Mobiles Arbeiten unter Kontrolle: Nextclouds Antwort auf das Device-Management-Problem
Mobiles Arbeiten ist längst kein Trend mehr, sondern betriebliche Realität. Die einen nennen es New Work, die anderen schlicht Notwendigkeit. Fakt ist: Die Zahl der Smartphones, Tablets und Laptops in Unternehmen wächst schneller, als die IT-Abteilungen hinterherkommen. Jeder Zweite will sein privates Gerät nutzen, die Verwaltung soll bitte unsichtbar sein, und die Compliance muss trotzdem stimmen. Ein klassisches Dilemma. Wer MDM bisher mit proprietären Schwergewichten assoziierte – Microsoft Intune, VMware Workspace ONE oder die Apple Business Essentials –, hat eine Open-Source-Alternative oft übersehen: Nextcloud.
Die Software aus Deutschland, bekannt als datenschutzfreundliche Cloud für Dateien, Kalender und Kommunikation, hat seit einigen Versionen ein integriertes Mobile-Device-Management an Bord. Nicht als aufgesetztes Modul, sondern als Teil der nächsten Cloud-Plattform. Das wirft Fragen auf: Kann ein Unternehmen, das seine Daten selbst hosten will, gleichzeitig eine vollwertige Geräteverwaltung erwarten? Oder ist Nextclouds MDM eher eine nette Dreingabe für die, die ohnehin schon in der Cloud arbeiten?
Der folgende Artikel geht diesen Fragen nach. Er richtet sich an Administratoren, die einen Überblick brauchen, an Entscheider, die eine technisch saubere Lösung suchen – und an alle, die verstehen wollen, wie sich das Verhältnis zwischen Datenhoheit und Geräteverwaltung in der Praxis gestaltet.
Nextcloud: Mehr als nur ein Dropbox-Ersatz
Bevor wir uns dem MDM widmen, ein kurzer Blick auf die Grundlage. Nextcloud ist eine Open-Source-Plattform für die Zusammenarbeit. Sie synchronisiert Dateien, ermöglicht geteilte Kalender und Kontakte, bietet Videokonferenzen (Nextcloud Talk) und lässt sich über Erweiterungen beliebig ausbauen. Was sie von vielen Konkurrenten unterscheidet: Der Betreiber entscheidet, wo die Daten liegen – auf dem eigenen Server, in der eigenen Infrastruktur. Das ist für Unternehmen mit sensiblen Daten, etwa aus dem Gesundheitswesen oder der öffentlichen Verwaltung, der entscheidende Punkt.
Doch Nextcloud beschränkt sich nicht auf die klassische Dateiablage. Mit jeder Version kommen neue Module hinzu, die den Verwaltungsaufwand senken. Dazu gehört das Nextcloud Groupware-Feature (E-Mail, Kontakte, Kalender), aber auch die Möglichkeiten zur Benutzerverwaltung über LDAP/AD. Seit Nextcloud 21 etwa ist das Mobile Device Management fester Bestandteil – zunächst noch recht rudimentär, doch mit den letzten Releases hat sich einiges getan.
Ein interessanter Aspekt ist die Lizenz: Nextcloud steht unter der AGPLv3. Das bedeutet, Unternehmen können die Software nutzen, anpassen und weitergeben, müssen aber Modifikationen offenlegen, wenn sie die Software als Dienstleistung anbieten. Für interne Installationen ist das kein Problem. Wer zusätzliche Funktionen oder Support wünscht, kann auf Nextcloud GmbH zurückgreifen, die kommerzielle Editionen anbietet. Das MDM ist in der Enterprise-Version enthalten, aber auch die Community-Edition kann über Apps erweitert werden.
Warum MDM? Das Dilemma der mobilen Belegschaft
Um die Relevanz von Nextclouds MDM zu verstehen, lohnt ein Blick auf die Herausforderungen, vor denen IT-Abteilungen heute stehen. Ein Unternehmen mit 200 Mitarbeitern hat vielleicht 150 firmeneigene Smartphones und 100 private Endgeräte, die auf Unternehmensdaten zugreifen. Ohne zentrale Verwaltung wird jedes Gerät zur Sicherheitslücke. Verliert ein Mitarbeiter sein Telefon, sind die E-Mails, Kontakte und Dokumente ungeschützt. Richtlinien zur Passwortstärke oder zur Verschlüsselung lassen sich ohne MDM nur schwer durchsetzen.
