25 Self-Hosted-Apps, die sich 2026 wirklich lohnen

Was Sie aufbauen

Keine einzelne Anwendung, sondern eine Auswahlliste. Dies ist die zentrale Übersicht für alle anderen Inhalte auf dieser Website: fünfundzwanzig Anwendungen, die es sich 2026 wirklich lohnt, auf einem eigenen VPS zu betreiben, gruppiert nach ihrer Aufgabe. Für jede Anwendung erhalten Sie den Dienst, den sie ersetzt, eine realistische Angabe zu RAM- und Speicherbedarf sowie den einen Punkt, der Ihnen Probleme bereitet, wenn Sie ihn überspringen. Die Links führen zum vollständigen Schritt-für-Schritt-Leitfaden, sofern einer vorhanden ist.

Ich betreibe seit fünfzehn Jahren einen VPS-Host und setze die meisten dieser Anwendungen auf meinen eigenen Systemen ein. Die folgenden Ressourcenangaben entsprechen daher dem tatsächlichen Verbrauch der Anwendungen unter einer kleinen realen Arbeitslast und nicht dem auf einer Marketingseite genannten „Mindestbedarf“. Betrachten Sie die Werte als Budget und planen Sie zusätzlich Reserven ein.

Voraussetzungen und die ehrliche Realität

Jede Anwendung hier läuft auf einem frischen Ubuntu 24.04 KVM VPS mit root oder sudo. Dieselbe Liste funktioniert genauso gut auf einem Server in Ihrem eigenen Schrank. Wenn Sie die monatliche Miete mit dem einmaligen Kauf des RAMs vergleichen, hilft Proxmox zu Hause im Vergleich zu einem gemieteten VPS bei der Berechnung von Hardware- und Stromkosten. Fast alle Anwendungen werden als Docker-Container bereitgestellt. Installieren Sie Docker einmal, und Sie sind für die gesamte Liste bereit:

curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker "$USER"
newgrp docker
docker run --rm hello-world

Wenn docker-Befehle mit permission denied while trying to connect to the Docker daemon socket fehlschlagen, haben Sie den Gruppenschritt übersprungen oder keine neue Shell geöffnet. Melden Sie sich ab und wieder an. Wenn docker compose docker: 'compose' is not a docker command zurückgibt, verwenden Sie die alte eigenständige Binärdatei. Das obige Skript installiert das moderne Compose-Plugin. Sie rufen es als docker compose auf, mit einem Leerzeichen und nicht mit einem Bindestrich.

Drei Gegebenheiten bestimmen alles Folgende. Erstens: RAM ist der begrenzende Faktor, nicht der Speicherplatz und nicht die CPU. Ein VPS mit 1 GB führt eine kleine Anwendung aus, mehr nicht. 4 GB sind der eigentliche optimale Bereich für einen Server, auf dem Sie einige Anwendungen selbst hosten. 2 GB bilden den ungünstigen Mittelweg: Ein Anfänger fügt einen dritten Dienst hinzu, erlebt eine unbemerkte Beendigung wegen Speichermangels und findet nie heraus, warum der Container einfach verschwunden ist. sudo dmesg zeigt die Out of memory: Killed process-Zeile, die der Daemon verschluckt hat. Zweitens: Alles, was öffentlich erreichbar ist, benötigt einen Namen und ein Zertifikat. Eine reine IP-Adresse funktioniert für Tests. Sobald eine Smartphone-App oder ein Browser dem Dienst vertrauen soll, reicht sie nicht mehr aus. Drittens: Zwei Ports entscheiden über die Hälfte Ihrer Möglichkeiten: Port 80 und Port 443 müssen den Server für automatisches TLS erreichen. Ausgehender Port 25 ist bei den meisten Providern blockiert. Deshalb steht E-Mail am Ende auf der Liste der Dinge, die Sie nicht tun sollten.

