Cloud oder NAS: Was sich beim Datenschutz ändert, wenn die Daten zu Hause liegen

Cloud vs NAS: Wo Ihre Daten liegen und wer sie verarbeitet

Bei einem Cloud-Dienst werden Dokumente, Fotos und Videos nach der Beschreibung des BSI auf entfernte Server ausgelagert. Den Haken nennt das BSI gleich mit: Wer zentral in der Cloud speichert, gibt seine Daten einem Dritten, dem Cloud-Dienste-Anbieter. Ein NAS dreht das um. Die Dateien liegen auf Laufwerken in einem Gerät in Ihrem eigenen Netzwerk, ob als fertiges Synology- oder UGREEN-Gerät oder als selbst aufgesetzter Homeserver.

Wo ein Cloud-Anbieter sitzt, ist laut BSI nicht nebensächlich. Der Standort des Anbieters und seiner Server gibt Auskunft darüber, welchem Datenschutzrecht die Daten nach der Speicherung unterliegen. Bei vielen Cloud-Angeboten ist laut BSI nicht auf den ersten Blick ersichtlich, in welchem Land der Anbieter seinen Sitz hat oder wo seine Rechenzentren stehen. Die Daten können dann der Rechtsprechung im Ausland unterliegen.

Zwei weitere Punkte des BSI betreffen das Kleingedruckte. Nutzungsbedingungen können so formuliert sein, dass sie dem Anbieter womöglich Zugriffs- und Nutzungsrechte an den gespeicherten Dateien einräumen; das BSI empfiehlt deshalb einen Blick in die AGB. Und das Löschen ist in der Cloud laut BSI nicht so einfach wie zu Hause auf dem eigenen Rechner: Manche Anbieter behalten Daten auch nach einer Kündigung oder Löschung noch einige Zeit, für den Fall, dass diese zurückgenommen wird.

Vor der Nutzung eines Cloud-Dienstes rät das BSI Privatnutzern, sich unter anderem zu fragen, wie sich der Dienst finanziert und ob der Betreiber eventuell mit den eigenen Daten Geld verdient, was im Vertrag und in den AGB steht und welche Auswirkung ein Dienstausfall hätte. Das sind Fragen des BSI, keine Befunde über einen bestimmten Anbieter. Einen einzelnen Cloud-Dienst bewertet diese Seite nicht. Preise für Cloud-Speicher nennen wir nicht, weil wir keine Preisseite eines Anbieters ausgewertet haben.

NAS Datenschutz und DSGVO: was für private Daten gilt

Die DSGVO gilt laut BfDI seit dem 25. Mai 2018. Für private Daten enthält sie eine Ausnahme. Art. 2 Abs. 2 lit. c lautet in der Fassung, die die Bundesbeauftragte für den Datenschutz in ihrer Broschüre wiedergibt (Stand März 2026): „Diese Verordnung findet keine Anwendung auf die Verarbeitung personenbezogener Daten“ … „durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“. Die BfDI nennt das die sogenannte Haushaltsausnahme.

Erwägungsgrund 18 erläutert die Ausnahme. Die Verordnung gilt danach nicht für die Verarbeitung durch eine natürliche Person zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten „und somit ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit“. Der letzte Satz desselben Erwägungsgrunds lautet: „Diese Verordnung gilt jedoch für die Verantwortlichen oder Auftragsverarbeiter, die die Instrumente für die Verarbeitung personenbezogener Daten für solche persönlichen oder familiären Tätigkeiten bereitstellen.“ Die Ausnahme betrifft also Sie als Privatperson, nicht die Anbieter der Instrumente.

Als Beispiele nennt die BfDI: „Das Führen eines privaten Adressbuchs – auch in elektronischer Form – oder das Sammeln personenbezogener Daten zur Pflege eines Hobbys fallen nicht unter das Datenschutzrecht.“ Für die Anbieterseite wählt die BfDI ein soziales Netzwerk: Dessen Anbieter könne sich nicht auf die Haushaltsausnahme berufen und unterliege der vollen Geltung des Datenschutzrechts. Ob ein bestimmter Cloud-Dienst oder NAS-Hersteller für einen bestimmten Dienst Verantwortlicher oder Auftragsverarbeiter ist, sagt keines der Dokumente, die wir gelesen haben. Diese Seite ordnet das deshalb nicht zu.

