By Ralf-Peter Kleinert
Endlich, meine lieben Leser, werden meine Gebete erhört!
So wie es aussieht, stellt sich IONOS als deutscher Cloud-Anbieter endlich vernünftig auf. Schon lange bemängele ich, dass große Anbieter wie IONOS, STRATO oder Hetzner in der politischen Diskussion über sichere Cloud-Strukturen in Deutschland eine viel zu geringe Rolle spielen.
Dabei haben wir hierzulande Unternehmen, die Rechenzentren betreiben, über das nötige technische Wissen verfügen und digitale Infrastruktur bereitstellen können. Warum also immer nur über die großen amerikanischen Anbieter reden, wenn es auch Alternativen aus Deutschland und Europa gibt?
Und jetzt tut sich tatsächlich etwas: IONOS hat den Zuschlag für eine Schul-Cloud auf Basis von Nextcloud erhalten. Sechs Bundesländer sind an dem Projekt beteiligt. Schulen und Schulträger bekommen damit die Möglichkeit, eine offene Plattform für Dateien, gemeinsame Dokumente und Kommunikation zu nutzen.
Das bedeutet natürlich nicht, dass morgen alle Schulen ihre bisherigen Systeme abschalten. Aber es ist ein Anfang. Und meiner Meinung nach ein Schritt in die richtige Richtung.
Das Ganze passt übrigens hervorragend zu einem meiner Videos. Darin zeige ich euch, wie ich mir auf meinem selbst gebauten Proxmox-Server eine eigene Umgebung mit OPNsense, WireGuard und Nextcloud einrichte. Zugegeben: Meine kleine Cloud zu Hause lässt sich nicht mit einer Plattform für Schulen in sechs Bundesländern vergleichen. Die Frage dahinter ist aber ähnlich: Wo liegen meine Daten, und wer hat die Kontrolle darüber?
Nextcloud für Schulen in sechs Bundesländern
Berlin, Bremen, Hamburg, Hessen, Nordrhein-Westfalen und Rheinland-Pfalz haben sich im Rahmen der Pädagogischen Cloud-Infrastruktur zusammengeschlossen. Über die Genossenschaft govdigital wurde ein Rahmenvertrag für ein Kollaborations- und Dateiablagesystem vergeben. Das Ganze trägt den Namen KoDaS. Ja, ein Name, den man sich sofort merkt, oder?
Den Zuschlag hat IONOS erhalten. Der Anbieter ist als Generalunternehmer für Aufbau, Migration und Betrieb zuständig. Die Plattform basiert auf Nextcloud und soll in deutschen IONOS-Rechenzentren betrieben werden. Gedacht ist sie unter anderem für Dateiablage, gemeinsame Dokumentenbearbeitung und Kommunikation.
Der Vertrag läuft vier Jahre. Laut den Angaben zum Projekt wird nach aktiven Nutzern in verschiedenen Stufen abgerechnet. Eine Abnahmeverpflichtung gibt es nicht. Schulen und Schulträger können das Angebot also entsprechend ihrem Bedarf nutzen; weitere Bundesländer können dem Rahmenvertrag beitreten.
In der Berichterstattung ist von einem maximalen Vertragsvolumen von 67,5 Millionen Euro die Rede. Das ist die Obergrenze des Rahmenvertrags und nicht gleichbedeutend damit, dass dieser Betrag bereits ausgegeben wurde.
Ich finde die Entwicklung gut. Nicht, weil damit über Nacht sämtliche Probleme der Digitalisierung gelöst wären. Sondern weil eine zusätzliche Wahlmöglichkeit entsteht. Gerade bei Schulen, wo es um Daten von Kindern, Lehrkräften und Familien geht, muss die Frage erlaubt sein, welchen Anbietern man diese Daten anvertraut und wie abhängig man sich von einzelnen Plattformen machen möchte.
