Wenn der Souveränitäts-Anbieter selbst gehackt wird: Lehren aus dem Nextcloud-Vorfall

Was ist bei Nextcloud passiert?

An einem Sonntagabend zeigte die offizielle Website nextcloud.com plötzlich fremde Casino-Werbung. Nextcloud sprach zunächst von einem „Infrastrukturproblem" und räumte erst auf Nachfrage von heise einen echten Cyberangriff ein. Wichtig für Kunden: Die Server und Daten der Nutzer waren nicht betroffen — kompromittiert war die Marketing-Website, nicht die Cloud-Plattform selbst, auf der die eigentlichen Daten liegen.

Auffällig war weniger der Vorfall als die Kommunikation in Etappen: erst verharmlosen, dann Stück für Stück einräumen. Genau diese „Salami-Taktik" ist es, die bei Kunden Vertrauen kostet — oft mehr noch als der eigentliche Angriff. Denn eine gehackte Website ist ärgerlich, aber alltäglich; der Umgang damit zeigt hingegen, wie ein Anbieter tickt, wenn es unangenehm wird.

Warum ist das mehr als eine gehackte Website?

Weil Nextcloud kein beliebiger Anbieter ist. Für viele Mittelständler ist Nextcloud die DSGVO-konforme, souveräne Alternative zu Microsoft 365 — man wählt sie ganz bewusst aus Gründen der Datenhoheit und des Vertrauens, oft um genau nicht von einem US-Großkonzern abhängig zu sein. Das Verkaufsargument ist Sicherheit und Kontrolle.

Wenn ausgerechnet ein solcher Anbieter im Ernstfall zögerlich kommuniziert, trifft das den Kern seines Versprechens. Technisch war es „nur" die Website, nicht das Produkt — dieser Unterschied ist wichtig und gehört klar benannt. In der Wahrnehmung aber bleibt eine Frage hängen: Wie geht dieser Anbieter mit einem Zwischenfall um, wenn es einmal wirklich ernst wird? Und diese Frage betrifft jeden Cloud-Anbieter — auch die ganz großen, die genauso Ziel von Angriffen sind.

Was macht gute Incident-Kommunikation aus?

Im Ernstfall zählt Offenheit statt Schönfärberei. Gute Kommunikation beantwortet schnell vier Fragen: Was ist passiert? Wann? Wer ist betroffen? Was sollten Betroffene jetzt tun? Wer stattdessen verschleiert oder verzögert, verliert genau das Vertrauen, das er eigentlich schützen will — und provoziert obendrein Spekulationen, die den Schaden vergrößern.

Für personenbezogene Daten ist das nicht nur guter Stil, sondern Pflicht: Die DSGVO verlangt eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden einer meldepflichtigen Datenpanne; bei hohem Risiko müssen auch die Betroffenen informiert werden. Diesen Maßstab sollten Sie an Ihre Anbieter anlegen — und, ebenso wichtig, an sich selbst, denn im eigenen Ernstfall gelten für Sie dieselben Regeln.

Woran erkennen Sie das im Alltag? Ein guter Anbieter hat eine Status-Seite, auf der Störungen offen dokumentiert werden, benennt im Vertrag einen Ansprechpartner für Sicherheitsvorfälle und wartet nicht auf Nachfragen von Journalisten, bevor er reagiert. Wer bei einem Vorfall zuerst an die eigene Außenwirkung denkt statt an die betroffenen Kunden, verrät damit mehr über seine Prioritäten als jede Marketing-Broschüre.

Wie prüfen Sie das Vertrauen in Ihre eigenen Anbieter?

Die richtige Frage ist selten „Cloud — ja oder nein?", sondern „welcher Anbieter, mit welchen Zusagen?". Auch einen als „sicher" beworbenen Anbieter darf und sollte man prüfen:

• Incident- und Meldeprozesse: Wie und wie schnell informiert der Anbieter bei einem Vorfall? Gibt es einen dokumentierten Ablauf?
• Vertrag und AVV: Gibt es einen Auftragsverarbeitungsvertrag, klare SLAs mit Verfügbarkeits- und Reaktionszusagen und einen Notfallkontakt?
• Nachweise: Zertifizierungen, Standort der Rechenzentren, Transparenz über eingesetzte Sub-Dienstleister.

Das ist dieselbe Sorgfalt, die wir in Datenleck beim Dienstleister beschrieben haben — nur diesmal für Ihre Cloud. Und sie hilft schon bei der grundsätzlichen Wahl zwischen Anbietertypen, wie wir sie in Systemhaus oder Dienstleister? gegenübergestellt haben.

Sollte ich deshalb auf souveräne Cloud verzichten?

Nein. Datenhoheit und DSGVO-Konformität bleiben gute Gründe für souveräne Lösungen — der Vorfall entwertet sie nicht, und die Alternative wäre auch nicht sicherer. Die Lehre ist eine andere und für alle Anbieter gleich: Jeder kann getroffen werden. Entscheidend ist nicht, ob ein Angriff passiert, sondern ob Sie darauf vorbereitet sind.

Konkret heißt das: realistische Erwartungen, eine sorgfältige Anbieterauswahl — und ein eigener Notfallplan. Wer weiß, was im Ernstfall zu tun ist, wen er anruft, welche Daten wo liegen und wie schnell er wieder arbeitsfähig ist, den erschüttert auch ein Vorfall beim Anbieter nicht. Genau diese Vorbereitung nehmen wir Ihnen ab: von der Anbieterauswahl über klare Verträge bis zum Notfallplan, der im Fall der Fälle trägt.