UGREEN NAS Admin-Konto absichern: Sperren, Blockieren, Abmelden

Das Administratorkonto ist der Generalschlüssel einer UGREEN NAS. Wer es übernimmt, kann alle Daten lesen, löschen oder verschlüsseln und jede Einstellung ändern. Entsprechend lohnend ist es für Angreifer, und entsprechend gut sollte es geschützt sein. Diese Anleitung zeigt Schritt für Schritt, welche Schutzfunktionen UGOS Pro unter Sicherheit bereitstellt, wie Sie sie sinnvoll einstellen und welche Gewohnheiten das Administratorkonto zusätzlich absichern.

Die Abläufe folgen den Handbüchern von UGREEN, die Screenshots stammen von einer UGREEN DXP4800 Pro mit UGOS Pro 1.21.0.0190. Die gezeigten Werte sind die Einstellungen dieser NAS. Kontonamen sind in den Bildern durch Beispielnamen ersetzt.

Voraussetzungen

• Ein Konto mit Administratorrechten
• Ein Standardkonto für die tägliche Arbeit, siehe Teil 23
• Eine Authenticator-App für 2FA, siehe Teil 30
• Etwa 20 Minuten

Schritt 1: Das Administratorkonto nur für die Verwaltung nutzen

Laut UGREEN haben Administratoren vollständige Rechte auf Benutzerverwaltung, Systemkonfiguration und Sicherheitseinstellungen sowie Zugriff auf alle Ordner, auch auf die persönlichen Ordner anderer Konten. Normale Benutzer dürfen dagegen nur persönliche und freigegebene Ordner nutzen, für die sie Rechte haben. Genau deshalb sollte das Administratorkonto möglichst selten im Einsatz sein. Unter Systemsteuerung, Benutzer sehen Sie die Rolle jedes Kontos.

Auf unserer NAS hat nur ein Konto die Rolle Administrator, alle Geräte- und Dienstkonten sind Standardbenutzer. Diese Regeln empfehlen wir:

• Eigenes Standardkonto für den Alltag: Dateien ablegen, Netzlaufwerke verbinden und Fotos ansehen geht mit einem Standardkonto. Das Administratorkonto bleibt für Einstellungen reserviert.
• Kein Netzlaufwerk mit dem Administratorkonto: Ein Rechner, der mit Administratorrechten auf alle Freigaben zugreift, gibt Schadsoftware auf diesem Rechner Zugriff auf alles.
• Eindeutiger Name: Nach einem Reset meldet man sich laut UGREEN mit dem Standardkonto admin an. Ihr eigenes Administratorkonto sollte einen anderen, nicht naheliegenden Namen haben, damit Angreifer nicht auch noch den Benutzernamen geschenkt bekommen.
• Zweites Administratorkonto für den Notfall: Mit eigenem, sicher verwahrtem Passwort. Es rettet Sie, wenn das erste Konto gesperrt ist oder die 2FA nicht mehr funktioniert.

Verifizieren: Nur die Konten, die wirklich verwalten, haben die Rolle Administrator.

Schritt 2: Passwort und 2FA

Das Administratorkonto braucht das stärkste Passwort der NAS: lang, einzigartig und in einem Passwortmanager gespeichert. Unter Systemsteuerung, Benutzer, Reiter Erweitert legen Sie die Regeln für die Passwortstärke fest, wie in Teil 23 beschrieben. Schalten Sie für das Administratorkonto außerdem die Zwei-Faktor-Anmeldung ein und erzwingen Sie sie für alle weiteren Administratoren. Wie das geht, zeigt Teil 30. UGREEN nennt beide Maßnahmen in seinem Leitfaden zur Sicherheit der NAS.

Verifizieren: Die Anmeldung als Administrator verlangt einen Code aus der App.

Schritt 3: Die allgemeinen Sicherheitsregeln einstellen

Öffnen Sie die Systemsteuerung, Sicherheit, Reiter Sicherheit.

Unter Allgemein stehen die wichtigsten Regeln. Auf unserer NAS sind alle eingeschaltet:

• Automatische Abmeldung bei Inaktivität (Web-Client): Bei uns nach 30 Minuten. Laut UGREEN meldet UGOS den Benutzer ab, wenn im Browser so lange keine Aktion erfolgt. Ein vergessener Browser-Tab mit offener Administratorsitzung ist damit kein Dauerrisiko.
• Beim Neustart des Systems Anmeldesitzungen löschen: Nach einem Neustart müssen sich laut UGREEN alle Benutzer neu anmelden. Sitzungen mit „Angemeldet bleiben“ sind laut Hinweis davon ausgenommen.
• DoS-Schutz: Wehrt laut UGREEN Angriffe über TCP, ICMP und UDP besser ab. UGREEN empfiehlt, ihn aktiviert zu lassen.
• Automatische Blockierung von IP-Adressen: Bei uns blockiert UGOS eine Adresse, die sich innerhalb von 10 Minuten 5 Mal falsch anmeldet. Das bremst das Durchprobieren von Passwörtern aus.

