# Wie hoste ich Vaultwarden selbst auf einem VPS?

> Vaultwarden mit Docker Compose und Caddy auf einem Dusk-VPS, $5.25 pro Monat bei 12 Monaten. Auto-HTTPS, Registrierung zu, Backup-Schritte.

- URL: https://gloamport.com/de/guides/how-to-self-host-vaultwarden/
- Zuletzt aktualisiert: 2026-11-10
- Herausgeber: Gloamport (https://gloamport.com)

Vaultwarden ist ein kleiner Server, der die Bitwarden-API spricht. Dieser Leitfaden folgt dem Vaultwarden-Wiki: Docker Compose, Caddy für HTTPS, danach Registrierung geschlossen und ein Backup.

**Kurze Antwort — Wie hoste ich Vaultwarden selbst auf einem VPS?**

Um Vaultwarden auf einem VPS selbst zu hosten, betreiben Sie das Image vaultwarden/server mit Docker Compose, stellen Caddy davor für automatisches HTTPS auf einer Domain, die Ihnen gehört, legen Ihr Konto an und schalten dann die Registrierung ab. Gloamports Tarif Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, kostet $5.25 pro Monat bei der 12-Monats-Laufzeit.

## Was enthält die Compose-Einrichtung von Vaultwarden?

| Teil | Wert | Hinweis |
| --- | --- | --- |
| Vaultwarden-Image | `vaultwarden/server:latest` | Daten gespeichert in ./vw-data, eingebunden unter /data |
| Reverse-Proxy | caddy:2 | Ports 80, 443 und 443/udp veröffentlicht |
| Variable DOMAIN | https://vault.example.com | Hinter einem Reverse-Proxy erforderlich; HTTPS wird für Anhänge benötigt |
| Zertifikate | Caddy, ACME-HTTP-01-Challenge | Die Domain muss den VPS auf Port 80 erreichen |
| Registrierung | SIGNUPS_ALLOWED | true, um Ihr Konto anzulegen, danach false |
| Admin-Seite | ADMIN_TOKEN | Aus, bis ein Token gesetzt ist; das Wiki empfiehlt einen argon2-Hash |
| Empfohlener Tarif | Dusk: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic | Gloamport-Tarifliste |

*Preise geprüft am 10. November 2026.*

## Ist es eine gute Idee, den eigenen Passwort-Manager zu hosten?

Es passt zu Ihnen, wenn Sie die Aufgabe übernehmen, ihn aktuell, gesichert und gepatcht zu halten. Vaultwarden speichert Ihren Tresor verschlüsselt, aber der Server entscheidet weiterhin, wer sich anmelden darf, und hält die einzige Kopie, solange Sie keine weiteren anlegen. Gehen die Daten verloren, gibt es keinen Anbieter, der sie wiederherstellt.

Drei Fakten bestimmen die Entscheidung. Kein Tarif enthält Backups: Bewahren Sie eine eigene Kopie von allem auf, was Sie nicht verlieren können. Ein Tresor ist nur so verfügbar wie der VPS, der ihn trägt; halten Sie daher zusätzlich einen Offline-Export Ihres Tresors bereit. Und die Domain, die Sie dafür nutzen, ist im DNS und in den Zertifikat-Logs öffentlich sichtbar; wählen Sie eine ohne Ihren Namen. Wenn diese Punkte für Sie akzeptabel sind, ist ein einzelner kleiner VPS ein normales Zuhause dafür.

## Vaultwarden mit Docker Compose und Caddy installieren

Sie brauchen eine Domain, deren A-Eintrag auf den VPS zeigt. Die Befehle laufen auf Debian 13 oder Ubuntu 24.04.

1. **Docker Engine mit dem Compose-Plugin installieren** — Folgen Sie der Docker-Installationsseite für Debian oder Ubuntu und führen Sie dann die apt-Installationszeile für docker-ce und docker-compose-plugin aus dem ersten Codeblock aus. Prüfen Sie es mit docker run hello-world.
2. **Projektordner und Caddyfile anlegen** — Legen Sie einen Ordner vaultwarden an und schreiben Sie das Caddyfile und die docker-compose.yml aus den Codeblöcken. Ersetzen Sie vault.example.com durch Ihre Domain und die E-Mail-Adresse durch eine Adresse für das Zertifikat. Die Adresse dient der Zertifizierungsstelle, nicht Gloamport.
3. **Web-Ports öffnen** — Die Ports 80 und 443 müssen den VPS erreichen: Die HTTP-01-Challenge braucht Port 80, um das Zertifikat zu erhalten. Wenn Sie ufw oder eine andere Firewall verwenden, erlauben Sie 80/tcp, 443/tcp und 443/udp zusätzlich zu SSH.
4. **Stack starten** — Führen Sie docker compose up -d im Ordner aus. Caddy fordert beim ersten Start das Zertifikat an. Öffnen Sie https://vault.example.com und legen Sie Ihr Konto an.
5. **Registrierung schließen** — Setzen Sie SIGNUPS_ALLOWED in der Compose-Datei auf "false" und führen Sie docker compose up -d erneut aus. Neue Konten können dann nur noch per Einladung oder durch Sie selbst angelegt werden.
6. **Datenordner sichern** — Verwenden Sie die Backup-Anleitung für Vaultwarden aus dem letzten Codeblock, regelmäßig, mit einer Kopie außerhalb des VPS.

