- Vaultwarden ist ein schlanker, quelloffener Server, der die ganz normalen Bitwarden-Apps mit deinem eigenen Server sprechen lässt. Sonst kostenpflichtige Premium-Funktionen wie TOTP im Tresor, Datei-Anhänge und Notfallzugriff sind dabei für alle frei.
- Du brauchst vier Dinge: einen Rechner, der rund um die Uhr läuft (ein Raspberry Pi genügt), einen Reverse Proxy mit HTTPS, einen Domainnamen oder ein VPN – und ein Backup.
- Der Ressourcenhunger ist winzig: im Leerlauf grob 15–30 MB Arbeitsspeicher. Das sind Community-Messwerte, keine offizielle Mindestvorgabe.
- Anlass ist die Preisrunde vom Januar 2026: Bitwarden Premium stieg von 9,99 auf 19,80 US-Dollar pro Jahr. Wer selbst hostet, zahlt stattdessen nur Strom und etwas Einrichtungszeit.
Warum das Thema gerade jetzt aufkommt
Im Januar 2026 hat Bitwarden die Preise angehoben – laut Ankündigung die erste Änderung seit rund zehn Jahren. Premium kostet seither 19,80 USD pro Jahr statt 9,99 USD, also fast das Doppelte (+98 %). Das Familienpaket „Families“ stieg von 40 auf 47,88 USD pro Jahr für bis zu sechs Personen. Bestandskunden bekommen einmalig 25 % Treuerabatt im ersten Verlängerungsjahr, Premium liegt dann bei etwa 15 USD. Lokale Euro-Preise mit deutscher Steuer liegen mir nicht vor; belegt sind nur die US-Dollar-Angaben. Kritik gab es auch an der Form: Die Erhöhung stand in einem Blogpost über neue Funktionen statt in einer eigenen Ankündigung, was unter anderem Fast Company aufgriff.
In absoluten Zahlen ist das kein Vermögen. Aber für viele im Homelab ist es der Anlass, sich die selbst gehostete Variante anzusehen – zumal die genau dieselben Apps nutzt.
Was Vaultwarden ist
Vaultwarden (bis 2021 „bitwarden_rs“) ist eine inoffizielle Neuimplementierung der Bitwarden-Server-Schnittstelle, geschrieben in der Programmiersprache Rust. Hauptentwickler ist Daniel García. Umbenannt wurde das Projekt auf Bitte von Bitwarden Inc. aus Markenrechtsgründen. Der Code ist quelloffen unter der Lizenz AGPL-3.0.
Wichtig: Es gibt keinen eigenen App-Fork. Du installierst die offiziellen Bitwarden-Clients – Browser-Erweiterung, Desktop-Programm, iOS/Android, die Kommandozeile bw oder das Web-Vault – und trägst dort im Feld „Self-hosted“ die Adresse deines eigenen Servers ein. Ein Vaultwarden-Maintainer ist bei Bitwarden angestellt, trägt aber unabhängig in seiner Freizeit bei; finanziert wird das Projekt unter anderem über Spenden.
Zur Einordnung zweier hartnäckiger Irrtümer: Vaultwarden ist kein Produkt von Bitwarden, es gibt keinen Herstellersupport. Und der Server speichert keine Passwörter im Klartext. Ver- und Entschlüsselung passieren in der App auf deinem Gerät (Zero-Knowledge), der Server sieht nur einen verschlüsselten Datenblock. Ein gestohlener Datenbestand ist ohne Master-Passwort wertlos – er bietet aber eine Angriffsfläche fürs Durchprobieren. Deshalb: langes Master-Passwort und zusätzlicher zweiter Faktor.
Frei nutzbar sind bei Vaultwarden für alle: integriertes TOTP (Einmalcodes im Tresor), Datei-Anhänge, Emergency Access (Notfallzugriff für eine Vertrauensperson), Vault-Health- und Breach-Reports (Prüfung auf schwache oder geleakte Passwörter), FIDO2-WebAuthn mit einem Hardware-Schlüssel wie einem YubiKey sowie Duo. Auch Organisationen und Collections zum Teilen mit Familie oder Team funktionieren ohne kostenpflichtiges Abo.
