Nextcloud und MaRisk Open Source im Spannungsfeld der Bankenregulierung

Nextcloud und MaRisk: Kann Open Source den strengen Bankenaufsichtsregeln genügen?

Seit Jahren geistert Nextcloud durch die Köpfe deutscher IT-Entscheider. Wer eine eigene Cloud-Umgebung betreiben will, kommt an der Open-Source-Plattform kaum vorbei. Die Software verspricht Souveränität über die eigenen Daten, Verschlüsselung auf mehreren Ebenen und eine modulare Architektur, die sich an die Bedürfnisse jedes Unternehmens anpassen lässt. Doch besonders Banken und Versicherungen stehen vor der Frage: Genügt das System den regulatorischen Anforderungen der MaRisk? – Ein Blick hinter die Kulissen zeigt: Es ist kompliziert, aber machbar.

Die Mindestanforderungen an das Risikomanagement, kurz MaRisk, sind für Finanzinstitute das zentrale Regelwerk. Sie legen fest, wie Risiken identifiziert, bewertet, gesteuert und überwacht werden müssen. Mit der letzten Novelle 2023 (BAIT – Bankaufsichtliche Anforderungen an die IT) sind auch die Anforderungen an die Informationstechnologie massiv gestiegen. Cloud-Dienste, egal ob Public oder Private, fallen unter die strengen Auslagerungsregeln. Wer als Institut eine Cloud-Lösung wie Nextcloud einsetzen möchte, muss nachweisen, dass die Datenintegrität, Vertraulichkeit und Verfügbarkeit jederzeit gewährleistet sind. Dass die Software Open Source ist, wird von den Prüfern oft kritisch hinterfragt – dabei könnte genau das ein Vorteil sein.

Nextcloud in der Bankenwelt – ein digitales Tresorregal

Stellen Sie sich Nextcloud vor wie ein digitales Tresorregal, bei dem Sie selbst den Schlüssel für jedes Fach besitzen. Anders als bei US-amerikanischen Cloud-Anbietern bleibt die Kontrolle über die Daten im eigenen Haus. Genau das ist für Institute, die unter MaRisk fallen, ein entscheidendes Argument. Nextcloud kann on-premises betrieben werden, also auf Servern innerhalb der Bank oder eines deutschen Rechenzentrums. Die Kommunikation erfolgt verschlüsselt, die Dateien werden standardmäßig AES-256-verschlüsselt. Darüber hinaus gibt es die Möglichkeit, eine Ende-zu-Ende-Verschlüsselung für besonders sensible Dokumente zu aktivieren. Ein interessanter Aspekt ist: Die Verschlüsselungsschlüssel können auf einem separaten HSM (Hardware Security Module) gespeichert werden, das den MaRisk-Vorgaben für Schlüsselmanagement entspricht. Das klingt technisch, ist aber für die Compliance unverzichtbar.

Doch Nextcloud ist mehr als nur eine Dateiablage. Die Plattform bietet Groupware-Funktionen wie Kalender, Kontakte, E-Mail-Integration, und vor allem die Kollaborationsplattform „Talk“ für verschlüsselte Videokonferenzen. Für Banken bedeutet das: Interne Kommunikation, die den gleichen Sicherheitsstandard erfüllt wie die Datenablage. Alles aus einer Hand. Kein wildes Zusammenspiel unterschiedlicher Dienste, die einzeln auditiert werden müssten. Die MaRisk verlangt eine konsistente Sicherheitsarchitektur – Nextcloud kann da ein Puzzleteil sein, aber eben nicht das ganze Bild.

MaRisk-konform mit Open Source – die Herausforderungen

So verlockend die Idee einer eigenen, voll kontrollierten Cloud ist, so nüchtern fällt der Blick auf die konkrete Umsetzung aus. Die MaRisk verlangen von Instituten unter anderem:

Risikoanalyse vor Einsatz jeder neuen Technologie: Bevor Nextcloud in der Bank eingeführt wird, muss eine detaillierte Risikobewertung erfolgen. Das betrifft insbesondere die Auslagerung – selbst wenn die Software im eigenen Rechenzentrum läuft, kann die Wartung und der Betrieb durch Dritte als Auslagerung gewertet werden. Nextcloud selbst ist Open Source, aber für Enterprise-Features wie Auditing, verschlüsseltes Logging und Compliance-Berichte gibt es kostenpflichtige Lizenzen (Nextcloud Enterprise). Die Frage: Ist der Dienstleister, der die Software betreut, nach MaRisk zertifiziert? Ohne zertifizierten Betrieb wird es schwer, die Prüfer zu überzeugen.

