Dein NAS ist online. Das ist das ganze Problem.

Du hast es gekauft, um endlich Ruhe zu haben. Stattdessen hast du jetzt einen zweiten Job: Systemadministrator deines eigenen Zuhauses. Und irgendwann um Mitternacht, wenn wieder eine Sicherheitswarnung für die Firmware aufleuchtet, stellst du dir die Frage, die du schon lange vor dir herschiebst: Warum muss etwas, das nur aufbewahren soll, rund um die Uhr erreichbar sein?

1. Du wolltest Ordnung. Du hast einen Wachdienst bekommen.

Ein NAS klingt auf den ersten Blick wie die vernünftigste Lösung überhaupt. Die eigenen Daten im eigenen Haus, kein monatlicher Beitrag an irgendeine Plattform, von überall erreichbar. Das ist die deutsche Version von Ordnung: Ich verantworte das selbst, dann weiß ich, wo es ist.

Nur: „Verantworten" heißt hier nicht, etwas in einen Schrank zu stellen und die Tür zu schließen. Es heißt: Firmware-Updates im Blick behalten, Ports prüfen, Passwörter pflegen, Berechtigungen setzen, Backups kontrollieren. Es heißt, dass ein Gerät, das nie schläft, auch nie unbeaufsichtigt ist — jedenfalls nicht unbeaufsichtigt von dem, was von außen darauf zugreifen will.

Epikur hätte das wahrscheinlich so formuliert: Wer sich Sorgen kauft, um Sorgen loszuwerden, hat nichts gewonnen. Ein Gerät, das dich nachts mit Warnmeldungen weckt, ist keine Entlastung. Es ist eine Verantwortung, die du dir selbst auferlegt hast — und die dich genau dann im Stich lässt, wenn du einmal müde bist, einmal vergisst, einmal aus Bequemlichkeit einen Zugang offen lässt, der besser geschlossen geblieben wäre.

2. Die Angriffe sind keine Theorie

2021 traf Qlocker gezielt QNAP-Geräte in Privathaushalten und kleinen Büros: Angreifer nutzten Schwachstellen aus, verschlüsselten die Dateien der Nutzer aus der Ferne und forderten Lösegeld. Das war kein Einzelfall und kein Zufallstreffer. Und eCh0raix, eine Erpressungssoftware-Familie, die sich auf Synology-Geräte spezialisiert hat, taucht seit Jahren immer wieder in neuen Varianten auf.

Der Punkt ist nicht die Marke. Der Punkt ist die Bauweise. Ein NAS, das online ist, ist rund um die Uhr angreifbar, weil es rund um die Uhr erreichbar ist. Die Verantwortung für die Patches liegt bei dir allein. Ein einziges versäumtes Update ist ein einziges offenes Fenster — und Erpressungssoftware braucht nur ein Fenster.

Das ist die Falle der Bequemlichkeit, die das NAS so verführerisch macht: „Von überall erreichbar" gilt eben nicht nur für dich. Was du von unterwegs öffnen kannst, kann auch jemand anderes versuchen zu öffnen. Der Unterschied zwischen „meine eigene Cloud zu Hause" und „ein Server, der im Internet steht", ist kleiner, als der Werbeslogan vermuten lässt.

3. Die vertrauten Alternativen sind nicht besser

Natürlich ist das NAS nicht die einzige Lösung, die gut klingt und schlecht altert. Die Cloud-Alben und Speicheranbieter, bei denen die eigenen Dateien auf fremden Servern liegen, lösen das Problem der Erreichbarkeit nicht — sie verlagern es nur: Was dort liegt, kann gesehen werden, kann eingesehen werden, kann unter Umständen auch einfach weggenommen werden. Die externe Festplatte im Regal ist ein einzelnes Exemplar, das verloren gehen oder kaputtgehen kann. Das Bankschließfach ist sicher vor Dieben, aber nicht vor dem eigenen Vergessen — und es ist kein Ort, an dem man etwas regelmäßig und unkompliziert verwahrt. Und „zu Hause verstecken" ist keine Strategie, sondern ein Aufschub: Wer etwas versteckt, weiß selbst am besten, dass Verstecken nicht dasselbe ist wie Schützen.

