Software & Collaboration
Nextcloud
Nextcloud ist eine quelloffene, selbst gehostete Plattform für Dateien, Freigaben und Zusammenarbeit, bei der Daten auf eigener Infrastruktur verbleiben.
- AGPLv3, selbst gehostet
- Hub: Files, Talk, Groupware, Office
- Datensouveränität (DSGVO)
- Sync & Share + Zusammenarbeit
- On-Prem-KI (llm2)
Nextcloud ist eine quelloffene, selbst gehostete Plattform für Dateiablage, Freigabe und Zusammenarbeit. Die Daten liegen auf eigener Infrastruktur, der Hersteller hat keinen technischen Zugriff darauf, was Nextcloud zu einer datensouveränen Alternative zu öffentlichen Cloud-Diensten macht.
Dieser Artikel erklärt das Hub-Konzept (Files, Talk, Groupware, Office), die Architektur aus PHP, Datenbank, Cache und Speicher, Clients und Sync, Teilen und Federation, die Sicherheitsfunktionen und ihre Grenzen, Skalierung sowie die typischen Betriebsfehler. Mail und klassische Exchange-Groupware sind ein eigenes Thema und rechts verlinkt.
1. Datensouveränität als Kern
Der gesamte Server-Code steht unter AGPLv3, auch in der Enterprise-Variante, es gibt also keine geschlossene Enterprise-Codebasis. Weil die Instanz vollständig beim Betreiber läuft, ist dieser der alleinige Verantwortliche im Sinne der DSGVO; ein Auftragsverarbeitungsvertrag mit dem Hersteller entfällt. Das ist der Hauptgrund, warum Behörden, Bildungseinrichtungen und Mittelstand auf Nextcloud setzen.
2. Nextcloud Hub: mehr als Dateien
Nextcloud bündelt mehrere Anwendungen unter einer Oberfläche (Hub):
- Files Synchronisation und Freigabe, der Kern der Plattform.
- Talk Chat sowie Sprach- und Videoanrufe über WebRTC; größere Gruppen-Calls brauchen das High Performance Backend.
- Groupware Kalender und Kontakte über CalDAV/CardDAV, Mail als IMAP/SMTP-Client (kein eigener Mailserver).
- Office gemeinsame Dokumentbearbeitung über Collabora Online oder OnlyOffice als angebundenen Dienst.
- Assistant KI-Funktionen, auf Wunsch lokal über die llm2-App mit eigenem Modell, ohne Cloud.
3. Architektur
Nextcloud ist eine PHP-Anwendung hinter einem Webserver (Apache/nginx mit php-fpm). Daneben stehen externe Dienste: eine Datenbank (MariaDB/MySQL oder PostgreSQL; SQLite nur zum Testen), ein Memory-Cache (APCu lokal, Redis verteilt und fürs File-Locking) und ein Reverse Proxy für TLS. Der Dateispeicher (Primary Storage) liegt entweder im lokalen Dateisystem oder in einem S3-kompatiblen Objektspeicher.
Der wichtigste Betriebsschalter ist der Hintergrund-Job: Nach der Installation läuft er im AJAX-Modus und nur bei aktiver Sitzung. Für Produktion gehört ein System-Cron alle fünf Minuten eingerichtet, sonst stauen sich Aufräum-, Index- und Benachrichtigungs-Jobs.
4. Clients und Sync
Der Desktop-Client (Windows/macOS/Linux) synchronisiert bidirektional; mit Virtual Files erscheinen alle Dateien als Platzhalter und werden erst beim Zugriff geladen. Mobile Apps decken Foto-Upload und Offline-Dateien ab. Für eigene Werkzeuge steht der Speicher über WebDAV bereit (mit App-Passwörtern statt des Hauptkennworts).
5. Teilen und Federation
Geteilt wird intern an Nutzer, Gruppen und Kreise, extern über passwortgeschützte Links mit Ablaufdatum. Über Federated Sharing lassen sich Freigaben serverübergreifend zwischen vertrauenswürdigen Instanzen einrichten (Syntax nutzer@instanz). Admins können Passwortpflicht und Ablauf erzwingen oder externe Freigaben ganz abschalten.