Notfallkonzept und Business Continuity: Ein MaRisk-konformes Institut muss nachweisen können, dass es auch bei einem Ausfall der Cloud-Plattform weiterarbeiten kann. Nextcloud bietet hier die Möglichkeit, Daten redundant auf mehreren Standorten zu speichern und einen Failover-Mechanismus zu implementieren. Die offene Architektur erlaubt es, eigene Backup-Skripte zu schreiben und mit bestehenden Notfalltools zu verknüpfen. Genau diese Freiheit sehen viele Banken als Risiko – zu viele Stellschrauben, zu wenig Standardisierung. Andererseits: Wer sich die Mühe macht, ein durchdachtes Konzept zu entwickeln, kann damit oft flexibler reagieren als mit starren Cloud-Produkten großer Anbieter.

Informationssicherheit und Identity Management: Nextcloud kann an bestehende Verzeichnisdienste wie Active Directory oder LDAP angebunden werden. Das ist für Banken, die ohnehin eine zentrale Benutzerverwaltung betreiben, ein großer Vorteil. Passwortrichtlinien, Multi-Faktor-Authentifizierung (MFA) und rollenbasierte Zugriffskontrollen sind in der Enterprise-Version enthalten. Allerdings: Die MaRisk verlangen eine lückenlose Protokollierung aller Zugriffe und Änderungen. Nextclouds Audit-Log ist in der Basisversion eher rudimentär. Wer die strengen Anforderungen erfüllen will, muss auf das „Enterprise Audit“-Modul zurückgreifen. Das wiederum kostet Geld und erfordert eine Integration in die SIEM-Landschaft der Bank. Nicht zuletzt müssen die Logs manipulationssicher und unveränderbar abgelegt werden – eine technische Hürde, die viele Open-Source-Projekte nur mit Zusatzaufwand meistern.

Auslagerung nach MaRisk – wann wird Nextcloud zum „kritischen Dienst“?

Die MaRisk unterscheiden zwischen „ausgelagerten Aktivitäten und Prozessen“ und solchen, die nicht als kritisch gelten. Wenn die Bank ihre Kollaboration, Dokumentenverwaltung oder interne Kommunikation auf Nextcloud verlagert, handelt es sich meist um unterstützende Prozesse. Sind darin jedoch auch Daten enthalten, die für die Geschäftstätigkeit wesentlich sind – etwa Kreditakten, Ermittlungsunterlagen oder Compliance-Dokumente –, kann der Betrieb von Nextcloud als kritische Auslagerung eingestuft werden. Die Folgen: Der Dienstleister (sei es ein externer Betriebspartner oder die eigene IT-Abteilung) muss nachweisen, dass er die Anforderungen an die Datenverarbeitung erfüllt, regelmäßig geprüft wird und ein Ausstiegsszenario definiert ist.

Genau hier liegt der Knackpunkt. Nextcloud selbst ist nicht als „MaRisk-konform“ zertifiziert – das wäre auch unsinnig, denn Konformität entsteht erst in der konkreten Konfiguration und im Betrieb. Aber die Software bietet alle Werkzeuge, um die Anforderungen umzusetzen. Es ist ein bisschen wie mit einem hochwertigen Schraubenschlüssel: Der kann die Schraube festziehen, aber die richtige Anzugsmoment-Tabelle müssen Sie schon selbst parat haben. Wer Nextcloud in einer Bank einsetzen will, sollte daher ein eigenes Compliance-Handbuch erstellen, das die Maßnahmen dokumentiert. Das ist aufwendig, aber keine Raketenwissenschaft.

Open Source und Prüfungssicherheit – ein Widerspruch?

In der Diskussion um MaRisk und Cloud fällt oft der Satz: „Mit Open Source können wir nichts anfangen, das ist zu unüberschaubar.“ Ein Vorurteil, das hartnäckig ist. Dabei zeigt sich bei genauerem Hinsehen: Gerade der offene Code ermöglicht es, Sicherheitslücken zu finden und zu schließen, bevor ein Angreifer sie ausnutzt. Nextcloud veröffentlicht regelmäßig Sicherheitsupdates, und die Community reagiert schnell. Im Gegensatz zu Black-Box-Lösungen kann ein Institut bei Bedarf den Quellcode selbst einsehen oder auditen lassen – ein Vorteil, der in der MaRisk als „Transparenz im Risikomanagement“ durchaus positiv gewertet werden kann.

Problematisch wird es, wenn Banken den Betrieb vollständig an externe Dienstleister auslagern, ohne die Kontrolle über den Code zu behalten. Dann entsteht eine Abhängigkeit, die schwer zu durchschauen ist. Besser: Das Institut betreibt Nextcloud selbst oder beauftragt einen auf Finanzdienstleister spezialisierten Rechenzentrumsbetreiber, der die Plattform auf Basis von Nextcloud Enterprise hostet und die MaRisk-konformen Prozesse vorhalten kann. Es gibt inzwischen einige Anbieter auf dem Markt, die genau dieses Geschäftsmodell verfolgen – eigene Cloud-Aufbauten für Banken, die auf Nextcloud basieren. Die Nachfrage ist da, das Angebot noch überschaubar, aber wachsend.

