Nextcloud mit YubiKey absichern: Zwei Faktoren, viele Fallstricke

Es gibt diesen Moment in fast jedem Nextcloud-Projekt, in dem die Zwei-Faktor-Authentifizierung plötzlich auf der Agenda steht. Manchmal kommt der Anstoß von der Geschäftsführung, manchmal aus der Compliance-Abteilung, und gelegentlich ist es einfach die eigene Neugier, nachdem man im nextcloud.log zum wiederholten Mal gesehen hat, wie systematisch Adressen aus dem Ausland die Login-Maske durchprobieren. Die naheliegende Antwort lautet dann: TOTP mit einer Authenticator-App. Funktioniert, ist schnell eingerichtet, kostet nichts. Und genau dort beginnt das eigentliche Problem.

Denn wer TOTP einmal eingeführt hat, merkt schnell, dass die Sicherheitsgewinne überschaubar bleiben, sobald ein Angreifer nicht mehr stumpf Passwörter durchprobiert, sondern mit einer gefälschten Anmeldeseite arbeitet. Der Code aus der App landet dann direkt beim Angreifer, der ihn in Echtzeit weiterreicht. Gegen diese Art von Angriff hilft ein Hardware-Token, das kryptografisch an die echte Domain gebunden ist. Der YubiKey ist das bekannteste Beispiel dafür, und Nextcloud unterstützt ihn über den WebAuthn-Standard. Die Einrichtung sieht trivial aus, ist es aber nicht.

Warum Nextcloud überhaupt ein eigenes 2FA-Framework mitbringt

Nextcloud ist keine klassische Anwendung, die Benutzer gegen eine Datenbank mit Passwort-Hashes prüft. Der Server kennt diverse Backends: lokale Konten, LDAP, Active Directory, SAML, OIDC, manchmal mehrere parallel, oft gruppenabhängig. Dazu kommen Dienste wie Talk, Kalender, Kontakte und Dateien, die alle über dieselbe Session laufen, aber unterschiedlich angesprochen werden – per Browser, per Desktop-Client, per Mobil-App, per WebDAV, per CalDAV.

Aus diesem Grund hat Nextcloud ein eigenes Zwei-Faktor-Framework implementiert. Es besteht aus einem Kern, der den Login-Flow steuert, und aus austauschbaren Provider-Apps. Eine Provider-App ist technisch gesehen eine kleine Erweiterung, die zwei Aufgaben erfüllt: Sie stellt im persönlichen Bereich eine Einrichtungsseite bereit, und sie implementiert eine Methode, mit der ein während des Logins eingegebener Faktor geprüft wird. Das Framework selbst entscheidet dann, wann welcher Provider abgefragt wird und ob überhaupt einer verlangt wird.

Interessant ist, dass Nextcloud 2FA nicht als binäres Merkmal pro Benutzer versteht, sondern als Sammlung von Anforderungen. Ein Konto kann mehrere Provider aktiviert haben. Die Reihenfolge, in der sie abgefragt werden, ist nicht vollständig deterministisch, und das ist einer der Punkte, an denen sich in der Praxis immer wieder Diskussionen entzünden. Wer etwa TOTP und WebAuthn parallel aktiviert hat, kann nicht garantieren, dass beim Login zuerst der YubiKey abgefragt wird. Aus Sicht der Sicherheit ist das unproblematisch – es müssen ohnehin alle aktivierten Faktoren vorgelegt werden –, aus Sicht der Nutzerfreundlichkeit manchmal nervig.

Der Unterschied zwischen TOTP, Yubico OTP und WebAuthn

Bevor es an die konkrete Einrichtung geht, lohnt ein Blick auf die Verfahren, die mit einem YubiKey technisch möglich sind. Denn nicht alles, was „YubiKey“ heißt, ist dieselbe Technologie.

Da ist zunächst das klassische Yubico OTP. Der Stick erzeugt auf Tastendruck eine 44-stellige Zeichenkette, das sogenannte Modhex-Format, und gibt sie als Tastatureingabe aus. Der Server schickt diese Zeichenkette zur Validierung an das Yubico-Cloud-Angebot, das die AES-Schlüssel des Sticks kennt. Das Verfahren ist alt, funktioniert ohne Browser-API und hat einen entscheidenden Nachteil: Es setzt eine Verbindung zu einem externen Dienst voraus. Für Umgebungen, die keine Abhängigkeit zu Drittanbietern wünschen, ist das ein K.-o.-Kriterium. Wer es dennoch nutzt, kann einen eigenen Validierungsserver betreiben, was allerdings zusätzlichen Wartungsaufwand bedeutet. Die entsprechende Nextcloud-App heißt schlicht YubiKey und ist funktional, aber nicht mehr zeitgemäß.

