Nextcloud setzt auf Passkeys: Wie WebAuthn die Zwei-Faktor-Authentifizierung revolutioniert

Es ist ein vertrautes Ritual geworden: Nach dem Passwort folgt die Abfrage des sechsstelligen Codes aus der Authenticator-App. Die Zwei-Faktor-Authentifizierung hat sich als Standard etabliert, doch sie hat ihre Tücken. Die Codes sind umständlich, die Abhängigkeit vom Smartphone nervt, und die Methode bleibt anfällig für Phishing-Angriffe. Nextcloud geht mit der Integration von WebAuthn als 2FA-Verfahren einen Schritt weiter – in Richtung einer Zukunft ohne Passwörter.

Dabei zeigt sich: Was als technische Verbesserung begann, entwickelt sich zu einem fundamentalen Wandel im Sicherheitsdenken. WebAuthn, der Webstandard für Public-Key-Authentifizierung, ermöglicht es, sich mit biometrischen Merkmalen, Hardware-Tokens oder sogar dem eigenen Gerät als Schlüssel anzumelden. Nextcloud integriert diese Technologie nicht nur als Option, sondern positioniert sie als künftigen Standard für den Zugang zur eigenen Datensouveränität.

Vom Passwort zur Public-Key-Kryptografie: Ein Paradigmenwechsel

Um die Bedeutung von WebAuthn zu verstehen, lohnt ein Blick auf die Schwachstellen etablierter Methoden. Time-based One-Time Passwords, kurz TOTP, generieren Codes, die nur für kurze Zeit gültig sind. Das bietet zwar Schutz vor wiederverwendeten Passwörtern, nicht jedoch vor ausgereiften Phishing-Attacken. Ein argloser Nutzer gibt seinen Code auf einer gefälschten Seite ein – und der Angreifer hat sofort Zugriff.

WebAuthn hingegen basiert auf asymmetrischer Kryptografie. Bei der Registrierung eines Geräts oder Tokens generiert dieses ein Schlüsselpaar: einen privaten Schlüssel, der niemals das Gerät verlässt, und einen öffentlichen Schlüssel, der auf dem Nextcloud-Server gespeichert wird. Bei der Anmeldung fordert der Server eine Signatur an, die nur mit dem privaten Schlüssel erstellt werden kann. Entscheidend ist: Diese Signatur ist für jede Anmeldung einzigartig und an die spezifische Domain gebunden. Ein Phishing-Versuch auf einer anderen Domain schlägt damit automatisch fehl.

Ein interessanter Aspekt ist die Rolle des FIDO2-Standards, unter dessen Dach WebAuthn entwickelt wurde. Während WebAuthn die API-Spezifikation beschreibt, definiert FIDO2 das gesamte Ökosystem, inklusive der Authentikatoren. Nextcloud nutzt diese Symbiose, um eine herstellerübergreifende Kompatibilität zu gewährleisten. Ob YubiKey, Windows Hello oder der TouchID-Sensor eines MacBooks – die Plattform spielt keine Rolle.

Praktische Einrichtung: Vom Token zur Biometrie

Die Aktivierung von WebAuthn in Nextcloud erfordert zunächst, dass der Administrator die Zwei-Faktor-Authentifizierung allgemein und dann speziell den WebAuthn-Provider aktiviert. Interessant ist, dass Nextcloud hier keine Halbherzigkeit toleriert: Nutzer, die WebAuthn registrieren, müssen weiterhin mindestens eine weitere 2FA-Methode einrichten. Das mag wie Bürokratie wirken, ist aber eine kluge Absicherung gegen den Verlust des WebAuthn-Tokens.

