QNAP-NAS gehackt über Plex2Shell: Prüfen Sie Ihr Gerät heute, Update allein reicht nicht

Wenn Ihr Unternehmen Backups oder Dateifreigaben auf einem QNAP-NAS betreibt und darauf zusätzlich die Plex-App läuft, sollten Sie das Gerät heute prüfen. QNAP hat bestätigt, dass Angreifer aktiv über eine Schwachstellen-Kette namens «Plex2Shell» in NAS-Geräte eindringen – und ein einfaches Update macht bereits angerichteten Schaden nicht rückgängig.

Was ist passiert

Am 6. November 2026 veröffentlichte QNAP eine Sicherheitsmitteilung zu Plex2Shell, einer Kette von vier nicht authentifizierten Schwachstellen in der Drittanbieter-App Plex Media Server, die viele QNAP-Nutzer über das App Center installieren, um von unterwegs auf Fotos, Videos und Musik zuzugreifen. Eine gepatchte Version, Plex Media Server 1.43.3.10861 oder neuer, steht nun im App Center bereit.

Das Problem: QNAP erhält bereits Meldungen von Nutzern, deren Plex Media Server über diese Lücken kompromittiert wurde, und der technische Support unterstützt die Betroffenen aktiv. Laut BleepingComputer ist QNAP in seiner Einschätzung unmissverständlich: Wer eine verwundbare, öffentlich erreichbare Plex-Version betrieben hat, sollte das NAS und sämtliche persönlichen Inhalte darauf als kompromittiert betrachten – nicht nur als veraltet.

Das deutsche Portal heise.de ergänzt, dass Plex selbst angibt, Angreifer würden gekaperte Server nutzen, um Krypto-Miner und Proxy-Software zu betreiben – aus dem Speichergerät Ihres Unternehmens wird so stillschweigend fremde Infrastruktur, die Strom und Bandbreite verbraucht, während möglicherweise auch Ihre Backups darauf liegen.

Eine gute Nachricht: Die Schwachstellen stecken in der Plex-App, nicht im QNAP-Betriebssystem selbst. QTS und QuTS hero sind nicht betroffen. Es geht um die mitgelieferte Drittanbieter-App, nicht um die NAS-Plattform an sich.

Das sollten Sie heute tun

• Prüfen Sie, ob Plex Media Server installiert ist – auf jedem QNAP-NAS in Ihrem Unternehmen, auch auf einem, das vor Jahren für ein einmaliges Projekt eingerichtet und seither vergessen wurde.
• Prüfen Sie, ob dieses NAS aus dem Internet erreichbar ist – direkt, über Port-Weiterleitung, DMZ-Einstellungen oder QNAPs myQNAPcloud-Fernzugriff. Falls ja, gehen Sie von einer Kompromittierung aus, bis das Gegenteil bewiesen ist.
• Klicken Sie nicht einfach auf «Update». QNAPs eigene Anleitung, laut heise.de, lautet: Plex Media Server gemäss QNAP-Anweisung vollständig entfernen und sauber neu installieren (Version 1.43.3.10861 oder neuer), statt einfach zu aktualisieren.
• Achten Sie auf Anzeichen einer Kompromittierung vor und nach der Neuinstallation: ungewöhnlich hohe CPU- oder Lüfteraktivität (klassisches Zeichen für Krypto-Miner), unbekannte geplante Aufgaben oder Benutzerkonten, unerklärlicher ausgehender Netzwerkverkehr sowie unbekannte Dateien oder Ordner.
• Ändern Sie Passwörter für das NAS-Administratorkonto und alle Konten, die Zugangsdaten damit teilen, und überprüfen Sie die Zwei-Faktor-Authentifizierung beim Fernzugriff.
• Isolieren Sie exponierte Geräte vom öffentlichen Internet, solange Sie untersuchen – deaktivieren Sie Port-Weiterleitung und Fernzugriff, bis Sie sicher sind, dass das Gerät sauber ist.

Warum das für Schweizer KMU relevant ist

QNAP-NAS-Geräte sind eine günstige, weit verbreitete Lösung für Backups und Dateifreigaben bei kleinen und mittleren Schweizer Unternehmen – oft einmal von irgendjemandem eingerichtet und dann jahrelang unbeaufsichtigt weiterbetrieben, mit Fernzugriff «für alle Fälle» aktiviert. Genau solche Geräte finden und missbrauchen Angreifer jetzt im grossen Stil über Plex2Shell. Ein kompromittiertes NAS mit Ihren Backups ist doppelt riskant: Es kann heute still Krypto schürfen oder bösartigen Traffic weiterleiten, und es ist morgen möglicherweise kein verlässlicher Wiederherstellungspunkt mehr, falls Ransomware zuschlägt.

Wie TMC helfen kann

Solche stillen Infrastrukturrisiken übersieht man leicht, wenn niemand das Netzwerk im Tagesgeschäft im Blick behält. The Mejlerö Company (TMC) bietet Schweizer KMU in Obwalden, Nidwalden, Luzern und Zürich eine kostenlose Netzwerk-Analyse und eine kostenlose 1-Stunden-Beratung an, bei der NAS-Geräte, Fernzugriffseinstellungen und Endpoint-Schutz genau angeschaut werden. Wenn Sie unsicher sind, ob Ihre Speicher- und Backup-Infrastruktur exponiert ist, oder Unterstützung bei der Prüfung und Bereinigung eines Geräts brauchen, melden Sie sich bei Andrii Okraichenko und dem Team unter 044 500 99 47.

Wir beobachten dieses Themenfeld weiter und berichten über die Schwachstellen und Angriffe, die für Schweizer Unternehmen am wichtigsten sind – damit Sie wissen, was jetzt Priorität hat und was warten kann.