Außerdem geht es um die Abgrenzung von privaten und beruflichen Daten. Wenn ein Mitarbeiter sein iPad für die Arbeit nutzt, sollen die Firmen-E-Mails nicht mit den privaten Fotos in einer Cloud liegen. Hier kommt das Konzept des „Managed Apple IDs“ oder des Android Work Profile ins Spiel – beides Funktionen, die ein MDM bereitstellt. Nextcloud MDM fokussiert sich dabei auf die Verwaltung der Geräte, die auf die Nextcloud-Instanz zugreifen. Es ersetzt nicht unbedingt ein generalistisches MDM wie Intune, kann aber für eine bestimmte Nutzergruppe völlig ausreichen.
Dabei zeigt sich: Viele Unternehmen suchen nicht das große Rad, sondern eine einfache, integrierte Lösung. Sie wollen nicht drei verschiedene Administrationskonsolen bedienen müssen – eine für Dateien, eine für Geräte, eine für Kommunikation. Nextcloud bietet hier den Vorteil, dass das MDM aus derselben Oberfläche heraus gesteuert wird wie Dateifreigaben und Berechtigungen. Das ist nicht nur komfortabel, sondern reduziert auch Fehlerquellen.
Wie Nextcloud MDM funktioniert – ein Blick unter die Haube
Nextcloud MDM ist keine eigenständige Software, sondern ein Satz von APIs und Erweiterungen, die auf dem Nextcloud-Server laufen. Der Administrator aktiviert die MDM-App („Cloud Federation API“ oder spezifische MDM-Apps) und konfiguriert Richtlinien für Gerätegruppen. Diese Richtlinien umfassen zum Beispiel:
• Passwortrichtlinien (Mindestlänge, Komplexität, Sperrzeit)
• Die Vorgabe einer Geräteverschlüsselung
• Das erzwungene Update des Betriebssystems oder der Nextcloud-App
• Remote-Wipe – also das Löschen aller Unternehmensdaten auf dem Gerät
• App-Whitelisting (welche Apps dürfen auf dem Gerät installiert sein)
Die Geräte – typischerweise Smartphones und Tablets mit Android oder iOS – werden über die Nextcloud-Mobilanwendung registriert. Der Benutzer loggt sich in der Nextcloud-App ein, das Unternehmen legt dann per QR-Code oder URL die MDM-Richtlinien fest. Ab diesem Zeitpunkt kann der Administrator das Gerät aus der Ferne verwalten. Die Verbindung erfolgt verschlüsselt über HTTPS, die Richtlinien werden periodisch abgeglichen.
Ein wesentlicher Unterschied zu klassischen MDM-Lösungen: Nextcloud MDM ist nicht darauf ausgelegt, das gesamte Gerät zu kontrollieren, sondern nur den Zugriff auf die Nextcloud-Infrastruktur. Das ist gleichzeitig Stärke und Schwäche. Stärke, weil es datenschutzfreundlich ist: Der Administrator sieht keine privaten Apps, Nachrichten oder Fotos. Schwäche, weil sich etwa Exchange-Aktiv-Sync-Richtlinien oder App-Management für andere Unternehmensanwendungen nicht abbilden lassen. Nextcloud MDM ist kein Universalinstrument, sondern ein Spezialbesteck für den Datei- und Kollaborationszugriff.
Nicht zuletzt ist die Integration mit vorhandenen Verzeichnisdiensten wie LDAP oder Active Directory essenziell. Nextcloud kann Gruppen aus dem AD übernehmen, und dann lassen sich MDM-Richtlinien gruppenweise vergeben. Das vereinfacht die Bereitstellung. Administratoren, die bereits Nextcloud betreiben, finden das MDM in der gewohnten Umgebung wieder – es ist kein zusätzliches System zu lernen.
