Über Vaultwarden
Vaultwarden ist eine Neuimplementierung der Bitwarden-Server-API in Rust. Der Server arbeitet mit den offiziellen Bitwarden-Apps und -Erweiterungen zusammen (Browser, Mobilgerät, Desktop, Kommandozeile) und braucht dabei sehr wenig Ressourcen, sodass auch ein kleiner VPS genügt. Eingesetzt wird er von Entwicklern, Familien und kleinen Teams, die ihre Zugangsdaten auf einem Server speichern wollen, den sie selbst kontrollieren.
Nach der Lieferung hat das Installationsskript Docker eingerichtet und mit Docker Compose zwei Container in /opt/vaultwarden gestartet. Vaultwarden lauscht nur lokal (127.0.0.1:8080), Caddy stellt die Oberfläche per HTTPS auf Port 443 bereit. Die Daten liegen in einem benannten Docker-Volume namens vw_data.
Das Zertifikat ist selbstsigniert (Caddy-Direktive tls internal) und an die öffentliche IP-Adresse des Servers gebunden. Ihr Browser zeigt deshalb eine Warnung an, bis Sie einen Domainnamen zugeordnet haben. Die Registrierung ist zunächst offen (SIGNUPS_ALLOWED=true): Sie legen Ihr Konto an und schließen sie danach.
Was Sie mit Vaultwarden tun können
Kompatibel mit Bitwarden-Clients
Bitwarden-Apps und -Erweiterungen verbinden sich mit Ihrem Server, sobald Sie dessen URL eintragen. Sie behalten die gewohnten Werkzeuge und brauchen keinen Drittanbieter.
Geringer Ressourcenverbrauch
Vaultwarden ist in Rust geschrieben und läuft problemlos auf einem kleinen VPS. Auf demselben Rechner bleibt Platz für weitere Dienste.
HTTPS über Caddy
Caddy läuft im Host-Netzwerk und liefert die Oberfläche auf Port 443 mit einem selbstsignierten Zertifikat aus. Der Vaultwarden-Container ist nicht direkt aus dem Internet erreichbar.
Bereitstellung mit Docker Compose
Die gesamte Konfiguration steckt in
/opt/vaultwarden/docker-compose.ymlund imCaddyfile. Nach einer Änderung übernimmtdocker compose up -dsie.Daten in eigenem Volume
Datenbank und Anhänge liegen im Volume
vw_data, getrennt vom Container. Sie können das Image aktualisieren, ohne Ihre Tresore anzufassen.Steuerbare Registrierung
Über die Variable
SIGNUPS_ALLOWEDschließen Sie die Kontoerstellung, sobald Ihre Nutzer registriert sind. So kann sich kein Fremder auf Ihrer Instanz anmelden.
Erste Schritte mit Vaultwarden
Von der Bestellung bis zum Produktivbetrieb in wenigen Minuten.
- 1
VPS mit Vaultwarden bestellen
Wählen Sie einen Linux-VPS (Paris oder Frankfurt) mit Debian 12, Debian 13 oder Ubuntu 20.04, 22.04, 24.04. Haken Sie Vaultwarden im Tab "Applications" des Bestellformulars an.
- 2
Installation nach der Lieferung prüfen
Warten Sie nach der Lieferung einige Minuten: Das Skript installiert Docker und startet dann die Container. Verbinden Sie sich per SSH und prüfen Sie, ob
vaultwardenundcaddylaufen.Bashssh root@SERVER_IP cd /opt/vaultwarden docker compose ps - 3
Ihr Hauptkonto anlegen
Öffnen Sie https://SERVER_IP im Browser und bestätigen Sie die Warnung zum selbstsignierten Zertifikat. Legen Sie Ihr Konto an und schließen Sie danach die Registrierung, damit sich niemand sonst eines erstellen kann.
