Nextcloud: Sicherheit und Härtung

Aus maxTechCorner

Auf einen Blick

Gilt fürNextcloud 33–35 (Hub 26), Nextcloud All-in-One; Apps Two-Factor TOTP, Antivirus for files, File access control, Suspicious Login, Admin audit log
BereichServer-Software
Dauerca. 2–3 Stunden
RechteNextcloud-Administrator; Root auf dem Server für Firewall und Fail2ban
StandOktober 2026

Nextcloud absichern und härten ist Pflicht, weil eine Firmen-Cloud fast immer aus dem Internet erreichbar ist und sämtliche Dokumente enthält. Nextcloud bringt dafür viele Schutzfunktionen mit – Brute-Force-Schutz, Zwei-Faktor-Anmeldung, Virenscan, Zugriffsregeln, Verschlüsselung und ein Prüfprotokoll –, die aber gezielt eingeschaltet und richtig verstanden werden müssen. Diese Checkliste fasst die wichtigsten Maßnahmen zusammen und erklärt, was die einzelnen Verschlüsselungsarten wirklich schützen.

Nextcloud härten: Zwei-Faktor-Anmeldung erzwingen (global oder für Gruppen), Brute-Force-Schutz mit verlangsamten Anfragen bis 24 Stunden und Sperren bis 30 Minuten, Fail2ban optional; Freigabe-Richtlinien mit Passwort und Ablaufdatum; Virenscan mit ClamAV; Zugriffsregeln der File access control; verdächtige Anmeldungen erkennen; Prüfprotokoll; Verschlüsselung: Festplattenverschlüsselung gegen Diebstahl, serverseitige Verschlüsselung für externe Speicher, Ende-zu-Ende-Verschlüsselung gegen Administratoren; Updates monatlich, Nextcloud Security Scan.

Schritt 1: Anmeldung an Nextcloud absichern

  • Zwei-Faktor-Anmeldung erzwingen: Apps Two-Factor TOTP (Authenticator-App) und gegebenenfalls Two-Factor WebAuthn (Sicherheitsschlüssel, Passkeys) aktivieren; unter Verwaltungseinstellungen › Sicherheit die Pflicht global oder für bestimmte Gruppen setzen und Ausnahmegruppen festlegen. Bei SSO übernimmt der Identitätsanbieter die Mehr-Faktor-Anmeldung, siehe Nextcloud: Benutzer, Gruppen, LDAP und SSO.
  • Passwortrichtlinie (App Password policy): Mindestlänge, Prüfung gegen bekannte geleakte Passwörter, Ablauf nur, wenn gefordert.
  • Brute-Force-Schutz ist eingebaut: Nach Fehlversuchen werden Anfragen einer IP-Adresse bis zu 24 Stunden verlangsamt, in extremen Fällen bis zu 30 Minuten gesperrt. Hinter einem Reverse Proxy die Proxy-Adressen in trusted_proxies eintragen, sonst trifft der Schutz den Proxy statt des Angreifers.
  • Fail2ban kann zusätzlich IP-Adressen an der Firewall sperren; AIO beschreibt die Einbindung.
  • Verdächtige Anmeldungen: Die App Suspicious Login lernt typische Anmeldeorte und warnt bei Auffälligkeiten.
  • Geräte und App-Passwörter bei Verlust sofort widerrufen.

Schritt 2: Freigaben begrenzen

  • Links nur mit Passwort und Ablaufdatum; Gruppen ohne Freigaberecht festlegen; Autovervollständigung im Teilen-Dialog einschränken – Details in Nextcloud: Dateien teilen, Sync-Client und externe Speicher.
  • File access control (Zugriffsregeln): Regeln nach Gruppe, IP-Bereich, Dateityp, Uhrzeit oder Tag, z. B. „Dateien mit Tag Vertraulich nur aus dem Firmennetz“ oder „keine ausführbaren Dateien hochladen“.
  • Automatisches Markieren (Flow): Dateien beim Hochladen nach Regeln mit Tags versehen und daran Zugriffsregeln knüpfen.

