Daten, die man nicht vergessen darf: Nextcloud Files Retention in der Praxis

Es gibt diese Ecken in der Firma, von denen niemand so genau weiß, was sich dort angesammelt hat. Sie sind gut versteckt, meist hinter einer vollen Festplatte. Digitale Kellerarchive nennen sich dann „Projekte/abgeschlossen“ oder „Mitarbeiter/Altverträge“ – und wachsen unbemerkt über Jahre hinweg an. Eine Nextcloud-Instanz ist für dieses Phänomen anfällig. Alles wird geteilt, alles wird gespeichert, kaum etwas wird gelöscht. Und wenn dann doch einmal aufgeräumt werden muss, fehlt die Zeit, das Wissen oder schlicht der Mut.

Dabei besitzt Nextcloud ein Werkzeug, das genau an dieser Stelle helfen kann: die sogenannten Retention Policies, also Aufbewahrungsregeln. Sie löschen Dateien automatisch, sobald eine vorher definierte Frist abgelaufen ist. Auf den ersten Blick wirkt das simpel. Auf den zweiten Blick stellt sich heraus, dass es sich um ein kleines Regelwerk handelt, das man nicht von heute auf morgen aus dem Handgelenk schüttelt. Aber wenn es richtig eingerichtet ist, schafft es Ordnung in einem Bereich, in dem sonst Chaos herrscht. Und es bringt Unternehmen ein Stück näher an die Datenschutz-Grundverordnung heran, ohne dass die IT pausenlos mit Löschanträgen beschäftigt wäre.

Dieser Artikel beleuchtet die wichtigsten Konzepte rund um Nextcloud Files Retention, zeigt, wie sich Aufbewahrungsregeln im Alltag bewähren, und weist auf die Stolpersteine hin, die sich typischerweise erst in der Praxis offenbaren.

Aufbewahrung ist kein Hobbytechnik-Thema

Das Thema Datei-Aufbewahrung klingt nach Speicherplatz und Ordnungssinn. Es ist aber vielmehr eine juristische Angelegenheit. Die DSGVO verlangt, dass personenbezogene Daten nicht länger als notwendig gespeichert werden. Das klingt vage, ist aber ein konkreter Auftrag an die Verantwortlichen. Und dabei geht es nicht ausschließlich um Kundendaten. Auch interne Absprachen, Angebote, Verträge oder Personalakten enthalten personenbezogene Informationen. Wer sie unbegrenzt liegen lässt, lebt gefährlich.

Die handels- und steuerrechtlichen Aufbewahrungsfristen setzen noch einmal einen eigenen Rahmen. Geschäftsbriefe müssen sechs Jahre, Buchungsbelege zehn Jahre aufbewahrt werden. Viele dieser Vorgaben sind nicht neu. Aber sie wurden in der analogen Welt von einer mahnenden Ablage begleitet: Irgendwann wurde der Ordner einfach voll. In der digitalen Welt fällt diese natürliche Begrenzung weg. Die Cloud ist unendlich, weil wir sie für fast nichts dazukaufen. Daher verwaiste Datenbestände. Eine Retention-Policy zwingt dagegen zur Entscheidung: Wie lange ist diese Datenkategorie wirklich wichtig?

Diese Entscheidung wird gern aufgeschoben. In der Zwischenzeit wachsen die Datenbestände in Bereiche hinein, die bei einer späteren Migration oder Datenschutzprüfung schmerzhaft hohe Kosten verursachen. Eine automatisierte Löschung ist deshalb kein Akt der Vernichtung, sondern ein Akt des Risikomanagements. Dazu gehört eine, wenn man so will, „Ablagekultur“, die nicht alles aufbewahrt, sondern sich das Recht nimmt, Dinge zu vergessen.

Genau hier kommt Nextcloud ins Spiel. Die Plattform ist weit mehr als ein Dateimanager, sie entwickelt sich zunehmend zu einem Rahmen für Datenverwaltung. Mit der Retention-App besteht die Möglichkeit, die gesetzlichen Fristen abzubilden, ohne dass die IT-Abteilung jede Datei einzeln sichten muss.

Der Unterschied zwischen Aufbewahrung und Archiv

Bevor man sich in die Tiefen der Konfiguration stürzt, ist eine begriffliche Klärung sinnvoll: Aufbewahrung in diesem Sinne ist nicht dasselbe wie Archivierung. Ein Archiv ist für die dauerhafte oder langfristige Erhaltung zuständig. Eine Retention-Policy dagegen hat die Löschung zum Ziel. Sie bewahrt nicht auf, sie sorgt dafür, dass Daten nach Ablauf einer bestimmten Frist vernichtet werden. Das klingt trivial, ist aber ein häufiger Grund für Verwirrung bei der Einführung.

