[English]In der Android-App für Nextcloud gibt es wohl einen Bug, der im Hinblick auf Datenschutz nicht unkritisch ist. Uploads von Medieninhalten werden auf verschiedene Ordner unterschiedlicher Instanzen (Konten) verteilt, auch wenn der Nutzer das gar nicht so vorgesehen hat.
Nextcloud und die Android-App
Nextcloud ist eine auf einem ownCloud-Fork (entwickelt von Frank Karlitschek) basierende, in PHP seit entwickelte freie Software für das Speichern von Daten (z. B. Dateien, Kalendern, Kontakten etc.) auf einem Server. Das Projekt Nextcloud wird seit 2016 von Karlitschek und weiteren Entwicklern im Team weiter entwickelt.
Im Gegensatz zur Public Cloud von Amazon, Apple, Google, Microsoft können Anwender Nextcloud auf einem eigenen Server hosten und behalten die Kontrolle über diese Instanz. Der oder die Anwender können sowohl über eine Weboberfläche als auch mit Client-Applikationen (Smartphone und Desktop) auf die Nextcloud-Daten zugreifen. Dies ermöglicht dem Anwender, auf einen zentralen und konsistenten Datenbestand von vielen Endgeräten aus zuzugreifen und diesen mit anderen Anwendern optional zu teilen. Neben der Datenhaltung bietet Nextcloud Funktionalitäten für Videokonferenzen und verschiedene Office-Applikationen über die Weboberfläche.
Anzeige
Für Android gibt es die in oben gezeigtem Screenshot erwähnte App, die den Zugriff auf alle Dateien in der Nextcloud ermöglicht. Über die Oberfläche der App lassen sich Dateien (auch Fotos und Videos) auf den eigenen Nextcloud-Server hochladen, synchronisieren, und mit Dritten teilen. Die App unterstützt auch mehrere Nextcloud-Konten gleichzeitig.
Android-App: Bug schiebt Dateien in mehrere Ordner
Blog-Leser Sebastian W. hat mich die Tage per E-Mail kontaktiert (danke dafür), weil ihm ein Bug in der Android-App aufgefallen ist, der nicht nur unschön sondern auch Datenschutz-relevant ist. Laut Sebastian hat die aktuelle Android-Version des Nextcloud-Clients (die Version 3.32.3 der Android-App ist am 21.08.2025 erschienen) einen unangenehmen, datenschutzrelevanten Fehler. Voraussetzung, damit der Bug in der Android-App wirksam wird ist:
- Der Nutzer hat die Android-App als Client für mehrere Nextcloud-Instanzen (d.h. Konten) konfiguriert und verbunden.
- Das automatische Hochladen und Synchronisieren von neuen Bildern ist aktiviert (das wird gerne für Smartphone-Kameraaufnahmen gemacht).
Sind beide Bedingungen erfüllt, lädt die Android-App neue Dateien in die Nextcloud-Instanzen hoch. Das Problem:
- Diese Bilder und Videos landen laut Sebastian zwar, wie in früheren Versionen, automatisch im angegebenen Ordner in der Nextcloud.
- Zusätzlich wird nun allerdings auch jeweils ein Ordner in den anderen Nextcloud-Instanzen erzeugt und alle Bilder/Videos werden dort ebenfalls hochgeladen, und dies, obwohl für diese Instanzen gar kein automatischer Upload eingestellt ist.
Sebastian merkt an, dass dies natürlich schnell unangenehm werden kann, wenn man z.B. parallel zu einer privaten auch eine geschäftliche Nextcloud-Anbindung nutzt, die durch den Arbeitgeber administriert wird.
Bug gemeldet, Entwickler sitzen dran
Sebastian hat den Bug, der den Nextcloud Android-Client 3.32.3 betrifft, über Github gemeldet, siehe den Bug-Tracker-Eintrag Auto-upload goes wild – possible security breach von Anfang September 2025. Zur Zeit arbeitet auch mindestens ein Entwickler aktiv an der Fehleranalyse – und aktuell ist der Bug-Report bereits als "closed" markiert (dürfte wohl bald gefixt werden).