Diese Seite gibt den Wortlaut von DSGVO und BfDI wieder und ist keine Rechtsberatung. Sie bezeichnet weder ein NAS noch eine Cloud als „DSGVO-konform“: Ein solches Etikett lässt sich aus den Dokumenten, die wir gelesen haben, für kein Gerät und keinen Dienst ableiten.

Anders liegt es, wenn Sie ein NAS oder einen Cloud-Speicher mit Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit nutzen: Dann greift die Haushaltsausnahme nach dem Wortlaut von Erwägungsgrund 18 nicht. Einige Vorschriften, die dann in Betracht kommen, geben wir hier nach der BfDI-Broschüre wieder:

• Auftragsverarbeiter ist nach Art. 4 Nr. 8 eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Als Beispiel für Auftragsverarbeitung nennt die BfDI unter anderem den Betrieb eines Rechenzentrums im Auftrag.
• Art. 28 betrifft den Fall, dass ein Auftragsverarbeiter eingeschaltet wird: Nach Abs. 1 arbeitet der Verantwortliche dann nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.
• Bei Auftragsverarbeitern in Drittstaaten ist laut BfDI zusätzlich ein angemessenes Schutzniveau nach Art. 44 ff. DSGVO sicherzustellen. Art. 44 lässt eine Übermittlung in ein Drittland nur zu, wenn Verantwortlicher und Auftragsverarbeiter die Bedingungen von Kapitel V einhalten.
• Art. 32 Abs. 1 nennt unter den Sicherheitsmaßnahmen die Pseudonymisierung und Verschlüsselung personenbezogener Daten sowie die Fähigkeit, Verfügbarkeit und Zugang nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Ob die Übermittlung eines bestimmten Anbieters in ein Drittland die Bedingungen von Kapitel V erfüllt, entscheidet keines der Dokumente, die wir gelesen haben. Für den Umzug aus der Cloud auf ein NAS ist Art. 20 interessant: Er gibt der betroffenen Person das Recht, die Daten, die sie einem Verantwortlichen bereitgestellt hat, „in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten“; der Satz geht im Gesetz mit Bedingungen weiter. Das Recht richtet sich gegen einen Verantwortlichen. Ob Ihr Cloud-Anbieter das für Ihr Konto ist, beantworten unsere Quellen nicht.

Synology NAS Datenschutz: was QuickConnect an Synology meldet

Im Heimnetz erreichen Sie ein NAS direkt. Für den Zugriff von unterwegs bietet Synology QuickConnect an, UGREEN entsprechend UGREENlink. Ein NAS mit Fernzugriff arbeitet damit wie eine eigene, private Cloud: Die Dateien liegen bei Ihnen, am Verbindungsaufbau ist aber ein Server des Herstellers beteiligt. Den Grund für QuickConnect nennt Synology in seinem QuickConnect White Paper (Stand 7. Juni 2023, englisch, hier sinngemäß übersetzt): Portweiterleitung setze das private Netz größeren Risiken aus, weil Angreifer nach offenen Ports suchen könnten. Das ist Synologys Argument für den eigenen Dienst.

Damit QuickConnect funktioniert, muss das NAS laut White Paper beim QuickConnect-Server registriert sein und meldet ihm seinen Status, etwa Netzwerkumgebung und unterstützte Dienste. Zu den gemeldeten Angaben gehören laut Synology die öffentliche IP-Adresse, die LAN-Adresse und der NAT-Typ. Synology schreibt, diese Informationen nur zu verwenden, um den QuickConnect-Dienst bereitzustellen.

Beim Verbindungsaufbau versucht QuickConnect laut White Paper zuerst eine direkte Verbindung über LAN oder WAN, dann Hole Punching. Erst wenn alles scheitert, kommt der Relay-Dienst als letzter Ausweg zum Zug; dann läuft der Datenverkehr über einen Synology Relay Server, bevor er sein Ziel erreicht. Wie oft ein Heimanschluss beim Relay landet, steht nicht im White Paper. Synologys deutsche Spezifikation für DSM 7.4 bestätigt, dass QuickConnect den Relay-Dienst verwenden kann, und weist darauf hin, dass übertragene Verbindungen wegen höherer Latenz langsamer sein können als portweitergeleitete.