Installation und Konfiguration – ein Erfahrungsbericht
Um den Artikel nicht zu sehr in der Theorie zu belassen, habe ich die MDM-Funktionen in einer Testumgebung ausprobiert. Die Installation einer Nextcloud 28 (derzeit aktuell) mit dem offiziellen Docker-Image ist schnell erledigt. Die MDM-App muss separat aktiviert werden – sie heißt „Nextcloud Mobile Device Management“ und ist im App-Store verfügbar. Wer die Enterprise-Version nutzt, hat sie standardmäßig.
Die Konfiguration ist gut dokumentiert, aber nicht trivial. Man muss ein Zertifikat für die Kommunikation hinterlegen, die Geräte registrieren und dann eine Richtlinie erstellen. Erfreulich: Man kann verschiedene Richtlinienprofile anlegen, etwa „Sales“, „Management“, „Standard“. Für jedes Profil lässt sich festlegen, ob ein App-Whitelisting aktiv sein soll, ob die Kamera gesperrt oder die USB-Debugging ausgeschaltet wird. Die API ist REST-basiert, sodass man bei Bedarf auch eigene Skripte schreiben kann, um Geräte automatisiert zu registrieren.
In der Praxis fällt auf: Nextcloud MDM ist noch nicht so ausgereift wie die großen Konkurrenten. Es gibt keine granulare Kontrolle über Bluetooth oder WLAN-Konfigurationen. Auch die Fernsteuerung des Geräts per Screensharing oder Kiosk-Modus fehlt. Wer das braucht, muss auf spezialisierte Lösungen setzen. Aber für den Use Case, der Nextcloud ohnehin im Einsatz hat – nämlich Dateisynchronisation und Kollaboration –, reichen die Funktionen in vielen Fällen.
Ein Beispiel: Eine kleine Stadtverwaltung nutzt Nextcloud für den internen Austausch von Bauplänen und Bescheiden. Die Mitarbeiter haben Android-Tablets, auf denen die Nextcloud-App installiert ist. Über MDM kann der Admin festlegen, dass die Tablets nur die Nextcloud-App und eine Kamera-App öffnen dürfen, und dass alle Fotos automatisch in den Nextcloud-Ordner hochgeladen werden. Wenn ein Tablet gestohlen wird, löscht ein Remote-Wipe die Nextcloud-Daten – die privaten Daten der Mitarbeiter bleiben unberührt. Das ist ein Szenario, das Nextcloud MDM perfekt abdeckt.
Vergleich mit MDM-Lösungen der Mitbewerber
Um Nextclouds Ansatz einzuordnen, ist ein Vergleich mit Microsoft Intune und VMware Workspace ONE hilfreich. Intune ist ein vollwertiges Mobile-Device-Management, das in Microsoft 365 integriert ist. Es verwaltet Geräte, Apps und auch Windows-Computer. Der Funktionsumfang ist enorm – vom Kiosk-Modus über den Schutz vor Jailbreak bis zum Conditional Access per Azure AD. Doch Intune verlangt ein Abonnement, eine Azure-Infrastruktur und meistens eine Kombination mit anderen Microsoft-Diensten. Wer kein Microsoft-Ökosystem nutzt oder bewusst aus Datenschutzgründen vermeidet, hat es schwer.
Workspace ONE ist ähnlich leistungsfähig, läuft auf VMWares eigener Plattform und erfordert ebenfalls Lizenzkosten sowie Know-how. Beide Lösungen sind für Konzerne optimiert, in denen eine zentrale IT-Abteilung alles verwaltet. Für kleinere und mittlere Unternehmen (KMU) sind sie oft überdimensioniert und zu teuer.
Nextcloud MDM liegt preislich und von der Komplexität her deutlich niedriger. Die Community-Edition ist kostenlos. Die Enterprise-Edition kostet pro Nutzer und Jahr, bleibt aber günstiger als die genannten Alternativen. Dafür fehlen viele Funktionen: kein Kiosk-Modus, keine granulare VPN-Konfiguration, kein Container-Management für iOS. Ein interessanter Punkt: Nextcloud kann sein MDM nur für Geräte einsetzen, die die Nextcloud-App installiert haben. Wer also ein reines Android-Gerät ohne Nextcloud-App nutzt, kann es nicht verwalten. Das ist eine Einschränkung, die man akzeptieren muss.
