Unsichtbare Fracht Wie Nextcloud mit EXIF Daten umgeht

Die unsichtbare Fracht: Wie Nextcloud mit EXIF-Daten umgeht – und was Admins beachten sollten

Wenn Sie heute ein Foto mit dem Smartphone machen, steckt mehr darin, als das Auge sieht. Neben den Pixeln speichert die Kamera still und leise ein ganzes Bündel an Informationen: wann das Bild entstand, mit welchem Gerät, welche Blende und Belichtungszeit verwendet wurden – und vor allem: wo genau Sie sich in dem Moment befanden. Diese Metadaten, technisch als EXIF-Daten (Exchangeable Image File Format) bezeichnet, sind ein Segen für Fotografen, die ihre Aufnahmen später sortieren und analysieren wollen. Für Datenschutzbeauftragte sind sie aber oft ein Albtraum. Und für Admins, die eine Nextcloud-Instanz betreiben, stellen sie eine stille Herausforderung dar: Soll man die Daten unverändert lassen, sie bereinigen, oder vielleicht sogar bewusst für Suchfunktionen nutzen? Dieser Artikel nimmt die Thematik auseinander – sachlich, aber nicht emotionslos, denn es geht um echte Abwägungen zwischen Komfort und Privatsphäre.

Nextcloud ist als selbstgehostete Cloud-Plattform in vielen Unternehmen und öffentlichen Einrichtungen mittlerweile Standard. Die Software glänzt mit Flexibilität, Open-Source-Transparenz und einer wachsenden App-Ökonomie. Doch gerade bei Dateien, die Nutzer hochladen – insbesondere Fotos – stellt sich die Frage, was mit den eingebetteten Metadaten passiert. Die Standardkonfiguration von Nextcloud belässt EXIF-Daten in aller Regel unangetastet. Das klingt erstmal neutral, ist aber in der Praxis oft ein Problem. Denn viele Nutzer sind sich nicht bewusst, dass ihr sorglos in die Cloud geworfenes Urlaubsfoto neben der schönen Strandaufnahme auch den genauen Standort preisgibt, wenn die GPS-Funktion aktiv war. Ein interessanter Aspekt: Die Nextcloud-Desktop-Clients synchronisieren die Dateien eins zu eins, Server-seitig gibt es keine standardmäßige Filterung. Man kann sich des Eindrucks nicht erwehren, dass hier viel Vertrauen in die Achtsamkeit der Nutzer gesetzt wird – ein Vertrauen, das in der Realität oft enttäuscht wird.

EXIF – mehr als nur Datenmüll

Technisch gesehen sind EXIF-Daten ein Containerformat, das in JPEG, TIFF und auch einigen RAW-Varianten steckt. Die Kamera oder das Smartphone schreibt beim Auslösen eine Reihe von Tags in die Datei: Hersteller und Modell, Aufnahmedatum, Belichtungsparameter, Brennweite, Blitzmodus, und eben GPS-Koordinaten, falls das Gerät entsprechende Hardware hat und die Funktion aktiviert ist. Hinzu kommen Thumbnails, die ein Vorschaubild enthalten. Diese Daten sind nicht verschlüsselt und lassen sich mit jeder Bildverwaltungssoftware auslesen – unter Linux reicht ein simpler Befehl wie exiftool, um die gesamte Informationsfülle auf den Bildschirm zu zaubern. Für Fotografen ist das ein Segen: Sie können später nach Kamera, Objektiv oder Aufnahmeort sortieren. Für Organisationen, die personenbezogene Daten schützen müssen, ist es eine Altlast.

Nextcloud selbst besitzt keine integrierte Engine, die EXIF-Daten interpretiert und verarbeitet – zumindest nicht in der Basisinstallation. Die Dateien werden als Binärblöcke behandelt. Erst wenn zusätzliche Apps wie der „Metadata Editor“ oder die „Preview Generator“-Erweiterung installiert werden, greift Nextcloud auf die Metadaten zu. Der Preview Generator etwa liest EXIF-Daten aus, um Thumbnails korrekt zu rotieren, wenn die Kamera die Ausrichtung als Tag speichert. Das ist praktisch, aber es zeigt auch: Nextcloud kann diese Daten lesen, wenn es will. Die Frage ist nur, ob man das möchte und unter welchen Bedingungen.

