Nextcloud und ClamAV Sicherheit für die eigene Cloud

Nextcloud und ClamAV: Warum der Virenscanner in der eigenen Cloud unverzichtbar wird

Man könnte meinen, die Sache sei klar: Wer seine Daten in die Cloud legt, der vertraut einem Anbieter. Oder, im Fall von Nextcloud, vertraut man sich selbst. Klingt nach einer sicheren Bank, nach Kontrolle, nach Souveränität. Und das ist es auch – bis zu dem Moment, in dem ein infiziertes Dokument auf den Server gelangt und dort still und leise sein Unwesen treibt. Denn so leistungsfähig Nextcloud als Plattform für Dateisynchronisation, Collaboration und Datenhaltung auch ist – einen eingebauten Virenscanner bringt sie nicht mit. Das ist kein Versehen, sondern eine architekturale Entscheidung. Die Frage ist nur, ob man diese Lücke akzeptieren will oder nicht.

In der Praxis begegnet mir immer wieder die Annahme, eine selbstgehostete Nextcloud-Instanz sei per se sicherer als jede Public-Cloud-Lösung. Mag sein, was die Datenhoheit betrifft. Aber Sicherheit ist mehr als nur der Ort, an dem die Festplatte steht. Sie umfasst auch die Fähigkeit, Schadsoftware zu erkennen, bevor sie sich in geteilten Ordnern ausbreitet oder auf Clients überspringt. Und genau hier kommt ClamAV ins Spiel – der freie Virenscanner, der sich als App in Nextcloud integrieren lässt. Ein Stück Software, das oft unterschätzt wird, aber in vielen Szenarien den Unterschied zwischen einem harmlosen Alarm und einem echten Datenverlust ausmacht.

Nextcloud als Plattform: Mehr als nur ein Dateimanager

Bevor wir uns in die Tiefen der Virenerkennung stürzen, lohnt ein Blick auf das Ökosystem. Nextcloud ist in den vergangenen Jahren zu einer der zentralen Säulen der digitalen Infrastruktur für Unternehmen, öffentliche Einrichtungen und auch Privatanwender geworden. Der Grund liegt auf der Hand: Es bietet eine vollständig selbstbestimmte Cloud-Umgebung, die sich an die eigenen Datenschutzanforderungen anpassen lässt. Kein Datenexport in die USA, keine Abhängigkeit von Konzernen, die irgendwann die Geschäftsbedingungen ändern. Stattdessen: Open Source, Erweiterbarkeit über eine Vielzahl von Apps, und eine aktive Community, die kontinuierlich an Verbesserungen arbeitet.

Die Kernfunktionen – Synchronisation von Dateien über mehrere Geräte, Freigabe von Ordnern mit differenzierten Berechtigungen, Kalender- und Kontaktverwaltung, sowie die Integration von Kollaborationswerkzeugen wie OnlyOffice oder Collabora – sind inzwischen ausgereift. Wer einmal die Kontrolle über seine Daten zurückgewonnen hat, will sie nicht mehr hergeben. Aber genau diese Kontrolle verlangt auch Verantwortung. Und die beginnt bei der Absicherung der eigenen Plattform.

Ein Punkt, der häufig übersehen wird: Nextcloud ist modular aufgebaut. Die Basisinstallation ist schlank und sicher, aber sie enthält keine Antivirus-Komponente. Das ist auch gut so, denn nicht jeder Betreiber benötigt einen Virenscanner. Für einen privaten Nutzer mit einem Dutzend Dateien mag das Risiko gering sein. Anders sieht es in einer Organisation aus, in der Dutzende oder hunderte Mitarbeiter täglich Dokumente austauschen, E-Mail-Anhänge hochladen oder Daten von externen Partnern empfangen. Hier kann ein einzelnes infiziertes PDF oder eine manipulierte Office-Datei eine Kaskade von Problemen auslösen – von der Kompromittierung des Servers bis hin zur Verbreitung von Ransomware im gesamten Netzwerk.

Die Architektur von Nextcloud erlaubt es, über die App-Schnittstelle zusätzliche Dienste anzubinden. Und genau hier setzt ClamAV an. Es ist kein Bestandteil des Grundsystems, sondern eine optionale Erweiterung, die sich nach Bedarf aktivieren lässt. Das ist einerseits flexibel, andererseits eine Hürde: Viele Administratoren kennen die Option gar nicht oder scheuen den Aufwand der Integration. Dabei ist der Nutzen immens, wie ich gleich zeigen werde.

