Syncthing auf dem Synology NAS installieren: Dateisynchronisation ohne Cloud

Dropbox oder OneDrive kosten laufend, speichern Daten auf US-Servern und schaffen Abhängigkeit. Syncthing (quelloffen, MPLv2) synchronisiert Dateien direkt von Gerät zu Gerät, verschlüsselt die Übertragung Ende-zu-Ende per TLS und braucht weder zentralen Server noch Konto. Auf dem Synology NAS läuft es mit dem Container Manager (DSM 7.2+) als Compose-Projekt, das bei jedem NAS-Neustart automatisch startet.

Voraussetzungen

1. Synology NAS mit DSM 7.2 oder neuer und installiertem Container Manager (ersetzt den alten Docker-Manager)
2. Prozessorarchitektur x86_64 (Intel/AMD) oder ARM64 – das offizielle Multi-Arch-Image zieht automatisch die korrekte Variante
3. Mindestens 256 MB freier RAM für Syncthing (512 MB empfohlen bei vielen Dateien)
4. Ausreichend Speicherplatz auf /volume1 für die zu synchronisierenden Daten plus .stversions-Ordner bei aktivierter Versionierung
5. Netzwerkverbindung zwischen den zu synchronisierenden Geräten (LAN, VPN oder Internet mit offenem Port 22000)
6. Syncthing-Client auf der Gegenstelle installiert – kostenlos von syncthing.net für Windows, macOS, Linux und Android
7. Optional: feste interne IP-Adresse oder DHCP-Reservierung für das NAS für stabile Verbindungen

Schritt 1: Ordnerstruktur in der File Station anlegen

Öffnen Sie die File Station, wechseln Sie in den Ordner docker (ggf. anlegen) und erstellen Sie den Unterordner syncthing. Der vollständige Pfad:

/volume1/docker/syncthing

Das offizielle syncthing/syncthing-Image nutzt /var/syncthing als einzigen Mount-Point für Konfiguration (config.xml, cert.pem, key.pem) und synchronisierte Daten-Unterordner.

Sync-Ordner außerhalb dieses Verzeichnisses (z. B. auf einem anderen Volume) tragen Sie später als zusätzliche Volumes in der Compose-Datei ein:

/volume1/data/syncthing-sync1
/volume1/data/syncthing-sync2

Verifizieren: Öffnen Sie in der File Station /volume1/docker/ – der Ordner syncthing muss dort sichtbar sein. Berechtigungen müssen Lese- und Schreibzugriff für den DSM-Admin-Benutzer erlauben.

Schritt 2: PUID und PGID des NAS-Benutzers ermitteln

Syncthing läuft im Container unter einer User-ID (PUID) und Gruppen-ID (PGID), die zum Besitzer der gemounteten Ordner passen müssen, sonst entstehen Berechtigungsfehler. Auf Synology hat die Gruppe users immer die ID 100, das erste Admin-Konto meist die UID 1026.

Die tatsächliche UID prüfen Sie unter Systemsteuerung → Benutzer und Gruppe oder per SSH:

id ihr-benutzername

Die Ausgabe zeigt z. B. uid=1026(admin) gid=100(users). Notieren Sie die Werte.

Verifizieren: Sie haben PUID und PGID notiert. Für den Standard-Admin-Account auf den meisten Synology-Geräten sind das PUID=1026 und PGID=100. Weicht Ihr Benutzer davon ab, passen Sie die Werte in Schritt 3 entsprechend an.

Schritt 3: Compose-Projekt im Container Manager anlegen

Wechseln Sie im Container Manager zum Reiter Projekt, klicken Sie auf Erstellen, Projektname syncthing, Pfad /volume1/docker/syncthing. Wählen Sie compose.yaml erstellen und fügen Sie ein:

services:
  syncthing:
    image: syncthing/syncthing:latest
    container_name: syncthing
    hostname: synology-syncthing
    environment:
      - PUID=1026
      - PGID=100
      - TZ=Europe/Berlin
      - STGUIADDRESS=0.0.0.0:8384
    volumes:
      - /volume1/docker/syncthing:/var/syncthing
    network_mode: host
    restart: unless-stopped
    healthcheck:
      test: curl -fkLsS -m 2 127.0.0.1:8384/rest/noauth/health | grep -o --color=never OK || exit 1
      interval: 1m
      timeout: 10s
      retries: 3

