Homeserver 101

01 / 12Start & Regeln

Was ist ein Homeserver & wofür?

Ein Rechner, der 24/7 zuhause läuft und Dienste für dich bereitstellt – statt Cloud-Abos, mit voller Kontrolle über die eigenen Daten.

Die 10 Grundregeln

Standard-Vorgehen: von 0 zum laufenden Server

02 / 12Hardware

Hardware-Optionen im Vergleich

Worauf beim Kauf achten

Standort & Aufstellung

• Kühl, trocken, staubarm, mit Luftzirkulation – nicht im geschlossenen Schrank ohne Lüftung
• In Router-/Switch-Nähe (LAN-Kabel), Steckdosenleiste mit Überspannungsschutz
• Lautstärke bedenken: HDDs klackern – Schlafzimmer ist ein schlechter Ort
• BIOS: „Restore on AC Power Loss“ auf Power On → Server startet nach Stromausfall selbst

Stromkosten-Rechner

03 / 12Betriebssystem

Betriebssystem wählen

VM vs. LXC vs. Docker

Grund-Setup direkt nach der Installation

• System-Updates einspielen (apt update && apt full-upgrade)
• Feste IP vergeben – am besten als DHCP-Reservierung im Router (überlebt Neuinstallationen)
• Eigenen Admin-User anlegen, sudo statt root-Arbeit
• SSH-Key hinterlegen, danach Passwort-Login und Root-Login deaktivieren
• Zeitzone + NTP prüfen (timedatectl) – wichtig für Logs, Zertifikate, Backups
• Hostname sinnvoll setzen (z. B. server01)
• Firewall aktivieren (ufw: nur SSH + benötigte Ports erlauben)
• fail2ban installieren (blockt Brute-Force auf SSH)
• Automatische Sicherheitsupdates: unattended-upgrades (nur Security-Repo)
• SMART-Monitoring aktivieren (smartd) + Mail/Push bei Fehlern

04 / 12Storage & RAID

Platten richtig wählen

Dateisysteme

RAID-Level Überblick

Laufende Pflege

• SMART überwachen: smartd oder Scrutiny (Web-UI); auf Reallocated Sectors, Pending Sectors, Temperatur achten
• ZFS/Btrfs Scrub: monatlich automatisch laufen lassen – findet stille Datenfehler
• Füllstand: Pools unter 80–85 % halten (Performance + ZFS-Gesundheit)
• Plattenausfall-Plan: Ersatzplatte-Modell notieren; bei RAID: defekte Platte identifizieren (Seriennummer!), tauschen, Rebuild abwarten, erst dann entwarnen
• Neue Platten testen bevor Daten drauf gehen: SMART-Langtest + einmal vollschreiben (z. B. badblocks)

05 / 12Backup

Die 3-2-1-Regel

Was sichern? (Prioritäten)

Snapshots vs. Backup

Werkzeuge

Beispiel-Backup-Plan (bewährt)

• Benachrichtigung einrichten: Backup-Job meldet Erfolg/Fehler (ntfy, E-Mail, Gotify) – stille Fehler sind der Klassiker
• Aufbewahrung (Retention): z. B. 7 täglich, 4 wöchentlich, 6 monatlich – schützt auch vor „Fehler erst spät bemerkt“
• Verschlüsselungs-Passwort des Backups außerhalb des Servers sichern (Passwortmanager + Zettel) – ohne ist alles weg

06 / 12Netzwerk

Grund-Setup im Heimnetz

• Feste Adresse: DHCP-Reservierung im Router (z. B. FritzBox: „immer die gleiche IP zuweisen“) – besser als statische IP am Gerät
• Lokale Namen: statt IPs Namen nutzen – Router-DNS (server.fritz.box), eigenes DNS (Pi-hole „Local DNS Records“) oder Tailscale MagicDNS
• IP-Plan notieren: welche Geräte welche Adresse haben, Bereich für Reservierungen festlegen
• LAN statt WLAN für Server – stabiler, schneller, geringere Latenz

Ports verstehen

Reverse Proxy

Ein Dienst, der vor allen Web-Apps steht: jellyfin.home.example.de → intern Port 8096. Vorteile: ein Einstiegspunkt, überall HTTPS, keine Portnummern merken.

