Hallo zusammen,
ich bin ein raspberry AnfÀnger und vor allem im Bereich nextcloud.
Ich habe mir meine nextcloud eingerichtet, bin mir aber nicht sicher, ob sie auch sicher genug ist.
https ist aktiviert und Zugriff ĂŒber Extern geht auch dank dyndns.
Gibt es einen Selbstcheck, ob ich aktuell vor Hackern sicher bin?
Danke fĂŒr die RĂŒckmeldung 
@BlueFire
Erst mal musst du ĂŒberlegen, dass es wahrscheinlich weltweit Hunderttausende Nextclouds gibt. Deine muss erst mal ein Angreifer finden. Sehr wahrscheinlich wird sie eher aus deinem eigenen Netz angegriffen oder aus dem Internet mit deinen Zugangsdaten, die du selbst verloren hast.
Dann ist es wichtig, dass du sowohl dein System (Pi) als auch deine Nextcloud aktuell hĂ€lst. Das bedeutet nicht, dass du unbedingt die neuste Version brauchst. Du brauchst eine Version, die offiziell unterstĂŒtzt wird.
Zudem kannst du gegen gewisse Sicherheitsrisiken Vorkehrungen treffen. So musst du dort vielleicht nicht alles ablegen. Auch solltest du immer ein aktuelles Backup deiner Daten haben. Schau dir auch regelmĂ€Ăig deine Backups an und versuche z. B. ein Restore. Ok das ist bei nur einem Pi evtl. schwierig.
GrundsĂ€tzlich halte ich Managed Nextcloud im Internet nicht wirklich fĂŒr unsicherer. Dort gibt es Experten, die dir fĂŒr kleines Geld in Deutschland deine Nextcloud hosten. Wenn du alles einpreist wie deine Arbeit und den Strom, ist eine Managed Nextcloud mit z. B. 500 GB fĂŒr 5 Euro im Monat gĂŒnstiger als ein Pi mit 24/7. FĂŒr ein zusĂ€tzliches Backup musst du dann evtl. noch ein paar Euro in die Hand nehmen oder das Backup zuhause selbst machen.
Ich denke, das gröĂte Risiko ist ein selbst verursachter Fehler in der Apache/nginx config.
NC Zugang kannst du prima mit Two-Factor TOTP einen zusatzschutz einbauen.
Baue eine NetzwerkaktivitĂ€t Ăberwachung ein (Netdata zb.) und behalte diese immer im Auge.
Nutze Geoblocking. Keine Verwandte in China/USA â Geoblock (kleiner Zusatzschutz).
Gibt es eigentlich eine Liste mit VorschlÀgen, wie man auf 99% Schutz kommt?
Um sich zu ĂŒberlegen ob das eigene System Sicher ist hilft es sich zu ĂŒberlegen wie man den als Angreifer vorgehen könnte.
Solange du keine SSH zugriffe von auĂerhalb deines lokalen Netzwerks zulĂ€sst sind schon mal gut die HĂ€lfte aller Angriffe nutzlos.
Dann hilft es den Adminaccount nur zu benutzen wenn man wirklich etwas am System Ă€ndern möchte. FĂŒr die normale Nutzung tuts auch ein seperater Account ohne Adminrechte.
Wird der zum Beispiel komprummitiert durch einen Angriff hat der Angreifer zumindest mal keine Adminrechte.
ZusĂ€tzlich können alle Accounts mit einem zweiten Faktor gesichert werden, was in meinen Augen bei einem Adminaccount definitiv pflicht ist. Einen Ubikey kriegst du auf Amazon fĂŒr uvp 30 ⏠und die Nextcloud unterssĂŒtzt den passwortlosen login damit um dich vor keyloggern zu schĂŒtzen oder die Nutzung als u2f-device. In meiner Instanz schĂŒtze ich den Amdinaccount mit einem Yubikey als U2F-Device. FĂŒr den Normalverbraucher vollkommen ausreichend.
Dann sollte der SSH-Zugang natĂŒrlich nicht nur mit einem Passwort sondern am besten mit einem rsa key gesichert werden. 2048 bit lĂ€nge ist ok >4000 bit gilt aktuell als sicher.
