Was bauen wir?

Am Ende läuft Jellyfin 10.11 als Container auf deinem Server, erreichbar unter https://jellyfin.DEINE_DOMAIN mit gültigem HTTPS. Jellyfin ist ein komplett freier Medienserver (keine Cloud, keine Telemetrie, kein Abo): Du legst deine Dateien ab, Jellyfin zieht automatisch Cover, Beschreibungen und Metadaten und streamt alles an Browser, Handy, Smart-TV oder die Jellyfin-App.

Die eigentliche Herausforderung bei einem Medienserver ist Speicherplatz – eine Filmsammlung sprengt die kleine System-SSD eines VPS schnell. Deshalb binden wir netcups Local Block Storage ein: eine zusätzliche, lokale Festplatte, die im Server wie ein normales Laufwerk erscheint und auf der die Mediathek liegt.

Voraussetzungen

• Ein laufender Traefik-Reverse-Proxy mit dem proxy-Netzwerk und dem Resolver le – siehe Reverse Proxy mit Traefik.
• Eine Subdomain jellyfin.DEINE_DOMAIN mit DNS-Record auf deine Server-IP – siehe Domain mit Server verbinden.
• Dedizierte CPU-Kerne sind für flüssiges Streaming klar im Vorteil (Transcoding). Auf einem geteilten VPS geht es für Direct Play auch, wird bei Umrechnung aber schnell eng.
• Optional, aber empfohlen: gebuchter netcup Local Block Storage für die Mediathek (Schritt 2). Ohne ihn legst du die Medien einfach in einen Ordner auf der System-Disk – bis der Platz ausgeht.
• Ein paar eigene Medien-Dateien (Filme/Serien/Musik), die du hosten darfst.

Ob dein Setup wirklich dedizierte Kerne braucht, zeigt dir der Server-Rechner – bei Transcoding lautet die Antwort meist ja.

Schritt für Schritt

Schritt 1: DNS-Record anlegen

Lege jellyfin.DEINE_DOMAIN an (A/AAAA auf deine Server-IP) und prüfe, dass er auflöst:

dig +short jellyfin.DEINE_DOMAIN

Es muss deine Server-IP zurückkommen – sonst holt Traefik später kein Zertifikat.

Schritt 2: netcup Local Block Storage einbinden

Der Local Block Storage ist zusätzlicher Speicher, den du im netcup-Kundenkonto zu deinem Server dazubuchst. Anders als der netzgebundene Storage Space anderer Anbieter (der per NFS angebunden wird und langsamer ist) erscheint er im Server als ganz normale lokale Festplatte – ideal für eine Mediathek, weil schnell und beliebig partitionierbar.

Sieh dir zuerst an, welche Festplatten der Server kennt:

sudo fdisk -l

Die System-Disk ist typischerweise /dev/sda (bzw. /dev/vda). Der neue Block Storage taucht als zusätzliches Gerät auf, meist /dev/vdb – erkennbar an der Größe, die du gebucht hast.

Lege eine Partition auf der neuen Disk an (hier /dev/vdb):

sudo cfdisk /dev/vdb

Wähle bei der Abfrage gpt (der moderne Standard – dos/MBR kann maximal 2 TiB adressieren, Mediatheken wachsen gern darüber hinaus), dann New, nimm die volle Größe, und schreib die Tabelle mit Write (tippe yes), danach Quit. Es entsteht die Partition /dev/vdb1. Formatiere sie mit einem ext4-Dateisystem:

sudo mkfs.ext4 /dev/vdb1

Erstelle einen Mount-Punkt und häng die Partition ein:

sudo mkdir -p /mnt/media
sudo mount /dev/vdb1 /mnt/media

Damit die Disk auch nach einem Reboot automatisch eingehängt wird, trägst du sie mit ihrer UUID (nicht mit /dev/vdb1, das kann sich ändern) in die /etc/fstab ein. UUID auslesen:

sudo blkid /dev/vdb1

/dev/vdb1: UUID="a1b2c3d4-...." TYPE="ext4" ...

Öffne die fstab und häng die Zeile mit deiner UUID an:

sudo nano /etc/fstab

UUID=a1b2c3d4-....   /mnt/media   ext4   defaults   0   2

Prüfe die Einträge, bevor du dich auf den Reboot verlässt – ein Tippfehler in der fstab kann den Bootvorgang blockieren:

sudo umount /mnt/media && sudo mount -a && df -h /mnt/media

Kommt hier keine Fehlermeldung und zeigt df -h deine neue Disk unter /mnt/media, ist alles korrekt eingetragen.

