Proxys für Plex- und Jellyfin-Server zu Hause: So teilen Sie Medieninhalte sicher mit Freunden

Sie haben einen Heim-Mediaserver mit Plex oder Jellyfin eingerichtet, ihn mit Filmen, Serien und Musik gefüllt – und möchten Freunden oder Familie Zugang gewähren. Aber Ports am Router zu öffnen, ist beängstigend: es ist ein direkter Zugang zu Ihrem Heimnetzwerk. Ein Proxy-Server löst dieses Problem elegant: Er fungiert als Vermittler zwischen Ihrem Server und den Zuschauern, verbirgt die echte IP-Adresse und erfordert keine gefährlichen Router-Einstellungen.

Warum man einfach keinen Port öffnen kann: Risiken des Heimservers

Der offensichtlichste Weg, einem Freund Zugang zu Plex oder Jellyfin zu geben, besteht darin, einen Port am Router weiterzuleiten. Zum Beispiel, den Port 32400 (Plex) oder 8096 (Jellyfin) zu öffnen und dem Freund einen Link wie http://Ihre-IP:32400 zu senden. Technisch funktioniert das. Aber aus Sicherheitsgründen ist es eine Katastrophe.

Das passiert, wenn Sie einen Port Ihres Heimrouters ins Internet öffnen:

• Ihre Heim-IP wird öffentlich. Jeder, der die Adresse Ihres Servers kennt, kennt Ihre echte Heim-IP. Das ist Geolokalisierung, Provider, Ihre Adresse bis auf den Stadtteil genau.
• Bot-Scanner finden Sie innerhalb von Stunden. Shodan, Censys und Tausende von automatischen Scannern durchforsten ständig das gesamte Internet. Ein offener Port für Plex oder Jellyfin wird entdeckt und beginnt innerhalb weniger Stunden nach dem Öffnen mit Hackversuchen.
• Software-Schwachstellen = Netzwerkhack. Plex und Jellyfin sind komplexe Software mit einer Geschichte von Schwachstellen. Wenn Ihre Version eine ungeschlossene Lücke hat, kann ein Angreifer darüber nicht nur auf den Mediaserver, sondern auf Ihr gesamtes Heimnetzwerk zugreifen: Laptops, NAS, Smart Devices.
• DDoS und Missbrauchsbeschwerden. Ihr Heimprovider ist nicht verpflichtet, Sie vor DDoS-Angriffen zu schützen. Bei einem massiven Angriff werden Sie einfach abgeschaltet.
• Dynamische IP. Die meisten Heimnutzer haben eine wechselnde IP. Jedes Mal müssen Sie Ihren Freunden die neue Adresse mitteilen oder einen DDNS-Dienst einrichten.

Die Schlussfolgerung ist offensichtlich: Ein offener Port ist keine Lösung für einen Heim-Mediaserver, zu dem fremde Personen Zugang haben. Ein Vermittler ist erforderlich, der Anfragen von Zuschauern entgegennimmt und sie an Ihren Server weiterleitet, ohne Ihre echte IP offenzulegen und Löcher in Ihrem Heimnetzwerk zu schaffen.

Wie ein Proxy beim Teilen von Medien hilft: Funktionsschema

Ein Proxy funktioniert im Kontext eines Heim-Mediaservers als Zwischenstelle. Ihre Freunde verbinden sich nicht direkt mit Ihrer Heim-IP, sondern mit der IP des Proxy-Servers. Der Proxy nimmt die Anfrage entgegen, leitet sie an Ihren Server weiter, erhält die Antwort (Videostream, Metadaten, Cover) und sendet sie zurück an den Zuschauer.

Das Schema sieht so aus:

Was bedeutet das in der Praxis:

• Ihre Heim-IP ist verborgen. Zuschauer sehen nur die IP des Proxy-Servers. Selbst wenn ein Freund den Link mit jemand anderem teilt – sie können Ihr Heimnetzwerk nicht direkt angreifen.
• Es müssen keine Ports am Router geöffnet werden. Ihr Server initiiert selbst die ausgehende Verbindung zum Proxy (oder Tunnel). Eingehende Verbindungen aus dem Internet gelangen nicht in Ihr Netzwerk.
• Eine stabile Adresse. Der Proxy-Server hat eine feste IP. Selbst wenn sich Ihre Heim-IP ändert – die Zuschauer erfahren nichts davon.
• SSL-Verschlüsselung. Der Proxy kann HTTPS terminieren und gewährleistet die Verschlüsselung des Datenverkehrs zwischen dem Zuschauer und dem Proxy.
• Zugriffskontrolle. Auf Proxy-Ebene kann eingeschränkt werden, wer sich überhaupt mit dem Server verbinden kann.

