So hosten Sie Vaultwarden 2026 selbst: ein sicherer Bitwarden-Server auf Ihrem eigenen VPS

Um Vaultwarden 2026 selbst zu hosten, lassen Sie seinen schlanken Docker-Container auf einem VPS laufen, binden ihn an localhost und stellen einen Reverse Proxy mit HTTPS davor, damit die Bitwarden-Apps mit ihm kommunizieren. Das ist die gesamte Form der Aufgabe: ein einziger kleiner Container für den Server, TLS übernimmt ein Proxy und ein diszipliniertes Backup eines einzigen Datenordners. Richtig gemacht, erhalten Sie einen Passwort-Manager, der mit jedem offiziellen Bitwarden-Client spricht, während Ihr Tresor auf Hardware liegt, die Sie kontrollieren.

Vaultwarden ist eine inoffizielle, in Rust geschriebene Neuimplementierung des Bitwarden-Servers. Es ist nicht mit Bitwarden, Inc. verbunden, spricht aber dieselbe API, sodass sich die Browser-Erweiterungen, die Desktop-App und die mobilen Apps unverändert damit verbinden. Weil es für das Self-Hosting und nicht für den Unternehmensmaßstab gebaut ist, läuft es mit einem Bruchteil der Ressourcen, die der offizielle selbstgehostete Bitwarden-Stack benötigt, und schaltet die Premium-Funktionen (TOTP-Codes, Anhänge, Sicherheitsberichte) kostenlos frei. Diese Anleitung behandelt eine sichere Einrichtung, nicht nur eine funktionierende, denn ein Passwort-Manager ist das Risikoreichste, das Sie jemals selbst hosten werden.

Was Sie benötigen, bevor Sie beginnen

Vaultwarden lässt sich einfach betreiben und verzeiht einen nachlässigen Betrieb nicht. Bevor Sie den Container anfassen, brauchen Sie drei Dinge: einen Server, einen Namen und die Fähigkeit, HTTPS bereitzustellen.

• Einen kleinen VPS mit Docker. Vaultwardens Fußabdruck ist winzig, Sie brauchen also keine große Maschine. Ein einfacher VPS mit 1-2 GB RAM ist bereits weit mehr, als es verbraucht. Die Art kleiner Server, die wir bei WaseerHost für ein paar Dollar im Monat betreiben, hat Spielraum übrig. Wenn die Maschine frisch ist, sichern Sie sie zuerst ab; unsere Anleitung zur sicheren ersten Stunde eines neuen VPS behandelt die hier vorausgesetzten Grundlagen zu SSH, Firewall und Benutzer.
• Eine Domain oder Subdomain (zum Beispiel vault.yourdomain.com), die auf die IP des Servers zeigt. Sie brauchen einen echten Hostnamen wegen des nächsten Punkts.
• Eine Möglichkeit, HTTPS bereitzustellen. Das ist nicht optional. Die Web-Crypto-API des Browsers, auf die sich die Bitwarden-Clients stützen, weigert sich, über reines HTTP auf etwas anderem als localhost zu laufen, sodass die Apps ohne TLS schlicht nicht funktionieren.

Vaultwarden mit Docker Compose betreiben

Vaultwarden wird als offizielles vaultwarden/server-Image auf Docker Hub ausgeliefert. Fixieren Sie ein Versions-Tag statt latest, damit Sie ein unbeaufsichtigtes Update nie überrascht. Die eine Regel, die hier zählt: Binden Sie den Container an 127.0.0.1, niemals an 0.0.0.0. Vaultwarden spricht intern reines HTTP und sollte immer nur über Ihren Proxy erreichbar sein.

services:
  vaultwarden:
    image: vaultwarden/server:1.37.4
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.yourdomain.com"
      SIGNUPS_ALLOWED: "false"
      ADMIN_TOKEN: "<argon2-hash-goes-here>"
    volumes:
      - ./vw-data:/data
    ports:
      - "127.0.0.1:8080:80"

Standardmäßig speichert Vaultwarden alles in einer SQLite-Datenbank innerhalb von /data (hier auf ./vw-data gemappt), was die richtige Wahl für eine Instanz für Einzelpersonen oder kleine Teams ist; es unterstützt außerdem MySQL/MariaDB und PostgreSQL, falls Sie es jemals überwachsen. Setzen Sie SIGNUPS_ALLOWED von Anfang an auf false, erstellen Sie Ihr eigenes Konto und halten Sie die Registrierung geschlossen, damit kein Fremder ein Konto auf Ihrem Server eröffnen kann.

