Ein A+-Ergebnis eines Sicherheits-Header-Scanners ist zwar ein nützliches Konfigurationsziel, aber keine vollständige Sicherheitszertifizierung für einen Nextcloud-Server. Die Bewertung spiegelt die HTTP-Antwortheader wider, die ein bestimmter Scanner unter der getesteten URL prüft. Datenbank, Betriebssystem, Backups, Benutzerkonten, installierte Anwendungen oder Patch-Prozesse werden dabei nicht untersucht. Ein sicherer Sicherheitsplan beginnt daher mit den internen Integritätsprüfungen von Nextcloud, sichert anschließend den Server und seine öffentlich zugängliche Weboberfläche und testet abschließend die exakte öffentliche URL erneut.
Diese Anleitung orientiert sich am aktuellen Nextcloud 35-Administrationshandbuch (Stand: Oktober 2026). Die Konfigurationsbeispiele können je nach Bereitstellungsart (Apache, NGINX, Container, Reverse-Proxy) variieren. Prüfen Sie jede Änderung anhand der Dokumentation für Ihre Serverversion und Bereitstellung, bevor Sie sie anwenden.
Bevor Sie Header oder PHP-Einstellungen ändern, ermitteln Sie, wie die Anfrage Nextcloud erreicht: direkt über Apache oder NGINX, über einen Container-Proxy oder über einen Load Balancer. Notieren Sie sich die Nextcloud-Version, die PHP-Version, den Datenbanktyp, die aktivierten Anwendungen und den TLS-Terminierungspunkt. Bewahren Sie eine Kopie der aktiven Virtual-Host- oder Proxy-Konfiguration auf, um fehlerhafte Änderungen rückgängig machen zu können.
Erstellen Sie eine wiederherstellbare Sicherung der Datenbank, des gesamten Datenverzeichnisses und der Nextcloud-Konfiguration config.php. Eine reine Dateikopie reicht nicht für eine vollständige Sicherung aus: Stellen Sie sicher, dass Sie wissen, wie Sie alle drei Komponenten zusammen wiederherstellen. Die Update-Dokumentation von Nextcloud weist ausdrücklich darauf hin, dass der Updater weder die Datenbank noch das Datenverzeichnis sichert. Weitere Informationen finden Sie in den Nextcloud-Anleitungen zu Upgrades und Backups .
Melden Sie sich als Administrator an und öffnen Sie die Administrationseinstellungen, dann die Übersicht. Überprüfen Sie die Sicherheits- und Konfigurationswarnungen sowie die Warnungen zu Hintergrundprozessen und Datenbanken. Eine übersichtliche Darstellung ist eine nützliche Überprüfung auf Anwendungsebene, ersetzt aber weder das Patchen des Betriebssystems noch einen externen Header-Test. Ignorieren Sie Warnungen erst, wenn Sie deren Ursache kennen.
Verwenden Sie eine unterstützte Nextcloud-Version mit einer unterstützten PHP- und Datenbankkombination. Installieren Sie Wartungsupdates umgehend und prüfen Sie die App-Kompatibilität, bevor Sie auf eine neue Hauptversion aktualisieren. Aktualisieren Sie Betriebssystem, Webserver, PHP-Laufzeitumgebung, Datenbankserver und installierte Nextcloud-Apps über die jeweiligen Update-Kanäle. Entfernen Sie nicht verwendete oder nicht mehr unterstützte Apps, da jede aktivierte Komponente zusätzlichen Code und Wartungsaufwand bedeutet.
Vor einem Update sollten Sie das Backup überprüfen und die Versionshinweise der Zielversion lesen. Verwenden Sie den für Ihren Installationstyp unterstützten Updater, führen Sie anschließend die erforderliche Datenbankmigration durch und prüfen Sie die Administrationsübersicht und die Protokolle. Führen Sie kein Downgrade durch, indem Sie ältere Anwendungsdateien auf eine migrierte Instanz kopieren. Nextcloud dokumentiert ein Downgrade als nicht unterstützt und empfiehlt, bei einem Rollback ein kompatibles Backup wiederherzustellen.
