Wer Dateien zwischen Bürostandorten, Homeoffice-Rechnern und dem NAS synchron halten will, greift meist reflexartig zu Dropbox oder OneDrive. Beide Dienste haben ihren Preis: laufende Abokosten, Datenspeicherung auf US-Servern und eine Abhängigkeit von Drittanbietern. Syncthing löst genau dieses Problem auf andere Weise: Die quelloffene Software (MPLv2) synchronisiert Dateien direkt von Gerät zu Gerät, verschlüsselt die Übertragung Ende-zu-Ende mit TLS und kommt ohne zentralen Server aus. Kein Konto, keine Cloud, keine monatliche Rechnung. Auf dem Synology NAS läuft Syncthing als Docker-Container – und mit dem modernen Container Manager (DSM 7.2+) lässt sich das sauber als Compose-Projekt abbilden, das bei jedem NAS-Neustart automatisch startet.

Voraussetzungen

Synology NAS mit DSM 7.2 oder neuer und installiertem Container Manager (ersetzt den alten Docker-Manager)
Prozessorarchitektur x86_64 (Intel/AMD) oder ARM64 – das offizielle Multi-Arch-Image zieht automatisch die korrekte Variante
Mindestens 256 MB freier RAM für Syncthing (512 MB empfohlen bei vielen Dateien)
Ausreichend Speicherplatz auf /volume1 für die zu synchronisierenden Daten plus .stversions-Ordner bei aktivierter Versionierung
Netzwerkverbindung zwischen den zu synchronisierenden Geräten (LAN, VPN oder Internet mit offenem Port 22000)
Syncthing-Client auf der Gegenstelle installiert – kostenlos von syncthing.net für Windows, macOS, Linux und Android
Optional: feste interne IP-Adresse oder DHCP-Reservierung für das NAS für stabile Verbindungen

Schritt 1: Ordnerstruktur in der File Station anlegen

Öffne die File Station in DSM und navigiere zu docker (bzw. lege den Ordner an, falls er noch nicht existiert). Erstelle darin den Unterordner syncthing. Der vollständige Pfad lautet:

/volume1/docker/syncthing

Dieser Ordner dient als einziger Volume-Mount für den Container. Das offizielle syncthing/syncthing-Image verwendet /var/syncthing als einzigen Mount-Point – dort liegen sowohl die Konfigurationsdateien (config.xml, cert.pem, key.pem) als auch die synchronisierten Daten-Unterordner.

Wenn du Sync-Ordner außerhalb dieses Verzeichnisses anlegen willst (z. B. auf einem anderen Volume), kannst du weitere Ordner anlegen und später als zusätzliche Volumes in der Compose-Datei eintragen:

/volume1/data/syncthing-sync1
/volume1/data/syncthing-sync2

Verifizieren: Navigiere in der File Station zu /volume1/docker/ – der Ordner syncthing muss dort sichtbar sein. Berechtigungen müssen Lese- und Schreibzugriff für den DSM-Admin-Benutzer erlauben.

Schritt 2: PUID und PGID des NAS-Benutzers ermitteln

Syncthing im Container läuft unter einer Linux-User-ID (PUID) und Gruppen-ID (PGID). Diese müssen zum Besitzer der gemounteten Ordner passen – sonst entstehen Berechtigungsfehler beim Dateizugriff. Auf Synology ist die Gruppen-ID der Standard-Benutzergruppe users immer 100. Die User-ID des ersten Admin-Kontos ist in der Regel 1026.

Um die tatsächliche UID deines NAS-Benutzers zu prüfen, öffne in DSM die Systemsteuerung → Benutzer und Gruppe. Alternativ kannst du sie im Terminal (SSH) mit diesem Befehl abrufen:

id dein-benutzername

Die Ausgabe zeigt z. B. uid=1026(admin) gid=100(users). Notiere dir die Werte.

