Einen universell sichersten Anbieter gibt es nicht. Proton Drive und Tresorit sind besonders interessant, wenn der Anbieter möglichst wenig über die gespeicherten Inhalte erfahren soll. OneDrive, Google Drive und iCloud Drive bieten eine enge Systemintegration, verlangen aber eine genaue Prüfung der Verschlüsselungs- und Wiederherstellungsbedingungen. Nextcloud kann die Kontrolle erhöhen, verlagert Betrieb, Updates und Absicherung jedoch zum Betreiber. Für ein NAS ist die robusteste Lösung häufig eine getrennte Cloud-Kopie mit clientseitiger Verschlüsselung und getesteter Wiederherstellung.
Vier Schutzfragen entscheiden über die Sicherheit
Der Begriff Cloud-Sicherheit umfasst mehrere voneinander unabhängige Ebenen. Ein Dienst kann seine Rechenzentren gut schützen und trotzdem ungeeignet sein, wenn ein Angreifer über ein gestohlenes Kennwort sämtliche Dateien löschen kann. Umgekehrt schützt Ende-zu-Ende-Verschlüsselung den Inhalt vor dem Anbieter, ersetzt aber weder Versionierung noch ein unabhängiges Backup.
- Kann der Anbieter den Inhalt entschlüsseln? Bei echter Ende-zu-Ende-Verschlüsselung entstehen die maßgeblichen Schlüssel auf den Endgeräten. Der Dienst speichert im Idealfall nur verschlüsselte Daten. Welche Metadaten sichtbar bleiben, ist produktabhängig.
- Was geschieht nach Löschen oder Überschreiben? Papierkorb und Dateiversionen bestimmen, ob versehentliche Änderungen oder eine Verschlüsselung durch Schadsoftware rückgängig gemacht werden können. Aufbewahrungsbedingungen können vom Tarif abhängen.
- Wie gut ist das Konto geschützt? Mehrfaktor-Authentifizierung, Warnungen bei neuen Anmeldungen, aktive Sitzungen und Wiederherstellungsoptionen sind entscheidend. Ein verlorener Wiederherstellungscode kann bei einem stark verschlüsselten Dienst ebenso kritisch sein wie ein gestohlenes Kennwort.
- Ist die Cloud-Kopie unabhängig? Eine ständig bidirektional synchronisierte Kopie übernimmt unter Umständen Löschungen und beschädigte Dateien. Ein Backup benötigt Versionen, einen eigenen Zeitplan oder einen getrennten Schreibweg.
Sechs Optionen nach demselben Raster
Die folgende Gegenüberstellung bewertet keine wechselnden Tarife oder Speicherpreise. Sie ordnet die stabilen Schutzmodelle nach Inhaltsvertraulichkeit, Kontozugriff, Wiederherstellung, NAS-Eignung und Betriebsverantwortung ein. Funktionsumfang und Grenzen einzelner Tarife müssen vor der Auswahl in den offiziellen Bereichen zu Sicherheit, Verschlüsselung, Dateiversionen und Kontowiederherstellung geprüft werden.