Dann ist da TOTP, also zeitbasierte Einmalpasswörter. Der YubiKey kann das über die Yubico Authenticator App, die den geheimen Schlüssel nicht auf dem Telefon, sondern im geschützten Speicher des Sticks ablegt. Das ist ein sinnvoller Kompromiss, wenn kein WebAuthn möglich ist – etwa in Umgebungen, in denen der Browser keine Plattform-Authentifizierung bereitstellt. Sicherheitstechnisch bleibt es aber ein geteiltes Geheimnis, und damit anfällig für Phishing, wenn auch weniger als reine SMS-Codes.

Und schließlich FIDO2 beziehungsweise WebAuthn. Hierbei findet keine Übertragung eines Geheimnisses statt. Der Browser fordert eine Signatur über eine Challenge an, der YubiKey erzeugt sie mit einem privaten Schlüssel, der das Gerät nie verlässt, und der Server prüft die Signatur gegen den hinterlegten öffentlichen Schlüssel. Entscheidend: Der Schlüssel ist an die Domain gebunden. Eine Anmeldung auf nextcloud-beispiel.de kann nicht mit einem Schlüssel durchgeführt werden, der für nextcloud-beispie1.de registriert wurde. Genau das macht WebAuthn phishing-resistent, und genau deshalb ist es die einzige Variante, die man heute neuen Installationen empfehlen sollte.

Ein interessanter Aspekt: Beim YubiKey 5 und bei den Security-Key-Modellen von Yubico sind FIDO2 und U2F nicht dasselbe wie Yubico OTP. Der Stick beherbergt mehrere getrennte Anwendungen in unterschiedlichen Slots. Wer also einen YubiKey parallel für FIDO2 in Nextcloud und für Yubico OTP in einem älteren System nutzen möchte, muss die Slots entsprechend konfigurieren. Die Yubico Authenticator Software ist dabei hilfreich, aber Vorsicht: Wer den OTP-Slot überschreibt, verliert unter Umständen die Fähigkeit, den Stick in bereits eingerichteten Systemen zu verwenden.

Welche YubiKey-Modelle für Nextcloud sinnvoll sind

Yubico verkauft mehrere Produktlinien. Für den Einsatz mit Nextcloud ist die Auswahl einfacher, als sie zunächst wirkt.

Die YubiKey 5 Serie ist die klassische Wahl: 5 NFC, 5C NFC, 5C Nano, 5 Nano. Alle unterstützen FIDO2, U2F, PIV, OpenPGP, OATH und Yubico OTP. Für Nextcloud relevant ist ausschließlich FIDO2, aber die zusätzlichen Protokolle sind praktisch, wenn derselbe Stick später auch für die Code-Signatur oder SSH-Schlüssel genutzt werden soll. Der NFC-Chip ist wichtig für Mobilgeräte mit Android oder iOS; ein reiner USB-A-Stick ohne NFC nützt am Smartphone herzlich wenig.

Die YubiKey Bio Serie kombiniert FIDO2 mit einem Fingerabdrucksensor. Das klingt nach Spielerei, hat aber einen realen Nutzen: Der biometrische Faktor entsperrt den Schlüssel, wodurch die PIN-Eingabe entfällt. In Umgebungen, in denen häufige Anmeldungen anfallen – etwa bei Administratoren, die sich ständig neu einloggen –, ist das ein spürbarer Komfortgewinn. Sicherheitstechnisch bleibt der private Schlüssel im Chip; das Fingerabdruckmerkmal verlässt das Gerät nicht.

Die Security Key Serie ist die günstige Variante ohne PIV, OpenPGP und OATH. Für reines FIDO2 in Nextcloud genügt das vollständig. Wer einen Satz Schlüssel für zwanzig Mitarbeitende beschafft, spart hier durchaus sechs bis zehn Euro pro Stück. Wer denselben Stick auch als Smartcard-Ersatz einsetzen will, sollte dagegen zur 5-Serie greifen.