Open Source und digitale Souveränität
Nextcloud ist eine Open-Source-Plattform. Vereinfacht gesagt: Der Quellcode ist öffentlich zugänglich und kann geprüft und weiterentwickelt werden. Das schafft Möglichkeiten, die man bei vollständig geschlossenen Systemen nicht in gleicher Weise hat.
Open Source bedeutet allerdings nicht, dass eine Installation automatisch sicher ist. Auch eine Nextcloud muss eingerichtet, gewartet und aktualisiert werden. Zugriffsrechte, Backups, der Betrieb der Server und die Menschen, die sich darum kümmern, spielen genauso eine Rolle.
Digitale Souveränität heißt für mich deshalb nicht einfach nur: „Der Server steht in Deutschland, also ist alles super.“ Es geht auch darum, nachvollziehen zu können, wer den Dienst betreibt, wer Zugriff hat, welche Abhängigkeiten bestehen und wie man die eigenen Daten wieder mitnehmen kann.
Beim Schulprojekt übernimmt IONOS den Betrieb. Das ist eine andere Geschichte als meine eigene Nextcloud zu Hause, bei der ich mich selbst um den Server kümmere. Beides hat seine Berechtigung. Eine Schule braucht einen verlässlichen Betrieb und Ansprechpartner; ich will in meinem Heimnetz selbst ausprobieren, einrichten und entscheiden.
Und damit sind wir bei meinem Proxmox-Monster.
Mein eigener Server und ein kleiner Denkfehler
In meinem Video baue ich mir eine Umgebung auf meinem selbst gebauten Proxmox-Server auf. Proxmox Virtual Environment ist die Grundlage. Darauf kann ich mehrere virtuelle Maschinen betreiben, also einzelne Systeme, die sich einen physischen Server teilen.
Bevor es richtig losgehen konnte, musste ich allerdings erst einmal verstehen, warum zwei SATA-Anschlüsse meines Mainboards nicht funktionieren wollten. Ich hatte bereits Festplatten umgesteckt und nach Fehlern gesucht. Am Ende war es ein Flüchtigkeitsfehler meinerseits: Die beiden M.2-SATA-Laufwerke belegten bei meinem Mainboard Ressourcen, wodurch zwei SATA-Ports abgeschaltet wurden.
Das ist ein schönes Beispiel dafür, warum sich ein Blick ins Mainboard-Handbuch lohnt. M.2 beschreibt zunächst die Bauform beziehungsweise den Steckplatz. Ob ein Laufwerk SATA oder NVMe über PCI Express verwendet und welche Anschlüsse sich dabei Ressourcen teilen, hängt vom Laufwerk und vom Mainboard ab. Das lässt sich nicht für jedes Gerät pauschal sagen.
Weil die bestellten NVMe-Laufwerke nicht rechtzeitig ankamen, habe ich für das Video zunächst mit den vorhandenen Laufwerken weitergemacht. Eine 1-TB-SSD und eine 500-GB-SSD bilden einen ZFS-Spiegel für virtuelle Maschinen. Dabei richtet sich die nutzbare Größe grundsätzlich nach dem kleineren Laufwerk. Die zusätzliche Kapazität des größeren Laufwerks steht in diesem Spiegel zunächst nicht zur Verfügung.
Das ist für mich in diesem Aufbau ein Kompromiss, mit dem ich leben kann. Ich brauche an dieser Stelle keine riesige Kapazität, möchte aber beim Ausfall eines einzelnen Laufwerks eine gewisse Redundanz haben.
Wichtig: Ein Spiegel ist kein Backup. Wird eine Datei versehentlich gelöscht oder verschlüsselt, landet diese Änderung ebenfalls auf dem Spiegel. Auch andere Schäden können beide Kopien betreffen. ZFS kann durch Prüfsummen Fehler erkennen und bei vorhandener intakter Kopie bestimmte beschädigte Daten reparieren. Eine unabhängige Datensicherung ersetzt das nicht.
Was machen OPNsense, WireGuard und Nextcloud?