Bashsed -i 's/SIGNUPS_ALLOWED=true/SIGNUPS_ALLOWED=false/' /opt/vaultwarden/docker-compose.yml cd /opt/vaultwarden && docker compose up -d - 4
Auf eine Domain mit gültigem HTTPS umstellen
Setzen Sie einen A-Record von YOUR_DOMAIN auf SERVER_IP. Ersetzen Sie im Caddyfile den Block durch YOUR_DOMAIN ohne
tls internal, tragen SieDOMAIN=https://YOUR_DOMAINin die docker-compose.yml ein, öffnen Sie die Ports 80 und 443 und starten Sie neu.Bashcd /opt/vaultwarden nano Caddyfile nano docker-compose.yml ufw allow 22/tcp && ufw allow 80/tcp && ufw allow 443/tcp docker compose up -d --force-recreate
Einsatzbereiche von Vaultwarden
Persönlicher oder Familientresor
Sie speichern Passwörter, sichere Notizen und Wiederherstellungscodes Ihres Haushalts auf einem eigenen Server, erreichbar von all Ihren Geräten.
Zugriffsverwaltung für kleine Teams
Sie teilen Zugangsdaten (Serverzugänge, SaaS-Konten, API-Schlüssel) zwischen wenigen Mitarbeitenden über Bitwarden-Organisationen und -Sammlungen.
Alternative zum Cloud-Abonnement
Sie verlassen einen extern gehosteten Passwortmanager, behalten denselben Bitwarden-Client und halten Ihre Daten auf einem VPS in Europa.
Baustein für interne Werkzeuge
Sie betreiben den Tresor neben anderen selbst gehosteten Diensten auf demselben VPS, möglich dank des geringen Speicherbedarfs.
Häufige Fragen zu Vaultwarden
Das Zertifikat erzeugt Caddy selbst (tls internal) für die IP-Adresse des Servers, es ist also von keiner öffentlichen Zertifizierungsstelle signiert. Für das Anlegen Ihres Kontos können Sie es akzeptieren. Für den dauerhaften Betrieb ordnen Sie eine Domain zu und lassen Caddy ein gültiges Zertifikat beziehen.
Mehr über Vaultwarden
Wichtige Dateien und Dienste
Alles liegt in /opt/vaultwarden: das Skript install-vaultwarden.sh, die Datei docker-compose.yml und das Caddyfile. Die drei Docker-Volumes heißen vw_data (Ihre Daten), caddy_data (Zertifikate) und caddy_config. Beide Container starten automatisch neu (restart: always).
Eigene Domain verwenden
Das bei der Lieferung eingerichtete Zertifikat ist selbstsigniert und an die IP gebunden. Mobile Apps und einige Erweiterungen lehnen solche Zertifikate unter Umständen ab, für den täglichen Gebrauch empfiehlt sich daher eine Domain mit gültigem Zertifikat. Mit einem Domainnamen (siehe unsere Domains) sieht ein minimales Caddyfile so aus:
YOUR_DOMAIN {
reverse_proxy 127.0.0.1:8080
}
Caddy holt sich dann ein öffentliches Zertifikat, vorausgesetzt der DNS-Eintrag zeigt auf den Server und die Ports 80 und 443 sind erreichbar. Starten Sie nach der Änderung mit docker compose restart caddy neu. Passen Sie außerdem die Variable DOMAIN von Vaultwarden an.
Backups
Sichern Sie das Volume vw_data: Es enthält die SQLite-Datenbank, die Schlüssel und die Anhänge. Der genaue Volume-Name hängt vom Projektordner ab, prüfen Sie ihn mit docker volume ls (er sollte vaultwarden_vw_data lauten).
docker run --rm -v vaultwarden_vw_data:/data -v /root:/backup alpine tar czf /backup/vw-backup.tgz -C /data .
Kopieren Sie das Archiv anschließend vom Server weg. Ein Backup auf demselben VPS schützt Sie nicht, wenn die Maschine ausfällt. Die Anleitungen im Bereich /learn helfen Ihnen, diesen Schritt zu automatisieren.
Updates
Verwendet wird das Image vaultwarden/server:latest. Um auf die neueste Version zu wechseln, erstellen Sie zuerst ein Backup und führen dann Folgendes aus:
cd /opt/vaultwarden
docker compose pull
docker compose up -d