Verifizieren: Du hast PUID und PGID notiert. Für den Standard-Admin-Account auf den meisten Synology-Geräten sind das PUID=1026 und PGID=100. Weicht dein Benutzer davon ab, passe die Werte in Schritt 3 entsprechend an.

Schritt 3: Compose-Projekt im Container Manager anlegen

Öffne den Container Manager in DSM und wechsle zum Reiter Projekt. Klicke auf Erstellen und vergib den Projektnamen syncthing. Wähle als Pfad /volume1/docker/syncthing (den in Schritt 1 erstellten Ordner). Wähle die Option compose.yaml erstellen und füge folgenden Inhalt ein:

services:
  syncthing:
    image: syncthing/syncthing:latest
    container_name: syncthing
    hostname: synology-syncthing
    environment:
      - PUID=1026
      - PGID=100
      - TZ=Europe/Berlin
      - STGUIADDRESS=0.0.0.0:8384
    volumes:
      - /volume1/docker/syncthing:/var/syncthing
    network_mode: host
    restart: unless-stopped
    healthcheck:
      test: curl -fkLsS -m 2 127.0.0.1:8384/rest/noauth/health | grep -o --color=never OK || exit 1
      interval: 1m
      timeout: 10s
      retries: 3

Einige wichtige Details zur Compose-Konfiguration:

network_mode: host – Dies ist die offizielle Empfehlung des Syncthing-Projekts. Bridge-Networking verhindert die LAN-IP-Discovery und führt zu langsamen Relay-Verbindungen statt direkten Verbindungen. Mit Host-Netzwerk verwaltet Syncthing die Ports direkt, weshalb keine expliziten Port-Mappings nötig sind.
STGUIADDRESS=0.0.0.0:8384 – Pflicht für den Zugriff von außerhalb des Containers. Der Standard 127.0.0.1:8384 wäre nur vom Container selbst erreichbar.
:latest – Das Tag zeigt auf den aktuellen Stable-Release (derzeit v2.1.1, Mai 2026). Wenn du Image-Updates kontrolliert durchführen willst, kannst du stattdessen ein versioniertes Tag wie syncthing/syncthing:v2.1.1 pinnen.
Healthcheck – Fragt den authentifizierungsfreien Endpunkt /rest/noauth/health ab und prüft, ob Syncthing ordnungsgemäß antwortet.

Klicke auf Weiter und dann auf Fertig, um das Projekt zu erstellen und den Container zu starten. DSM lädt das Image automatisch von Docker Hub herunter.

Verifizieren: Im Container Manager unter Projekt → syncthing muss der Status nach spätestens 60 Sekunden Wird ausgeführt zeigen. Klicke auf den Container-Namen und öffne die Protokoll-Ansicht. Du solltest Zeilen wie die folgende sehen:

[monitor] Starting syncthing
[start] Configuration saved
[start] Web GUI listening on http://0.0.0.0:8384/

Erscheint stattdessen ein Fehler zu Berechtigungen (permission denied), prüfe PUID/PGID aus Schritt 2.

Schritt 4: Web-GUI öffnen und absichern

Öffne im Browser auf deinem PC:

http://NAS-IP:8384

Ersetze NAS-IP durch die tatsächliche IP-Adresse deines Synology NAS (z. B. 192.168.1.100). Bei einem frischen Start erscheint ein Hinweis, dass noch kein GUI-Passwort gesetzt ist – das ist ein Sicherheitsrisiko und muss sofort behoben werden.

Navigiere zu Aktionen → Einstellungen → GUI und setze:

Ein sicheres Passwort für den GUI-Zugang
HTTPS aktivieren (selbstsigniertes Zertifikat, im Browser einmalig bestätigen)

Speichere die Einstellungen. Syncthing startet die GUI-Verbindung neu – melde dich mit deinem neuen Passwort an.

Ebenfalls empfehlenswert: Notiere dir die Device-ID deines NAS. Sie findet sich unter Aktionen → Geräte-Identifikation anzeigen – du benötigst sie, um das NAS mit anderen Geräten zu koppeln.

