1 Was ist ein VPS?

VPS = Virtual Private Server: ein eigener, virtueller Server in einem Rechenzentrum, den du komplett kontrollierst — rund um die Uhr online, mit eigener IP-Adresse und vollem Root-Zugriff.

2 VPS vs. Shared Hosting vs. große Cloud

Drei Wege, etwas online zu betreiben — der VPS ist der Sweet Spot aus Kontrolle und Einfachheit.

3 Was du brauchst

1 Provider wählen & VPS bestellen

Es gibt viele gute Anbieter. Wir zeigen den Ablauf an Hostinger — bei Hetzner, Netcup & Co. ist er fast identisch.

• Plan: ein kleiner VPS reicht zum Start — 1–2 vCPU, ~4 GB RAM, etwas SSD.
• Betriebssystem: Ubuntu LTS (Long-Term-Support) — stabil, riesige Community, das nutzen wir hier.
• Standort: ein EU-Rechenzentrum (z. B. Deutschland) — gut für Datenschutz & Latenz.
• Nach dem Bestellen bekommst du die IP-Adresse + erste Zugangsdaten (root-Passwort oder Key).

Hostinger VPS ansehen ↗ (Affiliate-Link — unterstützt FL Pro, kostet dich nichts extra)

Hostinger — VPS anlegen

Plan-Auswahl bei Hostinger (KVM-Pläne). Betriebssystem (Ubuntu LTS) und Rechenzentrum wählst du danach im Bestellschritt. Übertragbar auf Hetzner & Co.

Versionsstand: Hostinger-Oberfläche · Stand Juni 2026 (UIs ändern sich).

2 Was du jetzt in der Hand hast

Nach dem Bestellen hast du drei Dinge: eine IP-Adresse (z. B. 203.0.113.10), einen Benutzer (meist root) und ein Passwort oder einen Key. Damit loggst du dich gleich per SSH ein (Stufe 3).

1 Was ist SSH — und der erste Login

SSH (Secure Shell) ist eine verschlüsselte Verbindung, über die du den Server aus der Ferne im Terminal bedienst — als säßest du davor.

Der Login-Befehl ist überall gleich — ssh ist in Windows 10/11, macOS und Linux eingebaut:

Terminal — SSH-Login

Der erste Login auf den frischen Server — Fingerprint mit yes bestätigen, dann das Provider-Passwort.

2 SSH-Keys statt Passwort

Passwörter kann man raten. Ein SSH-Schlüsselpaar ist deutlich sicherer — und bequemer (kein Tippen mehr).

Aufnahme — Key erzeugen & einloggen

Ablauf: Schlüsselpaar mit ssh-keygen erzeugen, öffentlichen Key per ssh-copy-id auf den Server bringen, danach loggt ssh root@… ohne Passwort ein.

3 Bequemer Login mit ~/.ssh/config

Statt jedes Mal IP und Benutzer zu tippen, gib deinem Server einen Namen:

Host meinserver
    HostName 203.0.113.10
    User root
    IdentityFile ~/.ssh/id_ed25519

1 System aktualisieren & eigener Benutzer

Zuerst alle Pakete aktuell — dann weg vom root-Dauerbetrieb: ein eigener Benutzer mit sudo-Rechten.

2 Swap: der RAM-Airbag für kleine Server

Günstige VPS starten oft mit 1–2 GB RAM. Läuft der Speicher voll, schlägt der Linux-OOM-Killer zu und beendet Prozesse ohne Vorwarnung — im Zweifel genau deinen n8n-Container. Eine Swap-Datei ist der Airbag: nicht schnell, aber sie verhindert den Absturz.

3 root- & Passwort-Login abschalten

Sobald der Key-Login als max klappt: Passwort- und root-Login aus.

PermitRootLogin no
PasswordAuthentication no

4 Firewall, fail2ban & Auto-Updates

Nur die Ports offen, die du brauchst — der Rest dicht.

5 Achtung Falle: Docker geht an ufw vorbei

Der am häufigsten übersehene Punkt beim Self-Hosting: Docker schreibt eigene Firewall-Regeln und umgeht ufw. Ein Container, den du mit -p 5432:5432 startest, ist von außen erreichbar — obwohl ufw status nur 22/80/443 anzeigt.

1 Eine Seite ausliefern

Wir nehmen einen winzigen nginx-Container (Docker kennst du aus Workshop 1) und legen ihm deine HTML-Dateien hinein.

2 Was hier passiert

• -v ~/site:/usr/share/nginx/html:ro — dein Ordner landet (nur lesbar) im Container, wo nginx ihn ausliefert.
• -p 80:80 — Port 80 (HTTP) des Servers zeigt auf den Container. Darum erreichst du die Seite direkt über die IP.
• --restart unless-stopped — der Container kommt nach einem Reboot von selbst wieder.

1 Wie DNS funktioniert

DNS ist das Telefonbuch des Internets: es übersetzt deine Domain in die IP-Adresse deines Servers.

2 Den A-Record setzen

Im DNS-Bereich deines Domain-Anbieters legst du Einträge an, die auf deine Server-IP zeigen:

Typ   Name   Wert
A     @      203.0.113.10     # die Hauptdomain
A     www    203.0.113.10     # www-Variante
A     n8n    203.0.113.10     # Subdomain für später (Stufe 8)

1 Warum ein Reverse Proxy?

Niemand soll Ports tippen. Ein Reverse Proxy nimmt alle Anfragen auf 80/443 entgegen, kümmert sich um HTTPS und verteilt nach Domain an den richtigen Dienst.

