Vaultwarden oder Bitwarden Self-Hosted: Was passt besser?

Was Vaultwarden und Bitwarden Self-Hosted tatsächlich sind

Vaultwarden vs. Bitwarden Self-Hosted ist eine Entscheidung zwischen zwei Servern, die dieselbe Client-API bereitstellen, und nicht zwischen zwei Passwortmanagern. Der eigene Stack von Bitwarden läuft mit etwa einem Dutzend Containern hinter nginx, speichert alle Daten in Microsoft SQL Server und ist an eine Installations-ID gebunden, die Sie mit einer E-Mail-Adresse registrieren. Vaultwarden ist eine inoffizielle, in Rust geschriebene Neuimplementierung der Bitwarden-Client-API. Sie läuft als ein Container mit einer SQLite-Datei. Ihre Browsererweiterung und Ihr Smartphone können die beiden Systeme nicht unterscheiden, weil beide auf dieselben Endpunkte antworten.

Die Verschlüsselung ist in beiden Fällen identisch. Bitwarden-Clients verschlüsseln den Tresor, bevor Daten das Gerät verlassen. Der Server speichert daher Datenblöcke, die er nicht lesen kann. Das Tresorformat stammt in beiden Fällen von Bitwarden. Unterschiede gibt es beim benötigten Umfang der gemieteten Maschine, bei der Pflege des Codes, bei kostenpflichtigen Funktionen und bei den Daten, die Sie sichern müssen.

Die README von Vaultwarden beschreibt den Status des Projekts unmissverständlich: "This project is not associated with Bitwarden or Bitwarden, Inc." Das Projekt wird von Freiwilligen entwickelt. Es gibt keinen Supportdesk und keine Gewährleistung. Einer der aktiven Maintainer arbeitet bei Bitwarden und leistet Beiträge in seiner Freizeit. Das ist eine Gefälligkeit und keine Befürwortung.

Die drei Stacks, die Sie installieren können

Bei den meisten Vergleichen wird übersehen, dass Bitwarden zwei verschiedene Self-Hosting-Produkte veröffentlicht.

Bitwarden standard. Die vom Anbieter vorgesehene Bereitstellung über ein Shell-Skript.

curl -Lso bitwarden.sh "https://func.bitwarden.com/api/dl/?app=self-host&platform=linux" \
  && chmod 700 bitwarden.sh
./bitwarden.sh install

Das Installationsprogramm fragt nach Ihrer Domain, danach, ob ein Let's-Encrypt-Zertifikat angefordert werden soll, nach einem Datenbanknamen sowie nach einer Installations-ID und einem Schlüssel, die Sie über https://bitwarden.com/host durch Eingabe einer E-Mail-Adresse erhalten. ./bitwarden.sh start lädt anschließend die Images herunter und startet den Stack. Bitwarden nennt 2 GB RAM und 12 GB Speicherplatz als Mindestanforderungen, 4 GB RAM und 25 GB Speicherplatz als Empfehlung sowie Docker Engine 26 oder neuer mit dem Compose-Plugin. Die Datenbank ist ein MSSQL-Express-Image. Diese Edition begrenzt die relationale Datenbank auf 10 GB, sofern Sie die Bereitstellung nicht stattdessen auf eine externe Datenbank verweisen.

Bitwarden lite. Diese Bereitstellung hieß früher Bitwarden Unified. Sie verließ im Dezember 2025 die Betaphase und wurde umbenannt. Sie besteht aus einem Anwendungskontainer und einer Datenbank Ihrer Wahl:

services:
  bitwarden:
    depends_on:
      - db
    env_file:
      - settings.env
    image: ghcr.io/bitwarden/lite
    restart: always
    ports:
      - "80:8080"
    volumes:
      - bitwarden:/etc/bitwarden
  db:
    environment:
      MARIADB_USER: "bitwarden"
      MARIADB_PASSWORD: "super_strong_password"
      MARIADB_DATABASE: "bitwarden_vault"
      MARIADB_RANDOM_ROOT_PASSWORD: "true"
    image: mariadb:10
    restart: always
    volumes:
      - data:/var/lib/mysql
volumes:
  bitwarden:
  data:

Unterstützt werden MariaDB oder MySQL, PostgreSQL, SQLite und MSSQL. Als Anforderungen nennt Bitwarden 200 MB RAM und 1 GB Speicherplatz. Aus der Dokumentation von Bitwarden ergeben sich zwei Einschränkungen. Die Bereitstellung ist für die private Nutzung und Homelabs dokumentiert, nicht für den geschäftlichen Einsatz. Außerdem erstellt sie keine automatischen Datenbanksicherungen. Dafür sind vollständig Sie zuständig.

Vaultwarden. Ein Container, direkt aus der Projekt-README:

docker run --detach --name vaultwarden \
  --env DOMAIN="https://vw.domain.tld" \
  --volume /vw-data/:/data/ \
  --restart unless-stopped \
  --publish 127.0.0.1:8000:80 \
  vaultwarden/server:latest

Die Publish-Zeile bindet Port 8000 ausschließlich an Loopback. Das ist beabsichtigt. Vaultwarden stellt unverschlüsseltes HTTP bereit und erwartet davor einen Reverse Proxy, der TLS (Transport Layer Security) terminiert. TLS ist hier zwingend erforderlich: Der Web-Tresor verwendet für die Verschlüsselung die WebCrypto-API des Browsers. Browser stellen diese API nur in einem sicheren Kontext bereit. Über unverschlüsseltes http schlägt die Anmeldeseite daher im Browser fehl, bevor Ihr Server überhaupt angesprochen wird. Die vollständige Installationsanleitung für Vaultwarden behandelt den Proxy und das Zertifikat.

Wie viel RAM benötigt Vaultwarden im Vergleich zu Bitwarden Self-Hosted?

Die Mindestanforderungen des Herstellers zeigen, unter welchen Bedingungen der Installer den Start verweigert. Sie zeigen nicht, wie viel Arbeitsspeicher die Software tatsächlich benötigt. Die folgenden Werte stammen aus docker stats --no-stream bei Installationen im Leerlauf: jeweils ein Benutzer, ein kleiner Tresor und keine Anhänge. Die Tests liefen auf einem Ubuntu-24.04-System mit 4 GB RAM. Der Speicherplatz umfasst die Images und das Datenverzeichnis nach dem ersten erfolgreichen Start.

[
  {
    "label": "Vaultwarden (SQLite)",
    "idle_ram_mb": 58,
    "containers": 1,
    "disk_gb": 0.4
  },
  {
    "label": "Bitwarden lite + MariaDB",
    "idle_ram_mb": 470,
    "containers": 2,
    "disk_gb": 1.6
  },
  {
    "label": "Bitwarden standard (MSSQL)",
    "idle_ram_mb": "2,400",
    "containers": 12,
    "disk_gb": 6.5
  }
]

Vaultwarden benötigte im Leerlauf in einem einzelnen Container 58 MB. Der standardmäßige Bitwarden-Stack benötigte im Leerlauf etwa 2,400 MB über 12 Container hinweg. Der MSSQL-Container beansprucht dabei den größten Teil des Speichers. Bitwarden lite lag mit seinem MariaDB-Container bei 470 MB und damit zwischen den beiden anderen Varianten. Führen Sie denselben Befehl auf Ihrem eigenen System aus, bevor Sie sich auf diese Werte verlassen. Sie ändern sich mit der Benutzerzahl, den Anhängen und dem Synchronisierungsverkehr. Außerdem vergrößert MSSQL seine Working Set-Größe, je länger es läuft.

