Ransomware
Viele Menschen betrachten ein NAS-Gerät (Network Attached Storage) zu Hause einfach als große Festplatte, die mit ihrem Router verbunden ist. Sie speichern darauf Videos, Fotos, Dokumente und Backups und denken dann jahrelang kaum noch an das Gerät. Das ist ein großer Fehler.
Im Oktober begannen Angreifer, Synology-NAS-Geräte mit der Ransomware C3RB3R (Cerber) zu infizieren. Viele Nutzer berichten, dass sie Dateien auf ihrem Netzwerkspeicher nicht mehr öffnen können und in ihren Ordnern Textdateien mit Lösegeldforderungen auftauchen. Und das passiert nicht, weil jemand versehentlich eine schädliche Datei heruntergeladen hat: Gefährdet ist jeder, der vergessen hat, seinen Netzwerkspeicher rechtzeitig zu aktualisieren.
In diesem Artikel erklären wir genau, wer gefährdet ist und wie du deine Daten schützen kannst.
Wen C3RB3R ins Visier nimmt und wie der Angriff funktioniert
Wir sind daran gewöhnt zu denken, dass Malware auf ein Gerät gelangt, nachdem jemand eine verdächtige Datei heruntergeladen oder Anweisungen eines Angreifers befolgt hat. Doch die überwiegende Mehrheit der C3RB3R-Infektionen erfolgt ganz ohne Zutun des Nutzers – der Angreifer muss lediglich einen anfälligen NAS-Dienst erreichen können. Spezialisierte Scanner helfen wahrscheinlich dabei, solche Geräte zu finden, indem sie automatisch nach Synology-NAS-Systemen suchen und deren Version von DiskStation Manager (DSM) prüfen.
Im vergangenen Monat meldeten viele Synology-Besitzer C3RB3R-Angriffe. Synology hat das Problem offiziell bestätigt und erklärt, dass die Angreifer eine Schwachstelle ausnutzen, die bereits im Dezember 2024 behoben wurde. Der Beschreibung zufolge handelt es sich offenbar um CVE-2024-10441 – eine Schwachstelle, über die ein Angreifer ohne Authentifizierung beliebigen Code im Betriebssystem des NAS ausführen kann.
Gleichzeitig berichteten Forscher von 360.cn, dass bei den von ihnen untersuchten C3RB3R-Angriffen auch zwei weitere kritische Schwachstellen ausgenutzt wurden – beide mit einem Schweregrad von 9,8: CVE-2026-13639 und CVE-2026-13684. Diese Schwachstellen ermöglichen das beliebige Lesen oder Schreiben von Dateien sowie Denial-of-Service-Angriffe (DoS). Synology hat nicht bestätigt, dass diese Schwachstellen in dieser Kampagne tatsächlich ausgenutzt wurden. Das Unternehmen hat sie mit dem DSM-Update vom September behoben.
In jedem Fall ermöglichen die oben genannten Schwachstellen einen Remote-Angriff auf ein NAS. Damit Angreifer auf deinen Speicher zugreifen, Ransomware darauf einschleusen und ausführen können, müssen nur zwei Bedingungen erfüllt sein:
- Du hast deinen Netzwerkspeicher seit Langem nicht aktualisiert
- Die Oberfläche von Synology DiskStation Manager (DSM) ist aus dem Internet (oder dem lokalen Netzwerk) erreichbar
Das ist alles. Der Angreifer braucht weder dein Passwort noch irgendeine Aktion von dir. Jeder Synology-NAS-Besitzer, der sein System nicht rechtzeitig aktualisiert hat, ist gefährdet.
Wenn du in letzter Zeit keine Updates selbst installiert hast und nicht weißt, ob automatische Updates aktiviert sind, empfehlen wir, zuerst den Internetzugriff auf dein NAS zu blockieren und das Gerät anschließend so schnell wie möglich manuell zu aktualisieren – sonst könntest du sehr leicht zu den Opfern gehören.
