Vaultwarden selbst hosten: Setup & Kosten

Jeder Login, den ich besitze, lebt in einem Container, den ich selbst gebaut habe, auf einer Kiste in meinem eigenen Haus. Keine monatliche Rechnung, keine Firma, die über Nacht meinen Preis erhöht, keine Leak-Meldung aus der Cloud eines anderen. Das ist das Versprechen des Self-Hostings eines Passwort-Managers. Es ist aber auch – das gebe ich gleich zu – nicht kostenlos; es ist nur eine andere Rechnung.

Ich betreibe Vaultwarden in Docker auf meinem Proxmox-Homelab, und ich wurde oft genug gefragt „sollte ich das auch einfach machen?", dass es sich lohnt, ehrlich zu antworten: was es ist, das echte Setup, die Teile, die man unterschätzt, und was es tatsächlich kostet, sobald Strom und die eigene Zeit aufhören, kostenlos zu sein.

TL;DR

Vaultwarden ist ein inoffizieller, in Rust geschriebener Server, der dieselbe API spricht wie Bitwarden – offizielle Clients verbinden sich mit ihm, ohne den Unterschied zu bemerken.
Er schaltet Bitwardens Premium-Funktionen für alle frei, kostenlos, weil er überhaupt kein Abrechnungssystem hat.
HTTPS ist nicht optional. Bitwardens eigene Clients weigern sich schlicht, mit einem nicht abgesicherten Server zu sprechen.
Die SQLite-Datenbank ist Ihr gesamter Tresor. Sichern Sie sie richtig oder verlieren Sie alles bei einem einzigen Festplattenausfall.
Ehrlich gerechnet – Hardware, Strom, eine Domain – ist Self-Hosting nicht automatisch günstiger als Bitwarden Premium zu bezahlen. Es ist ein Tausch von Kontrolle, kein Tausch von Ersparnis.

KEY-STAT: 256 MB — RAM, die Vaultwarden braucht, gegenüber den 2 GB+, die für den offiziellen Multi-Container-Bitwarden-Server empfohlen werden

Was Vaultwarden wirklich ist (und was nicht)

Vaultwarden begann als „bitwarden_rs", eine inoffizielle Neuimplementierung der Bitwarden-Server-API in Rust, gepflegt von einem kleinen Community-Team auf GitHub. Es ist nicht mit Bitwarden, Inc. verbunden – auch wenn ein Maintainer zufällig ebenfalls dort arbeitet und in seiner Freizeit beiträgt.

Der Grund, warum es existiert: Der offizielle selbst gehostete Bitwarden-Server ist ein vollständiger Multi-Container-Stack (Datenbank, API, Identität, Admin, Web-Tresor), den Bitwardens eigene Dokumentation mit mindestens 2 GB RAM zu betreiben empfiehlt. Vaultwarden ist eine einzige kleine Binärdatei, die bequem in unter 256 MB läuft, mühelos auf einem Raspberry Pi.

Der größere Grund, warum Leute es tatsächlich wählen: Vaultwarden kennt kein Konzept eines Bezahltarifs. Jedes Konto, das es bedient, meldet sich bei Bitwardens offiziellen Apps als „Premium" zurück, sodass Dinge, für die Bitwarden normalerweise Geld verlangt – eingebaute TOTP-Codes, Dateianhänge, Notfallzugriff, vollständige Organisationen zum Teilen mit der Familie – schlicht an sind, kostenlos, für jeden, der es betreibt. Nichts zu konfigurieren, nichts freizuschalten.

Er spricht dasselbe Protokoll, das Bitwardens echte Apps erwarten, sodass Ihr Handy, die Browser-Erweiterung und die Desktop-App sich alle genau so mit ihm verbinden, wie sie es mit bitwarden.com täten – Sie richten sie nur auf Ihre eigene Domain aus.

Mein docker-compose: das echte Setup

Das kommt dem nahe, was tatsächlich in meinem Homelab läuft, auf die relevanten Teile gekürzt. Es setzt einen Reverse-Proxy davor voraus (bei mir Caddy), der das TLS-Zertifikat verwaltet – gleich mehr dazu, warum das nicht verhandelbar ist.