Ein Beispiel aus der Praxis: Ein Mittelständler hostet Nextcloud für seine Außendienstmitarbeiter. Die Mitarbeiter fotografieren Baustellen, montieren die Bilder in Berichte und laden sie hoch. In den EXIF-Daten stecken nicht nur die Aufnahmeorte, sondern auch die exakten Zeitstempel. Das könnte Arbeitgeber in die Lage versetzen, Bewegungsprofile zu erstellen. Ob das gewünscht ist oder nicht, hängt vom Arbeitsrecht und der Betriebsvereinbarung ab. Fakt ist: Die Daten sind da, und solange sie nicht gelöscht werden, können sie ausgelesen werden. Ein kluger Administrator sollte sich also frühzeitig Gedanken machen, wie er mit EXIF-Daten umgeht – und das nicht erst, wenn der Datenschutzbeauftragte nachfragt.

Die Risiken: vom Standortverrat bis zur Profilbildung

Das offensichtlichste Risiko sind die GPS-Koordinaten. Wer ein Foto von seinem Wohnzimmer, dem Firmengebäude oder einem vertraulichen Treffen aufnimmt und in die Cloud lädt – egal ob bei Nextcloud oder externen Diensten –, gibt potenziell den genauen Ort preis. Wenn die Datei dann über eine geteilte Freigabe an Externe gelangt, kann jeder mit einem einfachen Tool die Koordinaten extrahieren. Das ist nicht nur theoretisch, sondern passiert ständig. Es gibt genug Vorfälle, bei denen Journalisten, Aktivisten oder sogar Militärangehörige durch EXIF-Daten in veröffentlichten Fotos kompromittiert wurden. Nextcloud als selbstgehostete Lösung hat hier zwar den Vorteil, dass die Daten nicht auf fremden Servern liegen, aber die Gefahr liegt im Teilen. Ein Mitarbeiter legt eine öffentliche Freigabe an, und schon sind die Metadaten für jeden sichtbar, der den Link kennt. Nextcloud bietet zwar Optionen zum Erstellen von Passwort-geschützten oder zeitlich begrenzten Freigaben, aber das schützt nicht vor den EXIF-Daten in der Datei selbst.

Hinzu kommt noch ein weniger offensichtlicher Aspekt: EXIF-Daten können zur Geräteidentifikation genutzt werden. Seriennummern von Kameras sind selten standardmäßig enthalten, aber manche Modelle schreiben eindeutige Kennungen. In Kombination mit Zeitstempeln lässt sich möglicherweise ein Muster erkennen: Welcher Mitarbeiter hat wann mit welchem Gerät fotografiert? Das klingt nach Überwachung, und in der Tat könnten solche Daten gegen die DSGVO verstoßen, wenn sie unkontrolliert erhoben und gespeichert werden. Nextcloud speichert die Dateien originalgetreu, aber es protokolliert auch Aktivitäten. Wenn ein Admin die Metadaten ausliest, kann das als Verarbeitung personenbezogener Daten gelten – mit allen rechtlichen Konsequenzen. Es ist also nicht nur eine technische, sondern auch eine juristische Frage.

Aber nicht jeder will EXIF-Daten pauschal entfernen. Fotografen und Medienschaffende sind auf diese Metadaten angewiesen, um ihre Arbeit zu organisieren. Ein Bildarchiv ohne EXIF-Daten ist wie ein Buch ohne Kapitelüberschriften. Nextcloud kann hier sogar einen Mehrwert bieten: Mit der App „Metadata Editor“ lassen sich EXIF-Daten anzeigen, bearbeiten und sogar durchsuchbar machen. Das ist nützlich, wenn man zum Beispiel alle Fotos finden will, die mit einer bestimmten Kamera aufgenommen wurden. Die Herausforderung besteht darin, eine Balance zu finden: für manche Nutzer die Freiheit, Metadaten zu verwenden, für andere den Schutz zu gewährleisten. Eine universelle Lösung gibt es nicht, aber Nextcloud bietet mit seiner modularen Architektur die Grundlage, verschiedene Ansätze umzusetzen.

