Nextcloud-2FA und Zugriffsschutz: So geht’s!
2FA fügt Nextcloud eine zusätzliche Sicherheitsebene beim Login hinzu. Neben dem Passwort wird ein zweiter Faktor benötigt, beispielsweise ein Einmalcode, ein angemeldetes Gerät oder ein Hardware-Sicherheitsschlüssel. Dadurch kombiniert Nextcloud Wissen und Besitz, um den unbefugten Zugriff auf Ihre Cloud-Ressourcen deutlich zu erschweren.
Wieso ist ein zusätzlicher Zugriffsschutz in Nextcloud sinnvoll?
Nextcloud speichert häufig sensible Daten wie Dokumente, Projektdateien, Kundendaten oder interne Verzeichnisse. Deshalb sollte der Zugriffsschutz nicht nur aus einem sicheren Passwort bestehen, sondern aus mehreren Sicherheitsmechanismen: Zwei-Faktor-Authentifizierung, erzwungene Sicherheitsrichtlinien, Zugriffskontrollen für Dateien und Schutz vor automatisierten Login-Angriffen. Die 2FA ist dabei eine zusätzliche Authentifizierungsschicht, bei der neben dem Login-Passwort ein weiterer Faktor erforderlich ist.
- Vollständige Datensouveränität in deutschen Rechenzentren
- Sicheres Teamwork mit E-Mail, Office, Chat und KI
- Einfache Anwendung & volle Skalierbarkeit
Implementierung von 2FA-Methoden in Nextcloud
Nextcloud setzt bei der Zwei-Faktor-Authentifizierung auf ein erweiterbares Provider-Modell. Das bedeutet: Die 2FA-Funktion ist nicht auf eine einzige Methode beschränkt, sondern kann über Apps bzw. Provider ergänzt werden. Mindestens ein 2FA-Provider muss durch die Administration aktiviert werden; anschließend aktivieren Nutzerinnen und Nutzer 2FA selbst oder die Admins erzwingen die Nutzung.
Aktuelle Nextcloud-Versionen installieren mehrere 2FA-Provider automatisch: den TOTP-Provider, die Zwei-Faktor-Authentifizierung per Nextcloud-Benachrichtigung und den Backup-Codes-Provider. TOTP und die Benachrichtigungsmethode müssen in der Regel erst über die Apps aktiviert werden. Backup-Codes sind als Wiederherstellungsfaktor immer verfügbar und sollten von Nutzerinnen und Nutzern sicher gespeichert werden.
Dabei ist nicht jede Nextcloud-2FA-Methode gleich sicher:
- Für besonders schützenswerte Konten ist WebAuthn/FIDO2 mit einem Hardware-Sicherheitsschlüssel meist die stärkste 2FA-Option in Nextcloud, da dieses Verfahren besonders widerstandsfähig gegen Phishing ist.
- TOTP ist sehr verbreitet und für viele Umgebungen ein guter Standard, während SMS- oder Messenger-basierte Codes eher als komfortable, aber weniger starke Variante betrachtet werden sollten.
Two-Factor TOTP Provider
Der Two-Factor TOTP Provider nutzt zeitbasierte Einmalpasswörter, sogenannte Time-based One-Time Passwords. Dabei richtet der User in Nextcloud einen QR-Code ein und scannt ihn mit einer Authenticator-App, zum Beispiel Google Authenticator, FreeOTP oder einer anderen kompatiblen Passwortmanager-App. Beim Login verlangt Nextcloud nach dem Passwort zusätzlich einen sechsstelligen Code, der in der Authenticator-App erzeugt wird und sich alle 30 Sekunden ändert.