Für den Endnutzer gestaltet sich die Registrierung denkbar einfach. In den Sicherheitseinstellungen wählt er „WebAuthn-Gerät hinzufügen“ und folgt den Anweisungen des Browsers. Moderne Browser wie Chrome, Firefox oder Edge unterstützen den Standard nahtlos. Der Nutzer kann zwischen verschiedenen Authentikatoren wählen:

Plattform-Authentikatoren sind in das Gerät integriert – der Fingerabdruck-Sensor des Laptops, die Gesichtserkennung des Smartphones oder die Windows-Hello-Kamera. Sie bieten maximale Bequemlichkeit, sind aber an das jeweilige Gerät gebunden.

Roaming-Authentikatoren sind externe Geräte wie USB-Security-Keys von Yubico oder Feitian. Sie sind transportabel und können an verschiedenen Rechnern genutzt werden. Für Unternehmen, die hohe Sicherheitsstandards fordern, bleiben sie unverzichtbar.

Nicht zuletzt gewinnen passwortlose Passkeys an Bedeutung. Dabei handelt es sich um synchronisierbare Schlüssel, die plattformübergreifend zwischen eigenen Geräten geteilt werden können. Apple, Google und Microsoft treiben diese Entwicklung mit Nachdruck voran – und Nextcloud profitiert davon.

Sicherheitsanalyse: Wo WebAuthn glänzt – und wo Grenzen liegen

Die offensichtlichste Stärke von WebAuthn ist der Schutz vor Phishing. Da die Signatur domainspezifisch ist, kann ein Angreifer die Anmeldedaten nicht auf einer gefälschten Seite abfangen. Zudem entfällt das Problem schwacher oder wiederverwendeter Passwörter. Selbst wenn die Nextcloud-Instanz kompromittiert werden sollte, sind die öffentlichen Schlüssel für Angreifer wertlos.

Ein weiterer, oft übersehener Vorteil ist die Privatsphäre. WebAuthn erfordert keine biometrischen Daten auf dem Server. Der Fingerabdruck oder das Gesichtsprofil verbleiben ausschließlich auf dem lokalen Gerät. Nextcloud erfährt lediglich, dass eine gültige Signatur vorliegt – nicht, wie sie erzeugt wurde.

Dennoch gibt es Einschränkungen, die Administratoren kennen sollten. Die Abhängigkeit von modernen Browsern schließt veraltete Systeme aus. In streng regulierten Umgebungen kann die Nutzung biometrischer Daten rechtliche Bedenken aufwerfen. Und der Verlust eines Tokens – insbesondere wenn es der einzige Authenticator ist – kann den Zugriff unmöglich machen.

Hier zeigt Nextcloud pragmatische Wege auf. Die parallele Nutzung mehrerer 2FA-Methoden, die Vergabe von Backup-Codes und die Integration in ein Identity- und Access-Management-System mindern diese Risiken. Für Unternehmen empfiehlt sich eine gestaffelte Einführung: Zunächst für technikaffine Nutzer, dann als Option für alle, schließlich als Standard.

Integration in Unternehmensumgebungen: Mehr als nur Technik

Die Einführung von WebAuthn in einer Organisation wirft Fragen auf, die über die reine Technik hinausgehen. Wie gestaltet man den Rollout? Welche Schulungen sind notwendig? Und wie geht man mit Ausnahmen um?

Erfahrungen aus Pilotprojekten zeigen, dass die Akzeptanz besonders hoch ist, wenn die Benutzerfreundlichkeit im Vordergrund steht. Der Wechsel von umständlichen TOTP-Codes zur einfachen Berührung eines Sensors überzeugt selbst skeptische Mitarbeiter. Wichtig ist jedoch, die Funktionsweise grundlegend zu erklären – viele Nutzer misstrauen Technologien, die sie nicht verstehen.

Für die IT-Administration bietet Nextcloud umfangreiche Kontrollmöglichkeiten. Administratoren können erzwingen, dass Nutzer WebAuthn registrieren, bestimmte Authentikatortypen vorschreiben oder die Nutzung auf vertrauenswürdige Geräte beschränken. In Kombination mit Nextclouds Gruppenverwaltung lässt sich so eine differenzierte Sicherheitsstrategie umsetzen.