Dateien und Fotos

• Nextcloud ersetzt Google Drive, Dropbox und Google Calendar in einer Suite. Planen Sie 1–2 GB RAM plus den Speicherbedarf Ihrer Dateien ein. Der entscheidende Punkt: SQLite eignet sich für eine Demo, ist aber im Produktivbetrieb eine Falle. Installieren Sie Nextcloud von Anfang an mit PostgreSQL, weil die Migration der Datenbank nach dem Einfügen Ihrer Daten der häufigste Weg ist, eine Nextcloud zu beschädigen. Der vollständige Leitfaden Nextcloud auf einem VPS mit Docker, TLS und Backups richtet die Installation von Anfang an korrekt ein.
• Immich ersetzt Google Photos. Das gilt auch für die Telefon-App, die Ihre Kamerarolle automatisch hochlädt, sowie für die Suche nach Gesichtern und Objekten. Planen Sie 6 GB RAM ein. Die Immich-Dokumentation bezeichnet das als Mindestanforderung. Mit 8 GB arbeiten Sie komfortabel. Der Machine-Learning-Container benötigt den größten Teil des Speichers. Für den Datenträger sollten Sie die Größe Ihrer Bibliothek plus etwa 20 % für Vorschaubilder einplanen. Der entscheidende Punkt: Immich veröffentlicht weiterhin inkompatible Änderungen zwischen Releases. Führen Sie daher niemals blind latest aus. Fixieren Sie eine Version und lesen Sie vor jedem Upgrade die Release Notes. Der Leitfaden selbst gehostete Immich-Fotobibliothek beschreibt den sicheren Upgrade-Pfad. Wenn Ihr Server weniger als diese 6 GB RAM hat, vergleicht PhotoPrism und Immich im direkten Vergleich den tatsächlichen Speicherverbrauch, die Telefon-Apps und die erforderlichen Backup-Befehle beider Lösungen, bevor Sie eine Bibliothek einer der beiden Lösungen anvertrauen.
• Seafile ersetzt Dropbox und bietet die schnellste Synchronisations-Engine der drei Lösungen. Planen Sie etwa 1 GB RAM ein. Der entscheidende Punkt: Seafile speichert Ihre Dateien als inhaltsadressierte Blöcke und nicht als normale Dateien auf dem Datenträger. Sie können die Daten daher nicht mit ls durchsuchen. Backups müssen Sie mit den Seafile-eigenen Werkzeugen erstellen und dürfen nicht einfach ein Verzeichnis kopieren.

Passwörter

• Vaultwarden ersetzt den kostenpflichtigen Tarif von Bitwarden, LastPass und 1Password durch einen kleinen Rust-Server, der das Bitwarden-Protokoll verwendet. Deshalb funktionieren alle offiziellen Bitwarden-Apps und Browsererweiterungen sofort. Planen Sie 100–200 MB RAM und nahezu keinen Speicherplatz ein. Der kritische Punkt: Auf diesem Server liegen alle Ihre Passwörter. TLS und Backups sind hier daher nicht optional, sondern der eigentliche Zweck. Setzen Sie den ADMIN_TOKEN als Argon2-Hash, denn ein Klartext-Token in Ihrer Compose-Datei entspricht einem Master-Key im Klartext. Die Anleitung zum Passwortmanager Vaultwarden ist der bestmögliche Einstieg ins Self-Hosting.

Medien

• Jellyfin ersetzt Plex und für die eigene Mediensammlung auch Netflix. Die Software ist vollständig offen, benötigt kein Konto und schränkt das Streaming aus der Ferne nicht hinter einer Bezahlschranke ein. Planen Sie im Leerlauf 1–2 GB RAM ein. Beim Transkodieren kann die CPU-Auslastung jedoch stark ansteigen. Der kritische Punkt: Softwarebasiertes Transkodieren eines 4K-Streams überlastet einen kleinen VPS. Statten Sie den Server entweder mit Hardwarebeschleunigung aus oder speichern Sie die Dateien in einem Format, das die Clients direkt wiedergeben können (Direct Play). Dann muss der Server nur Bytes übertragen. Der Leitfaden Jellyfin-Medienserver auf einem VPS erklärt die Unterschiede. Sobald Jellyfin läuft, verwandelt Halcyon dieselbe Mediensammlung im Browser in eine begehbare Videothek der 90er – ein ungewöhnlicher, aber sehr effektiver Weg, damit ein Haushalt die Regale durchsucht, statt an allem vorbeizuscrollen.
• Navidrome ersetzt Spotify für die eigene Musiksammlung und streamt Musik zu jeder Subsonic-kompatiblen Anwendung. Planen Sie 150–300 MB RAM ein. Die Software ist in Go geschrieben und fällt bei der Ressourcennutzung kaum auf. Der kritische Punkt: Beim ersten Bibliotheksscan werden die Tags aller Dateien gelesen. Bei einer großen Sammlung kann das eine Stunde dauern. Fehlerhafte ID3-Tags führen zu einer fehlerhaften Anzeige und Suche in der Bibliothek.
• Audiobookshelf ersetzt Audible und die Podcast-Anwendung und behält die Wiedergabeposition geräteübergreifend bei. Planen Sie 200–500 MB RAM ein. Der kritische Punkt: Die Software erwartet strikt eine Ordnerstruktur mit einem Ordner pro Buch. Ein unsauberer Importordner erzeugt eine unübersichtliche, nur teilweise erkannte Bibliothek, deren Bereinigung nachträglich mühsam ist.

