Behebung des Fehlers „SSL-Zertifikatsprüfung fehlgeschlagen“ im ownCloud Desktop Sync Client

Der ownCloud Desktop-Client kann die Synchronisierung abbrechen und eine Fehlermeldung bezüglich der SSL-Zertifikatsprüfung anzeigen, obwohl der Server im Browser erreichbar zu sein scheint. Diese Meldung bedeutet, dass der Client nicht feststellen konnte, ob das HTTPS-Serverzertifikat für die Serveradresse gültig und von der Clientumgebung als vertrauenswürdig eingestuft wird. Es handelt sich um eine TLS-Identitätsprüfung, nicht um einen Passwortfehler. Die wiederholte Akzeptanz eines nicht verifizierten Zertifikats kann dazu führen, dass Anmeldeinformationen und Dateien abgefangen werden können.

Beginnen Sie mit der Serveradresse, der Zertifikatsgültigkeit und der Zertifikatskette. Korrigieren Sie diese nach Möglichkeit auf dem Server oder dessen Reverse-Proxy. Falls der Server absichtlich eine private Zertifizierungsstelle (CA) verwendet, fügen Sie deren verifiziertes Stammzertifikat dem vertrauenswürdigen Zertifikatspeicher des Computers hinzu. Starten Sie anschließend den Desktop-Client neu und prüfen Sie, ob die Synchronisierung ohne Zertifikatswarnung fortgesetzt wird.

Prüfen Sie zunächst, welchen ownCloud-Client und -Server Sie verwenden.

ownCloud bietet aktuell sowohl ownCloud Classic Server (Versionen 10 und 11) als auch ownCloud Infinite Scale (oCIS) an. Die Desktop-App-Versionen sind nicht untereinander kompatibel. Laut der ownCloud-Downloadseite vom 1. September 2026 ist die Desktop-App 7.1.1 für Infinite Scale vorgesehen, während ownCloud Classic von einem Client der Version 6.x unterstützt wird; die Seite gibt Version 6.0.3 für Classic an. Wurde ein Client kürzlich aktualisiert und verwendet das Backend ownCloud Server 10 oder 11, prüfen Sie die Kompatibilität, bevor Sie einen Verbindungsfehler als Zertifikatsfehler behandeln.

Prüfen Sie außerdem die exakte URL, die im Synchronisierungskonto konfiguriert ist. Der Hostname in dieser URL muss mit einem Namen im Serverzertifikat übereinstimmen. Bei einem Classic-Server, der unter einem bestimmten Pfad installiert ist, könnte das Konto beispielsweise so aussehen https://cloud.example.com/owncloud: ; eine oCIS-Installation verwendet möglicherweise eine andere Basis-URL. Verwenden Sie die von Ihrem Administrator konfigurierte Adresse, anstatt zwischen Hostname, IP-Adresse und alternativer Domäne zu wechseln.

Arbeiten Sie die wahrscheinlichen Ursachen der Reihe nach durch.

1. Überprüfen Sie Datum, Netzwerk und genauen Servernamen.

Stellen Sie sicher, dass Datum, Uhrzeit und Zeitzone des Computers korrekt eingestellt sind. Eine fehlerhafte Uhrzeit kann dazu führen, dass ein gültiges Zertifikat als abgelaufen oder noch nicht gültig angezeigt wird. Öffnen Sie anschließend die exakte ownCloud-URL des Synchronisierungskontos in einem Browser auf demselben Computer. Überprüfen Sie die Zertifikatsdetails auf Hostname, Ablaufdatum und Aussteller. Ein Browser, der die Seite ohne Warnung lädt, ist ein hilfreicher Hinweis, beweist aber nicht, dass der Desktop-Client denselben Zertifikatsspeicher verwendet oder dass jede WebDAV-Anfrage denselben Proxy-Pfad nutzt.

