Caddy, Traefik oder nginx: Reverse Proxy im Vergleich 2026

Mehrere Anwendungen hinter einer Adresse, Zertifikate inklusive? WZ-IT richtet die Zugriffsschicht ein und betreibt sie als Teil von Managed Operations, einschließlich Zertifikaten und Überwachung. Vorhaben gemeinsam einordnen

Vergleiche zwischen Caddy, Traefik und nginx enden meist bei Durchsatzzahlen. Das ist verständlich, weil sich Anfragen pro Sekunde gut messen lassen, und für die Auswahl weitgehend nutzlos: In fast allen Unternehmensumgebungen ist der Reverse Proxy nicht der Engpass. Das ist die Anwendung dahinter.

Worin sich die drei tatsächlich unterscheiden, ist die Frage, woher ihre Konfiguration kommt und wie viel Betrieb sie nach der Einrichtung erzeugen. Danach ordnet dieser Beitrag sie ein.

Alle Angaben aus den Repositories und Herstellerseiten, Stand August 2026.

Inhaltsverzeichnis

• Die drei im Überblick
• Drei verschiedene Grundannahmen
• Zertifikate: der häufigste Betriebsaufwand
• Konfiguration: geschrieben oder entdeckt
• Herkunft und Governance
• Caddy
• Traefik
• nginx
• Welcher wofür
• Was ein Durchsatzvergleich nicht beantwortet
• Unser Vorgehen bei WZ-IT
• Weiterführende Guides

Die drei im Überblick

Angaben aus den öffentlichen Repositories und Herstellerseiten, Stand August 2026.

Die Sternezahl von nginx ist irreführend niedrig. Das GitHub-Repository ist eine Spiegelung; die Entwicklung läuft historisch über eigene Kanäle, und die Verbreitung von nginx liegt weit über der der beiden anderen.

Drei verschiedene Grundannahmen

Die Unterschiede lassen sich auf je einen Satz eindampfen:

Caddy nimmt an, dass HTTPS der Normalfall ist und niemand sich darum kümmern will. Zertifikate werden angefordert und erneuert, sobald ein Hostname konfiguriert ist.

Traefik nimmt an, dass sich die Umgebung ständig ändert. Statt Dateien zu lesen, beobachtet es Docker, Kubernetes oder andere Quellen und leitet seine Weiterleitungen daraus ab.

nginx nimmt an, dass der Betreiber genau festlegen will, was passiert. Die Konfiguration ist ausführlich, explizit und vollständig unter Kontrolle.

Keine dieser Annahmen ist besser. Sie passen zu unterschiedlichen Umgebungen, und wer eine Annahme wählt, die nicht zur eigenen Lage passt, arbeitet dauerhaft dagegen.

Zertifikate: der häufigste Betriebsaufwand

Der praktisch bedeutsamste Unterschied. Über die Lebensdauer einer Installation verursachen Zertifikate mehr Störungen als jede andere Eigenschaft der Zugriffsschicht: abgelaufene Zertifikate, fehlgeschlagene Erneuerungen, Erneuerungen ohne Neuladen des Dienstes.

Bei nginx ist die Zertifikatsverwaltung damit ein zweites System mit eigenem Aktualisierungspfad und eigenen Fehlerquellen. Das ist beherrschbar und über Jahre erprobt, aber es ist Arbeit, die bei Caddy schlicht nicht anfällt.

Konfiguration: geschrieben oder entdeckt

Der zweite tragende Unterschied betrifft die Frage, wo die Wahrheit über die Weiterleitungen steht.

Bei Caddy und nginx in einer Datei. Diese Datei lässt sich versionieren, überprüfen und im Fehlerfall zurückrollen. Beide prüfen die Konfiguration, bevor sie einen neuen Stand übernehmen, und verweigern einen fehlerhaften.

Bei Traefik in der Umgebung. Ein Docker-Label an einem Container genügt, damit ein Dienst erreichbar wird. Das spart bei vielen, häufig wechselnden Diensten erheblich Aufwand und verlagert die Sorgfalt auf die Container-Definitionen: Ein falsches Label wirkt sofort, ohne dass jemand eine Konfiguration geprüft hätte.

Für den Betrieb heißt das: Traefik verlangt Disziplin dort, wo Container definiert werden. Caddy und nginx verlangen Disziplin bei den Konfigurationsdateien. Beides ist machbar, aber es sind unterschiedliche Stellen im Arbeitsablauf.

Herkunft und Governance

nginx gehört seit 2019 zu F5. Im Februar 2024 hat Maxim Dounin, langjähriger Kernentwickler, eine Abspaltung unter dem Namen freenginx angekündigt. Anlass waren Meinungsverschiedenheiten über die Sicherheitsrichtlinien nach der Übernahme durch F5, unter anderem über den Umgang mit einer Schwachstellenmeldung.

Für die Auswahl ist das kein Ausschlussgrund, aber es gehört zur Einordnung: nginx wird von einem börsennotierten Unternehmen geführt, und dessen Entscheidungen haben schon einmal zu einer Abspaltung durch Kernentwickler geführt. nginx selbst erscheint weiterhin regelmäßig.

Caddy wird von einem kleinen Team um Matt Holt entwickelt, steht unter Apache-2.0 und finanziert sich unter anderem über kommerzielle Unterstützung. Traefik steht unter MIT und wird von Traefik Labs entwickelt, das daneben kostenpflichtige Erweiterungen anbietet.

Bei allen dreien gilt: Der freie Teil ist funktionsfähig und nicht durch abgetrennte Verzeichnisse eingeschränkt, wie es in anderen Bereichen zu beobachten ist.

Caddy

Geschrieben in Go, als einzelne ausführbare Datei verteilbar, Konfiguration über eine Caddyfile mit sehr knapper Syntax. Für einen Dienst mit HTTPS genügen zwei Zeilen.

Die aktuelle Version v2.11.4 stammt vom 3. Juni 2026. Mit über 75.000 Sternen ist Caddy das beachtetste der drei Projekte auf GitHub.

Stärke: Der geringste Aufwand bis zum funktionierenden HTTPS. Grenze: Bei sehr eigenwilligen Anforderungen stößt die knappe Syntax an ihre Grenzen, und die Zahl der im Netz auffindbaren Lösungen für Sonderfälle ist kleiner als bei nginx.

Traefik

Ebenfalls in Go geschrieben, ausgelegt auf dynamische Umgebungen. Erkennt Dienste über Anbieter genannte Quellen, darunter Docker, Kubernetes und Consul. Aktuell v3.7.11 vom 19. August 2026, das jüngste Release der drei.

Stärke: In Umgebungen, in denen Container kommen und gehen, entfällt jeder manuelle Schritt. Wird häufig als Ingress-Controller in Kubernetes eingesetzt.

Grenze: Der Zustand ist über die Umgebung verteilt statt an einer Stelle nachlesbar. Fehlersuche erfordert, die Quellen zu verstehen, nicht nur eine Datei zu lesen.

nginx

Der Bezugspunkt, an dem sich die anderen messen. Unter BSD-2-Clause, aktuell 1.30.4 im stabilen und 1.31.4 im mainline-Zweig. Konfiguration in eigener Syntax, sehr ausführlich dokumentiert, und für praktisch jeden Sonderfall existiert eine erprobte Lösung.

Stärke: Reife, Vorhersagbarkeit und die größte Menge an verfügbarem Wissen. Wer ein ungewöhnliches Problem hat, findet mit nginx am wahrscheinlichsten eine Antwort.

Grenze: Zertifikate sind ein getrennter Vorgang, die Konfiguration ist ausführlicher, und für dynamische Umgebungen braucht es zusätzliche Werkzeuge.

Welcher wofür

Was ein Durchsatzvergleich nicht beantwortet

Wer erneuert die Zertifikate, wenn es fehlschlägt? Automatische Erneuerung scheitert regelmäßig an geänderten Weiterleitungen, Firewallregeln oder Ratenbegrenzungen der Zertifizierungsstelle. Ohne Überwachung des Ablaufdatums merkt man es am Tag des Ablaufs.

Was passiert beim Neustart? Laufen die Weiterleitungen wieder an, bevor die Anwendungen bereit sind? Bei entdeckter Konfiguration hängt das an der Startreihenfolge der Container.

Wie verhält sich der Proxy bei langen Verbindungen? WebSocket-Verbindungen, große Uploads und lange laufende Abfragen sind die typischen Stellen, an denen Zeitüberschreitungen unerwartet greifen. Diese Einstellungen sind bei allen drei anzupassen und werden regelmäßig vergessen.

Wer aktualisiert ihn? Die Zugriffsschicht steht am Netzrand. Eine ungepatchte Komponente an dieser Stelle ist die exponierteste, die eine Umgebung hat.

Unser Vorgehen bei WZ-IT

Wir betreiben alle drei, je nach Umgebung. Bei einzelnen Anwendungen auf einem Server nehmen wir meist Caddy, weil die Zertifikatsfrage damit erledigt ist. In containerisierten Umgebungen mit vielen Diensten überwiegt Traefik, und in Umgebungen, die bereits auf nginx laufen, bleiben wir dabei.

Was wir unabhängig von der Wahl einrichten, ist die Überwachung der Zertifikatslaufzeiten. Das ist die häufigste vermeidbare Störung an dieser Stelle, und sie kündigt sich rechtzeitig an, wenn jemand hinsieht.

Bei Plattformen wie Coolify ist die Wahl ohnehin getroffen, weil die Plattform ihren Proxy mitbringt. Das ist ein Grund mehr, die Zugriffsschicht nicht isoliert zu betrachten.

Weiterführende Guides

• Self-hosted PaaS im Vergleich - Plattformen, die ihren Proxy mitbringen
• Coolify-Expertise - Deployment-Plattform mit eingebauter Zugriffsschicht
• Managed Operations - Betrieb einschließlich Zertifikaten und Überwachung
• Managed Open Source - Anwendung und Zugriffsschicht aus einer Hand

Zertifikate laufen manuell oder Weiterleitungen sind unübersichtlich? Wir bringen die Zugriffsschicht in einen Zustand, in dem sie sich selbst erneuert und überwacht wird. Termin vereinbaren

Quellen

• Caddy auf GitHub
• Traefik auf GitHub
• nginx auf GitHub
• nginx: Downloads und Versionen
• Ankündigung von freenginx (Februar 2024)