*Docker installieren, dann den Stack starten*

```bash
# After adding Docker's apt repository (docs.docker.com/engine/install/debian/)
sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo docker run hello-world

mkdir -p ~/vaultwarden && cd ~/vaultwarden
# write docker-compose.yml and Caddyfile (below), then:
sudo docker compose up -d
```

*docker-compose.yml (aus dem Vaultwarden-Wiki, Domain geändert)*

```yaml
services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: always
    environment:
      DOMAIN: "https://vault.example.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data:/data

  caddy:
    image: caddy:2
    container_name: caddy
    restart: always
    ports:
      - 80:80
      - 443:443
      - 443:443/udp
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - ./caddy-config:/config
      - ./caddy-data:/data
    environment:
      DOMAIN: "https://vault.example.com"
      EMAIL: "you@example.com"
```

*Caddyfile*

```text
{$DOMAIN} {
  tls {$EMAIL}
  encode zstd gzip
  reverse_proxy vaultwarden:80 {
    header_up X-Real-IP {remote_host}
  }
}
```

*Admin-Token-Hash und Backup (Vaultwarden-Wiki)*

```bash
# Optional admin page: hash a long random password, put the result in ADMIN_TOKEN
sudo docker exec -it vaultwarden /vaultwarden hash

# Database backup while the server runs (SQLite online backup)
sqlite3 vw-data/db.sqlite3 ".backup '/root/backups/db-$(date +%Y%m%d-%H%M).sqlite3'"

# Also copy: vw-data/attachments/, vw-data/config.json, vw-data/rsa_key*
```

## Was sollten Sie von einem Vaultwarden-Server sichern?

Sichern Sie db.sqlite3, den Anhänge-Ordner, config.json und die rsa_key-Dateien. Die Backup-Seite von Vaultwarden führt db.sqlite3 und die Anhänge als erforderlich, config.json und die rsa_key-Dateien als empfohlen sowie Sends und den Icon-Cache als optional auf. Sie empfiehlt, den Befehl .backup von SQLite zu verwenden, statt die Datei zu kopieren, während sie geöffnet ist, und sich nicht auf Snapshots des Dateisystems oder der VM zu verlassen.

Die Seite warnt außerdem, dass config.json einige Geheimnisse im Klartext enthält; verschlüsseln Sie sie daher, bevor sie den VPS verlässt. Sichern Sie täglich, bewahren Sie eine Kopie anderswo auf und stellen Sie sie einmal auf einem Ersatzrechner wieder her, um zu prüfen, dass es funktioniert. Vaultwarden-Versionen ab 1.32.1 haben außerdem einen eingebauten Backup-Befehl, wie im Wiki beschrieben.

## Welcher Gloamport-Tarif betreibt Vaultwarden?

Dusk ist der Tarif, mit dem wir anfangen würden: 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic zu $5.25 pro Monat bei der 12-Monats-Laufzeit, $10.50 bei einem einzelnen Monat. Das Vaultwarden-Wiki nennt keine Größenangaben, und wir haben es nicht gemessen; betrachten Sie Dusk daher als Ausgangspunkt. Wenn Sie auf demselben VPS auch einen Chat-Server und eine Suchmaschine betreiben, ist Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, $8.25 pro Monat bei der 12-Monats-Laufzeit) für Ein Matrix-Server, Vaultwarden und SearXNG zusammen vorgesehen.

Keine Identitätsprüfung, jetzt oder später: kein Ausweis-Upload, kein Selfie, kein Adressnachweis, keine Karte und keine Telefonnummer. Laut Gloamports Umfrage unter 10. November 2026 verlangen 28 der 49 gelisteten Anbieter bei der Registrierung kein Ausweisdokument. Die Seite [Tarife und Laufzeiten](https://gloamport.com/de/pricing/ "Was kostet ein Gloamport-VPS?") listet jede Größe auf.

## Wie schützen Sie die Admin-Seite und den Server?

Lassen Sie die Admin-Seite aus, solange Sie sie nicht brauchen, und sichern Sie SSH vor allem anderen. Das Wiki sagt, dass die Admin-Seite erst existiert, wenn ein Authentifizierungs-Token gesetzt ist, dass das Token als Passwort für den Admin-Bereich dient und dass HTTPS aktiv sein sollte, bevor Sie sie einschalten. Es empfiehlt, das Token als argon2-Hash zu speichern, damit es nicht einfach aus der Konfiguration gelesen werden kann.

