Nextcloud 2FA im Griff – was die Two-Factor Notification leistet

Die Zeiten, in denen ein sicheres Passwort als ausreichender Schutz für eigene Cloud-Infrastrukturen galt, sind lange vorbei. Spätestens seit den massiven Attacken auf Admin-Instanzen und den immer wieder aufkommenden Leaks mit gestohlenen Zugangsdaten ist klar: Ohne einen zweiten Faktor sollte niemand eine Datenkrake wie Nextcloud ungeschützt ins Netz stellen. Ein schwaches Passwort, eine weiterverwendete Kennung aus einem alten Datenleck, und schon hat sich ein Angreifer durch die Vordertür einen Weg zu vertraulichen Dokumenten, Kontakten oder unternehmenskritischen Kalendern gebahnt. Dabei zeigt sich, dass viele Nextcloud-Administratoren die Bedeutung von Zwei-Faktor-Authentifizierung zwar erkannt haben, aber bei der Wahl der Methode zögern. Zu viel Auswahl, zu viele unübersichtliche Apps, dazu die Sorgen, dass die Mitarbeiter mit einem TOTP-Token überfordert sein könnten.

Hier kommt eine Option ins Spiel, die bequemer ist als ein Einmalpasswort und trotzdem den Ansprüchen an moderne Zwei-Faktor-Verfahren genügen will. Die Rede ist von der App „Two-Factor Nextcloud Notification“ (kurz: „2FA-Notification“). Sie nutzt das im Kern bereits vorhandene Benachrichtigungssystem von Nextcloud als Transportweg für den zweiten Faktor. Wer sich also mit Benutzername und Passwort anmeldet, bekommt nicht etwa eine E-Mail oder einen sechsstelligen Code, sondern eine Push-Benachrichtigung direkt in eine bereits angemeldete Nextcloud-App. Das klingt verlockend, wirft aber einige Fragen auf: Wie sicher ist dieser Ansatz wirklich? Wo liegen die technischen Grenzen? Und warum ist diese Methode gerade für Einsteiger so attraktiv?

Ein Blick zurück: Wie Zwei-Faktor in Nextcloud begann

Nextcloud unterstützt Zwei-Faktor-Authentifizierung nicht erst seit gestern. Bereits früh zog das System mit einer eigenen Schnittstelle nach, um unterschiedliche Verfahren anzubinden. Zur Grundausstattung gehören heute TOTP (Time-based One-Time Password), WebAuthn und die E-Mail-Bestätigung. TOTP-Apps wie Google Authenticator oder Authy sind nach wie vor der Standard, weil sie keinen laufenden Internetzugang benötigen und auf fast jedem Smartphone funktionieren. WebAuthn, also der Login per Sicherheitsschlüssel oder eingebautem Fingerabdruck, gilt als noch deutlich phishingresistenter, findet aber im Unternehmensalltag nur langsam Verbreitung. E-Mail-Codes wiederum sind bequem, aber oft anfällig – nicht jedes Postfach ist so abgesichert, wie es im besten Fall sein sollte.

Interessant wird es allerdings dort, wo es um die Nutzerfreundlichkeit geht. Und genau an dieser Stelle setzen die sogenannten Push-basierten Zwei-Faktor-Verfahren an. Zwei-Faktor muss heute nicht mehr bedeuten, dass ich mühsam eine Zahl abtippe, während mein Meeting gleich losgeht. Vielmehr wünschen sich viele Anwender einen Prozess, der sich in den natürlichen Arbeitsablauf fügt. Die Nextcloud-eigene „Two-Factor Notification“ verspricht genau das: eine Benachrichtigung auf dem Notebook, dem Tablet oder dem Smartphone, die ich mit einem Klick bestätige – und schon bin ich angemeldet. Das ist bequem, ohne Frage. Aber ist es auch vernünftig?

Die Architektur hinter der Notification: Nicht ganz Mainstream

Um die Funktion der App zu verstehen, lohnt ein Blick auf das Benachrichtigungssystem von Nextcloud. Es ist im Grunde ein verteiltes Nachrichten-System, das auf dem Server eingehende Events in einer Datenbank speichert und an Clients ausliefert. Die Desktop- und Mobile-Clients fragen dabei periodisch eine API-Schnittstelle ab – man spricht von Polling. Das ist kein besonders effizienter Ansatz, aber ein robustes Prinzip, das unter anderem ohne permanente WebSockets-Verbindungen auskommt. Die Benachrichtigung selbst ist ein Datenpaket, das neben der Textnachricht auch einen App-Identifikator, einen Link oder individuelle Parameter enthält. Eine App kann auf diese Parameter reagieren, zum Beispiel mit einem „Bestätigen“- oder „Ablehnen“-Button.

