SSH auf dem Synology NAS aktivieren und verbinden: PuTTY und Terminal

Wer sein Synology NAS per Kommandozeile administrieren, Docker-Befehle ausführen oder Wartungsaufgaben erledigen möchte, kommt an SSH nicht vorbei. Secure Shell (SSH) verschlüsselt die Verbindung vollständig und ermöglicht den sicheren Terminal-Zugriff auf das zugrundeliegende Linux-System von DSM 7.x. Diese Grundlagen-Anleitung zeigt, wie Sie SSH in DSM aktivieren, sich von Windows mit Windows-Terminal oder PuTTY sowie von macOS und Linux verbinden, Root-Rechte erhalten und den Zugang absichern. App-Anleitungen auf s-edv.com, die einen SSH-Befehl voraussetzen, verweisen hierher.

Voraussetzungen

• Synology NAS mit DSM 7.x (getestet mit DSM 7.1 und 7.2)
• DSM-Benutzer mit Mitgliedschaft in der lokalen Gruppe administrators
• Lokale IP-Adresse des NAS (z. B. 192.168.1.100 – nachzulesen unter DSM → Systemsteuerung → Netzwerk → Netzwerkschnittstelle oder in der Router-DHCP-Liste)
• Windows 10 1809+ mit Windows-Terminal (OpenSSH Client ist vorinstalliert) oder PuTTY 0.85, alternativ macOS oder Linux mit Terminal
• Zeitaufwand: ca. 10 Minuten

Einstellung	Wert / Hinweis
DSM-Pfad SSH	Systemsteuerung → Terminal & SNMP → Terminal
Standard-Port	22 (TCP) – alternativ 2222 oder 8022
Erlaubte Benutzer	Nur Mitglieder der lokalen Gruppe administrators
Root-Direktlogin	Deaktiviert in DSM 7 – stattdessen sudo -i nach Admin-Login
PuTTY-Version	0.85 (aktuelle Version, Stand September 2026)
sudo-Passwort	Entspricht dem eigenen DSM-Benutzerpasswort

Schritt 1: SSH-Dienst in DSM aktivieren

Öffnen Sie die DSM-Weboberfläche, dann Systemsteuerung → Terminal & SNMP, Registerkarte Terminal. Setzen Sie den Haken bei SSH-Dienst aktivieren.

Im Feld Port steht standardmäßig 22. Ist das NAS nur im Heim- oder Büronetz erreichbar und der Port per Firewall auf das LAN beschränkt, belassen Sie 22. Ein alternativer Port wie 2222 oder 8022 reduziert automatisierte Scans; dokumentieren Sie ihn, denn Sie geben ihn bei jeder Verbindung an.

Klicken Sie abschließend auf Übernehmen.

Wichtiger Hinweis zu 2FA: Die Zwei-Faktor-Authentifizierung von DSM greift bei SSH nicht. Authentifiziert wird nur per Passwort oder SSH-Schlüssel. Das ist ein weiterer Grund, SSH nur bei Bedarf aktiv zu lassen.

Verifizieren: Öffnen Sie den Dialog erneut. Der Haken bei SSH-Dienst aktivieren ist gesetzt, der gewählte Port eingetragen.

Schritt 2: Firewall-Regel für SSH-Port anlegen (falls DSM-Firewall aktiv)

Ist unter Systemsteuerung → Sicherheit → Firewall die Firewall aktiv, geben Sie den SSH-Port ausdrücklich frei; sonst läuft der Verbindungsversuch in einen Timeout. Ausführlich beschreibt das die Anleitung DSM-Firewall auf dem Synology NAS: Ports für Docker-Container freigeben.

Kurzfassung: Öffnen Sie Systemsteuerung → Sicherheit → Firewall, wählen Sie das aktive Profil und legen Sie eine neue Regel an:

• Protokoll: TCP
• Port: 22 (oder Ihr gewählter Port)
• Quell-IP: Spezifisches Subnetz, z. B. 192.168.1.0/24 – nur LAN erlauben, nie 0.0.0.0/0
• Aktion: Erlauben

Die Erlauben-Regel muss vor einer generellen Ablehnen-Regel stehen. Klicken Sie auf Übernehmen.

