NAS im Büro: wann das reicht und wann nicht

Das ist in Ordnung. Nur wird ein NAS oft für zwei Dinge gleichzeitig benutzt, und für eins davon taugt es allein nicht.

Im Handel heißt das Gerät Netzwerkspeicher. Beim Bundesamt für Sicherheit in der Informationstechnik ist es mehr.

Im IT-Grundschutz gilt für ein NAS der Baustein für Speichersysteme. Und das BSI schreibt ausdrücklich dazu, dass für NAS-Systeme zusätzlich die Bausteine für allgemeine Server und für Fileserver anzuwenden sind.

Das klingt nach Behördenkram, hat aber eine einfache Folge. Ein NAS muss so behandelt werden wie ein Server. Es braucht Updates, einen geschützten Standort und jemanden, der nachsieht, ob es läuft. Dass es klein ist und wenig gekostet hat, ändert daran nichts.

Als gemeinsamer Speicher für die Dateien im Betrieb kann ein NAS völlig ausreichen. Eine Größengrenze, ab der es das nicht mehr tut, nennt das BSI nicht.

Die drei Bedingungen sind aber Basis-Anforderungen, also das Mindeste.

Ein verschlossener Raum. Das BSI schreibt, Speichersysteme „MÜSSEN in verschlossenen Räumen aufgestellt werden“, zu denen nur Berechtigte Zutritt haben. Dazu eine sichere Stromversorgung und die Temperatur und Luftfeuchte, die der Hersteller vorgibt. Ein NAS im offenen Regal neben dem Drucker erfüllt das nicht. Ein abschließbarer Schrank tut es.

Eine sichere Grundeinstellung. Bevor das Gerät in Betrieb geht, müssen Software und Firmware aktuell sein und nicht genutzte Schnittstellen abgeschaltet werden. Das BSI begründet das mit einem Satz, den man kennen sollte: Viele Geräte kommen ab Werk mit aktivierten Protokollen, die niemand braucht, etwa „HTTP, Telnet und unsichere SNMP-Versionen“. Werkseinstellung heißt hier nicht: vom Hersteller sicher eingestellt.

Keine Verwaltung aus dem Internet. Dazu gleich mehr, weil es die wichtigste der drei ist.

Viele NAS lassen sich bequem von unterwegs erreichen. Man tippt eine Adresse ein, meldet sich an und ist auf dem Gerät. Praktisch ist das. Für die Verwaltungsoberfläche schließt das BSI es aber schon auf der Basisstufe aus. Wörtlich:

„Es MUSS sichergestellt sein, dass aus nicht-vertrauenswürdigen Netzen heraus nicht auf die Administrationsschnittstellen zugegriffen werden kann.“

Das Internet ist so ein Netz.

Der Grund steht im Lagebild des BSI zu Ransomware. Täter durchsuchen das Internet gezielt nach Systemen, die von außen erreichbar sind, und probieren dort Passwörter durch. Oder sie nutzen Schwachstellen in genau diesen erreichbaren Systemen.

Wer von unterwegs an seine Dateien will, braucht deshalb einen anderen Weg. Das BSI empfiehlt für Zugänge von außen ein VPN zusammen mit einer Mehr-Faktor-Anmeldung. Dann ist das NAS für Ihre Leute erreichbar, aber nicht für jeden, der danach sucht.

Hier liegt der häufigste Irrtum. Ein NAS mit zwei gespiegelten Platten fühlt sich sicher an. Fällt eine Platte aus, sind die Daten ja noch auf der anderen.

Das stimmt, und es schützt genau vor diesem einen Fall. Gegen alles andere hilft es nicht, und das BSI begründet das in drei Schritten.

Erstens gilt die Spiegelung mehrerer Platten beim BSI nicht als Datensicherung, weil beide Platten jede Änderung gleichzeitig mitmachen. Zweitens müssen Sicherungen auf eigenen Datenträgern liegen. Drittens suchen viele Verschlüsselungstrojaner, so das BSI, gezielt „nach Netzlaufwerken mit Schreibzugriff“.

Ein NAS, das dauerhaft im Netz hängt und beschrieben werden kann, ist genau so ein Netzlaufwerk. Liegt darauf die einzige Sicherung, wird sie im Ernstfall mit verschlüsselt.

Das heißt nicht, dass ein NAS in der Sicherung nichts verloren hat. Es kann ein Glied darin sein. Nur braucht es daneben eine Kopie, die nicht dauerhaft verbunden ist und nicht überschrieben werden kann. Wie so eine Sicherung aufgebaut wird, steht im Artikel Backup-Strategie.

Auch nicht allein. Wer steuerlich relevante Daten aufbewahren muss, muss sie über die ganze Frist „jederzeit verfügbar“ halten, so steht es in § 147 Abs. 2 AO. Gleichzeitig verlangt das BSI, Sicherungen räumlich getrennt von den Systemen aufzubewahren.

Ein einzelnes NAS im Büro erfüllt beides nicht. Brennt das Büro, ist die Frist zwar noch nicht um, die Daten aber schon weg.

Ist die Weboberfläche von außen erreichbar? Rufen Sie vom Handy aus, mit abgeschaltetem WLAN, die Adresse auf, unter der Sie das NAS von unterwegs erreichen. Kommt eine Anmeldeseite, ist sie aus dem Internet erreichbar.

Welche Dienste sind eingeschaltet? In der Oberfläche des NAS gibt es eine Liste der Dienste und Protokolle. Was dort aktiv ist und niemand im Betrieb erklären kann, gehört abgeschaltet.

Wie alt ist die Firmware? Die Oberfläche zeigt den Stand und meistens auch, ob es einen neueren gibt.

Kommt der Administrator an die Sicherung? Das BSI beschreibt dafür einen einfachen Test. Ein Administrator versucht, auf die getrennte Sicherungskopie zuzugreifen. Das sollte nicht gelingen.

Wo steht das Gerät? Wenn jeder Besucher auf dem Weg zur Toilette daran vorbeikommt, ist die Antwort klar.

Ein NAS läuft bei uns in der Server-Wartung mit. Wir sehen nach, ob Updates eingespielt sind, ob die Platten gesund sind und ob die Sicherung daneben wirklich läuft.

Wenn Ihr NAS heute Ablage und Sicherung zugleich ist, ist das der erste Punkt, über den wir reden sollten. Was bei der Sicherung bei uns liegt und was bei Ihnen, steht auf der Seite zur Datensicherung.