Nextcloud und die App-Ökologie: Werkzeuge für den Umgang mit EXIF

Nextcloud ist bekannt für seine App-Erweiterbarkeit. Wer EXIF-Daten verwalten möchte, greift zu spezialisierten Erweiterungen. Die wichtigste ist der bereits erwähnte „Metadata Editor“ (früher „Media Metadata“). Diese App ermöglicht es, EXIF- und IPTC-Daten in Bildern und Videos direkt in der Nextcloud-Oberfläche zu lesen und zu editieren. Man kann also GPS-Koordinaten entfernen, das Aufnahmedatum korrigieren oder Stichwörter hinzufügen. Das klingt erstmal gut, aber es gibt eine Einschränkung: Die App arbeitet nur mit Dateien, die von Nextcloud selbst indiziert werden – und das passiert nicht automatisch für alle Formate. Für JPEG und PNG funktioniert es zuverlässig, für RAW-Formate wie CR2 oder NEF sieht es schon schlechter aus. Diese Dateien werden oft nicht ausgelesen, weil die Bibliothek zur Dekodierung fehlt. Ein interessanter Aspekt ist, dass die App die EXIF-Daten nicht aus der Datei löscht, sondern nur in einer separaten Datenbank speichert. Das bedeutet, die Originaldatei behält ihre Metadaten, Nextcloud zeigt aber die bereinigte Version an. Verwirrend? Ja, aber das ist typisch für viele Open-Source-Lösungen: Die Implementierung ist nicht immer intuitiv.

Eine weitere App, die oft genannt wird, ist „EXIF Removal“. Der Name ist Programm: Diese App durchsucht hochgeladene Bilder und entfernt die EXIF-Daten automatisch. Sie kann so konfiguriert werden, dass bestimmte Felder erhalten bleiben (z.B. das Aufnahmedatum, aber nicht die GPS-Koordinaten). Das klingt nach der idealen Lösung für datenschutzbewusste Admins. Allerdings ist die App nicht mehr offiziell in der Nextcloud App-Verzeichnisliste vertreten – sie wurde von der Community entwickelt und wird nur sporadisch gewartet. Viele Admins setzen stattdessen auf eigene Skripte, die mit Hilfe von Tools wie exiftool auf dem Server die Dateien bereinigen, bevor sie in die Nextcloud gelangen. Oder sie nutzen eine Kombination aus Nextcloud und einem vorgeschalteten Service, der Metadaten strippt. Das erfordert jedoch manuellen Aufwand und ist nicht für jede Umgebung praktikabel.

Die Standard-Installation von Nextcloud enthält keine solche Filterung. Das ist aus Entwicklersicht verständlich: Nextcloud will die Dateien so originalgetreu wie möglich halten. Aber aus Admin-Sicht ist das ein Manko. Man kann sich fragen, warum Nextcloud nicht zumindest optional eine „Metadaten-Reinigung“ bei Upload anbietet, ähnlich wie es die E-Mail-Welt mit automatischem Entfernen von Anhängen oder Metadaten kennt. Die Antwort liegt wahrscheinlich in der Philosophie von Nextcloud: wenig Default-Konfiguration, maximale Freiheit für den Admin. Das ist gut gemeint, aber in der Praxis führt es dazu, dass viele Instanzen unsicher konfiguriert sind, einfach weil niemand an die EXIF-Daten denkt. Ein typisches Beispiel für die Kluft zwischen Theorie und Praxis.

Administrationspraxis: EXIF-Daten in den Griff bekommen

Was kann ein Administrator konkret tun? Zunächst sollte man sich einen Überblick verschaffen: Welche Dateien liegen auf der Instanz? Wie viele Fotos sind darunter? Speichern Nutzer bewusst RAW-Dateien? Eine einfache Inventur mit find und exiftool kann schon Klarheit schaffen. Wer weder der App „Metadata Editor“ noch dem Installieren von Drittanbieter-Apps traut, kann einen Cron-Job einrichten, der regelmäßig neu hochgeladene Bilder scannt und sensible Tags entfernt. Ein Beispiel-Skript, das auf dem Nextcloud-Server läuft, nutzt den Systembefehl exiftool -overwrite_original -gps:all= -exif:MakerNote= -exif:SerialNumber= für jede gefundene JPEG-Datei. Das löscht GPS-Daten, MakerNotes (die oft proprietäre Daten enthalten) und Seriennummern. Aber Vorsicht: Ein solcher Cron-Job muss die Dateien schreiben können, und er verändert die Datei. Das widerspricht dem Prinzip der Datenintegrität, wenn man die Originale unangetastet lassen will. Also besser: Das Skript läuft vor dem Einlegen in Nextcloud, oder man richtet eine separate Upload-Pipeline ein. Das ist aufwändig, aber machbar.

