NCA Social Media
Aktualisiert:
Autor:
Roland Golla
Grüner Tresor mit Vaultwarden Schriftzug, Server, Schlüssel und Schild

Was ist Vaultwarden?

Vaultwarden ist ein schlanker Open Source Server, der die Schnittstelle von Bitwarden nachbaut und in Rust geschrieben ist. Damit laufen die offiziellen Bitwarden Apps, Browser Erweiterungen und die CLI gegen einen Passwort Server auf deiner eigenen Infrastruktur.
Das Projekt hieß früher bitwarden_rs. Gegründet hat es Daniel García, heute pflegt es ein kleines Kernteam gemeinsam mit der Community. Es steht unter der AGPLv3 und hat auf GitHub über 66.000 Sterne. Vaultwarden ist kein offizielles Bitwarden Produkt. Fehler meldest du deshalb im Vaultwarden Repository, nicht beim Bitwarden Support.
Der Reiz liegt in der Größe: Wo der offizielle Bitwarden Server mehrere Container und deutlich mehr Ressourcen braucht, reicht für Vaultwarden ein kleiner Server oder ein Container neben deinen anderen Diensten. Aktuell ist Version 1.37.2 vom 22. August 2026. Sie ist Pflicht für Bitwarden Clients ab Version 2026.8.0.
Inhalt

Vaultwarden mit NCA: Schnelle Hilfe vom Experten

NCA betreibt die eigene Infrastruktur auf Servern in Deutschland über unseren Netzwerkpartner Conversis Duisburg. Passwörter und Zugangsdaten gehören für uns zum sensibelsten Teil dieser Infrastruktur. Deshalb planen wir, Vaultwarden ab 2027 selbst einzusetzen. Bis dahin ordnen wir das Projekt ehrlich ein: was es kann, wo die Risiken liegen und was ein sauberer Betrieb braucht.
Wir helfen Teams bei der SaaS Ablösung mit eigener Plattform statt vieler Einzeltools, beraten zur DSGVO konformen Datenarchitektur und begleiten den Betrieb mit Managed Hosting auf eigenen Servern. Für Deployments setzen wir auf saubere CI CD Pipelines, für KI Workloads auf selbst gehostete KI Assistenten ohne Cloud Abhängigkeit und für PHP Stacks auf unser PHP Consulting mit Symfony und Sulu.
NCA KI Workshop für Unternehmen

KI gemeinsam im Team verankern

Der NCA KI Workshop gibt eurem Team einen gemeinsamen Rahmen für KI. Workshoptag inhouse, optional mit Praxistag, als Variante für Developer oder alle Abteilungen.

  1. 1
    Kostenloses Vorgespräch
    Ziele und Teilnehmer klären
  2. 2
    Variante wählen
    Developer oder alle Abteilungen
  3. 3
    Workshoptag bei euch
    Ein Tag inhouse, danach bleibt ein Rahmen
Roland Golla
Roland Golla
Fullstack Developer
Workshop Varianten ansehen arrow_forward

Wie Vaultwarden funktioniert: Server, Clients, Verschlüsselung

Vaultwarden ist nur der Server. Die Arbeit am Tresor machen die Clients: die Bitwarden App auf dem Handy, die Browser Erweiterung etwa im Brave Browser, die Desktop App und die CLI. Du trägst in den Einstellungen einfach die Adresse deines eigenen Servers ein.
Die Verschlüsselung passiert auf dem Gerät. Der Tresor wird mit deinem Master Passwort lokal ver und entschlüsselt. Auf dem Server liegt nur der verschlüsselte Datenblock. Wer den Server kompromittiert, sieht also keine Klartext Passwörter. Er sieht aber Metadaten wie Nutzer, Organisationen und Zeitpunkte.
Für den Betrieb brauchst du drei Bausteine:
  • Vaultwarden Container mit dem eingebauten Web Vault
  • Datenbank: SQLite für kleine Teams, MySQL, MariaDB oder PostgreSQL für mehr Last
  • Reverse Proxy mit HTTPS, etwa Caddy mit automatischem HTTPS. Ohne gültiges Zertifikat funktionieren Web Vault und Passkeys nicht.

Funktionen: Was Vaultwarden 2026 kann

Vaultwarden deckt fast alles ab, was Teams im Alltag brauchen. Viele Funktionen, die bei Bitwarden nur in bezahlten Plänen stecken, sind hier direkt dabei.
  • Tresor und Ordner für Logins, Karten, Notizen und Identitäten
  • Organisationen und Sammlungen für geteilte Team Passwörter mit Rollen
  • Zwei Faktor Anmeldung per TOTP App, Mail, YubiKey, Duo und WebAuthn
  • Passkeys im Tresor speichern und nutzen
  • Bitwarden Send für verschlüsselte Einmal Links
  • Notfallzugriff für Vertrauenspersonen
  • Archiv für Einträge seit Version 1.36.0
  • SSO Anmeldung über einen OpenID Connect Anbieter
  • Admin Oberfläche für Nutzer, Einladungen und Einstellungen
Für Entwickler interessant: Über die Bitwarden CLI lassen sich Secrets auch in Skripte und CI CD Pipelines holen. So landen Zugangsdaten nicht mehr im Code. Das passt direkt zu unseren Regeln für Vibe Coding Security: Secrets gehören nie in den Quellcode.