Es ist wichtig, den Unterschied zwischen zwei Nutzungsszenarien für Proxys für Mediaserver zu verstehen. Das erste Szenario – Sie mieten einen Proxy-Server (oder VPS) und richten darauf einen Reverse Proxy (Rückwärtsproxy) ein: nginx, Caddy oder Traefik. Dieser Server nimmt die Anfragen der Zuschauer entgegen und proxiert sie an Ihren Heimserver. Das zweite Szenario – Sie verwenden einen kommerziellen Proxy-Service als Tunnel oder Zwischenknoten zur Anonymisierung der ausgehenden Anfragen von Ihrem Server.

In diesem Artikel werden wir beide Ansätze betrachten, aber der Hauptfokus liegt auf der praktischen Einrichtung, die es Ihren Freunden ermöglicht, Inhalte von Ihrem Server ohne technische Schwierigkeiten auf ihrer Seite zu sehen.

Welcher Proxy-Typ für Plex und Jellyfin geeignet ist

Nicht alle Proxy-Typen eignen sich gleich gut für das Streaming von Videos. Hier ist eine Vergleichstabelle unter Berücksichtigung der Besonderheiten von Heim-Mediaservern:

Fazit zu den Typen: Für das kontinuierliche Streaming von Medieninhalten ist die optimale Wahl ein Reverse Proxy (Rückwärtsproxy) auf einem gemieteten VPS oder Rechenzentrums-Proxys mit hoher Bandbreite. Residential Proxys sind in einem anderen Szenario nützlich: wenn Plex oder Jellyfin auf externe Quellen von Metadaten oder Plugins zugreift, die Server-IP blockieren.

Einrichten eines Proxys für Plex Media Server: Schritt für Schritt

Betrachten wir das praktischste Szenario: Sie haben einen Heimserver mit Plex und möchten Freunden über einen Reverse Proxy auf einem VPS Zugang gewähren. Dies bietet eine stabile URL, ein SSL-Zertifikat und verbirgt Ihre Heim-IP.

Was benötigt wird:

• Heim-PC oder NAS mit installiertem Plex Media Server
• VPS (irgendein, selbst der günstigste – 1 vCPU, 1 GB RAM reicht zum Proxieren aus)
• Domain (kann kostenlos sein: DuckDNS, FreeDNS)
• Etwa 30-60 Minuten Zeit

Schritt 1. Plex auf dem Heimserver einrichten

Öffnen Sie Plex Web auf dem Heimserver. Gehen Sie zu Einstellungen → Fernzugriff. Stellen Sie sicher, dass die Option "Fernzugriff erlauben" aktiviert ist. Merken Sie sich den Port – standardmäßig ist dies 32400. Öffnen Sie diesen Port vorerst NICHT im Router – wir machen alles über den Proxy.

Schritt 2. Nginx auf dem VPS installieren

Verbinden Sie sich per SSH mit dem VPS. Installieren Sie Nginx und Certbot für SSL:

sudo apt update
sudo apt install nginx certbot python3-certbot-nginx -y

Schritt 3. Tunnel vom VPS zum Heimserver einrichten

Dies ist der entscheidende Punkt. Wir müssen sicherstellen, dass der VPS auf Ihr Heim-Plex zugreifen kann. Es gibt zwei Möglichkeiten:

Methode A (einfacher): SSH-Tunnel vom Heimserver zum VPS. Führen Sie auf Ihrem Heimserver den Befehl aus, der einen dauerhaften Tunnel erstellt – leitet den Port 32400 von Plex auf den Port 32400 des VPS weiter:

ssh -N -R 32400:localhost:32400 user@IHRE_VPS_IP

Damit der Tunnel dauerhaft funktioniert, fügen Sie ihn zu systemd hinzu oder verwenden Sie autossh für eine automatische Wiederverbindung bei Unterbrechungen.

Methode B (zuverlässiger): Tailscale oder WireGuard VPN zwischen Heimserver und VPS. Dies erstellt einen dauerhaften verschlüsselten Tunnel, ohne Ports weiterzuleiten. Weitere Informationen finden Sie im Abschnitt über Alternativen.

