NAS, Plex und Portweiterleitung: welche Dienste im Büro aus dem Internet erreichbar sind

Am 3. November 2026 hat das Bundesamt für Cybersicherheit (BACS) seinen Wochenrückblick den Heimnetzwerken gewidmet, die zum Einfallstor für Cyberkriminelle werden. Dem BACS wurden mehrere Fälle von Schadsoftware in privaten Netzwerken gemeldet: Der Einstieg ist die Kombination aus Geräten, die aus dem Internet erreichbar sind, und nicht behobenen Schwachstellen. Wird danach eine Ransomware installiert, können Fotos und Dokumente endgültig verloren sein.

Das BACS spricht von Heimnetzwerken, doch dieselbe Konfiguration findet sich in vielen kleinen Büros, Praxen und Geschäften: ein Router des Anbieters, ein NAS für gemeinsame Dokumente, einige Kameras und ein Fernzugriff, der vor Jahren aus Bequemlichkeit eingerichtet wurde. Das gilt auch für die Heimnetzwerke von Mitarbeitenden im Homeoffice.

Was das BACS meldet

Heute liefern die meisten Anbieter ihre Geräte im «Router»-Modus aus: Die internen Geräte befinden sich in einem privaten Netzwerk und sind aus dem Internet nicht direkt erreichbar. Um einen Dienst von unterwegs zu nutzen, etwa das NAS oder eine Kamera, aktivieren viele jedoch eine Portweiterleitung (Port Forwarding oder NAT): Ein einzelner interner Dienst wird nach aussen sichtbar gemacht. Hat dieser Dienst eine nicht behobene Schwachstelle, wird er zum Ziel.

Das BACS nennt zwei aktuelle Beispiele. Das erste ist PHP, zu dem es bereits am 21. Oktober eine Warnung veröffentlicht hatte: PHP läuft oft auch hinter den Oberflächen von NAS und anderen Geräten, ohne dass dies ersichtlich ist. Wir haben darüber in unserem Artikel zu den PHP-Schwachstellen berichtet. Das zweite ist der Medienserver Plex: Wer ihn nicht aktualisiert hat, riskiert laut BACS, dass Kriminelle die komplette Kontrolle über das Gerät erlangen, und entsprechende Meldungen zeigen, dass die Gefahr akut ist.

Sind die Angreifer einmal im System, können sie laut BACS eine Ransomware zur Erpressung einsetzen, Daten stehlen und das Opfer erpressen, die Rechenleistung zum Schürfen von Kryptowährungen nutzen oder den Anschluss als «Residential Proxy» missbrauchen, also fremden Datenverkehr über die Internetleitung des Opfers leiten.

Der Fall Plex

Am 19. Oktober 2026 hat Plex eine Aktualisierung seines Sicherheitshinweises mit vier Schwachstellen veröffentlicht (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656). In Kombination erlauben sie einem nicht authentifizierten Angreifer aus der Ferne, Code mit den Rechten des Plex-Media-Server-Prozesses auszuführen. Laut Plex werden die Lücken seit der Veröffentlichung eines Proof of Concept am 16. Oktober aktiv und breit ausgenutzt; kompromittierte Server wurden zum Schürfen von Kryptowährungen und als Proxy verwendet. Am 20. Oktober hat die US-Behörde CISA sie in ihren Katalog ausgenutzter Schwachstellen aufgenommen.

Behoben sind die Lücken ab Plex Media Server 1.43.3.10861. Massgebend ist die vollständige Build-Nummer: Eine 1.43.3 mit niedrigerer Nummer ist nicht korrigiert. Die Nummer wird in Plex Web unter Einstellungen, Allgemein angezeigt. Plex warnt, dass ein Server, der älter als diese Version und aus dem Internet erreichbar ist, als möglicherweise kompromittiert gelten muss. Dann genügt das Update nicht: Plex empfiehlt, den Server neu zu installieren statt den alten Datenordner weiterzuverwenden, alle Geräte vom Konto abzumelden, das Passwort zu ändern und alles als exponiert zu betrachten, worauf der Dienst zugreifen konnte, etwa eingebundene Freigaben und auf derselben Maschine gespeicherte Zugangsdaten. Wird der Fernzugriff nicht benötigt, sollte er deaktiviert werden.

