Synology NAS Fernzugriff 2026 - der Leitfaden für alle, denen QuickConnect nicht reicht

Freitag, 21:30 Uhr. Du kommst von der Arbeit nach Hause, deine Frau fragt, ob du der Schwiegermutter die Fotos vom Wochenende in den bayerischen Alpen zeigen kannst. Du öffnest die DS file App auf dem Handy, tippst auf „Login", und statt des normalen Bildschirms - eine Meldung: „This account has been temporarily disabled due to too many failed login attempts. 47 attempts in last hour". Du tippst ins Log. IP aus Vietnam. IP aus Russland. Drei IPs aus Brasilien. Eine aus dem Iran. Alle versuchen admin / admin, admin / synology, admin / 12345678. Deine Frau fragt: „was bedeutet das?". Und du sagst ihr die Wahrheit: jemand versucht seit Stunden systematisch, an eure Hochzeitsfotos, Renovierungsrechnungen, Kinder-Pass-Scans heranzukommen. Denn ein NAS ist kein Home Assistant. Ein NAS enthält euer ganzes digitales Leben, und Synology hat dir QuickConnect gegeben und glaubt, das Problem ist erledigt. Nicht erledigt.

Warum Synology ein anderer Fall ist als Home Assistant#

Home Assistant enthält eine YAML-Konfig, ein paar Tokens, eine Liste von ZigBee-Geräten. Wenn jemand einbricht - schaltet er das Wohnzimmerlicht aus, im schlimmsten Fall öffnet er ein Yale-Schloss. Ärgerlich, aber wiederherstellbar. NAS ist eine andere Kategorie.

Deine DS920+ oder DS224+ enthält: 200 GB Fotos aus 8 Lebensjahren (Hochzeit, Geburten, Urlaube), Backups der Familien-Laptops via Synology Drive, Rechnungen und Dokumentenscans (Document Station), Steuererklärungen, Pass-Scans für Reisen, manchmal Passwörter in Notes Station, manchmal eine Kopie der LastPass-Datenbank, „die ich kurz heruntergeladen habe". Wenn jemand das verschlüsselt - ein Lösegeld von 250 € für wiederhergestellte Hochzeitsfotos klingt billig. Manche zahlen.

Deshalb sind DSM/QTS das Lieblingsziel von Ransomware. Nicht HA, nicht Pi-hole, nicht Plex. NAS-Boxen. Konkret:

• eCh0raix (2019) - 7.300 Synology-NAS-Boxen in der ersten Welle verschlüsselt. Vektor: Brute Force auf admin via QuickConnect.
• DeadBolt (2022) - 8.000 QNAPs an einem Wochenende verschlüsselt, Lösegeld 0,03 BTC pro Box (~1.100 € damals). Vektor: CVE in Photo Station auf öffentlicher IP exponiert.
• Synolocker (2014) - der erste große, noch vor dem BTC-Boom. DSM 4.x ohne Patch und offener Port reichten.

DSM-Admin-Panel ist auch kein normales HA-Login. DSM gibt dem Angreifer:

• SSH mit root (wenn aktiviert, und das ist es oft, weil „ich es mal für rsync genutzt habe")
• Terminal im Browser (Synology Diagnose Tool)
• rsync, scp, voller Filesystem-Zugriff
• Hyper Backup Config - kann deine Offsite-Backups löschen
• Snapshot Replication - kann BTRFS-Snapshots löschen, also funktioniert nicht mal Ransomware-Recovery via Snapshot
• Apps Marketplace - Installation von „Third-Party Packages" als root, ohne Sandbox

Und wenn du Synology Photos auf einem öffentlichen Konto indiziert hast und nebenbei everyone read auf einem Shared Folder gelassen hast - sind eure Hochzeitsfotos schon im fremden Datensatz für Gesichtserkennungstraining. Das passiert. Täglich.

5 Methoden für Fernzugriff auf Synology - Ranking von der schlechtesten zur besten#

1. Port Forwarding 5000/5001#

Wie es funktioniert: du öffnest Ports 5000 (HTTP) und 5001 (HTTPS) am Router, leitest sie an die Synology-IP im LAN. Du konfigurierst DDNS via synology.me (kostenlos, in DSM eingebaut), generierst ein Let's-Encrypt-Cert in Control Panel → Security → Certificate, und das war's - https://meinNAS.synology.me:5001 von überall auf der Welt.