Vaultwarden vs Bitwarden: der ehrliche Vergleich

Die Frage ist nicht, welcher Server besser ist. Die Frage ist, wer den Betrieb verantwortet. Bitwarden Cloud nimmt dir Arbeit ab, liegt aber bei einem US Anbieter. Der offizielle Bitwarden Server lässt sich selbst hosten, ist aber schwerer. Vaultwarden ist leicht, aber inoffiziell. Die Tabelle zeigt die Unterschiede.

Vaultwarden und Bitwarden im Vergleich

Kriterium Vaultwarden Bitwarden Server offiziell
Herkunft Community Projekt, inoffiziell Bitwarden Inc., offizielles Produkt
Sprache Rust, ein Container C# und .NET, mehrere Container
Ressourcen Läuft auf kleinen Servern Deutlich mehr RAM und Setup
Datenbank SQLite, MySQL, MariaDB, PostgreSQL Vom Hersteller vorgegeben
Premium Funktionen Ohne Lizenz nutzbar Teilweise nur mit Lizenz
Support GitHub und Community Forum Hersteller Support
Security Prozess Advisories auf GitHub, schnelle Patches Hersteller Prozess mit externen Audits

Vaultwarden installieren: Docker Compose und Caddy

Der schnellste Weg ist Docker Compose auf einem eigenen Linux Server. Wichtig: Pinne eine feste Version statt latest. So entscheidest du selbst, wann ein Update kommt, und machst vorher ein Backup.
Code: 
          
services:
  vaultwarden:
    image: vaultwarden/server:1.37.2
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.de"
      SIGNUPS_ALLOWED: "false"
    volumes:
      - ./vw-data:/data
    ports:
      - "127.0.0.1:8080:80"
Der Container lauscht nur lokal. Nach außen spricht ausschließlich der Reverse Proxy. Mit Caddy reicht dafür ein kurzer Eintrag, das Zertifikat holt Caddy automatisch:
Code: 
          
vault.example.de {
    reverse_proxy 127.0.0.1:8080
}
Drei Punkte solltest du direkt nach dem Start klären: Registrierung schließen mit SIGNUPS_ALLOWED false, den Admin Token als Argon2 Hash setzen statt als Klartext und einen Mailserver für Einladungen eintragen. Mehr zu Argon2 findest du in unserem Artikel zu Argon2id Passwort Hashing. Wer lieber klickt statt Compose Dateien pflegt, kann Vaultwarden auch über Coolify als Self hosted PaaS ausrollen.

Sicherheit und Updates: warum Betrieb die eigentliche Arbeit ist

Self Hosting heißt: Du bist für die Patches verantwortlich. 2026 zeigt das deutlich. Version 1.35.5 im April, 1.36.0 im Mai und 1.37.0 im Juli brachten jeweils mehrere Security Fixes. Darunter waren Lücken beim Zugriff über Organisationsgrenzen, SSRF über den Icon Endpoint und Probleme im SSO Login.
Dazu kommt der Takt der Bitwarden Clients. Neue App Versionen brauchen oft eine neue Vaultwarden Version. Nach dem Client Update 2026.8.0 konnten sich manche Teams mit alten Servern nicht mehr anmelden. Die Lösung war Version 1.37.2.
Unsere Regeln für einen stabilen Betrieb:
  • Security Advisories im GitHub Repository beobachten
  • Feste Image Version, Update bewusst einspielen
  • Vor jedem Update ein Backup von Datenbank und Datenordner
  • Admin Panel nur aus internem Netz oder hinter zusätzlicher Auth erreichbar
  • Fail2ban oder Rate Limits gegen Brute Force Versuche
  • Monitoring für Erreichbarkeit und Fehler, etwa mit Sentry und Grafana

DSGVO und Datenhoheit: Passwörter auf eigenen Servern

Passwort Manager aus der Cloud liegen meist bei US Anbietern. Auch wenn die Daten Ende zu Ende verschlüsselt sind, bleiben Metadaten, Nutzerkonten und die Abhängigkeit vom Anbieter. Mit Vaultwarden auf einem Server in Deutschland liegt alles in deiner Hand.
Das passt zu einem souveränen Stack aus europäischen und Open Source Bausteinen. Wer Office und Zusammenarbeit mit openDesk als Microsoft 365 Alternative aufbaut, Handys mit Fossify Apps ohne Google ausstattet oder KI lokal betreibt wie bei Project NOMAD, schließt mit Vaultwarden eine wichtige Lücke.
Rechtlich bleibt Arbeit: Verzeichnis der Verarbeitungstätigkeiten, Zugriffskonzept, Löschfristen und technische Maßnahmen nach Art. 32 DSGVO. Self Hosting macht Datenschutz einfacher, aber nicht automatisch fertig. Hier unterstützen wir mit unserer Datenschutz und DSGVO Beratung.

