Bester VPS für Vaultwarden in 2026

Vaultwarden ist ein leichtgewichtiger, selbst gehosteter Bitwarden-Server. Speichere alle deine Passwörter auf deinem eigenen VPS — keine monatlichen Gebühren, volle Datenhoheit, funktioniert mit allen Bitwarden-Apps.

Warum Vaultwarden selbst hosten?

Faktor	Bitwarden Cloud	Vaultwarden VPS
Kosten	10$+/Monat (Premium)	~5$/Monat (nur VPS)
Datenstandort	Deren Server	Dein Server
Premium-Funktionen	Kostenpflichtig	Kostenlos
Anpassung	Begrenzt	Vollständig
Abhängigkeit	Bitwarden Inc	Du

Vaultwarden enthält alle Bitwarden Premium-Funktionen (TOTP, Anhänge, Organisationen) kostenlos.

VPS-Anforderungen

Vaultwarden ist unglaublich leichtgewichtig:

Minimum:

• 1 vCPU
• 512MB RAM
• 5GB Speicher

Empfohlen:

• 1 vCPU
• 1GB RAM
• 10GB Speicher

Für Organisationen (10+ Benutzer):

• 2 vCPU
• 2GB RAM
• 20GB Speicher

Es ist eine der leichtesten selbst gehosteten Apps — läuft problemlos neben anderen Diensten selbst auf einem günstigen VPS.

Bester VPS für Vaultwarden

1. Hetzner CX11 (Bestes Preis-Leistungs-Verhältnis)

3,79€/Monat | 1 vCPU, 2GB RAM, 20GB NVMe

Weit mehr als nötig. 2GB RAM lassen Platz für andere Dienste. Deutsche Rechenzentren für EU-Konformität.

2. Hostinger KVM1 (Bestes Budget)

4,99$/Monat | 1 vCPU, 4GB RAM, 50GB NVMe

4GB RAM ist übertrieben nur für Vaultwarden, aber großartig wenn du später weitere Dienste hinzufügst.

3. Oracle Cloud Free (Bester Gratis-Anbieter)

0$/Monat | 1 vCPU, 1GB RAM, 50GB

Ja, komplett kostenlos. Oracles Always Free Tier betreibt Vaultwarden perfekt.

4. Vultr (Beste Standorte)

6$/Monat | 1 vCPU, 1GB RAM, 25GB

32 Standorte weltweit. Platziere deine Passwörter nah an deinem Wohnort.

Komplette Installationsanleitung

Schritt 1: VPS erstellen

Am Beispiel von Hetzner:

1. Registriere dich bei Hetzner Cloud
2. Server erstellen → Ubuntu 22.04 → CX11
3. SSH-Schlüssel hinzufügen
4. IP-Adresse notieren

Schritt 2: DNS-Konfiguration

Richte deine Domain ein:

A    vault.deinedomain.com → deine-server-ip

Schritt 3: Ersteinrichtung des Servers

ssh root@deine-server-ip

# System aktualisieren
apt update && apt upgrade -y

# Docker installieren
curl -fsSL https://get.docker.com | sh

# Benutzer für Vaultwarden erstellen
adduser vaultwarden
usermod -aG docker vaultwarden

# Firewall einrichten
ufw allow OpenSSH
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

Schritt 4: Vaultwarden bereitstellen

su - vaultwarden
mkdir vaultwarden && cd vaultwarden

Erstelle eine docker-compose.yml:

version: '3.8'

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      - DOMAIN=https://vault.deinedomain.com
      - SIGNUPS_ALLOWED=false
      - ADMIN_TOKEN=dein-sicheres-admin-token
      - SMTP_HOST=smtp.gmail.com
      - SMTP_FROM=du@gmail.com
      - SMTP_PORT=587
      - SMTP_SECURITY=starttls
      - SMTP_USERNAME=du@gmail.com
      - SMTP_PASSWORD=dein-app-passwort
    volumes:
      - ./data:/data
    ports:
      - 8080:80

  caddy:
    image: caddy:alpine
    container_name: caddy
    restart: unless-stopped
    ports:
      - 80:80
      - 443:443
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile
      - caddy_data:/data
      - caddy_config:/config

volumes:
  caddy_data:
  caddy_config:

Erstelle das Caddyfile:

vault.deinedomain.com {
    reverse_proxy vaultwarden:80

    encode gzip

    header {
        Strict-Transport-Security "max-age=31536000; includeSubDomains"
        X-Content-Type-Options "nosniff"
        X-Frame-Options "DENY"
    }
}

Schritt 5: Sicheres Admin-Token generieren

# Zufälliges Token generieren
openssl rand -base64 48
# Beispielausgabe: K7a8x9...langer-string...

# Oder argon2-Hash für bessere Sicherheit verwenden
echo -n "dein-admin-passwort" | argon2 "$(openssl rand -base64 32)" -e -id -k 65540 -t 3 -p 4

Ersetze dein-sicheres-admin-token in der docker-compose.yml durch die Ausgabe.

Schritt 6: Start

docker compose up -d

Warte 30 Sekunden für die SSL-Bereitstellung.

Schritt 7: Konto erstellen

1. Öffne https://vault.deinedomain.com
2. Klicke auf „Konto erstellen”
3. Registriere dich mit deiner E-Mail und deinem Master-Passwort

Wichtig: Nach der Kontoerstellung deaktiviere die Registrierung:

SIGNUPS_ALLOWED=false

Dann: docker compose up -d

Schritt 8: Admin-Panel aufrufen

Gehe zu: https://vault.deinedomain.com/admin

Gib dein Admin-Token ein. Hier kannst du:

• Benutzer anzeigen
• Organisationen verwalten
• Einstellungen konfigurieren
• Diagnosen anzeigen

Bitwarden-Apps verbinden

Vaultwarden funktioniert mit allen offiziellen Bitwarden-Clients:

Browser-Erweiterung

1. Installiere die Bitwarden-Erweiterung
2. Klicke auf Einstellungen (Zahnrad-Symbol)
3. Setze „Server-URL” auf https://vault.deinedomain.com
4. Melde dich an

Mobile App

1. Installiere Bitwarden aus dem App Store/Play Store
2. Tippe auf Einstellungen vor dem Anmelden
3. Gib die selbst gehostete URL ein
4. Melde dich an

Desktop-App

1. Lade von bitwarden.com herunter
2. Einstellungen → Selbst gehostete Umgebung
3. Gib deine URL ein
4. Melde dich an

Sicherheitshärtung

1. Registrierung deaktivieren

Nach der Kontoerstellung:

SIGNUPS_ALLOWED=false

Oder verwende Einladungen:

INVITATIONS_ALLOWED=true
SIGNUPS_ALLOWED=false

2. Admin-Seite deaktivieren (Nach der Einrichtung)

Entferne oder kommentiere ADMIN_TOKEN nach der Konfiguration aus:

# ADMIN_TOKEN=...

3. 2FA aktivieren

Im Vaultwarden Web-Tresor:

1. Einstellungen → Zweistufige Anmeldung
2. TOTP-Authentifikator aktivieren
3. Wiederherstellungscodes sicher aufbewahren (nicht in Vaultwarden!)

4. Fail2Ban-Integration

Schutz gegen Brute-Force-Angriffe:

# Fail2ban installieren
apt install fail2ban

# Filter erstellen
cat > /etc/fail2ban/filter.d/vaultwarden.conf << 'EOF'
[Definition]
failregex = ^.*Username or password is incorrect\. Try again\. IP: <HOST>\..*$
ignoreregex =
EOF

# Jail erstellen
cat > /etc/fail2ban/jail.d/vaultwarden.local << 'EOF'
[vaultwarden]
enabled = true
port = 80,443
filter = vaultwarden
logpath = /home/vaultwarden/vaultwarden/data/vaultwarden.log
maxretry = 5
bantime = 1h
findtime = 15m
EOF

systemctl restart fail2ban

5. Tailscale verwenden (Optional)

Für maximale Sicherheit, Zugriff nur über Tailscale:

# Tailscale installieren
curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

# Öffentliche Ports schließen
ufw deny 80/tcp
ufw deny 443/tcp

Zugriff über http://vps-tailscale-ip:8080 (keine öffentliche Exposition).

