III: Synology erklärt, warum die zweite Backup-Warnung nie kommt

Der Microsoft Defender hält Synology-Backups auf den Servern der Betroffenen für einen Trojaner und schiebt diese Software in Quarantäne, wodurch das Backup nicht mehr ausgeführt wird. Zum Problem wird das, weil Windows nur einmalig eine Warnung über ein gescheitertes Backup meldet.

Rückblick auf das Backup- und Defender-Problem

Blog-Leser Stefan M. informierte mich die Tage über ein Problem mit gescheiterten Synology Backups. Der Microsoft Defender hält eine Verbindungsprüfung der Synology-Backup-Software (ABB) für einen Trojaner und hat diese verschiedenen Servern des Lesers in Quarantäne geschoben. Dadurch laufen die Sicherungen nicht mehr durch.

Ich hatte im Beitrag I: Microsoft Defender hält Synology-Backups für einen Trojaner (3.8.2026) die Details sowie die tiefere Analyse des Blog-Lesers bereits eingestellt. Später hat mir der Blog-Leser noch die Rückmeldungen von Microsoft und Synology auf seine Supportanfragen zukommen lassen. Sachstand ist, dass Microsoft nichts an seinen Signaturdateien zur Erkennung der Befehle ändert will.

Synology prüft derzeit, wie die Verbindungsprüfung ausgeführt wird, ohne die Erkennung einer Schadfunktion durch den Microsoft Defender zu triggern. Wann da ein Fix kommt, ist offen, wie ich im Beitrag II: Nachtrag zum Defender-Fehlalarm: Rückmeldung von Synology und Microsoft mit erwähnt habe. Für betroffene Administratoren ergeben sich gleich zwei Probleme:

• Ein Administrator kann im Microsoft Defender die fehlerhafte Erkennung des Synology Backups nicht einfach über die Schaltfläche "Zulassen" korrigieren. Denn der Trigger erfolgt über einen Befehl zur Verbindungsprüfung und Zulassen würde die Erkennungsregel des Defender dauerhaft außer Kraft setzen.
• Die Benachrichtigung, dass das Synology Backup gescheitert ist, kommt nur ein einziges Mal. Nach der ersten fehlgeschlagenen Sicherung erfolgt noch eine erste Meldung, danach bleibt die Alarmierung stumm.

Ich bin in den beiden oben verlinkten Teilen 1 und 2 der Artikelreihe detaillierter auf die beiden angesprochenen Punkte eingegangen. Offen ist noch, warum nur eine Meldung über das fehlgeschlagene Backup ausgelöst wird?

Warum die 2. Warnung nie kommt

Blog-Leser Stefan M. hat mir in einer dritten E-Mail auch dort einige Details zukommen lassen, die er von Synology auf seine Supportanfrage erfahren hat. Der Leser schrieb: "Ich hatte Ihnen heute Nacht geschrieben, dass die fehlgeschlagenen Sicherungen nach der ersten Meldung stumm blieben. Synology hat inzwischen erklärt, warum. Das Backup schweigt nicht aus Versehen – es schweigt nach Plan."

Falle Mail Throttling

Der Mechanismus heißt Mail Throttling und ist vom Hersteller bewusst in seinem Produkt eingebaut worden. Der Synology-Support schreibt dazu:

"Once the first email is sent for a specific error type, the system begins a 24-hour suppression window for that same error type on that device — subsequent failures triggered by the same cause are logged but do not trigger additional emails during that window."

Nach der ersten Fehlermeldung herrscht für denselben Fehlertyp also 24 Stunden Funkstille. Den Leser hat dies hart getroffen, denn seine Hypervisoren sollen stündlich gesichert werden. Ein Fehlschlag des Synology-Backups löst also lediglich eine Mail aus. die 23 beim Leser folgenden Fehlschläge des Backups ergeben keine separate Mail, sondern nur noch Einträge im Error-Log. Ein Administrator müsste also die Log-Dateien auswerten.

Gedacht ist Mail Throttling gegen überflutete Postfächer, was durchaus einleuchten ist. Synology benennt die Kehrseite dieser Regelung: "the current design has no way to distinguish 'one blip that resolved itself' from 'a fault that has persisted for hours'."