2 Nginx Proxy Manager starten

NPM ist ein Reverse Proxy mit einfacher Web-Oberfläche — ideal zum Einstieg.

services:
  npm:
    image: jc21/nginx-proxy-manager:latest
    restart: unless-stopped
    ports: [ "80:80", "443:443", "81:81" ]   # 81 = Admin-Web-UI
    volumes: [ "./data:/data", "./letsencrypt:/etc/letsencrypt" ]

3 Proxy-Host + HTTPS anlegen

In der NPM-Oberfläche legst du pro Domain einen „Proxy Host" an — und holst das Zertifikat mit zwei Klicks.

• Domain Names: deinedomain.de
• Forward Hostname/Port: der Website-Container (z. B. web : 80) — im selben Docker-Netz wie NPM
• SSL-Tab: „Request a new SSL Certificate" + „Force SSL" → Let's-Encrypt-Zertifikat, automatisch erneuert

Nginx Proxy Manager — Proxy Host + SSL

Ablauf: Neuen Proxy Host anlegen, Domain eintragen, Ziel web:80, dann im SSL-Tab ein Let's-Encrypt-Zertifikat anfordern und „Force SSL" aktivieren — die Seite ist danach unter https:// erreichbar.

1 n8n als Container starten

Jetzt der echte Dienst. n8n startest du wie in Workshop 1 — mit einem Volume für die Workflows und im selben Docker-Netz wie der Proxy.

services:
  n8n:
    image: docker.n8n.io/n8nio/n8n
    restart: unless-stopped
    environment:
      N8N_HOST: n8n.deinedomain.de
      WEBHOOK_URL: https://n8n.deinedomain.de/
    volumes: [ "n8n_data:/home/node/.n8n" ]
    networks: [ web ]
volumes: { n8n_data: {} }
networks: { web: { external: true } }

2 Hinter den Proxy hängen

Wie in Stufe 7 — nur eine zweite Subdomain. In NPM einen neuen Proxy-Host anlegen:

• Domain Names: n8n.deinedomain.de (der A-Record dafür steht schon aus Stufe 6)
• Forward Hostname/Port: n8n : 5678
• SSL: Let's-Encrypt-Zertifikat anfordern + „Force SSL"

1 Updates: System + Container

Zwei Ebenen aktuell halten: das Betriebssystem und deine Container.

2 Watchtower: n8n automatisch aktuell

n8n bringt fast im Wochentakt Updates — die von Hand zu ziehen, nervt. Watchtower übernimmt das automatisch.

services:
  watchtower:
    image: containrrr/watchtower
    restart: unless-stopped
    volumes: [ "/var/run/docker.sock:/var/run/docker.sock" ]
    command: --cleanup --schedule "0 0 4 * * *"   # täglich 04:00 Uhr

3 Backups als Sicherheitsnetz

Gerade mit Auto-Updates gilt: ein nächtliches Backup, das du zurückspielen kannst. Und zwar weg vom Server — ein Backup auf derselben SSD stirbt mit dem Server.

1 Uptime-Kuma: dein Status-Dashboard

Uptime-Kuma prüft regelmäßig, ob deine Dienste erreichbar sind — mit hübschem Dashboard, Statusseite und Alerts (E-Mail/Telegram).

2 Server-Gesundheit per CLI

Für den schnellen Blick brauchst du kein extra Tool — vier Befehle reichen.

3 Docker-Logs: die unterschätzte Plattenfalle

Klassiker nach ein paar Wochen Betrieb: df -h zeigt 100 %, obwohl du „nichts" installiert hast. Schuld sind meist Container-Logs — Docker schreibt sie standardmäßig unbegrenzt mit.

{
  "log-driver": "json-file",
  "log-opts": { "max-size": "10m", "max-file": "3" }
}

4 Sicherheits-Recap & wie es weitergeht

Die sechs Dinge, die deinen Server sicher halten — als Merkliste fürs Gewissen:

1 Was ist Portainer?

Portainer ist eine Weboberfläche für Docker: Du siehst alle laufenden Container, Images, Volumes und Netzwerke, kannst Dienste per Klick starten, stoppen und neu starten — und liest Logs direkt im Browser.

2 Installation

Portainer läuft selbst als Container. Wichtigster Teil: der Mount des Docker-Sockets — darüber steuert Portainer dein Docker.

3 Rundgang: die wichtigsten Ansichten

Drei Bereiche nutzt du im Alltag am häufigsten — alles erreichbar über die Seitenleiste nach dem Klick auf deine „local"-Umgebung.

4 Sicherheit: der Socket ist heilig

Wer /var/run/docker.sock kontrolliert, ist praktisch root auf dem Server. Portainer ist damit ein hochwertiges Ziel — behandle es entsprechend.

▶ SSH & Dateien

🧩 Server & Docker

★ Gute Gewohnheiten

• SSH-Keys statt Passwort, kein root-Login, Firewall an.
• Dienste nur hinter dem Reverse Proxy — kein offener Port nach außen. Achtung: Docker umgeht ufw bei -p-Mappings — im Zweifel an 127.0.0.1 binden.
• Swap auf kleinen VPS als RAM-Airbag; Docker-Logs per daemon.json begrenzen.
• Automatische Backups (mit Offsite-Kopie), bevor du Auto-Updates (Watchtower) anschaltest — und den Restore einmal testen.
• Secrets in eine .env, nie im Klartext in geteilte Dateien.