Ist Selfhosting massentauglich? Ein Erfahrungsbericht

OneDrive, Dropbox, irgendwelche VPN-Anbieter oder der Google Passwortspeicher. Es handelt sich dabei um Dienste, welche bereits seit vielen Jahren Bestandteil unseres Lebens sind. Doch dabei macht sich kaum jemand Gedanken über die Sicherheit der eigenen Daten. In einem Selbstversuch – und auch weil diverse Dienste für mich in Zukunft deutlich dezentraler betrieben werden sollen – habe ich diverse Dienste auf die Selfhosting-Variante umgestellt. Aber ist das eine Lösung für die breite Masse?

 

Was sind die Vor- und Nachteile?

Die Vorteile für den Eigenbetrieb liegen auf der Hand. Man behält die Kontrolle über die eigenen Daten und Dienste, kann diese an die eigenen Bedürfnisse anpassen und erreicht insgesamt eine deutlich höhere Datensicherheit – sofern die Konfiguration stimmt. Und genau hier liegt oft der Hase im Pfeffer. Bei meinen Recherchen zu diesem Artikel bin ich auf die unterschiedlichsten IT-Systeme gestoßen, teils von Firmen, teils von Privatpersonen, die offen im Internet stehen. Die Bandbreite reichte von fast noch harmlosen Dingen wie ungeschützten Druckern bis hin zu völlig ungeschützten NAS-Systemen in Privathaushalten mit teilweise sehr persönlichen Daten aus dem Gesundheitsbereich, Gehaltsabrechnungen oder Fotos aus dem letzten Urlaub. Entsprechende Kompetenzen sind daher für den Eigenbetrieb unbedingt erforderlich, insbesondere wenn die Dienste öffentlich über das Internet erreichbar sein sollen. Zudem benötigt man für den Betrieb zu Hause einen DynDNS-Dienst bzw. eine Domain für den Betrieb von Diensten auf einem Cloud- bzw. dedizierten Server.

Darüber hinaus gilt es natürlich auch, die Kosten für den Internetanschluss, die benötigte Hardware und deren Wartung sowie den Stromverbrauch zu berücksichtigen. Alles in allem eine Entscheidung, die nicht überstürzt getroffen werden sollte. Hat man sich allerdings dafür entschieden, stellt sich auch die Frage, wo fängt man an. Zeige ich einmal meinen Weg auf, welchen ich gewählt habe.

Die Grundlage für viele Dienste: Docker

Docker ist ebenfalls eine Open-Source-Plattform, die für eine Vielzahl von Systemen zur Verfügung steht. Sie ermöglicht es, Anwendungen in Containern isoliert vom eigenen Hostsystem zu betreiben. Mit dieser Methode lassen sich Dienste oft schnell und ohne großen Konfigurationsaufwand selbst ausrollen. Zudem können Updates der einzelnen Container über Watchtower auf Wunsch mit zahlreichen zur Verfügung stehenden Parametern automatisiert werden. Da Docker von Haus aus nur auf der Kommandozeile funktioniert, kann man sich hierbei optional der Software Portainer bedienen. Diese bringt eine grafische Oberfläche mit sich und erleichtert gerade Einsteigern in Docker das Ausrollen und die Verwaltung von Diensten doch erheblich. Portainer selbst ist in einer Community- aber auch einer kostenpflichtigen Business-Variante im Abo nutzbar. Ich selbst nutze aufgrund des größeren Funktionsumfangs selbst die Business-Variante, welche sich mit bis zu fünf Nodes kostenfrei nutzen lässt.

NGINX Proxy-Manager: SSL und Zugriffsbeschränkung einfach gemacht

Der NGINX Proxy Manager wird erwartungsgemäß schnell und komfortabel in Form eines Docker-Containers ausgeliefert. Nach der Installation kann die Administrationsoberfläche im Browser über die IP-Adresse und den definierten Port aufgerufen werden. Die Default-Login-Daten (admin@example.com – changeme) müssen nach dem ersten Login geändert werden. Danach kann bereits der erste Proxy-Host eingerichtet und mit einem kostenlosen SSL-Zertifikat von Let’s Encrypt versehen werden.