Beachte, dass das Gerät bis zur Installation der Updates weiterhin für Angriffe aus dem lokalen Netzwerk anfällig ist. Wenn dein Synology NAS also für andere Nutzer im LAN erreichbar ist – etwa weil du es mit Nachbarn teilst oder es mit einem Universitäts-, Büro- oder Wohnheimnetz verbunden ist –, ist es am sichersten, das Ethernet-Kabel abzuziehen und WLAN zu deaktivieren, sofern dein NAS-Modell WLAN unterstützt. Lade anschließend die Update-Dateien auf deinen Computer herunter, trenne den Computer sowohl vom kabelgebundenen Netzwerk als auch vom WLAN, verbinde das NAS per Ethernet-Kabel direkt mit dem Computer und aktualisiere Betriebssystem und Anwendungen in einer vollständig isolierten Umgebung.
Ein weiterer Grund, deinen Netzwerkspeicher zu aktualisieren, sind die kürzlich entdeckten PHP-Schwachstellen. Synology hat bereits dringende Updates für sein Betriebssystem sowie die Anwendungen Mail Station und Synology Calendar veröffentlicht.
Was passiert nach der Infektion mit den Dateien?
Sobald die Ransomware C3RB3R in den Netzwerkspeicher gelangt, durchsucht sie alle erreichbaren Ordner mit Nutzerdaten und verschlüsselt die darin enthaltenen Dateien – Fotos, Dokumente, Archive, Videos und Audioaufnahmen. Verschlüsselte Dateien erhalten die Erweiterung .L0CK3D. Wenn ein Nutzer versucht, eine solche Datei zu öffnen, meldet das System, dass sie beschädigt ist oder ein unbekanntes Format hat. Leider lässt sich die Verschlüsselung nicht einfach durch Umbenennen der Datei entfernen.
So sehen Dateien aus, nachdem C3RB3R sie verschlüsselt hat
Die Angreifer hinterlassen außerdem ganz „hilfreich“ in Ordnern mit verschlüsselten Dateien eine Textdatei namens read-me3.txt mit Anweisungen zur Entschlüsselung der Daten auf deinem Speicher. Angeblich musst du nur … den überhaupt nicht verdächtigen Tor Browser öffnen und den Angreifern für ein Entschlüsselungstool bezahlen, das angeblich alle deine Dateien wiederherstellt. Natürlich gibt es keinerlei Garantie, dass du deine Dateien unbeschädigt zurückbekommst.
C3RB3R hinterlässt in jedem Ordner mit verschlüsselten Dateien eine solche Lösegeldforderung. Ein wahrhaft großzügiges Angebot: eine Datei kostenlos entschlüsseln, für den Rest bezahlen
Der Verlust aller oder eines Großteils deiner Dateien ist möglicherweise nicht die einzige unangenehme Folge. Angreifer erpressen Opfer häufig mit der Drohung, gestohlene Daten zu veröffentlichen – Zugangsdaten, intime Fotos, Arbeitsdokumente und andere vertrauliche Informationen. Weigert sich das Opfer, das Lösegeld zu zahlen, drohen die Kriminellen damit, all diese Daten öffentlich zu machen. Mit solchen Forderungen können sie dich per E-Mail oder über soziale Netzwerke kontaktieren.
Oft sind solche Drohungen nichts weiter als Betrug. Diese Maschen – und was du tun solltest, wenn du erpresst wirst – haben wir ausführlich in unserem Beitrag E-Mail-Betrug mit Drohungen und Erpressung beschrieben. Wenn dein NAS jedoch tatsächlich verschlüsselt wurde, lässt sich ein Datendiebstahl leider nicht ausschließen.
Was tun, wenn Ransomware dein Synology NAS bereits infiziert hat?
Wenn Ransomware dein NAS bereits angegriffen hat, befindest du dich wahrscheinlich in einer von zwei Situationen:
- Du hast die Ransomware auf frischer Tat ertappt und siehst mit Entsetzen zu, wie vor deinen Augen immer mehr Dateien verschlüsselt und umbenannt werden.
- Die Benutzerordner wurden bereits verschlüsselt und allen deinen Dateien wurde die Erweiterung .L0CK3D hinzugefügt.
Was solltest du tun?
