Nextcloud und OnlyOffice: Integration prüfen, einrichten, betreiben

Nextcloud ist in vielen Unternehmen längst mehr als eine simple File-Sharing-Lösung. Die Plattform hat sich zu einer Art Betriebssystem für die eigene Infrastruktur entwickelt – mit Terminen, Kontakten, Talk und eben auch Office-Dokumenten. Der Haken: Ohne eine vernünftige Integration einer Online-Office-Suite bleibt die Zusammenarbeit an Dokumenten Flickwerk. Neben Collabora hat sich dabei OnlyOffice als ernst zu nehmende Option etabliert. Dieser Artikel beleuchtet die Integration aus praktischer Sicht, zeigt, worauf es bei der Einrichtung ankommt, und erklärt, wann sich die Kombination lohnt – und wann nicht.

Wer schon einmal versucht hat, eine Office-Datei in einem Browser zu bearbeiten, kennt das Dilemma: Entweder man lädt das Dokument herunter, bearbeitet es lokal und lädt es wieder hoch – womit man den berühmten „Wir haben alle am selben Stand?“-Konflikt erzeugt – oder man nutzt einen externen Web-Office-Dienst, der die Daten durch eigene Server schleust. Nextcloud kann beides umgehen, wenn man einen eigenen Document Server anbindet. OnlyOffice ist genau dafür gebaut.

Ausgangslage: Warum überhaupt OnlyOffice?

OnlyOffice Docs, früher als OnlyOffice Document Server bekannt, ist eine serverseitige Software, die Office-Dokumente im Browser rendert und bearbeitbar macht. Die Besonderheit liegt in der Kompatibilität zu den üblichen Dateiformaten: DOCX, XLSX, PPTX sowie das OpenDocument-Format sind abgedeckt. Damit lassen sich Dateien öffnen, die aus Microsoft-Umgebungen stammen, ohne dass man sie vorher konvertieren müsste. Die Formatierung bleibt – von kleineren Kanten abgesehen – erstaunlich sauber erhalten. Das ist ein Punkt, an dem viele Zusammenarbeitslösungen scheitern.

Die Community-Edition von OnlyOffice Docs ist für die meisten Einsatzszenarien ausreichend. Sie ist kostenlos, aber nicht in jeder Hinsicht quelloffen. Wer mehr Funktionen braucht, etwa die On-Demand-Konvertierung über das extranet oder eine unbegrenzte Anzahl an gleichzeitigen Verbindungen, muss zur Enterprise-Variante greifen. Für den klassischen Einsatz hinter der Nextcloud-Instanz reicht die Community-Edition aber locker aus. Das ist ein Grund, warum sich viele Admins für OnlyOffice entscheiden: Man bekommt eine hochwertige Browser-Office-Suite, ohne große Lizenzkosten oder eine Abhängigkeit von einem externen Dienstleister.

Doch die Integration ist kein Selbstläufer. OnlyOffice Docs läuft nicht als Plugin im Nextcloud-Prozess, sondern als eigenständiger Dienst, der seine eigene Datenbank und einen Redis-Cache benötigt. An manchen Stellen wirkt das Setup wie ein kleines IT-Projekt für sich. Wenn man das weiß, ist es aber zu bewältigen.

Voraussetzungen und Grundsatzentscheidungen

Bevor man überhaupt die App in Nextcloud aktiviert, sollte man sich über die Architektur klar sein. OnlyOffice Document Server ist eine Java- und Node-basierte Anwendung. Im Hintergrund arbeiten mehrere Komponenten, die Dokumente in verschiedene Formate umwandeln, für die Browserdarstellung aufbereiten und die kollaborative Bearbeitung steuern. Das alles braucht Ressourcen: Eine kleine Teamumgebung mit zehn gleichzeitigen Bearbeitern sollte dem Dienst schon 4 GB Arbeitsspeicher und zwei CPU-Kerne gönnen. Das liegt nicht an der Effizienz der Software, sondern an den Anforderungen moderner Browser-Office-Lösungen. Render-Arbeit wird serverseitig erledigt, das spart auf den Clients eine Menge Rechenleistung.

Grundsätzlich muss OnlyOffice Docs auf einem separaten Host oder zumindest in einem eigenen Container laufen, getrennt von der Nextcloud-Installation. Die beiden Dienste kommunizieren über HTTP beziehungsweise WebSocket. Das bedeutet, dass eine Nextcloud-Instanz, die per HTTPS erreichbar ist, zwingend auch eine HTTPS-Verbindung zum OnlyOffice-Dienst benötigt. Browser weigern sich heutzutage schlicht, eine verschlüsselte Seite mit einer unverschlüsselten WebSocket-Verbindung zu mischen. Ein Zertifikat für den OnlyOffice-Server ist daher keine Option, sondern Pflicht.

