Ein Hyper-Backup auf einem Remote Synology NAS mit Tailscale ist die eleganteste Lösung, wenn du deine Daten an einen zweiten Standort sichern willst, dort aber keine Portweiterleitung einrichten kannst. Synology selbst empfiehlt für Backups auf einen entfernten Hyper Backup Vault klassisch Portweiterleitung plus DDNS – über Synology QuickConnect funktioniert das nämlich nicht. In vielen Anschlusssituationen ist eine Portfreigabe aber schlicht nicht möglich. Dieser Guide zeigt dir Schritt für Schritt, wie du die Verbindung mit der kostenlosen Tailscale-Version herstellst und dein Backup zuverlässig über das verschlüsselte Mesh-Netz laufen lässt.
Warum Portweiterleitung oft nicht funktioniert
Für ein Remote-Backup zwischen zwei Synology-Systemen muss das Quell-NAS den Hyper Backup Vault des Ziel-NAS über das Internet erreichen. Ohne QuickConnect bleibt normalerweise nur die klassische Portweiterleitung im Router. Genau das lässt sich aber in mehreren Konstellationen nicht umsetzen:
- CGNAT (Carrier-Grade NAT): Der Provider vergibt keine eigene öffentliche IPv4-Adresse, sondern teilt sie unter vielen Kunden auf. Portfreigaben ins Heimnetz sind damit unmöglich.
- DS-Lite / Dual-Stack Lite: Viele Kabel- und Glasfaseranschlüsse liefern nur noch IPv6 nativ, IPv4 läuft getunnelt. Eingehende IPv4-Verbindungen scheitern.
- Starlink und andere Satelliten-/Mobilfunk-Anschlüsse: Auch hier steckst du hinter CGNAT und hast keine erreichbare öffentliche Adresse.
Die Lösung: Statt Ports im Router zu öffnen, verbindest du beide NAS-Geräte über ein privates, verschlüsseltes WireGuard-Mesh. Genau das leistet Tailscale – und schon die kostenlose Free-Version reicht für dieses Szenario völlig aus. Wie Tailscale grundsätzlich funktioniert und wie du es einrichtest, erklärt der Einstieg Tailscale einrichten: erste Schritte.
Voraussetzungen
- Zwei Synology-NAS mit DSM 7 oder neuer (Quell- und Ziel-System).
- Ein kostenloses Tailscale-Konto (ein gemeinsames Tailnet für beide Geräte).
- Hyper Backup auf dem Quell-NAS und Hyper Backup Vault auf dem Ziel-NAS installiert.
- Admin-Zugriff auf beide DSM-Oberflächen.
Hyper-Backup über Tailscale auf dem Synology NAS einrichten
Schritt 1: Tailscale-Paket auf beiden Synology-Systemen installieren
Öffne auf beiden NAS das Synology Paketzentrum und installiere das offizielle Tailscale-Paket. Melde jedes Gerät anschließend an demselben Tailnet an. Nach der Anmeldung erhält jedes NAS eine feste Tailscale-IP aus dem Bereich 100.x.y.z, über die sich die Geräte künftig direkt erreichen. Deaktiviere im Tailscale-Adminbereich für beide Geräte den Key-Ablauf (Key expiry) – sonst würde die Verbindung nach einiger Zeit unbemerkt abreißen und dein Backup fehlschlagen.
Schritt 2: DSM so konfigurieren, dass es das Tailscale-Netz sieht
Seit DSM 7 erlaubt Synology installierten Paketen aus Sicherheitsgründen standardmäßig nicht, eigene Routen im System zu setzen. Die Folge: Du kannst dich zwar von außen über Tailscale mit dem NAS verbinden, das NAS selbst kann aber nichts im Tailscale-Netz erreichen. Für dein Vorhaben ist genau das entscheidend – ohne diese ausgehende Route kann das Quell-NAS den entfernten Hyper Backup Vault nicht ansprechen.
Du musst deshalb ausgehende Tailscale-Verbindungen auf dem Synology NAS explizit erlauben. Wie das im Detail über die DSM-Konfiguration und den Task-Scheduler funktioniert, beschreibt der Guide Tailscale auf Synology: Fernzugriff ohne Portfreigabe. Führe diesen Schritt auf dem Quell-NAS aus, das später das Backup verschickt.
