Installation per Docker Compose, Windows-Dienst (ohne Docker), Linux, NAS, Proxmox & allen Hostern

1. Variante A: Schlanker Single-Container Stack (SQLite WAL + Zstandard): Ideal bis mehrere tausend Postfächer auf einem VPS, Root-Server oder NAS. Benötigt keinen externen Datenbank-Container und nur ~58 MB RAM im Leerlauf.
2. Variante B: Enterprise Production Compose (PostgreSQL 17 + MinIO/S3 WORM + ClamAV + OpenTelemetry): Horizontale Skalierung, GoBD-konformer S3 Object Lock, Virenprüfung und zentrales OpenTelemetry-Tracing & Logging.

# === VARIANTE A: Kompakter Single-Container Stack (docker-compose.yml) ===
services:
  sharpmail:
    image: registry.sharpmailserver.com/sharpmailserver:latest
    container_name: sharpmailserver
    hostname: mail.firma.de
    restart: unless-stopped
    ports:
      - "25:25"       # ESMTP Inbound (MX)
      - "465:465"     # SMTPS Submission (Implicit TLS)
      - "587:587"     # SMTP Submission (STARTTLS)
      - "143:143"     # IMAP4rev2 (STARTTLS)
      - "993:993"     # IMAPS (Implicit TLS)
      - "4190:4190"   # ManageSieve (Filter & Abwesenheit)
      - "80:80"       # Let's Encrypt HTTP-01 & Autoconfig
      - "443:443"     # Admin-Cockpit, Webmail PWA, JMAP & REST API
    environment:
      Urls: "http://0.0.0.0:80;https://0.0.0.0:443"
      Bootstrap__DefaultDomain: "firma.de"
      Bootstrap__AdminEmail: "admin@firma.de"
      Bootstrap__AdminPassword: "BitteSofortAendern!2026"
      Storage__Provider: "Sqlite"
      Storage__DataDirectory: "/var/lib/sharpmail"
      Storage__BlobBackend: "FileSystem"
      Storage__Compression: "Zstd"
      Smtp__ServerHostName: "mail.firma.de"
      Imap__ServerHostName: "mail.firma.de"
      OpenTelemetry__Enabled: "true"
      OpenTelemetry__ServiceName: "SharpMailserver"
    volumes:
      - ./sharpmail-data:/var/lib/sharpmail

# Starten mit:
# docker compose up -d && docker compose logs -f sharpmail

# === VARIANTE B: Enterprise Stack mit PostgreSQL 17, S3 Object Lock & OpenTelemetry ===
services:
  sharpmail:
    image: registry.sharpmailserver.com/sharpmailserver:latest
    restart: unless-stopped
    depends_on: [postgres, otel-collector]
    ports: ["25:25", "465:465", "587:587", "993:993", "4190:4190", "80:80", "443:443"]
    environment:
      Urls: "http://0.0.0.0:80;https://0.0.0.0:443"
      Storage__Provider: "Postgres"
      Storage__PostgresConnectionString: "Host=postgres;Database=sharpmail;Username=sharpmail;Password=${PG_PASSWORD}"
      Storage__BlobBackend: "Hybrid"
      Storage__Compression: "Zstd"
      Storage__S3Endpoint: "https://s3.eu-central-1.ionoscloud.com"
      Storage__S3Bucket: "firma-gobd-mail-archive"
      OpenTelemetry__Enabled: "true"
      OpenTelemetry__ServiceName: "SharpMailserver-Prod"
      OpenTelemetry__OtlpEndpoint: "http://otel-collector:4317"
    volumes:
      - sharpmail-nvme-cache:/var/lib/sharpmail

  postgres:
    image: postgres:17-alpine
    restart: unless-stopped
    environment:
      POSTGRES_DB: sharpmail
      POSTGRES_USER: sharpmail
      POSTGRES_PASSWORD: "${PG_PASSWORD}"
    volumes:
      - pg-data:/var/lib/postgresql

  otel-collector:
    image: otel/opentelemetry-collector-contrib:latest
    restart: unless-stopped
    ports: ["127.0.0.1:4317:4317"]

volumes:
  sharpmail-nvme-cache:
  pg-data:

1. Programm- & Datenverzeichnis anlegen: Entpacke das Windows-x64-Release nach C:\SharpMailserver\bin und lege C:\SharpMailserver\data auf einer lokalen SSD/NVMe an.
2. Minimale Dienst-Rechte setzen (Least Privilege): Der Dienst läuft sicher unter NT AUTHORITY\NetworkService statt LocalSystem und benötigt nur Schreibrechte auf das Datenverzeichnis.
3. Produktions-Konfiguration (appsettings.Production.json): Nutze entweder das direkt integrierte SQLite WAL ohne Zusatzinstallation oder binde PostgreSQL + S3 ein.
4. Windows Defender Firewall öffnen & Dienst mit Auto-Recovery registrieren: Führe das folgende PowerShell-Skript als Administrator aus:

# 1. Verzeichnisse & sichere NTFS-Berechtigungen für NetworkService einrichten
New-Item -ItemType Directory -Force -Path "C:\SharpMailserver\bin", "C:\SharpMailserver\data" | Out-Null
icacls "C:\SharpMailserver\data" /grant "NT AUTHORITY\NetworkService:(OI)(CI)M" /T

# 2. appsettings.Production.json erstellen (SQLite WAL oder PostgreSQL, kein Docker nötig)
@'
{
  "Urls": "http://0.0.0.0:80;https://0.0.0.0:443",
  "Bootstrap": {
    "DefaultDomain": "firma.de",
    "AdminEmail": "admin@firma.de",
    "AdminPassword": "BitteSofortAendern!2026"
  },
  "Storage": {
    "Provider": "Sqlite",
    "DataDirectory": "C:\\SharpMailserver\\data",
    "BlobBackend": "LocalFileSystem",
    "Compression": "Zstd"
  },
  "Smtp": { "Enabled": true, "BindAddress": "0.0.0.0", "MxPort": 25, "SmtpsPort": 465, "SubmissionPort": 587 },
  "Imap": { "Enabled": true, "BindAddress": "0.0.0.0", "ImapPort": 143, "ImapsPort": 993 },
  "ManageSieve": { "Enabled": true, "BindAddress": "0.0.0.0", "Port": 4190 }
}
'@ | Set-Content -Path "C:\SharpMailserver\bin\appsettings.Production.json" -Encoding UTF8

# 3. Eingehende Ports in der Windows Defender Firewall freischalten
New-NetFirewallRule -DisplayName "SharpMailserver Mail & HTTPS" -Direction Inbound -Action Allow `
  -Protocol TCP -LocalPort 25,80,143,443,465,587,993,4190

# 4. Als nativen Windows-Dienst registrieren, Auto-Restart bei Fehlern aktivieren & starten
New-Service -Name "SharpMailserver" `
  -BinaryPathName '"C:\SharpMailserver\bin\SharpMailserver.Server.exe" --contentRoot "C:\SharpMailserver\bin"' `
  -DisplayName "SharpMailserver Enterprise Mail & GoBD Service" `
  -StartupType Automatic `
  -Credential "NT AUTHORITY\NetworkService"

sc.exe failure SharpMailserver reset= 86400 actions= restart/5000/restart/5000/restart/10000
Start-Service -Name "SharpMailserver"
Get-Service -Name "SharpMailserver"
# Admin-Cockpit: https://mail.firma.de/admin/  |  Webmail: https://mail.firma.de/mail/
# Hinweis bei aktivem IIS auf Port 80/443: Urls auf "http://127.0.0.1:5080" stellen und IIS Reverse-Proxy nutzen.

1. Unprivilegierten Systembenutzer anlegen: Kein Root-Prozess nötig dank CAP_NET_BIND_SERVICE.
2. systemd-Unit aktivieren: Unterstützt systemd Watchdog und sauberes Graceful-Shutdown.

sudo useradd -r -s /usr/sbin/nologin -d /var/lib/sharpmail sharpmail
sudo mkdir -p /opt/sharpmail /var/lib/sharpmail
sudo chown -R sharpmail:sharpmail /var/lib/sharpmail

# /etc/systemd/system/sharpmail.service
[Unit]
Description=SharpMailserver Enterprise Service
After=network-online.target

[Service]
Type=notify
User=sharpmail
WorkingDirectory=/opt/sharpmail
ExecStart=/opt/sharpmail/SharpMailserver.Server
AmbientCapabilities=CAP_NET_BIND_SERVICE
Environment=Storage__DataDirectory=/var/lib/sharpmail
Restart=always
RestartSec=3

[Install]
WantedBy=multi-user.target

sudo systemctl enable --now sharpmail

1. Nativ auf Apple Silicon: Ideal für Mac mini / Mac Studio Server im Büro sowie lokale Entwicklung auf MacBook Pro.
2. Als Hintergrunddienst via launchd starten: Startet beim Booten automatisch ohne angemeldeten Benutzer.

sudo mkdir -p /usr/local/sharpmail /var/lib/sharpmail
sudo xattr -dr com.apple.quarantine /usr/local/sharpmail

