DocuSeal auf dem Synology NAS installieren: digitale Signaturen selbst hosten

Viele KMU möchten Verträge, NDAs und Einverständniserklärungen digital unterschreiben lassen, ohne die Dokumente an einen Cloud-Dienst außerhalb der EU zu geben. DocuSeal ist eine quelloffene Plattform (AGPLv3) mit Formular-Editor, E-Mail-Versand und Audit-Trail, die Sie auf eigener Hardware betreiben. Die Daten bleiben auf Ihrem NAS, ein Auftragsverarbeitungsvertrag mit einem Signaturanbieter entfällt. Diese Anleitung richtet DocuSeal auf einem Synology NAS mit DSM 7.2 als einzelnen Container im Container Manager ein, ohne externe Datenbank.

Voraussetzungen

1. Synology NAS mit x86_64- oder ARM64-CPU (das offizielle Image gibt es für linux/amd64 und linux/arm64) und mindestens 1 GB freiem RAM, empfohlen 2 GB
2. DSM 7.2 oder neuer mit installiertem Container Manager Package (aus dem Package Center)
3. Mindestens 5 GB freier Speicherplatz auf /volume1 für Image, Datenbank und künftigen Dokumentenbestand
4. Lokale IP-Adresse des NAS bekannt (z. B. 192.168.1.x)
5. Optional für E-Mail-Workflow: SMTP-Zugangsdaten (z. B. Synology MailPlus, Strato, Gmail mit App-Passwort)
6. Optional für externen Zugriff: Domain oder Synology DDNS (yourname.synology.me) mit gültigem SSL-Zertifikat und konfiguriertem Reverse Proxy in DSM
7. Webbrowser (Chrome oder Firefox) für die Ersteinrichtung

Schritt 1: Ordnerstruktur in der File Station anlegen

DocuSeal benötigt ein persistentes Volume für SQLite-Datenbank, hochgeladene PDFs und fertige Signaturen. Ohne dieses Volume gehen alle Daten beim Container-Update verloren. Legen Sie in der File Station folgende Ordnerstruktur an (Details zur Ordneranlage: Docker-Ordner und Berechtigungen auf dem Synology NAS):

/volume1/docker/docuseal/data

PUID/PGID unterstützt DocuSeal nicht. Das Image enthält keine USER-Anweisung, der Prozess läuft im Container als root. Eine Anpassung der Ordnerrechte ist deshalb nicht nötig.

Verifizieren: In der File Station ist unter docker > docuseal der leere Ordner data vorhanden.

Schritt 2: SECRET_KEY_BASE generieren

SECRET_KEY_BASE sichert die Sitzungen. DocuSeal leitet daraus außerdem den Schlüssel für verschlüsselte Datenbankfelder ab, sofern kein ENCRYPTION_SECRET gesetzt ist. Wählen Sie den Wert deshalb einmal und ändern Sie ihn später nicht mehr. SSH ist hier nur für diesen einen Befehl nötig; alternativ erzeugen Sie den Wert auf einem Linux- oder macOS-Rechner.

Verbinden Sie sich per SSH mit dem NAS (Anleitung: SSH auf dem Synology NAS aktivieren und verbinden) und führen Sie folgenden Befehl aus:

openssl rand -hex 64

Das Ergebnis ist eine 128 Zeichen lange Hex-Zeichenkette. Kopieren Sie sie in einen Texteditor, Sie brauchen sie im nächsten Schritt.

Verifizieren: openssl rand -hex 64 | wc -c gibt 129 aus (128 Hex-Zeichen plus Zeilenumbruch).

Schritt 3: Compose-Projekt im Container Manager anlegen

Öffnen Sie den Container Manager in DSM, wechseln Sie zu Projekt und klicken Sie auf Erstellen. Geben Sie dem Projekt den Namen docuseal und wählen Sie als Pfad /volume1/docker/docuseal. Die Grundlagen erklärt die Anleitung Container Manager auf dem Synology NAS: Docker-Compose-Projekt anlegen, starten und aktualisieren.