Was man in jedem Fall einplanen sollte: zwei Sticks pro Nutzer. Der eine bleibt am Schlüsselbund, der andere liegt sicher verwahrt – im Schrank, im Safe, bei der IT. Wer nur ein Token ausgibt und dieses verloren geht, hat keinen Zugriff mehr auf sein Konto, sofern keine Recovery-Codes hinterlegt wurden. Nicht zuletzt ist das ein Argument, das sich in der Geschäftsführung erfahrungsgemäß besser verkaufen lässt als jede Sicherheitsmarge.

Die passenden Nextcloud-Apps

Für WebAuthn benötigt Nextcloud die App Two-Factor WebAuthn (twofactor_webauthn). Sie ist im App-Store verfügbar, wird von der Nextcloud Community gepflegt und ist seit Version 19 im Einsatz. Die App unterstützt sowohl Plattform-Authentifizierung als auch externe Sicherheitsschlüssel. Wichtig: Die App unterscheidet zwischen Geräten, die während der Einrichtung registriert werden. Ein YubiKey erscheint dort als Security Key, ein Apple-Gerät als Platform. Beide können parallel existieren.

Ergänzend kann die Two-Factor TOTP-App installiert werden. Das macht dann Sinn, wenn ein Teil der Belegschaft keinen Hardware-Schlüssel erhält und stattdessen eine App auf dem Smartphone nutzt. Wichtig ist, dass der Administrator die TOTP-Einrichtung nicht erzwingt, denn dann wird sie für alle Nutzenden zur Pflicht – auch für jene, die bereits einen YubiKey verwenden. Die Folge sind zwei Eingaben pro Login, was erstaunlich schnell zu Beschwerden führt.

Für die Verwaltung der Erzwingung gibt es die App Two-Factor Admin Support. Sie erlaubt es, die 2FA-Pflicht gruppenweise zu aktivieren, Benutzern den Status zurückzusetzen und im Notfall eine temporäre Deaktivierung zu erlauben. Wer Nextcloud 27 oder neuer einsetzt, findet einen Teil dieser Funktionen auch in den administrativen Einstellungen.

Einrichtung eines YubiKeys: von der Theorie zur Praxis

Die Einrichtung sieht in der Theorie so aus: Der Nutzer öffnet die persönlichen Sicherheitseinstellungen, wählt „Zwei-Faktor-Authentifizierung“ und sieht dort die Kachel für WebAuthn. Ein Klick auf „Gerät hinzufügen“ öffnet einen Browser-Dialog, der Nutzer steckt den Stick an oder hält ihn an die NFC-Schnittstelle des Telefons, berührt den Sensor, vergibt gegebenenfalls eine PIN – fertig. Das Gerät erscheint in der Liste mit einem frei wählbaren Namen.

In der Praxis scheitert das nicht selten an drei Stellen.

Erstens die Domain. WebAuthn bindet den Schlüssel an den Ursprung, also an Schema, Hostname und Port. Wer Nextcloud unter https://cloud.firma.de betreibt und den Stick dort registriert, kann ihn nicht verwenden, wenn später auf https://nextcloud.firma.de umgestellt wird. Auch ein Wechsel von Port 443 auf einen anderen Port bricht die Bindung. Die saubere Lösung besteht darin, den endgültigen Hostnamen vor dem Rollout festzulegen. Wer bereits umgestellt hat, muss alle Sticks neu registrieren – was bei fünf Nutzern lästig, bei fünfhundert ein Projekt ist.

Zweitens die Trusted Proxies. Nextcloud prüft, ob der Anfrage-Ursprung zum eigenen Hostnamen passt. Wenn ein Reverse Proxy im Spiel ist – und der ist fast immer im Spiel –, müssen die entsprechenden Adressen in der config.php eingetragen sein. Fehlen sie, sieht Nextcloud nur die internen Proxy-Adressen und lehnt die WebAuthn-Registrierung mit einer wenig hilfreichen Fehlermeldung ab. Die Einträge lauten dann etwa:

'trusted_proxies' => ['10.0.0.10', '10.0.0.11'],
'overwriteprotocol' => 'https',
'overwrite.cli.url' => 'https://cloud.firma.de',

Dazu kommt der Header X-Forwarded-Proto, den der Proxy setzen muss. Wer ihn vergisst, bekommt es mit dem Phänomen zu tun, dass die Oberfläche zwar geladen wird, die Anmeldung mit dem Stick aber scheitert. Die Fehlermeldung im Browser lautet dann häufig nur „Sicherheitsfehler“ – wenig erhellend, aber der Blick in die Entwicklerkonsole zeigt schnell, dass der Ursprung als http:// statt https:// übermittelt wurde.

