Die von Hille eingangs vorgeschlagene Lösung, checkmk auf einer lokalen IP-Adresse wie z. B. 10.0.0.10 laufen zu lassen und dann per VPN darauf zuzugreifen, sollte ja auch möglich sein.
Dazu müsste der checkma-Apache auf der lokalen IP-Adresse lauschen und die Adresse dem WireGuard-Interface zugewiesen werden (falls Du WireGuard nimmst). Auf den Client-Rechnern müsste dann entsprechend die VPN-Verbindung eingerichtet und in der netcup-Firewall das VPN freigeschaltet werden.
Der checkmk-Apache könnte dabei auf Port 80 laufen.
EDIT: Nach Lesen des von m_ueberall verlinkten Beitrags, gilt auch hier vermutlich, dass man verhindern muss, dass der System-Apache als Reverse Proxy für Checkmk fungiert und die Monitoring-Seite öffentlich zugänglich macht. Evtl. kann man in der erwähnten Datei zzz_omd.conf den Include-Eintrag auskommentieren? Da sollte man dann bei einem Checkmk-Update sicherheitshalber prüfen, ob er wieder aktiviert wurde.
Wenn Du statt des VPN-Tunnels einen SSH-Tunnel verwenden möchtest, solltest Du Checkmk ja einfach mit ssh -L 5000:127.0.0.1:5000 user@nano über http://localhost:5000 aufrufen können, wenn das die Standardeinstellungen des Checkmk-Apaches sind. Die Tunnelkonfiguration würde ich dann in die .ssh/config auf dem Client eintragen.