Wer einen QNAP-NAS zuhause stehen hat und darauf Plex Media Server laufen lässt, sollte jetzt sehr genau hinschauen. Der taiwanesische NAS-Hersteller warnt in einem offiziellen Community-Posting vor einer aktiv ausgenutzten Angriffskette, die es Angreifern ermöglicht, Code mit den Rechten des Plex-Prozesses auf euren privaten Netzwerkspeichern auszuführen.
Der Angriff läuft unter dem Namen Plex2Shell und kombiniert mehrere Schwachstellen so geschickt, dass Angreifer ohne gültige Anmeldedaten Schadcode auf dem NAS platzieren können. Betroffen sind damit genau die Geräte, auf denen oft Jahre an Fotos, Dokumenten und Backups liegen. Was ihr jetzt wissen müsst, wie ihr prüft, ob euer System sauber ist, und welche Schritte euch wirklich absichern – das klären wir hier.
Welche Sicherheitslücke bedroht QNAP NAS-Systeme?
QNAP hat in seiner offiziellen Community eine FAQ zu Plex2Shell veröffentlicht, in der der Hersteller vor einer aktiven Angriffswelle gegen NAS-Systeme mit installiertem Plex Media Server warnt. Angreifer nutzen dabei nicht eine einzelne Lücke, sondern eine Kette aus mehreren Schwachstellen im Plex Media Server aus.
Das Tückische: Die Angreifer brauchen vorab keine gültigen Zugangsdaten. Sie können die Lücken ohne Authentifizierung ausnutzen und darüber eigenen Code auf dem NAS ausführen. Die verketteten Schwachstellen ermöglichen die Ausführung beliebigen Codes mit den Rechten des Plex-Media-Server-Prozesses. QNAP warnt außerdem, dass ein Update allein installierte Angreifer-Komponenten nicht entfernt.
Betroffen sind nach Angaben von QNAP NAS-Systeme, auf denen Plex Media Server in einer verwundbaren Version installiert ist. Wichtig: Nicht die NAS-Firmware selbst ist das Problem, sondern die darauf laufende Plex-Anwendung. Wer Plex nie installiert oder längst entfernt hat, ist nach aktuellem Stand nicht direkt von dieser Angriffskette betroffen. Alle anderen sollten den Hinweis von QNAP ernst nehmen und zügig handeln.
Warum die Plex-Lücke euer Heimnetzwerk gefährdet
Ein NAS ist für viele das digitale Herz des Haushalts: Familienfotos, Steuerunterlagen, Backups vom Laptop, vielleicht sogar Überwachungsvideos. QNAP berichtet über mögliche Kompromittierung, Cryptocurrency-Miner und Proxy-Software. Wer hier Zugriff bekommt, hat Zugriff auf extrem sensible Daten.
Plex macht die Sache zusätzlich kritisch, weil der Media Server häufig aus dem Internet erreichbar ist. Viele Nutzer öffnen gezielt Ports oder nutzen die Remote-Funktion, um unterwegs auf ihre Filmsammlung zugreifen zu können. Genau das macht die Angriffsfläche aber auch von außen attackierbar – nicht nur für jemanden im lokalen Netz.
Dazu kommt: NAS-Systeme laufen typischerweise 24/7 und werden vom Besitzer kaum aktiv beobachtet. Ein Einbruch fällt oft erst auf, wenn es zu spät ist – etwa wenn plötzlich Dateien verschlüsselt sind oder der Datenverbrauch durch die Decke geht. Genau darauf setzen die Angreifer.
Ist mein QNAP NAS von der Plex-Lücke betroffen?
QNAP empfiehlt in seiner FAQ ein konkretes Vorgehen. Die wichtigsten Schritte im Überblick:
- Plex-Version prüfen: Öffnet die Plex-Oberfläche auf eurem NAS und schaut nach, welche Version installiert ist. Plex Media Server 1.43.2 und früher ist betroffen.
- Plex Media Server aktualisieren: Spielt umgehend die Version 1.43.3 (Build 1.43.3.10861) oder später ein, die die Lücken in der Angriffskette schließt.
