Allerdings wollte ich das nicht für die ganze Welt offen ins WWW legen.
es musste also eine Beschränkung her.
Mir ist auf anhieb nur Passwort eingefallen,
aber das fand ich irgendwie doof weil unverschlüsselt  (ja https war mir da gerade zu komplex)

Nach etwas überlegen kam ich auf die Idee IP basiert zugriff zuzulassen oder zu verhindern,
da ich meistens ein VPN nutze ist dynamische IP für mich kein Problem.

Herrausgekommen ist zum Schluss:

$HTTP["host"] =~ "(^|\.)domain\.de$" {

#!~ is a perl style regular expression not match

$HTTP["remoteip"] != "192.168.0.0/24" {

$HTTP["url"] =~ "^/roundcube/" {

url.access-deny = ( "" )

}
}
}