Eine Mitarbeiterin verlässt den Betrieb, und an ihrem letzten Tag wird sie im gemeinsamen Passwortmanager gesperrt. In der Verwaltung steht sie danach als gesperrt, die Sache scheint erledigt. Genau diese Sperre hat in Vaultwarden und damit auch in OIDCWarden nicht ganz so gewirkt, wie man es erwarten würde. Die neue Version 2026.9.0-2 von OIDCWarden behebt das.
Was OIDCWarden ist
Vaultwarden ist ein freier Server für die Apps und Browser-Erweiterungen von Bitwarden. Wer ihn selbst betreibt, hat alle Passwörter auf dem eigenen Server. Was dabei wichtig ist, steht in unserem Leitfaden Vaultwarden im Unternehmen. OIDCWarden ist eine Abspaltung davon, die der Entwickler Timshel pflegt. Von ihm stammt auch die Anmeldung über einen zentralen Anmeldedienst per OpenID Connect, zum Beispiel Microsoft Entra ID oder Keycloak, die seit Version 1.35.0 auch in Vaultwarden selbst enthalten ist. Mitarbeitende melden sich dann mit ihrem Firmenkonto an. OIDCWarden geht darüber hinaus und übernimmt Rollen, Organisationen und Gruppen direkt aus dem Anmeldedienst. Das Master-Passwort bleibt trotzdem nötig, denn nur damit lassen sich die gespeicherten Passwörter entschlüsseln. Ziel des Projekts ist, dass auch diese Zusatzfunktionen nach und nach in Vaultwarden landen.
Die Versionsnummern richten sich nach dem Web-Client von Bitwarden. 2026.9.0-1 ist die erste Version, die zum Web-Client 2026.9.0 passt, 2026.9.0-2 die zweite.
Gesperrte Mitglieder hatten weiter Zugriff
Gemeinsame Passwörter liegen in Vaultwarden in Organisationen und Sammlungen, etwa der Zugang zum Kassensystem oder zum Lieferantenportal. Wird ein Mitglied gesperrt, verschwinden diese Einträge aus seiner Ansicht. Ruft man einen Eintrag aber direkt über seine Kennung ab, hat der Server bisher nicht geprüft, ob die Mitgliedschaft noch aktiv ist. Gesperrte Mitglieder und solche, deren Einladung noch nicht bestätigt war, konnten Einträge auf diesem Weg weiter lesen, ändern und löschen, sofern sie deren Kennung kannten.
Die Korrektur stammt aus Vaultwarden und wurde dort am 23. September übernommen. In der aktuellen offiziellen Vaultwarden-Version 1.37.3 vom 13. September ist sie noch nicht enthalten. OIDCWarden bringt sie seit Version 2026.9.0-2 vom 24. September mit. Zusätzlich prüft der Server die bestätigte Mitgliedschaft jetzt überall dort, wo es um Berechtigungen geht, auch an Stellen, an denen das bisher schon an anderer Stelle abgefangen wurde.
Anmeldung über den Anmeldedienst genauer steuern
Version 2026.9.0-1 vom 22. September bringt zwei neue Einstellungen. Mit SSO_ACR_MIN legen Sie fest, dass eine Anmeldung nur klappt, wenn der Anmeldedienst ein bestimmtes Sicherheitsniveau meldet, zum Beispiel eine Anmeldung mit zweitem Faktor. SSO_ACR_NO_2FA sorgt dafür, dass OIDCWarden auf seine eigene Zwei-Faktor-Abfrage verzichtet, wenn der Anmeldedienst die starke Anmeldung schon erledigt hat. Mitarbeitende müssen dann nicht zweimal bestätigen. Welche Werte Ihr Anmeldedienst dafür liefert, steht in dessen Dokumentation.
Version 2026.9.0-1 hatte allerdings einen Fehler bei der Anmeldung über den Anmeldedienst, der zwei Tage später mit 2026.9.0-2 behoben wurde. Wer noch nicht aktualisiert hat, geht deshalb am besten direkt auf 2026.9.0-2.
Zwei weitere Sicherheitskorrekturen
Aus Vaultwarden 1.37.3 übernommen sind zwei weitere Punkte. Wer bei der Zwei-Faktor-Abfrage „Angemeldet bleiben“ anhakt, muss den zweiten Faktor 30 Tage lang nicht mehr eingeben. Das blieb bisher auch dann so, wenn jemand sein Passwort oder seine Zwei-Faktor-Einstellungen geändert hatte. Jetzt verfällt diese Erinnerung in beiden Fällen.
Außerdem sind einige Schnittstellen, die ohne Anmeldung erreichbar sind, jetzt gegen massenhafte Anfragen begrenzt. Über eine davon ließen sich beliebig viele Freigabeanfragen an die Geräte eines Nutzers schicken, in der Hoffnung, dass er irgendwann aus Versehen auf „Bestätigen“ tippt.
Was jetzt zu tun ist
Wer OIDCWarden betreibt, sollte auf 2026.9.0-2 aktualisieren. Das gilt besonders, wenn in letzter Zeit jemand aus dem Betrieb ausgeschieden ist und nur gesperrt wurde. Der Entwickler empfiehlt selbst, immer eine bestimmte Version einzusetzen, vor jedem Update eine Sicherung zu machen und die neue Version kurz zu testen. Bei Docker heißt das, die Versionsnummer als Tag anzugeben und nicht einfach die jeweils neueste Fassung zu ziehen.
Wer Vaultwarden betreibt, sollte mindestens 1.37.3 installiert haben. Die Korrektur für gesperrte Mitglieder ist im Code von Vaultwarden schon enthalten und dürfte mit der nächsten Version erscheinen. Bis dahin gilt, was nach einem Abschied ohnehin sinnvoll ist: die Person aus der Organisation entfernen und die Passwörter ändern, die sie kannte.
Nachtrag vom 11. Oktober 2026: Inzwischen ist Vaultwarden 1.37.4 erschienen. Die Version schließt sieben Sicherheitslücken, darunter eine beim Sperren von Organisationsmitgliedern. Mehr dazu im Beitrag Vaultwarden 1.37.4: Sieben Sicherheitslücken geschlossen.
Alle Änderungen im Detail stehen im Changelog von OIDCWarden.