länder. Uns sind keine bestätigten Fälle aus Deutschland bekannt, Stand 1. November 2026.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Bin ich betroffen?
Betroffen sind Geräte, auf denen DSM seit Ende 2024 nicht aktualisiert wurde. Die Mindeststände aus dem Sicherheitshinweis SA-24:20:
- DSM 7.2.2: Version 7.2.2-72806-1 oder neuer
- DSM 7.2.1: Version 7.2.1-69057-6 oder neuer
- DSM 7.2: Version 7.2-64570-4 oder neuer
- DSM 7.1: Version 7.1.1-42962-7 oder neuer
Damit allein ist es nicht getan. Am 18. September 2026 hat Synology mit SA-26:13 weitere kritische Lücken geschlossen, darunter zwei mit CVSS 9,8 (CVE-2026-13639 und CVE-2026-13684). Willst du sicher sein, bring dein NAS auf einen dieser Stände oder neuer:
- DSM 7.4: 7.4-90075
- DSM 7.3: 7.3.2-86009-4
- DSM 7.2.2: 7.2.2-72806-9
- DSM 7.2.1: 7.2.1-69057-12
Die installierte Version findest du in DSM unter Systemsteuerung, Info-Center. Besonders gefährdet sind Geräte, deren Anmeldeseite aus dem Internet erreichbar ist, etwa über eine Portfreigabe im Router oder über QuickConnect.
Was ist jetzt zu tun?
- DSM aktualisieren. Systemsteuerung, Aktualisieren und Wiederherstellen, dann das Update einspielen. Danach auch die installierten Pakete im Paket-Zentrum aktualisieren.
- Automatische Updates einschalten. Synology empfiehlt das ausdrücklich. So schließt das NAS künftige Lücken selbst.
- Zugriff aus dem Internet prüfen. Entfern Portfreigaben für das NAS im Router. Musst du von außen auf Daten zugreifen, nutz dafür ein VPN statt einer offenen Anmeldeseite.
- Security Advisor ausführen. Das Werkzeug in DSM zeigt offene Ports, schwache Kennwörter und fehlende Updates.
- Nach Spuren suchen. Gibt es unbekannte Benutzerkonten, Dateien mit der Endung .L0CK3D oder eine Datei read-me3.txt? Dann das NAS sofort vom Netz trennen und Hilfe holen.
- Backup außerhalb des NAS sicherstellen. Ein Backup, das nur auf dem NAS liegt, ist kein Backup. Wie eine sichere Datensicherung aufgebaut ist, erklären wir in unserem Beitrag zur 3-2-1-Regel.
- Alte Geräte ersetzen. Ein NAS, das keine DSM-Updates mehr erhält, gehört nicht mehr ans Internet und nicht mehr an wichtige Daten.
Mehr zum Thema: Backup und Wiederherstellung, IT-Security, Soforthilfe bei Hackerangriff und unser Beitrag Patch-Management im Mittelstand.
So unterstützen wir dich
Wir prüfen dein Synology-NAS aus der Ferne, meist innerhalb eines Tages per Fernwartung: DSM-Stand, Erreichbarkeit aus dem Internet, Benutzerkonten und Backup. Bei Kunden mit Managed IT übernehmen wir die Updates laufend und überwachen die Datensicherung. Vermutest du einen Befall, ruf uns an, bevor du etwas am Gerät änderst: Mo bis Fr von 8 bis 17 Uhr unter 0541 507 988 08 oder per E-Mail an info@team-data.de.
Häufige Fragen
Mein NAS hat die aktuelle DSM-Version. Bin ich trotzdem gefährdet?
Synology nennt als Angriffsweg eine Lücke, die seit Dezember 2024 geschlossen ist. Ein NAS mit aktuellem DSM ist davon nicht betroffen. Prüf trotzdem, ob die Anmeldeseite aus dem Internet erreichbar ist, und sichere deine Daten zusätzlich außerhalb des NAS.
Hilft die Zwei-Faktor-Anmeldung gegen diesen Angriff?
Nur bedingt. Die ausgenutzte Lücke erlaubt das Ausführen von Code ohne Anmeldung, die Zwei-Faktor-Anmeldung greift dort nicht. Sie schützt aber gegen gestohlene oder erratene Passwörter und gehört deshalb trotzdem auf jedes NAS.
Ist QuickConnect gefährlich?
QuickConnect leitet Verbindungen über Synology-Server weiter, statt einen Port direkt zu öffnen. Das ist sicherer als eine Portfreigabe, macht das NAS aber weiterhin von außen erreichbar. Brauchst du den Zugriff von außen nicht, schalte QuickConnect ab. Brauchst du ihn, halte DSM aktuell oder greif besser über VPN zu.
Unsere Daten sind bereits verschlüsselt. Sollen wir das Lösegeld zahlen?
Das BSI und die Polizei raten davon ab. Eine Zahlung garantiert keine Entschlüsselung und finanziert weitere Angriffe. Trenn das NAS vom Netz, änder nichts an den Daten und hol Hilfe. Wenn ein Backup außerhalb des NAS existiert, lassen sich die Daten daraus wiederherstellen.
Mein NAS bekommt keine DSM-Updates mehr. Was dann?
Dann sollte das Gerät nicht mehr aus dem Internet erreichbar sein und nicht mehr als einziger Speicherort für wichtige Daten dienen. Mittelfristig gehört es ersetzt. Welche Modelle noch Updates erhalten, zeigt Synology auf seiner Website.
