Nextcloud und TISAX Der schwierige Weg zur Compliance in der Automobilindustrie

Die Krux mit der Compliance: Nextcloud und die TISAX-Herausforderung

Wer heute in der Automobilbranche als Dienstleister, Zulieferer oder Entwickler auftritt, kennt das Spiel: Ohne TISAX-Zertifikat geht kaum noch etwas. Das Prüfsiegel der Enx-Trusted-Information-Security-Assessment-Exchange – kurz TISAX – ist in der deutschen und europäischen Automobilindustrie längst zum Quasi-Standard geworden. Es signalisiert nicht nur, dass ein Unternehmen Informationssicherheit ernst nimmt, sondern ist oft harte Voraussetzung für Geschäftsbeziehungen. Gleichzeitig setzen immer mehr Firmen auf Open-Source-Lösungen, um Abhängigkeiten zu reduzieren und die Datenhoheit zu bewahren. Nextcloud, die bekannteste Cloud-Plattform aus Deutschland, spielt dabei eine zentrale Rolle. Aber wie passt das zusammen? Lässt sich eine Nextcloud-Infrastruktur überhaupt TISAX-konform betreiben? Und wenn ja, mit welchem Aufwand?

Die kurze Antwort: Ja, es geht. Aber der Weg ist steiniger, als manche Marketingabteilung glauben machen will. Nextcloud bietet von Haus aus viele Sicherheitsmechanismen, die für eine TISAX-Zertifizierung notwendig sind – Ende-zu-Ende-Verschlüsselung, granulare Zugriffssteuerung, Audit-Logging und On-Premises-Betrieb. Doch das Zertifikat bezieht sich nicht auf die Software allein. TISAX prüft das gesamte Informationssicherheits-Managementsystem (ISMS) eines Unternehmens. Also die Prozesse rund um die Software, die Organisation der IT, die Schulung der Mitarbeiter, die physische Sicherheit der Rechenzentren. Nextcloud ist nur ein Baustein. Ein wichtiger, vielleicht der zentrale, aber eben ein Teil des Puzzles.

Dass Nextcloud selbst kein TISAX-Zertifikat besitzt, ist dabei kein Mangel. Das wäre unsinnig, denn TISAX auditiert keine Produkte, sondern Organisationen und deren Betrieb. Nextcloud GmbH kann den Kunden aber mit einer Reihe von Compliance-Features unter die Arme greifen. Die Enterprise-Version enthält unter anderem erweiterte Audit-Tools, integrierte Virenprüfung für Dateien, einen umfassenden Dateiverlauf und die Möglichkeit, Verschlüsselungsschlüssel selbst zu hosten. All das sind Zutaten, die ein TISAX-Konzept erst möglich machen. Doch sie allein reichen nicht. Ein Administrator, der vor der Aufgabe steht, eine TISAX-konforme Nextcloud-Umgebung aufzusetzen, muss sein gesamtes Setup von Grund auf durchdenken. Von der Rechtevergabe über die Netzwerksegmentierung bis zur physischen Zugangskontrolle der Server. Ein interessanter Aspekt ist, dass viele Unternehmen Nextcloud gerade wegen seiner Flexibilität schätzen – aber genau diese Flexibilität kann zur Falle werden, wenn sie nicht diszipliniert genutzt wird.

Die Basis: Nextcloud als Plattform für souveränes Cloud Computing

Bevor wir in die Tiefe der TISAX-Anforderungen einsteigen, ein kurzer Blick auf Nextcloud selbst. Die Software hat sich in den vergangenen Jahren von einem einfachen File-Sharing-Tool zu einer umfassenden Kollaborationsplattform entwickelt. Sie bietet Kalender, Kontakte, Tasks, Videokonferenzen (Talk) und viele weitere Apps. Was sie von den großen US-amerikanischen Konkurrenten unterscheidet, ist das Modell: Nextcloud wird auf eigenen Servern installiert, die Daten verlassen nie das Haus – zumindest, wenn man es richtig einrichtet. Das ist der Kern der „digitalen Souveränität“, ein Begriff, der zwar etwas abgenutzt ist, aber hier wirklich seine Berechtigung hat.

