Nextcloud: Sicherheit und Härtung
Aus maxTechCorner
(Weitergeleitet von Nextcloud 2FA)
Auf einen Blick
| Gilt für | Nextcloud 33–35 (Hub 26), Nextcloud All-in-One; Apps Two-Factor TOTP, Antivirus for files, File access control, Suspicious Login, Admin audit log |
|---|---|
| Bereich | Server-Software |
| Dauer | ca. 2–3 Stunden |
| Rechte | Nextcloud-Administrator; Root auf dem Server für Firewall und Fail2ban |
| Stand | Oktober 2026 |
Nextcloud absichern und härten ist Pflicht, weil eine Firmen-Cloud fast immer aus dem Internet erreichbar ist und sämtliche Dokumente enthält. Nextcloud bringt dafür viele Schutzfunktionen mit – Brute-Force-Schutz, Zwei-Faktor-Anmeldung, Virenscan, Zugriffsregeln, Verschlüsselung und ein Prüfprotokoll –, die aber gezielt eingeschaltet und richtig verstanden werden müssen. Diese Checkliste fasst die wichtigsten Maßnahmen zusammen und erklärt, was die einzelnen Verschlüsselungsarten wirklich schützen.
Schritt 1: Anmeldung an Nextcloud absichern
- Zwei-Faktor-Anmeldung erzwingen: Apps Two-Factor TOTP (Authenticator-App) und gegebenenfalls Two-Factor WebAuthn (Sicherheitsschlüssel, Passkeys) aktivieren; unter Verwaltungseinstellungen › Sicherheit die Pflicht global oder für bestimmte Gruppen setzen und Ausnahmegruppen festlegen. Bei SSO übernimmt der Identitätsanbieter die Mehr-Faktor-Anmeldung, siehe Nextcloud: Benutzer, Gruppen, LDAP und SSO.
- Passwortrichtlinie (App Password policy): Mindestlänge, Prüfung gegen bekannte geleakte Passwörter, Ablauf nur, wenn gefordert.
- Brute-Force-Schutz ist eingebaut: Nach Fehlversuchen werden Anfragen einer IP-Adresse bis zu 24 Stunden verlangsamt, in extremen Fällen bis zu 30 Minuten gesperrt. Hinter einem Reverse Proxy die Proxy-Adressen in
trusted_proxieseintragen, sonst trifft der Schutz den Proxy statt des Angreifers. - Fail2ban kann zusätzlich IP-Adressen an der Firewall sperren; AIO beschreibt die Einbindung.
- Verdächtige Anmeldungen: Die App Suspicious Login lernt typische Anmeldeorte und warnt bei Auffälligkeiten.
- Geräte und App-Passwörter bei Verlust sofort widerrufen.
Schritt 2: Freigaben begrenzen
- Links nur mit Passwort und Ablaufdatum; Gruppen ohne Freigaberecht festlegen; Autovervollständigung im Teilen-Dialog einschränken – Details in Nextcloud: Dateien teilen, Sync-Client und externe Speicher.
- File access control (Zugriffsregeln): Regeln nach Gruppe, IP-Bereich, Dateityp, Uhrzeit oder Tag, z. B. „Dateien mit Tag Vertraulich nur aus dem Firmennetz“ oder „keine ausführbaren Dateien hochladen“.
- Automatisches Markieren (Flow): Dateien beim Hochladen nach Regeln mit Tags versehen und daran Zugriffsregeln knüpfen.
Schritt 3: Virenscan
- App Antivirus for files mit ClamAV – bei All-in-One als optionaler Container, sonst als Daemon auf dem Server.
- Scan beim Hochladen und regelmäßiger Hintergrundscan; Fundstellen werden gelöscht bzw. gemeldet.
- ClamAV braucht zusätzlichen Arbeitsspeicher (rund 1–2 GB). Es ersetzt keinen Endpoint-Schutz auf den Clients, verhindert aber, dass Nextcloud Schadsoftware an andere verteilt.
