Synology-NAS im Visier: C3RB3R-Ransomware greift veraltete Systeme an

Wer ein Synology-NAS zu Hause oder im Unternehmen betreibt, sollte aktuell einen Blick auf die installierte DSM-Version werfen. Mit C3RB3R macht eine Ransomware die Runde, die gezielt ältere und nicht ausreichend aktualisierte NAS-Systeme angreift. Besonders gefährdet sind Geräte, die direkt über das Internet erreichbar sind.

Synology hat die Angriffe inzwischen bestätigt und empfiehlt dringend, verfügbare Sicherheitsupdates einzuspielen. Das Ärgerliche an der Sache: Die betroffenen Sicherheitslücken sind teilweise schon seit längerer Zeit geschlossen. Trotzdem scheinen noch genügend Geräte mit veralteter Software unterwegs zu sein.

C3RB3R verschlüsselt Dateien auf Synology-NAS

Bei C3RB3R handelt es sich um einen Ableger der bereits bekannten Cerber-Ransomware. Die Schadsoftware verschlüsselt Dateien auf kompromittierten Geräten und macht sie dadurch für die Besitzer unbrauchbar.

Betroffene Dateien erhalten die Endung .L0CK3D. Zusätzlich legen die Angreifer eine Datei mit dem Namen read-me3.txt ab. Darin findet sich die Aufforderung, ein Lösegeld in Bitcoin zu bezahlen, um wieder Zugriff auf die verschlüsselten Daten zu erhalten.

Dabei können schnell mehrere Tausend Dollar zusammenkommen. Ob die Angreifer nach einer Zahlung tatsächlich einen funktionierenden Schlüssel liefern, ist natürlich eine ganz andere Frage.

Besonders problematisch ist das bei einem NAS, auf dem häufig nicht nur irgendwelche Dateien liegen. Familienfotos, wichtige Dokumente, berufliche Unterlagen oder die Backups mehrerer Computer sind dort oft zentral gespeichert.

Und genau das macht solche Angriffe so unangenehm: Im schlimmsten Fall sind nicht nur die Originaldaten betroffen, sondern gleich die vermeintlich sicheren Sicherungskopien.

Sicherheitslücken sind bereits seit Monaten bekannt

Interessant ist vor allem, wie die Angreifer offenbar auf die Geräte gelangen.

Synology verweist in seiner offiziellen Warnung vom 29. Oktober 2026 auf eine Schwachstelle, für die bereits Ende 2024 Sicherheitsupdates bereitgestellt wurden.

Sicherheitsforscher bringen außerdem zwei neuere Schwachstellen mit den Angriffen in Verbindung:

• CVE-2026-13639: Eine Schwachstelle innerhalb der DSM-Anmeldelogik.

• CVE-2026-13684: Ein Fehler bei der Verarbeitung von Daten innerhalb einer DSM-Komponente.

Beide Sicherheitslücken erreichen einen CVSS-Wert von 9,8 auf einer Skala bis 10 und gelten damit als kritisch. Sie können es Angreifern ermöglichen, aus der Ferne auf Dateien zuzugreifen oder diese zu verändern.

Die entsprechenden Korrekturen hat Synology bereits am 18. September 2026 veröffentlicht.

Welche der genannten Schwachstellen bei den aktuellen Angriffen tatsächlich ausgenutzt werden, ist allerdings noch nicht abschließend geklärt. Die Angaben von Synology und den Sicherheitsforschern unterscheiden sich hier.

An der eigentlichen Empfehlung ändert das wenig: Ein Synology-NAS sollte grundsätzlich mit der neuesten unterstützten DSM-Version betrieben werden.

Welche DSM-Versionen sind betroffen?

Für die im September 2026 veröffentlichten Sicherheitslücken nennt Synology folgende Mindestversionen:

Wer eine ältere Version installiert hat, sollte das Update möglichst umgehend nachholen.

Die installierte Version lässt sich in der DSM-Systemsteuerung unter Aktualisieren & Wiederherstellen überprüfen. Dort kann auch nach verfügbaren Updates gesucht werden.

Sollte DSM keine neue Version anbieten, lohnt sich ein Blick in das offizielle Synology Download-Zentrum. Dort können passende Aktualisierungen für das jeweilige NAS-Modell heruntergeladen und bei Bedarf manuell installiert werden.

Auch Besitzer älterer Geräte mit DSM 6.2 oder DSM 7.1 sollten prüfen, ob ihr System noch ausreichend mit Sicherheitsupdates versorgt wird. Dabei sind die Sicherheitshinweise zu den Schwachstellen aus dem Jahr 2024 besonders relevant.

Ein NAS gehört nicht ungeschützt ins Internet

Was mich bei solchen Meldungen immer wieder beschäftigt, ist die Frage, warum viele NAS-Systeme überhaupt direkt aus dem Internet erreichbar sein müssen.

Natürlich ist es praktisch, unterwegs auf seine Dateien zugreifen zu können. Genau dafür kaufen sich schließlich viele ein NAS.

Problematisch wird es allerdings, wenn die DSM-Verwaltungsoberfläche über eine einfache Portfreigabe im Router öffentlich erreichbar ist. Damit vergrößert sich die Angriffsfläche erheblich.

Ein VPN ist für den Fernzugriff meistens die bessere Lösung. Dienste wie Tailscale oder eine sauber konfigurierte WireGuard-Verbindung ermöglichen den Zugriff auf das heimische Netzwerk, ohne die DSM-Oberfläche direkt freizugeben.

Das ist kein Freifahrtschein für veraltete Software. Auch VPN-Lösungen müssen gepflegt und aktualisiert werden. Trotzdem lässt sich damit die öffentliche Erreichbarkeit sensibler NAS-Dienste deutlich reduzieren.