Ein anderer Ansatz ist die Nutzung von Nextcloud-Storage-Appliances wie „Collabora Online“ oder „ONLYOFFICE“, die Dokumente bearbeiten, aber nicht unbedingt EXIF-Daten antasten. Diese Tools interessieren sich vorrangig für Inhalt, nicht für Metadaten. Für die reine Bildverwaltung gibt es die App „Pivottable“, die jedoch mehr auf Tabellenkalkulation fokussiert. Wer also EXIF-Daten suchbar machen will, muss einen Kompromiss eingehen: Entweder man entfernt sie und verliert die Suchbarkeit, oder man behält sie und muss das Risiko tragen. Nextclouds eigene Suchfunktion unterstützt übrigens die Suche nach EXIF-Tags nur rudimentär – dazu ist die Installation der Full-Text-Search-App mit entsprechenden Erweiterungen nötig. Das ist ein echtes Performance-Thema: Wer alle Fotos nach Kameramodell durchsuchen will, lädt den Server enorm. Hier zeigt sich, dass die EXIF-Debatte nicht nur eine Frage des Datenschutzes, sondern auch der Systemauslastung ist.

Ein interessantes Beispiel aus der Praxis: Eine große Schule hostet Nextcloud für Lehrer und Schüler. Die Lehrer laden täglich Fotos von Ausflügen hoch. Die Schüler haben untereinander Freigaben. Ein Elternteil meldet sich beim Datenschutzbeauftragten, weil er die GPS-Koordinaten auf den Fotos von der Klassenfahrt gefunden hat. Der Admin installiert daraufhin schnell die „Metadata Editor“-App und entfernt bei allen bestehenden Fotos die GPS-Tags – aber die App entfernt sie nur aus der Datenbank, nicht aus der Datei. Also haben die Dateien nach wie vor die Koordinaten, Nextcloud zeigt sie nur nicht an. Wer die Originaldatei herunterlädt, hat wieder die vollen Metadaten. Ein klassischer Fall von Sicherheitslücke durch unvollständige Implementierung. Deshalb mein Rat: Wenn Sie EXIF-Daten wirklich entfernen wollen, müssen Sie die Datei selbst ändern. Kein Workaround auf Datenbankebene reicht aus.

Vergleich mit anderen Cloud-Diensten: Was machen die Konkurrenten?

Um die Einordnung zu erleichtern, lohnt ein Blick auf die große Konkurrenz. Google Fotos beispielsweise extrahiert EXIF-Daten und nutzt sie für die Geo-Suche, entfernt aber – so die offizielle Version – die GPS-Daten vor der Speicherung, wenn man die „Standortinformationen entfernen“-Option aktiviert. Praktisch ist, dass Google standardmäßig fragt, ob man Metadaten beibehalten will. Apple iCloud handhabt es ähnlich: Fotos werden mit Metadaten gespeichert, aber die Standortdaten können in den Einstellungen deaktiviert werden. Beide Dienste sind aber zentralisiert und speichern auf Servern der Unternehmen, was datenschutzrechtlich wieder andere Probleme aufwirft. Nextcloud als selbstgehostete Lösung hat eigentlich das Potenzial, hier besser zu sein, weil die Kontrolle komplett beim Betreiber liegt. Aber die Standardkonfiguration nutzt dieses Potenzial nicht aus. Ein schizophrener Zustand: Die technische Freiheit ist da, aber die Umsetzung hapert oft an mangelnden Standard-Features.

