Wie sicher ist es, wenn Synology Dienste über das Internet erreichbar sind?

[Busta2]

Guten Abend,

ich setze privat als auch geschäftlich (selbstständige Tätigkeit, also sehr kleiner Betrieb) eine Synology ein. Im Büro sieht es momentan so aus, dass alle Clients in einem VLAN sind, die Synology in einem weiteren VLAN, Verbindung zwischen den beiden VLANs ist für den Dateizugriff auf die Synology (SMB, AFP, Caldav, Carddav, Email) gestattet, sonst geblockt. Nach außen hat die Synology momentan bis auf einen WebDAV Zugang zu einem gemeinsamen Ordner, auf dem nur das extern erreichbare liegt und auf den auch nur der WebDAV-Benutzer Zugriff hat, keinerlei Verbindung, sowohl über den Router als auch die Synology eigene Firewall geblockt.

Momentan bin ich am überlegen weitere Dienste der Synology zu nutzen, allerdings müssten dazu Ports geöffnet oder andere Lösungen (VPN, etc) gefunden werden. Mich würde deswegen interessieren, wie sicher diese Funktionen sind. Ist es unbedenklich die - auch geschäftlich - zu nutzen oder wäre es sinnvoller darauf zu verzichten?

1)MailPlus Email Server
2) Synology Drive
3) Dateifreigaben an Externe
4) Möglichkeit für Externe angeforderte Dateien auf der Synology abzulegen
5) CardDAV
6) Calendar
7) Backup zu mir privat - zum Beispiel auch über VPN möglich
8) kleine Website hosten
9) Photo Station

Synology selbst bewirbt einige dieser Funktionen auch oder gerade für Unternehmen. Aber wie empfehlenswert ist das wirklich?

(weiteres zum Netzwerk: feste IPv4, Unifi Security Gateway)

Alternativ wäre es auch denkbar eine weitere Synology in einer Art DMZ zu betreiben - nur wäre da für mich der Kosten/Nutzenaspekt nicht mehr gegeben. Vielleicht ist auch eine Virtualisierungslösung auf der jetzigen DS eine sicherheitstechnische Verbesserung? Allerdings habe ich keinerlei VM Erfahrungen bzw. theoretisch ein paar Kenntnisse, wie man die aufsetzt, aber praktisch keinerlei Idee, was der Vorteil einer VM ist und wofür man sie nutzt, bräuchte da also einen Tipp a la "pack den Webspace in eine VM"

Edit: Doch noch einen Thread gefunden, der schon in etwa das Thema behandelt. Außerdem scheint mir Virtual DSM wirklich eine brauchbare Lösung für meine Probleme zu sein - da das eher Spielereien sind, ist dafür die Lizenz dann aber schon etwas teuer.

 

[Frogman]

Da es Dir ja in erheblichem Maße auch um Unternehmensdaten geht, unterliegt das Vorhaben einigen gesetzlichen Vorgaben. Darunter finden sich dann auch Aspekte wie Manipulationssicherheit, Einhaltung von Löschungsfristen, Vorgaben der DSGVO usw. Ganz klar: das ist kein Thema für "mach-mal-schnell" oder Hobby-ITler! Du solltest Dir hier professionelle Beratung besorgen. So ein kleiner Hinweis am Rande: das Mischen von privaten und geschäftlichen Daten auf gleichen Hardware wird da zum Problem.

 

[Busta2]

Ja, wichtiger Aspekt! Allerdings war meine letzte Info, dass ich da nicht drunter falle (kein Unternehmen, nur selbstständig), für manches habe ich einen IT-Berater, aber gerade bei so Kleinbetrieben ist das Problem, dass viele ITler auch nicht das gelbe vom Ei sind (bis ich mich selbst drum gekümmert habe, lief hier alles mit Fritzbox und einem unmanaged switch) und die wirklich guten wohl eher in Großbetrieben aktiv sind. Bzw. die Profilösungen sind vielleicht auch für kleine Betriebe overkill. Nimm zum Beispiel den bekannten Youtuber idomix. Er ignoriert alles, was hier zu sicherem Internetbetrieb gesagt wird, zum Beispiel werden da fleißig Ports weitergeleitet, bietet das aber auch professionell an, setzt das so also auch in kleineren Betrieben um. Ist jetzt seine Lösung schlecht? Er kein guter ITler? Soweit würde ich gar nicht gehen, vielleicht reichen die Lösungen für Kleinbetriebe ja doch?

Allerdings: welche der genannten Funktionen sind wirklich notwendig? Und das ist vielleicht nicht nur die einfachste, sondern auch sinnvollste Lösung: Ich verzichte auf das alles schlichtweg! Dadurch sind sämtliche Ports zu und ich muss mir zumindest hierzu gar keine Gedanken machen, Stichwort Probleme vermeiden statt schaffen und dann lösen. Das einzige, was ich wohl trotzdem umsetzen werde und auch sinnvoll finde, ist das Remote Backup. Das sollte sich aber sehr sicher umsetzen lassen.
Alles andere kann ich auch anders lösen oder drauf verzichten. Idomix nutzt beispielsweise den heimischen Mailserver - wozu? Eigentlich geht es doch mit einem gehosteten genauso / besser

 

[whitbread]

Website und PS würde ich weglassen.
Ansonsten kannst Du die Dienste wunderbar in einer virtuellen DSM-Instanz laufen lassen. Das schützt nochmal Deine normalen Daten, auch wenn ein Ausbruch aus der VM mit entsprechender Energie auch möglich sein könnte.
Je nach Dienst könntest Du statt Portfreigsbe über VPN nachdenken.

 

[Frogman]

...Allerdings war meine letzte Info, dass ich da nicht drunter falle (kein Unternehmen, nur selbstständig), ...

Ich weiß nicht, worauf Du Dich beziehst - jedenfalls fällst Du dann darunter, sobald Du Daten von Kunden verarbeitest, das habe ich angenommen.