Einige wichtige Details zur Compose-Konfiguration:

1. network_mode: host – offizielle Empfehlung des Projekts. Bridge-Networking verhindert die LAN-Discovery und erzwingt langsame Relay-Verbindungen. Port-Mappings sind mit Host-Netzwerk nicht nötig.
2. STGUIADDRESS=0.0.0.0:8384 – GUI lauscht auf allen Schnittstellen (Image-Standard, hier sichtbar gemacht). Leer gesetzt (wie im offiziellen Beispiel) gilt die Adresse aus der Konfiguration, standardmäßig 127.0.0.1:8384, also nur auf dem NAS erreichbar. Mit network_mode: host ist die GUI im ganzen LAN erreichbar, deshalb folgt in Schritt 4 sofort das Passwort.
3. :latest – aktueller Stable-Release (Stand September 2026: 2.1.5). Für kontrollierte Updates pinnen Sie ein Tag wie syncthing/syncthing:2.1 (ohne vorangestelltes „v“).
4. Healthcheck – Fragt den authentifizierungsfreien Endpunkt /rest/noauth/health ab und prüft, ob Syncthing ordnungsgemäß antwortet.

Klicken Sie auf Weiter und Fertig; DSM lädt das Image von Docker Hub und startet den Container.

Verifizieren: Im Container Manager unter Projekt → syncthing muss der Status nach spätestens 60 Sekunden Wird ausgeführt zeigen. Klicken Sie auf den Container-Namen und öffnen Sie die Protokoll-Ansicht. Syncthing 2.x meldet den Start der Oberfläche mit einer Zeile, die diesen Text und die Adresse 0.0.0.0:8384 enthält:

GUI and API listening

Erscheint stattdessen ein Fehler zu Berechtigungen (permission denied), prüfen Sie PUID/PGID aus Schritt 2.

Schritt 4: Web-GUI öffnen und absichern

Öffnen Sie im Browser auf Ihrem PC:

http://NAS-IP:8384

Ersetzen Sie NAS-IP durch die IP Ihres NAS (z. B. 192.168.1.100). Bei frischem Start weist Syncthing darauf hin, dass kein GUI-Passwort gesetzt ist; beheben Sie das sofort.

Öffnen Sie Aktionen → Einstellungen → GUI und setzen Sie:

1. Ein sicheres Passwort für den GUI-Zugang
2. HTTPS aktivieren (selbstsigniertes Zertifikat, im Browser einmalig bestätigen)

Speichern Sie; nach dem Neustart der GUI-Verbindung melden Sie sich mit dem neuen Passwort an.

Notieren Sie die Device-ID des NAS (Aktionen → Geräte-Identifikation anzeigen); Sie brauchen sie zum Koppeln.

Verifizieren: Nach dem Login zeigt die Syncthing-Startseite den Gerätestatus. Unter dem NAS-Gerät (synology-syncthing) sollte „Dieses Gerät“ mit einem grünen Status erscheinen. Das Dashboard zeigt außerdem den standardmäßig vorhandenen Ordner Default Folder im Pfad /var/syncthing/Sync – das entspricht auf dem NAS /volume1/docker/syncthing/Sync.

Schritt 5: Synology DSM Firewall freigeben

Mit network_mode: host nutzt Syncthing direkt die NAS-Netzwerkschnittstelle. Für direkte Verbindungen geben Sie diese Ports in der DSM-Firewall frei.

Unter Systemsteuerung → Sicherheit → Firewall folgende Regeln hinzufügen:

Port 8384 können Sie auf Ihr Subnetz einschränken (z. B. 192.168.1.0/24).

