Platforms & Infrastructure

Vom nackten Server zum Produktiv-Hosting. Ein Playbook. Jedes Mal identisch.

PM HostStack ist die Ansible-basierte Automatisierung, die einen frischen Debian-Server in eine gehärtete, performance-optimierte Multi-Stack-Hosting-Plattform verwandelt — WordPress und Next.js Seite an Seite, Isolation pro Site, automatisiertes SSL, nächtliche Backups und ein vollwertiges Web-Admin-Panel für den täglichen Betrieb.

Beratung anfragen premotion media kontaktieren ↓

Reproduzierbare Infrastruktur

Der gesamte Server ist in versioniertem Code definiert — identische Maschinen auf Abruf, jede Änderung im Review auditierbar, kein Konfigurationsdrift

Konsolidierung ohne Kompromiss

Viele Sites auf einem getunten Server, jede mit Isolation auf OS-Ebene — die Ökonomie von Shared Hosting mit der Trennung von Dedicated Hosting

Performance als Architektur

Mehrschichtiges Caching, JIT-kompiliertes PHP, getunte Datenbank und Kernel — ausgelegt auf Millionen monatlicher Zugriffe statt auf Paket-Standardwerte

Sicherheit als Standard

Firewall, Intrusion Response, SSH-Härtung, Sandboxing pro Site und automatisierte Kompromittierungs-Scans sind Teil der Provisionierung — kein späteres Projekt

Worum es geht

PM HostStack

Handgepflegte Server driften. Jeder „schnelle Fix" per SSH macht die nächste Migration schwieriger — und irgendwann weiß niemand mehr genau, wie die Maschine wirklich von der Dokumentation abweicht. PM HostStack ersetzt diese Unsicherheit durch Infrastructure as Code: Der komplette Hosting-Stack — Webserver, PHP, Datenbank, Cache, Firewall, Zertifikate, Backups — ist in versionierten Ansible-Rollen und Variablen definiert. Das Playbook erzeugt jedes Mal denselben Server, und ein erneuter Lauf ist konstruktionsbedingt gefahrlos.

Das Ergebnis ist kein generisches Setup-Skript, sondern eine bewusst durchkonstruierte Hosting-Plattform: NGINX mit FastCGI-Caching, PHP-FPM mit OPcache und JIT-Kompilierung, eine tief getunte MariaDB, Redis-Objekt-Caching und Netzwerk-Tuning auf Kernel-Ebene — dimensioniert für Websites mit Millionen von Zugriffen pro Monat. Darüber liegt ein webbasiertes Admin-Panel für den Alltag: Eine Site anlegen, WordPress installieren oder einen Next.js-Build deployen erfordert keine Kommandozeile.

PM HostStack wird von premotion media entwickelt und ist die Automatisierung hinter dem eigenen Managed Hosting von premotion media. Dasselbe Playbook, das unsere Produktivinfrastruktur betreibt, steht auch für Ihre Server bereit — auf Ihrem eigenen VPS oder dedizierter Hardware, ohne Abhängigkeit von einem proprietären Hosting-Control-Panel.

Funktionen

Durchdacht bis in den Arbeitsalltag.

Jeder Baustein ist auf einen klaren Nutzen ausgerichtet und fügt sich in bestehende Abläufe ein.

Feature Section

Ein einziger Playbook-Lauf bringt eine frisch aufgesetzte Debian-13-Maschine in den produktionsreifen Zustand. Jede Komponente ist eine getaggte Ansible-Rolle — der gesamte Stack oder jede einzelne Schicht lässt sich unabhängig ausrollen, aktualisieren und auditieren.