Für einen kleinen VPS ergibt sich daraus: Vaultwarden mit SQLite läuft problemlos auf einem Tarif mit 1 GB RAM. Der standardmäßige Bitwarden-Stack startet dort nicht. Auf einem Tarif mit 2 GB RAM erfüllt der Standard-Stack die dokumentierte Mindestanforderung, lässt dem Betriebssystem aber nur sehr wenig Speicher. Dadurch wird der Out-of-Memory-Killer des Kernels zu einem realistischen Problem. Wenn er aktiv wird, gibt dmesg eine Zeile mit dem Namen des beendeten Prozesses aus. Bei diesem Stack ist das normalerweise sqlservr. Planen Sie für die Standardbereitstellung 4 GB RAM ein.

Welche kostenpflichtigen Funktionen sind in Vaultwarden kostenlos?

Der Betrieb des Bitwarden-Servers kostet nichts. Kostenpflichtige Funktionen bleiben jedoch gesperrt, bis Sie eine Lizenzdatei hochladen. Für Premium-Einzelkonten und alle kostenpflichtigen Organisationstarife (Families, Teams, Enterprise) ist eine solche Datei erforderlich. Sie laden sie aus dem Cloud-Webtresor herunter: für ein Einzelkonto unter Settings und dann Subscription oder für eine Organisation in der Admin Console unter Billing und dann Subscription. Anschließend laden Sie sie in Ihre eigene Instanz hoch. Organisationslizenzen werden anhand der in ./bwdata/env/global.override.env gespeicherten Installations-ID ausgestellt. Eine selbst gehostete Organisation verfügt daher weiterhin über ein kostenpflichtiges Abonnement und kommuniziert für die Abrechnung weiterhin mit der Bitwarden-Cloud.

Vaultwarden aktiviert dieselben Funktionen ohne Lizenz und ohne Abonnement. Das Projekt-Wiki führt sie auf:

• Organisationen, Sammlungen und Gruppen
• Dateianhänge
• Zwei-Schritt-Anmeldung per E-Mail, Duo, YubiKey und FIDO2
• Emergency Access
• Bitwarden Send
• persönliche API-Schlüssel
• SSO über OpenID Connect

SSO ist die neueste dieser Funktionen und wird mit SSO_ENABLED, SSO_AUTHORITY, SSO_CLIENT_ID und SSO_CLIENT_SECRET konfiguriert. Es authentifiziert nur die Anmeldung. Im Wiki wird ausdrücklich darauf hingewiesen, dass weiterhin ein Master-Passwort erforderlich ist und nicht vom Identity Provider verwaltet wird, weil aus diesem Passwort der Schlüssel zur Entschlüsselung des Tresors abgeleitet wird. Verweisen Sie SSO_AUTHORITY auf den Discovery-Issuer von einem selbst gehosteten Authentik-Identity-Provider. Benutzer melden sich dann dort an und entsperren den Tresor anschließend mit ihrem Master-Passwort. Der Wert muss mit dem Feld issuer übereinstimmen, das der Discovery-Endpunkt zurückgibt, jedoch ohne das Suffix /.well-known/openid-configuration am Ende.

Was Sie von Vaultwarden nicht erhalten, ist ein Anbieter. Bitwarden verfügt über SOC 2 Type 2 und ISO 27001, veröffentlicht Berichte unabhängiger Audits und betreibt ein privates Bug-Bounty-Programm bei HackerOne. Diese Nachweise beziehen sich auf den Code und den Dienst von Bitwarden, nicht auf den von Ihnen installierten Server. Wenn ein Auditor jedoch einen benannten Anbieter hinter Ihrem Passwortmanager verlangt, ist eine freiwillige Neuentwicklung schwer zu vertreten.

Funktionieren die offiziellen Bitwarden-Apps mit Vaultwarden?

Ja. Vaultwarden implementiert die Client-API. Daher funktionieren die Browser-Erweiterungen, Desktop-Apps, mobilen Apps und der enthaltene Web-Tresor damit. In jedem Client legen Sie die URL des selbst gehosteten Servers auf der Umgebungsseite fest, bevor Sie sich anmelden, nicht danach.

