Ist ein NAS mit RAID 1 oder RAID 5 ein Backup?

Nein. Das BSI versteht Spiegelungen über RAID nicht als Datensicherung, weil die gespiegelten Daten gleichzeitig verändert werden. RAID fängt den Ausfall einzelner Festplatten ab, schützt aber nicht vor versehentlichem Überschreiben oder Schadsoftware.

Schützen Snapshots mein NAS vor Ransomware?

Nur begrenzt. Snapshots erlauben die Rückkehr zu früheren Ständen, liegen aber auf demselben Gerät. Herstellerseitig gibt es unveränderliche Snapshots mit einer Schutzfrist, sie ersetzen jedoch keine getrennte Kopie außerhalb des NAS.

Soll die Backup-Platte dauerhaft am NAS hängen?

Besser nicht. Bleibt ein Sicherungsmedium dauerhaft verbunden, kann es bei einem Ransomware-Angriff ebenfalls verschlüsselt werden. Das BSI empfiehlt mindestens eine Kopie, die nach dem Backup vom Netz getrennt wird.

Datensicherung

NAS im kleinen Büro: Warum RAID kein Backup ist und wie man das NAS richtig sichert

Ein NAS mit RAID schützt vor dem Ausfall einer einzelnen Festplatte, nicht vor Löschfehlern, Schadsoftware, Diebstahl oder Brand. Für ein Backup braucht es zusätzlich eine getrennte Kopie außerhalb des NAS, möglichst eine davon offline.

Stand: 11. November 2026 · ca. 6 Min. Lesezeit · 7 Quellen

Warum ist ein NAS mit RAID kein Backup?

Ein NAS (Network Attached Storage) ist ein Speichergerät im Netzwerk, in kleinen Büros oft der zentrale Ablageort für Dokumente. Meist sind mehrere Festplatten als RAID zusammengeschaltet. Das BSI stellt dazu klar: Datenspiegelungen über RAID-Systeme werden nicht als Datensicherung verstanden, da die gespiegelten Daten simultan verändert werden. Ein RAID kann einem Ausfall einzelner Datenträger vorbeugen, aber nicht vor einem unbeabsichtigten Überschreiben oder einer Infektion mit Schadsoftware schützen. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/…)

Liegt die einzige Fassung einer Büro-Datei auf dem NAS, ist sie dort das Original. Das RAID im selben Gerät ist keine zweite Kopie. Nach der 3-2-1-Regel fehlen dann noch zwei Sicherungen, von denen eine an einem anderen Ort liegen sollte.

Was können Snapshots?

Ein Snapshot hält den Zustand von Daten zu einem Zeitpunkt fest, sodass sich eine Datei oder ein Ordner auf einen früheren Stand zurücksetzen lässt. Der BSI-Baustein CON.3 empfiehlt für virtuelle Umgebungen und Storage-Systeme zu prüfen, ob sich das System ergänzend durch Snapshot-Mechanismen sichern lässt, um mehrere schnell wiederherstellbare Zwischenversionen zwischen den vollständigen Datensicherungen zu erhalten. Snapshots sind dort also eine Ergänzung zur Datensicherung, kein Ersatz. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/…)

Wie das bei einem konkreten Gerät aussieht, zeigt Synology: Die Funktion „Snapshot Replication“ unterstützt Snapshots für freigegebene Ordner auf Btrfs-Volumes, Snapshots können alle 5 Minuten erstellt werden, und die Höchstzahl an Snapshots variiert nach Modell. Das gilt für DSM 7.2, andere Hersteller und Versionen unterscheiden sich. Stand: November 2026. (Quelle: synology.com/en-au/dsm/7.2/software_spec/snapshot_replication)

Ein lokaler Snapshot liegt auf demselben Gerät wie die Daten. Fällt das NAS aus, wird gestohlen oder brennt, ist er mit weg. Deshalb verlangt das BSI, Sicherungen auf separaten Medien und räumlich getrennt von den gesicherten Systemen aufzubewahren (CON.3.A2 und A12). (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/…)

Was sind unveränderliche Snapshots?