Aktivieren Sie einen etablierten Anbieter für Zwei-Faktor-Authentifizierung (2FA) und fordern Sie MFA für Administratorkonten an. Die 2FA-Unterstützung von Nextcloud erfolgt über Apps. Stellen Sie daher sicher, dass der gewählte Anbieter mit Ihrer Version kompatibel ist und dass Benutzer eine Wiederherstellungsoption haben, bevor Sie die 2FA erzwingen. Bewahren Sie Notfallwiederherstellungscodes offline und sicher auf. Deaktivieren Sie den Brute-Force-Schutz nicht, um Anmeldeverzögerungen zu beheben; untersuchen Sie stattdessen die Quell-IP-Adressen und die Proxy-Konfiguration.
Verwenden Sie für Routinearbeiten separate Administratorkonten und vergeben Sie Administratorrechte nur bei Bedarf. Wählen Sie sichere, lange Passwörter und nutzen Sie einen Passwort-Manager. Entziehen Sie Sitzungen und App-Passwörter umgehend, wenn ein Gerät verloren geht. Überprüfen Sie regelmäßig Konten, Gruppen, öffentliche Freigaben und externe Speicher und entfernen Sie Zugriffe, die nicht mehr geschäftlich erforderlich sind.
Der Brute-Force-Schutz von Nextcloud ist standardmäßig aktiviert. Seine Wirksamkeit hängt davon ab, ob der Server die tatsächliche IP-Adresse des Clients erkennt. Befindet sich Nextcloud hinter einem Proxy, konfigurieren Sie in der Konfigurationsdatei nur die tatsächliche Proxy-Adresse bzw. das Netzwerk trusted_proxiesund legen Sie forwarded_for_headersden Header ausschließlich auf den vom Proxy kontrollierten Wert fest. Das Vertrauen in einen Header, den ein Client fälschen kann, kann IP-basierte Schutzmechanismen untergraben. Vermeiden Sie weit gefasste Einträge in der Whitelist: Ausgeschlossene Adressen können Authentifizierungsversuche ohne Drosselung durchführen. Lesen Sie die Dokumentation zum Brute-Force-Schutz und die Anleitung zur Reverse-Proxy-Konfiguration .
Platzieren Sie das Nextcloud-Datenverzeichnis außerhalb des Web-Root-Verzeichnisses, um das Risiko von Datenlecks durch Webserverfehler zu minimieren. Beschränken Sie die Dateisystemberechtigungen auf das Dienstkonto und die Administratoren, die Zugriff benötigen. Stellen Sie sicher config.php, dass das Verzeichnis nicht für alle Benutzer lesbar oder beschreibbar ist. Schützen Sie die Datenbankzugangsdaten und Instanzgeheimnisse. Der Nextcloud-Härtungsleitfaden (Version 35) beschreibt außerdem, wie Sie das Konfigurationsverzeichnis mit `npm install --config` aus dem Web-Root-Verzeichnis verschieben NEXTCLOUD_CONFIG_DIR. Legen Sie es für Webprozesse und Befehlszeilenaufträge einheitlich fest und überprüfen Sie anschließend, ob die Instanz weiterhin die gewünschte Konfiguration lädt.
Deaktivieren Sie den Produktions-Debug-Modus. Aktivieren Sie die Betriebssystemhärtung, z. B. SELinux, sofern diese von Ihrem Team unterstützt und verstanden wird. Wenn Sie in einem Container arbeiten, schützen Sie den Host, persistente Volumes, Container-Registry-Zugangsdaten und die Verwaltungsschnittstelle sowie die Nextcloud-Anwendung selbst. Beschränken Sie den eingehenden Netzwerkzugriff auf die Dienste, die öffentlich zugänglich sein müssen; geben Sie keinen Datenbankport oder keine administrative Shell im Internet frei.
Nextcloud unterstützt Funktionen, die ausgehende Verbindungen zu anderen Systemen herstellen. Daher sind Netzwerksegmentierung und Firewall-Richtlinien wichtig. Platzieren Sie die Instanz in einer entsprechend eingeschränkten Netzwerkzone und erlauben Sie nur die ausgehenden Ziele, die Ihre aktivierten Funktionen benötigen. Die genaue Zulassungsliste hängt von den Anwendungen und den Bereitstellungsoptionen ab.
