Nextcloud für KRITIS Eine Frage der Souveränität

Der Druck aus Berlin und Brüssel

Als im Sommer 2023 der BSI-Präsident die Betreiber kritischer Infrastrukturen aufforderte, ihre Abhängigkeiten von außereuropäischen Cloud-Diensten zu überprüfen, war das mehr als eine politische Absichtserklärung. Es war der vorläufige Höhepunkt einer Entwicklung, die in der IT-Sicherheitsgemeinde schon lange diskutiert wird: Die Cloud ist zur Achillesferse moderner Versorgungsstrukturen geworden. Krankenhäuser, Energieversorger, Kommunen – sie alle setzen auf digitale Plattformen, die oft jenseits des eigenen Hoheitsgebiets betrieben werden. Dass diese Plattformen nicht nur technisch, sondern auch rechtlich und geopolitisch von Drittstaaten abhängen, ist kein theoretisches Szenario mehr. Spätestens seit dem Ausfall einer großen US-Cloud für mehrere Stunden, der viele deutsche Behörden lahmlegte, ist klar: Wer die Kontrolle über seine Daten und Prozesse behalten will, muss lokale Alternativen prüfen. Nextcloud ist eine dieser Alternativen. Aber ist sie auch eine, die den hohen Anforderungen der KRITIS-Verordnung gerecht wird? Der folgende Beitrag versucht, diese Frage aus einer journalistischen, aber durchaus praxisnahen Perspektive zu beantworten.

KRITIS – ein Regelwerk mit konkreten Folgen

Der Begriff „Kritische Infrastrukturen“ ist in Deutschland definiert durch das BSI-Gesetz und die KRITIS-Verordnung. Darunter fallen Einrichtungen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen kann. Energie, Wasser, Ernährung, Gesundheit, Transport, Telekommunikation, Finanzen – die Liste ist lang. Betreiber solcher Anlagen sind verpflichtet, bestimmte Mindeststandards in der IT-Sicherheit umzusetzen. Dazu gehören unter anderem die Anwendung des BSI IT-Grundschutzes, die Meldung von sicherheitsrelevanten Vorfällen und regelmäßige Audits. Aber was bedeutet das konkret für den Betrieb einer Cloud-Plattform wie Nextcloud? Nicht zuletzt geht es um die Verfügbarkeit der Dienste. Ein Krankenhaus, das auf ein cloudbasiertes Patientenakten-System angewiesen ist, darf nicht in die Lage geraten, dass der Dienst wegen eines Serverausfalls oder einer politischen Entscheidung im Ausland nicht mehr erreichbar ist. Zudem müssen Datenintegrität und Vertraulichkeit gewährleistet sein. Genau hier setzt die Frage an: Kann eine Open-Source-Software, die jeder herunterladen und anpassen kann, die Strenge eines KRITS-Zertifizierungsprozesses bestehen? Die kurze Antwort: Ja, wenn sie richtig betrieben wird. Die lange Antwort: Es kommt auf das Betriebsmodell und die konkrete Konfiguration an.

Nextcloud als Plattform: Transparenz als Trumpf

Nextcloud ist in seiner Grundstruktur eine Filesharing- und Collaboration-Plattform, die auf einem eigenen Server läuft. Das klingt unspektakulär, ist aber der entscheidende Vorteil: Wer Nextcloud betreibt, hat die volle Kontrolle über die Hardware, das Netzwerk, die Daten und die Updates. Im KRITIS-Umfeld ist das Gold wert, denn es eliminiert die Abhängigkeit von Drittanbietern, die möglicherweise anderen Rechtsordnungen unterliegen. Ein interessanter Aspekt ist die Code-Transparenz. Da der gesamte Quellcode öffentlich einsehbar ist, können Sicherheitslücken schneller gefunden und behoben werden – zumindest in der Theorie. Die Praxis zeigt, dass Open-Source-Projekte wie Nextcloud ein zweischneidiges Schwert sind. Einerseits profitiert man von einer großen Community, die Fehler meldet und Patches beisteuert. Andererseits erfordert der Betrieb ein gewisses Maß an eigenem Security-Know-how. Wer die Software einfach installiert und die Standardeinstellungen belässt, wird mit den KRITIS-Anforderungen schnell an Grenzen stoßen. Härtung ist angesagt: Das Abschalten unnötiger Dienste, die Konfiguration von Firewalls, die Verwendung von SSL-Zertifikaten und vor allem die Implementierung einer ordentlichen Authentifizierung. Das sind keine Hexereien, aber sie erfordern Zeit und Fachpersonal – etwas, das in vielen KRITIS-Betrieben oft knapp ist.