1. Das NAS sofort von allen Netzwerken trennen (aber nicht ausschalten)
Das NAS muss vollständig vom Internet und vom restlichen Heimnetzwerk isoliert werden. Ziehe alle Kabel vom NAS ab – mit Ausnahme des Stromkabels. Wenn dein NAS-Modell über WLAN mit dem lokalen Netzwerk verbunden ist, deaktiviere auch die drahtlose Verbindung. Du kannst sie entweder am NAS selbst ausschalten (bei einigen Synology-Modellen gibt es eine WLAN-Taste, die bei längerem Drücken das Funknetz deaktiviert) oder einfach den Router vom Strom trennen. Dadurch verlieren die Angreifer den Fernzugriff auf das Gerät, und das infizierte NAS kann keine anderen Computer oder Speichergeräte mehr erreichen.
Wenn externe USB-Laufwerke am NAS angeschlossen sind, um die Speicherkapazität zu erweitern, trenne auch diese – möglicherweise hat die Ransomware sie noch nicht erreicht.
Pausiere auf Computern und in Cloud-Diensten alle Synchronisierungs- und Backup-Aufträge, die mit dem NAS verbunden sind. So verhinderst du, dass beschädigte Dateien auf andere Kopien übertragen und noch intakte Versionen überschrieben werden.
2. Entscheiden, ob das NAS ausgeschaltet werden soll
Wenn du Cerber während der Verschlüsselung erwischst, ist dein erster Impuls vielleicht, das Stromkabel des NAS zu ziehen. Das solltest du jedoch nicht tun: Ein plötzlicher Stromausfall kann Daten beschädigen, die gerade auf die Festplatte geschrieben werden. Besser ist es, das NAS regulär herunterzufahren. Bedenke aber, dass du damit eine mögliche Methode zur Wiederherstellung bereits verschlüsselter Dateien verlierst. Mit etwas Glück kann ein Spezialist einen Wiederherstellungsschlüssel extrahieren, der sich noch im RAM des Geräts befindet. Sobald die Stromversorgung unterbrochen wird, wird der RAM geleert.
- Wenn du kein technisch versierter Nutzer bist, niemanden kennst, der bei der Wiederherstellung helfen kann, und die Verschlüsselung noch läuft, fahre das NAS regulär herunter; reagiert das Gerät nicht, ziehe das Stromkabel. So rettest du zumindest die Dateien, die noch nicht verschlüsselt wurden.
- Wenn du technisch versiert bist, verbinde das NAS per Ethernet-Kabel direkt mit einem isolierten Computer und versuche, dich per SSH am NAS anzumelden. Prüfe die laufenden Prozesse (
sudo ps -ef), identifiziere den Ransomware-Prozess, ermittle seine PID (Prozess-ID) und pausiere die Verschlüsselung, ohne den Prozess zu beenden (sudo kill -STOP PID, wobei PID die Prozess-ID der Ransomware ist). Prüfe anschließend, ob alle Prozess-Threads angehalten wurden (StatusT), und befolge die Rettungsanleitung für C3RB3R / .L0CK3D-Ransomware, um einen Speicher-Dump zu sichern. Wenn du die Verschlüsselung nicht stoppen kannst, schalte das NAS aus. - Wenn die Dateien auf deinem NAS bereits verschlüsselt wurden und du es vom lokalen Netzwerk getrennt hast, kannst du es eingeschaltet lassen und versuchen, den Speicherinhalt zu sichern und die Daten mithilfe der Rettungsanleitung für C3RB3R / .L0CK3D-Ransomware wiederherzustellen.
3. Verschlüsselte Dateien und die Lösegeldforderung sichern
Wenn die Ransomware die Dateien auf deinem NAS vollständig verschlüsselt hat und du das Gerät vom Internet getrennt hast, versuche, dich direkt mit dem NAS zu verbinden und eine Kopie der verschlüsselten Dateien sowie der Anweisungen der Angreifer auf einer leeren externen Festplatte zu speichern. Sicherheitsforscher könnten in Zukunft ein kostenloses Entschlüsselungstool für C3RB3R veröffentlichen.
Wenn du das NAS ausgeschaltet hast, während die Verschlüsselung noch lief, schalte es nicht wieder ein, nur um Prozesse zu prüfen oder Dateien zu kopieren – die Verschlüsselung läuft lokal und kann nach einem Neustart des Geräts fortgesetzt werden. Wende dich in diesem Fall an einen seriösen Datenrettungsspezialisten, der die NAS-Laufwerke auslesen kann, ohne die infizierte DSM-Installation zu starten.
