Vaultwarden: Organisationen, Sammlungen und Benutzerverwaltung
Aus maxTechCorner
(Weitergeleitet von Vaultwarden Organisation)
Auf einen Blick
| Gilt für | Vaultwarden 1.37.x mit Web-Tresor der Bitwarden-Version 2026.x; Organisationen, Sammlungen, Gruppen, Richtlinien, Ereignisprotokoll |
|---|---|
| Bereich | IT-Security |
| Dauer | Grundstruktur ca. 1–2 Stunden; je Mitarbeiter ca. 5 Minuten |
| Rechte | Eigentümer oder Administrator der Organisation; für Server-Schalter Zugriff auf die Vaultwarden-Konfiguration |
| Stand | Oktober 2026 |
Organisationen in Vaultwarden sind der Weg, Passwörter im Unternehmen kontrolliert zu teilen: Einträge gehören der Organisation statt einzelnen Mitarbeitern, liegen in Sammlungen und werden über Gruppen und Rollen freigegeben. Richtlinien legen Mindeststandards fest, das Ereignisprotokoll zeigt, wer wann auf was zugegriffen hat. Diese Anleitung zeigt eine bewährte Struktur, die nötigen Server-Schalter, die Kontowiederherstellung und den sauberen Ablauf beim Ausscheiden eines Mitarbeiters.
Grundbegriffe der Organisationen in Vaultwarden
| Begriff | Bedeutung |
|---|---|
| Persönlicher Tresor | gehört dem Benutzer; nur er sieht die Einträge |
| Organisation | gemeinsamer Bereich; Einträge gehören der Organisation und bleiben, wenn Mitarbeiter gehen |
| Sammlung | Ordner innerhalb der Organisation, über den Berechtigungen vergeben werden; Unter-Sammlungen per Schrägstrich, z. B. IT/Netzwerk
|
| Gruppe | Zusammenfassung von Mitgliedern, die Zugriff auf Sammlungen erhält |
| Ordner | nur persönliche Sortierung, ohne Wirkung auf Berechtigungen |
Schritt 1: Server-Schalter setzen
Einige Funktionen der Organisationen sind in Vaultwarden standardmäßig aus:
| Einstellung | Standard | Wirkung |
|---|---|---|
ORG_GROUPS_ENABLED |
false |
Gruppen in Organisationen |
ORG_EVENTS_ENABLED |
false |
Ereignisprotokoll |
EVENTS_DAYS_RETAIN |
leer (unbegrenzt) | Aufbewahrungsfrist der Ereignisse in Tagen |
ORG_CREATION_USERS |
leer (alle) | wer Organisationen anlegen darf |
SMTP_* |
– | nötig für Einladungen per E-Mail und Kontowiederherstellung |
Nach dem Ändern den Container neu erstellen.
Schritt 2: Organisation und Struktur anlegen
- Als IT-Administrator im Web-Tresor Neue Organisation wählen, Name und Rechnungsadresse sind frei – in Vaultwarden fallen keine Kosten an.
- Sammlungen nach Zuständigkeit anlegen, nicht nach Personen:
| Sammlung | Zugriff |
|---|---|
IT/Infrastruktur (Firewall, Switches, Hypervisor) |
Gruppe IT-Admins: bearbeiten |
IT/Dienstkonten |
Gruppe IT-Admins: bearbeiten; Dienstleister: ansehen |
Buchhaltung (Banking, DATEV, Finanzamt) |
Gruppe Buchhaltung: bearbeiten |
Marketing/Social Media |
Gruppe Marketing: bearbeiten |
Alle Mitarbeiter (WLAN-Gast, Drucker) |
alle: ansehen |
Notfall (Domänen-Admin, Registrar, Root-Zugänge) |
nur Geschäftsführung und IT-Leitung |
- Gruppen anlegen und den Sammlungen zuordnen. Berechtigungen je Sammlung: Kann ansehen, Kann ansehen, außer Passwörter, Kann bearbeiten, Kann bearbeiten, außer Passwörter, Kann verwalten.
- „Außer Passwörter“ blendet das Passwort aus, lässt aber das Ausfüllen in der Browser-Erweiterung zu. Es ist kein vollständiger Schutz: Wer ein Passwort ausfüllen kann, kann es mit etwas Aufwand auch auslesen, z. B. aus dem ausgefüllten Formularfeld.
Schritt 3: Rollen und Mitglieder
| Rolle | Rechte |
|---|---|
| Eigentümer | alles, inklusive Löschen der Organisation und Verwalten anderer Eigentümer |
| Administrator | Mitglieder, Gruppen, Sammlungen, Richtlinien, Zugriff auf alle Einträge |
| Benutzer | Zugriff nur auf zugewiesene Sammlungen |
- Mindestens zwei Eigentümer festlegen, damit die Organisation beim Ausfall einer Person verwaltbar bleibt.
- Benutzerdefinierte Rollen gibt es in Vaultwarden nicht. Feinere Rechte über Kann verwalten pro Sammlung vergeben.
- Mitglieder einladen: Admin-Konsole › Mitglieder › Mitglied einladen. Nachdem der Eingeladene sein Konto angelegt hat, muss ein Administrator ihn noch bestätigen. Erst dann wird der Organisationsschlüssel für ihn verschlüsselt und er sieht Einträge.
- Automatisch einladen: Die Bitwarden Directory Connector-Anwendung oder der Dienst vaultwarden_ldap lädt Benutzer aus Active Directory bzw. LDAP ein. Passwörter werden dabei nie übertragen, nur Einladungen.
- Mit SSO lassen sich neue Konten auch über den ersten Login anlegen, siehe Vaultwarden: Zwei-Faktor-Anmeldung und SSO mit OpenID Connect.
Schritt 4: Richtlinien
Admin-Konsole › Richtlinien. Vaultwarden unterstützt u. a.:
| Richtlinie | Empfehlung |
|---|---|
| Zweistufige Anmeldung erforderlich | aktivieren |
| Master-Passwort-Anforderungen | Mindestlänge 14, Komplexitätsbewertung „stark“ |
| Passwortgenerator | Mindestlänge 16, Sonderzeichen |
| Einzelne Organisation | aktivieren – Mitarbeiter können keine weitere Organisation beitreten oder fremde Firmendaten mitnehmen |
| Persönlichen Tresor entfernen | nur, wenn private Nutzung ausgeschlossen werden soll; alle neuen Einträge landen dann in der Organisation |
| Send entfernen / Send-Optionen | je nach Richtlinie zum Datentransfer |
| Kontowiederherstellungsadministration | aktivieren, siehe unten |
| Standard-URI-Übereinstimmung, PIN-Entsperrung entfernen | nach Bedarf |
Nicht verfügbar: Tresor-Timeout als Richtlinie, „Export des Tresors verbieten“ und „SSO erforderlich“. Tresor-Timeouts deshalb per Schulung und gegebenenfalls Geräteverwaltung festlegen.
Schritt 5: Kontowiederherstellung und Notfallzugriff
- Kontowiederherstellung: Mit der Richtlinie Kontowiederherstellungsadministration können Administratoren das Master-Passwort eines Mitglieds zurücksetzen. Mitglieder müssen sich dafür einschreiben; die Richtlinie kann das automatisch erzwingen. Setzt SMTP voraus. Wichtig, weil Vaultwarden vergessene Master-Passwörter sonst nicht zurücksetzen kann.
- Notfallzugriff: Persönliche Funktion – ein Benutzer bestimmt eine Vertrauensperson, die nach einer Wartezeit Zugriff erhält oder den Tresor übernimmt. Für Firmendaten ist die Organisation mit mehreren Eigentümern der bessere Weg.
Schritt 6: Ereignisprotokoll
- Mit
ORG_EVENTS_ENABLED=trueprotokolliert Vaultwarden u. a. Anmeldungen, Ansehen und Kopieren von Passwörtern, Änderungen an Einträgen, Sammlungen, Gruppen und Richtlinien. - Einsehen unter Admin-Konsole › Berichte › Ereignisprotokolle.
- Das Protokoll ist für Nachweise und Vorfallanalyse wertvoll, ermöglicht aber auch die Kontrolle von Mitarbeitern. Aufbewahrungsfrist (
EVENTS_DAYS_RETAIN) und Auswertung mit Datenschutz und Betriebsrat abstimmen, siehe Vaultwarden: Datenschutz und Betrieb im Unternehmen. - Berichte wie Wiederverwendete Passwörter, Schwache Passwörter und Offengelegte Passwörter stehen im Web-Tresor zur Verfügung; die Prüfung auf offengelegte Passwörter fragt einen externen Dienst nach Hash-Präfixen ab.
Offboarding: Mitarbeiter scheidet aus
- In der Organisation den Zugriff entziehen oder das Mitglied entfernen. Entziehen behält die Zuordnung für eine spätere Rückkehr.
- Ist das Konto nicht mehr nötig, im Admin-Panel unter Users deaktivieren oder löschen; bei SSO zusätzlich im Identitätsanbieter sperren.
- Alle Passwörter ändern, die der Mitarbeiter kannte – Entziehen der Rechte löscht keine Kopie, die er sich offline, per Export oder im Kopf gemerkt hat. Das Ereignisprotokoll zeigt, welche Einträge er angesehen hat.
- Passwörter aus seinem persönlichen Tresor, die zu Firmendiensten gehören, gelten als unbekannt verwaltet – deshalb Firmenzugänge von Anfang an nur in der Organisation speichern.
Hinweise
- Einträge verschieben: Einträge aus dem persönlichen Tresor über Verschieben in Organisation der Organisation übergeben; die Zuordnung lässt sich nicht einfach rückgängig machen.
- Dienstleister: eigene Gruppe mit Zugriff nur auf die nötigen Sammlungen; Zugänge nach Projektende entziehen.
- Bei Rollen- und Berechtigungskonzepten für Passwortmanager und privilegierte Zugänge unterstützt Sie das Team Cybersecurity von m.a.x. it.
Siehe auch
- Vaultwarden – Überblick und alle Artikel der Reihe
- Vaultwarden: Migration von KeePass und anderen Passwortmanagern
- Active Directory
- Vaultwarden: Absichern und härten
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