Drittens die rpId. Die Relying-Party-ID ist der Hostname, für den ein Schlüssel gültig ist. Nextcloud leitet sie aus der konfigurierten Domain ab. Wer Nextcloud unter mehreren Domains betreibt – etwa eine interne und eine externe –, wird feststellen, dass ein Stick nur für eine davon funktioniert. Das ist kein Fehler, sondern beabsichtigt. Die Lösung besteht darin, einen kanonischen Hostnamen zu definieren und alle anderen per Redirect darauf umzuleiten.

Mehrere Wege zum Ziel: Netzwerktopologie im Blick behalten

Besonders spannend wird es in Setups mit mehrstufiger Infrastruktur. Ein typisches Beispiel: Ein Load Balancer terminiert TLS, dahinter steht ein Nginx, dahinter ein Apache, dahinter PHP-FPM. Jede Stufe kann Header verändern. Wichtig ist, dass am Ende die Anfrage bei PHP mit dem korrekten Host, dem korrekten X-Forwarded-Proto und dem passenden REMOTE_ADDR ankommt. Wer in dieser Kette die Header mehrfach setzt, erzeugt gelegentlich widersprüchliche Werte – Nextcloud wählt dann einen davon aus, was zu einem nicht reproduzierbaren Verhalten führt.

Ein bewährtes Vorgehen: Zuerst trusted_proxies vollständig konfigurieren, dann mit einem minimalen Setup testen, ob WebAuthn überhaupt registriert werden kann, und erst danach die Produktivkonfiguration ausrollen. Wer sofort die vollständige Landschaft aufbaut, debuggt sich an Kleinigkeiten fest, die sich mit einer einfachen Testinstanz in fünf Minuten klären ließen.

2FA erzwingen, ohne die Belegschaft zu verlieren

Die technische Einrichtung ist das eine, die organisatorische Durchsetzung das andere. Nextcloud bietet die Möglichkeit, Zwei-Faktor-Authentifizierung für bestimmte Gruppen verpflichtend zu machen. Wer das aktiviert, sollte folgende Reihenfolge einhalten:

Pilotgruppe zuerst. Eine Handvoll technisch affiner Nutzer testet den Rollout, inklusive Verlust- und Recovery-Szenarien.
Ersatzschlüssel zeitgleich ausgeben. Nicht später, nicht auf Anfrage. Jeder bekommt zwei Sticks von Anfang an.
Recovery-Codes generieren. Die WebAuthn-App erlaubt keine klassischen Backup-Codes, aber TOTP kann als Zweitmethode dienen, oder die IT hinterlegt einen zweiten Stick im Safe des Nutzers.
Kommunikation vor der Aktivierung. Eine Woche Vorlauf, eine kurze Anleitung, ein Ansprechpartner. Klingt nach Selbstverständlichkeit, ist es nicht.
Rollout in Wellen. Pro Woche eine Abteilung, nicht alles auf einmal. Sonst steht der Helpdesk still.

Nicht zuletzt: Wer 2FA für Administratoren erzwingt, sollte sicherstellen, dass der Zugang zur Kommandozeile, zu occ und zur Datenbank davon nicht betroffen ist. Diese Zugänge haben eigene Schutzmechanismen und sind von der Web-Anmeldung unabhängig. Das ist beruhigend, weil man im Zweifel noch über SSH eingreifen kann – und beunruhigend, weil genau dieser Weg abgesichert werden muss.

Clients, App-Passwörter und der Alltag mit WebDAV

Wer Nextcloud produktiv nutzt, stößt früher oder später auf das Problem der Desktop-Clients. Der Nextcloud-Client synchronisiert Dateien, der Kalender-Client spricht CalDAV, der Mail-Client greift auf CardDAV zu. Alle diese Zugriffe laufen nicht über den Browser und können daher keine WebAuthn-Abfrage durchführen.