ClamAV: Der freie Virenscanner mit langer Tradition

ClamAV ist kein junges Projekt. Es existiert seit über zwei Jahrzehnten und hat sich als Standardlösung für die Virenerkennung in Unix-Umgebungen etabliert. Ursprünglich für die E-Mail-Überwachung auf Mailservern entwickelt, eignet es sich dank seiner modularen Bauweise auch für die Integration in andere Anwendungen. Nextcloud hat die offizielle App „Antivirus“ im Store, die auf ClamAV setzt. Sie scannt Dateien beim Hochladen oder zeitgesteuert und kann infizierte Objekte in Quarantäne verschieben oder löschen.

Was macht ClamAV so attraktiv für den Einsatz mit Nextcloud? Zunächst natürlich der Preis – es ist Open Source und gratis. Keine Lizenzkosten, keine versteckten Gebühren. Zweitens die Effektivität: ClamAV erkennt eine breite Palette von Schadsoftware, darunter Viren, Würmer, Trojaner und auch viele Arten von Ransomware. Die Signaturen werden von der Community und einem Team von Entwicklern ständig aktualisiert. Allerdings – und das muss man klar sagen – ist es nicht so umfassend wie kommerzielle Lösungen wie Sophos oder Kaspersky. Für viele Einsatzzwecke reicht es aber völlig aus, insbesondere wenn es um die Abwehr von Standardbedrohungen geht.

Ein interessanter Aspekt ist die Lizenzfrage: ClamAV steht unter der GPL, was bedeutet, dass Nextcloud-Betreiber es ohne Einschränkungen nutzen und anpassen können. Das passt perfekt zur Open-Source-Philosophie von Nextcloud selbst. Und es gibt keine Hintertüren, keine Telemetrie, die nach Hause telefoniert – ein weiterer Pluspunkt für datenschutzbewusste Admins.

Doch es gibt auch Schattenseiten. Die Erkennungsrate bei polymorphen Schädlingen oder Zero-Day-Exploits ist geringer als bei kommerziellen Produkten. ClamAV arbeitet hauptsächlich signaturbasiert, was bedeutet, dass unbekannte Schädlinge erst erkannt werden, wenn eine Signatur verfügbar ist. Heuristische Verfahren sind vorhanden, aber nicht so ausgereift wie bei der Konkurrenz. Daher sollte man sich nicht blind auf ClamAV verlassen, sondern es als eine Sicherheitsschicht unter mehreren betrachten. Wer sensible Daten verwaltet, wird um zusätzliche Massnahmen wie Intrusion-Detection-Systeme oder regelmässige manuelle Prüfungen nicht herumkommen.

Integration: Wie man ClamAV mit Nextcloud zum Laufen bringt

Die Einrichtung ist kein Hexenwerk, aber sie erfordert ein gewisses Verständnis der Systemarchitektur. Im Wesentlichen gibt es zwei Wege: Entweder installiert man ClamAV direkt auf dem Nextcloud-Server und bindet es über die App ein, oder man betreibt einen separaten ClamAV-Dienst (etwa in einem Container), den die Nextcloud-App über das Netzwerk anspricht. Letzteres ist zu empfehlen, wenn die Nextcloud-Instanz bereits stark ausgelastet ist oder man die Virenerkennung zentral für mehrere Dienste bereitstellen möchte.

Die offizielle Nextcloud-Dokumentation beschreibt die Schritte recht genau, aber in der Praxis stolpert man oft über Details. Ein häufiges Problem ist der Speicherort der Virensignaturen. ClamAV benötigt eine regelmässig aktualisierte Signaturdatenbank – standardmässig unter /var/lib/clamav. Wer diese Datenbank nicht regelmässig frisch hält, riskiert veraltete Erkennungsraten. Ein Cron-Job, der freshclam auspricht, sollte alle ein bis zwei Stunden laufen. Das klingt trivial, wird aber in hektischen Administrationsumgebungen gern vergessen.

Ein weiterer Stolperstein: Die Berechtigungen. Nextcloud läuft in der Regel als eigener Benutzer (z.B. www-data), während ClamAV unter einem anderen Dienstkonto arbeitet. Die App muss auf die temporären Dateien zugreifen können, die von ClamAV gescannt werden. Ohne korrekte Rechte endet der Scan im Nichts – die App zeigt „Datei gescannt“ an, obwohl ClamAV nie gestartet wurde. Das habe ich selbst schon erlebt: Eine Nextcloud-Instanz eines kleinen Unternehmens war monatelang „gesichert“, ohne dass ein einziger Scan durchgeführt wurde. Der Administrator hatte die Berechtigungen falsch gesetzt, aber die Oberfläche meldete fälschlicherweise Erfolg. Ein klassischer Fall von „sicherer als gedacht, aber falsch konfiguriert“.