Pros: keine externen Abhängigkeiten, niedrigste Latenz, voller Throughput deines Uploads.

Cons - und das ist eine lange Liste:

• Du exponierst das DSM-Admin-Panel ins öffentliche Internet. Shodan-Bots finden es 4-6 Stunden nach dem Öffnen des Ports, und sie probieren admin / admin in Schleife.
• Ohne Auto Block bekommst du täglich tausende Versuche. Mit Auto Block (5 Versuche, 30 min Bann) - trotzdem hunderte verschiedene IPs, die durch ein Botnet rotieren.
• CVE-2024-10441 (Photo Station, RCE ohne Auth, CVSS 9.8) - wenn du nicht innerhalb von 2 Wochen nach Release gepatcht hast, hast du root für jeden auf Shodan.
• Funktioniert nicht hinter CGNAT (1&1 mobiles Internet, Vodafone CableMax in einigen Regionen, Telekom Speed Home L bei manchen Anschlüssen). Wenn dein Router eine WAN-IP zeigt, die mit 100.64.x.x beginnt - Port Forwarding funktioniert physisch nicht.
• DSM hängt unter Angriff - ich habe Boxen gesehen, wo 200 Versuche/Sek den Auth-Daemon OOM-killten und das NAS für legitime User nicht mehr antwortete.

Verdikt: schlecht für 99 % der Leute. Klar gesagt: wenn du ein NAS auf öffentlicher IP hast und nicht täglich auth.log auditierst, ist es keine Frage des Ob, sondern des Wann. DSM 2026 per Port Forwarding zu exponieren ist wie den Schlüssel im Zündschloss auf dem Parkplatz am Hauptbahnhof Berlin zu lassen.

2. Synology QuickConnect#

Wie es funktioniert: du aktivierst QuickConnect in Control Panel → External Access → QuickConnect, gibst die Email zum Synology-Konto an, bekommst meinNAS.quickconnect.to. Synology managt das Routing über ihre Relays. Null Routerkonfiguration.

Pros: echtes „Zero-Config", funktioniert hinter CGNAT (es ist ein Outbound-Tunnel von deinem NAS), kostenlos, in DSM eingebaut.

Cons, die Synology im Marketing nicht erwähnt:

• Dein Traffic geht durch Synology-Server in Taiwan und Frankfurt. Alles davon. Jedes Foto, jeder Login, jedes PDF. Synology behauptet, der Tunnel sei Ende-zu-Ende-TLS, aber sie entscheiden wann und ob.
• Throughput auf 3-5 MB/s gedrosselt im Peak. Du lädst 50 GB Urlaubsfotos auf das NAS via QC? Lass es über Nacht laufen. Über einen SSH-Tunnel läuft derselbe Transfer mit 30-50 MB/s auf einer typischen 500/500-Glasfaser.
• DSM-Admin-Panel weiterhin exponiert - QuickConnect reduziert die Angriffsfläche nicht, fügt nur eine Zwischenschicht hinzu. Wenn jemand deine QC-ID und Passwort bekommt - drinnen.
• Single-Vendor-Abhängigkeit. Synology wird irgendwann QuickConnect für dein Modell deaktivieren (DS214play hat in einigen Funktionen schon deprecated QC). EOL = kein Zugriff.
• Synology kennt deine QC-ID und kann zur Herausgabe von Traffic gezwungen werden via Subpoena (Taiwan, aber auch europäische Tochtergesellschaften).

Verdikt: bequem für die Oma. Schwach für jeden, der das NAS für mehr als gelegentliches Photos-Browsen nutzt. Throughput killt Synology Drive Sync, Backups, Dokumentenbearbeitung in Office.

3. Cloudflare Tunnel (cloudflared)#

Wie es funktioniert: du installierst das cloudflared-Paket via Container Manager oder auf Synology via SPK aus dem CommunityPackageHub. Du autorisierst den Tunnel, im CF-Panel mappst du nas.deinedomain.de → http://192.168.1.50:5000. HTTPS auto via CF CDN.