Schritt 3: Den Hyper-Backup-Auftrag erstellen
Öffne nun auf dem Quell-NAS die App Hyper Backup und lege eine neue Sicherungsaufgabe an. Wähle als Ziel „Remote NAS“ (Hyper Backup Vault). Trage bei „Remote NAS IP“ die Tailscale-IP 100.x.y.z des Ziel-Geräts ein – nicht dessen lokale Heimnetz-IP. Gib anschließend die Zugangsdaten des Backup-Kontos auf dem Ziel-NAS ein, wähle den freigegebenen Ordner des Hyper Backup Vault und lege fest, welche Ordner und Anwendungen gesichert werden sollen.
Schritt 4: Zeitplan festlegen und Test-Backup starten
Vergib einen Zeitplan für die Sicherung (z. B. täglich nachts) und aktiviere bei Bedarf Versionierung und Client-seitige Verschlüsselung. Starte anschließend ein manuelles Test-Backup. Läuft es durch, funktioniert die Verbindung über das Tailscale-Netz zuverlässig – ganz ohne offene Ports in deinem Router.
Tipps für einen stabilen Betrieb
- Key-Ablauf dauerhaft deaktiviert lassen: Ein abgelaufener Schlüssel ist die häufigste Ursache für plötzlich fehlschlagende Backups.
- Feste Tailscale-IPs verwenden: Trage im Backup-Auftrag immer die
100.x.y.z-Adresse ein, damit die Verbindung auch nach einem Neustart stimmt. - Benachrichtigungen aktivieren: Lass dich von DSM per E-Mail über fehlgeschlagene Sicherungen informieren.
- DNS im Blick behalten: Wenn du Tailscale MagicDNS oder eigene DNS-Server nutzt, hilft dir DNS-Server am Synology-Router ändern bei der sauberen Namensauflösung.
Fazit
Mit Tailscale sicherst du dein Synology NAS per Hyper Backup zuverlässig auf ein entferntes Gerät, ohne eine einzige Portweiterleitung anzulegen. Das macht die Methode ideal für Anschlüsse mit CGNAT, DS-Lite oder Starlink. Der Aufwand ist überschaubar: Tailscale-Paket installieren, ausgehende Verbindungen erlauben, den Hyper-Backup-Auftrag mit der Tailscale-IP anlegen – fertig. Das Ergebnis ist ein verschlüsseltes Offsite-Backup, das dauerhaft im Hintergrund läuft.
Häufige Fragen (FAQ)
Funktioniert Hyper Backup auf ein Remote NAS auch über QuickConnect?
Nein. Synology QuickConnect ist nicht für Hyper-Backup-Aufträge auf einen entfernten Hyper Backup Vault ausgelegt. Offiziell empfiehlt Synology Portweiterleitung mit DDNS – oder eben eine VPN-/Mesh-Lösung wie Tailscale, wenn keine Portfreigabe möglich ist.
Reicht die kostenlose Tailscale-Version für das Backup aus?
Ja. Für die Verbindung zwischen zwei Synology-NAS genügt die Free-Version von Tailscale vollständig. Beide Geräte müssen nur im selben Tailnet angemeldet sein.
Warum muss ich ausgehende Verbindungen in DSM extra erlauben?
Seit DSM 7 dürfen Pakete standardmäßig keine eigenen Routen setzen. Ohne diese Freigabe erreicht das NAS zwar eingehende Tailscale-Zugriffe, kann aber selbst nichts im Tailscale-Netz ansprechen – und damit auch nicht den entfernten Hyper Backup Vault.
Welche IP-Adresse trage ich im Hyper-Backup-Auftrag ein?
Immer die Tailscale-IP des Ziel-NAS aus dem Bereich 100.x.y.z, nicht die lokale Heimnetz-Adresse. Nur so läuft die Verbindung über das verschlüsselte Tailscale-Mesh.
Was passiert, wenn der Tailscale-Schlüssel abläuft?
Dann bricht die Verbindung ab und das Backup schlägt fehl. Deaktiviere deshalb im Tailscale-Adminbereich für beide NAS den Key-Ablauf (Key expiry), damit die Sicherung dauerhaft stabil läuft.
Ist die Backup-Übertragung über Tailscale verschlüsselt?
Ja. Tailscale baut die Verbindung über das WireGuard-Protokoll auf und verschlüsselt den gesamten Datenverkehr Ende-zu-Ende. Zusätzlich kannst du in Hyper Backup eine Client-seitige Verschlüsselung aktivieren.