Tritt der Fehler nur in Hotels, Flughäfen, Schulen oder öffentlichen WLAN-Netzen auf, melden Sie sich im jeweiligen Netzwerk an und versuchen Sie es erneut. Die Versionshinweise der ownCloud Desktop-App beschreiben, wie Sie die Synchronisierung anhalten, wenn ein Captive Portal eine Zertifikatsabweichung verursacht, und sie anschließend nach Behebung des Problems wieder aufnehmen. Eine Portalseite, die HTTPS abfängt, ist kein Grund, dem unerwarteten Zertifikat zu vertrauen.

2. Überprüfen Sie das vom Server vorgelegte Zertifikat.

Bitten Sie den Serveradministrator, das TLS-Zertifikat des öffentlichen Endpunkts zu überprüfen, einschließlich des Webservers oder Reverse-Proxys, der HTTPS beendet. Das Zertifikat sollte aktuell sein, den exakten DNS-Namen des Clients enthalten und mit den erforderlichen Zwischenzertifikaten bereitgestellt werden. Ein häufiger Fehler bei der Bereitstellung ist die Konfiguration nur des Endzertifikats anstelle der vollständigen Zertifikatskette. Wenn das Zertifikat kürzlich erneuert wurde, stellen Sie sicher, dass der Reverse-Proxy das neue und nicht ein veraltetes Zertifikat verwendet.

Auf einem System mit OpenSSL können Sie den TLS-Handshake untersuchen und den Hostnamen mit diesem Befehl überprüfen. Ersetzen Sie den Beispielnamen durch den ownCloud-Hostnamen ohne URL-Pfad:

openssl s_client -connect cloud.example.com:443 \
  -servername cloud.example.com \
  -verify_hostname cloud.example.com \
  -verify_return_error </dev/null

Überprüfen Sie das Verifizierungsergebnis und die Zertifikatsdaten. Dieser Test untersucht den Endpunkt vom Computer aus, auf dem er ausgeführt wird; er bildet nicht alle Details des Truststores des Desktop-Clients ab. Falls die Ausgabe ein abgelaufenes Zertifikat, eine Hostnamenabweichung, einen fehlenden Aussteller oder eine nicht vertrauenswürdige Zertifizierungsstelle (CA) identifiziert, korrigieren Sie das Zertifikat oder die Zertifikatskette am TLS-Endpunkt und führen Sie den Test erneut durch. Versuchen Sie nicht, ein serverseitiges Hostnamen- oder Kettenproblem durch die Installation eines nicht zugehörigen Zertifikats auf jedem Desktop zu beheben.

3. Verwenden Sie ein öffentlich vertrauenswürdiges Zertifikat, wenn der Server öffentlich ist.

Für einen öffentlich zugänglichen ownCloud-Dienst ist die einfachste Lösung in der Regel ein Zertifikat einer öffentlichen Zertifizierungsstelle, die von gängigen Betriebssystemen als vertrauenswürdig eingestuft wird. Konfigurieren Sie den HTTPS-Endpunkt mit dem Zertifikat und der vollständigen Zertifikatskette für den öffentlichen Hostnamen und überprüfen Sie die Zertifikatserneuerung. Wenn ein Reverse-Proxy HTTPS verarbeitet, gehört das Zertifikat zu diesem Proxy; eine Änderung der ownCloud-Anwendungskonfiguration allein ändert nicht das Zertifikat, das Clients erhalten.

Nachdem der Administrator den Endpunkt aktualisiert hat, testen Sie den exakten Hostnamen von einem betroffenen Computer aus demselben Netzwerk. Die Browser- und Befehlszeilenprüfungen sollten keine Zertifikatswarnung mehr ausgeben, und der ownCloud-Client sollte sich nach einem erneuten Versuch oder Neustart wieder verbinden. Falls die Verbindung nur auf einigen Computern weiterhin nicht funktioniert, vergleichen Sie deren Betriebssystem-Updates, Truststores, Proxy-Einstellungen und Client-Versionen.