Schritt 3: Virenscan

  • App Antivirus for files mit ClamAV – bei All-in-One als optionaler Container, sonst als Daemon auf dem Server.
  • Scan beim Hochladen und regelmäßiger Hintergrundscan; Fundstellen werden gelöscht bzw. gemeldet.
  • ClamAV braucht zusätzlichen Arbeitsspeicher (rund 1–2 GB). Es ersetzt keinen Endpoint-Schutz auf den Clients, verhindert aber, dass Nextcloud Schadsoftware an andere verteilt.

Schritt 4: Verschlüsselung richtig einordnen

Methode Wo Wer kann entschlüsseln Schützt vor
Transportverschlüsselung (HTTPS) Verbindung – Mitlesen im Netz – Pflicht
Festplattenverschlüsselung (z. B. LUKS) Server-Betriebssystem Betriebssystem-Administrator Diebstahl von Platten oder Server
Serverseitige Verschlüsselung (Master Key) Nextcloud-Server Administratoren und Benutzer Anbieter von externen Speichern (z. B. S3)
Serverseitige Verschlüsselung (Benutzerschlüssel) Nextcloud-Server Benutzer, mit Wiederherstellungsschlüssel auch Admins externe Speicheranbieter
Ende-zu-Ende-Verschlüsselung Client nur Benutzer Server-Administratoren und Anbieter

Praxis:

  • Für eigene Server Festplattenverschlüsselung statt serverseitiger Verschlüsselung – sie schützt vor Diebstahl, ohne Funktionen einzuschränken.
  • Serverseitige Verschlüsselung schützt nicht vor einem kompromittierten Nextcloud-Server, verschlüsselt keine Dateinamen, lässt sich in der Oberfläche nicht rückgängig machen und führt bei Schlüsselverlust zu dauerhaftem Datenverlust. Nur einsetzen, wenn Daten auf fremdem Speicher liegen.
  • Ende-zu-Ende-Verschlüsselung nur für einzelne, besonders sensible Ordner; dort funktionieren Weboberfläche, Office und Suche nicht.

Grundlagen: Verschlüsselung, Ende-zu-Ende-Verschlüsselung.

Schritt 5: Server und Betrieb

  • Updates: Wartungsversionen erscheinen etwa monatlich und enthalten Sicherheitskorrekturen – zeitnah einspielen, nie auf ausgelaufenen Hauptversionen bleiben, siehe Nextcloud: Backup, Updates und Wartung.
  • Sicherheitswarnungen unter Verwaltungseinstellungen › Übersicht abarbeiten und die Instanz mit dem öffentlichen Nextcloud Security Scan prüfen (Ziel: A+).
  • Apps sparsam: Jede App erweitert die Angriffsfläche; nur benötigte, gepflegte Apps aktivieren, Community-Apps vor dem Einsatz prüfen.
  • Administratorkonten getrennt von Alltagskonten, mit 2FA; Verwaltungsrechte delegieren statt vergeben.
  • Prüfprotokoll: App Auditing / Logging (admin_audit) protokolliert Anmeldungen, Freigaben und Dateizugriffe in eine eigene Logdatei; an ein SIEM wie Wazuh weiterleiten.
  • Netz: AIO-Oberfläche (Port 8080) nur intern; Datenbank und Redis nie veröffentlichen; Geo-Filter oder IPS auf der Firewall vor Nextcloud.
  • Docker-Socket: Bei All-in-One hat der Mastercontainer Zugriff auf Docker – Server ausschließlich für Nextcloud nutzen.

Hinweise

  • Ransomware auf Clients: Verschlüsselte Dateien werden synchronisiert. Versionen und Papierkorb helfen, ein unabhängiges Backup ist unverzichtbar.
  • Notfallplan: Wie wird ein kompromittiertes Konto gesperrt, wie die Instanz bei Verdacht vom Netz genommen? Ansprechpartner und Schritte dokumentieren.
  • Bei Härtung, Überwachung und Sicherheitsprüfung von Nextcloud-Umgebungen unterstützt Sie das Team Cybersecurity von m.a.x. it.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=Nextcloud:_Sicherheit_und_Härtung&oldid=5045“