Wer sein Smartphone konsequent von Google oder Apple entkoppelt, stößt früh auf eine Lücke: Wohin mit Backups, Passwörtern und Fotos, wenn weder Google Drive noch iCloud infrage kommen? Die Antwort, die in Anleitungen zu Backups, Passwortmanagern und Kalender-Synchronisation auf dieser Seite immer wieder als Option auftaucht, aber nie im Detail erklärt wird, lautet: eine eigene Cloud selbst hosten. Dieser Artikel zeigt, wie du mit Nextcloud, Vaultwarden und Immich drei bewährte, quelloffene Lösungen selbst betreibst - für Dateien, Passwörter und Fotos in deiner eigenen Hand.

Warum überhaupt selbst hosten?

Der offensichtliche Vorteil: Deine Daten liegen auf Hardware, die du kontrollierst, statt auf Servern eines Konzerns, dessen Geschäftsmodell auf Datenauswertung beruht. Das ist aber nicht der einzige Grund. Selbst gehostete Dienste lassen sich beliebig erweitern, unterliegen keinen plötzlichen Preiserhöhungen oder Funktionskürzungen, und du bist nicht davon abhängig, dass ein Anbieter seinen Dienst überhaupt weiterbetreibt. Der Nachteil ist ebenso real: Du übernimmst die Verantwortung für Updates, Backups deines Servers selbst und die Absicherung gegen Ausfälle - Self-Hosting ist ein Tausch von Kontrollverlust gegen Eigenverantwortung, nicht ein reiner Gewinn ohne Aufwand.

Nextcloud: Die Basis für Dateien, Kalender und Kontakte

Nextcloud ist die mit Abstand etablierteste selbst gehostete Cloud-Plattform und deckt weit mehr ab als reine Dateispeicherung: Kalender- und Kontakt-Synchronisation, Notizen, Office-Dokumente über die integrierte Collabora-Anbindung und viele weitere Apps über ein eigenes App-Verzeichnis.

Installation mit Nextcloud All-in-One

Die aktuell empfohlene Installationsmethode ist Nextcloud All-in-One (AIO): ein einziges Docker-Image, das den kompletten Stack - Webserver, Datenbank, Nextcloud selbst und automatische HTTPS-Zertifikate - verwaltet. Vorausgesetzt wird lediglich eine kleine Linux-VM oder ein Heimserver mit installiertem Docker. Im Vergleich zur früheren manuellen Installation über einzelne Pakete ist das für Einsteiger deutlich zugänglicher, da Updates und Komponentenverwaltung automatisiert ablaufen.

Praktischer Einstieg

  1. Docker auf deinem Server oder Raspberry Pi installieren
  2. Das offizielle Nextcloud-AIO-Image starten
  3. Über die Weboberfläche einen Administrator-Account anlegen
  4. Die Nextcloud-App auf dem Handy installieren (über F-Droid oder Aurora Store) und mit deinem Server verbinden
  5. Kalender- und Kontakt-Synchronisation über CalDAV/CardDAV aktivieren - wie das im Detail auf Android eingerichtet wird, zeigt unser separater Artikel zur Kalender- und Kontakte-Synchronisation ohne Google

Vaultwarden: Dein eigener Passwortmanager-Server

Wer Bitwarden als Passwortmanager nutzt, kennt bereits die Client-Apps - Vaultwarden ersetzt lediglich den Server dahinter durch eine inoffizielle, in Rust geschriebene Neuimplementierung, die mit allen offiziellen Bitwarden-Clients kompatibel ist. Der entscheidende Vorteil gegenüber dem offiziellen, ressourcenhungrigen Bitwarden-Server: Vaultwarden läuft mit unter 50 MB Arbeitsspeicher problemlos auch auf einem Raspberry Pi.

Wie Bitwarden und vergleichbare Passwortmanager grundsätzlich funktionieren und worauf du bei der App-Auswahl achten solltest, erklärt unser Artikel zu Passwortmanagern für Android - Vaultwarden ist dort die selbst gehostete Alternative zum cloud-basierten Bitwarden-Angebot.

Sicherheitsaspekte bei Vaultwarden

Die eigentliche Verschlüsselung deiner Passwörter passiert clientseitig auf deinem Gerät, bevor überhaupt Daten den Server erreichen - der Server sieht nur den verschlüsselten Tresor, nie deine Zugangsdaten im Klartext. Trotzdem gilt: Ein selbst gehosteter Server ist nur so sicher wie seine Absicherung. Zwingend notwendig sind HTTPS mit gültigem Zertifikat, regelmäßige Updates und - besonders wichtig - eine Zwei-Faktor-Authentifizierung für den Zugriff auf den Tresor selbst, falls dein Master-Passwort kompromittiert werden sollte.

Immich: Private Foto-Cloud statt Google Fotos

Immich ist die jüngste der drei Lösungen und speziell auf automatisches Foto- und Video-Backup vom Smartphone ausgelegt - als direkter Ersatz für Google Fotos oder iCloud-Fotos. Die App auf dem Handy lädt neue Aufnahmen automatisch im Hintergrund auf deinen Server hoch, sobald eine WLAN-Verbindung besteht.

Funktionsumfang

Immich bietet trotz Self-Hosting einen überraschend modernen Funktionsumfang: Zeitleisten-Ansicht, geteilte Alben, Gesichtserkennung und Kartenansicht laufen lokal auf deinem Server, ohne dass Fotos ein fremdes Rechenzentrum durchlaufen. Die offizielle Empfehlung für die Backup-Strategie folgt dabei dem 3-2-1-Prinzip: mindestens eine lokale Kopie für schnelle Wiederherstellung und eine externe oder Offline-Kopie als Schutz vor Totalausfall - Immich selbst ersetzt also kein zusätzliches Backup deines Servers, sondern ist die erste Kopie in dieser Kette.

Zugriff von unterwegs: Der oft unterschätzte Teil

Der technisch anspruchsvollste Teil beim Self-Hosting ist selten die Installation der Dienste selbst, sondern der sichere Zugriff von unterwegs. Drei gängige Ansätze:

Reverse Proxy mit eigener Domain: Ein Dienst wie Nginx Proxy Manager leitet Anfragen an deine Dienste weiter und verwaltet automatisch gültige HTTPS-Zertifikate - erfordert eine eigene Domain und eine öffentlich erreichbare Adresse.

VPN zum Heimnetz: Ein WireGuard-Tunnel zu deinem Router verbindet dein Handy unterwegs so, als wärst du zu Hause im WLAN - keine öffentlich erreichbaren Dienste nötig, dafür muss das VPN aktiv sein.

Tunnel-Dienste: Anbieter wie Cloudflare Tunnel stellen eine Verbindung her, ohne dass du Ports in deinem Router öffnen musst - praktisch für den Einstieg, bedeutet aber, dass verschlüsselter Datenverkehr durch die Infrastruktur eines Drittanbieters läuft.

Für den Einstieg ist die VPN-Variante meist die pragmatischste Wahl, da sie ohne öffentlich erreichbare Ports auskommt und damit die Angriffsfläche am kleinsten hält.

Sicherheitshärtung des eigenen Servers

Ein selbst gehosteter Server, der von außen erreichbar ist, wird automatisch zum potenziellen Angriffsziel - anders als ein Dienst, den ein großer Anbieter mit eigenem Sicherheitsteam betreibt. Grundlegende Absicherung, die bei keiner Self-Hosting-Installation fehlen sollte:

Automatische Updates aktivieren, wo immer möglich, statt Sicherheitspatches manuell nachzuziehen. Docker-Images lassen sich mit Tools wie Watchtower automatisch aktuell halten, auch wenn eine gewisse Kontrolle über den Update-Zeitpunkt sinnvoll bleibt, um Kompatibilitätsprobleme früh zu erkennen.

Firewall-Regeln restriktiv setzen: Nur die tatsächlich benötigten Ports nach außen öffnen, alles andere blockieren. Ein Reverse Proxy sollte idealerweise der einzige öffentlich erreichbare Dienst sein, während Datenbank und interne Container ausschließlich im internen Docker-Netzwerk kommunizieren.

Fail2ban oder vergleichbare Tools blockieren automatisch IP-Adressen nach mehreren fehlgeschlagenen Login-Versuchen und reduzieren damit die Angriffsfläche für automatisierte Brute-Force-Versuche erheblich.

Regelmäßige, getestete Backups des Servers selbst - nicht nur der Nutzdaten, sondern auch der Konfiguration. Ein Backup, das nie auf Wiederherstellbarkeit getestet wurde, ist im Ernstfall oft wertlos.

Migration: Der praktische Umstieg von Google und Apple

Der Wechsel muss nicht abrupt erfolgen. Ein bewährter, schrittweiser Ablauf minimiert das Risiko, mitten im Umstieg den Überblick zu verlieren:

  1. Zuerst Immich für neue Fotos parallel laufen lassen, während Google Fotos oder iCloud-Fotos weiter aktiv bleiben - erst nach einigen Wochen zuverlässigem Betrieb die alte Quelle deaktivieren
  2. Bestehende Fotos und Dateien in einem zweiten Schritt migrieren, statt alles auf einmal zu übertragen - große Datenmengen brauchen ohnehin Zeit für den initialen Upload
  3. Vaultwarden erst nach einer Testphase mit unwichtigen Zugangsdaten für die kritischen Konten wie Haupt-E-Mail oder Banking nutzen, um Vertrauen in die Stabilität der eigenen Infrastruktur aufzubauen
  4. Nextcloud-Kalender und -Kontakte parallel zu bestehenden Google-Diensten synchronisieren, bis sich alle Geräte zuverlässig mit dem neuen Server verbinden - wie diese Synchronisation im Detail funktioniert, erklärt unser Artikel zu DAVx5

Wartungsaufwand realistisch einschätzen

Self-Hosting ist kein einmaliges Projekt, sondern eine fortlaufende Aufgabe. Realistisch solltest du einplanen: monatliche Sicherheitsupdates für Server-Betriebssystem und Docker-Images, gelegentliche Versions-Upgrades der Dienste selbst, und ein eigenes Backup-Konzept für deinen Server - denn eine eigene Cloud, die selbst kein Backup hat, verlagert das Datenverlust-Risiko nur, statt es zu lösen. Wer sich diesen Aufwand nicht dauerhaft zutraut, sollte eher einen kleinen, vertrauenswürdigen deutschen Hosting-Anbieter mit vorkonfigurierter Nextcloud-Instanz in Betracht ziehen als den Selbstbetrieb zu erzwingen.

Fazit: Ein Server, drei Bausteine für digitale Unabhängigkeit

Nextcloud, Vaultwarden und Immich lassen sich auf ein und derselben, bescheidenen Hardware gemeinsam betreiben und decken zusammen die drei Bereiche ab, die am häufigsten an Google oder Apple hängen bleiben: Dateien und Kalender, Passwörter und Fotos. Der Einstieg lohnt sich am ehesten schrittweise - beginne mit dem Dienst, den du am dringendsten brauchst, richte die sichere Fernzugriffs-Lösung sauber ein, und ergänze die anderen Bausteine erst, wenn der erste stabil läuft. Der größte Gewinn ist nicht die technische Spielerei, sondern dass am Ende niemand außer dir Zugriff auf deine Backups, Passwörter und Fotos hat.