Mail Throttling nicht anpassbar

Das derzeitige Design der Benachrichtigung kann also nicht zwischen einem einmaligen (Backup-) Fehlerereignis, dass sich selbst behebt, und einem über längere Zeit bestehenden Backup-Problem unterscheiden. Für die Mitleserschaft daher das Resumee des Lesers:

Wer von seiner Synology auch nur eine einzige Meldung über eine fehlgeschlagene Sicherung bekommt, muss den Zustand der Backups von Hand prüfen – und darf nicht auf die zweite Meldung warten. Sie kommt nicht.

Einstellbar ist am Mail Throttling nichts, schrieb der Leser, kein kürzeres Intervall, keine Eskalation nach mehreren Fehlschlägen, keine Zustandsmeldung. Inzwischen wurde vom Synology-Suppport ein Feature Request inter eingereicht, wobei der Fall des Lesers als Begründung herhalten muss. 

Die Falle für erfahrene Administratoren

log-Leser Stefan M. schrieb mir dazu: "Genau hier liegt die Falle, und sie zielt auf die erfahrenen Kollegen. Eine einzelne fehlgeschlagene Sicherung ist Alltag: Netzhänger, Neustart, Wartungsfenster. Man ärgert sich kurz und wartet den nächsten Lauf ab, weil der praktisch immer klappt. Bleibt es danach still, liest man das als Entwarnung." Und hier lauert die Gefahr, denn die "Stille" durch ausbleibende Meldungen ist keine Entwarnung. Es sei der derselbe stumme Zustand, den auch ein tagelanger Totalausfall erzeugt.

Beim Leser waren es mehrere Stunden ungesicherter virtueller Maschinen, und dies, obwohl alles richtig eingerichtet war: Benachrichtigungen aktiv, Kategorie gesetzt, Testmail kommt an. Der Fehler des Lesers lag darin, dass er nach der ersten Warnung per E-Mail die ausbleibenden Folgewarnungen für ein gute Nachricht gehalten hatte und annahm, dass die Sicherung nun wieder durchläuft.

Wer es sauber lösen will, schrieb der Leser, dreht die Logik um: nicht auf Fehlermeldungen warten, sondern aktiv überwachen, ob der letzte erfolgreiche Lauf jung genug ist. Ein Backup-Monitoring, das nur auf Alarme hört, hört im Ernstfall genau einmal etwas – und danach nie wieder. Also der Sachverhalt in kurz:

• Der Virenscanner (Microsoft Defender) hält das Synology-Backup bzw. dessen Befehl zur Verbindungsprüfung für einen Trojaner und schiebt die Software in Quarantäne.
• Die für Administratoren naheliegende Abhilfe, den Fehlalarm samt der in Quarantäne geschobene Software über die Option Zulassen zur Ausführung freizugeben, schaltet die Erkennungsregel geräteweit ab.
• Microsoft bescheinigt dem Code zur Verbindungsprüfung zwar Harmlosigkeit, ändert aber trotzdem nichts an der Signaturdatei.
• Synology prüft derzeit, wie man das Problem, dass der Befehl zur Verbindungsprüfung als Trojaner erkannt wird, beheben kann.
• Die Hoffnung des Administrators, dass er bei einem fehlgeschlagenen Backup regelmäßig benachrichtigt wird, hat sich auch in "Luft" aufgelöst.

Das ist in meinen Augen schon eine tückische Falle, und vielleicht helfen anderen Betroffenen die Ausführungen in den drei Beiträgen dieser Artikelreihe, diese Klippen zu umschiffen. Mein Dank geht an Blog-Leser Stefan M., der seine Erkenntnisse mit mir geteilt und so der Leserschaft zugänglich gemach that.

Artikelreihe
I: Microsoft Defender hält Synology-Backups für einen Trojaner (3.8.2026)
II: Nachtrag zum Defender-Fehlalarm: Rückmeldung von Synology und Microsoft
III: Synology erklärt, warum die zweite Backup-Warnung nie kommt