Die Namen klingen erst einmal nach einer ganzen Menge Technik. Deshalb hier die Kurzfassung:
Proxmox ist bei mir die Plattform für die virtuellen Maschinen. OPNsense ist die Firewall, über die ich den Netzwerkverkehr regeln und den VPN-Zugang bereitstellen kann. WireGuard stellt eine verschlüsselte Verbindung zwischen einem meiner Geräte und meinem Netzwerk her. Und Nextcloud stellt schließlich die Anwendung bereit, die ich nutzen möchte – in meinem Fall vor allem den Kalender.
Der Weg von unterwegs sieht vereinfacht so aus: Mein Laptop oder Handy baut über das Internet einen WireGuard-Tunnel zu meiner OPNsense auf. Über diesen Tunnel erreiche ich die Dienste, die ich in meinem Netzwerk dafür freigegeben habe. Dazu gehört meine Nextcloud.
Im Video zeige ich die Einrichtung anhand meiner eigenen Umgebung. Die Bezeichnungen und Menüs können bei euch anders aussehen, vor allem wenn ihr einen anderen Router verwendet. Wer das nachbauen möchte, sollte die Anleitung des eigenen Geräts und die aktuelle Dokumentation der eingesetzten Software zur Hand nehmen.
Dynamisches DNS: Wie finde ich mein Heimnetz von unterwegs?
Mein Internetanschluss hat eine öffentliche IP-Adresse. Diese kann sich ändern. Würde ich im WireGuard-Client nur die aktuelle Adresse eintragen, könnte die Verbindung nach einem Wechsel ins Leere laufen.
Hier kommt dynamisches DNS ins Spiel. Ich verwende im Video beispielhaft No-IP. Im Router hinterlege ich den Dienst und den gewählten Hostnamen. Ändert sich die öffentliche IP-Adresse, meldet der Router die neue Adresse an den Dienst. Der Hostname kann anschließend auf die aktualisierte Adresse aufgelöst werden.
Für den WireGuard-Client verwende ich dann diesen Hostnamen als Ziel. So muss ich nach einem Adresswechsel nicht jedes Gerät von Hand anpassen.
Allerdings ist dynamisches DNS keine Garantie dafür, dass jeder Anschluss von außen erreichbar ist. Ob eine eingehende Verbindung funktioniert, hängt unter anderem vom Internetanschluss, IPv4 beziehungsweise IPv6, möglichen vorgeschalteten Netzen und der Routerkonfiguration ab. Bei manchen Anschlüssen kann zum Beispiel Carrier-Grade NAT den direkten eingehenden IPv4-Zugriff verhindern. Wenn es nicht klappt, lohnt sich also ein Blick auf den eigenen Anschluss, bevor man stundenlang an der Firewall dreht.
WireGuard und die Firewall: Ein Tunnel allein genügt nicht
Im Video richte ich WireGuard auf der OPNsense ein und erstelle eine Gegenstelle für meinen Computer. Der Router leitet den für WireGuard gewählten UDP-Port an die Firewall weiter. Auf der OPNsense muss die Verbindung ebenfalls durch eine passende Regel zugelassen werden.
Damit ist aber noch nicht automatisch jeder gewünschte Zugriff innerhalb des Netzwerks erlaubt. Genau darüber bin ich im Video gestolpert: Der Tunnel stand, aber der Zugriff auf die Debian-Maschine für Nextcloud funktionierte zunächst nicht. Es fehlte eine passende Firewall-Regel für den Verkehr vom WireGuard-Netz zum internen Netz. Nachdem ich die Regel ergänzt hatte, funktionierte auch die Verbindung.
Das ist ein wichtiger Unterschied: Ein erfolgreicher WireGuard-Handshake zeigt, dass sich die Gegenstellen erreichen und miteinander kommunizieren können. Er beweist nicht, dass alle dahinterliegenden Dienste erreichbar sind. Wenn etwas nicht funktioniert, müssen also unter anderem Routing, erlaubte Netze und Firewall-Regeln geprüft werden.