Verifizieren: Nach dem Login zeigt die Syncthing-Startseite den Gerätestatus. Unter dem NAS-Gerät (synology-syncthing) sollte „Dieses Gerät“ mit einem grünen Status erscheinen. Das Dashboard zeigt außerdem den standardmäßig vorhandenen Ordner Default Folder im Pfad /var/syncthing/Sync – das entspricht auf dem NAS /volume1/docker/syncthing/Sync.

Schritt 5: Synology DSM Firewall freigeben

Mit network_mode: host kommuniziert Syncthing direkt über die NAS-Netzwerkschnittstelle. Damit direkte Verbindungen zu anderen Geräten möglich sind, müssen die folgenden Ports in der DSM-Firewall freigegeben werden.

Navigiere in DSM zu Systemsteuerung → Sicherheit → Firewall und füge folgende Regeln hinzu:

Port	Protokoll	Zweck
8384	TCP	Web-GUI und REST-API
22000	TCP	Sync-Protokoll (Pflicht für direkten Gerätesync)
22000	UDP	Sync-Protokoll via QUIC (bessere Performance)
21027	UDP	Lokale Geräte-Discovery (LAN Broadcast/Multicast)

Falls du den Zugriff auf die GUI nur aus dem lokalen Netz erlauben willst, kannst du Port 8384 auf dein Subnetz einschränken (z. B. 192.168.1.0/24).

Verifizieren: Öffne die Syncthing-GUI und navigiere zu Aktionen → Einstellungen → Verbindungen. Unter „Adressliste“ sollte mindestens eine lokale IP-Adresse deines NAS erscheinen. Wenn du bereits eine Gegenstelle hinzugefügt hast (Schritt 6), sollte der Verbindungstyp „Direct (TCP)“ oder „Direct (QUIC)“ lauten – nicht „Relayed“.

Schritt 6: Erste Gegenstelle hinzufügen (Geräte-Pairing)

Syncthing erfordert beidseitiges Einverständnis beim Geräte-Pairing: Beide Geräte müssen die Device-ID des anderen eingetragen haben. Eine Device-ID allein reicht nicht – beide Seiten müssen aktiv zustimmen.

Auf dem NAS (Syncthing-GUI Port 8384): Klicke auf Gerät hinzufügen und trage die Device-ID der Gegenstelle ein (z. B. deines Windows-PCs). Du findest die Device-ID des PCs in der Syncthing-GUI der Gegenstelle unter Aktionen → Geräte-Identifikation. Vergib einen sprechenden Namen (z. B. Buero-PC) und klicke auf Speichern.

Auf der Gegenstelle: Syncthing zeigt automatisch eine Benachrichtigung, dass ein neues Gerät eine Verbindung anfragt. Bestätige die Anfrage und trage ggf. den NAS als vertrauenswürdiges Gerät ein.

Anschließend kannst du einen Sync-Ordner mit der Gegenstelle teilen: Wähle in der Syncthing-GUI den gewünschten Ordner, klicke auf Bearbeiten, wechsle zum Reiter Teilen und aktiviere den Haken bei der neu hinzugefügten Gegenstelle.

Verifizieren: Nach erfolgreichem Pairing erscheint die Gegenstelle in der Syncthing-GUI des NAS unter Remote Devices mit grünem Status. Der Verbindungstyp sollte „Direct (TCP)“ oder „Direct (QUIC)“ lauten. Ein gelber Status mit „Relayed“ deutet auf eine blockierte Firewall hin – prüfe Schritt 5 und ob die Gegenstelle ebenfalls Port 22000 freigegeben hat.

Schritt 7: Versionierung als Ransomware-Puffer aktivieren

Syncthing ist kein Backup-Tool – Löschungen und Änderungen werden auf alle verbundenen Geräte übertragen. Wer sich gegen Ransomware oder versehentliches Löschen absichern will, aktiviert die integrierte Dateiversionierung.