Wer den NGINX Proxy Manager mit einer Domain verwendet, muss zuvor den entsprechenden Record in seinen DNS-Einstellungen anlegen. Andernfalls wird nicht nur die ACME-Challenge für die Ausstellung des SSL-Zertifikats fehlschlagen, sondern auch die Weiterleitung nicht funktionieren. Bei einer DDNS-Adresse entfällt dieser Schritt. Da die SSL-Zertifikate jedoch jeweils nur eine Gültigkeit von 90 Tagen haben, verlängert der NPM diese entsprechend automatisch. Sollte es hierbei zu Problemen kommen, erhält der Nutzer eine Benachrichtigung per E-Mail.

Optional können nach erfolgreicher Einrichtung eines Hosts auch Zugriffsbeschränkungen für die entsprechende (Sub-)Domain angelegt werden. Diese erstellt NGINX auf Basis der HTTP Basic Authentication. Beim Aufruf der entsprechenden Adresse erscheint dann eine Abfrage nach Benutzername und Passwort.

Sichere Verbindung ins Heimnetz – WireGuard hilft

Bereits seit 2015 mischt WireGuard den Markt der VPN-Dienste immer mehr auf und verdrängt in verschiedenen Bereichen die Platzhirsche OpenVPN und IPSec. Der Vorteil des Dienstes liegt vor allem in der geringen Anzahl an Konfigurationsoptionen, was eine schnelle Implementierung ermöglicht. Darüber hinaus verwendet WireGuard moderne Verschlüsselungsstandards, die eine Kompromittierung des Netzwerks so schwer wie möglich machen sollen. Da es sich um eine Open-Source-Entwicklung handelt und von zahlreichen Entwicklern unterstützt wird, kann es aus heutiger Sicht als das VPN-Protokoll der Zukunft angesehen werden.

Für eine schnelle und einfache Einrichtung von WireGuard bietet sich bei Verwendung von Docker der Container WG-easy an. Soll WireGuard, aus welchen Gründen auch immer, nativ auf dem Hostsystem betrieben werden, bietet PiVPN eine einfache Installation und Administration über die Kommandozeile. Im Gegensatz zu WG-easy bietet PiVPN jedoch von Haus aus keine Client-Verwaltung über das Web.

Natürlich ist dieser VPN-Dienstnur bedingt, mit kommerziellen VPN-Diensten vergleichbar ist, allerdings bietet er zumindest für die Nutzung in öffentlichen oder fremden Netzwerken eine verschlüsselte Verbindung. Wer mit seinem eigenen WireGuard eine VPN-Verbindung in ein fremdes Land aufbauen möchte, um zum Beispiel Geoblocking zu überwinden, benötigt hierzu im Wunschland einen entsprechenden Server, welcher den Dienst hosten kann. Danach steht aber einer Verbindung in die USA, Kanda oder in eines der zahlreichen Länder Asiens nicht mehr im Wege.

Bitwarden: Der Passwort-Manager

Sichere Passwörter und Zwei-Faktor-Authentifizierung sind inzwischen eigentlich Pflicht, wenn man sicher am digitalen Leben teilnehmen möchte. Hier kommt nun Bitwarden ins Spiel. Mit dem Passwort-Manager lassen sich nicht nur alle Zugangsdaten, welche hoffentlich für jeden Dienst individuell genutzt werden, speichern. Optional lässt sich auch die Zwei-Faktor-Authentisierung, kurz 2FA, mit einrichten. Ich persönlich habe mich aber aus diversen Gründen gegen die Integration in den Passwort-Manager entschieden. Hinzu kommt, dass diese Funktion bei der Nutzung von Bitwarden ein Premium-Abo voraussetzt.Alternativ verwendet den ebenfalls unter Open Source verfügbaren Fork Vaultwarden. Dieser bringt dieselbe Funktionalität wie Bitwarden mit sich, gewährt dem Nutzer zudem allerdings die kostenfreie Nutzung aller Premium-Elemente. Der Nachteil an Vaultwarden: Der Dienst ist nur im Selfhosting verfügbar. Über ein Docker-Stack ist Vaultwarden allerdings schnell installiert und eingerichtet.