Praktische Umsetzung: Nextcloud Enterprise im Bankenumfeld

Nehmen wir ein fiktives Beispiel: Die Mittelstandsbank Alpha eG will ihre Dateiablage und interne Teamkommunikation auf eine eigene Cloud umstellen. Bisher läuft alles über einen zentralen Fileserver und E-Mail, Sicherheitsbedenken gibt es wegen unsicherer USB-Sticks und privaten Cloud-Diensten der Mitarbeiter. Die IT-Abteilung entscheidet sich für Nextcloud Enterprise, installiert auf zwei Server-Clustern in einem deutschen Rechenzentrum mit ISO-27001-Zertifizierung. Eine dedizierte Verbindung zur Bank (VPN) und direkter Anschluss an die Active-Directory-Struktur stellen sicher, dass Benutzer und Gruppen synchronisiert werden.

Für die MaRisk-Konformität sind folgende Schritte nötig:

1. Dokumentation des gesamten Vorhabens: Welche Prozesse werden ausgelagert? Welche Daten sind betroffen? Welche Risiken wurden identifiziert? Die Dokumentation nach MaRisk-Vorgaben muss lückenlos und nachvollziebar sein – ein Klassiker.

2. Einführung eines umfassenden Audit-Logs: Nextcloud Enterprise bietet das „Audit-Modul“, das alle Aktionen aufzeichnet: Login, Logout, Upload, Download, Freigabe, Löschen, Verschieben. Die Logs werden zentral an ein SIEM-Tool weitergereicht. Wichtig: Die Logs dürfen nicht manipulierbar sein. Dafür wird die Datenbank mit einem Log-Only-User eingerichtet, der nur Schreibzugriff hat.

3. Verschlüsselungsrichtlinien: Standardmäßig werden Dateien mit AES-256 im Ruhezustand verschlüsselt. Für besonders sensible Akten (etwa Kundenunterlagen, Auskunftsbegehren) wird die Ende-zu-Ende-Verschlüsselung aktiviert. Ein HSM speichert die Master-Keys – getrennt von der Nextcloud-Instanz in einem anderen Raum. Der Schlüssel für die Ende-zu-Ende-Verschlüsselung liegt beim Benutzer – das erschwert bei Verlust den Zugriff, ist aber im Bankenumfeld gewünscht.

4. Notfallplan: Alle sechs Monate wird ein Failover-Test durchgeführt. Die Replikation zwischen den Clustern läuft asynchron; bei Ausfall eines Rechenzentrums wird automatisch auf das zweite umgeschaltet. Der Notfallplan ist unterschrieben vom Chief Information Security Officer (CISO) und Vorstand. Das klingt bürokratisch, ist aber Pflicht.

5. Anforderung an den Betrieb: Die Mitarbeiter, die die Nextcloud-Umgebung administrieren, müssen eine entsprechende Schulung nachweisen. Zudem wird ein externer Penetrationstest einmal jährlich beauftragt. Die Ergebnisse werden im Risikobericht festgehalten.

Ein realistischer Aufwand? Ja. Ein Bankinstitut, das diese Schritte geht, kann die MaRisk-Konformität seiner Nextcloud-Installation erreichen. Allerdings: Die Kosten für den Betrieb in einer so gehärteten Umgebung sind nicht gering. Lizenzkosten für Nextcloud Enterprise (ab etwa 20.000 Euro pro Jahr für 500 Nutzer), plus Aufwand für Audit, Schulung und Infrastruktur. Im Vergleich zu einer Public-Cloud-Lösung wie SharePoint Online mag Nextcloud günstiger wirken, aber das täuscht. Denn die internen Personalkosten für eine dedizierte Cloud-Administration sind hoch. Man muss sich fragen: Ist der Gewinn an Souveränität das wert? Für viele Banken, die keine Abhängigkeit von US-Konzernen eingehen wollen, ist die Antwort ein klares Ja.

Kritik und Grenzen von Nextcloud im MaRisk-Kontext

So sympathisch die Open-Source-Idee auf dem Papier ist, in der Praxis stößt sie an Grenzen. Ein Problem: die schiere Anzahl an Erweiterungen und Einstellungen. Nextcloud ist ein Baukastensystem. Um MaRisk-konform zu sein, müssen viele Schrauben gedreht werden – und jede Einstellung birgt die Gefahr, eine Sicherheitslücke zu schaffen. Ein erfahrener IT-Journalist würde sagen: „Die Plattform ist kein Produkt von der Stange für Regulierte.“ Es erfordert ein hohes internes Know-how, um die Software korrekt zu konfigurieren. Wer dieses Wissen nicht hat, sollte auf spezialisierte Dienstleister zurückgreifen. Andernfalls wird die Prüfung durch die Bankenaufsicht oder die interne Revision schnell zum Desaster.

