Nextcloud: Datenschutz und Audit als Daueraufgabe

Wenn ein IT-Verantwortlicher heute über die Anschaffung einer Dateiablage nachdenkt, führt kaum ein Weg an Nextcloud vorbei. Nicht, weil die Software die schicke Oberfläche hätte – die kann ein wenig aufgeräumter sein –, sondern weil sie ein Versprechen einlöst, das in der Cloud-Welt selten geworden ist: Kontrolle. Und genau diese Kontrolle ist der Kern dessen, was mit Datenschutz und Audit gemeint ist, wenn es um Nextcloud geht.

Nextcloud ist mehr als eine selfhosted Alternative zu Dropbox. In den vergangenen Jahren hat sich das Projekt zu einer Plattform entwickelt, die Termine, Kontakte, Chats, Videokonferenzen und sogar Online-Office-Arbeit abdeckt. Damit wächst aber auch die Verantwortung. Eine Software, die intime Firmendaten speichert, Kommunikation routet und den Zugriff von außen ermöglicht, muss sich Prüfungen stellen. Ob das eine offizielle Zertifizierung ist oder eine eigene technische Revision, ist zunächst zweitrangig. Wichtig ist, dass „Nextcloud“ nicht automatisch „datenschutzkonform“ bedeutet. Es ist ein Werkzeug, das seinen Zweck nur dann erfüllt, wenn die Betreiber es richtig einsetzen und hinreichend kontrollieren.

Dieser Artikel versucht, Ordnung in das Thema Nextcloud, Datenschutz und Audit zu bringen. Es geht nicht darum, ein weiteres Loblied auf Open Source zu singen. Es geht um die konkrete Frage, was Unternehmen und Behörden prüfen müssen, wenn sie Nextcloud einführen wollen. Dazu gehört ein Blick auf die Architektur, auf die eingebauten Sicherheitsmechanismen, auf die Grenzen der Verschlüsselung und auf die Punkte, die in einer Revision tatsächlich nachweisbar sein müssen.

Vom Abkömmling zur zentralen Plattform

Man muss sich kurz an die Anfänge erinnern, um die heutige Bedeutung von Nextcloud einordnen zu können. Das Projekt entstand 2016 als Abspaltung von ownCloud, nachdem der damalige ownCloud-Gründer Frank Karlitschek mit eigenen Ideen zur Weiterentwicklung nicht mehr durchdringen konnte. Vieles erinnert noch an dieses Erbe: Die Grundstruktur mit PHP auf dem Server, einer SQL-Datenbank und einem WebDAV-Dateizugriff ist auch heute noch das Fundament.

Wer in dieser Zeit nicht dabei war, kann sich den Wechsel so vorstellen: Bei ownCloud ging es in erster Linie darum, eine eigene Cloud-Lösung zu betreiben, bei der der Server im eigenen Rechenzentrum steht. Nextcloud hat dieses Konzept übernommen, aber schrittweise erweitert. Inzwischen gibt es eine App-Architektur, die von der klassischen Kalender- und Kontakteverwaltung bis zu externen Anbindungen an Object-Storage-Systeme wie S3 reicht. Das klingt unspektakulär, ist aber strategisch klug: Ein Unternehmen kann Nextcloud in eine bestehende IT-Landschaft einbetten, ohne seine gewohnten Strukturen aufzugeben.

Auf der anderen Seite ist Nextcloud heute ein Riesenprojekt mit vielen beweglichen Teilen. Der Kern ist die Dateisynchronisierung. Darum herum sind unzählige Apps gruppiert, die der Serverbetreiber einzeln aktivieren oder deaktivieren kann. Das ist Fluch und Segen zugleich. Der Segen ist die Flexibilität. Der Fluch ist der erhöhte Prüfaufwand, denn jede zusätzliche App erweitert die Angriffsfläche. Ein sorgfältiges Audit muss sich deshalb immer mit dem konkreten Installationsszenario beschäftigen, nicht mit einer generischen Nextcloud-Doku.

Wer kontrolliert die Kontrolleure?