Tragen Sie folgende compose.yaml ein und ersetzen Sie HIER_128_ZEICHEN_HEX_EINTRAGEN durch den Wert aus Schritt 2:

services:
  docuseal:
    image: docuseal/docuseal:3.3.0
    container_name: docuseal
    restart: unless-stopped
    ports:
      - "3000:3000"
    volumes:
      - /volume1/docker/docuseal/data:/data
    environment:
      - TZ=Europe/Berlin
      - SECRET_KEY_BASE=HIER_128_ZEICHEN_HEX_EINTRAGEN
      # Optional: HOST und FORCE_SSL nur setzen, wenn Reverse Proxy mit HTTPS aktiv ist
      # - HOST=docuseal.yourname.synology.me
      # - FORCE_SSL=true
      # SMTP (optional, für den automatischen E-Mail-Versand):
      # - SMTP_ADDRESS=smtp.example.com
      # - SMTP_PORT=587
      # - SMTP_USERNAME=user@example.com
      # - SMTP_PASSWORD=geheim
      # - SMTP_FROM=docuseal@example.com
      # - SMTP_AUTHENTICATION=plain
      # - SMTP_ENABLE_STARTTLS=true

Die Anleitung legt den Tag 3.3.0 fest (aktuell im September 2026). So kommt ein Update nur dann, wenn Sie den Tag bewusst erhöhen. Vorher sichern Sie den Ordner data.

Klicken Sie auf Erstellen und warten Sie, bis das Image geladen und der Container gestartet ist.

Verifizieren: Im Container Manager unter Projekt > docuseal zeigt der Container den Status Wird ausgeführt. Das Protokoll enthält keine Fehlermeldungen, sondern eine Zeile wie Listening on http://0.0.0.0:3000 erscheinen.

Schritt 4: Erstaufruf und Admin-Konto einrichten

Rufen Sie DocuSeal im Browser auf:

http://<NAS-IP>:3000

Beim ersten Aufruf erscheint der Einrichtungsassistent. Legen Sie dort das Administratorkonto mit E-Mail-Adresse und starkem Passwort an. DocuSeal öffnet danach das Dashboard.

Ist die DSM-Firewall aktiv, geben Sie Port 3000/TCP für Ihr lokales Netz frei. Die Vorgehensweise beschreibt die Anleitung DSM-Firewall auf dem Synology NAS: Ports für Docker-Container freigeben.

Verifizieren: Nach der Anmeldung sehen Sie das DocuSeal-Dashboard mit dem Bereich „Templates“. Die URL in der Adressleiste lautet http://<NAS-IP>:3000/dashboard (oder /templates). Kein 502/503-Fehler, keine Weiterleitungsschleife.

Schritt 5: SMTP konfigurieren (optional, aber empfohlen)

Ohne SMTP erzeugt DocuSeal Signatur-Links, die Sie selbst weitergeben. Mit SMTP verschickt DocuSeal Anfragen und Abschlussbestätigungen automatisch.

Stoppen Sie das Projekt im Container Manager, öffnen Sie die compose.yaml und aktivieren Sie die SMTP-Zeilen. Beispielkonfiguration für einen Standard-SMTP-Provider mit STARTTLS:

      - SMTP_ADDRESS=smtp.example.com
      - SMTP_PORT=587
      - SMTP_USERNAME=docuseal@example.com
      - SMTP_PASSWORD=IHR_APP_PASSWORT
      - SMTP_FROM=docuseal@example.com
      - SMTP_AUTHENTICATION=plain
      - SMTP_ENABLE_STARTTLS=true
      - SMTP_DOMAIN=example.com

Für Synology MailPlus gilt: SMTP_PORT=587, SMTP_AUTHENTICATION=login. Nutzt Ihr Anbieter Port 465 mit direktem TLS statt STARTTLS, setzen Sie SMTP_PORT=465, SMTP_ENABLE_STARTTLS=false und SMTP_ENABLE_SSL=true. Starten Sie das Projekt danach neu.

Verifizieren: Eine Signatur-Anfrage an Ihre eigene Adresse kommt innerhalb weniger Minuten mit funktionierendem Link an. Kommt nichts an, zeigt das Container-Protokoll den SMTP-Fehler.

Schritt 6: Erste Vorlage hochladen und Signatur-Roundtrip testen

Dieser Schritt prüft den gesamten Ablauf vom Hochladen bis zum signierten PDF.

1. Klicken Sie im Dashboard auf Neues Template und laden Sie eine PDF-Datei hoch (z. B. ein leeres Muster-NDA).
2. Ziehen Sie im Editor mindestens ein Signature- und ein Date-Feld auf das Dokument. Weitere Feldtypen sind unter anderem Text, Checkbox, Radio und Datei-Upload.
3. Speichern Sie das Template, klicken Sie auf Senden und geben Sie Ihre eigene Adresse als Unterzeichner an.
4. Öffnen Sie den Signatur-Link (ohne SMTP aus dem Dashboard kopieren) und unterschreiben Sie vollständig.
5. Nach dem Abschluss erscheint das fertige Dokument mit eingebettetem Audit-Trail im Bereich Submissions.

