Vaultwarden installieren: Bitwarden selbst hosten 2026

1Password kostet 36$/Jahr. Bitwarden Premium 10$/Jahr. Was, wenn du alle Premium-Features bekommst - für 0€ laufende Kosten?

Die Rechnung: Ein VPS (Virtual Private Server - dein eigener Server in der Cloud) kostet ab 4€/Monat. Vaultwarden braucht nur ~100 MB RAM - der kleinste Server reicht völlig. Die Einmal-Einrichtung dauert 10 Minuten, danach hast du: Alle Bitwarden Premium-Features, volle Datenkontrolle, und deine Passwörter auf deinem Server statt bei US-Unternehmen.

Voraussetzungen

Du brauchst:

• Einen VPS – der kleinste Plan reicht völlig, ab 4€/Monat. Günstige Server unter 10€ findest du hier →
• Eine Domain oder Subdomain (für HTTPS)
• SSH-Zugang zum Server
• Docker & Docker Compose installiert

VPS-Empfehlung: Vaultwarden braucht nur ~100 MB RAM. Der kleinste VPS reicht völlig!

Hetzner bietet die schnellsten SSDs, Netcup das beste Preis-Leistungs-Verhältnis, IONOS den günstigsten Einstieg.

Schritt 1: Docker Compose Datei erstellen

Erstelle einen Ordner und die docker-compose.yml:

mkdir -p ~/vaultwarden && cd ~/vaultwarden

docker-compose.yml:

version: '3'

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: always
    volumes:
      - ./data:/data
    environment:
      - DOMAIN=https://vault.deinedomain.de
      - SIGNUPS_ALLOWED=true  # Nach erstem Account auf false setzen!
      - ADMIN_TOKEN=${ADMIN_TOKEN}
    ports:
      - 8080:80

.env Datei erstellen:

# Generiere sicheres Admin-Token
echo "ADMIN_TOKEN=$(openssl rand -base64 48)" > .env
cat .env  # Token notieren!

Wichtig: Ersetze vault.deinedomain.de mit deiner echten Domain!

Schritt 2: Vaultwarden starten

Container starten:

docker compose up -d

Status prüfen:

docker compose logs -f
# Sollte zeigen: 'Rocket has launched from http://0.0.0.0:80'

Vaultwarden läuft jetzt auf Port 8080. Aber: Ohne HTTPS funktionieren die Apps nicht richtig - also weiter zum nächsten Schritt!

Schritt 3: HTTPS mit Caddy einrichten

Caddy ist der einfachste Weg für automatisches HTTPS. Erweitere deine docker-compose.yml:

version: '3'

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: always
    volumes:
      - ./data:/data
    environment:
      - DOMAIN=https://vault.deinedomain.de
      - SIGNUPS_ALLOWED=true
      - ADMIN_TOKEN=${ADMIN_TOKEN}
    # Ports entfernt - Caddy übernimmt

  caddy:
    image: caddy:latest
    container_name: caddy
    restart: always
    ports:
      - 80:80
      - 443:443
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile
      - caddy_data:/data
    depends_on:
      - vaultwarden

volumes:
  caddy_data:

Caddyfile erstellen:

vault.deinedomain.de {
    reverse_proxy vaultwarden:80
}

Neu starten:

docker compose down
docker compose up -d

Tipp: Caddy holt automatisch ein SSL-Zertifikat. Stelle sicher, dass deine Domain per DNS auf den Server zeigt und Port 80/443 offen sind.

Schritt 4: Ersten Account erstellen

Öffne https://vault.deinedomain.de im Browser:

1. Klicke 'Create Account'
2. Wähle eine E-Mail und ein starkes Master-Passwort
3. Erstelle den Account

WICHTIG: Nach dem ersten Account die Registrierung deaktivieren!

Schritt 5: Registrierung deaktivieren

Damit sich niemand anders registrieren kann:

In docker-compose.yml ändern:

- SIGNUPS_ALLOWED=false

Container neu starten:

docker compose up -d

Tipp: Falls du später weitere User hinzufügen willst: Nutze die Admin-Oberfläche unter /admin (Passwort ist dein ADMIN_TOKEN).

Schritt 6: Apps konfigurieren

Jetzt verbindest du die offiziellen Bitwarden-Apps mit deinem Server:

Browser Extension

1. Installiere 'Bitwarden' aus dem Browser Store
2. Klicke auf das Zahnrad (vor dem Login!)
3. Unter 'Server URL' eingeben: https://vault.deinedomain.de
4. Speichern und einloggen

Mobile App

1. Installiere 'Bitwarden' aus App Store/Play Store
2. Tippe auf 'Self-hosted' bei der Region-Auswahl
3. Server URL: https://vault.deinedomain.de
4. Einloggen

Desktop App

1. Lade die App von bitwarden.com/download
2. Menü → Datei → Einstellungen → Server URL
3. Einloggen

Schritt 7: Admin-Panel erkunden

Vaultwarden hat ein Admin-Panel unter /admin:

https://vault.deinedomain.de/admin
→ Passwort = dein ADMIN_TOKEN aus der .env

Admin-Features:

• Neue User einladen (auch bei deaktivierter Registrierung)
• User-Übersicht und Management
• Server-Statistiken
• Backup-Optionen
• Konfigurations-Übersicht

Warnung: Admin-Panel nur aus vertrauenswürdigen Netzwerken nutzen oder zusätzlich absichern (IP-Whitelist, VPN).

Schritt 8: Backup einrichten

Kritisch! Richte automatische Backups ein:

Backup-Script erstellen:

#!/bin/bash
# backup-vaultwarden.sh

BACKUP_DIR="/backup/vaultwarden"
DATE=$(date +%Y%m%d_%H%M%S)

mkdir -p $BACKUP_DIR
tar -czf $BACKUP_DIR/vaultwarden-$DATE.tar.gz ~/vaultwarden/data

# Alte Backups löschen (behalte 30 Tage)
find $BACKUP_DIR -type f -mtime +30 -delete

echo "Backup completed: vaultwarden-$DATE.tar.gz"

Cronjob einrichten (täglich 3 Uhr):

chmod +x backup-vaultwarden.sh
crontab -e
# Zeile hinzufügen:
0 3 * * * /root/backup-vaultwarden.sh

Tipp: Übertrage Backups zusätzlich auf externen Storage (Hetzner Storage Box, rsync zu anderem Server, etc.).

Schritt 9: 2FA für Admin aktivieren

Schütze deinen Admin-Account mit TOTP:

1. Im Web Vault einloggen
2. Einstellungen → Sicherheit → Zwei-Faktor-Authentifizierung
3. Authenticator App einrichten (TOTP)
4. Recovery Codes sicher aufbewahren!

Highlight: Mit Vaultwarden kannst du auch TOTP-Codes für andere Dienste direkt im Passwort-Manager speichern - ein Premium-Feature!

Von anderen Passwort-Managern migrieren

So importierst du bestehende Passwörter:

Vaultwarden vs. kommerzielle Passwort-Manager

Vaultwarden ist eine ressourcenschonende Reimplementierung des Bitwarden-Servers und kompatibel mit allen offiziellen Bitwarden-Apps. Der entscheidende Unterschied: Du hostest selbst und bekommst die Premium-Features ohne Abo.

Wer keinen Server betreiben will, ist mit dem günstigen Bitwarden-Abo gut bedient. Wer ohnehin einen VPS hat und volle Kontrolle über seine sensibelsten Daten will, fährt mit Vaultwarden besser.

Sicherheit härten

Ein Passwort-Manager ist das lohnendste Angriffsziel überhaupt – hier liegen alle deine Zugänge. Über die Basis-Einrichtung hinaus solltest du:

• Argon2 als KDF nutzen: In den Bitwarden-App-Einstellungen kannst du die Schlüsselableitung von PBKDF2 auf Argon2id umstellen. Das erschwert Brute-Force-Angriffe auf dein Master-Passwort erheblich.
• Registrierung geschlossen halten: Nach dem Anlegen deiner Accounts bleibt SIGNUPS_ALLOWED=false gesetzt.
• Admin-Token absichern: Setze einen langen, zufälligen ADMIN_TOKEN (am besten als Argon2-Hash) und rufe das Admin-Panel nur über HTTPS auf.
• Fail2Ban einrichten: Vaultwarden schreibt fehlgeschlagene Logins in ein Log, das Fail2Ban auswerten kann, um Angreifer-IPs zu sperren.
• Verschlüsselte Backups: Die SQLite-Datenbank und der attachments-Ordner gehören gesichert – idealerweise verschlüsselt an einen zweiten Standort.

Organisationen & geteilte Tresore

Vaultwarden unterstützt Organisationen – ideal für Familien oder kleine Teams. Statt Passwörter per Hand weiterzugeben, legst du eine Organisation an und teilst einzelne Sammlungen („Collections") gezielt mit bestimmten Personen.

So gibst du zum Beispiel deiner Partnerin Zugriff auf die Sammlung „Haushalt" (Streaming, Online-Shops, Versorger), während die Sammlung „Arbeit" privat bleibt. Jede Person hat ihr eigenes Master-Passwort und ihren eigenen Login. Scheidet jemand aus, entziehst du den Zugriff mit einem Klick, ohne alle Passwörter ändern zu müssen.

Im kostenlosen Vaultwarden sind die Organisations-Features, die bei Bitwarden Teil kostenpflichtiger Pläne sind, vollständig enthalten – inklusive Collections, Benutzerrollen und Emergency Access für den Notfall.

Fazit

Du hast jetzt einen vollständigen Passwort-Manager mit allen Premium-Features - komplett selbst gehostet, DSGVO-konform, und ohne laufende Kosten.

Kosten im Vergleich: 1Password kostet 36$/Jahr, Bitwarden Premium 10$/Jahr. Ein VPS für Vaultwarden kostet ~48€/Jahr - aber du kannst darauf noch Immich für Fotos, Paperless für Dokumente oder dein eigenes VPN laufen lassen.

Weitere Self-Hosting Guides

n8n Self-Hosting Guide

Docker Setup Schritt für Schritt

Lesen

Ollama auf VPS installieren

Lokale KI mit Open WebUI

Lesen

WireGuard VPN Setup

Eigenes VPN mit wg-easy

Lesen