Synology DSM 6.0: Verschlüsselte Ordner erstellen

Pünktlich zur CeBIT 2016 in Hannover will Synology den DiskStation Manager 6.0 veröffentlichen. Der bringt einen ganzen Schwung von Neuerungen mit, die ich hier teilweise im Blog schon in gesonderten Beiträgen beschrieb. Was ich kurioserweise in den ganzen Jahren nie beschrieb, das ist die Verschlüsselung von Ordnern auf dem NAS (im Gegensatz zu verschlüsselten Backups, die ich das eine oder andere Mal beschrieb). Die Sache ist klar: vielleicht will man seine gemeinsamen Ordner verschlüsseln, damit die vielleicht sensiblen Daten im Falle eines Diebstahls nicht in falsche Hände geraten.

Der erste Schritt zur Erstellung eines AES-verschlüsselten Ordners unter DSM 6.0 ist der Besuch in der File Station. Hier lassen sich Ordner erstellen, aber auch gemeinsame, verschlüsselte Ordner. Unter „Erstellen > Neuen gemeinsamer Ordner erstellen“ geht die wilde Fahrt los. (Anmerkung: ja, man kann auch über „Systemsteuerung > Gemeinsame Ordner“ gehen.

Im nächsten Bildschirm geht es dann an das Eingemachte. Man kann dem Ordner einen Namen geben und ihn beschreiben. Solltet ihr mehr als ein Volume nutzen, könnt ihr noch das Ziel-Volume auswählen. Ebenfalls lässt sich der frische Ordner vor Nutzern ausblenden, die keine Berechtigung auf ihn haben. Der angemeldete Nutzer „Horst“ sieht den neuen Ordner also nicht, wenn die Rechte nur auf Peter und Paul ausgelegt sind. Ebenfalls kann man einen Papierkorb für Ordner aktivieren, in ihm sammeln sich gelöschte Dateien, anstatt im digitalen Nirwana zu verschwinden. Ein Zeitplan zur Leerung des Papierkorbs kann auch eingestellt werden.

Interessant ist der Punkt der Verschlüsselung. Hier muss ein Passwort vergeben werden. Hat man dieses erstellt und schließt den Vorgang ab, so wird der Ordner erstellt und eine Key-Datei kommt als Download zu euch. Diese solltet ihr tunlichst irgendwo sichern, falls euch aus Vergesslichkeitsgründen mal das Passwort abhanden kommt. Ohne Datei oder Passwort sind die Daten im verschlüsselten Ordner sinnlos. Achtet bei der Erstellung des Ordners auch darauf, dass ihr ihn beim Start automatisch einhängen könnt. Habt ihr dies nicht getan, so müsst ihr bei jedem Neustart des NAS den Ordner mit seinem Passwort einhängen.

Synology DSM Tipps & Tricks

Lasst ihr aber immer automatisch einhängen, so ist vielleicht das Nutzungsszenario „Gegen Diebstahl Daten sichern“ sinnlos, wenn der Angreifer vielleicht auch Zugriff auf euer Nutzerkonto oder einen PC hat. Solltet ihr mit einrechnen. Wenn schon sicher, dann bitte nicht nur das eine Gerät, sondern auch jenes, über welches zugegriffen wird.

Zu bedenken gibt es einiges: neben der erwähnten Schlüsselsache ist die Leistung eines verschlüsselten Ordners nicht so hoch, wie es bei den unverschlüsselten Ordnern ist. Ferner ist der Ordner nicht über das NFS-Protokoll erreichbar. Nach Erstellen des Ordners kommt besagtes Key-File als Download, zudem muss der Ersteller des Ordners noch Rechte auf den Inhalt des Ordners gewähren. Hier hat der Ersteller noch die Möglichkeiten, die erweiterten Berechtigungen zu vergeben, es lassen sich beispielsweise Dateien vor Veränderung oder dem Download schützen.

Am Ende habt ihr in der Systemsteuerung eine Übersicht über eure Ordner. Eingehangene Ordner werden dabei mit dem Symbol „offenes Schloss“ visualisiert. Verschlüsselte, nicht eingehangene Order haben das normale Schloss-Symbol und tauchen logischerweise nicht in der File Station auf.  Innerhalb der Systemsteuerung kann der Ordner über das Kontextmenü eingehangen werden, zudem lassen sich noch die oben erwähnten Zeitpläne zur Leerung des Papierkorbs aktivieren.

Noch einmal kurz zum Key-File. Hat man das Passwort vergessen, so ist diese Datei mehr als sinnvoll – doch wie hängen wir den verschlüsselten Ordner in unser System ein? Ganz einfach. Im Menü zum Einhängen eines verschlüsselten Ordners kann man auswählen, dass man einen Schlüssel importieren möchte. Macht man dies, so muss eben nicht das Passwort eingegeben werden.

Und sonst?Immer dran denken bei der Planung und Einrichtung: Ein initial erstellter Ordner ohne Verschlüsselung kann hinterher nicht mehr verschlüsselt werden. Umgekehrt übrigens auch so. Solltet ihr einen eingehängten Ordner mittels Cloud Sync bei Dropbox, OneDrive, Google Drive oder anderen sichern, so bedenkt: die Dateien landen dort ebenfalls unverschlüsselt, weil der Ordner zum Zeitpunkt des Sync halt offen ist – ihr solltet da dann vielleicht zu eine, verschlüsselten Cloud Sync greifen, wie ich hier beschrieb.