Starte hier: der Selfhosting-Lernpfad
Der geführte Weg vom frisch bestellten Server bis zum fertigen Selfhosting-Stack – alle Serverküche-Rezepte in der richtigen Reihenfolge.
Selfhosting wirkt am Anfang wie ein großer Berg – ist aber nur eine Kette kleiner, aufeinander aufbauender Schritte. Dieser Pfad führt dich in der richtigen Reihenfolge durch alle Rezepte der Serverküche: von der ersten Server-Einrichtung über die Absicherung bis zu fertig servierten Anwendungen. Jedes Tutorial setzt genau das voraus, was du im vorherigen aufgebaut hast – du landest nie auf einer Seite, deren Grundlagen dir noch fehlen.
Du musst nicht alles der Reihe nach machen: Bist du schon weiter, spring direkt zum passenden Abschnitt. Neu dabei? Fang oben an.
1 · Server startklar machen
Vom bestellten Server zum sauber eingerichteten Grundsystem.
- Erste Schritte mit einem netcup VPS Einsteiger · ca. 30 Minuten
netcup VPS bestellt – und jetzt? Per SSH einloggen, Updates einspielen, sudo-Benutzer anlegen und testen: das sichere Fundament auf Debian 13 in 30 Minuten.
- SSH-Zugang absichern Einsteiger · ca. 20 Minuten
Schlüssel-Login statt Passwort und root-Login sperren: die wichtigsten Handgriffe, um die Eingangstür zu deinem Server zu härten.
- Eine Domain mit dem Server verbinden (DNS-Grundlagen) Einsteiger · ca. 20 Minuten
A- und AAAA-Records, TTL und Propagation verständlich erklärt: So zeigt deine eigene Domain auf deinen Server – die Voraussetzung für HTTPS mit Traefik.
2 · Absichern & sichern
Firewalls, automatische Updates, Brute-Force-Schutz und echte Off-Site-Backups.
- Firewall mit UFW einrichten Einsteiger · ca. 15 Minuten
Mit UFW in wenigen Minuten eine Host-Firewall aufsetzen: alles blocken außer SSH, HTTP und HTTPS – ohne dich dabei selbst auszusperren.
- netcup-Firewall einrichten Fortgeschritten · ca. 25 Minuten
Die netcup-Firewall als Netzwerk-Schutz vor dem Server einrichten: komponierbare Policy-Templates im SCP – mit dem Kniff für stateless UDP (DNS & NTP).
- unattended-upgrades einrichten Einsteiger · ca. 20 Minuten
Debian installiert Sicherheitsupdates automatisch: unattended-upgrades einrichten, den Neustart steuern und prüfen, dass es wirklich läuft.
- Fail2ban einrichten Fortgeschritten · ca. 40 Minuten
Fail2ban überwacht deine Logs und sperrt IPs nach zu vielen Fehlversuchen – mit sicherer Whitelist für die eigene Adresse, damit du dich nicht aussperrst.
- netcup Server Control Panel: Snapshots, Konsole & Rettung Einsteiger · ca. 15 Minuten
Snapshot im netcup SCP anlegen, zurückspielen und als .zst herunterladen – plus VNC-Konsole und Rettungssystem, wenn SSH dich aussperrt. In 15 Minuten.
- Restic-Backups einrichten: verschlüsselt und off-site Fortgeschritten · ca. 45 Minuten
Off-Site-Backups mit Restic: verschlüsselt einrichten, Snapshots wiederherstellen, mit Retention aufräumen und per systemd-Timer automatisieren.
3 · Das Docker-Fundament
Container verstehen und Apps mit automatischem HTTPS erreichbar machen – das Muster, das jede App danach wiederverwendet.
- Docker auf Debian installieren Einsteiger · ca. 15 Minuten
Docker Engine und Docker Compose sauber aus dem offiziellen Repository installieren – die Basis für die meisten Selfhosting-Rezepte.
