ONLYOFFICE Docs auf dem Synology NAS installieren: Office-Dokumente im Browser bearbeiten

Wer auf dem Synology NAS bereits Nextcloud oder OpenCloud betreibt, hat eine private Cloud, aber noch kein Office. ONLYOFFICE Docs (Document Server) ergänzt das: Der selbst gehostete Dienst ermöglicht die gemeinsame Bearbeitung von DOCX-, XLSX- und PPTX-Dateien im Browser. Die Community Edition ist kostenlos (GNU AGPL v3.0) und für bis zu etwa 20 gleichzeitige Verbindungen ausgelegt. Als reiner Dokumenten-Server hat ONLYOFFICE Docs keine eigene Benutzerverwaltung; er wird in Nextcloud oder OpenCloud eingebunden.

Voraussetzungen

• Synology NAS mit DSM 7.2 oder neuer und installiertem Container Manager
• Mindestens 4 GB RAM (offizielle Mindestanforderung); 8 GB empfohlen, wenn parallel Nextcloud oder OpenCloud läuft
• Mindestens 3 GB freier Speicher für das Docker-Image (ca. 1,18 GB komprimiert, entpackt deutlich größer); offiziell werden 40 GB freier Speicher auf dem Volume empfohlen
• SSH-Zugang zum NAS für die Ordnererstellung – Schritt für Schritt: SSH auf dem Synology NAS aktivieren und verbinden
• Einen freien TCP-Port (Beispiel: 8011) für den Zugriff im LAN; Port 8011 nicht im Router freigeben, Zugriff von außen nur über einen Reverse Proxy mit HTTPS – Port freigeben: DSM-Firewall: Ports für Docker-Container freigeben
• Nextcloud oder OpenCloud als Ziel-Integration bereits eingerichtet (Bestandsanleitungen: Nextcloud AIO mit Docker einrichten, OpenCloud mit Docker einrichten)
• DDNS-Hostname oder feste IP für die Verbindungs-URL zwischen Cloud-Lösung und ONLYOFFICE

Schritt 1: Ordnerstruktur anlegen

Verbinden Sie sich per SSH mit dem NAS (Anleitung: SSH auf dem Synology NAS aktivieren) und legen Sie die drei persistenten Verzeichnisse an. ONLYOFFICE läuft intern als www-data (UID 33); die Verzeichnisse müssen für diesen Nutzer beschreibbar sein:

sudo mkdir -p /volume1/docker/onlyoffice/logs
sudo mkdir -p /volume1/docker/onlyoffice/data
sudo mkdir -p /volume1/docker/onlyoffice/lib
sudo chown -R 33:33 /volume1/docker/onlyoffice

Alternativ legen Sie die Ordner in der File Station unter docker/onlyoffice an (Unterordner: logs, data, lib). Die Berechtigungen setzen Sie dann per SSH wie oben gezeigt.

Warum drei Volumes? Die offizielle Dokumentation listet alle drei: logs für Server-Logs, data für Zertifikate und Konfigurationsdaten sowie lib für den Datei-Cache.

Kontrolle der Ordner und Berechtigungen:

ls -la /volume1/docker/onlyoffice/

Verifizieren: Die Ausgabe zeigt drei Verzeichnisse (data, lib, logs), jeweils mit Eigentümer 33 33 (www-data).

Schritt 2: JWT_SECRET generieren

Seit ONLYOFFICE Docs v7.2 ist JWT standardmäßig aktiviert. Das bedeutet: Ohne einen explizit gesetzten JWT_SECRET-Wert generiert der Container bei jedem Neustart automatisch ein neues Zufalls-Secret. Die Folge: Nach dem nächsten NAS-Neustart zeigt Nextcloud oder OpenCloud „Verbindung zum ONLYOFFICE Document Server fehlgeschlagen“, obwohl alles korrekt konfiguriert wirkt.

