Wer auf dem Synology NAS bereits Nextcloud oder OpenCloud betreibt, hat eine vollwertige private Cloud – aber noch kein Office. ONLYOFFICE Docs, auch bekannt als Document Server, schließt genau diese Lücke: Er ist ein selbst gehosteter Backend-Dienst, der die kollaborative Echtzeit-Bearbeitung von DOCX-, XLSX- und PPTX-Dateien direkt im Browser ermöglicht. Kein Microsoft 365, kein LibreOffice lokal – der Browser reicht. Die Community Edition ist kostenlos (GNU AGPL v3.0) und für bis zu etwa 20 gleichzeitige Verbindungen ausgelegt. Als reiner Dokumenten-Server hat ONLYOFFICE Docs keine eigene Benutzerverwaltung; er wird als Erweiterung in Nextcloud oder OpenCloud eingebunden und ist damit der Schlüsselbaustein, um den eigenen Cloud-Stack zu einer vollständigen Office-Plattform auszubauen.

Voraussetzungen

Synology NAS mit DSM 7.2 oder neuer und installiertem Container Manager
Mindestens 4 GB RAM (offizielle Mindestanforderung); 8 GB empfohlen, wenn parallel Nextcloud oder OpenCloud läuft
Mindestens 3 GB freier Speicher für das Docker-Image (ca. 1,18 GB komprimiert, entpackt deutlich größer); offiziell werden 40 GB freier Speicher auf dem Volume empfohlen
SSH-Zugang zum NAS für die Ordnererstellung – Schritt für Schritt: SSH auf dem Synology NAS aktivieren und verbinden
Einen freien TCP-Port (Beispiel: 8011) für den internen Zugriff, oder einen konfigurierten Reverse-Proxy-Eintrag für HTTPS – Port freigeben: DSM-Firewall: Ports für Docker-Container freigeben
Nextcloud oder OpenCloud als Ziel-Integration bereits eingerichtet (Bestandsanleitungen: Nextcloud AIO mit Docker einrichten, OpenCloud mit Docker einrichten)
DDNS-Hostname oder feste IP für die Verbindungs-URL zwischen Cloud-Lösung und ONLYOFFICE

Schritt 1: Ordnerstruktur anlegen

Verbinde dich per SSH mit dem NAS (Anleitung: SSH auf dem Synology NAS aktivieren) und lege die drei persistenten Verzeichnisse an. ONLYOFFICE läuft intern als www-data (UID 33); die Verzeichnisse müssen für diesen Nutzer beschreibbar sein:

sudo mkdir -p /volume1/docker/onlyoffice/logs
sudo mkdir -p /volume1/docker/onlyoffice/data
sudo mkdir -p /volume1/docker/onlyoffice/lib
sudo chown -R 33:33 /volume1/docker/onlyoffice

Alternativ kannst du die Ordner in der File Station unter docker/onlyoffice anlegen (Unterordner: logs, data, lib). Die Berechtigungen setzt du dann per SSH wie oben gezeigt.

Warum drei Volumes? Die offizielle Dokumentation listet alle drei: logs für Server-Logs, data für Zertifikate und Konfigurationsdaten sowie lib für den Datei-Cache. Viele ältere Anleitungen binden nur logs und data ein – ohne lib gehen gecachte Verarbeitungsdateien bei jedem Container-Neustart verloren.

Verifizieren: Prüfe, ob alle drei Ordner existieren und die Berechtigungen stimmen:

ls -la /volume1/docker/onlyoffice/

Erwartete Ausgabe: drei Verzeichnisse (data, lib, logs), jeweils mit Eigentümer 33 33 (www-data).

Schritt 2: JWT_SECRET generieren

Seit ONLYOFFICE Docs v7.2 ist JWT standardmäßig aktiviert. Das bedeutet: Ohne einen explizit gesetzten JWT_SECRET-Wert generiert der Container bei jedem Neustart automatisch ein neues Zufalls-Secret. Das Symptom ist ernüchternd – nach dem nächsten NAS-Neustart zeigt Nextcloud oder OpenCloud „Verbindung zum ONLYOFFICE Document Server fehlgeschlagen", obwohl alles korrekt konfiguriert wirkt.