Unabhängig davon, ob man sich für Bitwarden oder Vaultwarden entscheidet, gibt es in beiden Fällen eine Sache, die nicht vergessen werden darf. In der mobilen bzw. Desktopanwendung muss die Adresse (z. B. https://vault.eigene-domain.tld) auf jene des eigenen Servers entsprechend angepasst werden. Danach lässt sich der neue Passwort-Manager bereits auf den eigenen Geräten nutzen. Trotzdem empfehle ich dringend sich mit weiteren Einstellungen von Bitwarden, zum Beispiel Loginbenachrichtigungen oder dem Notfallzugang auseinandersetzen. Und wie immer gilt: Ein regelmäßiges Backup ist Pflicht.

Weg von OneDrive und Co? Nextcloud kann eine Lösung sein

In Diskussionen über Cloud-Dienste höre ich vor allem immer wieder, wie schlecht doch die eigenen Daten bei Unternehmen wie Microsoft, Dropbox oder Google aufgehoben sind. Warum also nicht eine eigene, dezentrale Cloud-Instanz betreiben? Nextcloud macht es möglich. Im Gegensatz zu den bisher vorgestellten Diensten gibt es Nextcloud auch als Managed-Hosting-Angebot bei verschiedenen Dienstleistern. Eine Installation auf reinem Webspace ist ebenfalls möglich, aber nicht empfehlenswert. Denn hier fehlt der Zugriff auf die Kommandozeile, mit der man im Notfall eine gecrashte Cloud-Instanz wiederbeleben könnte.

Neben der reinen Datenspeicherung bietet Nextcloud von Haus aus aber noch deutlich mehr Funktionen. Soll es zum Beispiel ein eigenes Online-Office sein? Kein Problem. Auch das Speichern und Verwalten von Kontakten und Kalendern bietet Nextcloud von Haus aus. Unter iOS lassen sich diese sogar bequem per Konfigurationsprofil aus der App heraus in bestehende Apps integrieren. Weitere Funktionen lassen sich bequem über den internen App-Store nachinstallieren.

Je nach Umfang der Nextcloud-Installation kann ein Raspberry Pi mit externer Festplatte ausreichen. Sollen jedoch regelmäßig Daten über das Internet ausgetauscht werden, empfiehlt sich eine leistungsfähigere Hardware. Zudem ist eine ausreichend hohe Uploadrate Pflicht, sonst kommt statt Freude an der eigenen Cloud schnell Frust auf. Was in der Planungsphase ebenfalls berücksichtigt werden sollte, ist die Größe des geplanten Speichers, der der Nextcloud maximal zur Verfügung stehen soll. Dieser sollte zudem am besten in einem RAID-Verbund aufgebaut sein, damit es im Fall der Fälle nicht zu Datenverlusten kommt.

Die Königsdisziplin: Der eigene Mailserver

Die absolute Königsdisziplin in meiner Selfhosting-Reihe ist und bleibt bisher der eigene Mailserver. Diesen betreibe ich mit Mailcow, einem Groupware-Docker-Stack. Die Herausforderung dabei: Er muss nicht nur für einen selbst funktionieren, sondern auch für andere. Denn natürlich will man nicht nur Mails versenden, sondern auch empfangen. Entsprechend wichtig ist es gewissenhaft die Vorgaben der Installationsanleitung zu befolgen.

Mailcow ist Exchange aus Anwendersicht definitiv ebenbürdig

Aus eigener Erfahrung als langjähriger Nutzer von Microsoft Exchange würde ich Mailcow mit diesem aus Anwendersicht definitiv auf eine Stufe stellen. Allerdings hat Mailcow hier entscheidende Vorteile: Diese liegen nicht nur bei den Softwarekosten, sondern auch beim Konfigurations- und Wartungsaufwand sowie den Hardwareanforderungen. Hinzu kommt, dass Mailcow bereits von Haus aus zahlreiche Skripte mitbringt. Diese machen es dem Administrator der Serverinstanz recht einfach. Ich selbst lasse meine Instanz beispielsweise alle 15 Minuten vollautomatisch per mitgeliefertem Skript auf externem Speicher an einem anderen physischen Ort sichern. Ebenfalls bequem per Update-Skript lassen sich Updates einspielen, die etwa einmal im Monat erscheinen. Je nach Hardware und Verbindungsgeschwindigkeit ist dies eine Sache von wenigen Minuten und hat nur eine kurze Downtime des Dienstes zur Folge.