Weiterführend

07 / 12Fernzugriff

Fernzugriff: die Rangfolge

Grundsatz: So wenig wie möglich öffentlich erreichbar machen. Für privaten Zugriff reicht fast immer ein VPN.

Wenn doch etwas öffentlich sein muss

• Nur über Reverse Proxy mit HTTPS (Let's Encrypt), nie App-Port direkt forwarden
• 2FA in der App aktivieren – oder Login davor schalten (Authelia/Authentik)
• fail2ban oder CrowdSec auf die Proxy-Logs ansetzen
• App aktuell halten – öffentliche Dienste haben Update-Priorität
• Eigenes Docker-Netz / VLAN: öffentlicher Dienst kommt nicht an interne Dienste
• Monitoring: Login-Fehlversuche & ungewöhnlichen Traffic im Blick behalten
• Regelmäßig fragen: „Muss das noch öffentlich sein?“ – sonst zurückbauen

08 / 12Sicherheit

Die goldenen Sicherheitsregeln

Häufige Fehler und was stattdessen

Update-Strategie (Standard-Vorgehen)

Sicherheits-Checkliste (regelmäßig durchgehen)

• Welche Ports sind am Router offen? (Router-UI prüfen – sollte: keiner oder nur VPN)
• Läuft überall die aktuelle Version? (Dashboard/Release-Feeds)
• 2FA auf allen Admin-Zugängen aktiv?
• fail2ban/CrowdSec aktiv und Logs unauffällig?
• Backups grün + letzter Restore-Test < 3 Monate?
• Gibt es Dienste/User/Freigaben, die keiner mehr braucht? → entfernen

09 / 12Docker

Konzepte in 30 Sekunden

Compose als Standard

Jeder Dienst als compose.yaml: deklarativ, versionierbar, selbstdokumentierend. Nie Container per Hand mit langen docker run-Befehlen starten.

Bewährte Ordnerstruktur

/opt/stacks/
├── jellyfin/
│   ├── compose.yaml
│   ├── .env            ← Secrets, nicht in Git
│   └── config/         ← AppData (Bind Mount)
├── immich/
│   ├── compose.yaml
│   └── ...
└── proxy/
    └── compose.yaml

Beispiel compose.yaml

services:
  jellyfin:
    image: jellyfin/jellyfin:10.9.11   # Version pinnen statt :latest
    restart: unless-stopped
    ports:
      - "8096:8096"
    volumes:
      - ./config:/config
      - /srv/medien:/media:ro          # Medien nur lesend
    environment:
      - TZ=Europe/Berlin
    devices:
      - /dev/dri:/dev/dri              # iGPU für Hardware-Transcoding

Wichtige Befehle

Best Practices

• Versionen pinnen: image: app:1.2 statt :latest → Updates werden bewusst und Rollback ist möglich
• restart: unless-stopped überall – Container starten nach Reboot automatisch
• PUID/PGID setzen (linuxserver.io-Images): Container schreibt Dateien als dein User, nicht als root
• Ports sparsam mappen: nur veröffentlichen, was gebraucht wird; interne Kommunikation über Docker-Netze; hinter Reverse Proxy reicht oft gar kein Port-Mapping
• Secrets in .env, nicht in die Compose-Datei; Compose-Dateien in Git sichern
• Auto-Updates (Watchtower) mit Vorsicht: praktisch für Unkritisches, gefährlich für DB-Apps (Immich, Nextcloud) – dort manuell mit Changelog. Sanfte Alternative: Diun (benachrichtigt nur)
• Verwaltung per UI gefällig? Dockge (compose-treu, empfehlenswert) oder Portainer

10 / 12Dienste

Beliebte Dienste nach Kategorie

Bewährte, aktiv gepflegte Projekte. Empfehlung = guter Standard-Startpunkt der Kategorie.

