Vaultwarden: den eigenen Passwortmanager selbst hosten

Was ist Vaultwarden?

Vaultwarden ist eine inoffizielle, quelloffene Umsetzung der Bitwarden-Server-API. Das Projekt ist in der Programmiersprache Rust geschrieben und steht unter der Lizenz AGPL-3.0. Früher hieß es „bitwarden_rs“. Das Team hat den Namen geändert, um sich klar vom offiziellen Bitwarden-Server abzugrenzen.

Zum Verständnis hilft ein Blick auf den Aufbau von Bitwarden. Die Clients laufen auf deinen Geräten: App, Browser-Erweiterung, Desktop-Programm und Web-Tresor. Der Server speichert deinen verschlüsselten Tresor und gleicht ihn zwischen den Geräten ab. Vaultwarden ersetzt nur diesen Server. Die offiziellen Bitwarden-Clients verbinden sich mit Vaultwarden so, als wäre es ein Bitwarden-Server.

Die Entwickler richten Vaultwarden an Einzelpersonen, Familien und kleinere Organisationen. Unterstützt werden unter anderem:

• der persönliche Tresor, Bitwarden Send und Dateianhänge
• Organisationen mit Sammlungen, Gruppen, Rollen und Richtlinien
• Notfallzugriff
• verschiedene Verfahren für die Zwei-Faktor-Anmeldung

Vaultwarden vs. Bitwarden: Das ist der Unterschied

Vaultwarden ist kein Produkt von Bitwarden, Inc. und wird von Bitwarden auch nicht unterstützt. Eine Community pflegt das Projekt. Probleme meldest du deshalb beim Vaultwarden-Projekt und nicht beim Bitwarden-Support. Das gilt auch, wenn du die offiziellen Bitwarden-Apps nutzt.

Wenn du Bitwarden selbst hosten möchtest, gibt es auch offizielle Wege:

• Standard-Installation: Sie besteht aus mehreren Containern und ist für Unternehmen gedacht.
• Bitwarden lite: Seit Dezember 2025 heißt die frühere Variante „Bitwarden Unified“ so. Sie läuft in einem einzigen Container. Bitwarden empfiehlt lite ausdrücklich für private Nutzung und Homelabs, nicht für Unternehmen.

Vorteile: Warum einen eigenen Passwortmanager selbst hosten?

Du entscheidest, wo deine Daten liegen

Beim Selbsthosten liegt dein verschlüsselter Tresor auf einem Server, den du auswählst. Das kann ein Rechenzentrum in Deutschland sein oder ein Gerät bei dir zu Hause. Du legst fest, wer Zugriff auf den Server hat, wie oft gesichert wird und wo die Backups landen.

Gewohnte Apps, eigener Server

Neue Programme brauchst du nicht. In den offiziellen Bitwarden-Apps und Browser-Erweiterungen gibst du bei der Anmeldung die Adresse deines eigenen Servers ein. Danach arbeitest du wie gewohnt mit Autofill, Synchronisation und Passwortgenerator.

Geringer Ressourcenbedarf

Vaultwarden ist bewusst schlank gebaut. Die Entwickler sehen es als Alternative für Fälle, in denen der ressourcenhungrige offizielle Server nicht passt. Für einen persönlichen Tresor oder ein kleines Team reicht in der Regel ein kleiner VPS. Oft bleibt darauf noch Platz für weitere Anwendungen.

Funktionen für Familie und Team

Organisationen, geteilte Sammlungen, Gruppen und Rollen sind in Vaultwarden enthalten. So teilst du Zugänge gezielt mit anderen, etwa für WLAN, Streaming-Dienste oder Kundenprojekte, statt Passwörter per Chat zu verschicken. Die Software ist kostenlos. Du zahlst nur für den Server.

Welche Voraussetzungen brauchst du für Vaultwarden?

Vaultwarden selbst zu hosten geht nicht mit einem Klick. Mit etwas Server-Erfahrung ist es aber gut machbar. Diese Bausteine brauchst du:

Einen Server mit Root-Zugriff. Das kann ein Raspberry Pi zu Hause oder ein VPS im Rechenzentrum sein. Wichtig ist, dass du Software installieren und den Server selbst verwalten kannst. Ein VPS ist dauerhaft online, sodass deine Geräte auch unterwegs synchronisieren können.

Docker. Die Entwickler empfehlen, Vaultwarden über die offiziellen Container-Images zu betreiben. Mit Docker oder Podman startest du den Dienst mit wenigen Befehlen. Für ein Update lädst du später das neue Image. Was hinter Docker steckt, erklären wir dir im VPS-Glossar.

Eine Domain und HTTPS. Der Web-Tresor funktioniert nur über eine verschlüsselte HTTPS-Verbindung, weil der Browser die nötigen Kryptografie-Funktionen sonst nicht freigibt. Du brauchst dafür:

• eine Domain oder Subdomain, zum Beispiel vault.deine-domain.de
• ein gültiges TLS-Zertifikat, etwa von Let’s Encrypt
• einen Reverse Proxy, den die Vaultwarden-Dokumentation für HTTPS empfiehlt

Eine passende Domain findest du bei uns im Domain-Check.

Eine E-Mail-Adresse für den Versand. Über SMTP verschickt Vaultwarden Einladungen und Bestätigungen. Auch die Zwei-Faktor-Anmeldung per E-Mail braucht SMTP. Dafür eignet sich eine eigene E-Mail-Adresse unter deiner Domain.

Eine Datenbank. Standardmäßig nutzt Vaultwarden SQLite, also eine einzelne Datenbankdatei. Wenn du willst, kannst du stattdessen MariaDB/MySQL oder PostgreSQL anbinden.

Grundkenntnisse in Linux. Du solltest dich per SSH verbinden, Konfigurationsdateien bearbeiten und Logdateien lesen können. Wenn du hier noch am Anfang stehst, hilft dir unser vServer-Tutorial beim Einstieg.

Wie sicher ist Vaultwarden?

Wie sicher Vaultwarden ist, hängt von zwei Dingen ab. Das eine ist das Verschlüsselungsmodell der Bitwarden-Clients. Das andere ist, wie sorgfältig du deinen Server betreibst. Beides schauen wir uns hier an.

Verschlüsselung auf deinem Gerät

Bitwarden arbeitet nach dem Zero-Knowledge-Prinzip:

• Die Clients verschlüsseln deine Tresordaten mit AES-256.
• Den Schlüssel leiten sie aus deinem Master-Passwort ab, standardmäßig mit PBKDF2-SHA256 oder alternativ mit Argon2id.
• Entschlüsselt wird nur auf deinem Gerät. Der Master-Schlüssel verlässt es nicht.

Da Vaultwarden mit den offiziellen Clients arbeitet, speichert dein Server die Inhalte deines Tresors nur verschlüsselt.

Diese Verschlüsselung schützt die Tresorinhalte, ersetzt aber keinen gut gesicherten Server. Laut Vaultwarden-Dokumentation kann jemand mit Zugriff auf die Schlüsseldateien deines Servers Sitzungen für den Admin-Bereich fälschen. Damit lassen sich dann Nutzer löschen oder die Zwei-Faktor-Anmeldung entfernen. Deine Passwörter bleiben dabei verschlüsselt. Deshalb ist ein starkes Master-Passwort deine letzte Schutzschicht.

Zugriffsschutz: Registrierung, Admin-Bereich und 2FA

Ab Werk kann sich auf einem Vaultwarden-Server jede Person ein Konto anlegen. Der offizielle Hardening Guide empfiehlt deshalb:

• die offene Registrierung abschalten, sobald alle Konten angelegt sind
• bei Bedarf auch Einladungen einschränken
• den Admin-Bereich nur aktivieren, wenn du ihn brauchst, und mit einem starken Token schützen

Für deine Konten stehen mehrere zweite Faktoren zur Verfügung: Authenticator-Apps, FIDO2/WebAuthn-Sicherheitsschlüssel, YubiKey, Duo und E-Mail. Gegen das Durchprobieren von Passwörtern helfen ein Limit für Login-Versuche und Tools wie Fail2Ban, die verdächtige IP-Adressen sperren. Auf dem Server selbst kommen eine Firewall und SSH-Schlüssel statt Passwörtern dazu. Außerdem sollte der Container ohne Root-Rechte laufen.

Updates: Ohne Pflege keine Sicherheit

Vaultwarden hat keinen festen Release-Plan. Neue Versionen erscheinen, wenn die Maintainer sie für sinnvoll halten. Darum musst du selbst die Releases im GitHub-Projekt im Blick behalten und Sicherheitsupdates zeitnah einspielen. Halte außerdem Betriebssystem, Docker und Reverse Proxy aktuell.

Wie wichtig das ist, zeigt ein Beispiel aus dem Herbst 2024. Bei einem Penetrationstest fand das Sicherheitsunternehmen ERNW drei Schwachstellen in Vaultwarden, darunter eine Umgehung der Authentifizierung. Die Lücken wurden dem Projekt gemeldet. Solche Funde zeigen, dass die Software geprüft wird. Schützen können sie dich aber nur, wenn du die Updates auch installierst.

Backups: Dein Notfallplan

Das Vaultwarden-Team schließt jede Haftung für Datenverlust aus und empfiehlt regelmäßige Backups. Laut Dokumentation gehört in jede Sicherung:

• Pflicht: die Datenbank (bei SQLite die Datei db.sqlite3) und der Ordner mit den Dateianhängen
• Empfohlen: die Datei config.json mit den Einstellungen aus dem Admin-Bereich und die rsa_key-Dateien
• Optional: die Ordner für Send-Anhänge und Website-Icons

Kopiere die Datenbank nicht einfach im laufenden Betrieb. Nutze stattdessen die Backup-Funktion von SQLite oder den eingebauten Befehl vaultwarden backup. Am besten sicherst du automatisiert und mindestens täglich. Lege mindestens eine Kopie außerhalb des Servers ab und verschlüssele sie. Das ist wichtig, weil config.json unter anderem den Admin-Token und deine SMTP-Zugangsdaten im Klartext enthält.

Snapshots der ganzen Maschine reichen laut Dokumentation als einzige Sicherung nicht aus. Und das Wichtigste: Teste die Wiederherstellung regelmäßig. Ein Backup, das sich nicht zurückspielen lässt, hilft dir im Ernstfall nicht.

Audits: Was bisher geprüft wurde

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Vaultwarden 2024 im Projekt CAOS (Codeanalyse von Open-Source-Software) untersucht, und zwar die Version 1.30.3. Dazu kommt der Penetrationstest von ERNW. Weitere Prüfungen wurden laut Projekt im Auftrag von Unternehmen durchgeführt, aber nicht veröffentlicht.

Ein Audit ist immer eine Momentaufnahme einer bestimmten Version. Es sagt nichts darüber aus, ob spätere Versionen oder deine eigene Installation sicher sind.

Self-Hosting heißt Verantwortung

Wenn du Vaultwarden selbst hostest, bist du der Administrator. Das hat einige Folgen:

• Verfügbarkeit liegt bei dir. Fällt dein Server aus, haben die Bitwarden-Clients noch eine verschlüsselte Kopie deines Tresors auf dem Gerät. Offline kannst du sie nur lesen. Neue Einträge oder Änderungen speicherst du erst wieder, wenn der Server erreichbar ist. Offline-Sitzungen laufen nach 30 Tagen ab, in den Mobil-Apps nach 90 Tagen.
• Kein Hersteller-Support. Hilfe bekommst du in der Community, also in GitHub Discussions, im Vaultwarden-Forum oder im Matrix-Chat. Eine Hotline mit Reaktionszeiten gibt es nicht.
• Neue Funktionen kommen eventuell später. Vaultwarden orientiert sich an den offiziellen Clients, entwickelt sie aber nicht selbst. Neue Bitwarden-Funktionen stehen deshalb nicht immer sofort zur Verfügung.
• Ganz ohne Bitwarden geht es nicht immer. Push-Benachrichtigungen auf dem Smartphone nutzen den Push-Dienst von Bitwarden. Dafür brauchst du eine Installations-ID, die du bei Bitwarden anforderst. Ohne diesen Dienst synchronisiert die App trotzdem, nur nicht sofort per Push.
• Datenverlust trägst du selbst. Ohne funktionierendes Backup ist ein verlorener Tresor im schlimmsten Fall weg. Als zusätzliche Absicherung kannst du deinen Tresor regelmäßig über die Export-Funktion der Bitwarden-Clients sichern und diese Datei sicher verwahren.

Für wen eignet sich Vaultwarden – und wann ist ein klassischer Passwortmanager besser?

Vaultwarden passt zu dir, wenn …

… du gerne selbst die Kontrolle über deine Infrastruktur hast und dich mit Linux, Docker und Netzwerken wohlfühlst. Typische Nutzer sind:

• Entwickler und Admins
• Homelab-Fans
• Familien mit einer technisch versierten Person, die sich um den Server kümmert
• Selbstständige und kleine Teams, die schon einen eigenen Server betreiben

Für diese Gruppen ist Vaultwarden eine schlanke und kostengünstige Lösung, mit der sie die vertrauten Bitwarden-Apps weiter nutzen können.

Ein klassischer Passwortmanager ist die bessere Wahl, wenn …

… du keine Zeit oder Lust hast, Updates, Backups und Server-Sicherheit dauerhaft im Blick zu behalten. Das gilt auch für Unternehmen, die einen Hersteller-Support, vertraglich geregelte Verfügbarkeit oder klare Ansprechpartner für Audits brauchen. Dort ist ein gehosteter Dienst wie Bitwarden Cloud oder die offizielle Standard-Installation von Bitwarden sinnvoller.

Faustregel: Wenn ein Ausfall deines Passwortmanagers dein Geschäft stoppt und niemand im Team den Server betreuen kann, ist Selbsthosten das falsche Modell.

Vaultwarden auf einem VPS betreiben

Wenn du dich für Vaultwarden entschieden hast, ist ein VPS eine solide Grundlage. Er läuft rund um die Uhr, ist von überall erreichbar und gehört dir allein. Unsere Linux-VPS bieten dafür:

• Root-Zugriff per SSH
• Docker-Unterstützung
• Rechenzentren in Deutschland mit ISO-27001-Zertifizierung
• IP-Zugriffsregeln, mit denen du im Control Panel festlegst, wer deinen Server erreichen darf

Schon der kleinste VPS-Tarif bietet genug Leistung für Vaultwarden und lässt Platz für weitere Dienste. Unser optionaler Backup Service sichert deinen Server täglich. Er ergänzt die Vaultwarden-eigene Datenbanksicherung, ersetzt sie aber nicht.

Für die Sicherheit deines Servers bist du bei einem unmanaged VPS selbst verantwortlich. Wenn dir jemand die Server-Wartung abnehmen soll, schau dir unseren Managed vServer an.

Fazit

Mit Vaultwarden betreibst du deinen eigenen Passwortmanager und nutzt dabei die vertrauten Bitwarden-Apps. Die Software ist schlank, kostenlos und bringt Funktionen für Familien und kleine Teams mit. Als inoffizielles Community-Projekt bedeutet sie aber auch Verantwortung: Updates, Backups und Server-Sicherheit liegen bei dir.

Wenn du diese Aufgaben übernehmen kannst und willst, bekommst du mit Vaultwarden auf einem VPS viel Kontrolle für wenig Geld. Wenn nicht, ist ein gehosteter Passwortmanager die entspanntere Wahl.