Externe Nextcloud-Freigaben prüfen: Links, Rechte und Ablaufdaten im Blick

Zuerst die Arten externer Freigaben unterscheiden

Nextcloud kann Dateien und Ordner unter anderem per öffentlichem Link oder direkt an Benutzer einer anderen Nextcloud-Instanz freigeben. Bei öffentlichen Ordnerlinks reichen die Optionen je nach Konfiguration von reinem Lesen über Upload und Bearbeitung bis zum Dateiabwurf, bei dem Empfänger Dateien hochladen können, ohne den vorhandenen Inhalt zu sehen.

Für die Prüfung ist diese Unterscheidung wichtig. Ein zeitlich begrenzter Download-Link, ein Uploadbereich für Unterlagen und eine dauerhafte Zusammenarbeit mit einem externen Team haben unterschiedliche Zwecke und benötigen nicht dieselben Rechte.

Jede Freigabe mit Zweck und Verantwortlichem erfassen

Beginnen Sie bei den verantwortlichen Ordner- und Projektbesitzern. Erfassen Sie mindestens den freigegebenen Bereich, den geschäftlichen Zweck, die Empfängergruppe, die verantwortliche Person, die vergebenen Rechte und ein vorhandenes Ablaufdatum. Prüfen Sie am jeweiligen Objekt auch, ob der Zugriff aus einer übergeordneten Ordnerfreigabe stammt.

Eine reine Linkliste genügt nicht: Ohne Zweck und Verantwortlichen lässt sich später kaum entscheiden, ob ein Zugriff noch erforderlich ist. Für unternehmensweite Prüfungen sollte die Vorgehensweise zur eingesetzten Nextcloud-Version, den aktivierten Apps und der Rollenverteilung passen; nicht jede Oberfläche zeigt jedem Benutzer dieselben Informationen.

Behalten, einschränken oder aufheben

Prüfen Sie zuerst, ob der ursprüngliche Zweck noch besteht. Ist die Zusammenarbeit beendet, kann die Freigabe aufgehoben werden. Wird sie weiter benötigt, reduzieren Sie die Rechte auf das Notwendige: Lesen statt Bearbeiten, kein erneutes Teilen, wenn es für den Ablauf nicht erforderlich ist, und ein klar begrenzter Ordner statt eines zu weit gefassten Datenbereichs.

Heben Sie Zugriffe nicht unkoordiniert auf. Klären Sie bei aktiven Projekten vorab mit dem Verantwortlichen, ob Empfänger noch Dateien abholen oder hochladen müssen. Dokumentieren Sie anschließend Entscheidung, Datum und nächsten Prüftermin, damit die nächste Runde nicht wieder bei null beginnt.

Ablaufdaten und Passwörter passend einsetzen

Nextcloud kann öffentliche Links mit einem Ablaufdatum automatisch deaktivieren. Administratoren können für lokale, Gruppen- sowie öffentliche Freigaben Standardwerte und durchgesetzte Höchstzeiträume konfigurieren. Solche Vorgaben reduzieren vergessene Dauerfreigaben, ersetzen aber nicht die fachliche Prüfung, ob ein Zugriff überhaupt noch gebraucht wird.

Ein Passwort kann einen öffentlichen Link zusätzlich schützen. Übermitteln Sie Link und Passwort möglichst über getrennte Kommunikationswege und behandeln Sie beide nicht wie öffentlich teilbare Informationen. Ob ein Passwort, ein benannter externer Benutzer oder eine föderierte Freigabe besser passt, hängt vom Schutzbedarf und vom Arbeitsablauf ab.

Prüfungen in bestehende Abläufe einbauen

Ein sinnvoller Rhythmus richtet sich nach Daten und Projektdauer. Kurzlebige Projekträume können bei Projektende geprüft werden; dauerhafte externe Zusammenarbeit gehört zusätzlich in einen regelmäßigen Review. Auch Personalwechsel, ein geänderter Dienstleister oder eine neue Datenklassifizierung sind gute Auslöser für eine außerplanmäßige Prüfung.

Verankern Sie die Aufgabe bei den Personen, die Zweck und Empfänger beurteilen können. Die IT stellt Einstellungen und Auswertungsmöglichkeiten bereit; die fachliche Verantwortung entscheidet, ob die Freigabe noch benötigt wird. Für gemeinsam genutzte Bereiche sollte außerdem geklärt sein, wer bei einem Austritt die Verantwortung übernimmt.

Kompakte Checkliste für den Freigabe-Review

• Freigegebenen Ordner oder Datei, Zweck, Empfänger und verantwortliche Person erfassen.
• Direkte, öffentliche und föderierte Freigaben sowie geerbte Zugriffe unterscheiden.
• Lese-, Upload-, Bearbeitungs- und Weitergaberechte auf das Notwendige begrenzen.
• Ablaufdatum und gegebenenfalls Passwortschutz prüfen; aktive Ausnahmen begründen.
• Nicht mehr benötigte Freigaben koordiniert aufheben und die Entscheidung dokumentieren.
• Nächsten Prüftermin oder ein Ereignis wie Projektende und Personalwechsel festlegen.