Sebastian meint dazu: "Auf jeden Fall freut sich sicherlich manch einer über eine entsprechende Warnung zur aktuellen "Gefahr" verbunden mit erhöhter Aufmerksamkeit für das nächste Nextcloud-Update, welches diesen Fehler dann hoffentlich beseitigt.
Ähnliche Artikel:
Nextcloud: Android Client 3.30.1 synct sich zu Tode
BSI-Analyse von OSS Nextcloud legt Schwachstellen offen
Probleme und Fixes: Nextcloud, ChromeCast, YouTube, Samsung Sound Bar
CDU erneut gerettet – deren NextCloud-Server ist wieder online und gepatcht
Anzeige
Unschön und sollte behoben werden. Eine Frage bleibt aber im Raum: Was hat ein Konto bzw. Verbindung zur geschäftlichen Instanz auf einem privaten Gerät zu suchen? Diese kritische Einrichtung geht dem eigentlichen Bug vorher.
Diese Frage darf man stellen, sie verkennt aber m.E.n. die gelebte Realität. BYOD wird in vielen Unternehmen praktiziert und (leider) machen sich immer noch zuwenig Angestelle Gedanken um die Trennung privater und beruflicher Daten.
Außerdem: Geschäftliche Nutzung ist ja nur ein Beispiel. Auch in die Nextcloud vom Sportverein oder der Nachbarschafts-Organisation sollte nichts hochgeladen werden, was ich nicht explizit dafür eingestellt habe.
Bei mir persönlich ist der Bug unkritisch, da ich alleiniger Admin aller Nextcloud-Instanzen bin, mit denen meine Geräte verknüpft sind. Das ist aber eher der Sonderfall als die Regel.
Ja, bei der Verknüpfung von geschäftlichen Konten muss man kritisch nachfragen. Aber: nach meinem Wissen kann man im NextCloud Universium gar nicht verhindern, dass sich ein User per Mobil- oder Desktop-Client verbindet. Zumindest habe ich keine Option gefunden, weder im Interface, noch durch Recherchen. In meinen Augen ein sehr großes Problem der NextCloud – ziemlich unprofessionell.
Im privaten Kontext bin ich mit der NextCloud sehr zufrieden, aber im geschäftlichen Kontext ist vieles nicht zu Ende gedacht, z.B. das Teilen von Dateien und Ordnern. Ich kann auch die Zugriffsrechte auf einzelne Dateien nicht eiuschränken. So kann jeder User die README bearbeiten und verändern. Teilen ist per Default auf User Ebene beschränkt, d.h. verlässt der User ein Team, geht die Freigabe verloren. Der Workaround über Team Ordner erfordert Admin Einsatz.
Für ein Tool, das sich an professionelle Nutzer richtet, ist vieles sehr unprofessionell gelöst.
Das ist eine Falschaussage: Selbstverständlich kannst Du eine Nextcloud Instanz so einstellen, dass sich keine Desktop- oder mobile Clients damit verbinden können. In der config kannst Du die Nutzung von App-Token/ Gerätetokens deaktivieren. Aber wer will das schon? Und wir haben noch nicht von Federation angefangen zu sprechen.
Moin,
definitiv unschön. Ich kann das Thema gerade allerdings nicht nachvollziehen.
Hier habe ich keine Ordner bei den anderen Usern finden können.
SG
Der Bug wurde wohl schon früher gemeldet, der verlinkte Issue ist nur ein Duplikat – es gibt aus einem anderen Issue eine Testversion:
https://github.com/nextcloud/android/pull/15449#issuecomment-3249736656
Danke für den Querverweis.
Gerne :)
gibt es den Bug auch unter iOS und OSX?
Ich hab dummerweise gestern meinen Docker zerbröselt