Für wen Vaultwarden passt und wo die Grenzen liegen

Vaultwarden ist geeignet für kleine und mittlere Teams, Agenturen, Entwickler und Familien, die ihre Passwörter selbst hosten wollen und jemanden haben, der den Server pflegt. Es hat Stärken bei geringen Ressourcen, einfacher Installation und vollem Funktionsumfang ohne Lizenzkosten.
Weniger geeignet ist es, wenn niemand im Team Verantwortung für Updates übernimmt, wenn Compliance Vorgaben einen Hersteller Support mit Vertrag verlangen oder wenn externe Audits zwingend sind. Dann ist der offizielle Bitwarden Server oder ein europäischer Managed Anbieter oft die bessere Wahl.
Ein Punkt wird gern übersehen: Die AGPLv3. Wer Vaultwarden verändert und anderen als Dienst anbietet, muss den geänderten Quellcode auf Anfrage bereitstellen. Für den internen Einsatz ohne eigene Änderungen spielt das meist keine Rolle.

Vaultwarden in den Worten des Projekts

Das Projekt beschreibt sich im eigenen GitHub Repository selbst sehr nüchtern:
Unofficial Bitwarden compatible server written in Rust, formerly known as bitwarden_rs
Quelle: Projektbeschreibung im Vaultwarden Repository auf GitHub. Das Wort Unofficial steht bewusst vorne. Es erinnert daran, dass Vaultwarden kompatibel ist, aber nicht vom Hersteller stammt.

NCA Erfahrung mit Self Hosting und Secret Management

In unseren Beratungsprojekten taucht das Thema Secrets fast immer auf. Zugangsdaten liegen in Chat Verläufen, in Tabellen oder direkt im Code. Mit KI Coding wird das nicht besser, denn Agents kopieren gern Platzhalter und echte Keys an Stellen, wo sie nicht hingehören. Deshalb gehört für uns ein zentraler Passwort Server zu jeder ernsthaften Self Hosting Strategie.
Wir ordnen Vaultwarden dort ein, wo es Teil eines größeren Stacks wird: neben Caddy als Reverse Proxy, selbst gehosteter KI mit Ollama und Open WebUI oder einem Always on Setup wie beim Clawdbot Mac Mini Setup. Auf der Agenturseite begleiten wir Teams mit Vibe Coding Consulting, beim Deployment von Vibe Coding Apps in Production und mit Managed Hosting auf eigenen Servern.
Auch das Frontend profitiert: Saubere Autocomplete Attribute sorgen dafür, dass Passwort Manager Formulare zuverlässig ausfüllen. Mehr dazu in unserem Beitrag zu barrierefreien Formularen. Einen Überblick über weitere Werkzeuge findest du im NCA Glossar Open Source Projekte.
CYPRESS.IO Ambassador und IT Consultant für QA Engenieering und Qualität in PHP Projekten.
Frontend: Optimieren Sie Ihre Webseite mit Astro JS und nutzen Sie die Vorteile der Barrierefreiheit

Optimieren Sie Ihre Webseite mit Astro JS und nutzen Sie die Vorteile einer schnellen, sicheren und barrierefreien Webseite. Erfüllen Sie die gesetzlichen Anforderungen und verbessern Sie die Benutzererfahrung Ihrer Webseite. Mit Astro JS können Sie die Ladezeit reduzieren, die Sicherheit maximieren und die SEO-Optimierung verbessern. Kontaktieren Sie uns, um mehr zu erfahren und um Ihre Webseite auf ein neues Level zu heben.

E-Mail Kontakt

Häufige Fragen zu Vaultwarden

Die wichtigsten Antworten zu Installation, Sicherheit, DSGVO und Betrieb von Vaultwarden, kurz und direkt.
Was ist Vaultwarden 2026?

Vaultwarden ist ein Open Source Server in Rust, der die Bitwarden Schnittstelle nachbaut. Die offiziellen Bitwarden Apps, Browser Erweiterungen und die CLI verbinden sich damit wie mit dem Original. Das Projekt hieß früher bitwarden_rs, steht unter der AGPLv3 und ist kein offizielles Bitwarden Produkt. Aktuell ist Version 1.37.2 vom August 2026.