Erzeugen Sie einen festen Schlüssel (mindestens 32 alphanumerische Zeichen) in der SSH-Konsole:

openssl rand -hex 32

Beispielausgabe: a3f8e2b1c9d047f56a12e3c8b7d9e4f12a3b5c6d7e8f9a0b1c2d3e4f5a6b7c8d

Speichern Sie diesen Wert sicher, etwa im Passwort-Manager. Sie benötigen ihn identisch in der Nextcloud-ONLYOFFICE-App unter „Sicherheitsschlüssel“.

Verifizieren: Der Befehl gibt eine Zeile mit genau 64 Hex-Zeichen aus. Ohne SSH-Zugang erzeugen Sie den Wert alternativ in einem Passwort-Manager mit mindestens 32 zufälligen Zeichen.

Schritt 3: Compose-Projekt im Container Manager anlegen

Öffnen Sie im DSM den Container Manager, wechseln Sie zu „Projekt“ und klicken Sie auf „Erstellen“. Vergeben Sie den Projektnamen onlyoffice und wählen Sie /volume1/docker/onlyoffice als Projektpfad. Erstellen Sie im Editor die Datei compose.yaml mit folgendem Inhalt und ersetzen Sie den Platzhalter für JWT_SECRET durch Ihren Schlüssel aus Schritt 2. Grundlagen zum Compose-Projekt: Container Manager: Docker-Compose-Projekt anlegen, starten und aktualisieren.

Parameter	Wert	Hinweis
Image	onlyoffice/documentserver:10.0.0	Stabile Version Mai 2026; Multi-Arch (amd64 + arm64)
Port (extern:intern)	8011:80	Interner Port immer 80; externer Port frei wählbar
Volume logs	/volume1/docker/onlyoffice/logs:/var/log/onlyoffice	Server-Logs, Pflicht
Volume data	/volume1/docker/onlyoffice/data:/var/www/onlyoffice/Data	Zertifikate, Konfig, Pflicht
Volume lib	/volume1/docker/onlyoffice/lib:/var/lib/onlyoffice	Datei-Cache, offiziell empfohlen
JWT_ENABLED	true	Seit v7.2 Default; explizit setzen empfohlen
JWT_SECRET	Ihr Schlüssel aus Schritt 2	Pflicht: fester Wert, sonst Neustart bricht Integration

services:
  onlyoffice:
    image: onlyoffice/documentserver:10.0.0
    container_name: onlyoffice
    restart: always
    ports:
      - "8011:80"
    volumes:
      - /volume1/docker/onlyoffice/logs:/var/log/onlyoffice
      - /volume1/docker/onlyoffice/data:/var/www/onlyoffice/Data
      - /volume1/docker/onlyoffice/lib:/var/lib/onlyoffice
    environment:
      - JWT_ENABLED=true
      - JWT_SECRET=HIER_IHREN_ZUFAELLIGEN_JWT_SCHLUESSEL_EINTRAGEN
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost/healthcheck"]
      interval: 30s
      timeout: 10s
      retries: 5
      start_period: 60s

Der eingebundene healthcheck lässt den Container Manager erkennen, wann ONLYOFFICE tatsächlich betriebsbereit ist – der Container braucht 60–90 Sekunden Startzeit für interne Dienste (nginx, interne Datenbank, Messaging-Queue).

Verifizieren: Klicken Sie im Container Manager auf „Erstellen und ausführen“. Der Container wechselt zunächst in den Status „Wird gestartet“ und nach ca. 60–90 Sekunden auf „Wird ausgeführt“. Im Log-Tab des Containers erscheinen Zeilen wie ONLYOFFICE Document Server community edition sehen – ohne rote Fehlermeldungen zu JWT oder fehlenden Verzeichnissen.

Schritt 4: Welcome-Page und Healthcheck verifizieren

Prüfen Sie den Betrieb mit zwei Tests, bevor Sie ONLYOFFICE in Nextcloud oder OpenCloud eintragen.

Test 1, Welcome-Page: Öffnen Sie im Browser:

http://NAS-IP:8011

Die ONLYOFFICE-Willkommensseite meldet, dass der Document Server läuft. Bei leerer Seite oder Verbindungsfehler warten Sie weitere 30 Sekunden; der erste Start dauert am längsten.

