Ein Nextcloud-Nutzer gelangt zur Anmeldeseite, gibt das richtige Passwort ein und bleibt dann hängen, weil der Server einen zweiten Faktor verlangt, den er nie konfiguriert hat. Dies passiert üblicherweise, wenn ein Administrator die obligatorische Zwei-Faktor-Authentifizierung (2FA) aktiviert, bevor er einen Anbieter einrichtet, den Registrierungsprozess testet und die Nutzer auf die Wiederherstellung vorbereitet. Die sicherere Lösung besteht darin, zuerst einen unterstützten Anbieter einzuführen, ihn mit einer kleinen Gruppe zu testen und erst dann die 2FA für die vorgesehenen Konten zu erzwingen.
Die folgenden Schritte orientieren sich an den Verwaltungs- und Benutzerhandbüchern der stabilen Nextcloud-Version 35, die am 6. Oktober 2026 veröffentlicht wurden. Die Nextcloud-Benutzeroberfläche und die verfügbaren Provider-Apps können je nach Serverversion und Bereitstellung variieren. Prüfen Sie daher die Dokumentation für Ihre installierte Version, bevor Sie Änderungen an einer Produktionsinstanz vornehmen.
Nextcloud behandelt die Zwei-Faktor-Authentifizierung (2FA) als optionale Funktion: Ein Administrator aktiviert eine oder mehrere Anbieter-Apps, und Benutzer konfigurieren einen Faktor in ihren persönlichen Einstellungen, sofern der Administrator die 2FA nicht explizit vorschreibt. Eine Richtlinie ohne verfügbaren Anbieter, ein nicht registrierter Benutzer oder ein verloren gegangener Authentifikator können die Anmeldung verhindern. Wiederherstellungscodes und ein getesteter administrativer Wiederherstellungsweg reduzieren dieses Risiko.
Die Durchsetzung der Zwei-Faktor-Authentifizierung (2FA) betrifft auch Anwendungen, die mit Nextcloud verbunden sind. In Nextcloud 35 benötigen Clientanwendungen, die die Zwei-Faktor-Authentifizierung nicht abschließen können, gerätespezifische App-Passwörter. Planen Sie dies für Desktop-Synchronisierungsclients, mobile Apps und Integrationen vor der Einführung ein.
Beginnen Sie damit, die Richtlinie Nextcloud-Gruppen zuzuordnen. Legen Sie fest, ob die Regel für alle, ausgewählte Abteilungen oder alle Benutzer außer einer kleinen, dokumentierten Gruppe von Dienstkonten gelten soll. Stellen Sie sicher, dass die relevanten Konten tatsächlich zu den Gruppen gehören, die Sie ansprechen möchten. Vermeiden Sie weitreichende Ausschlüsse: Ein ausgeschlossenes Konto genießt nicht denselben Anmeldeschutz wie ein Konto, für das die Richtlinie gilt.
Die Gruppenlogik von Nextcloud ist wichtig. Wenn keine Gruppen zur Durchsetzung ausgewählt sind, gilt die Regel für alle außer Mitgliedern ausgeschlossener Gruppen. Wenn Sie Gruppen auswählen, gilt die Regel für Mitglieder dieser Gruppen; die Mitgliedschaft in einer ausgewählten Gruppe hat Vorrang, wenn der Benutzer auch Mitglied einer ausgeschlossenen Gruppe ist. Überprüfen Sie diese Regeln in der offiziellen Dokumentation zur Zwei-Faktor-Authentifizierung von Nextcloud 35, bevor Sie eine Richtlinie mit Ausnahmen speichern.
Öffnen Sie im Administratorkonto die App-Übersicht und prüfen Sie, ob deaktivierte Apps von Anbietern wie dem Zwei-Faktor-Authentifizierungsanbieter (TOTP) vorhanden sind . Laut Nextcloud 35-Handbuch ist TOTP zwar installiert, aber standardmäßig deaktiviert; gegebenenfalls muss der benachrichtigungsbasierte Anbieter ebenfalls aktiviert werden. Der integrierte Backup-Code-Anbieter steht für die Kontowiederherstellung zur Verfügung. Weitere Anbieter-Apps sind im Nextcloud App Store erhältlich. Vergewissern Sie sich jedoch vor der Verwendung, dass eine App Ihre installierte Serverversion unterstützt.
Aktivieren Sie für einen kleinen Pilotversuch TOTP und bitten Sie einen Testbenutzer, die persönlichen Einstellungen zu öffnen, die Zwei-Faktor-Authentifizierung auszuwählen , den angezeigten QR-Code mit einer kompatiblen Authentifizierungs-App zu scannen und die Registrierung zu bestätigen. Führen Sie dies mit einem Konto durch, das Sie gefahrlos zurücksetzen können. Lassen Sie während des Tests eine separate Administrator-Sitzung geöffnet. Wenden Sie die Regel erst dann auf die gesamte Instanz an, wenn sowohl ein normaler Benutzer als auch ein Administrator sich erfolgreich mit dem zweiten Faktor angemeldet haben.