Zur Verschlüsselung schreibt Synology: Ist SSL aktiviert, ist die Übertragung durch den Relay-Tunnel Ende-zu-Ende-verschlüsselt. Dieselbe Bedingung steht in der DSM-7.4-Spezifikation: „Verwendet Ende-zu-Ende-Verschlüsselung, wenn SSL aktiviert ist.“ Anders beim Zugriff per Browser über das QuickConnect-Webportal: Findet QuickConnect keine LAN- oder WAN-Adresse, an die es den Browser weiterleiten kann, arbeitet Synologys Portal Server als Proxy zwischen NAS und Browser. Er wickelt dann laut White Paper den gesamten Datenverkehr zwischen NAS und Browser über den virtuellen Netzwerktunnel ab. Dem Browser bietet er ein vertrauenswürdiges Zertifikat, mit dem dieser die Identität des Portal Servers prüfen kann. Der Portal Server entschlüsselt bestimmte HTTP-Header und verändert sie, um dem NAS die Identität des Clients mitzuteilen. Die Weiterleitung über den Tunnel zum NAS ist laut Synology Ende-zu-Ende-verschlüsselt, wenn SSL aktiviert ist. Mehr leiten wir daraus nicht ab.

Laut DSM-7.4-Spezifikation können Administratoren steuern, welche Anwendungen über QuickConnect erreichbar sind. Ob QuickConnect ab Werk ein- oder ausgeschaltet ist, haben wir in keinem Synology-Dokument gefunden. Die QuickConnect-Server stehen laut White Paper in Rechenzentren an insgesamt acht Standorten weltweit; ein Synology-Dokument, das die Länder nennt, haben wir nicht gefunden.

Synologys deutsche Datenschutzerklärung (aktualisiert September 2024) nennt für Nutzer in der EU, im EWR und in der Schweiz Synology Inc. mit Sitz in Taiwan als Verantwortlichen für personenbezogene Daten. In begrenzten Fällen, bei Marketingveranstaltungen in Deutschland, Frankreich oder dem Vereinigten Königreich, ist laut Erklärung die jeweilige Synology-Landesgesellschaft verantwortlich. Personenbezogene Daten können laut Synology in die und aus der EU an Tochtergesellschaften übertragen werden, darunter Synology GmbH und Synology Inc. Ist am Wohnort eines Empfängers kein angemessenes Datenschutzniveau gegeben, verlangt Synology von diesem Empfänger von der EU-Kommission genehmigte Standardvertragsklauseln. Die Erklärung ist allgemein gehalten, erwähnt QuickConnect nicht und nennt kein Land, in dem QuickConnect-Daten verarbeitet werden.

Auf dem NAS selbst können freigegebene Ordner laut Synologys Spezifikation für DSM 7.4 verschlüsselt werden, mit AES 256-Bit, per Passphrase oder mit einem lokalen Schlüssel im Key Manager. Wie Synology und UGREEN sich sonst unterscheiden, steht unter Synology oder UGREEN.

UGREEN NAS Datenschutz: UGREENlink, Konto und Serverstandorte

UGREEN schreibt in einem Artikel zur Sicherheit seiner NAS (Seitenangabe 21.10.2024, englisch, hier sinngemäß übersetzt), ein UGREEN-NAS speichere Ihre Dateien auf Laufwerken, die Sie kontrollieren. Im normalen Betrieb greife UGREEN nicht auf Fotos, Dokumente, Videos oder andere persönliche Dateien auf dem NAS zu. Mit einem lokalen Konto bleiben Konto- und Nutzungsdaten laut UGREEN auf dem NAS und dem verbundenen Telefon oder Computer.

Die Datenschutzrichtlinie für UGREEN-NAS (zuletzt aktualisiert am 23. Juli 2026, englisch) sagt für das lokale Konto dasselbe: Alle Daten liegen auf dem NAS und auf dem Telefon oder Computer, und UGREEN erhebe keine personenbezogenen Daten. Auf persönliche Dateien greift der Support laut Richtlinie nur mit Ihrer ausdrücklichen Erlaubnis zu.

