Ursprünglich veröffentlicht: https://www.kuketz-blog.de/unplugbigtech-eigene-nextcloud-statt-google-drive-co-teil-5/
1. Einleitung In Teil 4 der Serie #UnplugBigTech haben wir E-Mail vom Werbe-Ökosystem entkoppelt. Das war wichtig, weil an E-Mail fast alles hängt: Logins, Passwort-Resets, Verträge, Tickets und Behördenpost. Als Nächstes geht es um die Cloud. Denn auch hier sammeln sich viele private Daten: Dateien, Fotos, Backups, Kontakte, Kalender und Notizen. Wer dafür Google Drive, OneDrive oder iCloud nutzt, sperrt sich in ein komplettes Ökosystem. Konten und Geräte werden zwar von selbst miteinander verknüpft und sorgen für Komfort. Aber der Preis ist die Auswertung von Metadaten, Dateinamen, Zugriffsmustern und Nutzungsverhalten. Ziel dieses Teils: Ein zentraler Ablageort, der unabhängig von Big-Tech-Monopolen…
Das größte Problem an der Sache ist, dass die Nextcloud standardmäßig nicht E2E verschlüsselt ist und viele das nicht anbieten, bzw. es da zu starken Problemen kommt.
Dann doch lieber eine E2E verschlüsselte iCloud - die ist viel sicherer.
Wenn man von Apple iCloud mit aktiviertem „Erweiterten Datenschutz“ kommt, dann fehlt einem Ende-zu-Ende-Verschlüsselung in Nextcloud schmerzlich.
Das sich bei Nextcloud wenn überhaupt nur Dateien verschlüsseln lassen und keine Daten von Nextcloud Apps, macht den Wechsel nochmal schwerer.
Kommt man jedoch von einem unverschlüsselten Cloud-Anbieter wie Microsoft 365 oder Google kommt, dann ist eine Nextcloud eine sinnvolle Alternative.
Der Blog hat mich daran erinnert, dass ich schon länger in der Testphase festhänge.
Was mich irritiert:
- Wenn neue Versionen von „Contacts“ verfügbar ist, bekomme ich eine Mail. Das macht immer den Eindruck als müsste/sollte man was tun. Aber irgendwann (wie schnell eigentlich?) werden die neuen Versionen eh installiert.
- Die ganzen Apps, die schon aktiviert sind oder noch aktivierbar sind überfordern. Im Grunde möchte ich das nur als gemeinsame Ablage für mehrere Geräte nutzen. Quasi ein temporärer Posteingang für Dateien jeglicher Art. Am liebsten würde ich einfach alle deaktivieren.
-
- Apps wie „Weather“ oder „PDF-Viewer“ brauche ich nicht.
-
- Apps wie „Brute-Force Settings“ oder „Two-Factor TOTP Provider“ klingen aber sehr sinnvoll
-
- Wo zieht man da den Schnitt?
- Offenbar kann man diese Apps auch übern Hetzner-Login bzw ConsoleH de/aktivieren. Da frage ich micht, ist das reduntant, oder muss/sollte ich auf der Hetzner-Seite auch noch etwas einstellen?
- Wenn ich bei Nextcloud die serverseitige Verschlüsselung aktivieren möchte, muss offenbar noch ein Modul aktiviert werden und es wird darauf hingewiesen, dass die Geschwindigkeit verringert wird. Man solle es nur machen, wenn nötig. Da ich das Ganze eh über Cryptomator nutze, kann ich es wohl auslassen, außer ich möchte meine Keyfiles/Tresore vor Kopieren und Brutforce schützen.
- Über „Persönlich“ → „Sicherheit“ kann ich TOTP als 2FA aktivieren. Über „Administration“ → „Sicherheit“ ebenso!? Was bewirkt was, oder sind das einfach doppelte Einträge die zum Gleichen führen? Die Beschreibungen klingen gleich:
Man kann Konten und Gruppen einrichten. Heißt das, dass ich kann quasi für jedes Gerät ein extra Konto erstellen und über Gruppen jedem Gerät eine extra, abgetrennte „Storage Box“ einrichten und für die gemeinsame Ablage eine Gruppe, denen alle Konten zugeteilt werden?