Um das zu vermeiden, empfiehlt es sich, nach der Installation einen Test durchzuführen: Ein harmloses Testvirus-File (wie den EICAR-Teststring) auf den Server legen und prüfen, ob die App anspricht. Das sollte zur Routine gehören, nachdem man die Konfiguration geändert hat. Ich habe mir angewöhnt, nach jedem Update von Nextcloud oder ClamAV diesen Test zu wiederholen. Klingt pedantisch, hat mich aber schon vor einigen bösen Überraschungen bewahrt.

Performance: Der Preis der Sicherheit

Ein Thema, das immer wieder hitzig diskutiert wird, ist der Einfluss von ClamAV auf die Performance der Nextcloud-Instanz. Der Scan eines Dokuments kostet Rechenzeit und Speicher. Wie viel genau, hängt von der Grösse der Datei, der Anzahl der Scans und der Hardware ab. Auf einem modernen Server mit mehreren Kernen und ausreichend RAM ist der Overhead für typische Office-Dokumente oder PDFs vernachlässigbar. Anders sieht es aus, wenn grosse Mediendateien (Videos, Archive) regelmässig gescannt werden. Dann kann der Scanvorgang mehrere Sekunden pro Datei dauern, was sich bei vielen simultanen Uploads durchaus bemerkbar macht.

Die Nextcloud-App bietet Einstellungen, um die Scan-Tiefe zu steuern. Man kann etwa festlegen, dass nur bestimmte Dateitypen gescannt werden (z.B. ausführbare Dateien und Archive) oder dass die Grösse der gescannten Dateien begrenzt wird. Das ist ein vernünftiger Kompromiss: Grosse Videodateien, die ohnehin selten Schadcode enthalten, kann man vom Scan ausnehmen, während Office-Dokumente und Skripte regelmässig geprüft werden. Allerdings sollte man bedenken, dass auch grosse Archive potenziell Schädlinge enthalten können – ein Zip-Bomben-Angriff etwa. Hier hilft eine Begrenzung der Archivgröße und -tiefe, aber das ist nicht Teil der Standardkonfiguration von ClamAV.

Mir ist wichtig zu betonen, dass Performance-Einbussen kein Grund sind, auf ClamAV zu verzichten. Sie sind vielmehr ein Anlass, die Konfiguration zu optimieren. Ein häufiger Fehler ist, den Scan bei jedem Dateizugriff durchzuführen – also auch beim Herunterladen. Das kann den Server unnötig belasten, da die Datei beim Upload bereits gescannt wurde. Die Nextcloud-App lässt sich so einstellen, dass sie nur beim Hochladen oder bei Änderungen scannt. Das sollte man unbedingt nutzen. Auch das zeitgesteuerte Scannen aller Dateien („Background Scan“) ist mit Bedacht einzusetzen. Ein täglicher Scan ausserhalb der Geschäftszeiten ist meist ausreichend.

Wer auf Nummer sicher gehen möchte, kann zusätzlich einen separaten ClamAV-Container in Docker oder Podman betreiben. Das entlastet den Nextcloud-Server und erlaubt es, die Ressourcen für den Scanner gezielt zuzuweisen. In Cloud-Umgebungen mit mehreren Nextcloud-Instanzen kann man so einen zentralen Virenscanner für alle Instanzen bereitstellen. Das ist zwar ein Mehraufwand in der Einrichtung, aber bei grösseren Umgebungen schnell amortisiert.

Alltag mit ClamAV: Was die Logs verraten

Nach der Installation und Konfiguration stellt sich die Frage: Wie überwacht man die Virenerkennung? Nextcloud protokolliert die Scan-Ergebnisse. In den Einstellungen der Antivirus-App kann man einsehen, welche Dateien als infiziert markiert wurden. Das ist nützlich, um einen Überblick zu behalten. Allerdings werden die Logs nicht automatisch an den Admin gemeldet – zumindest nicht standardmässig. Ich rate dazu, eine E-Mail-Benachrichtigung oder eine Integration in ein Monitoring-System einzurichten. Denn was nützt der beste Virenscanner, wenn der Admin erst drei Tage später erfährt, dass ein infiziertes Dokument von einem Mitarbeiter hochgeladen wurde?