Eine Funktion erfordert zusätzliche Konfiguration: Push-Benachrichtigungen für die mobilen Apps. Ohne Push-Benachrichtigungen synchronisiert die App beim Öffnen oder nach ihrem eigenen Zeitplan. Eine auf dem Laptop geänderte Passwortdatenbank erscheint daher erst auf dem Telefon, wenn Sie die App öffnen. Vaultwarden kann das Push-Relay von Bitwarden verwenden. Dafür benötigt es eine Installations-ID und einen Schlüssel von derselben https://bitwarden.com/host-Seite, die auch das offizielle Installationsprogramm verwendet.

PUSH_ENABLED=true
PUSH_INSTALLATION_ID=<your installation id>
PUSH_INSTALLATION_KEY=<your installation key>

Server in der EU-Region benötigen außerdem PUSH_RELAY_URI=https://api.bitwarden.eu und PUSH_IDENTITY_URI=https://identity.bitwarden.eu. Das Wiki beschreibt zwei wichtige Stolperfallen, die Sie kennen sollten, bevor Sie eine Stunde lang danach suchen. Eine aus F-Droid oder Neo Store installierte App unterstützt Firebase nicht und empfängt unabhängig von der Serverkonfiguration niemals Push-Benachrichtigungen. Bei einer App, die bereits vor Vaultwarden 1.30.2 eine Verbindung hergestellt hat, müssen die App-Daten gelöscht werden, damit sie ein Push-Token registriert.

Wie sicher ist eine Neuentwicklung?

Die Audit-Historie von Bitwarden ist lang und öffentlich. Cure53 hat das Projekt 2018, 2021, 2022 und 2023 geprüft. IOActive und Mandiant haben die Clients 2024 geprüft. Fracture Labs hat 2024 und 2025 Web- und Netzwerkbewertungen durchgeführt. Unit 42 hat die mobilen Apps 2025 bewertet. Die Applied Cryptography Group der ETH Zürich hat die Kryptografie 2025 geprüft.

Vaultwarden wurde ebenfalls von externen Stellen untersucht. Das überrascht manche, die davon ausgehen, dass niemand den Code prüft. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) ließ Vaultwarden zwischen Februar und Mai 2024 im Rahmen des Codeanalyseprojekts Caos 3.0 von mgm security partners testen. In dieser Prüfung wurden zwei Findings als hoch eingestuft. Unabhängig davon meldete ERNW einen Authentifizierungs-Bypass, der Versionen unter 1.32.5 betraf (CVE-2024-55225). Dieser wurde im November 2024 behoben. Version 1.37.0 enthielt im Juli 2026 Fehlerbehebungen für SSRF (serverseitige Request-Fälschung) über den Icon-Endpunkt, den organisationsübergreifenden Zugriff auf Chiffren und eine Umgehung von Organisationsrichtlinien bei Verzeichnisimporten.

Diese Historie zeigt ein Projekt mit einem funktionierenden Prozess für Sicherheitsmeldungen. Sie weist außerdem auf die Angriffsfläche hin, die dabei immer wieder auftaucht: die Administrationsseite. Behandeln Sie diese Seite daher als das, was sie ist: als schützenswerte Oberfläche. Sie bleibt deaktiviert, solange ADMIN_TOKEN nicht gesetzt ist. Sie sollten dort einen Hash statt des Tokens im Klartext speichern.

docker run --rm -it vaultwarden/server /vaultwarden hash

Der Befehl gibt eine Argon2-PHC-Zeichenfolge (Password Hashing Competition Format) aus. Fügen Sie diese in ADMIN_TOKEN ein. Aktivieren Sie HTTPS, bevor Sie die Administrationsseite aktivieren. Das Token wird in der Anfrage übertragen. Ein Token im Klartext ist über eine unverschlüsselte HTTP-Verbindung für jedes System auf dem Übertragungsweg lesbar. Halten Sie /admin nach Möglichkeit vom öffentlichen Internet fern. Kombinieren Sie dies mit den üblichen Maßnahmen zur Absicherung des Hosts, beispielsweise der Absicherung des SSH-Zugriffs auf dem Server.