Nutzer sollten Einmal-Backup-Codes aus ihren persönlichen Zwei-Faktor-Einstellungen generieren und diese getrennt vom Telefon oder Sicherheitsschlüssel aufbewahren, mit dem sie sich anmelden. Die offizielle Nextcloud-Benutzeranleitung zur Zwei-Faktor-Authentifizierung (2FA) erklärt die Einrichtung von TOTP, Wiederherstellungscodes, Anmeldeaufforderungen und gerätespezifischen Passwörtern.
Sobald sich der Pilot anmelden und den Zugriff wiederherstellen kann, öffnen Sie die Administrationseinstellungen > Sicherheit und suchen Sie den Abschnitt Zwei-Faktor-Authentifizierung. Aktivieren Sie die Erzwingungseinstellung. Falls nur bestimmte Benutzer einbezogen sind, wählen Sie die in Schritt 1 festgelegten Gruppen aus und überprüfen Sie die Liste der ausgeschlossenen Gruppen sorgfältig. Wenn Sie die Zwei-Faktor-Authentifizierung für alle Benutzer vorschreiben möchten, lassen Sie die Begrenzung der ausgewählten Gruppen leer. Verwenden Sie Ausnahmen nur, wenn ein spezifischer betrieblicher Grund vorliegt und eine alternative Sicherheitsmaßnahme vorhanden ist.
Informieren Sie die Benutzer darüber, wann die Richtlinie in Kraft tritt, welchen Anbieter sie konfigurieren müssen, wo sie Sicherungscodes generieren können und wie sie Hilfe anfordern können. Bei einer großen Bereitstellung empfiehlt es sich, die Umstellung gruppenweise durchzuführen, anstatt den gesamten Server gleichzeitig umzustellen. So können Administratoren fehlende Gruppenzugehörigkeiten, nicht unterstützte Clients und anbieterspezifische Probleme erkennen, bevor diese alle Benutzer betreffen.
Administratoren können die Zwei-Faktor-Authentifizierung (2FA) auch mit dem Nextcloud- occBefehl erzwingen. Führen Sie diesen im Nextcloud-Installationsverzeichnis als Webserver-Benutzer aus; Benutzername, PHP-Befehl und Installationspfad variieren je nach Host oder Container. Die folgenden Beispiele verwenden den www-dataim Nextcloud-Handbuch beschriebenen Standard-Webbenutzer unter Linux:
sudo -E -u www-data php occ twofactorauth:enforce --onUm die Zwei-Faktor-Authentifizierung für ausgewählte Gruppen zu erzwingen und optional eine Dienstkontogruppe auszuschließen, verwenden Sie:
sudo -E -u www-data php occ twofactorauth:enforce --on \
--group=staff --group=admins --exclude=service-accountsErsetzen Sie die Beispiel-Gruppen-IDs und das Webserver-Konto durch die Werte Ihrer Instanz. Der Befehl kann die Durchsetzung deaktivieren, falls ein Rollout pausiert werden muss:
sudo -E -u www-data php occ twofactorauth:enforce --offVerwenden Sie die aktuelle Nextcloud-OCC-Referenz , um die Syntax für Ihre Version zu bestätigen. Führen Sie bei Docker oder einer anderen verwalteten Bereitstellung die Befehle occin der korrekten Anwendungsumgebung mit dem dokumentierten Benutzer und Befehl dieser Bereitstellung aus; führen Sie kein Beispiel auf Hostebene ohne weitere Prüfung aus.
Verliert ein Nutzer sein Telefon oder seinen Schlüssel, der die Zwei-Faktor-Authentifizierung enthält, und verliert er auch seine Backup-Codes, kann er sich möglicherweise nicht anmelden. Testen Sie Ihre Wiederherstellungsprozedur vor der Implementierung mit einem unkritischen Konto. Nextcloud bietet anbieterspezifische occ twofactorauth:disableBefehle twofactorauth:enable, sofern diese vom Anbieter unterstützt werden; nicht jeder Anbieter unterstützt nutzerbezogene Änderungen. Die App „Two-Factor Admin Support“ ist eine weitere Wiederherstellungsoption für unterstützte Nextcloud-Versionen. Überprüfen Sie deren Kompatibilität und Installationsstatus, bevor Sie sie verwenden.
Deaktivieren oder entfernen Sie einen bereits konfigurierten Anbieter nicht ohne sorgfältige Planung des Übergangs. Nextcloud kann Anbieterzuordnungen auch nach der Entfernung einer Anwendung beibehalten, was zu Authentifizierungsfehlern führen kann. Im Administrationshandbuch ist ein Befehl zum Bereinigen von Anbietern beschrieben, die dauerhaft entfernt werden. Diese Bereinigung ist unumkehrbar; verwenden Sie ihn daher nur, wenn Sie den betreffenden Anbieter nicht wieder aktivieren möchten.
