Vaultwarden
Auf einen Blick
| Gilt für | Vaultwarden 1.37.x (aktuell 1.37.4, Oktober 2026) mit den offiziellen Bitwarden-Clients (Web, Browser, Desktop, Android, iOS) |
|---|---|
| Bereich | IT-Security |
| Dauer | Überblick; Grundinstallation ca. 1–2 Stunden |
| Rechte | Root bzw. Docker-Rechte auf dem Server, Administrator des Vaultwarden-Admin-Panels |
| Stand | Oktober 2026 |
Vaultwarden ist ein schlanker, selbst gehosteter Server für den Passwortmanager Bitwarden: Er implementiert die Bitwarden-Schnittstellen in der Programmiersprache Rust und arbeitet mit den offiziellen Bitwarden-Apps für Browser, Desktop und Smartphone zusammen. Unternehmen behalten damit alle Passwortdaten auf eigenen Servern, brauchen für einen Betrieb mit wenigen Dutzend Benutzern nur einen kleinen Linux-Server oder Container und zahlen keine Lizenzgebühren. Diese Seite erklärt, was Vaultwarden leistet, wo die Grenzen liegen, und führt durch alle Artikel der Vaultwarden-Reihe.
Was ist Vaultwarden?
- Inoffizielle Server-Implementierung: Vaultwarden ist ein Open-Source-Projekt (Lizenz AGPL-3.0) und nicht mit Bitwarden Inc. verbunden. Es nutzt den Web-Tresor von Bitwarden mit kleinen Anpassungen; alle anderen Clients sind die unveränderten Bitwarden-Apps.
- Zero-Knowledge-Prinzip: Tresore werden auf dem Endgerät mit einem aus dem Master-Passwort abgeleiteten Schlüssel verschlüsselt. Der Server speichert nur verschlüsselte Daten – wer den Server übernimmt, hat noch keine Passwörter im Klartext, siehe Ende-zu-Ende-Verschlüsselung.
- Ressourcensparend: Ein einzelner Container mit SQLite-Datenbank genügt. Die Standardinstallation des offiziellen Bitwarden-Servers besteht dagegen aus rund einem Dutzend Containern mit Microsoft SQL Server.
- Zielgruppe: laut Projekt Einzelpersonen, Familien und kleinere Organisationen. Funktionen, die vor allem Großunternehmen brauchen, haben keine Priorität.
Vaultwarden, Bitwarden Cloud oder Bitwarden selbst gehostet?
| Kriterium | Vaultwarden | Bitwarden Cloud (EU) | Bitwarden selbst gehostet |
|---|---|---|---|
| Betrieb | eigener Server, eigene Verantwortung | durch Bitwarden | eigener Server |
| Kosten | keine Lizenzkosten | Abo je Benutzer | Abo je Benutzer, Lizenzdatei |
| Ressourcen | ein Container, wenig RAM | – | Standard: rund ein Dutzend Container mit MS SQL; „Bitwarden lite“ als Einzelcontainer laut Bitwarden nur für private Nutzung |
| Herstellersupport | keiner; Forum und GitHub | ja | ja |
| Organisationen, Sammlungen, Gruppen | ja (Gruppen per Schalter) | ja | ja |
| SSO mit OpenID Connect | ja, seit 1.35.0 | Enterprise-Tarif | Enterprise-Tarif |
| Eigene Rollen, Public API, einige Richtlinien | nein | ja | ja |
Entscheidungshilfe: Vaultwarden passt, wenn das Unternehmen Linux- und Docker-Betrieb beherrscht und die Daten im eigenen Haus halten will. Wer Herstellersupport, Zertifizierungen oder alle Enterprise-Richtlinien braucht, nimmt Bitwarden direkt.
Funktionen im Überblick
- Persönliche Tresore, Organisationen mit Sammlungen und Gruppen, Freigaben mit Zugriffsrechten
- Datei-Anhänge, Ordner, Favoriten, Papierkorb, Archiv, Master-Passwort-Abfrage für einzelne Einträge
- Bitwarden Send für verschlüsselte Einmal-Freigaben
- Notfallzugriff und Kontowiederherstellung durch Administratoren (setzt E-Mail-Versand voraus)
- Integrierter TOTP-Generator für Zwei-Faktor-Codes
- Zwei-Faktor-Anmeldung per Authenticator-App, E-Mail, FIDO2/WebAuthn, YubiKey OTP und Duo
- Single Sign-On über OpenID Connect, z. B. mit Entra ID oder Keycloak
- Ereignisprotokolle, Richtlinien wie „Zwei-Faktor-Anmeldung erforderlich“ und Master-Passwort-Anforderungen
- Directory Connector bzw. LDAP-Abgleich für Einladungen
- Live-Synchronisation per WebSocket (Browser, Desktop) und Push (Smartphone)
- Admin-Panel unter
/adminfür Einstellungen, Benutzer und Diagnose
Fehlt (Stand 1.37.4): Anmeldung mit Passkeys statt Master-Passwort, Schutz bei Anmeldung neuer Geräte, benutzerdefinierte Rollen, die öffentliche Bitwarden-API (nur für den Directory Connector umgesetzt) sowie die Richtlinien „Tresor-Timeout“, „SSO erforderlich“ und „Export verbieten“.
Sicherheit und Audits
- Das BSI hat Vaultwarden 1.30.3 im Projekt CAOS (Codeanalyse von Open-Source-Software) untersucht und die Ergebnisse im Oktober 2024 veröffentlicht, zusammen mit KeePass.
- ERNW fand im Oktober 2024 bei einem Penetrationstest u. a. eine Authentifizierungsumgehung, die in 1.32.5 behoben wurde.
- Vaultwarden veröffentlicht regelmäßig Sicherheitsupdates – 1.37.4 vom 5. Oktober 2026 behebt sieben Schwachstellen, eine davon mit hohem Schweregrad. Zeitnahe Updates sind Pflicht, siehe Vaultwarden: Absichern und härten.
- Neue Versionen der Bitwarden-Apps setzen oft eine aktuelle Vaultwarden-Version voraus, z. B. 1.37.0 für Clients ab 2026.7.0.
Anleitungen dieser Reihe
| Nr. | Artikel | Inhalt |
|---|---|---|
| 1 | Vaultwarden: Installation mit Docker Compose | Voraussetzungen, compose.yaml, Admin-Token mit Argon2, erstes Konto, SMTP, Push, Updates |
| 2 | Vaultwarden: HTTPS mit Reverse Proxy (Caddy, nginx, OPNsense) | Zertifikate, Caddy und nginx, WebSockets, echte Client-IP, interne Instanz |
| 3 | Vaultwarden: Absichern und härten | Registrierung schließen, Admin-Panel schützen, Fail2ban, Container-Härtung, Updates |
| 4 | Vaultwarden: Zwei-Faktor-Anmeldung und SSO mit OpenID Connect | TOTP, FIDO2, E-Mail, 2FA-Pflicht, SSO mit Entra ID und Keycloak |
| 5 | Vaultwarden: Organisationen, Sammlungen und Benutzerverwaltung | Rollen, Sammlungen, Gruppen, Richtlinien, Ereignisprotokoll, Offboarding |
| 6 | Vaultwarden: Backup und Wiederherstellung | Datenordner, SQLite-Backup, Verschlüsselung, Restore-Test |
| 7 | Vaultwarden: Migration von KeePass und anderen Passwortmanagern | Import, KeePass XML/CSV, Browser-Passwörter, Clients einrichten |
| 8 | Vaultwarden: Datenschutz und Betrieb im Unternehmen | DSGVO, TOMs, Push-Relay, Icon-Abruf, Protokolle, Betriebsrat, Notfallkonzept |
Hinweise
- Vaultwarden im Unternehmen: Lösungen auf Basis von Vaultwarden einzusetzen ist erlaubt. Supportfälle meldet man aber nicht bei Bitwarden, sondern im Vaultwarden-Forum oder auf GitHub.
- Keine öffentlichen Instanzen nutzen: Das Projekt betreibt selbst keinen öffentlichen Server und rät von fremden Instanzen ab.
- Bei Auswahl, Einführung und sicherem Betrieb eines Passwortmanagers unterstützt Sie das Team Cybersecurity von m.a.x. it.
Siehe auch
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
