Vaultwarden vs Bitwarden: Welcher Server für den VPS?

Was Vaultwarden und Bitwarden Self-Hosted tatsächlich sind

Vaultwarden vs. Bitwarden Self-Hosted ist eine Entscheidung zwischen zwei Servern, die dieselbe Client-API sprechen, nicht zwischen zwei Passwort-Managern. Der eigene Stack von Bitwarden läuft mit etwa einem Dutzend Containern hinter nginx, speichert alle Daten in Microsoft SQL Server und ist an eine Installations-ID gebunden, die Sie mit einer E-Mail-Adresse registrieren. Vaultwarden ist eine inoffizielle, in Rust geschriebene Neuimplementierung der Bitwarden-Client-API. Sie läuft als ein Container mit einer SQLite-Datei. Ihre Browsererweiterung und Ihr Telefon können die beiden Server nicht unterscheiden, weil beide auf dieselben Endpunkte antworten.

Die Verschlüsselung ist in beiden Fällen identisch. Bitwarden-Clients verschlüsseln den Tresor, bevor Daten das Gerät verlassen. Der Server speichert daher Datenblöcke, die er nicht lesen kann. Das Tresorformat stammt in beiden Fällen von Bitwarden. Unterschiede gibt es beim benötigten Serverumfang, bei der Pflege des Codes, bei kostenpflichtigen Funktionen und bei den Daten, die Sie sichern müssen.

Die README von Vaultwarden beschreibt den Status des Projekts eindeutig: "This project is not associated with Bitwarden or Bitwarden, Inc." Es handelt sich um ein von Freiwilligen getragenes Projekt ohne Support und ohne Gewährleistung. Ein aktiver Maintainer arbeitet bei Bitwarden und beteiligt sich in seiner Freizeit am Projekt. Das ist eine Unterstützung aus persönlicher Initiative, keine Empfehlung durch Bitwarden.

Die drei Stacks, die Sie installieren können

Bei den meisten Vergleichen wird übersehen, dass Bitwarden zwei verschiedene Self-Hosted-Produkte anbietet.

Bitwarden standard. Die vom Anbieter vorgesehene Bereitstellung über ein Shell-Skript.

curl -Lso bitwarden.sh "https://func.bitwarden.com/api/dl/?app=self-host&platform=linux" \
  && chmod 700 bitwarden.sh
./bitwarden.sh install

Das Installationsprogramm fragt nach Ihrer Domain, danach, ob ein Let's-Encrypt-Zertifikat angefordert werden soll, nach einer Installations-ID und einem Schlüssel, die Sie über https://bitwarden.com/host durch Eingabe einer E-Mail-Adresse erhalten, sowie nach Ihrer Region (US oder EU). Anschließend lädt ./bitwarden.sh start die Images herunter und startet den Stack. Bitwarden nennt 2 GB RAM und 12 GB Speicherplatz als Mindestanforderung, 4 GB RAM und 25 GB Speicherplatz als Empfehlung sowie Docker Engine 26 oder neuer mit dem Compose-Plugin. Die Datenbank ist ein MSSQL-Express-Image. Bitwarden dokumentiert dafür eine maximale Größe der relationalen Datenbank von 10 GB. Wenn das nicht ausreicht, können Sie die Bereitstellung stattdessen auf eine externe Datenbank verweisen.

Bitwarden lite. Diese Bereitstellung hieß früher Bitwarden Unified. Sie verließ im Dezember 2025 die Beta-Phase und wurde umbenannt. Ein Anwendungskontainer plus eine Datenbank Ihrer Wahl:

services:
  bitwarden:
    depends_on:
      - db
    env_file:
      - settings.env
    image: ghcr.io/bitwarden/lite
    restart: always
    ports:
      - "80:8080"
    volumes:
      - bitwarden:/etc/bitwarden
  db:
    environment:
      MARIADB_USER: "bitwarden"
      MARIADB_PASSWORD: "super_strong_password"
      MARIADB_DATABASE: "bitwarden_vault"
      MARIADB_RANDOM_ROOT_PASSWORD: "true"
    image: mariadb:10
    restart: always
    volumes:
      - data:/var/lib/mysql
volumes:
  bitwarden:
  data:

Unterstützt werden MariaDB oder MySQL, PostgreSQL, SQLite und MSSQL. Als Anforderungen nennt Bitwarden 200 MB RAM und 1 GB Speicherplatz. Zwei Einschränkungen ergeben sich aus der Dokumentation von Bitwarden. Die Bereitstellung ist für die persönliche Nutzung und Home-Labs dokumentiert, nicht für den geschäftlichen Einsatz. Außerdem erstellt sie keine automatischen Datenbanksicherungen. Dafür sind vollständig Sie zuständig.

