https://techcorner.max-it.de/index.php?action=history&feed=atom&title=VaultwardenVaultwarden - Versionsgeschichte2026-10-19T02:29:28ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=Vaultwarden&diff=4960&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Was ist Vaultwarden, Vergleich mit Bitwarden, Funktionen, Grenzen, Audits, Einstieg in die Vaultwarden-Reihe2026-10-17T00:00:00Z<p>Neuer Artikel: Was ist Vaultwarden, Vergleich mit Bitwarden, Funktionen, Grenzen, Audits, Einstieg in die Vaultwarden-Reihe</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = Vaultwarden 1.37.x (aktuell 1.37.4, Oktober 2026) mit den offiziellen Bitwarden-Clients (Web, Browser, Desktop, Android, iOS)<br />
| bereich = IT-Security<br />
| dauer = Überblick; Grundinstallation ca. 1–2 Stunden<br />
| rechte = Root bzw. Docker-Rechte auf dem Server, Administrator des Vaultwarden-Admin-Panels<br />
| stand = Oktober 2026<br />
}}<br />
'''Vaultwarden''' ist ein schlanker, selbst gehosteter Server für den Passwortmanager Bitwarden: Er implementiert die Bitwarden-Schnittstellen in der Programmiersprache Rust und arbeitet mit den offiziellen Bitwarden-Apps für Browser, Desktop und Smartphone zusammen. Unternehmen behalten damit alle Passwortdaten auf eigenen Servern, brauchen für einen Betrieb mit wenigen Dutzend Benutzern nur einen kleinen Linux-Server oder Container und zahlen keine Lizenzgebühren. Diese Seite erklärt, was Vaultwarden leistet, wo die Grenzen liegen, und führt durch alle Artikel der Vaultwarden-Reihe.<br />
<br />
[[Datei:Vaultwarden-Ueberblick.png|thumb|center|750px|Aufbau einer Vaultwarden-Installation: Bitwarden-Clients (Browser-Erweiterung, Desktop-App, Android, iOS, Web-Tresor) verbinden sich per HTTPS mit einem Reverse Proxy (Caddy, nginx oder OPNsense), dieser leitet an den Vaultwarden-Container mit SQLite-Datenbank und Datenordner weiter; Daten werden im Client mit dem Master-Passwort verschlüsselt, der Server speichert nur verschlüsselte Tresore; Zusatzdienste: SMTP für Einladungen und 2FA-Mails, optional Push-Relay von Bitwarden für mobile Apps und OpenID Connect für SSO.]]<br />
<br />
== Was ist Vaultwarden? ==<br />
* '''Inoffizielle Server-Implementierung:''' Vaultwarden ist ein Open-Source-Projekt (Lizenz AGPL-3.0) und '''nicht''' mit Bitwarden Inc. verbunden. Es nutzt den Web-Tresor von Bitwarden mit kleinen Anpassungen; alle anderen Clients sind die unveränderten Bitwarden-Apps.<br />
* '''Zero-Knowledge-Prinzip:''' Tresore werden auf dem Endgerät mit einem aus dem Master-Passwort abgeleiteten Schlüssel verschlüsselt. Der Server speichert nur verschlüsselte Daten – wer den Server übernimmt, hat noch keine Passwörter im Klartext, siehe [[Ende-zu-Ende-Verschlüsselung]].<br />
* '''Ressourcensparend:''' Ein einzelner Container mit SQLite-Datenbank genügt. Die Standardinstallation des offiziellen Bitwarden-Servers besteht dagegen aus rund einem Dutzend Containern mit Microsoft SQL Server.<br />
* '''Zielgruppe:''' laut Projekt Einzelpersonen, Familien und kleinere Organisationen. Funktionen, die vor allem Großunternehmen brauchen, haben keine Priorität.<br />
<br />
== Vaultwarden, Bitwarden Cloud oder Bitwarden selbst gehostet? ==<br />
{| class="wikitable"<br />
! Kriterium !! Vaultwarden !! Bitwarden Cloud (EU) !! Bitwarden selbst gehostet<br />
|-<br />
| Betrieb || eigener Server, eigene Verantwortung || durch Bitwarden || eigener Server<br />
|-<br />
| Kosten || keine Lizenzkosten || Abo je Benutzer || Abo je Benutzer, Lizenzdatei<br />
|-<br />
| Ressourcen || ein Container, wenig RAM || – || Standard: rund ein Dutzend Container mit MS SQL; „Bitwarden lite“ als Einzelcontainer laut Bitwarden nur für private Nutzung<br />
|-<br />
| Herstellersupport || keiner; Forum und GitHub || ja || ja<br />
|-<br />
| Organisationen, Sammlungen, Gruppen || ja (Gruppen per Schalter) || ja || ja<br />
|-<br />
| SSO mit OpenID Connect || ja, seit 1.35.0 || Enterprise-Tarif || Enterprise-Tarif<br />
|-<br />
| Eigene Rollen, Public API, einige Richtlinien || nein || ja || ja<br />
|}<br />
'''Entscheidungshilfe:''' Vaultwarden passt, wenn das Unternehmen Linux- und Docker-Betrieb beherrscht und die Daten im eigenen Haus halten will. Wer Herstellersupport, Zertifizierungen oder alle Enterprise-Richtlinien braucht, nimmt Bitwarden direkt.<br />
