Wie viel VPS brauche ich für Vaultwarden?

Sehr wenig — 1 GB RAM ist reichlich; es ist ein leichter Server. Was mehr zählt als Specs, ist eine dedizierte IP und eine Domain, denn ein Secrets-Server braucht seinen eigenen HTTPS-Endpunkt.

Ist das Selbst-Hosten meiner Passwörter tatsächlich sicher?

Es kann so sicher sein, wie du es machst: HTTPS, Nur-Schlüssel-SSH, nach der Einrichtung geschlossene Registrierungen, gepatcht gehalten und außerhalb der Maschine gesichert. Das echte Risiko ist operativ — überspring Backups und ein Festplattenausfall verliert den Tresor.

Kann ich die normalen Bitwarden-Apps nutzen?

Ja. Vaultwarden ist mit den offiziellen Bitwarden-Apps und Browser-Erweiterungen kompatibel — du richtest sie einfach auf deine eigene Server-URL statt auf die öffentliche Cloud.

Was passiert, wenn der Server stirbt?

Mit einem Backup außerhalb der Maschine stellst du wieder her und machst weiter. Ohne eines ist der Tresor weg — was genau der Grund ist, warum Backups das Erste sind, das einzurichten ist, nicht das Letzte.

Hoste deine Passwörter selbst: Vaultwarden auf einem VPS

Ein Passwort-Manager ist die eine App, die alles weiß — jedes Login, jeden Wiederherstellungscode, jedes Geheimnis, das du hast. Die meisten Leute übergeben das einer Drittanbieter-Cloud und hoffen. Du kannst es stattdessen selbst betreiben, auf einer Maschine, die du kontrollierst. Vaultwarden ist ein leichtgewichtiger, Bitwarden-kompatibler Server, der genau das tut. Hier ist die ehrliche Version, es richtig zu machen — einschließlich des Teils, in dem du zum Sicherheitsteam wirst.

Was Vaultwarden ist

Es ist ein kleiner, selbst gehosteter Server, der das Bitwarden-Protokoll spricht. Du nutzt weiterhin die offiziellen Bitwarden-Apps und Browser-Erweiterungen — du richtest sie einfach auf deinen Server statt auf die öffentliche Cloud. Es ist so geschrieben, dass es leicht ist: es läuft bequem auf einer 1-GB-Maschine und bemerkt dich kaum.

Warum es selbst hosten

Dein Tresor lebt auf deiner Infrastruktur. Kein Dritter hält deine verschlüsselten Daten, der Datenverstoß von niemand anderem ist dein Problem, und du legst die Backup- und Zugriffs-Policy fest. Für einen datenschutzbewussten Menschen ist diese Kontrolle der Punkt. Im Gegenzug gehören die Verfügbarkeit und die Backups jetzt dir — worauf wir ehrlich zu sprechen kommen.

Die Einrichtung

Eine kleine Maschine. 1 GB RAM ist genug. Der Festplattenbedarf ist winzig — ein Tresor ist Text.

Docker, mit einem persistenten Volume. Betreibe den Vaultwarden-Container und mounte ein Volume für seine Daten. Dieses Volume ist dein gesamter Tresor; es muss Neustarts, Updates und Reboots überstehen.

services:
  vaultwarden:
    image: vaultwarden/server:latest
    restart: unless-stopped
    volumes:
      - ./vw-data:/data
    environment:
      - SIGNUPS_ALLOWED=true   # schalte das aus, nachdem du dich registriert hast
    ports:
      - "127.0.0.1:8080:80"

HTTPS ist nicht verhandelbar für alles, das Geheimnisse hält. Setze einen Reverse-Proxy davor, um TLS auf deiner Domain zu terminieren. Caddy holt automatisch ein kostenloses Zertifikat:

vault.yourdomain.com {
    reverse_proxy 127.0.0.1:8080
}

Verweise vault.yourdomain.com auf deinen VPS. Da ein Secrets-Server seinen eigenen öffentlichen HTTPS-Endpunkt braucht, will das einen Plan mit dedizierter IP — eine NAT-Maschine mit nur einem weitergeleiteten SSH-Port kann ihn nicht bedienen.

Sichere ihn, als wäre er unersetzlich — denn das ist er

Das Daten-Volume ist dein Tresor. Wenn die Festplatte stirbt und du keine Kopie hast, ist jedes Passwort damit weg. Das ist der einzige wichtigste Schritt hier, mehr als jedes Tuning: automatisiere ein regelmäßiges Backup dieses Volumes an einen Ort außerhalb der Maschine — eine andere Maschine, Object-Storage, deinen eigenen Laptop. Tu das, bevor du dem Server irgendetwas Echtes anvertraust.

Riegle ihn hart ab

Diese Maschine hält all deine Passwörter, also behandle sie so:

Schließe Registrierungen, nachdem du dich registriert hast. Setze SIGNUPS_ALLOWED=false und starte neu, sodass niemand sonst ein Konto auf deinem Server erstellen kann.
Nur-Schlüssel-SSH, Firewall auf 443 und deinen SSH-Port. (Die Zehn-Minuten-Checkliste.)
Halte ihn gepatcht. Zieh regelmäßig neue Images — ein Secrets-Server ist ein lohnendes Ziel.

Die ehrlichen Grenzen

Du bist jetzt das Sicherheitsteam für das Ding, das all deine Passwörter hält. Das ist echte Verantwortung, kein Slogan — nimm es ernst oder hoste dieses eine nicht selbst.
Kein Backup bedeutet einen Festplattenausfall vom Verlust von allem. Es gibt kein Rückgängig. Das ist nicht verhandelbar.
Es ist ein Ziel, sobald es öffentlich ist. Auth, Patching und geschlossene Registrierungen sind, was es langweilig hält.
Wenn du das lieber nicht besitzen willst, ist ein seriöser verwalteter Manager eine völlig legitime Wahl. Selbst-Hosten kauft Kontrolle, und Kontrolle hat einen Wartungspreis — geh mit diesem Wissen hinein.

Das Bezahlen

Registriere dich mit einer E-Mail und zahle in USDC oder USDT — keine Karte, kein Ausweis. Passend, für die Maschine, die die Schlüssel zu allem anderen aus jeder Identitätsspur heraushält.