Vaultwarden. Ein einzelner Kontainer, direkt aus der Projekt-README:

docker run --detach --name vaultwarden \
  --env DOMAIN="https://vw.domain.tld" \
  --volume /vw-data/:/data/ \
  --restart unless-stopped \
  --publish 127.0.0.1:8000:80 \
  vaultwarden/server:latest

Die Publish-Zeile bindet Port 8000 nur an Loopback. Das ist beabsichtigt. Vaultwarden stellt unverschlüsseltes HTTP bereit und erwartet davor einen Reverse Proxy, der TLS (Transport Layer Security) terminiert. TLS ist hier erforderlich: Der Web-Tresor verschlüsselt mit der WebCrypto-API des Browsers. Browser stellen diese API nur in einem sicheren Kontext bereit. Über einfaches http schlägt die Anmeldeseite daher im Browser fehl, bevor Ihr Server überhaupt angesprochen wird. Die vollständige Installationsanleitung für Vaultwarden behandelt den Proxy und das Zertifikat.

Wie viel RAM benötigt Vaultwarden im Vergleich zu Bitwarden im Self-Hosting?

Die Mindestanforderungen des Anbieters zeigen, unter welchen Bedingungen der Installer den Start verweigert. Sie zeigen nicht, wie viel Ressourcen die Software im Betrieb benötigt. Die folgenden Werte stammen aus docker stats --no-stream bei inaktiven Installationen mit jeweils einem Benutzer, einem kleinen Tresor und ohne Anhänge. Getestet wurde auf einem Ubuntu-24.04-System mit 4 GB RAM. Der Speicherplatz umfasst die Images und das Datenverzeichnis nach dem ersten erfolgreichen Start.

[
  {
    "label": "Vaultwarden (SQLite)",
    "idle_ram_mb": 58,
    "containers": 1,
    "disk_gb": 0.4
  },
  {
    "label": "Bitwarden lite + MariaDB",
    "idle_ram_mb": 470,
    "containers": 2,
    "disk_gb": 1.6
  },
  {
    "label": "Bitwarden standard (MSSQL)",
    "idle_ram_mb": "2,400",
    "containers": 12,
    "disk_gb": 6.5
  }
]

Vaultwarden belegte im Leerlauf 58 MB in einem einzelnen Container. Der standardmäßige Bitwarden-Stack belegte im Leerlauf etwa 2,400 MB über 12 Container hinweg. Der MSSQL-Container beansprucht davon den größten Anteil. Bitwarden lite lag mit 470 MB und seinem MariaDB-Container dazwischen. Führen Sie denselben Befehl auf Ihrem eigenen System aus, bevor Sie sich auf diese Werte verlassen. Sie ändern sich mit der Benutzerzahl, den Anhängen und dem Synchronisierungsverkehr. Außerdem vergrößert MSSQL seine Arbeitsspeichermenge, je länger es läuft.

Für einen kleinen VPS ergibt sich daraus: Vaultwarden mit SQLite läuft problemlos auf einem Tarif mit 1 GB. Der standardmäßige Bitwarden-Stack startet dort nicht. Auf einem Tarif mit 2 GB erfüllt der Standard-Stack zwar die dokumentierte Mindestanforderung, lässt dem Betriebssystem aber nur sehr wenig Speicher. Dadurch wird der Out-of-Memory-Killer des Kernels zu einem realistischen Risiko. Wenn er ausgelöst wird, gibt dmesg eine Zeile mit dem Namen des beendeten Prozesses aus. Bei diesem Stack ist das normalerweise sqlservr. Planen Sie für die Standardbereitstellung 4 GB ein. Wenn auf demselben VPS mehr als ein Tresor betrieben werden soll, ermitteln Sie vor der Tarifwahl den Speicherbedarf der anderen Dienste. Ein Fotoserver wie PhotoPrism oder Immich benötigt deutlich mehr Speicher als Vaultwarden. Nicht jeder zusätzliche Dienst ist jedoch so anspruchsvoll: Halcyon, das eine Jellyfin-Bibliothek wie eine Videothek aus den 90er-Jahren darstellt, ist ein Browser-Frontend. Es nutzt den Mediaserver, auf den es verweist, und bringt keine eigene Datenbank mit. Der Speicherbedarf ist außerdem nicht die einzige relevante Grenze. Ein RustDesk-Relay für Remotedesktop-Sitzungen fällt in docker stats kaum ins Gewicht, verbraucht dafür aber das Bandbreitenkontingent Ihres Tarifs.

