367.000 Datensätze mit Kundenverträgen, Rechnungen und Installationsskripten samt Zugangsdaten standen wochenlang ungeschützt im Netz – ausgerechnet bei dem Unternehmen, das Bund und Ländern die digitale Unabhängigkeit von Microsoft verspricht. Nextcloud spricht von einer Fehlkonfiguration. Das Problem aber liegt tiefer.
Die Nextcloud GmbH aus Stuttgart hat sich in den letzten Jahren eine bemerkenswerte Position erarbeitet. Das Unternehmen hinter der gleichnamigen Open-Source-Kollaborationslösung ist zum Aushängeschild der europäischen Souveränitätsdebatte geworden: Mecklenburg-Vorpommern ersetzt Microsoft Sharepoint durch Nextcloud und will die Lösung von aktuell 5.000 auf 50.000 Verwaltungsarbeitsplätze erweitern. Schleswig-Holstein und Thüringen erproben Nextcloud Talk flächendeckend als Ersatz für Microsoft Teams. Im openDesk des Bundes, der souveränen Arbeitsumgebung für die Bundesverwaltung, bildet Nextcloud den Dateispeicher. Wer also in Deutschland über Alternativen zu US-Hyperscalern spricht, spricht über Nextcloud.
Umso schwerer wiegt, was Sicherheitsforscher des Portals Cybernews jetzt öffentlich gemacht haben: Beim Souveränitäts-Champion selbst stand eine Datenbank mit sensiblen Kunden-, Partner- und Mitarbeiterdaten offen im Internet – frei zugänglich für jeden.
Was lag offen
Am 18. Mai stießen die Forscher auf einen ungeschützten Elasticsearch-Cluster mit rund 367.000 Datensätzen und einem Volumen von knapp acht Gigabyte. Der Inhalt der Datenbank liest sich wie eine Einkaufsliste für Cyberkriminelle:
Verträge, Vorlagen und Zusammenfassungen zu Geschäftsbeziehungen mit Kunden lagen offen, inklusive Angaben zu Leistungsumfang, Nutzerzahlen und Vertragsbedingungen. Rechnungen enthielten E-Mail-Adressen von Nextcloud-Mitarbeitern sowie Namen und Anschriften von Kunden. Dazu kamen E-Mails im EML-Format mit unverschlüsseltem Inhalt, Absender- und Empfängeradressen sowie Listen mit vollständigen Namen sowie dienstlichen Mail-Adressen von Teilnehmern an Betatests.
Der heikelste Fund: Shell- und Python-Skripte, die Nextcloud für wichtige Kunden zur Installation und zum Betrieb auf eigener Infrastruktur erstellt hatte. Ein Teil dieser Skripte enthielt sogar fest hinterlegte Zugangsdaten. Hartcodierte Credentials in Kundenskripten, abgelegt in einer offenen Datenbank – das ist keine beiläufige Information, sondern ein doppelter handwerklicher Fehler, wie er bei jedem Audit ein "Red-Flag" auslösen würde.
Unter den erkennbaren externen E-Mail-Domains fanden sich die Hosting-Anbieter IONOS und Strato – sowie eine nordrhein-westfälische Landesbehörde aus dem Bildungsbereich. Der öffentliche Sektor, den Nextcloud gerne als Referenzmarkt umwirbt, taucht also bereits in den offengelegten Daten auf.
Der Zeitablauf wirft Fragen auf
Zwischen Fund und Absicherung vergingen ganze neun Tage. Die Forscher meldeten den offenen Cluster erst eine Woche nach der Entdeckung an Nextcloud; das Unternehmen schloss die Lücke daraufhin immerhin binnen zwei Tagen. Offen bleibt die entscheidende Frage: Wie lange stand die Datenbank vor dem 18. Mai ungeschützt im Netz?
Die Forscher selbst geben die unbequeme Antwort gleich mit: Automatisierte Scanner durchsuchen das Internet permanent nach eben solchen fehlkonfigurierten Elasticsearch-Instanzen. Wenn ein Analyseteam die Datenbank finden konnte, kann davon ausgegangen werden, dass auch andere Akteure vorher oder parallel Zugriff hatten. Nextcloud banalisiert, es lägen keine Hinweise auf einen Missbrauch der Daten vor – eine Formulierung, die bei offenen Datenbanken wenig aussagt. Wer Daten aus einem ungeschützten Cluster kopiert, hinterlässt in der Regel keine verwertbaren Spuren. Immerhin: Das Unternehmen hat den Vorfall der zuständigen Landesdatenschutzbehörde gemeldet.
Die Verteidigungslinie – und warum sie nur die halbe Geschichte erzählt
Nextclouds Kommunikation folgt einem klaren Muster: Die Ursache sei eine Fehlkonfiguration der eigenen Hosting-Infrastruktur, die Nextcloud-Software selbst sei nicht betroffen, ebenso wenig die Server von Kunden und Partnern. Ob das so stimmig ist, darf bezweifelt werden. Wer eine Nextcloud-Instanz im eigenen Rechenzentrum betreibt, war von diesem Vorfall möglicherweise nicht betroffen, die Frage ist aber, welche Pannen gab es noch?