Schritt 4: Verschlüsselung richtig einordnen
| Methode | Wo | Wer kann entschlüsseln | Schützt vor |
|---|---|---|---|
| Transportverschlüsselung (HTTPS) | Verbindung | – | Mitlesen im Netz – Pflicht |
| Festplattenverschlüsselung (z. B. LUKS) | Server-Betriebssystem | Betriebssystem-Administrator | Diebstahl von Platten oder Server |
| Serverseitige Verschlüsselung (Master Key) | Nextcloud-Server | Administratoren und Benutzer | Anbieter von externen Speichern (z. B. S3) |
| Serverseitige Verschlüsselung (Benutzerschlüssel) | Nextcloud-Server | Benutzer, mit Wiederherstellungsschlüssel auch Admins | externe Speicheranbieter |
| Ende-zu-Ende-Verschlüsselung | Client | nur Benutzer | Server-Administratoren und Anbieter |
Praxis:
- Für eigene Server Festplattenverschlüsselung statt serverseitiger Verschlüsselung – sie schützt vor Diebstahl, ohne Funktionen einzuschränken.
- Serverseitige Verschlüsselung schützt nicht vor einem kompromittierten Nextcloud-Server, verschlüsselt keine Dateinamen, lässt sich in der Oberfläche nicht rückgängig machen und führt bei Schlüsselverlust zu dauerhaftem Datenverlust. Nur einsetzen, wenn Daten auf fremdem Speicher liegen.
- Ende-zu-Ende-Verschlüsselung nur für einzelne, besonders sensible Ordner; dort funktionieren Weboberfläche, Office und Suche nicht.
Grundlagen: Verschlüsselung, Ende-zu-Ende-Verschlüsselung.
Schritt 5: Server und Betrieb
- Updates: Wartungsversionen erscheinen etwa monatlich und enthalten Sicherheitskorrekturen – zeitnah einspielen, nie auf ausgelaufenen Hauptversionen bleiben, siehe Nextcloud: Backup, Updates und Wartung.
- Sicherheitswarnungen unter Verwaltungseinstellungen › Übersicht abarbeiten und die Instanz mit dem öffentlichen Nextcloud Security Scan prüfen (Ziel: A+).
- Apps sparsam: Jede App erweitert die Angriffsfläche; nur benötigte, gepflegte Apps aktivieren, Community-Apps vor dem Einsatz prüfen.
- Administratorkonten getrennt von Alltagskonten, mit 2FA; Verwaltungsrechte delegieren statt vergeben.
- Prüfprotokoll: App Auditing / Logging (admin_audit) protokolliert Anmeldungen, Freigaben und Dateizugriffe in eine eigene Logdatei; an ein SIEM wie Wazuh weiterleiten.
- Netz: AIO-Oberfläche (Port 8080) nur intern; Datenbank und Redis nie veröffentlichen; Geo-Filter oder IPS auf der Firewall vor Nextcloud.
- Docker-Socket: Bei All-in-One hat der Mastercontainer Zugriff auf Docker – Server ausschließlich für Nextcloud nutzen.
Hinweise
- Ransomware auf Clients: Verschlüsselte Dateien werden synchronisiert. Versionen und Papierkorb helfen, ein unabhängiges Backup ist unverzichtbar.
- Notfallplan: Wie wird ein kompromittiertes Konto gesperrt, wie die Instanz bei Verdacht vom Netz genommen? Ansprechpartner und Schritte dokumentieren.
- Bei Härtung, Überwachung und Sicherheitsprüfung von Nextcloud-Umgebungen unterstützt Sie das Team Cybersecurity von m.a.x. it.
Siehe auch
- Nextcloud – Überblick und alle Artikel der Reihe
- Zwei-Faktor-Authentifizierung
- Brute-Force-Angriff
- Antivirus
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