Für den Fernzugriff gibt es UGREENlink, laut UGREEN die eingebaute Fernzugriffsfunktion. Sie funktioniert laut UGREENs Anleitung vom 17.04.2026 ohne öffentliche IP-Adresse und ohne manuell angelegte Portweiterleitung am Router. Die Anleitung beschreibt, wie man UGREENlink einschaltet (Pfad in der englischen Anleitung: Control Panel, Device Connection, Remote access) und dabei an ein UGREEN-Konto bindet. Ob die Funktion ab Werk ein- oder ausgeschaltet ist, haben wir in keinem UGREEN-Dokument gefunden. Wer UGREENlink nutzt, nutzt also ein UGREEN-Konto; die Aussage zum lokalen Konto deckt diesen Fall nicht ab.

Für UGREENlink verarbeitet UGREEN laut Datenschutzrichtlinie die UGREENlink-ID, die Seriennummer des NAS, die IP-Adresse und den UGREENlink-Routing-Port, um das Gerät an das Konto zu binden und den Fernzugriff zu ermöglichen. Server betreibt UGREEN laut Richtlinie unter anderem in Singapur, Deutschland, den USA und Japan; die Liste nennt außerdem Südkorea, Hongkong und Festlandchina. Laut Richtlinie leitet das System automatisch an den nächstgelegenen Server für Ihr Land oder Ihre Region weiter, und personenbezogene Daten können grenzüberschreitend zu Servern Dritter übertragen werden. Eine Zusage, dass die Daten in Deutschland bleiben, enthält die Richtlinie nicht.

Zur Prüfung, ob das UGREEN-Konto weltweit eindeutig ist, gehen laut Richtlinie ein Hashwert der Kontokennung und die Standortinformation des NAS an einen Server in Hongkong. Nutzen Sie UGREENlink auf Reisen, werden der Hashwert Ihrer UGREENlink-ID und die Seriennummer des NAS zwischen dem nächstgelegenen Server und dem Server in Hongkong übertragen.

Zur Verschlüsselung schreibt UGREEN: Das NAS verschlüsselt die Dateien, die Sie in den Tresor (Vault) legen; andere Dateien schützen Konto-Anmeldung, Berechtigungen, Netzwerksicherheit und die physische Kontrolle über das Gerät. Für den Fernzugriff nennt UGREENs eigene Sicherheitstabelle HTTPS und TLS als Schutz gegen abgefangenen Datenverkehr und vermerkt zugleich, UGREENlink werde nicht als Ende-zu-Ende-Verschlüsselung beschrieben. Ein UGREEN-Dokument, das beschreibt, ob UGREENlink den Datenverkehr über UGREEN-Server weiterleitet, haben wir nicht gelesen.

UGREEN rät selbst, die UGOS-Verwaltungsoberfläche nicht direkt ins Internet zu stellen und ungenutzte Dienste wie FTP, Telnet, SSH und Fernzugriff abzuschalten. Eine Zwei-Faktor-Anmeldung per Einmalcode dokumentiert UGREEN für Browser und PC-Client ab UGOS-Firmware 1.16.0.0042. Nach einem Passwortdiebstahl können vertrauenswürdige Geräte und aktive Sitzungen laut UGREENs Tabelle weiterhin Zugriff bieten. Welche Festplatten UGREEN für seine Geräte nennt, steht unter UGREEN NAS Festplatten.

Festplatte oder iCloud, Homeserver oder Cloud: was das BSI zur Sicherung sagt

Für die Datensicherung hat das BSI eine Anleitung für Computer und Mobilgeräte veröffentlicht (BSI-IFB-23/050). Sicherheitskopien sind danach oft die letzte Rettung, wenn Cyberkriminelle die Festplatte verschlüsselt haben, das Handy gestohlen wurde oder der Laptop nass geworden ist. Regelmäßig sichern laut dem Digitalbarometer 2022 von BSI und Polizeilicher Kriminalprävention, das die Broschüre zitiert, 26 Prozent der Befragten.