Die Argumentation von Nextcloud greift auch am Kern des Problems vorbei. Das Unternehmen verkauft nicht in erster Linie Software. Nextcloud verkauft Vertrauen. Das gesamte Geschäftsmodell – und die gesamte politische Erzählung von der digitalen Souveränität – beruht auf dem Versprechen, dass ein europäischer Anbieter sorgfältiger, transparenter und verantwortungsvoller mit Daten umgeht als die US-Konkurrenz. Genau dieses Versprechen konnte das Unternehmen, zumindest im eigenen Haus, nicht einhalten.
Ein offener Elasticsearch-Cluster gehört seit Jahren zu den häufigsten und banalsten Ursachen für Datenlecks weltweit. Es ist die Sorte Lücke, vor der jeder Nextcloud-Vertriebsmitarbeiter Behördenkunden warnen würde, wenn er über die Risiken schlecht betriebener Cloud-Dienste referiert. Dass ausgerechnet der eigene Betrieb daran scheitert, während man Bundesländern den sicheren Umgang mit Verwaltungsdaten verspricht, ist weit mehr als eine Panne. Es ist ein Glaubwürdigkeitsproblem.
Was das für Bund und Länder bedeutet
Die Dimension dieses Vorfalls ist klar: Hier geht es nicht um einen beliebigen Mittelständler. Mecklenburg-Vorpommern plant 50.000 Arbeitsplätze auf Nextcloud-Basis. Die Bundeswehr hat über ihre Servicegesellschaft BWI einen Siebenjahresvertrag geschlossen. Das Robert Koch-Institut (RKI) arbeitet mit rund 7.000 Nutzern auf openDesk, dessen Dateimodul auf Nextcloud basiert. In Frankreich nutzen über 550.000 Schüler, Lehrkräfte und Verwaltungsmitarbeiter der Region Île-de-France eine Bildungsplattform auf Nextcloud-Basis. Der Internationale Strafgerichtshof ist im Oktober 2025 von Microsoft 365auf openDesk umgestiegen.
Für die Entscheider in Bund und Ländern, die die Migrationen verantworten, stellen sich nun zwei unangenehme Fragen. Erstens: Wenn der Hersteller die eigene Hosting-Infrastruktur nicht sauber konfiguriert bekommt – wie belastbar sind dann seine Managed-Services-Angebote, seine Betriebsempfehlungen, seine Sicherheitsarchitektur-Beratung? Zweitens: Was befand sich konkret in den offengelegten Verträgen und Skripten über Kunden aus dem öffentlichen Sektor? Die aufgetauchte NRW-Landesbehörde zeigt auf, dass diese Frage nicht nebensächlich ist. Angreifer, die Installationsskripte mit Zugangsdaten und detaillierte Vertragsinformationen in die Hände bekommen, verfügen über solides Material für gezielte Phishing-Kampagnen gegen Behörden – oder für Angriffe auf die dort beschriebenen Kundenumgebungen.
Wer jetzt einwendet, Microsoft und Co. leisteten sich ebenfalls regelmäßig Sicherheitsvorfälle, hat zwar recht, verfehlt aber den Punkt. Die Souveränitätsdebatte lebt vom Anspruch, es anders bzw. besser zu machen. Ein Anbieter, der mit dem Argument höherer Sorgfalt Marktanteile im öffentlichen Sektor gewinnt, wird an diesem Anspruch gemessen. Nicht an der Fehlerquote der Konkurrenz.
Fahrlässigkeit ist keine Nebensächlichkeit
Nextcloud hat nach der Meldung schnell und formal korrekt reagiert: Lücke geschlossen, Datenschutzbehörde informiert, Transparenz gegenüber der Presse. Doch die Reaktion auf einen Vorfall ist verpflichtend. Besser wäre gewesen, ihn gar nicht erst zu produzieren – durch die Art von interner Sicherheitsdisziplin, die das Unternehmen seinen Kunden täglich verkauft.
Der Vorfall disqualifiziert Nextcloud nicht als Software. Er disqualifiziert aber vorerst die Selbstverständlichkeit, mit der das Unternehmen als sicherer Hafen der deutschen Verwaltungsdigitalisierung gehandelt wird. Wer die Cloud-Infrastruktur für Bund und Länder mitprägen will, muss sich strengeren Maßstäben unterwerfen, als ein gewöhnlicher Softwareanbieter: unabhängige Audits der eigenen Betriebsumgebung, nachvollziehbare Angaben dazu, wie lange die Datenbank offen stand und welche Kundendaten konkret betroffen waren, und eine proaktive Information der identifizierbaren Betroffenen – auch und gerade im öffentlichen Sektor.
Bis diese Fragen beantwortet sind, sollten Behörden, die auf Nextcloud setzen oder es planen, den Vorfall nicht als Nebensächlichkeit abtun. Nicht, weil die Software unsicher wäre. Sondern weil digitale Souveränität ohne operative Sorgfalt reiner Marketingsprech bleibt – egal, auf welchem Kontinent der Server steht.