Passwort-ManagerSelf-HostingDocker

Vaultwarden: Bitwarden-Server selbst hosten für maximale Passwort-Privatsphäre

8 Min. Lesezeit

Wer seine Passwörter wirklich sicher aufbewahren möchte, sollte die Kontrolle über die zugrundeliegende Infrastruktur behalten. Vaultwarden macht genau das möglich: Es handelt sich um einen inoffiziellen, aber vollständig kompatiblen Bitwarden-Server, der in Rust geschrieben wurde und sich mit minimalem Ressourcenaufwand auf nahezu jeder Hardware betreiben lässt. Das Ergebnis ist ein vollwertiger Passwort-Manager unter eigener Kontrolle – ohne monatliche Gebühren und ohne fremde Server.

Was ist Vaultwarden?

Vaultwarden (früher unter dem Namen bitwarden_rs bekannt) ist eine Community-implementierung der Bitwarden-Server-API. Das Projekt wird von Daniel García als Open-Source-Software unter der AGPL-3.0-Lizenz entwickelt und ist nicht mit Bitwarden, Inc. offiziell assoziiert. Der entscheidende Vorteil: Da der Server in Rust geschrieben ist, benötigt er statt mehrerer Gigabyte RAM (wie der offizielle .NET-basierte Server) gerade einmal rund 10 bis 20 Megabyte im Betrieb. Das macht Vaultwarden ideal für kleine VPS-Instanzen, einen Raspberry Pi oder das heimische NAS.

Alle offiziellen Bitwarden-Clients – für Windows, macOS, Linux, Android, iOS sowie die Browser-Erweiterungen für Chrome, Firefox und Edge – funktionieren nahtlos mit Vaultwarden. Der Endnutzer merkt keinen Unterschied; lediglich die Server-URL in den Client-Einstellungen muss auf die eigene Instanz zeigen.

Warum selbst hosten?

Der wichtigste Grund ist Datenschutz. Passwörter sind hochsensible Daten. Zwar verschlüsselt Bitwarden alle Einträge lokal mit dem Master-Passwort, bevor sie den Server erreichen – doch wer vollständige Transparenz und Kontrolle wünscht, betreibt den Server selbst. Hinzu kommt der wirtschaftliche Aspekt: Vaultwarden schaltet sämtliche Premium-Features frei, die bei Bitwarden Cloud einen Jahresbeitrag kosten würden, darunter TOTP-Generator, Dateianhänge, Notfall-Zugang und Organisationen mit unbegrenzt vielen Nutzern.

Einrichtung mit Docker

Die Installation via Docker ist in wenigen Minuten erledigt. Ein einzelner Container genügt:

docker run -d \
  --name vaultwarden \
  -v /vw-data/:/data/ \
  -p 8080:80 \
  --restart unless-stopped \
  vaultwarden/server:latest

Alternativ eignet sich eine docker-compose.yml für eine übersichtlichere Konfiguration. Das Datenverzeichnis /vw-data/ enthält die SQLite-Datenbank sowie alle hochgeladenen Anhänge – dieser Pfad sollte regelmäßig gesichert werden.

Tipp: Für Produktionsumgebungen empfiehlt sich die Verwendung von PostgreSQL oder MySQL statt SQLite. Die Datenbank wird über die Umgebungsvariable DATABASE_URL konfiguriert und bietet bessere Skalierbarkeit bei vielen Nutzern und gleichzeitigen Zugriffen.

HTTPS ist Pflicht

Die Bitwarden-Clients verlangen zwingend eine HTTPS-Verbindung. Wer Vaultwarden im Heimnetzwerk betreibt, kann Caddy als Reverse-Proxy einsetzen, der automatisch Let's-Encrypt-Zertifikate bezieht und erneuert. Alternativ funktionieren nginx oder Traefik. Für Installationen ohne öffentlich erreichbare Domain bieten selbstsignierte Zertifikate oder interne Zertifizierungsstellen (z. B. mit step-ca) eine Lösung.

Achtung: Vaultwarden sollte niemals ohne HTTPS im Internet erreichbar sein. Ohne TLS-Verschlüsselung werden Anmeldedaten im Klartext übertragen. Zusätzlich empfiehlt es sich, die Registrierung neuer Nutzer nach der Einrichtung über SIGNUPS_ALLOWED=false zu deaktivieren.

Backup-Strategie

Eine Sicherungsstrategie ist essenziell. Da alle Daten in der SQLite-Datei unter /data/db.sqlite3 liegen, reicht ein tägliches Backup dieses Verzeichnisses. Bewährt hat sich ein automatisiertes Skript, das die Datenbank via sqlite3 .backup sichert und die Kopie verschlüsselt auf einem externen Speicher oder einem Cloud-Dienst ablegt. Die 3-2-1-Regel (drei Kopien, zwei verschiedene Medien, eine offsite) gilt auch hier.

Vergleich: Passwort-Manager im Überblick

Lösung Self-Hosting RAM-Bedarf Kosten Client-Kompatibilität
Vaultwarden Ja (Pflicht) ~10–20 MB Kostenlos Alle Bitwarden-Clients
Bitwarden Server (offiziell) Ja ~1–2 GB Kostenlos (CE) Alle Bitwarden-Clients
Bitwarden Cloud Nein — Gratis / $10 p.a. (Premium) Alle Bitwarden-Clients
KeePass / KeePassXC Dateisystem <50 MB Kostenlos KeePass-Clients (kein Sync)

Fazit

Vaultwarden ist die überlegene Wahl für alle, die die Vorteile von Bitwarden mit vollständiger Datenkontrolle verbinden möchten. Der minimale Ressourcenverbrauch, die vollständige Kompatibilität mit allen offiziellen Clients und das Freischalten sämtlicher Premium-Features ohne zusätzliche Kosten machen es zur idealen Self-Hosting-Lösung. Die einzige Voraussetzung ist ein Grundverständnis von Docker und ein zuverlässiges Backup-System.

Häufig gestellte Fragen

Ist Vaultwarden legal und sicher?
Vaultwarden implementiert die öffentliche Bitwarden-API und verstößt gegen keine Lizenzbedingungen. Der Code ist Open Source und wurde von der Community geprüft. Die Verschlüsselung erfolgt clientseitig – der Server sieht niemals unverschlüsselte Passwörter.
Welche Hardware wird mindestens benötigt?
Ein Raspberry Pi 3 oder 4 reicht vollkommen aus. Auch ein günstiger VPS mit 512 MB RAM genügt für eine Familie oder eine kleine Gruppe. Vaultwarden läuft selbst auf einem Raspberry Pi Zero 2 W problemlos.
Kann ich von Bitwarden Cloud zu Vaultwarden migrieren?
Ja. Bitwarden bietet eine Exportfunktion (JSON oder CSV), die direkt in eine neue Vaultwarden-Instanz importiert werden kann. TOTP-Einträge und Anhänge müssen ggf. manuell übertragen werden.
Was passiert, wenn der Server nicht erreichbar ist?
Die Bitwarden-Apps speichern einen verschlüsselten Cache lokal. Gespeicherte Passwörter sind auch offline lesbar. Neue Einträge können erst synchronisiert werden, wenn der Server wieder verfügbar ist.

Weitere Informationen finden sich in der offiziellen Vaultwarden-Dokumentation auf GitHub.