Ein Playbook, ein kompletter Produktivserver

Kompletter Stack in einem Lauf: System-Tuning, Firewall, MariaDB, Redis, PHP-FPM, NGINX, SSL, Backups, Admin-Panel
Cloud-init-Konfiguration für den ersten Boot bei allen gängigen VPS-Anbietern
Idempotent by Design: Ein erneuter Lauf ändert nur, was tatsächlich abgewichen ist
Rollen-Tags für gezielte Läufe — nur NGINX, nur PHP oder nur Security aktualisieren
Dry-Run-Modus mit vollständiger Diff-Vorschau, bevor irgendetwas den Server berührt
Optionale Rollen (Node.js, Monitoring, Backups, PageSpeed, Admin-Panel) pro Server per Variable zuschaltbar
Alle Secrets mit Ansible Vault verschlüsselt — keine Klartext-Passwörter in der Konfiguration

WordPress und Next.js auf demselben Server

PM HostStack ist echtes Multi-Stack-Hosting. Jede Site wird mit einem Typ deklariert — PHP, Next.js, statisch oder Weiterleitung — und die Automatisierung erzeugt dafür den passenden Vhost, die passende Laufzeitumgebung und das passende Prozessmanagement.

PHP/WordPress-Sites mit eigenem PHP-FPM-Pool pro Site und FastCGI-Seitencache
Next.js/React-Anwendungen laufen unter PM2 im Cluster-Modus hinter einem NGINX-Reverse-Proxy — jede als eigener systemd-Service
Statische Sites und Weiterleitungsdomains (Redirects) als vollwertige Site-Typen
Domain-Aliasse mit automatischer 301-Weiterleitung auf den kanonischen Host
Mehrere PHP-Versionen parallel installiert — jede Site pinnt ihre eigene Version, umschaltbar ohne Ausfallzeit
Deterministische Port-Vergabe für Node.js-Apps, serverseitig registriert und nie durch die Firewall exponiert

Performance-Architektur für Millionen von Zugriffen

Der Stack ist nicht aus Standardwerten zusammengesteckt — jede Schicht ist auf trafficstarke, leselastige Workloads abgestimmt, mit einem Auslegungsziel von über vier Millionen Zugriffen pro Monat auf einer einzelnen Domain.

NGINX-FastCGI-Cache mit Stale-Serving, Hintergrund-Refresh und Schutz gegen Cache-Stampedes
Redis-Objekt-Cache über Unix-Socket — schneller als TCP bei lokalen Verbindungen
PHP OPcache mit JIT-Tracing-Kompilierung und abgestimmten Speicherbudgets
MariaDB mit tiefem InnoDB-Tuning, Thread-Pool und Buffer-Pool-Persistenz für warme Neustarts
Kernel-Tuning: BBR-Congestion-Control, erhöhte Dateideskriptor-Limits, optimierte TCP-Puffer
HTTP/2 als Standard, optional HTTP/3 (QUIC), Brotli- und Gzip-Kompression
Langlebiges Immutable-Caching für statische Assets, direkte Auslieferung des Next.js-Build-Outputs aus dem Dateisystem
Optionales PageSpeed-Modul mit RAM-Disk-Cache für automatische Asset-Optimierung

Strikte Isolation pro Site

Auf einem Multi-Tenant-Server darf eine kompromittierte Site nie zehn kompromittierte Sites bedeuten. PM HostStack erzwingt Isolation auf Betriebssystemebene — nicht nur in der Webserver-Konfiguration.

Ein eigener Systembenutzer pro Site — Site-Benutzer können die Dateien anderer Sites nicht lesen
Ein eigener PHP-FPM-Pool mit eigenem Socket pro Site, laufend unter dem jeweiligen Site-Benutzer
Next.js-Prozesse laufen als Site-Benutzer mit eigenem, isoliertem Prozessmanager-Verzeichnis
Eigene Datenbank mit eigenem Datenbankbenutzer pro Site
systemd-Sandboxing für Site-Services: keine Rechteausweitung, private Temp-Verzeichnisse, geschützte Systempfade
IP-Whitelisting pro Site für Projekte, die nur aus definierten Netzen erreichbar sein sollen

Sicherheits-Härtung als Standard

Härtung ist keine Checkliste, die nachträglich abgearbeitet wird — sie steckt in den Rollen. Ein frisch provisionierter Server ist ab der ersten Minute abgeriegelt.