Eine weitere Grundsatzentscheidung betrifft die Frage, ob man den OnlyOffice-Dienst selbst betreibt oder eine gehostete Variante nutzt. Nextcloud hat den Anspruch, die Daten in der eigenen Hand zu lassen. Wenn man OnlyOffice zusätzlich selbst hostet, ist dieser Anspruch konsequent erfüllt. Ein externes Hosting ist zwar einfach, führt aber die Logik der Selbstbestimmung wieder aus. Manche Unternehmen wählen einen Mittelweg: Nextcloud im Rechenzentrum, OnlyOffice als Managed Service in der gleichen Cloud-Region. Das funktioniert, hat aber geschmackliche und rechtliche Implikationen, die man vorher durchdenken sollte.

Auch die Wahl zwischen OnlyOffice und Collabora ist eine Grundsatzentscheidung. Collabora ist der LibreOffice-Ableger und integriert sich ebenfalls gut in Nextcloud. In der Praxis unterscheiden sich die beiden vor allem im Bedienkonzept. OnlyOffice wirkt frischer, die Oberfläche erinnert stärker an moderne Office-Suiten. Collabora ist traditioneller, hat aber bei manchen Dateiformaten die Nase vorn, weil es auf LibreOffice-Technologie setzt. Wer eine enge Dateiformat-Treue braucht, sollte beide installieren und gegeneinander testen. Oft hängt die Entscheidung an einem bestimmten Dokument, an dem man die Zusammenarbeit testet. Man sollte sich darauf einstellen, dass das Testen Zeit kostet – sonst spart man sie später bei den Anwendern nicht ein.

Der Standardweg: Nextcloud-App und OnlyOffice Docs

Die offizielle Integration heißt in der Nextcloud-App-Verwaltung schlicht „ONLYOFFICE“. Die App wird aus dem Nextcloud-App-Store installiert, nachdem man sichergestellt hat, dass die Nextcloud-Version aktuell ist. Danach landet man unter den Einstellungen auf einer neuen Unterseite, auf der man die Basisparameter eintragen muss: die URL des OnlyOffice-Document-Servers und den Secret-Key.

Der Secret-Key ist in der aktuellen Version des Document Servers ein JWT (JSON Web Token), mit dem die eingehenden Anfragen signiert werden. Das klingt komplizierter, als es ist: Nextcloud und OnlyOffice Docs vereinbaren dasselbe geheime Passwort. Jede HTTP-Anfrage von Nextcloud ist damit signiert, jede Anfrage an den Document Server trägt die Signatur. Auf diese Weise wird verhindert, dass jemand den OnlyOffice-Dienst aufruft, um unautorisiert auf Dokumente zuzugreifen. In der Konfiguration des Document Servers muss der gleiche Schlüssel hinterlegt sein. Dabei zeigt sich ein typisches Problem: Die Reihenfolge der Konfiguration ist entscheidend. Wenn man zuerst die Nextcloud-App einrichtet, die URL aber noch nicht antwortet, weil der Document Server noch läuft, bekommt man eine Fehlermeldung, die einen lange raten lässt. Empfehlung: erst OnlyOffice Docs hochziehen, dann in Nextcloud die App konfigurieren.

Es gibt mehrere Wege, OnlyOffice Docs zu installieren. Die offiziellen Docker-Images sind für die meisten Projekte der schnellste Weg. Ein einfacher Container sieht so aus:

docker run -i -t -d -p 80:80 onlyoffice/documentserver

Das ist keine Empfehlung für den Produktivbetrieb, aber man kann damit ein Gefühl bekommen. Der Container lädt alle Abhängigkeiten und startet eine funktionsfähige Instanz. Wenn man es schafft, die Hauptseite des Document Servers im Browser zu öffnen, ist schon mal der Grundstein gelegt. Dann kommt die Konfiguration, die etwas mehr Handarbeit braucht.

Integration mit Docker Compose

Für den produktiven Betrieb kommt ein Compose-Setup in Frage. Nextcloud selbst läuft oft schon in Docker, OnlyOffice lässt sich daneben mit einer ähnlichen Datei hochziehen. Wichtig ist, dass nicht nur der Anwendungsserver, sondern auch die Datenbank und der Cache sauber getrennt laufen. Ein einfaches Beispiel für ein Docker-Compose-File für OnlyOffice und eine PostgreSQL:

version: '2'
services:
  onlyoffice:
    image: onlyoffice/documentserver:latest
    container_name: onlyoffice
    restart: unless-stopped
    ports:
      - '80:80'
    environment:
      POSTGRESQL_HOST: db
      POSTGRESQL_USER: root
      POSTGRESQL_PASSWORD: nuurEinBeispiel
      JWT_ENABLED: 'true'
      JWT_SECRET: mein-geheimer-schluessel
    volumes:
      - ./onlyoffice/data:/var/www/onlyoffice/Data
      - ./onlyoffice/logs:/var/log/onlyoffice
    depends_on:
      - db
  db:
    image: postgres:12
    container_name: onlyoffice-db
    environment:
      POSTGRES_DB: onlyoffice
      POSTGRES_USER: root
      POSTGRES_PASSWORD: nuurEinBeispiel
    volumes:
      - ./postgresql:/var/lib/postgresql/data

