Julian137 Wenn Du nicht die IP-Adresse des Webhosting-Servers eintragen willst (die sowieso statisch ist), ist das definitiv falsch. 
Du musst das PHP-Script dort ausführen, von wo die IP-Adresse eingetragen werden soll. Also z.B. Zuhause auf einem Linux-Gerät.
www muss ein CNAME-Record sein auf @
Weder noch. Den www-Eintrag kann er sich ganz sparen, der ist eh schon durch den Wildcardeintrag abgedeckt.
DNS scheint kein Problem mehr zu sein das löst hier einwandfrei auf. Den Rest musst Du in der Konfiguration Deines Webservers anpassen, Stichwort vHost.
PS: Gibt es eigentlich einen besonderen Grund, warum Du bei einem neuen Server auf Debian Stretch und nicht Buster setzt? Die Version ist eigentlich EOL und wird nur noch durch LTS am Leben gehalten. Das will man bei neuen Systemen eigentlich vermeiden.
Seit Erstellung des Image naturgemäß keine Updates enthalten für OS, Webserver etc
Irre ich mich oder läuft da nicht bei der Imageinstallation ein Paketupgrade durch?
Bilde ich mir zumindestens ein. Oder war das bei der Konkurrenz? Ich schaue mir die Default-Images normalerweise nie genauer an… 
In die Spalte Host gehört nur der Subdomainteil und nicht die Domain. Wenn Du dort http://www.path-of-novus.de einträgst, gilt der Eintrag für http://www.path-of-novus.de.path-of-novus.de. Also bitte in diesem Fall nur "www" eintragen. Wenn es für die Domain selbst gelten soll, wird ein "@" verwendet.
Bitte beachte, dass es 24-48 Stunden dauern kann, bis die DNS-Caches aller beteiligten Resolver in der Kette abgelaufen und Deine Änderungen bekannt sind.
Die interessantere Frage wäre: Stimmt die Anzahl der in Anspruch genommenen Stunden? Hast Du zu viel bzw. zu wenig bezahlt?
Die Stunden werden meinem Verständnis nach jedenfalls nicht höher sein, als der angegebenen Monatspreis. Die Summe ist somit gedeckelt. Bei einem Preis von € 2,62 (mit deutscher MwSt.) wären das somit maximal 655 Stunden mit jeweils € 0,004 pro Stunde. Das wird buchhalterisch aber kaum abzubilden sein. Ansonsten würdest Du draufzahlen, wenn Du erst nach 27 Tagen kündigst.
Vielleicht ist auch irgendwo der Hund drinnen, weil mit den deutschen MwSt.-Sätzen von 16/19% alles auf den Kopf gestellt wird?
was passiert wenn jetzt sich jemand auf seinem vServer sich etwas vertippt und und die IPv6-Adresse
eines anderen als dem standardmäßig enthaltenen IPv6-Prefix erwischtL
funktioniert das od. ist hier am Router evtl. eingebaut, dass z.B. die MAC-Adresse übereinstimmen muss?
Ich habe es nicht getestet, aber ich gehe mal davon aus, dass das am Node selbst geprüft wird. Wir sind hier ja nicht bei irgendeinem Kinderzimmerhoster. Das Netzwerk läuft dort höchstwahrscheinlich nicht komplett ungefiltert durch, die MAC-Adresse wird also passen müssen. Und zusätzlich weiß das Hostsystem ja sogar, welche IP-Adressen oder Subnetze erlaubt sind, also könnte man das noch feiner filtern.
Oder das IDS schlägt an und eröffnet intern gleich eine Abusemeldung inkl. Servershutdown. Freiwillige bitte vortreten, die das testen wollen! 
Ich gehe jedenfalls davon aus, dass die Jungs und Mädels bei netcup Ihre Hausaufgaben gemacht haben, um das Netzwerk zu schützen. Irgendeine Schutzbarriere gibt es garantiert.
Bei einem zusätzlich gebuchten IPv6-Subnetz ist alles direkt auf eine Adresse Deines primären IPv6-Subnetzes geroutet. (Leitet sich von der MAC-Adresse ab, ist im SCP ersichtlich.) D.h. jedes Paket an jede IPv6-Adresse landet fix bei Deinem Server.
Bei dem standardmäßig enthaltenen IPv6-Subnetz ist das nicht der Fall. Hier fragt der netcup Router über NDP bei jeder einzelnen IPv6-Adresse zuerst einmal, wer sie hat. Antwortet Dein Server nicht darauf (weil die einzelne Adresse keinem lokalen Interface zugewiesen ist), ist für das Paket beim Router Endstation. Dein System braucht somit einen NDP-Proxy. Das kann der Linux-Kernel für einzelnen Adressen auch von alleine, aber sobald man das für alle Adressen machen möchte, ist ein spezieller Daemon wie z.B. ndppd sinnvoller.
Bedenkst Du dabei eh, dass das standardmäßige Subnetz nicht geroutet ist? Das ist nur bei zusätzlichen Subnetzen der Fall, egal ob Failover oder reguläres Produkt. Du bräuchtest somit also z.B. ndppd.
Bist Du sicher, dass die CPU der Flaschenhals ist und nicht z.B. I/O? (HDD/SSD, RAM, Netzwerk, …)
Wenn die restlichen Quellen nicht nachkommen, wäre es nur logisch, dass die CPU nicht voll ausgelastet ist.
Und dann ist da noch der Host-Key, auf den ein unprivilegierter Nutzer keinen Zugriff hat.
Stimmt, den Teil habe ich nicht bedacht. Man müsste (als Angreifer) zusätzlich also auch noch hoffen, dass sich der User über ein neues Gerät verbindet und z.B. keine SSHFP-Records eingerichtet sind.
Sollte der Daemon doch aus irgendeinem Grund mal nicht laufen, und es jemandem gelingen, bringt ihm das bei der Authentifizierung mittels öffentlichem Schlüssel ebenfalls nichts.
Nicht getestet, daher nur gefährliches Halbwissen: Der Fake-Server könnte den Key ignorieren und die Passwort-Authentifizierung verlangen. Der Client gibt in diesem Fall standardmäßig keine gesonderte Meldung aus. Wenn der Passwortprompt nun so angepasst wird, dass es aussieht, als ob der Client nach der Passphrase fragt…
Dafür müsste der Angreifer aber halbwegs den lokalen Pfad des Keyfiles kennen, sonst fällt es auf. Ein Key-Agent darf natürlich auch nicht verwendet werden. Letzten Endes wäre es halt ein kleines potentiell mögliches Puzzleteilchen bei einem sehr gezielten Angriff. Insofern wohl zu vernachlässigen.
Auch dann nicht, wenn […] die Daten, bevor Diese auf den Webserver abgelegt werden, sogar verschlüsselt wurden.
Wenn die Daten nur am Client (offline) ver-/entschlüsselt werden und der Schlüssel nicht am Server liegt, sehe ich da kein Problem. Oder woran denkst Du dabei?
Besser ist es dann schon, einen eigenen dedizierten oder auch virtuellen Server für Nextcloud zu verwenden. Denn beide Serverarten kannst du im Extremfall vom Netz trennen.
Auch bei diesen Dingen könnte es ein Sicherheitsleck geben. Im schlimmsten Fall übernimmt eine andere VM den Hypervisor und greift so auf Deine abgeschaltete VM zu. Bei einem dedizierten Server könnte über ein Leck z.B. mittels Webresetter, IP-Steckdosen oder WOL der Server unerwartet starten.
Wenn man schon so paranoid ist, was keinesfalls falsch ist, sollte die Hardware nicht außerhalb der eigenen Räumlichkeiten stehen. Da gibt es auch genügend Risiken, aber einen Teil davon minimiert man bzw. hat eine bessere Kontrolle.
ich habe mir eine USV zugelegt
Welches Modell hast Du Dir eigentlich gegönnt? 
Nextcloud (bzw. diese App) spricht doch auch CalDAV? Also kann man mit jedem CalDAV-Client synchronisieren und dann z.B. diese App nutzen: https://f-droid.org/de/packages/org.dmfs.tasks/
Die finde ich eigentlich sehr übersichtlich und praktisch, egal ob auf einem Tablet oder am Handy. (Ich nutze die derzeit allerdings mit SOGo und nicht mit Nextcloud.)
xor Dann lass es halt weg, es zwingt Dich niemand das Programm zu installieren. Dein Gastsystem wird auch so mit den Grundfunktionen einwandfrei funktionieren.
(Ich habe das Paket aus ähnlichen Überlegungen ebenfalls nirgends installiert. Mir ist klar, dass der Host noch ganz andere Dinge anstellen könnte, aber bei dieser Schnittstelle ist mir trotzdem nicht wohl.)
Die passiven NUCs liegen auch oft über 60 Grad. 50 Grad sind schon ok.
Auf diese Werte komme ich sogar mit aktiver Kühlung
sensors_temp-pinpoint=1412114400,1585692000.png
(Ok, ist die erste Generation. Und der Lüfter dümpelt dafür größtenteils mit nur 2.000 rpm herum.)
Okay wirklich Wundern würde mich das bei dem Verein nicht. Aber wer bitte hockt sich da hin und sucht willkürlich Subnets raus um diese zu sperren?
Kann ja automatisiert sein
Über das Warum hast Du eh schon selbst spekuliert:
Manchmal beschleicht mich so ein Gefühl das sich die Großen absprechen um konsequent kleine Anbieter/Homelabber zu ersticken, Daten um jeden Preis. "Oh du willst Mailen? Dann wechsel zu uns, die Mailscans sind gar nichts schlimmes"
Dazu habe ich nichts mehr hinzuzufügen. 
(Oder eigentlich eher 
wenn es um das Verhalten an sich geht.)
Das einzige was helfen würde ist das netcup ein Subnetz bereitstellt für Mailserverbetreiber. IPs daraus nur vergibt wenn man eine Eignung nachgewiesen hat (Onlinetest etc. für sicheren Mailserverbetrieb). Das Subnet kann dann fast nicht mehr "verbrennen"
Ich würde fast wetten, dass es dann trotzdem auftritt. Niemand weiß, ob MS nicht willkürlich ohne jegliche Vorfälle Subnetze sperrt oder das Blackholing aktiviert.
Ich möchte an dieser Stelle auch nochmals darauf hinweisen, dass nicht nur MS so seltsam agiert. Auch bei Gmail hatte ich bereits viel Spaß mit einem Blackholing. Und ich fürchte, das werden nicht die einzigen großen Anbieter sein.
Dann wären die Snapshots aber völlig sinnlos. Du hättest keine Garantie, dass er nicht eine Minute nach dem Anlegen weg ist, wenn Du ihn gerade brauchen würdest. Eine Live-Migration könnte immer stattfinden, auch ohne vorherige Ankündigung.
