Nextcloud und die Kunst der Benutzerverwaltung: Ein Leitfaden für den praktischen Betrieb

Es gibt diese Momente, da sitzt man nach einer langen Migration vor einem fremden Nextcloud-System und fragt sich, wie es überhaupt so weit kommen konnte. Die Daten sind alle da, die Apps laufen, aber die Benutzerverwaltung – das, was im Alltag eigentlich am wichtigsten ist – gleicht einem Flickenteppich aus einzelnen Konten, Handarbeit und hoffnungslos veralteten Gruppenstrukturen. So etwas passiert nicht nur in kleinen Klitschen, sondern auch in Unternehmen, die es besser wissen müssten. Dabei ist Nextcloud gerade in diesem Bereich so stark, wenn man sich einmal um die Grundlagen kümmert.

Dieser Artikel will keinen Rundumschlag nach dem Motto „Alles, was Sie über die Cloud wissen müssen“ bieten. Es geht konkret um die Frage, wie man Benutzer in Nextcloud sauber anlegt, pflegt, mit externen Verzeichnissen verbindet und dabei nicht den Überblick verliert. Entscheider, Administratoren und alle, die verstehen wollen, warum eine durchdachte Benutzerverwaltung über Wohl und Wehe einer Cloud-Installation entscheidet, finden hier eine Bestandsaufnahme aus der Praxis – inklusive der eine oder anderen Meinung, die sich in langen Nächten vor der Tastatur gebildet hat.

Warum Nextcloud überhaupt? Eine kurze Einordnung

Nextcloud ist mehr als ein simples Dropbox-Selfhosting-Projekt. Die Software ist inzwischen eine vollwertige Kollaborationsplattform, mit Dateien, Kalendern, Kontakten, Talk, Groupware und einem App-Ökosystem, dass sich sehen lassen kann. Für Unternehmen, die Datenschutz ernst nehmen und nicht jede Datei auf Servern US-amerikanischer Konzerne ablegen möchten, ist die Selbstverwaltung der zentrale Punkt. Das gilt für öffentliche Verwaltungen, Mittelständler und nicht zuletzt für Institutionen mit sensiblen Forschungsdaten.

Open Source heißt dabei nicht automatisch „umsonst“ – es heißt aber sehr wohl, dass man die Kontrolle über die eigenen Daten behalten kann. Nextcloud lässt sich in eigenen Rechenzentren, bei spezialisierten Providern oder in hybriden Szenarien betreiben. Der Preis dafür ist ein erhöhter Betriebsaufwand. Und genau hier beginnt die eigentliche Arbeit: bei der Frage, wie sich die Plattform in die bestehende IT-Landschaft integriert, und dabei ist die Benutzerverwaltung der erste und wichtigste Mosaikstein.

Man kann Nextcloud heute auf vielen Wegen betreiben. Die offiziellen Appliances, Docker-Images, Snap-Pakete oder klassische Installationen auf einem LAMP-Stack sind allesamt valide. Die Linux-Distribution ist Geschmackssache, die Datenbank sollte aber nicht unterschätzt werden. SQLite ist für Spielereien okay, für den Produktivbetrieb mit mehr als ein paar Dutzend Benutzern ist PostgreSQL oder MariaDB die richtige Wahl. Redis als Cache gehört ebenfalls zur Grundausstattung, sobald man logischerweise mehrere Web-Server hinter einem Load Balancer betreibt. Aber darum soll es hier nicht gehen – auch wenn die Performance einer Nextcloud-Instanz eng mit der Benutzerverwaltung zusammenhängt. Jeder Login, jede Gruppenabfrage, jede entsprechende Policy-Entscheidung läuft über die Datenbank. Wer hier pfuscht, beschwert sich später zu Unrecht über lahmes Verhalten.

Bevor es an die Benutzer geht: Grundsätzliche Überlegungen

Bevor man den ersten Benutzer anlegt, sollte man sich ein paar strategische Fragen stellen. Wie viele Menschen werden die Cloud nutzen? Handelt es sich um Mitarbeiter, externe Partner oder Kunden? Wer darf was sehen, wer darf was teilen? In welchen Gruppen müssen die Leute stecken, damit Berechtigungskonzepte funktionieren? Diese Fragen klingen trivial, sind es aber nicht. Eine Nextcloud-Instanz, die von Anfang an ohne durchdachtes Gruppenmodell wächst, entwickelt schnell ein Eigenleben. Und später die Kurve zu kriegen, ist ein mühsames Geschäft.

Der Begriff „Benutzerverwaltung“ ist dabei doppeldeutig. Einerseits meint er die Verwaltung der Benutzerkonten in Nextcloud selbst – also Anlegen, Löschen, Rechte vergeben, Passwörter setzen. Andererseits umfasst er die Integration in zentrale Identitätsmanagementsysteme wie Active Directory oder LDAP, was in größeren Umgebungen eigentlich Pflicht ist. Beides hat seine Existenzberechtigung. Für kleinere Teams mit fünfzehn Leuten ist die lokale Benutzerverwaltung absolut ausreichend und sogar angenehmer, weil man keine fremde Infrastruktur braucht. Für Konzerne mit hunderten oder tausenden Mitarbeitern wäre das aber ein Ding der Unmöglichkeit – kein Mensch will dort in Nextcloud händisch Konten anlegen, wenn das AD schon die eine Wahrheit vorgibt.

Dabei zeigt sich ein Muster, das man in vielen Projekten erlebt: Die Entscheidung für oder gegen eine zentrale Benutzerverwaltung wird oft aus Bequemlichkeit getroffen. „Ach, wir sind ja klein, das machen wir mal eben in Nextcloud“ – und dann wächst das Unternehmen, die IT wird professionalisiert, und auf einmal muss doch der AD-Connector her. Das ist dann nicht unmöglich, aber es bedarf einer sauberen Migrationsstrategie. Man kann Benutzer von LDAP auf lokal ziehen oder andersherum, aber die Konten sind nicht immer eindeutig zuzuordnen, wenn die Benutzernamen voneinander abweichen. Also: Lieber frühzeitig über die langfristigen Anforderungen nachdenken, auch wenn die Umsetzung später erfolgt.

Die lokale Benutzerverwaltung: solide, aber mit Tücken

Wenn man sich für die lokale Verwaltung entscheidet, ist man in guter Gesellschaft. Nextcloud bietet in den administrativen Einstellungen eine klare Benutzeroberfläche, in der man Benutzer anlegen, in Gruppen einsortieren und Quotas festlegen kann. Dazu kommen Passwörter, sofern man nicht auf externe Authentifizierung setzt. Das ist auch der Punkt, an dem man als Administrator erste Fallstricke bemerkt: Die Passwortrichtlinien von Nextcloud sind zwar flexibel einstellbar, aber nicht immer selbsterklärend. Es gibt eine App für den Passwortschutz, mit der man Mindestlängen, Komplexität und das Verbot der Wiederverwendung von Passwörtern einstellen kann. Man sollte das tun, bevor die ersten Benutzer sich mit „passwort123“ anmelden.

Ein interessanter Aspekt der lokalen Benutzerverwaltung ist die CLI-Schnittstelle. Mit dem Kommando occ lassen sich Benutzer nicht nur schneller anlegen, sondern auch mit Attributen versehen, in Gruppen verschieben und sogar aus der Kommandozeile löschen. Das ist besonders für Skripte hilfreich, wenn man zum Beispiel automatisiert Accounts für Praktikanten anlegen oder deaktivieren möchte. Einige Administratoren scheuen die Konsole, aber gerade bei Benutzeraktionen ist sie oft zuverlässiger als die Web-Oberfläche, vor allem wenn man hunderte Konten auf einmal anfassen muss.

In der Praxis bewährt sich eine einfache Konvention für Benutzernamen. Vorname.Nachname ist üblich, aber nicht unproblematisch, wenn es Namensgleichheiten gibt. Dann wird aus „Muster.Mann“ schnell „Muster.Mann2“, und die User sind verwirrt. Eine Alternative ist die Verwendung von Mitarbeiternummern oder persönlichen Codes, aber das ist unpersönlich und stößt nicht immer auf Akzeptanz. Letztlich muss jeder Betrieb seine eigene Regel finden – Hauptsache, sie wird konsistent durchgezogen. Gleiches gilt für die E-Mail-Adressen, die Nextcloud für Benachrichtigungen und Passwortrücksetzungen braucht. Ein sauberes E-Mail-Pflichtfeld in der Benutzeranlage erspart später jede Menge Frust.

Das Löschen von Benutzern ist ein weiteres Kapitel, das man nicht unterschätzen sollte. Nextcloud fragt beim Löschen, ob die Dateien des Benutzers gelöscht oder an einen anderen Benutzer übertragen werden sollen. Klingt gut, aber die Übertragung großer Datenmengen kann dauern und in der Zwischenzeit Zustände erzeugen, die man nicht sofort durchschaut. Mein Rat: Erst die Freigaben des Benutzers prüfen, dann löschen. Und wenn der Benutzer nur vorübergehend ausfällt, gibt es glücklicherweise die Möglichkeit, das Konto zu deaktivieren, statt es zu löschen. Das ist ein einfacher Schritt, der im Alltag aber oft vergessen wird.

