Vaultwarden
Der Passwort-Manager auf eigenem Server. Ein einziger Container, kompatibel mit allen Bitwarden-Apps für iOS, Android, Browser und Desktop — eine konkrete Alternative zu 1Password Business und LastPass Enterprise für .
Projekt-Profil
Vaultwarden
Unofficial Bitwarden-compatible server in Rust
Stand: 1. Juni 2026
GitHub-Sterne
62k
Forks
2.9k
Offene Issues
43
Lizenz
AGPL-3.0
Aktuelle Version
v1.36.0
Sprache
Rust
Drittquelle · Wikidata (CC0)
Wikidata-Profil
Bitwarden
Lizenz
AGPL-3.0
Initial Release
2016-08-10
Was ist Vaultwarden?
Vaultwarden ist eine inoffizielle Server-Reimplementierung von Bitwarden in Rust, geschrieben vom spanischen Entwickler Daniel García. Sie sprechen den gleichen API-Dialekt wie der offizielle Bitwarden-Server — alle offiziellen Bitwarden-Apps (iOS, Android, Browser-Extension, Desktop) verbinden sich gegen einen Vaultwarden-Server, ohne den Unterschied zu bemerken.
Der entscheidende Unterschied: Der offizielle Bitwarden-Server ist ein 11-Container-Stack mit Microsoft SQL Server, gedacht für Enterprise-Setups. Vaultwarden ist ein einziger Container, etwa 50 MB RAM, mit SQLite oder optional /MariaDB. Für ein mit 5–500 Nutzern ist Vaultwarden die pragmatische Wahl — gleiche Apps, ein Bruchteil des Aufwands.
Warum ein Architekturbüro Vaultwarden nutzt
Ein modernes Architekturbüro betreut 50–100 aktive Bauprojekte gleichzeitig. Pro Projekt: Bauverwaltungsportal der Gemeinde, Energieversorger-Login, Bauherren-Cloud-Ordner, GAEB-Submissionsportal, Schadstoff-Datenbank, GEG-Berechnungstool. Mal zwölf Mitarbeitende, mal achtzig Projekte — schnell sind 1.800+ Logins zu verwalten.
Ein SaaS-Tresor wie 1Password oder LastPass würde die Aufgabe lösen, aber bedeutet: Adressen, Aktenzeichen, Ansprechpartner der Bauherren liegen bei einem US-Anbieter. Vaultwarden bietet die gleiche UX bei voller Datenhoheit — alle Passwörter im eigenen Container, alle Apps weiterhin offiziell.
Mandantenfall
Architekturbüro Hartmann + Voß
Zwölf Mitarbeitende — zwei Partner, sechs Architekten, zwei Bauleiter, zwei Sekretariat. Achtzig aktive Bauprojekte, jeder Mitarbeitende hat im Schnitt 150 verschiedene Logins. Vor zwei Jahren von einer Excel-Liste mit Passwörtern (!) auf Vaultwarden migriert. Heute: Browser-Extension auf jedem Rechner, Bitwarden-App auf jedem Smartphone.
Datenhoheit über Bauherren-Logins
Geteilte Vault-Folders pro Projekt
Smartphone-Sync für Baustellenbesuche
Sichere Passwort-Weitergabe
TOTP-Generator im gleichen Vault
Self-Hosted aus DSGVO-Gründen
Was die Mitarbeitenden konkret nutzen
Acht typische Nutzungsmuster aus dem Vaultwarden-Alltag des Büros. Jedes ersetzt entweder einen SaaS-Reflex oder eine schlechte Praktik (Excel-Liste, Notizzettel, geteiltes Master-Passwort).
Persönlicher Vault pro Mitarbeitende
Organisations-Vault (geteilt)
Projekt-Folder mit Berechtigung
TOTP-Codes für 2FA
Sichere Notizen
SSH-Keys und API-Tokens
Passwort-Sharing mit Vaultwarden Send
Browser-Extension + Mobile
Kern-Funktionen von Vaultwarden
Was Vaultwarden technisch leistet — und welche Funktionen im Architekturbüro-Setup tatsächlich tragen.
Bitwarden-kompatible API
Persönliche + Organisations-Vaults
TOTP-Generator integriert
Self-Hosted in einem Rust-Container
Vaultwarden Send
AGPL-3.0 — echtes Open Source
Alternativen ehrlich verglichen
Wenn Vaultwarden nicht passt — was sonst?
Drei Alternativen — eine offizielle Self-Hosted-Variante, eine Datei-basierte Lösung und ein SaaS-Schwergewicht. Jede mit eigenem Profil.