Welche kostenpflichtigen Funktionen sind in Vaultwarden kostenlos?

Der Betrieb des Bitwarden-Servers kostet nichts. Kostenpflichtige Funktionen bleiben jedoch gesperrt, bis Sie eine Lizenzdatei hochladen. Premium-Einzelkonten und die kostenpflichtigen Organisationspläne, die selbst gehostet werden können, also Families und Enterprise (Bitwarden bietet für Teams keine Self-Hosting-Option), benötigen eine solche Datei. Sie laden sie aus dem Cloud-Webvault herunter: bei einem Einzelkonto unter Settings und anschließend Subscription oder bei einer Organisation in der Admin Console unter Billing und anschließend Subscription. Danach laden Sie sie in Ihre eigene Instanz hoch. Organisationslizenzen werden für die Installations-ID ausgestellt, die in ./bwdata/env/global.override.env gespeichert ist. Eine selbst gehostete Organisation verfügt daher weiterhin über ein kostenpflichtiges Abonnement und kommuniziert für die Abrechnung weiterhin mit der Bitwarden-Cloud.

Vaultwarden aktiviert dieselben Funktionen ohne Lizenz und ohne Abonnement. Das Projekt-Wiki führt sie auf:

• Organisationen, Sammlungen und Gruppen
• Dateianhänge
• Zwei-Schritt-Anmeldung mit E-Mail, Duo, YubiKey und FIDO2
• Emergency Access
• Bitwarden Send
• persönliche API-Schlüssel
• SSO über OpenID Connect

SSO ist die neueste dieser Funktionen und wird mit SSO_ENABLED, SSO_AUTHORITY, SSO_CLIENT_ID und SSO_CLIENT_SECRET konfiguriert. Es authentifiziert nur die Anmeldung. Im Wiki wird ausdrücklich darauf hingewiesen, dass weiterhin ein Master-Passwort erforderlich ist. Dieses wird nicht vom Identity Provider verwaltet, weil daraus der Schlüssel abgeleitet wird, mit dem der Tresor entschlüsselt wird. Verweisen Sie SSO_AUTHORITY auf den Discovery-Issuer von einem selbst gehosteten Authentik-Identity-Provider. Benutzer melden sich dann dort an und entsperren den Tresor anschließend mit ihrem Master-Passwort. Der Wert muss mit dem Feld issuer übereinstimmen, das der Discovery-Endpunkt zurückgibt, jedoch ohne das Suffix /.well-known/openid-configuration am Ende.

Was Sie von Vaultwarden nicht erhalten, ist ein Anbieter. Bitwarden verfügt über SOC 2 Type 2 und ISO 27001, veröffentlicht Auditberichte von Drittanbietern und betreibt ein privates Bug-Bounty-Programm bei HackerOne. Diese Nachweise beziehen sich auf den Code und den Dienst von Bitwarden, nicht auf den von Ihnen installierten Server. Wenn ein Auditor jedoch einen benannten Anbieter hinter Ihrem Passwort-Manager verlangt, ist eine freiwillige Neuimplementierung schwer zu vertreten.

Funktionieren die offiziellen Bitwarden-Apps mit Vaultwarden?

Ja. Vaultwarden implementiert die Client-API. Daher funktionieren Browsererweiterungen, Desktop-Apps, mobile Apps und der integrierte Web-Vault damit. In jedem Client legen Sie die URL des selbst gehosteten Servers auf dem Umgebungsbildschirm fest, bevor Sie sich anmelden, nicht danach.

Eine Funktion erfordert zusätzliche Konfiguration: Push-Benachrichtigungen an die mobilen Apps. Ohne diese synchronisiert die App beim Öffnen oder nach einem eigenen Zeitplan. Daher erscheint ein auf dem Laptop geändertes Passwort erst auf dem Smartphone, wenn Sie die App öffnen. Vaultwarden kann das Push-Relay von Bitwarden verwenden. Dafür benötigt es eine Installations-ID und einen Schlüssel von derselben https://bitwarden.com/host-Seite, die auch das offizielle Installationsprogramm verwendet.

