Nextcloud im Visier der Versicherungsaufsicht: Warum Solvency II die Cloud-Strategie neu justiert
Wer sich mit digitaler Infrastruktur in regulierten Branchen beschäftigt, kennt das Spannungsfeld: Auf der einen Seite lockt die Flexibilität moderner Cloud-Plattformen, auf der anderen Seite stehen gesetzliche Auflagen, die den Datenabfluss ins Ausland oder die Abhängigkeit von einzelnen Anbietern streng limitieren. Besonders Versicherungen haben hier einen schweren Stand. Die Solvency-II-Richtlinie der Europäischen Union schreibt nicht nur vor, wie Risiken zu bewerten und Kapital zu hinterlegen sind, sondern auch, wie die zugrundeliegenden Daten verarbeitet, gespeichert und geschützt werden müssen.
Dabei rückt eine Open-Source-Plattform zunehmend in den Fokus, die ursprünglich als Dropbox-Alternative für Unternehmen gestartet ist: Nextcloud. Das Karlsruher Unternehmen hat sich in den letzten Jahren einen Namen gemacht, nicht nur als cloudbasierte Dateiablage, sondern als eine Art Betriebssystem für die digitale Souveränität. Und genau das macht es für Solvency-II-konforme Architekturen so interessant. Ein genauerer Blick lohnt sich – nicht nur für Compliance-Beauftragte, sondern für jeden, der Cloud-Strategien in stark regulierten Umgebungen verantwortet.
Die Ausgangslage: Datenhoheit als harte Anforderung
Solvency II ist kein weiches Rahmenwerk. Die Richtlinie, die seit 2016 in voller Anwendung ist, definiert quantitative und qualitative Anforderungen an die Unternehmenssteuerung von Versicherern und Rückversicherern. Dazu gehören die sogenannten Governance-Anforderungen, die unter anderem das Outsourcing von wichtigen Funktionen betreffen. Cloud-Dienste – ob SaaS, PaaS oder IaaS – fallen in aller Regel unter diese Outsourcing-Regularien. Die Aufsichtsbehörden, in Deutschland die BaFin, verlangen, dass die Versicherung auch bei Auslagerung die Kontrolle über ihre Daten behält und Risiken angemessen managt.
Ein zentraler Punkt ist die Lokalisierung der Daten. Solvency II verlangt nicht explizit, dass alle Daten in der EU gespeichert werden müssen, aber die Praxis zeigt: Viele Aufsichtsbehörden erwarten faktisch eine Speicherung innerhalb des Europäischen Wirtschaftsraums. Hinzu kommt die Anforderung an die Verfügbarkeit: Cloud-Dienste müssen auch bei lokalen Ausfällen oder bei einem Wechsel des Anbieters nahtlos weiterlaufen. Nachweisbare Business-Continuity-Pläne sind Pflicht. Und nicht zuletzt: Die Daten müssen gegen unbefugten Zugriff geschützt sein – auch und gerade gegen Zugriffe aus Drittstaaten.
Hier kommt Nextcloud ins Spiel. Anders als hyperscale-Clouds von Amazon, Microsoft oder Google arbeitet Nextcloud als selbstgehostete Lösung. Das bedeutet: Der Betreiber (die Versicherung oder ein vertrauenswürdiger Dienstleister) hat die vollständige Kontrolle über die Hardware, die Software und damit über die Daten. Kein Drittanbieter kann auf die Dateien zugreifen, es sei denn, der Betreiber erlaubt es. Das klingt trivial, ist aber in der Praxis ein gewaltiger Unterschied zu Public-Cloud-Angeboten, die ihre Infrastruktur und ihre Zugriffsmechanismen nur bedingt offenlegen.
Wo Nextcloud die Solvency-II-Anforderungen abdeckt
Nicht zuletzt die Tatsache, dass Nextcloud als quelloffene Software vorliegt, erleichtert die Prüfung durch interne und externe Revisoren. Der Code kann eingesehen, auditiert und bei Bedarf angepasst werden. Transparenz ist bekanntlich ein hohes Gut, wenn es um Compliance geht. Viele Unternehmen scheuen den Aufwand, eine eigene Cloud aufzubauen, aber die Vorteile wiegen schwer, wenn die Aufsicht nachfragt.
Ein interessanter Aspekt ist die sogenannte „Ende-zu-Ende-Verschlüsselung“ in Nextcloud. Zwar bietet Nextcloud standardmäßig eine Transportverschlüsselung und eine serverseitige Verschlüsselung, aber mit den richtigen Apps (etwa Nextcloud Files mit integrierter Verschlüsselung) lassen sich Daten so sichern, dass selbst der Serveradministrator nicht auf die Inhalte zugreifen kann. Für Solvency II ist das relevant: Die Richtlinie verlangt angemessene Sicherheitsmaßnahmen, die dem Stand der Technik entsprechen – und Ende-zu-Ende-Verschlüsselung gilt heute als Stand der Technik für sensible Daten.
Dazu kommt die Granularität der Berechtigungen. Nextcloud bietet eine rollenbasierte Zugriffskontrolle (RBAC), die sich über LDAP oder Active Directory anbinden lässt. Für Versicherungen, die mit vielen externen Partnern (Makler, Gutachter, Rückversicherer) zusammenarbeiten, ist das ein Segen: Man kann gemeinsam an Dokumenten arbeiten, ohne dass jemand unberechtigt Einsicht in die gesamte Datenlandschaft bekommt. Die Audit-Logs von Nextcloud dokumentieren jeden Zugriff und jede Änderung – und das in einer Weise, die revisionssicher ist. Das ist genau das, was Solvency II in Bezug auf die Nachvollziehbarkeit von Prozessen verlangt.
Die Hürden: Was Nextcloud nicht ist
Natürlich ist Nextcloud kein Allheilmittel. Wer glaubt, man kaufe sich mit der Installation einer Nextcloud-Instanz einfach die Solvency-II-Konformität, der irrt. Die Plattform stellt nur die technische Basis zur Verfügung. Die eigentliche Compliance-Arbeit liegt in der Konfiguration, der Betriebsführung und der Dokumentation. Nextcloud kann beispielsweise keine automatisierte Auslagerungsdatenbank oder Risikoanalyse ersetzen. Es ist ein Werkzeug – ein sehr mächtiges zwar, aber kein fertiges Compliance-Paket.
Ein Kritikpunkt, der immer wieder zu hören ist: Nextcloud sei nicht für Höchstlast und hochverfügbare Szenarien ausgelegt, wie sie etwa im Kerngeschäft einer großen Versicherung vorkommen. Die Aussage ist so pauschal nicht richtig. Nextcloud lässt sich durchaus in Clustern betreiben, mit Load-Balancing und verteilten Datenbanken. Aber der Aufwand dafür ist nicht zu unterschätzen. Man braucht Personal, das die Infrastruktur administrieren kann – und das in einer Zeit, in der Fachkräfte in der IT heiß begehrt sind. Viele Unternehmen lagern daher den Betrieb von Nextcloud an spezialisierte Dienstleister aus, die wiederum selbst unter Solvency II geprüft sein müssen. Versicherer sollten sich sehr genau ansehen, ob ihr Preferred-Partner auch für Outsourcing geeignet ist.
Ein weiterer Punkt: Die Platform ist zwar modular aufgebaut und lässt sich mit Apps erweitern, aber nicht jede Funktionalität ist für den Versicherungsbetrieb ausreichend. So fehlen beispielsweise native Workflow-Engines für komplexe Schadensprozesse oder das Dokumenten-Management für riesige Archive. Das sind typische Aufgaben, die eher in spezialisierten ECM-Systemen (Enterprise Content Management) oder in Versicherungs-Kernsystemen erledigt werden. Nextcloud kann als Daten-Drehscheibe fungieren, aber nicht als alleinige Plattform für alle Zwecke. Das sollte man nüchtern sehen.
Praktische Umsetzung: Wie ein Solvency-II-konformes Nextcloud-Setup aussehen kann
Angenommen, ein mittelgroßer Versicherer möchte seine Dateiablage und kollaborative Prozesse auf Nextcloud umstellen – und das im Einklang mit Solvency II. Wo fängt man an? Ein typischer Fehler ist, sofort mit der technischen Installation zu beginnen. Dabei sollte zuerst eine Risikoanalyse stehen: Welche Daten werden in der Cloud verarbeitet? Welche Auswirkungen hätte ein Ausfall? Welche Schutzbedarfskategorien gibt es? Nextcloud spielt hier keine Rolle; die Analyse ist vorgelagert.
Erst dann geht es an die Architektur. Für Solvency II wird man vermutlich eine On-Premises-Instanz bevorzugen, oder eine Private-Cloud bei einem deutschen Rechenzentrum, das ISO 27001-zertifiziert ist und idealerweise die BSI C5-Prüfung durchlaufen hat. Der Standort muss dokumentiert sein. Die Datenbank und die Dateiverzeichnisse sollten verschlüsselt sein – sowohl auf der Festplatte (LUKS, eCryptfs) als auch im laufenden Betrieb. Nextcloud selbst wird über HTTPS mit TLS 1.3 abgesichert, und man schaltet die serverseitige Verschlüsselung ein. Wer ganz sicher gehen will, aktiviert zusätzlich die Ende-zu-Ende-Verschlüsselung für die sensibelsten Daten, etwa Verträge oder personenbezogene Daten (GDPR-relevant).
Ein oft übersehenes Detail: Das Backup. Solvency II verlangt die Wiederherstellbarkeit von Daten innerhalb definierter Zeitfenster. Nextcloud bietet dutzende Backup-Schnittstellen, aber die korrekte Konfiguration ist nicht trivial. Man muss darauf achten, dass auch die Metadaten der Dateien (Berechtigungen, Versionen, Kommentare) gesichert werden – ein einfaches Datei-Backup reicht nicht. Versicherer, die das unterschätzen, stehen im Ernstfall mit leeren Händen da.
Ein weiterer Aspekt: Der Zugriff über mobile Endgeräte ist heute Standard. Nextcloud-Apps für iOS und Android lassen sich über Mobile Device Management (MDM) steuern – etwa um den Datencache zu löschen oder Remote Wipe auszulösen. Auch das ist eine Anforderung, die die BaFin in ihren Auslagerungsrundschreiben adressiert. Die Kontrolle über die Datenendpunkte muss gewährleistet sein.
Warum Open Source bei der Prüfung punktet
Ein Vorteil von Nextcloud, den man nicht hoch genug einschätzen sollte, ist die Zertifizierung nach BSI C5 „Cloud Computing Compliance Criteria Catalogue“. Nextcloud hat diesen Test durchlaufen und stellt entsprechende Nachweise zur Verfügung. Das ist für Versicherer Gold wert, denn die BaFin anerkennt C5-zertifizierte Dienste als Indiz für eine ordnungsgemäße Auslagerung. Zwar ersetzt auch das keine individuelle Prüfung, aber es vereinfacht die Kommunikation mit der Aufsicht erheblich.
Nicht zuletzt: Die Open-Source-Community trägt zur Sicherheit bei. Jeder kann den Code einsehen und Schwachstellen melden. Der Verantwortliche bei einer Versicherung muss sich nicht auf die Versprechungen eines proprietären Anbieters verlassen, sondern kann sich selbst ein Bild machen. Das erzeugt Vertrauen – und Vertrauen ist in regulierten Umgebungen das harte Kapital. Kommt es zu einem Sicherheitsvorfall, kann der Versicherer nachweisen, dass er die Kontrolle hatte. Das mildert Haftungsrisiken.
Fallstricke, die man kennen sollte
Dennoch: Es gibt durchaus Stolpersteine. Einer davon ist die Lizenzfrage. Nextcloud selbst ist unter der AGPLv3 lizenziert. Das bedeutet, wer Änderungen am Code vornimmt und die Software ausliefert, muss die Änderungen offenlegen. Für interne Zwecke ist das unproblematisch, aber wenn ein Dienstleister die Plattform als Managed Service anbietet und eigene Erweiterungen einbaut, kann das zu Konflikten führen. Versicherer sollten im Vertrag mit dem Dienstleister klären, ob und wie die AGPL eingehalten wird.
Ein anderer Punkt: Nextclouds Performance bei sehr vielen Nutzern oder riesigen Dateibeständen. Versicherungen haben oft Millionen von Dokumenten, die gescannt, versioniert und mit Metadaten versehen werden. Nextclouds WebDAV-Zugriff ist nicht für Echtzeit-Kollaboration in diesen Dimensionen optimiert. Hier kann es zu Latenzen kommen. Die Lösung: eine gute Infrastruktur, SSD-Speicher, Redis-Caching, und gegebenenfalls die Integration einer Suchmaschine wie Elasticsearch für Volltextsuche. Das bedeutet Investitionen, die im Vorfeld budgetiert werden müssen.
Auch die Benutzerverwaltung ist nicht trivial. Wenn Nextcloud mit einem Active Directory verbunden wird, muss die Synchronisation sauber laufen. Ein Fehler in der Berechtigungsstruktur kann dazu führen, dass unberechtigte Nutzer Zugriff auf geschützte Ordner erhalten – ein Albtraum für jede Revisionsabteilung. Deshalb empfiehlt sich: Pilotprojekt mit einer kleinen Gruppe starten, dann langsam ausrollen. Die externen Revisoren prüfen das später sehr genau.
Zukunftsperspektiven: Nextcloud Hub und die Integration in die Versicherungs-IT
Interessant wird die Entwicklung von Nextcloud Hub, der Suite aus Dateien, Talk, Kalender, Kontakten und Kollaboration. In einem Solvency-II-Kontext ist vor allem Nextcloud Talk spannend: Videokonferenzen, die auf dem eigenen Server laufen, ohne dass Daten über Drittanbieter-Dienste wie Zoom oder Teams laufen. Gerade für sensible Verhandlungen oder Abstimmungen mit Aufsichtsbehörden ist das ein nicht zu unterschätzendes Argument. Die BaFin selbst betont in ihren Leitlinien die Notwendigkeit von vertraulicher Kommunikation.
Ein anderer Trend ist die KI-Integration. Nextcloud bietet Mechanismen für lokale maschinelle Lernmodelle an (etwa für Texterkennung oder Bildklassifikation), die komplett on-premises laufen. Wenn eine Versicherung also Millionen von Dokumenten automatisch verschlagworten will, geht das ohne Datenübertragung in die Cloud. Das vermeidet die datenschutzrechtlichen Probleme, die bei öffentlichen KI-Anbietern lauern. Ob der Nutzen die Komplexität rechtfertigt, muss jeder Fall für sich zeigen. Aber es ist eine Option.
Nicht zuletzt: Die Community und das Ökosystem wachsen stetig. Es gibt mittlerweile Integrationen in Branchensoftware für Versicherungen, etwa über REST-APIs oder Webhooks. So kann man einen Schadensfall aus dem Kernsystem automatisch in Nextcloud ablegen, so dass der Schadensachbearbeiter sofort Zugriff auf die relevanten Dokumente hat. Das klingt einfach, ist aber in der Umsetzung eine echte Herausforderung, weil die Systemwelten oft noch nicht richtig zusammenspielen. Hier sind Eigeninitiative und Implementierungspartner gefragt.
Fazit für Entscheider: Nextcloud ist kein Selbstläufer, aber ein ernstzunehmender Baustein
Die Frage, ob Nextcloud für ein Solvency-II-konformes Cloud-Setting geeignet ist, lässt sich nicht mit einem simplen Ja oder Nein beantworten. Die Plattform bietet alle technischen Voraussetzungen, die für eine aufsichtsrechtliche Anerkennung nötig sind: Datenhoheit, Transparenz, Verschlüsselung, Auditierbarkeit und eine flexible Berechtigungsstruktur. Hinzu kommt die Zertifizierung nach BSI C5, die den Prüfprozess erheblich beschleunigt. Open Source liefert zudem ein Maß an Kontrolle, das in regulierten Umgebungen Gold wert ist.
Aber: Der Betrieb einer eigenen Nextcloud-Infrastruktur ist nicht trivial. Er erfordert Know-how, Zeit und Geld. Wer den Weg geht, muss bereit sein, die Verantwortung für die gesamte Kette zu übernehmen – von der Hardware bis zur Konfiguration jedes einzelnen Moduls. Outsourcing an spezialisierte Dienstleister ist eine Alternative, aber auch hier muss die Compliance sichergestellt sein. Die Aufsicht verlangt, dass die Risiken der Auslagerung dokumentiert und gemanagt werden, unabhängig vom verwendeten Produkt.
Ein interessanter Aspekt ist, dass Nextcloud nicht nur die technische Basis liefert, sondern auch als Katalysator für eine ganzheitliche Datenstrategie wirken kann. Wer sich einmal mit der Plattform auseinandergesetzt hat, der wird automatisch dazu gezwungen, seine Datenflüsse, Berechtigungen und Sicherheitsmechanismen zu überdenken. Das ist zwar aufwändig, aber langfristig der einzig richtige Weg. Denn Solvency II ist kein einmaliges Projekt – es ist ein fortlaufender Prozess der Risikosteuerung. Nextcloud kann dabei helfen, diesen Prozess mit der nötigen Transparenz und Kontrolle zu unterlegen.
Bleibt die Frage: Ist Nextcloud die richtige Wahl für ein milliardenschweres Versicherungsunternehmen? Das hängt vom Anwendungsfall ab. Für die Zusammenarbeit im Team, für Dokumentenmanagement in überschaubaren Größenordnungen und für die sichere Ablage sensibler Daten ist Nextcloud definitiv eine ernstzunehmende Option. Für die Massenverarbeitung von Millionen Schadensakten oder für hochfrequente Transaktionen wird man eher zu spezialisierten Systemen greifen. Aber das schließt sich nicht aus: Eine hybride Strategie, bei der Nextcloud als zentraler File-Sync- und Kollaborations-Hub fungiert und die Kernsysteme ergänzt, ist eine vielversprechende Architektur.
Nicht zuletzt zeigt die Entwicklung der letzten Jahre: Immer mehr regulierte Unternehmen wagen den Schritt zu Open-Source-Lösungen, gerade im Cloud-Bereich. Der Druck durch Lieferkettengesetze, die EU-Datenschutzgrundverordnung und die geopolitischen Unsicherheiten lässt proprietäre US-Clouds zunehmend unattraktiv erscheinen. Nextcloud hat das Potenzial, diese Lücke zu füllen. Entscheider sollten genau hinschauen, was die Plattform leistet – und was nicht. Und sie sollten sich nicht von einfachen Versprechungen blenden lassen. Die Umsetzung bleibt anspruchsvoll. Aber das ist in der Regel der Preis für echte digitale Souveränität.
Wer jetzt handelt, kann sich einen Wettbewerbsvorteil verschaffen. Denn die Anforderungen von Solvency II werden nicht weicher. Die BaFin hat zuletzt mehrfach nachgeschärft, was die Prüfung von Cloud-Auslagerungen angeht. Unternehmen, die frühzeitig auf transparente, kontrollierbare Plattformen setzen, stehen bei der nächsten Vor-Ort-Prüfung besser da. Nextcloud ist ein Werkzeug unter vielen, aber eines, das die richtigen Stellschrauben für Compliance und Souveränität bietet. Den Rest muss der Betreiber selbst machen – und das ist auch gut so.