Verifizieren: Öffnen Sie in der Syncthing-GUI Aktionen → Einstellungen → Verbindungen. Unter „Adressliste“ sollte mindestens eine lokale IP-Adresse Ihres NAS erscheinen. Wenn Sie bereits eine Gegenstelle hinzugefügt haben (Schritt 6), sollte der Verbindungstyp „Direct (TCP)“ oder „Direct (QUIC)“ lauten – nicht „Relayed“.

Schritt 6: Erste Gegenstelle hinzufügen (Geräte-Pairing)

Beim Pairing müssen beide Geräte die Device-ID des anderen eingetragen und aktiv zugestimmt haben.

Auf dem NAS (Syncthing-GUI Port 8384): Gerät hinzufügen und die Device-ID der Gegenstelle eintragen (in deren GUI unter Aktionen → Geräte-Identifikation). Sprechenden Namen vergeben (z. B. Buero-PC), Speichern.

Auf der Gegenstelle: Bestätigen Sie die angezeigte Verbindungsanfrage, damit das NAS als Gerät eingetragen wird.

Zum Teilen eines Sync-Ordners wählen Sie ihn in der GUI, klicken auf Bearbeiten, Reiter Teilen, und haken die Gegenstelle an.

Verifizieren: Nach erfolgreichem Pairing erscheint die Gegenstelle in der Syncthing-GUI des NAS unter Remote Devices mit grünem Status. Der Verbindungstyp sollte „Direct (TCP)“ oder „Direct (QUIC)“ lauten. Ein gelber Status mit „Relayed“ deutet auf eine blockierte Firewall hin. Prüfen Sie Schritt 5 und ob die Gegenstelle ebenfalls Port 22000 freigegeben hat.

Schritt 7: Versionierung als Ransomware-Puffer aktivieren

Syncthing ist kein Backup-Tool: Löschungen und Änderungen gehen an alle verbundenen Geräte. Gegen Ransomware oder versehentliches Löschen hilft die integrierte Dateiversionierung.

Ordner wählen, Bearbeiten, Reiter Versionierung, Staggered File Versioning. Empfehlung: Maximales Alter 90 Tage.

Gelöschte und überschriebene Dateien liegen dann im Unterordner .stversions zur manuellen Wiederherstellung. Planen Sie den zusätzlichen Speicherplatz ein.

Syncthing ist bewusst kein vollständiger Backup-Ersatz. Für echte Backups mit Cloud-Speicherung und kryptografisch gesicherter Versionierung empfiehlt sich ergänzend Duplicati auf dem Synology NAS oder die im Artikel zur 3-2-1-Backup-Strategie beschriebenen Konzepte.

Verifizieren: Ändern Sie eine Testdatei auf der Gegenstelle im synchronisierten Ordner und warten Sie auf die Synchronisation. Prüfen Sie anschließend, ob im Ordner .stversions (auf dem NAS unter /volume1/docker/syncthing/Sync/.stversions) eine Kopie der vorherigen Version angelegt wurde. Ist der Ordner leer oder fehlt er, ist die Versionierung für diesen Ordner noch nicht aktiv.

Troubleshooting / Typische Fehler

1. GUI nicht erreichbar nach Container-Start: Meist leeres STGUIADDRESS oder GUI-Adresse 127.0.0.1 in der Konfiguration. Lösung: STGUIADDRESS=0.0.0.0:8384 in der compose.yaml setzen, Container neu starten.
2. Alle Verbindungen laufen über Relay (gelber Status, langsame Übertragung): Bridge-Networking oder blockierende Firewall. Lösung: network_mode: host und Ports 22000/TCP, 22000/UDP sowie 21027/UDP freigeben.
3. Permission denied / Zugriffsfehler auf Sync-Ordner: PUID/PGID passen nicht zum Ordner-Eigentümer. UID prüfen (SSH: id benutzername) und in der compose.yaml anpassen.
4. Sync stoppt mit „folder marker missing“: Das .stfolder-Verzeichnis im synchronisierten Ordner wurde gelöscht. Lösung: .stfolder manuell neu erstellen (mkdir .stfolder im betreffenden Verzeichnis), dann Container neu starten.
5. „Host check error“ beim GUI-Aufruf: Der DNS-Rebinding-Schutz von Syncthing ist aktiv. Lösung: IP-Adresse statt Hostname im Browser verwenden (http://NAS-IP:8384) oder den Hostnamen in Syncthing unter Einstellungen → GUI als vertrauenswürdig eintragen.
6. Geräte-Verbindungen nach Neustart weg: Volume /volume1/docker/syncthing:/var/syncthing nicht korrekt gemountet oder Pfad geändert. Mapping prüfen und sicherstellen, dass config.xml im Volume liegt.
7. Hohe CPU-Last beim initialen Sync: Syncthing hasht alle Dateien (SHA-256) und verschlüsselt Übertragungen; bei großen Datenmengen normal. GOMAXPROCS=2 als Umgebungsvariable deckelt die CPU-Nutzung; initialen Sync außerhalb der Geschäftszeiten planen.
8. Ransomware-Szenario – Löschungen auf alle Geräte propagiert: Syncthing ist kein Backup. Lösung: Staggered File Versioning aktivieren (Schritt 7) und ergänzend ein echtes Backup-Konzept einsetzen.