Mit einem Reverse Proxy hinter HTTPS stellen

Weil der Container nur auf localhost lauscht, ist ein Reverse Proxy das, was ihn erreichbar und verschlüsselt macht. Caddy ist die einfachste Option, weil es Zertifikate automatisch bezieht und erneuert; ein dreizeiliger Site-Block, der vault.yourdomain.com auf 127.0.0.1:8080 verweist, reicht aus, um ein gültiges Zertifikat und funktionierendes TLS zu erhalten. Unsere Anleitung zu Caddy als Reverse Proxy führt vollständig durch diese Konfiguration und die Zertifikatserneuerung, und dieselbe Aufgabe lässt sich mit Nginx Proxy Manager oder Traefik erledigen, falls Sie bereits eines davon betreiben.

Ein für Vaultwarden spezifisches Proxy-Detail: Leiten Sie die echte Client-IP weiter (zum Beispiel durch Setzen eines X-Real-IP-Headers), denn das Admin-Panel und etwaige fail2ban-Regeln müssen sehen, wer sich tatsächlich verbindet, und nicht die Adresse des Proxys selbst. Wenn Sie überhaupt keine eingehenden Ports öffnen möchten, kann ein Cloudflare Tunnel den Dienst ohne öffentlichen Port bereitstellen, was zugleich eine Möglichkeit ist, die Admin-Seite aus dem offenen Internet herauszuhalten.

Das Admin-Panel abschotten

Vaultwarden hat eine eingebaute /admin-Seite zum Verwalten von Benutzern und Einstellungen, und sie ist die gefährlichste Oberfläche der gesamten Bereitstellung: Ein geleaktes Admin-Token legt jeden Benutzer offen. Im Jahr 2026 ist der richtige Weg, sie zu schützen, ein Argon2id-Hash, kein Klartext-Token. Erzeugen Sie einen aus einem Wegwerf-Container, noch bevor der Stack überhaupt läuft:

docker run --rm -it vaultwarden/server /vaultwarden hash

Geben Sie bei der Aufforderung ein langes, einzigartiges Passwort ein und fügen Sie dann die resultierende PHC-Hash-Zeichenkette in ADMIN_TOKEN ein. Sie melden sich bei /admin mit dem ursprünglichen Passwort an, nicht mit dem Hash. Behandeln Sie das als Kronjuwelen-Zugangsdaten. Für alles, was über eine Instanz für Einzelpersonen hinausgeht, stellen Sie die Admin-Seite zusätzlich hinter eine zweite Barriere: eine IP-Allowlist am Proxy oder eine reine VPN-Route, sodass sie aus dem öffentlichen Internet nie erreichbar ist.

Den einen Ordner sichern, auf den es ankommt

Einen Passwort-Manager selbst zu hosten bedeutet, dass Sie nun dafür verantwortlich sind, ihn nicht zu verlieren. Alles, was Vaultwarden braucht, liegt in diesem vw-data-Ordner: die SQLite-Datenbank, die Anhänge, die RSA-Schlüssel und die Konfiguration. Sichern Sie das gesamte Verzeichnis nach einem Zeitplan, bewahren Sie eine Kopie außerhalb des Servers auf und testen Sie eine Wiederherstellung, bevor Sie ihr vertrauen, denn ein Backup, das Sie nie wiederhergestellt haben, ist eine Vermutung. Unsere Anleitung zum Backup von Docker-Volumes behandelt eine Snapshot-und-Kopier-Routine, die genau dazu passt. Der Fehlermodus, den Sie fürchten müssen, ist kein Hack; es ist eine tote Festplatte und ein Backup, das nie jemand überprüft hat.

Sollten Sie Vaultwarden selbst hosten? Der ehrliche Kompromiss

Self-Hosting gewinnt bei Kosten und Eigentum und verliert dabei, wer das Risiko trägt. Bei Vaultwarden sind die Premium-Funktionen kostenlos und Ihr Tresor verlässt nie Ihren Server; beim gehosteten Bitwarden kümmert sich ein Team von Experten um Verfügbarkeit, Backups und Sicherheit für Sie. Die Tabelle unten ist die eigentliche Entscheidung, basierend auf Bitwardens aktuell veröffentlichten Preisen.