Für den eigenen Aufbau würde ich die Regeln möglichst eng fassen: Nur die Geräte und Dienste freigeben, die tatsächlich benötigt werden. Wer nur seine Nextcloud erreichen will, muss nicht automatisch das gesamte Heimnetz für jeden VPN-Client öffnen.
Bei den Tunneladressen noch ein Hinweis zum Video: Dort verwende ich einen Adressbereich: 50.50.50.x erscheint. Für eine neue Einrichtung nehmt bitte einen privaten IPv4-Bereich, zum Beispiel ein passendes Netz aus 10.0.0.0/8, und achtet darauf, dass es sich nicht mit euren vorhandenen Netzen überschneidet. Die OPNsense-Dokumentation zeigt dafür beispielsweise 10.10.10.0/24. Sonst kann es später zu merkwürdigen Routing-Problemen kommen.
Schützt außerdem die privaten WireGuard-Schlüssel und Konfigurationsdateien. Wer eine solche Datei beziehungsweise den privaten Schlüssel besitzt, kann sich unter Umständen als das zugehörige Gerät ausgeben. Jedes Gerät sollte eine eigene Gegenstelle bekommen, damit sich ein verlorenes Gerät gezielt entfernen lässt.
Das gesamte Internet durch den Tunnel schicken?
WireGuard lässt sich so einrichten, dass nur die Verbindungen zu bestimmten internen Netzen durch den Tunnel gehen. Der übrige Internetverkehr läuft dann weiterhin über die gerade verwendete Verbindung. Das nennt man häufig Split-Tunneling.
Man kann auch den gesamten Internetverkehr über das eigene Heimnetz leiten. Dafür reichen ein paar angepasste Adressen im Client allein nicht immer aus: Routing, Firewall, DNS und gegebenenfalls NAT auf der OPNsense müssen ebenfalls passen. Ob das sinnvoll ist, hängt vom Einsatzzweck ab. Die Geschwindigkeit ist dann auch durch den heimischen Anschluss und dessen Upload begrenzt.
Ein VPN verschlüsselt den Verkehr zwischen eurem Gerät und dem VPN-Endpunkt. Es macht das Gerät aber nicht unsichtbar und schützt nicht automatisch vor Schadsoftware, betrügerischen Webseiten oder gestohlenen Zugangsdaten. Auch mit VPN bleiben Updates, sichere Passwörter und gesunder Menschenverstand wichtig.
Meine Nextcloud: ein Kalender, der bei mir zu Hause liegt
Auf meinem Proxmox-Server lege ich eine weitere virtuelle Maschine mit Debian an. Darauf installiere ich Docker und starte Nextcloud zusammen mit einer Datenbank. Nextcloud kann wesentlich mehr als einen Kalender: Dateien speichern und teilen, Kontakte verwalten, Dokumente bearbeiten und – je nach Einrichtung und installierten Anwendungen – weitere Funktionen bereitstellen.
Ich selbst brauche sie in diesem Fall vor allem für meinen Kalender. Der läuft auf meinem eigenen Server. Ich kann Termine dort anlegen und sie mit meinen Geräten synchronisieren, ohne dafür einen Kalender bei einem anderen Anbieter verwenden zu müssen.
Im Video verbinde ich den Nextcloud-Kalender mit Thunderbird. Das läuft über CalDAV. Ich lege in Thunderbird einen Testtermin an, schaue in Nextcloud nach und ändere den Termin anschließend dort. Nach der Aktualisierung taucht die Änderung auch in Thunderbird auf. Genau so soll es sein.
Weitere Geräte können ebenfalls zugreifen, wenn die jeweilige Kalender-App CalDAV unterstützt und eine Verbindung zur Nextcloud besteht. Für den Zugriff von unterwegs braucht das jeweilige Gerät in meinem Aufbau den eingerichteten WireGuard-Tunnel. Welcher Client auf welchem Betriebssystem gut funktioniert, hängt vom Gerät und der konkreten Einrichtung ab.
Ein Punkt zur Sicherheit: Im Video verwende ich für die Demonstration einfache Zugangsdaten. Bitte übernehmt diese nicht für ein dauerhaft betriebenes System. Verwendet starke, unterschiedliche Passwörter für Datenbank, Nextcloud-Administration und Benutzerkonten. Wo verfügbar, ist eine zusätzliche Anmeldung mit einem zweiten Faktor sinnvoll. Zugangsdaten und private Schlüssel gehören nicht in öffentlich zugängliche Dateien oder Screenshots.
Im Beispiel rufe ich Nextcloud über HTTP innerhalb des VPN-Tunnels auf. Die Verbindung im Tunnel wird von WireGuard verschlüsselt. Trotzdem ist HTTPS auch bei einer solchen Umgebung eine sinnvolle zusätzliche Schutzschicht, insbesondere für Verbindungen außerhalb des Tunnels oder innerhalb anderer Netzabschnitte. Nextcloud empfiehlt HTTPS ausdrücklich. Eine produktive Installation sollte außerdem anhand der Sicherheits- und Einrichtungswarnungen von Nextcloud geprüft werden.
Backups: Bitte nicht erst darüber nachdenken, wenn es zu spät ist
Im Video sichere ich die OPNsense zwischendurch mehrfach. Das hat einen einfachen Grund: Wenn ich bei der nächsten Änderung etwas kaputtkonfiguriere, möchte ich auf einen funktionierenden Stand zurückgreifen können, statt alles noch einmal einzurichten.
Bei Nextcloud reicht es nicht, nur irgendeinen Ordner zu kopieren. Für eine vollständige Wiederherstellung müssen insbesondere Daten, Konfiguration und Datenbank zusammenpassen. Je nach Installation kommen weitere Bestandteile hinzu. Die Nextcloud-Dokumentation beschreibt, welche Verzeichnisse und Komponenten gesichert werden müssen.
Eine Datensicherung sollte unabhängig vom laufenden System liegen. Wenn Server und Sicherung am selben Ort oder auf demselben Speicher liegen, können ein Defekt, Diebstahl oder ein anderer Schaden beides gleichzeitig treffen. Und bitte prüft gelegentlich auch die Wiederherstellung. Eine Sicherung, die sich im Ernstfall nicht zurückspielen lässt, hilft euch nämlich herzlich wenig.
Für den dauerhaften Betrieb gehören außerdem regelmäßige Sicherheitsupdates dazu – für Proxmox, OPNsense, Debian, Docker, Nextcloud und die übrigen verwendeten Komponenten. Vor größeren Änderungen oder Updates ist eine funktionierende Sicherung besonders angenehm.
KI als Hilfe bei der Einrichtung
Ich nutze KI selbst, und ich sehe keinen Grund, das zu verschweigen. Wer seit Jahrzehnten mit Computern arbeitet, darf auch neue Werkzeuge ausprobieren. Gerade bei einem Aufbau mit mehreren Komponenten kann ein Chatbot helfen, Begriffe zu erklären, eine Fehlersuche zu strukturieren oder die nächsten Schritte verständlich aufzubereiten.
Entscheidend ist, welche Informationen man ihm gibt. Sagt ihm, welchen Router ihr verwendet, welche Softwareversionen installiert sind und was ihr erreichen möchtet. Lasst ihn nach Möglichkeit die aktuellen Herstelleranleitungen heranziehen und seine Aussagen mit Quellen belegen. Fehlermeldungen und das tatsächliche Verhalten der Geräte helfen oft mehr als die Frage: „Warum geht mein VPN nicht?“
Aber: Auch wenn ihr einer KI ausdrücklich sagt, sie solle nichts erfinden, kann sie Fehler machen. Prüft gerade Befehle, Firewall-Regeln und sicherheitsrelevante Aussagen anhand der offiziellen Dokumentation. Und gebt keine Passwörter, privaten Schlüssel oder sonstigen vertraulichen Zugangsdaten in den Chat ein.
KI kann euch beim Denken und Nachschlagen unterstützen. Die Verantwortung für eure Systeme nimmt sie euch nicht ab.
