Traefik vs. Caddy: Reverse Proxy für Self-Hosting im Vergleich 2026

Traefik oder Caddy als Reverse Proxy? Vergleich der modernsten nginx-Alternativen mit automatischem HTTPS, Docker-Integration und Self-Hosting-Fokus.

Traefik vs. Caddy: Reverse Proxy für Self-Hosting im Vergleich 2026

Wer einen Homelab oder einen selbst gehosteten Server betreibt, kommt an einem Reverse Proxy kaum vorbei. Traefik und Caddy sind die zwei populärsten modernen Alternativen zu nginx oder Apache – beide mit automatischem HTTPS, beide Open Source, beide aktiv weiterentwickelt. Doch ihre Philosophien unterscheiden sich grundlegend. Dieser Vergleich zeigt, welches Tool für welchen Anwendungsfall besser geeignet ist.

Was ist ein Reverse Proxy?

Ein Reverse Proxy nimmt eingehende HTTP/HTTPS-Anfragen entgegen und leitet sie an Backend-Dienste weiter. In Self-Hosting-Setups typische Aufgaben:

TLS-Terminierung: HTTPS-Zertifikate zentral verwalten (Let's Encrypt)
Routing: Anfragen anhand von Domain oder Pfad an verschiedene Dienste weiterleiten
Load Balancing: Traffic auf mehrere Instanzen verteilen
Middleware: Authentifizierung, Rate Limiting, Header-Manipulation

Statt jeden Dienst direkt mit Port 80/443 zu exponieren, laufen alle hinter dem Reverse Proxy – sicherer und wartbarer.

Traefik: Dynamic Configuration und Service Discovery

Traefik wurde 2016 speziell für dynamische Microservice-Umgebungen entwickelt. Das Kernmerkmal: automatische Service Discovery ohne manuelles Config-Reload.

Wie Traefik funktioniert

Traefik liest Konfigurationen direkt aus dem laufenden System – über sogenannte Provider:

Docker Provider: Liest Labels von Containern (traefik.http.routers.myapp.rule=Host('app.example.com'))
Kubernetes Provider: Interpretiert Ingress-Ressourcen oder eigene IngressRoute-CRDs
File Provider: Statische Konfiguration in YAML/TOML
Consul, etcd, ...: Für verteilte Setups

Wenn ein neuer Container mit den richtigen Labels gestartet wird, ist er innerhalb von Sekunden erreichbar – kein Reload, kein Neustart.

Traefik-Stärken

Middleware-System: Traefik hat ein mächtiges Middleware-System. Vor dem Backend können Ketten aus Middlewares schalten:

middlewares:
  auth-forward:
    forwardAuth:
      address: "http://authelia:9091/api/verify"
  rate-limit:
    rateLimit:
      average: 100
      burst: 50

Automatisches HTTPS: Let's Encrypt via ACME (HTTP-01, DNS-01, TLS-ALPN-01) ist out of the box konfiguriert. Zertifikate werden automatisch erneuert.

Dashboard: Traefik bietet ein Web-Dashboard mit Übersicht aller Routen, Services und Middlewares.

TCP/UDP Routing: Nicht nur HTTP – Traefik kann auch TCP/UDP-Traffic routen (z. B. für Mailserver oder Gameserver).

Traefik-Schwächen

Steile Lernkurve: Die Konzepte (Entrypoints, Routers, Services, Middlewares) sind mächtig, aber anfangs komplex
Konfiguration über Labels: Für große Setups können Docker-Labels schnell unübersichtlich werden
Debugging: Bei Fehler-Routing ist das Dashboard oft nicht ausreichend, Logs müssen analysiert werden
Ressourcenverbrauch: Leicht höher als Caddy bei minimalen Setups

Caddy: Einfachheit und automatisches HTTPS als Design-Prinzip

Caddy verfolgt eine andere Philosophie: Einfachheit vor Flexibilität. Die Konfiguration ist bewusst so gestaltet, dass sie lesbar und minimal ist – auch für Nutzer ohne tiefen Reverse-Proxy-Hintergrund.

Das Caddyfile

Caddys Konfigurationsformat ist das Caddyfile – eines der lesbarsten Config-Formate im Ops-Bereich:

app.example.com {
    reverse_proxy localhost:3000
}

api.example.com {
    reverse_proxy /v1/* backend:8080
    reverse_proxy /v2/* backend-v2:8080
}

Das war's. HTTPS mit Let's Encrypt wird automatisch konfiguriert, kein separates certbot, kein Reload.

Caddy-Stärken

Automatisches HTTPS per Default: Caddy ist das einzige Tool, das HTTPS wirklich als Default behandelt. HTTP-zu-HTTPS-Redirect ist automatisch aktiv. Kein explizites listen 443 ssl oder ssl_certificate-Pfad notwendig.

JSON API: Caddy hat eine vollständige REST API (/config/), über die die gesamte Konfiguration dynamisch verändert werden kann – ohne Neustart.

Einfache Syntax für komplexe Fälle:

example.com {
    encode gzip
    header Strict-Transport-Security "max-age=31536000"
    basicauth /admin/* {
        user $2a$14$...hashed...
    }
    reverse_proxy localhost:8080
}

Geringer Ressourcenverbrauch: Caddy ist in Go geschrieben und hat einen minimalen Memory-Footprint, ideal für Low-Power-Hardware (Raspberry Pi, etc.).

Einsteigerfreundlich: Wer von Apache/nginx kommt, hat Caddy in 20 Minuten verstanden. Die Dokumentation ist exzellent.