Schritt 4. Nginx als Reverse Proxy einrichten

Erstellen Sie eine Konfiguration für Ihre Domain. Erstellen Sie die Datei /etc/nginx/sites-available/plex:

server {
    listen 80;
    server_name plex.ihre-domain.com;

    location / {
        proxy_pass http://localhost:32400;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # Wichtig für das Streaming von Videos:
        proxy_buffering off;
        proxy_read_timeout 36000s;
        proxy_send_timeout 36000s;
        client_max_body_size 0;
    }
}

Schritt 5. SSL-Zertifikat erhalten

sudo certbot --nginx -d plex.ihre-domain.com

Certbot aktualisiert automatisch die Nginx-Konfiguration und fügt HTTPS hinzu. Danach können Ihre Freunde auf https://plex.ihre-domain.com zugreifen – und sehen Ihr Plex mit SSL-Verschlüsselung.

Schritt 6. Proxy-URL in den Plex-Einstellungen angeben

Gehen Sie im Plex Media Server zu Einstellungen → Netzwerk. Geben Sie im Feld "Benutzerdefinierte Server-URLs" Ihre Domain an: https://plex.ihre-domain.com:443. Dies sagt Plex, dass die Clients sich über diese Adresse verbinden sollen, anstatt nach einem direkten Weg zu suchen.

Einrichten eines Proxys für Jellyfin: Schritt für Schritt

Jellyfin ist eine vollständig kostenlose und offene Alternative zu Plex. Die Einrichtung eines Reverse Proxys für Jellyfin unterscheidet sich etwas, aber die Logik bleibt die gleiche. Jellyfin läuft standardmäßig auf Port 8096 (HTTP) und 8920 (HTTPS).

Schritt 1. Jellyfin für den Betrieb hinter einem Proxy einrichten

Öffnen Sie das Jellyfin-Dashboard. Gehen Sie zu Dashboard → Netzwerk. Suchen Sie das Feld "Basis-URL" und lassen Sie es leer (wenn Jellyfin im Root-Pfad sein wird). Stellen Sie sicher, dass die Option "Erlauben Sie entfernte Verbindungen" aktiviert ist.

Schritt 2. Nginx-Konfiguration für Jellyfin

Die Nginx-Konfiguration für Jellyfin ist etwas komplizierter, da der Server WebSocket zur Synchronisierung verwendet:

server {
    listen 80;
    server_name jellyfin.ihre-domain.com;

    location / {
        proxy_pass http://localhost:8096;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # WebSocket-Unterstützung (wichtig für Jellyfin!)
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";

        # Streaming ohne Pufferung
        proxy_buffering off;
        proxy_read_timeout 36000s;
    }
}

Alternative: Caddy anstelle von Nginx

Wenn Sie sich nicht mit Nginx auseinandersetzen möchten, probieren Sie Caddy – es erhält automatisch SSL-Zertifikate und hat eine einfachere Konfigurationssyntax. Die Konfiguration für Jellyfin in Caddy sieht so aus:

jellyfin.ihre-domain.com {
    reverse_proxy localhost:8096
}

Ja, das sind buchstäblich zwei Zeilen. Caddy konfiguriert HTTPS selbst, erhält ein Let's Encrypt-Zertifikat und aktualisiert es automatisch. Für die meisten Heimnutzer ist Caddy die bequemere Wahl.

Schritt 3. Tunnel einrichten (ähnlich wie bei Plex)

Verwenden Sie denselben SSH-Tunnel oder VPN-Ansatz, der im Abschnitt über Plex beschrieben ist, jedoch mit Port 8096:

ssh -N -R 8096:localhost:8096 user@IHRE_VPS_IP

Alternativen: Tailscale, Cloudflare Tunnel und Proxys – Vergleich

Neben dem klassischen Reverse Proxy über VPS gibt es modernere Lösungen. Lassen Sie uns ihre Vor- und Nachteile betrachten:

Tailscale (und Headscale)

Tailscale ist ein VPN auf Basis von WireGuard, das ein privates Netzwerk zwischen Ihren Geräten erstellt. Sie installieren Tailscale auf dem Heimserver und auf den Geräten Ihrer Freunde – und sie erhalten direkten verschlüsselten Zugriff auf den Server über das virtuelle Netzwerk.

