Hestia Control Panel auf netcup Root-Server einrichten: Webhosting-Panel als Plesk-Alternative

Wer einen netcup Root-Server oder VPS betreibt, muss Domains, E-Mail-Konten und Datenbanken irgendwie verwalten. Plesk braucht auf einem Root-Server eine zusätzliche Lizenz. Hestia Control Panel ist eine quelloffene Alternative unter GPLv3 und bietet auf Port 8083 eine moderne Browser-Oberfläche für Apache, PHP-FPM, MariaDB, Exim, Dovecot, DNS und FTP. Diese Anleitung führt Sie durch Installation, netcup-spezifische Konfiguration und DNS-Einrichtung: den rDNS/PTR-Record setzen Sie im netcup SCP, die Domain-DNS-Einträge im netcup CCP.

Voraussetzungen

1. netcup Root-Server oder VPS mit mindestens 1 GB RAM und 10 GB Speicher (empfohlen: 4 GB RAM, 4 CPU-Kerne, 40 GB SSD)
2. Frische Installation von Debian 12/13 oder Ubuntu 22.04/24.04/26.04 LTS, ausschließlich 64-Bit (AMD64 oder ARM64), kein vorhandener Web-, Mail- oder Datenbankserver
3. Root-SSH-Zugang zum Server
4. Ein registrierter Domainname für den Server-Hostname (FQDN, z. B. mail.ihredomain.de) und die zu hostenden Domains
5. Zugang zum netcup SCP (servercontrolpanel.de) für den rDNS/PTR-Record
6. Zugang zum netcup CCP (customercontrolpanel.de) für DNS-Records der gehosteten Domains
7. E-Mail-Adresse für Admin-Benachrichtigungen und Let's-Encrypt-Zertifikate

Warum Hestia CP statt Plesk?

Plesk ist auf netcup Webhosting-Tarifen inklusive, auf einem Root-Server oder VPS aber eine kostenpflichtige Zusatzlizenz. Hestia CP deckt die Grundfunktionen ab: Webdomains mit SSL, Mailkonten, Datenbanken, FTP, DNS, Cron-Jobs und Dateimanager, ohne Lizenzkosten. Diese Anleitung beschreibt Version 1.10.5. Eine Live-Demo gibt es unter demo.hestiacp.com:8083.

Der Mehraufwand gegenüber Plesk: Sie sind selbst für Updates, Sicherheit und Konfiguration verantwortlich, und es gibt keinen Hersteller-Support.

Schritt 1: System aktualisieren

Melden Sie sich per SSH als root an und bringen Sie alle Pakete auf den neuesten Stand:

apt update && apt upgrade -y

Verifizieren: Der Befehl endet ohne Fehler. uname -m gibt x86_64 oder aarch64 zurück, andere Architekturen unterstützt Hestia nicht.

Schritt 2: Hestia CP installieren

Fehlt auf dem Server wget oder treten SSL-Fehler auf, installieren Sie zuerst die CA-Zertifikate:

apt-get install -y ca-certificates wget

Dann das Installer-Skript holen und starten:

cd ~
wget https://raw.githubusercontent.com/hestiacp/hestiacp/release/install/hst-install.sh
bash hst-install.sh

Der interaktive Modus stellt Fragen zu den zu installierenden Komponenten. Für eine automatisierte Installation nutzen Sie den unbeaufsichtigten Modus mit expliziten Optionen:

bash hst-install.sh \
  --apache yes \
  --phpfpm yes \
  --multiphp yes \
  --vsftpd yes \
  --mysql yes \
  --exim yes \
  --dovecot yes \
  --sieve yes \
  --clamav no \
  --spamassassin no \
  --fail2ban yes \
  --iptables yes \
  --named yes \
  --port '8083' \
  --hostname 'mail.ihredomain.de' \
  --email 'admin@ihredomain.de' \
  --username 'hestiaadmin' \
  --password 'IHR-SICHERES-PASSWORT' \
  --lang 'de' \
  --interactive no \
  --force

Hinweise zu den Optionen (vollständige Liste: bash hst-install.sh --help):