Verifizieren: Die Regel erscheint in der Firewall-Liste an oberster Position (oder vor der Deny-All-Regel). Der Status zeigt „Aktiviert“.

Schritt 3: Verbinden von Windows mit Windows-Terminal (OpenSSH)

Seit Windows 10 Version 1809 ist der OpenSSH-Client im System enthalten. Öffnen Sie Windows-Terminal oder PowerShell und verbinden Sie sich:

# Verbindung mit Standard-Port 22:
ssh admin@192.168.1.100

# Verbindung mit abweichendem Port (z. B. 2222):
ssh admin@192.168.1.100 -p 2222

Beim ersten Verbindungsaufbau erscheint eine Host-Key-Warnung:

The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Geben Sie yes ein und drücken Sie Enter. Der Fingerprint landet in ~/.ssh/known_hosts; die Warnung erscheint erst wieder, wenn sich der SSH-Schlüssel des NAS ändert.

Geben Sie anschließend Ihr DSM-Passwort ein. Bei der Eingabe erscheint nichts, weder Sternchen noch Punkte. Das ist normales SSH-Verhalten; bestätigen Sie mit Enter.

Verifizieren: Nach erfolgreichem Login erscheint der Shell-Prompt des NAS, zum Beispiel:

admin@NASName:~$

Schritt 4: Verbinden von Windows mit PuTTY

PuTTY ist ein freier SSH-Client für Windows mit grafischer Oberfläche für gespeicherte Sitzungen. Laden Sie PuTTY 0.85 von der offiziellen Seite herunter: chiark.greenend.org.uk – PuTTY Download. Wählen Sie den 64-Bit-Installer (putty-64bit-0.85-installer.msi) und installieren Sie ihn.

Starten Sie PuTTY und tragen Sie folgende Einstellungen ein:

Feld in PuTTY	Wert
Host Name (or IP address)	192.168.1.100 (Ihre NAS-IP)
Port	22 (oder Ihr gewählter Port, z. B. 2222)
Connection type	SSH

Klicken Sie auf Open. Beim ersten Verbindungsaufbau zeigt PuTTY den Host-Fingerprint. Prüfen Sie ihn und klicken Sie auf Accept; PuTTY speichert den Schlüssel für künftige Verbindungen.

Im Terminal-Fenster erscheint login as:. Geben Sie Ihren Admin-Benutzernamen ein, dann das DSM-Passwort (auch hier ohne Anzeige).

Verifizieren: Nach dem Login erscheint der Shell-Prompt:

admin@NASName:~$

Schritt 5: Verbinden von macOS oder Linux

Auf macOS und Linux ist der OpenSSH-Client vorinstalliert. Öffnen Sie das Terminal (macOS: Programme → Dienstprogramme → Terminal, Linux: beliebiger Terminal-Emulator) und verbinden Sie sich:

# Standard-Port 22:
ssh admin@192.168.1.100

# Abweichender Port:
ssh admin@192.168.1.100 -p 2222

Auch hier gilt: Beim ersten Verbindungsaufbau die Host-Key-Warnung mit yes bestätigen, dann das DSM-Passwort blind eingeben.

Verifizieren: Der Shell-Prompt des NAS erscheint:

admin@NASName:~$

Schritt 6: Root-Rechte per sudo -i holen

In DSM 7 ist der direkte Root-Login per SSH deaktiviert. ssh root@192.168.1.100 schlägt grundsätzlich fehl. Root-Rechte erhalten Sie nach dem Admin-Login mit:

sudo -i

DSM fragt nach Ihrem DSM-Benutzerpasswort, nicht nach einem separaten Root-Passwort. Die Eingabe bleibt wieder unsichtbar. Arbeiten Sie als Root sorgfältig: Falsche Befehle können DSM beschädigen.

Der Prompt wechselt dann zu:

root@NASName:~#

Mit exit kehren Sie zur Admin-Shell zurück, ein zweites exit trennt die SSH-Verbindung.