Um den Basisschutz abzurunden empfehle ich umbedingt Fail2Ban sowohl fĂŒr den SSH zugang als auch fĂŒr die Nextcloud um sich vor Bruteforceangriffen zu schĂŒtzen.
Jup, sehe ich Ă€hnlich wie @DrJambus. Wobei ich in der heutigen Zeit nicht mehr ganz einig gehe, dass es kein Problem ist, wenn etwas nur im lokalen Netz verfĂŒgbar ist. In Zeiten, in denen ein normaler Haushalt teilweise locker 50 oder mehr GerĂ€te im gleichen Subnetz wie die Nextcloud betreibt. Von der ĂŒber das Internet gesteuerten ToilettenspĂŒlung bis zur mit Viren und Trojanen verseuchten Filesharing/Gaming/P0rn-Konsummaschine des Juniors, sollte man eigentlich im internen Netz die gleichen Schutzmassnahmen wie nach aussen treffen.
Wichtig zu wissen ist - es gibt keine absolute Sicherheit! Man beachte: es wurde bei heise und Fireeye eingebrochen - beides nicht unbedingt nachlÀssige IT-ferne Unternehmen.
Man kann viel fĂŒr die Sicherheit des eigenen Systems machen: angefangen bei sicheren Passwörtern (mit 2FA), regelmĂ€ssige Aktualisierungen und ĂŒbliche Sicherheitsmassnahmen wie ânicht jeden anklickenâ befolgen. Man kann es kaum besser auf den Punkt bringen als 2 sehr unterschiedliche Meinungen von 2 super erfahrenen Mitgliedern dieses Forums:
zur Meinung von @devnull - ich habe die genauen Zahlen nicht im Kopf, aber aktuell dauert es mit potenter Hardware und Bandbreite nur wenige Stunden (4-8) um den gesamten IPv4 Adressraum zu scannen (und verwundbare Installationen zu finden) - vermutlich wird niemand seinen Supercomputer und 1TB/s Leitung einsetzen um deine Urlaubsfotos zu klauen - aber jemand könnteâŠ
zu @bb77 sicher kann man eher einfach viele IoT GerĂ€te vollautomatisiert angreifen und ĂŒbernehmen - von diesem GerĂ€t aber auf die im gleichen Netz laufende Nextcloud zu springen und (geringeren) Schutz zu ĂŒberwinden dĂŒrfte im Normalfall eine manuelle Interaktion erfordern und damit eher selten passieren (kein ârichtigerâ Hacker interessiert sich fĂŒr deine Urlaubsfotos - es gibt aber genug Scriptkiddies) .
Unter dem Strich wĂŒrde ich einen erfolgreichen Angriff als eine Frage der Zeit betrachten und (natĂŒrlich nachdem alle sinnvolle Schutzmassnahmen implementiert sind! s.o.) meine Kraft in eine verstĂ€ndliche, sichere und einfache Backup Strategie investieren. Ein gutes Backup schĂŒtzt nich nur vor Hackern sondern zusĂ€tzlich gegen Hardware und Software AusfĂ€lle auch noch gegen eigene Fehler (ÀÀh ich meinte die der Nutzer)⊠Ich habe meine Nextcloud auf einem lokalen Linux PC mit gespiegelter Disk laufen. Im gleichen Netz lĂ€uft ein NAS, das die Daten tĂ€glich vom Linux PC per ssh abholt und dann 2*lokal sichert (beides mit Snapshot History von 14-30d). das NAS hat die Option (Backup) Verzeichnisse auf eine externe USB Disk zu sichern (ich habe 3 die ich abwechselnd nutze)⊠Ich habe damit ehr viele aktuelle und wenige Ă€ltere Backups (die aber offline gegen Hacker/Crypto-Malware geschĂŒtzt sind)âŠ
