Dass Nextcloud und Microsoft OneDrive nicht unbedingt natürliche Verbündete sind, merkt man spätestens dann, wenn ein Unternehmen beide Produkte parallel betreibt. Die einen schwören auf die Datensouveränität der eigenen Cloud, die anderen kommen aus der Microsoft-Welt nicht heraus, weil Teams, Office und die gewachsenen Strukturen einfach funktionieren. Genau in diesem Spannungsfeld bewegt sich die External-Storage-Schnittstelle von Nextcloud, die seit Jahren verspricht, OneDrive als externen Speicher anzubinden – und damit sowohl Begeisterung als auch Frust auslöst.
Wer schon einmal versucht hat, einen OneDrive-Account als externen Speicher in Nextcloud zu montieren, kennt das Gefühl: Man steht vor einem Formular, das nach „Client-ID“ und „Client-Secret“ fragt, und plötzlich ist man kein Administrator mehr, sondern Entwickler. Dabei zeigt sich, dass die Integration von Microsoft-Diensten in die Open-Source-Cloud kein einfaches Unterfangen ist. Es beginnt mit einer grundsätzlichen Frage, die viele Admins übersehen: Soll es eine reine Anbindung für einzelne Nutzer sein, oder eine systemweite Lösung, bei der alle Benutzer auf denselben OneDrive-Speicher zugreifen? Die Antwort bestimmt nicht nur den Konfigurationsaufwand, sondern auch, welche Stolpersteine einen später erwarten.
## Der Reiz des Externen Speichers
Nextcloud hat mit dem Konzept des External Storage eine Architektur geschaffen, die auf den ersten Blick bestechend einfach wirkt. Man hängt eine Festplatte, einen SMB-Share oder eben einen Cloud-Dienst wie OneDrive an und kann dann über die Nextcloud-Oberfläche auf die Daten zugreifen, als wären sie lokal vorhanden. Das klingt in der Theorie nach der Lösung für alle Datenchaos-Probleme. In der Praxis aber offenbart sich schnell, dass es einen Unterschied macht, ob man einen Speicher über WebDAV anbindet oder ob man eine echte, native Integration nutzt, die mit dem Cloud-Dienst auch dessen Eigenheiten versteht.
Genau hier liegt die Krux bei Microsoft OneDrive. OneDrive ist kein einfacher WebDAV-Server, auch wenn Microsoft das Protokoll unterstützt. Es ist ein synchronisierender Dateidienst, der auf einer eigenen API basiert, die sich in den letzten Jahren mehrfach geändert hat. Nextcloud hat deshalb den Weg gewählt, die Anbindung über die Microsoft-Graph-API zu realisieren. Das ist die moderne Schnittstelle, über die auch andere Microsoft-365-Dienste kommunizieren. Klingt erst einmal gut, bedeutet aber, dass für die Einrichtung eine App-Registrierung in Azure nötig ist – ein Schritt, der viele Administratoren vor eine Herausforderung stellt, weil er außerhalb der Nextcloud-Welt stattfindet.
## Azure-Registrierung als erste Hürde
Bevor man in der Nextcloud-Administration überhaupt einen OneDrive-Speicher anlegen kann, muss man sich im Azure-Portal anmelden. Dort legt man eine App-Registrierung an, um OAuth2-Tokens für die Kommunikation zu erhalten. Das ist nichts Ungewöhnliches – auch andere Anwendungen wie Rclone oder Drittanbieter-Tools verlangen ähnliche Schritte. Aber für einen klassischen Nextcloud-Administrator, der eher an PHP-Konfiguration und Datenbank-Tuning gewöhnt ist, ist der Azure-Portal-Dschungel ein Buch mit sieben Siegeln. Man muss wissen, dass man unter „App-Registrierungen“ eine neue Anwendung erstellt, dieser sogenannte „Berechtigungen“ für die Microsoft-Graph-API erteilt – konkret „Files.ReadWrite.All“ und „offline_access“ – und dann ein Client-Secret generiert. Dieses Secret ist ein langer, kryptischer String, den man sorgfältig aufbewahren muss, denn er wird später in Nextcloud eingetragen. Wer hier einen Fehler macht, bekommt später kryptische Fehlermeldungen, die nicht wirklich auf die Ursache hinweisen.
