In vielen Betrieben liegen die wichtigen Zugangsdaten noch in einer Excel-Liste, auf einem Zettel im Büro oder im Kopf einer einzigen Person. Das geht gut, bis jemand krank wird, den Betrieb verlässt oder ein Konto gehackt wird und niemand weiß, wo das Passwort überall noch verwendet wurde. Ein gemeinsamer Passwortmanager löst das. Wer die Daten dabei auf eigenen Systemen behalten möchte, landet schnell bei Vaultwarden.
Was Vaultwarden ist
Vaultwarden ist ein freier Server für die Apps und Browser-Erweiterungen von Bitwarden. Ihre Mitarbeitenden nutzen also die bekannten Bitwarden-Programme auf Rechner und Handy, tragen dort aber die Adresse Ihres eigenen Servers ein. Die Passwörter liegen verschlüsselt auf diesem Server, eine fremde Cloud ist nicht beteiligt.
Wichtig zu wissen: Vaultwarden ist ein eigenständiges Open-Source-Projekt und gehört nicht zur Firma Bitwarden. Fehler meldet man deshalb beim Vaultwarden-Projekt, der Bitwarden-Support ist dafür nicht zuständig. Der Server ist in der Programmiersprache Rust geschrieben und braucht deutlich weniger Rechenleistung als der offizielle Bitwarden-Server. Für einen kleinen Betrieb reicht ein kleiner virtueller Server völlig aus.
Was Vaultwarden kann
Für den Alltag im Betrieb sind vor allem die Organisationen interessant. Darin legen Sie Sammlungen an, etwa für die Kasse, die Lieferantenportale oder die Buchhaltung, und bestimmen, welche Gruppe welche Sammlung sehen darf. Rollen, Gruppen, Richtlinien und ein Ereignisprotokoll gehören dazu. So sieht die Aushilfe nur, was sie braucht, und Sie wissen später, wer wann auf einen Eintrag zugegriffen hat.
Dazu kommen die Funktionen, die man von einem modernen Passwortmanager erwartet: Zwei-Faktor-Anmeldung per Authenticator-App, E-Mail, Sicherheitsschlüssel wie YubiKey oder FIDO2 und über Duo, ein Notfallzugriff für Vertrauenspersonen, Dateianhänge und Bitwarden Send zum sicheren Weitergeben einzelner Daten. Über einen eigenen Admin-Bereich verwalten Sie Benutzer und Einstellungen.
Seit Version 1.35.0 kann Vaultwarden auch die Anmeldung über einen zentralen Anmeldedienst per OpenID Connect, zum Beispiel über Microsoft Entra ID oder Keycloak. Das Master-Passwort bleibt dabei trotzdem nötig, denn nur damit lassen sich die gespeicherten Passwörter entschlüsseln. Wer darüber hinaus Rollen und Organisationen direkt aus dem Anmeldedienst übernehmen möchte, findet diese Funktionen in der Abspaltung OIDCWarden, über deren letzte Version wir hier berichtet haben.
Was Sie für einen sicheren Betrieb brauchen
Vaultwarden wird meist als Docker-Container betrieben. Die eigentliche Installation ist schnell erledigt, die Arbeit steckt im Drumherum.
HTTPS ist Pflicht. Die Weboberfläche funktioniert nur über eine verschlüsselte Verbindung, deshalb gehört ein Reverse Proxy mit gültigem Zertifikat vor den Server. Der Server sollte außerdem nicht offen für jeden erreichbar sein, der sich registrieren möchte. Schalten Sie die freie Registrierung ab und laden Sie neue Mitarbeitende gezielt per E-Mail ein. Dafür braucht Vaultwarden einen funktionierenden Mailversand über SMTP.
Der Admin-Bereich ist mit einem Token geschützt. Dieser Token sollte lang und zufällig sein und nur als Hash in der Konfiguration stehen, so wie es das Projekt empfiehlt. Wer den Admin-Bereich nicht braucht, kann ihn ganz abschalten. Damit die Handy-Apps Änderungen sofort mitbekommen, lässt sich außerdem die Push-Benachrichtigung einrichten. Dafür wird der Server einmalig bei Bitwarden registriert.
Datensicherung: der Teil, der am häufigsten fehlt
Das Vaultwarden-Projekt sagt es deutlich: Für Datenverlust übernimmt niemand die Haftung, regelmäßige Sicherungen liegen bei Ihnen. Gesichert werden müssen die Datenbank, der Ordner mit den Dateianhängen und die Schlüsseldateien, mit denen der Server seine Anmeldungen signiert. Die Konfigurationsdatei aus dem Admin-Bereich und die Dateien aus Bitwarden Send gehören ebenfalls dazu.
Die Datenbank sollte nicht einfach im laufenden Betrieb kopiert werden. Vaultwarden bringt dafür einen eigenen Befehl für eine saubere Sicherung mit. Die Sicherung sollte automatisch laufen, verschlüsselt sein und mindestens eine Kopie an einem anderen Ort liegen. Und sie ist erst dann etwas wert, wenn Sie die Wiederherstellung einmal ausprobiert haben. Ein Passwortmanager ohne funktionierende Sicherung ist im Ernstfall schlimmer als die alte Excel-Liste.
Updates gehören zum Betrieb
Vaultwarden wird aktiv weiterentwickelt, und viele neue Versionen enthalten Sicherheitskorrekturen. Version 1.37.3 vom 13. September 2026 hat zum Beispiel dafür gesorgt, dass gespeicherte Zwei-Faktor-Freigaben verfallen, wenn jemand sein Passwort ändert. Eine weitere Korrektur für gesperrte Mitglieder von Organisationen ist bereits im Code und dürfte mit der nächsten Version erscheinen.
Sinnvoll ist, im Container eine bestimmte Versionsnummer festzulegen, vor jedem Update zu sichern und die neue Version kurz zu prüfen. Wer einfach immer die neueste Fassung zieht, bekommt Änderungen auch dann, wenn gerade niemand hinschaut.
Selbst betreiben oder betreiben lassen
Technisch ist Vaultwarden kein großes Projekt. Die Frage ist eher, wer sich dauerhaft darum kümmert: um Zertifikate, Updates, Sicherungen und die Überwachung, ob der Server noch läuft. Wenn diese Aufgabe bei einer einzelnen Person hängt, die eigentlich etwas anderes zu tun hat, bleibt sie früher oder später liegen. Und ausgerechnet der Passwortmanager ist ein System, das jederzeit funktionieren muss.
Wir hosten Vaultwarden für Sie auf unseren eigenen Systemen und übernehmen den Betrieb: Einrichtung, Updates, Sicherung und Überwachung. Beim Umzug aus Excel-Listen oder einem anderen Passwortmanager helfen wir mit, denn die Bitwarden-Programme können viele gängige Formate importieren. Wie ein Passwortmanager in Ihr Schutzkonzept passt, lesen Sie auf unserer Seite zum IT-Sicherheitskonzept.
Sie möchten wissen, ob Vaultwarden zu Ihrem Betrieb passt? Rufen Sie uns an unter 0361 34949224 oder schreiben Sie uns über das Kontaktformular.