Ein interessanter Aspekt ist die Behandlung von Fehlalarmen. ClamAV ist nicht perfekt – es kommt vor, dass legitime Dateien als verdächtig eingestuft werden. Besonders betroffen sind oft Programme, die Ähnlichkeiten mit bekannter Schadsoftware aufweisen, etwa Tools zur Systemadministration oder selbstkompilierte Binaries. Die Nextcloud-App erlaubt es, in der Quarantäne über die Datei zu entscheiden: Löschen, wiederherstellen oder ignorieren. Man sollte diesen Prozess nicht vernachlässigen, denn ein falsch positiv erkannter Treiber kann eine wichtige Arbeitsdatei unbrauchbar machen.

Ich habe selbst erlebt, wie ein Kollege eine selbstgeschriebene Python-Script-Datei hochlud und ClamAV sie sofort als „Trojan.Script.XXXX“ markierte. Tatsächlich war es ein harmloses Automatisierungsskript, das nur auf dem eigenen Rechner lief. Die Signatur war ein Fehlalarm. Ohne manuelle Überprüfung wäre die Arbeit von zwei Tagen verloren gewesen. Also: Immer die Quarantäne regelmässig checken und nicht alles blind löschen.

Alternativen und Ergänzungen: Was bringt mehr Sicherheit?

ClamAV ist nicht die einzige Möglichkeit, Viren in Nextcloud zu erkennen. Es gibt auch kommerzielle Apps, die auf andere Scan-Engines setzen, etwa von Kaspersky oder McAfee. Diese bieten meist höhere Erkennungsraten und bessere Heuristik, kosten aber Geld und erfordern oft zusätzliche Server-Lizenzen. Für Unternehmen, die ISO-27001-Zertifizierungen oder andere Compliance-Vorgaben erfüllen müssen, kann das die richtige Wahl sein. Aber für die grosse Mehrheit der Betreiber ist ClamAV mehr als ausreichend.

Man sollte jedoch nicht vergessen, dass ein Virenscanner nur ein Teil der Sicherheitsstrategie ist. Nextcloud selbst bietet weitere Sicherheitsfunktionen: Zwei-Faktor-Authentifizierung, Verschlüsselung der Daten auf dem Server (Server-side Encryption) und eine umfassende Logging-Funktion. Auch die Dateiverwaltung lässt sich durch App-Berechtigungen und Freigaberegeln absichern. Wer das Gefühl hat, mit ClamAV allein sei alles erledigt, liegt falsch. Ein wirklich sicheres System besteht aus mehreren Schichten, die sich gegenseitig ergänzen.

Ein praktisches Beispiel: In einem mittelständischen Unternehmen wurde Nextcloud genutzt, um Projektdokumente mit externen Partnern auszutauschen. Die Partner luden ihre Dateien direkt hoch. ClamAV erkannte einen infizierten PDF-Anhang, der von einem kompromittierten Partnerkonto stammte. Ohne den Scanner wäre der Schädling auf dem Server gelandet und hätte möglicherweise auf andere Kundenprojekte übergegriffen. Gleichzeitig zeigte sich aber, dass das Partnerkonto nicht durch Zwei-Faktor-Authentifizierung gesichert war. Die einzige Massnahme nach dem Vorfall war also, auch die Sicherheit der Partnerzugänge zu erhöhen. Ein Virenscanner allein hätte die Ursache nicht bekämpft.

Herausforderungen beim Betrieb: Warum man ClamAV nicht links liegen lassen sollte

Betriebssicherheit ist ein Thema, das oft vernachlässigt wird. ClamAV ist kein „Set-and-Forget“-System. Die Signaturdatenbank muss ständig aktuell gehalten werden, sonst sinkt die Erkennungsrate drastisch. Viele Admins vergessen diesen Punkt – oder sie verlassen sich darauf, dass der Distribution-Paketmanager die Updates liefert. Das ist ein Trugschluss: Die Paketversionen in den Repositories sind oft Wochen oder Monate alt. Besser ist es, das offizielle Repository oder das Skript von der ClamAV-Website zu verwenden.