UFW-Firewall mit Deny-by-Default; offen sind nur SSH, HTTP und HTTPS
Neun spezialisierte fail2ban-Jails: SSH-Brute-Force, WordPress-Login-Fluten, Schwachstellen-Scanner, Bad Bots, Request-Raten-Missbrauch und mehr
SSH-Härtung: kein Root-Login, ausschließlich Key-Authentifizierung, begrenzte Anmeldeversuche
Rate-Limiting auf WordPress-Login-Endpunkten, Blockade der Autoren-Enumeration, XML-RPC-Abriegelung
Security-Header auf jeder Site: HSTS, Content-Type-, Frame-, Referrer- und Permissions-Policies
Blockade sensibler Dateien bei Node.js-Sites: Environment-Dateien, Git-Metadaten, Paket-Manifeste
Automatische Sicherheitsupdates über Unattended Upgrades
Alle Drittanbieter-Paketquellen kryptografisch verifiziert mit gepinnten Signaturschlüsseln

SSL-Automatisierung, die den Server nie bricht

An der Zertifikatsverwaltung scheitert naive Hosting-Automatisierung: Eine einzige fehlende Zertifikatsdatei kann die Konfiguration aller Sites lahmlegen. PM HostStack macht dieses Fehlerbild mit einem zweiphasigen Verfahren strukturell unmöglich.

Let's-Encrypt-Zertifikate pro Site automatisch bezogen, Verlängerung per System-Timer
Zweiphasiger Rollout: Sites gehen zuerst per HTTP live und schalten auf HTTPS um, sobald ihr Zertifikat vorliegt
Die Webserver-Konfiguration referenziert nie ein Zertifikat, das nicht auf der Platte liegt — ein fehlendes Zertifikat kann nie alle anderen Sites blockieren
Der Zertifikatsumfang wird gegen den tatsächlichen Zertifikatsinhalt geprüft — ein neuer Domain-Alias erweitert das Zertifikat automatisch
Weiterleitungsdomains und neue Sites verhalten sich vor, während und nach der Zertifikatsausstellung korrekt

Ein Web-Admin-Panel für den täglichen Betrieb

Provisionierung ist Code — aber der Tagesbetrieb soll keinen Ansible-Lauf erfordern. Das mitgelieferte Admin-Panel, ausgeliefert auf eigenem Port mit IP-beschränktem Zugriff, deckt die Routinearbeit eines Hosting-Servers ab.

Dashboard mit Live-Systemwerten, Service-Status und vollständiger Site-Übersicht
Sites aller Typen anlegen, bearbeiten und löschen — inklusive Webroot, Datenbank, SSL und Laufzeitumgebung in einem Schritt
PHP-Version pro Site per Dropdown wechseln, mit unterbrechungsfreier Pool-Übergabe
Datenbankverwaltung mit One-Click-Auto-Login in phpMyAdmin
Verschlüsselter Credential-Tresor (AES-256-GCM) für Datenbank- und WordPress-Zugangsdaten — Passwörter werden auf Abruf angezeigt und stehen nie im Seitenquelltext
Traffic-Auswertung aus den Server-Logs: Besucher vs. Bots, Cache-Trefferquoten, Top-Seiten, blockierte Requests und Bot-Klassifizierung
Fehlerlog- und Slow-Query-Analyse mit gruppierten Mustern und Effizienzbewertung
Geplante Aufgaben pro Site als systemd-Timer — angelegt, bearbeitet und überwacht direkt im Panel
Git-basierte Deployments, auch aus privaten Repositories über Deploy-Keys pro Site, plus Next.js-Build und Neustart aus dem Browser

WordPress-Betrieb und Kompromittierungs-Scan

Für Agenturen mit vielen WordPress-Installationen automatisiert PM HostStack die Arbeit rund um das CMS — von der Installation über die Datenbankhygiene bis zur frühen Erkennung gehackter Sites.

WordPress-Installation per Klick mit gehärteter Konfiguration: Redis-Objekt-Cache vorverdrahtet, Datei-Editor deaktiviert, erzwungenes SSL-Admin, Revisions-Limits
Auto-Login in den WordPress-Admin direkt aus dem Panel
Plugin-Übersicht und Update-Verwaltung über WP-CLI, beschränkt auf eine sichere Befehls-Allowlist
Wöchentliche automatische Datenbankwartung: abgelaufene Transients entfernt, Revisionen gekürzt, verwaiste Metadaten gelöscht, Kerntabellen optimiert — mit niedrigster Priorität und ohne Einfluss auf den Live-Traffic
Eingebauter Security-Scanner für WordPress-Kompromittierungen: signaturbasierte Malware-Erkennung mit fünf Schweregraden, Checksummen-Abgleich der Core-Dateien gegen Fehlalarme, Befundhistorie und E-Mail-Alerts
Nächtliche automatische Scans, deren Ergebnisse und Bewertungen über die Zeit nachvollziehbar bleiben

Backups und Monitoring inklusive

Wiederherstellbarkeit und Sichtbarkeit sind Teil der Plattform — kein nachträglich angeschraubtes Extra.

Nächtliche Backups pro Site: Dateiarchiv plus konsistenter Datenbank-Dump, zeitlich gestreut und mit niedriger Systempriorität
Fail-Loud-Prinzip: Ein fehlgeschlagener Dump wird nie stillschweigend als erfolgreiches Backup maskiert
Konfigurierbare Aufbewahrung mit automatischer Bereinigung
Backups erstellen, herunterladen und zurückspielen direkt aus dem Admin-Panel
Optionale Prometheus-Exporter für System- und PHP-FPM-Metriken, per Firewall auf Ihren Monitoring-Server begrenzt
Log-Rotation über den ganzen Stack: Webserver, PHP, Prozessmanager und Slow-Query-Logs

So funktioniert es

Ein klarer Weg zum Ergebnis.

01
Step 1 — Infrastruktur deklarieren
Definieren Sie Ihre Sites im Inventory: Domain, Typ (PHP, Next.js, statisch oder Weiterleitung), PHP-Version, Datenbank, Aliasse und Optionen. Secrets wandern in einen verschlüsselten Ansible Vault — nichts Sensibles liegt je im Klartext.
02
Step 2 — Server booten
Starten Sie mit einer frischen Debian-13-Maschine bei einem VPS- oder Dedicated-Server-Anbieter Ihrer Wahl. Optionale Cloud-init-Daten richten Deploy-Benutzer und SSH-Zugang beim ersten Boot ein.
03
Step 3 — Playbook ausführen
Ein Befehl provisioniert alles in der richtigen Reihenfolge: Kernel-Tuning, Firewall, Datenbank, Cache, PHP, Webserver, Laufzeitumgebungen, Backups und Admin-Panel. Der Dry-Run-Modus zeigt vorab das vollständige Diff.
04
Step 4 — Zertifikate schalten sich automatisch scharf
Neue Sites gehen zuerst per HTTP live. Sobald das jeweilige Zertifikat ausgestellt ist, wechselt die Konfiguration auf HTTPS mit HSTS und modernem TLS — ohne je die übrigen Sites auf dem Server zu gefährden.
05
Step 5 — Betrieb über das Admin-Panel
Die tägliche Arbeit passiert im Browser: Sites anlegen, WordPress installieren, Datenbanken und Zugangsdaten verwalten, aus Git deployen, Next.js-Apps neu bauen, Traffic- und Fehleranalysen prüfen.
06
Step 6 — Die Automatisierung laufen lassen
Nächtliche Backups, wöchentliche Datenbankwartung, Zertifikatsverlängerungen und Security-Scans laufen nach Plan. Ändert sich Ihre Infrastrukturdefinition, führen Sie das Playbook erneut aus — es bringt den Server auf den neuen Zustand und ändert sonst nichts.

Für wen?

Gemacht für konkrete Anforderungen.

Die Lösung eignet sich besonders für diese Teams, Rollen und Geschäftsmodelle.

Agenturen mit vielen Kunden-Sites

Konsolidieren Sie Dutzende WordPress- und Next.js-Projekte auf getunten Servern unter Ihrer Kontrolle. Jede Kunden-Site erhält eigenen Systembenutzer, PHP-Pool, Datenbank und Zertifikat — und Ihr Team ein Panel für alles.

Unternehmen, die Shared Hosting ablösen

Dem Shared Hosting entwachsen, aber kein eigenes Ops-Team in Sicht? PM HostStack liefert Infrastruktur auf Managed-Hosting-Niveau auf Ihrem eigenen Server — mit einem Tagesbetrieb, der auf ein Web-Panel reduziert ist.

Entwicklungsteams mit gemischten Stacks

Marketing-Site auf WordPress, Produkt auf Next.js? Beides läuft auf demselben gehärteten Server — mit der jeweils passenden Laufzeitumgebung, dem passenden Caching und Prozessmanagement, ohne zweite Infrastruktur.

Hosting- und Managed-Service-Anbieter

Nutzen Sie reproduzierbare Provisionierung als Fundament Ihres eigenen Hosting-Angebots: identische Server auf Abruf, versionierte Konfiguration und Mandantentrennung auf Betriebssystemebene.

Ops-Teams mit Infrastructure-as-Code-Anspruch

Jede Konfigurationsentscheidung lebt in versionierten Rollen und Variablen. Server sind austauschbar statt handgepflegt: aus Code wiederherstellbar, im Review auditierbar, frei von undokumentiertem manuellem Drift.

Organisationen mit Anforderungen an Datensouveränität

Betreiben Sie den kompletten Stack auf Infrastruktur Ihrer Wahl — Ihr Anbieter, Ihre Region, Ihre Hardware. Kein proprietäres Control-Panel, keine externe SaaS-Abhängigkeit im Hosting-Pfad.

Technik & Rahmen

Die wichtigsten Details auf einen Blick.

Produkttyp: Ansible-Automatisierungsprojekt (Playbook + Rollen) mit webbasiertem Admin-Panel
Ziel-Betriebssystem: Debian 13 (Trixie), amd64
Automatisierung: Ansible mit gepinnten Galaxy-Collections; Secrets über Ansible Vault
Webserver: NGINX mit HTTP/2, optional HTTP/3 (QUIC), Brotli und Gzip
PHP: Mehrere PHP-Versionen parallel, FPM-Pools pro Site, OPcache + JIT-Tracing
Datenbank: MariaDB mit InnoDB-Tuning und Thread-Pool
Caching: NGINX-FastCGI-/Proxy-Cache, Redis über Unix-Socket, OPcache
Node.js: Node.js LTS mit PM2 im Cluster-Modus (optionale Rolle)
Site-Typen: PHP/WordPress, Next.js, statisch, Weiterleitung (Forwarding-Domains)
SSL: Let's Encrypt mit zweiphasiger Ausstellung und automatischer Verlängerung
Sicherheit: UFW, fail2ban (9 Jails), SSH-Härtung, Security-Header, systemd-Sandboxing
Admin-Panel: PHP 8.4, framework-frei, ausgeliefert auf dediziertem Port mit IP-Whitelist
Credential-Speicher: Verschlüsselter Tresor, AES-256-GCM mit abgeleiteten Schlüsseln
Backups: Nächtlicher systemd-Timer, Archiv + Datenbank-Dump pro Site, Aufbewahrungsbereinigung
Monitoring: Optionale Prometheus-Exporter für System und PHP-FPM
Panel-Sprache: Englisch
Autor: premotion media
Deployment & Preise: Auf Anfrage bei premotion media

FAQ

Häufige Fragen.

Was genau ist PM HostStack?

Ein Ansible-basiertes Automatisierungsprojekt, das komplette Multi-Tenant-Hosting-Server provisioniert und wartet — den getunten Web-, PHP-, Datenbank- und Caching-Stack samt Firewall, SSL, Backups und Web-Admin-Panel. Es ist dieselbe Automatisierung, mit der premotion media das eigene Managed Hosting betreibt.

Welche Arten von Sites kann ein Server hosten?

Vier Site-Typen laufen parallel: PHP/WordPress-Sites, Next.js/React-Anwendungen, statische Sites und Weiterleitungsdomains, die unter Beibehaltung des Pfads auf einen anderen Host umleiten. Jeder Typ erhält seine eigens dafür gebaute Server-Konfiguration.

Wie sind die Sites voneinander isoliert?

Auf Betriebssystemebene. Jede Site läuft unter eigenem Systembenutzer mit eigenem PHP-FPM-Pool und Socket (bzw. eigenem Node.js-Prozessmanager), eigener Datenbank samt Datenbankbenutzer und Dateirechten, die den Zugriff auf fremde Sites verhindern. Die Kompromittierung einer Site öffnet nicht die Tür zu den Nachbarn.

Können verschiedene Sites verschiedene PHP-Versionen nutzen?

Ja. Mehrere PHP-Versionen sind parallel installiert, und jede Site pinnt ihre eigene Version. Der Versionswechsel aus dem Admin-Panel erfolgt als geordnete Pool-Übergabe, die auf einen unterbrechungsfreien Übergang ausgelegt ist.

Muss ich Ansible-Profi sein, um damit zu arbeiten?

Nein. Ansible übernimmt Provisionierung und strukturelle Änderungen; alles Operative — Sites anlegen, WordPress installieren, Datenbanken, Zugangsdaten, Deployments, geplante Aufgaben und Backups verwalten — passiert im Web-Admin-Panel.

Wie funktioniert der WordPress-Security-Scanner?

Ein nächtlicher Scan prüft WordPress-Sites auf Kompromittierungsindikatoren: Malware-Signaturen, verdächtige aktuelle Dateiänderungen und Anomalien. Befunde werden in fünf Schweregraden bewertet, gegen offizielle Datei-Checksummen verifiziert, um Fehlalarme zu unterdrücken, historisch nachverfolgt und lösen auf Wunsch E-Mail-Alerts aus.

Was passiert, wenn ein Zertifikat nicht ausgestellt werden kann?

Nichts bricht. Sites starten zuerst per HTTP, und die Konfiguration referenziert nur Zertifikate, die tatsächlich auf der Platte liegen. Ein fehlendes oder verzögertes Zertifikat betrifft nur das HTTPS dieser einen Site — es kann nie den Webserver lahmlegen oder Zertifikate anderer Sites blockieren.

Was brauche ich für den Start?

Einen frischen Debian-13-Server bei einem VPS- oder Dedicated-Server-Anbieter und eine Domain, die darauf zeigt. premotion media provisioniert den Stack, migriert auf Wunsch bestehende Sites und übergibt eine voll betriebsbereite Plattform. Deployment-Optionen und Preise auf Anfrage bei premotion media.

Bereit?

Ihr Hosting. In Code definiert. Von Automatisierung betrieben.

PM HostStack macht aus Hosting-Infrastruktur ein reproduzierbares Produkt statt eines fragilen, handgepflegten Einzelstücks: Ein Playbook provisioniert einen gehärteten, performance-optimierten Server für WordPress und Next.js gleichermaßen, und ein Admin-Panel übernimmt den Tagesbetrieb — Sites, SSL, Datenbanken, Deployments, Backups und Security-Scans. Ob premotion media die Plattform für Sie betreibt oder Ihnen die Schlüssel übergibt: Jeder Server entsteht auf dieselbe Weise, und jede Schicht lässt sich aus Code neu aufbauen.

Projekt besprechen