Wähle in der Syncthing-GUI den zu schützenden Ordner und klicke auf Bearbeiten. Wechsle zum Reiter Versionierung und wähle Staggered File Versioning. Empfohlene Einstellung: Maximales Alter 90 Tage.

Gelöschte und überschriebene Dateien werden damit im Unterordner .stversions aufbewahrt und können manuell wiederhergestellt werden. Beachte: Der .stversions-Ordner benötigt zusätzlichen Speicherplatz – plane das bei der Volume-Dimensionierung ein.

Syncthing ist bewusst kein vollständiger Backup-Ersatz. Für echte Backups mit Cloud-Speicherung und kryptografisch gesicherter Versionierung empfiehlt sich ergänzend Duplicati auf dem Synology NAS oder die im Artikel zur 3-2-1-Backup-Strategie beschriebenen Konzepte.

Verifizieren: Ändere eine Testdatei im synchronisierten Ordner und warte auf die Synchronisation. Prüfe anschließend, ob im Ordner .stversions (auf dem NAS unter /volume1/docker/syncthing/Sync/.stversions) eine Kopie der vorherigen Version angelegt wurde. Ist der Ordner leer oder fehlt er, ist die Versionierung für diesen Ordner noch nicht aktiv.

Troubleshooting / Typische Fehler

GUI nicht erreichbar nach Container-Start: Ursache ist meist STGUIADDRESS nicht gesetzt oder auf 127.0.0.1 belassen. Lösung: STGUIADDRESS=0.0.0.0:8384 in der compose.yaml sicherstellen und den Container neu starten.
Alle Verbindungen laufen über Relay (gelber Status, langsame Übertragung): Ursache ist Bridge-Networking oder eine blockierende Firewall. Lösung: network_mode: host in der Compose-Datei verwenden und Ports 22000/TCP, 22000/UDP sowie 21027/UDP in der DSM-Firewall freigeben.
Permission denied / Zugriffsfehler auf Sync-Ordner: PUID/PGID stimmen nicht mit dem Ordner-Eigentümer überein. Lösung: In DSM → Systemsteuerung → Benutzer die tatsächliche UID prüfen (SSH: id benutzername) und in der compose.yaml anpassen.
Sync stoppt mit „folder marker missing“: Das .stfolder-Verzeichnis im synchronisierten Ordner wurde gelöscht. Lösung: .stfolder manuell neu erstellen (mkdir .stfolder im betreffenden Verzeichnis), dann Container neu starten.
„Host check error“ beim GUI-Aufruf: Der DNS-Rebinding-Schutz von Syncthing ist aktiv. Lösung: IP-Adresse statt Hostname im Browser verwenden (http://NAS-IP:8384) oder den Hostnamen in Syncthing unter Einstellungen → GUI als vertrauenswürdig eintragen.
Geräte-Verbindungen nach Neustart weg: Das Volume /volume1/docker/syncthing:/var/syncthing ist nicht korrekt gemountet oder der Pfad hat sich geändert. Lösung: Volume-Mapping in der compose.yaml prüfen und sicherstellen, dass config.xml im Volume vorhanden ist.
Hohe CPU-Last beim initialen Sync: Syncthing hasht alle Dateien (SHA-256) und verschlüsselt Übertragungen – bei großen Datenmengen ist das normal. Lösung: GOMAXPROCS=2 als zusätzliche Umgebungsvariable setzen, um die CPU-Nutzung zu deckeln. Initialen Sync außerhalb der Geschäftszeiten planen.
Ransomware-Szenario – Löschungen auf alle Geräte propagiert: Syncthing ist kein Backup. Lösung: Staggered File Versioning aktivieren (Schritt 7) und ergänzend ein echtes Backup-Konzept einsetzen.

Häufige Fragen

Ist Syncthing DSGVO-konform?

