Nextcloud als Compliance Cloud für Solvency II

Die stille Revolution: Warum Nextcloud mehr ist als nur ein weiteres Cloud-Share

Nextcloud ist in den letzten Jahren zu einer festen Größe im Bereich der unternehmenseigenen Cloud-Lösungen geworden. Dabei zeigt sich immer deutlicher: Es geht längst nicht mehr nur um Dateisynchronisation oder Team-Kalender. Die Plattform hat sich zu einem fundamentalen Baustein digitaler Infrastruktur entwickelt – und zwar in einer Geschwindigkeit, die viele traditionelle Anbieter überrascht hat.

Wer heute über Cloud-Technologien spricht, kommt an Nextcloud nicht vorbei. Nicht zuletzt deshalb, weil die Open-Source-Philosophie hier auf eine bemerkenswert pragmatische Art umgesetzt wird. Anders als bei vielen anderen Community-Projekten gibt es eine klare Produktstrategie, ein professionelles Unternehmen dahinter und eine wachsende Zahl von Integrationen, die das System für administrative und regulatorische Anforderungen fit machen. Ein interessanter Aspekt ist die Frage, wie gut sich Nextcloud für regulierte Branchen eignet – etwa für Versicherungen, die unter Solvency II fallen.

Aber der Reihe nach. Bevor wir uns in die Details der europäischen Versicherungsaufsicht stürzen, lohnt ein Blick auf das Ökosystem, das Nextcloud inzwischen umspannt. Die Plattform ist modular aufgebaut. Man kann sie als schlanke Dateiablage betreiben, als vollwertige Kollaborationssuite mit Textverarbeitung, Tabellenkalkulation und Präsentationen – oder als Grundlage für spezialisierte Workflows, die etwa die Dokumentenlenkung in ISO-zertifizierten Umgebungen unterstützen. Genau diese Flexibilität macht sie für Unternehmen attraktiv, die ihre Daten nicht in den Händen von Hyperscalern wie Microsoft oder Google sehen wollen.

Dabei zeigt sich ein typisches Muster: Viele Administratoren starten mit einer kleinen Nextcloud-Instanz für eine Abteilung, merken dann, wie stabil das System läuft, und weiten es nach und nach auf das gesamte Unternehmen aus. Der Umstieg von proprietären Systemen ist oft erstaunlich reibungslos – was nicht zuletzt an der guten Vorbereitung der Migrationswerkzeuge liegt.

Solvency II – was hat das mit Cloud zu tun?

Solvency II ist kein neues Thema. Seit 2016 gilt das Regelwerk für Versicherungsunternehmen in der Europäischen Union. Es schreibt unter anderem vor, dass die IT-Systeme zur Risikobewertung, zur Kapitalanlage und zur Datenverarbeitung bestimmte Standards erfüllen müssen. Dazu gehören nachvollziehbare Zugriffsprotokolle, manipulationssichere Speicherung von geschäftsrelevanten Dokumenten und eine klare Trennung von Funktionen und Verantwortlichkeiten. Klingt nach klassischer Compliance, aber die Herausforderung liegt im Detail.

Versicherungen verwalten nicht nur Millionen von Kundendokumenten, sondern auch hochsensible Berechnungen zu Rückstellungen, Solvenzkapitalanforderungen und internen Modellen. Ein Fehler in der Datenhaltung kann nicht nur Bußgelder auslösen, sondern auch die aufsichtsrechtliche Meldung gefährden. Wer schon einmal einen ORSA-Bericht (Own Risk and Solvency Assessment) erstellt hat, weiß, wie stark die Qualität der zugrundeliegenden Daten von der Integrität der IT-Infrastruktur abhängt.

Früher haben Versicherungen meist auf teure, geschlossene Systeme gesetzt – Dokumentenmanagement von IBM oder SAP, ergänzt durch Zusatzmodule für die Compliance. Diese Systeme sind oft monolithisch, teuer und unflexibel. Nextcloud bietet hier eine Alternative, die auf den ersten Blick fast zu einfach wirkt. Aber genau diese Einfachheit ist Teil der Strategie: Weniger Komplexität bedeutet weniger Angriffsfläche und eine bessere Nachvollziehbarkeit von Abläufen.

Ein Beispiel: Die Anforderung, dass Änderungen an Dokumenten nachvollziehbar sein müssen. Nextcloud verfügt über eine umfassende Versionierung. Jede Änderung wird protokolliert, und zwar nicht nur auf Dateiebene, sondern auch mit Metadaten, die zeigen, wer wann was verändert hat. Das lässt sich mit den Log-Dateien der Datenbank verknüpfen, sodass ein lückenloses Audit-Trail entsteht. Für Solvency II ist das ein zentraler Punkt – die sogenannte „Data Integrity“.

Verschlüsselung und Schlüsselverwaltung: Nicht nur ein Buzzword

Ein anderer Punkt, an dem Nextcloud punkten kann, ist die Ende-zu-Ende-Verschlüsselung. In der Version 28 und 29 wurde das Feature noch einmal grundlegend überarbeitet. Es ist jetzt möglich, dass Dokumente bereits auf dem Client verschlüsselt werden, bevor sie den Rechner verlassen. Der Server sieht nur noch verschlüsselte Blobs. Das klingt nach einer Selbstverständlichkeit, aber in der Praxis ist die Umsetzung alles andere als trivial.

Das Problem: Wenn der Server die Schlüssel nicht kennt, kann er keine Suchfunktionen oder serverseitigen Workflows ausführen. Nextcloud hat hier einen Kompromiss gewählt: Man kann die Verschlüsselung pro Ordner oder pro Benutzer aktivieren, und die Schlüsselverwaltung erfolgt über den Client oder über ein externes Key-Management-System. Für Versicherungen, die ihre Daten in der eigenen Rechenzentrumshalle betreiben, ist das ein enormer Vorteil. Die Schlüssel bleiben im Haus, niemand von außen – auch nicht der Nextcloud-Entwickler – kann darauf zugreifen.

Allerdings gibt es auch Kritik. Die Ende-zu-Ende-Verschlüsselung ist noch nicht für alle Apps vollständig integriert. Die Kalender- und Kontakte-Synchronisation funktioniert etwa nicht verschlüsselt – was für viele Unternehmen aber kein Problem ist, weil diese Daten oft weniger kritisch sind als Vertragsdokumente. Hier zeigt sich: Nextcloud ist ein pragmatisches System, das nicht den perfekten Schutz vor allen Bedrohungen verspricht, sondern den bestmöglichen Schutz für die relevanten Daten.

Ein interessanter Aspekt für Solvency-II-Kontexte ist die Möglichkeit, getrennte Verschlüsselungszonen aufzuspannen. So kann man etwa die Daten der internen Revision anders behandeln als die der Schadensabteilung. Die Zugriffskontrolle erfolgt über Gruppen und Berechtigungen, die sich fein granular einstellen lassen. Das erfordert zwar eine sorgfältige Planung der Berechtigungsstruktur, aber ist im laufenden Betrieb deutlich flexibler als die starren Rollen vieler proprietärer Systeme.

Audit-Trails und Log-Management: Die unsichtbare Rückgrat der Compliance

Jeder Compliance-Verantwortliche kennt das Gefühl, wenn der Wirtschaftsprüfer nach einem Audit-Trail fragt und die IT-Abteilung mit den Schultern zuckt. Genau hier liegt eine der größten Stärken von Nextcloud, aber auch eine der größten Herausforderungen. Die Plattform protokolliert standardmäßig viele Ereignisse, aber nicht alle. Man muss wissen, welche Logs relevant sind und wie man sie auswertet.

Out-of-the-box liefert Nextcloud detaillierte Logs zu Dateioperationen, Anmeldungen, Freigaben und Konfigurationsänderungen. Diese werden in der Datenbank gespeichert oder können an einen externen Syslog-Server weitergeleitet werden. Für Solvency II reicht das oft noch nicht aus. Man benötigt zusätzlich die Möglichkeit, komplette Sitzungsprotokolle zu erstellen oder Änderungen an Metadaten nachzuverfolgen. Hier helfen Erweiterungen wie „Audit Log“ aus dem Nextcloud-Ökosystem oder die Integration mit SIEM-Lösungen wie Graylog oder Splunk. Die Kombination macht es möglich, auch komplexe Abfragen zu formulieren – etwa: „Welcher Benutzer hat innerhalb der letzten 30 Tage auf Dokumente mit dem Tag ‚Solvency‘ zugegriffen und diese heruntergeladen?“.

Ein kleiner Wermutstropfen: Die Dokumentation zu den Log-Formaten ist nicht immer auf dem neuesten Stand. Man muss sich als Administrator schon etwas einarbeiten, um die richtigen Felder zu identifizieren. Aber das ist kein grundsätzlicher Mangel, sondern eher die natürliche Folge eines Community-Projekts, das schnell wächst. Wer bereit ist, etwas Zeit in die Konfiguration zu investieren, kann am Ende eine Prüfungssicherheit erreichen, die viele teure Systeme nicht bieten.

Dass Nextcloud dabei komplett auf Open Source setzt, hat einen entscheidenden Vorteil: Man kann den Quellcode überprüfen und gegebenenfalls eigene Prüfroutinen einbauen. In der Versicherungsbranche, wo häufig hauseigene Compliance-Standards gelten, ist das ein starkes Argument. Man muss nicht auf die Roadmap eines Anbieters warten, sondern kann das System anpassen – vorausgesetzt, man hat die Entwicklerkapazitäten oder beauftragt einen Dienstleister.

On-Premises, Hybrid oder Public Cloud? Die Standortfrage

Solvency II verlangt keine bestimmte Betriebsform, wohl aber, dass die Datenverarbeitung kontrollierbar ist. Für viele Versicherungen bedeutet das: On-Premises oder zumindest ein dedizierter Cloud-Speicher in einer vertrauenswürdigen Jurisdiktion. Nextcloud lässt sich in allen Varianten betreiben. Das Unternehmen bietet eine „Nextcloud Enterprise“-Edition an, die zusätzliche Features wie globale Skalierung, Single-Sign-On mit SAML/LDAP und verbesserte Monitoring-Funktionen enthält. Diese Edition wird von der Nextcloud GmbH selbst vertrieben und bietet einen direkten Support – was in regulierten Umgebungen oft ein Ausschlusskriterium für reine Community-Versionen ist.

Es ist aber nicht zwingend notwendig, die Enterprise-Version zu kaufen. Viele der relevanten Sicherheitsfunktionen sind in der Community-Edition enthalten. Der Unterschied liegt vor allem im Bereich des Betriebsführungs-Supports und der Zertifizierungen. Nextcloud Enterprise ist beispielsweise für den Einsatz gemäß DSGVO und HIPAA zertifiziert – eine Solvency-II-Zertifizierung gibt es nicht separat, aber die Anforderungen ähneln sich stark.

Ein Aspekt, der oft übersehen wird: Nextcloud kann problemlos georedundant ausgelegt werden. Man betreibt eine Instanz im eigenen Rechenzentrum und eine zweite als Replikation in einem anderen Standort – entweder als Cold-Standby oder aktiv mit Lastverteilung. Da die Plattform keine proprietären Protokolle verwendet, sondern auf gängige Technologien wie MySQL/PostgreSQL, Redis und Apache/Nginx setzt, ist das Betriebswissen vergleichsweise breit verfügbar. Ein Administrator, der schon einmal eine Webanwendung geclustert hat, wird sich bei Nextcloud schnell zurechtfinden.

Das Problem der Datenmigration: Ein Erfahrungsbericht

Kein Artikel über Nextcloud wäre vollständig ohne einen Blick auf die praktischen Hürden. Neulich sprach ich mit einem IT-Leiter einer mittelgroßen Versicherung aus dem süddeutschen Raum. Die Firma hatte jahrelang eine Mischung aus Netzlaufwerken und einer alten SharePoint-Installation genutzt. Der Druck der Aufsicht, endlich ein revisionssicheres Dokumentenmanagement aufzubauen, wurde immer größer. Man entschied sich für Nextcloud – nicht schweren Herzens, aber mit der notwendigen Skepsis.

Der Umstieg dauerte knapp acht Monate. Die größte Herausforderung war nicht die Technik, sondern die Datenbereinigung. Jahrelang wurden Dokumente mit unterschiedlichen Namenskonventionen abgelegt, Versionen nicht gelöscht, Metadaten falsch gesetzt. Nextcloud zwingt nicht zu einer bestimmten Ordnerstruktur, aber wer die Möglichkeiten der Volltextsuche und Tagging voll ausschöpfen will, muss sich vorher überlegen, wie die Ablage aussehen soll. Besonders bei Millionen von Dateien wird eine Migration schnell zum Projektmanagement-Albtraum.

Am Ende half ein mehrstufiger Prozess: Erst wurden die Daten aufbereitet, dann in eine Testinstanz überführt, dann von den Fachabteilungen geprüft. Der Live-Gang verlief dann erstaunlich ruhig. Seitdem läuft die Nextcloud-Instanz stabil. Der IT-Leiter betonte besonders die Zuverlässigkeit der Synchronisation – bei tausenden gleichzeitigen Verbindungen keine Ausfälle. Einzig die mobile App hakelte gelegentlich bei sehr großen Dateien, aber das sei eher ein Problem der Netzabdeckung als der Software.

Für Solvency-II-relevante Prozesse wurde ein spezieller Ordner mit aktivierter End-to-End-Verschlüsselung angelegt, auf den nur Mitglieder des Risikomanagements Zugriff haben. Die Logs werden täglich in ein separaten Graylog-System exportiert, das die Prüfer jederzeit abfragen können. Der Aufwand hat sich gelohnt – das nächste Audit steht bevor, und die Vorbereitung verläuft deutlich entspannter als früher.

Open Source und regulatorische Anforderungen – passt das zusammen?

Immer wieder hört man das Vorurteil, Open-Source-Software sei nicht ernsthaft für Compliance-Umgebungen geeignet. Das stimmt aus meiner Sicht so nicht. Richtig ist: Man kann Open-Source-Produkte nicht einfach blind installieren. Man muss sich mit der Architektur beschäftigen, die Dokumentation lesen und eigene Tests durchführen. Aber das Gleiche gilt für proprietäre Software, bei der man oft die genaueren Details der internen Verarbeitung nicht einsehen kann.

Nextcloud hat einen entscheidenden Vorteil: Die Entwickler legen großen Wert auf reproduzierbare Builds und signierte Releases. Das bedeutet, man kann überprüfen, ob der heruntergeladene Code tatsächlich dem Quelltext entspricht. In Kombination mit einem eigenen Sicherheitsaudit – den viele Versicherungen ohnehin durchführen lassen – entsteht ein Maß an Transparenz, das kein Hersteller von Closed-Source-Produkten bieten kann.

Ein interessanter Punkt ist die langfristige Wartbarkeit. Solvency II fordert, dass Systeme über Jahre hinweg stabil betrieben werden können. Nextcloud hat einen klaren Release-Zyklus (Minor-Updates etwa alle zwei Monate, Major-Updates einmal im Jahr). Die Versionen werden über einen längeren Zeitraum unterstützt. Für Unternehmen, die Wert auf Planbarkeit legen, bietet sich das Enterprise-Abonnement an, das Sicherheitsupdates für drei Jahre garantiert. Das ist in Ordnung, auch wenn man sich natürlich länger wünscht – aber die Realität des Softwarelebenszyklus ist in der Branche ähnlich.

Föderation und Zusammenarbeit über Unternehmensgrenzen hinweg

Ein besonderes Feature von Nextcloud ist die Föderation, also die Möglichkeit, mit anderen Nextcloud-Instanzen zu kommunizieren, ohne die Daten aus der Hand zu geben. Für Versicherungsgruppen, die mehrere Tochtergesellschaften betreiben, kann das sehr nützlich sein. Man kann Freigaben projektbezogen vergeben, ohne dass alle Daten zentral auf einem Server liegen müssen. Das erfüllt gleichzeitig zwei Anforderungen von Solvency II: Daten bleiben dezentral, aber die Kontrolle über Zugriffe bleibt zentral steuerbar.