• Vorteile: sehr einfach einzurichten, maximale Sicherheit, keine Verzögerung durch den Proxy, kostenlos für bis zu 3 Benutzer
• Nachteile: Freunde müssen den Tailscale-Client installieren, Abhängigkeit von den Servern von Tailscale Inc., schwieriger zu skalieren für eine große Anzahl von Zuschauern
• Wann wählen: wenn Sie 2-5 technisch versierte Freunde haben, die bereit sind, die App zu installieren

Cloudflare Tunnel (ehemals Argo Tunnel)

Cloudflare Tunnel ermöglicht es, Ihren Heimserver über die Infrastruktur von Cloudflare ins Internet zu veröffentlichen, ohne Ports zu öffnen. Sie installieren cloudflared auf dem Heimserver, er erstellt einen ausgehenden Tunnel zu Cloudflare, und Ihr Server wird über Ihre Domain über das CDN von Cloudflare zugänglich.

• Vorteile: kostenlos, kein VPS erforderlich, DDoS-Schutz von Cloudflare, SSL automatisch
• Nachteile: Cloudflare verbietet die Nutzung des kostenlosen Tarifs für das Streaming von Videos in seinen ToS. Für große Datenmengen ist ein kostenpflichtiger Plan erforderlich. Außerdem sieht Cloudflare gesamten Ihren Datenverkehr.
• Wann wählen: für Tests oder seltenen Zugriff auf Jellyfin/Plex

Vergleichstabelle der Lösungen

Geschwindigkeit und Qualität des Streamings über Proxys: Was beeinflusst

Die wichtigste Frage bei der Verwendung eines Proxys für einen Mediaserver ist: Wird die Videoqualität sinken? Lassen Sie uns untersuchen, was tatsächlich die Streaminggeschwindigkeit über Proxys beeinflusst.

Bandbreite des Heim-Internets

Dies ist die wichtigste Einschränkung. Der gesamte Videostream läuft über Ihren Heimkanal ins Internet (Upload). Typische Anforderungen an die Upload-Geschwindigkeit:

• SD-Qualität (480p): ~2-4 Mbit/s pro Zuschauer
• HD-Qualität (720p): ~5-8 Mbit/s pro Zuschauer
• Full HD (1080p): ~8-15 Mbit/s pro Zuschauer
• 4K HDR: ~25-40 Mbit/s pro Zuschauer

Wenn Sie einen Heimtarif mit 50 Mbit/s Upload haben, können Sie gleichzeitig 3-4 Zuschauer in 1080p versorgen. Der Proxy schafft hier keine zusätzlichen Einschränkungen – er leitet lediglich den Datenverkehr weiter.

Transcoding vs. Direct Play

Plex und Jellyfin können Videos in Echtzeit transcodieren – das Format an die Möglichkeiten des Clientgeräts anpassen. Transcoding belastet die CPU des Heimservers, hat jedoch nichts mit dem Proxy zu tun. Wenn das Clientgerät Direct Play unterstützt, ist die Belastung minimal.

Empfehlung: Stellen Sie die Client-Anwendungen von Plex/Jellyfin auf die maximale Qualität und Direct Play ein – dies reduziert die Serverlast und beseitigt Verzögerungen beim Transcoding.

Proxy-Latenz

Der Proxy fügt einen zusätzlichen "Sprung" in der Route hinzu. Für das Streaming von Videos ist eine Latenz von 20-50 ms praktisch nicht spürbar – der Puffer des Videoplayers kompensiert sie. Es ist entscheidend, einen VPS in einer Region zu wählen, die nahe bei Ihren Zuschauern ist: Wenn Freunde in Moskau sind – nehmen Sie einen VPS in Moskau oder Europa, nicht in den USA.

Praktische Tipps zur Optimierung

• Deaktivieren Sie die Pufferung in Nginx (proxy_buffering off) – dies ist entscheidend für das Videostreaming
• Erhöhen Sie die Zeitüberschreitungen (proxy_read_timeout 36000s) – andernfalls werden lange Filme unterbrochen
• Aktivieren Sie HTTP/2 in Nginx – reduziert den Overhead bei mehreren parallelen Anfragen
• Verwenden Sie gzip nur für Textantworten (Metadaten, API), jedoch nicht für Videostreams
• Richten Sie das Caching von Cover und Metadaten auf Proxy-Ebene ein – reduziert die Last auf dem Heimserver

Sicherheit: Wie man Server und Benutzerdaten schützt

Mit der Einrichtung eines Proxys haben Sie bereits die Sicherheit im Vergleich zu einem offenen Port erheblich verbessert. Aber es gibt noch einige wichtige Maßnahmen, die Sie umsetzen sollten.

Authentifizierung auf Proxy-Ebene

Fügen Sie eine grundlegende HTTP-Authentifizierung auf Nginx-Ebene als zusätzliche Barriere hinzu. Selbst wenn jemand Ihre URL findet – ohne Benutzername und Passwort sieht er nicht die Benutzeroberfläche von Plex/Jellyfin. Erstellen Sie eine Passwortdatei:

sudo htpasswd -c /etc/nginx/.htpasswd benutzername

Beachten Sie jedoch: Die grundlegende Authentifizierung von Nginx kann mit der API von Plex/Jellyfin in Konflikt geraten. Es ist besser, sich vollständig auf die integrierte Authentifizierung dieser Dienste zu verlassen – sie ist ausreichend sicher.

IP-Beschränkung

Wenn Ihre Freunde statische IPs haben (oder bereit sind, Ihnen ihre IP bei Änderungen mitzuteilen) – fügen Sie eine Whitelist in Nginx hinzu:

location / {
    allow 1.2.3.4;   # IP des Freundes 1
    allow 5.6.7.8;   # IP des Freundes 2
    deny all;
    proxy_pass http://localhost:32400;
}

Fail2ban gegen Brute-Force-Angriffe

Installieren Sie Fail2ban auf dem VPS – es blockiert automatisch IP-Adressen, die zu viele fehlgeschlagene Anmeldeversuche machen. Dies schützt sowohl Nginx als auch SSH auf dem VPS:

sudo apt install fail2ban -y
sudo systemctl enable fail2ban

Regelmäßige Updates

Aktualisieren Sie Plex/Jellyfin, Nginx und das Betriebssystem des VPS regelmäßig. Die meisten Hacks von Mediaservern erfolgen über bekannte Schwachstellen in veralteten Softwareversionen. Richten Sie automatische Sicherheitsupdates auf dem VPS ein:

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure unattended-upgrades

Überwachung und Protokolle

Richten Sie die Protokollanzeige von Nginx ein, um verdächtige Aktivitäten zu überwachen. Der Befehl zur Anzeige der letzten Anfragen in Echtzeit:

sudo tail -f /var/log/nginx/access.log

Achten Sie auf Anfragen mit ungewöhnlichen User-Agents, massenhafte Anfragen an /admin, /wp-admin und anderen Standardpfaden – dies sind Anzeichen für automatisches Scannen.

Sicherheitscheckliste für den Heim-Mediaserver

Fazit und Empfehlungen

Die Einrichtung eines Proxys für den Heim-Mediaserver Plex oder Jellyfin ist ein Gleichgewicht zwischen Benutzerfreundlichkeit, Sicherheit und Geschwindigkeit. Ein offener Port am Router bietet maximale Geschwindigkeit, birgt jedoch echte Risiken für das gesamte Heimnetzwerk. Ein Proxy löst dieses Problem, indem er eine minimale Verzögerung hinzufügt, aber einen angemessenen Schutz gewährleistet.

Die beste Wahl für die meisten Heimnutzer ist ein Reverse Proxy auf einem günstigen VPS über Caddy (einfacher) oder Nginx (flexibler) in Kombination mit einem SSH-Tunnel oder WireGuard/Tailscale. Dies bietet eine stabile URL, SSL-Verschlüsselung und vollständige Kontrolle darüber, wer und wie auf Ihren Server zugreift.

Wenn Sie Plex oder Jellyfin nicht nur zur Weitergabe von Inhalten an Freunde verwenden, sondern auch auf externe Quellen von Metadaten, Trailern oder Plugins zugreifen, die Server-IP blockieren – für diese Anfragen sind Residential Proxys hervorragend geeignet: Sie imitieren den Datenverkehr eines normalen Heimnutzers und erregen bei externen Diensten kein Misstrauen.

Für diejenigen, die maximale Geschwindigkeit beim Tunnelstreaming mit minimalen Verzögerungen wünschen, sind Rechenzentrums-Proxys zu beachten – sie bieten hohe Bandbreite und stabile Betriebszeiten, was für ein unterbrechungsfreies Streaming in Full HD und 4K entscheidend ist.