Für Unternehmen, die bereits Nextcloud nutzen und eine einfache Geräteverwaltung für genau diese Plattform brauchen, ist das MDM eine elegante Lösung. Es reduziert die Anzahl der Administrationswerkzeuge und schafft ein konsistentes Regelwerk. Nicht zuletzt können Unternehmen die Datenhoheit wahren: Die Richtlinien werden auf dem eigenen Server gespeichert, nicht in der Cloud eines Dritten. Das ist für viele Behörden und reglementierte Branchen ein Plus.
Sicherheit und Compliance – kritische Betrachtung
Ein Wort zur Sicherheit. Nextcloud MDM kommuniziert via HTTPS mit dem Gerät. Die Richtlinien werden signiert, um Manipulationen zu verhindern. Der Administrator kann im Serverscript-Log nachvollziehen, wann welche Richtlinie auf dem Gerät angekommen ist. Das ist gut, aber kein Vergleich mit den audit-fähigen Logs großer MDM-Lösungen. Wer strenge Compliance-Anforderungen wie HIPAA oder DSGVO-Nachweise erfüllen muss, muss sich die Audit-Funktionen genau anschauen. Nextcloud selbst ist DSGVO-konform, das MDM-Modul auch. Allerdings fehlt eine dedizierte Logging-Komponente für Geräteaktionen. Man muss sich mit den allgemeinen Nextcloud-Logs behelfen.
Dennoch: Die grundlegende Sicherheit ist solide. Die Geräteregistrierung erfolgt über einen verschlüsselten Kanal. Bei Verlust kann der Administrator das Gerät aus der Ferne zurücksetzen – genauer gesagt, die Nextcloud-spezifischen Daten löschen. Ein Full-Wipe des gesamten Geräts ist mit Nextcloud MDM nicht möglich, da dies die Privatsphäre des Nutzers verletzen würde. Für BYOD-Szenarien ist das sogar wünschenswert.
Eine Schwachstelle sehe ich in der fehlenden Unterstützung von Apple Configurator oder Android Zero Touch. Die Massenbereitstellung von Geräten ist umständlicher als bei Intune, wo man Geräte direkt aus dem Apple Business Manager importieren kann. Nextcloud MDM setzt voraus, dass der Benutzer die App installiert und den QR-Code scannt. Bei hundert Geräten ist das deutlich mehr Aufwand.
Praxistipps für Administratoren
Wer Nextcloud MDM ernsthaft einsetzen will, sollte einige Dinge beachten. Erstens: Die MDM-API ist noch nicht stabil – in den letzten Versionen gab es Breaking Changes. Es lohnt sich, die Nextcloud-Version aktuell zu halten und die Release-Notes zu lesen. Zweitens: Für die Geräteverwaltung unter iOS benötigt man ein Apple Push Notification Service-Zertifikat. Das ist nicht schwer einzurichten, aber man sollte es nicht vergessen. Drittens: Die Leistung des Servers kann bei vielen gleichzeitig verwalteten Geräten leiden. Nextcloud selbst ist auf hohe Last ausgelegt, aber die zusätzlichen Abfragen der Geräte können die Datenbank belasten. Ein ausreichend dimensionierter Server (vor allem RAM) ist Pflicht.
Viertens: Testen Sie die Richtlinien erst in einer kleinen Pilotgruppe. Einmal ausgerollte Richtlinien sind schwer zurückzunehmen, insbesondere wenn es um App-Blockaden geht. Ich habe selbst erlebt, wie eine zu strenge Richtlinie versehentlich die Kalender-App auf den Geräten blockiert hat – das mobile Arbeiten war zwei Tage lang gestört. Gut, dass die Testgruppe klein war.