Der Clou der 2FA-Notification ist nun, dieses System für einen kryptografischen Schritttanz zu verwenden. Wenn sich ein Benutzer mit dem ersten Faktor, also dem Passwort, angemeldet hat, startet der Server den zweiten Autorisierungsschritt. Statt einer Eingabemaske für einen Code erzeugt die App eine Benachrichtigung. Diese enthält einen HTTP-Link, der mit einem einmaligen, signierten Token versehen ist. Nur wer die Benachrichtigung in einer Sitzung abrufen und den Link öffnen kann, bringt den Login-Prozess zum Abschluss. Da der Link ablaufen und nur einmal gültig sein darf, bietet das System eine Form von Inhaberschaftsbeweis: Der Benutzer kontrolliert zumindest eine bereits angemeldete Sitzung in einem Nextcloud-Client, die mit seinem Account verbunden ist.

Vor allem in Szenarien, in denen Anwender ohnehin die Nextcloud-Desktop-App geöffnet haben oder die mobile App auf dem Firmenhandy verwenden, ist das ein angenehmer Komfortgewinn. Der zweite Faktor ist dann nicht mehr „etwas, das ich habe“, sondern eine Status-Meldung auf einem Gerät, das bereits im Kundennetzwerk registriert ist. Das wirft allerdings ein wichtiges Problem auf: Diese Form der Zwei-Faktor-Authentifizierung baut auf der Prämisse auf, dass ein Gerät bereits mit dem Server vertraut ist. Sie kann also nicht als ausschließlicher Login-Schutz für ein vollständig neu eingerichtetes Endgerät fungieren, auf dem noch keine Nextcloud-Sitzung besteht.

Die Installation der App: Ein Kinderspiel für Admins

Für Administratoren ist die Installation unkompliziert. Die App „Two-Factor Nextcloud Notification“ ist im offiziellen App-Store der Systemumgebung verfügbar und lässt sich bequem über die Weboberfläche aktivieren. Nach dem Download reicht ein Blick in den Bereich „Apps“, dort unter „Sicherheit“ den Eintrag finden und auf „Aktivieren“ klicken – schon ist das Modul einsatzbereit. Alternativ geht natürlich auch der Weg über die Befehlszeile mit occ; der genaue Command lautet schlicht: occ app:install twofactor_nextcloud_notification. Diese Flexibilität ist typisch für die Nextcloud-Umgebung und dürfte Administratoren entgegenkommen, die ohnehin ihre Instanz weitgehend automatisiert verwalten.

Danach muss die Methode noch für einen Benutzer aktiviert werden. Das geschieht in den persönlichen Einstellungen, wo Nextcloud standardmäßig die verfügbaren Zwei-Faktor-Verfahren auflistet. Ein Benutzer, der bereits versucht hat, TOTP zu konfigurieren, findet dort nun auch den Eintrag „Benachrichtigung“. Sind mehrere Methoden aktiv, kann der Anwender beim Login wählen, ob er einen TOTP-Code eingeben oder die Push-Benachrichtigung auf einem seiner Geräte bestätigen will. Die App erzeugt dann eine Liste der aktuell registrierten Geräte-Sitzungen, die als mögliche Empfänger für die Bestätigung dienen können. Das ist ein wichtiger Punkt, denn nicht jede Sitzung ist gleich vertrauenswürdig – ein Browser im Internetcafé sollte nie ein solcher Bestätigungskanal sein.

Denn der nächste Schritt ist essenziell: Die 2FA-Notification-App erlaubt es standardmäßig den Benutzern, nicht nur eine Methode zu aktivieren, aber die Sicherheit im Administrationsbereich zu konfigurieren. So lässt sich über Gruppen oder Benutzer festlegen, wer diese Art von Zwei-Faktor überhaupt nutzen darf. Ein Administrator kann also das Verfahren für die Buchhaltung freigeben, während die Entwicklungsabteilung weiterhin auf TOTP mit Hardware-Sicherheitsschlüssel verwiesen wird. Eine sinnvolle Maßnahme, wenn man bedenkt, wie unterschiedlich die Nutzungsszenarien und Sicherheitsanforderungen in einer Organisation sein können.