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "false"
      WEBSOCKET_ENABLED: "true"
      ADMIN_TOKEN: "${VAULTWARDEN_ADMIN_TOKEN}"
    volumes:
      - ./vw-data:/data
    ports:
      - "127.0.0.1:8080:80"

  caddy:
    image: caddy:2
    container_name: caddy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile
      - caddy_data:/data

volumes:
  caddy_data:

Ein paar Zeilen bringen Leute zu Fall. `SIGNUPS_ALLOWED: "false"` zählt in dem Moment, in dem Sie öffentlich gehen – lassen Sie es auf `true`, kann jeder, der Ihre Domain findet, einen Tresor auf Ihrem Server registrieren. `ADMIN_TOKEN` sichert das `/admin`-Panel ab und sollte ein langer, zufälliger Wert aus einer Umgebungsdatei sein, niemals fest im Code. Vaultwardens eigene Docker-Compose-Wiki-Seite ist die primäre Referenz, wenn Sie das anpassen – sie ändert sich mit den Releases.

Vaultwarden bindet sich nur an `127.0.0.1:8080`, direkt nicht erreichbar. Caddy ist der einzige Container, der zum Netzwerk zeigt, terminiert TLS und leitet hinein. Wenn Sie entscheiden, ob ein Dienst wie dieser überhaupt in eine VM oder einen Container gehört, ist genau diese Aufteilung in Proxmox vs. Docker: was wo ausführen behandelt.

HTTPS ist nicht optional

Das ist der Teil, den Leute in Eile überspringen und dann nicht verstehen, warum nichts funktioniert.

Warnung

Bitwardens Browser-Erweiterungen und Apps weigern sich zu verbinden, wenn ein Server nicht über HTTPS ausgeliefert wird (localhost ist die eine Ausnahme). Das ist keine Vaultwarden-Eigenart – es liegt daran, dass die Web-Crypto-APIs, auf die sich die Clients zur Verschlüsselung stützen, nur in einem sicheren Browser-Kontext laufen. Kein Zertifikat, kein Tresor, keine Ausnahmen.

Die Umgebungsvariable `DOMAIN` muss die buchstäbliche `https://`-URL sein, die Ihre Clients tatsächlich verwenden – kein bloßer Hostname. Machen Sie das falsch, verhalten sich Anhänge, Icons und einige Client-Funktionen still fehlerhaft, selbst wenn die Anmeldung technisch funktioniert.

Der realistische Weg ist ein Reverse-Proxy, der Zertifikate automatisiert: Caddy (was ich nutze, weil es Let's-Encrypt-Zertifikate mit fast keiner Konfiguration ausstellt und erneuert), Nginx Proxy Manager oder Traefik. Richten Sie ihn ein und holen Sie ein gültiges Zertifikat, bevor Sie ein einziges Konto anlegen – HTTPS nachträglich auf einen bereits genutzten Tresor zu setzen ist ein unnötiges Risikofenster.

Backups: Ihr Tresor ist eine defekte Platte vom Nichts entfernt

Vaultwarden speichert fast alles in einer einzigen `db.sqlite3`-Datei, dazu einen separaten `attachments/`-Ordner und Ihre RSA-Schlüsseldateien zum Signieren von Token. Verlieren Sie die SQLite-Datei, verlieren Sie jeden gespeicherten Login, Punkt – es gibt keine Cloud-Kopie dahinter, wie es sie beim gehosteten Bitwarden gäbe.

Tipp

Kopieren Sie die laufende Datenbankdatei nicht einfach mit `cp`. SQLite hält im Betrieb `-wal`- und `-shm`-Begleitdateien daneben, und eine rohe Kopie kann sie mitten im Schreiben erwischen und Ihnen ein korruptes Backup liefern. Nutzen Sie Vaultwardens eigenen Befehl `docker exec -it vaultwarden /vaultwarden backup`, der einen sauberen, konsistenten Schnappschuss schreibt – oder SQLites eigenen `.backup`-Befehl, der dasselbe sicher tut.

