Kurze Antwort
Wie hoste ich Vaultwarden selbst auf einem VPS?
Um Vaultwarden auf einem VPS selbst zu hosten, betreiben Sie das Image vaultwarden/server mit Docker Compose, stellen Caddy davor für automatisches HTTPS auf einer Domain, die Ihnen gehört, legen Ihr Konto an und schalten dann die Registrierung ab. Gloamports Tarif Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, kostet $5.25 pro Monat bei der 12-Monats-Laufzeit.
Was enthält die Compose-Einrichtung von Vaultwarden?
| Teil | Wert | Hinweis |
|---|---|---|
| Vaultwarden-Image | vaultwarden/server:latest | Daten gespeichert in ./vw-data, eingebunden unter /data |
| Reverse-Proxy | caddy:2 | Ports 80, 443 und 443/udp veröffentlicht |
| Variable DOMAIN | https://vault.example.com | Hinter einem Reverse-Proxy erforderlich; HTTPS wird für Anhänge benötigt |
| Zertifikate | Caddy, ACME-HTTP-01-Challenge | Die Domain muss den VPS auf Port 80 erreichen |
| Registrierung | SIGNUPS_ALLOWED | true, um Ihr Konto anzulegen, danach false |
| Admin-Seite | ADMIN_TOKEN | Aus, bis ein Token gesetzt ist; das Wiki empfiehlt einen argon2-Hash |
| Empfohlener Tarif | Dusk: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic | Gloamport-Tarifliste |
Preise geprüft am
Ist es eine gute Idee, den eigenen Passwort-Manager zu hosten?
Es passt zu Ihnen, wenn Sie die Aufgabe übernehmen, ihn aktuell, gesichert und gepatcht zu halten. Vaultwarden speichert Ihren Tresor verschlüsselt, aber der Server entscheidet weiterhin, wer sich anmelden darf, und hält die einzige Kopie, solange Sie keine weiteren anlegen. Gehen die Daten verloren, gibt es keinen Anbieter, der sie wiederherstellt.
Drei Fakten bestimmen die Entscheidung. Kein Tarif enthält Backups: Bewahren Sie eine eigene Kopie von allem auf, was Sie nicht verlieren können. Ein Tresor ist nur so verfügbar wie der VPS, der ihn trägt; halten Sie daher zusätzlich einen Offline-Export Ihres Tresors bereit. Und die Domain, die Sie dafür nutzen, ist im DNS und in den Zertifikat-Logs öffentlich sichtbar; wählen Sie eine ohne Ihren Namen. Wenn diese Punkte für Sie akzeptabel sind, ist ein einzelner kleiner VPS ein normales Zuhause dafür.
Vaultwarden mit Docker Compose und Caddy installieren
Sie brauchen eine Domain, deren A-Eintrag auf den VPS zeigt. Die Befehle laufen auf Debian 13 oder Ubuntu 24.04.
Docker Engine mit dem Compose-Plugin installieren
Folgen Sie der Docker-Installationsseite für Debian oder Ubuntu und führen Sie dann die apt-Installationszeile für docker-ce und docker-compose-plugin aus dem ersten Codeblock aus. Prüfen Sie es mit docker run hello-world.
Projektordner und Caddyfile anlegen
Legen Sie einen Ordner vaultwarden an und schreiben Sie das Caddyfile und die docker-compose.yml aus den Codeblöcken. Ersetzen Sie vault.example.com durch Ihre Domain und die E-Mail-Adresse durch eine Adresse für das Zertifikat. Die Adresse dient der Zertifizierungsstelle, nicht Gloamport.
Web-Ports öffnen
Die Ports 80 und 443 müssen den VPS erreichen: Die HTTP-01-Challenge braucht Port 80, um das Zertifikat zu erhalten. Wenn Sie ufw oder eine andere Firewall verwenden, erlauben Sie 80/tcp, 443/tcp und 443/udp zusätzlich zu SSH.