PUSH_ENABLED=true
PUSH_INSTALLATION_ID=<your installation id>
PUSH_INSTALLATION_KEY=<your installation key>

Server in der EU-Region benötigen außerdem PUSH_RELAY_URI=https://api.bitwarden.eu und PUSH_IDENTITY_URI=https://identity.bitwarden.eu. Das Wiki beschreibt zwei wichtige Besonderheiten, die Sie kennen sollten, bevor Sie eine Stunde lang nach dem Fehler suchen. Eine aus F-Droid oder Neo Store installierte App unterstützt Firebase nicht und empfängt unabhängig von der Serverkonfiguration niemals Push-Benachrichtigungen. Bei einer App, die bereits vor Vaultwarden 1.30.2 eine Verbindung hergestellt hat, müssen Sie die App-Daten löschen, damit sie ein Push-Token registriert.

Wie sicher ist eine Reimplementierung?

Bitwardens Audit-Historie ist lang und öffentlich. Cure53 prüfte das Projekt 2018, 2021, 2022, 2023, 2024 und 2025. Die Prüfung 2025 umfasste die Browsererweiterung und das Autofill-Overlay, die Kernanwendung, die Desktopanwendung, den Web Vault sowie das RustCrypto-Crate und die RustCrypto-Bibliothek. IOActive und Mandiant prüften Clients 2024. Fracture Labs führte 2024 und 2025 Untersuchungen von Webanwendung und Netzwerk durch. Unit 42 bewertete 2025 die mobilen Apps. Die Applied Cryptography Group der ETH Zürich prüfte 2025 die Kryptografie.

Auch Vaultwarden wurde von externen Stellen untersucht. Das überrascht manche, die annehmen, dass niemand das Projekt prüft. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) ließ es im Rahmen des Code-Analyseprojekts Caos 3.0 zwischen Februar und Mai 2024 von mgm security partners testen. In dieser Prüfung wurden zwei Befunde als hoch eingestuft. Unabhängig davon meldete ERNW eine Authentifizierungsumgehung, die Versionen unter 1.32.5 betraf (CVE-2024-55225) und im November 2024 behoben wurde. Version 1.37.0 veröffentlichte im Juli 2026 Fehlerbehebungen für SSRF (server side request forgery) über den Icon-Endpunkt, für den organisationsübergreifenden Zugriff auf Chiffren und für die Umgehung einer Organisationsrichtlinie beim Import von Verzeichnissen. Version 1.37.4 behob im Oktober 2026 eine weitere Reihe von Fehlern. An erster Stelle stand eine als hoch eingestufte Schwachstelle beim Entzug der Berechtigungen von Organisationsmitgliedern. Außerdem wurden Probleme bei der Zwei-Faktor-Authentifizierung, bei Einladungen zu Organisationen und bei Anhängen behoben.

Diese Historie zeigt ein Projekt mit einem funktionierenden Prozess zur Meldung von Sicherheitslücken. Sie verweist außerdem auf die Angriffsfläche, die darin wiederholt vorkommt: die Administrationsseite. Behandeln Sie diese Seite daher als das sensible Element, das sie ist. Sie bleibt deaktiviert, sofern ADMIN_TOKEN nicht gesetzt ist. Speichern Sie außerdem einen Hash statt des Tokens im Klartext.

docker run --rm -it vaultwarden/server /vaultwarden hash

Der Befehl gibt eine Argon2-PHC-Zeichenfolge (password hashing competition format) aus, die Sie in ADMIN_TOKEN eintragen. Aktivieren Sie HTTPS, bevor Sie die Administrationsseite aktivieren. Der Token wird in der Anfrage übertragen. Ein Token im Klartext über eine unverschlüsselte HTTP-Verbindung kann von jedem im Übertragungsweg gelesen werden. Das praktische Risiko liegt nicht in der Kryptografie, sondern in diesem Token und Ihrer Sicherungsdatei. Eine Härtung einer laufenden Instanz behandelt beide Aspekte. Halten Sie /admin nach Möglichkeit vom öffentlichen Internet fern. Ergänzen Sie dies durch die übliche Härtung des Hosts, beispielsweise durch die Absicherung des SSH-Zugriffs auf dem Server.