Test 2, Healthcheck-Endpoint:

http://NAS-IP:8011/healthcheck

Dieser Endpunkt gibt den plaintext-Wert true zurück, wenn alle internen ONLYOFFICE-Dienste betriebsbereit sind. Fahren Sie erst mit Schritt 5 fort, wenn beide Tests erfolgreich sind.

Verifizieren: Welcome-Page zeigt die ONLYOFFICE-Startseite, Healthcheck-URL gibt true zurück. Kein Fehler, keine leere Seite.

Schritt 5: ONLYOFFICE in Nextcloud einbinden

Installieren Sie in Nextcloud über den App Store die offizielle „ONLYOFFICE“-App (Anbieter: ONLYOFFICE; die unterstützten Nextcloud-Versionen nennt der App Store). Wechseln Sie dann in der Nextcloud-Administration zu „ONLYOFFICE“ und tragen Sie Folgendes ein:

Feld	Wert
Document-Editing-Service-Adresse	http://NAS-IP:8011 (intern) oder https://office.example.com (Reverse Proxy)
Sicherheitsschlüssel (JWT Secret)	Identischer Wert wie JWT_SECRET in der compose.yaml
JWT-Header	Authorization (Standard, nur ändern bei Proxy-Konflikten)

Interne vs. externe URL: Laufen Nextcloud und ONLYOFFICE auf demselben NAS, funktioniert die interne IP-Adresse mit Port zuverlässig. Für den Zugriff von außen oder über HTTPS nutzen Sie die Reverse-Proxy-URL; den Nginx Proxy Manager auf der Synology einrichten zeigt die verlinkte Anleitung.

Für OpenCloud: OpenCloud bindet ONLYOFFICE nicht über eine Admin-Oberfläche an, sondern über den Collaboration-Dienst (WOPI), den Sie per Umgebungsvariablen im OpenCloud-Compose-Projekt konfigurieren. Details nennt die OpenCloud-Dokumentation zum Collaboration-Dienst.

Verifizieren: In der Nextcloud-Administration erscheint nach dem Speichern ein grünes Häkchen oder die Meldung „ONLYOFFICE Document Server ist erreichbar“. Öffnen Sie anschließend eine DOCX-Datei in Nextcloud: Sie öffnet sich im Browser im ONLYOFFICE-Editor.

Schritt 6: Reverse Proxy für HTTPS einrichten (optional, empfohlen)

Soll ONLYOFFICE auch von außerhalb des Heimnetzwerks erreichbar sein, richten Sie einen Reverse-Proxy-Eintrag mit HTTPS ein. Der eingebaute Reverse Proxy (DSM > Systemsteuerung > Anmeldeportal > Erweitert > Reverse Proxy) oder der Nginx Proxy Manager eignen sich beide.

Wichtig für WebSocket-Unterstützung: ONLYOFFICE nutzt WebSockets für die Echtzeit-Kollaboration. Ohne die Weiterleitungs-Header Upgrade und Connection im Reverse Proxy öffnen sich Dokumente zwar, aber Änderungen anderer Nutzer erscheinen nicht live. Im Synology Reverse Proxy fügen Sie die Header im Proxy-Eintrag unter „Benutzerdefinierter Header“ > „Erstellen“ > „WebSocket“ hinzu.

Verifizieren: Rufen Sie nach dem Proxy-Setup die HTTPS-URL auf: Die ONLYOFFICE-Welcome-Page muss über HTTPS erreichbar sein und /healthcheck gibt weiterhin true zurück. Tragen Sie die HTTPS-URL anschließend in Nextcloud als neue Document-Editing-Service-Adresse ein.