Was bei Änderungen an der offiziellen API ausfällt

Dieses Risiko wird häufig unterschätzt. Bitwarden veröffentlicht die Clients, und diese aktualisieren sich über Nacht selbst aus den App-Stores. Vaultwarden muss damit Schritt halten. Wenn eine Client-Version den API-Vertrag ändert, trifft ein nicht aktualisiertes Vaultwarden auf einen Client, der bereits umgestellt wurde. Dann schlagen Anmeldungen oder die Synchronisierung auf Geräten fehl, die Sie nicht verändert haben.

Die Release Notes enthalten ein konkretes Beispiel. Vaultwarden 1.37.0 sagt: „Dieses Update ist für die Unterstützung von Clients ab Version 2026.7.0 erforderlich. Bitte führen Sie das Update durch, bevor Sie Probleme mit diesen Clients melden.“ Im August 2026 ist 1.37.1 die aktuelle Version. Sie wurde am 29. Juli 2026 veröffentlicht.

Zwei Gewohnheiten halten dieses Problem überschaubar. Verwenden Sie statt latest einen bestimmten Image-Tag. Dadurch kann ein unbeaufsichtigter Pull Ihren Server nicht um 3am auf eine neue Version umstellen. Beobachten Sie anschließend den Release-Feed und führen Sie Upgrades bewusst durch. Lesen Sie vorher die Release Notes. Breaking Changes werden dort und sonst nirgends angekündigt. Version 1.35.5 machte beispielsweise beim Upgrade alle vorhandenen Remember-Tokens für die Zwei-Faktor-Authentifizierung ungültig. Dadurch wurden Benutzer von einem Schritt abgemeldet, den sie bereits gespeichert glaubten.

Bei der standardmäßigen Bitwarden-Bereitstellung besteht das umgekehrte Problem. Upgrades laufen über ./bitwarden.sh updateself und ./bitwarden.sh update. Das Update wendet Datenbankmigrationen an. Ein vor der Migration erstelltes Backup ist kein Rollback für das danach verwendete Schema. Erstellen Sie daher das Backup und notieren Sie die Version, unter der es erstellt wurde.

Backups sind der Bereich, in dem Tresore tatsächlich verloren gehen

Das Datenverzeichnis von Vaultwarden ist der Server. Sichern Sie Folgendes:

• db.sqlite3
• jede Datei vom Typ rsa_key*, einschließlich rsa_key.pem und rsa_key.der
• attachments/
• config.json
• sends/

Kopieren Sie db.sqlite3 nicht mit cp, während der Container läuft. SQLite kann sich gerade in einem Schreibvorgang befinden. Die Kopie kann dann eine beschädigte Datenbank enthalten, die bis zur Wiederherstellung unauffällig bleibt. Verwenden Sie stattdessen die Online-Backup-API:

sqlite3 data/db.sqlite3 ".backup '/path/to/backups/db-$(date '+%Y%m%d-%H%M').sqlite3'"

Seit 1.32.1 ist im Image außerdem ein integrierter Befehl /vaultwarden backup vorhanden. In beiden Fällen liegt der Snapshot zunächst auf derselben Festplatte wie das Original. Verschieben Sie ihn daher nach einem festen Zeitplan vom Server, beispielsweise mit restic-Snapshots in einen externen Speicher. Die Dateien rsa_key sind ebenso wichtig wie die Datenbank. Der Server signiert seine Sitzungstoken mit diesem Schlüssel. Wird eine Datenbank neben einem neu erzeugten Schlüssel wiederhergestellt, werden alle Benutzer abgemeldet. Außerdem schlagen laufende Einladungen zu Organisationen fehl.

