Bezpečnost konečného řešení není jen o Nextcloudu, ale o nastavení celého serveru. Myslím si, že Nextcloud je na tom s bezpečností dobře. Hodně ho používají vládní organizace, má různé certifikace, podporuje nejrůznější dvoufaktorové autentizace apod. Pokud máte vše správně nastavené a aktualizované, nemyslím si, že byste podstupoval nějaké zvýšené bezpečnostní riziko.
Nextcloud s tím správným nastavením dost pomáhá díky bohaté dokumentaci, kde jsou nejrůznější tipy na security hardening. Mají i službu, v které si svoji instanci můžete "oskenovat", jak se z pohledu bezpečnosti jeví z venku.
Schovávat to za VPN by bylo opravdu hodně krkolomné.