Bestehende Installation auf ONLYOFFICE Docs 10 aktualisieren

Sichern Sie vor dem Upgrade die drei eingebundenen Verzeichnisse und die Compose-Datei bei gestopptem Projekt. Behalten Sie den vorhandenen JWT_SECRET bei, tragen Sie onlyoffice/documentserver:10.0.0 ein und erstellen Sie das Projekt neu. Die vorhandenen Verzeichnisse bleiben eingebunden. Im Docker-Test beantwortete der Health-Endpunkt nach dem Wechsel von 9.4.0 auf 10.0.0 HTTP 200; auch eine frische Installation startete erfolgreich.

Version 10 ändert die Integrations-APIs: /converter, /docbuilder und /command akzeptieren keinen Token aus der Editor-Konfiguration mehr. Die neuen Upload-Endpunkte /converter/from-file und /docbuilder/from-file verlangen zusätzlich das Feld operation im Token. Prüfen Sie vor dem produktiven Umstieg die Kompatibilität Ihres Nextcloud- oder OpenCloud-Connectors. Für WOPI müssen erlaubte Hosts ausdrücklich in ipfilter stehen; eine alleinige Regel allow: * reicht nicht mehr. Die veralteten Anpassungsparameter reviewDisplay, trackChanges und showReviewChanges entfallen. Prüfen Sie nach dem Update das Öffnen, gemeinsame Bearbeiten und Speichern eines Testdokuments aus Ihrer angebundenen Plattform.

Troubleshooting / Typische Fehler

• „Verbindung zum ONLYOFFICE Document Server fehlgeschlagen“ nach NAS-Neustart: Ursache ist fast immer ein fehlender fester JWT_SECRET. Ohne expliziten Wert wird bei jedem Neustart ein neues Zufalls-Secret generiert. Lösung: Compose-Datei öffnen, JWT_SECRET auf einen festen Wert setzen, Container neu starten, denselben Wert in der Nextcloud-App eintragen.
• Welcome-Page nach dem Start nicht erreichbar (Connection refused): ONLYOFFICE benötigt 60–90 Sekunden für alle internen Dienste. Warten Sie nach dem Container-Start mindestens 90 Sekunden und laden Sie dann neu. Der Healthcheck im Compose-File signalisiert dem Container Manager den echten Bereitstatus.
• Container startet, stirbt aber nach einigen Minuten (OOM-Kill): Das NAS hat zu wenig RAM. ONLYOFFICE benötigt mindestens 4 GB. Prüfen Sie mit free -h in der SSH-Konsole den verfügbaren Arbeitsspeicher. Auf einem DS220+ (2 GB RAM) ist ONLYOFFICE nicht betreibbar.
• Echtzeit-Kollaboration funktioniert nicht (Änderungen anderer erscheinen nicht live): WebSocket-Weiterleitungs-Header im Reverse Proxy fehlen. Im Nginx Proxy Manager oder Synology Reverse Proxy WebSocket-Unterstützung aktivieren (Upgrade- und Connection-Header).
• Container startet nicht, Fehler zu Verzeichnisberechtigungen: Die Volumes konnten nicht beschrieben werden. Ursache: chown -R 33:33 wurde nicht ausgeführt. Lösung: SSH öffnen, sudo chown -R 33:33 /volume1/docker/onlyoffice ausführen, dann Container neu starten.
• Nextcloud zeigt Fehler trotz korrektem JWT_SECRET: Die eingetragene Server-URL ist nicht erreichbar. Prüfen Sie, ob der Firewall-Port 8011 im DSM freigegeben ist oder ob Nextcloud die interne IP statt einer externen URL benötigt.
• DSM-Firewall blockiert Port 8011: Unter DSM > Systemsteuerung > Sicherheit > Firewall eine Regel für TCP-Port 8011 hinzufügen. Schritt-für-Schritt: DSM-Firewall: Ports für Docker-Container freigeben.

Häufige Fragen

Muss ich JWT aktivieren, oder kann ich es deaktivieren?

JWT ist seit v7.2 Standard (JWT_ENABLED=true). Eine Deaktivierung (JWT_ENABLED=false) ist möglich, aber nicht zu empfehlen: Ohne JWT kann jede beliebige Anwendung ohne Authentifizierung auf den Document Server zugreifen. Offizielle Empfehlung: JWT immer aktiv lassen und einen starken, festen JWT_SECRET setzen.