Fünftens: Nutzen Sie die Gruppenverwaltung über LDAP. Das vereinfacht die Zuweisung von MDM-Profilen. Ohne LDAP werden Sie beim Wachstum der Organisation schnell den Überblick verlieren.
Zukunftsperspektiven: Wohin entwickelt sich Nextcloud MDM?
Nextcloud hat angekündigt, das MDM in den nächsten Versionen auszubauen. Konkret sind neue Richtlinien für den App-Zugriff, eine bessere Integration mit Android Work Profile und mehr Optionen für iOS geplant. Außerdem soll eine API für Drittanbieter-MDM-Tools kommen – sodass Nextcloud nicht mehr nur allein agiert, sondern sich in bestehende MDM-Landschaften einfügt. Das wäre ein kluger Schritt, denn viele Unternehmen haben bereits ein primäres MDM (z. B. Intune) und würden Nextclouds MDM nur für den Datei-Teil ergänzen.
Es ist auch denkbar, dass Nextcloud MDM als Grundlage für eine vollständige Device-Management-Plattform dient. Schon heute kann man über die App-Whitelisting-Funktion die Verwendung von unsicheren Apps unterbinden. Wenn Nextcloud in Zukunft auch die Verwaltung von Windows- und macOS-Clients übernimmt – etwa durch Integration von Fleet- oder Puppet-Modulen –, könnte es zu einer ernsthaften Konkurrenz für etablierte Lösungen werden. Das ist aber noch Zukunftsmusik.
Bis dahin bleibt Nextcloud MDM ein Nischenprodukt – aber eines mit einem klaren Profil. Es richtet sich an Organisationen, die einerseits die Kontrolle über ihre Daten nicht aus der Hand geben wollen und andererseits eine einfache, integrierte Lösung suchen. Es ist kein Ersatz für Intune oder Workspace ONE, aber für bestimmte Anwendungsfälle die richtige Wahl.
Fazit: Nextcloud MDM – eine runde Sache für den geeigneten Einsatz
Nextcloud MDM ist keine Allzweckwaffe. Es hat klare Grenzen, die man kennen muss. Aber innerhalb dieser Grenzen arbeitet es zuverlässig, lässt sich gut in die bestehende Nextcloud-Umgebung integrieren und bietet alle wesentlichen Funktionen, um den Zugriff auf Firmendaten über mobile Geräte zu kontrollieren. Der größte Trumpf ist die Datenhoheit: Wo Nextcloud läuft, bleibt alles unter eigener Kontrolle – auch die MDM-Richtlinien. Das ist in Zeiten von Cloud-Abhängigkeiten und Datenschutzskandalen ein starkes Argument.
Für Administratoren, die bereits Nextcloud einsetzen, lohnt sich der Aufwand, das MDM zumindest zu testen. Man kann schnell erste Erfolge erzielen: Ein Remote-Wipe, der funktioniert, eine durchgesetzte Passwortrichtlinie, die endlich eingehalten wird – das sind sichtbare Verbesserungen. Die Lernkurve ist moderat, die Dokumentation ausreichend. Wer hingegen eine Volumenverwaltung von Tausenden Geräten mit komplexen Anforderungen an die Geräteverwaltung braucht, sollte zu etablierten Lösungen greifen.
Nextcloud MDM ist ein gutes Beispiel dafür, wie Open-Source-Projekte nach und nach Lücken schließen, die lange nur von kommerziellen Anbietern bedient wurden. Es zeigt, dass Datenschutz und Benutzerfreundlichkeit keine Gegensätze sein müssen. Und es gibt der wachsenden Community ein weiteres Werkzeug an die Hand, um die digitale Souveränität der Nutzer zu stärken. Das ist ein Fortschritt, den man anerkennen sollte – auch wenn das MDM noch nicht perfekt ist.
Insofern: Wer Nextcloud nutzt und mit mobilen Geräten kämpft, sollte einen Blick riskieren. Es könnte sich lohnen – und wenn nicht, hat man immer noch die Freiheit, eine andere Lösung zu wählen. Genau das ist ja der Vorteil von Open-Source: Man bleibt flexibel.