Für die Automobilindustrie, die mit höchst sensiblen Daten wie Fahrzeugkonfigurationen, Patenten oder Personaldaten umgeht, ist dieser Aspekt Gold wert. TISAX zwingt Unternehmen nicht zum On-Premises-Betrieb, aber er erleichtert die Kontrolle. Wer seine Daten in einer Public Cloud wie Microsoft 365 oder Google Workspace lagert, muss dem Anbieter vertrauen und zusätzlich vertragliche Regelungen treffen, die den TISAX-Prüfungen standhalten. Das ist möglich, aber aufwendig. Nextcloud dagegen erlaubt es, die gesamte Infrastruktur selbst zu betreiben oder bei einem spezialisierten Anbieter zu hosten, der die physische Sicherheit nachweisen kann.

Nicht zuletzt spielt auch der Aspekt der Kosten eine Rolle. Nextcloud selbst ist als Open-Source-Software kostenlos. Für die Enterprise-Version mit Support und Compliance-Features fallen Lizenzgebühren an, die aber im Vergleich zu den Summen, die man für SaaS-Lizenzen ausgibt, moderat sind. Wer eine TISAX-Zertifizierung anstrebt, wird ohnehin in die Umsetzung investieren müssen – sei es in externe Beratung, in die Schulung des Personals oder in die Hardware. Die Software ist dabei eher der kleinere Posten.

TISAX: Ein Gütesiegel, das wehtut

TISAX steht für „Trusted Information Security Assessment Exchange“. Es wurde vom Verband der Automobilindustrie (VDA) entwickelt, um einen einheitlichen Standard für Informationssicherheit in der Branche zu schaffen. Anders als die ISO 27001, die viele als Grundlage nehmen, ist TISAX stärker auf die spezifischen Anforderungen der Automobilindustrie zugeschnitten – insbesondere den Schutz von Prototypen, Fahrzeugdaten und geistigem Eigentum. Ein Audit wird nicht etwa durch den eigenen Datenschutzbeauftragten durchgeführt, sondern von akkreditierten Prüfern der TISAX-Organisation.

Das Verfahren ist aufwendig. Es gibt verschiedene Assessment-Level (AL1 bis AL3), die den Umfang der Prüfung bestimmen. Für die meisten Zulieferer wird AL2 oder AL3 verlangt. AL3 beinhaltet sogar Vor-Ort-Audits, bei denen Prüfer durch die Serverräume laufen, Kabelstränge inspizieren und die Dokumentation lückenlos überprüfen. Wer schon einmal einen solchen Audit durchlaufen hat, weiß: Das ist kein Papiertiger. Es ist harte Arbeit. Die Vorbereitung kann Monate dauern, und die Vorlage von Prozessbeschreibungen, Risikoanalysen und Nachweisen über Schulungen ist nur die Spitze des Eisbergs.

Besonders knifflig: TISAX verlangt nicht nur, dass Sicherheitsmaßnahmen implementiert werden, sondern auch, dass sie gelebt werden. Ein Whitepaper über Verschlüsselung nützt nichts, wenn die Mitarbeiter ihre Passwörter auf Post-its schreiben. Oder wenn die IT-Abteilung Sicherheitsupdates erst drei Monate nach Erscheinen einspielt. Nextcloud kann zwar automatische Updates liefern, aber ob die Organisation sie auch zeitnah installiert, liegt in der Verantwortung des Betreibers. Das ist ein Punkt, der in der Praxis oft unterschätzt wird. Viele Unternehmen setzen Nextcloud ein, aktualisieren dann aber nur unregelmäßig, weil sie Angst vor Kompatibilitätsproblemen haben. Ein TISAX-Auditor würde das sofort bemängeln.

Wo Nextcloud und TISAX sich treffen

Kommen wir zu den konkreten Anforderungen, die TISAX an eine Nextcloud-Umgebung stellt, und wie die Software diese erfüllen kann. Ich will nicht alle Kontrollziele des Katalogs durchgehen – das wäre zu technokratisch. Stattdessen konzentriere ich mich auf die neuralgischen Punkte, die immer wieder für Diskussionen sorgen.

Zugriffskontrolle und Authentifizierung. TISAX verlangt, dass der Zugriff auf Daten nur nach dem Need-to-know-Prinzip erfolgt. Nextcloud bietet hier mit Gruppen, Ordnern und Berechtigungen auf Dateiebene eine sehr feine Granularität. In der Enterprise-Version gibt es zusätzlich die Möglichkeit, Berechtigungen über Regeln zu setzen, die auf Metadaten basieren – etwa „Alle Dateien mit dem Schlagwort ‚Prototyp‘ sind nur für die Abteilung Entwicklung lesbar“. Das ist mächtig, aber auch komplex. In der Praxis sieht man oft, dass Administratoren die Rechte zu großzügig vergeben, weil es einfacher ist. Genau das müssen TISAX-Prüfer jedoch nachweisen können: eine dokumentierte Rechtevergabe, regelmäßige Reviews und eine sauberes On- und Offboarding von Benutzern. Nextcloud kann mit dem App-Konzept einzelne Anwendungen kapseln, aber die Grundlage ist ein funktionierendes Identity-Management (LDAP, Active Directory, SAML).

Verschlüsselung ruhend und in Transit. Nextcloud verschlüsselt standardmäßig die Datenübertragung via HTTPS. Für die Verschlüsselung auf der Festplatte setzt die Software auf Server-seitige Verfahren wie die AES-256-Verschlüsselung mit benutzerverwalteten Schlüsseln (Server Side Encryption). Das ist gut, aber nicht automatisch TISAX-konform. Denn die Schlüssel liegen auf dem Server, und wer Zugriff auf den Server hat, kann sie theoretisch nutzen. Für höchste Sicherheitsstufen verlangt TISAX eine Ende-zu-Ende-Verschlüsselung (E2EE), bei der der Server die Daten nicht entschlüsseln kann. Nextcloud bietet dafür die „End-to-End Encryption“-App, die allerdings mit Einschränkungen kommt: Sie ist noch nicht für alle Apps und Funktionen verfügbar, und die Verwaltung der Schlüssel erfordert zusätzliche Schulung der Benutzer. Ein Spagat zwischen Sicherheit und Benutzerfreundlichkeit. Ich persönlich halte E2EE für den Königsweg, aber in der Praxis verzichten viele TISAX-Kandidaten darauf, weil sie die Komplexität scheuen. Dabei zeigt sich, dass die Kombination aus Server Side Encryption und einer sorgfältigen Server-Härtung oft ausreicht – wenn der Auditor das akzeptiert.

Audit-Logging und Nachvollziehbarkeit. TISAX verlangt lückenlose Protokolle über Zugriffe und Änderungen an Daten. Nextcloud führt standardmäßig viele Events im Log, aber – und das ist ein Kritikpunkt – das Logging ist nicht immer einfach auszuwerten. Die Audit-Logs der Enterprise-Version sind besser, aber sie sind auch ein Kostenfaktor. Man muss sie nicht nur aktivieren, sondern auch regelmäßig auswerten und auf Auffälligkeiten prüfen. Ein SIEM-System (Security Information and Event Management) kann hier helfen, schafft aber neue Komplexität. Nextcloud selbst liefert keine integrierte SIEM-Funktion, das muss der Betreiber selbst in die Hand nehmen. Ein Tipp: Viele Unternehmen unterschätzen, wie lange sie Log-Daten aufbewahren müssen – TISAX fordert mindestens ein Jahr, manchmal länger. Das kann bei vielen Nutzern und Dateien zu erheblichem Speicherbedarf führen. Nextcloud speichert Logs in Dateien oder Datenbanken, aber eine automatisierte Rotation und Archivierung muss der Admin selbst konfigurieren.

