https://techcorner.max-it.de/index.php?action=history&feed=atom&title=Vaultwarden%3A_Datenschutz_und_Betrieb_im_UnternehmenVaultwarden: Datenschutz und Betrieb im Unternehmen - Versionsgeschichte2026-10-19T02:37:30ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=Vaultwarden:_Datenschutz_und_Betrieb_im_Unternehmen&diff=4935&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Datenkategorien, Datenflüsse, VVT/TOMs, Löschfristen, Betriebsrat, Betriebs- und Notfallkonzept2026-10-17T00:00:00Z<p>Neuer Artikel: Datenkategorien, Datenflüsse, VVT/TOMs, Löschfristen, Betriebsrat, Betriebs- und Notfallkonzept</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = Vaultwarden 1.37.x im Unternehmen in Deutschland; DSGVO, BDSG, BetrVG; Stand Oktober 2026<br />
| bereich = IT-Security<br />
| dauer = Dokumentation und Abstimmung ca. 1–2 Tage<br />
| rechte = IT-Leitung, Datenschutzbeauftragte, Geschäftsführung, gegebenenfalls Betriebsrat<br />
| stand = Oktober 2026<br />
}}<br />
'''Vaultwarden datenschutzkonform im Unternehmen betreiben''' heißt: dokumentieren, welche personenbezogenen Daten der Server verarbeitet, die Datenflüsse zu Drittanbietern bewusst steuern, Protokolle mit klaren Fristen führen und den Betriebsrat einbinden, wenn Ereignisprotokolle aktiv sind. Ebenso wichtig ist ein Betriebs- und Notfallkonzept: Ein ausgefallener Passwortserver kann den Zugang zu fast allen anderen Systemen blockieren. Dieser Artikel fasst die Punkte zusammen, die vor dem Produktivbetrieb geklärt sein sollten.<br />
<br />
[[Datei:Vaultwarden-Datenschutz.png|thumb|center|750px|Vaultwarden im Unternehmen: Personenbezogene Daten sind Name, E-Mail, IP-Adressen, Geräte und Ereignisse – Tresorinhalte sind Ende-zu-Ende-verschlüsselt; Datenflüsse nach außen: SMTP, Icon-Abruf (verrät Domains der Einträge), Push-Relay von Bitwarden (EU-Region) für mobile Apps, optional SSO; Dokumentation: Verzeichnis der Verarbeitungstätigkeiten, TOMs, Löschfristen (EVENTS_DAYS_RETAIN, Log-Rotation), AV-Vertrag mit dem Hoster; Betriebsrat bei Ereignisprotokollen; Notfallkonzept mit Break-Glass-Umschlag, Restore-Anleitung und Vertretung.]]<br />
<br />
== Welche Daten verarbeitet Vaultwarden? ==<br />
{| class="wikitable"<br />
! Daten !! Lesbar für den Betreiber? !! Hinweis<br />
|-<br />
| Tresorinhalte (Passwörter, Notizen, URLs, Anhänge) || '''nein''' – im Client verschlüsselt || Zero-Knowledge, siehe [[Ende-zu-Ende-Verschlüsselung]]<br />
|-<br />
| Name, E-Mail-Adresse, Master-Passwort-Hinweis || ja || Hinweise abschalten, siehe [[Vaultwarden: Absichern und härten]]<br />
|-<br />
| Organisationen, Mitgliedschaften, Rollen || ja (Namen der Sammlungen verschlüsselt) ||<br />
|-<br />
| Geräte (Typ, Name, letzte Aktivität), Push-Token || ja ||<br />
|-<br />
| IP-Adressen, fehlgeschlagene Anmeldungen || ja, im Log und bei Reverse Proxy und Fail2ban ||<br />
|-<br />
| Ereignisprotokoll (Ansehen, Kopieren, Ändern von Einträgen) || ja, wenn <code>ORG_EVENTS_ENABLED=true</code> || Leistungs- und Verhaltenskontrolle möglich<br />
|-<br />
| Abgerufene Website-Domains für Symbole || ja, im Proxy-Log || siehe Icon-Abruf<br />
|}<br />
Die Inhalte der Tresore kann der Betreiber nicht lesen – sehr wohl aber, '''wer''' wann '''welche''' Einträge genutzt hat. Darauf zielen die folgenden Punkte.<br />
<br />
== Datenflüsse nach außen ==<br />
{| class="wikitable"<br />
! Dienst !! Was fließt !! Steuerung<br />
|-<br />
| '''SMTP''' || E-Mail-Adressen, Einladungen, Bestätigungs- und 2FA-Codes, Hinweise zu neuen Geräten || eigener Mailserver oder Anbieter mit AV-Vertrag<br />
|-<br />
| '''Icon-Abruf''' || Die Clients fragen Symbole beim Server mit der '''Domain''' des Eintrags an; Vaultwarden lädt sie von der Website || <code>ICON_SERVICE=internal</code> (Standard) hält die Anfragen beim eigenen Server; externe Dienste (<code>google</code>, <code>duckduckgo</code>, <code>bitwarden</code>) erfahren Domains und Client-IP; abschalten mit <code>DISABLE_ICON_DOWNLOAD=true</code> bzw. in den Clients ''Website-Symbole anzeigen'' aus<br />
|-<br />
| '''Push-Relay''' (nur mobile Apps) || Installations-ID, Geräte- und Benutzerkennungen, Push-Token; '''keine''' Tresorinhalte; Zustellung über Bitwarden und die Push-Dienste von Apple und Google || EU-Region wählen (<code>api.bitwarden.eu</code>); ohne Push synchronisieren die Apps beim Öffnen<br />
|-<br />
| '''SSO''' || Anmeldung über den Identitätsanbieter || ohnehin vorhandener Anbieter, z. B. Entra ID<br />
|-<br />
| '''Bericht „Offengelegte Passwörter“''' || der Client fragt anonymisiert Hash-Präfixe bei Have I Been Pwned ab || nur bei Aufruf des Berichts<br />
|}<br />
<br />
== Dokumentation nach DSGVO ==<br />
* '''Verzeichnis der Verarbeitungstätigkeiten''' (Art. 30 DSGVO): Zweck (sichere Verwaltung von Zugangsdaten), betroffene Personen (Beschäftigte, ggf. Dienstleister), Datenkategorien wie oben, Empfänger (Mailanbieter, Bitwarden für Push, Hoster), Löschfristen.<br />
* '''Technische und organisatorische Maßnahmen''' (Art. 32 DSGVO): Verschlüsselung, Zwei-Faktor-Pflicht, Härtung, Backup, Zugriffsbeschränkung auf den Server, Updates. Die Artikel dieser Reihe liefern die Bausteine, siehe [[Technische und organisatorische Maßnahmen]].<br />
* '''Auftragsverarbeitung''' (Art. 28 DSGVO): Läuft der Server bei einem Hoster oder in der Cloud, AV-Vertrag mit dem Anbieter abschließen. Vaultwarden als Software selbst ist kein Auftragsverarbeiter.<br />
* '''Löschkonzept''':<br />
** Ereignisse: <code>EVENTS_DAYS_RETAIN</code> setzen – ohne Wert bleiben sie unbegrenzt gespeichert.<br />
** Logs: Log-Rotation für <code>vaultwarden.log</code> und das Proxy-Log mit fester Frist, z. B. per logrotate.<br />
** Ausgeschiedene Mitarbeiter: Konto nach Ablauf der Übergabefrist im Admin-Panel löschen.<br />
** Backups: Aufbewahrung nach der Rotation im Backup-Skript, siehe [[Vaultwarden: Backup und Wiederherstellung]].<br />
* '''Private Nutzung''': Ob Mitarbeiter den persönlichen Tresor auch privat nutzen dürfen, in einer Nutzungsrichtlinie regeln. Erlaubte private Nutzung erschwert spätere Zugriffe des Arbeitgebers auf diese Konten.<br />
<br />
== Betriebsrat ==<br />
* Ein Passwortmanager mit '''Ereignisprotokoll''' ist eine technische Einrichtung, die geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat dann ein Mitbestimmungsrecht – unabhängig davon, ob tatsächlich ausgewertet wird.<br />
* Regeln in einer '''Betriebsvereinbarung''': Zweck (Sicherheit, Aufklärung von Vorfällen), wer das Protokoll einsehen darf, Anlass für Auswertungen, Aufbewahrungsfrist, Verbot der Leistungskontrolle.<br />
* Auch '''Pflicht-Richtlinien''' (Zwei-Faktor, Master-Passwort-Regeln) und die '''Kontowiederherstellung''' durch Administratoren sollten in der Vereinbarung erwähnt werden.<br />
<br />
== Betriebskonzept ==<br />
* '''Verantwortlichkeiten''': Wer betreibt den Server, wer ist Eigentümer der Organisation, wer vertritt im Urlaub? Mindestens zwei Personen mit Server- und Eigentümerrechten.<br />
* '''Update-Fenster''': Sicherheitsupdates innerhalb weniger Tage, übrige Updates z. B. monatlich, siehe [[Vaultwarden: Installation mit Docker Compose]].<br />
* '''Überwachung''': Erreichbarkeit, Zertifikatslaufzeit, Backup-Erfolg, Speicherplatz.<br />
* '''Externe Hilfe''': Vaultwarden hat keinen Herstellersupport. Interne Kompetenz aufbauen oder einen Dienstleister für den Betrieb vertraglich einbinden.<br />
* '''NIS2''': Für Einrichtungen, die unter die NIS2-Umsetzung fallen, ist ein zentral verwalteter Passwortmanager mit Mehr-Faktor-Anmeldung ein Baustein der geforderten Zugriffskontrolle; die Dokumentation dieser Reihe hilft beim Nachweis.<br />
<br />
== Notfallkonzept ==<br />
'''Szenario: Vaultwarden fällt aus oder ist kompromittiert.'''<br />
* '''Offline weiterarbeiten''': Desktop-Apps und Smartphones halten eine verschlüsselte Kopie und lassen sich mit dem Master-Passwort entsperren – neue Einträge und Synchronisation gehen erst nach der Wiederherstellung.<br />
* '''Break-Glass-Umschlag''': Zugangsdaten für die kritischsten Systeme (Firewall, Hypervisor, Domänen-Administrator, Registrar, Vaultwarden-Host, Backup-Repository mit restic-Passwort) ausgedruckt, versiegelt im Safe; bei Änderungen erneuern.<br />
* '''Restore-Anleitung''' als Papier oder auf einem System außerhalb von Vaultwarden – die Anleitung darf nicht nur im Passwortmanager stehen.<br />
* '''Verschlüsselter Export''' der Organisation auf einem verschlüsselten Datenträger, regelmäßig erneuert.<br />
* '''Kompromittierung''': Server isolieren, neu aufsetzen, Admin-Token, SMTP- und SSO-Geheimnisse wechseln, Benutzer zum Wechsel der Master-Passwörter auffordern, besonders kritische Zugangsdaten ändern. Meldepflichten nach Art. 33 DSGVO prüfen.<br />
<br />
== Hinweise ==<br />
* '''Keine Rechtsberatung:''' Die Hinweise ersetzen nicht die Prüfung durch Datenschutzbeauftragte oder Rechtsberatung im Einzelfall.<br />
* Bei Datenschutzkonzept, Betriebsvereinbarung und Notfallplanung für zentrale Sicherheitsdienste unterstützt Sie das Team [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Vaultwarden]] – Überblick und alle Artikel der Reihe<br />
* [[DSGVO]]<br />
* [[Vaultwarden: Organisationen, Sammlungen und Benutzerverwaltung]]<br />
* [[Vaultwarden: Backup und Wiederherstellung]]<br />
<br />
== Links und Quellen ==<br />
* [https://www.gesetze-im-internet.de/betrvg/__87.html Betriebsverfassungsgesetz § 87 Mitbestimmungsrechte]<br />
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion