Warum Vaultwarden selbst hosten?
Vaultwarden ist eine schlanke, inoffizielle Server-Implementierung der Bitwarden-API in Rust. Sie ist kompatibel mit den offiziellen Bitwarden-Clients – Browser-Erweiterungen, Desktop- und Mobile-Apps – und braucht deutlich weniger Ressourcen als der offizielle Bitwarden-Server.
Mit einem eigenen Server bestimmst du selbst, wo dein Passwort-Tresor liegt, wer Konten anlegen darf und wie gesichert wird. Dafür übernimmst du Updates, Härtung und Backups.
| Gehosteter Passwort-Dienst | Vaultwarden Self-Hosted | |
|---|---|---|
| Speicherort des Tresors | Beim Anbieter | Auf deinem Server |
| Clients | Apps des Anbieters | Offizielle Bitwarden-Clients |
| Konten und Organisationen | Je nach Tarif | Legst du selbst an |
| Betrieb, Updates, Backups | Übernimmt der Anbieter | Übernimmst du |
Vaultwarden ist Open Source ohne Lizenzgebühr und unterstützt unter anderem TOTP, Dateianhänge und Notfallzugriff. Kosten entstehen für den Server.
VPS-Anforderungen: Minimal
Vaultwarden ist sehr leichtgewichtig – ein kleiner VPS reicht:
| Komponente | Minimum | Empfohlen |
|---|---|---|
| RAM | 256 MB | 512 MB – 1 GB |
| CPU | 1 Kern | 1 Kern |
| Storage | 1 GB | 5–10 GB |
| Netzwerk | Beliebig | Beliebig |
Vaultwarden läuft auf einem kleinen VPS und lässt sich zusammen mit anderen Diensten auf demselben Server betreiben.
Sicherheit: Verschlüsselung im Client
Alle Einträge werden in den Bitwarden-Clients verschlüsselt, bevor sie den Server erreichen. Wer Zugriff auf den Server bekommt, sieht nur verschlüsselte Daten:
- Ende-zu-Ende-Verschlüsselung: Passwörter werden im Browser oder in der App verschlüsselt.
- AES-256: Die Tresordaten sind mit AES-256 verschlüsselt.
- Zero-Knowledge-Prinzip: Der Server kann deine Passwörter nicht entschlüsseln – den Schlüssel hast nur du.
- Schlüsselableitung: Dein Master-Passwort wird mit PBKDF2 oder wahlweise Argon2id verarbeitet.
Wichtig: HTTPS ist Pflicht. Ohne TLS funktionieren einige Client-Funktionen nicht, und Angreifer könnten den Netzwerkverkehr mitlesen.
Die Bitwarden-Apps funktionieren
Da Vaultwarden die Bitwarden-API nachbildet, kannst du die offiziellen Bitwarden-Clients nutzen:
- Browser-Erweiterungen (Chrome, Firefox, Safari, Edge)
- Desktop-Apps (Windows, macOS, Linux)
- Mobile Apps (iOS, Android)
- CLI-Tool
- Web Vault
Installiere die Apps aus den offiziellen Stores – beim Login gibst du nur die URL deines eigenen Servers ein.
Funktionen im Überblick
Vaultwarden unterstützt die meisten Funktionen der Bitwarden-Clients:
- TOTP-Generator: 2FA-Codes direkt im Passwort-Manager, ohne separate Authenticator-App.
- Dateianhänge: PDFs, Bilder oder andere Dateien an Einträge anhängen – nur durch deinen Speicher begrenzt.
- Send: Passwörter oder Dateien mit Ablaufdatum sicher teilen.
- Passwort-Generator: Sichere Passwörter und Passphrasen erzeugen.
- Notfallzugriff: Vertrauenspersonen festlegen, die im Notfall Zugriff bekommen.
- Organisationen: Passwörter mit Familie oder Team teilen.
Backup: Nicht vergessen!
Dein Passwort-Tresor ist kritisch – richte unbedingt Backups ein:
- Die SQLite-Datenbank täglich sichern (meist nur wenige MB)
- Den Attachments-Ordner mitsichern, falls du Anhänge nutzt
- Das Backup verschlüsselt auf einem separaten Server ablegen
- Die Wiederherstellung regelmäßig ausprobieren
Tipp: Exportiere zusätzlich regelmäßig einen verschlüsselten Tresor-Export über die Bitwarden-App als Offline-Backup.