Patch-Management und Schwachstellenscan. Nextcloud veröffentlicht regelmäßig Sicherheitsupdates – manchmal auch außer der Reihe bei kritischen Lücken (CVE). TISAX verlangt, dass Schwachstellen in definierten Zeiträumen geschlossen werden. Das bedeutet: Der Betreiber muss einen Prozess etablieren, der Sicherheitsankündigungen von Nextcloud verfolgt, die Updates testet und dann zeitnah einspielt. Die Software selbst bietet eine sogenannte „Update-Notification“ in der Enterprise-Version, die über neue Versionen informiert. Aber der Prozess liegt beim Unternehmen. In der Praxis scheitert es oft an Testumgebungen. Viele Firmen haben keine separate Testinstanz von Nextcloud, in der sie Updates erst prüfen können, bevor sie auf die Produktion losgelassen werden. Das TISAX-Audit kann dann zum bösen Erwachen führen. Ein interessanter Aspekt ist, dass Nextclouds Update-Mechanismus auf den ersten Blick einfach wirkt (ein Klick im Admin-Panel), aber bei großen Instanzen und vielen Apps kann es zu Konflikten kommen. Die Enterprise-Version bietet einen „Rollback“-Mechanismus, aber der ist nicht narrensicher.

Physische Sicherheit und Umgebung. Hier kommt Nextcloud als Software nicht direkt ins Spiel. Aber die Server, auf denen Nextcloud läuft, müssen in Rechenzentren stehen, die den TISAX-Anforderungen an physische Sicherheit genügen – Zutrittskontrollen, Videoüberwachung, Klimatisierung, Brandschutz. Wer Nextcloud in einem eigenen Serverraum im Keller betreibt, hat es schwer, den TISAX-Test zu bestehen. Viele Unternehmen entscheiden sich daher für gehostete Nextcloud-Angebote von spezialisierten Partnern, die bereits TISAX-zertifizierte Rechenzentren vorweisen können. Nextcloud selbst bietet mit der „Nextcloud Enterprise On-Premises“-Lizenz die Freiheit, den Anbieter zu wählen, aber die Zertifizierung der Infrastruktur bleibt eine eigene Baustelle.

Die praktische Umsetzung: Was Admins beachten müssen

Angenommen, ein Unternehmen hat sich entschieden, eine Nextcloud-Umgebung aufzubauen, die später TISAX-zertifiziert werden soll. Wo fängt man an? Meiner Erfahrung nach ist der größte Fehler, erst mit der Nextcloud-Installation zu beginnen und dann die Compliance-Anforderungen hinterherzudokumentieren. Es ist besser, von Anfang an ein ISMS aufzusetzen, das die Sicherheitsziele definiert. Nextcloud sollte dann so konfiguriert werden, dass es diese Ziele unterstützt. Das bedeutet auch, dass manche Funktionen deaktiviert werden müssen, weil sie nicht mit den Vorgaben vereinbar sind. Beispielsweise die einfache Möglichkeit, Dateien über öffentliche Links zu teilen. TISAX verlangt, dass solche Teilen-Funktionen streng kontrolliert, protokolliert und nach Möglichkeit mit Passwort und Ablaufdatum versehen werden. Nextcloud kann das, aber der Admin muss es einrichten. Viele Standardinstanzen lassen öffentliche Links ohne Einschränkungen zu – ein Risiko.

Ein weiterer Punkt: Die Integration von Nextcloud in bestehende Systeme. TISAX fordert eine einheitliche Identitätsverwaltung. Also: LDAP oder Active Directory mit SAML oder OAuth. Nextcloud unterstützt beides, aber die Konfiguration ist nicht trivial. Wer Benutzerkonten manuell in Nextcloud anlegt, wird im Audit keine Überzeugungsarbeit leisten können. Besonders hart ist die Anforderung an das Passwort-Management: Mehrfachverwendung von Passwörtern, Länge, Komplexität – all das muss über das Identity-System gesteuert werden. Nextcloud kann über die LDAP-Konfiguration Passwort-Regeln der Verzeichnisdienste übernehmen, aber es gibt keine eigene Passwortrichtlinie, die das erzwingt. Auch hier muss der Admin in der Systemkonfiguration nachsteuern.

Ein Thema, das oft zu spät kommt, ist die Dokumentation. TISAX lebt von Nachweisen. Jede Sicherheitsmaßnahme, jede Netzwerksegmentierung, jedes Backup muss beschrieben sein. Nextcloud selbst bietet eine Übersicht über die Konfiguration im Admin-Panel, aber das reicht nicht. Man benötigt eine separate Dokumentation, die die Architektur, die Rollen und Verantwortlichkeiten, die Notfallpläne und die Wiederherstellungsprozesse abdeckt. Es gibt zwar Vorlagen von TISAX-Prüfern, aber jede Umgebung ist anders. Wer Nextcloud mit Docker oder Kubernetes betreibt, muss zusätzlich die Container-Sicherheit dokumentieren. Das ist eine Mammutaufgabe, die man nicht unterschätzen sollte.