Synology beschreibt einen unveränderlichen (immutable) Snapshot als WORM-Technik (Write Once, Read Many), die Änderungen und Löschungen innerhalb eines festgelegten Zeitraums verhindert; Speicherbereiche mit solchen Snapshots lassen sich nicht löschen. Voraussetzung sind ein Modell, das die Funktion unterstützt, und DSM 7.2 oder höher. Als Schutzfrist empfiehlt Synology 7 bis 14 Tage. Stand: November 2026. (Quelle: kb.synology.com/en-ph/DSM/tutorial/what_is_an_immutable_snapshot) Diese Frist ist eine Herstellerempfehlung für die Funktion und keine allgemeine Aufbewahrungsregel für Backups. Der Schutz gilt nur für die Frist und nur auf diesem Gerät.

Warum sind dauerhaft eingebundene Netzlaufwerke ein Risiko?

Ransomware läuft mit den Rechten des angemeldeten Benutzers. Das BSI beschreibt in seinen Handlungsempfehlungen für Krankenhausinformationssysteme (SiKIS) den Mechanismus: Befällt Ransomware unbemerkt einen Client-PC und darf der Mitarbeitende auf einem Netzwerklaufwerk schreiben, erlangt die Schadsoftware dieselbe Berechtigung und kann dort Daten verschlüsseln. Im dort betrachteten Fall (Netzlaufwerk für Software-Updates) sollen deshalb nur Administratoren schreiben dürfen. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/DigitaleGesellschaft/SiKIS_Handlungsempfehlungen.pdf…) Das Dokument richtet sich an Krankenhäuser; der beschriebene Mechanismus gilt für jede Freigabe, auf die ein Benutzerkonto schreiben darf.

Für ein kleines Büro bedeutet das:

Eine Freigabe, auf die ein Arbeitsplatz-Konto schreiben darf, kann von Ransomware auf diesem Arbeitsplatz verschlüsselt werden, auch wenn das NAS selbst nicht infiziert ist.
Ein Backup-Ziel, das auf dem Arbeitsplatz-PC als Laufwerk erreichbar ist, ist ebenso ein Angriffsziel wie die Originaldaten. Wer nur den Laufwerksbuchstaben ausblendet, ändert daran nichts: Entscheidend sind Erreichbarkeit und Schreibrechte.
Der BSI-Baustein CON.3 verlangt, Datensicherungen vor unbefugtem Zugriff und vor Überschreiben zu schützen. Systeme sollten schreibenden Zugriff auf Sicherungsmedien nur für autorisierte Sicherungen oder Administration erhalten. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/…)

Im Ransomware-Maßnahmenkatalog formuliert das BSI als Quick-Win-Frage, ob Backups im Normalfall nicht über das Netzwerk erreichbar sind. Die Musterantwort: Backups sind nicht dauerhaft mit dem IT-Netz verbunden, sondern nur während des Backup-Vorgangs. Es soll mehrfache Kopien auf unterschiedlichen Backup-Lösungen an unterschiedlichen Standorten geben. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransomware_Massnahmenkatalog.pdf…)

Wie sichere ich das NAS selbst?

Das NAS braucht eine eigene Sicherung auf ein Ziel außerhalb des Geräts. Synology nennt für seine Software Hyper Backup als Ziele ein weiteres Synology-NAS, die Synology C2 Cloud, externe Geräte wie USB-Festplatten oder über das rsync-Protokoll andere Server. Die Sicherung lässt sich versionieren, sodass im Notfall nicht nur der letzte Stand zur Verfügung steht. Gesichert werden können Dateien, Ordner, LUNs, Pakete und Systemkonfigurationen. Hyper Backup ist laut Synology für alle Synology-NAS-Systeme kostenfrei; die Kosten eines Speicherziels fallen davon unabhängig an. (Quelle: blog.synology.com/de/anleitung-hyper-backup-dateien-einstellungen-sichern-wiederherstellen/)

Fällt das NAS selbst aus, lassen sich laut Synology einzelne Ordner und Dateien einer USB-Sicherung mit dem Hyper Backup Explorer auch direkt an einem PC wiederherstellen, an den das USB-Laufwerk angeschlossen wird. (Quelle: blog.synology.com/de/anleitung-hyper-backup-dateien-einstellungen-sichern-wiederherstellen/) Das ist ein Grund, die Sicherung bewusst so zu wählen, dass sie ohne das NAS lesbar bleibt, und genau das zu testen (siehe Wiederherstellung testen). Andere Hersteller bieten vergleichbare Sicherungsprogramme; Funktionsumfang und Kompatibilität externer Datenträger sind in deren Dokumentation zu prüfen.