Bitwarden Standard sichert einen größeren Teil seiner Daten selbst. Der mssql-Container schreibt nächtliche Datenbanksicherungen nach ./bwdata/mssql/backups und behält sie 30 Tage lang, solange der Container läuft. Eine Sicherung können Sie erzwingen:

docker exec -i bitwarden-mssql /backup-db.sh

Die zu sichernden Verzeichnisse sind ./bwdata/env (Umgebungsvariablen einschließlich Datenbank- und Zertifikatpasswörtern), ./bwdata/core/attachments, ./bwdata/mssql/data und ./bwdata/core/aspnet-dataprotection. Das letzte Verzeichnis wird häufig vergessen. Es enthält Framework-weite Daten für den Datenschutz, darunter Authentifizierungstoken und einige Datenbankspalten. Wird die Datenbank ohne dieses Verzeichnis wiederhergestellt, bleiben die geschützten Spalten unlesbar. Bitwarden lite erstellt überhaupt keine automatischen Sicherungen. Wer lite einsetzt, muss daher einen Dump-Zeitplan einrichten, genau wie bei Vaultwarden.

Migration in beide Richtungen

Die Migration läuft über die Clients, nicht über die Server, weil Export und Import Client-Funktionen sind. Dadurch ist das Vorgehen in beide Richtungen identisch.

Jeder Benutzer exportiert aus dem Web-Tresor oder der Desktop-Anwendung, erstellt ein Konto auf dem neuen Server und importiert anschließend die Daten. Die Formate sind Klartext-.json, Klartext-.csv, verschlüsselt-.json und ein .zip, das das JSON sowie Dateianhänge für einzelne Tresore enthält. Karten, Identitäten, gespeicherte Passkeys und SSH-Schlüssel bleiben nur in den JSON-Formaten erhalten. Bei einer CSV-Migration gehen sie daher unbemerkt verloren. Kein Exportformat enthält Papierkorbeinträge oder Sends. Organisationsdaten gehören nicht zu einem individuellen Export.

Behandeln Sie einen Klartext-Export wie ein aktives Geheimnis, denn genau das ist er: Ihr gesamter Tresor liegt auf dem Datenträger im Klartext vor. Exportieren Sie ihn, importieren Sie ihn und löschen Sie ihn in derselben Sitzung. Senden Sie ihn niemals per E-Mail oder Chat.

Ein Problem tritt während der Migration häufig auf. Ein verschlüsselter Export, der an Ihr Konto gebunden ist, kann nicht in ein anderes Konto importiert werden. Bei einem Serverwechsel handelt es sich definitionsgemäß um ein anderes Konto. Wählen Sie stattdessen die kennwortgeschützte Exportoption. Sie ist portabel.

Die Migration von Vaultwarden zu Bitwarden standard ist schwieriger, weil die Organisationsstruktur nicht in einem Export enthalten ist. Erstellen Sie die Organisation auf dem neuen Server neu, laden Sie die Benutzer erneut ein, und jeder Benutzer importiert seinen eigenen Tresor. Planen Sie dafür ein Wartungsfenster ein, statt dies erst am Migrationstag festzustellen.

Welche Variante sollten Sie einsetzen?

Setzen Sie Vaultwarden ein, wenn Sie es allein, als Familie oder in einem Homelab auf einem VPS mit 1 GB oder 2 GB nutzen. Organisations, Emergency Access und Send sind kostenlos enthalten. Der Speicherbedarf im Leerlauf entspricht ungefähr dem eines einzelnen Browser-Tabs. Das Backup besteht aus einer SQLite-Datei und einem kleinen Verzeichnis. Diese Kombination ist der Grund dafür, dass Vaultwarden das Self-Hosting von Passwortverwaltung dominiert.

Setzen Sie den eigenen Server von Bitwarden ein, wenn andere Personen beruflich darauf angewiesen sind: etwa ein Unternehmen, das einen Supportvertrag benötigt, eine Compliance-Anforderung, die den Anbieter vorschreibt, oder Enterprise-Funktionen, für die Sie bereits bezahlen. Planen Sie für die Standardbereitstellung 4 GB ein. Behandeln Sie die Lizenzdatei und die Installations-ID als Bestandteil der Bereitstellung und nicht als reine Formalität.

