Raspberry Pi Portainer

Passende Hardware im Überblick

Boards – für viele Container zählt der RAM:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung fürs Container-Cockpit (Link)*
Raspberry Pi 5 mit 16GB RAM – wenn viele Stacks dazukommen (Link)*
Raspberry Pi 5 mit 4GB RAM – reicht für den Einstieg (Link)*
Raspberry Pi 4 mit 4GB als Starter-Set (Link)*
Raspberry Pi 5 16GB Starter-Kit mit 128GB Karte – alles in einem Karton (Link)*

Speicher – Docker und Portainer schreiben ununterbrochen:
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Offizieller PCIe M.2 HAT (Link)*
Intenso M.2 NVMe SSD 500GB – wenn es günstig sein soll (Link)*
Crucial P310 NVMe SSD 500GB – die schnellere Wahl (Link)*
SanDisk Extreme Portable SSD 1TB per USB (Link)*
SanDisk Extreme A2 128GB microSD – nur als Notlösung (Link)*

Für den Dauerbetrieb rund um die Uhr:
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
db-tronic Komplett-Set mit Gehäuse, Kühler und Netzteil (Link)*
Geekworm X1200 USV gegen Stromausfälle (Link)*
Waveshare PoE-HAT für den Netzwerkschrank (Link)*

Kurz gesagt: Was bringt Portainer auf dem Raspberry Pi?

Raspberry Pi Portainer in der Kurzfassung:

• Was es ist: Eine Weboberfläche für Docker. Container starten, stoppen, Protokolle lesen und Speicher aufräumen – alles im Browser statt per SSH.
• Installation: Ein Volume anlegen, einen Container per Docker Compose starten, fertig. Die Oberfläche lauscht auf https://<IP>:9443.
• Wichtigste Falle: Das Admin-Konto muss innerhalb von fünf Minuten nach dem Containerstart angelegt werden. Danach sperrt sich Portainer aus Sicherheitsgründen – ein Neustart des Containers öffnet das Zeitfenster erneut.
• CE oder Business: Die Community Edition ist kostenlos und quelloffen. Die Business Edition gibt es für bis zu drei Knoten dauerhaft gratis, sie bringt Rechteverwaltung und Anmeldung über externe Verzeichnisse mit.
• Stacks statt Klicken: Compose-Dateien lassen sich direkt im Browser einfügen und ausrollen – trotzdem gehören sie zusätzlich versioniert auf die Platte.
• Sicherheit: Portainer hat über den Docker-Socket volle Kontrolle über den Pi. Deshalb niemals ungeschützt ins Internet stellen, sondern nur im Heimnetz oder über VPN erreichbar machen.

Was Portainer ist und wann es sich lohnt

Portainer ist eine grafische Verwaltungsoberfläche für Container-Umgebungen. Auf dem Pi bedeutet das konkret: Ein einziger Container legt sich über die bestehende Docker-Installation und zeigt im Browser, was dort eigentlich passiert – welche Container laufen, wie viel Speicher sie belegen, welche Images auf der Platte liegen und welche Volumes längst verwaist sind.

Der Nutzen wächst mit der Zahl der Dienste. Wer einen einzelnen Container betreibt, kommt mit docker ps und docker compose logs bestens zurecht. Ab dem dritten oder vierten Dienst kippt das Verhältnis: Dann kostet es mehr Zeit, sich in den richtigen Ordner zu hangeln, als im Browser auf eine Zeile zu klicken. Genau an dieser Stelle setzt Portainer an – es ersetzt das Terminal nicht, es nimmt ihm die Routine ab.

Wichtig ist das Verständnis dafür, wie tief das Werkzeug ins System greift. Portainer bekommt beim Start den Docker-Socket /var/run/docker.sock durchgereicht. Wer Zugriff auf diesen Socket hat, kann beliebige Container mit beliebigen Rechten starten – und damit faktisch das ganze System übernehmen. Portainer ist also kein harmloses Dashboard, sondern ein administrativer Vollzugriff mit hübscher Oberfläche.

Bei den Ausgaben gibt es zwei Wege. Die Community Edition ist quelloffen, kostenlos und deckt alles ab, was ein Heimserver braucht. Die Business Edition ist für bis zu drei Knoten dauerhaft kostenfrei nutzbar – die Lizenz muss lediglich jährlich gratis erneuert werden – und bringt Rollenrechte, Anmeldung über LDAP oder OAuth sowie Protokollierung mit. Für einen einzelnen Pi im Heimnetz ist das schlicht Überausstattung; wer mehrere Personen mit unterschiedlichen Rechten arbeiten lässt, kann den Blick darauf riskieren.

