Wenn Sie die serverseitige Verschlüsselung von Nextcloud in Betracht ziehen, weil Ihre Dateien auf externen Speichermedien liegen, aktivieren Sie diese erst, nachdem Sie sichergestellt haben, dass sie Ihrem Bedrohungsmodell entspricht. Es gibt keine Einstellung, die eine Verschlüsselung ohne Leistungseinbußen garantiert: Der Server muss die Dateiinhalte verschlüsseln und entschlüsseln, wodurch sich Übertragungsraten und CPU-Auslastung ändern können. Sie können die Auswirkungen kontrollieren, indem Sie repräsentative Dateien testen, die Verschlüsselung nur für die benötigten Speichermedien aktivieren und Massenkonvertierungen in einem ressourcenschonenden Zeitraum planen.
Das aktuelle Nextcloud-Administrationshandbuch (Version 35, Stand: 10. Oktober 2026) beschreibt die integrierte serverseitige Verschlüsselung (SSE) primär als Schutz für ruhende Dateien auf externen Speichermedien. Sie verbirgt weder Dateinamen noch Ordnerstrukturen und schützt Dateien nicht vor einem kompromittierten Nextcloud-Server oder einem böswilligen Administrator. Für lokale Festplatten oder bei physischem Diebstahl ist die Betriebssystem-Festplattenverschlüsselung möglicherweise besser geeignet. Um Daten für den Serveradministrator unlesbar zu machen, empfiehlt sich stattdessen eine Ende-zu-Ende-Verschlüsselung.
Planen Sie die Schlüssel und die Wiederherstellung, bevor Sie Einstellungen ändern. Sichern Sie die Nextcloud-Konfiguration und die Verschlüsselungsschlüsseldaten und stellen Sie sicher, dass die Sicherung separat und mit Zugriffskontrollen gespeichert wird. Die Schlüsseldaten werden im Datenverzeichnis gespeichert; der Verlust der Verschlüsselungsschlüssel oder des Instanzgeheimnisses kann die Wiederherstellung verschlüsselter Daten unmöglich machen. Bewahren Sie ein getestetes Wiederherstellungsverfahren auf, nicht nur eine Kopie der Datenbank.
Erstellen Sie außerdem vor der Änderung einen Ausgangswert: Testen Sie die Upload- und Downloadzeiten für repräsentative Dateien, beobachten Sie die CPU- und Speicherauslastung und notieren Sie jegliche Latenz, die Benutzer feststellen. Wiederholen Sie dieselben Tests nach der Aktivierung. So können Sie feststellen, ob die Änderung auf Ihrer Hardware akzeptabel ist, anstatt sich auf eine pauschale Aussage zur Leistung zu verlassen.
sudo -E -u www-data php /var/www/nextcloud/occ encryption:statusErsetzen Sie den Beispielpfad und den HTTP-Benutzer durch die in Ihrer Installation verwendeten. Nextcloud benötigt OCC als HTTP-Benutzer, um die korrekten Dateiberechtigungen zu gewährleisten. Verwenden Sie in Docker, AIO, Snap oder Managed Hosting die unterstützte Shell und den Benutzer dieser Bereitstellung, anstatt diesen Host-Befehl wörtlich zu kopieren. Details zur Befehlsausführung finden Sie im offiziellen OCC-Handbuch .
Nach Aktivierung von SSE werden neue und geänderte Dateien verschlüsselt. Vorhandene Dateien werden nicht automatisch konvertiert, nur weil die Einstellung aktiviert wurde. Falls Sie Ihre bestehende Dateibibliothek verschlüsseln möchten, bietet Nextcloud folgenden OCC-Befehl:
sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-allVor der Ausführung sollten Sie sicherstellen, dass die Backups aktuell sind und ein Wartungsfenster einplanen. Der Vorgang verarbeitet Dateien für alle Benutzer, zeigt den Fortschritt an und kann auf großen Instanzen viel Zeit und Ressourcen beanspruchen. Nextcloud empfiehlt, während dieses Vorgangs nicht auf Dateien zuzugreifen. Führen Sie den Vorgang nicht während Spitzenzeiten aus und behandeln Sie ihn nicht als unbedenkliche Option. Wenn nur ein bestimmter externer Mountpunkt SSE benötigt, konfigurieren Sie die Verschlüsselungsoption dieses Mountpunkts, anstatt unnötigerweise eine serverweite Umstellung zu initiieren.
Einige Daten fallen nicht unter die Dateiinhaltsverschlüsselung. Das aktuelle Handbuch listet Dateinamen und Ordnerstrukturen, vorhandene Papierkorbdateien, frühere Dateiversionen, Bildminiaturen und -vorschauen sowie den Volltextsuchindex als nicht durch SSE verschlüsselte Elemente auf. Das Teilen von auf externem Speicher verschlüsselten Dateien muss über Nextcloud erfolgen; eine direkte Freigabe vom Speicheranbieter ist nicht möglich.