Verifizieren: whoami gibt nach sudo -i aus:

root

Schritt 7: SSH nach der Wartung deaktivieren (empfohlen)

Lassen Sie SSH nicht dauerhaft aktiv, wenn Sie es nicht regelmäßig benötigen, vor allem weil 2FA hier nicht greift. Deaktivieren Sie es nach der Wartung unter Systemsteuerung → Terminal & SNMP → Terminal: Haken bei SSH-Dienst aktivieren entfernen, Übernehmen klicken.

Benötigen Sie SSH dauerhaft, kombinieren Sie diese Schutzmaßnahmen:

• Firewall-Regel auf LAN beschränken (wie in Schritt 2 beschrieben) – SSH-Port niemals per NAT-Portweiterleitung im Router nach außen öffnen. Für externen Zugriff stattdessen VPN nutzen.
• Automatische Blockierung aktivieren unter Systemsteuerung → Sicherheit → Schutz: Nach einer festgelegten Zahl fehlgeschlagener Anmeldungen sperrt DSM die IP-Adresse.
• SSH-Key-Authentifizierung einrichten und Passwort-Login deaktivieren, siehe SSH-Key-Authentifizierung einrichten – Linux & Windows.

Hinweis zu DSM-Updates: Prüfen Sie nach größeren DSM-Updates unter Systemsteuerung → Terminal & SNMP, ob der SSH-Dienst noch im gewünschten Zustand ist.

Verifizieren: Nach dem Deaktivieren schlägt ein Verbindungsversuch mit der Meldung ssh: connect to host 192.168.1.100 port 22: Connection refused fehl – das ist das korrekte Verhalten.

Troubleshooting / Typische Fehler

• „ssh: connect to host ... port 22: Connection refused“ – Der SSH-Dienst ist nicht aktiviert oder lauscht auf einem anderen Port. Blockiert die DSM-Firewall, erscheint dagegen meist ein Timeout. Prüfen Sie Systemsteuerung → Terminal & SNMP (SSH aktiv?) und Systemsteuerung → Sicherheit → Firewall (Erlauben-Regel vorhanden?).
• „Permission denied (publickey,password)“ – Passwort falsch oder der Benutzer ist nicht Mitglied der lokalen Gruppe administrators. Beheben: DSM → Systemsteuerung → Benutzer & Gruppe → Benutzer bearbeiten → Gruppe – Gruppe administrators zuweisen und speichern.
• Host-Key-Warnung „REMOTE HOST IDENTIFICATION HAS CHANGED“ – Das NAS hat einen neuen SSH-Schlüssel (z. B. nach DSM-Neuinstallation). Alten Schlüssel entfernen: ssh-keygen -R 192.168.1.100 (Windows-Terminal/macOS/Linux). In PuTTY: Registrierungseintrag unter HKCU\Software\SimonTatham\PuTTY\SshHostKeys löschen. Danach erneut verbinden und neuen Fingerprint bestätigen.
• Passwort wird nicht angezeigt – Kein Fehler. SSH zeigt bei der Passworteingabe bewusst nichts an. Passwort blind eintippen und Enter drücken.
• SSH nach DSM-Update nicht mehr erreichbar – DSM-Updates können SSH automatisch deaktivieren. Unter Systemsteuerung → Terminal & SNMP erneut aktivieren und Übernehmen klicken.
• Eigene IP durch Auto-Block gesperrt – Nach zu vielen Fehleingaben kann die eigene IP blockiert werden. Entsperren unter Systemsteuerung → Sicherheit → Schutz → Zulassen/Blockieren-Liste, Registerkarte Blockieren-Liste.
• Falscher Port in PuTTY oder Terminal – Wenn ein Non-Standard-Port konfiguriert wurde (z. B. 2222), muss dieser in PuTTY unter „Port“ und im Terminal mit -p 2222 angegeben werden.
• „ssh root@NAS-IP“ schlägt fehl – In DSM 7 ist direkter Root-SSH-Login deaktiviert. Immer als Admin einloggen, dann sudo -i nutzen.