Ein interessanter Aspekt ist, dass Nextcloud die Möglichkeit bietet, sowohl eine globale Anbindung für alle Nutzer als auch eine individuelle Anbindung pro User einzurichten. Bei der globalen Variante legt man eine einzige Azure-App an, die alle Nutzer nutzen, und Nextcloud fordert für jeden Benutzer separat ein OAuth-Token an. Das bedeutet, dass jeder Nutzer beim ersten Zugriff auf den externen Speicher einer Microsoft-Anmeldung zustimmen muss – ein Prozess, der im Unternehmensumfeld nicht immer reibungslos funktioniert. Vor allem, wenn die IT-Abteilung nicht von Anfang an erklärt hat, warum man sich da plötzlich mit einem Microsoft-Konto anmelden soll, während man doch gerade in der eigenen Nextcloud-Instanz arbeitet.
## Konfiguration in der Nextcloud-Administration
Wer die Azure-Hürde genommen hat, findet in Nextcloud unter „Einstellungen“ → „Externer Speicher“ das Formular zur neuen Speicheranbindung. Dort wählt man den Typ „Microsoft OneDrive“ aus und sieht sich mit Feldern für „Client-ID“ und „Client-Secret“ konfrontiert. Dazu kommt ein Feld für den „Tenant-Namen“ – oder besser gesagt, für die „Tenant-ID“, die man aus Azure übernehmen muss. Es gibt auch eine Option für den Account-Typ, bei der man zwischen „Common“, „Organizations“, „Consumers“ und einer spezifischen Tenant-ID wählen kann. Das erinnert ein wenig an die Konfiguration von SAML-Authentifizierung, bei der man auch immer genau wissen muss, wer den Identitätsanbieter spielt.
Nach dem Speichern der Konfiguration klickt man auf das kleine Symbol neben der Speicherzeile, das die Verbindung testet. Und dann passiert oft etwas Ernüchterndes: Es erscheint eine Fehlermeldung, die von einem ungültigen Token spricht, oder aber ein Browser-Fenster öffnet sich, das eine Microsoft-Anmeldung verlangt. Diese Anmeldung ist der eigentliche OAuth2-Flow, bei dem der Benutzer – je nach Konfiguration ein Administrator oder der jeweilige Endanwender – der App die Berechtigung erteilt, auf den OneDrive-Speicher zuzugreifen. Gibt man hier nicht auf, sondern folgt den Schritten, kann man tatsächlich nach erfolgreicher Anmeldung in der Nextcloud-Verwaltung sehen, dass der Speicher als „zugreifbar“ gekennzeichnet wird.
Auffällig ist dabei immer wieder, wie wenig Verständnis für die zugrunde liegenden Prozesse in der Dokumentation transportiert wird. Nextcloud verweist auf die offizielle Doku, die wiederum auf Microsoft-Dokumente verlinkt. Und in diesen Microsoft-Dokumenten stehen Dinge wie „Redirect URI“ und „Authorization Endpoint“, die in der Nextcloud-Oberfläche gar nicht auftauchen. Das sorgt für Verwirrung, denn Nextcloud setzt voraus, dass die Redirect-URI in der Azure-App auf die Nextcloud-Instanz zeigt – also auf eine URL wie `https://cloud.example.com/apps/files_external/oauth.php`. Wer diesen Eintrag vergisst, bekommt eine Fehlermeldung von Microsoft, die sinngemäß sagt, dass die Antwortadresse nicht mit der übereinstimmt, die zur Anwendung registriert wurde.
## Was External Storage wirklich leistet
Wenn die Verbindung steht, ist man schnell versucht zu glauben, der OneDrive-Speicher sei jetzt einfach ein weiterer Ordner in Nextcloud. Tatsächlich ist er das auch – in gewisser Weise. Man kann Dateien hochladen, herunterladen, umbenennen und verschieben. Man kann Ordner anlegen und Ordnerstrukturen durchblättern. Es gibt eine Synchronisation im Sinne von Echtzeitzugriff, aber eben keine der Annehmlichkeiten, die man von einem lokalen Speicher kennt. So funktioniert die Server-seitige Verschlüsselung von Nextcloud bei externen Speichern nur bedingt. Wem das nicht bewusst ist, der wundert sich später, warum hochgeladene Daten auf OneDrive im Klartext liegen, obwohl man doch die Serververschlüsselung aktiviert hat. Das hängt damit zusammen, dass Nextcloud die Verschlüsselung auf Dateiebene macht, bevor die Datei an den externen Speicher übergeben wird – aber die Schlüsselverwaltung für externe Speicher eine komplexe Sache ist, die in vielen Konfigurationen einfach deaktiviert bleibt.
