- Ein Reverse Proxy ist eine zentrale Anlaufstelle: Er nimmt alle Anfragen aus dem Internet an einer Adresse entgegen und verteilt sie intern an den richtigen Dienst. Nach außen bleibt nur ein einziger Port offen.
- Er übernimmt die HTTPS-Verschlüsselung für alle Dienste an einer Stelle und holt sich die nötigen Zertifikate automatisch von Let’s Encrypt.
- Er ist keine Firewall und kein VPN. Einen unsicheren Dienst macht er nicht sicher — dafür braucht es eine vorgeschaltete Anmeldung und regelmäßige Updates.
- Mit Klick-Oberfläche einsteigerfreundlich ist der Nginx Proxy Manager; wer Textdateien mag, nimmt Caddy; für Docker-lastige Setups passt Traefik.
Subdomains, Zertifikate, Portfreigaben — an dieser Stelle steigen viele aus und rufen ihre Dienste weiter nur über IP-Adresse und Portnummer auf, jedes Mal mit Browser-Warnung. Dieser Artikel erklärt von Grund auf, was ein Reverse Proxy ist, was er für dich erledigt und wo seine Grenzen liegen.
Was ist ein Reverse Proxy?
Ein Reverse Proxy (wörtlich „umgekehrter Vermittler“) ist ein Programm, das eingehende Anfragen aus dem Internet an einer zentralen Stelle annimmt und sie an die dahinterliegenden internen Dienste weiterreicht. Der Besucher spricht immer nur den Proxy an — welche Server, IP-Adressen und Ports (die nummerierten Türen, über die ein Programm im Netzwerk ansprechbar ist) dahinter arbeiten, bekommt er nie zu sehen.
Das Bild dazu: der Empfang in einem Bürogebäude. Alle Besucher kommen durch eine Tür, melden sich am Tresen und werden von dort zur richtigen Abteilung geschickt. Niemand läuft direkt in die Büros. Zieht eine Abteilung um oder fällt aus, merkt der Besucher davon nichts — der Empfang regelt das.
Forward Proxy oder Reverse Proxy?
Ein normaler (Forward-)Proxy sitzt auf der Seite der Nutzer und vermittelt deren Anfragen nach außen ins Internet — etwa in Firmennetzen, um Zugriffe zu filtern. Ein Reverse Proxy macht das Gegenteil: Er sitzt vor den Servern und vermittelt Anfragen von außen nach innen. Gleiche Idee, andere Richtung.
Was ein Reverse Proxy für dich erledigt
- Ein Port statt vieler. Nach außen ist nur Port 443 offen (die Standard-Tür für HTTPS), dazu optional Port 80 für die automatische Weiterleitung auf HTTPS und die Zertifikatsprüfung. Alle anderen Dienste bleiben von außen unsichtbar.
- Verteilen nach Adresse. In jeder Anfrage steht, welche Adresse der Besucher aufgerufen hat (Host-Header bzw. SNI). Der Proxy liest das aus und schickt
foto.meinedomain.dezur Foto-App undcloud.meinedomain.dezur Nextcloud — alles über dieselbe öffentliche IP-Adresse. - HTTPS an einer Stelle. Der Proxy wickelt die Verschlüsselung ab (Fachbegriff: TLS-Terminierung; TLS ist die Technik hinter dem Schloss-Symbol im Browser). Die Dienste dahinter dürfen intern unverschlüsselt sprechen, nach außen ist trotzdem alles verschlüsselt.
- Zertifikate automatisch. Der Proxy beschafft und erneuert die nötigen Zertifikate selbst (dazu gleich mehr).
- Weniger Angriffsfläche. Statt für jeden Dienst eine eigene Tür im Router zu öffnen, gibt es genau eine kontrollierte Stelle. Das ist sicherer, nicht unsicherer.
- Je nach Software zusätzlich: Last auf mehrere gleiche Server verteilen (Load Balancing), häufige Antworten zwischenspeichern (Caching), Inhalte komprimieren, Kopfzeilen umschreiben sowie WebSocket- und gRPC-Verbindungen weiterreichen (Verbindungsarten für Echtzeit-Anwendungen und Programmierschnittstellen).
Woher kommen die Zertifikate?
Ohne gültiges Zertifikat zeigt der Browser eine Warnung. Früher hat man Zertifikate einzeln gekauft und von Hand erneuert. Heute erledigt das der Proxy automatisch über Let’s Encrypt, eine gemeinnützige Zertifizierungsstelle der Organisation ISRG. Die Zertifikate sind kostenlos und werden über das ACME-Protokoll ausgestellt — eine standardisierte Methode, mit der Software Zertifikate selbst beantragt und erneuert. Let’s Encrypt ist der De-facto-Standard; im Umlauf sind grob geschätzt mehrere Hundert Millionen bis über eine Milliarde aktive Zertifikate.
