Was bauen wir?

Einen dauerhaft laufenden Syncthing-Knoten mit Syncthing v2.1.2 hinter Traefik. Am Ende erreichst du die Weboberfläche verschlüsselt unter deiner Domain, hast sie mit einem Passwort abgesichert und kannst deine Geräte über ihre Geräte-IDs koppeln, sodass ausgewählte Ordner automatisch abgeglichen werden. Anders als Nextcloud ist Syncthing kein zentraler Speicher, sondern ein Peer-to-Peer-Abgleich: Jedes Gerät hält eine vollständige Kopie, der Server ist nur ein besonders zuverlässiger Teilnehmer.

Voraussetzungen

• Ein Server mit laufendem Traefik und Docker Compose
• Eine Subdomain, die auf den Server zeigt – im Folgenden DEINE_DOMAIN
• Die Möglichkeit, in der Firewall den Port 22000 (TCP+UDP) zu öffnen – darüber läuft der eigentliche Sync
• Syncthing auf mindestens einem weiteren Gerät (Desktop, oder die Android-App)

Schritt für Schritt

Schritt 1: Verzeichnisse anlegen – und die Rechte gleich richtig setzen

Syncthing speichert seine Konfiguration und die synchronisierten Daten in zwei Ordnern. Der Container läuft als normaler Benutzer (UID 1000), deshalb müssen die Ordner diesem gehören – das ist die häufigste Startfalle:

mkdir -p /opt/syncthing/config /opt/syncthing/data
chown -R 1000:1000 /opt/syncthing/config /opt/syncthing/data
cd /opt/syncthing

Schritt 2: Compose-Datei

Ersetze DEINE_DOMAIN. Wichtig ist der Unterschied zwischen Weboberfläche und Sync-Verkehr:

services:
  syncthing:
    image: syncthing/syncthing:2.1.5
    restart: unless-stopped
    hostname: koch-server
    environment:
      PUID: '1000'
      PGID: '1000'
    volumes:
      - ./config:/var/syncthing/config
      - ./data:/var/syncthing/Sync
    ports:
      - "22000:22000/tcp"   # Sync-Protokoll (direkt, nicht über Traefik)
      - "22000:22000/udp"   # Sync über QUIC
      - "21027:21027/udp"   # lokale Geräte-Erkennung
    networks: [proxy]
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.syncthing.rule=Host(`DEINE_DOMAIN`)"
      - "traefik.http.routers.syncthing.entrypoints=websecure"
      - "traefik.http.routers.syncthing.tls.certresolver=le"
      - "traefik.http.services.syncthing.loadbalancer.server.port=8384"

networks:
  proxy:
    external: true

Nur die Weboberfläche (Port 8384) läuft über Traefik – dafür sorgen die Labels. Der eigentliche Sync-Verkehr (Port 22000) ist ein eigenes Protokoll, kein HTTP, und wird deshalb direkt über ports: veröffentlicht, nicht über Traefik geleitet. Genau diese Trennung erklärt Docker-Netzwerke verstehen.

Schritt 3: Firewall öffnen und starten

Öffne den Sync-Port in der Firewall (sonst finden sich die Geräte nicht):

ufw allow 22000/tcp
ufw allow 22000/udp

Dann starten:

docker compose up -d

Sobald der Status healthy ist, antwortet die Oberfläche mit gültigem HTTPS:

curl -sI https://DEINE_DOMAIN/ | head -1

HTTP/2 200

Schritt 4: Die Weboberfläche und der wichtige Sicherheitsschritt

Öffne https://DEINE_DOMAIN/. Die Oberfläche ist standardmäßig auf Englisch; du siehst dein Gerät („This Device“) mit seiner Geräte-ID, Version und Status:

Auf einer frischen Installation warnt Syncthing oben mit rotem Banner, dass noch kein GUI-Passwort gesetzt ist – das ist ernst zu nehmen: Ohne Passwort kann jeder, der die Oberfläche erreicht, auf deine Dateien zugreifen. Setze daher sofort unter Actions → Settings → GUI („Aktionen → Einstellungen") einen Benutzernamen und ein starkes Passwort. Danach fordert Syncthing bei jedem Zugriff eine Anmeldung – zusätzlich zum HTTPS von Traefik.

Schritt 5: Ein zweites Gerät koppeln

Syncthing verbindet Geräte über ihre Geräte-ID – einen langen, eindeutigen Schlüssel. Die Kopplung ist beidseitig: Jedes Gerät muss das andere kennen. Klicke auf Add Remote Device („Entferntes Gerät hinzufügen“):

Die ID des anderen Geräts findest du dort unter Actions → Show ID („Aktionen → Meine ID“) als Text und QR-Code. Trage sie hier ein, vergib einen Namen und speichere. Auf dem anderen Gerät wiederholst du das mit der ID deines Servers. Sobald beide Seiten sich kennen, erscheint das Gerät als „verbunden“.

Schritt 6: Einen Ordner teilen

Jetzt legst du fest, was abgeglichen wird. Über Add Folder („Ordner hinzufügen“) wählst du einen Pfad (auf dem Server z. B. /var/syncthing/Sync/dokumente, was dem gemounteten ./data-Ordner entspricht) und gibst ihm eine Ordner-ID. Unter dem Reiter Sharing („Teilen“) hakst du die Geräte an, mit denen der Ordner synchronisiert werden soll. Auf dem anderen Gerät bestätigst du die eingehende Freigabe – ab dann hält Syncthing beide Seiten automatisch identisch.

Wenn es nicht funktioniert

Wartung & Backups

• Updates. Setze den Image-Tag (syncthing/syncthing:2.1.5) gelegentlich auf die aktuelle Version und docker compose up -d. Syncthing hält sich innerhalb einer Hauptversion kompatibel; beim Sprung auf eine neue Hauptversion (wie hier v2) vorher die Release-Notes lesen. Den Rest erledigt dein normaler Update-Prozess.
• Backup ist Pflicht – Sync ist kein Backup. Das ist der wichtigste Punkt: Syncthing spiegelt Änderungen, also auch versehentliches Löschen und Verschlüsselung durch Ransomware. Sichere den Sync-Ordner deshalb zusätzlich mit einem echten, versionierten Backup, das der Sync nicht erreichen kann – etwa Restic auf dem Server. Auch der config-Ordner (Geräte-IDs, Ordnerfreigaben) gehört ins Backup.
• Ehrlicher Aufwand. Einmal eingerichtet läuft Syncthing sehr wartungsarm. Behalte den Speicherplatz im Blick (df -h), wenn du große Ordner mit Versionierung abgleichst, und miste alte .stversions-Ordner gelegentlich aus.