Keepass-Datenbank mit Syncthing und WebDAV synchron halten

Gastartikel von Marc

Wir nutzen in unserer Familie Laptops mit Windows und Linux sowie mobile Apple-Geräte. Auf den Laptops setzen wir ausschließlich Keepass ein und möchten dies auch auf den mobilen Geräten tun.

Synchronisiert werden die Keepass-Datenbanken auf den Laptops per Syncthing, welches auf einem Raspberry Pi im Heimnetz läuft. Die Synchronisation der Keepass-Datenbank über das Dateisystem von iOS funktioniert bei uns nicht sehr zuverlässig. Auf mobilen Geräten wie iPhones sind Anwendungen in einer Sandbox isoliert. iOS-Apps wie Keepassium und Strongbox weisen explizit darauf hin und empfehlen Cloud-Dienste zur Synchronisation. Daneben bieten die zwei Apps aber auch WebDAV an.

Bei der Nutzung von WebDAV in Keepassium oder Strongbox wird beim Öffnen der App der neueste Stand vom Server gezogen. Falls dieser nicht verfügbar ist, wird eine lokale Kopie innerhalb der App-Sandbox geöffnet. Eine super Sache, wenn man offline ist.

Auch auf dem Desktop kann man in KeepassXC eine Datenbank direkt per WebDAV öffnen; durch Eingabe der WebDAV-URL und anschließendem Login. Aber es wird keine lokale Kopie vorgehalten, wie auf den mobilen Anwendungen. Auf den Laptops ist dies auch nicht notwendig, da Syncthing eine lokale Kopie für den Offline-Zugriff auf dem Dateisystem speichert.

Warum also nicht Syncthing und WebDAV kombinieren?

Das Konzept

Syncthing und WebDAV teilen sich einen gemeinsamen Ordner auf dem Raspberry Pi (Server). Hierfür muss ein WebDAV-Server der Wahl eingerichtet sein sowie Syncthing laufen.

Als WebDAV-Server fiel die Wahl auf NGINX in Kombination mit dem dav-Modul. Der Syncthing-Dienst läuft bei uns unter dem User “syncthing” und der WebDAV-Server als “www-data”. Damit beide Dienste auf den gemeinsamen Ordner zugreifen können, werden die User “syncthing” und “www-data” der “Gruppe” des geteilten Ordners hinzugefügt.

$ sudo adduser --system --home /path/to/ --group fileowner
$ sudo usermod -aG fileowner syncthing
$ sudo usermod -aG fileowner www-data

Damit beide Anwendungen dieselben Ordner bzw. Dateien lesen und schreiben können, muss das setgid-bit gesetzt werden. Zusätzlich muss der SystemD-Service von Syncthing angepasst werden, damit neue Dateien/Ordner die richtigen Zugriffsrechte besitzen:

$ sudo chmod g+s /path/to/syncthing
$ sudo systemctl edit syncthing@syncthing

[Service]
Umask=0007

Die Kombination aus WebDAV und Syncthing funktioniert bei uns in der Familie so gut, dass wir es mit der Community teilen möchten.

Quellen

1. https://whhone.com/posts/webdav-syncthing/
2. https://www.heise.de/ratgeber/BASPi-Backup-und-Sync-ohne-Cloud-mit-einem-Raspi-einrichten-9852318.html
3. https://wiki.archlinux.org/title/WebDAV#nginx
4. https://wiki.archlinux.org/title/Syncthing#System_service