Self-Hosted Control Panel auf Netcup installieren & härten: Coolify v4, CloudPanel v2 & HestiaCP im Vergleich

Bevor Sie ein Installationsskript starten, sollten Sie die Architektur des Control Panels genau auf Ihren Workload abstimmen. Ein klassischer Fehler ist die Installation von HestiaCP für containerisierte Next.js/Go-Apps oder die Installation von Coolify auf einem kleinen 2-GB-VPS, auf dem parallele Nixpacks/Dockerfile-Builds den Arbeitsspeicher sprengen.

Der fundamentale Unterschied liegt im Isolationsmodell: Coolify v4 orchestriert jede Anwendung und jede Datenbank als eigenen Docker-Container hinter einem Traefik- bzw. Caddy-Edge-Proxy und übersetzt Git-Repositories mittels Nixpacks oder BuildKit in OCI-Container-Images. CloudPanel v2 und HestiaCP hingegen verzichten bewusst auf die Container-Schicht und konfigurieren systemd-Dienste direkt auf dem Host-Kernel (Nginx, isolierte PHP-FPM-Unix-Sockets pro Linux-Systembenutzer sowie einen zentralen MariaDB/MySQL-Server), was den Grundbedarf an Arbeitsspeicher halbiert, aber keine isolierten Multi-Container-Microservices bereitstellt.

Coolify v4 verwandelt einen mit 8 GB RAM ausgestatteten Netcup VPS 1000 G12.5 oder RS 1000 G12.5 in eine vollwertige Platform-as-a-Service für Next.js, Astro, Go, Python, Rust und Laravel inklusive Ein-Klick-Datenbanken für PostgreSQL, MySQL, Redis, Dragonfly und MongoDB.

Da der Coolify-Installer die Docker Engine einrichtet und einen unauthentifizierten Onboarding-Bildschirm auf Port 8000/tcp startet, lassen Sie Port 8000 niemals ungeschützt im öffentlichen Internet offen. Prüfen Sie das Installationsskript, führen Sie es aus, registrieren Sie Ihr Admin-Konto über einen lokalen SSH-Tunnel (-L 8000:127.0.0.1:8000), hinterlegen Sie Ihre HTTPS-Domain (coolify.example.com) und blockieren Sie Port 8000 anschließend dauerhaft in der SCP Firewall.

Darüber hinaus sollten Sie vor dem ersten Git-Build zwingend eine 4 GB große Swap-Datei auf dem schnellen NVMe-Speicher Ihres Netcup-Servers mit vm.swappiness=10 anlegen. Während des Kompilierens moderner TypeScript/Next.js- oder Rust-Anwendungen erzeugen Webpack-, Turbopack- oder rustc-Prozesse kurzzeitige Arbeitsspeicherspitzen von 4 bis 6 GB; das NVMe-Swap-Polster fängt diese Build-Spitzen zuverlässig ab, ohne dass der Linux-OOM-Killer Ihre laufenden Datenbank-Container beendet.

# 1. Sauberes Ubuntu 24.04 System aktualisieren und UFW VOR dem Start von Coolify konfigurieren
sudo apt update && sudo apt full-upgrade -y
sudo apt install -y curl wget git jq ufw

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp comment 'SSH'
sudo ufw allow 80/tcp comment 'Traefik HTTP'
sudo ufw allow 443/tcp comment 'Traefik HTTPS'
sudo ufw allow 443/udp comment 'Traefik HTTP/3'
sudo ufw --force enable

# 2. Offizielles Coolify-v4-Installationsskript herunterladen und prüfen
curl -fsSL https://cdn.coollabs.io/coolify/install.sh -o /tmp/install-coolify.sh
less /tmp/install-coolify.sh

# 3. Geprüften Installer als root ausführen
sudo bash /tmp/install-coolify.sh

# 4. Erstregistrierung sicher über einen lokalen SSH-Tunnel vom eigenen Rechner aus durchführen:
# ssh -L 8000:127.0.0.1:8000 root@IHRE_NETCUP_IP -> http://localhost:8000 im Browser öffnen

# Parallele Nixpacks- / Next.js- / Rust-Builds in Coolify können kurzzeitig viel RAM anfordern.
# 4 GB Swap-Datei auf dem schnellen Netcup-NVMe-Storage mit konservativem swappiness=10 anlegen:
sudo fallocate -l 4G /swapfile
sudo chmod 0600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab
echo 'vm.swappiness=10' | sudo tee /etc/sysctl.d/99-swappiness.conf
sudo sysctl --system
free -h

               total        used        free      shared  buff/cache   available
Mem:           7.8Gi       1.1Gi       5.4Gi        24Mi       1.3Gi       6.4Gi
Swap:          4.0Gi          0B       4.0Gi

Wenn Ihr Fokus auf WordPress, WooCommerce, Magento, Laravel, Symfony oder Node.js/Python-Anwendungen liegt und Sie maximale Req/s-Performance ohne Container-Overhead wünschen, ist CloudPanel v2 auf Debian 12 und Ubuntu 24.04 eine erstklassige Wahl. Es installiert natives Nginx mit Brotli/Zstd, isolierte Linux-Systembenutzer pro Website (site-user), parallele PHP-FPM-Pools (7.1 bis 8.4), Redis-Object-Caching, Varnish-Page-Caching sowie MariaDB 11.4 oder MySQL 8.0.