Nextcloud löst das über App-Passwörter. Nach der erfolgreichen Anmeldung im Browser kann der Nutzer in den Sicherheitseinstellungen ein gerätebezogenes Passwort erzeugen, das dann im Desktop-Client oder in Thunderbird hinterlegt wird. Diese App-Passwörter sind an das jeweilige Gerät gebunden, können einzeln widerrufen werden und umgehen die 2FA-Abfrage – was gewollt ist, denn sonst könnte der Client nach jedem Sync einen Stick verlangen.

Ein verbreiteter Denkfehler: App-Passwörter sind nicht als Ersatz für 2FA zu verstehen, sondern als Erweiterung. Sie sind kryptografisch stark, werden nur einmal angezeigt und sind auf einzelne Anwendungen beschränkt. Wer einem Mitarbeiter ein App-Passwort für „alle Dienste“ gibt, schwächt die Absicherung. Besser ist es, pro Client ein eigenes Passwort zu erzeugen und bei Verlust nur dieses zu widerrufen.

Ein weiterer Punkt, der in der Praxis übersehen wird: Die Nextcloud-Mobile-Apps für Android und iOS unterstützen den Login-Flow mit 2FA. Bei Android funktioniert die WebAuthn-Abfrage über den Chrome Custom Tab, bei iOS über Safari. Das klappt zuverlässig, solange die Domain exakt jener entspricht, für die der Stick registriert wurde. Bei internen Domains, die per VPN erreichbar sind, kann das jedoch fehlschlagen, wenn die DNS-Auflösung im mobilen Browser nicht dieselbe ist wie im Sync-Client.

Wenn der Stick verloren geht: Recovery ohne Selbstzerstörung

Der Umgang mit verlorenen Tokens ist der Schritt, an dem sich die Ernsthaftigkeit eines Rollouts entscheidet. Bei TOTP gibt es klassische Backup-Codes, bei WebAuthn nicht. Die Ansätze, die sich in der Praxis bewährt haben, sind unterschiedlich rigoros.

Ansatz eins: Zweitstick. Jeder Nutzer erhält zwei Hardware-Tokens. Der zweite liegt zu Hause oder im Schrank. Verliert der Nutzer den ersten, greift er zum zweiten, meldet den Verlust an die IT, bekommt einen neuen zweiten. Der Nachteil: Disziplin erforderlich, sonst liegt der Ersatzstick irgendwann auch im Rucksack.

Ansatz zwei: TOTP als Zweitmethode. Der Nutzer richtet zusätzlich eine TOTP-App ein und bewahrt die Backup-Codes auf. Wichtig: Für einen sauberen Schutz sollte das Smartphone nicht das einzige Gerät sein. Wer sein Handy verliert und den Stick dazu, steht vor einem Problem.

Ansatz drei: Administrative Wiederherstellung. Über die Two-Factor-Admin-Support-App kann ein Administrator den 2FA-Status eines Nutzers zurücksetzen. Das erfordert einen klaren Prozess: Identitätsprüfung, Dokumentation, zeitliche Begrenzung, Protokollierung. Ohne diese Kette ist die administrative Hintertür gefährlicher als der Verlust eines Sticks.

Was man vermeiden sollte: ein globales „Reset für alle“-Skript, das im Notfall aufgerufen wird. Sobald ein solches Werkzeug existiert, wird es auch genutzt – und dann ist die gesamte 2FA-Absicherung nur noch Theater.

Betrieb, Logging und Audits

Wer 2FA einführt, muss auch wissen, was passiert. Nextcloud protokolliert Anmeldeversuche, allerdings nicht immer mit der gewünschten Detailtiefe. Wer genau nachvollziehen will, ob eine WebAuthn-Anmeldung erfolgreich war oder an welcher Stelle sie abgebrochen ist, findet im Standard-Log häufig nur allgemeine Einträge. Hier hilft die App Audit Log, die zusätzliche Ereignisse protokolliert.

Für den Betrieb ebenfalls relevant ist die Integration mit fail2ban oder ähnlichen Werkzeugen. Nextcloud schreibt fehlgeschlagene Anmeldungen in ein Format, das sich parsen lässt, und kann bei Überschreitung von Schwellwerten IP-Adressen sperren. In Kombination mit 2FA reduziert das die Last auf den Login-Prozess erheblich – nicht zuletzt, weil die allermeisten Brute-Force-Versuche schon am Passwort scheitern und gar nicht bis zur 2FA-Abfrage gelangen.