Ein anderer Punkt: ClamAV benötigt regelmässig einen Neustart des Dienstes, nachdem die Signaturen aktualisiert wurden (oft macht freshclam das automatisch, aber man sollte den Prozess im Auge behalten). Wenn der Dienst abstürzt oder hängt, werden keine Scans mehr durchgeführt – ohne dass der Admin es bemerkt. Ein Überwachungs-Cronjob, der den Status von clamd prüft, ist daher kein Luxus, sondern eine Notwendigkeit. Ich habe schon Systeme gesehen, bei denen der ClamAV-Dienst seit Wochen tot war, weil ein Update die Konfiguration beschädigt hatte.

In Container-Umgebungen wird die Sache noch komplexer. Docker-Container, die ClamAV ausführen, müssen oft die Signaturen mit dem Host teilen oder eigene Update-Mechanismen implementieren. Es gibt jedoch gute Docker-Images (etwa das offizielle ClamAV-Image), die das erledigen. Wer Nextcloud in Kubernetes betreibt, sollte überlegen, ob er ClamAV als Sidecar-Container oder als separaten Deployment-Dienst betreibt. Beide Ansätze haben Vor- und Nachteile. In jedem Fall gilt: Die Dokumentation genau lesen und regelmässig testen.

Ein Blick voraus: Wohin entwickelt sich die Sicherheit in Nextcloud?

Nextcloud selbst arbeitet kontinuierlich an der Integration von Sicherheitsfunktionen. Seit Version 26 gibt es eine verbesserte Unterstützung für Dateiscans und eine bessere Integration von Drittanbieter-Diensten. Man kann erwarten, dass die Antivirus-App in Zukunft noch enger mit dem Kernsystem verzahnt wird. Auch die Performance der Scans wird sich verbessern – etwa durch Caching oder asynchrone Verarbeitung. ClamAV selbst entwickelt sich weiter: Neue Erkennungsmethoden wie maschinelles Lernen werden Einzug halten, auch wenn das Projekt traditionell signaturbasiert bleibt.

Ein interessanter Trend ist die zunehmende Nutzung von Cloud-basierten Scan-Diensten. Statt lokalen ClamAV zu betreiben, können Betreiber einen externen Antivirus-API-Dienst nutzen, der von Nextcloud unterstützt wird. Das entlastet den Server und bietet oft aktuellere Signaturen. Allerdings geht der Datenschutz verloren – die Dateien verlassen das eigene Netzwerk. Für Unternehmen in regulierten Branchen ist das meist keine Option. Aber für kleine Teams oder private Nutzer kann das eine Alternative sein.

Auch die Integration in die Nextcloud-Admin-Oberfläche wird besser. Künftige Versionen könnten eine Dashboard-Ansicht bieten, die den Status der Virenerkennung, die Anzahl der gescannten Dateien und die Funde übersichtlich darstellt. Das ist heute schon teilweise vorhanden, aber noch ausbaubar. Ich wünsche mir zum Beispiel eine automatische Benachrichtigung per Webhook oder E-Mail, sobald ein verdächtiges File auftaucht. Das gibt es nur über Umwege (etwa durch Skripte, die die Logdateien auswerten).

Fazit: Kein Allheilmittel, aber eine unverzichtbare Schicht

Wer Nextcloud betreibt und Dateien mit anderen teilt, sollte sich die Frage nach dem Virenschutz nicht lange überlegen. ClamAV ist die kostengünstigste und zugleich effektivste Möglichkeit, um eine Grundabsicherung zu erreichen. Die Integration ist mit etwas Aufwand verbunden, aber kein Hexenwerk. Wichtiger noch: Man muss die Lösung regelmässig warten und überwachen. Ein Virenscanner, der nicht läuft oder nicht aktualisiert wird, ist schlimmer als gar keiner – denn er erzeugt ein trügerisches Gefühl von Sicherheit.

Ich rate jedem Nextcloud-Admin, sich ein Wochenende Zeit zu nehmen, die Antivirus-App zu installieren, die Logs zu studieren und einen Prozess für die Überwachung einzurichten. Es ist keine Raketenwissenschaft, aber es ist eine der wirkungsvollsten Massnahmen, die man ergreifen kann. Denn am Ende des Tages geht es nicht um die Technik allein, sondern um das Vertrauen der Nutzer – und das eigene.

Also: Auf zum Scan! Und vergessen Sie nicht, ab und zu einen Blick in die Quarantäne zu werfen. Es könnte das wichtigste sein, was Sie diese Woche tun. Ach ja, und falls Sie jetzt denken: „Das ist ja alles schön und gut, aber ich habe schon andere Prioritäten“ – überlegen Sie, was ein erfolgreicher Angriff kosten würde. Vielleicht relativiert sich der Aufwand dann.