Gruppen und Teamordner: Das Rückgrat der Berechtigungen

Ohne Gruppen macht die Benutzerverwaltung in Nextcloud nur halb so viel Sinn. Gruppen sind das zentrale Element, um Berechtigungen zu bündeln und Ordnungsstrukturen abzubilden. Ein Benutzer kann mehreren Gruppen angehören, und genau daraus ergeben sich die Zugriffsrechte auf Dateien, Ordnern, Apps und Freigaben. Wenn man dieses Modell mit wenigen Gruppen sauber aufbaut, ist das System leicht verständlich. Werden es dann aber hunderte Gruppen mit verworrenen Mitgliedschaften, leidet die Übersicht.

Nextcloud bringt Teamordner als eigene App mit, die man installieren kann. Das ist im Grunde eine Verzeichnisstruktur, in der man über Gruppenrechte steuern kann, wer welche Dateien sieht. Die Teamordner sind nicht zu verwechseln mit normalen geteilten Ordnern: Sie funktionieren eher wie Festplattenlaufwerke, die bestimmten Benutzergruppen zugeordnet sind. Ein klassischer Anwendungsfall: Die Abteilung „Marketing“ bekommt einen Teamordner, in dem alle Kampagnenunterlagen liegen. Eine Untergruppe „Marketing-Externe“ erhält nur Leserechte auf bestimmte Unterordner. Das lässt sich in Nextcloud zwar nicht in beliebiger Tiefe granular abbilden, aber für die meisten Fälle reicht das Modell.

Ein interessanter Aspekt ist die Gruppenquota. Man kann einzelnen Benutzern ein Limit setzen, aber auch Gruppen ein eigenes Limit zuweisen. Das ist praktisch, wenn die Marketingabteilung großzügig mehr Speicherplatz erhalten soll als die Buchhaltung, ohne dass man jeden Einzelnen händisch anpassen muss. Allerdings muss man wissen, dass die Quota-Rechnung in Nextcloud nicht immer auf den Punkt genau ist, wenn man die Daten im Dateisystem direkt ansieht. Die eigentliche Abrechnung erfolgt über die Datenbank, und dabei spielen Versionen und Papierkorb eine Rolle, die manchmal unterschlagen werden. Der Administrator, der die Festplatte über du prüft, wundert sich dann, warum die Verzeichnisse größer sind als die Summe der Quotas. Das ist kein Bug, sondern beabsichtigt: Die Quota gilt für die aktive Datenhaltung, aber Versionen und gelöschte Dateien liegen noch eine Weile im Papierkorb.

Wer mit Gruppen arbeitet, sollte sich frühzeitig mit der Vererbung von Rechten und der Funktionsweise von Freigaben beschäftigen. Ein Benutzer in einer Gruppe erbt automatisch alle Rechte, die der Gruppe zugewiesen sind. Will man einzelne Benutzer davon ausnehmen, muss man mit der Gruppenfunktion „Ausgenommen von“ arbeiten, die es in manchen Apps gibt – oder man verschachtelt Gruppen. In der Praxis ist das eine Frage der Disziplin. Wenn man anfängt, für jeden Einzelfall eine eigene Gruppe zu gründen, verkommt das Modell schnell zu einem unübersichtlichen Konstrukt. Besser ist es, Grundstrukturen zu definieren und Spezialfälle über Einladungen zu regeln.

LDAP und Active Directory: Der große Wurf

Spätestens ab ein paar hundert Benutzern kommt man nicht mehr an der Anbindung an ein zentrales Verzeichnis vorbei. Nextcloud unterstützt LDAP von Haus aus, und das ist mit Abstand die wichtigste Integration für Unternehmen. Denn die Alternative – die tägliche Synchronisation aus der Personalabteilung per CSV – ist zwar machbar, aber führt zu einem riesigen Datenmüll. Mit dem LDAP-Integrationsmodul wird Nextcloud zu einem Client des Verzeichnisses und kann Benutzer, Gruppen und deren Attribute live abfragen. Das bedeutet: Ein Mitarbeiter wird im Active Directory angelegt, und nach dem nächsten Synchronisationslauf kann er sich anmelden. Konto deaktiviert? Pech gehabt, der Zugang ist sofort weg. Das ist der große Vorteil gegenüber lokalen Konten.