Ein häufig genanntes Argument für Nextcloud ist der offene Quellcode. Jede Zeile kann eingesehen werden, jede Änderung kann nachvollzogen werden, jedermann kann nach Sicherheitslücken suchen. Das stimmt natürlich. Es führt aber gelegentlich zu einem Denkfehler: Nur weil etwas offen ist, ist es nicht sicher. Open Source bedeutet nicht, dass sich genügend Fachleute tatsächlich jede relevante Codezeile angeschaut haben. Oft konzentrieren sich Sicherheitsforscher auf die weithin genutzten Kernteile, während weniger verbreitete Apps und Erweiterungen kaum geprüft werden.

Hier kommt der Begriff „Audit“ ins Spiel. Ein Audit, also eine systematische Prüfung, kann auf verschiedenen Ebenen stattfinden. Die erste Ebene ist das bloße Lesen des Codes. Das machen in der Praxis nur wenige Unternehmen; es ist außerdem nur dann sinnvoll, wenn man über ein Team verfügt, das PHP- und JavaScript-Code wirklich sicher bewerten kann. Die zweite Ebene ist die automatisierte Analyse mit statischen Prüfwerkzeugen und das Einspielen bekannter Schwachstellen-Tests. Diese Methode ist heute weit verbreitet, sie erfordert allerdings einen gewissen Pflegeaufwand. Die dritte Ebene ist die klassische Sicherheitsüberprüfung durch ein externes Dienstleistungsunternehmen, das die laufende Installation durchleuchtet. Diese Variante ist teuer, liefert aber die belastbarsten Ergebnisse, weil sie die Konfiguration, den Betrieb und das Umfeld berücksichtigt.

Ein interessanter Aspekt ist, dass Nextcloud selbst die Prüfungen unterstützt. Es gibt eine API, über die sich Systeme und Apps abfragen lassen, es gibt die Möglichkeit, den Quellcode über einen einfach bereitgestellten Git-Spiegel zu prüfen, und es gibt in der Enterprise-Variante erweiterte Auditfunktionen, die tiefergehende Einblicke in die Ereignisse auf dem System geben. Man sollte diesen Funktionen aber nicht uneingeschränkt vertrauen. Was protokolliert wird, entscheidet nicht nur die Software, sondern eben auch die Konfiguration. Ein Audit-Log ist nur so gut wie die Person, die es richtig einstellt und regelmäßig auswertet.

Datenschutz ohne Zauberei: Selbsthosting und Verantwortung

Der wichtigste datenschutzrechtliche Vorteil von Nextcloud liegt auf der Hand: Der Betreiber bestimmt, wo die Daten liegen. Wer einen eigenen Server in Deutschland betreibt, muss keine Datenübertragung in Drittländer fürchten – zumindest nicht wegen der Dateisynchronisierung. Das war vor einigen Jahren eines der stärksten Argumente gegen die großen US-Cloud-Dienste, und es ist bis heute nicht wegzudenken.

Aber Selbsthosting ist kein Freibrief. Nach der Datenschutz-Grundverordnung gilt das Prinzip der Auftragsverarbeitung auch für interne Systeme, sobald personenbezogene Daten verarbeitet werden. Das heißt: Der Betreiber muss Dokumentationen vorhalten, technische und organisatorische Maßnahmen ergreifen, den Zugriff regulieren und nachweisen können, dass er das auch wirklich tut. Eine Nextcloud-Instanz muss also nicht nur technisch sicher betrieben werden, sondern auch organisatorisch sauber in den Betrieb eingebettet sein. Dazu gehören Passwortrichtlinien, Rollenkonzepte, ein Clear-Desk-Verfahren für Administratoren und ein dokumentiertes Verfahren für die Löschung von Daten.

Interessant ist dabei der Satz: „Die Cloud ist nicht jemand anderes Computer“. Bei Nextcloud ist die Cloud mindestens in der Server-Struktur der eigenen Verantwortung ausgeliefert. Das hat etwas Befreiendes, aber auch etwas Anstrengendes. Wer heute eine Nextcloud aufsetzt, übernimmt zugleich das Patch-Management, die Server-Härtung, die Überwachung von Zugriffen und die revisionssichere Dokumentation. Das muss man sich klarmachen, bevor man einem Hersteller die ganze Verantwortung aufbürden möchte.