Dieses Beispiel spiegelt die Grundstruktur wider. Der Passwort-Wert ist hier bewusst mit einem Tippfehler versehen, denn in der Praxis passieren solche Tippfehler dauernd. Das führt dann dazu, dass Nextcloud mit dem Dienst spricht, aber die App eine kryptische Fehlermeldung ausgibt. Deshalb gilt an dieser Stelle: Wer die Installation frisch ausrollt, sollte die Passwörter nicht frei Schnauze tippen, sondern in einem Passwort-Manager generieren und anschließend in beide Konfigurationsdateien übernehmen. Das klingt banal, spart aber böse Debugging-Sessions.

Außerdem braucht der OnlyOffice-Server in einer sauberen Umgebung Zugriff auf Redis. Das obige Beispiel lässt Redis weg, und ehrlich gesagt läuft der Dienst auch ohne. Alle Container-Komponenten sind in den offiziellen Images mit eingebaut. Aber für den Produktivbetrieb mit mehr als ein paar Benutzern gehört Redis dazu. OnlyOffice nutzt den Cache, um Sitzungsdaten und Dokumentzustände zwischen den verschiedenen Service-Komponenten abzulegen. Ohne Redis wird der Hauptprozess zum Flaschenhals, sobald die Last steigt. Es ist also keine Schande, das Redis-Image einfach in das Compose-File aufzunehmen.

Nach dem Start des Stacks sollte man über die Hauptseite des Document Servers prüfen, ob der Dienst ansprechbar ist. Danach trägt man in Nextcloud die URL des OnlyOffice-Servers ein. Wenn Nextcloud auf einem anderen Host läuft, muss die URL natürlich öffentlich erreichbar sein, nicht nur aus dem Docker-Netzwerk heraus. Manche Admins versuchen, eine Docker-interne Adresse wie „http://onlyoffice“ in die Nextcloud-Settings einzutragen. Das funktioniert nur, wenn beide Container Teil desselben Docker-Netzwerks sind. In typischen Setup mit Nextcloud auf demselben Host und OnlyOffice im eigenen Netzwerk, der aber über einen Port gemappt ist, nimmt man die externe URL.

Konfiguration im Detail

Nach der Installation ist die Feinjustierung dran. Nextcloud bietet in der OnlyOffice-App verschiedene Optionen an, die den Alltag beeinflussen. Die wichtigste betrifft das Verhalten beim Öffnen von Dateien. Standardmäßig werden Dokumente im OnlyOffice-Editor geöffnet, sobald der Dateiname der erlaubten Formate trägt. Das lässt sich pro Benutzergruppe steuern. Manche Mitarbeiter fühlen sich in einer vertrauten Umgebung wohler, wenn sie nicht bei jedem Klick auf eine Datei zuerst in den Browser-Editor geschickt werden. Also kann man festlegen, dass nur bestimmte Gruppen die Online-Bearbeitung aktiv nutzen und alle anderen weiterhin die Dateien herunterladen. So etwas gehört zu den Einstellungen, die man vor dem Rollout mit den Anwendern absprechen sollte.

Eine zweite wichtige Einstellung ist die Option, die Bearbeitung in öffentlichen Links zu erlauben. Nextcloud kann Dateien über einen Link teilen, ohne dass der Empfänger ein Konto braucht. OnlyOffice unterstützt das, es stellt sich aber die Frage, ob man das wirklich möchte. Kollaborative Bearbeitung über einen öffentlichen Link bedeutet, dass jeder mit dem Link das Dokument nicht nur anschauen, sondern auch ändern kann. Das ist für bestimmte Use Cases praktisch, etwa wenn ein externer Steuerberater an einer Tabelle mitarbeiten soll. Doch die Gefahr von missbrauchten Links ist größer als bei einer reinen Download-Freigabe. Ich kenne einige Fälle, in denen öffentlich geteilte Dokumente auf verschlüsselten Kalendern gelandet sind und ungewollt bearbeitet wurden. Man sollte diese Funktion also nur aktivieren, wenn man sicher ist, dass sie gebraucht wird.