| Option | Schutz des Inhalts | Wiederherstellung | NAS-Eignung | Wesentliche Grenze |
|---|---|---|---|---|
| Proton Drive | Auf Datenschutz und Ende-zu-Ende-Verschlüsselung ausgerichtet | Versionen und Papierkorb abhängig von den geltenden Produktbedingungen prüfen | Für verschlüsselte externe Kopien interessant; direkte NAS-Anbindung vorab verifizieren | Integration und automatisierte NAS-Übertragung können weniger universell sein als bei großen Plattformdiensten |
| Tresorit | Ende-zu-Ende-verschlüsselte Zusammenarbeit und Dateispeicherung | Versions- und Wiederherstellungsumfang tarifabhängig prüfen | Geeignet, wenn vertrauliche Ordner kontrolliert geteilt oder extern abgelegt werden sollen | NAS-Workflow und gewünschte Automatisierung müssen mit dem eingesetzten System kompatibel sein |
| Microsoft OneDrive | Verschlüsselung bei Übertragung und Speicherung; das genaue Schutzmodell ist nicht mit einer allgemeinen Zero-Knowledge-Ablage gleichzusetzen | Enge Einbindung in Microsoft-Konten und Wiederherstellungsfunktionen; Bedingungen des Tarifs prüfen | Gut für Microsoft-orientierte Arbeitsabläufe, aber nicht jede NAS-Anwendung kann OneDrive direkt als Ziel nutzen | Kontokompromittierung und synchronisierte Löschungen bleiben zentrale Risiken |
| Google Drive | Verschlüsselte Übertragung und Speicherung; zusätzliche clientseitige Schutzfunktionen sind produkt- und kontenabhängig | Papierkorb, Versionen und administrative Wiederherstellung unterscheiden sich nach Produktart | Breite Client-Unterstützung, direkte NAS-Kompatibilität jedoch vom NAS-Paket abhängig | Standardmäßige Ablage bietet nicht automatisch dasselbe Vertraulichkeitsmodell wie ein Zero-Knowledge-Dienst |
| Apple iCloud Drive | Das Schutzniveau hängt unter anderem von den aktivierten Kontosicherheitsfunktionen ab | Stark in das Apple-Konto und Apple-Geräte integriert | Für Apple-Dateien bequem, als allgemeines automatisiertes NAS-Ziel oft weniger flexibel | Geräte- und Kontowiederherstellung müssen vor einer erweiterten Verschlüsselung sauber vorbereitet sein |
| Nextcloud | Kontrolle über Serverstandort und Betrieb; die tatsächliche Vertraulichkeit hängt von Konfiguration und Verschlüsselungsart ab | Versionen, Papierkorb und Backups liegen weitgehend in der Verantwortung des Betreibers | Gut mit eigener Infrastruktur kombinierbar und auch auf getrennten Servern betreibbar | Selbsthosting ist nicht automatisch sicher: Updates, Datenbank, Schlüssel, Protokolle und Backups müssen gepflegt werden |
Welche Option passt zu welchem Schutzbedarf?
Vertrauliche Dateien sollen dem Anbieter verborgen bleiben
Proton Drive und Tresorit passen am ehesten zu diesem Ziel, weil ihr Produktkonzept auf Ende-zu-Ende-verschlüsselter Speicherung beruht. Vor der Entscheidung solltest du dennoch prüfen, welche Daten tatsächlich verschlüsselt sind, welche Metadaten verarbeitet werden und wie Freigaben funktionieren. Eine öffentliche Freigabe kann andere Risiken erzeugen als die private Ablage im eigenen Konto.
Für einen bereits genutzten Plattformdienst kann eine separate clientseitige Verschlüsselung eine Alternative sein. Werkzeuge wie Cryptomator verschlüsseln Dateien vor dem Hochladen in einem Tresor. Der Cloud-Anbieter sieht dann vor allem verschlüsselte Dateiinhalte und verschleierte Namen. Das schützt jedoch nur, wenn Kennwort und Wiederherstellungsinformationen sicher verwahrt werden und der verschlüsselte Tresor nicht ausschließlich auf einem einzigen Gerät liegt.
Bequeme Zusammenarbeit ist wichtiger als maximale Anbieterblindheit
OneDrive und Google Drive sind sinnvoll, wenn gemeinsames Bearbeiten, Freigaben und die Integration in bestehende Konten im Vordergrund stehen. Ihre Sicherheitsqualität hängt stark von der Kontokonfiguration ab: Mehrfaktor-Authentifizierung, überprüfte Wiederherstellungsdaten, begrenzte Freigaben und kontrollierte Geräte sind hier wichtiger als die bloße Aussage, Dateien seien verschlüsselt gespeichert.
Für sensible Archive lässt sich diese Bequemlichkeit mit clientseitiger Verschlüsselung kombinieren. Die verschlüsselten Dateien können dann allerdings nicht ohne Weiteres in Web-Editoren bearbeitet oder serverseitig durchsucht werden. Mehr Vertraulichkeit bedeutet in diesem Fall weniger Komfort.