Ein oft übersehener Aspekt: Die 2FA-Prüfung selbst ist ein Endpunkt, der angreifbar ist. Wer den Anmelde-Flow des WebAuthn-Handshakes kennt, kann theoretisch Replay-Versuche unternehmen. Beim korrekt implementierten FIDO2 ist das nicht erfolgreich, weil die Challenge serverseitig generiert und zeitlich begrenzt ist. Aber die Nextcloud-Implementierung muss sauber konfiguriert sein, damit die Challenge nicht in einem Cache landet. Standardmäßig ist sie pro Login-Vorgang eindeutig; wer jedoch eigene Anpassungen an der Session-Verwaltung vornimmt, sollte das überprüfen.

Zusammenspiel mit SSO, LDAP und externen Identity Providern

In vielen Unternehmen ist Nextcloud nicht allein. Wer bereits Keycloak, Authentik, Entra ID oder einen anderen Identity Provider betreibt, wird irgendwann vor der Frage stehen, wo 2FA stattfinden soll – im IdP oder in Nextcloud.

Die klare Empfehlung: im IdP. Wenn die Anmeldung über OIDC oder SAML läuft, übernimmt der Identity Provider die Authentifizierung inklusive 2FA. Nextcloud vertraut dann dem Token und sollte die eigene 2FA-Abfrage deaktivieren, weil sonst zweimal geprüft wird. Die App OIDC Connect beziehungsweise user_saml bieten entsprechende Schalter, um die lokale 2FA-Prüfung zu umgehen. Wichtig ist die Konsistenz: Wer einige Nutzer über den IdP anmeldet und andere lokal, muss entscheiden, ob beide Wege dasselbe Sicherheitsniveau haben.

Im LDAP-Betrieb ist die Trennung klarer: LDAP übernimmt die Passwortprüfung, Nextcloud die zweite Stufe. Das funktioniert zuverlässig, weil LDAP keine eigenen 2FA-Mechanismen kennt, die man berücksichtigen müsste. Wer AD mit Conditional Access nutzt, sollte prüfen, ob die Anmeldung von einem verwalteten Gerät aus erfolgen soll – das lässt sich mit Nextcloud-Bordmitteln nicht erzielen, sondern nur über den vorgeschalteten IdP.

Ein interessanter Aspekt ergibt sich, wenn mehrere Authentifizierungswege parallel existieren. Beispiel: Ein Nutzer meldet sich über OIDC an, wird aber zusätzlich in Nextcloud zur 2FA verpflichtet, weil er Mitglied einer bestimmten Gruppe ist. In diesem Fall kann es sein, dass der WebAuthn-Flow erneut greift, obwohl der IdP schon einen Faktor geprüft hat. Die Folge sind doppelte Abfragen, verwirrte Nutzer und im Zweifel Support-Tickets. Eine saubere Gruppenkonfiguration und die bewusste Entscheidung, wo die 2FA-Verantwortung liegt, vermeiden das.

Kosten, Beschaffung und Lebenszyklus

Ein YubiKey 5 NFC kostet je nach Bezugsweg zwischen 55 und 70 Euro. Die Security-Key-Variante liegt bei etwa 30 bis 40 Euro. Rechnet man zwei Sticks pro Nutzer, kommt man bei hundert Mitarbeitenden auf einen vier- bis fünfstelligen Betrag. Das ist keine Kleinigkeit, aber relativiert sich, wenn man die Kosten eines kompromittierten Admin-Kontos danebenstellt.

Neben den Anschaffungskosten sollte man den Lebenszyklus einplanen. YubiKeys haben keine feste Ablaufzeit, aber die USB-Schnittstelle verschleißt, und Modelle mit USB-A werden in einer zunehmend USB-C-geprägten Welt unpraktisch. Wer heute beschafft, sollte USB-C oder NFC-fähige Modelle wählen, auch wenn die vorhandenen Notebooks noch USB-A haben. Adapter kosten weniger als eine Neuanschaffung in zwei Jahren.

Für die Ausgabe empfiehlt sich ein dokumentiertes Verfahren. Jeder Stick bekommt eine Seriennummer, jeder Vorgang wird protokolliert. Die Seriennummer selbst ist kein Geheimnis und dient nur der Zuordnung – entscheidend ist, dass bei Verlust der zugehörige öffentliche Schlüssel in Nextcloud entfernt wird. Das kann der Nutzer selbst, sofern er noch Zugriff auf sein Konto hat, oder ein Administrator über die Benutzerverwaltung.