Mein Backup umfasst den SQLite-Schnappschuss, die Ordner `attachments/` und `sends/`, `config.json` und die RSA-Schlüsseldateien – denselben Satz, den die Backup-Anleitung der Community durchgeht. Alles davon geht in verschlüsselten Offsite-Speicher, nicht nur in einen zweiten Ordner auf derselben Kiste, denn ein Backup, das auf derselben Platte wie das Original liegt, schützt vor genau nichts, wenn diese Platte stirbt.

Wie exponiert sollte er sein

Hier gibt es wirklich zwei ehrliche Optionen, und die „richtige" hängt davon ab, wie viel Reibung Sie hinnehmen wollen für wie viel Angriffsfläche, die Sie entfernen wollen.

Nur LAN plus Tunnel. Vaultwarden berührt das öffentliche Internet nie direkt. Sie erreichen ihn nur über einen WireGuard-Tunnel zurück in Ihr Heimnetz – vom Handy im Mobilfunk aus sieht es aus, als wäre er in Ihrem LAN. Kleinstmögliche Angriffsfläche, null öffentlich lauschende Ports an Ihrem Tresor. Der Kompromiss gegenüber dem älteren Standard ist in WireGuard vs. OpenVPN: was selbst hosten behandelt – WireGuard ist das, was ich für genau diesen Zweck wählen würde: leicht, schnell beim Wiederverbinden, schonend für den Handy-Akku.

Öffentlich mit einem Reverse-Proxy. Sie öffnen 443, Caddy terminiert TLS, und der Tresor ist von überall erreichbar, ohne zuerst einen VPN-Client. Bequemer – Familienmitglieder, die keine WireGuard-App installieren, öffnen einfach einen Browser. Mehr Fläche allerdings: Ihr Admin-Token und Ihr Login-Formular zeigen ins Internet, sodass Rate-Limiting und das Deaktivieren öffentlicher Registrierungen aufhören, optional zu sein.

Ich betreibe den Tunnel für mich selbst und exponiere die Anmeldung nur für die Familienkonten öffentlich, die sich die Organisation teilen. Keine der Antworten ist falsch; blind zu wählen schon.

Aktuell halten

Vaultwarden veröffentlicht häufig Releases, und anders als bei einem SaaS-Tresor patcht es niemand für Sie. `docker compose pull && docker compose up -d` nach Plan ist das ganze Update – aber „nach Plan" muss etwas Echtes bedeuten: ein Cron-Job, eine Kalendererinnerung oder Watchtower, das neue Images automatisch zieht. Ein ungepatchter, ins Internet zeigender Tresor ist schlimmer als die SaaS-Option, die Sie vermeiden wollten.

Was Self-Hosting tatsächlich kostet

Hier ist der Teil, den die meisten Self-Hosting-Beiträge überspringen: „kostenlose Software" läuft trotzdem auf Hardware, die Strom zieht, braucht eine Domain, um namentlich erreichbar zu sein, und frisst Ihre Samstagnachmittage, wenn etwas kaputtgeht. Bitwarden Premium ist auch nicht mehr kostenlos – Bitwarden verdoppelte seinen Premium-Preis im Januar 2026 ungefähr, von 9,99 $ auf 19,80 $ im Jahr.

Grobe Zahlen unten, mit einem typischen stromsparenden N100-Mini-PC (etwa 7 W im Leerlauf) und Deutschlands durchschnittlichem Haushaltsstrompreis 2026 von rund 0,35 €/kWh:

Kostenposten	Dedizierter Mini-PC nur dafür	Zusatz zu einer bestehenden Homelab-Kiste	Gehostetes Bitwarden Premium
Softwarelizenz	0 €	0 €	~19,80 €/Jahr
Hardware (amortisiert, ~5 J.)	~30–40 €/Jahr	0 € (bereits versenkt)	0 €
Strom (7 W, 24/7, 0,35 €/kWh)	~21 €/Jahr	~21 €/Jahr (marginal)	0 €
Domain (.com, Registrar zum Selbstkostenpreis)	~10 €/Jahr	~10 €/Jahr	0 €
TLS-Zertifikat	0 € (Let's Encrypt)	0 € (Let's Encrypt)	0 €
Offsite-Backup-Speicher	~6–12 €/Jahr	~6–12 €/Jahr	inklusive
Grobe Summe / Jahr	~67–83 €	~37–53 €	~19,80 €

Lesen Sie diese Tabelle geradeheraus: Bei reinem Bargeld ist gehostetes Bitwarden Premium günstiger als Self-Hosting, selbst im besten Fall. Was Sie mit den zusätzlichen Euro kaufen, ist volle Datenhoheit, jede Premium-Funktion ohne Upsell freigeschaltet und ein Tresor, der niemandes Preisentscheidungen unterliegt außer Ihren eigenen – keine niedrigere Rechnung.