Für all das gibt es Hilfsmittel. Nextcloud kann an eine Unternehmens-LDAP-Datenbank angebunden werden, um die Benutzerverwaltung zentral zu steuern. Es lassen sich Gruppen bilden, Berechtigungen einschränken und externe Freigaben nachregeln. Auch die Verschlüsselung der Übertragung ist Standard: HTTPS ist Pflicht, und wer will, kann zusätzlich eine Verschlüsselung auf dem Server aktivieren. Doch hier ist Vorsicht geboten, denn die Verschlüsselung im Speicher schützt nur gegen den Diebstahl von Datenträgern. Sie schützt nicht gegen einen kompromittierten Server, weil der Server die Daten im laufenden Betrieb entschlüsseln kann.

Ebenfalls nicht vergessen werden darf die Tatsache, dass Nextcloud nur so gut ist wie das Betriebssystem darunter. Ein veralteter Webserver, eine unsichere PHP-Konfiguration oder ein schwaches Datenbankpasswort machen den kompletten Datenschutz zunichte. Das ist nicht etwas, das der Nextcloud-Hersteller beheben kann. Es gehört zur Eigenverantwortung des Betreibers.

Das Fundament: Dateien, Synchronisierung, Zugriff

Um ein Datenschutz-Audit zu verstehen, sollte man sich die grundlegenden Arbeitsweisen von Nextcloud im Detail ansehen. Zentral ist der Dateispeicher. Auf dem Server liegen die Daten in einem Verzeichnis, das über WebDAV und eine eigene Synchronisations-API erreichbar ist. Clients für Windows, macOS, Linux, iOS und Android gleichen die lokalen Ordner mit dem Server ab. Das ist bequem, führt aber zu einer typischen Problematik: Die Daten liegen nicht nur auf dem Server, sondern auch auf allen Endgeräten. Wenn ein Gerät verloren geht oder eine Synchronisation falsch läuft, sind Daten nicht mehr zwingend nur an einem Ort.

Für den Datenschutz bedeutet das, dass der Zugriff auf die Daten nicht allein mit Server-Berechtigungen geregelt werden kann. Auch die Endgeräte spielen eine Rolle. Ein Datenschutz-Audit muss also verschlüsselte Geräte, App-Lock-Funktionen und das Remote-Wipe-Verhalten von Nextcloud-Clients berücksichtigen. Letzteres ist leider immer noch nicht so ausgereift, wie man es sich wünschen würde. Zwar kann man einzelne Gerätesitzungen löschen und auch im Netzwerk aktive Sitzungen kappen, doch eine vollständige Fernlöschung der lokalen Dateien ist je nach Betriebssystem nicht überall durchgängig möglich.

Weiterhin spielen die Freigabemöglichkeiten eine große Rolle. Nextcloud kann Dateien und Ordner direkt für andere Benutzer freigeben, Gruppen und Kreise anlegen oder öffentliche Links erzeugen. Diese Links sind praktisch und gefährlich zugleich. Wer einen Link mit dem Betriebssystem-Administrator teilt, hat die Kontrolle schnell verloren, wenn der Link keinen Ablauf und kein Passwort hat. Es gibt Einstellungen, um genau das zu verhindern, aber sie müssen konfiguriert und im Rahmen eines Audits überprüft werden. Besonders im Unternehmensumfeld sollte die Regel gelten: Öffentliche Freigaben nur mit Passwort, mit Ablaufdatum und möglichst ohne Berechtigung zum Hochladen.

Audit beginnt vor dem Klagen: Logs und Transparenz

Nun zum eigentlichen Stichwort „Audit“. In vielen Ausschreibungen wird gefordert, dass Nextcloud ein Audit-Log besitzt oder dass eine DSGVO-konforme Protokollierung möglich ist. Die gute Nachricht: Nextcloud kann das. Die schlechte Nachricht: Viele Installationen sind nicht so eingerichtet, dass diese Protokolle tatsächlich auswertbar sind. Es reicht nicht, eine Datei namens „nextcloud.log“ zu haben. Man muss sich mit den Log-Quellen, den Log-Leveln und den relevanten Ereignissen auskennen.

Nextcloud führt im Kern Logbücher über Fehler und Systemereignisse. Für ein datenschutzorientiertes Audit sind vor allem Aktivitäten wie Login, Logout, Datei-Upload und Datei-Download von Interesse. Standardmäßig werden diese Aktivitäten in der Weboberfläche im Bereich „Dateien“ als Aktivitäten angezeigt. Diese Anzeige ist primär für die Benutzer gedacht. Sie kann verschlüsselt und protokolliert werden, aber sie ersetzt kein Server-Audit-Trail, wie es eine revisionssichere Unternehmenssoftware bieten würde.

Für administratorspezifische Protokolle gibt es in der Enterprise-Version ein zusätzliches Audit-Modul. Es erfasst Ereignisse wie Anmeldung, fehlgeschlagene Anmeldung, Freigabeerstellung, Freigabewiderruf, Benutzeranlage, Benutzerlöschung, Gruppenänderung und Änderungen an der Verschlüsselungskonfiguration. Diese Daten können an ein zentrales Logging-System übergeben werden, etwa an einen Syslog-Server oder eine Cloud-basierte SIEM-Lösung. Das ist ein guter Ansatz, denn die reine lokale Protokollierung auf dem Nextcloud-Server ist bei einem Einbruch nicht besonders aussagekräftig. Wenn der Angreifer Administratorrechte auf dem Server erlangt, kann er die Logs manipulieren. Eine externe Protokollierung macht es zumindest schwieriger.

Ein weiterer wichtiger Audit-Baustein ist die Integritätsprüfung von Dateien. Nextcloud kann Prüfsummen über die gespeicherten Daten bilden und bei einem Scan feststellen, ob sich Dateien verändert haben. Dies dient zunächst der Erkennung von beschädigten Dateien, kann aber auch als Sicherheitshinweis gewertet werden: Wenn sich die Prüfsumme ändert, weil ein Angreifer die Datei manipuliert hat, wäre das zu bemerken. Allerdings gilt auch hier: Der Scan muss konfiguriert und idealerweise täglich ausgeführt werden. Ohne automatisierte Überwachung bleibt ein solches Audit-Hilfsmittel wirkungslos.

Nicht zuletzt spielt die Nachvollziehbarkeit von Admin-Aktivitäten eine zentrale Rolle. Bei vielen Systemen ist es üblich, dass Administratoren ohne professionelles Protokoll am System arbeiten. Das ist bei einem kleinen Verein vielleicht verzeihlich, in einem Unternehmen mit Datenschutz-Anforderungen aber riskant. Nextcloud bietet die Option, Administratoren als Nutzer zu führen und deren Aktivitäten über die Logs zu verfolgen. Trotzdem sollte im Betrieb geklärt sein, ob Administratoren die Möglichkeit haben, Logs zu löschen oder Freigaben unbeobachtet zu ändern. Sonst bleibt das Audit-Log eine Fassade.

Was ein Datenschutz-Audit wirklich umfasst

Ein sorgfältiges Audit für eine Nextcloud-Installation ist mehr als ein einmaliger Test. Es sollte idealerweise aus einer Kombination von technischen Prüfungen, organisatorischen Abfragen und betrieblichen Beobachtungen bestehen. Am Anfang steht die Bestandsaufnahme: Welche Nextcloud-Version ist installiert, welche Apps sind aktiv, welche Server-Dienste laufen auf dem System? Dazu gehört auch die Frage, welche Daten überhaupt in der Instanz liegen und ob sie nach dem Zweck der Verarbeitung dort liegen dürfen.