Die Einrichtung des LDAP-Connectors ist in den Nextcloud-Einstellungen gut gelöst, aber sie hat ihre Eigenheiten. Man konfiguriert einen LDAP-Server, definiert die Basis-DNs für Benutzer und Gruppen und legt fest, welche Objektklassen relevant sind. Der Wizard testet die Verbindung und listet dann die gefundenen Einträge auf, was meistens recht schnell funktioniert. Aber die Feinheiten stecken im Detail: Sollen Benutzer nur aus einer bestimmten Organisationseinheit (OU) geholt werden? Wie werden Gruppen, die als verschachtelte Gruppen im AD abgelegt sind, aufgelöst? Was passiert mit Benutzern, die keinen Vornamen im Attribut givenName haben? All das lässt sich in den erweiterten Einstellungen justieren, und man sollte sich die Zeit dafür nehmen. In der Praxis führt eine falsch gesetzte Filterregel dazu, dass Benutzer plötzlich verschwinden oder dass doppelte Konten entstehen, weil der LDAP-Abruf nicht eindeutig ist.

Ein klassisches Problem mit LDAP ist die Frage der Gruppenmitgliedschaft. Nextcloud unterscheidet zwischen Benutzergruppen, die direkt am Benutzerattribut hängen, und solchen, die über den Gruppenpfad abgefragt werden. Standardmäßig wird der Gruppen-Member-Attribut des AD verwendet, also etwa memberOf. Das funktioniert gut, solange die Gruppen nicht zu viele Mitglieder haben. Bei sehr großen Gruppen kann die Latenz der LDAP-Abfragen steigen. Nextcloud hat deshalb einen Cache, der die Ergebnisse für eine definierte Zeit speichert. Der Cache muss aber regelmäßig geleert werden, wenn man Änderungen am AD vornimmt, sonst sieht man noch stunden- oder tagelang die alten Gruppenmitgliedschaften. Wer das einmal erlebt hat, weiß, wie viel Verwirrung das stiften kann.

Nicht zuletzt ist die Authentifizierungsmethode zu erwähnen. Nextcloud kann LDAP auf verschiedene Weisen nutzen. Im einfachen Modus prüft es das eingegebene Passwort gegen das Verzeichnis. Im Portalseinmal-Modus oder mit mehreren LDAP-Servern wird es komplexer. Für alle, die es bequem möchten, gibt es den Modus „Benutzer können über LDAP-Authentifizierung zugreifen“, der oft ausreicht. Man sollte jedoch wissen, dass die LDAP-Anmeldung nicht funktioniert, wenn der LDAP-Server nicht erreichbar ist – das System kann dann nicht auf die Konten zugreifen. Ein lokaler Fallback ist möglich, aber der ist sicherheitstechnisch heikel. Man möchte nicht, dass sich jemand mit einem lokalen Passwort anmeldet, das gar nicht mehr gepflegt wird.

Bei der Verwendung von Active Directory ist noch ein zweiter Aspekt wichtig: die Synchronisation von E-Mail-Adressen und weiteren Attributen. Nextcloud kann mit LDAP nicht nur authentifizieren, sondern auch Attribute wie Anzeigename, Telefonnummer oder Abteilung übernehmen. Diese Daten werden dann in den Benutzerprofilen angezeigt und sind auch für die Platzhalter in Berichten nützlich. Ein sauberes Attribut-Mapping gehört daher zu einer ordentlichen Integration dazu. Es gibt nichts Ärgerliches, als wenn die Nutzerprofile in Nextcloud leere Felder zeigen, obwohl das AD alle Daten enthält.

Der Preis der Zentralisierung: Cache, Sync und was schiefgehen kann

So elegant die LDAP-Anbindung ist, so behutsam muss man sie warten. Nextcloud bietet ein Kommandozeilenwerkzeug, mit dem man die Synchronisation manuell anstoßen kann. Im laufenden Betrieb wird der Cache regelmäßig aktualisiert, aber es gibt Situationen, in denen er nicht ausreicht. Wenn man im AD eine neue Gruppe anlegt und ihr sofort einen Teamordner in Nextcloud zuweisen möchte, kann es sein, dass die Gruppe nicht auftaucht, weil der Cache noch nicht gefüllt wurde. Das ist kein Weltuntergang, aber es verlangsamt den Arbeitsfluss. Ein Tipp: Man kann den Cache in den Einstellungen für den LDAP-Connector über einen Button leeren. Das sollte man bei Änderungen im AD ruhig öfter tun, als man denkt.

