UPnP und Portfreigaben deaktivieren, und warum QNAP und das BSI dazu raten

MacWindowsAktualisiert

QNAPs PHP2Shell-Hinweis QSA-26-18 rät Besitzern betroffener NAS-Geräte, die Portweiterleitung zum NAS am Router abzuschalten und UPnP am Router zu deaktivieren. Stand 23. Oktober 2026 gibt es von QNAP noch keine korrigierten Versionen, und bis dahin sei es der wirksamste Schutz, das Gerät vom Internet fernzuhalten.

Kurze Antwort

UPnP lässt Geräte in deinem Netz einander finden und gibt ihnen Zugriff auf Einstellungen wie Portfreigaben. Das BSI rät, UPnP am Router zu deaktivieren, wenn es eingeschaltet ist. Für QNAP-NAS rät QNAP, bis zur Korrektur UPnP und Portweiterleitung abzuschalten und für den Fernzugriff ein VPN zu nutzen.

Was tun UPnP und Portfreigaben?

UPnP steht für Universal Plug and Play, ein Protokoll, mit dem Geräte im selben Netz einander automatisch finden und miteinander sprechen. Das Canadian Centre for Cyber Security schreibt, UPnP biete auch Zugriff auf Netzwerkeinstellungen wie die Portweiterleitung, und Angreifer könnten das nutzen, um Firewalls zu umgehen. Die US-Behörde CISA nennt den Vorteil: Mit UPnP lassen sich smarte Geräte zu Hause leicht verbinden.

Eine Portfreigabe, auch Portweiterleitung genannt, ist eine Regel am Router für ein bestimmtes Gerät. QNAP führt ihr Abschalten als Teil davon, das NAS vom Internet fernzuhalten, und nennt ein VPN als Weg, das NAS zu erreichen, ohne Webports direkt offenzulegen.

QNAP-NAS haben außerdem eine eigene UPnP-Funktion, die automatische Router-Konfiguration in myQNAPcloud, die der Hinweis UPnP-Portweiterleitung nennt.

Warum rät QNAP, beides abzuschalten?

Weil es noch keine Korrektur gibt. QNAP schreibt, bis korrigierte Versionen verfügbar sind, sei es der wirksamste Schutz, das Gerät vom Internet fernzuhalten. Der Hinweis vom 22. Oktober 2026, eingestuft als kritisch, sagt, die PHP-Lücken könnten Angreifern aus der Ferne ohne Anmeldung erlauben, beliebigen Code auf einem betroffenen Gerät auszuführen. Stand 23. Oktober 2026 steht bei jedem betroffenen Produkt der Status „Fixing“ und als korrigierte Version „To be announced“.

QNAPs eigene Schritte: Portweiterleitung zum NAS am Router abschalten, UPnP am Router abschalten und auf dem NAS unter myQNAPcloud > Auto Router Configuration die UPnP-Portweiterleitung deaktivieren. Laut QNAP verringern diese Schritte die Angriffsfläche, beheben die Lücken aber nicht vollständig.

Zur Ausnutzung schreibt QNAP, Stand 23. Oktober 2026, Ausnutzungsversuche gegen PHP seien öffentlich berichtet worden, Berichte über Angriffe auf QNAP-Produkte lägen ihm nicht vor. Die vollständige Liste betroffener QNAP-Produkte und die übrigen Schritte stehen in Synology und QNAP: die PHP-Sicherheitslücke auf dem NAS.

Sollte ich UPnP abschalten?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sagt ja, unabhängig von PHP2Shell. Auf seiner Seite zum Smarthome und in seinem Faltblatt zum Internet der Dinge schreibt es: „Sofern an Ihrem Router die Einstellung UPnP (Universal Plug and Play) aktiviert ist, sollten Sie diese deaktivieren“, damit deine vernetzten Geräte nicht unkontrolliert ins Internet kommunizieren können.

CISA rät ebenfalls, UPnP abzuschalten, wenn du es nicht ausdrücklich brauchst. Schadsoftware im eigenen Netz könne über UPnP die Firewall des Routers umgehen, und Angreifer könnten damit Schadsoftware auf Geräte im Netz verteilen und sie aus der Ferne steuern.

Einen Haken gibt es. Laut CISA brauchst du UPnP unter Umständen, um ein Gerät überhaupt ins Netz zu bringen, und solltest es danach wieder abschalten. Das Canadian Centre for Cyber Security schreibt, manche Geräte bräuchten UPnP, um richtig zu funktionieren. Prüf also vorher, was deine Geräte brauchen.

Wie prüfe ich UPnP und Portfreigaben an meinem Router?

Es gibt keine einheitliche Anleitung, weil die Menüs jedes Routers anders sind. Laut BSI können die Begriffe je nach Routermodell und Firmware-Version abweichen, die genaue Anleitung steht im Benutzerhandbuch deines Routers.