1. --hostname muss ein vollqualifizierter Domainname (FQDN) sein, der bereits per A-Record auf die Server-IP zeigt, sonst schlägt die automatische SSL-Ausstellung für das Panel fehl.
2. --clamav no --spamassassin no: ClamAV und SpamAssassin brauchen viel RAM und bringen Server mit 1 bis 2 GB unter Last an die Grenze. Beide lassen sich nachträglich über das Panel aktivieren.
3. --username: Name des Administratorkontos. Der Installer lehnt Namen ab, die auf dem System schon existieren.
4. --multiphp yes: Installiert mehrere PHP-Versionen parallel (der Installer von 1.10.5 kennt 5.6 bis 8.5), jede Domain wählt ihre Version.

Das Kennwort steht beim unbeaufsichtigten Aufruf in der Shell-History. Löschen Sie den Eintrag danach (history -d) oder ändern Sie das Kennwort nach dem ersten Login. Die Installation dauert 5 bis 15 Minuten. Am Ende zeigt das Skript die Zugangsdaten und die Panel-URL an.

Verifizieren: Das Skript endet mit einer Erfolgsmeldung und zeigt https://SERVER-IP:8083 sowie Benutzername und Passwort an.

Schritt 3: Web-Interface aufrufen und sichern

Öffnen Sie im Browser:

https://IHRE-SERVER-IP:8083

Beim ersten Aufruf erscheint eine Zertifikatswarnung, weil das Panel zunächst ein selbstsigniertes Zertifikat nutzt. Akzeptieren Sie die Ausnahme und melden Sie sich mit dem bei der Installation gewählten Administratornamen und Passwort an.

Aktivieren Sie direkt nach dem Login die Zwei-Faktor-Authentifizierung: oben rechts auf den Benutzernamen → Benutzer bearbeiten → Zwei-Faktor-Authentifizierung aktivieren, alternativ per v-add-user-2fa BENUTZER. Ein kompromittiertes Administratorkonto bedeutet Vollzugriff auf den Server.

Das Panel-Zertifikat ersetzen Sie durch ein Let's-Encrypt-Zertifikat, sobald der FQDN des Servers korrekt auflöst:

/usr/local/hestia/bin/v-add-letsencrypt-host

Verifizieren: https://mail.ihredomain.de:8083 öffnet sich ohne Zertifikatswarnung, und der Login verlangt nach dem Passwort den 2FA-Code.

Schritt 4: rDNS/PTR-Record im netcup SCP setzen

Empfangende Mailserver prüfen per Reverse-DNS (PTR-Record), ob der Hostname des Absenders zur IP-Adresse passt. Fehlt der Eintrag oder weicht er vom FQDN ab, landen Mails im Spam oder werden abgelehnt.

Der rDNS/PTR-Record wird ausschließlich im netcup SCP gesetzt, nicht im CCP.

1. Melden Sie sich unter servercontrolpanel.de an.
2. Wählen Sie im linken Baum Server → [Ihr Server] → Network.
3. Öffnen Sie den Abschnitt „IPv4 Addresses“.
4. Tragen Sie im Feld „Reverse DNS“ neben Ihrer IP-Adresse den FQDN ein, z. B. mail.ihredomain.de.
5. Klicken Sie auf „Save“.

Die Änderung ist meist nach Minuten sichtbar, in Einzelfällen nach bis zu 24 Stunden. Warten Sie vor dem ersten Mailversand-Test mindestens 30 Minuten.

Verifizieren: dig -x IHRE-SERVER-IP +short gibt den FQDN zurück. Alternativ prüfen Sie unter mxtoolbox.com/ReverseLookup.aspx.

Schritt 5: DNS-Records im netcup CCP eintragen

Während der PTR-Record die Rückwärtsauflösung regelt, steuern die DNS-Records im netcup CCP die Namensauflösung und das Mail-Routing der gehosteten Domains. Melden Sie sich unter customercontrolpanel.de an, öffnen Sie Domains, klicken Sie auf das Lupen-Symbol neben Ihrer Domain und wechseln Sie zum Tab „DNS“.

Tragen Sie folgende Records ein:

Klicken Sie abschließend auf „Save DNS Records“. Änderungen im netcup CCP greifen meist innerhalb von 10 Minuten.