Apple-Geräte sollen ohne zusätzlichen Client synchron bleiben
iCloud Drive ist vor allem durch die Integration in Apple-Geräte attraktiv. Für die Sicherheitsentscheidung ist maßgeblich, welche erweiterten Datenschutzfunktionen im Apple-Konto aktiviert sind und wie die Kontowiederherstellung vorbereitet wurde. Bevor du ein stärkeres Verschlüsselungsniveau aktivierst, müssen vertrauenswürdige Geräte, Wiederherstellungskontakt oder Wiederherstellungsschlüssel nachvollziehbar eingerichtet sein. Sonst kann ein Geräteverlust den eigenen Zugriff gefährden.
Die Daten sollen unter eigener technischer Kontrolle bleiben
Nextcloud bietet mehr Einfluss auf Server, Speicherort und Benutzerverwaltung. Diese Kontrolle ist nur dann ein Sicherheitsvorteil, wenn Betriebssystem, Webserver, Datenbank und Nextcloud selbst gepflegt werden. Auch ein Reverse Proxy, gültige Zertifikate, Anmeldeprotokolle und Mehrfaktor-Authentifizierung gehören zum Betrieb.
Eine Nextcloud-Installation auf demselben NAS wie die Originaldaten schafft noch keine unabhängige Sicherung. Fallen Speicherpool, Stromversorgung oder Standort aus, können Produktivdaten und Cloud-Instanz gleichzeitig betroffen sein. Für eine echte zweite Kopie muss die Nextcloud auf einem getrennten System oder an einem anderen Standort laufen und selbst gesichert werden.
Cloud-Synchronisation und Cloud-Backup sind nicht dasselbe
Synchronisation hält Arbeitsstände auf mehreren Geräten gleich. Wird eine Datei lokal gelöscht, überschrieben oder durch Schadsoftware verändert, kann der Dienst diese Änderung auf NAS und Cloud übertragen. Versionierung kann helfen, ist aber nur so belastbar wie ihre Aufbewahrungsdauer, ihr Umfang und die Möglichkeit, viele Dateien gemeinsam zurückzusetzen.
Ein Cloud-Backup arbeitet vorzugsweise zeitgesteuert und versioniert. Das NAS schreibt neue Sicherungsstände in ein getrenntes Ziel, während normale Benutzer und Clients die Sicherungsdateien nicht direkt verändern können. Die Zugangsdaten des Backup-Ziels sollten nicht auf jedem Arbeitsplatz verfügbar sein.
- Der NAS-Ordner enthält die produktiven Dateien.
- Der Backup-Job überträgt verschlüsselte Sicherungsstände in die Cloud.
- Alte Versionen bleiben nach einer festgelegten Aufbewahrungslogik erhalten.
- Ein getrennt verwahrter Schlüssel ermöglicht die Wiederherstellung nach einem NAS-Ausfall.
- Eine einzelne Testdatei wird regelmäßig an einen anderen Ort zurückgesichert und geöffnet.
Diese Trennung verhindert nicht jeden Angriff. Sie reduziert aber die Wahrscheinlichkeit, dass eine einzige Löschung, ein kompromittiertes Benutzerkonto oder ein defekter Speicherpool alle erreichbaren Kopien gleichzeitig zerstört.
Die Cloud sicher an ein NAS anbinden
Bevor du einen Dienst in DSM, QTS, QuTS hero, ADM, UGOS Pro oder TerraMaster OS auswählst, muss die vorhandene Backup- oder Synchronisationsanwendung den gewünschten Anbieter und das benötigte Verfahren unterstützen. Suche in der NAS-Oberfläche nach den Funktionsbereichen für Backup, Cloud-Synchronisation oder Remote-Speicher. Die Bezeichnungen und unterstützten Ziele hängen von Betriebssystem, App-Version und Modell ab.
- Lege fest, ob du ein Backup oder eine Synchronisation benötigst. Für die Ausfallsicherung ist ein versionierter Backup-Job meist die passendere Wahl.
- Prüfe in der Anbieterhilfe die Bereiche Verschlüsselung, Versionierung, gelöschte Dateien, Kontowiederherstellung und Mehrfaktor-Authentifizierung.