Im Endeffekt muss jeder Admin sich Gedanken ĂŒber Gefahren machen. Jeder hat seine PrioritĂ€ten - der eine hat mehr Angst vor dem Virus den der Sohnemann von der nĂ€chst-besten Porno-Seite anschleppt, der andere fĂŒrchtet die NSA⊠man kann sich mit vertretbarem Aufwand nicht gegen alle Gefahren schĂŒtzen, aber es ist einfach sich Gedanken zu machen und ein Paar Schritte zu unternehmen um grösste Probleme zu adressieren! Ich persönlich kann damit leben wenn meine Backup Strategie die letzten 2-3 Tage nicht mitnimmt ich wĂ€re aber gekrĂ€nkt wenn Daten von vor 3 Monaten verloren gehen (dabei kann ich mir genug Szenarien ausdenken wie das passieren kann) - ich schĂ€tze die Gefahr aber als gering ein und trage das RisikoâŠ
Ja meine Aussage war sicher etwas zu allgemein. Das ganze Thema ist sehr komplex, weshalb ich auch nicht weiter in die Details gegangen bin. Die Aussage kein richtiger Hacker interessiert sich fĂŒr deine Daten, halte ich aber auch fĂŒr zu einfach, auch wenn natĂŒrlich hauptsĂ€chlich Firmen das Ziel dieser Angriffe sind. Ich halte es jedenfalls nicht fĂŒr verkehrt, PCs, IOT-GerĂ€te, lokale Serverdienste (NAS) und öffentlich erreichbare Serverdienste in getrennten Subnetzten zu betreiben und nur den absolut nötigen Traffic zwischen diesen Netzten zu erlauben. Alle anderen Sicherheitsmassnahmen kann und sollte man deshalb natĂŒrlich nicht vernachlĂ€ssigen.
Sehr gut gelöst. Vorallem weil das NAS die Dateien abholt und so nicht dauernd ein Share gemountet ist, ĂŒber den ein Hacker auch gleich noch die Backups verschlĂŒsseln könnte. Auch Offline Backups sind ein guter und wichtiger Punkt.
Backups schĂŒtzen mich aber nicht davor, dass evtl. sensible Daten in die HĂ€nde der Hacker kommen könnten, wenn sie es schaffen sollten sich Zugang auf ein System zu verschaffen. Also mĂŒssen die Systeme natĂŒrlich trotzdem anstĂ€ndig abgesichert sein.
Ich sehe das nicht als entweder oder. Ich gehe aber mit dir einig, dass ein Heimuser die PrioritĂ€ten richtig setzen muss. Es nĂŒtzt nichts eine komplexe Firewall hinzustellen und Netze zu segementieren, wenn man die anderen Sicherheitsmassnahmen und Backups vernachlĂ€ssigt und/oder dann aus Bequemlichkeit den Traffic nicht (genug) einschrĂ€nkt zwischen den Netztsegmenten. Ein Heimuser sollte sich erst Gedanken ĂŒber eine Firewall und Netzsegementierung machen, wenn er alle anderen Massnahmen bereits getroffen hat. Dann kann es aber imho Sinn machen, diesen zusĂ€tzlichen Layer zu implementieren.
Noch etwas zur Bedrohungslage: Vor Diensten wie der NSA oder dem BND kannst du dich warscheinlich soewieso nicht schĂŒtzen. Wenn die dich ernstahaft auf dem Radar haben, installieren sie im Notfall den Tojaner direkt bei dir zuhause oder kommen einfach vorbei und beschlagnahmen alles. Dann hilft nur Full-Disk-Encryption 
Trotzdem wĂŒrde ich in der heutigen Zeit keine Wetten mehr abschliessen, dass Hacker nicht auch Privatpersonen erpressen oder sensible Daten veröffentlichen. Klar werden sie bei Hans MĂŒller nicht den gleichen Aufwand betreiben wie bei einem Prominenten oder bei einer Firma, weil es einfach nicht genug Kohle zu holen gibt. Oder sie nutzen klassisches Phishing wie hier.