Souveränität als Schlüsselbegriff

Dabei zeigt sich, dass Souveränität nicht nur eine Frage der Technik ist. Es geht auch um die Frage, ob die Software es erlaubt, eigene Sicherheitsrichtlinien durchzusetzen. Nextcloud bietet hier eine Reihe von Features, die auf den ersten Blick nicht spektakulär wirken, im Kontext von KRITIS aber essenziell sind. Beispielsweise die Möglichkeit, Dateien serverseitig zu verschlüsseln, oder die Ende-zu-Ende-Verschlüsselung für bestimmte Ordner. Auch die Protokollierung von Zugriffen ist granular einstellbar. Ein Administrator kann genau nachvollziehen, wer wann auf welche Datei zugegriffen hat. Für Compliance-Audits ist das ein Segen. Nicht zuletzt ermöglicht Nextcloud die Integration in bestehende Authentifizierungssysteme wie LDAP, SAML oder OAuth. Das ist wichtig, denn in KRITIS-Umgebungen existieren oft schon Identity-Management-Systeme, die nicht einfach ersetzt werden können. Die Plattform kann so in eine vorhandene Sicherheitsarchitektur eingewebt werden, ohne zusätzliche Insellösungen zu schaffen.

Der Vergleich mit den Hyperscalern

Ein immer wieder vorgebrachtes Argument gegen Nextcloud ist die fehlende Skalierbarkeit und die geringere Feature-Fülle im Vergleich zu Microsoft 365 oder Google Workspace. Das stimmt – wer Unmengen an KI-gestützten Analysewerkzeugen oder tief integrierte Office-Funktionen benötigt, wird mit Nextcloud nicht glücklich. Aber die Frage ist: Braucht ein KRITIS-Betreiber das überhaupt? In vielen Fällen geht es primär um sichere Dateiablage, kollaboratives Bearbeiten von Dokumenten und Kommunikation. Genau dafür ist Nextcloud ausgelegt. Der eigentliche Vorteil gegenüber den US-Hyperscalern liegt jedoch in der Datenhoheit. Während Microsoft und Google ihre Dienste in eigenen Rechenzentren betreiben, die oft in den USA oder anderen Ländern stehen, kann Nextcloud in einem deutschen Rechenzentrum oder sogar auf dem eigenen Server im Keller des Rathauses installiert werden. Die physische Kontrolle über die Hardware ist ein starkes Argument. Hinzu kommt: Die Ende-zu-Ende-Verschlüsselung von Nextcloud ist so konzipiert, dass selbst der Serverbetreiber nicht auf die Inhalte zugreifen kann. Das ist bei den meisten kommerziellen Cloud-Diensten nicht der Fall, selbst wenn sie behaupten, „privacy first“ zu sein.

Compliance und Zertifizierungen: Der mühsame Weg

Ein kritischer Punkt, den man nicht schönreden sollte, ist der Stand der Zertifizierungen. Nextcloud als Projekt hat in den letzten Jahren einige wichtige Meilensteine erreicht: Es ist nach ISO 27001 zertifiziert (zumindest in einigen Hosting-Konfigurationen) und erfüllt die Vorgaben der DSGVO. Allerdings fehlen noch spezifische KRITIS-Zertifizierungen, wie sie zum Beispiel das BSI mit dem „C5“ (Cloud Computing Compliance Criteria Catalogue) vorgibt. Das liegt weniger an der Software selbst, sondern an der Art, wie sie betrieben wird. C5 ist ein Prüfschema für Cloud-Dienste, das sowohl technische als auch organisatorische Maßnahmen abdeckt. Betreiber einer Nextcloud-Instanz können durchaus C5-zertifiziert werden, wenn sie ihr Rechenzentrum entsprechend ausstatten und Prozesse dokumentieren. Es gibt erste Anbieter in Deutschland, die diesen Weg gegangen sind – aber das ist noch die Ausnahme. Für KRITIS-Betreiber bedeutet das: Wer Nextcloud einsetzen will, muss entweder einen Managed Service Provider wählen, der die Zertifizierung vorweisen kann, oder selbst in die aufwändige Zertifizierung investieren. Das ist ein Kostenfaktor, der nicht unterschätzt werden sollte.

