Vaultwarden: Passwörter selbst hosten – Kontrolle mit Verantwortung

Was ist Vaultwarden?

Vaultwarden ist ein Community-Projekt, das die Server-API von Bitwarden nachbildet. Ursprünglich hiess es bitwarden_rs. Umbenannt wurde es, um Verwechslungen mit dem offiziellen Server und markenrechtliche Konflikte zu vermeiden. Für die Einordnung ist wichtig: Vaultwarden ist eine inoffizielle Implementierung und nicht mit der Bitwarden Inc. verbunden. Einer der aktiven Maintainer arbeitet zwar bei Bitwarden, trägt aber in seiner Freizeit und unabhängig vom Arbeitgeber zum Projekt bei. Seine Beiträge prüfen die übrigen Maintainer.

Funktionsweise: Der Server verwaltet, die Clients verschlüsseln

Bitwarden trennt konsequent zwischen Client und Server. Ver- und entschlüsselt werden die Tresordaten in den Clients, also in Browsererweiterung, Desktop-App, Mobile-App oder Web-Vault. Der Server übernimmt Anmeldung, Synchronisation, Organisationen und Freigaben. Die Tresorinhalte speichert er nur in verschlüsselter Form.

Vaultwarden ersetzt genau diesen Server, nicht die Clients. Deshalb funktionieren die offiziellen Bitwarden-Apps auch mit einer Vaultwarden-Instanz: In den Einstellungen hinterlegen Sie lediglich die URL Ihres eigenen Servers. Das Web-Vault liefert das Projekt in einer angepassten Fassung direkt im Container mit.

Laut Projektdokumentation ist die Bitwarden-Client-API nahezu vollständig umgesetzt, unter anderem:

• persönlicher Tresor, Send und Dateianhänge
• Organisationen mit Sammlungen, Gruppen, Rollen, Richtlinien und Ereignisprotokollen
• Zwei-Faktor-Authentifizierung per Authenticator-App, E-Mail, FIDO2/WebAuthn, YubiKey und Duo
• Notfallzugriff
• ein eigenes Admin-Backend zur Verwaltung der Instanz

Open Source unter AGPL-3.0

Vaultwarden steht unter der Lizenz AGPL-3.0, der Quellcode liegt öffentlich auf GitHub. Empfohlen wird der Betrieb über die offiziellen Container-Images, etwa mit Docker oder Podman. Als Datenbank dient standardmässig SQLite. Alternativ lassen sich MySQL/MariaDB oder PostgreSQL anbinden. Da Vaultwarden mit wenig Ressourcen auskommt, passt es gut zu kleinen virtuellen Servern.

Vaultwarden und der offizielle Bitwarden-Server im Vergleich

Auch Bitwarden selbst lässt sich selbst hosten. Neben der klassischen Standard-Installation gibt es seit Dezember 2025 die schlankere Variante Bitwarden Lite (vormals Bitwarden Unified). Bitwarden empfiehlt Lite ausdrücklich nur für den privaten Gebrauch und Homelabs. Unternehmen sollen die Standard-Installation verwenden.

Wer Vaultwarden betreibt, wendet sich bei Fehlern direkt an das Vaultwarden-Projekt. Der Bitwarden-Support ist dafür nicht zuständig, auch wenn Sie die offiziellen Apps nutzen.

Warum einen Passwortmanager selbst hosten?

Kontrolle über Infrastruktur und Datenstandort

Beim Self-Hosting entscheiden Sie selbst, wo der Server steht, wer administrativen Zugriff hat und wie er erreichbar ist. Sie können den Passwortmanager zum Beispiel in einem Schweizer Rechenzentrum betreiben oder ihn ganz aus dem öffentlichen Internet nehmen und nur über VPN zugänglich machen. Für Organisationen mit klaren Vorgaben zum Datenstandort ist das ein gewichtiges Argument.

Flexibilität bei Betrieb und Integration

Ein eigener Passwortmanager lässt sich in die bestehende Infrastruktur einfügen: eigene Datenbank, eigener Reverse Proxy, Anbindung an vorhandenes Monitoring und Backup. Vaultwarden unterstützt ausserdem Single Sign-on über OpenID Connect und die Synchronisation von Benutzern aus LDAP. Funktionen, die Bitwarden teilweise kostenpflichtigen Plänen vorbehält, stehen ohne Lizenzschlüssel zur Verfügung.