Für die JWT-Absicherung gibt es in der Nextcloud-App ebenfalls ein Feld. Der dort eingetragene Secret-Key muss exakt dem auf dem Document Server gesetzten Schlüssel entsprechen. In den Docker-Umgebungen wird der Schlüssel über die Umgebungsvariable JWT_SECRET gesetzt. Manche Admins argumentieren, dass dieser Schlüssel bei einer reinen Host-Zuordnung nicht nötig sei, weil der Document Server nur im internen Netzwerk liegt. Das mag stimmen, aber nur bis zu dem Moment, in dem jemand einen SSRF-Angriff auf die Container-Infrastruktur ausführt. Der JWT-Schutz ist eine preiswerte Firewall auf Anwendungsebene, und er kostet fast nichts. Also: anschalten.

Ein Punkt, bei dem sich immer wieder Stolperfallen zeigen, ist das HTTPS-Zertifikat auf dem OnlyOffice-Server. Wenn der Dienst unter der falschen Domain erreichbar ist, weil das Zertifikat für einen anderen Namen ausgestellt wurde, meldet die Nextcloud-App eine Verbindungsproblematik. Die Prüfung des Zertifikats gehört zu den ersten Schritten, die man bei Fehlersuche macht. Ein letzter Aspekt ist der Parameter für die anonyme Konvertierung. Die Dokumentvorschau in Nextcloud kann Dateien als PDF darstellen. Dafür beauftragt Nextcloud den OnlyOffice-Server häufig damit, eine PDF-Vorschau zu erzeugen. Wenn diese Konvertierung nicht portiert ist, funktioniert das Vorschaufenster nicht. In der App ist das meist standardmäßig aktiviert. Es ist ein dankbarer Test, ob die Integration wirklich vollständig läuft.

Alltag: Mit OnlyOffice in Nextcloud arbeiten

Ist die Integration eingerichtet, verändert sich der Umgang mit Office-Dateien spürbar. Man klickt auf eine DOCX-Datei und landet direkt in einem Editor, der nicht mehr viel mit dem primitiven HTML-Textfeld gemein hat. Das Menü erinnert an klassische Office-Suiten, inklusive Formatvorlagen, Tabellenoptionen, Diagrammen und einer Kommentarspalte auf der rechten Seite. Mehrere Benutzer können gleichzeitig an einem Dokument arbeiten. Jede Person wird mit einer eigenen Cursorfarbe angezeigt, Änderungen werden live synchronisiert, und das Versionssystem von Nextcloud sorgt dafür, dass man einen früheren Stand wiederherstellen kann.

Ein interessanter Aspekt ist die Rechteverwaltung. Nextcloud unterscheidet, ob eine Person den Ordner bearbeiten darf oder nur lesen kann. OnlyOffice übernimmt diese Rechte nahtlos: Bei einer Datei, für die nur Leseberechtigung besteht, wird der Editor im Review-Modus geöffnet, das Speichern ist nicht möglich. Das funktioniert in der Praxis gut, auch wenn es ab und zu vorkommt, dass die Rechte im OnlyOffice-Editor nicht sofort sichtbar sind. Man muss schon einmal kräftig auf den Speichern-Button klicken, bevor man bemerkt, dass er ausgegraut ist. Eine Kleinigkeit, die man den Benutzern erklären sollte.

Die Bearbeitung von Tabellen ist mit OnlyOffice durchaus passabel. Wer einmal versucht hat, viele Excel-Formeln in einem Browser-Office zu verwenden, wird schnell an Grenzen stoßen. Doch für den normalen Bedarf – Summen, wenn-Funktionen, Verweise, Diagramme – reicht es. Mit großen Dateien über hundert Megabyte wird es ungemütlich. Nur weil Nextcloud die Datei problemlos hochlädt, heißt das nicht, dass der OnlyOffice-Server sie in einem Rutsch verarbeiten kann. Die Konvertierung in das intern genutzte Format braucht Zeit, und der Speicherverbrauch des Document Servers wächst proportional zur Dateigröße. Für den regulären Bürogebrauch ist das kein Ding, aber wer mit riesigen Datenbanken in Calc arbeitet, sollte vorher prüfen, ob die Datei im Browser gerendert werden kann.

Praxisrelevant ist auch die gemeinsame Bearbeitung an Präsentationen. OnlyOffice unterstützt das, aber die Erfahrung hängt stark von der Netzwerkqualität ab. In Video-Calls merkt man manchmal nicht, dass andere am selben Dokument arbeiten. Die Latenz bei der Eingabe ist höher als bei einem lokal installierten Programm. Das ist kein Specificum von OnlyOffice, sondern der Preis für Web-Office. Umso wichtiger ist, dass der Document Server nahe an den Benutzern sitzt. Wer in Deutschland arbeitet und den Server in den USA betreibt, wird bei der Tipp-Paarung eine merkwürdige Verzögerung spüren.