Raspberry Pi Portainer installieren – Schritt für Schritt

1. Docker prüfen: Portainer setzt eine laufende Docker-Installation voraus. Ein docker compose version muss eine Versionsnummer ausgeben. Fehlt Docker noch, hilft die Docker-Anleitung weiter – nötig ist ein 64-Bit-System, erkennbar am aarch64 in der Ausgabe von uname -m.
2. Ordner anlegen: mkdir -p ~/docker/portainer und in dieses Verzeichnis wechseln. Ein Ordner je Dienst hält die Sammlung übersichtlich.
3. compose.yaml schreiben: Diese Datei beschreibt den kompletten Dienst inklusive Datenablage.

services:
  portainer:
    image: portainer/portainer-ce:lts
    container_name: portainer
    restart: unless-stopped
    ports:
      - "9443:9443"
      - "8000:8000"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - portainer_data:/data

volumes:
  portainer_data:

4. Starten: docker compose up -d. Das Image ist als Multi-Arch-Variante auch für arm64 verfügbar, der Pi zieht automatisch die passende Fassung.
5. Oberfläche öffnen: Im Browser https://<IP-des-Pi>:9443 aufrufen. Portainer erzeugt beim ersten Start ein selbstsigniertes Zertifikat, deshalb warnt der Browser einmalig – das ist im Heimnetz erwartbar. Die passende Adresse liefert die IP-Abfrage, praktischer ist eine feste IP.
6. Admin-Konto sofort anlegen: Benutzername und ein langes Passwort mit mindestens zwölf Zeichen eintragen. Dieser Schritt muss innerhalb von fünf Minuten nach dem Containerstart erfolgen.
7. Umgebung verbinden: Im Assistenten die lokale Docker-Umgebung auswählen. Danach erscheinen alle bereits laufenden Container im Dashboard – Portainer übernimmt sie, ohne etwas an ihnen zu verändern.

Die Portainer-Oberfläche erklärt

Nach der Anmeldung landet man auf dem Dashboard mit den Kennzahlen der Umgebung. Die eigentliche Arbeit passiert in der linken Navigation, deren Bereiche sich schnell erschließen:

Zwei Funktionen lohnen den ersten Blick besonders. Über das Protokoll-Symbol eines Containers öffnet sich die Live-Ausgabe der Logs – der schnellste Weg zur Ursache, wenn ein Dienst nicht startet. Das Konsolen-Symbol daneben öffnet eine Shell im laufenden Container, wahlweise mit /bin/sh oder /bin/bash. Damit lassen sich Konfigurationsdateien im Container einsehen, ohne vorher eine SSH-Sitzung aufzubauen.

Ebenfalls praktisch ist die Statistik-Ansicht je Container: Sie zeigt CPU-Last, Arbeitsspeicher und Netzwerkdurchsatz in Kurven. Auf einem Pi mit 4 GB RAM ist das mehr als Spielerei – dort erkennt man früh, welcher Dienst den Speicher auffrisst, bevor der Swap das System ausbremst.

Stacks nutzen: Docker Compose im Browser

Der Menüpunkt Stacks ist das Herzstück für den Alltag. Ein Stack ist nichts anderes als eine Compose-Datei: Unter „Add stack" trägt man einen Namen ein, fügt den YAML-Text in den Editor ein und klickt auf „Deploy the stack". Portainer legt daraufhin Container, Netzwerke und Volumes an – exakt so, wie es docker compose up -d auf der Kommandozeile täte.

Für ein Update genügt später „Editor" öffnen, die Zeile mit dem Image anpassen und erneut ausrollen; die Option „Re-pull image" holt bei gleichbleibendem Tag die neuere Fassung. So lassen sich Dienste wie Uptime Kuma, Vaultwarden oder Immich in wenigen Minuten aufsetzen.

Trotzdem gilt eine Regel, die viele erst nach dem ersten Datenverlust beherzigen: Compose-Dateien gehören zusätzlich als Datei auf die Platte. Ein im Browser eingetippter Stack lebt in der Portainer-Datenbank. Geht dieses Volume verloren oder wird die Portainer-Installation ersetzt, ist die Beschreibung des Dienstes weg – die Container laufen zwar weiter, aber niemand weiß mehr, wie sie entstanden sind. Wer die Dateien stattdessen in einem Ordner wie ~/docker/<dienst>/compose.yaml pflegt und dort per Git versioniert, hat Dokumentation, Backup und Umzugshilfe in einem. Portainer kann solche Dateien auch direkt aus einem Git-Repository ausrollen – das ist der sauberste Weg von beiden Welten.

Die App Templates sind für den Einstieg verlockend, sollten aber mit Vorsicht genossen werden. Viele Vorlagen stammen aus Community-Sammlungen und verweisen auf Images, die seit Jahren nicht mehr gepflegt werden. Wer eine Vorlage nutzt, sollte anschließend im Editor nachsehen, welches Image tatsächlich eingetragen ist.

Mehrere Raspberry Pis über eine Oberfläche verwalten

Wer mehr als einen Pi betreibt – etwa einen für Home Assistant und einen zweiten als NAS – muss nicht auf jedem Gerät eine eigene Portainer-Instanz installieren. Stattdessen bleibt ein Pi der Server, auf allen weiteren läuft nur der schlanke Portainer-Agent.

1. Agent auf dem zweiten Pi starten: docker run -d -p 9001:9001 --name portainer_agent --restart=always -v /var/run/docker.sock:/var/run/docker.sock -v /var/lib/docker/volumes:/var/lib/docker/volumes portainer/agent:lts
2. Im Server anmelden: Dort unter „Environments" auf „Add environment" klicken und „Docker Standalone" wählen.
3. Agent eintragen: Als Adresse 192.168.1.50:9001 angeben – ohne https:// davor, denn die Verschlüsselung handelt der Agent selbst aus.
4. Umschalten: Über die Umgebungsauswahl oben lässt sich anschließend zwischen den Geräten wechseln, ohne sich neu anzumelden.

Für Geräte außerhalb des eigenen Netzes gibt es zusätzlich den Edge-Agent, der die Verbindung von sich aus zum Server aufbaut und dafür Port 8000 nutzt – deshalb steht dieser Port in der Compose-Datei oben. Wer ihn nicht braucht, kann die Zeile weglassen.

Raspberry Pi Portainer absichern – die Pflichtaufgaben

• Niemals ungeschützt ins Internet: Eine Portweiterleitung auf 9443 in der Fritzbox ist die wohl riskanteste Konfiguration überhaupt, weil dahinter der volle Systemzugriff steht. Der richtige Weg führt über WireGuard, Tailscale oder einen Cloudflare-Tunnel mit vorgeschalteter Anmeldung.
• Nur HTTPS verwenden: Port 9443 ist verschlüsselt, der alte Port 9000 war es nicht. Anleitungen, die noch 9000 veröffentlichen, sind veraltet – dieser Port sollte gar nicht erst freigegeben werden.
• Starkes Passwort setzen: Portainer verlangt mindestens zwölf Zeichen. Ein Eintrag im Passwortmanager ist sinnvoller als ein merkbares Kürzel, und die Zwei-Faktor-Anmeldung lässt sich im Benutzerprofil zusätzlich aktivieren.
• Socket-Rechte verstehen: Wer den Docker-Socket weitergibt, gibt Root-Rechte weiter. Deshalb sollten keine weiteren Benutzerkonten in Portainer angelegt werden, denen man nicht auch die Root-Anmeldung am Pi anvertrauen würde.
• Grundabsicherung nicht vergessen: Portainer ist nur so sicher wie das System darunter. Die Punkte aus dem Beitrag Raspberry Pi absichern – Standardpasswort ändern, SSH-Schlüssel statt Passwort, regelmäßige Updates – bleiben Pflicht.

Alternativen zu Portainer im Vergleich

Portainer ist der Platzhirsch, aber nicht die einzige Möglichkeit. Je nach Anspruch passt eine schlankere Lösung besser:

Die Faustregel lautet: Wer seine Dienste ohnehin ausschließlich über Compose betreibt und die Dateien versioniert pflegt, fährt mit Dockge angenehmer. Wer auch Images, Volumes und Netzwerke im Griff behalten oder mehrere Geräte zusammenfassen will, kommt an Portainer kaum vorbei. Ein Nebeneinander ist übrigens möglich, aber selten sinnvoll – zwei Oberflächen auf demselben Socket erzeugen mehr Verwirrung als Nutzen.

Typische Fehler und Stolpersteine

• „Timed out for security purposes": Der häufigste Stolperstein überhaupt. Wird das Admin-Konto nicht binnen fünf Minuten nach dem Start angelegt, sperrt sich die Oberfläche. Abhilfe: docker restart portainer – danach beginnt das Zeitfenster von vorn.
• Zertifikatswarnung im Browser: Das selbstsignierte Zertifikat löst eine Warnung aus. Im Heimnetz ist das unbedenklich; wer es sauber will, hinterlegt ein eigenes Zertifikat oder stellt einen Reverse Proxy davor.
• Port 9000 statt 9443: Ältere Anleitungen nennen noch den unverschlüsselten Port. Aktuelle Versionen setzen auf 9443 – wer 9000 sucht, findet oft schlicht nichts.
• Berechtigung am Socket fehlt: Meldet der Container „permission denied" beim Zugriff auf /var/run/docker.sock, wurde der Pfad falsch eingehängt oder der Benutzer ist nicht in der Gruppe docker. Ein sudo usermod -aG docker $USER und eine neue Anmeldung lösen das.
• Update-Fallen: Portainer aktualisiert sich nicht selbst. Ein Sprung über mehrere Hauptversionen hinweg migriert die interne Datenbank – ohne Sicherung des Volumes portainer_data ist das riskant. Empfehlenswert ist der Tag lts statt latest oder sts.
• Stacks außerhalb von Portainer geändert: Wer einen Stack im Browser anlegt und später per Kommandozeile bearbeitet, bringt beide Stände auseinander. Ein Weg reicht – am besten Git-basiert.
• SD-Karte als Unterbau: Portainer selbst ist genügsam, die verwalteten Container sind es nicht. Docker-Layer und Datenbanken zerlegen Speicherkarten in Monaten; eine NVMe-SSD löst das Problem dauerhaft.

Häufige Fragen zu Portainer auf dem Raspberry Pi

Läuft Portainer auf jedem Raspberry Pi?
Auf jedem Modell, auf dem Docker mit 64-Bit-System läuft, also ab dem Pi 3. Portainer selbst braucht nur wenige Hundert Megabyte RAM – die Grenze setzen die verwalteten Container, nicht die Oberfläche.

Brauche ich Portainer wirklich oder reicht das Terminal?
Bei einem einzelnen Dienst reicht das Terminal locker. Ab etwa drei bis vier Containern spart die Oberfläche spürbar Zeit, vor allem beim Lesen von Protokollen und beim Aufräumen alter Images.

Community Edition oder Business Edition?
Für den Heimgebrauch genügt die Community Edition vollständig. Die Business Edition ist für bis zu drei Knoten kostenlos und lohnt nur, wenn Rollenrechte, zentrale Anmeldung oder Protokollierung gebraucht werden.

Wie aktualisiere ich Portainer selbst?
Im Ordner mit der Compose-Datei genügen docker compose pull und docker compose up -d. Das Volume portainer_data bleibt dabei erhalten, sollte aber vorher gesichert werden.

Kann ich bestehende Container ohne Datenverlust übernehmen?
Ja. Portainer erkennt beim Verbinden der lokalen Umgebung alle vorhandenen Container und Volumes und verändert dabei nichts. Nur nachträglich per Terminal angelegte Container erscheinen nicht als Stack, sondern als Einzelcontainer.

Ist der Zugriff über das Internet möglich?
Technisch ja, empfehlenswert nein. Eine direkte Portfreigabe stellt vollen Systemzugriff ins Netz. Sinnvoll ist ausschließlich der Umweg über ein VPN oder einen Tunnel mit eigener Anmeldung.

Wie bekomme ich Portainer wieder herunter?
docker compose down im Portainer-Ordner entfernt den Container, docker volume rm portainer_data löscht anschließend die Datenbank. Die verwalteten Container laufen davon unbeeindruckt weiter.

Fazit

Raspberry Pi Portainer ist die bequemste Art, eine gewachsene Container-Sammlung im Blick zu behalten: Protokolle, Ressourcen und Speicherfresser sind zwei Klicks entfernt statt drei Befehle. Unsere klare Empfehlung lautet trotzdem differenziert: Portainer als Fenster nutzen, nicht als alleinige Wahrheit. Die Compose-Dateien gehören versioniert in Ordner auf der Platte, damit ein verlorenes Volume nicht die halbe Konfiguration mitnimmt. Zwei weitere Punkte sind nicht verhandelbar – der lts-Tag statt latest, und kein einziger offener Port aus dem Internet auf diese Oberfläche. Wer das beherzigt, bekommt ein Cockpit, das den Docker-Alltag auf dem Pi spürbar entspannter macht.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)