Der TOTP-Provider ist mit RFC-6238-kompatiblen Apps nutzbar. Seit Nextcloud 25 wird der TOTP-Provider mitgeliefert. Allerdings ist er standardmäßig deaktiviert und muss in den Apps aktiviert werden. Für Einsteigerinnen und Einsteiger ist TOTP meist die beste Kombination aus Sicherheit, einfacher Einrichtung, komfortabler Bedienung und breiter Geräteunterstützung. Von zentraler Bedeutung ist allerdings, dass Nutzende ihre Backup-Codes speichern, weil ein verlorenes Smartphone sonst zur Aussperrung führen kann.
| Vorteile | Nachteile |
|---|---|
| ✓ Sehr verbreitet und leicht verständlich | ✗ Weniger phishing-resistent als WebAuthn/FIDO2 |
| ✓ Funktioniert mit vielen Authenticator-Apps | ✗ Smartphone-Verlust kann ohne Backup-Codes problematisch sein |
| ✓ Keine zusätzliche Hardware erforderlich | ✗ Codes können bei sehr gut gemachten Phishing-Angriffen abgefangen werden |
| ✓ Deutlich sicherer als nur ein Passwort | ✗ Nutzerinnen und Nutzer müssen Uhrzeit und Authenticator-App korrekt verwenden |
| ✓ Auch für kleine Teams einfach auszurollen |
Zwei-Faktor-Authentifizierung per Nextcloud-Benachrichtigung
Die Zwei-Faktor-Authentifizierung per Nextcloud-Benachrichtigung nutzt ein bereits angemeldetes Gerät oder eine aktive Browser-Sitzung als zweiten Faktor. Beim Login erhält die Nutzerin oder der Nutzer auf einem bestehenden Nextcloud-Gerät eine Benachrichtigung und kann den Anmeldeversuch bestätigen oder ablehnen. Diese Methode ist komfortabel, setzt aber voraus, dass bereits ein vertrauenswürdiges Gerät angemeldet ist und Benachrichtigungen zuverlässig funktionieren. Sie eignet sich daher gut als nutzerfreundliche Ergänzung, sollte für besonders kritische Konten aber sorgfältig mit TOTP, WebAuthn/FIDO2 und Backup-Codes kombiniert werden.
| Vorteile | Nachteile |
|---|---|
| ✓ Sehr komfortabel, da kein Code abgetippt werden muss | ✗ Funktioniert nur, wenn bereits ein vertrauenswürdiges Gerät angemeldet ist |
| ✓ Nutzt vorhandene Nextcloud-Geräte oder Sitzungen als zweiten Faktor | ✗ Abhängig von funktionierenden Benachrichtigungen und erreichbaren Geräten |
| ✓ Keine zusätzliche Hardware erforderlich | ✗ Weniger geeignet, wenn Nutzerinnen und Nutzer nur ein einziges Gerät verwenden |
| ✓ Einfache Bestätigung oder Ablehnung des Login-Versuchs | ✗ Bei Geräteverlust oder fehlender Sitzung sind Backup-Codes bzw. Admin-Support nötig |
| ✓ Gute nutzerfreundliche Ergänzung zu TOTP oder WebAuthn | ✗ Für besonders kritische Konten nicht so stark wie WebAuthn/FIDO2 |
Two-Factor WebAuthn bzw. FIDO2
Two-Factor WebAuthn bindet Authentifizierungsverfahren wie FIDO2-Sicherheitsschlüssel oder plattformbasierte Authentifikatoren ein. Dazu zählen zum Beispiel USB-, NFC- oder Bluetooth-Sicherheitsschlüssel sowie Gerätefunktionen wie biometrisch geschützte Plattform-Authentifizierung.
Der große Vorteil liegt darin, dass WebAuthn ein starker Schutz gegen Phishing ist: Der zweite Faktor ist kryptografisch an die jeweilige Website bzw. Domain gebunden. Angreifende können einen WebAuthn-Faktor daher nicht so einfach über eine gefälschte Login-Seite abgreifen wie einen TOTP-Code. Im Nextcloud App Store ist Two-Factor WebAuthn als Sicherheits-App gelistet und für aktuelle Nextcloud-Versionen verfügbar. Für Unternehmen in sensiblen Bereichen, Administratoren und besonders schützenswerte Konten ist WebAuthn daher im Regelfall die beste Wahl.
