Vaultwarden: Datenschutz und Betrieb im Unternehmen
Aus maxTechCorner
Auf einen Blick
| Gilt für | Vaultwarden 1.37.x im Unternehmen in Deutschland; DSGVO, BDSG, BetrVG; Stand Oktober 2026 |
|---|---|
| Bereich | IT-Security |
| Dauer | Dokumentation und Abstimmung ca. 1–2 Tage |
| Rechte | IT-Leitung, Datenschutzbeauftragte, Geschäftsführung, gegebenenfalls Betriebsrat |
| Stand | Oktober 2026 |
Vaultwarden datenschutzkonform im Unternehmen betreiben heißt: dokumentieren, welche personenbezogenen Daten der Server verarbeitet, die Datenflüsse zu Drittanbietern bewusst steuern, Protokolle mit klaren Fristen führen und den Betriebsrat einbinden, wenn Ereignisprotokolle aktiv sind. Ebenso wichtig ist ein Betriebs- und Notfallkonzept: Ein ausgefallener Passwortserver kann den Zugang zu fast allen anderen Systemen blockieren. Dieser Artikel fasst die Punkte zusammen, die vor dem Produktivbetrieb geklärt sein sollten.
Welche Daten verarbeitet Vaultwarden?
| Daten | Lesbar für den Betreiber? | Hinweis |
|---|---|---|
| Tresorinhalte (Passwörter, Notizen, URLs, Anhänge) | nein – im Client verschlüsselt | Zero-Knowledge, siehe Ende-zu-Ende-Verschlüsselung |
| Name, E-Mail-Adresse, Master-Passwort-Hinweis | ja | Hinweise abschalten, siehe Vaultwarden: Absichern und härten |
| Organisationen, Mitgliedschaften, Rollen | ja (Namen der Sammlungen verschlüsselt) | |
| Geräte (Typ, Name, letzte Aktivität), Push-Token | ja | |
| IP-Adressen, fehlgeschlagene Anmeldungen | ja, im Log und bei Reverse Proxy und Fail2ban | |
| Ereignisprotokoll (Ansehen, Kopieren, Ändern von Einträgen) | ja, wenn ORG_EVENTS_ENABLED=true |
Leistungs- und Verhaltenskontrolle möglich |
| Abgerufene Website-Domains für Symbole | ja, im Proxy-Log | siehe Icon-Abruf |
Die Inhalte der Tresore kann der Betreiber nicht lesen – sehr wohl aber, wer wann welche Einträge genutzt hat. Darauf zielen die folgenden Punkte.
Datenflüsse nach außen
| Dienst | Was fließt | Steuerung |
|---|---|---|
| SMTP | E-Mail-Adressen, Einladungen, Bestätigungs- und 2FA-Codes, Hinweise zu neuen Geräten | eigener Mailserver oder Anbieter mit AV-Vertrag |
| Icon-Abruf | Die Clients fragen Symbole beim Server mit der Domain des Eintrags an; Vaultwarden lädt sie von der Website | ICON_SERVICE=internal (Standard) hält die Anfragen beim eigenen Server; externe Dienste (google, duckduckgo, bitwarden) erfahren Domains und Client-IP; abschalten mit DISABLE_ICON_DOWNLOAD=true bzw. in den Clients Website-Symbole anzeigen aus
|
| Push-Relay (nur mobile Apps) | Installations-ID, Geräte- und Benutzerkennungen, Push-Token; keine Tresorinhalte; Zustellung über Bitwarden und die Push-Dienste von Apple und Google | EU-Region wählen (api.bitwarden.eu); ohne Push synchronisieren die Apps beim Öffnen
|
| SSO | Anmeldung über den Identitätsanbieter | ohnehin vorhandener Anbieter, z. B. Entra ID |
| Bericht „Offengelegte Passwörter“ | der Client fragt anonymisiert Hash-Präfixe bei Have I Been Pwned ab | nur bei Aufruf des Berichts |
Dokumentation nach DSGVO
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO): Zweck (sichere Verwaltung von Zugangsdaten), betroffene Personen (Beschäftigte, ggf. Dienstleister), Datenkategorien wie oben, Empfänger (Mailanbieter, Bitwarden für Push, Hoster), Löschfristen.
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Verschlüsselung, Zwei-Faktor-Pflicht, Härtung, Backup, Zugriffsbeschränkung auf den Server, Updates. Die Artikel dieser Reihe liefern die Bausteine, siehe Technische und organisatorische Maßnahmen.
- Auftragsverarbeitung (Art. 28 DSGVO): Läuft der Server bei einem Hoster oder in der Cloud, AV-Vertrag mit dem Anbieter abschließen. Vaultwarden als Software selbst ist kein Auftragsverarbeiter.
- Löschkonzept:
- Ereignisse:
EVENTS_DAYS_RETAINsetzen – ohne Wert bleiben sie unbegrenzt gespeichert. - Logs: Log-Rotation für
vaultwarden.logund das Proxy-Log mit fester Frist, z. B. per logrotate. - Ausgeschiedene Mitarbeiter: Konto nach Ablauf der Übergabefrist im Admin-Panel löschen.
- Backups: Aufbewahrung nach der Rotation im Backup-Skript, siehe Vaultwarden: Backup und Wiederherstellung.
- Ereignisse:
- Private Nutzung: Ob Mitarbeiter den persönlichen Tresor auch privat nutzen dürfen, in einer Nutzungsrichtlinie regeln. Erlaubte private Nutzung erschwert spätere Zugriffe des Arbeitgebers auf diese Konten.
Betriebsrat
- Ein Passwortmanager mit Ereignisprotokoll ist eine technische Einrichtung, die geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat dann ein Mitbestimmungsrecht – unabhängig davon, ob tatsächlich ausgewertet wird.
- Regeln in einer Betriebsvereinbarung: Zweck (Sicherheit, Aufklärung von Vorfällen), wer das Protokoll einsehen darf, Anlass für Auswertungen, Aufbewahrungsfrist, Verbot der Leistungskontrolle.
- Auch Pflicht-Richtlinien (Zwei-Faktor, Master-Passwort-Regeln) und die Kontowiederherstellung durch Administratoren sollten in der Vereinbarung erwähnt werden.
Betriebskonzept
- Verantwortlichkeiten: Wer betreibt den Server, wer ist Eigentümer der Organisation, wer vertritt im Urlaub? Mindestens zwei Personen mit Server- und Eigentümerrechten.
- Update-Fenster: Sicherheitsupdates innerhalb weniger Tage, übrige Updates z. B. monatlich, siehe Vaultwarden: Installation mit Docker Compose.
- Überwachung: Erreichbarkeit, Zertifikatslaufzeit, Backup-Erfolg, Speicherplatz.
- Externe Hilfe: Vaultwarden hat keinen Herstellersupport. Interne Kompetenz aufbauen oder einen Dienstleister für den Betrieb vertraglich einbinden.
- NIS2: Für Einrichtungen, die unter die NIS2-Umsetzung fallen, ist ein zentral verwalteter Passwortmanager mit Mehr-Faktor-Anmeldung ein Baustein der geforderten Zugriffskontrolle; die Dokumentation dieser Reihe hilft beim Nachweis.
Notfallkonzept
Szenario: Vaultwarden fällt aus oder ist kompromittiert.
- Offline weiterarbeiten: Desktop-Apps und Smartphones halten eine verschlüsselte Kopie und lassen sich mit dem Master-Passwort entsperren – neue Einträge und Synchronisation gehen erst nach der Wiederherstellung.
- Break-Glass-Umschlag: Zugangsdaten für die kritischsten Systeme (Firewall, Hypervisor, Domänen-Administrator, Registrar, Vaultwarden-Host, Backup-Repository mit restic-Passwort) ausgedruckt, versiegelt im Safe; bei Änderungen erneuern.
- Restore-Anleitung als Papier oder auf einem System außerhalb von Vaultwarden – die Anleitung darf nicht nur im Passwortmanager stehen.
- Verschlüsselter Export der Organisation auf einem verschlüsselten Datenträger, regelmäßig erneuert.
- Kompromittierung: Server isolieren, neu aufsetzen, Admin-Token, SMTP- und SSO-Geheimnisse wechseln, Benutzer zum Wechsel der Master-Passwörter auffordern, besonders kritische Zugangsdaten ändern. Meldepflichten nach Art. 33 DSGVO prüfen.
Hinweise
- Keine Rechtsberatung: Die Hinweise ersetzen nicht die Prüfung durch Datenschutzbeauftragte oder Rechtsberatung im Einzelfall.
- Bei Datenschutzkonzept, Betriebsvereinbarung und Notfallplanung für zentrale Sicherheitsdienste unterstützt Sie das Team Cybersecurity von m.a.x. it.
Siehe auch
- Vaultwarden – Überblick und alle Artikel der Reihe
- DSGVO
- Vaultwarden: Organisationen, Sammlungen und Benutzerverwaltung
- Vaultwarden: Backup und Wiederherstellung
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