Die Föderation arbeitet mit sogenannten „Shares“ – der Benutzer einer anderen Nextcloud-Instanz sieht nur die freigegebenen Ordner, nicht die gesamte Struktur. Die Authentifizierung erfolgt entweder über ein gemeinsames LDAP-Verzeichnis oder über eine föderierte Identität. In der Praxis ist die Implementation nicht immer trivial, aber sie funktioniert. Für Versicherungen, die mit externen Gutachtern, Wirtschaftsprüfern oder Rückversicherern zusammenarbeiten, ist das eine elegante Lösung. Man vermeidet der Cloud-Drittanbieter und behält die volle Kontrolle.

Die Konkurrenz schläft nicht – aber Nextcloud hat Nischen

Man muss fair bleiben: Nextcloud ist nicht in allen Bereichen führend. Die Office-Funktionen über Collabora oder OnlyOffice sind gut, aber nicht so ausgereift wie Microsoft 365 oder Google Docs. Wer auf hochkomplexe Formatierungen oder Makros angewiesen ist, wird an den Client-Lösungen nicht vorbeikommen. Aber das ist auch nicht der Anspruch. Nextcloud als Kollaborationsplattform für regulierte Umgebungen zu positionieren, ist ein kluger Schachzug. Die Stärken liegen in der Datenhoheit, der Anpassbarkeit und der Transparenz.

Auch die Performance bei sehr großen Dateien (über 1 GB) kann je nach Netzwerkinfrastruktur schwanken. Das ist aber kein spezifisches Nextcloud-Problem, sondern betrifft alle WebDAV-basierten Systeme. Für die tägliche Arbeit mit Office-Dokumenten und PDFs, wie sie in der Versicherungsbranche üblich ist, reicht die Leistung völlig aus.

Spannend ist die Entwicklung der KI-Integration. Seit Version 29 gibt es einen „Nextcloud Assistant“, der Texte zusammenfassen, übersetzen und kategorisieren kann. Die Verarbeitung erfolgt auf dem eigenen Server – kein Datenabfluss in fremde Rechenzentren. Für Solvency-II-konforme Prozesse, etwa die automatische Vorsortierung von eingereichten Schadensunterlagen, könnte das den Workflow deutlich beschleunigen. Allerdings befindet sich die KI noch in einem frühen Stadium. wer sie produktiv einsetzen will, braucht einen leistungsfähigen Server mit GPU – und sollte die Ergebnisse sorgfältig prüfen.

Fazit: Kein Allheilmittel, aber eine ernstzunehmende Alternative

Nextcloud ist nicht die Antwort auf jede IT-Frage in der Versicherungsbranche. Aber es ist eine ernstzunehmende Option für Unternehmen, die ihre Cloud-Infrastruktur selbst kontrollieren wollen und dabei regulatorische Standards wie Solvency II erfüllen müssen. Die Plattform wächst stetig, die Community ist aktiv, und das Unternehmen hinter Nextcloud hat eine klare Linie. Wer bereit ist, sich mit der Konfiguration auseinanderzusetzen und in die Infrastruktur zu investieren, bekommt ein System, das in vielen Bereichen flexibler und sicherer ist als vergleichbare proprietäre Lösungen.

Ein kleiner Wermutstropfen zum Schluss: Nextcloud sollte nicht unterschätzt werden was den benötigten Einarbeitungsaufwand betrifft. Die Weboberfläche ist intuitiv, aber die Administration – vor allem wenn es um Verschlüsselung, Föderation und SIEM-Integration – erfordert fundierte Kenntnisse in Linux, Webservern und Datenbanken. Es gibt nicht den „Klick-und-los“-Ansatz. Aber das ist vielleicht auch gut so. In einer regulierten Umgebung sollte man ohnehin nicht einfach blind auf Knöpfe drücken.

Nicht zuletzt zeigt sich: Open Source ist längst bereit für die gehobenen Compliance-Anforderungen. Nextcloud beweist das tagtäglich in zahlreichen Unternehmen. Die Frage ist nicht mehr, ob man so etwas einsetzen kann, sondern ob man den Mut hat, den Schritt zu gehen. Diejenigen, die ihn gewagt haben, blicken meist nicht zurück.

Der Artikel ist ein redaktioneller Beitrag und gibt die Einschätzung des Autors wieder. Alle genannten Produkte und Dienstleistungen sind unter ihren jeweiligen Marken geschützt.