Häufige Fragen

Ist Syncthing DSGVO-konform?

Standardmäßig verlassen keine Nutzerdaten die eigene Infrastruktur. Nur die globalen Discovery- und Relay-Server des Projekts kennen IP-Adresse und Device-ID; beide lassen sich deaktivieren (siehe unten).

Welche Betriebssysteme werden als Gegenstelle unterstützt?

Windows, macOS, Linux, Android und FreeBSD offiziell, kostenlos. iOS wegen der Apple-Beschränkungen für Hintergrundprozesse nicht offiziell.

Was passiert, wenn das NAS offline ist?

Die übrigen Geräte synchronisieren untereinander weiter, sofern sie sich als Peers eingetragen haben; das NAS holt Änderungen danach nach. Konflikte werden als separate Dateien mit Zeitstempel-Suffix gespeichert.

Wie erkenne ich, ob eine Verbindung direkt oder über Relay läuft?

Unter Remote Devices steht je Gerät der Verbindungstyp. „Direct (TCP)“ oder „Direct (QUIC)“ ist optimal; „Relayed“ läuft über einen externen Relay-Server, typischerweise 5- bis 10-mal langsamer, meist wegen blockiertem Port 22000.

Wie unterscheidet sich Syncthing von Dropbox oder OneDrive?

Syncthing speichert keine Daten auf fremden Servern, erfordert kein Abonnement und hat keine Datenmengenbeschränkung. Es ist eine Echtzeit-Synchronisation – kein Backup. Löschungen werden auf alle Geräte übertragen. Für echte Backups mit Versionierung und Cloud-Speicher bleibt Duplicati oder Hyper Backup die bessere Wahl.

Kann ich Syncthing rein lokal betreiben, ohne externe Server?

Ja. Deaktivieren Sie unter Verbindungen „Globale Discovery aktivieren“ und „Relay-Server aktivieren“. Geräte außerhalb des LANs tragen Sie dann manuell per statischer Adresse ein.

Fazit

Entscheidend sind network_mode: host für direkte Verbindungen, STGUIADDRESS=0.0.0.0:8384 für eine erreichbare GUI mit sofort gesetztem Passwort und ein Healthcheck für das Container-Monitoring. Staggered File Versioning ersetzt kein Backup, bietet aber einen ersten Puffer gegen Ransomware und versehentliches Löschen.

Für eine vollständige Datensicherungsstrategie empfehlen sich weiterführend ein eigener SFTP/WebDAV-Server mit SFTPGo für kontrollierten Dateizugriff sowie die Nutzung von rsync über SSH für skriptgesteuerte Datenmigration und Offsite-Übertragung.

Weiterführende Anleitungen und Quellen

1. Duplicati auf dem Synology NAS: verschlüsselte Backups in die Cloud
2. 3-2-1-Backup-Strategie praktisch umsetzen
3. rsync über SSH: Daten synchronisieren und migrieren

Offizielle Quellen: Syncthing Docker-Deployment (README-Docker.md) · Syncthing FAQ · Docker Hub: syncthing/syncthing