Praktische Einstiegshürde: Das „Erstgerät“-Problem

Ein eigenartiger Moment entsteht jedoch bei der Einrichtung. Wenn ich als Benutzer die 2FA per Benachrichtigung aktiviere, ohne gleichzeitig eine andere Methode – etwa einen TOTP-Code – zu hinterlegen, komme ich unter Umständen nicht mehr in mein Konto. Das ist kein Bug, sondern eine logische Konsequenz: Der zweite Faktor wird durch eine bestehende, authentifizierte Sitzung nachgewiesen. Wenn ich aber nur diese eine Sitzung habe und mich abmelde, fehlt mir jeder Weg, den Login zu bestätigen. Die App versucht, das abzufedern, indem sie beim Aktivieren darauf hinweist, dass mindestens eine andere Methode, in der Regel ein TOTP-Token, eingerichtet sein sollte. Das ist eine smarte Funktion und sollte von Administratoren unbedingt vor dem Rollout kommuniziert werden.

Der Hersteller empfiehlt deshalb ein zweistufiges Vorgehen: Zuerst wird ein klassischer TOTP-Code hinterlegt, dann zusätzlich die Benachrichtigungsmethode. Der TOTP-Code dient als Fallback, wenn der Client nicht erreichbar ist oder die Benachrichtigung nicht zustellbar erscheint. Im Endeffekt hat man dann einen echten Faktor (das Gerät mit dem Secret) und einen zusätzlichen – dann allerdings eher bequemlichkeitsorientierten – zweiten Kanal. Die Bedienung bleibt trotzdem simpel: Wer sich anmeldet, sieht nach dem Passwort ein Bildschirm mit zwei Auswahlmöglichkeiten, je nachdem, welche Methoden der Nutzer konfiguriert hat. Wer die Benachrichtigung wählt, muss einfach auf seinem Smartphone auf den Hinweis tippen und den Vorgang bestätigen. Die Webanwendung übernimmt den Rest und loggt den Nutzer ein.

Was passiert auf dem Server? Ein Blick in die Logik

Für Administratoren ist es beruhigend zu wissen, dass dieser Prozess nicht im Nirgendwo stattfindet, sondern nachvollziehbar in Datenbank und Logdateien des Servers. Die 2FA-Notification-App legt bei jedem Token eine Datenbank-Transaktion an, mit einem Zeitstempel, einem Ablaufdatum und einem Statusfeld. In den Systemlogs werden die Aktionen mit der Kennung twofactor_nextcloud_notification protokolliert. Das ist wertvoll, wenn später einmal eine Sicherheitsprüfung ansteht. Der Administrator kann nachvollziehen, wann für welchen Benutzer eine Benachrichtigung erzeugt und ob sie bestätigt oder abgelehnt wurde. In Zeiten von aufsichtsrechtlichen Anforderungen, wie etwa der DSGVO oder auch branchenspezifischen Regularien, ist diese Nachvollziehbarkeit ein nicht zu unterschätzender Vorteil.

Darüber hinaus greift die App auf die OCS-API des Benachrichtigungsdienstes zurück. Es ist also nicht so, dass hier eine Sonderlösung durch die Hintertür installiert wird, sondern eine saubere Integration in bestehende Abläufe. Der ablaufende Token wird nicht an einem unspezifizierten Ort abgelegt, sondern in der Tabelle notifications gespeichert, die ohnehin schon für die normalen Benachrichtigungen verwendet wird. Bei jedem Polling-Vorgang der Clients wird die neue Benachrichtigung mit übertragen und dem Benutzer angezeigt. Der Klick auf den Bestätigen-Link läuft wiederum über eine eigene Route in der App, die den Token abgleicht und die Authentifizierung freischaltet. Das ist kein Hexenwerk, aber solide serverseitige Programmlogik.

Sicherheit: Mehr Komfort, aber auch mehr Angriffsfläche?

Die entscheidende Frage, die sich erfahrene Administratoren stellen, ist vor allem eine: Ist diese Methode sicher genug, um sie ernsthaft als einzigen zweiten Faktor anzubieten? Die pauschale Antwort lautet: Jein. Was genau passiert eigentlich, wenn ein Angreifer bereits eine aktive Session des Benutzers auf einem Gerät hat? Dann könnte er sich selber eine Benachrichtigung senden und diese bestätigen – vorausgesetzt, er kontrolliert den Bestätigungs-Klick. Das ist ein Szenario, das man nicht unterschätzen sollte, insbesondere bei gestohlenen Geräten oder bei kompromittierten Browsern. Die App versucht, dieses Risiko dadurch zu begrenzen, dass der Bestätigungslink an eine Sitzungs-ID gebunden ist. Genauer gesagt wird der Link für jede auslösende Anmelde-Anfrage individuell generiert und darf nur einmal verwendet werden. Ein Abfangen des Links durch einen Man-in-the-Middle wäre also nur begrenzt möglich, solange die Transportverschlüsselung über TLS steht.