Verifizieren: dig MX ihredomain.de +short liefert 10 mail.ihredomain.de., dig TXT ihredomain.de +short zeigt den SPF-Eintrag und dig TXT _dmarc.ihredomain.de +short den DMARC-Eintrag.

Schritt 6: DKIM-Public-Key aus Hestia auslesen

Den DKIM-Schlüssel für den TXT-Record mail._domainkey.ihredomain.de erzeugt Hestia beim Anlegen einer Maildomain mit aktiviertem DKIM. So lesen Sie ihn aus:

1. Hestia-Panel öffnen → Mail → auf die gewünschte Domain klicken.
2. Im Bereich „DNS Records“ den kompletten Inhalt des DKIM-TXT-Records kopieren (alternativ v-list-mail-domain-dkim-dns BENUTZER ihredomain.de).
3. Diesen Wert exakt als TXT-Record mail._domainkey im netcup CCP eintragen.

Verifizieren: dig TXT mail._domainkey.ihredomain.de +short gibt den vollständigen Schlüssel ab v=DKIM1 zurück, und eine Testmail an ein externes Postfach zeigt im Header dkim=pass.

Schritt 7: Domain in Hestia hinzufügen und Benutzer anlegen

Das Administratorkonto in Hestia hat Root-Rechte auf dem Server. Verwenden Sie es nie für Web- oder Mail-Domains, sondern legen Sie je Kunde oder Projekt einen eigenen Benutzer an:

1. Benutzer anlegen: Hestia-Panel → Users → „+ Add User“ → Benutzername, Passwort, E-Mail und Ressourcen-Limits festlegen → speichern.
2. Domain hinzufügen: Als neuer Benutzer einloggen oder im Admin-Kontext → Web → „+ Add Web Domain“ → Domainnamen eintragen → SSL über Let's Encrypt aktivieren → speichern.
3. Mailkonto anlegen: Mail → „+ Add Mail Domain“ → anschließend unter der Domain „+ Add Mail Account“.
4. Datenbank erstellen: DB → „+ Add Database“ → Datenbankname, Benutzer und Passwort vergeben.

Verifizieren: curl -I https://ihredomain.de liefert einen HTTP-Status 200 ohne Zertifikatsfehler, und das Mailkonto meldet sich per IMAP an mail.ihredomain.de:993 an.

Pflichtports freigeben

Hestia verwaltet iptables intern. Ist auf dem Server zusätzlich ufw aktiv oder die netcup SCP-Firewall Ports blockiert, müssen folgende Ports geöffnet sein:

# Status prüfen
iptables -L -n | grep -E '22|25|53|80|443|465|587|993|995|8083'

# Falls ufw aktiv:
ufw allow 22/tcp
ufw allow 25/tcp
ufw allow 53
ufw allow 80/tcp
ufw allow 443/tcp
ufw allow 465/tcp
ufw allow 587/tcp
ufw allow 993/tcp
ufw allow 995/tcp
ufw allow 8083/tcp

Systemanforderungen im Überblick

Troubleshooting / Typische Fehler

Installation schlägt fehl: „Existing web server detected“

Hestia erwartet einen sauberen Server. Sind Apache, Nginx, Postfix oder MySQL bereits installiert, bricht der Installer ab. Lösung: Neues Betriebssystem-Image über das netcup SCP einspielen, siehe Betriebssystem-Image bei netcup wechseln.

Panel unter Port 8083 nicht erreichbar

Prüfen Sie, ob iptables den Port freigibt: iptables -L -n | grep 8083. Ist in der netcup SCP-Firewall eine Policy aktiv, erlauben Sie Port 8083 dort explizit, siehe netcup SCP-Firewall einrichten.

Ausgehende Mails landen im Spam

Häufigste Ursache ist ein fehlender oder falscher PTR-Record. Prüfen Sie mit dig -x IHRE-SERVER-IP +short, ob der Hostname aus Hestia zurückkommt. MXToolbox prüft MX, SPF, DKIM und DMARC gemeinsam.

