Cyberangriff auf Nextcloud: Ein Lehrstück über gute Vorbereitung – und misslungene Kommunikation

Am Sonntag, dem 19. Juli 2026, war die Website von Nextcloud zeitweise nicht erreichbar. Zunächst war lediglich von einfachen Infrastruktur-Problemen die Rede – erst auf direkte Nachfrage von heise security bestätigte das Unternehmen den wahren Grund: einen Cyberangriff auf den eigenen Webserver.

Der Fall verdient Aufmerksamkeit – nicht nur, weil Nextcloud als selbstgehostete Cloud-Lösung in vielen Unternehmen, Behörden und Organisationen im Einsatz ist. Sondern vor allem, weil er beides auf einmal zeigt: wie gute technische Vorbereitung den Schaden begrenzt – und wie ungeschickte Kommunikation trotzdem Vertrauen kostet.

Was ist passiert?

Nach der Entdeckung des Angriffs isolierte Nextcloud den betroffenen Server umgehend und stellte die Website aus einem Backup auf einem neuen Server wieder her. Wichtig für alle, die Nextcloud im Unternehmen einsetzen:

• Betroffen war ausschließlich die Website nextcloud.com.
• Downloads, Updates und der Nextcloud App Store laufen auf separaten Servern und waren nach Unternehmensangaben nicht kompromittiert – die Software selbst ist also nach aktuellem Stand sauber, es handelt sich nicht um einen Lieferketten-Angriff.
• Die Server von Nutzern und Kunden sind laut Nextcloud nicht betroffen. Wer eine eigene Nextcloud betreibt, ist von diesem Vorfall nicht direkt berührt.

Die mutmaßliche Ursache: die WordPress-Lücke „wp2shell“

Besonders brisant ist der vermutete Angriffsweg. Die Website von Nextcloud läuft auf WordPress – und nur einen Tag vor dem Angriff war die kritische Schwachstellen-Kombination „wp2shell“ öffentlich geworden, die Codeeinschleusung ohne Anmeldung in WordPress-Installationen ab Version 6.8 erlaubt. Der Verdacht liegt nahe, dass genau diese Lücke das Einfallstor war; bestätigt hat Nextcloud das bislang nicht.

Was „wp2shell“ technisch ausmacht und welche Sofortmaßnahmen für Ihre eigene Firmenwebsite jetzt anstehen, haben wir in unserem Beitrag Die kritische WordPress-Lücke „wp2shell“ zusammengefasst. Der zeitliche Ablauf ist dabei die eigentliche Lehre: Samstag wird die Lücke publik, Sonntag steht der Angreifer im System. Das Zeitfenster zwischen Veröffentlichung einer Schwachstelle und ihrer Ausnutzung schrumpft auf Stunden – wer Updates „bei Gelegenheit" einspielt, kommt zu spät.

Was Nextcloud richtig gemacht hat

So unangenehm der Vorfall ist – die technische Reaktion war ein Musterbeispiel für funktionierende Vorbereitung:

• Segmentierte Infrastruktur: Website, Downloads und App Store laufen getrennt voneinander. Der Einbruch in den Webserver blieb dadurch ein Einbruch in den Webserver – und wurde nicht zum Einbruch ins Unternehmen. In flachen, unsegmentierten Umgebungen wäre derselbe Angriff deutlich schlimmer ausgegangen.
• Schnelle Isolation: Der kompromittierte Server wurde sofort vom Netz genommen, statt im laufenden Betrieb „beobachtet" zu werden.
• Funktionierende Backups: Die Website konnte aus einer Sicherung auf einem frischen Server wiederhergestellt werden – kein Verhandeln, kein Improvisieren. Genau dafür gibt es durchdachte Sicherungskonzepte wie die 3-2-1-Backup-Regel – inklusive regelmäßiger Wiederherstellungstests.

Wo es hakte: die Kommunikation

Umso bemerkenswerter ist, woran der Fall trotzdem krankt: an der Offenheit. Die erste öffentliche Erklärung sprach von Infrastruktur-Problemen – der Cyberangriff wurde erst eingeräumt, als eine Fachredaktion konkret nachfragte. Für ein Unternehmen, das mit Vertrauen in sichere Zusammenarbeit wirbt, ist das ein unnötiges Eigentor: Nicht der Vorfall selbst beschädigt das Vertrauen, sondern der Eindruck, dass man ihn lieber verschwiegen hätte.

Für Unternehmen in Deutschland ist das Thema dabei längst keine reine Stilfrage mehr. Werden bei einem Vorfall personenbezogene Daten kompromittiert, verlangt die DSGVO eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Und für Unternehmen im Anwendungsbereich von NIS2 kommen weitere, teils deutlich engere Meldepflichten hinzu – welche das sind, lesen Sie in unserem Beitrag NIS2: Was auf Unternehmen zukommt. Wer erst im Ernstfall überlegt, wer wann was kommuniziert, hat schon verloren – Krisenkommunikation gehört in den Notfallplan, nicht ins Improvisationstheater.

Die Lehren für Ihr Unternehmen

• Es trifft auch die Profis: Wenn ein IT-Unternehmen wie Nextcloud Opfer wird, ist die Frage für alle anderen nicht, ob ein Angriff kommt – sondern wie gut man vorbereitet ist, wenn er kommt.
• Updates sind ein Wettlauf: Ein Tag zwischen Veröffentlichung und Ausnutzung einer Lücke – das ist der neue Maßstab. Strukturiertes Patch-Management mit klaren Reaktionszeiten ist die einzige realistische Antwort darauf.
• Segmentierung zahlt sich aus: Trennen Sie Website, Server und interne Systeme so, dass ein kompromittiertes System nicht alle anderen mitreißt.
• Backups sind nur so gut wie ihr letzter Wiederherstellungstest: Nextclouds schnelle Wiederherstellung war kein Glück, sondern Vorbereitung. Sichern allein genügt nicht – das Zurückspielen muss geprobt sein.
• Kommunikation in den Notfallplan aufnehmen: Wer informiert Kunden, Mitarbeiter, Behörden – und wann? Ein Vorfall, der offen kommuniziert wird, kostet Ansehen. Einer, der vertuscht wirkt, kostet Vertrauen. Das ist der teurere Schaden.

Unser Fazit

Der Angriff auf Nextcloud zeigt beide Hälften guter Incident Response in einem einzigen Fall: Technisch hat die Vorbereitung funktioniert – Segmentierung, Isolation und getestete Backups haben aus einem potenziellen Desaster eine Randnotiz gemacht. Kommunikativ dagegen wurde aus der Randnotiz eine Schlagzeile, weil das Unternehmen erst auf Nachfrage ehrlich wurde.

Beides gehört zusammen. Ein guter Notfallplan beantwortet nicht nur die Frage „Wie stellen wir die Systeme wieder her?", sondern auch: „Wer sagt wem wann die Wahrheit?" – und beides entscheidet am Ende darüber, was von einem Angriff übrig bleibt.

Quelle: heise online – „Nextcloud: Cyberangriff auf Webserver mit ungeschickter Kommunikation" (Dirk Knop, Juli 2026), heise.de. Der Artikel wurde inhaltlich eigenständig aufbereitet und für Unternehmen in Deutschland redaktionell neu verfasst.