Allerdings werden moderne Hackertools immer ausgeklĂŒglter und haben mittlerweile einen sehr hohen Grad an Automatisierung, so dass ich jetzt nicht darauf wetten wĂŒrde, dass es gar nicht passiert. Sprich, die ĂŒblichen Tipps fĂŒr Server, die man ins Internet stellt, wie SSH-Keys, HTTPS usw, auch im lokalen Netz zu verwenden, ist sicher nicht verkehrt. Weiter hilft es irgendwelche SAMBA Shares nicht dauernd gemountet zu haben, Serverdienste nicht auf Desktoprechnern installieren, die man auch zum surfen nutzt usw⊠Admin ZugĂ€nge auch wenn sie nur lokal erreichbar sind mit sichern Passwörtern und 2FA abzusichern. Software auf allen Systemen aktuell halten usw uswâŠ
Ich wollte deine Aussage nicht entwerten. Alles was du gesagt hast ist richtig und wichtig. Ich sehe dass Menschen nicht unbedingt Lust haben ihr System zu administrieren und zu schĂŒtzen. Ich habe meine PrioritĂ€ten erlĂ€utert und ich weiss dass ich im âdaily businessâ eher als ein Laie agiere und einfachere Lösungen einsetze, obwohl ich weiss dass bessere Lösungen existieren (trotzdem dass ich höhere AnsprĂŒche an mich habe 
). Deswegen habe ich meine Idee beschrieben - ich bilde mir ein, vielen Hobby-Admins ist es wichtiger im Notfall ein Backup zu haben als wenn jemand Zugriff auf die Daten bekommtâŠ
Ich finde manche Massnahmen sind im privaten Umfeld schwer umzusetzen oder unverhÀltnissmÀsig (zB Netz-Segmentierung - gÀngige Consumer GerÀte beherrschen das nicht oder nicht richtig - und Profi HW zu Hause ist auch Overkill). Das heisst nicht das es falsch ist - oft ist es einfach zu viel (Profi HW ist nicht unbedingt einfach zu administrieren).
Der Punkt ist - Verteidigung gegen Angriffe kostet Zeit und Geld (und ist nicht unbedingt sexy)⊠Deswegen sollte Jeder Admin sich Gedanken machen wie viel Wert die Daten sind, die man verantwortet (kann man damit leben dass die Babyfotos weg sind? die Fotos der ersten Freundin? die Filmsammlung usw.) wie viel ist man bereit in den Schutz zu investieren (Zeit und Geld)? Anschliessend kann man handeln - Redundanzen, Backups, Firewalls usw oder einfach das Risiko tragen (im Sinn von kaputt oder auch fĂŒrs ganze Internet veröffentlicht). Nachdem der Wert definiert ist, ist die Reaktion relativ einfach - Bedrohungen priorisieren, und von oben nach unten abarbeitenâŠ
Ich auch nicht. Darum war es mir wichtig, nochmal zu erklÀren wie ich es gemeint habe und ich denke wir sehen die ganze Sache gar nicht so unterschiedlich Mir geht es auch weniger darum DICH zu beleheren und ich bezweifle nicht dass DU weisst was du tust, sondern weniger versierten Usern, die hier allenfalls mitlesen, noch ein paar Gedankenanstösse zu geben.
Jup Backups sind wichtig. Mir ging es einfach darum, nochmal klarzustellen, dass Backups nicht gegen Datendiebstahl schĂŒtzen. Und dass es u.U. unangenem werden kann, wenn die eigenen Fotos plötzlich irgendwo im Internet auftauchen.
Jup. Netzsegementierung muss sicher nicht zwingend sein. Umso wichtiger werden aber dann die andere Massnahmen wie alle Systeme aktuell halten, SSH Ports absichern (Keys, Fail2ban), und verschlĂŒsselte Protokolle wie HTTPS auch im lokalen Netz nutzen.