Ein anderes Problem ist die Vertrauenswürdigkeit der registrierten Geräte. Anders als beim TOTP-Verfahren, bei dem das secret im Sicherheitsmodul des Handys liegt, kann die Benachrichtigung auf jedem Gerät empfangen werden, das sich einmal erfolgreich angemeldet und die Zustimmung zur Benachrichtigung erteilt hat. Ein Benutzer könnte sich auf fünf Geräten einloggen und alle fünf erhalten dann die 2FA-Push. Ist eines davon verloren gegangen, besteht ein erhöhtes Risiko. Der Admin sollte den Benutzern daher die Möglichkeit geben, verwaiste Sitzungen gezielt zu löschen. Nextcloud bietet dafür eine Sitzungsverwaltung im Benutzerbereich an, wo man alle aktiven Log-ins einsehen kann. Die 2FA-Notification App durchsucht genau diese Sitzungsliste. Ein angemeldeter, aber eigentlich vergessener Desktop-Client aus dem Homeoffice bleibt also potenziell als Bestätigungsinstanz aktiv.

Nicht zuletzt sollte man sich bewusst machen, dass Push-basierte 2FA generell nicht gegen hochprofessionelle Phishing-Angriffe schützt. Ein Angreifer, der die Anmelde-Seite simuliert und zeitgleich eine Push-Anfrage an das Opfer schickt, kann den Bestätigungs-Klick des Opfers nutzen, um im Hintergrund die echte Nextcloud-Session zu autorisieren. Das ist kein spezifisches Problem dieser App, sondern eine generelle Schwäche von Push- und Ein-Klick-Methoden, die auch bei kommerziellen Lösungen wie Duo oder bei Banken-Apps existiert. Deshalb raten Sicherheitsexperten für besonders sensible Umgebungen weiterhin zu WebAuthn mit Hardware-Keys. Die 2FA-Notification eignet sich eher als bequemer Standard für die breite Masse, bei dem die Bedrohungslage nicht ganz so exotisch ist.

Praxisbeispiel: Rollout in einem kleinen IT-Dienstleistungsunternehmen

Wie eine solche Einführung aussehen kann, zeigt ein Beispiel aus einem mittelständischen Betrieb mit 30 Arbeitsplätzen. Dort nutzt man Nextcloud als zentrale Dokumentenablage und für den Austausch mit Kunden. Früher galt ausschließlich das Passwort als Schutz, dazu kamen gelegentliche IP-Filter, die aber wegen mobiler Mitarbeiter nicht konsequent aktiviert waren. Nach einem Vorfall, bei dem ein gestohlenes Passwort aus einem privaten Datenleck auftauchte, entschied sich die Geschäftsführung für die Einführung von 2FA. Die IT-Abteilung wollte jedoch vermeiden, für jeden Mitarbeiter ein TOTP-Secret zu verwalten und regelmäßig „Der QR-Code läuft weg“-Supporter-Dienste zu leisten. Also setzte sie auf die Kombination aus TOTP und der 2FA-Notification-App.

In der Praxis zeigte sich schnell, dass die Nutzer den Push-Bestätigungsweg lieben. Der Grund: Die meisten beschäftigten haben einen Nextcloud-Client auf ihrem Firmennotebook installiert und permanent im Speicher. Das Notebook ist ohnehin per LDAP im lokalen Netzwerk eingebunden, der Zugriff darauf gilt intern als ausreichend abgesichert. Wenn nun ein Login auf dem Browser des gleichen Rechners ansteht, reicht ein Klick auf die Benachrichtigung. Das ist deutlich schneller als ein Code, den man mühsam von der Smartphone-App eintippen muss. Aber auch hier gilt: Für kritische Aktionen, etwa das Zurücksetzen eines Passworts oder Zugriffe von einem neuen Endgerät, blieb die TOTP-Methode die erste Wahl.

Der Admin dieser kleinen Firma musste sich jedoch mit einem unerwarteten Effekt auseinandersetzen: Einige Mitarbeiter waren verwirrt, weil die Benachrichtigung auf einem privaten Handy erschien, obwohl sie sich am Firmen-PC anmeldeten. Wer sich früher einmal mit den privaten Zugangsdaten im Nextcloud-Clients angemeldet hatte, um unterwegs die eigenen Dateien zu prüfen, bekam nun die 2FA-Bestätigung auf dieses private Gerät. Das ist ein Planungsfehler, der schnell hätte passieren können. Deshalb ist es ratsam, die Nutzung der 2FA-Notification an eine klare Regel zu koppeln: Entweder nur vom Firmen-Notebook aus, oder besser gleich das private Gerät aus der mobilen Sitzungsliste zu entfernen.