Ein Let’s-Encrypt-Zertifikat gilt 90 Tage, die Erneuerung läuft automatisch im Hintergrund. Damit das klappt, muss die Zertifizierungsstelle prüfen, dass die Domain wirklich dir gehört:
- HTTP-01: Prüfung über Port 80 — der muss von außen erreichbar sein.
- DNS-01: Prüfung über einen Eintrag in deiner Domain-Verwaltung, ganz ohne offenen Port. Für ein Wildcard-Zertifikat (ein Zertifikat, das auf einen Schlag für alle Unter-Adressen
*.meinedomain.degilt) ist DNS-01 Pflicht.
Zwei Neuerungen aus 2025/26
- OCSP Stapling kann raus. In älteren Anleitungen steht oft der Tipp, „OCSP Stapling“ zu aktivieren (ein Verfahren, um den Sperrstatus eines Zertifikats mitzuliefern). Let’s Encrypt hat OCSP 2025 schrittweise abgeschaltet, zuletzt im August 2025. Für Let’s-Encrypt-Zertifikate ist die Option damit wirkungslos.
- Kurzlebige Zertifikate. Seit dem 15. Januar 2026 gibt es bei Let’s Encrypt zusätzlich Zertifikate mit rund sechs Tagen Laufzeit (opt-in) sowie Zertifikate für reine IP-Adressen. Spätestens hier gilt: Erneuern von Hand ist keine Option mehr, die Automatik über ACME muss laufen. Auf der Client-Seite unterstützt etwa Certbot ab Version 4.0 diese kurzen Laufzeiten.
Was ein Reverse Proxy nicht ist
Der häufigste Irrtum: „Mit einem Reverse Proxy kann ich jeden Dienst gefahrlos ins Internet stellen.“ Das stimmt nicht. Der Proxy verteilt Anfragen und verschlüsselt die Verbindung — eine Sicherheitslücke im Dienst dahinter bleibt eine Sicherheitslücke. Er ersetzt auch keine Firewall und kein VPN (Virtual Private Network, ein verschlüsselter Tunnel ins Heimnetz). Im Gegenteil: Ein VPN hält Dienste privat, ein Reverse Proxy macht sie öffentlich erreichbar.
Wenn ein Dienst wirklich öffentlich muss, gehört mehr dazu:
- eine vorgeschaltete Anmeldung (Forward Auth): Wer den Dienst erreichen will, meldet sich erst am Proxy an. Verbreitet sind Authelia (schlank, Konfiguration per Textdatei, unter ~50 MB RAM) und Authentik (vollwertige Benutzerverwaltung mit Single Sign-on, also einer Anmeldung für viele Dienste, samt Zwei-Faktor).
- eine Web Application Firewall (WAF), also ein Filter, der schädliche Anfragen erkennt.
- ein Einbruchsschutz wie CrowdSec oder Fail2ban, meist direkt am Proxy angebunden, der auffällige IP-Adressen sperrt.
- und schlicht: regelmäßige Updates.
Zugriff ohne Portfreigabe
Klassisch öffnet man im Router Port 443 nach außen (Portfreigabe). Das setzt eine eigene öffentliche IPv4-Adresse voraus — und die haben immer weniger deutsche Privatanschlüsse. Anbieter wie Deutsche Glasfaser liefern oft nur IPv6 plus eine geteilte IPv4-Adresse (CGNAT, Carrier-Grade NAT — viele Kunden teilen sich eine Adresse). Eine Portfreigabe auf 80/443 ist damit schlicht nicht möglich.
Lösung sind Tunnel-Dienste, die eine Verbindung von innen nach außen aufbauen, sodass keine Tür im Router nötig ist:
- Cloudflare Tunnel (Programm
cloudflared): kostenlos, mit DDoS-Schutz durch Cloudflare. Ob Video-Streaming (etwa Jellyfin oder Plex) über den kostenlosen Tunnel geduldet wird, ist bis heute ungeklärt — die früher ausdrückliche Klausel dagegen ist zwar seit 2023 gestrichen, die Community rät bei Media-Streaming trotzdem zu Alternativen. - Tailscale mit „Funnel“ (öffentlich) bzw. „Serve“ (nur im eigenen Netz), auf WireGuard-Basis, mit automatischem Zertifikat. Gut für einzelne Dienste, weniger für viele Subdomains.
- Pangolin: eine noch junge, selbst gehostete Alternative auf Basis von Traefik und WireGuard, mit eingebauter Zugriffskontrolle.
Welche Software?
Die meisten der folgenden Optionen können automatisches HTTPS über Let’s Encrypt. Die Unterschiede liegen vor allem in der Bedienung.
| Software | Konfiguration | Besonderheit |
|---|---|---|
| Nginx Proxy Manager | Web-Oberfläche, per Klick | Einfachster Einstieg, läuft als Docker-Container; Wildcard-Zertifikate über Anbindung an den DNS-Anbieter |
| NPMplus | wie NPM, mehr ab Werk gesetzt | Aktiver Fork mit eingebautem CrowdSec-Filter, HTTP/3 und strengeren Voreinstellungen |
| Caddy | eine Textdatei (Caddyfile) | Ein einzelnes Programm, HTTPS standardmäßig automatisch; Version 2.10 mit Verschlüsselung des ersten Handschlags (ECH) und Post-Quantum-Verfahren als Vorgabe |
| Traefik v3 | dynamisch, meist über Container-Labels | Dienste im Docker-Setup melden sich selbst an; HTTP/3, Middleware und WAF an Bord; höherer RAM-Bedarf, steilere Lernkurve |
| SWAG | Konfigurationsdateien | nginx samt Certbot, Fail2ban und CrowdSec-Filter vorkonfiguriert, viele fertige Beispiel-Configs; keine grafische Oberfläche |
| HAProxy | eine Konfigurationsdatei | Sehr performant, stark bei TCP und Lastverteilung; kein automatisches TLS ab Werk (Zertifikate über ein externes ACME-Skript) |
Zur Einordnung der Leistung: In frei verfügbaren Community-Vergleichen aus 2025/26 liegt nginx beim Durchsatz vorn, Caddy praktisch gleichauf; Traefik belegt im Leerlauf spürbar mehr Arbeitsspeicher (genannt werden Größenordnungen um 200 MB gegenüber rund 20 MB bei Caddy). Diese Zahlen stammen aus nicht normierten Tests — als Tendenz brauchbar, nicht als Messwert.
Zwei Randnotizen: Von nginx gibt es seit Februar 2024 den Fork freenginx, abgespalten von einem Kern-Entwickler im Streit über die Security-Politik — für Endnutzer bislang ohne praktische Folgen, die Governance-Frage bleibt offen. Und der Nginx Proxy Manager galt zwischenzeitlich als eingeschlafen, wird seit 2025 aber wieder gepflegt (unter anderem Version 2.13.6 im Januar 2026 mit Zwei-Faktor-Anmeldung, Version 2.14.0 im Februar 2026; ab 2.14 ohne Builds für ältere ARM-Boards).
Sonderfall Fertig-NAS und Firewall
Manche Geräte bringen schon einen Reverse Proxy mit. Synology DSM hat einen im Anwendungsportal — er belegt Port 80 und 443 automatisch und muss weichen, wenn ein anderer Proxy einziehen soll. Auch Firewall-Systeme wie OPNsense (per Caddy-Plugin) oder pfSense (per HAProxy-Paket) können die Aufgabe direkt übernehmen.
Was du außerdem brauchst
- Eine eigene Domain und darunter Subdomains für die einzelnen Dienste.
- Bei einem Anschluss mit wechselnder IP-Adresse einen DynDNS-Eintrag — ein Dienst, der deinen Anschluss trotz Wechsel immer unter demselben Namen erreichbar hält.
- Einen Rechner, der rund um die Uhr läuft und auf dem der Proxy neben deinen anderen Diensten wohnt — meist ein kleiner Docker-Host.
Lenovo ThinkCentre M910q Tiny (Generalüberholt)
Ein Reverse Proxy muss rund um die Uhr laufen — für diesen einen kleinen Dienst genügt ein kompakter, generalüberholter Mini-PC als günstiger Einstieg. Preis: 122,00 € (Stand 04.09.2026).
Wie du anfängst
Der pragmatische Weg: Nginx Proxy Manager als Docker-Container einrichten, eine Subdomain auf deine Adresse zeigen lassen, im Web-Menü einen „Proxy Host“ anlegen, Zertifikat mit einem Klick anfordern — fertig. Danach jeder weitere Dienst nach demselben Muster. Wächst das Setup oder wird es Docker-lastig, ist der Umstieg auf Traefik oder Caddy ein überschaubarer Schritt. Und wenn dein Anschluss keine Portfreigabe erlaubt, führt der erste Weg über einen Tunnel-Dienst statt über den Router.