Pros: kostenlos, funktioniert hinter CGNAT, eigene Domain, DDoS-Shield eingebaut, vernünftiger Throughput für kleine Dateien.

Cons:

• ToS Section 2.8 - Cloudflare verbietet die Nutzung kostenloser Tunnel für „caching or serving disproportionate amounts of non-HTML content". Synology Drive Sync, Photos Backup, Hyper Backup nach Offsite - genau das, was die ToS als problematisch markieren. Subdomain-Banns sind zufällig, aber real.
• 100 MB pro HTTP-Request-Limit auf dem Free Plan. Synology Drive versucht eine 4-GB-Videodatei hochzuladen? 413 Payload Too Large. Wenn du eine Photos-Library mit RAWs aus einer Sony A7 hast (je 80 MB) - funktioniert bis zur Grenze.
• WAF blockiert legitime Photos-Requests (long-running uploads, range requests, WebDAV). Debug des CF-Logs: Lotterie.
• Doppelter TLS-Overhead - dein DSM-Cert + CF-Edge-Cert. Latenz pro Request +50-100 ms vs nativer SSH-Tunnel.

Verdikt: OK nur für Zugriff auf das DSM-Panel. Schwach für den Haupt-Use-Case eines NAS - Massentransfers. Das ist ein Tunnel, designed zum Hosten von Webseiten, nicht für Storage. Ausführlicher Vergleich.

4. WireGuard / Tailscale#

Wie es funktioniert: du stellst WG auf einem Router auf (UniFi, MikroTik, OpenWRT) oder als Container auf der Synology via Container Manager. Oder Tailscale als SPK-Paket (offiziell seit 2023 für DSM 7.2+). Jedes Familiengerät hat die App, verbindet sich, als wäre es zu Hause, NAS im LAN (http://192.168.1.50:5000).

Pros: starke Verschlüsselung, keine DSM-Exposition, Zugriff auf das ganze LAN (Drucker, HA, Kameras), Tailscale funktioniert hinter CGNAT via DERP-Relays.

Cons:

• App auf jedem Gerät. Deine Schwiegermutter soll Tailscale starten, bevor sie sich Enkelkind-Tauffotos ansieht? Viel Glück.
• Synology Photos Web-Zugriff verlangt offenen Browser - über VPN musst du daran denken, erst den Tunnel zu starten. Connection lost bei Netzwechsel (LTE → WiFi) = Re-Login in Photos.
• Smart-TVs und Chromecast haben kein Tailscale/WG. Casting von Photos auf den Hotel-TV = funktioniert nicht.
• Tailscale Free Tier hat ein 100-Geräte-Limit, aber wichtigeres Limit - Tailscale sieht deine Connection-Metadaten via Koordinator. Solo-Dev übersteht das, Familie + Gäste etwas weniger.
• WireGuard hinter CGNAT auf der Synology-Seite - funktioniert nicht. Du brauchst eine VPS mit öffentlicher IP als WG-Hub und Endpoint zur VPS. Also zahlst du sowieso für Hosting.

Verdikt: gut für Solo, schwach für Familie und Photos Web. Wenn du das NAS allein nutzt, eine öffentliche IP hast, CLI kennst - Tailscale ist großartig. Wenn die Familie es nutzen soll - vergiss es.

5. Reverse SSH Tunnel (SmartHomeEntry)#

Wie es funktioniert: ein Agent in einem Container auf der Synology (Container Manager) öffnet einen ausgehenden SSH-Tunnel zu einem Relay-Server. Das Relay exponiert DSM unter einer stabilen HTTPS-Subdomain, z. B. meinnas.smarthomeentry.com. Null Ports bei dir, null Relay über Taiwan.

Pros:

• Stabile HTTPS-Subdomain mit Let's Encrypt am Relay - null Zertifikate, die auf dem DSM zu erneuern wären.
• Voller Throughput deines Uploads - das Relay leitet nur TCP weiter, entschlüsselt nicht, drosselt nicht. 50 MB/s auf 500 Mbps Upload.
• Keine ToS-Issues für Dateitransfers, kein Drosseln wie bei QuickConnect.
• Funktioniert hinter CGNAT - ausgehender Tunnel von der NAS-Seite.
• Null Exposition des DSM-Admin-Panels - das Relay sieht nur TCP, nicht den DSM-Auth-Daemon. Shodan-Bots finden dich nicht, weil dein NAS keinen offenen Port hat.
• Familie öffnet Link im Browser - keine VPN-App, keine Konfiguration des Schwiegermutter-Geräts.

