https://techcorner.max-it.de/index.php?action=history&feed=atom&title=Nextcloud%3A_Sicherheit_und_H%C3%A4rtungNextcloud: Sicherheit und Härtung - Versionsgeschichte2026-10-19T02:33:40ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=Nextcloud:_Sicherheit_und_H%C3%A4rtung&diff=5045&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: 2FA-Pflicht, Brute-Force-Schutz, Freigaberegeln, ClamAV, Verschlüsselungsarten, Betrieb2026-10-17T00:00:00Z<p>Neuer Artikel: 2FA-Pflicht, Brute-Force-Schutz, Freigaberegeln, ClamAV, Verschlüsselungsarten, Betrieb</p>
<table style="background-color: #fff; color: #202122;" data-mw="interface">
<tr class="diff-title" lang="de">
<td colspan="1" style="background-color: #fff; color: #202122; text-align: center;">← Nächstältere Version</td>
<td colspan="1" style="background-color: #fff; color: #202122; text-align: center;">Version vom 17. Oktober 2026, 00:00 Uhr</td>
</tr><tr><td colspan="2" class="diff-notice" lang="de"><div class="mw-diff-empty">(kein Unterschied)</div>
</td></tr></table>imported>TechCorner-Redaktionhttps://techcorner.max-it.de/index.php?title=Nextcloud:_Sicherheit_und_H%C3%A4rtung&diff=4875&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: 2FA-Pflicht, Brute-Force-Schutz, Freigaberegeln, ClamAV, Verschlüsselungsarten, Betrieb2026-10-17T00:00:00Z<p>Neuer Artikel: 2FA-Pflicht, Brute-Force-Schutz, Freigaberegeln, ClamAV, Verschlüsselungsarten, Betrieb</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = Nextcloud 33–35 (Hub 26), Nextcloud All-in-One; Apps Two-Factor TOTP, Antivirus for files, File access control, Suspicious Login, Admin audit log<br />
| bereich = Server-Software<br />
| dauer = ca. 2–3 Stunden<br />
| rechte = Nextcloud-Administrator; Root auf dem Server für Firewall und Fail2ban<br />
| stand = Oktober 2026<br />
}}<br />
'''Nextcloud absichern und härten''' ist Pflicht, weil eine Firmen-Cloud fast immer aus dem Internet erreichbar ist und sämtliche Dokumente enthält. Nextcloud bringt dafür viele Schutzfunktionen mit – Brute-Force-Schutz, Zwei-Faktor-Anmeldung, Virenscan, Zugriffsregeln, Verschlüsselung und ein Prüfprotokoll –, die aber gezielt eingeschaltet und richtig verstanden werden müssen. Diese Checkliste fasst die wichtigsten Maßnahmen zusammen und erklärt, was die einzelnen Verschlüsselungsarten wirklich schützen.<br />
<br />
[[Datei:Nextcloud-Sicherheit.png|thumb|center|750px|Nextcloud härten: Zwei-Faktor-Anmeldung erzwingen (global oder für Gruppen), Brute-Force-Schutz mit verlangsamten Anfragen bis 24 Stunden und Sperren bis 30 Minuten, Fail2ban optional; Freigabe-Richtlinien mit Passwort und Ablaufdatum; Virenscan mit ClamAV; Zugriffsregeln der File access control; verdächtige Anmeldungen erkennen; Prüfprotokoll; Verschlüsselung: Festplattenverschlüsselung gegen Diebstahl, serverseitige Verschlüsselung für externe Speicher, Ende-zu-Ende-Verschlüsselung gegen Administratoren; Updates monatlich, Nextcloud Security Scan.]]<br />
<br />
== Schritt 1: Anmeldung an Nextcloud absichern ==<br />
* '''Zwei-Faktor-Anmeldung erzwingen''': Apps ''Two-Factor TOTP'' (Authenticator-App) und gegebenenfalls ''Two-Factor WebAuthn'' (Sicherheitsschlüssel, Passkeys) aktivieren; unter ''Verwaltungseinstellungen › Sicherheit'' die Pflicht global oder für bestimmte Gruppen setzen und Ausnahmegruppen festlegen. Bei SSO übernimmt der Identitätsanbieter die Mehr-Faktor-Anmeldung, siehe [[Nextcloud: Benutzer, Gruppen, LDAP und SSO]].<br />
* '''Passwortrichtlinie''' (App ''Password policy''): Mindestlänge, Prüfung gegen bekannte geleakte Passwörter, Ablauf nur, wenn gefordert.<br />
* '''Brute-Force-Schutz''' ist eingebaut: Nach Fehlversuchen werden Anfragen einer IP-Adresse bis zu '''24 Stunden''' verlangsamt, in extremen Fällen bis zu '''30 Minuten''' gesperrt. Hinter einem Reverse Proxy die Proxy-Adressen in <code>trusted_proxies</code> eintragen, sonst trifft der Schutz den Proxy statt des Angreifers.<br />
* '''Fail2ban''' kann zusätzlich IP-Adressen an der Firewall sperren; AIO beschreibt die Einbindung.<br />
* '''Verdächtige Anmeldungen''': Die App ''Suspicious Login'' lernt typische Anmeldeorte und warnt bei Auffälligkeiten.<br />
* '''Geräte und App-Passwörter''' bei Verlust sofort widerrufen.<br />
<br />
== Schritt 2: Freigaben begrenzen ==<br />
* Links nur mit '''Passwort''' und '''Ablaufdatum'''; Gruppen ohne Freigaberecht festlegen; Autovervollständigung im Teilen-Dialog einschränken – Details in [[Nextcloud: Dateien teilen, Sync-Client und externe Speicher]].<br />