Das Problem, dass hier im Forum und auch anderswo hĂ€ufig sehe, ist weniger, dass die Leute keine Profihardware einsetzten und keine Netzwerksegementiereung machen, was ich wie gesagt eher als zusĂ€tzlichen Layer âon topâ der anderen Massnahmen sehe. Sondern, dass immer noch vielerorts die Meinung vorzuherrschen scheint, dass wenn etwas hinter dem Router stattfindet, es automatisch sicher sei und nichts passieren könne. Da wird gesagt, man brauche kein HTTPS im lokalen Netz, oder es wird an den Berechtigungen des Datenfolders der Nextcloud herumgeschraubt, um dann rgendwie mit einem unsicheren Protokoll aus den 80er Jahren von einem unsicheren IOT Device aus, welches in den 00er Jahren das letzte mal ein Update gesehen hat, direkt darauf zugreifen. (ja das ist jetzt etwas ĂŒberspitzt formuliert )
Ich wĂŒrde sogar soweit gehen, dass in vielen FĂ€llen das interne Netz unsicherer ist, als die von aussen zugĂ€ngliche Nextcloud. Vorausgesetzt die Nextcloud, PHP, Webserver ist aktuell und nach allen Regeln der Kunst konfiguriert und nur Port 80/443 offen. Die ganze Sicherheit macht man sich sich dann halt ganz schnell kaputt, wenn man seine Server von seinem Trojanerverseuchten Windows 7 PC aus administriert und/oder unsichere Verbindungen am ansich sicher konfigurierten Webserver vorbei aus dem internen Netz zuslĂ€sst.
Jup das kann ich unterschreiben.
NatĂŒrlich muss die Installation aktuell sein. Es ist sehr einfach möglich ĂŒber
https://cloud.server.tld/status.php
die installierte Version zu ermitteln. Ăhnlich wie bei CMS-Systeme wie Wordpress, wo gezielt veraltete Versionen angegriffen werden.
Gesamtes IPv4-Netz bedeutet aber aber nicht alle Server im IPv4-Netz. Vor allen bei Webhostern enthalten einzelne IP-Adressen oft Tausende von DNS-Namen. Bei selbst gehostetenen Namen kommt man natĂŒrlich von der einzelnen dynamischen IPv4-Adresse direkt zum DNS-Namen bzw. zum konkreten Angriffsziel.
dafĂŒr fĂ€hrt man mal 'ne stunde ein satz von nano ec2s in der aws hoch. ist auch mit taschengeld budget möglichâŠ
ich sehe schon hier hat sich was los getreten, aber lasst uns nicht die ursprĂŒngliche Frage aus dem Auge verlieren.
AbschlieĂend wĂŒrde ich sagen: ja die betreffende Nextcloudinstanz kann als sicher angesehen werden, wenn die entsprechenden Tipps aus dem Thread umgesetzt werden.
Die ursprĂŒnliche Frage, wurde ja ganz am Anfang von @OliverV schon beantwortet.
Und ja wenn man zusÀtzlich noch deine Tipps beherzigt ist man sicher schon sehr gut dabei.
Ansonsten kann ich noch https://www.ssllabs.com/ssltest/ und https://securityheaders.com/ empfehlen.
Hallo an euch alle.
Vielen Dank fĂŒr die unzĂ€hligen Antworten, echt klasse wie stark die Community hier ist.
Ich bin euch wirklich sehr dankbar fĂŒr alle Tipps!
Ich werde mich morgen dran setzen und zu den einzelnen Punkten mich weiter informieren.
Das Thema mit dem Yubikey muss ich mir nochmal genauer anschauen und wie praktikabel das ganze ist.
Ich finde es interessant, dass du @wwe mit einem NAS die Daten zusĂ€tzlich nochmal abgreifst und sicherst. Ich sichere mich so ab, dass ich die Nextcloud App auf dem Rechner habe und somit auch immer ein Abbild meiner Nextcloud auf meinem Rechner ist. Schmiert die Nextcloud ab, habe ich alle Daten noch auf meinem Rechner. Schmiert mein Rechner ab, habe ich alle Daten auf dem Server. ZusĂ€tzlich mache ich jeden Monat ein Backup. Die Nextcloud verwende ich als Online Share Möglichkeit, von der ich von ĂŒberall drauf zugreifen kann, auch mit meinem Handy. Meine Eltern und Schwester haben auch einen Account in meiner Nextcloud.
Muss ich hier noch weitere Dinge beachten auĂer die oben genannten Punkte oder ist in meinem Fall noch mehr zu beachten?
Danke euch! 
Ich wĂ€re da sehr vorsichtig und wĂŒrde wenigstens sporadisch noch ein Backup der Dateien machen, und wenn du nur ab und zu die Dateien von deinem Rechner manuell auf eine externe USB-Festplatte schiebst. Besser ist es natĂŒrlich das ganze zu automatisieren.