Passwortmanager und Datenschutz: realistisch einordnen

Self-Hosting ist nicht automatisch datenschutzfreundlicher. Bei Bitwarden gilt das Zero-Knowledge-Prinzip schon in der Cloud-Variante: Der Anbieter kann die Tresorinhalte nicht lesen. Der Datenschutzvorteil eines eigenen Servers betrifft daher vor allem Metadaten wie E-Mail-Adressen, Geräte, IP-Adressen, Zugriffszeiten und Organisationsstrukturen. Hinzu kommt die Frage, welcher Rechtsordnung die Infrastruktur unterliegt.

Ein wichtiger Punkt dabei: Mit dem Self-Hosting werden Sie selbst zum Betreiber. Nach dem revidierten Datenschutzgesetz (revDSG) müssen Sie dann mit angemessenen technischen und organisatorischen Massnahmen für die Datensicherheit sorgen. Ein schlecht gewarteter eigener Server kann deshalb ein höheres Risiko bedeuten als ein professionell betriebener Cloud-Dienst. Ausserdem führt nicht jede Komfortfunktion vollständig auf die eigene Infrastruktur zurück. Push-Benachrichtigungen an mobile Clients laufen bei Vaultwarden zum Beispiel optional über den Push-Dienst von Bitwarden.

Wie sicher ist Vaultwarden?

Ende-zu-Ende-Verschlüsselung nach dem Zero-Knowledge-Prinzip

Da Vaultwarden mit den offiziellen Clients arbeitet, greift das kryptografische Modell von Bitwarden. Die Tresordaten werden mit AES-256 verschlüsselt. Den Schlüssel leiten die Clients aus dem Master-Passwort ab, entweder mit PBKDF2-SHA256 (standardmässig 600'000 Iterationen) oder mit Argon2id. Das Master-Passwort und der daraus abgeleitete Master-Schlüssel verlassen das Gerät nicht. Auch wer den Server kompromittiert, erhält also zunächst nur verschlüsselte Daten.

Diese Schutzwirkung steht und fällt jedoch mit der Stärke der Master-Passwörter. Ein schwaches Master-Passwort macht abgegriffene verschlüsselte Daten anfällig für Offline-Angriffe.

Zugriffsschutz: Zwei-Faktor-Authentifizierung und Administration

Vaultwarden unterstützt alle gängigen zweiten Faktoren, auch phishing-resistente FIDO2/WebAuthn-Schlüssel. Ebenso wichtig sind die Voreinstellungen des Servers:

• Registrierung: Standardmässig darf sich jede anonyme Person auf der Instanz registrieren. Nach dem Anlegen der eigenen Konten sollten Sie das deaktivieren.
• Passwort-Hinweise: Für kleine Installationen ohne E-Mail-Versand zeigt Vaultwarden Passwort-Hinweise auf der Anmeldeseite an. Angreifer können das beim Erraten von Passwörtern ausnutzen.
• Admin-Backend: Das Admin-Backend bietet weitreichende Rechte. Es sollte deaktiviert oder mit einem starken, abgesicherten Token geschützt sein.

Bekannte Schwachstellen und Audits

Offener Quellcode erlaubt unabhängige Prüfungen, und Vaultwarden wurde mehrfach geprüft. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) liess die Version 1.30.3 im Projekt CAOS 3.0 analysieren. Dabei wurden mehrere Schwachstellen gefunden, zwei davon mit «hoch» bewertet. Die Entwickler haben sie in den Folgeversionen behoben. Im Januar 2025 wurden zwei weitere schwerwiegende Lücken bekannt: eine, über die angemeldete Administratoren Code auf dem Server ausführen konnten, und eine, die Besitzerrechte in fremden Organisationen ermöglichte. Beide sind seit Version 1.33.0 behoben.

Die Lehre daraus: Vaultwarden ist kein unsicheres Produkt, aber auch keine fehlerfreie Software. Gefundene Lücken werden geschlossen. Schützen kann Sie das aber nur, wenn Sie Updates zeitnah einspielen. Daran zeigt sich die eigentliche Verantwortung beim Self-Hosting.