4. Vertrauen Sie einer privaten Zertifizierungsstelle nur dann, wenn der Server diese auch verwenden soll.

Organisationen nutzen häufig eine interne Zertifizierungsstelle (CA) für private ownCloud-Dienste. In diesem Fall beziehen Sie das Stammzertifikat der Organisation über einen authentifizierten Kanal und verifizieren dessen Fingerabdruck beim Administrator. Installieren Sie das Stammzertifikat auf jedem betroffenen Clientcomputer mithilfe der Zertifikatsverwaltung des Betriebssystems oder der Richtlinie für verwaltete Geräte Ihres Unternehmens. Fügen Sie kein von der Warnseite heruntergeladenes Zertifikat als Stammzertifikat hinzu, nur weil der Synchronisierungsclient es anbietet; überprüfen Sie zuerst, ob es zur gewünschten CA gehört.

• Windows: Ein Administrator kann das Zertifikat-Snap-In in der Microsoft Management Console verwenden und die verifizierte Stammzertifizierungsstelle in den entsprechenden Speicher für vertrauenswürdige Stammzertifizierungsstellen importieren. Beachten Sie die Richtlinien Ihrer Organisation hinsichtlich der Vertrauenswürdigkeit pro Benutzer oder für den gesamten Computer.
• macOS: Verwenden Sie die Schlüsselbundverwaltung, um das verifizierte Zertifikat dem entsprechenden Schlüsselbund hinzuzufügen und dessen Vertrauenseinstellungen zu überprüfen. Apple dokumentiert das Hinzufügen von Zertifikatsdateien zu einem Schlüsselbund; verwaltete Macs sollten private Stammzertifikate über den Geräteverwaltungsprozess der Organisation erhalten.
• Ubuntu: Um ein CA-Zertifikat im PEM-Format zu verwenden, legen Sie die .crtDatei in das entsprechende Verzeichnis /usr/local/share/ca-certificates/und führen Sie sudo update-ca-certificatesden Befehl aus. Dadurch wird der System-Truststore für Anwendungen aktualisiert, die dieses Zertifikat verwenden. Ubuntu weist darauf hin, dass Snap-Anwendungen möglicherweise nicht automatisch die dem Host-Speicher hinzugefügten Zertifikate verwenden. Daher kann für ein isoliertes Paket eine paketspezifische Trust-Lösung erforderlich sein.

Starten Sie den ownCloud Desktop-Client nach der Aktualisierung der Vertrauensstellung neu. Clientpaket und Betriebssystem können beeinflussen, welcher Zertifikatsspeicher verwendet wird. Wenn eine Zertifizierungsstelle installiert ist und ein Browser der Website vertraut, die Desktop-App aber weiterhin nicht funktioniert, überprüfen Sie das Vertrauensverhalten und die Protokolle des Clientpakets, anstatt wahllos mehrere Kopien des Serverzertifikats zu importieren.

Verwechseln Sie nicht die Desktop-Vertrauensstellung mit dem Import von ownCloud-Serverzertifikaten.

ownCloud Server verfügt über einen occ security:certificatesBefehl für Zertifikate, denen der Server selbst vertrauen muss, beispielsweise für Verbundzertifikate oder externe Speicher. Dies ist ein serverseitiger Truststore. Er behebt jedoch nicht die Vertrauensentscheidung, die der Desktop-Synchronisierungsclient eines Benutzers beim Verbinden mit der ownCloud-Website getroffen hat. Bei einem Desktop-Verifizierungsfehler korrigieren Sie den HTTPS-Endpunkt oder die Vertrauenskonfiguration des betroffenen Computers.

Deaktivieren Sie die Zertifikatsvalidierung nicht als dauerhafte Notlösung. Der ownCloud-Befehlszeilenclient bietet zwar eine --trustOption, doch das Unterdrücken oder Akzeptieren eines Verifizierungsfehlers behebt weder ein abgelaufenes Zertifikat, einen falschen Hostnamen, eine fehlende Zertifizierungsstellenkette noch eine nicht vertrauenswürdige Verbindung. Verwenden Sie solche Vertrauenskontrollen nur im Rahmen eines sorgfältig geplanten und verifizierten Tests und nicht als Ersatz für eine korrekte TLS-Konfiguration in einem produktiven Synchronisierungskonto.