Generiere einen sicheren, festen Schlüssel (mindestens 32 alphanumerische Zeichen) in der SSH-Konsole:

openssl rand -hex 32

Beispielausgabe: a3f8e2b1c9d047f56a12e3c8b7d9e4f12a3b5c6d7e8f9a0b1c2d3e4f5a6b7c8d

Notiere oder speichere diesen Wert sicher – du benötigst ihn identisch in der Nextcloud-ONLYOFFICE-App unter „Sicherheitsschlüssel".

Verifizieren: Der Befehl gibt eine Zeile mit genau 64 Hex-Zeichen aus. Falls kein SSH-Zugang gewünscht ist, generiere den Wert alternativ in einem Passwort-Manager mit mindestens 32 zufälligen Zeichen.

Schritt 3: Compose-Projekt im Container Manager anlegen

Öffne im DSM den Container Manager, wechsle zu „Projekt" und klicke auf „Erstellen". Vergib den Projektnamen onlyoffice und wähle /volume1/docker/onlyoffice als Projektpfad. Erstelle im Editor die Datei compose.yaml mit folgendem Inhalt – ersetze dabei den Platzhalter für JWT_SECRET durch deinen generierten Schlüssel aus Schritt 2. Die Grundlagen zum Compose-Projekt findest du in der Anleitung: Container Manager: Docker-Compose-Projekt anlegen, starten und aktualisieren.

Parameter	Wert	Hinweis
Image	onlyoffice/documentserver:9.4.0	Stabile Version Mai 2026; Multi-Arch (amd64 + arm64)
Port (extern:intern)	8011:80	Interner Port immer 80; externer Port frei wählbar
Volume logs	/volume1/docker/onlyoffice/logs:/var/log/onlyoffice	Server-Logs, Pflicht
Volume data	/volume1/docker/onlyoffice/data:/var/www/onlyoffice/Data	Zertifikate, Konfig, Pflicht
Volume lib	/volume1/docker/onlyoffice/lib:/var/lib/onlyoffice	Datei-Cache, offiziell empfohlen
JWT_ENABLED	true	Seit v7.2 Default; explizit setzen empfohlen
JWT_SECRET	dein-generierter-schluessel	Pflicht: fester Wert, sonst Neustart bricht Integration

services:
  onlyoffice:
    image: onlyoffice/documentserver:9.4.0
    container_name: onlyoffice
    restart: always
    ports:
      - "8011:80"
    volumes:
      - /volume1/docker/onlyoffice/logs:/var/log/onlyoffice
      - /volume1/docker/onlyoffice/data:/var/www/onlyoffice/Data
      - /volume1/docker/onlyoffice/lib:/var/lib/onlyoffice
    environment:
      - JWT_ENABLED=true
      - JWT_SECRET=HierDeinenSicherenSchluessel32Z
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost/healthcheck"]
      interval: 30s
      timeout: 10s
      retries: 5
      start_period: 60s

Der eingebundene healthcheck lässt den Container Manager erkennen, wann ONLYOFFICE tatsächlich betriebsbereit ist – der Container braucht 60–90 Sekunden Startzeit für interne Dienste (nginx, interne Datenbank, Messaging-Queue).

Verifizieren: Klicke im Container Manager auf „Erstellen und ausführen". Der Container wechselt zunächst in den Status „Wird gestartet" und nach ca. 60–90 Sekunden auf „Wird ausgeführt". Im Log-Tab des Containers solltest du Zeilen wie ONLYOFFICE Document Server community edition sehen – ohne rote Fehlermeldungen zu JWT oder fehlenden Verzeichnissen.

Schritt 4: Welcome-Page und Healthcheck verifizieren

Bevor du ONLYOFFICE in Nextcloud oder OpenCloud einträgst, überprüfe den Betrieb in zwei kurzen Tests – dieser Schritt spart dir spätere Fehlersuche.