| Vorteile | Nachteile |
|---|---|
| ✓ Sehr hoher Schutz gegen Phishing | ✗ Erfordert kompatible Browser und Geräte |
| ✓ Sehr komfortabel nach der Einrichtung | ✗ Hardware-Keys verursachen zusätzliche Kosten |
| ✓ Besonders geeignet für Admin-Konten und sensible Nutzergruppen | ✗ Verlust des Sicherheitsschlüssels muss organisatorisch abgesichert werden |
| ✓ Kein manuelles Abtippen von Codes nötig | ✗ Einführung kann für unerfahrene Nutzerinnen und Nutzer erklärungsbedürftig sein |
| ✓ Starke technische Bindung an die echte Nextcloud-Domain |
Two-Factor Gateway: SMS, Signal, Telegram, WhatsApp und XMPP
Die App Two-Factor Gateway stellt zusätzliche 2FA-Provider bereit, bei denen Authentifizierungscodes über Kommunikationskanäle wie Signal, SMS, Telegram, WhatsApp oder XMPP verschickt werden. Der Vorteil dieser Variante von Nextcloud-2FA liegt vor allem in der Nutzerfreundlichkeit: Viele Personen kennen SMS- oder Messenger-Codes bereits aus anderen Diensten.
Technisch ist diese Methode aber schwächer als WebAuthn und in den meisten Fällen auch schwächer als lokal generierte TOTP-Codes, weil externe Zustellwege, Mobilfunknummern, Messenger-Konten oder Gateway-Dienste zusätzliche Abhängigkeiten erzeugen. Für Umgebungen mit hohen Schutzanforderungen sollten SMS- und Messenger-Codes aus diesem Grund nicht die bevorzugte Methode sein. Sinnvoll kann Two-Factor Gateway sein, wenn Nutzerinnen und Nutzer keine Authenticator-App einsetzen können oder wenn eine Übergangslösung benötigt wird.
| Vorteile | Nachteile |
|---|---|
| ✓ Leicht verständlich | ✗ Geringere Sicherheit als WebAuthn/FIDO2 |
| ✓ Kein separates Authenticator-Setup nötig | ✗ Abhängigkeit von externen Diensten oder Mobilfunknetzen |
| ✓ Mehrere Kommunikationskanäle möglich | ✗ SMS kann durch SIM-Swapping oder unsichere Zustellung problematisch sein |
| ✓ Kann als pragmatische Übergangslösung dienen | ✗ Messenger-Konten können selbst kompromittiert werden |
| ✓ Gut geeignet, wenn Usability wichtiger ist als maximale Sicherheit | ✗ Nicht ideal für Administratoren oder besonders sensible Konten |
Erzwungene Zwei-Faktor-Authentifizierung
Standardmäßig ist Nextcloud-2FA optional: Nutzerinnen und Nutzer können die Funktion in ihren persönlichen Einstellungen aktivieren, müssen dies aber nicht. Für produktive Umgebungen ist es aber in vielen Fällen sinnvoll, 2FA besonders für Admin-Konten, Personalabteilungen, Projektleitungen oder Gruppen mit Zugriff auf vertrauliche Dateien zentral zu erzwingen.
Für die zentrale Durchsetzung der Zwei-Faktor-Authentifizierung nutzen Sie in aktuellen Nextcloud-Versionen die Sicherheitseinstellungen der Administration. Dort können Sie festlegen, ob 2FA für alle Nutzerinnen und Nutzer oder nur für bestimmte Gruppen verpflichtend sein soll. Alternativ können Sie einzelne Gruppen auch explizit ausschließen. Voraussetzung ist, dass mindestens ein 2FA-Provider aktiviert ist, zum Beispiel TOTP oder WebAuthn. Anschließend sollten Sie die betroffenen Nutzerinnen und Nutzer frühzeitig informieren und klar erklären, wie die Einrichtung funktioniert.
Ergänzend kann die App Two-Factor Admin Support hilfreich sein. Sie ist vor allem für den Support-Fall gedacht, wenn sich Nutzende aufgrund eines verlorenen Smartphones, einer defekten Authenticator-App oder eines fehlenden Sicherheitsschlüssels nicht mehr anmelden können. Administratoren können damit einmalige Login-Codes erzeugen und den Zugang kontrolliert wiederherstellen. Zusätzlich sollten Nutzerinnen und Nutzer ihre Backup-Codes sicher speichern, da Nextcloud zehn einmalig nutzbare Codes bereitstellt. Nutzende müssen die Codes hierfür zunächst selbst in den persönlichen Einstellungen unter dem Punkt „Sicherheit“ generieren. So vermeiden Sie, dass legitime User durch ein verlorenes 2FA-Gerät dauerhaft ausgesperrt werden.
