Portainer einrichten, um Docker zu verwalten (2026): Installation, Ports und sicherer Zugriff

Portainer ist ein Web-Dashboard, das deine Docker-Container, -Images, -Volumes, -Netzwerke und -Stacks direkt im Browser verwaltet, sodass du dir keine docker-Befehle mehr merken musst, sondern einfach klickst. Für den Betrieb legst du ein Daten-Volume an und startest einen einzelnen Container, der den Docker-Socket einbindet; die Oberfläche ist danach unter https://your-server:9443 erreichbar. Diese Anleitung zeigt die genaue Installation von Portainer mit Docker im Jahr 2026, welche Ports zum Einsatz kommen, wie du sicher darauf zugreifst (der Teil, den die meisten Tutorials überspringen) und wann du besser darauf verzichtest.

Was ist Portainer für Docker?

Portainer ist eine schlanke Management-Oberfläche für Container-Plattformen. Richte es auf einen Docker-Host aus, und es stellt jeden Container, jedes Image, Volume, Netzwerk und jeden Compose-"Stack" so dar, dass du sie prüfen, starten, stoppen, aktualisieren oder bereitstellen kannst, ohne die Kommandozeile anzufassen. Es kommuniziert mit Docker über den Socket des Hosts unter /var/run/docker.sock, wodurch es alles sieht und steuert, was dort läuft. Die offizielle Dokumentation beschreibt es so, dass sie die Komplexität von Containern hinter einer Oberfläche verbirgt – für die tägliche Arbeit sind weder CLI noch von Hand geschriebenes YAML nötig. Portainer läuft selbst als einzelner Container, unterstützt mehrere Nutzer mit rollenbasiertem Zugriff und funktioniert mit eigenständigem Docker, Docker Swarm und Kubernetes. 2026 hat sich Portainer weg von der Positionierung als "einfache Docker-GUI" hin zu einer "operativen Control Plane" neu ausgerichtet, doch für einen einzelnen VPS bleibt der praktische Nutzen derselbe: eine schnelle, visuelle Möglichkeit, deinen Stack zu betreiben.

So installierst du Portainer mit Docker

Die Installation der Community Edition erfordert zwei Befehle. Lege zuerst ein benanntes Volume an, damit Portainers Daten Neustarts und Upgrades überstehen, und starte dann den Server-Container:

docker volume create portainer_data

docker run -d \
  -p 8000:8000 -p 9443:9443 \
  --name portainer \
  --restart=always \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v portainer_data:/data \
  portainer/portainer-ce:lts

Das Anheften an den :lts-Tag (statt :latest) ist die eigene Empfehlung des Portainer-Teams für den Produktivbetrieb, da LTS-Releases einen längeren Support-Zeitraum erhalten. Sobald es läuft, öffnest du https://your-server-ip:9443 und legst das Admin-Konto an. Ein Detail, das die Dokumentation eher versteckt: Aus Sicherheitsgründen sperrt Portainer die Initialisierung, wenn du das Admin-Passwort nicht innerhalb weniger Minuten nach dem ersten Start setzt – dann musst du docker restart portainer ausführen, bevor es dich hineinlässt. Das verhindert, dass ein Fremder eine unbeaufsichtigte Instanz zuerst für sich beansprucht.

Lieber Compose? Dasselbe als docker-compose.yml:

services:
  portainer:
    image: portainer/portainer-ce:lts
    container_name: portainer
    restart: always
    ports:
      - "9443:9443"
      - "8000:8000"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - portainer_data:/data
volumes:
  portainer_data:

Welche Ports Portainer nutzt

Portainer stellt einen kleinen, klar definierten Satz an Ports bereit. Für einen einzelnen Host brauchst du nur den ersten.

Port	Zweck	Benötigt?
9443	HTTPS-Weboberfläche (standardmäßig selbstsigniertes Zertifikat)	Ja
8000	TCP-Tunnel für Edge-Agents auf entfernten Hosts	Nur für Edge-Agents
9000	Alte Klartext-HTTP-Oberfläche	Nein – veraltet, überspringen

Bleib bei 9443. Der alte HTTP-Port 9000 taucht noch in jahrealten Tutorials auf, aber das Bedienpanel für deinen gesamten Host über unverschlüsseltes HTTP auszuliefern ist eine schlechte Idee – lass ihn aus. Wenn du nur den einen lokalen Docker-Host verwaltest, kannst du auch -p 8000:8000 weglassen; er dient ausschließlich dazu, entfernte Edge-Agents zurück zum Server zu verbinden.

So greifst du sicher auf Portainer zu

Das ist der Schritt, über den allgemeine Installationsanleitungen hinweggehen, und er ist wichtiger als jeder andere. Portainer bindet den Docker-Socket ein, was bedeutet: Wer auch immer die Portainer-Oberfläche erreicht, hat faktisch Root auf deinem Host – er kann einen privilegierten Container starten und die Maschine übernehmen. Die Regel ist deshalb einfach: Veröffentliche 9443 niemals direkt im öffentlichen Internet.

