Compliance und Datenschutz Nextcloud Files erhält französische CSPN-Sicherheitszertifizierung

Anbieter zum Thema

Nextcloud GmbH

Flexera Software GmbH

Cloudgermany.de GmbH

Yorizon GmbH & Co. KG

Nextcloud Files hat die französische CSPN-Prüfung bestanden. Dazu kommen der Betrieb in einer nach BSI-IT-Grundschutz zertifizierten Umgebung und eine Referenz-DPIA. Für regulierte Organisationen stärkt das die Nachweise – ersetzt aber keine eigene Risikoanalyse.

Drei aktuelle Nachweise sollen den Einsatz von Nextcloud in Behörden und regulierten Branchen erleichtern: die französische CSPN-Zertifizierung für Nextcloud Files, ein Nextcloud-Dienst in einer nach BSI IT-Grundschutz zertifizierten Umgebung sowie eine Datenschutz-Folgenabschätzung für den Einsatz der Plattform.

Die Nachweise beziehen sich allerdings auf unterschiedliche Ebenen. Während die CSPN-Zertifizierung die Software selbst betrifft, bewertet der BSI-IT-Grundschutz die Sicherheitsorganisation und den Betrieb einer Umgebung. Diese Unterscheidung ist für die Compliance-Bewertung entscheidend.

ANSSI prüft Nextcloud Files auf Schwachstellen

Die französische Cybersicherheitsbehörde ANSSI hat Nextcloud Files nach dem Verfahren Certification de Sécurité de Premier Niveau, kurz CSPN, zertifiziert. Grundlage waren umfangreiche Penetrationstests. Dabei fanden die Prüfer laut den vorliegenden Angaben keine Schwachstellen.

Die CSPN bescheinigt Nextcloud Files damit eine hohe Widerstandsfähigkeit gegenüber Cyberangriffen. Sie ist jedoch kein allgemeines Gütesiegel für jede mögliche Einsatzumgebung. Themen wie Konfiguration, Identitätsmanagement, Updates und organisatorische Prozesse bleiben Bestandteil der Verantwortung des betreibenden Unternehmens oder der Behörde.

BSI-IT-Grundschutz betrifft den Betrieb

Eine weitere Sicherheitsreferenz stammt aus dem Umfeld des IT-Dienstleisters Dataport. Der Anbieter betreibt einen Nextcloud-Dienst für den öffentlichen Sektor in einer Umgebung, die nach dem IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zertifiziert ist.

Die Nextcloud-Instanz selbst gehört dabei nicht direkt zum Zertifizierungsumfang. Ihr Betrieb ist jedoch in das Informationssicherheitsmanagementsystem von Dataport eingebunden und orientiert sich an den Anforderungen des BSI.

Damit entsteht ein wichtiger Unterschied zu einer Produktzertifizierung:

• CSPN: Prüfung von Nextcloud Files durch die französische Cybersicherheitsbehörde

• BSI IT-Grundschutz: Zertifizierung der Betriebsumgebung und ihrer Sicherheitsprozesse

• Konkreter Einsatz: zusätzliche Bewertung von Konfiguration, Berechtigungen und organisatorischen Abläufen

Unternehmen und Behörden können diese Nachweise für ihre Compliance-Dokumentation nutzen. Eine pauschale Übertragung auf jede selbst betriebene Nextcloud-Installation lässt sich daraus jedoch nicht ableiten.

Speicherarchitektur, Skalierung und Betrieb

Nextcloud-Datenverzeichnis: Storage für KMU optimieren

Anerkennung über nationale Grenzen hinweg

Das BSI erkennt die CSPN-Zertifizierung offiziell an und ordnet sie der Beschleunigten Sicherheitszertifizierung, kurz BSZ, gleich. Beide Verfahren entsprechen der europäischen Norm EN 17640 und sind mit dem Cybersecurity Act der Europäischen Union vereinbar.

Der BSI-IT-Grundschutz basiert auf ISO 27001 und besitzt dadurch ebenfalls eine europaweit anschlussfähige Grundlage. Für Organisationen mit grenzüberschreitenden Anforderungen können solche Bezüge die Abstimmung von Sicherheitsnachweisen vereinfachen.

Referenz-DPIA gibt Hinweise für datenschutzkonforme Nutzung

Zusätzlich liegt eine Referenz-Datenschutz-Folgenabschätzung, kurz DPIA, vor. Die niederländische Hochschulgenossenschaft SURF hatte die Untersuchung bei „The Privacy Company“ in Auftrag gegeben und veröffentlicht.

Das Dokument richtet sich an Organisationen mit hohen Datenschutz- und Compliance-Anforderungen. Es enthält Hinweise, wie sich Nextcloud in entsprechenden Anwendungsszenarien einsetzen lässt. Die Ergebnisse geben datenschutzrelevanten Organisationen laut den vorliegenden Angaben „grünes Licht“.

Eine Referenz-DPIA ersetzt allerdings nicht automatisch die Prüfung des eigenen Verarbeitungsvorgangs. Maßgeblich bleiben unter anderem die eingesetzten Funktionen, die Datenkategorien, die Rollenverteilung und die konkrete technische Umsetzung.

Selbst gehosteter Betrieb reduziert Abhängigkeiten

Nextcloud ist so ausgelegt, dass die Nextcloud GmbH keinen Zugriff auf die Kundendaten erhält. Dadurch kann der Betreiber die Datenverarbeitung und die technischen Abläufe selbst kontrollieren. Ob eine Vereinbarung zur Auftragsverarbeitung oder eine Vereinbarung zwischen Verantwortlichen erforderlich ist, hängt dennoch vom jeweiligen Einsatzszenario und der rechtlichen Einordnung ab.

Die selbst gehostete Enterprise-Plattform stellt Funktionen für verschiedene Compliance-Aufgaben bereit. Dazu gehören:

• die Dokumentation von Prüfungen der Nutzungsbedingungen,

• Anträge zum Export oder zur Löschung von Daten,

• Verweise auf Impressum und Datenschutzerklärung,

• Audit-Funktionen.

Nextcloud Summit 2026

Nextcloud mit zweiter souveräner Office-Suite

Genannt werden außerdem Einsatzmöglichkeiten im Zusammenhang mit DSGVO, CCPA, HIPAA, FERPA, COPPA und verschiedenen ISO-Zertifizierungen. Die Zertifikate und die Referenz-DPIA können die Nachweisführung unterstützen. Sie nehmen Organisationen aber nicht die Aufgabe ab, Risiken, Verantwortlichkeiten und Schutzmaßnahmen für die eigene Nextcloud-Umgebung zu bewerten.

(ID:50935880)