Was im Büro zu prüfen ist

1. Wissen, was erreichbar ist. Im Router die Liste der Portweiterleitungen und der automatisch erstellten Regeln (UPnP) prüfen. Jeder Eintrag braucht eine verantwortliche Person und einen Grund; nicht mehr benötigte Einträge sind zu schliessen.
2. Alles aktualisieren, nicht nur die PCs. Router-Firmware, System und Apps des NAS, Kameras, Haussteuerung und Dienste wie Plex. Beim NAS lohnt sich die Kontrolle, ob automatische Updates aktiviert sind und tatsächlich funktionieren: Plex weist darauf hin, dass neue Versionen in den Paketverwaltungen der NAS verspätet ankommen können.
3. VPN statt Portweiterleitung. Das BACS empfiehlt insbesondere ein VPN (zum Beispiel IPsec, OpenVPN oder WireGuard): Der Zugriff ist authentifiziert und verschlüsselt, und die Dienste sind nicht direkt exponiert. Wo möglich, sollten VPN und exponierte Dienste mit einem zweiten Faktor geschützt werden; die Unterschiede der Methoden erklärt unser Artikel zu den fünf Stufen des BACS.
4. Starke Passwörter. Für exponierte Dienste empfiehlt das BACS Passwörter mit mindestens 12 Zeichen, mit Gross- und Kleinbuchstaben, Ziffern und Sonderzeichen, sowie eine Sperre nach einer Höchstzahl fehlgeschlagener Versuche, sofern das Produkt dies erlaubt.
5. Netzwerke trennen. Von aussen sichtbare Dienste sollten nicht im selben Netzwerksegment liegen wie die PCs und das NAS mit den Geschäftsdaten. Viele Router bieten eine «DMZ» oder ein separates Netz; auch Kameras und Haussteuerung sind in einem eigenen Netz besser aufgehoben.
6. Einschränken, von wo zugegriffen wird. Prüfen, ob der Zugriff wirklich aus dem ganzen Internet möglich sein muss. Einige Router können ihn auf bestimmte Länder beschränken (Geofencing).
7. Ein getrenntes Backup haben. Ist das NAS der einzige Speicherort der Daten, trifft eine Ransomware auf dem NAS alle Daten. Nötig ist mindestens eine Kopie, die aus dem Netzwerk nicht erreichbar ist und mit einer Testwiederherstellung geprüft wurde.

Wer zusätzlich Webserver und Anwendungen betreibt, findet die weiteren in den letzten Wochen ausgenutzten Lücken in unserer Übersicht von Ende Oktober.

Woran man ein infiziertes Gerät erkennt

Laut BACS ist das nicht immer einfach: Oft bemerken Betroffene die Infektion erst, wenn sie erpresst werden. Ein mögliches Anzeichen ist ein langsameres Gerät, häufig mit einem ungewöhnlich lauten oder ständig laufenden Lüfter, denn Mining-Software beansprucht viel Rechenleistung. Im schlimmsten Fall muss das Gerät neu installiert werden, und die übrigen Geräte im selben Netzwerk sollten von einer Fachperson geprüft werden.

Pflichten: DSG und Meldungen

Befanden sich auf dem kompromittierten NAS oder Server Personendaten von Kundschaft oder Mitarbeitenden, liegt voraussichtlich eine Verletzung der Datensicherheit vor. Das Bundesgesetz über den Datenschutz verlangt angemessene Sicherheitsmassnahmen (Art. 8 DSG) und, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, eine Meldung so rasch wie möglich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) über sein Meldeportal sowie die Information der Betroffenen, wenn es zu ihrem Schutz erforderlich ist (Art. 24 DSG).

Die Pflicht, einen Cyberangriff innerhalb von 24 Stunden dem BACS zu melden, gilt für Betreiberinnen und Betreiber kritischer Infrastrukturen. Andere Unternehmen können freiwillig über das Meldeformular des BACS melden. Bei Erpressung oder finanziellem Schaden ist eine Strafanzeige ratsam; über Suisse ePolice findet man den nächsten Polizeiposten.

Häufige Fragen

Unser NAS steht hinter dem Router des Anbieters: Sind wir geschützt?

Nur wenn keiner seiner Dienste von aussen erreichbar gemacht wurde, weder manuell noch automatisch über UPnP oder die Fernzugriffsfunktionen des Herstellers. Es lohnt sich, das im Router und in den Einstellungen des NAS zu prüfen.

Wir nutzen Plex nur im Büro, ohne Fernzugriff: Müssen wir aktualisieren?

Ja. Das grösste Risiko betrifft Server, die aus dem Internet erreichbar sind, doch Plex empfiehlt allen, auf Version 1.43.3.10861 oder neuer zu wechseln, und ein nicht aktualisiertes Gerät bleibt eine Schwachstelle für das ganze Netzwerk.

Wir haben aktualisiert: Reicht das?

Nicht immer. Wie auch das BACS betont, behebt ein Update keine bereits erfolgte Kompromittierung. War der Dienst mit einer verwundbaren Version exponiert, sind Anzeichen einer Kompromittierung zu prüfen und im Zweifel ist neu zu installieren.

Unser Ansatz

ElaraTeq Sagl unterstützt KMU und Praxen im Tessin dabei, zu erfassen, was aus dem Internet erreichbar ist, Portweiterleitungen durch geschützte VPN-Zugänge zu ersetzen und Updates sowie Backups zu planen, mit Hosting in der Schweiz und massgeschneiderter Beratung. Für eine Prüfung Ihres Netzwerks können Sie uns kontaktieren.

Quellen

• BACS, Woche 44: Wenn das Heimnetzwerk zum Einfallstor für Cyberkriminelle wird, 3. November 2026
• BACS, Kritische Schwachstellen in PHP: Sicherheitsupdates sofort einspielen, 21. Oktober 2026
• Plex, Important Security Update for Plex Media Server v1.43.2 and earlier, 1. September 2026, aktualisiert am 19. Oktober 2026
• CISA, CISA Adds Six Known Exploited Vulnerabilities to Catalog, 20. Oktober 2026
• NVD: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
• BACS, Meldeformular; Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
• EDÖB, Meldeportal für Verletzungen der Datensicherheit
• Fedlex, Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 8 und 24