In der Standardkonfiguration verlassen keine Nutzerdaten die eigene Infrastruktur. Lediglich die globalen Discovery- und Relay-Server der Syncthing-Foundation (Schweden) kennen deine IP-Adresse und Device-ID. Beide Dienste lassen sich in den Syncthing-Einstellungen vollständig deaktivieren, wenn du ausschließlich im lokalen Netz oder per direkter IP-Verbindung synchronisieren willst – dann gibt es keinerlei externe Kommunikation mehr.

Welche Betriebssysteme werden als Gegenstelle unterstützt?

Windows, macOS, Linux, Android und FreeBSD werden offiziell unterstützt. iOS wird aufgrund der Apple-Beschränkungen für Hintergrundprozesse nicht offiziell unterstützt. Der Syncthing-Client ist für alle unterstützten Plattformen kostenlos.

Was passiert, wenn das NAS offline ist?

Andere Geräte synchronisieren direkt miteinander weiter, sofern sie sich gegenseitig als Peers eingetragen haben. Sobald das NAS wieder online ist, holt es alle Änderungen nach. Konflikte (wenn beide Seiten dieselbe Datei unterschiedlich geändert haben) werden als separate Dateien mit Zeitstempel-Suffix gespeichert.

Wie erkenne ich, ob eine Verbindung direkt oder über Relay läuft?

In der Syncthing-Web-GUI unter Remote Devices wird beim jeweiligen Gerät der Verbindungstyp angezeigt. „Direct (TCP)“ oder „Direct (QUIC)“ bedeutet eine optimale direkte Verbindung. „Relayed“ bedeutet, dass die Verbindung über einen externen Relay-Server läuft – typischerweise 5- bis 10-mal langsamer. Ursache ist meist eine Firewall, die Port 22000 blockiert.

Wie unterscheidet sich Syncthing von Dropbox oder OneDrive?

Syncthing speichert keine Daten auf fremden Servern, erfordert kein Abonnement und hat keine Datenmengenbeschränkung. Es ist eine Echtzeit-Synchronisation – kein Backup. Löschungen werden auf alle Geräte übertragen. Für echte Backups mit Versionierung und Cloud-Speicher bleibt Duplicati oder Hyper Backup die bessere Wahl.

Kann ich Syncthing rein lokal betreiben, ohne externe Server?

Ja. Deaktiviere in den Syncthing-Einstellungen unter Verbindungen die Optionen „Globale Discovery aktivieren“ und „Relay-Server aktivieren“. Dann kommuniziert Syncthing ausschließlich im lokalen Netz oder über direkte IP-Adressen. Geräte außerhalb des LANs musst du in diesem Fall manuell per statischer Adresse eintragen.

Fazit

Syncthing ist die überzeugendste Lösung für KMU und Selfhoster, die Dateien zwischen mehreren Standorten synchron halten wollen – ohne US-Cloud, ohne Abokosten und ohne Datenschutzrisiken. Das offizielle Docker-Image des Syncthing-Projekts lässt sich auf dem Synology NAS sauber als Container-Manager-Projekt abbilden. Die entscheidenden Punkte gegenüber vielen anderen Anleitungen: network_mode: host für direkte Verbindungen statt Relay-Umwegen, STGUIADDRESS=0.0.0.0:8384 für erreichbare GUI und ein Healthcheck für Container-Monitoring. Die integrierte Versionierung (Staggered File Versioning) ist kein vollständiger Backup-Ersatz, bietet aber einen wertvollen ersten Puffer gegen Ransomware und versehentliche Löschungen.

Für eine vollständige Datensicherungsstrategie empfehlen sich weiterführend ein eigener SFTP/WebDAV-Server mit SFTPGo für kontrollierten Dateizugriff sowie die Nutzung von rsync über SSH für skriptgesteuerte Datenmigration und Offsite-Übertragung.

Weiterführende Anleitungen und Quellen

Offizielle Quellen: Syncthing Docker-Deployment (README-Docker.md) · Syncthing FAQ · Docker Hub: syncthing/syncthing