Drei sichere Muster, grob nach Einfachheit sortiert:

• Privates Mesh (empfohlen). Bring den Server in ein Tailscale-Netzwerk und erreiche 9443 nur über das Tailnet. Nichts wird öffentlich exponiert, und du bekommst eine verschlüsselte Verbindung von deinem Laptop oder Smartphone.
• Reverse Proxy mit echtem TLS und Authentifizierung. Stelle Caddy oder Nginx Proxy Manager auf 443 vor Portainer, ergänze ein gültiges Zertifikat und lege eine zusätzliche Auth-Schranke davor. Das ist der Weg, wenn ein Team Browser-Zugriff braucht, ohne einen VPN-Client zu installieren.
• SSH-Tunnel. Für gelegentlichen Zugriff leitet ssh -L 9443:localhost:9443 user@server den Port für die Dauer der Sitzung auf deine Maschine weiter – und nicht länger.

Wofür du dich auch entscheidest, härte zuerst den Host ab – die Checkliste für die sichere erste Stunde (Firewall, ausschließlich schlüsselbasiertes SSH, Nutzer ohne Root-Rechte) ist das Fundament, auf dem eine Oberfläche mit eingebundenem Socket steht. Sperre 9443 in deiner Firewall für alles außer deinem VPN oder Proxy.

Ist Portainer kostenlos? CE vs. Business Edition

Ja – die Community Edition (portainer-ce) ist vollständig kostenlos und Open Source unter einer Lizenz im zlib/MIT-Stil, ohne Node-Limit und ohne Feature-Paywall für die grundlegende Container-Verwaltung. Die kostenpflichtige Business Edition (portainer-be) ergänzt Enterprise-Funktionen wie umfangreichere rollenbasierte Zugriffssteuerung, Registry-Verwaltung und Support, und Portainer hält sie für bis zu drei Nodes dauerhaft kostenlos – ohne Kreditkarte oder ablaufende Testphase. Für einen einzelnen VPS oder ein Homelab reicht CE völlig aus; BE wird erst relevant, sobald du mehrere Hosts oder ein Team mit fein abgestuften Berechtigungen verwaltest.

Wann du Portainer nicht nutzen solltest

Portainer spielt seine Stärken bei visueller, spontaner Verwaltung und in kleinen Teams aus. In zwei Fällen passt es weniger gut. Wenn deine Infrastruktur in Git liegt – Compose-Dateien oder Kubernetes-Manifeste, versioniert und über CI ausgerollt –, arbeitet das Klicken von Änderungen in einer Oberfläche gegen diese Single-Source-of-Truth-Disziplin; rolle stattdessen aus dem Repository aus und nutze Portainer nur lesend, wenn überhaupt. Und wenn du ein vollwertiges Platform-as-a-Service-Erlebnis willst (Build aus einem Git-Push, verwaltete Datenbanken, automatisches HTTPS), deckt ein Werkzeug wie Coolify mehr ab als eine Management-GUI. Portainer verwaltet Container; es baut oder deployt deine App nicht aus dem Quellcode, wie es eine PaaS tut.

Häufig gestellte Fragen

Was ist Portainer für Docker?

Portainer ist eine webbasierte Oberfläche, mit der du Docker-Container, -Images, -Volumes, -Netzwerke und Compose-Stacks aus dem Browser statt über die Kommandozeile verwaltest. Es verbindet sich über den Host-Socket mit Docker und kann eigenständiges Docker, Swarm und Kubernetes verwalten.

Sollte ich Portainer oder Docker verwenden?

Es ist kein Entweder-oder – Portainer läuft auf Docker auf. Behalte die Docker-Engine als deine Laufzeitumgebung und ergänze Portainer, wenn du sie visuell verwalten oder Teammitgliedern kontrollierten Zugriff geben willst. Wenn du dich in der CLI wohlfühlst und alles über Compose-Dateien in Git verwaltest, brauchst du es womöglich nicht.

Ist Portainer kostenlos?

Ja. Portainer Community Edition ist kostenlos und Open Source, ohne Node- oder Feature-Limits für die Kernverwaltung. Die Business Edition ergänzt Enterprise-Funktionen und ist für bis zu drei Nodes kostenlos; darüber hinaus ist sie kostenpflichtig.

Was ist der Unterschied zwischen Docker und Portainer?

Docker ist die Container-Engine, die Container tatsächlich baut und ausführt. Portainer ist eine Verwaltungsebene darüber – ein Dashboard zum Ansehen und Steuern dessen, was Docker ausführt. Docker erledigt die Arbeit; Portainer gibt dir eine Oberfläche, um es zu bedienen.

Sources

• Portainer Docs — Install CE with Docker on Linux — Installationsbefehle, :lts-Tag, Ports 9443/8000/9000
• Portainer Docs — Welcome / overview — was Portainer verwaltet und wie es sich mit dem Docker-Socket verbindet
• Portainer — Pricing — CE kostenlos, Business Edition für bis zu drei Nodes kostenlos
• Portainer Blog — Why we rebranded Portainer — Neupositionierung 2026 von Docker-GUI zur Control Plane
• Portainer on Docker Hub — offizielles portainer/portainer-ce-Image und -Tags