Auch die Volltextsuche und das Activity-Tracking funktionieren bei externen Speichern nicht so zuverlässig wie bei lokalen Daten. Nextcloud kann zwar Dateien von OneDrive indizieren, aber die Performance hängt davon ab, wie groß die Datenmenge ist und wie schnell die API-Antworten von Microsoft sind. Bei Ordnern mit mehreren zehntausend Dateien spürt man schnell die Latenz. Die Dateiliste wird nicht sofort geladen, sondern Stück für Stück nachgeladen – ähnlich wie beim Scrollen in einer riesigen E-Mail-Inbox über IMAP. Ein Nextcloud-Server mit 20 eingebundenen OneDrive-Speichern kann da schnell an seine Grenzen stoßen, besonders wenn die PHP-Serverprozesse an die Wartezeiten der API-Aufrufe gekoppelt sind.
Nicht zuletzt ist ein wichtiger Punkt das Datei-Locking. Beim direkten Zugriff über die Nextcloud-Weboberfläche können zwei Benutzer nicht gleichzeitig dieselbe Datei bearbeiten, wenn das Locking ordentlich greift. Bei externen Speichern ist das Locking jedoch nicht immer zuverlässig, da Nextcloud keine echten Sperren auf dem fernen Speicher setzen kann. Die Synchronisation über den Nextcloud-Desktop-Client mit einem OneDrive-Speicher, der als External Storage angebunden ist, führt gelegentlich zu synchronen Konflikten, bei denen zwei Versionen einer Datei entstehen, weil der Client nicht richtig erkennt, dass eine andere Instanz die Datei bereits gesperrt hat.
## Der Sync-Client und seine Eigenheiten
Der Nextcloud-Desktop-Client behandelt externe Speicher im Allgemeinen so, als wären sie normale Nextcloud-Ordner. Das ist auch der Grund, warum viele Nutzer erst gar nicht merken, dass sie auf einen externen Speicher zugreifen. Man konfiguriert den Client, wählt den Ordner aus, der mit dem lokalen Rechner synchronisiert werden soll – und schon laufen Daten über den Nextcloud-Server in die lokale Festplatte. Das funktioniert erstaunlich gut für kleinere Dateien, aber bei großen Dateien oder vielen Dateien kann es zu Problemen kommen. Die Synchronisation wird über die Nextcloud-eigene WebDAV-Schnittstelle abgewickelt, die wiederum die Daten vom OneDrive-Speicher abruft. Das heißt, der Client lädt die Daten vom Nextcloud-Server herunter, der sie zuvor von Microsoft OneDrive geholt hat. Das ist ein Umweg, der Latenzen und potenzielle Fehlerquellen mit sich bringt – aber es ist der einzige Weg, der ohne zusätzliche Software funktioniert.
Ein interessanter Aspekt ist die Konfliktlösung. Arbeitet man sowohl am Microsoft-OneDrive-Client als auch über Nextcloud mit denselben Dateien, kann es schnell zu Synchronisationskonflikten kommen, die kaum zu bereinigen sind. Die Datei existiert dann in zwei Varianten – mit einem Zusatz wie „Konfliktkopie“ oder ähnlichem – und der Nutzer muss von Hand entscheiden, welche Version die richtige ist. Das kann bei einer einfachen Textdatei noch angehen, aber bei einer komplexen Tabellenkalkulation oder einer InDesign-Datei, die in einem Team bearbeitet wird, wird es zum Albtraum. Deshalb empfehle ich an dieser Stelle jedem, sich gut zu überlegen, ob die parallele Nutzung von OneDrive-Desktop-Client und Nextcloud-Sync-Client auf demselben Rechner wirklich eine gute Idee ist. In den meisten Fällen ist es das nicht.
## Sicherheit und Datenschutz in der Praxis
Die Anbindung von OneDrive an Nextcloud wirft grundlegende datenschutzrechtliche Fragen auf. Wenn ein Unternehmen seine Daten von der eigenen Nextcloud-Instanz auf Microsoft OneDrive auslagert, verlassen diese Daten den eigenen Einflussbereich. Zwar ist Microsoft durchaus bemüht, mit Compliance-Zertifikaten wie ISO 27001 und der DSGVO-Konformität zu punkten, aber es bleibt ein Unterschied, ob man Daten auf einem eigenen Server in Frankfurt speichert oder in einem Microsoft-Rechenzentrum, dessen Standort je nach Tenant-Konfiguration variieren kann. Nextcloud selbst macht in seiner Dokumentation deutlich, dass die Verantwortung für die Einhaltung datenschutzrechtlicher Anforderungen beim Administrator liegt, wenn er externe Speicher anbindet.
Ein weiterer Punkt ist die Verschlüsselung der Datenübertragung. Nextcloud kommuniziert über HTTPS mit der Microsoft-Graph-API, sodass die Daten während der Übertragung verschlüsselt sind. Das ist aber kein Ersatz für eine Ende-zu-Ende-Verschlüsselung, bei der Microsoft keine Möglichkeit hätte, die Inhalte einzusehen. Wer also besonders sensible Dateien über einen externen OneDrive-Speicher verarbeitet, sollte sich Gedanken über zusätzliche Verschlüsselungsebenen machen. Die Nextcloud-Serververschlüsselung kann hier zwar helfen, aber sie schützt nicht vor einer Analyse der Metadaten. Evermore: Microsoft sieht die Dateinamen und die Ordnerstrukturen, auch wenn der Dateiinhalt verschlüsselt ist. Das reicht in manchen Branchen schon, um gegen Compliance-Richtlinien zu verstoßen.
Ein Praxisbeispiel: Ein deutsches mittelständisches Unternehmen bindet OneDrive als External Storage an, um Daten aus einer alten SharePoint-Umgebung zu übernehmen. Die Mitarbeiter arbeiten über die Nextcloud-Oberfläche und merken nicht, dass ihre Daten physisch in einem amerikanischen Rechenzentrum liegen. Erst als der Datenschutzbeauftragte im Rahmen einer Auditierung die Speicherorte prüft, kommt die böse Überraschung. Solche Geschichten hört man immer wieder in Admin-Foren. Dabei wäre die Lösung oft einfach gewesen: eine genaue Prüfung der Microsoft-Storage-Locations oder der Verzicht auf die External-Storage-Lösung zugunsten einer reinen Nextcloud-Infrastruktur mit Federation.
## Typische Stolperfallen und Fehlerquellen
Die Fehler, die bei der OneDrive-Anbindung in Nextcloud auftreten, sind vielfältig. Einer der häufigsten ist der bereits erwähnte fehlende Eintrag der Redirect-URI in der Azure-App. Viele Admins konfigurieren die App zwar mit den richtigen Berechtigungen, vergessen aber, die Antwort-URL anzugeben oder verwenden eine falsche URL. Das führt zu Fehlermeldungen, die in Microsofts Entwicklerdokumentation beschrieben sind, aber für Nicht-Entwickler kaum nachvollziehbar wirken. Es nützt nichts, den Nextcloud-Support zu kontaktieren, denn dieser wird sagen, dass das Problem in der Azure-Konfiguration liegt – was auch stimmt.
Ein weiteres Problem taucht auf, wenn Nextcloud hinter einem Reverse-Proxy betrieben wird, der HTTPS terminiert. Die OAuth2-URL, die Nextcloud an Microsoft sendet, muss exakt der öffentlich erreichbaren Adresse der Nextcloud-Instanz entsprechen. Arbeitet man mit internen Hostnamen oder hat der Reverse-Proxy eine andere URL als die, unter der Nextcloud von außen erreichbar ist, schlägt die OAuth2-Handshakes fehl. Nextcloud hatte in früheren Versionen Probleme mit der korrekten Erkennung des Hostnamens hinter Proxies, was dazu führte, dass die generierte Redirect-URI auf eine lokale Adresse zeigte. In den meisten Fällen lässt sich das mit den Einstellungen für `trusted_domains` und den Proxy-Headern beheben, aber es ist ein zusätzlicher Fehlerbaustein, den man im Hinterkopf behalten sollte.
Nicht zu vergessen ist die Tatsache, dass die Microsoft-Graph-API auch Raten-Limits kennt. Wenn viele Nextcloud-Nutzer gleichzeitig auf denselben OneDrive-Speicher zugreifen, kann Microsoft die Anfragen vorübergehend blockieren. Nextcloud zeigt dann Fehlermeldungen wie „HTTP 429 Too Many Requests“ – und diese Meldung ist wenig hilfreich, weil sie nicht darauf hinweist, dass man das Problem selbst verursacht hat. Es hilft, die Synchronisation etwas zu entzerren, also etwa keine geplanten Aufgaben wie Dateiscans zu den Stoßzeiten laufen zu lassen.
## Möglichkeiten der Optimierung
Wer die External-Storage-Anbindung produktiv nutzen möchte, sollte einige Optimierungen in Betracht ziehen. Eine davon ist die Verwendung eines separaten Microsoft-Kontos für die Service-Anbindung. Statt die persönliche OneDrive-Umgebung eines Mitarbeiters anzubinden, sollte man ein Dienstkonto einrichten, das ausschließlich für die Integration vorgesehen ist. Das erleichtert die Fehlersuche und verhindert, dass personenbezogene Daten ungewollt in der Nextcloud-Instanz auftauchen. Außerdem kann man dem Dienstkonto in Azure einen eingeschränkten Bereich zuweisen, sodass es nur auf die erforderlichen Ordner zugreifen kann, nicht aber auf die gesamte OneDrive-Struktur.