  1. Melde dich an der Oberfläche deines Routers an. Laut BSI findest du die Adresse dafür meist im Handbuch oder auf der Rückseite des Routers.
  2. Such die UPnP-Einstellung. Laut Canadian Centre for Cyber Security steht sie oft in einem erweiterten Bereich oder bei den Einstellungen zur NAT-Weiterleitung.
  3. Schalte UPnP aus und speichere.
  4. Such die Liste der Portfreigaben und prüf jede Regel. Das Canadian Centre for Cyber Security rät, diese Regeln regelmäßig zu prüfen. Für ein QNAP-NAS rät QNAP, die Portweiterleitung abzuschalten.
  5. Sieh bei der Gelegenheit nach einem Firmware-Update. Das BSI rät, die Firmware aktuell zu halten, weil Updates bekannte Sicherheitslücken schließen.
  6. Auf einem QNAP-NAS deaktivierst du zusätzlich unter myQNAPcloud > Auto Router Configuration die UPnP-Portweiterleitung.

Funktioniert danach ein Gerät nicht mehr, gehört es vielleicht zu denen, die UPnP brauchen. Das Handbuch deines Routers beschreibt die Einstellungen für dein Modell.

Wie erreiche ich mein NAS von unterwegs ohne Portfreigabe?

Über ein VPN. QNAP rät, für den Fernzugriff ein VPN zu nutzen, über den QVPN Service oder das VPN deines Routers, statt Webports direkt offenzulegen. Netgate gibt denselben Rat für die Verwaltungsseite von pfSense: nur über sichere Wege wie ein VPN. Auch das BSI führt in seinen Smarthome-Tipps auf, ein VPN einzurichten, über das dein Heimnetz nur für Geräte erreichbar ist, die du freigeschaltet hast.

QNAPs weitere Schritte, etwa zur Beschränkung der Verwaltungsports, stehen in unserem NAS-Ratgeber. Das Update bleibt nötig, sobald es erscheint.

Wo Failshot passt

Failshot ist eine zweite Sicherheitsebene für deinen Mac. Dein Passwort ist die erste Ebene, Failshot ist die Ebene danach: Ist es eingeschaltet, fotografiert es die Person, die deinen Mac entsperrt, nimmt mit Pro danach ein 5-Sekunden-Video auf, und sein Fenster sagt der Person, dass die Entsperrung fotografiert wurde.

Es ist für den Moment, in dem sich jemand an deinen Mac setzt und ihn entsperrt.

Schalte mit Pro Benachrichtigungen ein, und Failshot schickt dir eine E-Mail zu einer Entsperrung, die du nicht als deine bestätigst, zu einer falschen Failshot-PIN oder Antwort, oder wenn sein Kamerazugriff abgeschaltet wird, während es läuft. Zum Ausschalten oder Beenden über sein Menü braucht es Touch ID oder deine Failshot-PIN und deine Antwort, nie dein Mac-Passwort.

Failshot ist ein kostenloser Download für den Mac, ab macOS 14. Kostenlos nutzbar. Pro fügt Video, E-Mail-Warnungen und den verschlüsselten Tresor hinzu. Teste Failshot Pro für den Mac 7 Tage kostenlos auf failshot.app. Deine Karte wird bei der Anmeldung hinterlegt und am 8. Tag belastet, wenn du nicht vorher kündigst. Die App ist auf Englisch. Versionen für iPhone, Android und Windows folgen bald.

Weitere Fragen

Kann ich UPnP später wieder einschalten?

Ja. Laut CISA brauchst du UPnP unter Umständen, um ein Gerät ins Netz zu bringen, und solltest es danach wieder abschalten. Der Schalter sitzt an derselben Stelle in den Router-Einstellungen.

Sollte ich auch den Fernzugriff auf meinen Router abschalten?

Das BSI rät dazu, als eigenen Schritt neben UPnP. Viele Router ließen sich auch von außerhalb des Heimnetzes konfigurieren, und du solltest diese Funktion deaktivieren, falls du sie nicht benötigst. Unser Router-Ratgeber behandelt das zusammen mit PHP2Shell.

Was, wenn ich UPnP nicht abschalten kann?

Laut Canadian Centre for Cyber Security ist das vollständige Abschalten der wirksamste Schutz vor Angriffen über UPnP. Geht das nicht, rät es unter anderem, Geräte aktuell zu halten und die Portfreigaben des Routers zu prüfen.

Behebt das Abschalten von UPnP PHP2Shell?

Nein. Laut QNAP verringern seine Schritte die Angriffsfläche, beheben die Lücken aber nicht vollständig, und laut PHP-Projekt ist nur ein Update eine vollständige Lösung. Ohne UPnP und Portfreigaben ist das NAS schwerer erreichbar, während du wartest.

Betrifft PHP2Shell meinen Router?

Nur wenn dein Router PHP nutzt, und das kann nur sein Hersteller sagen. Netgate und das OPNsense-Team haben Korrekturen für pfSense und OPNsense veröffentlicht. Was beide sagen, steht in unserem Router-Ratgeber.

Quellen