Konfiguration über occ: So steuert der Admin die Methode

Für die Steuerung im Enterprise-Umfeld bietet Nextcloud eine Reihe von Kommandozeilen-Befehlen an. Mit occ twofactorauth:enable benutzername lässt sich die Zwei-Faktor-Authentifizierung für einen Nutzer vollständig einschalten, ohne dass dieser in den Einstellungen selbst etwas vornehmen muss. Das ist ein guter Weg, um die Methode für alle Nutzer einer Gruppe verpflichtend zu machen. Für die 2FA-Notification selbst gibt es keine gesegneten Configuration-Optionen in der config.php, aber der Admin kann über die Gruppen-Verwaltung der App festlegen, wem das Modul überhaupt angeboten wird. Man sollte wissen, dass die App zunächst für jeden Benutzer standardmäßig sichtbar ist, auch wenn er sie nicht aktiviert. Wer also nicht möchte, dass die Methode als Option erscheint, muss sie in der Registerkarte „Verwaltung“ über die Zugriffskontrolle beschränken.

Leider ist die Doku zu diesen Feinheiten an manchen Stellen dünn. Wer die App in größerem Maßstab betreiben will, sollte sich rechtzeitig mit den OCS-Endpunkten des Benachrichtigungssystems auseinandersetzen. Die App selbst führt unter der Haube keine eigene Authentifizierung gegenüber dem Server durch, sondern nutzt die bestehende API. Damit ist sichergestellt, dass sie keine eigenen, ungesicherten Wege öffnet. Andererseits entsteht dadurch eine Abhängigkeit von der Stabilität des Nachrichten-Queues. Wenn der Server hochbelastet ist oder die Datenbank viele alte Benachrichtigungen enthält, kann es passieren, dass die 2FA-Benachrichtigung erst mit einiger Verzögerung beim Client ankommt. Ein Punkt, den man vor allem bei sehr großen Instanzen im Hinterkopf behalten sollte, insbesondere wenn der Login-Prozess in Sekundenschnelle abgeschlossen sein muss.

Alternativen im Vergleich: Wo die Notification wirklich stark ist

Um die Positionierung der App zu verstehen, lohnt sich der Vergleich mit anderen Verfahren. TOTP hat den unschlagbaren Vorteil, komplett offline zu funktionieren. Kenne ich den aktuellen Zeitwert und den geheimen Schlüssel des Tokens, kann ich den Code auch ohne Server berechnen. Das mag in einer abgeschotteten Umgebung ohne Internetverbindung relevant sein, in den meisten modernen Cloud-Szenarien ist die Online-Erreichbarkeit aber kein seltenes Problem. Ein entscheidender Vorteil der Notification-Methode ist dagegen der fehlende Umstand des manuellen Code-Übertragens. Der Login wird sozusagen zu einer Bestätigungs-Frage im gewohnten Arbeitsgerät. Das erhöht die Akzeptanz, das ist aus vielen Projekten bekannt. Wenn man Mitarbeitern die Wahl lässt, greifen mehr als 70 Prozent auf die bequemere Push-Methode zurück – sofern sie technisch sauber umgesetzt ist.

WebAuthn hingegen ist von der Sicherheitsphilosophie her der eigentliche Konkurrent. Ein physischer Token, der mit dem Gerät gekoppelt ist, lässt sich nicht einfach per gestohlener Sitzung fälschen. Er ist auch resistent gegen Phishing, weil die Signatur an den Ursprung der Webseite gebunden ist. Doch die Anschaffungskosten für Hardware-Keys und die Einrichtung sind bei vielen Betrieben ein Thema. Gerade für nicht-technische Mitarbeiter ist das Erst-Registrieren eines Keys oft ein Buch mit sieben Siegeln. Die 2FA-Notification ist hier wesentlich unaufwendiger. Das macht sie zu einer pragmatischen Zwischenlösung, die man nicht unterschätzen sollte. Nicht zuletzt, weil sie ohne zusätzliche Infrastruktur auskommt: Kein SMS-Gateway, kein externer Identitäts-Provider, kein aufwendiges Enrollment-System.

Push oder Polling? Feinschliff für die Benachrichtigungskanäle

Ein interessanter Aspekt ist die Art der Zustellung. Nextclouds eigenes Benachrichtigungssystem arbeitet im Client üblicherweise mit Polling-Intervallen, die je nach Konfiguration zwischen einigen Sekunden und einer Minute liegen. Das heißt: Wenn jemand auf dem Smartphone die App öffnet und sie im Vordergrund aktiv ist, wird die Abfrage unmittelbar angestoßen und die 2FA-Anfrage erscheint praktisch sofort. Ist der Client dagegen in den Hintergrund gedrängt und das Betriebssystem unterbricht die Netzwerkverbindung, kann es dauern, bis die Benachrichtigung eintrifft. Das kann im echten Leben zu frustrierenden Wartezeiten führen, wenn der Login auf dem Desktop schon seit zehn Sekunden wartet. Die App versucht, diesem Problem durch eine „Aktionsliste“ zu begegnen, bei der der Client aktiv den Benachrichtigungs-Endpunkt abfragt, sobald er in den Vordergrund geholt wird. Ein komplettes Push-System im Sinne eines nativen Push-Dienstes von Google oder Apple ist das allerdings nicht.