6. Sicherheit und ihre Grenzen
Nextcloud unterstützt Zwei-Faktor-Authentifizierung (TOTP, WebAuthn/Passkeys), zentrale Authentifizierung über LDAP, SAML und OIDC sowie ein Audit-Log. Bei der Verschlüsselung ist die Unterscheidung wichtig: Server-Side Encryption verschlüsselt Dateiinhalte at rest (vor allem sinnvoll für angebundenen externen Speicher), schützt aber nicht vor einem kompromittierten Server oder Admin. Nur Ende-zu-Ende-Verschlüsselung (clientseitig) tut das, schließt dann aber serverseitige Funktionen wie Volltextsuche und gemeinsame Bearbeitung für diese Ordner aus.
Verschlüsselung mit Bedacht
Server-Side Encryption ersetzt keine Festplattenverschlüsselung gegen physischen Diebstahl (dafür ist LUKS besser) und kein Backup. Einmal aktiviert, darf sie nicht ohne vorherige Entschlüsselung aller Dateien wieder abgeschaltet werden, sonst drohen Fehler und Datenverlust.
7. Skalierung und Hochverfügbarkeit
Nextcloud skaliert horizontal über mehrere Webknoten mit gemeinsamer Datenbank und Speicherschicht, bringt aber keine fertige HA-Automatik mit; Hochverfügbarkeit kommt über externe Bausteine (Datenbank-Cluster, Cluster-Dateisystem oder S3, Loadbalancer). Sehr große Installationen nutzen das Enterprise-Feature Global Scale; große Talk-Konferenzen brauchen das High Performance Backend.
8. Best Practices und typische Fehler
- System-Cron statt AJAX der häufigste Fehler; Hintergrund-Jobs laufen sonst nur sporadisch.
- Redis fürs File-Locking entlastet die Datenbank deutlich; Memcached kann das transaktionale Locking nicht.
- Reverse Proxy sauber setzen trusted_proxies und overwriteprotocol konfigurieren, .well-known-Weiterleitungen für CalDAV/CardDAV.
- Objektspeicher bewusst planen der nachträgliche Wechsel auf S3-Primary-Storage ist destruktiv; Metadaten liegen dann nur in der DB, Backup beider Seiten koordinieren.
- Datenbank pflegen fehlende Indizes mit occ ergänzen, Buffer-Pool ausreichend dimensionieren.
occ: Cron-Modus, Indizes und Wartung
sudo -u www-data php occ background:cron
sudo -u www-data php occ db:add-missing-indices
sudo -u www-data php occ maintenance:repair9. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Volle Datensouveränität, kein Herstellerzugriff (AGPLv3) | Betrieb (Updates, Backup, Tuning, Monitoring) liegt beim Betreiber |
| Integrierter Hub: Files, Groupware, Video, Office, KI | Server-Side Encryption schützt nicht vor bösem Admin/Server |
| Offene Standards: WebDAV, CalDAV, CardDAV, OIDC, SAML, LDAP | Größere Talk-Videokonferenzen und sehr große Setups erfordern Enterprise-Bausteine |
| Großes App-Ökosystem, lokale KI ohne Cloud | Objektspeicher-Migration ist destruktiv und will geplant sein |
| Community kostenfrei, Enterprise mit SLA auf gleichem Code | PHP-/DB-/Cache-Tuning nötig für gute Performance |
Häufige Fragen zu Nextcloud
Server-Side Encryption nicht, sie schützt Daten auf angebundenem Speicher, nicht vor einem kompromittierten Server. Dafür braucht es clientseitige Ende-zu-Ende-Verschlüsselung, die dann aber serverseitige Funktionen für die betroffenen Ordner einschränkt.
Nein. Versionierung und Papierkorb helfen bei Versehen, aber gegen Hardwareausfall, Ransomware oder Logikfehler braucht es ein getrenntes Backup von Datenbank und Dateispeicher.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Nextcloud im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.