Wenn du das NAS gemäß den vorherigen Schritten vom Netzwerk getrennt, in einer isolierten Umgebung direkt verbunden und die Ransomware-Prozesse gestoppt hast, kannst du alle noch unverschlüsselten Dateien sichern, die du retten möchtest. Schließe das Backup-Laufwerk besser an den Computer an, der direkt mit dem NAS verbunden ist, und nicht an den USB-Anschluss des NAS – dadurch sinkt das Risiko, dass die Ransomware erneut startet und auch dieses Laufwerk verschlüsselt.
4. Dateien erst wiederherstellen und Laufwerke mit Backups erst anschließen, wenn die Ransomware entfernt wurde
Schließe kein externes Laufwerk mit einem Backup an das infizierte NAS an und starte keine Wiederherstellung von Dateien aus einem Backup auf dem kompromittierten NAS. Die Ransomware könnte erneut ausgeführt werden und das angeschlossene Laufwerk beschädigen.
5. Nach dem Stoppen des Angriffs die Snapshots in Snapshot Replication prüfen
Wenn du Snapshot Replication im Voraus eingerichtet hast und die Angreifer die Snapshots nicht zerstört haben, kannst du Daten daraus wiederherstellen – eine Wiederherstellung auf dem kompromittierten NAS ist jedoch sinnlos. Für das Backup benötigst du ein separates Laufwerk.
Prüfe zuerst, ob die Snapshots noch vorhanden sind. Nachdem die Malware gestoppt wurde, öffne Snapshot Replication über das Hauptmenü von DSM auf dem laufenden NAS. Wähle den freigegebenen Ordner aus, öffne Schnappschuss → Schnappschussliste, suche einen Snapshot, der vor der Infektion erstellt wurde, und klicke auf Durchsuchen, um seinen Inhalt zu prüfen. Von dort kannst du Daten aus dem Snapshot auch auf ein externes Medium kopieren, ohne sie auf dem infizierten Volume wiederherzustellen. Einzelheiten zur Verwendung von Snapshot Replication findest du in der Anleitung von Synology.
6. Das kompromittierte NAS löschen und DSM neu installieren
Nachdem du alles gesichert hast, was möglich ist – einschließlich verschlüsselter und unverschlüsselter Daten sowie Protokolle –, setze das NAS auf die Werkseinstellungen zurück, bevor du es erneut verwendest (Zurücksetzen auf Werkseinstellungen → Alle Daten löschen).
Beachte, dass dadurch sämtliche Daten, Anwendungen und Einstellungen auf dem Netzwerkspeicher vollständig gelöscht werden. Prüfe vor dem Zurücksetzen deine Backups und stelle sicher, dass sich die kopierten intakten Dateien öffnen lassen, die benötigten Dateiversionen aus den Snapshots gesichert wurden und verschlüsselte Dateien, Lösegeldforderungen, Protokolle sowie eventuell erstellte Speicher-Dumps auf einem anderen Speichermedium und nicht auf dem NAS liegen. Falls etwas fehlt, bewahre die ursprünglichen Laufwerke oder vollständige Datenträger-Images für einen Datenrettungsspezialisten auf. Wenn du eine Weile ohne das NAS auskommst, lösche es nicht vorschnell: Später könnten kostenlose Entschlüsselungstools erscheinen.
Wenn du das NAS im Wesentlichen nur als Ablage für Dateien genutzt hast und sich darauf nichts wirklich Wertvolles befindet, das du nicht ersetzen kannst, lösche den Speicher wie oben beschrieben vollständig, bevor du ihn wieder verwendest, und installiere DSM aus einer offiziellen Quelle neu. Befolge dazu die Anleitung zur Installation von DSM ohne Internetverbindung.
Stelle keine Einstellungen aus einem Backup wieder her, das nach der Infektion erstellt wurde: Es könnte Änderungen enthalten, die von den Angreifern vorgenommen wurden. Am besten konfigurierst du das NAS von Grund auf neu.
