Self-Hosting: Nextcloud, Pi-hole & WireGuard
Drei Klassiker des Self-Hostings auf einer Seite: Nextcloud als eigene Dateicloud (Dropbox-Ersatz), Pi-hole als netzwerkweiter Werbe- und Tracker-Blocker und WireGuard als schlankes, schnelles eigenes VPN für den sicheren Zugriff von unterwegs. Alle drei laufen gut als Docker-Container oder im LXC unter Proxmox. Wichtig ist von Anfang an die Sicherheit — besonders, was du ins Internet öffnest und was nur im Heimnetz erreichbar bleibt.
Werkzeug & Material
- Server mit Docker oder Proxmox/LXC — als Unterbau
- Feste IP im Heimnetz — für die Dienste
- Router-Zugriff — DNS-Eintrag (Pi-hole), VPN-Port (WireGuard)
- Domain/DynDNS — für Zugriff von außen (optional)
Drei Dienste, ein Server
Self-Hosting heißt: Dienste, die sonst in fremden Clouds laufen, selbst betreiben — auf dem eigenen Server, mit den eigenen Daten. Drei Klassiker decken die häufigsten Bedürfnisse ab und laufen alle gut als Docker-Container oder im LXC unter Proxmox:
- Nextcloud — die eigene Dateicloud als Dropbox-/Google-Drive-Ersatz.
- Pi-hole — ein netzwerkweiter Werbe- und Tracker-Blocker.
- WireGuard — ein schlankes, schnelles eigenes VPN für den sicheren Zugriff von unterwegs.
Als Unterbau eignet sich ein Proxmox-Server oder ein NAS mit Docker. Lies vorab die Sicherheitshinweise am Ende — gerade beim Zugriff aus dem Internet.
Nextcloud: die eigene Cloud
Nextcloud ersetzt Dropbox & Co.: Dateien synchronisieren, teilen, Kalender und Kontakte, Foto-Galerie — alles auf dem eigenen Server. Einrichtung:
- Installation: am einfachsten als Docker-Container (Nextcloud AIO bündelt alles) oder im LXC unter Proxmox.
- Daten ablegen: das Datenverzeichnis am besten auf dem NAS bzw. einem großen Laufwerk, nicht auf der kleinen System-SSD.
- Zugriff: im Heimnetz direkt; von außen nur über einen abgesicherten Reverse-Proxy mit HTTPS oder über das VPN.
Die Sync-Clients für PC und Handy halten Ordner automatisch aktuell — wie bei den großen Anbietern, nur ohne Speicher-Abo und mit den Daten im eigenen Haus.
Pi-hole: netzwerkweiter Werbeblocker
Pi-hole filtert Werbung und Tracker auf DNS-Ebene — für ALLE Geräte im Heimnetz, ganz ohne Browser-Plugin. So funktioniert es:
- Installation: als Container oder im LXC; Pi-hole bekommt eine feste IP im Heimnetz.
- Einbinden: im Router Pi-hole als DNS-Server eintragen — ab dann fragen alle Geräte über Pi-hole.
- Filterlisten: die mitgelieferten Listen reichen meist; bei Bedarf ergänzen, übereifrige Blockaden per Whitelist lösen.
Tipp Einen zweiten DNS-Server (oder Pi-hole-Redundanz) vorsehen, damit das Internet nicht stillsteht, wenn der Pi-hole-Server mal neu startet.
WireGuard: das eigene VPN
Mit WireGuard erreichst du von unterwegs sicher dein Heimnetz — NAS, Nextcloud, Home Assistant — so, als wärst du zu Hause. Es ist schlank, schnell und einfacher konfiguriert als ältere VPNs:
- Installation: als Container/LXC (z. B. „wg-easy" mit Weboberfläche für die Geräteverwaltung).
- Router: einen einzigen UDP-Port für WireGuard zum Server weiterleiten; bei wechselnder IP einen DynDNS-Namen nutzen.
- Clients: pro Gerät ein Schlüsselpaar/Profil (QR-Code fürs Handy). Fertig.
Der große Vorteil Statt jeden Dienst einzeln ins Internet zu öffnen, gibt es nur einen sicheren Eingang — das VPN. Alles andere bleibt im Heimnetz verborgen.
Sicherheit: was ins Internet darf — und was nicht
Self-Hosting macht Spaß, aber der Zugriff aus dem Internet ist der heikle Teil. Ein paar feste Regeln schützen vor bösen Überraschungen:
Keine Ports blind freigeben. Jede offene Portweiterleitung ist ein Angriffspunkt. Für Fernzugriff bevorzugt das VPN (WireGuard) statt direkter Freigaben einzelner Dienste.
Was öffentlich muss, nur über HTTPS + Reverse-Proxy. Dienste wie Nextcloud, die von außen erreichbar sein sollen, hinter einen Reverse-Proxy mit gültigem Zertifikat legen — nie ungesichert.
Starke Passwörter & Zwei-Faktor. Standard-Logins ändern, wo möglich 2FA aktivieren — besonders bei allem, was aus dem Internet erreichbar ist.
Updates einspielen. Container und Dienste regelmäßig aktualisieren. Veraltete, offen erreichbare Software ist das häufigste Einfallstor.
Backups nicht vergessen. Auch selbst gehostete Daten brauchen Sicherungen (3-2-1-Regel) — siehe NAS einrichten.
Häufige Fragen
Am einfachsten als Docker-Container (Nextcloud AIO) oder im LXC unter Proxmox. Nach dem Start Admin-Konto und Datenverzeichnis (am besten auf dem NAS) festlegen. Für Zugriff von außen einen abgesicherten Reverse-Proxy mit HTTPS nutzen.
Pi-hole ist ein netzwerkweiter Werbe- und Tracker-Blocker auf DNS-Ebene: Im Router wird Pi-hole als DNS-Server eingetragen, dann filtert es für ALLE Geräte im Heimnetz — ganz ohne Browser-Plugin.
Damit erreichst du von unterwegs sicher dein Heimnetz — NAS, Home Assistant, Nextcloud — ohne diese Dienste offen ins Internet zu stellen. WireGuard ist schlank, schnell und einfach zu konfigurieren.
Beides geht. Docker ist schnell aufgesetzt und hat fertige Images; LXC unter Proxmox fühlt sich wie ein eigener kleiner Server an. Viele kombinieren: LXC-Container, in dem Docker läuft.
Niemals blind Ports ins Internet öffnen. Für Fernzugriff bevorzugt ein VPN (WireGuard) statt direkter Portfreigaben. Was öffentlich erreichbar sein muss, nur über HTTPS und einen Reverse-Proxy, mit starken Passwörtern und Updates.