Feinheiten und Fallstricke

Die Integration bringt ein paar Eigenheiten mit, die man erst entdeckt, wenn man sie nicht erwartet. Da wäre der Umgang mit Sonderzeichen in Dateinamen. OnlyOffice erwartet Dateinamen, die dem Standard entsprechen, also keine krummen Pfade. Umlaute sind normalerweise kein Problem, aber Pluszeichen, Prozentzeichen oder das gefürchtete # können die Signaturprüfung sprengen. Wenn also plötzlich beim Öffnen einer Datei die Meldung auftaucht, dass die Datei nicht gefunden werden kann, obwohl sie in Nextcloud liegt, liegt es oft am Dateinamen. Ich selbst habe einmal eine Stunde lang den Fehler in der JWT-Konfiguration vermutet, bis ich den Verdächtigen im Dateinamen Entwurf+tabelle#final.xlsx hatte. Das ist kein Programmierfehler, sondern eine Eigenheit, wie der Browser mit der URL umgeht.

Dann das Thema WebSocket-Verbindung. OnlyOffice nutzt WebSockets, um die kollaborativen Bearbeitungszustände in Echtzeit zu übertragen. Wer einen Reverse-Proxy wie nginx oder Apache betreibt, muss sicherstellen, dass die WebSocket-Upgrades zum OnlyOffice-Server durchgereicht werden. In nginx braucht der location-Block für OnlyOffice die Header Upgrade und Connection. Ohne diese Konfiguration öffnet sich der Editor zwar, aber die parallele Bearbeitung funktioniert nicht sauber. Die Server können sprechen, aber nicht gleichzeitig. Das äußert sich dadurch, dass man die Änderungen des anderen erst nach einem manuellen Reload sieht. Nicht zuletzt, weil die mobile Nextcloud-App ab und zu auch mit dem Integrationsfenster kämpft, sollte man die WebSocket-Konfiguration frühzeitig testen.

Auch beim Zugriff über einen Reverse-Proxy gibt es eine Feinheit: Der Proxy muss die Größe von Datei-Uploads erhöhen. Standardmäßig sind in nginx Uploads auf 1 MB beschränkt, dieser Wert ist für OnlyOffice, das ganze Dokumente an den Document Server überträgt, viel zu niedrig. Wer also eigene große Dateien über den Browser bearbeiten möchte, aber nur „413 Request Entity Too Large“ bekommt, weiß dann hoffentlich Bescheid. Das ist einer der häufigsten Fehler bei der Einrichtung, weil die Standardwerte der Web-Server nicht zur Office-Welt passen.

Nextcloud kann außerdem von sich aus Dateien verschlüsseln. Die serverseitige Verschlüsselung ist ein Sicherheitsfeature, das aber für OnlyOffice problematisch werden kann. Der Document Server muss die Datei lesen können, um sie zu rendern. Bei der serverseitigen Verschlüsselung von Nextcloud wird die Datei erst für den authentifizierten Benutzer entschlüsselt, bevor sie an den Document Server geschickt wird. Das funktioniert im normalen Dateizugriff, aber nicht mit allen Integrationswegen. Wer also eine Verschlüsselung auf Dateiebene (nicht Transportverschlüsselung) aktiviert hat, sollte mit OnlyOffice testen, ob das Dokument wirklich öffnen lässt. In manchen Konfigurationen muss man die Verschlüsselung für den OnlyOffice-Zugriffsweg deaktivieren, was man aber nicht tun sollte, bevor man nicht das Zusammenspiel versteht.

Ein erheblicher Fallstrick ist die mangelnde Unterstützung für externe Storage-Anbieter, die Nextcloud über die entsprechenden Apps einbindet, etwa S3 oder WebDAV. OnlyOffice kann mit diesen Dateien arbeiten, solange sie in der Nextcloud-Dateiablage liegen. Bei S3-Buckets oder anderen externen Speichern ist die Integration meist langsamer, und es gibt Berichte, dass die kollaborative Bearbeitung dann ab und zu Abstürze verursacht. Das hängt davon ab, wie die externe Speicherung eingebunden ist. Wer große S3-Strukturen betreibt, sollte sich vorher schlau machen, ob die Kombination unterstützt wird.

Alternativen und Vergleich: Collabora Online

Wenn ich von OnlyOffice spreche, gehört der Vergleich zu Collabora dazu. Collabora Online ist gewissermaßen der Platzhirsch in der Nextcloud-Welt, weil es auf LibreOffice-Technologie basiert. Die Integration in Nextcloud ist mindestens so gut ausgereift wie bei OnlyOffice. Die Installationswege ähneln sich: Collabora läuft als Container, Nextcloud braucht die entsprechende App namens „Collabora Online“, man trägt die URL des Servers ein, und schon kann es losgehen.