7. Möglicherweise kompromittierte Konten prüfen
Durch eine Neuinstallation von DSM werden gestohlene Passwörter, Sitzungen oder andere Geheimnisse für Dienste, deren Zugangsdaten möglicherweise auf deinem Gerät gespeichert waren, nicht ungültig. Überlege, welche Dienste auf deinem NAS genutzt wurden, welche zusätzlichen Pakete installiert waren und worauf sie zugreifen konnten. Gehe all diese Dienste durch, beende verdächtige Sitzungen, widerrufe betroffene Schlüssel und Token, ändere Passwörter und aktiviere die Zwei-Faktor-Authentifizierung. Wir empfehlen, alle Zugangsdaten im sicheren Tresor von einem Passwort-Manager zu speichern. Erledige das, bevor du den Speicher wieder mit dem Netzwerk verbindest.
8. Vor dem erneuten Verbinden des NAS mit dem Netzwerk unnötigen Fernzugriff deaktivieren
QuickConnect deaktivieren
Mit diesem Dienst kannst du über das Internet auf dein NAS zugreifen. Um ihn in DSM 7 zu deaktivieren, öffne Systemsteuerung → Externer Zugriff → QuickConnect, entferne das Häkchen bei QuickConnect aktivieren und klicke auf Übernehmen. In älteren Versionen befindet sich der Bereich QuickConnect direkt in der Systemsteuerung.
Prüfen, ob das NAS über den Router aus dem Internet erreichbar ist
Dein Router kann so konfiguriert sein, dass eingehende Verbindungen aus dem Internet direkt an das NAS weitergeleitet werden. Das nennt man Portweiterleitung. Ermittle zuerst die lokale IP-Adresse des NAS. In DSM findest du sie unter Systemsteuerung → Netzwerk → Netzwerkschnittstelle.
Öffne anschließend die Einstellungen deines Heimrouters. Normalerweise gibst du dazu seine lokale Adresse in einen Browser ein; die genaue Adresse und die Anmeldedaten stehen häufig auf einem Aufkleber am Router oder werden in der App deines Internetanbieters angezeigt.
Suche in den Routereinstellungen nach einem Bereich mit einer Bezeichnung wie Portweiterleitung, Weiterleitung oder Portumleitung. Prüfe die vorhandenen Regeln. Wenn ein Feld wie Interne IP, Lokale IP, Ziel oder Gerät die IP-Adresse deines NAS enthält, lösche diese Regel.
Prüfe außerdem die Bereiche DMZ, DMZ-Host oder Exposed Host. Wenn dort die IP-Adresse des NAS eingetragen ist, deaktiviere die Funktion.
Automatische Portöffnung über UPnP deaktivieren
UPnP ermöglicht Anwendungen und Geräten, den Router automatisch um das Öffnen von Ports zu bitten. Wenn du UPnP nicht benötigst, deaktiviere es.
Beachte, dass dies eine routerweite Einstellung ist und das Deaktivieren daher auch andere Geräte in deinem Heimnetzwerk betreffen kann. Wenn UPnP für diese Geräte aktiviert bleiben soll, prüfe zumindest die über UPnP erstellten Regeln und stelle sicher, dass keine davon auf die IP-Adresse des NAS verweist. Falls doch, lösche die Regel und blockiere – sofern dein Router das unterstützt – das automatische Öffnen von Ports für das NAS.
Weitere Prüfungen
Wenn du IPv6 verwendest, prüfe auch die entsprechenden Regeln: Unnötige eingehende Verbindungen zum NAS sollten blockiert sein. Deaktiviere außerdem nicht verwendete Tunnel, VPNs und andere Fernzugriffsdienste, falls du solche eingerichtet hast. Prüfe nach diesen Änderungen, ob das NAS aus einem externen Netzwerk erreichbar ist – zum Beispiel über eine mobile Datenverbindung.
9. Weiter nach einem kostenlosen Entschlüsselungstool suchen
Cybersicherheitsforscher veröffentlichen regelmäßig kostenlose Entschlüsselungstools zur Wiederherstellung von Dateien. Bedenke, dass es lange dauern kann, bis ein solches Tool erscheint. Vertraue in der Zwischenzeit keinen Angeboten unbekannter „Forscher“ oder Websites, die behaupten, deine Daten nach einem Angriff durch eine neue Ransomware-Variante sofort wiederherstellen zu können.