- Kostengünstige vCPUs und leistungsstarke dedizierte Cores
- Höchste Flexibilität ohne Mindestvertragslaufzeit
- Inklusive 24/7 Experten-Support
Erweiterter Zugriffsschutz: File Access Control
Die Zwei-Faktor-Authentifizierung schützt vor allem den Login. Sie stellt also sicher, dass sich eine Person nicht nur mit einem Passwort, sondern zusätzlich mit einem zweiten Faktor anmelden muss. Nach dem Login stellt sich jedoch eine weitere Frage: Auf welche Dateien und Ordner darf diese Person zugreifen? Genau hier hilft die Nextcloud-App File Access Control.
Mit File Access Control können Sie zusätzliche Regeln für den Zugriff auf Dateien erstellen. Diese Regeln funktionieren mithilfe von Nextcloud Flow. Ein Flow ist eine Art „Wenn-dann-Regel“: Wenn bestimmte Bedingungen erfüllt sind, wird der Zugriff auf eine Datei oder einen Ordner verweigert. Solche Bedingungen können zum Beispiel die IP-Adresse, die Benutzergruppe, ein Dateityp oder ein bestimmtes Tag sein. Dadurch lassen sich sensible Bereiche deutlich feiner absichern als nur über normale Freigaben.
Besonders sinnvoll ist File Access Control für Verzeichnisse mit vertraulichen Daten wie zum Beispiel den folgenden:
- Personalakten
- Finanzunterlagen
- Verträge
- Forschungsdaten
Sie können solche Ordner beispielsweise mit einem internen Tag wie Confidential kennzeichnen. Anschließend legen Sie fest, dass nur bestimmte Gruppen oder nur Zugriffe aus einem bestimmten Netzwerk erlaubt sind. Wichtig ist dabei, eingeschränkte oder unsichtbare Tags zu verwenden. Sonst könnten Nutzerinnen und Nutzer Tags selbst entfernen oder verändern und damit die Schutzregel umgehen.
Wenn eine File-Access-Control-Regel greift, wird der Zugriff konsequent blockiert. Die betroffene Person kann die Datei dann nicht öffnen, herunterladen, ändern, löschen, hochladen oder über einen Desktop-Client synchronisieren.
Achten Sie außerdem auf öffentliche Freigabelinks und externe Speicher. Solche Funktionen sind praktisch, können aber Sicherheitsregeln unterlaufen, wenn sie nicht sauber konfiguriert sind. Vor allem bei sensiblen Ordnern sollten Sie deshalb prüfen, ob öffentliche Links überhaupt erlaubt sein sollen. Für speziell geschützte Daten empfiehlt es sich, Freigaben, Tags und File-Access-Control-Regeln gemeinsam zu planen.
Typische Kriterien für den Zugriffsschutz mit File Access Control
| Kriterium | Beispielregel | Was passiert technisch? | Typischer Einsatz |
|---|---|---|---|
| IP-Bereich | Zugriff nur aus dem internen Netzwerk, z. B. 192.168.10.0/24 | Zugriffe von außerhalb werden blockiert | Personal- oder Finanzordner nur im Firmennetz verfügbar machen |
| Benutzergruppe | Zugriff nur für Mitglieder der Gruppe HR | Alle anderen Nutzergruppen erhalten keinen Zugriff | Personalakten nur für die Personalabteilung freigeben |
| Kollaboratives Tag | Datei oder Ordner trägt das Tag Confidential | Dateien mit diesem Tag werden von der Schutzregel erfasst | Vertrauliche Dokumente zentral markieren und absichern |
| Dateityp / MIME-Type | Upload von ZIP-Dateien verhindern | Bestimmte Dateiformate können nicht hochgeladen werden | Unerwünschte oder riskante Dateitypen blockieren |
| Zeitfenster | Zugriff außerhalb der Arbeitszeit sperren | Zugriff ist nur zu bestimmten Zeiten möglich | Zugriff für Support- oder Projektteams zeitlich begrenzen |
| Dateiname | Dateien mit bestimmten Namen oder Mustern blockieren | Dateien werden anhand des Namens erkannt und gesperrt | Temporäre, falsch benannte oder unerwünschte Dateien verhindern |
Wenn Sie in Nextcloud zusätzliche KI-Funktionen wie Context Chat nutzen, sollten Sie deren Zugriff auf sensible Inhalte gesondert prüfen. File Access Control schützt in erster Linie den direkten Zugriff auf Dateien und Ordner, greift jedoch nicht automatisch für alle KI-gestützten Funktionen. In Umgebungen mit vertraulichen Daten empfiehlt es sich daher, KI-Apps nur gezielt einzusetzen und vorab zu prüfen, welche Inhalte indexiert oder über Chat-Funktionen ausgelesen werden können.