Oder z.B. Gruppen für Anwendungsfälle einrichten (sinnvoll?), bspw. für KeePass-Datenbanken?
Vom Design her sieht Nextcloud IMHO einen Konto je natürlicher Person vor, unter dem dann alle Daten des Benutzers unabhängig von der jeweils verwendeten Funktion abgelegt sind. Über Gruppen kann man dann mehrere solcher Konten gruppieren um einfach gemeinsame Freigaben einrichten zu können.
Natürlich könntest Du je App die mit der Nextcloud kommunizieren kann einen eigenes Konto anlegen und auch Gruppen für die natürliche Person für Freigaben zwischen ausgewählten Apps des Benutzers einrichten. Der Einrichtungsaufwand je App und das ständige Ab- und Anmelden um die notwendigen Konfigurationen in dem jeweilige Konto durchzuführen dürfte jedoch sehr umfangreich sein.
Die Frage wäre auch, was Du damit überhaupt erreichen wolltest?
Meistens wird es doch eher so sein, dass man für Dateien die NextCloud App oder auch die Cryptomator App zentral im jeweiligen Betriebssystem installiert und über die jeweilige Betriebssystem API dann Dritt-Apps Zugriff auf die jeweiligen Dateien in der Nextcloud nehmen können. Unter Apple iOS z. B. würde dieses über die „Dateien App API“ des Betriebssystems erfolgen, die bei jedem Zugriff eine Benutzerinteraktion innerhalb der Betriebsystem-Komponente zum Öffnen der Dateien / der Ordner erfordert, sodass eine App nicht alleine beliebig auf die Nextcloud Dateien zugreifen kann. Wie das in anderen Betriebssystemen aussieht müsste man dort bewerten.
Ich persönlich würde auf jeden Fall den Aufwand scheuen für jede App einen einzelnen Benutzer anzulegen, jede App dann entsprechende mit einer WebDAV-Zugriffs-Konfiguration auf diesen Benutzer zu versehen und dann ggf. noch gemeinsame Shares für das dann doch Zusammenarbeiten von Apps einzurichten. Kann man sicherlich machen (wenn die App überhaupt einen eigenen Serverzugriff erlaubt), erscheint mir jedoch sehr aufwendig.
Wenn Du Cryptomator nutzen willst, dann wäre für diese Dateien die Serverseitige Verschlüsselung doppelt und nicht notwendig.
Ergänzend wird die serverseitige Verschlüsselung für alle Daten der Nextcloud die nicht als Dateien in Nextcloud gespeichert werden nicht genutzt (Kontakte, Kalender, Nextcloud Notizen-Apps, …), ebenso befindet sich der serverseitige Schlüssel im Dateisystems des Servers, also im Zugriff von Personen mit Zugriff auf das Betriebssystem (Administratoren und erfolgreiche Angreifer die über eine Schwachstelle auf das Serversystem zugreifen können).
Daher ist der Einsatz der serverseitigen Verschlüsselung vermutlich nicht wirklich sinnvoll und ich würde mir um diese keine Gedanken machen.
Zum Thema der Funktionsmodule der Nextcloud (Nextcloud Apps) kann ich Dir keinen wirklichen Rat aus Erfahrung geben. Es hängt wohl stark davon ab, wieviel KnowHow und Aufwand Du einbringen kannst.
Du solltest jedoch bedenken, dass die Nextcloud von der Idee her kein einfacher Dateispeicher, sondern eher eine umfangreiche Cloud-Lösung für eine Vielzahl an Einsatzzwecken darstellt. Ich würde aus dem Bauch heraus die Nextcloud so benutzen, wie Sie der Anbieter (Hetzner bei Dir) im Standard bereitstellt. So dürften technische Probleme die auftreten könnten wenn Du Module deaktivierst oder deinstallierst am ehesten minimiert sein, da Hetzner sehr viele gleichartige Instanzen betreibt.
Aber vielleicht hat jemand Erfahrung mit einer minimierten Nextcloud-Installation basierend auf Hetzners StorageShare Produkt und kann von seinen Erfahrungen berichten.
oder wenn man Proton Drive Kunde ist.
Allerdings ist selbst die Kontrolle über die Daten haben, auch sehr viel wert.