Auf dem Host verwenden Sie SSH nur mit Schlüssel und eine Firewall, wie in [Wie härte ich SSH auf einem neuen VPS ab?](https://gloamport.com/de/guides/how-to-harden-ssh-on-a-vps/ "Wie härte ich SSH auf einem neuen VPS ab?"). Ein Passwort-Manager-Server ist ein Hauptziel; spielen Sie Updates deshalb ein, indem Sie die Images erneut laden und docker compose up -d ausführen. Für einen zweiten Dienst auf demselben VPS siehe [Wie hoste ich einen Matrix-Server auf einem VPS?](https://gloamport.com/de/guides/how-to-host-a-matrix-server/ "Wie hoste ich einen Matrix-Server auf einem VPS?").

**Zusammenfassung**

- Vaultwarden läuft aus vaultwarden/server mit seinen Daten in ./vw-data.
- Caddy holt das HTTPS-Zertifikat über die HTTP-01-Challenge; die Domain muss Port 80 erreichen.
- Setzen Sie DOMAIN auf die https-URL; das Wiki sagt, dass HTTPS für Anhänge nötig ist.
- Legen Sie Ihr Konto an und setzen Sie dann SIGNUPS_ALLOWED auf false.
- Die Admin-Seite braucht ein ADMIN_TOKEN; das Wiki empfiehlt einen argon2-Hash.
- Sichern Sie db.sqlite3 mit .backup, dazu die Anhänge, config.json und die rsa_key-Dateien.
- Dusk, $5.25 pro Monat bei 12 Monaten, ist ein Startertarif.

## Vaultwarden selbst hosten: häufige Fragen

### Brauche ich einen Domainnamen?

Ja, für die Einrichtung hier. DOMAIN muss eine https-URL sein, und Caddy holt sein Zertifikat für diesen Namen. Das Wiki beschreibt eine DNS-Challenge-Route für private Instanzen ohne öffentlichen Zugang.

### Ist Vaultwarden dasselbe wie Bitwarden?

Nein. Vaultwarden ist ein eigener, leichterer Server, der mit Bitwarden-Clients funktioniert. Sie verwenden die Bitwarden-Apps und richten sie auf Ihre eigene Serveradresse.

### Wie verhindere ich, dass andere Konten anlegen?

Setzen Sie SIGNUPS_ALLOWED auf false, nachdem Sie Ihr Konto angelegt haben, und erstellen Sie dann den Container neu. Einladungen können auch bei geschlossener Registrierung weitere Nutzer hinzufügen.

### Was passiert, wenn der VPS ausfällt?

Sie stellen aus Ihrem Backup wieder her. Kein Tarif enthält Backups: Bewahren Sie eine eigene Kopie von allem auf, was Sie nicht verlieren können. Bewahren Sie das verschlüsselte Backup außerhalb des VPS auf und testen Sie einmal eine Wiederherstellung.

### Welche Images bietet Gloamport an?

Images: Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10. Docker läuft auf Debian 13 und Ubuntu 24.04, beide sind aufgeführt.

## Quellen

1. [Vaultwarden-Wiki: Verwendung von Docker Compose](https://github.com/dani-garcia/vaultwarden/wiki/Using-Docker-Compose) — Vaultwarden project (checked 2026-11-10)
2. [Vaultwarden-Wiki: Admin-Seite aktivieren](https://github.com/dani-garcia/vaultwarden/wiki/Enabling-admin-page) — Vaultwarden project (checked 2026-11-10)
3. [Vaultwarden-Wiki: Tresor sichern](https://github.com/dani-garcia/vaultwarden/wiki/Backing-up-your-vault) — Vaultwarden project (checked 2026-11-10)
4. [Docker Engine auf Debian installieren](https://docs.docker.com/engine/install/debian/) — Docker Inc. (checked 2026-11-10)

---

Gloamport: Gloamport ist ein VPS-Anbieter, der Linux-KVM-Server ohne KYC verkauft. Bestellt wird mit einer Kontonummer, bezahlt wird mit Krypto, zuerst Monero. Betrieben wird er von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen. Eine Bestellung fragt nach einem Tarif, einer Münze und, nur wenn Sie wollen, einer E-Mail-Adresse: kein Name, keine Postanschrift, keine Telefonnummer und kein Ausweisdokument. Bei der 12-Monats-Laufzeit ist jeder Tarif mindestens 25 % günstiger als ein genannter vergleichbarer Tarif aus einer Umfrage unter 38 VPS-Anbietern ohne KYC, die Krypto annehmen, gelesen am 10. November 2026.