Stellen Sie die Website mit einem gültigen TLS-Zertifikat bereit und leiten Sie alle unverschlüsselten HTTP-Anfragen auf HTTPS um. Testen Sie die Zertifikatskette, den Erneuerungsprozess und jeden Hostnamen, auf den Benutzer tatsächlich zugreifen. Der Nextcloud-Sicherheitsleitfaden empfiehlt HTTPS und dokumentiert HSTS. HSTS weist Browser an, HTTPS für einen bestimmten Zeitraum nach Erhalt der Richtlinie beizubehalten. Aktivieren Sie HSTS daher erst, wenn HTTPS zuverlässig funktioniert.
Beginnen Sie mit einer für Ihre Umgebung geeigneten HSTS-Richtlinie und Strict-Transport-Security: max-age=15552000verlängern Sie die Laufzeit nach erfolgter Überwachung. Fügen Sie die Richtlinie includeSubDomainsnur hinzu, wenn alle betroffenen Subdomains HTTPS unterstützen. Behandeln Sie dies preloadals separate, weitreichende Entscheidung: Browser speichern eine vorinstallierte Domain möglicherweise lange, und die Entfernung kann Monate dauern, bis sie die Nutzer erreicht. Kopieren Sie kein Beispiel für eine vorinstallierte Domain, ohne alle Subdomains und die aktuellen Anforderungen zu prüfen. Die TLS-Optionen variieren je nach Server- und Client-Anforderungen. Nutzen Sie die verlinkten TLS-Richtlinien von Nextcloud und testen Sie den resultierenden Endpunkt.
Nextcloud stellt bereits verschiedene Sicherheitsheader bereit, darunter X-Content-Type-Options`@security`, X-Frame-Options`@ X-Robots-Tagsecurity`, `@security` und ` Referrer-Policy@security`. Die Dokumentation empfiehlt, sicherzustellen, dass sicherheitsrelevante Header auch vom Webserver bereitgestellt werden, damit sie auch für statische Antworten wirksam bleiben. Bei Apache-Installationen sollte überprüft werden, ob die entsprechenden Module und die Nextcloud- .htaccessRegeln aktiv sind. NGINX-Installationen müssen die aktuelle Nextcloud-NGINX-Konfiguration verwenden und dürfen nicht davon ausgehen, dass die Apache-Regeln gelten. Weitere Informationen finden Sie im Nextcloud-Härtungsleitfaden und der zugehörigen NGINX-Konfiguration .
Eine häufige Ursache für widersprüchliche Ergebnisse ist die Verwendung desselben Headers in Nextcloud, dem Webserver und einem CDN oder Reverse-Proxy. Die Antwort kann dann doppelte oder widersprüchliche Werte enthalten. Wählen Sie die Ebene aus, die für jeden Header zuständig ist, überprüfen Sie die endgültige Antwort, die ein Browser empfängt, und vermeiden Sie es, die Content Security Policy (CSP) von Nextcloud durch eine generische Richtlinie einer anderen Website zu ersetzen. Eine zu restriktive CSP kann Skripte oder Funktionen beeinträchtigen, die Nextcloud und seine Anwendungen benötigen. Testen Sie Richtlinienänderungen auf einem Testserver und prüfen Sie Browserfehler, bevor Sie die Anwendung in der Produktionsumgebung bereitstellen.
Damit ein Scanner das gewünschte Ergebnis liefert, testen Sie die endgültige HTTPS-URL, die Nutzer aufrufen, einschließlich Weiterleitungen und etwaiger CDN- oder Proxy-Hops. Prüfen Sie sowohl die Landingpage als auch eine statische Ressource, da verschiedene Ebenen unterschiedliche Header zurückgeben können. Stellen Sie sicher, dass HTTP zu HTTPS weiterleitet und die endgültige Antwort für jeden Header einen konsistenten Wert enthält. Verwenden Sie curl -I https://your-cloud.examplediese Schnellprüfung und anschließend die Entwicklertools Ihres Browsers oder einen externen Scanner, um die tatsächliche öffentliche Antwort zu analysieren. Ersetzen Sie den Beispiel-Hostnamen durch Ihren eigenen; veröffentlichen Sie keine privaten Hostnamen oder Zugangsdaten in Scanberichten.