Alle diese Wege haben eines gemeinsam: Sie lassen die eigentliche Frage unbeantwortet. Nicht: Wo liegt es? Sondern: Wer kann es erreichen — und wer kümmert sich darum, dass es niemand kann, der es nicht darf?

4. Offline ist kein Rückschritt. Offline ist die Antwort.

Hannah Arendt hat einmal sinngemäß bemerkt, dass Freiheit nicht darin besteht, alles selbst zu kontrollieren, sondern darin, sich auf etwas verlassen zu können, das man nicht ständig überwachen muss. Genau darum geht es hier. Die einzige Eigenschaft, die Erpressungssoftware wirklich stoppt, ist eine schlichte: Nicht erreichbar sein.

Ein Datenträger, der nicht am Netz hängt, kann von keinem Angreifer aus der Ferne verschlüsselt werden. Das ist keine Technikphilosophie und kein Verkaufsargument — es ist Physik. Was nicht verbunden ist, ist nicht angreifbar. (Wer will, kann das mit verschlüsselten Medien noch zusätzlich absichern; das ist aber ein Detail am Rande, nicht der Kern.)

Und hier liegt der eigentliche Unterschied: Nicht du musst aufpassen. Das Übernehmen dieser Verantwortung ist der Kern einer professionellen Verwahrung. Der Datenträger bekommt eine Nummer, er wird versiegelt, die Übergabe wird von zwei Personen geprüft und fotografisch festgehalten, und er wird an einem dafür vorgesehenen Ort verwahrt — nicht in einem Wohnzimmer, nicht in einem Keller, in dem nebenan die Waschmaschine läuft.

Die regelmäßige Kontrolle einer solchen Verwahrung sieht übrigens genau so aus, wie man es von einer seriösen Stelle erwarten würde: Halbjährlich wird Siegel und äußerer Zustand in Augenschein genommen und fotografiert — ohne dass der Inhalt berührt wird. Alles, was darüber hinausgeht, geschieht nur auf ausdrücklichen schriftlichen Wunsch des Kunden. Niemand muss ein Gerät am Leben erhalten, niemand muss nachts Updates einspielen, niemand muss sich fragen, ob das letzte Update wirklich alle Lücken geschlossen hat.

5. Was bleibt, wenn man nichts mehr bewachen muss

Dein NAS hat dir versprochen, dass du deine Daten selbst in der Hand hast. Was es dir in Wahrheit gegeben hat, ist eine Daueraufgabe. Und Daueraufgaben werden irgendwann vernachlässigt — nicht aus Nachlässigkeit, sondern weil Menschen andere Dinge zu tun haben als Systemadministratoren ihrer eigenen Erinnerungen zu sein.

Die ruhigere Lösung ist nicht, besser aufzupassen. Die ruhigere Lösung ist, nichts mehr aufpassen zu müssen. Ein Medium, das nicht online ist, braucht keinen Wachdienst. Und eine Verwahrung, die von Profis mit einem festen Prozess betrieben wird — Nummer, Siegel, doppelte Prüfung, eigens dafür vorgesehene Aufbewahrung —, braucht keine nächtlichen Warnmeldungen.

Am Ende geht es nicht um Technik. Es geht darum, dass das, was niemand finden darf, auch von niemandem gefunden werden kann — und dass du dich darum nicht mehr kümmern musst. Das ist der Unterschied zwischen „ich verwalte meine Daten selbst" und „meine Daten sind in guten Händen". Der erste Satz klingt nach Kontrolle. Der zweite ist die Ruhe, die du eigentlich kaufen wolltest.