Ein weiteres Thema ist die Performance. Nextcloud lädt bei jeder Anmeldung die Benutzerdaten und überprüft die Mitgliedschaften. Bei vielen Benutzern und Gruppen kann das den Server spürbar belasten, gerade wenn der LDAP-Server nicht im gleichen Rechenzentrum steht. Deshalb sollte man den LDAP-Connector nicht übertrieben kurz einstellen. Eine Cache-Zeit von zehn Minuten ist ein guter Kompromiss. Wer eine hochfrequente Änderung im AD hat und sofortige Konsistenz braucht, sollte über einen separaten Identitätsprovider nachdenken, aber das ist ein anderes Thema.

Nicht selten wird Nextcloud in Umgebungen betrieben, in denen das AD nicht die alleinige Quelle der Wahrheit ist, sondern es auch externe Benutzer gibt. Diese lassen sich über die LDAP-Konfiguration abbilden, indem man sie in einer eigenen OU relegiert. Allerdings ist es oft besser, externe Benutzer als lokale Konten anzulegen und ihnen nur bestimmte Gruppen zuzuweisen. Das verhindert, dass sich der externe Berater im LDAP wiederfindet, wenn er das Unternehmen verlässt und sein Konto dort noch eine Weile existiert. In der Praxis sind hybride Modelle die Regel, und Nextcloud unterstützt sie ausreichend – man muss nur aufpassen, dass bei der Backend-Reihenfolge keine Überschneidungen entstehen. Wenn ein lokaler Benutzer und ein LDAP-Benutzer denselben Anmeldenamen haben, gibt es Konflikte, die man besser vermeidet.

Mehr als Passwort: OIDC, SSO und die moderne Identitätswelt

In den letzten Jahren hat sich bei vielen Unternehmen die Erkenntnis durchgesetzt, dass der klassische LDAP-Login zwar gut ist, aber nicht mehr den komfortablen Single Sign-on (SSO) abbildet, den man von modernen Web-Anwendungen gewohnt ist. Nextcloud unterstützt seit langem SAML, aber der Trend geht zu OpenID Connect (OIDC), das leichter zu implementieren ist und meistens auch schneller funktioniert. Mit einem vorgeschalteten Identity Provider wie Keycloak, Authentik, Entra ID (ehemals Azure AD) oder Okta lässt sich Nextcloud nahtlos in die zentrale Authentifizierungslandschaft einbinden.

Das Schöne an OIDC ist, dass Nextcloud dann gar keine Passwörter mehr speichern muss. Der Benutzer wird auf den Identity Provider umgeleitet, meldet sich dort an und kommt mit einem Token zurück. Nextcloud legt dann automatisch ein lokales Konto an, wenn es noch keines gibt – sofern man das so konfiguriert. Man kann die Benutzer auch vorab anlegen und sie dann über OIDC zuordnen lassen. Die Herausforderung liegt im Umgang mit Gruppen und Rollen. OIDC überträgt in der Regel nur eine User-ID und ein paar Standardattribute, nicht aber unbedingt die Gruppenmitgliedschaften. Man kann Claims aus dem Identity Provider anpassen und sie über die Nextcloud-Konfiguration in Gruppen mappen, aber das ist anfangs nicht immer intuitiv. Es ist ein Gebiet, in dem man die Dokumentation studieren muss.

Was mich persönlich überzeugt, ist die Tatsache, dass OIDC die Anzahl der Passwort-Datenbanken reduziert, die ein Unternehmen pflegen muss. Wenn Nextcloud nur noch über SSO erreichbar ist, gibt es kein lokales Passwort, das ablaufen oder kompromittiert werden könnte. Man spart sich den Aufwand für Passwort-Regeln und Passwort-Resets in Nextcloud, weil der Identity Provider diese Aufgaben übernimmt. Allerdings hat diese Bequemlichkeit auch einen Preis: Wenn der Identity Provider ausfällt, ist auch die Dateifreigabe blockiert. Das ist ein Betriebsrisiko, das man im Blick behalten sollte. Wer auf eine hohe Verfügbarkeit angewiesen ist, sollte mindestens einen zweiten IdP-Node bereitstellen oder einen Hybrid-Modus ermöglichen. Dabei zeigt sich, wie wichtig die Wahl der Identitätslösung für die gesamte Verfügbarkeit der Cloud wird.