Offiziell Self-Hosted
Bitwarden Self-Hosted
Bitwarden Inc., GPL-3.0
- + Offizielle Server-Implementierung
- + Identische Features wie SaaS
- − 11 Container + Microsoft SQL Server
- − Deutlich höhere RAM- und Wartungslast
Datei-basiert
KeePassXC + Sync
KeePassXC-Team, GPL-3.0
- + Kein Server nötig, .kdbx-Datei
- + Sehr leichtgewichtig, offline-fähig
- − Sync manuell (Nextcloud, NAS)
- − Konflikt-Behandlung bei parallelen Edits
SaaS
1Password Business
AgileBits, USA
- + Exzellente UX, beste Mobile-Apps
- + Travel-Mode, Watchtower-Audit
- − US-Cloud, Datenabgabe-Pflicht
- − Ab 8 €/Nutzer/Monat, kumulativ
Faustregel: Wer 5–500 Nutzer und einen Linux-Server hat, ist mit Vaultwarden in 30 Minuten produktiv. Wer 1.000+ Nutzer hat und Microsoft-Stack betreibt, kann den offiziellen Bitwarden-Server überlegen. Wer ganz ohne Server arbeiten will, nutzt KeePassXC + Sync via NAS. SaaS ist die schnellste Lösung, wenn Datenhoheit egal ist.
Pricing
AGPL-3.0. Echtes Open Source. Ein Container.
Lizenz
AGPL-3.0 — Strong-Copyleft OSI-Open-Source. Eigennutzung ohne Auflagen. Wer Vaultwarden modifiziert und als Dienst Dritten anbietet, muss seine Modifikationen ebenfalls unter AGPL veröffentlichen. Für KMU-Eigenbetrieb ohne Modifikation: völlig unproblematisch.
Laufende Kosten
Ein Container auf dem bestehenden Docker-Host. RAM-Bedarf ca. 50 MB, kann gemeinsam mit anderen Stacks mitlaufen. Keine Per-Nutzer-Lizenz, keine Cloud-Gebühren, keine versteckten Kosten.
Aufwand
Installation: 15 Minuten (Container starten, Admin-Token setzen, hinter Caddy hängen). Initial-Setup für ein 12-Personen-Architekturbüro inkl. Schulung, Browser-Extensions und Migration aus Excel/Lastpass: 1–2 Beratungstage.
Wichtig: Vaultwarden ist NICHT vom offiziellen Bitwarden-Team. Es ist eine unabhängige Rust-Reimplementierung von Daniel García, vom Bitwarden-Team aber wohlwollend toleriert. Die offiziellen Bitwarden-Apps funktionieren voll kompatibel. Für KMU-Setups die mit Abstand pragmatischste Wahl gegenüber dem offiziellen 11-Container-Bitwarden-Server.
Caddy-Reverse-Proxy für vault.firma.de
vault.architekturbuero.de {
reverse_proxy vaultwarden:80 {
header_up X-Real-IP {remote_host}
header_up X-Forwarded-Proto {scheme}
}
header {
Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
X-Frame-Options DENY
X-Content-Type-Options nosniff
Referrer-Policy strict-origin-when-cross-origin
Permissions-Policy "interest-cohort=()"
}
encode gzip zstd
}Vaultwarden-Setup als Docker-Container
services:
vaultwarden:
image: vaultwarden/server:1.36.0
container_name: vaultwarden
restart: always
environment:
- DOMAIN=https://vault.architekturbuero.de
- SIGNUPS_ALLOWED=false
- INVITATIONS_ALLOWED=true
- WEB_VAULT_ENABLED=true
- WEBSOCKET_ENABLED=true
- SMTP_HOST=mail.architekturbuero.de
- SMTP_FROM=vault@architekturbuero.de
- SMTP_SECURITY=starttls
- ADMIN_TOKEN=${VAULTWARDEN_ADMIN_TOKEN}
volumes:
- ./vw-data:/data
networks:
- frontend
networks:
frontend:
external: trueVerwandte Themen
Vaultwarden ist die erste Self-Hosted App
Vaultwarden braucht als Plattform und Caddy als HTTPS-Ebene davor. Sie ist eine von mehreren Apps, die einen Cloud-Tresor ersetzen:
Bereit für den nächsten Schritt?
Kostenloses Erstgespräch. Unverbindlich. In 30 Minuten wissen Sie, ob und wie KI Ihrem Unternehmen helfen kann.