Danach folgt die Konfigurationsprüfung. Hierbei werden die Einstellungen der Nextcloud-Konfigurationsdatei untersucht. Man prüft zum Beispiel, ob die Installation über eine korrekte HTTPS-Konfiguration verfügt, ob die Vertrauensgrenzen für externe Freigaben eng genug gesetzt sind, ob die standardmäßigen Einstellungen für Versionierungs- und Papierkorb-Limits den unternehmensinternen Vorgaben entsprechen und ob die Verschlüsselungsmethoden den aktuellen Anforderungen genügen. Manche Teams vergessen auch die Schwachstelle der „kostenlosen“ öffentlichen Freigabe, die in Nextcloud standardmäßig nicht deaktiviert ist. Das führt regelmäßig dazu, dass Mitarbeiter aus Bequemlichkeit einen Link ohne Zugriffsbeschränkung in eine E-Mail einfügen. Ein Audit sollte deshalb nicht nur die Software-Einstellungen prüfen, sondern auch die tatsächlich genutzten Freigaben stichprobenartig durchgehen.

Ein weiteres Feld ist die Berechtigungsstruktur. Wer darf Administratorrechte? Wer darf Benutzer anlegen? Gibt es ein privilegiertes Administratorkonto, das von mehreren Personen genutzt wird? Idealerweise sollte diese Frage mit „Nein“ beantwortet werden. Nextcloud selbst erlaubt zwar mehrere Administratoren, aber in einer professionellen Umgebung wird man nicht um eine individuelle Zuordnung von Admin-Rechten und eine Trennung in administrative, technische und fachliche Rollen herumkommen. Gegebenenfalls muss man die Rechtevergabe über die vorhandene Gruppen- und Nutzerverwaltung abbilden.

Wichtig ist auch der Blick auf die Backup-Strategie. Ein Audit sollte prüfen, ob die Datenbank und die Dateidaten regelmäßig gesichert werden und ob Wiederherstellungstests stattfinden. Nextcloud speichert Metadaten in der Datenbank, die Dateien selbst liegen im Dateisystem. Beides muss zusammenspielen. Wer nur die Dateien sichert und die Datenbank vergisst, kann nach einem Crash eine strukturlose Dateiablage bewundern. Wer nur die Datenbank sichert, läuft Gefahr, neuere Dateien nicht wiederherstellen zu können. Auch die verschlüsselte Speicherung stellt eine besondere Anforderung dar: Das geheime Schlüsselmaterial, das Nextcloud zur Verschlüsselung verwendet, muss mitgesichert werden, sonst sind die Daten nach der Wiederherstellung nutzlos.

Im organisatorischen Teil des Audits ist zu prüfen, ob es ein aktuelles Verzeichnis der Verarbeitungstätigkeiten gibt, ob ein Verarbeitungsverzeichnis im Sinne der DSGVO existiert und ob die Rechte der betroffenen Personen beachtet werden. Eine Nextcloud-Instanz ist in der Regel nicht allein ein Dateispeicher; sie enthält oft auch Nutzerprofile, Kalender, Kontakte und Chat-Verläufe. Der Datenschutzbeauftragte muss wissen, welche dieser Daten verarbeitet werden, um Lösch- und Auskunftsanfragen korrekt beantworten zu können. Dabei zeigt sich immer wieder, dass die Löschung von Nutzerdaten in Nextcloud nicht trivial ist. Ein gelöschter Benutzer verschwindet zwar aus der Benutzerliste, seine Restdaten in Freigaben oder Chat-Verläufen bleiben aber unter Umständen bestehen. Ein Audit muss solche Altlasten aufspüren und für ein definiertes Löschkonzept sorgen.

Fallstricke bei der Verschlüsselung

Ein heikles Thema ist die Ende-zu-Ende-Verschlüsselung. Nextcloud wirbt damit, dass eine clientseitige Verschlüsselung möglich ist, sodass der Serverbetreiber die Inhalte nicht sehen kann. Das ist technisch anspruchsvoll und wird gern als „Maximum der Datensicherheit“ verkauft. In der Praxis gibt es jedoch Einschränkungen. Nicht jede App und nicht jede Funktion funktioniert mit Ende-zu-Ende-verschlüsselten Dateien. So kann eine mit Ende-zu-Ende verschlüsselte Datei unter Umständen nicht in der Vorschau angezeigt werden, nicht mit dem Texteditor bearbeitet werden und nicht für die automatisierte Virenprüfung geöffnet werden. Wer die Bequemlichkeit von Nextcloud mit all seinen Apps nutzen will, stößt mit der Ende-zu-Ende-Verschlüsselung schnell an Grenzen.