# /Library/LaunchDaemons/com.sharpmailserver.daemon.plist
# ProgramArguments: /usr/local/sharpmail/SharpMailserver.Server
# KeepAlive: true, RunAtLoad: true
sudo launchctl bootstrap system /Library/LaunchDaemons/com.sharpmailserver.daemon.plist

# Alternativ via OrbStack / Docker Desktop auf macOS:
docker run -d --name sharpmail -p 2525:25 -p 2993:993 -p 8080:8080 \
  -v ~/sharpmail-data:/var/lib/sharpmail \
  registry.sharpmailserver.com/sharpmailserver:latest

1. Stateless Compute + Shared Postgres & S3: Mit PostgreSQL und S3 Object Lock können mehrere SharpMailserver-Replicas hinter einem LoadBalancer (mit PROXY-Protocol v2 für echte Client-IPs beim SPF-Check) horizontal skalieren.
2. Probes & Observability: Readiness/Liveness auf GET /health und Prometheus-Scraping auf GET /metrics.

# Kubernetes via Helm installieren (AWS EKS, Azure AKS, Google GKE, K3s, OpenShift)
helm repo add sharpmail https://charts.sharpmailserver.com
helm upgrade --install sharpmail sharpmail/sharpmailserver -n mail --create-namespace \
  --set replicaCount=2 \
  --set storage.provider=Postgres \
  --set storage.blobBackend=S3 \
  --set service.externalTrafficPolicy=Local

# Alternativ: Rootless Podman Quadlet (RHEL 9 / Fedora / AlmaLinux ohne Docker-Daemon)
podman run -d --name sharpmail --restart=always \
  -p 25:25 -p 465:465 -p 587:587 -p 993:993 -p 4190:4190 -p 8443:8443 \
  -v /var/lib/sharpmail:/var/lib/sharpmail:Z \
  registry.sharpmailserver.com/sharpmailserver:latest

1. LXC Container erstellen: Debian 12 Template wählen, 2 vCPU, 1024 MB RAM (SharpMailserver benötigt im Leerlauf nur ~58 MB) und ZFS/NVMe-Dataset als Mountpoint /var/lib/sharpmail einbinden.
2. Nativ oder per Docker: Im LXC-Container empfiehlt sich die direkte systemd-Installation ohne Docker-Layer für minimale Latenz und saubere Proxmox-Backups (PBS).
3. Proxmox Firewall: Eingehend TCP 25, 465, 587, 993, 4190, 80, 443 erlauben.

# Auf dem Proxmox-Host (erstellt schlanken Debian-LXC CT 210):
pct create 210 local:vztmpl/debian-12-standard_12.7-1_amd64.tar.zst \
  --hostname mail --cores 2 --memory 1024 --net0 name=eth0,bridge=vmbr0,ip=dhcp \
  --storage local-zfs --rootfs local-zfs:32 --unprivileged 1 --start 1
pct exec 210 -- bash -c "curl -fsSL https://sharpmailserver.com/install.sh | sh"

1. 64-Bit OS & NVMe statt SD-Karte: Raspberry Pi OS Lite (64-Bit) verwenden und Datenverzeichnis auf eine USB-3-SSD oder M.2-NVMe-HAT legen (schützt vor SD-Wearout durch SQLite-WAL/Logs).
2. Heimanschluss-Tipp (Smarthost): Bei dynamischer Privatkunden-IP Smarthost (z. B. ALL-INKL, Strato, Hetzner oder SES) unter Smtp__OutboundSmartHost eintragen.

# Nativer ARM64-Container auf Raspberry Pi 4 / 5:
sudo mkdir -p /mnt/nvme/sharpmail
docker run -d --name sharpmail --restart unless-stopped \
  -p 25:25 -p 465:465 -p 587:587 -p 993:993 -p 4190:4190 -p 8443:8443 \
  -v /mnt/nvme/sharpmail:/var/lib/sharpmail \
  -e Bootstrap__DefaultDomain="familie.de" \
  registry.sharpmailserver.com/sharpmailserver:latest

1. Ordner in File Station erstellen: Lege den freigegebenen Ordner /volume1/docker/sharpmail an (Tipp: Daten-Prüfsumme in Btrfs aktivieren).
2. Synology MailPlus-Portkonflikt vermeiden: Darauf achten, dass Synology Mail Server / MailPlus gestoppt ist, damit Ports 25, 465, 587 und 993 frei sind.
3. Container Manager öffnen: Unter Projekt -> Erstellen den Pfad /volume1/docker/sharpmail wählen und folgende docker-compose.yml einfügen:

services:
  sharpmail:
    image: registry.sharpmailserver.com/sharpmailserver:latest
    container_name: sharpmail
    restart: unless-stopped
    ports:
      - "25:25"
      - "465:465"
      - "587:587"
      - "993:993"
      - "4190:4190"
      - "8443:8443"
    volumes:
      - /volume1/docker/sharpmail:/var/lib/sharpmail
    environment:
      Storage__Provider: "Sqlite"
      Storage__Compression: "Zstd"

