Quelltext der Seite Nextcloud: Sicherheit und Härtung

{{Steckbrief
| gilt_fuer   = Nextcloud 33–35 (Hub 26), Nextcloud All-in-One; Apps Two-Factor TOTP, Antivirus for files, File access control, Suspicious Login, Admin audit log
| bereich     = Server-Software
| dauer       = ca. 2–3 Stunden
| rechte      = Nextcloud-Administrator; Root auf dem Server für Firewall und Fail2ban
| stand       = Oktober 2026
}}
'''Nextcloud absichern und härten''' ist Pflicht, weil eine Firmen-Cloud fast immer aus dem Internet erreichbar ist und sämtliche Dokumente enthält. Nextcloud bringt dafür viele Schutzfunktionen mit – Brute-Force-Schutz, Zwei-Faktor-Anmeldung, Virenscan, Zugriffsregeln, Verschlüsselung und ein Prüfprotokoll –, die aber gezielt eingeschaltet und richtig verstanden werden müssen. Diese Checkliste fasst die wichtigsten Maßnahmen zusammen und erklärt, was die einzelnen Verschlüsselungsarten wirklich schützen.

[[Datei:Nextcloud-Sicherheit.png|thumb|center|750px|Nextcloud härten: Zwei-Faktor-Anmeldung erzwingen (global oder für Gruppen), Brute-Force-Schutz mit verlangsamten Anfragen bis 24 Stunden und Sperren bis 30 Minuten, Fail2ban optional; Freigabe-Richtlinien mit Passwort und Ablaufdatum; Virenscan mit ClamAV; Zugriffsregeln der File access control; verdächtige Anmeldungen erkennen; Prüfprotokoll; Verschlüsselung: Festplattenverschlüsselung gegen Diebstahl, serverseitige Verschlüsselung für externe Speicher, Ende-zu-Ende-Verschlüsselung gegen Administratoren; Updates monatlich, Nextcloud Security Scan.]]

== Schritt 1: Anmeldung an Nextcloud absichern ==
* '''Zwei-Faktor-Anmeldung erzwingen''': Apps ''Two-Factor TOTP'' (Authenticator-App) und gegebenenfalls ''Two-Factor WebAuthn'' (Sicherheitsschlüssel, Passkeys) aktivieren; unter ''Verwaltungseinstellungen › Sicherheit'' die Pflicht global oder für bestimmte Gruppen setzen und Ausnahmegruppen festlegen. Bei SSO übernimmt der Identitätsanbieter die Mehr-Faktor-Anmeldung, siehe [[Nextcloud: Benutzer, Gruppen, LDAP und SSO]].
* '''Passwortrichtlinie''' (App ''Password policy''): Mindestlänge, Prüfung gegen bekannte geleakte Passwörter, Ablauf nur, wenn gefordert.
* '''Brute-Force-Schutz''' ist eingebaut: Nach Fehlversuchen werden Anfragen einer IP-Adresse bis zu '''24 Stunden''' verlangsamt, in extremen Fällen bis zu '''30 Minuten''' gesperrt. Hinter einem Reverse Proxy die Proxy-Adressen in <code>trusted_proxies</code> eintragen, sonst trifft der Schutz den Proxy statt des Angreifers.
* '''Fail2ban''' kann zusätzlich IP-Adressen an der Firewall sperren; AIO beschreibt die Einbindung.
* '''Verdächtige Anmeldungen''': Die App ''Suspicious Login'' lernt typische Anmeldeorte und warnt bei Auffälligkeiten.
* '''Geräte und App-Passwörter''' bei Verlust sofort widerrufen.

== Schritt 2: Freigaben begrenzen ==
* Links nur mit '''Passwort''' und '''Ablaufdatum'''; Gruppen ohne Freigaberecht festlegen; Autovervollständigung im Teilen-Dialog einschränken – Details in [[Nextcloud: Dateien teilen, Sync-Client und externe Speicher]].
* '''File access control''' (Zugriffsregeln): Regeln nach Gruppe, IP-Bereich, Dateityp, Uhrzeit oder Tag, z. B. „Dateien mit Tag ''Vertraulich'' nur aus dem Firmennetz“ oder „keine ausführbaren Dateien hochladen“.
* '''Automatisches Markieren''' (Flow): Dateien beim Hochladen nach Regeln mit Tags versehen und daran Zugriffsregeln knüpfen.