Aus Sicherheitssicht überzeugt CloudPanel durch seine strikte Mandantentrennung auf Betriebssystemebene: Jede angelegte Website erhält einen eigenen unprivilegierten Linux-Benutzer (/home/<site-user>) und einen dedizierten PHP-FPM-Socket (/run/php/<site-user>.sock) mit strengen Dateisystem-ACLs. Selbst wenn ein veraltetes WordPress-Plugin auf einer Website kompromittiert werden sollte, kann der PHP-Prozess weder auf die Konfigurationsdateien noch auf die Datenbank-Zugangsdaten benachbarter Websites auf demselben Netcup-Server zugreifen.

# 1. Basispakete auf einem frischen Ubuntu 24.04 LTS Netcup-Server aktualisieren
sudo apt update && sudo apt -y upgrade
sudo apt -y install curl wget sudo

# 2. Offizielles CloudPanel-Installationsskript herunterladen und prüfen
curl -sS https://installer.cloudpanel.io/ce/v2/install.sh -o /tmp/install-cloudpanel.sh
head -n 45 /tmp/install-cloudpanel.sh

# 3. Installer mit MariaDB 11.4 (oder MYSQL_8.0) als Datenbank-Engine ausführen
sudo DB_ENGINE=MARIADB_11.4 bash /tmp/install-cloudpanel.sh

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
The installation of CloudPanel is complete!
CloudPanel can be accessed now: https://203.0.113.10:8443
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Wenn Sie ein klassisches Multi-User-Control-Panel benötigen, das Nginx + PHP-FPM-Webhosting mit einer vollwertigen eigenen E-Mail-Suite (Exim4 SMTP, Dovecot IMAP/POP3, Roundcube Webmail, Sieve-Filter und DKIM-Signierung) vereint, ist HestiaCP die ressourcenschonendste Open-Source-Lösung.

Beim Aufruf des HestiaCP-Installers auf Servern mit 4 GB bis 8 GB RAM empfiehlt es sich dringend, die Flags --apache no (reiner Nginx + PHP-FPM-FastCGI-Betrieb ohne doppelten Webserver-Overhead) und --clamav no zu setzen. Der ClamAV-Virensignatur-Daemon hält seine gesamte Signaturdatenbank dauerhaft unkomprimiert im Arbeitsspeicher und belegt allein rund 1,1 bis 1,4 GB RAM, während SpamAssassin in Kombination mit DNSBL-Blocklisten und Sieve-Filtern nur wenige Megabyte Speicher für eine zuverlässige Spam-Filterung benötigt.

Wichtige Voraussetzung für den E-Mail-Versand: Bevor Sie über HestiaCP ausgehende E-Mails auf einem Netcup VPS oder Root Server versenden, müssen Sie im Netcup Server Control Panel (SCP -> Network -> Reverse DNS) passende IPv4- und IPv6-Reverse-DNS-Einträge (PTR) hinterlegen, die exakt mit Ihrem HestiaCP-Hostnamen (z. B. mail.example.com) übereinstimmen.

# 1. Offiziellen HestiaCP-Release-Installer herunterladen und prüfen
wget https://raw.githubusercontent.com/hestiacp/hestiacp/release/install/hst-install.sh -O /tmp/hst-install.sh
less /tmp/hst-install.sh

# 2. Installer mit Nginx + Multi-PHP + MariaDB + Exim4 + Dovecot + Sieve ausführen
# Hinweis: Auf <=8-GB-Instanzen ClamAV (--clamav no) weglassen, um ~1,1 GB dauerhaften RAM-Verbrauch zu sparen
sudo bash /tmp/hst-install.sh \
  --nginx yes \
  --apache no \
  --phpfpm yes \
  --multiphp yes \
  --named no \
  --mysql yes \
  --exim yes \
  --dovecot yes \
  --sieve yes \
  --clamav no \
  --spamassassin yes \
  --iptables yes \
  --fail2ban yes \
  --hostname panel.example.com \
  --email [email protected] \
  --port 8083

Unabhängig davon, ob Sie sich für Coolify (8000), CloudPanel (8443) oder HestiaCP (8083) entschieden haben: Wenn der rohe Administrationsport dauerhaft für 0.0.0.0/0 erreichbar bleibt, ist Ihr Login-Endpunkt permanent automatisierten Credential-Stuffing-Angriffen und Port-Scannern ausgesetzt.

Da die Stateful Firewall im Netcup Server Control Panel (SCP) auf der Hypervisor-Bridge-Ebene außerhalb Ihrer VM arbeitet, greift sie selbst bei Ports, die von Docker-Containern veröffentlicht werden (wie Port 8000 und 6001 bei Coolify). Konfigurieren Sie Ihre SCP-Firewall-Regeln wie folgt und testen Sie das jeweilige CLI-Backup-Werkzeug:

# --- Option A: Coolify v4 (Internen PostgreSQL-Control-Plane-Dump sichern) ---
sudo docker exec coolify-db pg_dump -U coolify -d coolify -Fc > /var/backups/coolify-control-plane.pgdump
ls -lh /var/backups/coolify-control-plane.pgdump

# --- Option B: CloudPanel v2 (Natives Site- & Datenbank-Backup über clpctl starten) ---
sudo clpctl backup:run --ignoreDatabases=no
ls -la /home/*/backups/

# --- Option C: HestiaCP (v-backup-users ausführen und Tar-Archive unter /backup prüfen) ---
sudo /usr/local/hestia/bin/v-backup-users
ls -lh /backup/