Wie lang muss der JWT_SECRET sein und wie generiere ich ihn sicher?

Es gibt keine Pflichtlänge; empfohlen sind mindestens 32 Zeichen. openssl rand -hex 32 erzeugt 64 Hex-Zeichen (siehe Schritt 2). Denselben Wert tragen Sie in der Nextcloud-ONLYOFFICE-App unter „Sicherheitsschlüssel“ ein.

Kann ich ONLYOFFICE und Nextcloud im gleichen Compose-Projekt betreiben?

Das ist technisch möglich, aber für das Synology NAS nicht empfohlen. Getrennte Compose-Projekte lassen sich unabhängig voneinander neu starten, aktualisieren und debuggen – das ist im Alltag deutlich wartungsfreundlicher. Die Verbindung stellen Sie über die externe Reverse-Proxy-URL her oder über ein gemeinsames Docker-Netzwerk (beide Compose-Projekte im selben benannten Bridge-Netzwerk).

Welches Nextcloud-Plugin benötige ich und wie richte ich es ein?

Die offizielle App „ONLYOFFICE“ des Anbieters ONLYOFFICE aus dem Nextcloud App Store. Einrichtung: siehe Schritt 5.

Ist die Community Edition wirklich kostenlos, und wo sind die Grenzen?

Ja, vollständig kostenlos unter GNU AGPL v3.0 – der vollständige Quellcode ist öffentlich. Es gibt keine harte technische Nutzerbegrenzung, aber die Community Edition ist offiziell für bis zu etwa 20 gleichzeitige Verbindungen ausgelegt. Für Teams, die diese Grenze regelmäßig überschreiten, gibt es Enterprise- und Developer-Editionen mit Support und Clustering-Optionen.

Wie prüfe ich, ob ONLYOFFICE wirklich läuft, bevor ich Nextcloud konfiguriere?

Mit den beiden Tests aus Schritt 4: http://NAS-IP:8011 zeigt die Willkommensseite, http://NAS-IP:8011/healthcheck liefert true.

Welche Synology-NAS-Modelle sind kompatibel?

ONLYOFFICE Docs 10.0.0 ist als Multi-Arch-Image für linux/amd64 und linux/arm64 verfügbar. Synology-Modelle mit Intel- oder AMD-Prozessor (x86_64) sind kompatibel, sofern der Container Manager verfügbar ist. Entscheidender als die CPU-Architektur ist der RAM: Unter 4 GB ist ONLYOFFICE nicht sinnvoll betreibbar.

Fazit

ONLYOFFICE Docs ergänzt Nextcloud oder OpenCloud auf dem Synology NAS um die Bearbeitung von Office-Dokumenten im Browser, quelloffen und ohne externe Cloud. Entscheidend ist ein fester JWT_SECRET: Er sorgt dafür, dass die Integration nach einem NAS-Neustart weiter funktioniert. Welcome-Page und Healthcheck-Endpoint zeigen jederzeit, ob der Dienst läuft.

Weiterführende Anleitungen und Quellen

• Nextcloud mit Docker einrichten (All-in-One): die eigene Cloud – der primäre Anwendungsfall für ONLYOFFICE als Office-Backend
• OpenCloud mit Docker: schlanke ownCloud-/Nextcloud-Alternative – zweite Cloud-Plattform, ebenfalls ONLYOFFICE-kompatibel
• Nginx Proxy Manager auf der Synology: Reverse Proxy und SSL einrichten – für HTTPS-Betrieb und WebSocket-Weiterleitung
• Dockge auf dem Synology NAS installieren: Docker-Compose-Stacks einfach verwalten – Alternative zum integrierten Container Manager

Offizielle Quellen: ONLYOFFICE Docs: Docker-Installationsanleitung · ONLYOFFICE Docs: JWT-Konfiguration · GitHub: ONLYOFFICE/Docker-DocumentServer · Docker Hub: onlyoffice/documentserver