🚀 Vaultwarden auf VPS — selbstgehostetes Bitwarden

Bitwarden-kompatibler Passwortserver auf eigenem VPS: Docker, Caddy-HTTPS, Admin-Token, Registrierung deaktiviert, verschlüsselte Offsite-Backups.

Vaultwarden ist ein leichter Rust-Server, der mit jedem offiziellen Bitwarden-Client funktioniert — Browser-Erweiterungen, mobile Apps, Desktop. Ihre Passwortdatenbank liegt als SQLite auf Ihrem VPS, hinter Ihrer Domain und Ihrem HTTPS-Zertifikat.

1. Container starten

apt update && apt install -y ufw
ufw allow OpenSSH && ufw allow 80/tcp && ufw allow 443/tcp && ufw --force enable
mkdir -p /opt/vaultwarden/data && cd /opt/vaultwarden
echo "ADMIN_TOKEN=$(openssl rand -base64 48)" > .env   # save this token!
cat > docker-compose.yml <<'EOF'
services:
  vaultwarden:
    image: vaultwarden/server:latest
    restart: unless-stopped
    env_file: .env
    environment:
      - DOMAIN=https://vault.example.com
      - SIGNUPS_ALLOWED=true
      - WEB_VAULT_ENABLED=true
    ports:
      - "127.0.0.1:8085:80"
    volumes:
      - ./data:/data
EOF
docker compose up -d

Das Panel bindet nur an `127.0.0.1` — das Internet erreicht es über Caddy im nächsten Schritt. Alles (der `db.sqlite3`-Tresor, Anhänge, die Konfiguration) liegt in `./data`.

2. HTTPS mit Caddy

apt install -y caddy
cat > /etc/caddy/Caddyfile <<'EOF'
vault.example.com {
    reverse_proxy 127.0.0.1:8085
}
EOF
systemctl reload caddy

Richten Sie zuerst die A-Record, öffnen Sie dann `https://vault.example.com`, registrieren Sie Ihr Konto — und schalten Sie sofort `SIGNUPS_ALLOWED=false` in `docker-compose.yml` und führen Sie `docker compose up -d` erneut aus. Das Admin-Panel liegt unter `/admin` hinter dem `ADMIN_TOKEN`.

3. Clients und Backups

Wählen Sie in jedem Bitwarden-Client auf dem Anmeldebildschirm Self-hosted und geben Sie `https://vault.example.com` ein. Für Backups ist der ganze Tresor ein Ordner: restic-Leitfaden mit einem täglichen Timer hält eine verschlüsselte Kopie außerhalb des Servers — Passwörter sind genau die Daten, die Sie nie neu rekonstruieren wollen.

Kurzantworten

Funktioniert es mit den offiziellen Bitwarden-Apps?

Ja — Browser-Erweiterungen, iOS/Android und Desktop-Clients haben alle einen Self-hosted-Modus; tragen Sie Ihre Domain ein und melden Sie sich wie gewohnt an. Zwei Einschränkungen: Premium-Funktionen wie Bitwarden Send sind eigene Implementierungen von Vaultwarden, und offizielle nur-Cloud-Funktionen (Organisationsfreigabe mit Cloud-Abrechnung) funktionieren nur dort, wo Vaultwarden sie umsetzt.

Wie viele Ressourcen braucht es?

Sehr wenig: ~100–200 MB RAM, wenige CPU-Prozente selbst bei der Synchronisierung. Ein Core VPS 4 (€12/Monat) ist Luxus und teilt sich die Maschine mit anderen Diensten; selbst der kleinste Tarif, den Sie betreiben, ist overkill — genau das ist der Punkt: Der Preis ist Ihre Disziplin, nicht die Rechnung.