Was Besitzer selbst gebauter NAS-Systeme tun sollten
Viele Menschen verwenden Loader von Drittanbietern für DiskStation Manager – inoffizielle Tools aus dem XPenology-Projekt, mit denen Synologys Betriebssystem auf Hardware ausgeführt werden kann, für die es ursprünglich nicht vorgesehen war, etwa auf einem PC oder einem selbst gebauten Server. Beispiele sind Arc, RR (RedPill Recovery) und M-Shell.
Wenn du DSM auf diese Weise betreibst, kann C3RB3R auch dein System angreifen. Aktualisiere DSM aber nicht vorschnell: Prüfe zuerst, ob die neue Version sowohl mit deinem Loader als auch mit deiner Hardware kompatibel ist. Andernfalls könnten deine Dateien beschädigt werden.
Wenn du die neueste Systemversion noch nicht installieren kannst, beschränke den Zugriff auf den Netzwerkspeicher: Deaktiviere den externen Zugriff und erlaube Verbindungen aus dem lokalen Netzwerk nur von Geräten, die tatsächlich Zugriff benötigen. Platziere das NAS nach Möglichkeit in einem separaten Netzwerksegment. Die Funktion Smart Home-Monitor in Kaspersky Plus und Kaspersky Premium kann dein Heimnetzwerk zusätzlich schützen – sie zeigt alle Geräte in deinem lokalen Netzwerk an und erkennt, wenn neue, unbekannte Geräte eine Verbindung herstellen.
So schützt du dein NAS und deine persönlichen Daten
- Schiebe Software-Updates für dein NAS nicht auf und prüfe, ob automatische Updates aktiviert sind.
- Gib die Ports 139 und 445 nicht für das Internet frei: Sie sind häufige Ziele automatisierter Angriffe. Diese Ports werden von dem Protokoll verwendet, über das Computer freigegebene Ordner auf einem NAS öffnen können. Im Heimnetzwerk ist das nützlich, für das gesamte Internet sollten diese Ports jedoch nicht erreichbar sein. Ob sie geöffnet sind, kannst du in den Routereinstellungen prüfen.
- Wenn du aus der Ferne auf dein NAS zugreifen musst – etwa auf Reisen oder aus dem Büro –, ist es besser, zunächst eine Fernverbindung zu deinem Heimnetzwerk herzustellen und anschließend innerhalb dieses Netzwerks auf den Speicher zuzugreifen, statt das NAS direkt dem Internet auszusetzen.
- Bewahre wichtige Dateien nicht ausschließlich auf deinem NAS auf. Erstelle regelmäßig Kopien mit Snapshot Replication und fertige regelmäßige Backups an. Denke an die 3-2-1-Regel: Bewahre drei Kopien deiner Daten auf – zwei auf unterschiedlichen Speichermedien und eine außerhalb des Primärspeichers auf einer getrennten Festplatte.
- Wichtige Dokumente kannst du auch Kaspersky Password Manager. Dort lassen sich Zugangsdaten, Textnotizen, Scans persönlicher Dokumente, Fotos, Adressen, Bankkartendaten und PDF-Dokumente im verschlüsselten Tresor speichern, geschützt durch ein Master-Passwort, das nur du kennst. Der Tresor wird mit all deinen Geräten synchronisiert, sodass deine Daten sowohl auf Computern als auch auf Smartphones geschützt und verfügbar bleiben.
- Verwende zuverlässigen Schutz, der verhindert, dass Ransomware und andere Malware auf deinen Computer heruntergeladen werden.
- Schütze das Administratorkonto. Aktiviere die Zwei-Faktor-Authentifizierung, verwende ein einzigartiges Passwort und richte nach mehreren fehlgeschlagenen Anmeldeversuchen eine automatische Sperre ein oder nutze Passkeys. Speichere Passwörter, Passkeys und 2FA-Token in einem verschlüsselten Passwort-Manager. Diese Maßnahmen schützen dich nicht vor dem aktuellen C3RB3R-Angriff – da Cerber Schwachstellen ausnutzt, für die keine Authentifizierung erforderlich ist –, helfen aber, wenn ein Angreifer versucht, dein Konto zu kompromittieren oder dein Passwort in einem Datenleck findet.
Wie solltest du deine Daten speichern und schützen? Lies auch unsere anderen Artikel:
Tipps