Nextcloud Verschlüsselung: Datenschutz nach deutschem Standard

Was ist Nextcloud Verschlüsselung?

Nextcloud bietet zwei verschiedene Ansätze zum Schutz Ihrer Daten. Die Wahl zwischen ihnen ist eine Frage der Anforderungen Ihres Unternehmens.

Serverseitige Verschlüsselung

Ihre Dateien werden mit einem Schlüssel verschlüsselt, während Sie angemeldet sind. Im Ruhezustand auf der Festplatte liegen sie verschlüsselt vor.

Vorteil: Alle Nextcloud-Features funktionieren ohne Einschränkung. Zusammenarbeit. Office-Bearbeitung im Browser. Teilen. Sie benötigen keine zusätzliche Software auf dem Client.

Trade-off: Der Administrator kann theoretisch auf die Schlüssel zugreifen. Das ist für den Standard-Datenschutz ausreichend. Für hochsensible Daten ist es nicht die Lösung.

Ende-zu-Ende-Verschlüsselung (E2EE)

Ihre Daten werden auf Ihrem Computer verschlüsselt, bevor Sie zum Server gehen. Der Server kennt die Inhalte nicht. Nicht Opsily, nicht der Admin, niemand.

Vorteil: True Zero-Knowledge. Selbst wenn jemand physisch Zugriff auf unsere Server hätte, sind Ihre Dateien wertlos ohne den Schlüssel, den nur Sie haben.

Trade-off: E2EE funktioniert nur in bestimmten Ordnern. Im Browser können Sie diese Dateien nicht mit Office-Anwendungen bearbeiten. Teilen ist komplizierter. Sie brauchen den Desktop-Client oder Mobile App.

Welche Verschlüsselung brauchen Sie?

• Serverseitig: Allgemeine Geschäftsdateien, Kundenverzeichnisse, Projektdokumente, interne Wiki, Kalender, Kontakte, Chat.
• E2EE: Personaldaten, Gehaltslisten, ärztliche Akten, Rechtsdokumente, Patientenunterlagen, Finanzprüfungen.

Bei Opsily können Sie beides kombinieren: E2EE für sensitive Ordner, serverseitig für die tägliche Zusammenarbeit.

Ist Nextcloud DSGVO-konform?

Die Nextcloud-Software: Ja. Sie ist nicht per se DSGVO-widrig.

Nextcloud selbst gehostet: Vielleicht. Hängt davon ab, wo es läuft und wie zuverlässig der Admin ist.

Opsily-gehostete Nextcloud: Ja. Eindeutig. Hier ist warum:

1. Datenort Deutschland

Ihre Daten liegen in deutschen Rechenzentren. Nicht in Irland, nicht in den USA, nicht irgendwo sonst. Das ist seit dem BVerfG-Urteil von Mai 2020 entscheidend. Deutsche Gerichte haben festgestellt, dass Unternehmen Daten nicht über US-Infrastruktur leiten dürfen. Der CLOUD Act ist real. Das betrifft Google Drive, Dropbox, Microsoft 365 - alle transferieren über US-Server.

2. ISO 27001 Zertifizierung

Unabhängige Prüfer haben bestätigt, dass unsere Sicherheitsprozesse professionell sind. Zugriffskontrolle. Verschlüsselung. Backups. Notfallwiederherstellung. Monitoring.

3. Auftragsverarbeitungsvertrag (AVV)

Opsily ist nicht der Eigentümer Ihrer Daten. Sie sind es. Wir sind der Auftragnehmer. Das wird vertraglich festgehalten, wie Art. 28 DSGVO verlangt. Sie haben immer das Recht, Ihre Daten zu exportieren und zu löschen.

4. Keine US-CLOUD-Act-Exposure

Wenn das FBI anklopfen würde: Opsily sitzt in Deutschland, unterliegt deutschem Recht, nicht dem CLOUD Act. Das ist nicht theoretisch. Für US-Hosted-Anbieter ist das ein echtes Risiko.

Selbsthosting oder US-Cloud?

Selbsthosting ist kostenlos. Erfordert aber IT-Fachkompetenz. Updates, Backups, Monitoring, Notfallpläne - das ist Arbeit. Die meisten Kleinunternehmer unterschätzen diesen Aufwand, bis die Festplatte ausfällt.

US-Cloud (Google, Dropbox, Microsoft 365) ist einfach. Aber nicht DSGVO-konform nach Schrems II und BVerfG-Urteil. Sie zahlen für Komfort, nicht für Sicherheit.