Caddy-Schwächen

Kein natives Docker-Label-System: Caddy kennt keine Docker Labels wie Traefik. Es gibt caddy-docker-proxy als Plugin, aber das ist nicht nativ.
Weniger Kubernetes-Integration: Für K8s gibt es den Caddy Ingress Controller, aber er ist weniger ausgreift als Traefik's Kubernetes-Unterstützung
Plugin-Ökosystem kleiner: Viele fortgeschrittene Features benötigen Plugins (z. B. Cloudflare DNS-Challenge) – die müssen beim Build eingebaut werden
Kein built-in Dashboard: Es gibt eine Admin-API, aber kein grafisches Dashboard

Direkter Vergleich: Traefik vs. Caddy

Kriterium	Traefik	Caddy
Automatisches HTTPS	✅ (ACME, Let's Encrypt)	✅ (Default, Zero-Config)
Konfigurationsformat	YAML/TOML + Docker Labels	Caddyfile oder JSON
Docker Integration	✅ Nativ (Labels)	⚠️ Via Plugin (caddy-docker-proxy)
Kubernetes Integration	✅ Ingress + IngressRoute CRD	⚠️ Ingress Controller (weniger reif)
Service Discovery	✅ Automatisch	❌ Manuell
Middleware/Plugins	✅ Umfangreich (nativ)	✅ Via Build-Plugins
TCP/UDP Routing	✅ Ja	⚠️ Limitiert
Dashboard	✅ Web-UI	❌ Nur Admin-API
Lernkurve	Steil	Flach
Ressourcenverbrauch	Mittel	Gering
Dokumentation	Gut	Ausgezeichnet
Beste Umgebung	Docker/K8s Microservices	Kleine/mittlere Setups, VPS

Wann Traefik wählen?

Traefik ist die bessere Wahl, wenn:

Dynamische Docker-Umgebungen: Dutzende Container kommen und gehen – Traefik registriert sie automatisch
Kubernetes: Traefik's Kubernetes-Unterstützung (native IngressRoutes, CRDs) ist produktionsreif
Authelia oder Authentik vor Diensten: Die ForwardAuth-Middleware lässt sich mit Authelia/Authentik nahtlos kombinieren
Homelab mit vielen Services: 20+ Dienste hinter einem Proxy – Label-basierte Config ist wartbarer als eine riesige Caddyfile
TCP-Dienste: Datenbank-Ports, Mailserver oder Minecraft-Server hinter dem Proxy

Beispiel-Setup: Proxmox + Docker Compose + 30 Self-Hosted-Apps → Traefik mit Docker Provider und Authelia als ForwardAuth.

Wann Caddy wählen?

Caddy ist die bessere Wahl, wenn:

Einfacher VPS mit 3–5 Diensten: Minimale Config, maximale Klarheit
Schneller Start: In 5 Minuten HTTPS-Setup ohne Docker-Label-Lernkurve
Statische Seiten oder APIs: Caddy als File Server für statische Sites ist excellent
Low-Power-Hardware: Raspberry Pi, ARM-Boards – Caddys Ressourcenverbrauch ist minimal
Entwicklungsumgebungen: Lokales HTTPS für Entwicklung mit caddy localhost und automatischem Self-Signed-Cert
Programmatische Konfiguration: Die JSON-API ermöglicht dynamische Config-Änderungen aus eigenen Anwendungen heraus

Beispiel-Setup: Hetzner Cloud VPS + 4–5 Dienste (Nextcloud, Gitea, Vaultwarden, Blog) → Caddyfile mit 20 Zeilen.

Traefik und Caddy kombinieren?

Ja, das ist möglich – und in manchen Setups sinnvoll. Caddy als äußerster Proxy mit Let's Encrypt, der Traffic an einen internen Traefik weiterleitet, der die Microservices verwaltet. In der Praxis aber überflüssig: Beide können eigenständig alle Aufgaben erfüllen.

Migration zwischen den Tools

Von nginx zu Traefik

Jedes server-Block in nginx wird zu einem Router + Service + ggf. Middleware. Traefik-Labels können direkt im docker-compose.yml gepflegt werden:

labels:
  - "traefik.enable=true"
  - "traefik.http.routers.myapp.rule=Host(`app.example.com`)"
  - "traefik.http.routers.myapp.entrypoints=websecure"
  - "traefik.http.routers.myapp.tls.certresolver=letsencrypt"

Von nginx zu Caddy

Noch einfacher – ein nginx server-Block mit SSL entspricht in Caddy:

app.example.com {
    reverse_proxy localhost:8080
}

Fazit: Traefik vs. Caddy 2026

Traefik ist das Werkzeug für komplexe, dynamische Umgebungen. Wer viele Docker-Container verwaltet, Kubernetes einsetzt oder fortgeschrittene Middleware-Stacks (Auth, Rate Limiting, Canary Deployments) braucht, fährt mit Traefik besser. Die Lernkurve zahlt sich ab einer gewissen Komplexität aus.

Caddy gewinnt bei Einfachheit und User Experience. Für kleine bis mittlere Setups, für Einsteiger und für alle, die "einfach nur HTTPS" wollen, ist Caddy die elegantere Lösung. Die Zero-Config-HTTPS-Philosophie ist nach wie vor unübertroffen.

Empfehlung für Homelab-Einsteiger: Mit Caddy anfangen, Traefik lernen wenn die Umgebung wächst oder Docker-Service-Discovery relevant wird.

Traefik vs. Caddy: Reverse Proxy für Self-Hosting im Vergleich 2026