Synchronisierung ist kein Backup! Wenn du z.B. aus Versehen eine oder mehrere Dateien im Nextcloud Ordner löscht, ist das eine Sekunde spĂ€ter auch auf der Nextcloud gelöscht und umgekehrt. Klar landen die Daten dann zuerst noch im Papierkorb⊠Trotzdem wĂŒrde ich dringend empfehlen noch ein echtes Backup der Dateien zu machen. Es kann immer etwas richtig schief gehen und dann beisst man sich in den A**** wenn man sich den Aufwand fĂŒr ein echtes Backup gespart hat
zusĂ€tzlich zur Antwort von @bb77 Synchronisierung ersetzt das Backup vor allem dann nicht wenn man ĂŒber reines File Management hinausgeht - Shares, Metadaten, Kalender usw - das Alles ist in der Datenbank gespeichert, die nur auf dem server liegt. ZusĂ€tzlich bieten neue Client Versionen das Virtual File System (VFS) an - die Files werden dabei âon-demandâ synchronisiert.
Ein ârichtigesâ Backup umfasst die Dateien aller Benutzer und die Datenbank. Es sollte dabei âvon aussenâ d.h. nicht innerhalb der Nextcloud installation stattfinden sondern eine Ebene tiefer - im Betriebssystem. Nur so kannst du auch Dateien der anderen Benutzer sichern⊠Ich wĂŒrde darauf achten dass es automatisch und hĂ€ufig ablĂ€uft - manuelles Backup wird meiner Erfahrung wird eher selten durchgefĂŒhrt (hoffentlich bist du hier disziplinierter als ich)⊠und es sollte Offline sein - damit bei VerschlĂŒsselung / Zerstörung usw dieses Backup nicht betroffen wird⊠das ist der Grund fĂŒr das NAS - ist streg genommen nicht Offline aber die Nextcloud Instanz hat keinen Zugriff auf das Backup - so kann der Hacker das Backup nicht (ohne weiteres) zerstören. Es ist mir klar dass es ein Hacker von der Nextcloud aus das NAS einfach angreifen kann - die Sicherheit dieser GerĂ€te ist auch nicht unbedingt hoch - aber ich hoffe dass wenigsten vollautomatisch Angriffe damit ins Leere laufenâŠ
Aber um das nochmal Kurz zusammenzufassen: jede Massnahme die du anwendest kostet Ressourcen (Zeit, Geld, Aufwand) fĂŒr Einrichtung und Betrieb. Grob gesagt geht es entweder darum den Datenverlust zu vermeiden (Schutz) und falls es trotzdem zu einem Datenverlust gekommen ist die Daten wieder herzustellen (Backup/Restore).
Beide Themen sind umfangreich und man kann sich endlos damit beschĂ€ftigen. Um fĂŒr mich selbst einen Startpunkt zu haben stelle ich mir den GAU vor = Totalverlust der Hardware/Software (egal aus welchem Grund). Der Aufwand und die Dauer des Restore sind dann sehr hoch. Weitere Massnahmen adressieren kleinere Probleme und reduzieren idealerweise die Zeit fĂŒr den Restore. Das unerreichbare Ziel ist dass man real-time Backup hat und damit keinen Datenverlust erleiden kann. Man muss fĂŒr sich selbst einen passenden Punkt zwischen den 2 extremen finden - z.B. wenn man 2-3 Tage ohne die Daten auskommt und im Notfall den Verlust von Freigaben und Metadaten akzeptieren kann, reicht eine USB Disk mit allen Daten, die man bei Freunden/Eltern/Zweitwohnung deponiert und damit ein gegen höhere Gewalt und Hacker geschĂŒtztes Offline Backup (hier ist zusĂ€tzlich der Aufwand fĂŒr das regelmĂ€ssige Backup hoch)âŠ
Das andere Thema ist was passiert wenn Hacker meine Daten erbeuten - dagegen schĂŒtzt kein Backup und man kann nur versuchen das System so gut es geht abzusichern (Updaten/Security Scans/Passwörter/2FA/Monitoring)⊠aber es gibt keine absolute Sicherheit.