Automatisierung und KI

• n8n ersetzt Zapier und Make durch einen visuellen Workflow-Builder, den Sie selbst betreiben, ohne Abrechnung pro Aufgabe. Planen Sie 400 MB–1 GB RAM ein. Der kritische Punkt: n8n verschlüsselt gespeicherte Zugangsdaten mit einem Schlüssel, den es beim ersten Start erzeugt. Wenn Sie diesen Schlüssel verlieren oder N8N_ENCRYPTION_KEY nicht setzen und n8n den Schlüssel neu erzeugen lassen, werden alle gespeicherten Zugangsdaten unlesbar und Sie müssen sie erneut eingeben. Der Leitfaden n8n mit HTTPS selbst hosten fixiert den Schlüssel und schaltet den Webhook-URLs ein echtes Zertifikat vor.
• Ollama ersetzt ein ChatGPT-Abonnement für lokale, private LLM-Inferenz. Planen Sie den Ressourcenbedarf abhängig vom Modell ein: Ein 7–8B-Modell benötigt etwa 8 GB RAM, und jedes Modell belegt 4–8 GB auf dem Datenträger. Der kritische Punkt: Auf einem CPU-only-VPS ist die Inferenz zuverlässig, aber langsam. Rechnen Sie mit Wörtern pro Sekunde und nicht mit den sofortigen Antworten einer gehosteten API. Setzen Sie die Erwartungen entsprechend oder mieten Sie einen GPU-Server. Der Leitfaden Ollama ausführen und ein LLM selbst hosten enthält realistische Zahlen.

Kommunikation

• Rocket.Chat ersetzt Slack in einem Team und bietet Threads, Anrufe und Integrationen. Planen Sie mindestens 2 GB RAM ein, weil Rocket.Chat auf MongoDB läuft und diese Komponente den größten Ressourcenbedarf hat. Wichtig: Rocket.Chat setzt für jedes Release eine bestimmte MongoDB-Hauptversion voraus. Wenn Sie beim Upgrade eine Version überspringen, kann die Datenbank nicht mehr verwendet werden. Führen Sie Upgrades daher schrittweise durch. Der Leitfaden Rocket.Chat mit Docker Compose beschreibt die erforderliche Versionsfolge.
• Matrix (Synapse) ersetzt Slack und Discord durch ein föderiertes, Ende-zu-Ende-verschlüsseltes Netzwerk, bei dem Sie Ihren eigenen Homeserver betreiben. Planen Sie 1–2 GB RAM ein. Der Bedarf steigt, sobald Sie großen öffentlichen Räumen beitreten. Wichtig: Der Speicherbedarf von Synapse steigt in großen föderierten Räumen stark an. Synapse muss mit PostgreSQL betrieben werden. Die standardmäßig verwendete SQLite-Datenbank eignet sich nur für einen Test mit einem einzelnen Benutzer und versagt, sobald Sie föderieren. Wenn Synapse zu viele Ressourcen benötigt, können Sie die leichteren Server Conduit oder Dendrite verwenden. Beide sprechen dasselbe Protokoll.