Für den Vergleich Cloud gegen NAS sind zwei Fälle aus der Broschüre wichtig. Bei Wasserschaden, Hochwasser oder Feuer werden schnell alle elektronischen Geräte im Haushalt zu Elektroschrott; dann hilft laut BSI nur noch eine Datensicherung außerhalb der eigenen vier Wände. Ein NAS im selben Haushalt ist das nach unserer Lesart nicht. Den umgekehrten Fall nennt das BSI ebenfalls: Sperrt der Anbieter das verknüpfte Cloud-Konto, sind teilweise nicht nur die Daten dort weg, mitunter ist auch die Anmeldung am Gerät nicht mehr möglich.

Vor allem Smartphones legen ihre Sicherungen laut BSI oft bei kommerziellen Cloud-Anbietern ab statt auf einem Speichermedium im eigenen Besitz. Zu iCloud schreibt das BSI: Der Dienst ist in der Basis kostenlos, die Speicherkapazität aber eingeschränkt, sodass ein kostenpflichtiges Abonnement nötig werden kann. Alternativ lassen sich Sicherungen laut BSI kostenlos lokal erstellen, verschlüsselt über Mac oder PC.

Außerdem rät das BSI, das Sicherungsmedium außerhalb des Sicherungsvorgangs vom Rechner zu trennen, damit Schadsoftware oder Defekte nicht auch die Sicherheitskopie schädigen. Das BSI spricht dabei von PC und Mac, nicht von einem NAS. Ein NAS, das ständig im Netzwerk hängt, erfüllt diesen Rat nach unserer Einschätzung nicht von selbst: Wer seine Fotos nur dort ablegt, hat noch keine getrennte Sicherung.

Für die Cloud hält das BSI es für am sichersten, die Daten selbst zu verschlüsseln und den Schlüssel bei sich zu speichern; gemeinsames Arbeiten wird dadurch laut BSI schwieriger. Die Zwei-Faktor-Authentisierung erhöht laut BSI die Sicherheit beachtlich und sollte nach Möglichkeit genutzt werden; auch UGREENs Anleitung zum Fernzugriff empfiehlt sie. Ein besonderes Risiko sieht das BSI in vielen Fällen im Zugang per Smartphone, wenn Zugangsdaten in der App gespeichert sind. Das BSI schreibt das über Cloud-Apps; für eine NAS-App mit gespeicherter Anmeldung gilt nach unserer Einschätzung dasselbe.

Ist ein NAS für zuhause sinnvoll? Synology und UGREEN auf Amazon.de

Ob sich ein NAS für zuhause lohnt, hängt davon ab, was Sie aus der Cloud zurückholen wollen und ob Sie die Sicherung selbst organisieren. Die Dateien liegen dann bei Ihnen, gegen Feuer oder Hochwasser braucht es laut BSI aber weiter eine Kopie außerhalb der Wohnung. Was ein NAS an Strom verbraucht, steht unter NAS-Stromverbrauch; mit dem Stromkosten-Rechner rechnen Sie die Wattzahl Ihres Geräts in Stromkosten um. Einen Kostenvergleich mit Cloud-Abos bietet diese Seite nicht, weil wir keine Preise von Cloud-Anbietern erfasst haben.

Die beiden Tabellen zeigen NAS-Geräte von Synology und UGREEN, die wir neu auf Amazon.de verfolgen, Stand 31.10.2026, 21:34 Uhr: 5 Angebote mit zwei Einschüben und 6 mit vier Einschüben, sortiert nach Preis. Aufgenommen sind nur Angebote, deren Schachtzahl wir erfasst haben; Bundles mit USV, Kabel oder Adapter sind ausgeschlossen, einzelne Modelle fehlen deshalb. Dasselbe Modell kann bei verschiedenen Verkäufern sehr unterschiedlich kosten. Der Verkäufer steht, soweit erfasst, beim Zustand.

Die Fernzugriffsdienste QuickConnect und UGREENlink beschreiben die Hersteller für ihre Software, nicht für ein einzelnes Modell; die Angaben oben gelten deshalb nicht nur für eine bestimmte Zeile. Mehr zur Auswahl steht unter 2-Bay-NAS und 4-Bay-NAS. Wer statt eines fertigen Geräts einen Homeserver aufsetzt, findet die Software-Frage unter TrueNAS oder Synology und Unraid oder TrueNAS; welche Dienste dort Daten an Dritte übertragen, haben wir für diese Seite nicht recherchiert.