== Schritt 3: Virenscan ==
* App '''Antivirus for files''' mit '''ClamAV''' – bei All-in-One als optionaler Container, sonst als Daemon auf dem Server.
* Scan beim Hochladen und regelmäßiger Hintergrundscan; Fundstellen werden gelöscht bzw. gemeldet.
* ClamAV braucht zusätzlichen Arbeitsspeicher (rund 1–2 GB). Es ersetzt keinen Endpoint-Schutz auf den Clients, verhindert aber, dass Nextcloud Schadsoftware an andere verteilt.

== Schritt 4: Verschlüsselung richtig einordnen ==
{| class="wikitable"
! Methode !! Wo !! Wer kann entschlüsseln !! Schützt vor
|-
| '''Transportverschlüsselung''' (HTTPS) || Verbindung || – || Mitlesen im Netz – Pflicht
|-
| '''Festplattenverschlüsselung''' (z. B. LUKS) || Server-Betriebssystem || Betriebssystem-Administrator || Diebstahl von Platten oder Server
|-
| '''Serverseitige Verschlüsselung''' (Master Key) || Nextcloud-Server || Administratoren und Benutzer || Anbieter von externen Speichern (z. B. S3)
|-
| Serverseitige Verschlüsselung (Benutzerschlüssel) || Nextcloud-Server || Benutzer, mit Wiederherstellungsschlüssel auch Admins || externe Speicheranbieter
|-
| '''Ende-zu-Ende-Verschlüsselung''' || Client || nur Benutzer || Server-Administratoren und Anbieter
|}
'''Praxis:'''
* Für eigene Server '''Festplattenverschlüsselung''' statt serverseitiger Verschlüsselung – sie schützt vor Diebstahl, ohne Funktionen einzuschränken.
* Serverseitige Verschlüsselung schützt '''nicht''' vor einem kompromittierten Nextcloud-Server, verschlüsselt keine Dateinamen, lässt sich in der Oberfläche nicht rückgängig machen und führt bei Schlüsselverlust zu dauerhaftem Datenverlust. Nur einsetzen, wenn Daten auf fremdem Speicher liegen.
* Ende-zu-Ende-Verschlüsselung nur für einzelne, besonders sensible Ordner; dort funktionieren Weboberfläche, Office und Suche nicht.
Grundlagen: [[Verschlüsselung]], [[Ende-zu-Ende-Verschlüsselung]].

== Schritt 5: Server und Betrieb ==
* '''Updates''': Wartungsversionen erscheinen etwa monatlich und enthalten Sicherheitskorrekturen – zeitnah einspielen, nie auf ausgelaufenen Hauptversionen bleiben, siehe [[Nextcloud: Backup, Updates und Wartung]].
* '''Sicherheitswarnungen''' unter ''Verwaltungseinstellungen › Übersicht'' abarbeiten und die Instanz mit dem öffentlichen '''Nextcloud Security Scan''' prüfen (Ziel: A+).
* '''Apps sparsam''': Jede App erweitert die Angriffsfläche; nur benötigte, gepflegte Apps aktivieren, Community-Apps vor dem Einsatz prüfen.
* '''Administratorkonten''' getrennt von Alltagskonten, mit 2FA; Verwaltungsrechte delegieren statt vergeben.
* '''Prüfprotokoll''': App ''Auditing / Logging'' (admin_audit) protokolliert Anmeldungen, Freigaben und Dateizugriffe in eine eigene Logdatei; an ein SIEM wie Wazuh weiterleiten.
* '''Netz''': AIO-Oberfläche (Port 8080) nur intern; Datenbank und Redis nie veröffentlichen; Geo-Filter oder IPS auf der Firewall vor Nextcloud.
* '''Docker-Socket''': Bei All-in-One hat der Mastercontainer Zugriff auf Docker – Server ausschließlich für Nextcloud nutzen.

== Hinweise ==
* '''Ransomware auf Clients''': Verschlüsselte Dateien werden synchronisiert. Versionen und Papierkorb helfen, ein unabhängiges Backup ist unverzichtbar.
* '''Notfallplan''': Wie wird ein kompromittiertes Konto gesperrt, wie die Instanz bei Verdacht vom Netz genommen? Ansprechpartner und Schritte dokumentieren.
* Bei Härtung, Überwachung und Sicherheitsprüfung von Nextcloud-Umgebungen unterstützt Sie das Team [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it].

== Siehe auch ==
* [[Nextcloud]] – Überblick und alle Artikel der Reihe
* [[Zwei-Faktor-Authentifizierung]]
* [[Brute-Force-Angriff]]
* [[Antivirus]]

== Links und Quellen ==
* [https://docs.nextcloud.com/server/stable/admin_manual/installation/harden_server.html Nextcloud: Hardening and security guidance]
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]

{{Uebermax}}
[[Kategorie:Server-Software]]