Schritt 3: Projekt und Medien-Ordner anlegen

Leg das Compose-Projekt an – die Konfiguration ist klein und darf auf die System-Disk. Die Unterordner config und cache legst du dabei gleich mit an, bevor der Container das erste Mal startet: Würde erst der Docker-Daemon sie erzeugen, gehörten sie root – Jellyfin läuft aber als UID 1000 (siehe Schritt 4) und könnte in sein eigenes /config nicht schreiben, der Container würde beim ersten Start abstürzen.

mkdir -p ~/jellyfin/{config,cache} && cd ~/jellyfin

Und die Ordnerstruktur für die Mediathek auf dem Block Storage. Jellyfin sortiert am besten, wenn Film, Serie und Musik getrennt liegen:

sudo mkdir -p /mnt/media/{filme,serien,musik}

Damit der Jellyfin-Container die Dateien lesen darf, müssen sie deinem Benutzer gehören. Ermittle deine User- und Gruppen-ID (meist 1000) und übereigne den Ordner:

id -u && id -g
sudo chown -R 1000:1000 /mnt/media

Kopiere jetzt deine Medien in die passenden Unterordner (per scp, rsync oder einem SFTP-Client). Für eine saubere Erkennung hilft eine klare Benennung, z. B. filme/Der Pate (1972)/Der Pate (1972).mkv.

Schritt 4: Die compose.yaml

Jetzt die zentrale Datei. Ersetze jellyfin.DEINE_DOMAIN durch deine Subdomain:

services:
  jellyfin:
    image: jellyfin/jellyfin:10.11.11
    user: "1000:1000"
    environment:
      - JELLYFIN_PublishedServerUrl=https://jellyfin.DEINE_DOMAIN
    volumes:
      - ./config:/config
      - ./cache:/cache
      - /mnt/media:/media:ro
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.jellyfin.rule=Host(`jellyfin.DEINE_DOMAIN`)"
      - "traefik.http.routers.jellyfin.entrypoints=websecure"
      - "traefik.http.routers.jellyfin.tls.certresolver=le"
      - "traefik.http.services.jellyfin.loadbalancer.server.port=8096"
    networks:
      - proxy
    restart: unless-stopped

networks:
  proxy:
    external: true

Was die Zeilen bedeuten:

• image: …:10.11.11 – die feste, aktuelle Stable-Version. Kein latest (siehe „Wartung & Backups").
• user: "1000:1000" – Jellyfin läuft mit deiner User-/Gruppen-ID, damit es die Medien lesen kann. Passt du in Schritt 3 andere IDs an, hier ebenfalls ändern.
• JELLYFIN_PublishedServerUrl – sagt Jellyfin, unter welcher öffentlichen Adresse es erreichbar ist. Das verhindert, dass App-Links plötzlich auf eine interne IP zeigen.
• volumes: config (Einstellungen, Nutzer, Metadaten) und cache liegen klein im Projektordner; die Mediathek wird vom Block Storage unter /mnt/media als /media in den Container gehängt – :ro (read-only), damit Jellyfin deine Originale niemals verändert.
• Die vier Traefik-Labels sind das bekannte Muster. Neu ist nur der Port: Jellyfin lauscht auf 8096, deshalb das loadbalancer.server.port-Label. Ohne es gäbe es einen 502 Bad Gateway.
• Kein ports: – Jellyfin ist ausschließlich über Traefik (HTTPS) erreichbar, nicht direkt aus dem Internet.

Starte den Stack und sieh beim Hochfahren zu:

docker compose up -d
docker compose logs -f jellyfin

Beim ersten Start braucht die Zertifikatsausstellung ein paar Sekunden. Sobald im Log Startup complete erscheint, ist Jellyfin bereit.

Schritt 5: Der Ersteinrichtungs-Assistent

Ruf https://jellyfin.DEINE_DOMAIN im Browser auf. Beim allerersten Aufruf führt dich ein Assistent durch die Grundeinrichtung:

1. Sprache wählen (Deutsch).
2. Ein Administrator-Konto anlegen – vergib ein langes, einmaliges Passwort, denn die Anmeldeseite steht öffentlich im Netz.
3. Medienbibliotheken hinzufügen: Klick „Medienbibliothek hinzufügen", wähl den Typ (z. B. Filme), und trag als Ordner den Container-Pfad ein – also /media/filme (nicht /mnt/media/filme, das ist der Pfad auf dem Host!). Wiederhole das für serien und musik.
4. Metadaten-Sprache auf Deutsch stellen, den Rest kannst du übernehmen.

Nach dem Assistenten scannt Jellyfin die Ordner und lädt Cover und Beschreibungen. Bei großen Sammlungen dauert der erste Scan etwas – den Fortschritt siehst du unter Dashboard → Geplante Aufgaben. Danach landest du auf der Startseite und siehst deine Mediathek mit den ersten Titeln:

Schritt 6: Jellyfin hinter dem Proxy sauber konfigurieren

Zwei Einstellungen sorgen dafür, dass Jellyfin hinter Traefik korrekt arbeitet. Öffne Dashboard → Netzwerk:

• Unter Bekannte Proxys / Known proxies trägst du das Traefik-Netzwerk ein, damit Jellyfin die echte Client-IP sieht (statt der Container-IP von Traefik). Das Subnetz ermittelst du mit:

  Terminal

  docker network inspect proxy --format '{{ (index .IPAM.Config 0).Subnet }}'

  Trag den zurückgegebenen Bereich (z. B. 172.19.0.0/16) dort ein.

• HTTPS: Da Traefik die Verschlüsselung übernimmt, muss Jellyfin selbst kein TLS machen. Lass die HTTPS-Optionen in Jellyfin leer – alles läuft über den Proxy.