Cons:

• Abhängigkeit von Relay-Uptime (managed, aber externer Service).
• Kostenpflichtig - ab 7 €/Monat für den Hobby-Plan. QuickConnect und Tailscale sind kostenlos.
• Latenz +1 Hop vs Port Forwarding (typisch 5-15 ms auf EU-Routen, unmerklich für DSM-Web-UI).

Verdikt: für die meisten Synology-Nutzer - bestes Privacy/Bequemlichkeit/Throughput-Verhältnis. Wenn du volle Kontrolle willst und nicht willst, dass Synology deinen Traffic sieht - das ist der Weg.

Setup Synology + SSH-Tunnel in 60 Sekunden#

Hier ist der Haken, den andere Tutorials verschweigen: DSM 7.2 erlaubt kein natives SSH-Outbound aus DSM selbst. Synology hat das in 7.0 aus Sicherheitsgründen geblockt (zu Recht). Deshalb muss der Agent in Container Manager laufen (Docker für Synology). Was gut ist, weil isoliert vom Rest des NAS - der Agent hat nur Zugriff auf das, was wir ihm geben.

Schritt für Schritt (DSM 7.2+)#

1. Installiere Container Manager aus dem Package Center (falls noch nicht vorhanden).

2. Erstelle einen Ordner für die Agent-Konfig in Control Panel → Shared Folder → docker/smarthomeentry/. Snapshots an, Retention 7 Tage (zur Sicherheit).

3. SmartHomeEntry Dashboard → Create Tunnel → wähle Subdomain (meinnas.smarthomeentry.com) → kopiere Install Token (TTL 15 min).

4. Container Manager → Project → Create, Pfad /docker/smarthomeentry/, füge compose.yaml ein:

   version: "3.8"
   services:
     she-agent:
       image: smarthomeentry/agent:latest
       container_name: she-agent
       restart: always
       network_mode: host
       environment:
         - INSTALL_TOKEN=ey...token...einfügen
         - TARGET_HOST=192.168.1.50  # Deine NAS-IP im LAN
         - TARGET_PORT=5000           # DSM HTTP
   

5. Build → Start. Der Agent zieht den SSH-Key via Install Token, baut den Tunnel zum Relay auf. Im SHE-Dashboard wechselt der Tunnel-Status in 10-15 Sekunden auf active.

6. Test: öffne https://meinnas.smarthomeentry.com im Browser. Du solltest den DSM-Login-Screen über HTTPS sehen, mit grünem Let's-Encrypt-Cert, ohne Warnung. Funktioniert.

DSM 6.x und J-Series - Workaround#

Wenn du DSM 6.2 (DS216+, DS415+) oder Modelle ohne Container Manager hast, gibt es zwei Wege:

• Dediziertes Raspberry Pi im Netzwerk, das den Tunnel macht und nach http://192.168.1.50:5000 weiterleitet. Pi 4 mit apt install des SHE-Agents - einmalige Kosten ~60 €, null Änderungen am NAS.
• SSH manuell: SSH in Control Panel → Terminal & SNMP aktivieren, SHE-Public-Key zur ~/.ssh/authorized_keys des Admins hinzufügen, Cron einrichten, der ssh -R mit Autossh-Wrapper startet. Fortgeschritten, leicht zu zerbrechen, nicht für Nicht-Entwickler empfohlen.

Was du nach dem Setup MUSST - Sicherheits-Checkliste#

Tunnel funktioniert, DSM unter meinnas.smarthomeentry.com erreichbar, du kannst der Frau die Alpenfotos zeigen. Jetzt 10 Minuten Hygiene, damit du nicht in einem halben Jahr panisch zurückkommst.

1. Deaktiviere das Default-admin-Konto. Control Panel → User & Group → wähle admin → Edit → markiere „Disable this account". Erstelle einen separaten User mit Admin-Rechten (gmuk_admin statt admin). 80 % der Brute-Force-Angriffe zielen auf admin/admin - wenn es kein admin gibt, hat der Angriff kein Ziel.

2. Aktiviere 2FA für alle Admin-Konten. Control Panel → Security → Account → 2-Factor Authentication. Verwende Authy oder Google Authenticator (TOTP), nicht SMS (SIM-Swap ist ein realer Angriff in DE auch). 2FA für alle User in der Administrators-Gruppe erzwingen.

3. DSM Auto Block. Control Panel → Security → Auto Block: 5 fehlgeschlagene Versuche in 30 min → IP-Bann für 30 min. Plus „Enable Block Expiration" off - Banns sollen bleiben. Plus DoS Protection in derselben Sektion → On.

4. DSM auf neueste Version updaten. Minimum DSM 7.2.2-72806 Update 4 (Release März 2026, Fix für CVE-2026-1188 in File Station - RCE mit Auth, CVSS 8.4). „Auto Update DSM" → Important and critical updates aktivieren. Ja, ein automatisches Update kann ein Third-Party-Paket zerstören. Ja, es lohnt sich.

5. SSH und Telnet deaktivieren wenn nicht real benötigt. Control Panel → Terminal & SNMP → „Enable SSH service" und „Enable Telnet" abwählen. 99 % der Synology-User nutzen niemals SSH - und ein offener SSH auf Port 22 ist ein Brute-Force-Vektor. Wenn du es für rsync brauchst - lassen, aber Port auf etwas > 10000 ändern und Key-only-Auth aktivieren.

6. Snapshot Replication (Package Center → Snapshot Replication) auf BTRFS-Volumes. Schedule: stündlich für /home, /photo, /docs. Retention: 24h hourly + 14d daily + 4w weekly. Snapshots sind read-only - Ransomware kann sie nicht verschlüsseln. Doppelt prüfen, dass du BTRFS hast, nicht ext4 (Storage Manager → Volume → File System).

7. Snapshot-Restore testen einmal pro Monat. Wähle eine zufällige Datei, lösche sie, stelle sie aus dem Snapshot wieder her, prüfe dass der Hash stimmt. Backup, das du nicht getestet hast = no Backup. Ich habe Leute gesehen, die 3 Jahre lang „Snapshot Replication aktiviert" hatten und beim Recovery stellte sich heraus, dass das Volume nicht BTRFS war und Snapshots nie existiert haben.

FAQ#

Verdikt - wann SmartHomeEntry, wann QuickConnect#

Ich sage es dir direkt - ohne Marketing. Wenn du das Synology einmal im Monat nutzt, um der Schwiegermutter ein paar Fotos zu zeigen, das Laptop-Backup einmal die Woche nachts läuft, dir Speed egal ist und es dich nicht stört, dass dein Traffic durch Taiwan geht - QuickConnect reicht dir. Es ist kostenlos, funktioniert, null Setup. Punkt.

Wenn du den Computer dort täglich via Synology Drive backupst (Active Backup for Business), Surveillance Station mit 4 Kameras hast, Photos als Hauptfamilien-Galerie mit 200 GB RAWs nutzt, Dokumente in Office Suite remote bearbeitest, Synology Drive Sync auf 5 Geräten hast (Laptop, Telefon, Frauen-Tablet, Kind-Computer, Arbeit), oder einfach nicht willst, dass Synology Inc. sieht, was du transferierst - dann gibt dir ein Reverse SSH Tunnel volle Kontrolle und vollen Throughput. 50 MB/s statt 5. Deine Domain statt quickconnect.to. Deine Daten gehen direkt an dein Relay, nicht durch Taiwan.

Und noch eine Sache - wenn dein Synology unter dem Wohnzimmerschrank steht und du 1&1 mobile (CGNAT) hast, dann sind QuickConnect und SHE die einzigen Optionen überhaupt. Port Forwarding funktioniert nicht, WireGuard auch nicht. Dann läuft die Wahl auf: Taiwan oder deine Kontrolle.

Schau, wie SmartHomeEntry mit Synology funktioniert →

Verwandte Lektüre: Home Assistant Fernzugriff, Nextcloud Fernzugriff, Jellyfin Fernzugriff, Cloudflare Tunnel - Alternative. Für Installateure: 50 Kunden ohne Anfahrten.