Welche Verantwortung bringt Self-Hosting mit sich?

Mit einer eigenen Vaultwarden-Instanz betreiben Sie ein kritisches System. Wird es kompromittiert oder gehen Daten verloren, sind alle hinterlegten Zugänge gleichzeitig betroffen. Das Projekt schliesst eine Haftung für Datenverluste ausdrücklich aus und empfiehlt regelmässige Backups.

Sicherheitsupdates zeitnah einspielen

Verfolgen Sie die Releases und Sicherheitshinweise des Projekts und aktualisieren Sie das Container-Image regelmässig. Dazu gehören auch Betriebssystem, Container-Laufzeit und Reverse Proxy. Da Bitwarden seine Clients unabhängig weiterentwickelt, sollten Sie nach grösseren Client-Updates prüfen, ob alles wie gewohnt funktioniert.

HTTPS ist Pflicht, nicht Option

Das Web-Vault braucht HTTPS, weil die Browser-Kryptografie nur in einem sicheren Kontext läuft. Die Projektdokumentation empfiehlt dafür einen vorgeschalteten Reverse Proxy. Die integrierte TLS-Unterstützung gilt nicht als produktionsreif. Zu einer sauberen Konfiguration gehören:

• eine eigene (Sub-)Domain mit gültigem Zertifikat
• Strict SNI, damit die Instanz nicht über die blosse IP-Adresse erreichbar und bei Scans leichter zu finden ist
• Proxy-Logs, in denen Zugriffstoken unkenntlich gemacht werden

Zugriffsbeschränkungen konsequent umsetzen

Dazu gehören: offene Registrierung deaktivieren, Einladungen kontrollieren, Admin-Backend absichern und Passwort-Hinweise ausblenden. Gegen Brute-Force-Angriffe hilft zum Beispiel Fail2ban, das IP-Adressen nach wiederholten Fehlversuchen sperrt. Den Container betreiben Sie idealerweise ohne Root-Rechte und binden nur die Verzeichnisse ein, die Vaultwarden tatsächlich benötigt. Den besten Schutz bietet eine Instanz, die nur über VPN oder ausgewählte IP-Adressen erreichbar ist.

Backups – und regelmässige Restore-Tests

Ein Backup ist nur so gut wie die letzte erfolgreiche Wiederherstellung. Laut Projektdokumentation gehören dazu:

• zwingend: die Datenbank (bei SQLite die Datei db.sqlite3, bei MySQL/PostgreSQL ein Dump) und das Verzeichnis mit den Dateianhängen
• empfohlen: die Konfigurationsdatei config.json und die RSA-Schlüssel zur Token-Signierung
• optional: Send-Anhänge und der Icon-Cache

Damit die SQLite-Datenbank während des Betriebs konsistent gesichert wird, sollten Sie die Backup-Funktion von SQLite oder den integrierten Backup-Befehl von Vaultwarden verwenden. Das Projekt rät zu einer automatisierten Sicherung, mindestens täglich und mit mindestens einer Kopie an einem anderen Standort. Weil config.json sensible Zugangsdaten wie das Admin-Token und SMTP-Zugangsdaten im Klartext enthalten kann, sollten Sie die Backups zusätzlich verschlüsseln. Auf Dateisystem- oder VM-Snapshots allein sollten Sie sich nicht verlassen.

Laufende Wartung und Monitoring

Für wen eignet sich Vaultwarden?

Voraussetzungen

Für den sicheren Betrieb brauchen Sie solide Kenntnisse in Linux-Administration, Docker oder Podman, Reverse-Proxy- und TLS-Konfiguration, DNS sowie Backup-Strategien. Ebenso wichtig ist die Zeit für die laufende Pflege. Ein Passwortmanager, der einmal aufgesetzt und dann vergessen wird, ist ein Sicherheitsrisiko.