Der wichtigste Unterschied liegt im Ressourcenverbrauch. Collabora baut auf der LibreOffice-Verarbeitung auf, was für die Privatsphäre gut ist, aber in der Praxis gerne den Server in die Knie zwingt. Jeder Editor-Prozess hält eigenständige Prozesse vor, und wer nicht über den berühmten coolwsd-Parameter nachdenkt, wird bei mehreren gleichzeitigen Nutzern böse Überraschungen erleben. OnlyOffice hat einen besseren Ruf, was die Effizienz angeht, aber es ist auch kein leichtgewichtiges Tool. In einem Vergleich in einem deutschen Systemhaus kam heraus, dass OnlyOffice bei gleicher Nutzerzahl etwa 20 Prozent weniger RAM benötigt. Das ist keine allgemeingültige Zahl, sie zeigt aber die Richtung.

Bei der Dokumenttreue gibt es Unterschiede. Collabora kennt die Eigenheiten von LibreOffice, das ständig an der Kompatibilität mit den Microsoft-Formaten arbeitet. OnlyOffice setzt von Haus aus stärker auf die Microsoft-Office-Formate und ist in der Bedienung oft logischer, wenn man von Microsoft-Office umsteigt. Für die meisten Anwender ist die Umgewöhnungszeit kurz. Wenn man jedoch professionelles Layout, komplizierte Fußnoten oder komplexe Makros in einem Dokument hat, kann jede Suiten-Installation ihre Tücken haben. Das muss man im Test selbst prüfen. Leider zeigt mir die Praxis, dass das selten gemacht wird. Es wird einfach ein Dienst gewählt, der bei jemandem im Blog gut wegkam.

Ansonsten gilt: Beide sind datenschutzfreundlicher als die großen Cloud-Anbieter, weil man sie selbst hosten kann. Beide haben den Vorteil, dass keine Daten an Drittfirmen geleitet werden. Abgesehen davon ist der Funktionsumfang im Kern gleich. Wem die Oberfläche von OnlyOffice zusagt, wird wahrscheinlich glücklich. Wer viel mit Dokumenten aus dem MS-Office-Kosmos arbeitet, sollte vielleicht auch mal in Collabora reinschnuppern.

Sicherheit und Datenschutz

Die Integration wirft datenschutzrechtliche Fragen auf. Nextcloud verarbeitet personenbezogene Daten – das ist bei Dokumenten in den meisten Fällen unvermeidlich. OnlyOffice Docs ist ein weiterer Verarbeiter. Wenn beide Dienste in der eigenen Infrastruktur laufen, bleibt der Vertrag der Verantwortlichkeit im eigenen Unternehmen. Man sollte dennoch ein Verarbeitungsverzeichnis führen und die internen Abläufe dokumentieren. Das klingt nach Bürokratie, ist aber den Aufwand wert, wenn die Datenschutzaufsicht anfragt.

Technisch gesehen muss die Verbindung zwischen Nextcloud und OnlyOffice nicht unbedingt das öffentliche Internet nutzen. Man kann die beiden Dienste per internem Netzwerk verbinden, wenn alles in einem Rechenzentrum läuft. In Docker-Umgebungen macht man das über das Docker-Netzwerk. In klassischen VM-Umgebungen reicht eine private Subnetz-Verbindung. So ist der Datenverkehr von außen nicht abhörbar. Der JWT-Schutz kommt dazu, damit kein anderer Dienst im Netzwerk heimlich Dokumente an den OnlyOffice-Server schickt.

Bei der Wahl des Verschlüsselungsgrads gilt die Faustregel: Transportverschlüsselung ist obligatorisch. Datenverschlüsselung, etwa die auf Dateiebene, ist optional und kann mit OnlyOffice wie oben erwähnt kollidieren. Die Nextcloud-Dokumente werden von OnlyOffice nicht persistent gespeichert. Der Document Server erstellt temporäre Dateien, die nach der Sitzung eigentlich gelöscht werden. Man sollte aber verifizieren, dass im Verzeichnis /var/www/onlyoffice/Data keine Überreste von Dokumenten liegen bleiben. In meiner Praxis kamen vereinzelt Fälle vor, in denen temporäre Dateien nicht gelöscht wurden, weil der Prozess abrupt abbrach. Ein regelmässiger manueller Blick in dieses Verzeichnis ist also kein Zeichen von Misstrauen, sondern von Professionalität.

