FreshRSS: der eigene RSS-Reader

RSS ist das beste Nachrichtenformat, das die meisten vergessen haben: Du abonnierst Quellen direkt, ohne Algorithmus, ohne Werbung, ohne dass jemand mitliest, was du liest. FreshRSS bündelt all deine Quellen an einem selbstgehosteten Ort – und synchronisiert sogar mit den RSS-Apps auf dem Handy.

Was bauen wir?

Einen eigenen RSS-Reader mit FreshRSS (v1.30.4) hinter Traefik, der deine Nachrichtenquellen sammelt und im Hintergrund per Cron aktuell hält. Am Ende liest du Nachrichtenseiten, Blogs und Podcast-Feeds an einem Ort, gruppiert in Kategorien – und kannst über die eingebaute Google-Reader-API mobile Apps wie Reeder oder FeedMe anbinden. FreshRSS ist erfrischend leichtgewichtig: Es genügt SQLite, keine separate Datenbank nötig.

Voraussetzungen

• Ein Server mit laufendem Traefik und Docker Compose
• Eine Subdomain, die auf den Server zeigt – im Folgenden DEINE_DOMAIN (z. B. rss.DEINE_DOMAIN)

Schritt für Schritt

Schritt 1: Compose-Datei anlegen

FreshRSS speichert alles in einem data-Verzeichnis (SQLite-Datenbank, Konfiguration, Cache). Lege das Projekt an:

mkdir -p /opt/freshrss && cd /opt/freshrss

Die compose.yaml – ersetze DEINE_DOMAIN:

services:
  freshrss:
    image: freshrss/freshrss:1.30.4
    restart: unless-stopped
    volumes:
      - ./data:/var/www/FreshRSS/data
      - ./extensions:/var/www/FreshRSS/extensions
    environment:
      TZ: Europe/Berlin
      CRON_MIN: '13,43'
    networks: [proxy]
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.freshrss.rule=Host(`DEINE_DOMAIN`)"
      - "traefik.http.routers.freshrss.entrypoints=websecure"
      - "traefik.http.routers.freshrss.tls.certresolver=le"
      - "traefik.http.routers.freshrss.middlewares=freshrss-nur-ich"
      - "traefik.http.middlewares.freshrss-nur-ich.ipallowlist.sourcerange=DEINE_IPV4/32,DEIN_IPV6_PRAEFIX::/64"
      - "traefik.http.services.freshrss.loadbalancer.server.port=80"

networks:
  proxy:
    external: true

CRON_MIN ist ein nettes Detail des offiziellen Images: Der Start-Code schreibt daraus einen Cron-Eintrag im Container, der die Feeds zu den genannten Minuten (hier 13 und 43 jeder Stunde) automatisch aktualisiert – du brauchst keinen externen Timer.

Die beiden Verzeichnisse data und extensions legst du nicht selbst an: Der Container erzeugt sie beim ersten Start und setzt die Rechte selbst (root:www-data, Gruppenschreibrecht – zur Einordnung siehe Benutzer & Rechte). Das gilt auch auf gehärteten Servern mit UMASK 027.

freshrss-nur-ich lässt bis zum Ende der Einrichtung nur deine eigene Adresse durch, alle anderen bekommen 403 Forbidden. Solange noch kein Admin-Konto existiert, gehört die Instanz sonst dem, der die Seite zuerst aufruft – und Scanner finden neue Hostnamen über die öffentlichen Zertifikats-Logs mitunter schon Sekunden nach dem Start. Deine Adressen fragst du auf deinem eigenen Rechner ab, nicht auf dem Server: curl -4 -s https://ifconfig.me für die IPv4, curl -6 -s https://ifconfig.me für die IPv6 (davon die ersten vier Blöcke). Hast du kein IPv6, lass den zweiten Eintrag samt Komma weg – aber nur dann: Browser gehen bevorzugt per IPv6, und eine reine IPv4-Liste sperrt dich selbst aus. Mehr dazu in Traefik härten.

Schritt 2: Starten

docker compose up -d

Ein Blick auf den Containerstatus – Up und Port 80 nur containerintern, nach außen geht alles über Traefik:

docker compose ps

NAME                  IMAGE                      COMMAND                  SERVICE    CREATED          STATUS          PORTS
freshrss-freshrss-1   freshrss/freshrss:1.30.4   "./Docker/entrypoint…"   freshrss   11 seconds ago   Up 10 seconds   80/tcp

Prüfe von deinem eigenen Rechner aus, dass FreshRSS mit gültigem HTTPS antwortet (die 302 ist die Weiterleitung zum Installations-Assistenten; vom Server aus kommt wegen freshrss-nur-ich nur 403):

curl -sI https://DEINE_DOMAIN/ | head -1

HTTP/2 302

Kommt hier ein Zertifikatsfehler statt der 302, hat Traefik das Zertifikat noch nicht – das dauert nach dem ersten Start ein paar Sekunden.