Netzwerk und Zugriff

• WireGuard ersetzt ein kommerzielles VPN und stellt einen privaten Tunnel zu Ihrer eigenen IP-Adresse und Ihren anderen Diensten bereit. Der Ressourcenbedarf ist gering: weniger als 50 MB, und die Kryptografie läuft im Kernel. Der Haken: Bei containerbasierter Virtualisierung (OpenVZ, einige LXC-Umgebungen) schlägt das Modul mit RTNETLINK answers: Operation not supported fehl; Sie benötigen KVM. Der Leitfaden Self-hosted-WireGuard-VPN dient als Referenz. In Kombination mit Diensten, die an den Tunnel gebunden sind, bleiben diese vollständig aus dem öffentlichen Internet heraus. Wenn Sie die Peer-Konfiguration nicht für jedes neue Gerät manuell bearbeiten möchten, macht der Betrieb eines Tailscale-Subnet-Routers auf dem VPS stattdessen den gesamten privaten Bereich für Ihre übrigen Rechner verfügbar. Dazu müssen Sie die Route zunächst freigeben und die IP-Weiterleitung so konfigurieren, dass sie einen Reboot übersteht.
• Traefik ersetzt manuell geschriebene virtuelle nginx-Hosts und die manuelle Zertifikatserneuerung. Traefik erkennt Ihre Container anhand ihrer Docker-Labels und ruft Let's-Encrypt-Zertifikate automatisch ab. Planen Sie etwa 100 MB RAM ein. Der Haken: Das auf Labels basierende Konfigurationsmodell ist anfangs tatsächlich verwirrend. Bereits ein einziges falsches Label kann dazu führen, dass eine Anwendung nicht geroutet wird, ohne dass ein offensichtlicher Fehler angezeigt wird. Der Leitfaden Traefik-Reverse-Proxy für mehrere Docker-Anwendungen ist genau für den Betrieb mehrerer Anwendungen von dieser Seite hinter einem gemeinsamen Einstiegspunkt ausgelegt.
• AdGuard Home ersetzt einen Pi-hole-Rechner und kostenpflichtige DNS-Filterung. Es blockiert Werbung und Tracker für jedes Gerät in Ihrem Netzwerk auf DNS-Ebene. Planen Sie 100–150 MB RAM ein. Der Haken: AdGuard Home möchte Port 53 verwenden. Auf Ubuntu kollidiert dieser mit systemd-resolved. Der Dienst startet mit listen udp 0.0.0.0:53: bind: address already in use nicht, bis Sie den Port zuvor freigeben.

Monitoring

• Uptime Kuma ersetzt Pingdom, UptimeRobot und StatusPage durch ein übersichtliches Dashboard und Benachrichtigungen an nahezu jeden Kanal. Planen Sie 150–300 MB RAM ein. Der entscheidende Punkt, den viele übersehen: Überwachen Sie Ihren Produktionsserver von einem anderen Server aus. Ein auf demselben Server laufendes Uptime Kuma kann nicht erkennen, wenn dieser Server ausfällt. Der Leitfaden Uptime-Kuma-Statusüberwachung beschreibt die externe Platzierung.
• Zabbix ersetzt Datadog und Monitoring-Suiten für Unternehmen. Es bietet detaillierte agentenbasierte Metriken, Trigger und Verlaufsdaten. Planen Sie mindestens 2 GB RAM sowie eine eigene Datenbank ein. Der entscheidende Punkt: Zabbix ist leistungsfähig, aber in der Einrichtung tatsächlich aufwendig. Für die Überwachung von drei Containern wäre es überdimensioniert, für eine größere Serverlandschaft ist es das passende Werkzeug. Beginnen Sie mit Uptime Kuma. Wechseln Sie zum Zabbix-Monitoringserver, sobald Sie tatsächlich eine zu überwachende Infrastruktur haben.

Prometheus und Grafana fehlen absichtlich in dieser Liste: Sie eignen sich hervorragend für die Überwachung großer Serverlandschaften, sind jedoch aufwendiger zu betreiben und abzustimmen, als es ein persönlicher Stack aus zwei oder drei Servern rechtfertigt. Uptime Kuma und Zabbix beantworten in dieser Größenordnung dieselben Fragen und erfordern weniger Pflege.

Dashboards und Steuerungspanels

Diese ändern das gesamte Modell. Statt Compose-Dateien manuell auszuführen, verwaltet ein Panel die Anwendungen für Sie.