Ein weiterer Vergleichspunkt: Die Open-Source-Alternative „OwnCloud“, von der Nextcloud ja abgespalten ist, verhält sich ähnlich – keine automatische Bereinigung. Seit dem Fork haben sich beide Projekte in unterschiedliche Richtungen entwickelt: OwnCloud fokussiert stärker auf Enterprise-Features und Compliance, Nextcloud auf Integration und Usability. Beide haben bis heute keinen eingebauten EXIF-Stripper. Das spricht dafür, dass das Thema in der Community nicht als prioritär angesehen wird. Vielleicht, weil die Entwickler selbst Fotografen sind und die Daten erhalten wollen. Vielleicht, weil die rechtliche Lage noch nicht klar ist – in der EU läuft derzeit die Diskussion, ob EXIF-Daten überhaupt personenbezogene Daten sind. Mein persönlicher Eindruck: Es wird noch dauern, bis hier ein Umdenken einsetzt. Bis dahin müssen Admins selbst aktiv werden.

Rechtliche Grauzonen und praktische Tipps

Kommen wir zur Gretchenfrage: Sind EXIF-Daten personenbezogen im Sinne der DSGVO? Die Antwort ist: Es kommt darauf an. Wenn die Daten einen direkten Bezug zu einer identifizierbaren Person haben – etwa weil die GPS-Koordinaten auf den Wohnort verweisen – dann ja. Wenn sie nur Kameraeinstellungen enthalten, eher nicht. Aber die Aufsichtsbehörden tendieren dazu, Daten, die eine Person identifizierbar machen, weit zu interpretieren. Standortdaten gelten in jedem Fall als sensitiv. Für Unternehmen und öffentliche Einrichtungen bedeutet das: Sie müssen sicherstellen, dass die Verarbeitung von EXIF-Daten auf einer Rechtsgrundlage beruht – zum Beispiel auf einer Einwilligung der Nutzer oder auf einem berechtigten Interesse. Das ist oft nicht der Fall. Ein typischer Fehler: Ein Mitarbeiter lädt ein Foto hoch, der Admin analysiert die EXIF-Daten, um die Dateien zu sortieren – das ist eine neue Verarbeitung, für die es keine Grundlage gibt. Abhilfe schafft eine klare Richtlinie in der Nutzungsordnung: Wer Fotos mit EXIF-Daten hochlädt, willigt in die Verarbeitung ein. Aber das ist juristisch dünn, wenn die Nutzer nicht aktiv zustimmen. Einfacher ist es, die Metadaten von vornherein zu entfernen. Dann ist die Frage hinfällig.

Ein praktischer Tipp für Admins: Richten Sie für Ihre Nextcloud-Instanz eine Upload-Hook-Integration ein. Mit der App „Files Primary S3“ und einem externen Bucket können Sie die Dateien vor dem Speichern durch eine eigene Pipeline leiten. Oder nutzen Sie die Nextcloud-Vorlage „Enterprise Transfer“ – aber das ist eher was für große Unternehmen. Für die breite Masse bleibt nur der manuelle Eingriff oder die vertrauensbasierte Aufklärung der Nutzer. Viele Admins setzen auf die Kombination aus einem Prä-Upload-Check per API: Ein Skript analysiert jede hochgeladene Datei, entfernt EXIF-Daten und lädt sie dann direkt in Nextcloud. Das funktioniert mit einem einfachen PHP-Skript, das den Nextcloud Upload-Webhook verwendet. Dafür ist aber ein gewisser Entwicklungsaufwand nötig, und nicht jeder Admin hat die Zeit oder das Know-how. Nextcloud selbst bietet hier leider keine einfache Konfigurationsoption – ein Feature, das man sich wünschen würde.

Nextcloud und die Zukunft: Wohin steuert die Entwicklung?

Blicken wir voraus. Die Version 28 von Nextcloud brachte einige Verbesserungen im Dateimanagement, aber keine Änderung in der EXIF-Politik. Die Version 29 und 30 haben das Thema ebenfalls nicht aufgegriffen. Es scheint, als sei Metadaten-Handling kein Schwerpunkt der Kernentwickler. Dagegen hat die Community gezeigt, dass Apps wie „Metadata Editor“ und das inoffizielle „EXIF Remover“ durchaus Beachtung finden. Es ist möglich, dass zukünftige Versionen eine integrierte Option erhalten – aber das ist Spekulation. Ein interessanter Aspekt in der Diskussion ist die Rolle von KI: Immer mehr Bilderkennungsdienste, die auf Nextcloud aufsetzen (z.B. mit TensorFlow), nutzen EXIF-Daten als Trainingsmaterial. Hier könnte die Kombination aus Metadaten und KI-Erkennung neue Privatsphäre-Probleme aufwerfen. Wer etwa eine KI-gestützte Gesichtserkennung auf Nextcloud nutzt, sollte unbedingt sicherstellen, dass keine EXIF-Standortdaten mit den Trainingsbildern verknüpft sind. Sonst laufen die KI-Algorithmen am Ende mit Geo-Informationen, was ein extra Datenleck darstellt.