Ein weiterer Punkt: Die Schlüssel sollten bei der Ausgabe getestet werden. Wer zwei Sticks auf einmal registriert, hat später weniger Probleme, wenn ein Stick defekt ist. Ein Fehler, der in der Praxis immer wieder auftritt: Der zweite Stick wird erst Wochen später registriert, und dann stellt sich heraus, dass die Kompatibilität mit dem verwendeten Reader nicht gegeben ist.

Praktische Empfehlungen für den Rollout

Aus den Erfahrungen der letzten Jahre lassen sich einige Faustregeln ableiten, die den Aufwand deutlich reduzieren.

Wer neu aufsetzt, sollte WebAuthn von Anfang an einplanen. Das heißt: endgültige Domain festlegen, Reverse Proxy sauber konfigurieren, trusted_proxies vollständig befüllen, und erst dann die ersten Nutzer anlegen. Nachträgliche Änderungen an der Domain sind der häufigste Grund, warum 2FA-Rollouts ins Stocken geraten.

Wer bereits produktiv ist, sollte mit einer kleinen Gruppe beginnen und die Konfiguration nach jedem Schritt dokumentieren. Ein Setup, das sich nicht reproduzieren lässt, ist im Ernstfall wertlos. Dazu gehört auch, den genauen Ablauf der 2FA-Registrierung in einem kurzen Dokument festzuhalten – für den Fall, dass die verantwortliche Person ausfällt.

Bei der Kommunikation hilft ein konkretes Bild: Der YubiKey ist wie ein Schlüssel für die Wohnungstür. Man nimmt ihn mit, man verliert ihn gelegentlich, und man hat einen Ersatzschlüssel bei der Nachbarin. Diese Analogie erklärt mehr als eine Seite technische Dokumentation und reduziert das Risiko, dass Nutzende den Stick dauerhaft am Arbeitsplatz liegen lassen.

Und schließlich: Die beste 2FA-Strategie scheitert, wenn die Erstanmeldung zur Qual wird. Ein Nutzer, der zwanzig Minuten braucht, um den Stick zu registrieren, wird die IT meiden. Ein Nutzer, der drei Minuten braucht, erzählt es weiter. Die technische Einrichtung muss also nicht nur funktionieren, sie muss in wenigen Minuten erledigt sein – inklusive Erklärung, was der Stick tut und warum das der eigene Vorteil ist.

Ein Blick nach vorn

Passkeys sind der nächste logische Schritt. Sie funktionieren technisch exakt wie WebAuthn, nur dass der private Schlüssel auf dem Gerät selbst liegt und nicht auf einem separaten Stick. Für viele Anwendungen ist das bequemer, in sicherheitskritischen Umgebungen aber nicht ausreichend, weil die Gerätewechsel schwierig sind. Hardware-Token bleiben dort sinnvoll, wo ein eindeutig zuordenbarer physischer Gegenstand gefordert ist – also bei Administratoren, Finanzzugängen oder Systemen mit erhöhtem Schutzbedarf.

Nextcloud unterstützt beide Welten parallel. Wer heute einen YubiKey einrichtet, kann denselben Schlüssel später für Passkeys verwenden, sofern die App die entsprechenden Erweiterungen unterstützt. Die Registrierung bleibt erhalten, die Domainbindung ebenfalls. Das ist einer der angenehmen Nebeneffekte des WebAuthn-Standards: Der YubiKey ist kein Auslaufmodell, sondern eine belastbare Investition in die eigene Sicherheitsarchitektur.

Wer also vor der Wahl steht, ob TOTP oder YubiKey, sollte sich die Frage anders stellen: Wie hoch ist der Aufwand, wenn der Schutz versagt? Für die meisten Nextcloud-Instanzen ist die Antwort eindeutig. Es gibt keinen Grund, mit dem günstigeren Verfahren zu beginnen, wenn das bessere nur wenige Euro pro Nutzer kostet – und keine wochenlange Nacharbeit, wenn der Anspruch später steigt. Der YubiKey in Verbindung mit WebAuthn ist derzeit die sauberste Lösung, die Nextcloud bietet. Die Einrichtung verlangt Sorgfalt bei Domain und Proxy, aber der Aufwand lohnt sich, und zwar nicht erst dann, wenn das Log wieder volle Anmeldeversuche zeigt.

Nextcloud mit YubiKey absichern ohne typische Fallstricke