• Cloudron ersetzt den Wunsch „Wenn das doch mit einem Klick ginge“ durch einen gut ausgearbeiteten App Store mit automatischem TLS und integrierten Backups. Planen Sie mindestens 2 GB RAM ein, komfortabel sind 4 GB. Der Haken: Cloudron ist stark vorgegeben und möchte den gesamten Server verwalten. Bis zu zwei Apps ist es kostenlos, darüber hinaus handelt es sich um ein kostenpflichtiges Produkt.
• CasaOS ersetzt ein unübersichtliches Homelab-Dashboard durch eine übersichtliche App-Übersicht. Es ist kostenlos und ressourcenschonend. Planen Sie für CasaOS selbst ungefähr 150 bis 300 MB ein. Der Haken: CasaOS ist für ein vertrauenswürdiges Heimnetzwerk ausgelegt und nicht für das öffentliche Internet gehärtet. Veröffentlichen Sie es nicht direkt, sondern greifen Sie über WireGuard darauf zu.
• Coolify ersetzt Heroku, Vercel und Netlify auf Ihrem eigenen Server und bietet Git-Push-Deployments, Datenbanken und Vorschauumgebungen. Planen Sie mindestens 2 GB RAM ein. Der Haken: Das Projekt ist noch jünger und entwickelt sich schnell weiter. Fixieren Sie daher die Versionen und lesen Sie vor einem Upgrade die Release Notes. Der Vergleich von Cloudron, CasaOS und Coolify zeigt, welches der drei Produkte für welche Person geeignet ist.

Entwicklungs- und Produktivitätstools

• Gitea (oder Forgejo) ersetzt GitHub für private Repositories, Issues und CI. Planen Sie 200–500 MB RAM ein. Der wichtige Punkt: Forgejo ist der gemeinschaftlich verwaltete Fork von Gitea und wird inzwischen von vielen empfohlen. Beide Projekte sind ausgezeichnet. Entscheiden Sie sich für eines und sichern Sie die Repositories und die Datenbank gemeinsam. Eine Repository-Sicherung ohne Datenbank enthält keine Issues und Pull Requests.
• Paperless-ngx ersetzt einen Aktenschrank und kostenpflichtige Dokumentenscanner. Die Anwendung führt für alle Dokumente eine OCR-Erkennung durch, sodass sie durchsuchbar werden. Planen Sie etwa 1 GB RAM ein. Während der OCR-Erkennung kann die CPU-Auslastung stark ansteigen. Der wichtige Punkt: Die Qualität der OCR-Ergebnisse hängt von der Qualität Ihrer Scans ab. Die erneute Verarbeitung eines großen Archivs dauert lange. Konfigurieren Sie die Verarbeitung, bevor Sie zehn Jahre Papierdokumente auf einmal importieren.
• Actual Budget ersetzt YNAB und Mint durch eine schnelle, lokale und private Budgetverwaltung nach dem Umschlagprinzip. Planen Sie etwa 150 MB RAM ein. Der wichtige Punkt: Die automatische Banksynchronisierung ist ein separates Add-on mit eigener Einrichtung. Standardmäßig importieren Sie Transaktionen daher manuell.
• FreshRSS ersetzt Feedly und den eingestellten Google Reader durch einen schnellen und privaten Feed-Reader mit mobilen Apps. Planen Sie etwa 150 MB RAM ein. Der wichtige Punkt: Richten Sie die Feed-Aktualisierung über cron ein. Andernfalls werden Feeds nur aktualisiert, wenn Sie die Seite öffnen.
• BookStack ersetzt Notion und Confluence für Dokumentation. Inhalte werden als Regale, Bücher und Seiten organisiert. Planen Sie unter PHP und MySQL etwa 500 MB RAM ein. Der wichtige Punkt: Die Anwendung strukturiert Inhalte auf ihre eigene Weise und nicht als frei formatierte Notizen. Manche Benutzer schätzen das, andere empfinden es als unflexibel. Testen Sie BookStack, bevor Sie Ihr gesamtes Wiki darauf umstellen.
• Home Assistant ersetzt SmartThings und ein Dutzend Hersteller-Apps. Die Anwendung vereinheitlicht Ihr Smart Home lokal. Planen Sie etwa 1 GB RAM ein. Der wichtige Punkt: Viele Funktionen benötigen lokalen Netzwerkzugriff auf Ihre Geräte. Home Assistant eignet sich daher eher für Hardware bei Ihnen zu Hause als für einen entfernten VPS. Wenn nötig, führen Sie das Dashboard remote aus und stellen Sie über eine Bridge die Verbindung zu Ihrem lokalen Netzwerk her.