Wer eine Retention-Policy anlegt, legt also keine Ablage für später fest, sondern einen Ablaufmechanismus. Nextcloud verschiebt die Dateien auch nicht in ein „digitales Archiv“ im Sinne einer revisionssicheren Ablage. Sie werden entfernt. Endgültig. Der Papierkorb wird dabei nicht berücksichtigt, und auch die Versionsübersicht der Datei hält danach keine Erinnerung mehr bereit.

Natürlich kann man sich überlegen, ob es sinnvoll ist, die Löschung zunächst nur „weich“ durchzuführen, etwa indem man die Datei lediglich als inaktiv markiert und erst nach einem weiteren Zeitraum physisch entfernt. Nextcloud bietet dafür aber kein eingebautes Zwischenlager. Die Retention-App kündigt keine Gnadenfrist an. Das hat Vor- und Nachteile. Vorteilhaft ist die klare Eindeutigkeit: Die Regel ist eine Regel, keine Drohung. Nachteilig ist, dass ein einzelner falscher Workflow-Schritt oder ein fehlerhaftes Tagging dauerhaft Daten vernichten kann.

Es rächt sich deshalb, die Retention-App als isoliertes Werkzeug zu betrachten. Sie sollte immer im Kontext mit den anderen Datenverwaltungsfunktionen von Nextcloud geplant werden: Dateiversionen, Papierkorb, externe Speicher und den Workflow-Apps.

So funktioniert die Retention-App in Nextcloud

Die technische Grundidee ist eines einfachen Algorithmus: Eine Datei wird gelöscht, wenn sie älter als eine konfigurierbare Frist ist und in einem bestimmten Geltungsbereich liegt. Der Geltungsbereich kann ein bestimmter Ordner, ein Tag oder die ganze Installation sein. Die App nennt das „Regel“. Eine Regel besteht aus drei Elementen: dem Auslöser, der Frist und dem Ort.

In der Administrationsoberfläche erscheint die Retention-App als eigener Menüpunkt. Dort kann man eine Regel erstellen und ihr einen Namen geben. Danach legt man den Ort fest: entweder „global“ oder einen bestimmten Ordner. Anschließend definiert man die Frist in Tagen. Optional lässt sich eine weitere Bedingung setzen: nur Dateien, die mit einem bestimmten Tag versehen sind. Das klingt immer noch überschaubar, erweist sich aber in der Praxis als mächtig.

Nextcloud ist eine Open-Source-Software, die von vielen Organisationen individuell angepasst wird. Deshalb ist die Bezeichnung der App von Version zu Version leicht unterschiedlich. In den meisten Fällen heißt sie einfach „Retention“ oder „Aufbewahrung“ und wird über den App-Store der Nextcloud-Instanz installiert. Sie stammt aus dem offiziellen Ökosystem und ist nicht mit irgendeinem Drittanbieter-Plugin zu verwechseln. Wer sie aktiviert, sollte sich mit den Grundregeln vertraut machen, denn eine gelöschte Datei ist kein Software-Fehler mehr, sondern eine logische Konsequenz.

Ein nicht zu unterschätzender Punkt ist die Ausführungsweise. Eine Retention-Policy läuft nicht permanent mit. Sie benötigt einen Cron-Job, der regelmäßig die bestehenden Dateien prüft. Nextcloud hat dafür drei Cron-Modi im Angebot: Ajax, Webcron und Cron. Für Retention ist nur die letzte Variante wirklich zu empfehlen. Auf einem Server mit echten Cron läuft die Prüfung zuverlässig und nicht abhängig davon, ob gerade jemand die Weboberfläche besucht. Ein Webcron kann zwar auch funktionieren, führt aber bei größeren Datenmengen zu spürbaren Verzögerungen.

Eine genaue Zeitangabe, wann eine Datei gelöscht wird, gibt es nicht. Das ist ein Punkt, den man in Projekten mit strengen Compliance-Anforderungen erwähnen sollte. Die Aufbewahrungsfrist wird zwar eingehalten, weil die Löschung spätestens beim nächsten Lauf erfolgt, aber es gilt: nächster Lauf. Wenn der Cron stündlich ausgeführt wird, kann eine Datei bis zu 59 Minuten länger existieren, als die Frist vorgibt. In den meisten Fällen juckt das niemanden. Bei einer Prüfung kann es trotzdem eine unangenehme Frage aufwerfen, wenn der Auditor exakte Zeitstempel erwartet.