1. Docker-CE & Portainer CE installieren: In ADM App Central zuerst Docker-CE und Portainer CE mit einem Klick installieren.
2. Persistenter Ordner: Im ADM Dateiexplorer /volume1/Docker/sharpmail erstellen.
3. Portainer Stack starten: In Portainer unter Stacks -> Add stack das Compose-File mit Volume /volume1/Docker/sharpmail:/var/lib/sharpmail deployen und in ADM EZ-Router / Firewall die Mail-Ports freigeben.

mkdir -p /volume1/Docker/sharpmail
docker run -d --name sharpmail --restart unless-stopped \
  -p 25:25 -p 465:465 -p 587:587 -p 993:993 -p 8443:8443 \
  -v /volume1/Docker/sharpmail:/var/lib/sharpmail \
  registry.sharpmailserver.com/sharpmailserver:latest

1. NVMe-Speicherpool nutzen: Auf UGREEN DXP-Modellen empfiehlt sich ein Ordner auf dem M.2-NVMe-Volume (z. B. /volume1/docker/sharpmail) für blitzschnelle OCR- und Volltextsuche.
2. UGOS Pro Docker-App: Docker öffnen -> Projekt -> Erstellen -> Compose-Konfiguration einfügen und Bereitstellen klicken. Webmail & Admin sind direkt unter https://NAS-IP:8443 erreichbar.

# UGOS Pro -> Docker -> Projekt -> Compose-Konfiguration:
services:
  sharpmail:
    image: registry.sharpmailserver.com/sharpmailserver:latest
    restart: always
    ports: ["25:25", "465:465", "587:587", "993:993", "4190:4190", "8443:8443"]
    volumes:
      - ./data:/var/lib/sharpmail

1. Docker Manager installieren: Im TOS App Center den offiziellen Docker Manager aktivieren und das Verzeichnis /Volume1/docker/sharpmail anlegen.
2. Projekt bereitstellen: Im Docker Manager unter Projekte -> Hinzufügen die YAML-Konfiguration einfügen. TOS 6 unterstützt dabei sowohl x86_64 als auch ARM64-Modelle nahtlos.

volumes:
  - /Volume1/docker/sharpmail:/var/lib/sharpmail
# Admin-Cockpit nach Start: https://TERRAMASTER-IP:8443/admin/

1. Appdata auf Cache-NVMe pinnen: Verwende /mnt/cache/appdata/sharpmail (Primary Storage: Cache), damit die Array-Festplatten im Spin-Down bleiben können und SQLite/Indizes mit voller NVMe-Geschwindigkeit laufen.
2. Eigene LAN-IP über Netzwerktyp Custom: br0 (Empfohlen): Weise dem Container in Unraid unter Network Type -> Custom: br0 eine eigene feste LAN-IP (z. B. 192.168.178.25) zu. So stehen die Standardports 25, 80, 443, 465, 587 und 993 exklusiv ohne Konflikt mit der Unraid-Oberfläche bereit.

# Unraid Terminal oder Docker Compose Manager Plugin:
docker run -d --name SharpMailserver --net=br0 --ip=192.168.178.25 --restart=unless-stopped \
  -v /mnt/cache/appdata/sharpmail:/var/lib/sharpmail \
  -e Urls="http://0.0.0.0:80;https://0.0.0.0:443" \
  -e Bootstrap__DefaultDomain="firma.de" \
  registry.sharpmailserver.com/sharpmailserver:latest

1. Reverse-DNS (PTR) im SCP setzen: Im netcup Server Control Panel (SCP) den Server wählen -> Netzwerk -> sowohl für die IPv4-Adresse als auch für die genutzte IPv6-Adresse (z. B. ::1 aus dem /64-Netz) als rDNS exakt mail.deinedomain.de eintragen.
2. DNS im CCP pflegen: Im Customer Control Panel (CCP) -> Domains -> DNS-Einstellungen A, AAAA, MX (Prio 10 auf mail), SPF und den im SharpMailserver-Cockpit erzeugten DKIM-Key hinterlegen.
3. Installation: Debian 12 oder Windows Server Image im SCP mounten und per 1-Zeiler oder Windows-Service starten.

1. Port 25 & 465 Hinweis bei Neukunden: Bei ganz neuen Hetzner-Cloud-Accounts sind ausgehende Verbindungen auf Port 25/465 zunächst gedrosselt. Nach der ersten beglichenen Rechnung unter Limits -> Request change mit kurzer Begründung (Eigener Unternehmens-Mailserver) sofort freischalten lassen.
2. IPv4 & IPv6 PTR setzen: In der Hetzner Cloud Console -> Server -> Networking -> Drei-Punkte-Menü neben Primary IPv4 & IPv6 -> Edit Reverse DNS -> mail.deinedomain.de eintragen.
3. Preis-Leistungs-Tipp: Läuft extrem effizient auf den günstigen Hetzner CAX (ARM64) und CX Instanzen inkl. Hetzner S3 Object Storage für GoBD-Backups.

1. Externe IONOS-Firewall öffnen: Wichtig: IONOS blockiert Ports standardmäßig in der vorgeschalteten Cloud-Panel-Firewall! Unter Netzwerk -> Firewall-Richtlinien eingehend TCP 25, 80, 443, 465, 587, 993 und 4190 freigeben.
2. Reverse-DNS konfigurieren: Unter Netzwerk -> Öffentliche IP -> Reverse-DNS den Hostnamen mail.deinedomain.de hinterlegen (nachdem der A-Record existiert).
3. GoBD-Archiv mit IONOS S3: IONOS S3 Object Storage in deutschen Rechenzentren (Frankfurt/Berlin) unterstützt nativ S3 Object Lock (COMPLIANCE) für SharpMailserver.

1. Variante A (Domain bei ALL-INKL, SharpMailserver auf VPS/Firmen-IP): Im KAS einloggen -> Tools -> DNS-Werkzeuge -> Domain bearbeiten: A/AAAA für mail anlegen, MX-Record auf mail.deinedomain.de ändern und TXT-Records aus unserem DNS-Generator einfügen.
2. Variante B (SharpMailserver im Büro / NAS mit ALL-INKL als Versand-Relay): Betreibst du SharpMailserver lokal auf Windows Server, Proxmox oder Synology ohne feste IP, trage einfach deinen ALL-INKL-Server (z. B. w01abc.kasserver.com, Port 587, STARTTLS) als Smtp__OutboundSmartHost ein und ergänze include:_spf.kasserver.com im SPF!

1. PTR Record im VPS-Dashboard: Im Hostinger hPanel -> VPS -> Einstellungen -> IP-Adressen -> Set PTR Record exakt auf mail.deinedomain.de setzen.
2. Port 25 / Relay beachten: Prüfe im VPS-Panel, ob ausgehender Port 25 freigeschaltet ist; falls gedrosselt, entweder im hPanel entsperren oder Amazon SES / Mailgun / SMTP-Relay auf Port 587 als OutboundSmartHost eintragen.
3. hPanel DNS Zone Editor: Bestehende Standard-MX-Einträge entfernen und durch mail.deinedomain.de sowie die generierten SPF/DKIM/DMARC-Einträge ersetzen.

1. Beliebt für Windows Server ohne Docker: Auf STRATO Windows V-Servern und Dedicated Servern installierst du SharpMailserver in 60 Sekunden direkt mit unserem PowerShell-Skript oben als nativen Windows-Dienst.
2. Reverse-DNS im STRATO Server-Login: Unter Mein Server -> Netzwerk / IP-Adressen für IPv4 und IPv6 den Reverse-DNS-Namen mail.deinedomain.de hinterlegen.
3. STRATO Domainverwaltung: Unter Domains -> Verwalten -> DNS-Einstellungen den MX-Record auf Eigenen Mailserver (mail.deinedomain.de) umstellen sowie TXT-Records für SPF, DKIM und _dmarc pflegen.

1. Wichtige Reihenfolge für OVHcloud PTR: OVHcloud prüft beim Speichern des Reverse-DNS sofort, ob der Forward-Eintrag bereits existiert! Lege daher zuerst A und AAAA für mail.deinedomain.de an, warte 5 Minuten und setze dann im OVHcloud Kundencenter unter Netzwerk -> Öffentliche IP-Adressen -> Reverse-DNS ändern den Wert mail.deinedomain.de.
2. Edge Network Firewall & S3 Object Lock: Falls die OVHcloud Edge-Firewall aktiv ist, TCP 25, 465, 587, 993, 4190 und 443 erlauben. OVHcloud Object Storage (Straßburg/Limburg/Gravelines) eignet sich hervorragend als S3-WORM-Ziel für das GoBD-Archiv.