Eine repräsentative Installation

Konkret sieht ein vollständiges Self-Hosting-Setup so aus: eine Compose-Datei, ein gültiges Zertifikat und ein Backup. Hier wird Uptime Kuma verwendet, aber jede Anwendung in der Liste folgt demselben Muster.

services:
  uptime-kuma:
    image: louislam/uptime-kuma:2
    container_name: uptime-kuma
    volumes:
      - ./data:/app/data
    ports:
      - "127.0.0.1:3001:3001"
    restart: unless-stopped

docker compose up -d
docker compose logs -f

Beachten Sie 127.0.0.1:: Die Anwendung lauscht nur auf localhost, und ein Reverse Proxy wie Traefik oder nginx übernimmt davor die TLS-Terminierung. Wenn Sie direkt an 0.0.0.0:3001 binden, veröffentlichen Sie ein unverschlüsseltes Administrationspanel versehentlich im gesamten Internet.

Was Sie (noch) NICHT selbst hosten sollten

• E-Mail. Das ist der eindeutigste Fall. Der ausgehende Port 25 ist bei den meisten VPS-Anbietern blockiert. Sie sehen Connection timed out von telnet aspmx.l.google.com 25, und daran lässt sich nichts ändern. Das ist eine Richtlinie. Selbst wenn Port 25 geöffnet ist, landet Ihre E-Mail mit einer neuen IP-Adresse ohne Reputation, PTR-Eintrag, SPF, DKIM und DMARC im Spam oder wird direkt abgewiesen. Das ist eine echte, dauerhafte Aufgabe und nichts für ein Wochenende. Wenn Sie es trotzdem versuchen möchten, lesen Sie den Leitfaden Selbst gehostete E-Mail mit Mailcow und stellen Sie sich darauf ein, die Zustellbarkeit monatelang zu überwachen.
• Alles, was Sie nicht zuverlässig sichern und wiederherstellen können. Wenn Sie noch nie eine Testwiederherstellung durchgeführt haben, haben Sie kein Backup, sondern nur Hoffnung. Legen Sie keine unersetzlichen Daten, die einzige Kopie Ihrer Fotos oder Ihre Konten in einem Dienst ab, solange die Wiederherstellung nicht nachweislich funktioniert.
• Ihre einzige Kopie einer kritischen Abhängigkeit. Ein selbst gehosteter DNS-Server, dessen Ausfall Ihr gesamtes Netzwerk vom Internet trennt, ist kein gutes erstes Projekt. Halten Sie einen Fallback beim übergeordneten DNS-Anbieter bereit.
• Sicherheitskritische Echtzeitsysteme. Hausalarmanlagen, medizinische Alarme und alle Systeme, bei denen ein Ausfall von fünf Minuten ein echtes Problem darstellt, gehören nicht auf einen Hobby-Server, den Sie sonntagabends aktualisieren.

So wählen Sie die erste Anwendung aus: die beiden unverzichtbaren Grundlagen

Wählen Sie eine Anwendung, durch die eine Rechnung entfällt, über die Sie sich ärgern, oder die eine Datenschutzsorge adressiert, die Sie tatsächlich betrifft. In der Praxis sind Vaultwarden und Uptime Kuma die besten ersten Installationen: Beide benötigen nur wenige Ressourcen, sind sofort nützlich und verzeihen Fehler. Bringen Sie zuerst eine Anwendung vollständig zum Laufen: Installation, Zertifikat, Backup und Wiederherstellungstest. Installieren Sie erst danach eine zweite Anwendung. Die Fähigkeit, die Sie dabei aufbauen, ist der Betrieb, nicht das Anklicken von Installationsschaltflächen.