Verifizieren: Alle vier Optionen sind aktiv und mit Übernehmen gespeichert.

Schritt 4: Die erweiterten Optionen prüfen

Scrollen Sie im selben Reiter nach unten.

Unter Erweitert stehen drei Optionen, die laut UGREEN den Zugriff über den Browser absichern:

• Schutz gegen Cross-Site-Request-Forgery-Attacken verbessern: Verhindert laut UGREEN, dass bösartige Websites durch gefälschte Anfragen Aktionen auf der NAS ausführen.
• Sicherheit mit HTTP Content Security Policy (CSP)-Header erhöhen: Beschränkt, aus welchen Quellen Webseiteninhalte geladen werden dürfen.
• TLS zur Verbesserung der Verbindungssicherheit aktivieren: Bei uns mit der TLS-Versionskompatibilität „Version 1.2 und neuere Versionen (empfohlen)“.

Laut UGREEN erscheinen die ersten beiden Optionen nur beim Zugriff über den Browser, nicht im PC-Client. Lassen Sie alle drei eingeschaltet. Ältere TLS-Versionen sind nur für sehr alte Geräte nötig.

Verifizieren: Alle drei Optionen sind aktiv, TLS steht auf Version 1.2 und neuer.

Schritt 5: Die Blockierungsverwaltung einrichten

Klicken Sie auf Blockierungsverwaltung. Im Reiter Gesperrte IP Adressen sehen Sie laut UGREEN alle blockierten Adressen und können Adressen auch von Hand mit Blockierungszeit hinzufügen. Bei uns war die Liste leer.

Im Reiter Einstellungen legen Sie fest, ob eine Blockierung nach einer bestimmten Zahl von Tagen automatisch aufgehoben wird. Bei uns ist das aus, eine blockierte Adresse bleibt also gesperrt, bis Sie sie von Hand entfernen. Darunter fügen Sie mit „Whitelist hinzufügen“ Adressen hinzu, die laut UGREEN von den Blockierungsregeln ausgenommen sind. Erlaubt sind einzelne Adressen wie 192.168.1.10, Subnetze wie 192.168.1.0/24 und Bereiche wie 192.168.1.10 bis 192.168.1.49.

Ob Sie Ihr Heimnetz in die Whitelist eintragen, ist eine Abwägung. Mit Eintrag können Sie sich vom eigenen Rechner nie aussperren. Ohne Eintrag bremst die Blockierung auch einen kompromittierten Rechner im eigenen Netz. Wir empfehlen, höchstens den eigenen Administrationsrechner einzutragen und nicht das ganze Netz.

Verifizieren: Die Whitelist enthält nur Adressen, denen Sie wirklich vertrauen.

Schritt 6: Die Kontosperrung einrichten

Die IP-Blockierung richtet sich gegen Adressen, die Kontosperrung vor allem gegen Konten. Wechseln Sie in den Reiter Kontosicherheit.

Die Kontosperrung ist bei uns eingeschaltet. Die Bedingung lautet: Benutzer mit mehr als 6 fehlgeschlagenen Anmeldeversuchen innerhalb von 5 Minuten werden gesperrt. Laut UGREEN sind 6 Fehlversuche in 5 Minuten und die Entsperrung nach 5 Minuten die Voreinstellung. Ein Klick auf Bearbeiten öffnet die Einzelheiten.

Im Reiter Sperrliste stellen Sie Zeitrahmen und Anzahl der Anmeldeversuche ein. Darunter steht, nach wie vielen Minuten gesperrte Benutzer automatisch entsperrt werden, bei uns nach 5 Minuten. Mit Bearbeiten daneben ändern Sie diese Dauer. Die Liste zeigt gesperrte Konten mit Dauer und Entsperrungszeit. Laut UGREEN können Sie gesperrte Benutzer dort auch von Hand entsperren.

Im Reiter Whitelist tragen Sie laut UGREEN vertrauenswürdige Benutzer oder Domänenbenutzer ein, die nie gesperrt werden. Setzen Sie das Administratorkonto nicht auf diese Liste. Gerade dieses Konto soll gesperrt werden, wenn jemand sein Passwort durchprobiert. Für den Notfall haben Sie das zweite Administratorkonto aus Schritt 1.

Verifizieren: Die Kontosperrung ist aktiv, das Administratorkonto steht nicht auf der Whitelist.