Die Benutzerverwaltung von Nextcloud wird an OnlyOffice nicht übergeben. Der Document Server kennt keine Benutzerkonten, er authentifiziert Anfragen über die Signatur. Das ist ein Vorteil, weil keine doppelte Benutzerverwaltung gepflegt werden muss. Andererseits hat man auch nicht die Möglichkeit, im OnlyOffice-Log nachzuvollziehen, welcher Benutzer welches Dokument bearbeitet hat, außer Nextcloud protokolliert es. Die Nextcloud-App kann das über die Audit-Logs abbilden. Wer also ein lückenloses Audit braucht, muss die Nextcloud-Protokollierung entsprechend konfigurieren. Eine Zwei-Faktor-Authentifizierung in Nextcloud schützt zusätzlich vor unbefugtem Zugriff auf die Integrationsfunktion.

Performance und Skalierung

Der Flaschenhals einer derartigen Installation ist fast immer der OnlyOffice-Server. In einem kleinen Team mit zwei, drei gleichzeitigen Bearbeitungen reicht ein einfacher VPS. Sobald mehr als etwa zehn Personen in Echtzeit an Tabellen herumwischen, wird es eng. Dann braucht es mehr CPU, mehr RAM und einen gut konfigurierten Redis-Cache.

Dabei zeigt sich, dass die Prozessor-Auslastung des Document Servers sehr stark von den konvertierten Formaten abhängt. Eine DOCX-Datei mit vielen Bildern braucht bei jeder Konvertierung deutlich mehr Rechenleistung als eine einfache Textdatei. Bei Präsentationen mit aufwendigen Animationen kann der Server für einen Moment regelrecht einrasten. Wer eine vielbenutzte Nextcloud-Instanz mit OnlyOffice betreibt, sollte die Lastmuster überwachen, um den Zeitpunkt zu erkennen, an dem ein zweiter Server sinnvoll wird.

Eine gewisse Skalierung erreicht man, indem man eine zweite OnlyOffice-Instanz hinter einem Lastverteiler betreibt. Dafür müssen die Sitzungsdaten in Redis und das Dateispeichersystem gleichzeitig genutzt werden. Das ist aber nicht trivial. OnlyOffice hat zwar in den Enterprise-Versionen eine eingebaute Skalierungsfunktion, die Community-Edition ist eher für eine einzelne Instanz gedacht. Ein gangbarer Weg besteht darin, den Dienst auf einer großen Maschine zu betreiben und die Ressourcen großzügig zu wählen. Der Preis für Server-RAM ist in den letzten Jahren so tief gefallen, dass die Arbeit an der Skalierung sich für kleinere Teams nicht lohnt.

Die Position des Redis-Cache ist ein weiterer Punkt. Der Cache sollte sich nicht auf einem anderen Kontinent befinden. Wenn Nextcloud und OnlyOffice in der Cloud betrieben werden, am besten in der gleichen Availability-Zone. So lassen sich unnötige Roundtrip-Zeiten vermeiden. Generell sollte die Netzwerkverbindung zwischen den Diensten eine Latenz von unter einer Millisekunde aufweisen, das ist in einem intakten Rechenzentrum normal.

Wartung und Updates

Die Software bleibt nicht stehen, und das ist gut so. Nextcloud veröffentlicht regelmäßig neue Versionen, auch die OnlyOffice-Integration passt sich an. Allerdings gilt: Die Integration ist so stabil, wie beide beteiligten Komponenten aktuell sind. Eine alte Nextcloud-Version mit einem neu aufgesetzten OnlyOffice-Server kann zu Schwierigkeiten führen, aber auch der umgekehrte Fall, nämlich ein frisches Nextcloud mit einem oder mehreren veralteten App-Ständen, sorgt für Probleme. Es gibt also keine Wahl: Wer betreibt, muss updaten.

In der Regel sollte man zuerst die Nextcloud-App aktualisieren und erst dann den Document Server, oder umgekehrt? Genau da scheiden sich die Geister. In der Praxis hat es sich bewährt, die Reihenfolge zu wählen, die das Nextcloud-Update zuerst durchführt. Die Integration ist offen genug, dass sie mit einer älteren App und einem neueren Document Server funktioniert. Wenn die App selbst das Update benötigt, etwa weil neue Parameter eingeführt wurden, muss sie vorher kommen. Letztlich läuft es auf ein bisschen Bauchgefühl hinaus.

Im Docker-Betrieb lässt sich ein Update einfach durchführen: das Compose-File mit der neuen Image-Version ziehen, Container neu starten. Aber Achtung: Die Datenbanken müssen migriert werden. OnlyOffice führt Migrationen beim Start automatisch aus, aber nicht immer ist der verfügbare Platz ausreichend. Man sollte vorher die Datenbankgröße prüfen und gegebenenfalls ein Backup anlegen. Auch das Datenverzeichnis, in dem die temporären Dokumente liegen, gehört zur Sicherung. Wer das vernachlässigt, kann nach einem Update in einer kaputten Umgebung sitzen oder, schlimmer, sein Backup ist unbrauchbar, weil die Datenbank fehlt.