Hinzu kommt, dass die Ende-zu-Ende-Verschlüsselung bei kollaborativer Nutzung nur für bestimmte Szenarien sinnvoll ist. Wenn mehrere Personen eine Datei gemeinsam bearbeiten wollen, ist die Kollaboration nur eingeschränkt möglich. Der Server muss wissen, wer auf welche Datei zugreifen darf, und das kollidert mit dem Konzept der strikten Ende-zu-Ende-Verschlüsselung. Insofern sollte ein Datenschutz-Audit nicht pauschal fordern, dass alles Ende-zu-Ende-verschlüsselt wird. Besser ist eine differenzierte Betrachtung. Einerseits gibt es Datenbestände, die auf dem Server niemals im Klartext vorliegen dürfen. Andererseits gibt es Dokumente, die für den internen Workflow entschlüsselbar sein müssen. Eine saubere Lösung kann darin bestehen, die Ende-zu-Ende-Verschlüsselung nur für ausgewählte Ordner und Dateien zu aktivieren und den Rest über die regulären Zugriffskontrollen abzusichern.

Was viele übersehen: Die serverbasierte Verschlüsselung, die Nextcloud in der Grundeinstellung anbietet, ist kein vollständiger Schutz vor Zugriff des Serverbetreibers. Sie schützt die Daten auf der Festplatte und bei einem Diebstahl, aber die Webb-App und der Sync-Client entschlüsseln die Daten auf dem Server. Das ist auch gar nicht anders möglich, solange der Server die Funktionen wie Textvorschau oder Dateisuche anbietet. Man sollte diese Verschlüsselung also nicht als Ende-zu-Ende bezeichnen, sondern als „ruhend gespeicherte Verschlüsselung“. Das klingt weniger spektakulär, ist aber ehrlicher und für ein Audit wesentlich brauchbarer.

Ein Blick auf den Hersteller und das Ökosystem

Wer sich ernsthaft mit Nextcloud beschäftigt, kommt um die Frage nach der Herstellerfirma und dem Geschäftsmodell nicht herum. Nextcloud wird von der gleichnamigen Firma in Stuttgart entwickelt, mit Niederlassungen und Partnern in verschiedenen Ländern. Das Unternehmen verkauft unter anderem die Enterprise-Version mit zusätzlichen Funktionen, Support und einem garantierten Update-Zyklus. Die Community-Edition bleibt quelloffen, aber wer einen verlässlichen Ansprechpartner und abgesicherte Komponenten braucht, wird sich meist für ein kostenpflichtiges Paket entscheiden.

Für ein Datenschutz-Audit ist das von Bedeutung, weil die Wahl der Edition die Möglichkeit der Überprüfung beeinflusst. Die Enterprise-Version enthält zusätzliche Sicherheits- und Auditkomponenten, die in der Community-Edition nicht enthalten sind. Das soll nicht heißen, dass die Community-Edition grundsätzlich unsicher wäre. Es bedeutet nur, dass bestimmte Funktionen, die für große Unternehmen wichtig sind, nicht ohne weiteres verfügbar sind. Man kann auch eine Community-Edition durch eigene Skripte und Drittanbieter-Erweiterungen ergänzen, muss dann aber den Wartungsaufwand einplanen.

Aufsehen erregt haben in den letzten Jahren einige Schwachstellen-Meldungen, die Nextcloud betrafen. Das ist keine Besonderheit; jede größere Software hat solche Meldungen. Interessant ist aber, wie Nextcloud damit umgeht. Sicherheitslücken werden in der Regel koordiniert gemeldet, und die Projektleitung veröffentlicht regelmäßig Sicherheits-Releases. Ein Audit sollte deshalb immer prüfen, ob die eingesetzte Version auf dem aktuellen Stand ist und ob ein Prozess existiert, der neue Sicherheits-Updates innerhalb weniger Tage einspielt. Dieser Punkt ist in vielen Betrieben das größte Manko, denn eine veraltete Nextcloud-Installation mit aktivem öffentlichem Datei-Link ist ein Einfallstor für allerlei Angriffe.