Ein interessanter Aspekt ist die Kombination von LDAP und OIDC. Viele Nextcloud-Installationen nutzen LDAP für die Benutzerverwaltung und OIDC für die Authentifizierung. Das ist möglich und sinnvoll: Die Benutzer und ihre Attribute kommen aus dem Verzeichnisdienst, der Login läuft über den IdP. So bekommt man die Vorteile beider Welten. Allerdings muss man dann darauf achten, dass die Zuordnung über die E-Mail-Adresse oder das Attribut uid eindeutig ist. Empfehlungen zur Integration findet man in der Nextcloud-Dokumentation, doch ein pauschales Rezept gibt es nicht.

Quotas richtig dosieren: Speicherplatz als Verhandlungsmasse

Zur Benutzerverwaltung gehört unweigerlich das Thema Quota. Nextcloud erlaubt, den verfügbaren Speicherplatz pro Benutzer oder pro Gruppe festzulegen. Das klingt simpel, wirft in der Praxis aber viele Fragen auf. Sollen alle Mitarbeiter gleich viel bekommen? Reichen 50 Gigabyte pro Person, oder brauchen manche Abteilungen ein Terabyte? Die Quota sollte großzügig, aber nicht verschwenderisch bemessen sein. Zu restriktive Quotas führen dazu, dass Benutzer ihre Dateien nicht synchronisieren können und sich über Fehlermeldungen ärgern. Zu großzügige Quotas verleiten dazu, die Cloud als Datenfriedhof zu benutzen.

In der Benutzerverwaltung von Nextcloud sieht man auf einem Blick, welche Konten wie viel Speicher belegen. Das ist eine wertvolle Information für die Betriebsführung. Man kann leicht erkennen, ob ein Benutzer die Quota dauerhaft erreicht und ob man nachjustieren muss. Ein gefährlicher Aspekt ist die Weitergabe von Dateien über Links: Wenn ein Benutzer einen Ordner öffentlich freigibt und dieser Ordner in einem anderen Benutzerverzeichnis liegt, kann der Speicherverbrauch schnell ansteigen. Die Quota wird zwar demjenigen angerechnet, der die Datei besitzt, aber die Freigabe kann trotzdem massive Downloads auslösen, die das Netz belasten. Eine clevere Option ist es, die maximale Dateigröße für Uploads zu begrenzen. Das verhindert, dass jemand versehentlich ein 20-Gigabyte-Video in den Teamordner lädt, an dem dann alle ersticken.

Ein weiterer Punkt, der oft vernachlässigt wird, ist die Wiederherstellung von Dateien und der Papierkorb. Nextcloud speichert gelöschte Dateien und ältere Versionen für eine konfigurierbare Zeit vor. Diese Daten verbrauchen Speicherplatz, der in der Quota nicht sichtbar ist. Ein Benutzer, der ein paar große Dateien löscht, bemerkt das vielleicht gar nicht, weil die Versionsverwaltung den Platz weiter belegt. Deshalb sollte man in regelmäßigen Abständen überprüfen, wie viel Speicher für Versionen und Papierkorb aufgewendet wird. Wenn der Speicher knapp wird, kann man die Aufbewahrungsdauer reduzieren oder die Bereinigung per Cron-Job aufrufen. Das ist eine wichtige Wartungsaufgabe, die man nicht auf die leichte Schulter nehmen sollte.

Rechte, Teilen und Gastzugänge: praktische Aspekte für den Alltag

Die Benutzerverwaltung in Nextcloud ist nicht nur das Verwalten von Konten, sondern auch das Verwalten von Beziehungen. Denn die eigentliche Funktion einer Cloud ist das Teilen von Inhalten, und dafür bietet Nextcloud ein umfangreiches Rechte- und Freigabemodell. Benutzer können Ordner und Dateien mit anderen Benutzern oder Gruppen teilen, sie können öffentliche Links erzeugen und sie können die Rechte „Nur lesen“ oder „Lesen + Schreiben“ vergeben. Das klingt simpel, lässt sich aber in der Praxis unterschiedlich auslegen.

Ein heikles Thema sind die Gastkonten. Nextcloud hat eine App, mit der sich Gäste einladen lassen, die keinen festen Platz in der Benutzerverwaltung haben. Diese Gäste bekommen ein eigenes Konto und können auf bestimmte Freigaben zugreifen, sehen aber nicht die gesamte Dateiliste. Das ist sehr praktisch für die Zusammenarbeit mit externen Partnern. Allerdings muss man aufpassen, dass Gäste nicht ungewollt weitere Dateien hinzufügen oder sogar eigene externe Links erstellen. Über die Gast-App lassen sich die Rechte begrenzen, aber nicht in allen Ecken. Man sollte sich die App genau ansehen und eigene Erfahrungen sammeln, bevor man sie den Benutzern flächendeckend zur Verfügung stellt.