* '''File access control''' (Zugriffsregeln): Regeln nach Gruppe, IP-Bereich, Dateityp, Uhrzeit oder Tag, z. B. „Dateien mit Tag ''Vertraulich'' nur aus dem Firmennetz“ oder „keine ausführbaren Dateien hochladen“.<br />
* '''Automatisches Markieren''' (Flow): Dateien beim Hochladen nach Regeln mit Tags versehen und daran Zugriffsregeln knüpfen.<br />
<br />
== Schritt 3: Virenscan ==<br />
* App '''Antivirus for files''' mit '''ClamAV''' – bei All-in-One als optionaler Container, sonst als Daemon auf dem Server.<br />
* Scan beim Hochladen und regelmäßiger Hintergrundscan; Fundstellen werden gelöscht bzw. gemeldet.<br />
* ClamAV braucht zusätzlichen Arbeitsspeicher (rund 1–2 GB). Es ersetzt keinen Endpoint-Schutz auf den Clients, verhindert aber, dass Nextcloud Schadsoftware an andere verteilt.<br />
<br />
== Schritt 4: Verschlüsselung richtig einordnen ==<br />
{| class="wikitable"<br />
! Methode !! Wo !! Wer kann entschlüsseln !! Schützt vor<br />
|-<br />
| '''Transportverschlüsselung''' (HTTPS) || Verbindung || – || Mitlesen im Netz – Pflicht<br />
|-<br />
| '''Festplattenverschlüsselung''' (z. B. LUKS) || Server-Betriebssystem || Betriebssystem-Administrator || Diebstahl von Platten oder Server<br />
|-<br />
| '''Serverseitige Verschlüsselung''' (Master Key) || Nextcloud-Server || Administratoren und Benutzer || Anbieter von externen Speichern (z. B. S3)<br />
|-<br />
| Serverseitige Verschlüsselung (Benutzerschlüssel) || Nextcloud-Server || Benutzer, mit Wiederherstellungsschlüssel auch Admins || externe Speicheranbieter<br />
|-<br />
| '''Ende-zu-Ende-Verschlüsselung''' || Client || nur Benutzer || Server-Administratoren und Anbieter<br />
|}<br />
'''Praxis:'''<br />
* Für eigene Server '''Festplattenverschlüsselung''' statt serverseitiger Verschlüsselung – sie schützt vor Diebstahl, ohne Funktionen einzuschränken.<br />
* Serverseitige Verschlüsselung schützt '''nicht''' vor einem kompromittierten Nextcloud-Server, verschlüsselt keine Dateinamen, lässt sich in der Oberfläche nicht rückgängig machen und führt bei Schlüsselverlust zu dauerhaftem Datenverlust. Nur einsetzen, wenn Daten auf fremdem Speicher liegen.<br />
* Ende-zu-Ende-Verschlüsselung nur für einzelne, besonders sensible Ordner; dort funktionieren Weboberfläche, Office und Suche nicht.<br />
Grundlagen: [[Verschlüsselung]], [[Ende-zu-Ende-Verschlüsselung]].<br />
<br />
== Schritt 5: Server und Betrieb ==<br />
* '''Updates''': Wartungsversionen erscheinen etwa monatlich und enthalten Sicherheitskorrekturen – zeitnah einspielen, nie auf ausgelaufenen Hauptversionen bleiben, siehe [[Nextcloud: Backup, Updates und Wartung]].<br />
* '''Sicherheitswarnungen''' unter ''Verwaltungseinstellungen › Übersicht'' abarbeiten und die Instanz mit dem öffentlichen '''Nextcloud Security Scan''' prüfen (Ziel: A+).<br />
* '''Apps sparsam''': Jede App erweitert die Angriffsfläche; nur benötigte, gepflegte Apps aktivieren, Community-Apps vor dem Einsatz prüfen.<br />
* '''Administratorkonten''' getrennt von Alltagskonten, mit 2FA; Verwaltungsrechte delegieren statt vergeben.<br />
* '''Prüfprotokoll''': App ''Auditing / Logging'' (admin_audit) protokolliert Anmeldungen, Freigaben und Dateizugriffe in eine eigene Logdatei; an ein SIEM wie Wazuh weiterleiten.<br />
* '''Netz''': AIO-Oberfläche (Port 8080) nur intern; Datenbank und Redis nie veröffentlichen; Geo-Filter oder IPS auf der Firewall vor Nextcloud.<br />
* '''Docker-Socket''': Bei All-in-One hat der Mastercontainer Zugriff auf Docker – Server ausschließlich für Nextcloud nutzen.<br />
<br />
== Hinweise ==<br />
* '''Ransomware auf Clients''': Verschlüsselte Dateien werden synchronisiert. Versionen und Papierkorb helfen, ein unabhängiges Backup ist unverzichtbar.<br />
* '''Notfallplan''': Wie wird ein kompromittiertes Konto gesperrt, wie die Instanz bei Verdacht vom Netz genommen? Ansprechpartner und Schritte dokumentieren.<br />
* Bei Härtung, Überwachung und Sicherheitsprüfung von Nextcloud-Umgebungen unterstützt Sie das Team [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Nextcloud]] – Überblick und alle Artikel der Reihe<br />
* [[Zwei-Faktor-Authentifizierung]]<br />
* [[Brute-Force-Angriff]]<br />
* [[Antivirus]]<br />
<br />
== Links und Quellen ==<br />
* [https://docs.nextcloud.com/server/stable/admin_manual/installation/harden_server.html Nextcloud: Hardening and security guidance]<br />
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Server-Software]]<br />
</div>imported>TechCorner-Redaktion