Dabei zeigt sich ein generelles Problem der Selbstverwaltung: Nextcloud ist modular, flexibel und in vielen Varianten konfigurierbar. Das macht es fast unmöglich, eine pauschale Aussage über die Sicherheit zu treffen. Die Software kann in einer abgeriegelten, gut gehärteten Konfiguration betrieben werden, oder in einer laienhaft zusammengestellten Installation mit offenen Verzeichnissen und unsicheren Passwörtern. Ein Audit ist daher keine Zertifizierung der Software, sondern eine Zustandsbeschreibung einer konkreten Installation. Das sollte in jeder internen Risikoanalyse klar sein.

Zertifizierungen und externe Prüfungen

Unternehmen, die eine Nextcloud-Instanz betreiben, haben verschiedene Möglichkeiten, ihre Datenschutz-Compliance nachzuweisen. Eine davon ist die eigene Dokumentation, die in einem internen Audit erstellt wird. Eine andere ist die Beauftragung eines externen Prüfers, der die Instanz als Ganzes untersucht. In Deutschland sind dafür häufig Datenschutzbeauftragte, Wirtschaftsprüfer oder spezialisierte IT-Sicherheitsdienstleister unterwegs. Sie bewerten nicht nur die Software, sondern auch die Prozesse um die Software herum.

Ein interessanter Aspekt ist die Möglichkeit, die Nextcloud-Instanz auf Schwachstellen zu scannen. Es gibt Open-Source-Tools, die ein solches Scan-Verfahren unterstützen, darunter das weit verbreitete Tool „Nuclei“ oder auch spezielle Nextcloud-Scanner, die auf bestimmte CVEs prüfen. Solche Scanner sind nützlich, aber kein Ersatz für eine Penetrationstest-Dienstleistung. Bei einem Penetrationstest wird versucht, die Software tatsächlich anzugreifen, um vorhandene Fehlkonfigurationen zu finden. Dabei werden auch Punkte geprüft, die man in einem Log-Audit nicht sehen würde, etwa das Ausprobieren schwacher Passwörter oder das Einschleusen manipulierter Sync-Dateien durch einen böswilligen Client.

Nextcloud selbst bietet in der Enterprise-Version ein „Nextcloud Enterprise Auditor“-Feature an, das die oben erwähnten Ereignisprotokolle bündelt. Es gibt aber auch externe Anbieter, die auf Nextcloud spezialisierte Prüfungen anbieten. Wer eine betriebswirtschaftlich und datenschutzrechtlich belastbare Bewertung braucht, sollte darauf achten, dass der Prüfer nicht nur die Software-Oberfläche kennt, sondern auch die zugrunde liegende PHP- und Webserver-Konfiguration bewerten kann. Sonst bleibt die Prüfung an der Oberfläche und erzeugt trügerische Sicherheit.

Datenschutz-Folgeabschätzung: nicht vergessen

Für öffentliche Stellen und bestimmte Unternehmen sieht die DSGVO eine Datenschutz-Folgenabschätzung vor, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Eine Nextcloud-Instanz kann in diesen Bereich fallen, wenn dort besonders sensible Daten, etwa Gesundheitsdaten oder Daten von Beschäftigten, gespeichert werden. Die Folgeabschätzung ist dann keine optionale Übung, sondern eine dokumentierte Bewertung der Risiken und der Maßnahmen, die zu deren Minderung ergriffen werden.

In der Praxis ist diese Folgeabschätzung eng mit dem Audit verbunden. Man kann die Risiken nicht bewerten, ohne die konkrete Konfiguration zu prüfen. Wer in der Folgeabschätzung als Risikominderung einfach „Nextcloud“ einträgt, hat das Konzept nicht verstanden. Die Minderung muss konkret benennen, welche technischen und organisatorischen Maßnahmen vorhanden sind: starke Authentifizierung, verschlüsselte Übertragung, automatisierte Löschfristen, Revisionssicherheit, Zugriffsberechtigungen, Schulungsnachweise und ein funktionierendes Patch-Management.