DKIM-TXT-Record zu lang für das CCP-Feld

2048-Bit-Schlüssel überschreiten die 255-Zeichen-Grenze eines einzelnen TXT-Strings. Prüfen Sie, ob das netcup CCP den vollständigen Wert gespeichert hat, und teilen Sie den Eintrag notfalls in mehrere Strings in Anführungszeichen auf (RFC 6376). Auf 1024 Bit auszuweichen ist nicht mehr zu empfehlen.

SSL-Zertifikat für das Panel lässt sich nicht ausstellen

Let's Encrypt erfordert, dass der FQDN aus dem Internet erreichbar ist und korrekt auf die Server-IP auflöst. Prüfen Sie mit dig mail.ihredomain.de +short. Ist der A-Record noch nicht sichtbar, warten Sie und starten Sie /usr/local/hestia/bin/v-add-letsencrypt-host erneut.

RAM-Engpass durch SpamAssassin und ClamAV

Auf Servern mit 1 bis 2 GB RAM können beide Dienste den Server überlasten. Deaktivieren Sie sie über Hestia-Panel → Server → Configure → Mail-Abschnitt oder per apt remove spamassassin clamav-daemon.

Häufige Fragen

Ist Hestia CP auch für kommerzielle Nutzung kostenlos?

Ja. Hestia CP steht unter GPLv3, ohne Lizenzgebühren und ohne Funktionsbeschränkung, auch für kommerzielle Nutzung.

Kann ich Hestia auf einem bereits laufenden Server nachinstallieren?

Nein. Der Installer setzt einen frischen Server ohne Web-, Mail- oder Datenbankdienste voraus, das Projekt unterstützt keine Nachinstallation.

Welche PHP-Versionen kann ich gleichzeitig betreiben?

Mit --multiphp yes installiert Hestia PHP-FPM für mehrere Versionen (in 1.10.5 bis 8.5). Jede Domain wählt ihre Version im Web-Domain-Editor. Nutzen Sie nur Versionen, die noch Sicherheitsupdates erhalten.

Kann ich mehrere Domains mit separaten Mailkonten hosten?

Ja. Jeder Hestia-Benutzer hat einen isolierten Bereich. Jede Domain braucht eigene DNS-Records (A, MX, SPF, DKIM, DMARC), der PTR-Record der Server-IP bleibt für alle gleich.

Wie halte ich den Server sicher?

Mindestmaßnahmen: (1) 2FA für das Administratorkonto aktivieren, (2) SSH-Passwort-Login deaktivieren und SSH-Keys verwenden, siehe SSH-Keys im netcup SCP speichern, (3) Fail2ban ist standardmäßig aktiv, (4) Administratorkonto nie für Domains nutzen, (5) regelmäßige Updates per apt update && apt upgrade (Hestia selbst kommt aus dem eigenen APT-Repository).

Fazit

Hestia CP ist eine lizenzfreie Alternative zu Plesk auf netcup Root-Servern und VPS. Der Installer konfiguriert Apache, PHP-FPM, Exim, Dovecot, BIND9 und Fail2ban in einem Durchgang. Fehler entstehen meist bei der netcup-spezifischen Aufteilung: rDNS/PTR gehört ins SCP, alle anderen DNS-Records ins CCP. Mit dieser Trennung und freigegebenen Ports steht die Hosting-Plattform nach etwa einer Stunde.

Weiterführende Anleitungen und Quellen

1. Reverse-DNS (rDNS/PTR) für IPv4 und IPv6 im netcup SCP setzen
2. DNS-Records bei netcup im CCP verwalten: A, AAAA, CNAME, MX und TXT richtig setzen
3. netcup SCP-Firewall einrichten: Policies, Regeln und Zusammenspiel mit ufw
4. SSH-Keys im netcup SCP speichern und bei Image-Installationen automatisch einbinden
5. VPS absichern und härten: Anleitung mit UFW, SSH-Keys und Fail2Ban
6. KeyHelp installieren und absichern: das kostenlose Hosting-Panel für eigene Server
7. Let's Encrypt mit certbot: TLS-Zertifikate ohne Reverse-Proxy
8. Hestia CP: Offizielle Dokumentation (Getting Started)
9. Hestia CP GitHub Repository (hestiacp/hestiacp)
10. netcup Community Tutorial: Root Server Hosting mit Hestia Control Panel