Ein weiterer Trend ist das Thema „Data Minimization“ – der Grundsatz, nur die Daten zu speichern, die wirklich nötig sind. Das könnte bedeuten, dass Nextcloud standardmäßig EXIF-Daten entfernt, sofern der Nutzer nicht aktiv widerspricht. Das wäre ein Paradigmenwechsel. Bisher ist Nextcloud eher das Gegenteil: Es speichert alles, was reinkommt. Ich persönlich halte es für wahrscheinlich, dass in den kommenden Jahren aufgrund regulatorischen Drucks (EU Data Act, EU AI Act) eine stärkere Standardbereinigung Einzug hält. Aber bis dahin werden Admins weiterhin selbst Hand anlegen müssen. Es ist nicht schwer, aber es erfordert Aufmerksamkeit. Und das ist letztlich der Kern des Problems: In der Hektik des Alltags wird die EXIF-Frage oft übersehen – bis es zu einem Vorfall kommt. Dabei könnte man mit einfachen Maßnahmen viel verhindern.

Fazit: Kein Grund zur Panik, aber Grund zum Handeln

Man könnte nun denken, dass EXIF-Daten eine tickende Zeitbombe sind. Das sind sie nicht – zumindest nicht, wenn man sie bewusst verwaltet. Nextcloud ist ein mächtiges Werkzeug, aber wie jedes Werkzeug erfordert es Kenntnisse über die eigenen Materialien. Fotos sind nicht nur Bilder, sie sind Datenträger. Wer das akzeptiert und entsprechende Vorkehrungen trifft, kann die Vorteile von Nextcloud voll ausschöpfen, ohne die Privatsphäre zu gefärden. Die Lösung muss nicht in teuren Enterprise-Paketen liegen, sondern in einer durchdachten Konfiguration. Einfach eine App installieren und gut ist – das reicht nicht, wie das Beispiel mit der Datenbank-Änderung gezeigt hat. Wer EXIF-Daten wirklich loswerden will, muss die Dateien selbst verändern. Wer sie erhalten will, sollte sicherstellen, dass die Nutzer darüber informiert sind und die Verarbeitung rechtlich abgesichert ist.

Nextcloud kann beides: Bereinigung und Bewahrung. Die Flexibilität ist da, die Community bietet Werkzeuge, und die eigene Kreativität ist gefragt. Mir wäre es lieber, Nextcloud würde standardmäßig eine Option mitliefern, die man per Klick aktivieren kann – aber das ist nunmal nicht der Fall. Also bleibt uns nur der Weg der eigenen Verantwortung. Und das ist vielleicht nicht die schlechteste Nachricht: Wer sich mit EXIF-Daten beschäftigt, zeigt, dass er oder sie tiefer in die Materie einsteigt. Das schult das Bewusstsein für Datenschutz insgesamt. Und das ist am Ende mehr wert als jeder automatische Stripper.

Die Quintessenz: Analysieren Sie Ihre Instanz, sprechen Sie mit Ihren Nutzern, und legen Sie eine Policy fest. Entweder Sie entfernen Metadaten global, oder Sie schulen Ihre Nutzer und geben ihnen die Tools zur Selbstverwaltung. Es gibt nicht die eine richtige Antwort. Aber die falsche Antwort ist: nichts tun und hoffen, dass es gut geht. Denn die EXIF-Daten sind da, still und unsichtbar – bis jemand sie ausliest. Und dann wird es unangenehm. Nehmen Sie sich die Zeit, das Thema anzugehen. Ihr Datenschutzbeauftragter wird es Ihnen danken – und Ihre Nutzer auch.