Für mobile Geräte gibt es von Nextcloud mittlerweile eigene Notifications-Add-ons, die eine echte Push-Zustellung über FCM und APNS ermöglichen. Die Zwei-Faktor-Notification App selbst ist davon unabhängig und nutzt den allgemeinen Benachrichtigungs-Stack. Das hat einen Vorteil: Sie funktioniert auch in Umgebungen, in denen der Zugriff auf die proprietären Push-Dienste gesperrt ist, etwa in Hochsicherheitszonen oder speziellen Industriestandorten. Wer also eine Nextcloud in einem isolierten Netzwerk betreibt, kann trotzdem die 2FA-Notification in vollem Umfang verwenden, sofern die Clients erreichbar sind. Diese Unabhängigkeit von externen Diensten ist ein klarer Pluspunkt für den Datenschutz – es werden keine Metadaten an Dritte übertragen. Andererseits muss man sich im Klaren sein, dass die Benachrichtigung nur dann ein echter „zweiter Faktor“ ist, wenn der Zugriff auf den Client über ein separates Gerät läuft. Liefere ich die Benachrichtigung an dieselbe Maschine, auf der auch die Anmeldung stattfindet, ist sie eher ein Bequemlichkeits-Helfer als ein zusätzlicher Schutz.

Typische Fehlerquellen und wie man sie umschifft

In der Praxis zeigen sich bei der 2FA-Notification immer wieder ähnliche Probleme. Das häufigste: Die Benachrichtigung kommt einfach nicht an, weil auf dem Client keine aktive Sitzung mit dem Server besteht. Manche Anwender verwechseln die System-Notifications des Betriebssystems mit den Nextcloud-Benachrichtigungen. Der Desktop-Client ist zwar installiert, aber nicht angemeldet, etwa weil das Passwort geändert wurde oder eine Sitzung abgelaufen ist. Der Admin sollte den Nutzern daher eine Art „Selbsttest-Liste“ an die Hand geben, mit den Fragen: Ist die Nextcloud-App auf dem Handy oder Desktop geöffnet? Habe ich mich dort kürzlich erfolgreich angemeldet? Erscheint die Benachrichtigung möglicherweise im System-Tray-Popup? Meist lohnt ein Blick in die Benachrichtigungszentrale der Weboberfläche, denn dort werden alle Zustellungen gelistet.

Ein weiterer Klassiker ist das parallele Anmelden an verschiedenen Geräten: Der Benutzer startet den Browser auf dem Laptop, bekommt die Push auf das private Smartphone und bestätigt dort. Funktioniert das? Ja, grundsätzlich schon, sofern das Smartphone eine aktive Nextcloud-Sitzung besitzt. Allerdings ist die Sitzungsverwaltung manchmal unübersichtlich. Ist auf dem Smartphone zum Beispiel nur ein Benutzer A angemeldet, während sich gerade Benutzer B einloggt, dann findet die App keine passende Benachrichtigungs-Empfänger und schlägt eine Fehlermeldung vor. Das System muss also streng zwischen den Sessions unterscheiden. In der Praxis sollte man den Anwendern erklären, dass die Bestätigung unbedingt auf einer Sitzung erfolgen muss, die zum selben Benutzerkonto gehört. Sonst führt die Abfrage zu einer verwirrenden Fehlermeldung.

Und dann gibt es noch den Fall, dass die App deinstalliert oder deaktiviert wurde, während sie noch als aktive 2FA-Methode in den Kontoeinstellungen eingetragen war. Der Benutzer wird dann bei der nächsten Anmeldung dazu aufgefordert, eine Benachrichtigung zu bestätigen, die aber niemand bekommen kann. Nur über den Notfallcode oder einen Administrator-Eingriff lässt sich das Konto noch retten. Für solche Eventualitäten sollten Administratoren den Umgang mit occ twofactorauth:disable benutzername kennen. Dieses Kommando setzt die 2FA-Pflicht für den Nutzer zurück und erlaubt eine Neu-Konfiguration. Das ist kein Einfallstor für Angreifer, denn die Ausführung auf der Kommandozeile setzt ohnehin Root-Rechte auf dem Server voraus. Es ist vielmehr ein Rettungsanker, der in jeder Nextcloud-Instanz verfügbar sein sollte.