Im Endeffekt, soll jedes Gerät (Desktop, Handy, Tablet) seinen eigenen Speicherbereich haben (nicht jede App) und zusätzlich soll es die Möglichkeit zum Austausch geben. Hierbei einerseits um allgemein Daten zu tauschen und insbesondere eine KeePass-DB abzulegen. Ob dauerhaft oder nur temporär muss ich mir noch überlegen.
Zeitgleich habe ich noch eine Hetzner StorageBox im Testbetrieb. Soweit ich sehe (muss ich noch testen), kann ich dort auch Benutzer erstellen, die dann die StorageBox quasi in Container aufteilen. Aber ein Zugriff von mehreren Geräten auf die gleiche StorageBox scheint nicht möglich. Bzw mit angelegten Benutzern müsste es möglich sein. Aber Verzeichnisse gemeinsam zu nutzen, scheint dort nicht vorgesehen zu sein. Das ist schade, weil vom Funktionsumfang scheint es sonst ausreichend zu sein.
Ich habe StorageShare gestern und eben nochmal getestet. Ich könnte theoretisch jedem Gerät/Geräteprofil über Konten eigene Bereich einrichten. Hat vielleicht den Vorteil, dass, falls ein mobiles Gerät abhanden kommt, dass dann nicht so leicht Passwörter ausgelesen werden können. Anderseits dürfte das eher unwahrscheinlich sein und wäre, wie du schon sagst, zusätzlicher Verwaltungsaufwand.
Als Freigabe-Optionen von Ordnern, kann man angelegte Konten oder Gruppen auswählen. (Offenbar gibt es auch noch „Teams“, aber noch nicht mit befasst). Somit wäre der beste Weg eigentlich, dass man ein gemeinsames Konto für alle Geräte nutzt und dann mit Ordner die Freigaben wunschgemäß verteilt. (Ob sich Freigaben im Verzeichnis vererben muss ich nochmal testen). Bis auf die KeePass-DB habe ich nicht vor wichtige Daten dort zu speichern. Dennoch ist das die Messlatte für schütztenswerte Daten. Vielleicht lege einfach ein zweites Konto ohne Adminfunktionen an, dass von allen Geräten genutzt wird. Fühlt sich besser an. Aber anderseits sehe ich dadurch keine erhöhte Schutzfunktion für die Daten. Höchstens fürs Konto. Aber die KeePassDB hat einen weiteren Faktor und die Cloud ist eh nur ein Art Backup. Ein Verlust wäre nur der Wegfalls von Komfort.
Genau diese Funktionen laufen eh über andere Wege. Von daher lasse ich es aus.
Ich möchte eigentlich gar keinen Aufwand haben und mich auch nicht groß einarbeiten müssen. Das Konto sollte möglichst sicher eingerichtet sein und WebDav für Cryptomator soll funktionieren.
Heute werde ich mal 2FA auf der Nextcloud-Seite aktivieren und schauen, ob es danach in beiden Menübereichen damit aktiviert ist.
Dann werde ich wohl noch ganz offensichtlich unproblematische Apps deaktivieren, wie PDF-Viewer und Wetter und es dann dabei belassen.
Meine Roadmap insgesamt:
- Sicheres PW Hetzner
- Sicheres PW Nextcloud
- 2FA Hetzner
- 2FA Nextcloud
- 2FA bei Nextcloud testen (wann und wie getriggert)
- Gruppen einrichten ( )
- Ordner und Freigaben einrichten
- Geräte einbinden
- Cloud aktiv testen
- Bei Lust und Zeit Einstellungen bei Hetzner & Nextcloud prüfen
-
- Der letzte Punkt hat leider unzählige Möglichkeiten. Vielleicht genau das richtige für einen internen KI-Assistenten, dem man sagt was man möchte und es dann umsetzt. Aber alles halb so wichtig, solange in der Cloud nur verschlüsselte Daten liegen.
Irgendwie ist mir nicht klar, warum Deiner Geräte unterschiedlichen Speicher in der Nextcloud haben sollte und was Du damit erreichen willst.
Die allermeisten Anwender nutzen eine (Next)Cloud ja gerade dafür, dass sie Ihre Datenbestände gemeinsam über Ihre Geräte nutzen zu können und damit dann für sich sinnvolle Workflows abzubilden - z. B. man erstellt ein Foto mit dem Smartphone, überträgt diese in die Cloud und kann dieses dann z. B. auf seinem PC sichern, optimieren und dann auf einem Tablet ansehen oder mit Dritten teilen.