Verwenden Sie eine gestaffelte Prüfung, anstatt alles auf einmal zu verschlüsseln:
Nextcloud garantiert keinen vollständigen Ressourcenverbrauch, und die tatsächlichen Auswirkungen hängen von Hardware, Dateigrößen, Speicherplatz, gleichzeitiger Nutzung und Arbeitslast ab. SSE kann die Größe gespeicherter Dateien geringfügig erhöhen; laut aktuellem Handbuch beträgt der Mehraufwand bei neueren Versionen etwa 1 %, während ältere Versionen einen höheren Mehraufwand aufwiesen. Gehen Sie nicht davon aus, dass eine ältere Leistungsschätzung für Ihre Version gilt.
Nach der Aktivierung von SSE überprüfen occ encryption:statusund testen Sie das Upload-, Download-, Freigabe- und Synchronisierungsverhalten mit einer unkritischen Datei. Stellen Sie sicher, dass die Daten auf dem vorgesehenen Speicherort über Nextcloud lesbar sind und die gemessenen Verzögerungen akzeptabel bleiben. Gehen Sie bei vorhandenen Dateien nicht davon aus, dass diese verschlüsselt sind, bis der Massenvorgang abgeschlossen ist.
Wenn Sie SSE später deaktivieren möchten, schalten Sie die App oder das Modul nicht einfach aus, solange noch verschlüsselte Dateien vorhanden sind. Nextcloud empfiehlt, die Dateien zuerst zu entschlüsseln und anschließend die Verschlüsselung zu deaktivieren. Der Entschlüsselungsbefehl kann in den Wartungsmodus wechseln und sollte daher nur mit vorhandenen Backups ausgeführt werden.
sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-allVergewissern Sie sich, dass der Vorgang abgeschlossen ist und prüfen Sie den Dateizugriff, bevor Sie die Verschlüsselungseinstellungen ändern. Ist der gemessene Aufwand zu hoch, verringern Sie den Umfang des verschlüsselten Speichers oder wählen Sie eine Speicherschicht, die Ihrem Bedrohungsmodell entspricht. Bewahren Sie die Schlüssel und das Instanzgeheimnis so lange auf, wie verschlüsselte Daten vorhanden sind.
Aktivieren Sie die zuverlässige Nextcloud-Dateisperrung, wählen Sie das richtige Redis- oder Valkey-Backend und überprüfen Sie, ob die Warnung verschwindet, ohne dass gleichzeitige Dateiänderungen riskiert werden.
Behebt häufige Nextcloud-Scan-Fehler durch aktuelle Updates, HTTPS und HSTS, präzises Reverse-Proxy-Trust und Überprüfungen gegen den öffentlichen Server.
Konfigurieren Sie Nextcloud SSE für den Speicher, der es benötigt, schützen Sie die Verschlüsselungsschlüssel und messen Sie die Übertragungs- und CPU-Auswirkungen, bevor Sie vorhandene Dateien verschlüsseln.
Verbinden Sie die Dateisuche von Nextcloud mit Elasticsearch, indizieren Sie Dokumentinhalte und wählen Sie eine Konfiguration, die Ihren Server- und Sicherheitsanforderungen entspricht.
Konfigurieren Sie Nextcloud so, dass gelöschte Dateien nach einer festgelegten Aufbewahrungsfrist entfernt werden, Hintergrundprozesse zuverlässig geplant werden und Befehle vermieden werden, die den Papierkorb aller Benutzer leeren.
Führen Sie die OCC-Reparatur von Nextcloud sicher durch, sehen Sie sich die Datenbankänderungen in der Vorschau an und prüfen Sie, warum die Warnung möglicherweise weiterhin angezeigt wird.
Ermöglichen Sie größere Nextcloud-Browser-Uploads, indem Sie die Einstellungen für PHP, Nginx oder Apache, temporären Speicher und Timeout aufeinander abstimmen – und überprüfen Sie, welches Limit die Datei blockiert.
Stellen Sie das PHP-Speicherlimit ein, das Nextcloud tatsächlich verwendet, starten Sie den richtigen Dienst neu und bestätigen Sie die Einstellung von 512 MB in der Admin-Übersicht.
Binden Sie einen kompatiblen Objektspeicher-Bucket in Nextcloud mithilfe des S3-Backends ein, und zwar mit dem richtigen Endpunkt, den richtigen Anmeldeinformationen, dem richtigen Zugriffsbereich und den richtigen Verifizierungsschritten.
Sicheres Verschieben eines Linux Nextcloud-Datenverzeichnisses auf ein externes Laufwerk mithilfe einer persistenten UUID-Einbindung, des Wartungsmodus, einer verifizierten Kopie und des Symlinks des ursprünglichen Pfads.