Zweiter Faktor und Business-Vorgaben: Compliance und DSGVO

Auch wenn die Notification-Methode anmutet wie eine Art Sicherheits-Ei des Kolumbus, sind die compliance-relevanten Aspekte nicht zu unterschätzen. Viele Unternehmen unterliegen mittlerweile Vorgaben, die eine „adäquate Multi-Faktor-Authentifizierung“ verlangen. Die 2FA-Notification wird dieser Anforderung formal gerecht, sofern die bestätigende Instanz (zum Beispiel das Smartphone) nicht unter der Kontrolle derselben Person ist, die gerade die Anmeldung durchführt – was aber meist der Fall ist. Aus Sicht eines Auditoriums ist die Aufzeichnung von Bestätigungsvorgängen wichtig. Die App protokolliert, wie bereits erwähnt, die Ereignisse in den Server-Logs. Ein echter Audit-Trail im Sinne einer revisionssicheren Doku ist das allerdings nur dann, wenn die Logs zentral erfasst und vor Manipulation geschützt werden. Nextcloud bietet dafür die Integration in Syslog, aber die Details muss der jeweilige Admin konfigurieren.

Aus datenschutzrechtlicher Perspektive gibt es keine größeren Baustellen. Denn die App sendet keine personenbezogenen Daten an Server von Drittanbietern. Der gesamte Prozess läuft auf der eigenen Infrastruktur. Das ist gerade für öffentliche Auftraggeber, Kommunen oder Bildungseinrichtungen ein wesentlicher Vorteil gegenüber proprietären Cloud-Diensten, die Push-Nachrichten über zentrale Infrastrukturen ausliefern. Diese Eigenschaft sollte in Ausschreibungen oder Entscheidungsvorlagen durchaus ausdrücklich hervorgehoben werden. Gerade in Zeiten von IT-Sicherheitsgesetzen ist es für viele Organisationen ein erhebliches Pfund, dass der zweite Faktor ohne externe Abhängigkeiten erbracht wird.

Zukunftsperspektiven: Echte Push-Unterstützung und Machbarkeit

Interessant wird die Entwicklung der App in den nächsten Jahren. Die zunehmende Verbreitung von echten Push-Diensten in den nativen Nextcloud-Clients wird Auswirkungen auf die UX der 2FA-Notification haben. Schon heute ist es möglich, die mobile Nextcloud-App so zu konfigurieren, dass Benachrichtigungen über Google FCM oder Apples APNS zugestellt werden. Damit könnte die 2FA-Notification noch schneller reagieren und der Login-Dezision würde weniger Verzögerung innewohnen. Einige Entwickler fordern bereits, dass die App die Google-/Apple-Push-Dienste direkt einbindet, um eine Zustellgarantie zu haben. Andere sehen darin einen Widerspruch zur Philosophie des Self-hosted-Ansatzes. Eine einfache Web-Push-Integration über das sogenannte Web-Push-Protocol wäre ein Mittelweg, wenn Nextcloud das standardmäßig unterstützen würde. Bisher ist das aber noch nicht umgesetzt.

Ein weiterer Aspekt, der die App zukunftsfähig machen könnte, ist die Erweiterung um eine Art „Server-zu-Server-Vertrauen“. Denkbar wäre, dass ein Nextcloud-Client in einem Unternehmensnetzwerk eine abgesicherte TLS-Verbindung zum Server aufbaut und auf dieser einen dedizierten Kanal für die 2FA-Bestätigung nutzt. Das würde die Attack-Fläche gegenüber dem normalen HTTP-basierten API-Zugriff deutlich verkleinern. Erste Ansätze in diese Richtung haben die Entwickler von Nextcloud bereits mit der App „Guacamole“ oder dem Projekt „External Storage“ gezeigt, doch der Massenmarkt nutzt diese Funktionen kaum. Es bleibt also abzuwarten, ob die 2FA-Notification langfristig als seriöse Alternative zu Hardware-Token oder Smart-Card-Lösungen ernst genommen wird.

Auch die Frage nach dem Schutz vor Malware ist zu bedenken. Wenn das bestätigende Gerät mit einem Trojaner infiziert ist, kann die Schadsoftware im schlimmsten Fall den Bestätigungs-Klick simulieren, sobald die Benachrichtigung eintrifft. Das ist kein prinzipielles Problem der App, sondern trifft auf alle Bestätigungswege zu, die auf demselben Betriebssystem laufen. Wer echte Hochsicherheit benötigt, kommt daher an dedizierten Sicherheits-Token nicht vorbei. Die 2FA-Notification ist dann nur ein Zusatz-View, der den Zugriff nicht wesentlich erschwert. Ein Fakt, den Sicherheitsberater in Projekten klar kommunizieren sollten, um falsche Erwartungen zu vermeiden.