Vaultwarden selbst hosten: das brauchst du
Hardware
Vaultwarden ist ein einziges Programm beziehungsweise ein Container-Image. Im Leerlauf belegt es grob 15–30 MB RAM, unter Last etwa 50–100 MB, die CPU-Last ist im Leerlauf nahe null. Das sind Community-Messwerte, keine offiziellen Mindestanforderungen – eine Blog-Quelle nennt abweichend 2 Kerne, 4 GB RAM und 20 GB Platte. Es läuft auf x86-64 und ARM, einschließlich Raspberry Pi 4/5 und sogar Pi Zero 2 W. Die offiziellen Images sind Multi-Arch, ein Tag (etwa latest oder 1.37.2) deckt alle Architekturen ab; arch-spezifische Tags gibt es seit 2021 nicht mehr.
Für einen Einzelhaushalt reicht ein Raspberry Pi 5 (oder Pi 4). Genauso gut eignen sich eine Ecke auf dem NAS (Network Attached Storage, also ein Speicher am Netzwerk), ein Mini-PC oder eine kleine virtuelle Maschine auf Proxmox. Docker sollte laufen. Die Images heißen vaultwarden/server auf Docker Hub, gespiegelt auf ghcr.io und quay.io, in den Varianten Debian und Alpine (Suffix -alpine). Als Datenbank ist SQLite voreingestellt; für den Heimgebrauch reicht das. MariaDB/MySQL oder PostgreSQL sind möglich, bringen zu Hause aber keinen belegten Vorteil.
Reverse Proxy und HTTPS
Ein Reverse Proxy ist ein vorgeschalteter Vermittler: Er nimmt Anfragen aus dem Netz entgegen und reicht sie an Vaultwarden weiter. HTTPS – die verschlüsselte Verbindung – ist dabei nicht optional. Das Web-Vault (die Tresor-Oberfläche im Browser) braucht einen „secure context“ für die Krypto-Funktionen des Browsers, und Passkeys beziehungsweise WebAuthn (Anmeldung per Hardware-Schlüssel) funktionieren nur über HTTPS. Vaultwarden selbst belegt nur einen unverschlüsselten HTTP-Port; die TLS-Verschlüsselung übernimmt der Proxy.
Übliche Kandidaten sind Caddy (holt Let’s-Encrypt-Zertifikate automatisch, die einfachste Kombination), Nginx mit Certbot, Traefik, Apache oder der Nginx Proxy Manager mit Weboberfläche, der auf NAS-Systemen verbreitet ist. Der Proxy muss die Header Host, X-Real-IP und X-Forwarded-For durchreichen sowie die Upgrade– und Connection-Header für WebSocket. Ein früher nötiger separater WebSocket-Port 3012 entfällt seit Version 1.31 (2024) – alte Proxy-Regeln dafür müssen raus. Die Variable DOMAIN muss auf deine öffentliche Adresse zeigen, sonst brechen WebAuthn, Anhänge, Sends und Icons.
Domain oder VPN
Für die Erreichbarkeit gibt es zwei Wege. Öffentlich erreichbar: eigener Domainname plus DynDNS (hält den Namen auf deine wechselnde Heim-IP-Adresse aktuell), damit Let’s Encrypt ein gültiges Zertifikat ausstellen kann. Oder gar nicht öffentlich: Zugang nur über ein VPN wie Tailscale oder WireGuard. Dann ist der Server aus dem offenen Internet unsichtbar – bequem, aber jedes Familienmitglied braucht das VPN auf jedem Gerät.
Backup
Das Datenverzeichnis enthält db.sqlite3, config.json, die Dateien rsa_key.* (signieren die Anmelde-Tokens) sowie die Ordner attachments/ und sends/. Regel: die laufende db.sqlite3 nie einfach roh kopieren – dabei fehlen die WAL/SHM-Begleitdateien und die Kopie kann beschädigt sein. Stattdessen den .backup-Befehl von SQLite nutzen. config.json und rsa_key unbedingt mitsichern; beide enthalten sensible Daten (Admin-Token, SMTP-Zugang im Klartext) und sollten vor einem Cloud-Backup verschlüsselt werden. Fertiges Werkzeug: das Image ttionya/vaultwarden-backup, das den .backup erstellt und per rclone in einen Cloud-Speicher schiebt.
db-tronic Raspberry Pi 5 8GB PCIe M.2 NVMe Set
Vaultwarden braucht wenig Leistung, soll aber rund um die Uhr laufen – dieses Set bringt Raspberry Pi 5, Metallgehäuse, Active Cooler, Netzteil und ein M.2-NVMe-SSD-Board mit.
