Wenn der Virenschutz das eigene Backup blockiert: Lehren aus dem Synology-Defender-Vorfall

10. Aug.

Ein Backup gilt gemeinhin als letzte Verteidigungslinie, wenn Ransomware oder ein Hardwaredefekt zuschlägt. Anfang August 2026 zeigte ein Vorfall bei Synology-NAS-Systemen jedoch, dass die Bedrohung für ein Backup nicht immer von außen kommen muss – manchmal blockiert die eigene Sicherheitssoftware die Datensicherung selbst, und das über Tage hinweg unbemerkt. Für Unternehmen, die sich auf funktionierende, lückenlose Backups verlassen müssen, lohnt sich ein genauer Blick auf diesen Fall.

Was passiert ist

Der IT-Blogger Günter Born dokumentierte zwischen dem 3. und 6. August 2026 in einer dreiteiligen Beitragsreihe einen Vorfall, der mehrere Administratoren betraf: Microsoft Defender stufte auf Windows-Servern eine Verbindungsprüfung von Synology Active Backup for Business (ABB) als Trojaner ("Trojan:Win32/Commando.A!ml") ein und schob den zugehörigen Prozess in Quarantäne. Die betroffenen Backups liefen danach schlicht nicht mehr durch. Laut der im Blog dokumentierten Analyse eines betroffenen Lesers lief die fehlerhafte Erkennung vom 1. auf den 2. August 2026 in einem präzise nachvollziehbaren Zeitfenster – 32 Erkennungsereignisse im Stundentakt.

Zwei Details machen den Fall für IT-Verantwortliche besonders lehrreich.

Problem eins: "Zulassen" ist keine Ausnahme, sondern eine Abschaltung

Der naheliegende Reflex – im Defender auf "Zulassen" klicken, um die Quarantäne aufzuheben – deaktiviert nicht etwa eine einzelne Datei-Ausnahme. Weil die Erkennung dateilos (fileless) und kommandozeilenbasiert erfolgt, schaltet "Zulassen" die komplette Erkennungsregel geräteweit und dauerhaft ab, ohne dass dies in einem Audit sichtbar würde. Genau das bestätigte Synology dem betroffenen Administrator auf Nachfrage: Ordner- oder Prozessausnahmen greifen bei dieser Art der Erkennung nicht zuverlässig, sodass in der Praxis derzeit nur die vollständige Abschaltung der Signatur den Backup-Pfad funktionsfähig hält. Microsoft wiederum bestätigte auf Anfrage die Harmlosigkeit des geprüften Codes, kündigte aber keine Anpassung der Signatur an und verwies stattdessen auf genau jene Ausschlüsse, die laut Synology nicht wirken.

Problem zwei: Die zweite Fehlermeldung kommt nie

Noch relevanter für den Kanzlei- und Praxisalltag ist ein zweiter, unabhängiger Befund. Synology bestätigte, dass die Benachrichtigungsfunktion bewusst mit einem "Mail Throttling" arbeitet: Nach der ersten Fehlermeldung zu einem Fehlertyp gilt für 24 Stunden eine Sperre für weitere E-Mails zum selben Fehler – selbst wenn, wie im dokumentierten Fall, stündliche Sicherungen über Stunden hinweg fehlschlagen. Diese Einstellung lässt sich derzeit nicht anpassen. Für Administratoren bedeutet das: Eine einzelne Fehlermeldung wird oft als "normale Störung" abgetan, die sich beim nächsten Lauf von selbst löst – die ausbleibende zweite Meldung wird dann fälschlich als Entwarnung gelesen, obwohl in Wirklichkeit über Stunden gar keine Sicherung mehr lief.

Was das für Ihren Kanzlei- oder Praxisbetrieb bedeutet

Wer als Freiberufler oder Kanzlei mandantenbezogene Daten – Bauakten, Mandantenunterlagen, Steuerunterlagen, Entwurfsdateien – auf einem Synology-NAS sichert oder über Windows-Server-Umgebungen mit Microsoft Defender arbeitet, sollte aus diesem Fall drei konkrete Konsequenzen ziehen:

Backup-Erfolg aktiv prüfen statt auf Fehlermeldungen zu warten: Entscheidend ist nicht das Ausbleiben von Alarmen, sondern das Alter des letzten erfolgreichen Sicherungslaufs. Ein Monitoring, das nur auf einen einzelnen Alarm reagiert, hört im Ernstfall genau einmal etwas – und danach nichts mehr.
Sicherheits- und Backup-Software gemeinsam betrachten: Antiviren-Ausnahmen für Backup-Agenten sollten dokumentiert, befristet und regelmäßig überprüft werden – nicht als stiller Dauerzustand, den kein Auditskript findet.
An der 3-2-1-Regel festhalten: Mindestens drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine Kopie extern beziehungsweise offline. Ein NAS-Backup allein – ganz gleich wie zuverlässig der Hersteller normalerweise ist – ersetzt keine externe, vom Produktivsystem getrennte Kopie.

Ein zweiter, kurzer Hinweis: kritisches macOS-Update

Parallel dazu hat Apple am 6. August 2026 mit macOS Tahoe 26.6.1 einen kritischen Sicherheitsfehler in der Bildschirmfreigabe (Screen Sharing) geschlossen, der eine Authentifizierung ohne gültige Zugangsdaten ermöglicht hätte. Passende Updates gibt es auch für macOS Sonoma 14.8.9 und macOS Sequoia 15.7.9. Wer in der Kanzlei, im Architekturbüro oder Grafikstudio Macs einsetzt, sollte dieses Update zeitnah einspielen, sofern es nicht bereits automatisch erfolgt ist.

Fazit

Der Synology-Defender-Vorfall zeigt exemplarisch, wie fragil Backup-Ketten in gemischten Umgebungen aus NAS, Windows-Servern und Antivirensoftware sein können – nicht durch böswillige Angreifer, sondern durch das Zusammenspiel zweier gut gemeinter Sicherheitsmechanismen. Für Kanzleien und Freiberufler mit Aufbewahrungspflichten und Mandantendaten ist das kein akademisches Problem, sondern eine Frage der Berufspflicht und der Haftung. Wenn Sie unsicher sind, ob Ihre Backup- und Sicherheitskonfiguration von einem ähnlichen Konflikt betroffen sein könnte, unterstütze ich Sie gerne bei der Überprüfung.

Quellen

Andreas Kleutgens