Ein weiterer Punkt: die Transparenz über den Code. Ja, der Quellcode ist offen. Aber wer prüft ihn wirklich? In der Praxis sehen selbst große Banken nicht jeden Commit durch. Nextcloud selbst hat ein Sicherheitsteam, aber die MaRisk verlangt, dass das Institut die Sicherheitsmaßnahmen selber bewertet. Blindes Vertrauen in die Community ist nicht erlaubt. Deshalb muss die Bank entweder einen Code-Audit bei einer spezialisierten Firma in Auftrag geben (teuer) oder sich auf die Zertifizierungen der Nextcloud anschauen. Nextcloud Enterprise ist nach ISO 27001 zertifiziert – das hilft, ist aber kein Freifahrtschein. Die Zertifizierung bezieht sich auf die Softwareentwicklung, nicht auf den Betrieb beim Kunden.

Nicht zuletzt ist die Integration von Nextcloud in die bestehende IT-Landschaft einer Bank oft eine Herausforderung. Viele Häuser nutzen proprietäre Systeme für Dokumentenmanagement (DMS), Archivierung oder Vorgangsbearbeitung. Nextcloud kann über Schnittstellen andocken, aber jede Anbindung muss einzeln auditiert werden. Und da die MaRisk keine abgestuften Anforderungen für unterschiedliche Datenklassen vorsieht, landen schnell alle Dokumente in der gleichen sicherheitsgehärteten Umgebung – das ist ineffizient und teuer. Ein intelligenteres Modell wäre eine Datenklassifizierung, aber die muss eine Bank erst einmal etablieren.

Fazit: Nextcloud als Teil einer MaRisk-konformen IT-Strategie

Wer Nextcloud als Allheilmittel für die MaRisk-Probleme einer Bank betrachtet, wird enttäuscht. Die Software ist ein Werkzeug – ein mächtiges, aber kein Wundermittel. Doch wer bereit ist, in die Planung, Absicherung und den Betrieb zu investieren, kann mit Nextcloud eine Cloud-Umgebung schaffen, die den regulatorischen Anforderungen nicht nur genügt, sondern in manchen Punkten sogar überlegen ist. Etwa bei der Datenhoheit, der Flexibilität bei der Verschlüsselung und der Anpassbarkeit an interne Prozesse.

Dabei zeigt sich ein interessanter Trend: Immer mehr Banken holen sich die Cloud zurück ins Haus. Der Hype um die Public Cloud ist vorbei – die Kosten sind oft intransparent, die Abhängigkeit groß. Nextcloud steht sinnbildlich für eine Gegenbewegung, die auf Souveränität und Kontrolle setzt. Und weil die MaRisk genau das fordern – nämlich dass das Institut die Risiken seiner IT kennt und steuert –, kann Nextcloud hier ein strategisch wichtiger Baustein sein. Nicht als Insellösung, sondern eingebettet in ein durchdachtes Gesamtkonzept aus Identity Management, SIEM, Notfallplan und Risikoanalyse.

Aber seien wir ehrlich: Die Hürden sind hoch. Open Source und reguliertes Umfeld passen nicht automatisch zusammen. Es braucht Überzeugung auf der Vorstandsebene, die Bereitschaft, Geld für Compliance-Arbeiten auszugeben, und nicht zuletzt gute Administratoren, die verstehen, was sie tun. Wer diese Voraussetzungen mitbringt, kann mit Nextcloud eine cloudbasierte Kollaborationsplattform betreiben, die den strengen Prüfungen der Bankenaufsicht standhält. Und das ist für ein Open-Source-Projekt, das ursprünglich aus der Privatsphären-Bewegung kommt, ein beachtlicher Erfolg.

Die Diskussion um Nextcloud und MaRisk wird sich in den nächsten Jahren weiter zuspitzen. Denn die nächste Novelle der MaRisk wird kommen, und mit ihr neue Anforderungen an Künstliche Intelligenz, Cloud-Outsourcing und Lieferketten-Sicherheit. Nextcloud entwickelt sich ständig weiter – etwa mit KI-Funktionen zur Dokumentenerkennung oder verbesserten Workflows. Ob diese Entwicklungen den regulatorischen Ansprüchen gewachsen sein werden, bleibt abzuwarten. Sicher ist: Wer jetzt den Grundstein legt, ist für kommende Anforderungen besser gerüstet als jene, die weiter auf undurchsichtige Cloud-Dienste setzen. Der Weg zur MaRisk-konformen Open- Source-Cloud ist steinig, aber gangbar – das ist die Nachricht aus der Redaktion dieses Artikels.