Preis prüfen * – 254,99 € (Stand 31.08.2026)
Bitwarden Free, Premium oder Vaultwarden?
| Funktion | Bitwarden Free | Bitwarden Premium | Vaultwarden (selbst gehostet) |
|---|---|---|---|
| Preis | 0 | 19,80 USD/Jahr (seit Jan. 2026, vorher 9,99) | Server-Strom + Einrichtung |
| Passwörter & Geräte | unbegrenzt | unbegrenzt | unbegrenzt |
| TOTP im Tresor | nein | ja | ja |
| Datei-Anhänge | nein | ja (5 GB) | ja |
| Notfallzugriff | nein | ja | ja |
| Vault-Health-/Breach-Reports | nein | ja | ja |
| YubiKey / FIDO2 | nein | ja | ja |
| Teilen mit Familie | 1 weitere Person, 2 Collections | Families: 47,88 USD/Jahr, bis 6 Personen | Organisationen & Collections frei |
| Herstellersupport | ja | ja | nein |
| Server-Wartung | — | — | machst du |
Bitwarden Free ist großzügiger als viele denken: Unbegrenzte Passwörter und Geräte bleiben kostenlos – die Gerätegrenze war LastPass 2021, nicht Bitwarden. Auch das Teilen mit einer weiteren Person über eine kostenlose Organisation mit zwei Collections ist gratis.
Wer „echtes“ Bitwarden mit Herstellersupport selbst hosten will: Bitwarden lite (ghcr.io/bitwarden/lite) hat im Dezember 2025 die Beta verlassen und ist ein einzelner Container mit SQLite, PostgreSQL, MySQL oder MSSQL. Der klassische Multi-Container-Stack (rund 2 GB RAM, MSSQL-Container, mindestens 10 GB Platte) ist für Firmen mit Enterprise-Funktionen gedacht. Die Vorstellung, Selbsthosten brauche zwingend diesen schweren Stack, ist überholt.
Sicherheit richtig aufsetzen
- Registrierung schließen: Standardmäßig ist sie offen. Setze
SIGNUPS_ALLOWED=falseund lade neue Konten per SMTP-Einladung ein. - Admin-Oberfläche absichern: Sie liegt unter
/adminund wird überADMIN_TOKENaktiviert. Den Token als Argon2id-Hash hinterlegen – erzeugt mitvaultwarden hash, Format$argon2id$v=19$m=65540,t=3,p=4$…. Klartext löst eine Warnung aus. Angemeldet wird mit dem Klartext-Passwort, nicht mit dem Hash. - Brute-Force-Schutz: Fail2ban oder CrowdSec. Das Vaultwarden-Wiki liefert fertige Filter für die Login- und Admin-Endpunkte.
- Zweiter Faktor fürs eigene Konto: etwa ein FIDO2-Schlüssel wie ein YubiKey.
- Updates einspielen: Vaultwarden hatte wiederholt Sicherheitslücken, die gepatcht wurden – unter anderem eine im Admin-Panel (Codeausführung bei angemeldetem Zugriff, CVE-2025-24364) und mehrere XSS- und Auth-Bypass-Fixes in Version 1.32.5. Version 1.37.0 (Juli 2026) schloss neun mittelschwere Lücken; aktuell ist 1.37.2 vom 22.08.2026.
Mobile Push-Benachrichtigungen laufen über Bitwardens Relay: Installation-ID und -Key von bitwarden.com/host holen, dann PUSH_ENABLED=true mit den beiden Werten setzen. Der Tresor bleibt selbst gehostet, nur die Benachrichtigung geht über den Relay. Bitwarden-Apps aus F-Droid haben kein Firebase und damit keinen Push – die Anmeldung funktioniert trotzdem.
Wo Vaultwarden nicht passt
Es gibt kein natives SCIM oder Directory-Sync, und einige Enterprise-Policies fehlen. Für Firmen, die Nutzer über ein zentrales Verzeichnis verwalten, ist es daher nichts. Für Heim, Familie und kleine Gruppen ist genau das die erklärte Zielgruppe. Und: kein Support. Wenn nach einem Update etwas klemmt, bist du auf Wiki, GitHub und Community angewiesen.
Fazit
Vaultwarden selbst zu hosten heißt vor allem: eine kleine Kiste, die durchläuft, ein Reverse Proxy mit HTTPS, ein Weg von außen (Domain oder VPN) und ein sauberes Backup. Der Server selbst ist so genügsam, dass er auf einem Raspberry Pi kaum auffällt. Dafür bekommst du die Bitwarden-Premium-Funktionen für alle Nutzer und deine Passwörter auf eigener Hardware. Wer die laufende Wartung – Updates, Backups prüfen – nicht übernehmen will, ist mit Bitwarden Free oder dem Abo besser bedient. Alle anderen sparen sich die Preisrunde von 2026.