Sinnvolle Startreihenfolge

11 / 12Wartung & Betrieb

Wartungsroutinen

Dokumentation führen

Grundsätze für ruhigen Betrieb

• Boring is good: ein stabiler Dienst ist mehr wert als drei halbfertige
• Änderungsfenster: nichts Wichtiges freitags abends oder vor dem Urlaub updaten
• Vor jeder Änderung: Snapshot/Backup → ändern → testen → dokumentieren
• Familie bedenken: wenn andere die Dienste nutzen, Ausfälle kommunizieren und Kritisches (DNS!) redundant auslegen oder Fallback konfigurieren
• Kapazität im Blick: Platten < 80 %, RAM-Auslastung beobachten, bevor es eng wird planen

12 / 12Hilfe & Glossar

Troubleshooting: Standardvorgehen

Häufige Probleme

Diagnose-Werkzeugkasten

Glossar

NAS

Network Attached Storage – Speicher-Server im Netzwerk, Spezialfall des Homeservers.

Headless

Betrieb ohne Monitor/Tastatur – Verwaltung per SSH und Web-UIs.

Hypervisor

Software, die VMs verwaltet (z. B. Proxmox VE).

VM / LXC / Container

Voll virtualisierter Rechner / leichter System-Container / App-Container (Docker).

Reverse Proxy

Vermittler, der Anfragen anhand des Domainnamens an die richtige App weiterleitet und HTTPS übernimmt.

VPN

Verschlüsselter Tunnel ins Heimnetz (WireGuard, Tailscale) – der sichere Weg für Fernzugriff.

VLAN

Virtuell getrennte Netze auf derselben Hardware – z. B. IoT vom Server isolieren.

DNS / DHCP

Namen → IP-Adressen auflösen / automatische IP-Vergabe im Netz.

Port-Forwarding

Router leitet Anfragen aus dem Internet an ein internes Gerät weiter – sparsam einsetzen.

CGNAT / DS-Lite

Anschluss ohne eigene öffentliche IPv4 – klassische Portfreigaben funktionieren nicht.

DynDNS

Dienst, der die wechselnde Heim-IP unter festem Namen erreichbar hält.

ZFS / Pool / Scrub

Dateisystem mit Prüfsummen / Verbund mehrerer Platten / Prüf-Lauf gegen stille Datenfehler.

Snapshot

Eingefrorener Datenstand für schnellen Rollback – ergänzt Backups, ersetzt sie nicht.

SMART

Selbstdiagnose von Festplatten/SSDs – Frühwarnsystem für Ausfälle.

CMR / SMR

Aufzeichnungsverfahren von HDDs – für NAS/RAID immer CMR wählen.

TBW

Total Bytes Written – Schreib-Lebensdauer einer SSD.

ECC-RAM

Arbeitsspeicher mit Fehlerkorrektur – Bonus für Datenintegrität.

USV / UPS

Batterie-Puffer für sauberes Herunterfahren bei Stromausfall.

NUT

Network UPS Tools – verbindet USV mit Server für Auto-Shutdown.

Let's Encrypt / TLS

Kostenlose Zertifikate / Verschlüsselung hinter HTTPS.

2FA

Zweiter Faktor beim Login (App-Code, Passkey) – Pflicht für Admin-Zugänge.

fail2ban / CrowdSec

Sperrt IPs nach wiederholten Fehlversuchen automatisch.

PUID/PGID

User-/Gruppen-ID, unter der ein Container auf Dateien zugreift.

IaC

Infrastructure as Code – Setup als Textdateien (Compose, Ansible) statt Klick-Historie.

Homelab

Der Überbegriff fürs Ganze – Heimserver + Netzwerk + Basteln + Lernen.