Einzig für ein Gerätebackup würde ich von getrennten Speicherbereichen für die Datensicherung ausgehen. Hierfür würde ich jedoch dann einfach unterschiedliche Verzeichnisse anlegen, damit die Backup-Daten meiner Geräte getrennt würden.
Daher nutze ich meine Cloudspeicher eben wie folgt:
(1) Ich lege mir einen persönlichen Account ohne Administrationsrechte für die Nutzung meiner NextCloud ergänzend zum Standard-Admin-User an um im täglichen Arbeiten nicht mit Admin-Rechten unterwegs zu sein.
(2) Ich konfiguriere auf allen meinen Geräten einen Zugriff auf den Nextcloud-Account entweder über die Nextcloud App (unverschlüsselt) oder Cryptomator App (verschlüsselt) um Dateien in der Nextcloud zu speichern und von allen meinen Geräten zugänglich zu machen.
(3) Alle weiteren Apps die mit dateibasierenden Datenablagen arbeiten (Textverarbeitung, Präsentation, Tabellenkalkulation, PDF Bearbeiter) greifen innerhalb des jeweiligen Client-Betriebssystem auf die zentral eingebundene Nextcloud-Dateien zu.
(4) Für gesonderte Anwendungsfälle in denen Datenbestände zwischen Geräten synchron gehalten und offline auf den Geräten vorgehalten werden sollen (Passwort über WebDAV, Kontakte, Kalender, Notizen) installiere ich die entsprechende App auf allen meinen Geräten und konfiguriere diese mit meinem Nextcloud-Account.
Wenn ich ergänzend den Bedarf habe meine Nextcloud z. B. in meiner Familie gemeinsam zu nutzen, richte ich ergänzend je Person einen weiteren Benutzer ein und gehe genauso vor. Sollte der Bedarf für gemeinsam genutzte Daten bestehen, muss ich je Anwendungsfall schauen ob Freigaben innerhalb der Nextcloud sinnvoll sind (Datei-, Ordner, oder Kalender-freigaben) oder nutze ggf. auch zusätzliche Accounts die dann gemeinsam genutzt werden.
Wenn Du nicht grundsätzlich (einzelnen) Deiner Geräten misstraust und daher wirklich eine Trennung der Cloud-Datenbestände benötigst, würde ich empfehlen, dass Du in einer solchen einfachen Variante vorgehst.
Da ich keine Lust mehr auf Datensalat und Verwaltung habe, bin ich mittlerweile sehr riegeros und gut 90% der Daten bekommen keine Backup, weil sie verzichtbar sind.
Die Hauptanwendung ist daher fast nur Daten temporär in eine Cloud zu speichern, bevor sie in die eigentliche Datenstruktur einfließt (falls überhaupt) und von dort aus Backups bekommt. Die zweite Anwendung ist bestimmte, wenige Daten dauerhaft in der Cloud zu haben, weil die Nutzung doch recht mobil bzw. geräteübergreifend stattfindet.
Grundsätzlich trenne ich nur gerne die Geräte und Anwendungsfälle. Hilft enorm Datenmüll zu reduzieren, weil man so nur gezielt ausgewählte Daten behält. Ich habe Daten gerne sicher und datenschutzfreundlich gespeichert, aber die Trennung erfolgt weniger wegen der Sicherheit. Das anfälligste (Diebstahl) wäre wohl mein iPad. Klaut man mir mein GOS-Pixel, kommt keiner rein und es geht vermutlich eh postwendend in den Factory-Reset für den Weiterverkauf. Das iPad mit PIN-Eingabe oder FaceID gefällt mir (beides) nicht, aber ein Tablet ist halt praktisch.
Die Idee je Gerät einen Bereich zu haben, ist einfach Spieltrieb, um zu sehen was wie geht. Die von dir benannte Option darüber Datenbackups der Geräte zu machen, hatte ich mal, stört mich aber bei der strikten Datenvermeidung. Aber dennoch wollte ich mich mit dieser Option mal befassen. Vielleicht fängt im Urlaub an das Handy zu spinnen und man möchte einige Daten in die Cloud spiegeln, ohne, dass gleich jedes Gerät oder jede weitere, eingebunden Person Zugang hat.
