Nextcloud ist in vielen Unternehmen inzwischen so selbstverständlich wie ein Faxgerät in den Neunzigern: Es ist da, es läuft, und keiner will sich wirklich damit befassen – bis es nicht mehr läuft. Oder bis die erste Sicherheitswarnung die Runde macht. Dabei ist die Software bemerkenswert ausgereift. Sie hat sich von einem reinen Dropbox-Ersatz zu einer Plattform entwickelt, die in manchen Bereichen mit Google Workspace oder Microsoft 365 konkurriert. Doch genau darin liegt das Problem: Nextcloud kann viel, und wer viel kann, muss auch viel absichern. Wer sich mit dem Thema „Nextcloud sicher hosten“ beschäftigt, kommt deshalb an einigen Grundsatzfragen nicht vorbei – und genau darum soll es hier gehen.
Das unsichtbare Fundament: Architektur und Komponenten
Nextcloud ist keine monolithische Anwendung, auch wenn es auf den ersten Blick so wirkt. Im Kern handelt es sich um eine PHP-Anwendung, die auf einem Webserver läuft und ihre Daten in einer Datenbank ablegt. Die eigentlichen Dateien liegen in einem Verzeichnis auf der Festplatte – oder in einem Objektspeicher, etwa S3-kompatibel. Dazu kommen diverse Dienste wie ein Speicher-Cache, eine Queue für Hintergrundjobs und gegebenenfalls ein Volltextsuche-Backend. Wer Nextcloud sicher betreiben will, muss sich dieses Zusammenspiels bewusst sein, denn jede Komponente ist ein potenzieller Angriffspunkt.
Standardmäßig läuft Nextcloud auf Apache, Nginx oder sogar auf dem simplen PHP-Built-in-Server, letzterer ist allerdings nur für Tests geeignet. Für den Produktivbetrieb hat sich in den letzten Jahren Nginx als Reverse-Proxy weitgehend durchgesetzt, ergänzt um einen separaten Prozess für PHP-FPM. Die Datenbank ist meist MariaDB oder MySQL, offiziell unterstützt werden auch PostgreSQL und SQLite – aber wer es ernst meint, greift zu MySQL oder Postgres. Als Cache empfiehlt Nextcloud selbst Redis, und wer den Speicher-Pfad auf eine andere Partition legt, sollte darauf achten, dass die Verzeichnisrechte stimmen. Das ist Grundlagenwissen, aber es ist erschreckend, wie viele vermeintlich produktive Installationen auf einem einzelnen vServer mit PHP-Modul und InnoDB-Schrottkonfiguration laufen – und dann wundern sich alle, warum die Instanz bei drei parallelen Dateiuploads kollabiert.
Ein interessanter Aspekt ist die Verteiltung von Zuständigkeiten innerhalb der Software: Nextcloud besitzt keine eigene Dateisystem-Logik, sondern verlässt sich auf den Storage, der vom Betriebssystem bereitgestellt wird. Das klingt trivial, hat aber Konsequenzen: Eine unsaubere Einbindung eines NFS-Mounts kann nicht nur zu Performancelöchern führen, sondern im Extremfall zu Berechtigungschaos. Und wenn der zentrale Dateispeicher auf einer Windows-Freigabe liegt, weil der Admin die SMB-Anbindung von Nextcloud entdeckt hat, dann sollte er sich über die Nuancen von Filesystem-Locks im Klaren sein. Sonst knallt es beim synchronisieren gewaltig.
Bedrohungsmodelle: Wer greift eine Nextcloud an?
Wer eine Cloud betreibt, hat ein Ziel auf dem Rücken. Das wissen die meisten. Aber viele machen den Fehler, nur an externe Angreifer zu denken. Dabei sind die realen Bedrohungen vielfältiger. Da ist zum einen der klassische Dieb: Er probeiert bekannte Schwachstellen aus, nutzt offene Ports, versucht Standardpasswörter und schaut, ob administrative Schnittstellen ungeschützt sind. Dazu kommen Brute-Force-Angriffe auf die Login-Seite, die bei Nextcloud leider immer noch erfolgreich sind, wenn die Admin-Passwörter schwach sind oder keine Zwei-Faktor-Authentifizierung aktiviert ist.
Mindestens genauso ernst ist die Bedrohung durch kompromittierte Konten. Einem Angreifer, der an ein gültiges Benutzerpasswort gelangt, hilft die beste Firewall der Welt nicht. Er loggt sich einfach ein und hat Zugriff auf die Daten. Und dann ist da noch die unsichtbare Gefahr aus dem eigenen Haus: Ein Mitarbeiter, ein Ex-Administrator oder ein Dienstleister mit überhöhten Rechten, der in der Lage ist, Daten abzuziehen, ohne dass es jemand bemerkt. Nextcloud bietet durchaus Werkzeuge, um solche Insider-Bedrohungen einzudämmen – Verschlüsselung, Audit-Log, Zugriffskontrollen. Aber sie werden in der Praxis selten konsequent eingesetzt.
Wer sich wirklich mit dem Thema Sicherheit beschäftigt, kommt an einer ehrlichen Analyse des eigenen Bedrohungsmodells nicht vorbei. Das fängt mit einer simplen Frage an: Was ist schlimmer – der Verlust der Daten oder die Offenlegung der Daten? In den meisten Unternehmen gilt beides als kritisch, aber die Prioritäten sind oft unterschiedlich. Eine Krankenkasse hat andere Sorgen als ein Architekturbüro, das lediglich CAD-Dateien austauscht. Dementsprechend muss die Sicherheitsarchitektur aussehen. Standard-Sicherheitsempfehlungen sind gut, aber sie ersetzen keine Risikoanalyse.
Das Fundament: Server-Härtung bevor Nextcloud installiert wird
Bevor man sich um die Nextcloud-Installation kümmert, sollte der Server selbst in einem robusten Zustand sein. Es ist müßig, über Verschlüsselung und App-Berechtigungen zu diskutieren, während der Host über offene Telnet-Ports verfügt oder die SSH-Konfiguration noch auf Stand von 2010 ist. Die Grundregel lautet: So wenig Angriffsfläche wie möglich. Das bedeutet im Klartext: nur die Dienste laufen lassen, die wirklich gebraucht werden, alle anderen deinstallieren oder stoppen. Ein nächster Schritt ist die Absicherung des SSH-Zugangs: Nur Public-Key-Authentifizierung, kein Passwort-Login für Root, idealerweise ein Port, der nicht dem Standard entspricht. Ja, Sicherheit durch Obscurity ist kein Patentrezept, aber wer den SSH-Port auf etwas Ungewöhnliches legt, reduziert zumindest die Flut an automatisierten Angriffen.
Dazu kommt ein Fail2Ban, das nach mehreren fehlgeschlagenen Login-Versuchen die IP-Adresse für eine Weile sperrt. Es ist erstaunlich, wie viele Nextcloud-Instanzen ohne einen solchen Schutz auskommen, obwohl die Software selbst eine eigene Brute-Force-Schutzfunktion besitzt. Doch die ist in der Standardkonfiguration nicht aktiviert. Wer auf Nummer sicher gehen will, richtet beides ein – Fail2Ban wedelt im Hintergrund und Nextcloud blockt zusätzlich auf Anwendungsebene.
Ubuntu, Debian oder eine andere Distribution? Das ist Geschmackssache, aber der Server sollte regelmäßig Sicherheitsupdates erhalten. Automatische Updates sind nicht immer zu empfehlen, weil sie unangenehme Überraschungen verursachen können. Ein guter Kompromiss ist ein wöchentliches manuelles Update, das in der Regel sauber durchläuft, wenn man nicht gerade einen Versionssprung bei PHP macht. Wer einen kommerziellen Supportvertrag braucht, greift zu Ubuntu LTS, wer lieber die neuesten Pakete hat, kann auch zu openSUSE oder dem in der Nextcloud-Szene beliebten Debian Testing greifen. Das ist eine Frage der Risikobereitschaft. Wichtig ist, dass der Kernel aktuell ist und die System-Pakete nicht über Monate hinweg veralten.
Eine Firewall ist heutzutage auf dem Host selbst schnell konfiguriert. UFW oder firewalld sind dabei erste Wahl, und die Regeln sollten ein- und ausgehende Verbindungen einschränken. Der Webserver sollte nur auf Port 443 lauschen, optional auf 80 für Redirects. Die Nextcloud-Datenbank bindet man am besten an localhost, damit sie von außen gar nicht erst erreichbar ist. Genauso sollte Redis aussehen – das ist ein Dienst, der kein externes Interface braucht. Wenn man diese Regeln beachtet, kann man die meisten Angriffswellen auf den offenen Ports bereits im Vorfeld abwehren.
Die Grundinstallation: Ein heikler Moment
Die Installation von Nextcloud selbst ist dank des Web-Installers oder der Kommandozeile in wenigen Minuten erledigt. Das ist Fluch und Segen zugleich. Denn die Standardinstallation ist bewusst nicht so gehärtet, wie sie im Produktivbetrieb sein sollte. Das fängt bei den Verzeichnisrechten an: Nach der Entpackung des Nextcloud-Archivs müssen die Dateien dem Webserver-Benutzer gehören, nicht dem Root-Account. Andernfalls kann es passieren, dass Nextcloud irgendwann beim Update oder beim Hochladen von Dateien an die Wand fährt. Die offizielle Dokumentation empfiehlt, das Nextcloud-Verzeichnis auf `www-data` oder den jeweiligen PHP-FPM-User umzustellen, und man sollte dieser Empfehlung Folge leisten.
Weiter geht es mit der `config.php`, die jeder Administrator nach der Installation in Ruhe durchgehen sollte. Zwar erzeugt Nextcloud automatisch eine Grundkonfiguration, aber einige Werte will man bewusst setzen. Dazu gehört die `trusted_domains`, die festlegt, über welche Hostnamen die Anwendung erreichbar sein darf. Wer hier zu lasch ist, macht Cross-Site-Request-Forgery-Angriffe unnötig leicht oder lauscht später fremde Domains in der eigenen Instanz. Ebenfalls wichtig ist der Hinweis auf die Own-Cloud-Wurzeln: Viele Einstellungen, die in Tutorials aus der Own-Cloud-Zeit noch empfohlen werden, sind inzwischen obsolet. Ein Beispiel: `’filelocking.enabled‘ => true,` ist längst Standard, und das Einstellen der `’file_locking.enabled’` in der config.php ist überflüssig, wenn Redis korrekt konfiguriert ist.
Ein besonders kritischer Punkt ist die Auswahl der Apps. Nextcloud bringt einen App-Store mit, in dem sich unzählige Erweiterungen finden. Doch nicht jede App ist sorgfältig programmiert. Manche Drittanbieter-Apps greifen tief in die Nextcloud-Kernlogik ein und erzeugen Sicherheitslücken, die später nur mit viel Aufwand wieder geschlossen werden können. Ein erfahrener Administrator beschränkt sich daher auf die Apps, die er wirklich benötigt, und prüft vor der Installation die Version, den Veröffentlichungsdatum und die Rezensionen. App-Müll im System ist ein Risiko, das oft unterschätzt wird.
Verschlüsselung im Detail: Mehr als nur TLS
Natürlich gehört HTTPS auf jede Nextcloud-Instanz. Ein Zertifikat von Let’s Encrypt ist kostenlos und schnell eingerichtet, wer es komfortabel mag, nutzt den Webserver-Zusatz Certbot oder den internen HTTP-Challenge-Renewer. Aber das ist nur der erste Schritt. Transportverschlüsselung schützt die Verbindung zwischen Browser und Server, nicht aber die Daten auf dem Server selbst. Das ist vielen nicht klar. Wer Nextcloud in der Cloud bei einem Hoster betreibt, sollte sich darüber im Klaren sein, dass dieser Hoster technisch Zugriff auf die Dateien hat, sofern die Dateien unverschlüsselt gespeichert sind. Selbst eine abgesicherte Festplattenverschlüsselung auf dem Server hilft nicht gegen einen Angriff im laufenden Betrieb.
Nextcloud bietet daher die Möglichkeit, die Dateien server-seitig zu verschlüsseln. Diese Verschlüsselung liegt unterhalb der Dateisystem-Ebene und verschlüsselt die Dateien auf dem Speichermedium, sodass ein unbefugter Zugriff auf den Storage nur noch wertlose Daten findet. Allerdings hat diese Methode ihre Tücken: Die Verschlüsselungsschlüssel liegen normalerweise auf demselben Server, und ein Angreifer, der Administratorrechte erlangt, kann die Schlüssel ebenso erbeuten. Der Schutz ist also nicht gegen die eigene Administration, sondern gegen den physischen Diebstahl der Festplatten oder einen ungehinderten Zugriff des Hoster-Personals gerichtet. Das ist durchaus sinnvoll, sollte aber nicht mit End-to-End-Verschlüsselung verwechselt werden.
Für eine echte Ende-zu-Ende-Verschlüsselung gibt es in Nextcloud die E2E-Verschlüsselungs-App, die Mitte der 2010er Jahre angekündigt wurde und bis heute als experimentell gilt. Das ist ein wunder Punkt: Die App funktioniert inzwischen für den normalen Dateibetrieb, aber sie schützt nur einzelne Ordner, nicht das gesamte System, und einige Kollaborationsfunktionen wie die Online-Office-Bearbeitung sind damit nicht kompatibel. Wer es wirklich ernst meint, sollte deshalb über eine Client-seitige Verschlüsselung mit einem separaten Tool wie Cryptomator nachdenken, das die Dateien vor dem Hochladen verschlüsselt und den Schlüssel lokal beim Benutzer aufbewahrt. Nextcloud wird dann nur noch zum Speichern und Synchronisieren der verschlüsselten Container verwendet. Das funktioniert zuverlässig, wenngleich der Komfort leidet.
Authentifizierung: Zugänge vernünftig regeln
Die Benutzerverwaltung von Nextcloud ist eine der größten Stärken der Plattform. Die Integration von LDAP und Active Directory ist meist innerhalb einer Stunde eingerichtet, und die Unterstützung für OAuth2 und OpenID Connect eröffnet die Anbindung an bestehende SSO-Lösungen. Wer das nicht nutzt, verlässt sich auf die lokale Benutzerverwaltung von Nextcloud. Das ist für kleine Teams in Ordnung, aber schon ab etwa 20 Benutzern sollte man eine zentrale Benutzerdatenbank anbinden. Nebenbei lassen sich dadurch auch externe Identitätsprovider einbinden, etwa Keycloak, das in vielen Unternehmen Standard ist.
Ein wichtiger Punkt ist die Passwortpolitik. Nextcloud bietet im Verzeichnis der Sicherheitseinstellungen die Möglichkeit, die Passwortlänge und -komplexität zu definieren. Man sollte davon Gebrauch machen. Wer die Standardschlampigkeit zulässt, wird irgendwann böse überrascht. Ein Mindestwert von zwölf Zeichen ist heute das absolute Minimum, und wer wie viele Kollegen in der Vergangenheit immer noch auf „Passwort1!!“ setzt, hat den Ernst der Lage nicht verstanden. Dazu kommt die bereits erwähnte Zwei-Faktor-Authentifizierung. Sie sollte für alle Benutzer verpflichtend sein, auch wenn das Gejammer im Unternehmen groß ist. Die bekannten Apps für TOTP-Codes sind einfach einzurichten, und die Einbindung von WebAuthn – etwa mit einem YubiKey – ist in Nextcloud längst aus dem Beta-Stadium heraus. Wer die Zwei-Faktor-Authentifizierung nicht aktiviert, spielt Roulette. Das gilt nicht nur für Nextcloud, sondern für jeden Dienst im Internet, aber genau hier liegt die Verantwortung des Administrators.
Zusätzlich zu den normalen Benutzerkonten gibt es in Nextcloud die Gruppen und die damit verbundenen Berechtigungen. Jede Gruppe erhält die Berechtigungen für bestimmte Ordner, und man sollte das Prinzip der geringsten Rechte anwenden. Das ist im Alltag mühsam, aber es verhindert, dass ein zugänglicher Account eines Praktikanten den Zugriff auf das gesamte Unternehmensarchiv ermöglicht. Nebenbei kann man den Zugriff einzelner Benutzer über „Einschränkungen“ auch auf die IP-Adressen oder bestimmte Geräte beschränken. Das ist ein mächtiges Werkzeug, das allerdings im Nextcloud-Adminbereich etwas versteckt ist.
Der Webserver als Torwächter
Die Konfiguration des Webservers entscheidet darüber, ob Nextcloud robust gegenüber Angriffen ist. Wer Apache nutzt, sollte die Module, die nicht benötigt werden, abschalten, und auf jeden Fall die Dateien im Verzeichnis `data/` vor dem direkten Zugriff von außen schützen. Nextcloud liefert dazu eine `.htaccess`-Datei mit – aber wenn man, wie empfohlen, mit Nginx arbeitet, muss man diese Regeln manuell nachbauen. Das ist nicht schwer, aber es gehört zu den häufigsten Fehlern, dass die Daten direkt über die URL erreichbar sind. Ein kurzer Test: Wenn man unter `https://cloud.example.com/data/` die Dateiliste der eigenen Daten sieht, ist die Konfiguration katastrophal falsch.
Bei Nginx empfiehlt sich außerdem das Setzen von bestimmten Headern, die den Browser-Schutz erhöhen. Beispielsweise `X-Frame-Options`, `X-Content-Type-Options`, `Referrer-Policy` und eine Content-Security-Policy. Letztere ist ein zweischneidiges Schwert, weil sie je nach verwendeten Apps schnell zu Fehlern führt. Ein sinnvoller Ansatz ist, die CSP zunächst im Report-only-Modus laufen zu lassen und dann zu entscheiden, welche Einschränkungen real umsetzbar sind. Auch das ist ein Thema, das viele Administratoren gerne aufschieben, weil es auf den ersten Blick keine sichtbaren Vorteile bringt. Dabei zeigt sich genau hier, wie gut eine Installation aufgestellt ist – wenn der Webserver bereits standardmäßig viele Schutzmechanismen aktiviert, wird es ein Angreifer deutlich schwerer haben.
Der Reverse-Proxy kann auch die HTTP/2-Unterstützung übernehmen und die TLS-Parameter verschärfen. Ein sinnvoller Cipher-Set ist heute mit TLS 1.2 und 1.3 erreicht; alles was noch SSLv3 oder TLS 1.0 unterstützt, gehört deaktiviert. Auch die Einstellung der OCSP-Stapling-Optionen und die Nutzung von Perfect Forward Secrecy sind Standard. Einige Administratoren verzichten auf solche Details, weil ihre Infrastruktur klein ist. Das ist ein Fehler – ein Einbrecher, der es auf eine Nextcloud abgesehen hat, sucht sich meistens den einfachsten Weg. Und wenn der in einem veralteten TLS-Stack besteht, wird er sich nicht lange mit dem eigentlichen Nextcloud-System beschäftigen.
Datenbank und Hintergrundprozesse: Optimale Pflege
Die Datenbank ist das Herzstück jeder Nextcloud-Instanz, aber sie wird oft stiefmütterlich behandelt. Eine Standard-Installation mit InnoDB und den Standardwerte von MySQL funktioniert zwar, aber nicht unbedingt gut oder sicher. Ein guter Start ist die Anpassung der InnoDB-Puffer und die Verwendung von MariaDB in der neuesten Stable-Version. Die Nextcloud-Dokumentation empfiehlt für große Installationen die Verwendung von MySQL oder PostgreSQL, alternative Datenbanksysteme wie SQLite sind nur für den Testbetrieb gedacht. Das sollte man ernst nehmen, auch wenn es bequem ist, keine separate Datenbank verwalten zu müssen.
Ein nicht zu unterschätzender Punkt ist die Datenbank an sich: Sie enthält sämtliche Metadaten, inklusive der Pfade zu den Dateien, der Benutzerzuordnungen und der Berechtigungen. Wer die Datenbank von außen zugänglich macht oder die Zugangsdaten in der `config.php` unsicher speichert, riskiert den Totalausfall. Die `config.php` sollte nach der Installation nur für den Administrator lesbar sein und die Zugangsdaten zur Datenbank sollten nicht auf einem Zettel neben dem Server liegen. Klingt banal, kommt aber häufiger vor, als man denkt.
Redis übernimmt in einer Nextcloud-Instanz in der Regel zwei Aufgaben: Es dient als Cache für verschiedene Bereiche der Anwendung und als Speicher für die Sperren der Dateiverwaltung. Die Sperren sind wichtig, um zu verhindern, dass zwei Clients gleichzeitig dieselbe Datei bearbeiten und sich im Ergebnis die Änderungen gegenseitig überschreiben. Ohne Redis funktioniert das zwar auch, aber nicht zuverlässig, und spätestens dann, wenn mehrere Benutzer an derselben Datei arbeiten, treten seltsame Fehler auf. Die Einrichtung von Redis ist mit fünf Zeilen in der Nextcloud-Konfiguration erledigt, aber die Vorteile sind gewaltig. Dazu kommt, dass Redis auch als Speicher für die PHP-Sessions genutzt werden kann, was besonders bei einer Lastverteilung über mehrere Server notwendig ist. Doch Achtung: Nicht jede Version von Redis versteht sich mit jeder Version von Nextcloud. Das sollte man kompatibilitätsmäßig im Auge behalten.
Backups: Die Versicherung, die keiner braucht, bis sie alle brauchen
Fast jede Nextcloud-Installation wird mit der richtigen Einstellung nach vorne geschrieben: „Ein Backup ist doch selbstverständlich.“ Und genauso oft sieht die Realität traurig aus. Da gibt es den Fall, dass nur die Dateien gesichert wurden, aber nicht die Datenbank. Oder die Datenbank wird gesichert, aber nicht die `config.php`. In beiden Fällen steht man nach einem Festplattencrash vor einem Trümmerhaufen, der sich nur mit stundenlanger Arbeit wieder zusammenflicken lässt. Ein sauberes Backup-Konzept umfasst drei Bestandteile: die Datenbank, der Dateispeicher und die Konfiguration. Das schließt auch die Benutzerdaten mit ein, die über die `data/`-Verzeichnisse liegen.
Wer nicht auf ein externes Backup-Tool zurückgreifen möchte, kann mit den Bordmitteln von Nextcloud arbeiten. Der `occ`-Befehl, der im Nextcloud-Verzeichnis liegt, kann eine Datenbanksicherung anstoßen, und die Dateien lassen sich mit `rsync` oder `tar` kopieren. Doch die Erfahrung zeigt, dass eine solche manuelle Vorgehensweise im Alltag nicht zuverlässig durchgehalten wird. Besser ist die Verwendung einer professionellen Backup-Lösung wie BorgBackup, Restic oder einer Virtualisierungsebene, die den gesamten Server als Image sichert. All diese Lösungen bieten Vorteile bei der Deduplizierung und Komprimierung, was den Speicherplatzbedarf erheblich reduziert.
Doch das wichtigste beim Backup ist die Wiederherstellung. Es nutzt nichts, wenn jeden Abend ein Snapshot erstellt wird, aber noch nie ein Restore-Prozess getestet wurde. Im Ernstfall ist die Blindflug-Quote hoch, und die Nerven liegen blank. Ein erfahrener Administrator macht deshalb regelmäßig einen Übungsdurchlauf: auf einem Testsystem ein Backup einspielen und die Funktionalität von Nextcloud prüfen. Das dauert anfangs ein paar Stunden, spart aber im Ernstfall Tage. Der Restore-Prozess ist auch ein guter Gradmesser dafür, ob die eigene Dokumentation stimmt – oder ob man wieder aus dem Kopf zusammenstückeln muss.
Monitoring und Wartung: Frühwarnsysteme
Ein Server, der nie beobachtet wird, ist ein schlafender Wachhund. Nextcloud bringt selbst einige Dashboard-Elemente mit, die über Speichernutzung, Benutzerzahlen und das Ausführen von Hintergrundjobs informieren. Doch das reicht nicht. Wer sicher hosten will, sollte in ein geeignetes Monitoring investieren. Das kann ein simples Skript sein, das die URL der Login-Seite überwacht, oder eine vollwertige Überwachungslösung wie Zabbix, Icinga oder ein Cloud-Dienst. Dabei sind nicht nur die Erreichbarkeit der Website wichtig, sondern auch zentrale Metriken wie die Latenz der Datenbank, die Auslastung des PHP-FPM-Pools und die Anzahl der laufenden Redis-Prozesse.
Nextcloud speichert in den Logdateien viele nützliche Informationen, aber die Auswertung wird oft vernachlässigt. Ein Blick in die `nextcloud.log` kann aufdecken, dass ein Benutzer ständig fehlgeschlagene Anmeldeversuche hat, oder dass eine App immer wieder den gleichen Fehler verursacht. Eine systematische Auswertung ist eine gute Ergänzung zum Monitoring, das lediglich Zustandsdaten, aber keine Inhalte der Logs auswertet. Ein paar hilfreiche Filter und ein Skript, das verdächtige Einträge per E-Mail meldet, sind schnell geschrieben und bringen viel Sicherheit.
Zur Wartung gehört auch die regelmäßige Aktualisierung der Nextcloud-Version. Hierbei zeigt sich, wie wichtig ein gut gepflegter Update-Prozess ist. Das Upgrade über die Weboberfläche ist zwar bequem, aber es läuft bei großen Instanzen nicht immer stabil. Die Kommandozeile ist die robustere Methode: `occ upgrade` macht dabei eine Reihe von Konsistenzprüfungen, die man nicht unterschätzen sollte. Ein Update ist immer mit einem gewissen Risiko verbunden. Deshalb sollte vor jedem Update ein Backup erstellt werden – und im Idealfall das Update zuerst in einer Testumgebung laufen. Die Nextcloud-Entwickler geben dazu in den Release-Notes genaue Anweisungen, aber viele Administratoren ignorieren sie. Das ist einer der größten vermeidbaren Fehler.
Datenschutz und Compliance: Im Zeichen der DSGVO
Wer Nextcloud in Europa betreibt, hat gute Karten, die Anforderungen der Datenschutz-Grundverordnung einzuhalten. Die Selbsthosting-Lösung vermeidet viele Probleme, die mit US-Cloud-Anbietern verbunden sind – sofern man nicht ausgerechnet den Objektspeicher eines US-Dienstes nutzt. Doch die DSGVO verlangt mehr als nur eine lokale Speicherung. Es müssen Löschkonzepte existieren, Auskunftsrechte sind zu erfüllen, und die technischen und organisatorischen Maßnahmen gilt es zu dokumentieren. Nextcloud bietet dafür einige Funktionen wie die Löschung von Benutzerkonten und alle daran hängenden Daten. Aber die Verantwortung dafür, dass diese Funktionen auch tatsächlich angewandt werden, bleibt beim Betreiber.
Ein interessanter Aspekt ist der Schutz der Metadaten. Anders als bei vielen Cloud-Diensten hat Nextcloud die Option, Dateinamen zu verschlüsseln, sodass nicht erkennbar ist, welche Dateien auf dem Server liegen. Diese Funktion namens „Server-Side Encryption“ ist zu unterscheiden von der Ende-zu-Ende-Verschlüsselung, aber sie ist ein guter Kompromiss, wenn man die Transparenz über Dateinamen nicht zulassen möchte. Für manche Branchen, etwa die Rechtsberatung oder die Medizintechnik, gibt es zusätzlich Compliance-Vorgaben, die eine revisionssichere Protokollierung aller Zugriffe verlangen. Nextcloud bietet seit einigen Versionen eine Audit-Protokollierung an, mit der man nachvollziehen kann, wer welche Datei zu welchem Zeitpunkt geöffnet hat. Das sollte man einschalten und die Logs entsprechend aufbewahren.
Die typischen Fehler: Warum Nextcloud-Instanzen kompromittiert werden
Wenn man analysiert, wie eigentlich Nextcloud-Systeme angegriffen werden, kommt man schnell zu einem ernüchternden Ergebnis: Es sind selten hochkomplexe Exploits. Fast immer sind es simple Fehlkonfigurationen. Da wäre zunächst das ungesicherte Verzeichnis `data/`, das über den Webserver erreichbar ist. Oder die Weiterverwendung des Standard-Admin-Kontos. Nextcloud erzeugt bei der Installation einen Admin-Account, den man in den Benutzerverwaltungsbereich nicht löschen kann. Wer dessen Passwort nicht sofort nach der Installation ändert, hinterlässt eine offene Hintertür. Ein weiterer Klassiker ist die Aktivierung von App-Stores und Drittanbieter-Apps, ohne die Auswirkungen auf die Sicherheit zu prüfen. Auch die ungeschützte Datenbank ist ein weit verbreitetes Problem, ebenso wie der Einsatz von PHP-Versionen, die nicht mehr offiziell unterstützt werden. Nextcloud benötigt aktuell eine PHP-Version ab 8.1, und wer immer noch auf PHP 7.4 setzt, sollte sich nicht wundern, wenn die Anwendung irgendwann nicht mehr richtig funktioniert – oder Sicherheitslücken aufweist.
Viele Administratoren unterschätzen außerdem die Gefahr von unsicheren Passwörtern. Es gibt regelmäßig Berichte über Botnetze, die die Standard-Login-Seiten von Nextcloud-Instanzen im Internet mit tausenden von Kombinationen aus Benutzername und Passwort attackieren. Die nächste Runde kommt sicher. Dabei zeigt sich, dass Nextcloud durch die Implementierung von Brute-Force-Schutzmechanismen einigermaßen gut gerüstet ist – aber nur, wenn sie auch aktiviert und konfiguriert sind. Die Verzögerungstaktik der Login-Seite, die nach mehreren Fehlversuchen eine Sperre einfügt, hilft enorm. Trotzdem ist Fail2Ban auf Systemebene ein wichtiges zweites Netz, das man nicht weglassen sollte.
Ein weiterer alltäglicher Fehler ist der Betrieb von Nextcloud auf einem Server, der gleichzeitig für andere Zwecke genutzt wird. Wenn auf derselben Maschine ein FTP-Server, ein Mailserver oder eine unsichere Webanwendung läuft, ist das Risiko eines Seiteneinstiegs hoch. Im Grunde hat Nextcloud eine ähnliche Stellung wie eine Bank: Sie sollte in einem eigenen Bereich liegen, in dem möglichst wenig anderes passiert. Wer keine eigene Instanz pro Mandant oder Team aufsetzen möchte, sollte zumindest innerhalb des Servers mit Containern oder virtuellen Maschinen trennen. Docker und Podman sind dafür geeignete Werkzeuge, wobei auch hier einige Fallstricke lauern. Wer Nextcloud in Docker betreibt, muss sich um die Persistenz der Volumes kümmern und darf die Netzwerk-Konfiguration nicht vernachlässigen.
Der Blick nach vorn: Wohin entwickelt sich Nextcloud?
Nextcloud ist kein statisches Produkt. Die Version 30 hat einige interessante Verbesserungen mitgebracht, darunter ein überarbeitetes User Interface und eine verbesserte Integration von KI-Funktionen. Man kann über den Nutzen solcher Funktionen streiten, aber aus Sicherheitssicht ist wichtig, dass die Entwickler kontinuierlich an der Härtung arbeiten. Die nunmehr in Nextcloud integrierte Unterstützung für WebAuthn, die Möglichkeit zur Passwortlosen Anmeldung mit Passkeys, ist ein Schritt in die richtige Richtung. In Zukunft dürfte die Bedeutung von Zero-Trust-Konzepten zunehmen, bei denen der Zugriff auf die Cloud nicht mehr allein von Benutzername und Passwort abhängt, sondern von einer Vielzahl von Faktoren. Nextcloud hat mit der Unterstützung für OpenID Connect und SAML bereits die Grundlagen geschaffen.
Auch im Bereich der dezentralen Dateiverteilung tut sich etwas. Das Federation-Protokoll von Nextcloud, mit dem man Server untereinander verbinden kann, ist schon seit Jahren verfügbar, aber es wurde kaum genutzt. Mit der gestiegenen Nachfrage nach Datenhoheit könnte das in Zukunft anders aussehen. Ob es sich dabei um echte Dezentralisierung handelt, ist eine Frage der Definition – jedenfalls ermöglicht es, Dateien zwischen verschiedenen Nextcloud-Instanzen auszutauschen, ohne zentrale Vermittler. Aus Sicherheitssicht ist das eine ambivalente Entwicklung: Einerseits verwischt es die Grenzen der eigenen Kontrolle, andererseits kann es die Resilienz erhöhen. Nicht zuletzt wegen der jüngsten geopolitischen Verwerfungen ist das Thema digitale Souveränität in Europa auf der Tagesordnung. Nextcloud ist hier einer der wenigen Anbieter, die tatsächlich in Europa entwickelt werden und eine echte Alternative zu den großen Cloud-Plattformen darstellen.
Ein eigener Weg: Die Verantwortung bleibt beim Betreiber
Wer Nextcloud sicher hosten möchte, findet eine Fülle von Handbüchern, Foren-Beiträgen und Blogartikeln. Die offizielle Dokumentation der Nextcloud-Entwickler ist dabei eine gute Anlaufstelle, ihr verdanken wir viele der hier erwähnten Tipps. Aber man sollte sich nicht darauf verlassen, blindlings eine Anleitung zu befolgen. Sicherheit ist kein Zustand, sondern ein Prozess. Der eigene Server muss immer wieder überprüft, die Konfiguration muss hinterfragt und die Anforderungen der Benutzer müssen berücksichtigt werden. Ein Beispiel: Wenn in einem Unternehmen ein externes Dienstleistungsteam Zugriff auf die Nextcloud bekommt, um Projektdateien auszutauschen, dann reicht es nicht, den Benutzern ein Konto anzulegen und zu hoffen, dass alles gutgeht. Man muss festlegen, ob der Zugriff zeitlich befristet ist, welche Ordner freigegeben sind und ob die Benutzer Gruppen anlegen dürfen. Das ist keine technische, sondern eine organisatorische Frage, die oft unter den Tisch fällt.
Die Betreiber von Nextcloud-Instanzen sind nicht selten in einer Außenseiterrolle: Sie sind weder hauptberufliche Sicherheitsexperten noch haben sie die Mittel eines großen IT-Dienstleisters. Dennoch können sie mit wenigen Handgriffen ein beachtliches Sicherheitsniveau erreichen. Die Grundlagen – regelmäßige Updates, Zwei-Faktor-Authentifizierung, Verschlüsselung, Backups und ein Blick auf die Logs – sind leicht vermittelt und setzen keine teuren Werkzeuge voraus. Ein erfahrener Administrator weiß das, und er weiß auch, dass die Verantwortung nicht auf eine Software abgewälzt werden kann. Die Software ist nur so gut wie die Konfiguration, in der sie läuft.
Auch wenn es ein wenig unbequem klingt: Der nächste Sicherheitsvorfall ist nicht eine Frage des Ob, sondern des Wann. Es kann ein Zufallstreffer sein, der auf eine unsaubere Installation aufmerksam macht, oder ein Schritt in einem größeren Angriff auf die Infrastruktur des Unternehmens. Wenn dieser Fall eintritt, ist das wenigste, was man braucht, ein gutes Logbuch und eine Dokumentation der eigenen Systeme. Der Rest ist eine Mischung aus handwerklichem Können, Besonnenheit und ein bisschen Glück. Wer seine Nextcloud-Instanz von Anfang an konsequent sicher hostet, hat den unangenehmen Moment zumindest gut vorbereitet.
Fazit: Sorgfalt statt Paranoia
Nextcloud sicher zu hosten ist keine Zauberei, aber es ist auch keine Angelegenheit, die sich mit einem Nachmittag Arbeit erledigen lässt. Es ist ein Ineinandergreifen von Komponenten, das Verständnis für die eigene Infrastruktur voraussetzt und den Willen, sich kontinuierlich mit dem System zu beschäftigen. Die meisten Bedrohungen lassen sich bereits durch die Einhaltung von Grundregeln abwehren: ein sauber konfigurierter Webserver, eine gehärtete PHP-Umgebung, die Nutzung von Redis, eine starke Authentifizierung, ein regelmäßiges Update- und Backup-Regime und der Blick auf die Logs. Das ist keine Kür, sondern Pflichtprogramm.
Jenseits der technischen Details bleibt die wichtigste Erkenntnis: Nextcloud stellt die Weichen für mehr Selbstbestimmung und Kontrolle über die eigenen Daten. Aber diese Kontrolle muss man auch annehmen. Es ist ein gutes Gefühl, die Hand über der eigenen Cloud zu halten – vorausgesetzt, man tut es mit Sorgfalt, mit gesundem Respekt vor den Risiken und gelegentlichem Blick über den Tellerrand. Und wenn man einmal alles richtig gemacht hat, dann ist Nextcloud nicht einfach nur eine weitere Software auf dem Server. Sondern ein Werkzeug, das im Alltag zur Selbstverständlichkeit wird – bis eben doch mal etwas schiefgeht. Dann zeigt sich, ob die Grundlagen wirklich stimmten.