Die Daten bewachen und verteidigen

12 min · 8 Abschnitte

Ein NAS bewahrt die Dateien eines ganzen Hauses auf —oder eines ganzen Büros— und läuft 24 Stunden am Tag, ohne dass jemand hinsieht. Diese Anleitung behandelt die sechs Teile, die sich darum kümmern: die drei, mit denen du zurückholst, was kaputtgeht, und die drei, mit denen du mitbekommst, dass etwas schiefläuft.

Frühere Versionen

Systemsteuerung → Freigaben → (ein Ordner) → „Frühere Versionen“.

Ist das an, zeigt Windows beim Rechtsklick auf eine Datei oder einen Ordner den Reiter „Vorgängerversionen“, und auf dem Mac geht dasselbe über „Zurücksetzen auf“. Darin liegt die Datei genau so, wie sie in jedem Snapshot des Volumes war.

Das Wichtige ist nicht der Reiter, sondern wer ihn benutzt. Ohne ihn heißt eine Datei zurückholen: der Person Bescheid sagen, die das NAS verwaltet, die dann ins Panel geht und sie wiederherstellt. Mit ihm holt sich die Person, die gerade ihr eigenes Dokument überschrieben hat, es allein zurück, vom eigenen Computer aus, in zehn Sekunden.

Es braucht Snapshots. In diesem Reiter steht nur, was das Volume aufbewahrt hat; gibt es keine geplanten Snapshots, bleibt der Reiter leer. Plane sie unter Speicher → Snapshots ein (einer am Tag mit fünfzehn aufbewahrten ist ein guter Anfang) und warte auf den ersten.

Es wird Ordner für Ordner eingeschaltet, und so gehört es sich auch: Der Ordner mit den Familienfotos will es, der mit den Downloads nicht.

Wenn der Reiter leer bleibt

Nach Wahrscheinlichkeit geordnet:

1. Es gibt noch keine Snapshots von diesem Volume. Am ersten Tag ist das der Normalfall.
2. Der Ordner ist ein eigenes Dataset und die Snapshots sind die des übergeordneten Volumes (oder umgekehrt). Das Panel findet die richtige Stelle für jeden Ordner allein, aber wenn du ein Dataset pro Ordner hast, müssen die Snapshots von GENAU DIESEM Dataset sein.
3. Die Snapshots wurden von Hand mit einem anderen Namen angelegt. Das Panel nennt sie auto-JJJJMMTT-HHMMSS, und Windows braucht genau dieses Muster, um sie nach Datum sortieren zu können. Die, die du selbst anders genannt hast, tauchen dort nicht auf (sie sind weiter da und werden wie immer aus dem Panel wiederhergestellt).

Wer hat was angefasst

Systemsteuerung → Freigaben → (ein Ordner) → „Mitschreiben, wer löscht und wer verschiebt“. Nachzulesen im Protokollzentrum → „Wer hat was angefasst“.

Es beantwortet die Frage, auf die es keine Antwort gab: Wer hat den Ordner gelöscht?. Ist das an, schreibt das NAS jedes Löschen, jedes Umbenennen und jeden neuen Ordner über SMB mit, samt Benutzer und Gerät, von dem aus es passiert ist.

Mitgeschrieben wird nur, was zerstört oder verschiebt. Auch jedes Lesen und Öffnen mitzuschreiben würde das Protokoll mit Tausenden Zeilen pro Minute füllen —ein Windows öffnet und schließt ohne Unterlass Dateien— und die eine Angabe, auf die es ankommt, ginge darin unter.

Es liegt in keiner eigenen Datei: Es geht ins Journal des Systems, das von sich aus rotiert und Neustarts übersteht.

Antivirus

Systemsteuerung → Sicherheit → Antivirus.

Zuerst die naheliegende Frage: Wozu braucht ein NAS mit Linux ein Antivirus? Nicht um sich selbst zu schützen —Linux führt keine .exe aus—, sondern um nicht der Verteiler zu sein. Die Dateien in den Freigaben werden von den Laptops im Haus geöffnet, und dort laufen sie sehr wohl. Ein Trojaner in „Dokumente“ kann monatelang von einem Gerät zum nächsten reisen, und das NAS ist der einzige Ort, von dem aus man alles auf einmal sieht.

• Es prüft die Ordner, die du auswählst, von Hand oder einmal pro Woche.
• Und zwischen zwei Prüfungen überwacht es, was neu ankommt: Alle paar Minuten sieht es sich nur die neuen Dateien an. Das ist der Unterschied zwischen zehn Minuten und sechs Tagen — so lange dauert es, bis die vollständige Prüfung wieder dran ist, und so lange liegt die Datei in der Freigabe, für jedes Gerät im Haus griffbereit. Es kostet Sekunden, weil es die Dateien der letzten Minuten sind und nicht zwei Terabyte.
• Es benutzt die Signaturen von ClamAV, die sich von selbst aktualisieren — und **es sagt dir, wie alt sie sind**. Ein Antivirus mit Signaturen von vor einem halben Jahr fühlt sich genauso sicher an wie ein aktuelles und erkennt nichts aus diesem Jahr; fällt der Dienst aus, der sie herunterlädt, steht das auf dem Bildschirm und im Wochenbericht.
• Ab Werk warnt es nur. Jemandem die Datei ungefragt wegzunehmen, bei den Fehlalarmen, die jedes Antivirus hat, erschreckt mehr als die Warnung. Willst du lieber Quarantäne, verlässt die Datei die Freigabe und bleibt in <Volume>/.cuarentena liegen, wo sie niemand mehr öffnet.
• Die Quarantäne lässt sich ansehen und rückgängig machen. Was beiseitegelegt wurde, steht mit Größe und Datum auf dem Bildschirm, und von dort wird es in einen Ordner zurückgeholt oder endgültig gelöscht. Fehlalarme gibt es —ein altes Installationsprogramm, ein Makro aus der Arbeit—, und eine Datei, die das Antivirus mitnimmt und die sich nicht zurückholen lässt, ist eine verlorene Datei.
• Findet es einen Verschlüsseler, bleibt es nicht bei einer Warnung: Es löst dieselbe Antwort aus wie die Falle (sofort ein Snapshot, die Sicherungen angehalten und alles, was du eingestellt hast). Warnen und darauf warten, dass es jemand liest, ist genau das, was man mit Ransomware im Haus nicht machen kann.
• Es frisst das NAS nicht auf: Es läuft mit der niedrigsten Priorität bei Prozessor und Festplatte und mit einer Obergrenze für den Arbeitsspeicher, die Ordner werden also währenddessen genauso ausgeliefert wie sonst.
• Es meldet sich am Ende, wenn es etwas gefunden hat, und nur darauf kommt es an: Wenn die Prüfung um drei Uhr nachts fertig ist, sieht niemand ins Panel.

Eine vollständige Prüfung eines Volumes mit vielen Dateien dauert Stunden. Das ist normal, und es gibt mit Absicht keine Zeitgrenze.

Ransomware-Falle

Systemsteuerung → Sicherheit → Bericht und Falle.

Die Snapshots mit Schloss sind die beste Verteidigung, die es gibt, aber sie dienen zum Zurückholen. Das hier dient dazu, es rechtzeitig zu merken: Eine Verschlüsselung fängt mit einem Ordner an und braucht Stunden für ein ganzes NAS, und in dieser Zeit sieht niemand hin.

So geht es: Das NAS legt in den Freigaben Köderdateien ab, die niemand anfassen muss, und prüft jede Minute ihren Fingerabdruck. Ein Programm, das verschlüsselt, sucht sich nichts aus: Es verschlüsselt alles, was es findet, und diese Dateien liegen ihm im Weg. Ändern sie sich oder verschwinden sie, ist das, was am anderen Ende sitzt, kein Mensch.

Wie viele Köder (und warum das so wichtig ist): Fast alle Ransomware-Familien arbeiten mit einer Liste von Dateiendungen —Dokumente, Tabellen, Fotos, PDF—, und eine einzelne .txt steht in keiner davon. An einem Köder aus Text gehen sie vorbei, ohne ihn anzufassen, und die Falle löst nie aus.

Und es gibt ein zweites Netz: Selbst wenn kein Köder angefasst wird, sieht das NAS nach, ob plötzlich Dateien mit einer Endung der Verschlüsselung auftauchen (.locked, .encrypted…) oder Erpresserbriefe (HOW_TO_DECRYPT, README_RESTORE…). Für den Alarm müssen drei davon neu aufgetaucht sein: eine einzelne kann alles Mögliche sein.

Was dann passiert, in dieser Reihenfolge (die ersten beiden sind ab Werk an, weil sie niemandem etwas wegnehmen):

1. Sofort ein Snapshot der betroffenen Volumes. Das ist die Maßnahme, die die meisten Daten rettet: Sie friert den Stand in der Minute der Erkennung ein, solange fast alles noch unverschlüsselt ist.
2. Sicherungen und Replikate werden angehalten. Eine Sicherung, die nach der Verschlüsselung läuft, trägt die verschlüsselten Dateien ans Ziel und überschreibt die letzte gute Kopie: So verliert man alles, obwohl man Sicherungen hat, die funktionieren. Sie laufen erst wieder, wenn du die Falle wieder scharf stellst.
3. Die Freigaben schließen, wenn du es so eingestellt hast. Das ist hart —das ganze Haus steht schlagartig ohne Dateien da— und es ist das, was eine laufende Verschlüsselung wirklich stoppt: Jede Minute, die offen bleibt, sind weitere Gigabyte. Abgeschaltet wird nur SMB: Das Panel, die Sicherungen und der Rest bleiben stehen, damit du nachsehen kannst, was passiert ist, und zurückholen kannst.
4. In der Firewall sperren, 24 Stunden lang, wer Ordner offen hatte, wenn du es so eingestellt hast. Das schneidet das infizierte Gerät sofort ab; sind mehrere verbunden, werden alle gesperrt, und deshalb ist es ab Werk aus.
5. Kritische Warnung über alle Kanäle, die du eingerichtet hast, mit dem Bericht: was ausgelöst hat, was getan wurde, wer in diesem Moment Ordner offen hatte und die **zuletzt angefassten Dateien**. Da fängst du an zu suchen.

Zwei Dinge, die sie richtig macht und die du wissen solltest:

• Eine Datei, die sich nicht lesen lässt (eine Festplatte, die nicht antwortet, seltsame Berechtigungen), gilt nicht als Angriff. Sonst wäre das der einfachste Weg, dass eine Festplatte mit einem Problem das ganze Haus ohne Dateien dastehen lässt.
• Der Alarm wiederholt sich nicht jede Minute. Wer ihn gesehen hat, sieht schon hin.

Wenn die Falle auslöst

1. Schalte das NAS nicht aus. Die Snapshots sind das, was dich rettet, und sie sind da.
2. Sieh im Panel nach, welche Datei ausgelöst hat und wann: Das sagt dir, mit welchem Ordner es angefangen hat.
3. Trenne die verdächtigen Geräte vom Netz (oder schalte das WLAN ab). Die Verschlüsselung kommt von einem davon, nicht vom NAS.
4. Sieh dir die Snapshots dieses Ordners an, um zu erkennen, seit wann das läuft, und stelle aus einem von vor dieser Uhrzeit wieder her (Wiederherstellung nach einem Ausfall).
5. Wenn du sicher bist, stell die Falle wieder scharf und öffne SMB wieder unter Dateidienste.

Anmeldung von einem neuen Ort

Meldet sich jemand mit deinem Konto von einer Adresse aus am Panel an, die dieses Konto noch nie benutzt hat, bekommst du einen Hinweis mit dem Browser und dem System, von dem aus er hereinkam. Das Netz zu Hause und das VPN melden nie etwas, und von draußen zählt das Netz und nicht die genaue Adresse, weil die Anbieter sie täglich wechseln. Warst du das nicht: Ändere das Passwort und schließe alle Sitzungen unter Dein Konto und 2FA.

Ich bin nicht zu Hause

Systemsteuerung → Warnungen.

Ein Schalter für die Tage, an denen das Haus leer ist. Bei leerem Haus ist das, was an jedem anderen Tag normal ist, nicht mehr normal: Solange er an ist, erzählt dir das NAS, wer hereinkommt.