<br />
== Funktionen im Überblick ==<br />
* Persönliche Tresore, '''Organisationen''' mit '''Sammlungen''' und Gruppen, Freigaben mit Zugriffsrechten<br />
* Datei-Anhänge, Ordner, Favoriten, Papierkorb, Archiv, Master-Passwort-Abfrage für einzelne Einträge<br />
* '''Bitwarden Send''' für verschlüsselte Einmal-Freigaben<br />
* '''Notfallzugriff''' und '''Kontowiederherstellung''' durch Administratoren (setzt E-Mail-Versand voraus)<br />
* Integrierter TOTP-Generator für Zwei-Faktor-Codes<br />
* Zwei-Faktor-Anmeldung per Authenticator-App, E-Mail, FIDO2/WebAuthn, YubiKey OTP und Duo<br />
* '''Single Sign-On''' über OpenID Connect, z. B. mit [[Entra ID]] oder Keycloak<br />
* Ereignisprotokolle, Richtlinien wie „Zwei-Faktor-Anmeldung erforderlich“ und Master-Passwort-Anforderungen<br />
* Directory Connector bzw. LDAP-Abgleich für Einladungen<br />
* Live-Synchronisation per [[WebSocket]] (Browser, Desktop) und Push (Smartphone)<br />
* '''Admin-Panel''' unter <code>/admin</code> für Einstellungen, Benutzer und Diagnose<br />
<br />
'''Fehlt (Stand 1.37.4):''' Anmeldung mit Passkeys statt Master-Passwort, Schutz bei Anmeldung neuer Geräte, benutzerdefinierte Rollen, die öffentliche Bitwarden-API (nur für den Directory Connector umgesetzt) sowie die Richtlinien „Tresor-Timeout“, „SSO erforderlich“ und „Export verbieten“.<br />
<br />
== Sicherheit und Audits ==<br />
* Das '''BSI''' hat Vaultwarden 1.30.3 im Projekt CAOS (Codeanalyse von Open-Source-Software) untersucht und die Ergebnisse im Oktober 2024 veröffentlicht, zusammen mit KeePass.<br />
* ERNW fand im Oktober 2024 bei einem Penetrationstest u. a. eine Authentifizierungsumgehung, die in 1.32.5 behoben wurde.<br />
* Vaultwarden veröffentlicht regelmäßig '''Sicherheitsupdates''' – 1.37.4 vom 5. Oktober 2026 behebt sieben Schwachstellen, eine davon mit hohem Schweregrad. Zeitnahe Updates sind Pflicht, siehe [[Vaultwarden: Absichern und härten]].<br />
* Neue Versionen der Bitwarden-Apps setzen oft eine aktuelle Vaultwarden-Version voraus, z. B. 1.37.0 für Clients ab 2026.7.0.<br />
<br />
== Anleitungen dieser Reihe ==<br />
{| class="wikitable"<br />
! Nr. !! Artikel !! Inhalt<br />
|-<br />
| 1 || [[Vaultwarden: Installation mit Docker Compose]] || Voraussetzungen, compose.yaml, Admin-Token mit Argon2, erstes Konto, SMTP, Push, Updates<br />
|-<br />
| 2 || [[Vaultwarden: HTTPS mit Reverse Proxy (Caddy, nginx, OPNsense)]] || Zertifikate, Caddy und nginx, WebSockets, echte Client-IP, interne Instanz<br />
|-<br />
| 3 || [[Vaultwarden: Absichern und härten]] || Registrierung schließen, Admin-Panel schützen, Fail2ban, Container-Härtung, Updates<br />
|-<br />
| 4 || [[Vaultwarden: Zwei-Faktor-Anmeldung und SSO mit OpenID Connect]] || TOTP, FIDO2, E-Mail, 2FA-Pflicht, SSO mit Entra ID und Keycloak<br />
|-<br />
| 5 || [[Vaultwarden: Organisationen, Sammlungen und Benutzerverwaltung]] || Rollen, Sammlungen, Gruppen, Richtlinien, Ereignisprotokoll, Offboarding<br />
|-<br />
| 6 || [[Vaultwarden: Backup und Wiederherstellung]] || Datenordner, SQLite-Backup, Verschlüsselung, Restore-Test<br />
|-<br />
| 7 || [[Vaultwarden: Migration von KeePass und anderen Passwortmanagern]] || Import, KeePass XML/CSV, Browser-Passwörter, Clients einrichten<br />
|-<br />
| 8 || [[Vaultwarden: Datenschutz und Betrieb im Unternehmen]] || DSGVO, TOMs, Push-Relay, Icon-Abruf, Protokolle, Betriebsrat, Notfallkonzept<br />
|}<br />
<br />
== Hinweise ==<br />
* '''Vaultwarden im Unternehmen:''' Lösungen auf Basis von Vaultwarden einzusetzen ist erlaubt. Supportfälle meldet man aber nicht bei Bitwarden, sondern im Vaultwarden-Forum oder auf GitHub.<br />
* '''Keine öffentlichen Instanzen nutzen:''' Das Projekt betreibt selbst keinen öffentlichen Server und rät von fremden Instanzen ab.<br />
* Bei Auswahl, Einführung und sicherem Betrieb eines Passwortmanagers unterstützt Sie das Team [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Zwei-Faktor-Authentifizierung]]<br />
* [[Reverse Proxy]]<br />
* [[Docker]]<br />
* [[Brute-Force-Angriff]]<br />
<br />
== Links und Quellen ==<br />
* [https://github.com/dani-garcia/vaultwarden/wiki Vaultwarden-Wiki auf GitHub]<br />
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion