Hermes Agent auf einem VPS ein­rich­ten: 24/7 Linux-Server-Guide

Beim Betrieb des Hermes Agent auf einem VPS läuft das Open-Source-Agen­ten­frame­work dauerhaft auf einem Linux-Server statt auf dem eigenen Computer. Dadurch ist der Agent rund um die Uhr er­reich­bar, kann schnell auf externe Modell- und Tool-APIs zugreifen und zeit­ge­steu­er­te Aufgaben über in­te­grier­te Cron-Au­to­ma­ti­sie­run­gen selbst­stän­dig ausführen.

Was bedeutet der Betrieb des Hermes Agent auf einem VPS?

Den Hermes Agent auf einem VPS zu betreiben bedeutet, das Open-Source-Agen­ten­frame­work von Nous Research auf einem dauerhaft er­reich­ba­ren Linux-Server zu in­stal­lie­ren. Dadurch bleibt der KI-Agent un­ab­hän­gig vom eigenen Computer verfügbar, kann Modell- und Tool-APIs mit geringer Netz­werk­la­tenz an­spre­chen und zeit­ge­steu­er­te Aufgaben über seinen in­te­grier­ten Cron- und Gateway-Prozess selbst­stän­dig ausführen. Ein Virtual Private Server ist besonders für Messenger-Bots, re­gel­mä­ßi­ge Re­cher­che­auf­ga­ben, Webhooks und andere Au­to­ma­ti­sie­run­gen, die rund um die Uhr er­reich­bar sein sollen, eine sinnvolle Wahl.

VPS-Sys­tem­vor­aus­set­zun­gen und Be­triebs­sys­tem

Für den normalen VPS-Betrieb muss das ver­wen­de­te Sprach­mo­dell nicht auf dem Server selbst laufen. Hermes kann bei­spiels­wei­se über Open­Rou­ter, Anthropic, Nous Portal, Google/Gemini oder andere un­ter­stütz­te Anbieter auf ein extern ge­hos­te­tes Modell zugreifen. In diesem Fall ver­ar­bei­tet der VPS vor allem die Hermes-Anwendung, Sit­zungs­da­ten, Gateway-Ver­bin­dun­gen, Cronjobs und lokale Werkzeuge.

Die folgenden Werte sind deshalb prak­ti­sche Emp­feh­lun­gen für den API-Betrieb und keine starren, vom Programm er­zwun­ge­nen Hard­ware­gren­zen:

Die Tabelle bezieht sich aus­drück­lich auf den Betrieb mit externen Modell-APIs. Ein großes Sprach­mo­dell lokal auf einem ge­wöhn­li­chen CPU-VPS aus­zu­füh­ren, erfordert erheblich mehr Ar­beits­spei­cher und Re­chen­leis­tung. Für größere lokale Modelle sind nor­ma­ler­wei­se ein GPU-Server oder speziell dafür aus­ge­leg­te Hardware notwendig.

Server-Härtung und Si­cher­heits­vor­keh­run­gen

Hermes kann Dateien be­ar­bei­ten, Programme ausführen und Terminal-Befehle starten. Ein unsicher kon­fi­gu­rier­ter VPS würde An­grei­fen­den dadurch besonders weit­rei­chen­de Mög­lich­kei­ten bieten. Sie sollten den Agenten deshalb niemals dauerhaft als Root-User betreiben und nur die­je­ni­gen Funk­tio­nen, Ports und Zugänge ak­ti­vie­ren, die Sie tat­säch­lich benötigen.

System ak­tua­li­sie­ren

Melden Sie sich zunächst über SSH beim Server an. Bei einem neu ein­ge­rich­te­ten VPS geschieht dies häufig zunächst als Root-User:

ssh root@SERVER-IP

Ersetzen Sie SERVER-IP durch die öf­fent­li­che IP-Adresse Ihres Servers. Ak­tua­li­sie­ren Sie an­schlie­ßend die Pa­ket­lis­ten und die in­stal­lier­ten Pakete:

apt update
apt full-upgrade -y

Falls dabei ein neuer Kernel in­stal­liert wurde, starten Sie den Server neu:

reboot

Warten Sie, bis der VPS wieder er­reich­bar ist, und melden Sie sich erneut an.

De­di­zier­ten Non-Root-User anlegen

Erstellen Sie nun einen separaten User für Hermes:

adduser hermes

Sie werden auf­ge­for­dert, ein sicheres Passwort zu vergeben. Weitere Angaben wie Name oder Te­le­fon­num­mer können Sie mit der Ein­ga­be­tas­te über­sprin­gen. Fügen Sie den User an­schlie­ßend der Gruppe sudo hinzu:

usermod -aG sudo hermes

Der User arbeitet damit im Alltag ohne Root-Rechte, kann aber einzelne Ver­wal­tungs­be­feh­le bewusst mit sudo ausführen. Noch strenger wäre ein Dienst­be­nut­zer ohne all­ge­mei­ne sudo-Rechte. Die of­fi­zi­el­le Hermes-In­stal­la­ti­on un­ter­stützt einen solchen un­pri­vi­le­gier­ten Betrieb ebenfalls; lediglich bestimmte Sys­tem­bi­blio­the­ken für die Browser-Au­to­ma­ti­sie­rung müssen ge­ge­be­nen­falls einmalig durch den Admin in­stal­liert werden.

Anmeldung mit einem SSH-Schlüssel ein­rich­ten

SSH-Schlüssel sind sicherer als eine reine Pass­wort­an­mel­dung. Falls auf Ihrem lokalen Computer noch kein Schlüssel vorhanden ist, erzeugen Sie dort einen Schlüssel mit dem Ed25519-Verfahren:

ssh-keygen -t ed25519

Über­tra­gen Sie den öf­fent­li­chen Schlüssel an­schlie­ßend auf den Server:

ssh-copy-id hermes@SERVER-IP

Öffnen Sie danach ein zweites Terminal und testen Sie die neue Anmeldung:

ssh hermes@SERVER-IP

De­ak­ti­vie­ren Sie den Root-Zugang erst, nachdem diese Anmeldung zu­ver­läs­sig funk­tio­niert. An­dern­falls könnten Sie sich selbst aus dem Server aus­sper­ren.

SSH-Root-Login de­ak­ti­vie­ren

Erstellen Sie für die eigenen Ein­stel­lun­gen eine separate Kon­fi­gu­ra­ti­ons­da­tei:

sudo nano /etc/ssh/sshd_config.d/99-hermes-hardening.conf

Tragen Sie Folgendes ein:

PermitRootLogin no
PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no

Speichern Sie die Datei mit Strg + O, be­stä­ti­gen Sie mit der Ein­ga­be­tas­te und schließen Sie den Editor mit Strg + X. Prüfen Sie die Kon­fi­gu­ra­ti­on:

sudo sshd -t

Erscheint keine Feh­ler­mel­dung, können Sie den SSH-Dienst neu starten:

sudo systemctl restart ssh.service

Lassen Sie die bisherige SSH-Sitzung zunächst geöffnet. Testen Sie in einem zweiten Terminal erneut, ob die Anmeldung als Benutzer hermes funk­tio­niert.

UFW-Firewall kon­fi­gu­rie­ren

Ubuntu stellt mit UFW eine ver­gleichs­wei­se einfach zu be­die­nen­de lokale Firewall bereit. UFW ist zunächst de­ak­ti­viert und muss nach dem Anlegen der be­nö­tig­ten Regeln aus­drück­lich ein­ge­schal­tet werden. In­stal­lie­ren und kon­fi­gu­rie­ren Sie UFW:

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp

Port 22 wird für SSH benötigt. Falls Sie einen anderen SSH-Port verwenden, müssen Sie statt­des­sen diesen Port freigeben. Für öf­fent­lich er­reich­ba­re HTTPS-Webhooks oder einen vor­ge­schal­te­ten Webserver können Sie zu­sätz­lich die Ports 80 und 443 öffnen:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Ak­ti­vie­ren Sie die Firewall an­schlie­ßend:

sudo ufw enable
sudo ufw status verbose

Hermes selbst ein­schrän­ken

Hermes verfügt über mehrere interne Si­cher­heits­stu­fen. Dazu gehören Be­nut­zer­frei­ga­ben für Messaging-Platt­for­men, Rück­fra­gen vor ge­fähr­li­chen Befehlen, Da­tei­schutz, Container-Iso­lie­rung und kon­fi­gu­rier­ba­re Sperr­re­geln. Für einen un­be­auf­sich­tig­ten Ser­ver­be­trieb sollten Sie ins­be­son­de­re die Schutz­funk­ti­on gegen fest­ge­fah­re­ne Werk­zeug­schlei­fen ak­ti­vie­ren. Öffnen Sie dazu die Hermes-Kon­fi­gu­ra­ti­on:

nano ~/.hermes/config.yaml

Ergänzen Sie folgenden Block:

tool_loop_guardrails:
    hard_stop_enabled: true
    hard_stop_after:
        exact_failure: 5
        idempotent_no_progress: 5

Damit wird ein Ablauf beendet, wenn derselbe Fehler oder eine wir­kungs­lo­se Aktion mehrfach wie­der­holt wird. Bei un­be­auf­sich­tig­ten Gateway- und Cron-Sessions aktiviert Hermes solche Hard Stops bereits stan­dard­mä­ßig. Mit hard_stop_enabled: true wird die Schutz­funk­ti­on zu­sätz­lich für alle Aus­füh­rungs­um­ge­bun­gen aktiviert.

Hermes Agent mit Docker in­stal­lie­ren

Es gibt ver­schie­de­ne Wege, einen Hermes Agenten zu in­stal­lie­ren. Sie können den Hermes Agenten lokal betreiben oder auf eine Docker-In­stal­la­ti­on zu­rück­grei­fen. Docker kapselt Hermes vom rest­li­chen Host-System ab. Dadurch lassen sich Ab­hän­gig­kei­ten, Updates und Da­ten­ver­zeich­nis­se sauberer von­ein­an­der trennen. Das of­fi­zi­el­le Image speichert Kon­fi­gu­ra­tio­nen, API-Schlüssel, Sitzungen, Skills und Er­in­ne­run­gen in einem vom Host ein­ge­bun­de­nen Ver­zeich­nis. Das ei­gent­li­che Container-Image bleibt zu­stands­los und kann ak­tua­li­siert werden, ohne diese Daten zu löschen.

Schritt 1: Docker Engine unter Ubuntu in­stal­lie­ren

Richten Sie zunächst das of­fi­zi­el­le Docker-Pa­ket­ar­chiv ein:

sudo apt update
sudo apt install -y ca-certificates curl
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg \
    -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc

Fügen Sie an­schlie­ßend die Pa­ket­quel­le hinzu:

sudo tee /etc/apt/sources.list.d/docker.sources > /dev/null <<EOF
Types: deb
URIs: https://download.docker.com/linux/ubuntu
Suites: $(. /etc/os-release && echo "${UBUNTU_CODENAME:-$VERSION_CODENAME}")
Components: stable
Architectures: $(dpkg --print-architecture)
Signed-By: /etc/apt/keyrings/docker.asc
EOF

In­stal­lie­ren Sie Docker:

sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io \
    docker-buildx-plugin docker-compose-plugin

Prüfen Sie den Dienst:

sudo systemctl status docker

Testen Sie die In­stal­la­ti­on:

sudo docker run --rm hello-world

Schritt 2: Hermes-Kon­fi­gu­ra­ti­on im Container anlegen

Erstellen Sie zunächst das dau­er­haf­te Da­ten­ver­zeich­nis:

mkdir -p ~/.hermes

Starten Sie danach einmalig den in­ter­ak­ti­ven Ein­rich­tungs­as­sis­ten­ten:

sudo docker run -it --rm \
    -v "$HOME/.hermes:/opt/data" \
    nousresearch/hermes-agent setup

Schritt 3: Gateway dauerhaft starten

Wenn Sie Hermes über Telegram, Discord oder eine andere Plattform mit aus­ge­hen­der Gateway-Ver­bin­dung verwenden, benötigen Sie nor­ma­ler­wei­se keine ver­öf­fent­lich­te API-Schnitt­stel­le:

sudo docker run -d \
    --name hermes \
    --restart unless-stopped \
    -v "$HOME/.hermes:/opt/data" \
    nousresearch/hermes-agent gateway run

Die Restart-Policy unless-stopped startet den Container nach einem Absturz oder Neustart des Docker-Dienstes erneut, sofern Sie ihn nicht zuvor bewusst gestoppt haben. Das aktuelle of­fi­zi­el­le Hermes-Image überwacht den Gateway-Prozess zu­sätz­lich innerhalb des Con­tai­ners. Stürzt der Prozess ab, wird er nach kurzer Zeit neu gestartet, ohne dass der gesamte Container beendet werden muss.

Für Browser-Au­to­ma­ti­sie­run­gen ergänzen Sie Shared Memory:

sudo docker run -d \
    --name hermes \
    --restart unless-stopped \
    --shm-size=1g \
    -v "$HOME/.hermes:/opt/data" \
    nousresearch/hermes-agent gateway run

Per­sis­tenz im Hin­ter­grund und Health-Check

Eine normale Anwendung, die Sie direkt in einer SSH-Sitzung starten, wird beendet, sobald die Ver­bin­dung ge­schlos­sen wird. Für den dau­er­haf­ten Betrieb benötigt Hermes deshalb entweder einen systemd-Dienst oder einen Docker-Container mit Restart-Policy.

Native In­stal­la­ti­on mit systemd betreiben

Hermes kann die passende systemd-Service-Datei selbst erzeugen. Das ist zu­ver­läs­si­ger als eine manuell kopierte Vorlage, weil der Installer dabei den tat­säch­li­chen User, das Hermes-Ver­zeich­nis und den richtigen Pfad zur vir­tu­el­len Python-Umgebung be­rück­sich­tigt.

Richten Sie zunächst die ge­wünsch­ten Messaging-Platt­for­men ein:

hermes gateway setup

In­stal­lie­ren Sie den Gateway als sys­tem­wei­ten Dienst:

sudo hermes gateway install --system

Starten Sie den Dienst:

sudo hermes gateway start --system

Prüfen Sie seinen Zustand:

sudo hermes gateway status --system

Die laufenden Pro­to­kol­le sehen Sie mit:

sudo journalctl -u hermes-gateway -f

Der sys­tem­wei­te Dienst eignet sich besonders für VPS- und Headless-Systeme, die nach einem Neustart zu­ver­läs­sig hoch­fah­ren sollen. In­stal­lie­ren Sie nicht gleich­zei­tig einen Benutzer- und einen Sys­tem­dienst, da sonst unklar werden kann, welche Instanz durch die Hermes-Befehle verwaltet wird.

In­stal­la­ti­on mit Hermes Doctor prüfen

Prüfen Sie zum Abschluss die Hermes-In­stal­la­ti­on und -Kon­fi­gu­ra­ti­on:

hermes doctor

Der Dia­gno­se­be­fehl überprüft die wich­tigs­ten Kom­po­nen­ten des Setups und weist auf mögliche Kon­fi­gu­ra­ti­ons­pro­ble­me hin. Beheben Sie gemeldete kritische Fehler, bevor Sie Hermes dauerhaft im Hin­ter­grund betreiben.

Hermes Agent auf einem IONOS VPS ein­rich­ten

Die all­ge­mei­ne Anleitung lässt sich bei­spiels­wei­se auf einem IONOS VPS mit Ubuntu 24.04 LTS umsetzen. Bei IONOS verwalten Sie Ihre VPS-Produkte über das Cloud Panel.

Schritt 1: Passenden IONOS VPS auswählen

Die IONOS-VPS+-Tarife un­ter­schei­den sich vor allem durch CPU-Kerne, RAM und NVMe-Speicher:

Für die meisten Ein­stei­ge­rin­nen und Ein­stei­ger ist der VPS M+ die aus­ge­wo­gens­te Wahl. Der VPS S+ kann für einen einzelnen API-basierten Bot genügen, lässt aber nur wenig Spielraum für Browser, zu­sätz­li­che Container oder mehrere gleich­zei­tig laufende Aufgaben.

Schritt 2: VPS be­reit­stel­len und Zu­gangs­da­ten aufrufen

Bestellen Sie den ge­wünsch­ten VPS und wählen Sie Ubuntu 24.04 LTS als Be­triebs­sys­tem. Öffnen Sie danach in Ihrem IONOS-Konto den Bereich „Menü“ → „Server & Cloud“. Wählen Sie unter „In­fra­struk­tur“ → „Server“ den neuen VPS aus. In den Ser­ver­de­tails finden Sie den Hostnamen be­zie­hungs­wei­se die IP-Adresse, den an­fäng­li­chen User und das Initial-Passwort.

Close

Stellen Sie von Ihrem lokalen Computer die erste Ver­bin­dung her:

ssh root@SERVER-IP

Die SSH-Ver­bin­dung ist ver­schlüs­selt. IONOS be­schreibt sie als regulären Ver­wal­tungs­weg für Linux-Server.

Führen Sie danach die bereits be­schrie­be­nen Schritte durch:

1. Ak­tua­li­sie­ren Sie Ubuntu.
2. Legen Sie den User hermes an.
3. Über­tra­gen Sie einen SSH-Schlüssel.
4. Testen Sie den neuen Zugang.
5. De­ak­ti­vie­ren Sie den Root-Login.
6. In­stal­lie­ren Sie Hermes nativ oder mit Docker.

Schritt 3: Externe IONOS-Firewall kon­fi­gu­rie­ren

Neben UFW besitzt der IONOS VPS eine externe Firewall, die im Cloud Panel verwaltet wird. Beide Firewalls sollten auf­ein­an­der ab­ge­stimmt sein. Ein Port muss nur dann in beiden Ebenen geöffnet werden, wenn er tat­säch­lich von außen er­reich­bar sein soll.

Öffnen Sie im Cloud Panel den Bereich „Netzwerk“ → „Firewall-Richt­li­ni­en“. Wählen Sie die dem Server zu­ge­wie­se­ne Richt­li­nie aus und entfernen Sie alle nicht be­nö­tig­ten Freigaben. Für eine einfache Hermes-In­stal­la­ti­on genügen nor­ma­ler­wei­se:

Port 8642 und Port 9119 sollten nicht direkt in der IONOS-Firewall geöffnet werden. Verwenden Sie für Ver­wal­tungs­zu­grif­fe besser einen SSH-Tunnel oder einen korrekt ab­ge­si­cher­ten Reverse Proxy.

Close

Schritt 4: Hermes auf dem IONOS VPS in­stal­lie­ren

Melden Sie sich nun als neuer User an:

ssh hermes@SERVER-IP

In­stal­lie­ren Sie die Ba­sis­pa­ke­te:

sudo apt update
sudo apt install -y git curl xz-utils ca-certificates

Führen Sie an­schlie­ßend den Hermes-Installer aus:

curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash
source ~/.bashrc

Starten Sie die Ein­rich­tung:

hermes setup

Wählen Sie Ihren Mo­dell­an­bie­ter, tragen Sie den API-Schlüssel ein und ak­ti­vie­ren Sie nur die Werkzeuge und Messaging-Platt­for­men, die Sie benötigen.

Close

Prüfen Sie zunächst einen normalen Chat:

hermes

Close

Richten Sie erst danach den dau­er­haf­ten Gateway ein:

hermes gateway setup
sudo hermes gateway install --system
sudo hermes gateway start --system

Führen Sie zum Abschluss die Diagnose aus:

hermes doctor
sudo hermes gateway status --system

Close

Schritt 5: 24/7-Betrieb ab­schlie­ßend testen

Ein er­folg­rei­cher Status direkt nach der In­stal­la­ti­on genügt noch nicht. Starten Sie den IONOS VPS einmal kon­trol­liert neu:

sudo reboot

Melden Sie sich nach dem Neustart wieder an und prüfen Sie:

sudo hermes gateway status --system

Bei Docker verwenden Sie statt­des­sen:

sudo docker ps
sudo docker logs --tail 50 hermes

Senden Sie zu­sätz­lich eine Test­nach­richt über die an­ge­bun­de­ne Messaging-Plattform und führen Sie eine einfache Cron-Aufgabe aus. Der Hermes-Scheduler wird vom laufenden Gateway verwaltet und prüft stan­dard­mä­ßig re­gel­mä­ßig, ob geplante Aufgaben fällig sind. Ohne laufenden Gateway werden diese Au­to­ma­ti­sie­run­gen nicht au­to­ma­tisch aus­ge­führt.

Si­cher­heits- und Be­triebs­check­lis­te

Vor dem pro­duk­ti­ven Betrieb sollten folgende Punkte erfüllt sein:

✓ Hermes läuft nicht als Root-User.

✓ Die SSH-Anmeldung funk­tio­niert über einen Schlüssel.

✓ Der Root-Login und die Pass­wort­an­mel­dung per SSH sind de­ak­ti­viert.

✓ Die IONOS-Firewall und UFW lassen nur er­for­der­li­che Ports zu.

✓ Port 8642 und das Dashboard sind nicht direkt öf­fent­lich er­reich­bar.

✓ Die Datei ~/.hermes/.env besitzt die Be­rech­ti­gung 600.

✓ Nur frei­ge­ge­be­ne User dürfen den Messenger-Gateway an­spre­chen.

✓ Die Schutz­funk­ti­on gegen wie­der­hol­te Tool-Schleifen ist aktiviert.

✓ hermes doctor meldet keine kri­ti­schen Fehler.

✓ Der Gateway startet nach einem Ser­ver­neu­start au­to­ma­tisch.

✓ Backups des Ver­zeich­nis­ses ~/.hermes werden re­gel­mä­ßig erstellt.

✓ Si­cher­heits­up­dates für Ubuntu, Docker und Hermes werden re­gel­mä­ßig ein­ge­spielt.

Fazit

Ein Linux-VPS macht den Hermes Agent un­ab­hän­gig vom eigenen Computer und er­mög­licht dauerhaft er­reich­ba­re Messenger-Bots, API-Schnitt­stel­len und zeit­ge­steu­er­te Au­to­ma­ti­sie­run­gen. Für einen einfachen API-Betrieb reichen wenige Res­sour­cen, während Docker, Browser-Au­to­ma­ti­sie­rung und parallele Aufgaben von zu­sätz­li­chem Ar­beits­spei­cher pro­fi­tie­ren.

Ein einzelner VPS bleibt trotz au­to­ma­ti­scher Neustarts ein möglicher Aus­fall­punkt. Für ge­schäfts­kri­ti­sche An­wen­dun­gen sollten Sie deshalb zu­sätz­lich externe Backups, eine Über­wa­chung des Health-Endpunkts und bei Bedarf eine zweite Instanz mit Load Balancer einplanen.