Praxisbeispiel: Regeln für temporäre Projektablagen

Ein typisches Szenario, das in vielen Unternehmen vorkommt: Ein Team arbeitet in einem gemeinsamen Ordner an einem Projekt. Nach dem Projektabschluss passiert nichts. Der Ordner bleibt. Zwei Jahre später wird er von einem neuen Projekt verwendet, weil er noch so schön aufgeräumt aussieht. Und auf einmal hängen die alten, veralteten Dateien an dem neuen Projekt mit. Das ist nicht nur lästig, sondern kann auch gefährlich werden, wenn sich darin veraltete Preislisten oder überholte Vertragsentwürfe befinden.

Mit einer Retention-Regel lässt sich dieses Problem automatisieren: Der zuständige Ordner erhält die Regel „Lösche alle Dateien, die älter als 120 Tage sind“. Das funktioniert, solange der Ordner ausschließlich für temporäre Dateien gedacht ist. Sollte das Projektteam jedoch Dokumente dauerhaft aufbewahren wollen, zum Beispiel das finale Lastenheft, gerät die Regel in Konflikt mit der Praxis. An dieser Stelle zeigt sich die Grenze der ordnerbezogenen Löschung.

Eine bessere Lösung bieten Tags. Das Team markiert die abgeschlossenen Projektdokumente mit einem entsprechenden Etikett, zum Beispiel „projekt-abgeschlossen“. Eine Retention-Regel kann dann so aussehen: „Lösche alle Dateien mit dem Tag ‚projekt-abgeschlossen‘, wenn sie älter als 360 Tage sind.“ Auf diese Weise bleiben Verträge und Abschlussberichte erhalten – vorausgesetzt, sie tragen das Tag nicht. Der Nachteil liegt auf der Hand: Der Tag muss gesetzt werden. Entweder manuell durch die Benutzer oder automatisch durch eine Workflow-Regel, die zum Beispiel beim Verschieben in einen bestimmten Ordner ausgelöst wird.

Workflow-Automatisierungen sind daher die natürliche Ergänzung zur Retention-App. Nextcloud bietet dabei einiges an Möglichkeiten, um Aktionen an Bedingungen zu knüpfen. Die wichtigste ist die App „Files Automated Tagging“. Sie setzt ein Tag automatisch, sobald eine Datei einer bestimmten Bedingung entspricht. Das kann der Dateityp sein, das kann ein bestimmtes Schlüsselwort im Dateinamen sein, aber auch der Speicherort. Zusammen mit einer Retention-Regel entsteht daraus eine fast elegante Automatik: Die Datei fällt in den Geltungsbereich, bekommt ihr Etikett und tickt anschließend sozusagen auf ihren Ablauf zu.

Man sollte sich nur darüber im Klaren sein, dass Workflows die Datei als „geändert“ betrachten, wenn das Tag gesetzt wird. Das wirkt sich auf die Berechnung der Aufbewahrungsfrist aus. Denn als Ausgangspunkt dient nicht das ursprüngliche Erstellungsdatum, sondern der Zeitpunkt der letzten Dateiänderung. Wenn also ein Workflow eine Woche nach Projektabschluss das Tag setzt, verlängert sich die Frist um diese Woche. Das ist in den meisten Fällen kein Problem, aber es zeigt, wie wichtig ein gutes Verständnis der zeitlichen Logik ist.

Fristen richtig setzen – und ihre Tücken

Die Wahl der Frist ist mehr als eine technische Einstellung. Sie ist eine Festlegung, die im besten Fall von der Rechtsabteilung, vom Datenschutzbeauftragten und von den Fachabteilungen gemeinsam getroffen wird. In der Praxis sieht das oft anders aus: Ein Administrator legt die Frist auf gut Glück fest, um die Funktion einmal auszuprobieren. Die Auswirkungen zeigen sich dann, wenn ein Kollege plötzlich feststellt, dass ein wichtiges Angebot aus dem vergangenen Jahr nicht mehr existiert.

Am Anfang steht deshalb eine Bestandsaufnahme. Welche Ordner existieren? Welche Datenklassen sind enthalten? Wer verantwortet sie? Diese Inventur ist mühsam, aber sie ist der eigentliche Schritt, der vor der Konfiguration passieren muss. Eine pauschale Regel „Lösche alles nach 365 Tagen“ ist selten zutreffend. Sie richtet mehr Schaden an, als sie Rechtskonformität bringt.

Bei der Fristberechnung sollte man außerdem die Eigenheit von Nextcloud beachten: Es zählt das Änderungsdatum der Datei, nicht das Datum, an dem die Datei zum ersten Mal in die Cloud hochgeladen wurde. Eine Datei, die regelmäßig bearbeitet wird, wird durch eine Retention-Policy schlicht nie erfasst, weil ihr Änderungsdatum immer wieder nach vorn springt. Das ist so gewollt, kann aber verwirren, wenn man zum Beispiel eine Datei aus einem migrierten System importiert und einen alten Zeitstempel erwartet, der nicht mehr existiert.

Die gute Nachricht: Es gibt Tools, um dieses Verhalten zu umgehen. Wenn der letzte Änderungszeitpunkt nicht als Anker dienen soll, kann man die Dateien in einen anderen Ordner verschieben, für den eine separate Regel gilt. Oder man löscht sie über ein Workflow-Skript, das nach einem Datumsfeld im Dateinamen arbeitet. Letzteres erfordert allerdings eigene Entwicklung, da Nextcloud intern keine feste „Ablaufdatum“-Eigenschaft für Dateien mitliefert.

Global löschen, lokal ausnehmen

Eine häufig übersehene Stärke der Retention-App ist die Möglichkeit, Regeln zu verschachteln. Man kann also eine globale Regel anlegen, die alle Dateien mit Tag „veraltet“ nach 30 Tagen löscht, und gleichzeitig eine Ordnerebene davon ausnehmen. Die Reihenfolge, in der die Regeln ausgewertet werden, ist dabei nicht immer intuitiv. Eine Regel, die auf einen konkreten Unterordner zielt, hat Vorrang vor einer breiteren Regel. Das macht die Konfiguration flexibel, aber auch fehleranfällig.

Wer sich in dieser Flexibilität verliert, läuft Gefahr, ungewollte Löschungen zu erzeugen. Es empfiehlt sich, die gesamte Regelstruktur in einer Tabelle zu dokumentieren. Eine einzelne Tabelle reicht aus: Geltungsbereich, Frist, Basis, letzter Bearbeiter. Diese Pflichtlektüre ist allerdings wichtiger als die gesamte Bedienoberfläche der Retention-App, denn sie macht das Verhalten des Systems für andere Teammitglieder vorhersehbar.

Ein weiteres Thema ist der Umgang mit verschachtelten Ordnern. Eine Regel auf einem übergeordneten Ordner betrifft standardmäßig auch alle Unterordner. Wenn man das nicht möchte, muss man explizit eine Ausnahme definieren. Solche Ausnahmeregeln sind allerdings nur begrenzt möglich. Nextcloud erlaubt keine universelle Negation wie „alle Ordner außer …“. Stattdessen kann man für den Ausnahmeordner eine eigene Regel anlegen, die den Inhalt vor einer Löschung schützt. Das funktioniert, aber nur dann, wenn diese Regel stärker ist, also zum Beispiel eine längere Frist hat. Man sollte sich nicht darauf verlassen, dass die Ausnahme automatisch verstanden wird; am Ende entscheidet die Konfiguration.

Vater Staat als dritter Nutzer: DSGVO und Betrieb

Nextcloud ist in deutschen Unternehmen weit verbreitet, nicht zuletzt wegen der Möglichkeit, die Software auf den eigenen Servern zu betreiben. Für Datenschutz-Verantwortliche ist das ein Segen: Keine Daten wandern in ausländische Clouds, die Server stehen im eigenen Rechenzentrum, und die Daten bleiben unter Kontrolle. Aber Kontrolle allein genügt nicht. Auch in der eigenen Cloud gelten die Grundsätze der Datenminimierung und Speicherbegrenzung. Genau da trägt eine Retention-Policy ihren Teil bei.

Allerdings sollte man sich davor hüten, die Retention-App als rechtsverbindliches Löschkonzept zu verkaufen. Ein Löschkonzept ist ein Dokument, in dem festgelegt wird, welche Daten wie lange aufbewahrt werden und aus welchem Grund. Eine technische Konfiguration allein ist noch kein Konzept. Sie kann höchstens die Umsetzung eines Konzepts sein. Ohne die schriftliche Vorlage bleibt die Konfiguration ein unkontrollierter Eingriff in die Datenlandschaft.

In Betrieben mit Betriebsrat entzündet sich an dieser Stelle mitunter Konfliktpotential. Automatisierte Löschungen gelten als Eingriff in die Arbeitsabläufe der Beschäftigten. Wenn in einem Unternehmen der Betriebsrat eine Mitbestimmung reklamiert, sollte die IT nicht in einem Alleingang handeln. Es ist klüger, die geplante Retention-Policy frühzeitig vorzustellen und zu diskutieren. Sie kann verhindern, dass sich der Betriebsrat übergangen fühlt und später eine Rücknahme erreicht – im schlimmsten Fall mit Blick auf bereits gelöschte Daten.

Auch die Dokumentation sollte alle Akteure einbeziehen. Der Datenschutzbeauftragte wird einer Regel leicht zustimmen, wenn er die Löschfristen nachvollziehen kann. Der Betriebsrat wird sich weniger aufregen, wenn er die Auswirkungen auf die tägliche Ablage versteht. Und die IT-Abteilung behält den Überblick, wenn die Regeln jemandem zugeordnet sind, der sie bei Bedarf erklärt. Kurz: Die Retention-App ersetzt nicht die Kommunikation, sie ist ihr Resultat.

Papierkorb, Versionen, Verschlüsselung: Wo es weh tun kann

Ein weiterer Bereich, der in der Praxis für Verunsicherung sorgt, ist das Zusammenspiel mit anderen Mechanismen von Nextcloud. Da wären zunächst die Dateiversionen. Nextcloud speichert von jeder Datei mehrere alte Fassungen, abhängig von der Einstellung. Wenn nun eine Retention-Policy die eigentliche Datei löscht, werden auch sämtliche Versionen mit entfernt. Das ist konsequent, aber manchmal unerwünscht: Aus einer älteren, nicht mehr gültigen Version hätte man vielleicht noch etwas brauchen können. Die Konfiguration der Versionsverwaltung ist deshalb genauso wichtig wie die Aufbewahrungsfrist selbst.

Der Papierkorb ist ein weiterer Stolperstein. Bei einer normalen Löschung über die Benutzeroberfläche bleibt die Datei für den Benutzer einige Zeit im Papierkorb erhalten, bis die globale Papierkorb-Frist greift. Eine Retention-Policy dagegen umgeht den Papierkorb. Die Datei wird direkt aus dem Datenbestand entfernt – sofort, unwiderruflich, ohne Umweg. Das mag in Ordnung sein, solange man es weiß. Überrascht sind am Ende nämlich nicht nur die Benutzer, sondern auch die Administratoren, die sich auf den Papierkorb als Rettungsanker verlassen hatten.

Bei verschlüsselten Datenbeständen kommt noch eine technische Nuance dazu. Nextcloud kann die Dateien serverseitig verschlüsseln. Der Schlüssel wird unter anderem an die Datei gebunden. Wenn eine Retention-Policy die Datei löscht, werden die Schlüssel mit entfernt. Das ist logisch, aber eine Wiederherstellung aus einem Backup wird dadurch noch schwieriger, weil nicht nur die Datei, sondern auch der Schlüssel wegfallen kann. Ein Backup ist also nur dann aussagekräftig, wenn es auch die Schlüssel enthält – und das passiert nur, wenn die Administration es explizit so plant.

Wer also eine Retention-Policy einführt, sollte gleichzeitig die Backup- und Restore-Strategie überprüfen. Die Frage lautet nicht: „Wie stellen wir wieder her?“ Sie lautet: „Stellen wir uns ein Szenario vor, in dem wir eine gelöschte Datei wiederherstellen müssen – und kann das Backup das wirklich leisten?“ Oft ist die Antwort unbequem. Besser ist es, schon vorher eine Aufteilung vorzunehmen: Daten, die unwiderruflich löschbar sind, und Daten, die möglicherweise in einem separaten Archiv liegen sollten.

Externe Speicher und wachsende Datenbestände

Nextcloud wird häufig nicht mit lokalem Speicher betrieben, sondern mit externen Speichersystemen – etwa S3-kompatiblen Objektspeichern, NFS-Mounts oder SMB-Freigaben. Die Retention-App arbeitet auf der Dateiebene, unabhängig vom Speichersystem. Das klingt simpel, kann aber in der Praxis zu überraschenden Effekten führen. Ein S3-Objekt kennt zum Beispiel keine Ordner im klassischen Sinn. Nextcloud bildet die Ordnerstruktur virtuell ab. Die Retention-Policy greift auf diese virtuelle Struktur zu und löst die Löschung auf Objektebene aus. Das dauert unter Umständen länger, weil S3-Interfaces keine schnellen Massenlöschungen unterstützen.

Auch der Sprachgebrauch ist hier ein Problem. Was im Dateisystem ein Ordner ist, ist in S3 ein Präfix. Wenn ein Administrator also eine Regel für einen Ordner anlegt, muss er sich nicht darum kümmern, wie die Objekte physisch benannt sind. Aber es ist gut zu wissen, dass die Performance der Löschung von der Anzahl der Objekte abhängt. Bei Millionen kleiner Dateien kann ein Löschvorgang eine merkliche Last auf der Seite des Objektspeichers erzeugen. In einer größeren Umgebung spricht man dann davon, dass der Löschprozess „drosselt“ – was technisch nichts anderes heißt, als dass sich der Speicherprovider auf die ankommenden Requests vorbereiten muss.

Ein weiteres Thema ist die Federation: Nextcloud-Server können untereinander Daten teilen. Aber eine Retention-Policy, die auf einem Server läuft, gilt nicht automatisch für Dateien, die von einem fremden Server in die eigene Instanz geteilt wurden. Die geteilten Daten bleiben dem Ursprungssystem verhaftet. Für eine konsistente Löschung ist man darauf angewiesen, dass der andere Server ebenfalls Regelwerke besitzt. Das ist nicht immer der Fall. Wer also mit federativen Strukturen arbeitet, sollte die Aufbewahrungslogik nicht als rein technisches Thema betrachten, sondern als Koordinationsaufgabe zwischen den beteiligten Systemen.

Performance: Die Kunst, nicht zu viel auf einmal zu tun

Löschvorgänge sind keine vordringlichen Echtzeitoperationen. Nextcloud sortiert die Löschung in den Hintergrund ein, was gut geeignet ist, um die Anwendung während des normalen Betriebs nicht auszubremsen. Die Retention-App nutzt dafür, wie erwähnt, den Cron-Dienst. Der kann stündlich oder täglich laufen. Welche Option sinnvoll ist, hängt von der Datenmenge ab. Wer täglich Hunderttausende Dateien in einer Retention-Regel hat, sollte den Cron nicht stündlich laufen lassen, nur um sicherzugehen. Das führt zu unnötiger Last. Auf der anderen Seite ist eine tägliche Löschung bei sensiblen Personaldaten vielleicht nicht schnell genug, wenn die Aufbewahrungsfrist am Vortag abgelaufen ist.

Ein guter Ansatz ist, die Löschung in kleinere Einheiten zu zerlegen. Nextcloud unterstützt das zwar nicht direkt über die Retention-Regel, aber über die Anordnung der Ordner. Statt einer einzigen Regel für einen gigantischen Ordner kann man mehrere Regeln für Unterordner anlegen. Das macht das Verhalten auch transparenter. Wer dagegen alle Dateien in einem großen Topf sammelt, bekommt bei der Retention-Policy die Quittung: Der Löschvorgang dauert deutlich länger und blockiert womöglich Ressourcen, die für den eigentlichen Betrieb dringend gebraucht werden.

Nicht zuletzt ist die Logging-Frage zu klären. Nextcloud protokolliert die Aktionen der Retention-App im Systemprotokoll. Das ist hilfreich, wenn man verstehen möchte, welche Dateien gelöscht wurden und warum. In der Standardkonfiguration sind die Einträge eher knapp gehalten. Wer detailliertere Informationen benötigt, kann die Option „Audit“ verwenden, also eine Protokollierung aller relevanten Ereignisse. Diese Protokolle sind nicht nur für die Fehlersuche wichtig, sondern auch für den Nachweis, dass Daten nach Ablauf der Frist gelöscht wurden. Eine Prüfung durch den Datenschutzbeauftragten fällt leichter, wenn die Löschvorgänge nachvollzogen werden können.

Fallstricke, die man erst beim Betrieb erkennt

Ein Unternehmen, das die Retention-App allzu großzügig konfiguriert, lernt ihre Tücken schnell kennen. Einer der Klassiker: Ein Administrator legt für einen Ordner die Frist „30 Tage“ an. Er meint damit die Frist ab dem Ende des Monats oder ab dem Datum der Erstellung. Die App versteht darunter aber die letzten 30 Tage ab dem Moment der Ausführung. Eine Datei, die vor 29 Tagen verändert wurde, ist plötzlich aus der Löschung wieder heraus. Und eine Datei, die vor 45 Tagen verändert wurde, fällt dem nächsten Cronlauf anheim – obwohl sie vielleicht noch aktiv war, weil sie ein laufendes Projekt betrifft.