Test 1 – Welcome-Page: Öffne im Browser:

http://NAS-IP:8011

Du siehst die ONLYOFFICE-Willkommensseite mit dem Hinweis, dass der Document Server läuft und bereit zur Integration ist. Falls du eine leere Seite oder einen Verbindungsfehler erhältst, warte weitere 30 Sekunden – ONLYOFFICE benötigt beim ersten Start besonders lange.

Test 2 – Healthcheck-Endpoint:

http://NAS-IP:8011/healthcheck

Dieser Endpunkt gibt den plaintext-Wert true zurück, wenn alle internen ONLYOFFICE-Dienste betriebsbereit sind. Erst wenn beide Tests erfolgreich sind, solltest du mit Schritt 5 fortfahren.

Verifizieren: Welcome-Page zeigt die ONLYOFFICE-Startseite, Healthcheck-URL gibt true zurück. Kein Fehler, keine leere Seite.

Schritt 5: ONLYOFFICE in Nextcloud einbinden

Installiere in Nextcloud über den App Store die offizielle „ONLYOFFICE"-App (Anbieter: ONLYOFFICE, unterstützt Nextcloud ab Version 20). Wechsle dann in der Nextcloud-Administration zu „ONLYOFFICE" und trage folgendes ein:

Feld	Wert
Document-Editing-Service-Adresse	http://NAS-IP:8011 (intern) oder https://deine-domain.de (Reverse Proxy)
Sicherheitsschlüssel (JWT Secret)	Identischer Wert wie JWT_SECRET in der compose.yaml
JWT-Header	Authorization (Standard, nur ändern bei Proxy-Konflikten)

Interne vs. externe URL: Laufen Nextcloud und ONLYOFFICE auf demselben NAS, funktioniert die interne IP-Adresse mit Port zuverlässig. Für den Zugriff von außen oder über HTTPS nutze die Reverse-Proxy-URL – den Nginx Proxy Manager auf der Synology einrichten zeigt die verlinkte Anleitung.

Für OpenCloud-Nutzer: Die Einbindung erfolgt analog über die Admin-Oberfläche unter „Web Office" – dieselben Werte (URL, JWT_SECRET) gelten.

Verifizieren: In der Nextcloud-Administration erscheint nach dem Speichern ein grünes Häkchen oder die Meldung „ONLYOFFICE Document Server ist erreichbar". Öffne anschließend eine DOCX-Datei in Nextcloud – sie sollte sich im Browser mit dem ONLYOFFICE-Editor öffnen.

Schritt 6: Reverse Proxy für HTTPS einrichten (optional, empfohlen)

Für den Produktivbetrieb – vor allem wenn ONLYOFFICE auch von außerhalb des Heimnetzwerks erreichbar sein soll – empfiehlt sich ein Reverse-Proxy-Eintrag mit HTTPS. Synologys eingebauter Reverse Proxy (unter DSM > Anmeldepanel > Erweitert > Reverse Proxy) oder der Nginx Proxy Manager eignen sich beide.

Wichtig für WebSocket-Unterstützung: ONLYOFFICE nutzt WebSockets für die Echtzeit-Kollaboration. Ohne die Weiterleitungs-Header Upgrade und Connection im Reverse Proxy öffnen sich Dokumente zwar, aber Änderungen anderer Nutzer erscheinen nicht live. Im Synology Reverse Proxy aktivierst du WebSocket-Unterstützung über die Checkbox „WebSocket-Protokoll aktivieren" im Proxy-Eintrag.

Verifizieren: Rufe nach dem Proxy-Setup die HTTPS-URL auf: Die ONLYOFFICE-Welcome-Page muss über HTTPS erreichbar sein und /healthcheck gibt weiterhin true zurück. Trage die HTTPS-URL anschließend in Nextcloud als neue Document-Editing-Service-Adresse ein.