Praxisbeispiele: Wo Nextcloud schon im KRITIS-Umfeld läuft

Trotz der Hürden gibt es bereits einige vielversprechende Implementierungen. Eine große deutsche Stadtverwaltung setzt Nextcloud für die interne Zusammenarbeit ein und hat die Plattform mit einer eigenen Authentifizierungslösung und einer dedizierten Firewall abgesichert. Auch ein kommunaler Energieversorger hat Nextcloud als Teil seiner Kritischen Infrastruktur klassifiziert – nicht für die Steuerung der Netze, aber für die Dokumentenverwaltung und die Kommunikation zwischen den Leitständen. Die Erfahrungen sind durchweg positiv, auch wenn die Einrichtung einige Monate gedauert hat. Was dabei heraussticht: Die Administratoren loben besonders die Flexibilität der Plattform. Anders als bei proprietären Systemen können sie jede Funktion testen, anpassen oder abschalten. Das schafft Vertrauen in die eigene Sicherheitsarchitektur. Ein anderer Anwender aus dem Gesundheitswesen berichtet, dass Nextcloud die einzige Cloudlösung sei, die von der Datenschutzbehörde ohne Auflagen genehmigt wurde – weil die Daten das Rechenzentrum nicht verlassen. Solche Referenzen sind zwar noch nicht breit dokumentiert, aber sie zeigen die Tendenz.

Die technische Seite: Härtung und Betrieb

Wer Nextcloud in einer KRITIS-Umgebung betreibt, sollte sich mit einem grundlegenden Härtungsguide vertraut machen. Das beginnt bei der Wahl des Betriebssystems (ein minimales Linux, keine unnötigen Pakete) und der Datenbank (PostgreSQL gilt als robuster als MySQL). Ein weiterer Punkt ist die verwendete PHP-Version – Nextcloud erfordert inzwischen PHP 8.1 oder höher, und es ist wichtig, dass diese Version auch Sicherheitsupdates erhält. Auch der Webserver sollte gehärtet sein: Nginx mit einem guten Security-Header-Set, kein Directory Listing, verschlüsselte Verbindungen obligatorisch. Die Konfiguration von Nextcloud selbst hat einige wichtige Schalter: So sollte man die Option „Versionskontrolle“ für Dateien aktivieren, um Änderungen nachvollziehen zu können, aber auch die maximale Größe für Dateiuploads begrenzen – nicht aus technischen Gründen, sondern um Denial-of-Service-Angriffe zu erschweren. Ein Thema, das oft unterschätzt wird, ist die Netzwerksegmentierung. Die Nextcloud-Instanz sollte nicht im selben Subnetz wie die Produktivsysteme der KRITIS-Anlage laufen. Eine Firewall, die nur die notwendigen Ports freigibt, und ein IDS (Intrusion Detection System) sind Pflicht. In der Praxis zeigt sich, dass viele Betreiber diese Punkte zwar kennen, aber aus Zeitmangel nicht konsequent umsetzen. Hier lohnt es sich, externe Security-Audits zu beauftragen – zumindest einmal im Jahr.

Herausforderungen und Stolpersteine

Nextcloud ist kein Produkt, das man einfach installiert und dann vergisst. Die Update-Frequenz ist relativ hoch – etwa alle zwei Monate erscheint ein neues Minor-Release, und einmal im Jahr ein Major-Release. Das erfordert einen planbaren Update-Prozess, der im KRITIS-Umfeld nicht trivial ist. Denn Updates bedeuten in der Regel Ausfallzeiten, und die müssen mit den Betriebsprozessen abgestimmt werden. Ein zweiter Stolperstein ist die Interoperabilität mit anderen Systemen. Zwar bietet Nextcloud eine REST-API und viele WebDav-Schnittstellen, aber die Integration mit spezifischer KRITIS-Software (etwa Leitstandsystemen oder Telemetrie-Plattformen) ist oft mit Zusatzaufwand verbunden. Manchmal fehlen einfach die Connectors, und man muss selbst eine Schnittstelle programmieren. Das ist nicht unmöglich, aber es kostet Entwicklungszeit. Hinzu kommt: Die Dokumentation von Nextcloud ist gut, aber nicht lückenlos. Manche fortgeschrittenen Konfigurationen sind nur über Foren oder GitHub-Issues erschließbar. Das setzt voraus, dass das betreuende Personal bereit ist, sich in die Tiefe einzuarbeiten. Nicht jeder Administrator hat dafür die Zeit oder die Neigung.