Was bei Änderungen an der offiziellen API fehlschlägt

Dieses Risiko wird häufig unterschätzt. Bitwarden stellt die Clients bereit, und diese aktualisieren sich über die App-Stores über Nacht automatisch. Vaultwarden muss damit Schritt halten. Wenn eine Client-Version den API-Vertrag ändert, trifft ein nicht aktualisiertes Vaultwarden auf einen Client, der bereits umgestellt wurde. Dann schlagen Anmeldungen oder die Synchronisierung auf Geräten fehl, die Sie nicht verändert haben.

Die Release Notes enthalten ein konkretes Beispiel. Vaultwarden 1.37.0 schreibt: „Dieses Update ist für die Unterstützung von Clients ab Version 2026.7.0 erforderlich. Bitte aktualisieren Sie, bevor Sie Probleme mit diesen Clients melden.“ Einen Monat später wiederholte 1.37.2, veröffentlicht am 22 August 2026, den Hinweis für Clients ab 2026.8.0. Ein Server mit Version 1.37.0 oder 1.37.1 liegt damit bereits hinter den Apps zurück. Am 27 October 2026 ist die aktuelle Version 1.37.4, veröffentlicht am 5 October 2026, nach 1.37.3 vom 13 September 2026.

Zwei Gewohnheiten halten dieses Problem überschaubar. Pinnen Sie ein bestimmtes Image-Tag statt latest. So kann ein unbeaufsichtigter Pull Ihren Server nicht um 3am aktualisieren. Beobachten Sie anschließend den Release-Feed und führen Sie Upgrades bewusst durch. Lesen Sie vorher die Release Notes. Dort werden inkompatible Änderungen angekündigt. Der Hinweis zu 1.37.2 wurde außerdem in den GitHub Discussions des Projekts veröffentlicht, zusammen mit Wiederherstellungsschritten für Clients, die sich nach dem Server-Upgrade weiterhin fehlerhaft verhalten: abmelden und wieder anmelden, anschließend den Cache der App oder Erweiterung leeren und die mobile App oder Erweiterung nur als letzte Möglichkeit neu installieren. Version 1.35.5 machte beispielsweise beim Upgrade alle vorhandenen Remember-Tokens für die Zwei-Faktor-Anmeldung ungültig. Dadurch wurden Benutzer von einer Anmeldestufe abgemeldet, von der sie angenommen hatten, dass sie gespeichert war.

Bei der standardmäßigen Bitwarden-Bereitstellung besteht das umgekehrte Problem. Upgrades laufen über ./bitwarden.sh updateself und ./bitwarden.sh update, und das Update wendet Datenbankmigrationen an. Eine vor der Migration erstellte Sicherung ist kein Rollback für das danach verwendete Schema. Erstellen Sie die Sicherung daher vorab und notieren Sie die Version, bei der sie erstellt wurde.

Backups: Hier verlieren Menschen tatsächlich ihre Tresore

Das Datenverzeichnis von Vaultwarden ist der Server. Sichern Sie Folgendes:

• db.sqlite3
• jede rsa_key*-Datei, einschließlich rsa_key.pem und rsa_key.der
• attachments/
• config.json
• sends/

Kopieren Sie db.sqlite3 nicht mit cp, während der Container läuft. SQLite kann gerade einen Schreibvorgang ausführen. Die Kopie kann daher eine beschädigte Datenbank enthalten, die bis zur Wiederherstellung unauffällig bleibt. Verwenden Sie stattdessen die Online-Backup-API:

sqlite3 data/db.sqlite3 ".backup '/path/to/backups/db-$(date '+%Y%m%d-%H%M').sqlite3'"

Seit 1.32.1 ist im Image außerdem ein integrierter /vaultwarden backup-Befehl enthalten. In beiden Fällen liegt der Snapshot zunächst auf demselben Datenträger wie das Original. Verschieben Sie ihn daher regelmäßig mit restic-Snapshots in externen Speicher vom Server. Ein Backup-Job, der unbemerkt nicht mehr läuft, sieht genauso aus wie ein Job, den es nie gegeben hat. Lassen Sie den Timer seine eigenen Fehler daher an einer Stelle melden, an der Sie sie bemerken. Dafür dient ein selbst gehosteter ntfy-Server, der mit einer systemd-OnFailure-Unit verbunden ist. Die rsa_key-Dateien sind ebenso wichtig wie die Datenbank. Der Server signiert seine Sitzungstoken mit diesem Schlüssel. Wird die Datenbank neben einem neu generierten Schlüssel wiederhergestellt, werden alle Benutzer abgemeldet und laufende Organisationseinladungen funktionieren nicht mehr.