• Es meldet jede Anmeldung am Panel, auch aus dem Netz zu Hause. Sonst, mit ausgeschaltetem Schalter, meldet es nur einen neuen Ort.
• Es meldet jedes Gerät, das sich mit den Freigaben verbindet.
• Alle Kameras, die aufzeichnen, melden Bewegung, mit einem Foto, auch wenn bei ihnen selbst keine Meldung eingestellt ist. Schaltest du den Schalter aus, macht jede Kamera wieder das, was bei ihr eingestellt ist.
• Höchstens ein Hinweis pro Tag, Konto und Adresse, damit eine Woche weg nicht in zwanzig Hinweisen endet, die niemand mehr liest.

Schaltest du ihn aus, ist alles wieder genau so wie vorher. Im Panel steht, seit wann er an ist und wer ihn eingeschaltet hat.

Ländersperre

Systemsteuerung → Sicherheit → Ländersperre.

Ein NAS, das im Internet veröffentlicht ist, bekommt ausnahmslos Tausende Versuche am Tag aus der halben Welt. Das automatische Sperren von IPs reagiert nach den ersten Versuchen; das hier ist das Gegenteil: Wenn deine Leute aus Deutschland hereinkommen, kommt alles von außerhalb Deutschlands nicht einmal bis an die Tür.

• Es ist eine Erlaubnisliste, keine Sperrliste. Die zehn Länder zu sperren, aus denen die meisten Angriffe kommen, lässt die anderen hundertachtzig offen, und wer angreift, weiß das.
• Aus deinem eigenen Netz kommst du immer herein, egal was du auswählst. Das ist der Zaun gegen den Unfall, auf den es wirklich ankommt: dich aus deinem eigenen Wohnzimmer aus deinem NAS auszusperren.
• Die Bereiche jedes Landes laden sich von selbst herunter und werden einmal pro Woche aufgefrischt. Die Vergabe der Adressen bewegt sich langsam, aber sie bewegt sich: ohne Auffrischen blieben mit den Monaten Leute aus deinem eigenen Land draußen.
• Lässt sich eine Liste nicht herunterladen, wird nichts gefiltert statt alles.

Achtung, wenn du verreist. Ist Deutschland angehakt, kommt auch dein eigenes Handy aus dem Ausland nicht herein. Bist du oft unterwegs, hake diese Länder mit an oder komm über das VPN herein, das einen anderen Weg nimmt.

Wochenbericht

Systemsteuerung → Sicherheit → Bericht und Falle.

Er ist das Gegenteil eines Alarms: ein kurzer Überblick, wie es dem NAS geht, wenn nichts passiert, über dieselben Kanäle wie die übrigen Hinweise.

Er beginnt mit dem Urteil —einer Note von 0 bis 100 und einer Zeile— und endet mit einer kurzen, nach Dringlichkeit geordneten Liste: was zu tun ist. Dazwischen: Volumes, Festplatten, Sicherungen, Snapshots, Sicherheit (Falle, Antivirus, Sperren), Kameras und Updates.

Und er vergleicht mit der Vorwoche, und genau das macht aus einer Zahl eine Entscheidung: „Es bleiben 400 GB“ können zwei Jahre sein oder drei Wochen. Der Bericht sagt „400 GB frei, 60 weniger als vor 7 Tagen · in diesem Tempo voll in 46 Tagen“, und damit weißt du, ob du jetzt eine Festplatte kaufen musst oder erst wieder an Weihnachten daran denkst.

Es gibt ihn, damit jemand mitbekommt, dass die Sicherungen seit einem Monat nicht mehr laufen, oder dass einem Volume 6 % bleiben, bevor es ein Notfall ist.

Zwei Kleinigkeiten mit Absicht:

• Du kannst ihn lesen, bevor du ihn einschaltest: Der Bildschirm zeigt den Bericht, der gerade jetzt rausgehen würde. Eine regelmäßige E-Mail, von der du nicht weißt, wie sie aussieht, landet im Papierkorb.
• War das NAS zu seiner Uhrzeit ausgeschaltet, geht er raus, sobald es wiederkommt. Mit dem geplanten Ausschalten ist das der Normalfall.