Hinzu kommt die Verführung des „Wildwuchses“: Weil die Regeln so leicht anzulegen sind, entstehen schnell dutzende davon. Nach einer gewissen Zeit weiß niemand mehr, warum es eine Regel gibt und welche Dateien sie konkret betrifft. Ein Albtraum für den nächsten Administrator, der das System übernimmt. Es ist daher ratsam, jede Regel mit einer Beschreibung zu versehen. Nextcloud bietet dafür ein Feld in der Oberfläche an. Man sollte es nutzen, und zwar so präzise wie irgend möglich.

Drittens: die Sache mit dem Zeitstempel. Wenn eine Datei von einem externen Speicher nach Nextcloud importiert wird, bekommt sie unter Umständen einen anderen Zeitstempel als erwartet. Das passiert häufiger bei ZIP-Importen oder bei SMB-Anbindungen. In einem solchen Fall kann eine Datei sofort gelöscht werden, obwohl ihr ursprüngliches Erstellungsdatum vor wenigen Tagen liegt. Die Regel interpretiert den Zeitstempel der Speicherung, nicht den Zeitstempel der Erstellung. Das ist ein subtiler, aber folgenschwerer Fehler, der sich mit einem kleinen Test sehr schnell aufdecken lässt.

Und schließlich: die Versuchung, die Retention auch als Aufräumfunktion für den Papierkorb zu missbrauchen. Das ist nicht zu empfehlen. Der Papierkorb hat seine eigenen Aufbewahrungsfristen und gehört, wenn überhaupt, in die globale Systemkonfiguration. Wer dort mit Retention arbeitet, vermischt zwei verschiedene logische Ebenen: die Löschung durch den Benutzer und die Löschung durch den Administrator. Am Ende kommt es zu Konflikten, die sich nur schwer erklären lassen.

Die Einführung in mehreren Schritten

Wie führt man eine Retention-Policy also nachhaltig ein? Ein Vorgehen in vier Schritten hat sich in der Praxis bewährt. Der erste Schritt ist die Datensichtung. Man sollte ein Inventar der Nextcloud-Instanz erstellen, die großen Ordner analysieren und mindestens die groben Inhalte verstehen. Das geht nicht in einer Stunde, aber es verhindert, dass man eine Löschung anstößt, bevor man weiß, was man überhaupt angefasst hat.

Der zweite Schritt ist die Festlegung der Fristen. Hier sollten die Fachabteilungen einbezogen werden, denn nur sie können einschätzen, wie lange bestimmte Informationen wirklich benötigt werden. Juristisch belastbar ist eine Frist, wenn man den Aufbewahrungsgrund nennen kann. Die IT kann dabei unterstützen, die technische Umsetzung zu prüfen, aber sie sollte nicht allein bestimmen, was gelöscht werden darf. Andernfalls trägt die IT die Verantwortung für eine Entscheidung, die eigentlich fachlich getroffen werden muss.

Im dritten Schritt folgt die Pilotierung. Man kann mit einer kleinen Regel auf einem unkritischen Ordner beginnen und beobachten, was passiert. Die Frage, ob die Benutzer Daten entbehren können, lässt sich nur in der Praxis beantworten. Werden noch altes Material benötigt, zeigt es sich in der Regel innerhalb weniger Wochen. Erst nach diesem Test sollte man die Regeln auf breitere Bereiche ausweiten. Übrigens ist ein Pilotprojekt auch dann sinnvoll, wenn man mit einem Wiederherstellungsszenario aus dem Backup rechnen will: Lieber einmal die Wiederherstellung testen, bevor man einen echten Schaden bereinigen muss.

Schließlich, im vierten Schritt, sollte man die Regelpflege institutionalisieren. Retention-Policies sind nichts Statisches. Unternehmen verändern sich, Projekte enden, neue Datenarten kommen hinzu. Die Regelstruktur muss daher regelmäßig überprüft werden – zumindest einmal im Jahr, besser zweimal. Dazu gehört auch, verwaiste Regeln zu entfernen. Wer das vernachlässigt, tauscht das Datenchaos nur gegen das Regelchaos ein.

Ein Blick in die größere Datenlandschaft

Die Retention-App von Nextcloud ist kein Werkzeug für alles, aber sie ist ein wichtiger Baustein in einer Datenstrategie. In vielen Unternehmen stehen daneben noch andere Systeme: E-Mail-Archive, Dokumentenmanagementsysteme, CRM-Datenbanken. Die zentrale Frage ist nicht, ob eine Retention-Policy in Nextcloud eingeführt wird, sondern ob die Löschfristen in allen Systemen zusammenpassen. Kommt es zu einer Datenauskunft, müssen die Verantwortlichen den gesamten Datenlebenszyklus einer Information darstellen können.