Die Nextcloud-Administration bietet zudem die Möglichkeit, externe Speicher nur für bestimmte Benutzergruppen freizugeben. Das ist insbesondere dann sinnvoll, wenn nicht die ganze Organisation Zugriff auf die externen Daten benötigt. Man kann also den externen Speicher in der Benutzerverwaltung manuell zuordnen und nicht für alle Nutzer automatisch verfügbar machen. Das reduziert die Last und verhindert, dass sich jemand ungewollt in Microsoft-Diensten anmelden muss. Wer tiefergehende Kontrolle über die Nutzungsszenarien benötigt, kann zusätzlich mit Quotas arbeiten, die das Speichervolumen auf dem externen Laufwerk begrenzen.
Wer es noch granularer mag, kann die OneDrive-Anbindung über das Kommandozeilen-Tool `occ` vornehmen; das erlaubt die Konfiguration über ein Skript und kann so in eine automatisierte Einrichtung eingebunden werden. Allerdings ist die Syntax für externe Speicher in `occ` etwas sperrig und ändert sich von Version zu Version. Ich habe selbst schon Stunden damit verbracht, die richtigen Parameter zu finden, um einen Speicher noch einmal auf einem anderen Server zu replizieren. Am Ende hat es funktioniert, aber es war nicht das, was ich unter einer gut dokumentierten API verstehe.
## Wann die External-Storage-Anbindung an ihre Grenzen stößt
Es wäre unehrlich zu behaupten, dass die OneDrive-Integration in Nextcloud die beste Lösung für jeden Fall ist. Sie hat durchaus ihre Daseinsberechtigung, besonders in Umgebungen, in denen bereits eine OneDrive- oder SharePoint-Struktur existiert und man diese über Nextcloud durchsuchbar und zugänglich machen möchte. Aber als Vollersatz für eine echte Zusammenführung von Daten eignet sie sich nicht. Die Performance ist spürbar schlechter als bei lokalen Nextcloud-Speichern. Die zeitliche Verzögerung beim Öffnen großer Dateien ist ärgerlich, wenn man daran gewöhnt ist, dass alles lokal geladen wird. Und die Unzuverlässigkeit von OAuth2-Tokens, die nach einiger Zeit ablaufen und erneuert werden müssen, sorgt regelmäßig für Support-Tickets.
Hinzu kommt die Abhängigkeit vom Internet und von den Microsoft-Servern. Wenn Microsoft eine Änderung an der API vornimmt oder wenn in bestimmten Regionen Störungen auftreten, kann das dazu führen, dass die External-Storage-Anbindung vorübergehend nicht funktioniert. Nextcloud versucht zwar, durch Updates die Kompatibilität aufrechtzuerhalten, aber es gibt immer wieder Phasen, in denen eine neue Nextcloud-Version veröffentlicht wird, die noch nicht an die neuesten Änderungen der Microsoft Graph API angepasst ist. Dann heißt es warten, bis ein Patch erscheint. In der Zwischenzeit ist die Anbindung entweder gar nicht nutzbar oder läuft nur mit Workarounds über WebDAV, was wiederum andere Probleme mit sich bringt.
## Rclone als Alternative
Ein Wort zu Rclone. Viele Administratoren, die mit der Nextcloud-eigenen External-Storage-Anbindung unzufrieden sind, setzen auf das Open-Source-Tool Rclone als Zwischenschicht. Rclone kann OneDrive sehr gut ansprechen und gleichzeitig auf Nextcloud zugreifen, sodass man mit einem simplen Cron-Job Dateien von Nextcloud zu OneDrive synchronisieren kann. Das ist eine Art „External Storage light“, die ohne die Notwendigkeit einer ständigen Verbindung auskommt. Man legt einen Ordner in Nextcloud an und synchronisiert dessen Inhalt in regelmäßigen Abständen nach OneDrive – oder umgekehrt. Das spart Ressourcen und macht die Lösung unabhängig von einer permanenten API-Anbindung.
Allerdings erkauft man sich diese Stabilität mit einem Verlust an Unmittelbarkeit. Die Daten sind nicht in Echtzeit verfügbar, sondern nur so aktuell, wie es das Synchronisationsintervall zulässt. Wer also in einer Umgebung arbeitet, in der mehrere Personen gleichzeitig auf denselben Datenbestand zugreifen, wird mit Rclone nicht glücklich. Da ist die External-Storage-Anbindung die bessere Wahl, trotz aller Schwächen. Und nicht zuletzt sollte man bedenken, dass Rclone als zusätzliches Tool gelernt, gewartet und überwacht werden will. Für einen einzelnen Admin ist das vielleicht machbar, aber in einem Team mit mehreren Verantwortlichen wird die Konfiguration schnell unübersichtlich.