Und dann ist da noch der Faktor Mensch. TISAX-Auditoren achten sehr genau auf das Bewusstsein der Mitarbeiter. Wer Nextcloud nutzt, muss wissen, welche Daten sie dort ablegen dürfen, wie sie mit externen Freigaben umgehen und wie sie verdächtige Aktivitäten melden. Nextcloud kann solche Meldungen über das Audit-Log unterstützen, aber die Prozesse müssen definiert und geschult sein. In der Praxis kommt es vor, dass ein Unternehmen eine hochsicherheitszertifizierte Nextcloud aufbaut, aber die Mitarbeiter kopieren dann Daten auf USB-Sticks, weil sie den Umweg über die Cloud für zu umständlich halten. Das ist kein Nextcloud-Problem, aber es ist ein TISAX-Problem.

Hürden und Stolpersteine: Wo es wehtut

Es wäre unehrlich, nur die rosigen Seiten zu zeigen. Der Weg zur TISAX-konformen Nextcloud ist mit Fallstricken gepflastert. Einer der größten: Die Business-Features der Nextcloud-Enterprise-Version, die für Compliance unabdingbar sind, kosten Geld. Das ist vielen bewusst, aber die Preisgestaltung der Nextcloud GmbH folgt einer eigenen Logik. Die Enterprise-Lizenz wird pro Benutzer und pro Jahr berechnet, mit Rabatten für größere Umgebungen. Für ein mittelständisches Unternehmen mit 500 Benutzern kann das schnell einige tausend Euro im Jahr ausmachen. Dazu kommen die Kosten für die Infrastruktur, den Betrieb, das Audit selbst, das schnell fünfstellige Beträge erreicht. So mancher Geschäftsführer reibt sich die Augen, wenn er hört, dass Open Source auf einmal richtig teuer werden kann. Das ist eine ehrliche Kommunikation wert: Nextcloud spart Lizenzkosten im Vergleich zu proprietären Lösungen, aber nicht die Beratungs- und Betriebskosten.

Ein weiterer Stolperstein ist die Komplexität der TISAX-spezifischen Konfiguration. Nextcloud ist modular, und nicht alle Apps sind für den Sicherheitseinsatz optimiert. Die Talk-App (Videokonferenz) etwa hat lange gebraucht, um eine durchgängige Verschlüsselung zu unterstützen. In der Version 28 gibt es Fortschritte, aber ich habe noch keinen TISAX-Auditor getroffen, der Talk ohne Einschränkungen absegnet. Oft wird verlangt, dass externe Teilnehmer nur über eine separate, TISAX-konforme Plattform zugeschaltet werden. Für Nextcloud bedeutet das: Wer TISAX ernst nimmt, wird nicht alle Apps aktivieren. Das schmälert den Nutzen der Plattform. Ein Vertriebsmitarbeiter, der mit Kunden per Talk kommunizieren will, ist dann auf alternative Dienste angewiesen. Das kann die Akzeptanz der Lösung beeinträchtigen.

Ein Thema, das immer wieder für Ärger sorgt, ist die Datenhaltung auf mehreren Standorten. Nextcloud unterstützt sogenannte „Storage-Adapter“, also die Anbindung externer Speicher wie S3, NAS oder andere Cloud-Systeme. TISAX verlangt klare Vorgaben, wo die Daten physisch liegen, und erwartet eine Risikoanalyse bei geografischer Verteilung. Wer also Nextcloud mit einem S3-kompatiblen Speicher in einem fremden Rechenzentrum betreibt, muss zusätzliche Verträge abschließen und nachweisen, dass der Speicheranbieter die Sicherheitsanforderungen erfüllt. In der Praxis endet das oft damit, dass man sich dicht an die Nextcloud-Server bindet und alles an einem Ort konzentriert – was aus Sicht der Ausfallsicherheit wiederum suboptimal ist. Ein klassisches Spannungsfeld zwischen Sicherheit und Verfügbarkeit.