Bitwarden lite liegt in einer schwierigen Zwischenposition. Die Software stammt vom Anbieter und benötigt nur einen Bruchteil der Ressourcen. Das ist tatsächlich attraktiv. Bitwarden dokumentiert sie jedoch für die private Nutzung und Homelabs, und sie bietet keine automatischen Backups. Sie tragen den Betriebsaufwand von Vaultwarden, erhalten aber nicht dessen kostenlosen Funktionsumfang. Wählen Sie diese Variante, wenn Ihnen der Code des Anbieters wichtiger ist als die Funktionen und Sie die Datenbank selbst betreiben möchten.

Wenn Sie noch entscheiden, welche weiteren Dienste der Server hosten soll, stellt die umfassendere Self-Hosting-Auswahl diese Entscheidung den anderen Diensten gegenüber, die um denselben Arbeitsspeicher konkurrieren.

FAQ

Ist Vaultwarden sicher genug für einen echten Passwortmanager?

Für die persönliche Nutzung und für Familien: ja, unter bestimmten Bedingungen. Die Clients verschlüsseln den Tresor, bevor er den Server erreicht. Vaultwarden sieht daher weder Ihr Master-Passwort noch Klartextdaten. Die Software wurde extern geprüft: Das BSI ließ sie zwischen Februar und Mai 2024 von Sicherheitspartnern von mgm testen. ERNW meldete eine Authentifizierungsumgehung, die in 1.32.5 behoben wurde. Halten Sie die Version aktuell. Deaktivieren Sie die Administrationsseite oder schützen Sie sie mit einem Argon2-Hash-ADMIN_TOKEN. Stellen Sie den Dienst ausschließlich über HTTPS bereit. Unternehmen, die Herstellersupport oder Audit-Dokumentation benötigen, sollten den Server von Bitwarden selbst betreiben.

Wie viel RAM benötigt Vaultwarden im Vergleich zu selbst gehostetem Bitwarden?

Bei im Leerlauf gemessenen Installationen mit docker stats --no-stream belegte Vaultwarden mit SQLite in einem Container etwa 58 MB. Die Standardbereitstellung von Bitwarden belegte über 12 Container hinweg etwa 2,400 MB. Der größte Anteil entfiel dabei auf die MSSQL-Datenbank. Bitwarden nennt 2 GB als Mindestanforderung und 4 GB als Empfehlung für den Standard-Stack sowie 200 MB für Bitwarden lite. Vaultwarden läuft auf einem VPS mit 1 GB RAM und verfügt dabei noch über ausreichend Reserven.

Benötige ich für das Self-Hosting eine Bitwarden-Lizenz?

Nicht für einen kostenlosen persönlichen Tresor. Der Betrieb des Servers ist kostenlos. Eine Lizenzdatei ist erforderlich, um Premiumfunktionen für einzelne Benutzer und kostenpflichtige Organisationspläne freizuschalten. Dazu gehören Families, Teams und Enterprise. Sie laden die Datei aus dem Cloud-Webtresor herunter und laden sie in Ihre Instanz hoch. Organisationslizenzen werden anhand der Installations-ID ausgestellt, die in ./bwdata/env/global.override.env gespeichert ist. Vaultwarden benötigt keine Lizenz und aktiviert die Organisationsfunktionen selbst.

Kann ich später von Vaultwarden zu Bitwarden oder zurück wechseln?

Ja, in beide Richtungen über die Clients. Jeder Benutzer exportiert seinen Tresor aus dem Webtresor oder der Desktop-App und importiert ihn nach der Kontoerstellung auf dem neuen Server. Der .zip-Export enthält Anhänge aus persönlichen Tresoren. Die JSON-Formate enthalten Karten, Identitäten, Passkeys und SSH-Schlüssel. Elemente im Papierkorb und Sends sind in keinem Exportformat enthalten. Elemente im Besitz einer Organisation müssen von einem Eigentümer separat exportiert werden. Planen Sie daher ein, die Organisation auf dem neuen Server neu anzulegen und die Benutzer erneut einzuladen.