Diese Rechnung kippt nur, wenn die Kiste ohnehin rund um die Uhr für andere Dinge läuft, die Sie sowieso betreiben würden – was, wenn Sie unseren Homelab-Einsteiger-Guide gelesen haben, die meisten Homelabs nach ein paar Monaten beschreibt. An dem Punkt ist Vaultwarden ein kostenloser Zusatzdienst auf Hardware, die Sie ohnehin am Laufen hielten.

Für wen das ehrlich ist – und wer einfach zahlen sollte

Hosten Sie Vaultwarden selbst, wenn Sie bereits ein Homelab für andere Dienste betreiben, mit Docker und Linux-Grundlagen vertraut sind und Backups und Updates tatsächlich machen – nicht „vorhaben". Es passt auch, wenn Sie ausdrücklich jede Bitwarden-Premium-Funktion kostenlos wollen, mit dem Schicksal Ihres Tresors an niemandes Abrechnungsentscheidungen gebunden außer Ihren eigenen.

Zahlen Sie einfach für Bitwarden, 1Password oder einen ähnlichen dedizierten Manager, wenn Sie noch keine dauerhaft laufende Hardware haben, Betriebszeit und Patchen nicht Ihr Problem sein soll oder Sie ehrlich wissen, dass Backup-Disziplin keine Gewohnheit ist, die Sie halten. Ein bezahlter Tresor mit automatischer Redundanz schlägt einen selbst gehosteten, der still verrottet. Für den ausführlicheren Vergleich zwischen Bitwarden, 1Password, KeePassXC und Dashlane siehe unseren dedizierten Vergleich.

Häufig gestellte Fragen

Ist Vaultwarden sicher genug, um ihm echte Passwörter anzuvertrauen?

Ja, was die Verschlüsselung selbst betrifft – es spricht Bitwardens Protokoll, also wird Ihr Tresor client-seitig verschlüsselt, bevor er je den Server erreicht, genau wie bei offiziellem Bitwarden. Das Risiko, das es hinzufügt, ist betrieblich, nicht kryptografisch: Sie sind jetzt für HTTPS, zeitnahe Updates und Backups verantwortlich, die ein verwalteter Dienst sonst für Sie erledigen würde.

Kann ich Vaultwarden betreiben, ohne ihn überhaupt ins Internet zu exponieren?

Ja, und es ist die risikoärmere Option. Binden Sie ihn an ein privates Netz und erreichen Sie ihn nur über einen WireGuard-Tunnel; Ihre Apps verhalten sich genau so, als wären Sie in Ihrem Heim-LAN, und der Tresor hat nie einen offenen Port zum öffentlichen Internet.

Was passiert, wenn mein Heimserver stirbt – verliere ich jedes Passwort?

Nur wenn Ihre Backups ebenfalls auf dieser Kiste lagen oder nicht existierten. Ein sauberes, ausgelagertes Backup der SQLite-Datenbank, der Anhänge und der Schlüsseldateien – erstellt mit Vaultwardens eigenem Backup-Befehl statt einer rohen Dateikopie – lässt Sie den gesamten Tresor in Minuten auf neuer Hardware wiederherstellen.

Ist Vaultwarden wirklich kostenlos, oder gibt es versteckte Kosten?

Die Software selbst ist kostenlos und schaltet jede Bitwarden-Premium-Funktion ohne Gebühr frei. Die echten Kosten sind die dauerhaft laufende Hardware, ihr Strom, eine Domain, wenn Sie sie namentlich erreichbar wollen, und Ihre eigene Zeit für Updates und Backups – nichts davon taucht in einem „kostenlose Software"-Versprechen auf, aber alles davon ist real.