Schritt 3: Der Installations-Assistent

Öffne https://DEINE_DOMAIN/ im Browser. Der Assistent führt dich in fünf Schritten durch die Einrichtung – Sprache, Überprüfungen, Datenbank, allgemeine Konfiguration, Abschluss:

Schritt 2 listet die PHP- und Dateirechte-Prüfungen auf; mit dem offiziellen Image stehen dort nur grüne „OK!"-Zeilen, auch für das data-Verzeichnis. Wähle als Datenbanktyp SQLite (keine weiteren Angaben nötig), als Authentifizierung Webformular und lege dein Administrator-Konto mit einem starken Passwort an. Der letzte Schritt bestätigt „Glückwunsch! Der Installationsvorgang war erfolgreich." – erst der Klick auf Installation fertigstellen schließt die Einrichtung ab und bringt dich zur Anmeldung.

Ist die Installation fertiggestellt, nimm die Sperre wieder heraus: Lösch in der compose.yaml die beiden Zeilen mit freshrss-nur-ich und übernimm die Änderung:

docker compose up -d

Schritt 4: Erste Feeds abonnieren

Klicke oben links auf Abonnementverwaltung → Feed oder Kategorie hinzufügen. Trage die Feed-URL einer Quelle ein (z. B. https://www.heise.de/rss/heise-atom.xml) und ordne sie einer Kategorie zu. FreshRSS erkennt das Feed-Format automatisch. Nach dem Hinzufügen mehrerer Quellen sieht die Verwaltung so aus:

Schritt 5: Lesen

Zurück in der Leseansicht sammelt FreshRSS die Artikel aller Quellen chronologisch, gruppiert nach Kategorie. Ungelesene Zähler pro Feed, Sternchen für Favoriten, Volltextsuche – alles da:

Schritt 6: Handy-Apps anbinden (optional)

FreshRSS spricht die Google-Reader-API, sodass viele mobile Apps es als Sync-Backend nutzen können. Das sind zwei Schalter, nicht einer – und genau daran scheitert die erste App-Anmeldung meistens.

Zuerst der serverweite Schalter: Einstellungen → Administration → Authentifizierung → API-Zugriff erlauben, dann speichern. FreshRSS fragt vor den Administrationsseiten noch einmal dein Passwort ab; diese erneute Anmeldung gilt danach 20 Minuten.

Danach das persönliche Passwort: Einstellungen → Profil → API-Zugriff, dort ein eigenes API-Passwort vergeben – nicht dein Anmeldepasswort, denn es wird im Klartext übertragen und kann in Server-Logs landen. Auf derselben Seite verlinkt FreshRSS die Statusseite https://DEINE_DOMAIN/api/, die dir die korrekte API-Adresse nennt und die Konfiguration selbst testet.

In der App (z. B. Reeder, FeedMe, NetNewsWire) wählst du „FreshRSS“ oder „Google Reader API“, trägst https://DEINE_DOMAIN/api/greader.php, deinen Benutzernamen und das API-Passwort ein – und liest unterwegs synchron weiter.

Wenn es nicht funktioniert

Dein Problem ist nicht dabei? Alle Fehlermeldungen durchsuchen →

Wartung & Backups

• Updates. Setze den Image-Tag (freshrss/freshrss:1.30.4) auf die neue Version, dann docker compose pull && docker compose up -d; FreshRSS wandert seine Datenbank beim Start automatisch mit. Größere Sprünge kündigt das Projekt in den Release-Notes an – 1.30 war etwa eine Sicherheitsversion mit einer bewussten Verschärfung (siehe Kasten zu lokalen Feeds). Den Rest erledigt dein normaler Update-Prozess.
• Backup. Der gesamte Zustand liegt im data-Ordner (SQLite-Datenbank + Konfiguration). Ihn ins Restic-Backup aufnehmen – dann sind Abos, Kategorien und gelesene Markierungen gesichert. Eine laufende SQLite-Datei kopiert man aber ungern mitten im Schreibvorgang: docker compose exec -u www-data freshrss ./cli/db-backup.php legt vorher eine konsistente Kopie als data/users/<benutzer>/backup.sqlite ab, die dein Backup dann einsammelt. Zusätzlich lohnt ein regelmäßiger OPML-Export deiner Feed-Liste als menschenlesbares, reader-unabhängiges Backup.
• Aufwand ist gering. FreshRSS ist ein „einmal einrichten, dann läuft es"-Dienst. Die einzige wiederkehrende Aufgabe ist das Pflegen deiner Feed-Liste – unter Statistiken → Inaktive Feeds siehst du gebündelt, welche Quellen seit Monaten nichts mehr geliefert haben, und mistest sie aus.