Schritt 7: Die Konto-Aktivität im Blick behalten

Im Reiter Kontosicherheit klicken Sie bei Konto-Aktivität auf Verwalten. Dort sehen Sie laut UGREEN für alle Konten die letzte Verbindungszeit, den Client, die Quell-IP-Adresse und das Protokoll. Mit Beenden melden Sie ein verdächtiges Gerät zwangsweise ab. Zwei Einschränkungen nennt UGREEN: Nach einem Neustart beginnt die Liste von vorn, und je Gerät wird nur der letzte Eintrag gespeichert. Für eine lückenlose Überwachung reicht die Liste also nicht, für einen schnellen Blick auf ungewöhnliche Anmeldungen aber schon.

Verifizieren: Sie kennen die Geräte, die in der Konto-Aktivität auftauchen.

Checkliste für das Administratorkonto

Gehen Sie diese Punkte nach der Einrichtung einmal durch und wiederholen Sie die Prüfung nach jedem größeren UGOS-Update:

• Höchstens zwei Konten mit der Rolle Administrator, eines davon als Notfallkonto mit sicher verwahrtem Passwort
• Kein Administratorkonto mit dem Namen admin oder dem Namen der Firma
• Langes, einzigartiges Passwort aus dem Passwortmanager und 2FA für jedes Administratorkonto
• Automatische Abmeldung, Löschen der Sitzungen beim Neustart, DoS-Schutz und IP-Blockierung eingeschaltet
• CSRF-Schutz, CSP-Header und TLS ab Version 1.2 aktiv
• Kontosperrung aktiv, Administratorkonto nicht auf der Whitelist
• Whitelist der IP-Blockierung so klein wie möglich
• Konto-Aktivität zeigt nur bekannte Geräte

Denken Sie auch an den Reset-Knopf am Gerät. Laut UGREEN meldet man sich nach einem Zurücksetzen mit dem Standardkonto admin ohne Passwort an. Wer physisch an die NAS kommt, kann also das Administratorpasswort zurücksetzen. Stellen Sie die NAS deshalb an einen Ort, zu dem nur berechtigte Personen Zugang haben.

Typische Fehler beim Absichern

Symptom	Ursache und Lösung
Eigener Rechner plötzlich ausgesperrt	IP-Blockierung nach Fehlversuchen. Über ein anderes Gerät anmelden und die Adresse in der Blockierungsverwaltung entfernen.
Administrator gesperrt	Kontosperrung nach Fehlversuchen. Laut Einstellung nach einigen Minuten automatisch entsperrt, sonst mit zweitem Administratorkonto entsperren.
CSRF- und CSP-Optionen fehlen	Laut UGREEN nur im Browser sichtbar, nicht im PC-Client.
Altes Gerät verbindet sich nicht mehr	Unterstützt nur alte TLS-Versionen. Gerät ersetzen statt die Sicherheit zu senken.
Konto-Aktivität leer	Nach einem Neustart beginnt die Aufzeichnung laut UGREEN neu.

Häufige Fragen

Kann ich das Administratorkonto umbenennen?

Nein, der Benutzername ist beim Bearbeiten ausgegraut, siehe Teil 23. Legen Sie ein neues Administratorkonto mit eindeutigem Namen an und prüfen Sie die Anmeldung damit. Danach ändern Sie beim alten Konto unter Bearbeiten, Grundlegende Informationen die Rolle auf Standardbenutzer.

Reicht die IP-Blockierung gegen Angriffe aus dem Internet?

Sie hilft, ersetzt aber keine Firewall und keinen sicheren Fernzugriff. Die UGOS-Firewall behandelt ein späterer Teil dieser Serie.

Wie lange sollte die automatische Abmeldung sein?

30 Minuten sind ein guter Mittelweg. Auf gemeinsam genutzten Rechnern darf es kürzer sein.

Gibt es eine Sicherheits-App?

Laut UGREEN-Leitfaden gibt es im App Center eine App „Sicherheit“ mit Echtzeitschutz.

Fazit

Ein gut geschütztes Administratorkonto ist selten im Einsatz, hat ein starkes Passwort und 2FA und wird von den Schutzfunktionen der NAS bewacht. UGOS bringt mit automatischer Abmeldung, IP-Blockierung, Kontosperrung und den erweiterten Browser-Optionen alles Nötige mit, und auf unserer NAS sind diese Funktionen aktiv. Ein zweites Administratorkonto für den Notfall rundet den Schutz ab.

Weiterführende Anleitungen und Quellen

• Teil 30: Zwei-Faktor-Anmeldung
• Teil 23: Benutzer anlegen
• UGREEN: Sicherheit
• UGREEN: Kontosicherheit
• UGREEN: Sicherheit der NAS verbessern
• UGREEN: Administrator- und Benutzerrechte