Für jede der oben genannten Anwendungen gelten ausnahmslos zwei unverzichtbare Anforderungen:

1. TLS für alles, was öffentlich erreichbar ist. Ein Dienst, der nur über eine IP-Adresse und unverschlüsselt erreichbar ist, eignet sich für eine Demo, nicht für einen produktiven Betrieb. Schalten Sie ein gültiges Zertifikat mit Certbot und Let's Encrypt auf nginx davor oder lassen Sie Traefik dies automatisch erledigen. Sichern Sie anschließend den Zugang mit Fail2ban für SSH unter Ubuntu 24.04 ab.
2. Backups, die Sie tatsächlich wiederhergestellt haben. Automatisieren Sie jede Nacht einen Dump von Datenbank und Daten-Volume zusammen, übertragen Sie ihn vom Server auf ein anderes System und stellen Sie ihn einmal im Monat auf einem nicht mehr benötigten VPS wieder her, um die Funktionsfähigkeit zu überprüfen. Der Tag, an dem Ihre Festplatte ausfällt, ist der falsche Zeitpunkt, um festzustellen, dass das Backup leer war.

Wenn diese beiden Punkte erfüllt sind, macht Self-Hosting Freude. Wenn Sie sie überspringen, läuft nur ein Countdown.

Die Optionen reichen vom Praktischen bis zum Absurden: von einem Minecraft-Server auf einem VPS für die Familie bis hin zu dem ineffizientesten Rechenzentrum der Welt, wenn Sie eine warnende Geschichte bevorzugen.

FAQ

Was sollte ich zuerst selbst hosten?

Vaultwarden. Ein Passwortmanager bietet Ihnen täglich einen konkreten Nutzen, ersetzt ein Abonnement und zwingt Sie, den gesamten Ablauf mit Docker, einem Reverse Proxy, TLS und Backups zu lernen. Die Anwendung ist klein genug, dass Sie sie bei einem Fehler in zehn Minuten neu aufsetzen können. Uptime Kuma ist eine gute zweite Anwendung. Damit erfahren Sie von Ausfällen, bevor Ihre Benutzer davon betroffen sind.

Wie viel VPS benötige ich tatsächlich?

Für eine kleine Anwendung reicht 1 GB RAM aus. Für einen Server, auf dem mehrere Anwendungen komfortabel laufen sollen, sind 4 GB sinnvoll. Bei 2 GB treten häufig unbemerkte Out-of-Memory-Abbrüche von Containern auf, deren Ursache sich nur schwer nachvollziehen lässt. RAM ist fast immer der begrenzende Faktor. Wählen Sie den Speicherplatz passend zu den Daten, die Sie speichern möchten. Immich, Ollama und alle Anwendungen mit einer großen Datenbank benötigen voraussichtlich besonders viel RAM und Speicherplatz.

Was sollte ich nicht selbst hosten?

An erster Stelle steht E-Mail. Die meisten Anbieter blockieren den ausgehenden Port 25, und eine zuverlässige Zustellung erfordert dauerhaft viel Aufwand. Vermeiden Sie außerdem alles, was Sie nicht zuverlässig sichern und wiederherstellen können. Das gilt auch für Single Points of Failure, deren Ausfall echten Schaden verursacht, etwa einen DNS-Server ohne Fallback oder ein Sicherheitssystem für Ihr Zuhause. Alles andere auf dieser Liste können Sie grundsätzlich selbst hosten.

Benötige ich für all das Docker?

Nein, aber Docker ist empfehlenswert. Für jede Anwendung auf dieser Liste gibt es ein Docker-Image. Docker ermöglicht saubere Installationen und Deinstallationen, eine einfache Festlegung von Versionen und die Übertragbarkeit auf einen neuen Host. Einige Anwendungen wie WireGuard und Zabbix lassen sich bei Bedarf auch nativ über apt installieren. Wenn Sie eine Compose-Datei kennen, verstehen Sie im Prinzip alle. Dadurch wird die gesamte Liste leichter zugänglich.

Wie halte ich das alles sicher?

Vier Gewohnheiten decken den größten Teil ab: Setzen Sie TLS vor jede Anwendung. Sichern Sie SSH mit einer Anmeldung ausschließlich per Schlüssel und Fail2ban zum Sperren von Brute-Force-Versuchen. Veröffentlichen Sie nur die Ports, die Sie tatsächlich öffentlich benötigen, und greifen Sie auf die übrigen Dienste über Ihr WireGuard-VPN zu. Aktualisieren Sie regelmäßig und lesen Sie die Release Notes, damit Sie ein Upgrade nie überrascht. Backups sind die fünfte Gewohnheit. Sie ermöglichen die Wiederherstellung, wenn ein Fehler die ersten vier Maßnahmen überwindet.