Desktop- und Mobilclients, die eine interaktive 2FA-Abfrage nicht beantworten können, sollten Benutzer App-Passwörter in ihren Nextcloud-Kontoeinstellungen erstellen und die Client-Zugangsdaten aktualisieren. Laut Nextcloud-35-Dokumentation sind App-Passwörter für Konten mit aktivierter 2FA obligatorisch. Ein Browser-Login-Test allein bestätigt nicht, dass Synchronisierungsclients und Integrationen weiterhin funktionieren.
Testen Sie Nextcloud mit einem Testbenutzer in einem privaten Browserfenster oder nach dem Abmelden. Geben Sie Ihren gewohnten Benutzernamen und Ihr Passwort ein und bestätigen Sie, dass Nextcloud nach dem konfigurierten zweiten Faktor fragt und einen gültigen Code akzeptiert. Testen Sie einmalig einen Backup-Code, sofern Ihr Wiederherstellungsverfahren dies zulässt. Beachten Sie, dass Backup-Codes nur einmalig verwendbar sind. Testen Sie anschließend die Client-Apps und Integrationen, die für Ihr Unternehmen wichtig sind.
Führen Sie für ein bestimmtes Konto den Statusbefehl aus dem Nextcloud-Verzeichnis aus:
sudo -E -u www-data php occ twofactorauth:state usernamePrüfen Sie, ob das Konto von der vorgesehenen Richtlinie abgedeckt ist und der gewählte Anbieter aktiv ist. Falls ein ausgewählter Benutzer keine Zwei-Faktor-Authentifizierung (2FA) benötigt, prüfen Sie die Gruppenzugehörigkeit und Ausnahmen, bevor Sie die globale Regel ändern. Die Einrichtung ist abgeschlossen, wenn die vorgesehenen Benutzer beim Login zur Authentifizierung aufgefordert werden, ausgeschlossene Konten auf die dokumentierten Ausnahmen beschränkt sind, die Wiederherstellung getestet wurde und unterstützte Clients sich mit ihren App-Passwörtern wieder verbinden können.
Diagnostizieren Sie CPU-Spitzen im Jitsi Meet-Browser und reduzieren Sie die Clientlast, indem Sie Videokacheln, Kameraeffekte, Browsergrafiken und Host-Einstellungen überprüfen.
Verfolgen Sie den Status von Jitsi Videobridge, die Konferenzlast und den Datenverkehr mit dem integrierten Prometheus-Endpunkt und analysieren und visualisieren Sie die Daten anschließend in Grafana.
Konfigurieren Sie eine benutzerdefinierte Domain für Jitsi Meet Docker mit DNS, PUBLIC_URL, HTTPS, Let's Encrypt, Firewall-Ports, NAT-Einstellungen und Ende-zu-Ende-Verifizierung.
Beheben Sie 404-Fehler in der Zimbra-Administrationskonsole nach der SSL-Erneuerung, indem Sie die korrekte URL und den Port, das Proxy-Routing, den Dienststatus, die bereitgestellten Zertifikate und die Protokolle überprüfen.
Erfahren Sie, wie Sie die PHP OPcache-Konfigurationswarnung von Nextcloud diagnostizieren und beheben können, indem Sie die aktive PHP SAPI, Größenbeschränkungen, Kommentare und Revalidierungseinstellungen überprüfen.
Beheben Sie Probleme bei der Migration der Kopano-Datenbank nach einem MySQL- oder MariaDB-Upgrade, indem Sie Backups, Serverversionen, SQL-Modi, Zeichensatz, Schemastatus und Protokolle überprüfen.
Verbinden Sie Nextcloud mit LDAP oder Active Directory über sichere Transportwege, Benutzer- und Gruppenfilter, Anmeldeattribute und einen getesteten Rollout.
Beheben Sie Probleme mit Element-Android-Benachrichtigungen auf Google-freien Telefonen durch die Konfiguration von UnifiedPush, Android-Berechtigungen, Akkueinstellungen und zuverlässigen Verifizierungstests.
Die Warnung bezüglich fehlender Datenbankindizes in Nextcloud lässt sich mit dem offiziellen Befehl `occ` beheben. Sichern Sie Ihre Daten vorher, überprüfen Sie die Änderungen in der Vorschau, führen Sie die Reparatur durch und prüfen Sie das Ergebnis.
Konfigurieren Sie Keycloak SSO für Element Web, indem Sie OIDC mit Synapse verbinden, die genaue Callback-URL festlegen, Benutzeransprüche zuordnen und den Logout testen.