Option	Kosten	Wer hostet es	Premium-Funktionen	Am besten für
Vaultwarden (selbstgehostet)	$0 Software + ein kleiner VPS (ein paar $/Monat)	Sie	Alle freigeschaltet, kostenlos	Datenhoheit, Homelabs, kleine Teams
Bitwarden Free	$0	Bitwarden	Eingeschränkt	Wartungsfreie private Nutzung
Bitwarden Premium	$19.80/yr (~$1.65/mo)	Bitwarden	TOTP, Berichte, 1 GB Anhänge	Einzelpersonen, die gehostet + Premium wollen
Bitwarden Families	$47.88/yr (~$3.99/mo), bis zu 6	Bitwarden	Premium für 6	Familien, die es verwaltet haben möchten
Bitwarden Teams / Enterprise	$4 / $6 pro Benutzer/Monat	Bitwarden	SSO, Richtlinien, Compliance	Organisationen, die Governance brauchen

Der ehrliche Filter: Hosten Sie Vaultwarden selbst, wenn Sie HTTPS gültig halten, den Ordner sichern und das Admin-Panel schützen. Wenn Sie wissen, dass Ihre Backup-Disziplin wackelig ist oder Sie Ihre eigene Ausfallzeit nicht tolerieren können, ist gehostetes Bitwarden die verantwortungsvolle Wahl, und das ist keine Schande. Das schlimmste Ergebnis ist ein halb gewarteter Server, der jedes Passwort enthält, das Sie besitzen.

Häufig gestellte Fragen

Ist Vaultwarden sicher zum Selbsthosten?

Ja, wenn es korrekt konfiguriert ist. Die Tresordaten sind Ende-zu-Ende-verschlüsselt, sodass die Inhalte selbst auf einem Server, den Sie kontrollieren, durch Ihr Master-Passwort geschützt sind. Die echten Risiken sind betrieblicher Natur: es über HTTP bereitzustellen, /admin offen zu lassen oder kein getestetes Backup zu haben. Beheben Sie diese drei und eine Vaultwarden-Instanz ist ein solider Passwort-Manager.

Ist Vaultwarden dasselbe wie Bitwarden?

Nein. Vaultwarden ist eine unabhängige, inoffizielle Server-Implementierung, die mit den Client-Apps und der API von Bitwarden kompatibel ist. Es wird nicht von Bitwarden, Inc. hergestellt. Sie verwenden die offiziellen Bitwarden-Apps für Browser, Desktop und Mobil, richten diese aber auf Ihren eigenen Server statt auf Bitwardens Cloud.

Brauche ich eine Domain und HTTPS, um es zu nutzen?

Im Grunde ja. Bitwarden-Clients sind auf die Web-Crypto-API des Browsers angewiesen, die nur über HTTPS (oder localhost) läuft. Das bedeutet einen echten Hostnamen und ein TLS-Zertifikat, das ein Reverse Proxy wie Caddy automatisch bereitstellt. Reines HTTP lässt die Apps keine Verbindung herstellen.

Schaltet Vaultwarden die Premium-Funktionen von Bitwarden kostenlos frei?

Ja. Funktionen, die in Bitwardens Cloud kostenpflichtig sind, etwa die TOTP-Generierung, Dateianhänge und Tresor-Gesundheitsberichte, sind auf einer selbstgehosteten Vaultwarden-Instanz kostenlos verfügbar. Das ist ein großer Teil des Grundes, warum Leute es betreiben.

Wie viel Server braucht Vaultwarden?

Sehr wenig. Es ist als leichtgewichtige Alternative zum ressourcenhungrigen offiziellen selbstgehosteten Bitwarden-Stack konzipiert und läuft bequem auf einem kleinen VPS mit 1-2 GB RAM. CPU und Arbeitsspeicher sind selten die Einschränkung; Ihre Aufmerksamkeit für Backups und HTTPS ist es.

Quellen

• Vaultwarden-Projekt-Wiki (dani-garcia/vaultwarden): was Vaultwarden ist, SQLite als Standardspeicher, die HTTPS/WebAuthn-Anforderung und das Hashen des Admin-Tokens.
• Vaultwarden-Docker-Image auf Docker Hub: das offizielle vaultwarden/server-Image und die verfügbaren Versions-Tags.
• Bitwarden-Preise: aktuelle Preise der Pläne Free, Premium, Families, Teams und Enterprise, die in der Vergleichstabelle verwendet werden.