Führen Sie den SecurityHeaders.com-Test für die öffentliche HTTPS-URL durch und lesen Sie alle Ergebnisse, nicht nur den Buchstaben. In den FAQ wird die Bewertung als Beurteilung der sicherheitsrelevanten Antwortheader beschrieben, die der Dienst prüft. A+ bedeutet daher, dass die getestete Antwort die aktuellen Bewertungsregeln des Dienstes erfüllt hat; es bedeutet nicht, dass Nextcloud frei von Sicherheitslücken ist oder dass der gesamte Server einen Penetrationstest bestanden hat. Verschiedene Scanner können dieselbe Konfiguration unterschiedlich bewerten, und die Bewertungskriterien können sich ändern.
Liegt das Ergebnis unter A+, identifizieren Sie den fehlenden oder in Konflikt stehenden Header, bestimmen Sie die zuständige Ebene und ändern Sie die Einträge einzeln. Testen Sie nach jeder Änderung erneut und prüfen Sie dabei Anmeldung, Datei-Upload und -Download, Desktop- und Mobilgerätesynchronisierung, WebDAV, Freigabe und alle kritischen Anwendungen. Falls Probleme auftreten, machen Sie die letzte Header-Änderung rückgängig und überprüfen Sie die Server- und Browserprotokolle. Fügen Sie niemals eine umfassende Content Security Policy (CSP) nur zur Erreichung einer bestimmten Note hinzu, ohne vorher die dokumentierten Anforderungen der Anwendung zu prüfen.
Versionsspezifische Schritte finden Sie in den Nextcloud 35-Richtlinien zur Härtung und Sicherheit , im Upgrade-Leitfaden sowie in der Dokumentation Ihres Webservers oder Ihrer Hosting-Plattform. Das wichtigste Ergebnis ist ein Server, der stets aktuell und wiederherstellbar bleibt, das Angriffsrisiko minimiert und nach jeder Sicherheitsänderung weiterhin funktioniert – eine Note allein reicht nicht aus.
Vergleichen Sie 10 Ping-Sweep-Tools für die schnelle LAN-Erkennung, plattformübergreifende Scans und IP-Adressverwaltung. Erfahren Sie, was ein Sweep liefern kann – und was nicht.
Vergleichen Sie sechs Netzwerkmanagement-Tools für die Leistungsüberwachung, einschließlich SNMP-Abdeckung, Mapping, Warnmeldungen, Bereitstellungsmodelle und Kosten-Nutzen-Verhältnisse.
Vergleichen Sie die besten Wi-Fi-Analyseprogramme für Windows, iPhone und Android, einschließlich Tools für Kanalüberlastung, Signalabdeckung, Heatmaps und Netzwerk-Fehlerbehebung.
Erfahren Sie, was QoS in der Netzwerktechnik bedeutet, wie DSCP-Markierungen und Datenverkehrswarteschlangen Sprach-, Video- und Geschäftsanwendungen priorisieren und was QoS nicht beheben kann.
Vergleichen Sie zuverlässige SFTP-Server-Software für Windows und Linux, darunter OpenSSH, Bitvise, SolarWinds und SFTPGo. Finden Sie die passende Lösung für Ihre Sicherheits- und Dateitransferanforderungen.
Vergleichen Sie 10 Tools zum Scannen und Analysieren drahtloser Netzwerke für Windows, iOS und Android mit klaren Hinweisen zu Wi-Fi-Kanälen, Abdeckungskarten, LAN-Prüfungen und Plattformbeschränkungen.
Erstellen Sie eine praktische Netzwerküberwachung mit klarer Geräteabdeckung, nützlichen Leistungskennzahlen, umsetzbaren Warnmeldungen und einem Vergleich von SolarWinds NPM, PRTG und OpManager.
Vergleichen Sie sieben IP-Adressverwaltungstools für Subnetzerkennung, DNS- und DHCP-Koordination, Netzwerkinventarisierung und Open-Source-IPAM.
Vergleichen Sie Netzwerk-Scanner-Tools für die schnelle Geräteerkennung, plattformübergreifende IP-Scans und Enterprise IPAM mit Hinweisen zur Auswahl der passenden Option für Ihr Netzwerk.
Verwenden Sie die Option --traceroute von Nmap, um Hops einem autorisierten Host zuzuordnen, die Hop- und RTT-Ausgabe zu verstehen und fehlende Antworten zu beheben, ohne übermäßig zu scannen.