Diese Sicherheitsmaßnahmen würde ich jetzt überprüfen

Ein DSM-Update ist der wichtigste erste Schritt. Wer sein NAS dauerhaft vernünftig absichern möchte, sollte allerdings etwas weiterdenken.

1. DSM und installierte Pakete aktualisieren

Nicht nur das Betriebssystem selbst benötigt Sicherheitsupdates. Auch Anwendungen wie Synology Drive oder andere installierte Dienste sollten auf dem aktuellen Stand bleiben.

2. Zwei-Faktor-Authentifizierung aktivieren

Alle relevanten Benutzerkonten sollten mit einer zusätzlichen Anmeldung abgesichert werden. Nicht benötigte Konten gehören deaktiviert und Administratorrechte auf das notwendige Minimum beschränkt.

Wichtig: Eine Zwei-Faktor-Authentifizierung schützt nicht automatisch vor Sicherheitslücken, die ohne Anmeldung ausgenutzt werden können.

3. Portfreigaben kontrollieren

Ein Blick in die Router-Konfiguration kann sich lohnen. Werden Weiterleitungen zum NAS wirklich benötigt? Falls nicht, sollten sie entfernt werden. Das gilt insbesondere für die DSM-Verwaltung.

4. Backups unabhängig vom NAS aufbewahren

Mit Hyper Backup lassen sich versionierte Sicherungen erstellen. Unterstützte Systeme können zusätzlich mit Snapshots arbeiten, um frühere Datenstände wiederherzustellen.

Entscheidend ist aber, dass Angreifer nicht gleichzeitig sämtliche Sicherungen löschen oder verschlüsseln können. Mindestens eine Backup-Kopie sollte deshalb offline, getrennt oder zuverlässig gegen nachträgliche Veränderungen geschützt sein.

5. Wiederherstellung regelmäßig testen

Ein erfolgreich abgeschlossener Backup-Auftrag bedeutet noch nicht automatisch, dass sich alle Daten im Ernstfall wiederherstellen lassen.

Deshalb sollte man gelegentlich prüfen, ob die Wiederherstellung tatsächlich funktioniert.

Was tun, wenn das Synology-NAS bereits betroffen ist?

Wer Dateien mit der Endung .L0CK3D oder entsprechende Lösegeldforderungen entdeckt, sollte nicht einfach nur ein Update installieren und hoffen, dass anschließend wieder alles funktioniert.

Ein bereits kompromittiertes NAS wird durch ein Sicherheitsupdate nicht automatisch bereinigt. Auch verschlüsselte Daten werden dadurch nicht wieder lesbar.

In einem solchen Fall ist es sinnvoll, das Gerät zunächst vom Netzwerk und Internet zu isolieren, um weitere Schäden möglichst zu verhindern.

Anschließend sollten mögliche Zugriffe, vorhandene Sicherungen und der Zustand des Systems untersucht werden. Bei wichtigen geschäftlichen Daten kann die Unterstützung durch IT-Sicherheitsexperten sinnvoll sein.

Auch Passwörter und Zugangsdaten müssen gegebenenfalls von einem sauberen Gerät aus geändert werden. Eine Neuinstallation sollte erst nach der notwendigen Untersuchung und Sicherung relevanter Informationen erfolgen.

Von einer vorschnellen Lösegeldzahlung würde ich grundsätzlich abraten. Eine Garantie auf die Wiederherstellung gibt es nicht.

Fazit: Ein aktuelles Synology-NAS ist kein Selbstläufer

Die aktuellen C3RB3R-Angriffe zeigen ziemlich deutlich, wie gefährlich aufgeschobene Sicherheitsupdates werden können.

Dabei muss man Synology zugutehalten, dass für die bekannten Schwachstellen bereits Korrekturen veröffentlicht wurden. Das eigentliche Problem entsteht, wenn NAS-Systeme anschließend über Monate oder sogar Jahre ohne Aktualisierung weiterlaufen.

Gerade weil ein NAS oft zuverlässig im Hintergrund arbeitet, gerät die regelmäßige Wartung schnell in Vergessenheit. Solange alles funktioniert, schaut man schließlich nur selten genauer hin.

Ich würde die aktuelle Warnung deshalb zum Anlass nehmen, nicht nur die DSM-Version zu überprüfen, sondern auch die eigene Backup-Strategie und den Fernzugriff kritisch zu hinterfragen.

Denn ein NAS ist erst dann eine vernünftige Lösung für wichtige Daten, wenn auch der Schutz und die Wiederherstellung im Ernstfall funktionieren.

Quellen

• Synology – Offizielle Warnung vor Ransomware-Angriffen vom 29. Oktober 2026:
  https://www.synology.com/en-global/company/news/article/C3RB3R

• Synology – Sicherheitsmitteilung SA-26:13, DSM-Schwachstellen aus September 2026:
  https://www.synology.com/en-global/security/advisory/Synology_SA_26_13

• Synology – Sicherheitsmitteilung SA-24:20, Schwachstellen aus 2024:
  https://www.synology.com/en-global/security/advisory/Synology_SA_24_20

• Chinese University of Hong Kong – Sicherheitswarnung zur C3RB3R-Ransomware:
  https://www.itsc.cuhk.edu.hk/all-it/information-security/information-security-alerts/ransomware-c3rb3r-ransomware-targeting-synology-nas-devices/

• Stadt-Bremerhaven – Ursprünglicher Bericht vom 31. Oktober 2026:
  https://stadt-bremerhaven.de/synology-ransomware-c3rb3r-greift-veraltete-nas-systeme-an/