Häufige Fragen

Welcher Port eignet sich für SSH?

Port 22 ist funktional und für ein NAS im Heimnetz oder Büronetz mit aktiver Firewall-Einschränkung auf das LAN-Subnetz völlig ausreichend. Ein alternativer Port (2222, 8022) reduziert automatisierte Scan-Treffer, bietet aber keinen echten Sicherheitsgewinn, wenn der Port ohnehin nur intern erreichbar ist. Wichtiger ist: Den SSH-Port niemals per NAT-Portweiterleitung im Router nach außen öffnen.

Warum schlägt die Anmeldung mit einem Benutzer fehl?

SSH auf dem Synology NAS ist ausschließlich für Mitglieder der lokalen Gruppe administrators freigegeben. Normale Benutzer erhalten „Permission denied“. Prüfen Sie unter DSM → Systemsteuerung → Benutzer & Gruppe, ob der Benutzer der Gruppe administrators angehört. Außerdem: SSH-Dienst aktiviert? Firewall-Regel vorhanden?

Wie erhalten Sie Root-Rechte nach dem Login?

Geben Sie nach dem Admin-Login sudo -i und Ihr DSM-Benutzerpasswort ein. Der Prompt wechselt zu root@NASName:~#. Direkter Root-Login per SSH (ssh root@...) ist in DSM 7 deaktiviert.

Ist es sicher, SSH dauerhaft aktiviert zu lassen?

Nicht empfohlen ohne zusätzliche Schutzmaßnahmen, da SSH die 2FA umgeht. Falls dauerhaft nötig: Firewall-Regel auf LAN beschränken, Auto-Block aktivieren und SSH-Key-Authentifizierung mit deaktiviertem Passwort-Login einrichten (Anleitung: SSH-Key-Authentifizierung einrichten).

Was bedeutet die Host-Key-Warnung beim ersten Verbindungsaufbau?

SSH prüft beim ersten Verbindungsaufbau die Identität des Servers anhand eines kryptografischen Fingerprints. Das einmalige Bestätigen mit „yes“ bzw. „Accept“ ist sicher. Erscheint die Warnung erneut für eine bereits bekannte NAS-Adresse, könnte das NAS neu aufgesetzt worden sein – oder im Extremfall liegt ein Man-in-the-Middle-Angriff vor. Klären Sie in diesem Fall die Ursache, bevor Sie den alten Schlüssel entfernen und neu bestätigen.

Werden SSH-Verbindungen protokolliert?

Ja. DSM protokolliert SSH-Anmeldungen mit Benutzername, IP-Adresse und Zeitstempel. Sie finden sie im Paket Protokoll-Center (Hauptmenü) unter Protokolle, Typ Verbindung.

Fazit

SSH auf dem Synology NAS ist in wenigen Minuten aktiviert. Entscheidend ist das Danach: SSH nur bei Bedarf aktiv lassen, die Firewall-Regel auf das LAN beschränken und langfristig auf SSH-Key-Authentifizierung umsteigen. So steht die Kommandozeile abgesichert bereit, wenn App-Anleitungen einen SSH-Befehl erfordern.

Anleitungen auf s-edv.com, die auf SSH aufbauen:

• Container Manager auf dem Synology NAS: Docker-Compose-Projekt anlegen, starten und aktualisieren
• Docker-Ordner und Berechtigungen auf dem Synology NAS: File Station, PUID und PGID
• Dockge auf dem Synology NAS installieren: Docker-Compose-Stacks einfach verwalten

Weiterführende Anleitungen und Quellen

• SSH-Key-Authentifizierung einrichten – Linux & Windows – passwortlosen SSH-Zugang absichern
• DSM-Firewall auf dem Synology NAS: Ports für Docker-Container freigeben
• VPS absichern und härten: Anleitung mit UFW, SSH-Keys und Fail2Ban

Offizielle Quellen: Synology KB: SSH mit Root-Berechtigung (DSM) | Synology KB: Terminal & SNMP Einstellungen DSM 7 | PuTTY offizielle Download-Seite