WebSockets (für Live-Updates der Oberfläche) leitet Traefik automatisch weiter, da ist nichts zu tun.

Schritt 7: Transcoding vs. Direct Play

Ob dein Server ins Schwitzen kommt, entscheidet sich hier. Zwei Fälle:

• Direct Play – das Endgerät kann die Datei so abspielen, wie sie ist. Der Server schiebt nur Bytes durch, fast keine CPU-Last. Das ist der Idealfall.
• Transcoding – Format, Codec oder Bitrate passen nicht zum Gerät (oder die Leitung ist zu langsam), also rechnet Jellyfin live um. Auf einem netcup-Server passiert das über die CPU – bei einem 4K-Stream kann das einen ganzen Server auslasten.

So hältst du die Last niedrig:

• Passende Formate bereitstellen: H.264/AAC in einem .mp4/.mkv spielt praktisch jedes Gerät direkt ab. Exotische Codecs (z. B. bestimmte 4K-HEVC-Tonspuren) erzwingen Transcoding.
• Client-Qualität in der App auf „Original/Direct Play" stellen, wenn die Leitung reicht.
• Unter Dashboard → Wiedergabe kannst du die Transcoding-Einstellungen und ein Limit für gleichzeitige Streams setzen.

Wenn es nicht funktioniert

Symptom: 502 Bad Gateway beim Aufruf, obwohl der Container läuft.

Ursache & Lösung: Traefik erreicht den Container, trifft aber den falschen Port. Jellyfin lauscht auf 8096 – das Label traefik.http.services.jellyfin.loadbalancer.server.port=8096 muss gesetzt sein. Prüfe außerdem, dass Jellyfin im proxy-Netzwerk hängt.

Symptom: Die Bibliotheken bleiben leer, obwohl Dateien da sind.

Ursache & Lösung: Fast immer ein Rechte-Problem. Der Container läuft als 1000:1000 (Schritt 4), die Medien müssen also diesem Benutzer gehören: sudo chown -R 1000:1000 /mnt/media. Und: In Jellyfin muss der Container-Pfad stehen (/media/filme), nicht der Host-Pfad. Danach unter Dashboard → Geplante Aufgaben „Alle Bibliotheken scannen" starten.

Symptom: Video ruckelt/puffert, docker stats zeigt Jellyfin bei ~100 % CPU.

Ursache & Lösung: Es wird transcodiert. Unter Dashboard → Wiedergabe siehst du im Aktivitätsmonitor, ob „Transcode" statt „Direct Play" steht. Stell die Client-Qualität auf Original, stell exotische Codecs auf ein breit unterstütztes Format um, oder gib dem Server mehr (dedizierte) Kerne.

Symptom: Nach einem Reboot ist die Mediathek weg und Jellyfin zeigt leere Ordner.

Ursache & Lösung: Der Block Storage wurde nicht eingehängt – meist ein fehlender oder falscher fstab-Eintrag (Schritt 2). Prüfe mit df -h /mnt/media und sudo mount -a. Die Zeile muss die UUID verwenden, nicht /dev/vdb1.

Symptom: Login-Seite lädt, aber die App findet den Server nicht / Links zeigen auf eine interne Adresse.

Ursache & Lösung: JELLYFIN_PublishedServerUrl fehlt oder ist falsch. Setz sie in der compose.yaml auf https://jellyfin.DEINE_DOMAIN und starte mit docker compose up -d neu (ein restart reicht nicht, damit die Environment-Änderung greift).

Wartung & Backups

• Updates bewusst einspielen. Der feste Tag (jellyfin:10.11.11) bedeutet: Du entscheidest, wann aktualisiert wird. Tag hochsetzen → docker compose pull → docker compose up -d. Vor dem Sprung auf eine neue Hauptversion die Release-Notes lesen – Datenbank-Migrationen sind nicht immer umkehrbar.
• Config sichern, Medien getrennt behandeln. Das config-Volume (Nutzer, Einstellungen, Wiedergabe-Status, Metadaten) ist klein und der eigentlich wertvolle Teil – sichere es verschlüsselt off-site mit Restic. Die Mediathek selbst ist meist zu groß fürs klassische Backup und aus den Original-Datenträgern reproduzierbar; entscheide bewusst, ob du sie sicherst oder als „ersetzbar" einstufst. Ehrlich: Ein zweites Backup deiner Filmsammlung kostet richtig Speicher.
• Plattenplatz überwachen. Eine Mediathek wächst stetig. Behalte die Belegung im Blick (df -h /mnt/media) und richte am besten einen Monitor in Uptime Kuma ein, der Alarm schlägt, bevor der Block Storage voll ist.
• Öffentlich erreichbar = absichern. Die Anmeldeseite steht im Netz, und Jellyfin bringt keine Zwei-Faktor-Authentifizierung mit (auch nicht per offiziellem Plugin). Vergib deshalb konsequent starke Passwörter, deaktiviere ungenutzte Konten – und überlege bei rein privater Nutzung, Jellyfin gar nicht öffentlich, sondern nur über ein VPN erreichbar zu machen.