- Docker Compose verstehen: Services, Volumes, Netzwerke Fortgeschritten · ca. 40 Minuten
compose.yaml erklärt: Services, Volumes, Netzwerke und Variablen – das Docker-Vokabular, auf dem jedes App-Rezept der Serverküche aufbaut.
- Traefik einrichten Fortgeschritten · ca. 60 Minuten
Traefik als Reverse Proxy vor deinen Containern, mit automatischen Let's-Encrypt-Zertifikaten: Jede App bekommt Domain und HTTPS über ein paar Labels.
4 · Erste Anwendungen
Die Dienste, für die du selbst hostest – jeder nach demselben Traefik-Rezept.
- Uptime Kuma installieren Fortgeschritten · ca. 45 Minuten
Uptime Kuma hinter Traefik aufsetzen und deine Dienste überwachen: Monitore, Benachrichtigungen und eine Status-Seite – die erste echte App der Serie.
- Vaultwarden: eigener Passwortmanager hinter Traefik Fortgeschritten · ca. 45 Minuten
Vaultwarden selbst hosten: ein schlanker, Bitwarden-kompatibler Passwortmanager hinter Traefik mit HTTPS, Admin-Panel und verschlüsseltem Backup.
- Nextcloud selbst hosten Fortgeschritten · ca. 60 Minuten
Nextcloud mit Docker hinter Traefik aufsetzen: eigene Cloud für Dateien, Kalender und Kontakte – mit MariaDB, Redis und automatischem HTTPS.
- Nextcloud absichern (Teil 2) Fortgeschritten · ca. 45 Minuten
Die Admin-Übersicht deiner Nextcloud grün bekommen: HSTS-Header, E-Mail-Versand, Zwei-Faktor-Pflicht und Brute-Force-Schutz mit echten IPs einrichten.
- Immich selbst hosten Fortgeschritten · ca. 60 Minuten
Immich mit Docker hinter Traefik aufsetzen: die selbst gehostete Alternative zu Google Fotos – mit Handy-Backup und automatischem HTTPS.
- Paperless-ngx selbst hosten: papierloses Büro mit OCR Fortgeschritten · ca. 60 Minuten
Paperless-ngx mit Docker hinter Traefik aufsetzen: Dokumente per OCR durchsuchbar archivieren – mit Volltextsuche, Tags und automatischem Import.
- Jellyfin selbst hosten Fortgeschritten · ca. 60 Minuten
Jellyfin mit Docker hinter Traefik aufsetzen: deine Filme, Serien und Musik streamen – mit HTTPS und der Mediathek auf netcups Local Block Storage.
5 · Betrieb & Profi
Vom Bastler zum Betreiber: Monitoring, moderne Angriffsabwehr, Update-Disziplin und privater VPN-Zugang.
- Monitoring mit Grafana & Prometheus Profi · ca. 60 Minuten
Ein vollständiger Monitoring-Stack aus Prometheus, node-exporter, cAdvisor und Grafana hinter Traefik – mit Live-Metriken zu Host und Containern.
- CrowdSec: moderne, kollaborative Angriffsabwehr Profi · ca. 45 Minuten
CrowdSec mit dem Traefik-Bouncer einrichten: Angriffe aus den Zugriffs-Logs erkennen, Angreifer per 403 blocken und von der Community-Blocklist profitieren.
- Den ganzen Docker-Stack sicher aktuell halten Profi · ca. 40 Minuten
Update-Disziplin für deinen Docker-Stack: Versionen pinnen, mit Diun über Updates informiert werden, sicher einspielen, aufräumen – statt blindem Auto-Update.
- WireGuard-VPN einrichten Fortgeschritten · ca. 40 Minuten
Ein schlankes WireGuard-VPN nativ auf dem netcup-Server: Schlüssel, Konfig, Firewall, Handy-QR – plus der Docker-Fallstrick beim Full-Tunnel.
Noch vor dem ersten Rezept
Noch keinen Server? Der Server-Rechner schätzt dir RAM- und CPU-Bedarf für deine geplanten Dienste, und die netcup-Empfehlung erklärt den Unterschied zwischen VPS, VPS Lite und Root-Server.