Unterstützung im Admin-Alltag: Monitoring und Health-Check

Für den administrativen Alltag ist es hilfreich, die Funktionstüchtigkeit der 2FA-Notification zu überwachen. Man kann dazu ein einfaches Skript schreiben, das regelmäßig eine Liste aller Sitzungen des Users über die OCS-API abruft und prüft, ob die App korrekt in der Liste der 2FA-Methoden auftaucht. Im Fehlerfall lässt sich über occ app:list sehen, ob das Modul geladen ist und ob eine abweichende Versionsnummer zu Konflikten führt. Die App ist nicht sehr groß, aber sie hängt von der Benachrichtigungs-API und dem App-Framework ab. Ein Update der Nextcloud-Hauptversion kann deshalb manchmal dazu führen, dass die 2FA-Notification nicht mehr kompatibel ist. Es ist also sinnvoll, die Release Notes des Herstellers aufmerksam zu studieren, bevor man ein großes Versionssprung wagt.

Ein kleiner Test-Login mit einem Wegwerf-Benutzer, bei dem nur die 2FA-Notification aktiviert ist, kann Wunder wirken, um einen Produktionsausfall zu vermeiden. Dazu legt man im Test-Mandanten einen User an, aktiviert die App im eigenen Benutzerprofil, loggt sich aus und versucht, sich wieder anzumelden. Wenn die Benachrichtigung nicht erscheint, sind meist die Intervall-Parameter des Clients zu hoch gesetzt. In der Desktop-App gibt es keine direkte Option für das Abrufintervall; sie wird systemseitig festgelegt. Die mobile App hingegen lässt sich über die Entwickler-Optionen anpassen. Ein weiteres Stellrad ist die Datenbank. Wenn die Notification-Tabelle sehr groß geworden ist, kann eine regelmäßige Bereinigung der alten Einträge das Polling beschleunigen und die Zustellung stabilisieren. Nextcloud liefert dafür eigene konsolenbasierte Wartungsbefehle mit, die jedoch nicht die Benachrichtigungen betreffen; man kann sie aber über eine SQL-Abfrage manuell aufräumen – mit Vorsicht, denn auch laufende Sitzungen können davon betroffen sein.

Fazit: Eine bequeme Tür, die nicht das Tor sein sollte

Am Ende bleibt die Erkenntnis: Die „Two-Factor Nextcloud Notification“ ist eine attraktive Ergänzung, kein Allheilmittel. Sie macht den Schritt zur Zwei-Faktor-Authentifizierung für viele Benutzer spürbar einfacher und nimmt ihnen die Hürde, sich mit geheimen Schlüsseln und QR-Codes zu beschäftigen. Gerade in kleineren und mittleren Unternehmen, in denen die IT-Abteilung nicht ständig Passwort-Resetwünsche bearbeiten möchte, kann sie den entscheidenden Anstoß geben, 2FA überhaupt einzuführen. Daran hat die Nextcloud-Community in den letzten Jahren gearbeitet, und das ist ein Verdienst, den man nicht kleinreden sollte.

Auf der anderen Seite sollte man sich als Administrator darüber im Klaren sein, dass die Notification-Methode keine Wunderwaffe gegen Phishing oder kompromittierte Endgeräte ist. Es ist ein sogenannter Wissen- und Besitz-Faktor – der Besitz wird durch eine aktive Sitzung nachgewiesen, was bei einem gestohlenen Gerät nicht viel wert ist. Wer echte Hochsicherheit braucht, sollte auf WebAuthn setzen. Wer jedoch den Spagat wagt, seinen Usern einen bequemen Einstieg in das Thema 2FA zu ermöglich, findet in dieser App einen guten Allrounder. Nicht zuletzt ist sie ein Beispiel dafür, wie Nextcloud mit Bordmitteln und einem eingespielten Team von Community-Entwicklern eine Lösung anbietet, die woanders ein kostenpflichtiger Zusatzdienst wäre.

So bleibt die Empfehlung: Aktivieren, auf einem Testaccount ausprobieren, die Sicherheitshinweise lesen und den Benutzern eine kurze Anleitung an die Hand geben. Dann steht einer produktiven Nutzung nichts mehr im Wege – vorausgesetzt, man versteht sie als Teil einer insgesamt durchdachten Sicherheitsstrategie, die Verschlüsselung, Zugriffskontrolle und Notfallprozesse nicht aus den Augen verliert. Nextcloud ist stark, aber Sicherheit ist nie ein Zustand, sondern eine Aufgabe. Die 2FA-Notification kann helfen, diese Aufgabe ein Stück leichter zu bewältigen.