Bestätigen Sie, dass die Synchronisierung einwandfrei funktioniert.

1. Schließen Sie den ownCloud Desktop-Client und öffnen Sie ihn erneut, nachdem Sie das Zertifikat oder den Truststore korrigiert haben.
2. Prüfen Sie, ob sich der Kontostatus von einem SSL- oder Verbindungsfehler zu einem verbundenen oder Synchronisierungsstatus ändert, ohne dass eine neue Zertifikatswarnung angezeigt wird.
3. Erstellen Sie eine kleine Testdatei im Synchronisierungsordner und prüfen Sie, ob sie auf dem Server angezeigt wird. Nehmen Sie anschließend eine kleine Änderung in der Weboberfläche vor und prüfen Sie, ob diese auf dem Desktop erscheint.
4. Sollte der Status weiterhin unklar sein, überprüfen Sie das Client-Protokoll auf eine erfolgreiche HTTPS/WebDAV-Verbindung. Die ownCloud 5.3-Fehlerbehebungsanleitung beschreibt, wie Sie unter „Erweitert“ > „Protokolleinstellungen“ das Protokollfenster öffnen oder F12, Strg+L oder Cmd+L drücken. Die Menübezeichnungen können in anderen Client-Versionen abweichen.

Wenn die Website zwar geöffnet wird, die Synchronisierung aber nach erfolgreichen TLS-Prüfungen weiterhin fehlschlägt, überprüfen Sie die WebDAV- und Serverkonfiguration. Die ownCloud Desktop-App verwendet WebDAV für ownCloud Classic. Der Fehlerbehebungsleitfaden des Herstellers empfiehlt, die Erreichbarkeit des WebDAV-Endpunkts zu prüfen, wenn alle Clients fehlschlagen, der Browserzugriff aber funktioniert. Sollte der Zertifikatsfehler behoben sein, die Anmeldung oder Synchronisierung aber weiterhin fehlschlagen, untersuchen Sie die im Protokoll angezeigten separaten Authentifizierungs-, Reverse-Proxy- oder WebDAV-Fehler.

Wie Erfolg aussieht

Das für den konfigurierten Hostnamen vorgelegte Zertifikat ist gültig, enthält diesen Hostnamen und verweist auf eine vom Clientcomputer als vertrauenswürdig eingestufte Zertifizierungsstelle. Der Desktop-Client verbindet sich ohne Zertifikatsabfrage erneut, und eine Testdatei wird in beide Richtungen synchronisiert. Wenn eine öffentliche Zertifikatskette korrekt ist, aber nur ein einzelner verwalteter Client weiterhin Probleme bereitet, sollten Sie als Nächstes die Uhrzeit, den Truststore, den Netzwerkproxy, das Captive Portal und die kompatible Clientversion dieses Computers überprüfen.

Diese Prüfungen beheben Fehler bei der Zertifikatsverifizierung. Sie können keine anderen Probleme mit dem Konto, WebDAV, der Firewall oder der Serververfügbarkeit beheben, und die genauen Menüs variieren je nach Betriebssystem und Version der ownCloud Desktop App. Verwenden Sie die Clientprotokolle und die TLS-Endpunktkonfiguration des Servers, um die Seite zu identifizieren, die weiterhin Probleme verursacht.

Offizielle Referenzen

• ownCloud Desktop App-Downloads und Serverkompatibilität
• Versionshinweise zur ownCloud Desktop-App
• Fehlerbehebung und Protokolle der ownCloud Desktop-App
• ownCloud Server: Zugriff auf Dateien über WebDAV
• Ubuntu: Installieren Sie ein Root-CA-Zertifikat im Truststore
• Microsoft: Speicher für vertrauenswürdige Stammzertifizierungsstellen
• Apple: Zertifikate auf dem Mac zu einem Schlüsselbund hinzufügen
• OpenSSL: s_client-Diagnostik