- Logs und Prozesse kontrollieren: Schaut in die System- und Plex-Logs eures NAS. Ungewöhnliche Zugriffe, unbekannte Prozesse oder neue Benutzerkonten sind Warnsignale.
- Verdächtige Dateien suchen: QNAP beschreibt in der offiziellen FAQ Indikatoren, an denen ihr einen möglichen Befall erkennen könnt.
- Im Zweifel isolieren: Trennt das NAS vom Internet, bis ihr sicher seid, dass das System sauber ist.
Wenn ihr Anzeichen für einen Befall findet, solltet ihr nicht einfach drüberbügeln. QNAP empfiehlt eine saubere Plex-Neuinstallation: Logs sichern, Plex entfernen, den Plex-Media-Server-Ordner und insbesondere den Codecs-Ordner prüfen beziehungsweise bereinigen, Version 1.43.3 oder später installieren und den alten Codecs-Inhalt nicht wiederherstellen. Außerdem solltet ihr eure Plex- und NAS-Zugangsdaten zurücksetzen.
NAS Schutz: 5 Grundregeln für sichere Heimnetzwerke
Unabhängig von Plex2Shell lohnt es sich, die eigene NAS-Konfiguration einmal grundsätzlich zu überdenken. Ein paar Punkte, die ihr euch zur Gewohnheit machen solltet:
- Nicht alles ins Internet stellen: Je weniger Dienste von außen erreichbar sind, desto kleiner die Angriffsfläche. Was ihr nicht wirklich braucht, gehört hinter die Firewall.
- VPN statt offener Ports: Wenn ihr von unterwegs auf euer NAS zugreifen wollt, nutzt lieber ein VPN in euer Heimnetz als direkt geöffnete Ports.
- Zwei-Faktor-Authentifizierung: Für das NAS-Adminkonto Pflicht.
- Automatische Updates aktivieren: Sowohl für die NAS-Firmware als auch für installierte Apps wie Plex.
- Separate Backups: Eine Kopie eurer wichtigsten Daten gehört auf ein Medium, das nicht ständig mit dem NAS verbunden ist.
Diese Punkte klingen banal, retten im Ernstfall aber eure Daten. Gerade das getrennte Backup ist der Punkt, den die meisten unterschätzen – bis sie ihn das erste Mal wirklich brauchen.
QNAP Update installieren: Schritt-für-Schritt-Anleitung
Die Plex2Shell-Warnung ist keine theoretische Übung. QNAP spricht von aktiven Angriffen, und die Kombination aus beliebter Software, dauerlaufendem Gerät und oft offenem Internetzugang ist aus Sicht von Angreifern ein dankbares Ziel. Wer ein QNAP-NAS mit Plex betreibt, sollte deshalb heute – nicht nächste Woche – den Status prüfen.
Die wichtigsten Schritte in Kurzform: Plex Media Server sofort auf Version 1.43.3 (Build 1.43.3.10861) oder später aktualisieren, bei möglicher Internet-Erreichbarkeit eine Kompromittierung annehmen, Logs vor der Entfernung sichern, die QNAP-Indikatoren prüfen und gegebenenfalls eine saubere Neuinstallation sowie Credential-Reset durchführen. Wer unsicher ist, trennt das NAS vorübergehend vom Internet und arbeitet die Checkliste aus der QNAP-FAQ in Ruhe ab. Und ganz grundsätzlich gilt: Ein NAS ist kein Gerät, das man einmal einrichtet und dann vergisst. Es verdient dieselbe Aufmerksamkeit wie euer Router oder euer Smartphone – schließlich liegen darauf eure wichtigsten Daten.
Quellen und Prüfstand
- Offizielle Quelle: Plex2Shell: Check and Remediation FAQ for QNAP NAS Users – Multimedia – QNAP Community (community.qnap.com)
- Offizielle Quelle: Plex2Shell: Check and Remediation FAQ for QNAP NAS Users – Multimedia – QNAP Community (community.qnap.com)
Faktenprüfung: Alle überprüfbaren Aussagen wurden am 10.11.2026 automatisiert gegen die offiziellen Primärquellen abgeglichen. Stand des Artikels: 10.11.2026.