Ein Aufbau für das kleine Büro

Ein Aufbau in vier Ebenen verbindet die genannten Empfehlungen:

Ebene	Aufgabe	Schutz vor
RAID im NAS	Ausfall einer Festplatte überbrücken	Plattendefekt
Snapshots auf dem NAS	Frühere Stände einzelner Ordner zurückholen	Löschfehler, Überschreiben, begrenzt auch Ransomware
Backup auf externe USB-Platte, danach getrennt	Eigenständige Kopie außerhalb des NAS, offline	Ausfall des NAS, Ransomware im Netz
Backup in Cloud oder auf Platte an anderem Ort	Kopie an einem anderen Standort	Brand, Diebstahl, Wasser

Für das Backup-Konto auf dem NAS gilt: Es sollte nicht dasselbe sein, mit dem Mitarbeitende täglich arbeiten. So bleibt der Schreibzugriff auf Sicherungen, wie im BSI-Baustein CON.3 gefordert, auf autorisierte Sicherungen und Administration beschränkt.

Was ist, wenn die Cloud als Kopie dient?

Das BACS (Schweiz) weist darauf hin, dass Cloud-Dienste nur bedingt vor Ransomware schützen: Liegen Daten ausschließlich in der Cloud, werden sie bei einem Angriff unter Umständen ebenfalls verschlüsselt. Entscheidend ist, ob der Dienst frühere Versionen wiederherstellen kann und ob dieser Zugriff besonders geschützt ist, zum Beispiel durch Zwei-Faktor-Authentisierung. (Quelle: bacs.admin.ch/de/datensicherung) Wie sich eine Cloud-Kopie einordnen lässt, steht in der 3-2-1-Regel.

Was ein Backup nicht leistet

Backups mildern die Folgen eines Ransomware-Angriffs auf die Verfügbarkeit. Das BSI weist darauf hin, dass Angreifer bei solchen Angriffen auch Daten kopieren und mit deren Veröffentlichung drohen; davor schützen Backups naturgemäß nicht. Je weniger Daten gespeichert sind, desto weniger können abfließen. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransomware_Massnahmenkatalog.pdf…) Das BSI rät außerdem, vor einer Wiederherstellung zu prüfen, ob die Backups bereits mit Malware infiziert sein könnten, da Angreifer sich teils mehrere Wochen im Netzwerk bewegen und bereits ins Backup aufgenommen worden sein könnten (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransomware_Massnahmenkatalog.pdf…). Weitere Schritte im Ernstfall behandelt der Beitrag Ransomware-Notfallplan.

Häufige Fragen

Ist ein NAS mit RAID 1 oder RAID 5 ein Backup?: Nein. Das BSI versteht Spiegelungen über RAID nicht als Datensicherung, weil die gespiegelten Daten gleichzeitig verändert werden. RAID fängt den Ausfall einzelner Festplatten ab, schützt aber nicht vor versehentlichem Überschreiben oder Schadsoftware.
Schützen Snapshots mein NAS vor Ransomware?: Nur begrenzt. Snapshots erlauben die Rückkehr zu früheren Ständen, liegen aber auf demselben Gerät. Herstellerseitig gibt es unveränderliche Snapshots mit einer Schutzfrist, sie ersetzen jedoch keine getrennte Kopie außerhalb des NAS.
Soll die Backup-Platte dauerhaft am NAS hängen?: Besser nicht. Bleibt ein Sicherungsmedium dauerhaft verbunden, kann es bei einem Ransomware-Angriff ebenfalls verschlüsselt werden. Das BSI empfiehlt mindestens eine Kopie, die nach dem Backup vom Netz getrennt wird.