Aus Sicht der Benutzerverwaltung ist es interessant, wie Gruppen und Freigaben zusammenspielen. Wenn ich einen Ordner mit einer Gruppe teile, können nicht nur die aktuellen Mitglieder dieser Gruppe auf den Ordner zugreifen, sondern auch alle, die später in die Gruppe aufgenommen oder entfernt werden. Das ist genau das, was man für Unternehmensstrukturen braucht. Es kann aber zu Sicherheitsproblemen führen, wenn man Gruppen unkontrolliert wachsen lässt. Ein Mitarbeiter, der die Abteilung wechselt, verliert die Zugriffe auf die alten Teamordner nur dann, wenn er aus der alten Gruppe entfernt wird. Tut man das nicht, bleibt er dauerhaft mit dem alten Team verbunden – vielleicht auch noch Jahre später. Also: Gruppen sind lebende Objekte, die man regelmäßig aufräumen muss.

Ein interessanter Aspekt ist die Möglichkeit, die Kontrolle über geteilte Ordner an jemand anderen zu übertragen. Wenn der ursprüngliche Ersteller das Unternehmen verlässt, kann sein Vorgesetzter den Ordner in Besitz nehmen. Dazu muss man in der Benutzerverwaltung die Dateien des ausscheidenden Benutzers neu zuordnen. Das klappt meistens, aber es ist ein manueller Eingriff, der wenig dokumentiert ist. Es lohnt sich, dafür ein internes Betriebshandbuch zu schreiben, in dem festgehalten wird, wie mit ausscheidenden Mitarbeitern umzugehen ist. In vielen Unternehmen herrscht dabei Chaos, und es gibt keinen klaren Prozess. Nextcloud bietet durchaus die Werkzeuge, um das sauber zu machen, aber die Prozesse müssen definiert werden.

Sicherheit und Compliance: mehr als nur Passwörter

Ein Artikel über Benutzerverwaltung wäre unvollständig, ohne den Sicherheitsaspekt zu erwähnen. Nextcloud kann mit Zwei-Faktor-Authentifizierung (2FA) gehärtet werden, entweder über TOTP-Apps oder über WebAuthn-Hardware-Schlüssel. Das sollte man aktivieren, nicht nur für Administratoren, sondern idealerweise für alle Benutzer. Die Einrichtung ist unkompliziert, und die Benutzer haben sich schnell daran gewöhnt – vorausgesetzt, die IT hilft beim ersten Setup. Ein Problem ist, dass nicht alle Apps und Clients die 2FA nahtlos unterstützen. Für den Desktop-Client muss ein App-Passwort hinterlegt werden, das man am Nextcloud-Webportal erzeugen kann. Diese App-Passwörter sind übrigens auch ein Element der Benutzerverwaltung: Sie können einzeln widerrufen werden, falls ein Gerät verloren geht. Das ist ein mächtiges Werkzeug, das viele Administratoren unterschätzen.

Nicht zuletzt spielt die Rechteverwaltung im Normalbetrieb eine große Rolle. Nextcloud bietet mit der App „Berechtigungen“ eine Übersicht, wer auf welche Ordner zugreifen kann. Man kann damit regelmäßig prüfen, ob es noch aktive Freigaben gibt, die für die aktuellen Aufgaben irrelevant sind. Diese Prüfung ist ein typischer Bestandteil eines IT-Audits, und sie sollte nicht nur halbjährlich erfolgen. Denn die Wahrscheinlichkeit, dass eine interne Freigabe durch ein versehentliches Klicken auf „Öffentlicher Link“ in die falsche Richtung läuft, ist gering, aber sie ist nicht null. Gerade in industrie-nahen Betrieben mit geheimen Dokumenten ist ein System, das unbeabsichtigte Freigaben blockiert, fast schon unverzichtbar. Nextcloud kann solche Fälle in der “Flows”-App abbilden, wenn man automatische Aktionen definieren möchte – ein mächtiges Tool, aber wieder eines, das man erst verstehen muss.