Schutz vor Brute-Force und Bot-Angriffen
Neben 2FA sollten Sie die Login-Schnittstelle gegen automatisierte Passwortangriffe absichern. Nextcloud bringt dafür einen integrierten Brute-Force-Schutz mit, der standardmäßig aktiv ist. Er schützt nicht nur gegen einfache Passwortlisten-Angriffe, sondern erschwert auch Angriffe auf Passwort-Reset-Seiten oder App-Passwort-Token. Wenn verdächtige Login-Versuche erkannt werden, verlangsamt Nextcloud Anfragen von der betroffenen IP-Adresse für bis zu 24 Stunden. Die Verzögerung kann dabei bis zu 25 Sekunden betragen. Wird der aktuelle Schwellenwert von 10 Versuchen innerhalb von 30 Minuten erreicht, antwortet Nextcloud vorübergehend mit „429 Too Many Requests“, bis die Anzahl der Versuche wieder unter den Schwellenwert fällt.
Für produktive Server sollten Sie diese Funktion nicht deaktivieren. Zusätzlich kann fail2ban auf Serverebene eingesetzt werden. Während Nextclouds Schutz innerhalb der Anwendung arbeitet, blockiert fail2ban auffällige IP-Adressen über Firewall-Regeln bereits auf Betriebssystemebene.
Besonders wichtig ist die korrekte Konfiguration bei Reverse Proxys oder Load Balancern. Wenn trusted_proxies und weitergeleitete Header falsch gesetzt sind, kann Nextcloud fälschlicherweise den Proxy selbst als Quelle aller Anfragen sehen und dadurch legitime Nutzerinnen und Nutzer beeinträchtigen. Stellen Sie also erst sicher, dass Nextcloud die echte Client-IP erkennt, und setzen Sie erst dann Brute-Force-Regeln und fail2ban ein. So vermeiden Sie, dass Sie sich selbst oder ganze Nutzergruppen aussperren.
Top 5 Checkliste zur Nextcloud-Härtung
- 2FA aktivieren und erzwingen: Aktivieren Sie mindestens einen geeigneten 2FA-Provider wie TOTP oder WebAuthn und erzwingen Sie 2FA für Admins sowie sensible Benutzergruppen. Die Nextcloud-Benachrichtigung kann als komfortable Ergänzung dienen.
- WebAuthn für kritische Konten bevorzugen: Nutzen Sie FIDO2-Sicherheitsschlüssel für Administratoren, Geschäftsführung, HR, Finanzen und andere schützenswerte Rollen.
- Backup-Codes verpflichtend einplanen: Sorgen Sie dafür, dass Nutzerinnen und Nutzer ihre einmalig verwendbaren Backup-Codes sicher speichern, bevor 2FA verpflichtend wird.
- File Access Control für sensible Ordner nutzen: Schützen Sie vertrauliche Verzeichnisse mit Flow-Regeln, eingeschränkten Tags, Gruppenbedingungen und IP-Regeln.
- Brute-Force-Schutz und fail2ban kombinieren: Lassen Sie Nextclouds integrierten Brute-Force-Schutz aktiv und ergänzen Sie auf öffentlich erreichbaren Servern fail2ban auf Betriebssystemebene.