## Migration und Praxisbeispiele
Interessant wird die Sache, wenn man eine bestehende lokale Nextcloud-Installation auf externe OneDrive-Speicher umziehen möchte. Hier ist Vorsicht geboten, denn die Datenübertragung über die Weboberfläche ist bei großen Datenmengen oft nicht zuverlässig. Viele Administratoren nutzen dafür lieber die Kommandozeile und Werkzeuge wie `rsync` oder `rclone`. Man bindet den externen Speicher an, verschiebt die Daten von einem lokalen Pfad in den externen Bereich – und wartet. Bei mehreren Terabyte Daten kann das Tage dauern, insbesondere wenn die Verbindung zu Microsoft nicht gerade für hohe Upload-Raten bekannt ist. Ich habe Fälle gesehen, da wurde die Übertragung abgebrochen, weil ein OAuth-Token nach ein paar Stunden abgelaufen war. Das ist kein Problem, das Nextcloud allein lösen kann; es ist eine Konsequenz aus der Microsoft-Sicherheitsarchitektur.
In einem konkreten Fall arbeitete ich mit einem Verlag zusammen, der seine Manuskripte in Nextcloud verwaltete und eine Anbindung an die OneDrive-Umgebung eines externen Lektorats brauchte. Nachdem die Verbindung stand, zeigte sich ein Problem: Die Lektorinnen und Lektoren konnten zwar über einen Link auf die Daten zugreifen, aber die Verzeichnisliste lud nur langsam. Jeder Klick auf einen Ordner dauerte zwei bis drei Sekunden, weil die Anfragen über den Atlantik gingen. Das war für die Arbeit nicht akzeptabel. Die Lösung war eine Mischung aus beidem: Die aktiven Projekte blieben in Nextcloud lokal, nur die abgeschlossenen Projekte wurden nach OneDrive verschoben und standen dort als Read-only-Archiv zur Verfügung. So konnte das Team weiterarbeiten, ohne die External-Storage-Anbindung permanent zu spüren.
## Pflege und Betrieb
Die Wartung einer External-Storage-Anbindung an OneDrive erfordert ein regelmäßiges Monitoring. Wichtig ist, den OAuth2-Token im Blick zu behalten. Nextcloud erneuert diesen Token zwar automatisch, aber nur solange der Benutzer, der die Verbindung hergestellt hat, aktiv ist. Wird der Benutzer aus Nextcloud gelöscht oder sein Passwort geändert, kann die Token-Erneuerung fehlschlagen. Dann steht die Verbindung, und man muss sie manuell wiederherstellen, indem man sich erneut über Microsoft anmeldet. Das ist ein Klassiker, der zu Feierabend-Mails an den Administrator führt.
Ebenso wichtig ist ein Auge auf die Azure-App-Berechtigungen. Microsoft ändert gerne die Bezeichnungen und erweitert oder schränkt den Umfang der Delegations ein. So gab es Fälle, in denen Microsoft die Graph-Berechtigungen umstellte und bestehende App-Registrierungen ihre Wirksamkeit verloren. Die Folge waren Fehlermeldungen, die auf mangelnde Berechtigungen hinwiesen, obwohl man nichts an der Konfiguration geändert hatte. Es ist also ratsam, die Microsoft-Entwicklerblogs zu verfolgen oder sich zumindest regelmäßig über die Änderungen in der Graph-API zu informieren.
Ein weiterer Tipp für den laufenden Betrieb ist die Speicherung der Konfigurationswerte außerhalb von Nextcloud – etwa in einem Passwort-Manager. Client-ID, Secret und Tenant-ID werden in der Nextcloud-Datenbank gespeichert, aber sie sind nicht in Klartext einsehbar, sobald sie gespeichert wurden. Wer sie später benötigt, weil er die Konfiguration auf einem anderen Server aufsetzen möchte, muss sie also vorher notiert haben. Ein kleines Detail, das viele übersehen.
## Wie geht es weiter mit der Integration?
Die Entwicklung der Nextcloud-Integrationsmöglichkeiten für Microsoft OneDrive ist kein abgeschlossenes Kapitel. Das Nextcloud-Team arbeitet kontinuierlich daran, die Anbindung an Microsoft-Dienste zu verbessern, wobei die Zusammenarbeit zwischen Nextcloud und Microsoft selbst nicht immer reibungslos verläuft. Beide Unternehmen konkurrieren schließlich im Bereich der File-Sharing-Lösungen. Microsoft hat kein gesteigertes Interesse daran, dass Nextcloud problemlos auf OneDrive zugreift, schließlich betreibt man mit SharePoint und OneDrive eigene Plattformen. Das spiegelt sich in mancher kryptischer API-Doku und in den sich ändernden Sicherheitsanforderungen wider. Dennoch ist es wahrscheinlich, dass die Integration in den nächsten Jahren stabiler wird, nicht zuletzt weil auch Microsoft erkannt hat, dass hybride Szenarien Realität sind.