Stack starten
Führen Sie docker compose up -d im Ordner aus. Caddy fordert beim ersten Start das Zertifikat an. Öffnen Sie https://vault.example.com und legen Sie Ihr Konto an.
Registrierung schließen
Setzen Sie SIGNUPS_ALLOWED in der Compose-Datei auf "false" und führen Sie docker compose up -d erneut aus. Neue Konten können dann nur noch per Einladung oder durch Sie selbst angelegt werden.
Datenordner sichern
Verwenden Sie die Backup-Anleitung für Vaultwarden aus dem letzten Codeblock, regelmäßig, mit einer Kopie außerhalb des VPS.
# After adding Docker's apt repository (docs.docker.com/engine/install/debian/)
sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo docker run hello-world
mkdir -p ~/vaultwarden && cd ~/vaultwarden
# write docker-compose.yml and Caddyfile (below), then:
sudo docker compose up -dservices:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: always
environment:
DOMAIN: "https://vault.example.com"
SIGNUPS_ALLOWED: "true"
volumes:
- ./vw-data:/data
caddy:
image: caddy:2
container_name: caddy
restart: always
ports:
- 80:80
- 443:443
- 443:443/udp
volumes:
- ./Caddyfile:/etc/caddy/Caddyfile:ro
- ./caddy-config:/config
- ./caddy-data:/data
environment:
DOMAIN: "https://vault.example.com"
EMAIL: "[email protected]"{$DOMAIN} {
tls {$EMAIL}
encode zstd gzip
reverse_proxy vaultwarden:80 {
header_up X-Real-IP {remote_host}
}
}# Optional admin page: hash a long random password, put the result in ADMIN_TOKEN
sudo docker exec -it vaultwarden /vaultwarden hash
# Database backup while the server runs (SQLite online backup)
sqlite3 vw-data/db.sqlite3 ".backup '/root/backups/db-$(date +%Y%m%d-%H%M).sqlite3'"
# Also copy: vw-data/attachments/, vw-data/config.json, vw-data/rsa_key*Was sollten Sie von einem Vaultwarden-Server sichern?
Sichern Sie db.sqlite3, den Anhänge-Ordner, config.json und die rsa_key-Dateien. Die Backup-Seite von Vaultwarden führt db.sqlite3 und die Anhänge als erforderlich, config.json und die rsa_key-Dateien als empfohlen sowie Sends und den Icon-Cache als optional auf. Sie empfiehlt, den Befehl .backup von SQLite zu verwenden, statt die Datei zu kopieren, während sie geöffnet ist, und sich nicht auf Snapshots des Dateisystems oder der VM zu verlassen.
Die Seite warnt außerdem, dass config.json einige Geheimnisse im Klartext enthält; verschlüsseln Sie sie daher, bevor sie den VPS verlässt. Sichern Sie täglich, bewahren Sie eine Kopie anderswo auf und stellen Sie sie einmal auf einem Ersatzrechner wieder her, um zu prüfen, dass es funktioniert. Vaultwarden-Versionen ab 1.32.1 haben außerdem einen eingebauten Backup-Befehl, wie im Wiki beschrieben.
Welcher Gloamport-Tarif betreibt Vaultwarden?
Dusk ist der Tarif, mit dem wir anfangen würden: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic zu $5.25 pro Monat bei der 12-Monats-Laufzeit, $10.50 bei einem einzelnen Monat. Das Vaultwarden-Wiki nennt keine Größenangaben, und wir haben es nicht gemessen; betrachten Sie Dusk daher als Ausgangspunkt. Wenn Sie auf demselben VPS auch einen Chat-Server und eine Suchmaschine betreiben, ist Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, $8.25 pro Monat bei der 12-Monats-Laufzeit) für Ein Matrix-Server, Vaultwarden und SearXNG zusammen vorgesehen.
