VPS für Syncthing: immer online, nur verschlüsselt

Syncthing hat eine lästige Eigenart: Zwei Geräte synchronisieren nur, solange beide online sind. Der Laptop schläft, das Handy steckt mit mobilen Daten in der Tasche, der Rechner zu Hause ist aus — und die Dateien warten auf den Moment, in dem zufällig zwei von ihnen gleichzeitig wach sind. Ein Peer, der rund um die Uhr online ist, behebt das. Alles synchronisiert über den Server, wann immer ein Gerät auftaucht.

Der übliche Einwand lautet: „Dann liegen meine Dateien auf einem VPS.“ Auch darauf hat Syncthing eine Antwort: Teilen Sie einen Ordner mit dem Server als nicht vertrauenswürdiges Gerät, und er speichert nur verschlüsselte Daten, die er nicht lesen kann.

Welcher Tarif

Syncthing selbst ist winzig – in unserem Test etwa 25–30 MB RAM. Was Sie eigentlich kaufen, ist Speicherplatz, denn der Server hält eine vollständige Kopie jedes Ordners, den Sie mit ihm teilen.

Nehmen Sie einen Tarif mit eigener IPv4. Ihre Geräte müssen den Server auf Port 22000 erreichen; bei einem NAT-Tarif kommt nur SSH durch, und Syncthing weicht auf öffentliche Relays aus – langsamer und über Infrastruktur, die Sie nicht kontrollieren. Wählen Sie Deutschland oder Finnland, je nachdem, was näher liegt und bei der Bestellung verfügbar ist. Den Server können Sie mit Krypto bezahlen, ohne KYC.

Installation

Als root auf Ubuntu 24.04 oder Debian 12, aus dem offiziellen Syncthing-Repository (stabiler v2-Kanal):

mkdir -p /etc/apt/keyrings
curl -L -o /etc/apt/keyrings/syncthing-archive-keyring.gpg https://syncthing.net/release-key.gpg
echo "deb [signed-by=/etc/apt/keyrings/syncthing-archive-keyring.gpg] https://apt.syncthing.net/ syncthing stable-v2" > /etc/apt/sources.list.d/syncthing.list
apt update && apt install -y syncthing

Lassen Sie es als eigenen Benutzer unter systemd laufen:

useradd -m -s /bin/bash syncthing
systemctl enable --now syncthing@syncthing
ufw allow 22/tcp && ufw allow 22000/tcp && ufw allow 22000/udp && ufw enable

Nennen Sie den Benutzer nicht sync. Dieser Name gehört bereits einem Systemkonto mit /bin als Home-Verzeichnis, und syncthing@sync scheitert mit einem Fehler über ein schreibgeschütztes Dateisystem – wir sind selbst darüber gestolpert.

Holen Sie sich die Geräte-ID des Servers – Sie fügen sie auf Ihren anderen Geräten ein:

runuser -u syncthing -- syncthing device-id

Die Weboberfläche lauscht nur auf 127.0.0.1:8384, und genau so soll es sein. Erreichen Sie sie über einen SSH-Tunnel von Ihrem Rechner aus:

ssh -L 8384:127.0.0.1:8384 root@YOUR_SERVER_IP

Öffnen Sie http://127.0.0.1:8384 und setzen Sie als Erstes ein GUI-Passwort unter Settings → GUI.

Einen Ordner so teilen, dass der Server ihn nicht lesen kann

Auf Ihrem Laptop (oder einem anderen vertrauenswürdigen Gerät):

1. Fügen Sie den Server über seine Geräte-ID als entferntes Gerät hinzu.
2. Öffnen Sie den Ordner, den Sie synchronisieren wollen → Sharing, haken Sie den Server an und tragen Sie daneben ein Verschlüsselungspasswort ein. Legen Sie dieses Passwort in Ihrem Passwortmanager ab: Ohne es sind die Daten auf dem Server bloßes Rauschen.
3. Nehmen Sie in der Weboberfläche des Servers den Ordner an und wählen Sie den Ordnertyp Receive Encrypted.

Das war's. Schauen Sie nach, was tatsächlich auf dem Server angekommen ist:

find /home/syncthing -path '*syncthing-enc*' -type f | head

Sie sehen Pfade wie …/I.syncthing-enc/C8/PICA7BFKFPSGQ06C4D4SQ50GB6E151QUNF1EOBK statt Ihrer Dateinamen. In unserem Test haben wir den Server nach einem Satz aus der synchronisierten Datei durchsucht – nichts.

Ihre anderen Geräte teilen denselben Ordner ganz normal untereinander und mit dem Server mit demselben Verschlüsselungspasswort. Jedes vertrauenswürdige Gerät, das das Passwort kennt, kann vom Server synchronisieren – auch ein neuer Laptop, nachdem der alte den Geist aufgegeben hat.

Der ehrliche Teil

• Synchronisierung ist kein Backup. Löschungen und versehentliches Überschreiben werden mitsynchronisiert. Schalten Sie die Dateiversionierung auf einem vertrauenswürdigen Gerät ein oder halten Sie ein separates Backup an einem anderen Ort.
• Die Verschlüsselung verbirgt Inhalte und Namen, nicht alles. Dateigrößen und wann sich etwas ändert, lassen sich auf dem Server noch ermitteln. Für die meisten ist das ein guter Tausch; wenn nicht für Sie, ist dieses Setup nichts für Sie.
• Das Passwort ist der Schlüssel. Verlieren Sie es, ist die verschlüsselte Kopie auf dem Server nutzlos. Das ist der Sinn der Sache – und zugleich das Risiko.
• Smartphones. Eine offizielle Mobil-App gibt es nicht mehr: Für Android existiert eine von der Community gepflegte, für iOS nur Clients von Drittanbietern. Prüfen Sie Ihren, bevor Sie fest damit planen.

Wenn Sie eine vollständige Weboberfläche mit Kalendern, Kontakten und Freigabelinks statt stiller Hintergrundsynchronisierung wollen, schauen Sie sich Nextcloud an. Wenn Ihre Dateien nur überall sein und nirgends außer auf Ihren eigenen Geräten lesbar sein sollen, ist dies das leichtere Werkzeug.

Verwandte Themen

• Nextcloud auf einem VPS selbst hosten – eine vollständige private Cloud mit Weboberfläche
• VPS für Vaultwarden – Passwörter auf dem eigenen Server
• VPS für verschlüsselten Speicher – LUKS und was Verschlüsselung auf einem Server leisten kann und was nicht
• SSH-Schlüssel-Authentifizierung einrichten
• Eine ufw-Firewall konfigurieren