Nextcloud kann seine Daten aber immerhin sauber herausgeben – durch die Kombination aus strukturierten Ordnern, Metadaten und den Protokollfunktionen. Das unterscheidet eine gut gepflegte Nextcloud-Instanz von einem herrenlosen Dateiserver. Dort gilt: Wer die Kontrolle über die Daten verliert, hat sie verloren. In einer Nextcloud-Instanz mit Retention-Regeln lässt sich dagegen zeigen, dass Löschungen geplant, durchgeführt und dokumentiert wurden. Genau das ist der Kern eines Löschkonzepts: nicht zu beweisen, dass nichts verschwindet, sondern dass alles verschwindet, was verschwinden muss.

Ein interessanter Aspekt ist die Nähe zu DMS-Funktionalitäten. Nextcloud ist zwar kein vollwertiges Dokumentenmanagementsystem, aber mit seinen Workflow- und Tagging-Möglichkeiten durchaus in der Lage, einfache Aktenpläne abzubilden. Für kleinere Betriebe und Behörden kann das ausreichen, um eine geordnete digitale Ablage zu betreiben, ohne gleich eine teure DMS-Suite zu beschaffen. Dass die Retention-App dabei mitwirkt, ist ein Nebeneffekt, der nicht unterschätzt werden sollte.

Auch an die Zukunft ist gedacht: Inzwischen setzen viele Anwender auf eine automatisierte Verschlagwortung durch KI-gestützte Dienste. Wenn diese Dienste über die Nextcloud-API Metadaten anreichern, lassen sich daraus wiederum Retention-Regeln ableiten. Eine Datei, die als „Rechnung“ erkannt wird, bekommt automatisch eine längere Aufbewahrungsfrist als ein „Notiz“-Dokument. Das ist noch Zukunftsmusik, aber die Grundstruktur von Nextcloud ist dafür offen. Die App-Schnittstellen erlauben es, eigene Skripte einzuhängen, und die Retention-Logik lässt sich auf diese Weise erweitern.

Fazit: Nicht das Löschen, sondern das Entscheiden ist die Kunst

Nextcloud Files Retention ist mehr als ein Entsorgungsknopf. Es ist ein Denkwerkzeug. Wer es benutzt, muss sich mit der eigenen Ablagekultur auseinandersetzen. Das ist unbequem, weil es an die Substanz geht: Warum speichern wir eigentlich alles? Aus Gewohnheit? Aus Angst, etwas zu verpassen? Oder weil es einfach bequemer ist, als zu löschen? Eine Retention-Policy zwingt zu Antworten.

Für Administratoren bedeutet das: nicht nur Regeln anlegen, sondern sie auch erklären. Die schönste Konfiguration nützt nichts, wenn die Belegschaft nicht versteht, warum Dateien nach einem bestimmten Zeitraum verschwinden. Genauso wichtig ist die Kommunikation mit den Datenschutzverantwortlichen. Wer sich frühzeitig abstimmt, holt sich am Ende weniger Widerstände ins Haus, sondern eher Unterstützung. Die Automatisierung der Löschung wirkt dann nicht als Drohung, sondern als Erleichterung.

Die Technik selbst ist reif. Sie arbeitet im Hintergrund, sie funktioniert zuverlässig, und sie ist flexibel genug, um unterschiedlichste Anforderungen abzubilden. Was fehlt, ist nicht mehr das Werkzeug, sondern die Bereitschaft, über Datenablaufdatum nachzudenken. Das klingt unspektakulär, aber es ist das eigentlich Radikale an diesem Thema: Daten sind endlich. Ihr Wert kann verfallen. Und ein System, das das berücksichtigt, bewahrt Unternehmen davor, eines Tages in einem digitalen Kellerarchiv zu ertrinken.

Nextcloud bietet dafür die technische Basis. Ob sie genutzt wird, bleibt eine Frage der eigenen Reife. Wer heute damit beginnt, die Fristen zu setzen, wird in zwei Jahren feststellen, dass sich der Betrieb merklich entspannt hat. Und wer es nicht tut, darf sich in einigen Jahren mit einem Datenfriedhof herumschlagen, der längst über alle Berge ist. Die Entscheidung liegt – wie so oft in der IT – nicht im Werkzeug, sondern in der Handlung.