Keine Identitätsprüfung, jetzt oder später: kein Ausweis-Upload, kein Selfie, kein Adressnachweis, keine Karte und keine Telefonnummer. Laut Gloamports Umfrage unter 10. November 2026 verlangen 28 der 49 gelisteten Anbieter bei der Registrierung kein Ausweisdokument. Die Seite Tarife und Laufzeiten listet jede Größe auf.
Wie schützen Sie die Admin-Seite und den Server?
Lassen Sie die Admin-Seite aus, solange Sie sie nicht brauchen, und sichern Sie SSH vor allem anderen. Das Wiki sagt, dass die Admin-Seite erst existiert, wenn ein Authentifizierungs-Token gesetzt ist, dass das Token als Passwort für den Admin-Bereich dient und dass HTTPS aktiv sein sollte, bevor Sie sie einschalten. Es empfiehlt, das Token als argon2-Hash zu speichern, damit es nicht einfach aus der Konfiguration gelesen werden kann.
Auf dem Host verwenden Sie SSH nur mit Schlüssel und eine Firewall, wie in Wie härte ich SSH auf einem neuen VPS ab?. Ein Passwort-Manager-Server ist ein Hauptziel; spielen Sie Updates deshalb ein, indem Sie die Images erneut laden und docker compose up -d ausführen. Für einen zweiten Dienst auf demselben VPS siehe Wie hoste ich einen Matrix-Server auf einem VPS?.
Zusammenfassung
- Vaultwarden läuft aus vaultwarden/server mit seinen Daten in ./vw-data.
- Caddy holt das HTTPS-Zertifikat über die HTTP-01-Challenge; die Domain muss Port 80 erreichen.
- Setzen Sie DOMAIN auf die https-URL; das Wiki sagt, dass HTTPS für Anhänge nötig ist.
- Legen Sie Ihr Konto an und setzen Sie dann SIGNUPS_ALLOWED auf false.
- Die Admin-Seite braucht ein ADMIN_TOKEN; das Wiki empfiehlt einen argon2-Hash.
- Sichern Sie db.sqlite3 mit .backup, dazu die Anhänge, config.json und die rsa_key-Dateien.
- Dusk, $5.25 pro Monat bei 12 Monaten, ist ein Startertarif.
Vaultwarden selbst hosten: häufige Fragen
Brauche ich einen Domainnamen?
Ja, für die Einrichtung hier. DOMAIN muss eine https-URL sein, und Caddy holt sein Zertifikat für diesen Namen. Das Wiki beschreibt eine DNS-Challenge-Route für private Instanzen ohne öffentlichen Zugang.
Ist Vaultwarden dasselbe wie Bitwarden?
Nein. Vaultwarden ist ein eigener, leichterer Server, der mit Bitwarden-Clients funktioniert. Sie verwenden die Bitwarden-Apps und richten sie auf Ihre eigene Serveradresse.
Wie verhindere ich, dass andere Konten anlegen?
Setzen Sie SIGNUPS_ALLOWED auf false, nachdem Sie Ihr Konto angelegt haben, und erstellen Sie dann den Container neu. Einladungen können auch bei geschlossener Registrierung weitere Nutzer hinzufügen.
Was passiert, wenn der VPS ausfällt?
Sie stellen aus Ihrem Backup wieder her. Kein Tarif enthält Backups: Bewahren Sie eine eigene Kopie von allem auf, was Sie nicht verlieren können. Bewahren Sie das verschlüsselte Backup außerhalb des VPS auf und testen Sie einmal eine Wiederherstellung.
Welche Images bietet Gloamport an?
Images: Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10. Docker läuft auf Debian 13 und Ubuntu 24.04, beide sind aufgeführt.
Quellen (4)
- Vaultwarden-Wiki: Verwendung von Docker Compose — Vaultwarden project (checked 2026-11-10)
- Vaultwarden-Wiki: Admin-Seite aktivieren — Vaultwarden project (checked 2026-11-10)
- Vaultwarden-Wiki: Tresor sichern — Vaultwarden project (checked 2026-11-10)
- Docker Engine auf Debian installieren — Docker Inc. (checked 2026-11-10)