Neben der reinen Groupware-Funktionalität bietet Mailcow auch diverse Sicherheitsfeatures. Dazu gehören das Anti-Spam-Modul Rspamd, das Softwarepaket Netfilter sowie ein eigener ACME-Container. Darüber hinaus unterstützt Mailcow den Administrator bei der Konfiguration von Einstellungen wie DKIM, SPF und DMARC, die zwar optional, aber heutzutage fast obligatorisch sind. Auch andere DNS-Einträge, die die Einrichtung von Mail-Clients im späteren Betrieb erleichtern, werden von Mailcow direkt bereitgestellt. Diese müssen dann nur noch entsprechend den Vorgaben in der Domain-Verwaltung beim Domain-Provider hinterlegt werden.

Egal ob Browser oder Mailclient – Es funktioniert überall

Als Webmailer bringt Mailcow SOGo mit. An sich nicht wirklich aufregend, aber funktional. Natürlich lässt sich der Account von Mailcow auch in Outlook, Thunderbird und jedem anderen Mail-Programm nutzen. Für Nutzer von Apple-Geräten besteht auch hier wieder die Möglichkeit den kompletten Account per Konfigurationsprofil vollautomatisch auf dem Gerät einrichten zu lassen.

Wer sich den vollen Umfang von Mailcow einmal selbst anschauen möchte, hat an dieser Stelle Zugriff auf eine Demo-Installation, welche von den Entwicklern zur Verfügung gestellt wird. Mit den Logindaten admin – moohoo kann man sich dann entsprechend einloggen. Dies sind auch die Standard-Logindaten bei einer Neuinstallation.

Wer nun Gefallen an Mailcow gefunden hat, findet die Installationsanleitung an dieser Stelle. Alternativ kann Mailcow für Nutzer, welche sich den Betrieb nicht zutrauen, aber trotzdem einen eigenen Maildienst nutzen wollen, auch als Managed-Paket gebucht werden.

Fazit: Hat Selfhosting das Potential für die Masse?

Es gibt eine Reihe von Gründen, warum Menschen sich für Self-Hosting entscheiden. Dazu gehören eine bessere Kontrolle über die eigenen Daten, Sicherheit und Datenschutz sowie die Möglichkeit, bestimmte Anwendungen und Dienste anzupassen und zu optimieren. Doch auch diese Medaille hat zwei Seiten. Das Fazit meines Tests fällt daher leider negativ aus. Selfhosting ist nicht für jeden Nutzer eine sinnvolle oder gar praktikable Option.

Die Gründe dafür liegen auf der Hand: Hardware und Dienste einzurichten und zu betreiben erfordert nicht nur entsprechende Kenntnisse, sondern auch Zeit und den Willen, sich dauerhaft damit zu beschäftigen. Sollen die Dienste von den eigenen vier Wänden aus betrieben werden, stellt sich zudem gerade in Deutschland die Herausforderung einer zeitgemäßen Internetanbindung. Auch die mit dem Selfhosting verbundenen Kosten können auf Dauer eine Herausforderung darstellen. Hier sollte jedoch ein Vergleich mit Hosting-Diensten gezogen werden.

Leider kein Konzept für die Massen

Schließlich erfordert Selfhosting zeitaufwändigen und engagierten Einsatz. Einen Server einzurichten, zu warten und zu aktualisieren erfordert je nach Anzahl der Dienste einen erheblichen Zeit- und Arbeitsaufwand. Und natürlich muss neben dem Betrieb der Dienste und des Servers auch die Systemsicherheit gewährleistet sein. Wem schon hier die Zeit, das Wissen oder der Wille zur dauerhaften Administration fehlt, der sollte tatsächlich bei bestehenden Diensten bleiben oder wie im Falle von Nextcloud z.B. auf einen Hosting-Partner zurückgreifen. Selfhosting kann aber durchaus eine gute Alternative zu den etablierten Global Playern sein, wenn man all diese Punkte für sich positiv beantworten kann. Ich für meinen Teil werde die bestehenden Dienste, welche nun bereits seit geraumer Zeit nutze, weiterhin betreiben, da sie mir im Kosten-Nutzen-Verhältnis definitiv Vorteile bringen.

Wie sieht es bei euch aus? Betreibt ihr eure eigenen Dienste zu Hause oder auf einem Server in einem Rechenzentrum, oder seid ihr nach wie vor „klassisch“ bei den Global Playern verwurzelt? Oder habt ihr euch für eine ganz andere Strategie entschieden? Lasst es uns wissen und kommentiert.