Ein interessanter Aspekt ist die Kombination mit Single Sign-On. Nextcloud kann so konfiguriert werden, dass die WebAuthn-Authentifizierung bereits beim Identity Provider erfolgt. Das ermöglicht eine durchgängige, passwortlose Erfahrung über alle Unternehmensanwendungen hinweg.

Performance und Skalierbarkeit: Kein nennenswerter Overhead

Bedenken hinsichtlich der Leistungsauswirkung von WebAuthn erweisen sich in der Praxis als unbegründet. Der kryptografische Handshake zwischen Client und Server ist recheneffizient gestaltet und verursacht kaum spürbare Latenz. Selbst bei großen Installationen mit tausenden Nutzern bleibt der Overhead überschaubar.

Anders als bei zentralisierten Cloud-Diensten, bei denen die Authentifizierungslast auf externen Servern liegt, verteilt Nextcloud diese Last auf die Endgeräte der Nutzer. Der Server muss lediglich die Signatur verifizieren – eine Operation, die weniger rechenintensiv ist als die Validierung von TOTP-Codes.

Für Hochverfügbarkeits-Setups mit mehreren Nextcloud-Instanzen ist zu beachten, dass die öffentlichen Schlüssel der Nutzer synchronisiert werden müssen. Nextclouds eingebaute Skalierungsmechanismen bewältigen auch diese Anforderung problemlos.

Die Zukunft: Passkeys und der Abschied vom Passwort

WebAuthn ist nicht der Endpunkt, sondern eine Zwischenstation auf dem Weg zur passwortlosen Authentifizierung. Die nächste Evolutionsstufe sind Passkeys – von den Geräten verwaltete kryptografische Schlüssel, die sicher zwischen eigenen Geräten synchronisiert werden können.

Nextcloud positioniert sich hier als früher Adopter. Mit der Unterstützung für Passkeys bereitet die Plattform den Weg für eine Zukunft, in der Passwörter obsolet werden. Statt sich komplizierte Zeichenfolgen zu merken, authentisiert sich der Nutzer einfach mit dem, was er ist oder besitzt.

Diese Entwicklung hat tiefgreifende Auswirkungen auf die IT-Sicherheitslandschaft. Passwort-Datenbanken, Reset-Prozesse und die damit verbundenen Support-Kosten werden drastisch reduziert. Die Angriffsfläche für Social Engineering schrumpft erheblich.

Dabei zeigt Nextcloud einmal mehr, wie Open-Source-Software Innovation vorantreiben kann. Während proprietäre Lösungen oft in geschlossenen Ökosystemen verharren, setzt Nextcloud auf offene Standards und maximale Flexibilität. Das macht die Plattform nicht nur sicherer, sondern auch zukunftssicher.

Fazit: WebAuthn als integraler Bestandteil der Datensouveränität

Die Integration von WebAuthn in Nextcloud ist mehr als ein Feature-Update. Sie ist eine strategische Entscheidung für moderne Authentifizierung, die Sicherheit und Benutzerfreundlichkeit vereint. Für Unternehmen, die auf Datensouveränität setzen, bietet sie die Möglichkeit, Sicherheitsstandards zu etablieren, die denen großer Cloud-Anbieter ebenbürtig – wenn nicht überlegen – sind.

Die Einführung erfordert zwar initialen Aufwand, doch die Investition amortisiert sich schnell durch reduzierte Support-Kosten, erhöhte Sicherheit und verbesserte User Experience. Nextcloud demonstriert mit dieser Implementierung, dass selbstgehostete Lösungen nicht nur mit der Zeit gehen, sondern sie aktiv gestalten können.

Am Ende bleibt festzuhalten: Die Ära der Passwörter neigt sich dem Ende zu. Nextcloud mit WebAuthn bietet einen praktikablen Weg in die passwortlose Zukunft – ohne Kompromisse bei Sicherheit oder Kontrolle.