Und dann ist da noch die Frage der Versionierung und des Löschkonzepts. TISAX verlangt, dass Daten nach definierten Fristen gelöscht werden. Nextcloud hat eine integrierte Dateiversionsverwaltung, die ältere Versionen von Dateien aufbewahrt. Das ist praktisch, verwischt aber die Löschkonturen. Wenn ein Benutzer eine Datei löscht, landet sie zunächst im Papierkorb – auch das ist eine Versionierung. Ein TISAX-Auditor wird prüfen, ob die Löschfristen auch für Papierkorb und Versionen gelten. Nextcloud erlaubt es, Aufbewahrungszeiträume global zu setzen, aber die korrekte Umsetzung erfordert eine manuelle Kontrolle. Automatismen wie „Dateien, die länger als 30 Tage im Papierkorb sind, werden endgültig gelöscht“ sind konfigurierbar, aber ob das für jede Datenklasse gilt, muss klar dokumentiert sein. Ich kenne Fälle, in denen Unternehmen monatelang mit Nextcloud herumgedoktert haben, um eine saubere Löschlogging hinzubekommen.

Fazit: Nextcloud als Teil einer TISAX-konformen Infrastruktur

Nextcloud ist ohne Zweifel eine der geeignetsten Plattformen, um die Anforderungen der Automobilindustrie an eine sichere Cloud abzudecken – vorausgesetzt, man nimmt sich die Zeit und das Geld für die richtige Konfiguration und den Betrieb. Die Software bietet alle wesentlichen Zutaten: Verschlüsselung, Zugriffskontrollen, Audit-Fähigkeit und die Freiheit, die Infrastruktur selbst zu bestimmen. Aber sie ist kein Selbstläufer. TISAX verlangt ein ganzheitliches ISMS, bei dem Nextcloud nur ein Bestandteil ist. Die Organisation, die Prozesse, die physische Sicherheit und die Kultur des Unternehmens sind genauso wichtig.

Ein interessanter Trend: Immer mehr Nextcloud-Dienstleister bieten sogenannte TISAX-ready-Pakete an – also vorkonfigurierte Umgebungen, die bereits vielen TISAX-Kriterien entsprechen. Das ist eine Hilfe, aber es ersetzt nicht das Audit. Jeder Kunde muss seine eigene Zertifizierung durchlaufen. Die Dienstleister können die Vorarbeit leisten, aber die Verantwortung bleibt beim Unternehmen. Ich rate daher jedem, der den Schritt ernsthaft erwägt, von Anfang an einen externen TISAX-Berater hinzuzuziehen. Das mag teuer sein, aber teure Fehler zu vermeiden ist noch teurer.

Am Ende stellt sich die Frage: Lohnt sich der Aufwand? Für Unternehmen, die in der Automobilbranche Fuß fassen wollen, ist TISAX keine Option mehr, sondern ein Muss. Nextcloud hilft dabei, die Datenhoheit zu wahren, Kosten zu kontrollieren und flexibel zu bleiben. Aber man sollte sich nichts vormachen: Es ist ein Projekt, das Monate dauert und tief in die Organisation eingreift. Wer es richtig macht, hat am Ende nicht nur ein Zertifikat, sondern eine deutlich bessere Sicherheitskultur. Und das ist doch der eigentliche Gewinn – unabhängig von TISAX.

Nextcloud selbst entwickelt sich weiter. Die Versionen 28 und 29 haben viele sicherheitsrelevante Verbesserungen gebracht. Die Integration von AI-gestützter Bedrohungserkennung, verbesserte Log-Analyse und ein noch granulareres Rechte-Management sind in Arbeit. Es ist zu erwarten, dass die Plattform in den nächsten Jahren noch stärker auf industrielle Standards zugeschnitten wird. Die Frage ist, ob die Nextcloud GmbH den Spagat zwischen breitem Feature-Set und strikter Compliance hinbekommt. Bisher ist sie auf einem guten Weg. Aber die Automobilindustrie ist eine der anspruchsvollsten Branchen, was Sicherheit betrifft. Da darf kein Fehler passieren. Nicht zuletzt warten die Auditoren schon mit ihren Checklisten.