Synology-DSM-Sicherheitsupdates: Automatik nutzen, kritische Hinweise zusätzlich prüfen

Veröffentlicht am 20. September 2026 · zuletzt aktualisiert am 21. September 2026 / in Technik

Automatische DSM-Updates sind sinnvoll. Sie nehmen im Alltag Arbeit ab und sorgen dafür, dass viele Aktualisierungen nicht vergessen werden. Sie sind jedoch keine Zusage, dass jede kritische Korrektur sofort auf jedem NAS installiert ist. Bei einem sicherheitsrelevanten Hinweis gehört deshalb neben der Automatik eine kurze Kontrolle dazu.

Der Praxisanlass: Am 20. September 2026 waren auf dem Synology-NAS automatische DSM-Updates aktiviert. Das sicherheitsrelevante Update zu Synology-SA-26:13 war dennoch nicht automatisch eingespielt und wurde manuell installiert. Das ist keine pauschale Kritik an Synology, sondern ein Grund, den Unterschied zwischen verfügbarer und bereits installierter Version zu verstehen.

Warum eine neue DSM-Version nicht sofort auf jedem NAS erscheint

Synology verteilt DSM-Updates üblicherweise gestaffelt (staged rollout). Geräte werden Gruppen zugeteilt; eine neue Version wird schrittweise bereitgestellt. Daher kann eine Version im Download Center oder in einer Security Advisory bereits genannt sein, während sie auf dem eigenen Gerät noch nicht angezeigt oder automatisch installiert wurde. Auch regionale Verfügbarkeit, Geräte- und Konfigurationsmerkmale können eine Rolle spielen.

Die automatische Updatefunktion bleibt deshalb sinnvoll. Sie reduziert den Pflegeaufwand und sollte nicht abgeschaltet werden. Bei kritischen Advisories ergänzt sie aber keinen Abgleich zwischen dem eigenen installierten DSM-Stand und der von Synology ausdrücklich genannten korrigierten Version.

Praxischeck bei einem kritischen Security Advisory

1. Die Meldung direkt bei den Synology Security Advisories öffnen.
2. Betroffene DSM-Linie und die dort genannte Fixed Release Availability feststellen.
3. In DSM unter Systemsteuerung → Aktualisieren und Wiederherstellen den installierten Stand prüfen.
4. Liegt er unter der korrigierten Version, das passende Update im Synology Download Center für das eigene Modell laden und nach Synologys Anleitung manuell installieren.
5. Nach Neustart den installierten Versionsstand erneut prüfen und den Vorgang kurz dokumentieren.

Für Synology-SA-26:13 vom 18. September 2026 nennt Synology unter anderem diese korrigierten Mindeststände: DSM 7.4 ab 7.4-90075, DSM 7.3 ab 7.3.2-86009-4, DSM 7.2.2 ab 7.2.2-72806-9 und DSM 7.2.1 ab 7.2.1-69057-12. Die Advisory ist zeitgebunden; bei jedem künftigen Hinweis ist ausschließlich die dann aktuelle Synology-Angabe maßgeblich.

Weniger Erreichbarkeit, weniger unmittelbare Angriffsfläche

Patch-Management ist eine wichtige Schicht, aber nicht die ganze Sicherheitsarchitektur. Ein Backup-System sollte nur die Netzwerkzugänge besitzen, die es für seine Aufgabe tatsächlich benötigt. Deshalb ist ein Backup-NAS nicht unnötig direkt aus dem öffentlichen Internet erreichbar.

Das schützt vor unmittelbaren Angriffen aus dem Internet, macht ein internes NAS aber nicht unangreifbar. Risiken bleiben insbesondere bei einem bereits kompromittierten internen Netzwerk, kompromittierten Zugangsdaten, Ransomware oder Fehlkonfigurationen bestehen. Sinnvoll ist daher Defense in Depth: Updates, geringe Erreichbarkeit, passende Zugriffsrechte, getrennte Sicherungen und geprüfte Wiederherstellung ergänzen sich.

Wenn Schutzschichten trotzdem versagen: Offline-Kopie

Eine aktuelle NAS-Spiegelung ist für Verfügbarkeit hilfreich, kann aber bei falschen Löschungen oder bereits verschlüsselten Dateien ebenfalls betroffen sein. Für das Fotoarchiv ergänzt daher eine physisch getrennte 1:1-Sicherung die Architektur. Bilder, Videos, RAW/TIFF/JPEG und XMP-Sidecars werden nach einem kontrollierten Vergleich auf eine externe Festplatte synchronisiert und danach getrennt.

Die Sicherheitskette ist bewusst einfach: Updates → reduzierte Angriffsfläche → Netzwerkbegrenzung → Backup → Offline-/Air-Gap-Kopie → Wiederherstellungsprüfung. Keine einzelne Stufe verspricht vollständigen Schutz; zusammen verringern sie jedoch die Wahrscheinlichkeit eines Totalverlusts.

Quellen und Stand

• Synology-SA-26:13: DSM, geprüft am 20. September 2026.
• Synology Knowledge Center: Warum eine aktuelle Version online, aber nicht im System sichtbar sein kann.
• BSI: Maßnahmenkatalog Ransomware.

Hinweis: Der Beitrag beschreibt einen nachvollziehbaren Sicherheitsablauf für Privatpersonen, Familienarchive und kleine Arbeitsumgebungen. Er ersetzt keine Risikoanalyse oder Herstellerdokumentation für eine konkrete Infrastruktur.