Gut geeignet für

• technisch versierte Privatpersonen und Familien, die ihre Infrastruktur selbst kontrollieren möchten
• Homelab-Betreiber mit bestehender Server- und Backup-Umgebung
• Selbstständige und kleine Teams mit eigener IT-Kompetenz oder einem verlässlichen IT-Partner

Grenzen der Lösung

• Kein Herstellersupport: Es gibt keinen vertraglich zugesicherten Support und kein SLA. Hilfe kommt aus der Community.
• Nachweispflichten: Unternehmen, die gegenüber Kunden oder Prüfern Zertifizierungen und Audits nachweisen müssen, stossen mit einem Community-Projekt schneller an Grenzen.
• Abhängigkeit von Einzelpersonen: Betreut nur eine Person die Instanz, fehlt bei Ausfall oder Wechsel das Wissen.
• Kein Wiederherstellungsweg: Ein vergessenes Master-Passwort lässt sich wegen der Ende-zu-Ende-Verschlüsselung nicht zurücksetzen. Organisationen sollten Notfallzugriff und Wiederherstellungsprozesse daher früh planen.

Für Unternehmen, die selbst hosten, aber nicht auf Herstellersupport verzichten wollen, kommt der offizielle Bitwarden-Server in Frage. Im Enterprise-Plan ist das Self-Hosting ohne Aufpreis enthalten.

Self-Hosting oder klassischer Passwortmanager?

Die Entscheidung ist letztlich eine Abwägung zwischen Kontrolle und Eigenverantwortung.

Drei Fragen helfen bei der Entscheidung:

1. Wer betreibt den Server dauerhaft? Gibt es eine verantwortliche Person mit Vertretung, die Updates und Backups zuverlässig erledigt?
2. Was ist Ihnen wichtiger: Kontrolle oder Komfort? Ist der Datenstandort oder die Unabhängigkeit vom Anbieter ein hartes Kriterium, spricht das für Self-Hosting. Steht ein wartungsarmer Betrieb im Vordergrund, eher für einen gehosteten Dienst.
3. Brauchen Sie vertraglichen Support oder Audit-Nachweise? Dann ist ein offizielles, lizenziertes Produkt meist die bessere Wahl.

Vaultwarden auf Schweizer Infrastruktur betreiben

Wer selbst hosten möchte, braucht eine verlässliche Basis. METANET betreibt seine Infrastruktur in Schweizer Rechenzentren, Betrieb, Support und Datenhaltung bleiben vollständig in der Schweiz. Für den Betrieb von Vaultwarden eignen sich insbesondere:

• VPS / Cloud Server: Virtuelle Server auf KVM-Basis mit Root-Zugriff. Damit haben Sie die volle Kontrolle über Docker, Reverse Proxy, Firewall und Backup-Skripte, ideal für eine schlanke Vaultwarden-Instanz.
• Managed Cloud Server: Hier übernimmt METANET Betriebsaufgaben wie Monitoring, Updates und Backups. So reduzieren Sie den Wartungsaufwand, ohne auf eine eigene Serverumgebung zu verzichten.
• Virtual Data Center: Für Unternehmen, die den Passwortmanager in eine segmentierte, interne Infrastruktur einbinden und zum Beispiel nur per VPN freigeben möchten.
• Domains: Eine eigene (Sub-)Domain wie vault.ihrefirma.ch ist die Grundlage für ein gültiges TLS-Zertifikat und eine saubere SNI-Konfiguration.
• E-Mail-Adressen: Ein eigenes Postfach als SMTP-Absender stellt Einladungen, Bestätigungen und E-Mail-basierte Zwei-Faktor-Codes zuverlässig zu.

Bei Fragen zur passenden Umgebung berät Sie der METANET-Support fachkundig und auf Augenhöhe.

Fazit

Vaultwarden ist eine leistungsfähige, ressourcenschonende Möglichkeit, Bitwarden selbst zu hosten und die eigene Passwortverwaltung unabhängig von Cloud-Anbietern zu betreiben. Das kryptografische Modell der Bitwarden-Clients bietet eine starke Grundlage. Wie sicher die Lösung im Alltag ist, entscheidet aber der Betrieb: konsequente Updates, sauber konfiguriertes HTTPS, restriktive Zugriffe und getestete Backups. Wer diese Verantwortung dauerhaft tragen kann, gewinnt mit Vaultwarden echte Kontrolle. Wer sie nicht tragen möchte, ist mit einem professionell betriebenen Passwortmanager besser beraten.