Verifizieren: Unter Submissions taucht ein neuer Eintrag mit Status Completed auf. Das heruntergeladene PDF enthält den Audit-Trail mit Zeitstempel, IP-Adresse und Hash. In der File Station ist der Ordner data nicht mehr leer.

Schritt 7: HTTPS mit Synology Reverse Proxy einrichten (empfohlen)

Sobald externe Unterzeichner Links erhalten, muss DocuSeal über HTTPS erreichbar sein. Der Synology Reverse Proxy übernimmt die SSL-Terminierung, sodass der Container selbst kein Zertifikat benötigt.

Öffnen Sie Systemsteuerung > Anmeldungsportal > Erweitert > Reverse Proxy und legen Sie eine neue Regel an:

Quellprotokoll: HTTPS
Quell-Hostname: docuseal.yourname.synology.me (oder eigene Domain)
Quell-Port: 443
Zielprotokoll: HTTP
Ziel-Hostname: localhost
Ziel-Port: 3000

Fügen Sie unter Benutzerdefinierte Header die WebSocket-Header hinzu (für Live-Aktualisierungen beim Signieren):

Aktivieren Sie anschließend HOST und FORCE_SSL in der compose.yaml und starten Sie das Projekt neu:

      - HOST=docuseal.yourname.synology.me
      - FORCE_SSL=true

Achtung: Setzen Sie FORCE_SSL=true erst, wenn der Reverse Proxy mit gültigem Zertifikat in Betrieb ist. Sonst landet DocuSeal in einer Weiterleitungsschleife. Nutzen Sie nur noch den Proxy, ändern Sie die Portzeile auf "127.0.0.1:3000:3000"; dann ist der Container nicht mehr unverschlüsselt im Netz erreichbar.

Verifizieren: https://docuseal.yourname.synology.me lädt mit gültigem Zertifikat. Die Anmeldeseite lädt ohne Fehler. Ein generierter Signatur-Link enthält das HTTPS-Präfix.

Eckdaten im Überblick

Troubleshooting / Typische Fehler

1. Container startet, aber SQLite-Fehler in den Logs – Ursache: /volume1/docker/docuseal/data existiert nicht oder Docker hat keinen Schreibzugriff. Lösung: Ordner in der File Station anlegen und sicherstellen, dass er beschreibbar ist. Dann Container neu starten.
2. Nach Container-Neustart sind alle Nutzer ausgeloggt – Ursache: SECRET_KEY_BASE fehlt oder wurde geändert. Lösung: festen Wert aus Schritt 2 eintragen und nicht mehr ändern.
3. Signatur-E-Mails kommen nicht an – Ursache 1: SMTP-Variablen fehlen. Ursache 2: SMTP_ENABLE_STARTTLS=true bei einem Provider ohne STARTTLS-Unterstützung. Lösung: Alle SMTP-Variablen vollständig setzen; für Synology MailPlus SMTP_AUTHENTICATION=login verwenden.
4. App nicht erreichbar / Weiterleitungsschleife – Ursache: FORCE_SSL=true gesetzt, aber kein funktionierender HTTPS-Reverse-Proxy vorhanden. Lösung: Entweder Reverse Proxy zuerst einrichten, oder FORCE_SSL kommentieren und nur intern per HTTP zugreifen.
5. Echtzeit-Updates beim Signieren fehlen – Ursache: Reverse Proxy leitet WebSocket-Header nicht weiter. Lösung: Im Synology Reverse Proxy unter „Benutzerdefinierte Header“ die Einträge Upgrade: $http_upgrade und Connection: $connection_upgrade hinzufügen.
6. Container startet nicht auf älterem NAS – Ursache: 32-Bit-CPU (ältere ARMv7- oder Atom-Modelle). Lösung: In der Synology-Produktdatenbank die CPU-Architektur prüfen; nötig ist x86_64 oder ARMv8 (arm64).
7. Nach Container-Update alle Daten weg – Ursache: Volume-Mount vergessen oder falscher Pfad in der Compose-Datei. Lösung: Vor jedem Start prüfen, dass /volume1/docker/docuseal/data:/data korrekt eingetragen ist.

Häufige Fragen

Ist DocuSeal rechtlich gleichwertig zu DocuSign?

DocuSeal erzeugt einfache elektronische Signaturen (EES) im Sinne von Art. 3 Nr. 10 eIDAS-Verordnung. Sie genügen überall dort, wo das Gesetz keine Form vorschreibt, etwa bei NDAs, Angebotsannahmen oder Einverständniserklärungen. Schreibt das Gesetz die Schriftform vor, ersetzt nur die elektronische Form nach § 126a BGB sie, also eine qualifizierte elektronische Signatur (QES) eines qualifizierten Vertrauensdiensteanbieters. Manche Erklärungen schließen auch die elektronische Form aus: Kündigung und Aufhebungsvertrag eines Arbeitsverhältnisses (§ 623 BGB) und die Bürgschaftserklärung (§ 766 BGB) brauchen eine eigenhändige Unterschrift auf Papier. Notariell zu beurkundende Verträge bleiben ohnehin außen vor. Die Signaturklasse von DocuSign und vergleichbaren Diensten ist im Standard ebenfalls die EES; der Unterschied liegt in der Datenhaltung. Klären Sie Formfragen im Einzelfall mit Ihrer Rechtsberatung.

Kann ich ohne E-Mail-Server (SMTP) arbeiten?

Ja. Ohne SMTP geben Sie die Signatur-Links selbst weiter. Der Ablauf funktioniert vollständig, nur die automatischen Benachrichtigungen (Anfrage, Erinnerung, Abschluss) entfallen.

Wie sichere ich die signierten Dokumente?

Das /data-Volume unter /volume1/docker/docuseal/data enthält alle Daten: SQLite-Datenbank, hochgeladene PDFs und fertige Signaturen. Sichern Sie diesen Ordner regelmäßig mit Hyper Backup. Alternativ lässt sich S3-kompatibler Cloud-Speicher (AWS S3, MinIO, Hetzner Object Storage) als primäres Speicherziel für fertige Dokumente konfigurieren.

Wie viele Dokumente und Benutzer sind inklusive?

Die selbst gehostete Community-Edition begrenzt weder Dokumente noch Signaturen oder Benutzer. Die AGPLv3-Lizenz erlaubt kommerzielle Nutzung im eigenen Unternehmen. Einschränkung: Wer DocuSeal als SaaS-Dienst für Dritte anbietet, benötigt eine kommerzielle Lizenz.

Kann ich DocuSeal mit paperless-ngx kombinieren?

Eine native Integration existiert nicht, aber über die REST-API lassen sich Workflows verbinden. DocuSeal sendet nach Abschluss einer Signatur einen Webhook (POST-Anfrage mit dem finalen PDF-Link) – dieser lässt sich nutzen, um das fertige Dokument automatisch in paperless-ngx zu importieren. Zur Einrichtung von Paperless-ngx: Paperless-ngx mit Docker einrichten: papierlose Dokumentenverwaltung mit deutscher OCR.

Funktioniert DocuSeal auf ARM-basierten Synology NAS?

Ja, sofern die CPU 64-Bit-ARM (ARMv8) ist. Das offizielle Image gibt es für linux/arm64 und linux/amd64 (Docker Hub, Stand September 2026). Beachten Sie, dass der Container Manager nicht auf allen ARM-Modellen verfügbar ist; prüfen Sie das im Paket-Zentrum Ihres NAS. Modelle wie DS923+ oder DS1522+ haben übrigens eine AMD-Ryzen-CPU und damit x86_64.

Sollte ich SQLite oder PostgreSQL verwenden?

Für wenige Benutzer und einige hundert Dokumente im Monat genügt SQLite. PostgreSQL lohnt sich bei vielen gleichzeitigen Zugriffen. Ein späterer Wechsel erfordert eine manuelle Datenmigration.

Fazit

DocuSeal läuft auf dem Synology NAS als einzelner Container mit SQLite und einem Datenordner. Damit behalten Sie Verträge und Einverständniserklärungen im eigenen Haus. Rechtlich deckt DocuSeal formfreie Erklärungen ab; für Schriftformfälle brauchen Sie eine QES, für Kündigungen nach § 623 BGB Papier. Über REST-API und Webhooks binden Sie DocuSeal an weitere Systeme an, etwa an ONLYOFFICE Docs auf dem Synology NAS.

Weiterführende Anleitungen und Quellen

1. Paperless-ngx mit Docker einrichten: papierlose Dokumentenverwaltung mit deutscher OCR – digitale Ablage und OCR als Ergänzung zu DocuSeal
2. Container Manager auf dem Synology NAS: Docker-Compose-Projekt anlegen, starten und aktualisieren – Grundlagen für alle Compose-Projekte auf dem NAS
3. Nginx Proxy Manager auf der Synology mit Container Manager einrichten – Alternative zum DSM Reverse Proxy für HTTPS-Termination

Quellen: DocuSeal GitHub Repository (offizielle docker-compose.yml, README) · DocuSeal Docker Hub (Image-Tags, Architekturen) · DocuSeal Dokumentation (Umgebungsvariablen) · Mariushosting (Referenz-Anleitung, fachlich adaptiert und gegen offizielle Quellen verifiziert)