Bitwarden Standard sichert mehr eigene Daten. Der mssql-Container schreibt nächtliche Datenbank-Backups nach ./bwdata/mssql/backups und bewahrt sie 30 Tage lang auf, solange der Container läuft. Sie können ein Backup erzwingen:

docker exec -i bitwarden-mssql /backup-db.sh

Die aufzubewahrenden Verzeichnisse sind ./bwdata/env (Umgebungsvariablen einschließlich Datenbank- und Zertifikatspasswörtern), ./bwdata/core/attachments, ./bwdata/mssql/data und ./bwdata/core/aspnet-dataprotection. Das letzte Verzeichnis wird häufig vergessen. Es enthält Framework-weite Data-Protection-Daten, darunter Authentifizierungstoken und bestimmte Datenbankspalten. Wenn Sie die Datenbank ohne dieses Verzeichnis wiederherstellen, bleiben die von ihm geschützten Spalten unlesbar. Bitwarden Lite erstellt überhaupt keine automatischen Backups. Wenn Sie sich für Lite entscheiden, müssen Sie daher einen Dump-Zeitplan einrichten, genau wie bei Vaultwarden.

Migration in beide Richtungen

Die Migration läuft über die Clients, nicht über die Server, weil Export und Import Funktionen der Clients sind. Daher ist das Vorgehen in beide Richtungen identisch.

Jeder Benutzer exportiert seinen Tresor aus dem Web-Tresor oder der Desktop-App, erstellt ein Konto auf dem neuen Server und importiert die Daten. Die Formate sind Plaintext .json, Plaintext .csv, verschlüsselt .json sowie ein .zip, das für einzelne Tresore die JSON-Daten und Dateianhänge enthält. Karten, Identitäten, gespeicherte Passkeys und SSH-Schlüssel bleiben nur in den JSON-Formaten erhalten. Bei einer Migration per CSV gehen sie daher unbemerkt verloren. Kein Exportformat enthält Papierkorbeinträge oder Sends. Daten im Besitz einer Organisation sind außerdem nicht Bestandteil eines individuellen Exports.

Behandeln Sie einen Plaintext-Export wie ein aktives Geheimnis, denn genau das ist er: Ihr vollständiger Tresor liegt unverschlüsselt auf der Festplatte. Exportieren Sie ihn, importieren Sie ihn und löschen Sie ihn in einem Arbeitsgang. Senden Sie ihn niemals per E-Mail oder Chat.

Während einer Migration gibt es eine häufige Falle. Ein verschlüsselter Export, der an Ihr Konto gebunden ist, kann nicht in ein anderes Konto importiert werden. Ein Serverwechsel bedeutet definitionsgemäß ein anderes Konto. Wählen Sie stattdessen die kennwortgeschützte Exportoption. Sie ist portabel.

Die Migration von Vaultwarden zu Bitwarden Standard ist aufwendiger, weil die Organisationsstruktur nicht mit einem Export übertragen wird. Erstellen Sie die Organisation auf dem neuen Server neu, laden Sie die Benutzer erneut ein, und jeder Benutzer importiert seinen eigenen Tresor. Planen Sie dafür ein Wartungsfenster ein. Ermitteln Sie diese Einschränkung nicht erst am Migrationstag.

Welche Variante sollten Sie einsetzen?

Setzen Sie Vaultwarden ein, wenn Sie allein, als Familie oder in einem Home-Lab einen 1-GB- oder 2-GB-VPS betreiben. Organisations, Emergency Access und Send sind kostenlos verfügbar. Der Speicherbedarf im Leerlauf entspricht ungefähr dem eines einzelnen Browser-Tabs. Für das Backup benötigen Sie nur eine SQLite-Datei und ein kleines Verzeichnis. Diese Kombination ist der Grund dafür, dass Vaultwarden das Self-Hosting von Passwortverwaltung dominiert.