Für die Zukunft wünschenswert wäre eine bessere Trennung zwischen der Bereitstellung eines externen Speichers und der Benutzerverwaltung. Aktuell ist es so, dass die OAuth2-Zustimmung immer an einen konkreten Benutzer gebunden ist. Im Enterprise-Kontext wäre es hilfreich, wenn eine Anbindung wie ein App-Passwort funktionieren würde, das unabhängig von einzelnen Benutzerkonten funktioniert. Es gibt zwar die Möglichkeit, ein „Systemkonto“ zu verwenden, aber das führt dann dazu, dass alle Benutzer, die auf den externen Speicher zugreifen, dieselbe Identität verwenden – mit entsprechenden Konsequenzen für die Nachvollziehbarkeit. Ein System, das dienstspezifische OAuth2-Hinterlegungen erlaubt und die Nutzung protokolliert, wäre ein echter Fortschritt.
## Alternativen zur External-Storage-Anbindung
Wer die Schwierigkeiten der External-Storage-Anbindung scheut, für den gibt es andere Wege, um Nextcloud und OneDrive zu verbinden. Eine Möglichkeit ist der eingebaute Nextcloud-Client für Microsoft Teams? Nein, das ist keine sinnvolle Alternative. Aber Nextcloud selbst bietet die „Federation“ an, mit der man Nextcloud-Instanzen über eine Web-of-Trust-Struktur verbinden kann. Das hilft nicht bei OneDrive, aber es ist eine Erinnerung daran, dass Nextclouds Stärke in der eigenen Vernetzung liegt. Wenn man Daten mit einem Partnerunternehmen austauschen möchte, das selbst eine Nextcloud betreibt, ist die Federation der erste Wahl. Gegenüber OneDrive hat das den Vorteil, dass die Daten auf den eigenen oder auf den Servern des Partners bleiben und man nicht von externen Cloud-Diensten abhängig ist.
Für Microsoft-365-Umgebungen gibt es zudem die Möglichkeit, Nextcloud als Dateiablage in den Microsoft-Desktop-Client einzubinden. Das ist eine Art indirekter Ansatz: Man arbeitet lokal mit dem Nextcloud-Client und synchronisiert dann die Microsoft-365-Ordner über den OneDrive-Client in dieselbe lokale Struktur. Aber das führt zu einem hohen Ressourcenverbrauch und kann zu schwerwiegenden Synchronisationsfehlern führen. Die meisten Administratoren, mit denen ich spreche, raten von dieser Konstruktion ab – sie führt in der Praxis eher zu Datenverlusten als zu einer verbesserten Integration.
Ein wachsendes Feld ist auch der Einsatz von Virtuellen Maschinen und Containern, um eine isolierte Nextcloud-Instanz zu betreiben, die ausschließlich für den Datenaustausch mit OneDrive verwendet wird. Hier kann man die notwendigen Libraries und Berechtigungen sauber von der produktiven Umgebung trennen. Das ist zwar etwas aufwendiger, aber die Isolierung kann verhindern, dass eine Fehlkonfiguration im External-Storage-Bereich die gesamte Nextcloud-Instanz beeinträchtigt.
## Ein Erfahrungsbericht aus der Praxis
Vielleicht noch ein paar konkrete Erfahrungen am Rande: In einem Projekt zur Anbindung von OneDrive Business in einer Nextcloud-Instanz mit etwa zweihundert Benutzern traten anfangs immer wieder Fehler bei der Token-Aktualisierung auf. Es stellte sich heraus, dass einige Benutzer ihre Microsoft-Anmeldung mit einem persönlichen Microsoft-Konto durchgeführt hatten, während die Azure-App nur für Organisationskonten freigegeben war. Andere Benutzer hatten die Zustimmung zur App verweigert und versuchten dann, den Speicher trotzdem zu nutzen. Die Verwirrung war groß, da Nextcloud in seiner Oberfläche keinen klaren Hinweis darauf gab, dass die Anmeldung bei Microsoft fehlgeschlagen war.
Wir haben schließlich ein paar Schulungsdokumente erstellt und eine ausführliche E-Mail an alle Benutzer geschickt, in der Schritt für Schritt erklärt wurde, wie die erste Anmeldung abzulaufen hat. Danach wurden die Tickets deutlich weniger. Auch eine Zwei-Faktor-Authentifizierung in Microsoft führte anfangs zu zusätzlichen Abbrüchen, weil die Browser-Sitzung nicht die erforderlichen Cookies durchließ. Das ließ sich durch die Einrichtung von Ausnahmen für die Nextcloud-Domain in der Conditional-Access-Policy lösen. Es zeigt, wie tief die Integration in die Unternehmensstrukturen eingreift und dass sie keinesfalls ein reines Thema für die Nextcloud-Administration ist.
## Der Kostenfaktor
Nicht verschwiegen werden soll der Kostenfaktor. Die Nutzung von Microsoft OneDrive als External Storage ist nicht in allen Microsoft-365-Tarifen enthalten. Unternehmen, die eine Nextcloud-Instanz betreiben, haben in der Regel bereits eine Microsoft-365-Lizenz gekauft und fragen sich, ob sie die vorhandene SharePoint- oder OneDrive-Kapazität nicht gleich mitnutzen können. Das ist legitim. Aber man sollte die Kosten nicht unterschätzen, die durch den zusätzlichen administrativen Aufwand entstehen. Die Zeit, die ein Admin für die Einrichtung und Fehlersuche aufbringt, ist ein realer Faktor. Diese Zeit ist oft teurer als eine zusätzliche Nextcloud-eigene Festplattenkapazität. Nur ein Gedanke, den man vor dem Projektbeginn durchrechnen sollte.
Auch Nextcloud selbst vermarktet das Thema External Storage nicht ohne Hintergedanken. Wer viel Speicherplatz in Nextcloud benötigt, kann auf externe Speicher zurückgreifen, was die lokale Kapazität entlastet. Das klingt nach einer Win-Win-Situation, kann aber dazu führen, dass die Qualität des Dienstes sinkt. Eine Nextcloud-Instanz mit vielen externen Speichern ist schwerer zu warten, benötigt mehr Ressourcen und führt zu einer unübersichtlichen Struktur. Die Verantwortung liegt letztlich beim Administrator, der entscheiden muss, wie viele externe Speicher er zulässt und ob er die Qualität der Dienste aufrechterhalten kann.
## Fazit und Empfehlungen
Die Anbindung von Microsoft OneDrive an Nextcloud über die External-Storage-Schnittstelle ist eine mächtige Funktion, aber keine, die man mal eben so nebenbei einrichtet und dann vergisst. Sie erfordert ein gutes Verständnis sowohl der Nextcloud-Architektur als auch der Microsoft-Azure-Welt und ein stabiles Monitoring, wenn sie dauerhaft zuverlässig laufen soll. Für Organisationen, die einen echten Bedarf an der Anbindung von OneDrive-Umgebungen haben, kann sie dennoch eine sinnvolle Ergänzung sein. Man sollte dabei nicht aus den Augen verlieren, dass die primäre Stärke von Nextcloud in der Kontrolle über die eigenen Daten liegt – und dass man diese Kontrolle teilweise abgibt, wenn man Microsoft-Dienste über die Hintertür in die eigene Cloud holt.
Für die meisten Unternehmen ist der beste Weg jedoch das klare Votum für ein Primärsystem – entweder Nextcloud oder Microsoft 365. Wenn Nextcloud das System der Wahl ist, dann sollten die Daten auch dort liegen, wo die Kontrolle ist. Die External-Storage-Integration sollte als Übergangslösung betrachtet werden, nicht als Dauerzustand. Wenn eine OneDrive-Anbindung über einen längeren Zeitraum benötigt wird, sollte man zumindest die Grenzen kennen und diese Grenzen im Team kommunizieren. Ein bisschen Skepsis, ein Plan B und ein Archiv-Budget bewahren einen vor so mancher unangenehmen Überraschung – das gilt übrigens nicht nur im Umgang mit Microsoft OneDrive, sondern auch für andere externe Speicher, die man an eine Nextcloud anzuschließen gedenkt.
Der Blick in die Laokoon-Archive der Nextcloud-Foren zeigt, wie vielen Admins die Integration schon Kopfschmerzen bereitet hat. Jeder Beitrag beginnt mit einer ähnlichen Fehlermeldung und endet meist mit der Erkenntnis, dass die Ursache in einer kleinen Einstellung in Azure liegt. Das sollte man nicht unterschätzen, aber man sollte sich davon auch nicht abschrecken lassen. Mit der richtigen Vorbereitung, diesem Artikel als Richtschnur und etwas Geduld beim ersten Durchlauf, steht einer stabilen OneDrive-Anbindung nichts im Wege – bis Microsoft wieder Änderungen vornimmt und die nächste Runde beginnt.