Welche Vaultwarden Version ist 2026 aktuell?

Aktuell ist Vaultwarden 1.37.2 vom 22. August 2026. Diese Version ist nötig für Bitwarden Clients ab 2026.8.0. Davor brachte 1.37.0 im Juli mehrere Security Fixes. Prüfe vor jedem Update die Release Notes im GitHub Repository und mach vorher ein Backup von Datenbank und Datenordner.

Ist Vaultwarden 2026 sicher?

Die Tresordaten werden auf dem Gerät verschlüsselt, der Server speichert nur verschlüsselte Blöcke. Trotzdem gab es 2026 mehrere Server Lücken, die schnell gepatcht wurden. Sicher ist Vaultwarden nur mit gepflegtem Betrieb: aktuelle Version, HTTPS, geschlossene Registrierung, geschütztes Admin Panel, Backups und Monitoring.

Ist Vaultwarden 2026 DSGVO konform nutzbar?

Ja, Vaultwarden eignet sich gut für DSGVO konformen Betrieb, weil alle Daten auf deinem eigenen Server liegen, etwa in Deutschland. Konform wird es aber erst durch dein Umfeld: Verarbeitungsverzeichnis, Zugriffskonzept, Löschfristen und technische Maßnahmen nach Art. 32 DSGVO. Self Hosting nimmt dir den US Anbieter ab, nicht die Dokumentation.

Was kostet Vaultwarden 2026?

Die Software selbst ist kostenlos und Open Source. Es fallen keine Lizenzen pro Nutzer an, auch Funktionen wie Organisationen oder TOTP sind enthalten. Kosten entstehen durch Server, Domain, Backups und vor allem durch die Zeit für Updates und Betrieb. Diesen Aufwand solltest du ehrlich einplanen.

Was ist der Unterschied zwischen Vaultwarden und Bitwarden?

Bitwarden ist das offizielle Produkt mit Cloud und selbst hostbarem Server in C# und .NET. Vaultwarden ist ein inoffizieller Nachbau des Servers in Rust. Die Clients sind dieselben. Vaultwarden braucht weniger Ressourcen und keine Lizenz für Premium Funktionen, bietet aber keinen Hersteller Support.

Welche Apps funktionieren mit Vaultwarden?

Alle offiziellen Bitwarden Clients: Apps für Android und iOS, Desktop Apps für Windows, macOS und Linux, Browser Erweiterungen für Chromium Browser und Firefox sowie die Bitwarden CLI. In den Einstellungen trägst du vor dem Login die Adresse deines eigenen Servers ein. Neue Client Versionen brauchen teils eine aktuelle Vaultwarden Version.

Welche Datenbank braucht Vaultwarden?

Standard ist SQLite, das reicht für kleine Teams und ist am einfachsten zu sichern. Für mehr Nutzer oder bestehende Infrastruktur unterstützt Vaultwarden auch MySQL, MariaDB und PostgreSQL. Die Wahl triffst du über die Variable DATABASE_URL. Seit Version 1.37.0 bricht Vaultwarden bei einer ungültigen URL ab, statt still auf SQLite zu wechseln.

Brauche ich HTTPS für Vaultwarden?

Ja. Das Web Vault nutzt Kryptografie Funktionen des Browsers, die nur in einem sicheren Kontext laufen. Auch Passkeys und WebAuthn verlangen HTTPS. Am einfachsten setzt du einen Reverse Proxy wie Caddy davor, der Zertifikate automatisch holt und erneuert. Der Vaultwarden Container selbst lauscht dann nur lokal.

Wie sichere ich Vaultwarden richtig?

Sichere regelmäßig den kompletten Datenordner mit Datenbank, Anhängen, Send Dateien und Schlüsseln. Bei SQLite hilft ein konsistenter Export statt einer bloßen Dateikopie im laufenden Betrieb. Lege Backups verschlüsselt an einem zweiten Ort ab und teste die Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist nur eine Hoffnung.

Unterstützt Vaultwarden SSO und Passkeys?

Ja. Neuere Versionen unterstützen die Anmeldung per SSO über einen OpenID Connect Anbieter. Passkeys kannst du im Tresor speichern und mit den Bitwarden Clients nutzen. Für die Zwei Faktor Anmeldung stehen TOTP Apps, Mail, YubiKey, Duo und WebAuthn bereit. Alles setzt einen sauber per HTTPS erreichbaren Server voraus.

Setzt NCA Vaultwarden selbst ein?

Noch nicht produktiv. NCA plant, Vaultwarden ab 2027 auf den eigenen Servern in Deutschland einzusetzen. Bis dahin beobachten wir Releases und Security Advisories genau und ordnen das Projekt für Teams ein, die ihren Passwort Server selbst betreiben wollen. So fließen unsere Erfahrungen später direkt in die Beratung ein.