Setzen Sie den Server von Bitwarden ein, wenn andere Personen beruflich darauf angewiesen sind: etwa ein Unternehmen, das einen Supportvertrag benötigt, eine Compliance-Anforderung mit vorgeschriebenem Hersteller oder Enterprise-Funktionen, für die Sie bereits bezahlen. Planen Sie für die Standardbereitstellung 4 GB ein. Behandeln Sie die Lizenzdatei und die Installations-ID als Bestandteile der Bereitstellung und nicht als reine Formalitäten.

Bitwarden lite liegt dazwischen. Es besteht aus Hersteller-Code und benötigt nur einen Bruchteil der Ressourcen. Das ist durchaus attraktiv. Bitwarden dokumentiert es jedoch für die private Nutzung und Home-Labs. Außerdem bietet es keine automatischen Backups. Sie übernehmen den Betriebsaufwand von Vaultwarden, erhalten aber nicht dessen kostenlosen Funktionsumfang. Wählen Sie diese Variante, wenn Ihnen Hersteller-Code wichtiger ist als der Funktionsumfang und Sie die Datenbank selbst betreiben möchten.

Wenn Sie noch entscheiden, welche anderen Dienste der Server hosten soll, stellt die umfassendere Self-Hosting-Auswahl diese Entscheidung den anderen Diensten gegenüber, die um denselben Arbeitsspeicher konkurrieren.

FAQ

Ist Vaultwarden sicher genug für einen echten Passwortmanager?

Für die private Nutzung und für Familien: ja, unter bestimmten Voraussetzungen. Die Clients verschlüsseln den Tresor, bevor er den Server erreicht. Vaultwarden sieht daher weder Ihr Masterpasswort noch Klartextdaten. Die Software wurde extern geprüft: BSI ließ sie zwischen Februar und Mai 2024 von Partnern von mgm security testen. ERNW meldete eine Authentifizierungsumgehung, die in 1.32.5 behoben wurde. Halten Sie die Version aktuell. Deaktivieren Sie die Administrationsseite oder schützen Sie sie mit einem Argon2-gehashten ADMIN_TOKEN. Stellen Sie den Dienst ausschließlich über HTTPS bereit. Unternehmen, die Herstellersupport oder Audit-Dokumentation benötigen, sollten den eigenen Server von Bitwarden betreiben.

Wie viel RAM benötigt Vaultwarden im Vergleich zu selbst gehostetem Bitwarden?

Bei im Leerlauf gemessenen Installationen mit docker stats --no-stream belegte Vaultwarden mit SQLite in einem Container etwa 58 MB. Die Standardbereitstellung von Bitwarden belegte dagegen in 12 Containern etwa 2,400 MB. Der größte Teil davon entfiel auf die MSSQL-Datenbank. Bitwarden dokumentiert 2 GB als Mindestwert und 4 GB als Empfehlung für den Standard-Stack sowie 200 MB für Bitwarden lite. Vaultwarden läuft auf einer VPS mit 1 GB mit ausreichend Reserve.

Benötige ich eine Bitwarden-Lizenz für das Self-Hosting?

Für einen kostenlosen persönlichen Tresor nicht. Der Betrieb des Servers ist kostenlos. Eine Lizenzdatei ist erforderlich, um Premium-Funktionen für einzelne Benutzer und einen kostenpflichtigen Organisationsplan freizuschalten. Families und Enterprise sind die einzigen Organisationspläne, die Bitwarden für das Self-Hosting zulässt. Sie laden die Datei aus dem Cloud-Webtresor herunter und laden sie in Ihre Instanz hoch. Organisationslizenzen werden anhand der in ./bwdata/env/global.override.env gespeicherten Installations-ID ausgestellt. Vaultwarden benötigt keine Lizenz und aktiviert die Organisationsfunktionen selbst.

Kann ich später von Vaultwarden zu Bitwarden oder zurück wechseln?

Ja, in beide Richtungen über die Clients. Jeder Benutzer exportiert seinen Tresor aus dem Webtresor oder der Desktopanwendung und importiert ihn nach der Kontoerstellung auf dem neuen Server. Der .zip-Export enthält Anhänge aus persönlichen Tresoren. Die JSON-Formate enthalten Karten, Identitäten, Passkeys und SSH-Schlüssel. Elemente im Papierkorb und Sends sind in keinem Exportformat enthalten. Elemente im Besitz einer Organisation muss ein Besitzer separat exportieren. Planen Sie daher, die Organisation auf dem neuen Server neu anzulegen und die Benutzer erneut einzuladen.