Troubleshooting / Typische Fehler

„Verbindung zum ONLYOFFICE Document Server fehlgeschlagen" nach NAS-Neustart: Ursache ist fast immer ein fehlender fester JWT_SECRET. Ohne expliziten Wert wird bei jedem Neustart ein neues Zufalls-Secret generiert. Lösung: Compose-Datei öffnen, JWT_SECRET auf einen festen Wert setzen, Container neu starten, denselben Wert in der Nextcloud-App eintragen.
Welcome-Page nach dem Start nicht erreichbar (Connection refused): ONLYOFFICE benötigt 60–90 Sekunden für alle internen Dienste. Warte nach dem Container-Start mindestens 90 Sekunden, dann neu laden. Der Healthcheck im Compose-File signalisiert dem Container Manager den echten Bereitstatus.
Container startet, stirbt aber nach einigen Minuten (OOM-Kill): Das NAS hat zu wenig RAM. ONLYOFFICE benötigt mindestens 4 GB. Prüfe mit free -h in der SSH-Konsole den verfügbaren Arbeitsspeicher. Auf einem DS220+ (2 GB RAM) ist ONLYOFFICE nicht betreibbar.
Echtzeit-Kollaboration funktioniert nicht (Änderungen anderer erscheinen nicht live): WebSocket-Weiterleitungs-Header im Reverse Proxy fehlen. Im Nginx Proxy Manager oder Synology Reverse Proxy WebSocket-Unterstützung aktivieren (Upgrade- und Connection-Header).
Container startet nicht, Fehler zu Verzeichnisberechtigungen: Die Volumes konnten nicht beschrieben werden. Ursache: chown -R 33:33 wurde nicht ausgeführt. Lösung: SSH öffnen, sudo chown -R 33:33 /volume1/docker/onlyoffice ausführen, dann Container neu starten.
Nextcloud zeigt Fehler trotz korrektem JWT_SECRET: Die eingetragene Server-URL ist nicht erreichbar. Prüfe, ob der Firewall-Port 8011 im DSM freigegeben ist oder ob Nextcloud die interne IP statt einer externen URL benötigt.
DSM-Firewall blockiert Port 8011: Unter DSM > Systemsteuerung > Sicherheit > Firewall eine Regel für TCP-Port 8011 hinzufügen. Schritt-für-Schritt: DSM-Firewall: Ports für Docker-Container freigeben.

Häufige Fragen

Muss ich JWT aktivieren, oder kann ich es deaktivieren?

Seit ONLYOFFICE Docs v7.2 ist JWT standardmäßig aktiviert – JWT_ENABLED=true ist der Default. Technisch ist eine Deaktivierung möglich (JWT_ENABLED=false), aber dringend abzuraten: Ohne JWT kann jede beliebige Anwendung ohne Authentifizierung auf den Document Server zugreifen. Offizielle Empfehlung: JWT immer aktiv lassen und einen starken, festen JWT_SECRET setzen.

Wie lang muss der JWT_SECRET sein und wie generiere ich ihn sicher?

Es gibt keine Pflichtlänge, aber mindestens 32 alphanumerische Zeichen werden empfohlen. Die einfachste Methode auf dem NAS: openssl rand -hex 32 in der SSH-Konsole – das erzeugt einen 64-stelligen Hex-String. Den identischen Wert trägst du danach in der Nextcloud-ONLYOFFICE-App unter „Sicherheitsschlüssel" ein. Alternativ funktioniert jeder Passwort-Manager mit zufälligem 32+-Zeichen-Generator.

Kann ich ONLYOFFICE und Nextcloud im gleichen Compose-Projekt betreiben?

Das ist technisch möglich, aber für das Synology NAS nicht empfohlen. Getrennte Compose-Projekte lassen sich unabhängig voneinander neu starten, aktualisieren und debuggen – das ist im Alltag deutlich wartungsfreundlicher. Die Verbindung stellst du über die externe Reverse-Proxy-URL her oder über ein gemeinsames Docker-Netzwerk (beide Compose-Projekte im selben benannten Bridge-Netzwerk).