Zum Schluss
Ich freue mich, dass mit dem Schulprojekt eine weitere Möglichkeit entsteht, offene Software und Infrastruktur eines deutschen Anbieters einzusetzen. Wie gut das im Alltag funktioniert und wie viele Schulträger das Angebot tatsächlich nutzen, wird sich zeigen. Der Rahmenvertrag allein löst noch keine Probleme im Klassenzimmer. Er schafft aber eine Option, die vorher in dieser Form nicht zur Verfügung stand.
Und meine eigene Nextcloud zeigt das Ganze im Kleinen: Ich kann einen Dienst für meinen persönlichen Bedarf selbst betreiben und über eine geschützte Verbindung darauf zugreifen. Dafür muss ich mich allerdings auch um Einrichtung, Sicherheit, Updates und Backups kümmern. Selbst betreiben bedeutet eben auch, selbst Verantwortung zu übernehmen.
Im Video könnt ihr euch anschauen, wie ich den Aufbau praktisch umsetze – einschließlich der Stellen, an denen nicht alles auf Anhieb funktioniert. Das Projekt ist eher etwas für fortgeschrittene Nutzer oder für Menschen, die bereit sind, sich in die einzelnen Themen einzuarbeiten. Nehmt euch dafür Zeit und passt die Einrichtung an eure eigene Umgebung an.
Noch ein persönlicher Hinweis: Aufgrund meiner gesundheitlichen Situation kann ich im Augenblick leider keinen individuellen Support zu diesem Projekt leisten. Ich weiß, dass die Einrichtung Fragen aufwerfen und zwischendurch frustrierend sein kann. Bitte habt Verständnis dafür, dass ich nicht jede einzelne Umgebung prüfen und keine persönliche Fehlerbehebung anbieten kann.
Quellen und weiterführende Informationen
IONOS: Schul-Cloud für sechs Bundesländer – https://www.ionos-group.com/de/investor-relations/newsroom/ionos-baut-laenderuebergreifende-schul-cloud-fuer-sechs-bundeslaender.html
Nextcloud: Rahmenvertrag für Schulen – https://nextcloud.com/blog/six-german-states-gain-access-to-sovereign-collaboration-for-schools/
OPNsense: WireGuard für den Zugriff von unterwegs – https://docs.opnsense.org/manual/how-tos/wireguard-client.html
Nextcloud: Kalender und Kontakte mit Thunderbird synchronisieren – https://docs.nextcloud.com/server/stable/user_manual/en/groupware/sync_thunderbird.html
Nextcloud: Datensicherung – https://docs.nextcloud.com/server/stable/admin_manual/maintenance/backup.html
Nextcloud: Sicherheits- und Einrichtungswarnungen – https://docs.nextcloud.com/server/stable/admin_manual/configuration_server/security_setup_warnings.html
OpenZFS: Prüfsummen und Datenintegrität – https://openzfs.github.io/openzfs-docs/Basic%20Concepts/Data%20Storage/Checksums.html
YouTube Video: Alles in einem Video: Eigene Cloud mit Proxmox, OPNsense, WireGuard, DynDNS und Nextcloud
Ralf-Peter Kleinert / ComputerRalle
Ich verwende moderne KI-Systeme als unterstützendes Werkzeug, um meine Texte zu strukturieren, sprachlich zu überarbeiten und in eine verständliche Form zu bringen. Dabei nutze ich Künstliche Intelligenz unter anderem zur Korrektur von Rechtschreibung und Grammatik, zur besseren Gliederung von Inhalten sowie zur Optimierung von Formulierungen. Dennoch schreibe ich meine Inhalte zunächst komplett alleine. Bilder und Thumbnails bearbeite ich wieder überwiegend selbst in Photoshop oder PhotoCraft. KI-Bilder sehen alle gleich aus – das passt mir nicht. KI zum korrigieren zu verwenden ist für mich eine enorme Zeitersparnis, sodass ich mich stärker auf die eigentlichen Inhalte konzentrieren kann.