- Kontrolliere in der NAS-Anwendung, ob die Verschlüsselung auf dem NAS vor der Übertragung erfolgt. Eine reine Transportverschlüsselung schützt die Verbindung, nicht zwingend die Daten vor dem Cloud-Betreiber.
- Nutze nach Möglichkeit ein separates Cloud-Konto oder eingeschränkte Zugangsdaten für den Backup-Job. Das tägliche Benutzerkonto sollte nicht unnötig Zugriff auf alle Sicherungen besitzen.
- Sichere Verschlüsselungskennwort, Wiederherstellungsschlüssel und MFA-Notfallcodes außerhalb des NAS. Eine verschlüsselte Sicherung ohne verfügbaren Schlüssel ist nicht wiederherstellbar.
- Starte mit einem kleinen Testordner. Ändere und lösche einzelne Testdateien, führe einen weiteren Sicherungslauf aus und stelle einen älteren Stand in einen anderen lokalen Ordner wieder her.
Ein erfolgreicher Upload ist noch kein Nachweis für ein funktionierendes Backup. Erst wenn die zurückgesicherte Datei lesbar ist, die erwartete Version trägt und ohne Zugriff auf den ursprünglichen Ordner wiederhergestellt werden kann, ist der grundlegende Ablauf geprüft.
Ein sicherer Dienst kann durch das Konto unsicher werden
Selbst ein Ende-zu-Ende-verschlüsselter Speicher hilft wenig, wenn ein Angreifer eine bereits angemeldete Sitzung übernimmt. Aktiviere Mehrfaktor-Authentifizierung, bevor größere Datenbestände hochgeladen werden. Wenn der Anbieter Sicherheitsschlüssel unterstützt, können sie einen stärkeren Schutz gegen gefälschte Anmeldeseiten bieten als ausschließlich per SMS versandte Codes.
Prüfe außerdem regelmäßig aktive Sitzungen, verbundene Apps und Freigaben. Dauerhaft gültige Freigabelinks erweitern den Kreis möglicher Zugriffe. Für vertrauliche Daten sind zeitlich oder durch Kennwort begrenzte Freigaben vorzuziehen, sofern der gewählte Dienst diese Möglichkeiten in der verwendeten Variante bietet.
Notfallcodes und Wiederherstellungsschlüssel gehören nicht in denselben Cloud-Ordner, den sie entsperren sollen. Sinnvoll ist eine getrennte, geschützte Aufbewahrung, beispielsweise in einem seriösen Passwortmanager plus einer sicher verwahrten Offline-Kopie. Bei geschäftlichen Daten muss zusätzlich geregelt sein, wer bei Ausfall einer verantwortlichen Person Zugriff erhält.
Die belastbare Entscheidung für NAS-Nutzer
Wähle Proton Drive oder Tresorit, wenn die Vertraulichkeit gegenüber dem Betreiber Vorrang hat und der benötigte NAS-Workflow nachweislich unterstützt wird. Wähle OneDrive oder Google Drive, wenn Zusammenarbeit und Plattformintegration wichtiger sind, und verschlüssele besonders sensible Archive bei Bedarf zusätzlich vor dem Upload. iCloud Drive passt vor allem zu Apple-zentrierten Abläufen, ist aber nicht automatisch das flexibelste Ziel für NAS-Backups. Nextcloud eignet sich für eigene technische Kontrolle, sofern Betrieb und externe Sicherung zuverlässig organisiert sind.
Für wichtige NAS-Daten ist keine dieser Optionen allein ausreichend. Die sichere Variante besteht aus lokalen Produktivdaten, einer getrennten versionierten Cloud-Kopie und mindestens einer weiteren Kopie, die nicht dauerhaft mit denselben Zugangsdaten beschreibbar ist. Das entscheidende Auswahlkriterium ist nicht der bekannte Anbietername, sondern ob Verschlüsselung, Kontoschutz, Versionierung und Wiederherstellung gemeinsam zum eigenen Ausfall- und Bedrohungsszenario passen.