Der Blick in die Zukunft: NIS-2 und politische Dynamik

Die EU hat mit der NIS-2-Richtlinie die Anforderungen an kritische Infrastrukturen noch einmal verschärft. Sie wird voraussichtlich 2024 in nationales Recht umgesetzt. Darin wird die Lieferkettensicherheit eine zentrale Rolle spielen. Betreiber müssen künftig nicht nur ihre eigenen Systeme schützen, sondern auch die ihrer Zulieferer und Dienstleister. Das betrifft auch Cloud-Plattformen. Wenn ein KRITIS-Betreiber Nextcloud von einem externen Anbieter hosten lässt, wird er prüfen müssen, ob dieser Anbieter selbst die NIS-2-Vorgaben erfüllt. Das könnte ein Treiber für die Konsolidierung sein: Es werden sich spezialisierte Managed Service Provider etablieren, die eine Rundum-sorglos-Lösung für Nextcloud im KRITIS-Umfeld anbieten. Solche Anbieter gibt es schon, aber das Geschäftsmodell steckt noch in den Kinderschuhen. Ein interessanter Aspekt ist auch die geopolitische Dimension. Der Krieg in der Ukraine hat gezeigt, wie schnell technologische Abhängigkeiten zu Erpressungspotenzial werden können. Länder wie Deutschland suchen händeringend nach digitaler Souveränität. Nextcloud ist dabei ein Symbol, aber nicht die einzige Antwort. Open Source Software allgemein wird als strategisches Gut erkannt. Die Bundesregierung hat in ihrer Cloud-Strategie explizit offene Standards und verteilte Architekturen gefordert. Das passt perfekt zu Nextclouds föderiertem Ansatz.

Kosten versus Nutzen

Kommen wir zu einem heiklen Thema: den Kosten. Nextcloud selbst ist Open Source und damit lizenzkostenfrei. Das klingt verlockend, aber die Gesamtbetriebskosten (TCO) setzen sich aus Serverhardware, Speicherplatz, Netzwerkanbindung, Personal für Administration und Sicherheit sowie eventuellen Support-Verträgen zusammen. Im Vergleich zu einer Subskription bei Microsoft 365 oder Google Workspace kann die Rechnung je nach Größenordnung durchaus aufgehen. Wer nur eine Handvoll User hat, fährt mit Nextcloud oft teurer – weil die Fixkosten für Server und Admin relativ hoch sind. Bei tausend oder mehr Usern wird es dagegen günstiger, weil die Skalierungseffekte der eigenen Infrastruktur greifen. KRITIS-Betreiber haben oft eine Größe, bei der sich das Rechnen lohnt. Wichtiger ist jedoch der nicht-monetäre Nutzen: Die Risiken, die durch Abhängigkeit von Drittanbietern entstehen, lassen sich schwer in Euro beziffern. Ein einziger Tag Ausfall kann immense Schäden verursachen. Nextcloud ist nicht immun gegen Ausfälle, aber man hat die Kontrolle über die Fehlerbehebung – man muss nicht auf einen Support in Übersee warten, der einem sagt, die Störung werde in 48 Stunden behoben. Das ist ein echter Pluspunkt.

Fazit: Ein Baustein – nicht das ganze Gebäude

Nextcloud ist kein Allheilmittel für die IT-Sicherheit kritischer Infrastrukturen. Es ist ein Werkzeug, das dann seine Stärken ausspielt, wenn es in ein durchdachtes Sicherheitskonzept eingebettet ist. Die Plattform kann helfen, Datenhoheit, Transparenz und Compliance zu erreichen – aber sie bringt auch einen nicht zu vernachlässigenden Betriebsaufwand mit sich. Wer sich für Nextcloud im KRITIS-Umfeld entscheidet, sollte bereit sein, in die Härtung, in Personal und in Zertifizierungsprozesse zu investieren. Der Vorteil: Man bleibt unabhängig von den Großkonzernen und ihren Datenströmen. In einer Zeit, in der politische und rechtliche Rahmenbedingungen immer komplexer werden, ist das ein strategisches Gut. Die Entwicklung der letzten Jahre zeigt, dass Nextcloud kontinuierlich besser wird – sowohl im Funktionsumfang als auch in der Sicherheit. Die Community ist lebendig, und es gibt ein wachsendes Ökosystem von Dienstleistern. Für KRITIS-Betreiber, die heute den Umstieg von US-Clouds auf eine europäische Alternative planen, ist Nextcloud eine der wenigen ernstzunehmenden Optionen. Man sollte jedoch nicht blind vertrauen, sondern testen, auditieren und iterieren. Am Ende entscheiden nicht die Buzzwords, sondern die konkrete Implementierung, ob die Infrastruktur den Namen „kritisch“ auch verdient.