Hier wird auch der Unterschied zwischen einem einmaligen Audit und einer kontinuierlichen Prüfung deutlich. Ein Audit erzeugt eine Momentaufnahme. Die Datenschutz-Folgenabschätzung sollte, sobald sich etwas Wesentliches ändert, neu bewertet werden. Tut sie das nicht, veraltet sie schnell. Nextcloud ist ein System, das sich ständig weiterentwickelt. Neue Apps kommen dazu, bestehende werden geändert, Server-Umgebungen werden migriert. Das sollte in einem Datenschutz-Managementsystem abgebildet werden.

Kritische Einordnung und Ausblick

Nach alledem bleibt festzuhalten: Nextcloud ist ein mächtiges Werkzeug, aber kein Selbstläufer. Es ist gerade deshalb so attraktiv, weil es Unternehmen die Freiheit gibt, ihre Cloud-Umgebung nach eigenen Vorstellungen zu gestalten. Doch diese Freiheit hat ihren Preis. Wer keine Zeit und kein Budget für Administration, Protokollierung und Audits hat, wird mit Nextcloud nicht glücklich. Dann ist eine gehostete Lösung eines spezialisierten Anbieters, der die Verantwortung vertraglich übernimmt, unter Umständen die bessere Wahl. Das sollte man nicht als Niederlage verstehen, sondern als Strategie.

Auf dem Markt gibt es etliche Anbieter, die Nextcloud als Managed Service betreiben und dabei auch Datenschutz- und Auditfunktionen abdecken. Diese Anbieter übernehmen dann das Handling der Logs, das Konfigurieren der Richtlinien und das Einspielen von Updates. Für ein kleines Unternehmen oder eine Behörde ohne eigene IT-Abteilung kann das die deutlich weniger fehleranfällige Alternative sein. Wichtig ist, dass auch bei einer gehosteten Instanz klare vertragliche Regelungen über Datenverarbeitung, Löschfristen, Serverstandorte und Zugriffsrechte getroffen werden. Sonst hat man zwar die Technik ausgelagert, aber nicht die Verantwortung.

Die Zukunft von Nextcloud wird wohl in zwei Richtungen verlaufen. Einerseits wird das Projekt weiterhin versuchen, die Komplexität für die Nutzer zu senken. Die Integration von künstlicher Intelligenz, wenn man so will, die automatische Kategorisierung von Dateien und die Verbesserung der Suchfunktion sollen Nextcloud komfortabler machen. Andererseits wird der Fokus auf Compliance und Sicherheit zunehmen, weil genau das die Gründe sind, aus denen sich Unternehmen für Nextcloud entscheiden. Es ist nicht unwahrscheinlich, dass regulatorische Anforderungen, etwa im Bereich der Cyber-Sicherheits-Richtlinie NIS2, die Anforderungen an Betrieb und Audit weiter erhöhen werden. Nextcloud und seine Ökosystem-Dienstleister werden sich darauf einstellen müssen.

Ein letzter Gedanke zum Thema Vertrauen. Nextcloud lebt von der Idee, dass die Nutzer die Kontrolle behalten. Aber Kontrolle bedeutet, dass man hinsehen muss. Ein Audit ist deshalb kein feindlicher Akt gegenüber der eigenen IT-Abteilung, sondern ein notwendiges Element des Betriebs. Die Software zeigt Einblick in die Ereignisse, sie liefert Logs, sie kann sogar Warnungen ausgeben. Aber sie ersetzt nicht den Menschen, der diese Informationen interpretiert und daraus Konsequenzen zieht. Wer das beherzigt, kann mit Nextcloud eine datenschutzfreundliche, flexible Cloud aufbauen – solange er die regelmäßige Prüfung nicht als lästige Pflicht abtut, sondern als Teil der Sorgfaltspflicht.

Also: Nextcloud einführen, ja. Aber mit offenen Augen, mit einem klaren Konzept für Rechte, Rollen und Löschungen, mit einem guten Patch-Prozess und mit der Bereitschaft, sich selbst immer wieder in Frage zu stellen. Dann ist Nextcloud nicht nur eine Software, sondern eine solide Grundlage für digitales Vertrauen – vorausgesetzt, das Audit bekommt den Platz, den es verdient.