Damit die Benutzerverwaltung nicht zum Sicherheitsrisiko wird, sollte man die Passwörter der lokalen Administratoren niemals allein auf einem Zettel archivieren. In der Praxis sieht man oft, dass der Admin-Account das Kennwort von vor drei Jahren nutzt und sich niemand dafür zuständig fühlt. Das ist ein klassisches Fehlermanagement. Es ist besser, zentrale Verzeichnisse mit den Admin-Konten zu verbinden und dann die Admin-Rollen an bestimmte Gruppen zu vergeben. Oder aber man richtet den OIDC-Login für Administratoren so ein, dass der Zugang zentral gesteuert werden kann. Damit hat man zugleich sichergestellt, dass ausgeschiedene IT-Mitarbeiter nicht weiterhin Zugriff auf die Cloud haben.

Wartung, Monitoring und der Blick in die Zukunft

Wer Nextcloud betreibt, der weiß, dass die Software regelmäßig aktualisiert werden will. Das gilt auch für die Apps, insbesondere für die Benutzerverwaltungs-Komponenten. Jede Version bringt Verbesserungen und manchmal auch neue Konfigurationsoptionen mit sich. Ein Update sollte man nicht ungetestet auf dem Produktivsystem einspielen, aber wenn man es zu lange aufschiebt, wird der Sprung über mehrere Versionen riskant. Die Community veröffentlicht meistens ein Upgrade-Pfad, und die integrierten Update-Werkzeuge sind inzwischen zuverlässiger geworden. Dennoch: Wer überlegt, eine sehr alte Nextcloud-Version zu nutzen, nur um die LDAP-Konfiguration nicht anzufassen, sollte sich bewusst sein, dass er damit auch Sicherheitslücken in Kauf nimmt.

Ein wichtiger Aspekt der Wartung ist das Monitoring der Benutzeraktivitäten. Nextcloud hat ein Audit-Log, das die wichtigsten Aktionen aufzeichnet, zum Beispiel Logins, Dateiänderungen und Freigaben. Diese Logs sind Gold wert, wenn man nachvollziehen möchte, warum ein Benutzer plötzlich keinen Zugriff mehr hat oder wo eine Datei abgeblieben ist. Man sollte sie in ein zentrales Log-Management einbinden, sonst laufen sie irgendwann über und man findet die wichtigen Einträge nicht mehr. Dazu gibt es gute Apps und externe Tools.

Ein Blick in die Zukunft: Nextcloud entwickelt sich ständig weiter. In den letzten Jahren gab es Schlagzeilen über die Integration von KI-Features, über verbesserte Konformität mit der DSGVO und über den Ausbau der Kollaborationsfunktionen. Für die Benutzerverwaltung heißt das vor allem, dass sie immer stärker mit externen Systemen verzahnt wird. Die Entwickler arbeiten an besseren Ansätzen für delegierte Administration, sodass beispielsweise Abteilungsleiter nur ihre eigenen Benutzer sehen und verwalten können. Das wäre eine Bereicherung, denn in der Praxis kämpfen viele Admins damit, dass sie jeden kleinen Account selbst anlegen müssen. Es gibt zwar die Gruppenverwaltung über die WebUI, aber nicht für dezentrale Nutzerverwaltung. Da ist noch Luft nach oben.

Bleibt am Ende die Erkenntnis, dass Nextcloud als Plattform so stark ist wie ihre Benutzerverwaltung. Man kann die beste Dateiablage, die beste Verschlüsselung und die besten Apps haben – wenn die Konten nicht sauber gepflegt werden, stolpert das gesamte System. Wer die vorhandenen Werkzeuge beherrscht, von der lokalen Kontenanlage über LDAP bis hin zu OIDC, der hat die Chance, eine Cloud zu schaffen, die im Alltag kaum auffällt, weil sie einfach funktioniert. Und das ist vermutlich das größte Kompliment, das man einer Cloud-Middleware machen kann: Sie funktioniert, ohne dass jemand darüber nachdenken muss.

Der Betrieb einer Nextcloud ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Die Benutzer kommen und gehen, die Gruppen ändern sich, die Anforderungen wachsen. Wer sich frühzeitig Gedanken macht, spart sich später viel Ärger. Ich habe häufig genug erlebt, wie ein Administrator mit leuchtenden Augen von einem großartigen neuen Feature berichtet, während die Benutzerverzeichnisse längst in einem unbeschreiblichen Zustand sind. Es wäre schade, wenn die Technik an den Basics scheitert. Also: Die Benutzerverwaltung ernst nehmen, sie regelmäßig pflegen und sie als das sehen, was sie ist – das Fundament jeder Cloud.