Aber du hast schon Recht, statt Konten und Gruppen anzulegen, kann ich das auch einfach mit Cryptomator-Tresoren machen. Kommt aufs Gleiche hinaus und ist weniger Aufwand.
Optimal wäre es, wie ich es mit Ente mache:
Über StorageScopes hat Ente nur Zugriff auf bestimmte Verzeichnisse. Sobald ich dort ausgewählte Bilder/Ordner reinschiebe, gehen sie automatisch in die Cloud. Aber ich will ganz bewusst nicht, dass jeder Screenshot, oder Foto von einem OTP (geht manchmal nicht anders) in die Cloud wandert und wieder aussortiert werden muss.
Darüber hinaus ist Ente einfach nur eine parallele Cloud-Alternative bzw. Datenstruktur, weil ich Bilder nach wie vor systemunabhängig in Verzeichnisbäume aufteile. Außerdem ändern sich Metadaten beim Download. Geht Ente verloren, sind keine Bilder verloren, nur die Option, sie schnell für Freunde und Familie zur Verfügung zu haben.
In diesem Sinne verwalte ich auch meine Daten. Alles was lokal auf einem Gerät anfällt ist unwichtig. Was doch wichtig ist, kommt in die Hauptstruktur mit Backups.
Vielleicht gibt es ja noch eine einfachere Variante als Storage Share, da Bilder, Kontakte, Kalender, Mails, Notizen über andere Anbieter laufen. Im Grunde brauche ich nur einen Cloud-Datenträger. Aber eigene Server usw möchte (und kann) ich nicht.
Ich habe das nun ausprobiert:
TOTP aktivieren, bedeutet, dass WebDav (zumindest per Crpytomator) nicht mehr funktioniert, bzw. mit abgefragt wird. Das kann man je Konto anlegen.
Im Adminbereich geht es nur, darum, ob und wie 2FA erzwungen wird.
Könnte man über den WebDav-Link überhaupt in die ganzen Profileinstellungen kommen, oder ist das nur Zugriff auf eine Datenstruktur?
Also werde ich entweder ein „Standard“-Konto für WebDav ohne TOTP einrichten, oder doch gleich Konten je Gerät. Dann kann kein gehacktes Gerät oder unvorsichtige Bedienung dazu führen, dass alle Cryptomator-KeyFiles gelöscht oder beschädigt werden.
Du kannst TOTP für die Webanmeldung und Geräte/App-spezifische Passworte für automatisierte Anmeldungen gemeinsam nutzen.
„Nextcloud“ > „Avatar oben rechts“ > „Einstellungen“ > „Sicherheit in der Seitenleiste links“ > „Neues App-Passwort“
So können Apps wie Cryptomator über WebDAV und Passwort auf die Nextcloud zugreifen, während die Anmeldung auf der Webseite mit Zugriff auf die Einstellungen über TOTP mit dem zweiten Faktor gesichert ist.
Das hatte ich gestern ausprobiert und klappte nicht. Mit spezifischen PW war keine Anmeldung möglich, solange TOTP aktiv war. Aber vielleicht war ich zu schnell. Teste ich nochmal.
Mit App-spezifischen Passwörtern funktionieren bei mir so WebDAV, CardDAV und CalDAV-Zugriffe während der Browser-Zugriff die TOTP-Zwei-Faktor Authentisierung erfordert.
Ich nutze hierfür einen ergänzend angelegten Benutzer-Account und nicht den ersten Admin-Account. Vielleicht gibt es hier Unterschiede.
Mit einem angelegten Benutzer habe ich es getestet. Offenbar muss man erst das AppPW erstellen, damit anmelden und danach erst TOTP aktivieren. Andersrum gab es Verbindungsfehler (Cryptomator, Android).
Cryptomator bei Linux (AppImage, Fedora) scheint kein WebDav zu können. WebDav als Onlinezugang einzurichten, triggert den Brutforceschutz und führt sogar zur deaktvieren des Nextcloud-Kontos/Benutzers. Im Verbund mit der dem AppImage von Nextcloud funktioniert es dann aber.
Erscheint insgesamt aber doch deutlich komplizierter.