Die Community-Edition von OnlyOffice Docs erhält regelmäßig Sicherheitsupdates. Die Mailing-Liste oder die Release-Seite auf GitHub sollte man abonniert haben, um auf kritische Lücken reagieren zu können. Nextcloud hat mit dem „Nextcloud Security“-Advisories ebenfalls eine Informationsquelle, die man im Blick behalten sollte. Es ist ein nicht zu unterschätzender Aufwand, aber er ist geringer als bei einer vollständigen Office-Software, weil die Angriffsfläche begrenzt ist: OnlyOffice läuft hinter einem schmalen Port, der im Idealfall nur für Nextcloud erreichbar ist. Ein Reverse-Proxy kann den Zugriff auf bestimmte IP-Adressen begrenzen, wenn Nextcloud dieselben Netzwerke nutzt.

Was die Zukunft bringt

Nextcloud hat zuletzt stark in die Integration von KI-Funktionen investiert, etwa in Textgenerierung in Zusammenarbeit mit lokalen Sprachmodellen. Auch OnlyOffice wird weiterentwickelt, vor allem die mobile Nutzung wird besser. Die Grenze zwischen lokalen Office-Anwendungen und Web-Office verschwimmt ohnehin. Der Trend geht zu einer Welt, in der die Dokumente überall hin mitgenommen werden können, ohne dass die Daten auf fremden Servern liegen. Nextcloud plus OnlyOffice ist dafür eine überzeugende Blaupause.

Nicht zuletzt spielen kommende Web-Standards eine Rolle. Der Zugriff auf Dateien im Browser wird durch die File System Access API weiter normalisiert. Vielleicht erleben wir in ein paar Jahren eine nächste Generation von Browser-Offices, die noch näher an der Desktop-Erfahrung ist. OnlyOffice ist bereits auf einem guten Weg, weil die Software den Browser nicht als Hindernis, sondern als Implementierungsplattform betrachtet. Die Integration in Nextcloud wird dadurch eher einfacher werden, nicht schwieriger.

Interessant dürfte auch die Weiterentwicklung beim Peer-to-Peer-Teil der Nextcloud-Philosophie sein. Wenn Dokumente direkt zwischen den Geräten synchronisiert werden, kann ein Web-Office direkt mit dem Peer verbunden sein. OnlyOffice hält sich da noch zurück, was nachvollziehbar ist, weil die serverseitige Bearbeitung eine der wenigen verbleibenden Aufgaben für einen zentralen Server ist. Aus Sicht des Betreibers ist man also noch eine Weile auf eine klassische Serverarchitektur angewiesen. Das schafft Kontinuität, aber auch Wartungsverantwortung.

Fazit

OnlyOffice in Nextcloud einzubinden, lohnt sich in den meisten Fällen. Die Integration ist ausgereift, die Bedienung angenehm, und mit der Community-Edition bleibt die Kostenfalle klein. Allerdings darf man den Aufwand für die Einrichtung und das Hosting nicht unterschätzen. Ein Zusatzdienst, der eigene Ressourcen braucht, komplizierte WebSocket-Konfigurationen mit sich bringt und trotzdem irgendwann ein Update benötigt – das ist kein Selbstläufer. Wer aber ohnehin Nextcloud betreibt, hat damit meist die nötige Infrastruktur. Ein zusätzlicher Container ist da nur ein kleiner Appendix.

Für Teams, die ausschließlich im eigenen Netz arbeiten, ist die Kombination eine echte Hilfe. Die kollaborative Bearbeitung ist zuverlässig, die Einarbeitungszeit der Benutzer überschaubar und die Daten liegen dort, wo sie hingehören: in der eigenen Hand. Man sollte sich nicht vom Vergleich mit Microsoft 365 blenden lassen. Die sind etabliert, aber nicht frei. Nextcloud und OnlyOffice bieten einen Großteil dessen, was man im täglichen Büroleben braucht, und das auf einer Infrastruktur, die man selber kontrolliert.

Der gute Moment für eine Einführung ist übrigens nicht dann, wenn die Benutzer schon verzweifelt sind, sondern wenn man ein neues Projekt anstößt und sich die Prozesse von Anfang an gestalten lassen. Wer schon ein etabliertes Filesystem mit Word-Dateien hat, wird die Umstellung spüren. Aber die Vorteile, vor allem die nahtlose Zusammenarbeit und die Versionssicherheit, überwiegen. Mit der passenden Hardware, einem sauberen Docker-Setup und ein wenig Geduld ist die installierte Lösung stabiler als mancher Cloud-Dienst. Und wenn es einmal hakt, hilft das Lernen, wie das System im Inneren funktioniert. Das ist Erfahrung, die man in keiner Cloud kaufen kann.