Welches Nextcloud-Plugin benötige ich und wie richte ich es ein?

Suche im Nextcloud App Store nach „ONLYOFFICE" und installiere die offizielle App des Anbieters ONLYOFFICE. Sie unterstützt Nextcloud ab Version 20. Nach der Installation gehst du in Nextcloud-Administration > ONLYOFFICE und trägst Server-URL sowie JWT-Secret ein. Ein grünes Häkchen bestätigt die erfolgreiche Verbindung.

Ist die Community Edition wirklich kostenlos, und wo sind die Grenzen?

Ja, vollständig kostenlos unter GNU AGPL v3.0 – der vollständige Quellcode ist öffentlich. Es gibt keine harte technische Nutzerbegrenzung, aber die Community Edition ist offiziell für bis zu etwa 20 gleichzeitige Verbindungen ausgelegt. Für Teams, die diese Grenze regelmäßig überschreiten, gibt es Enterprise- und Developer-Editionen mit Support und Clustering-Optionen.

Wie prüfe ich, ob ONLYOFFICE wirklich läuft, bevor ich Nextcloud konfiguriere?

Zwei schnelle Tests: Erstens http://NAS-IP:8011 im Browser aufrufen – die ONLYOFFICE-Willkommensseite muss erscheinen. Zweitens http://NAS-IP:8011/healthcheck aufrufen – der Endpunkt gibt den plaintext-Wert true zurück, wenn alle internen Dienste bereit sind. Erst wenn beide Tests grünes Licht geben, lohnt sich die Nextcloud-Konfiguration.

Welche Synology-NAS-Modelle sind kompatibel?

ONLYOFFICE Docs 9.4.0 ist als Multi-Arch-Image verfügbar und unterstützt nativ linux/amd64 und linux/arm64. Alle aktuellen Synology-NAS-Modelle mit Intel- oder AMD-Prozessor (x86_64 = amd64) sind kompatibel. Entscheidender als die CPU-Architektur ist der RAM: Unter 4 GB ist ONLYOFFICE nicht sinnvoll betreibbar.

Fazit

ONLYOFFICE Docs ist für Selfhoster, die auf dem Synology NAS bereits Nextcloud oder OpenCloud betreiben, die konsequente Ergänzung: vollständige Microsoft-Office-Kompatibilität im Browser, kostenlos, quelloffen, ohne Cloud-Abhängigkeit. Das Compose-Projekt ist in wenigen Minuten eingerichtet – der einzige Schritt, der wirklich Aufmerksamkeit verdient, ist das Setzen eines festen JWT_SECRET. Dieser eine Wert entscheidet darüber, ob die Integration nach einem NAS-Neustart noch funktioniert oder nicht. Alle anderen Parameter folgen den Standardwerten der offiziellen Dokumentation. Mit Welcome-Page-Test und Healthcheck-Endpoint hast du nach der Einrichtung jederzeit eine verlässliche Methode, den Betrieb zu verifizieren – bevor du Nextcloud oder OpenCloud damit verbindest.

Weiterführende Anleitungen und Quellen

Nextcloud mit Docker einrichten (All-in-One): die eigene Cloud – der primäre Anwendungsfall für ONLYOFFICE als Office-Backend
OpenCloud mit Docker: schlanke ownCloud-/Nextcloud-Alternative – zweite Cloud-Plattform, ebenfalls ONLYOFFICE-kompatibel
Nginx Proxy Manager auf der Synology: Reverse Proxy und SSL einrichten – für HTTPS-Betrieb und WebSocket-Weiterleitung
Dockge auf dem Synology NAS installieren: Docker-Compose-Stacks einfach verwalten – Alternative zum integrierten Container Manager

Offizielle Quellen: ONLYOFFICE Docs: Docker-Installationsanleitung · ONLYOFFICE Docs: JWT-Konfiguration · GitHub: ONLYOFFICE/Docker-DocumentServer · Docker Hub: onlyoffice/documentserver