Backup-Strategie

Passwort-Daten sind kritisch. Sichere sie gewissenhaft.

Automatisierte Backups

Erstelle backup.sh:

#!/bin/bash
BACKUP_DIR="/home/vaultwarden/backups"
DATE=$(date +%Y%m%d_%H%M%S)

mkdir -p $BACKUP_DIR

# Vaultwarden kurz stoppen für konsistentes Backup
docker compose -f /home/vaultwarden/vaultwarden/docker-compose.yml stop vaultwarden

# Datenverzeichnis sichern
tar czf $BACKUP_DIR/vaultwarden_$DATE.tar.gz \
  /home/vaultwarden/vaultwarden/data

# Neustart
docker compose -f /home/vaultwarden/vaultwarden/docker-compose.yml start vaultwarden

# Nur die letzten 30 Backups behalten
ls -t $BACKUP_DIR/vaultwarden_*.tar.gz | tail -n +31 | xargs -r rm

# Optional: Auf Remote-Speicher hochladen
# rclone copy $BACKUP_DIR/vaultwarden_$DATE.tar.gz remote:vaultwarden-backup/

Mit Cron planen:

crontab -e
# Hinzufügen:
0 3 * * * /home/vaultwarden/backup.sh

Manueller Export

Im Web-Tresor:

1. Werkzeuge → Tresor exportieren
2. Format wählen (JSON empfohlen)
3. Sicher offline speichern

Wichtig: Exporte sind unverschlüsselt! An verschlüsseltem Ort speichern.

E-Mail-Konfiguration

Passwort-Zurücksetzung erfordert E-Mail. Optionen:

Gmail

SMTP_HOST=smtp.gmail.com
SMTP_FROM=du@gmail.com
SMTP_PORT=587
SMTP_SECURITY=starttls
SMTP_USERNAME=du@gmail.com
SMTP_PASSWORD=app-passwort  # Nicht dein normales Passwort!

App-Passwort erstellen unter: myaccount.google.com/apppasswords

Resend

SMTP_HOST=smtp.resend.com
SMTP_FROM=noreply@deinedomain.com
SMTP_PORT=587
SMTP_SECURITY=starttls
SMTP_USERNAME=resend
SMTP_PASSWORD=re_xxxxx

Mailgun

SMTP_HOST=smtp.mailgun.org
SMTP_FROM=noreply@deinedomain.com
SMTP_PORT=587
SMTP_SECURITY=starttls
SMTP_USERNAME=postmaster@deinedomain.com
SMTP_PASSWORD=dein-mailgun-passwort

Ressourcenverbrauch

Typischer Vaultwarden-Fußabdruck:

Metrik	Wert
RAM	30-80 MB
CPU	<1% im Leerlauf
Festplatte	~100 MB (Daten wachsen langsam)
Bandbreite	Minimal

Du kannst viele andere Dienste neben Vaultwarden auf demselben VPS betreiben.

Vaultwarden aktualisieren

Bleib sicher mit regelmäßigen Updates:

cd /home/vaultwarden/vaultwarden

# Neuestes Image herunterladen
docker compose pull

# Mit neuem Image neustarten
docker compose up -d

# Alte Images bereinigen
docker image prune -f

Oder verwende Watchtower für automatische Updates:

services:
  watchtower:
    image: containrrr/watchtower
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
    command: --cleanup --schedule "0 0 4 * * *"

Tägliche Updates um 4 Uhr morgens.

Organisationen und Teilen

Vaultwarden unterstützt Bitwarden-Organisationen:

1. Admin-Panel → Organisationen → Erstellen
2. Familie/Teammitglieder einladen
3. Sammlungen erstellen um geteilte Passwörter zu organisieren

Kostenlose Funktionen (anders als Bitwarden Cloud):

• Unbegrenzte Organisationen
• Unbegrenzte Sammlungen
• Unbegrenztes Teilen
• 2FA für Organisationen

FAQ

Ist Vaultwarden sicher?

Ja. Es ist ein gut gepflegtes, auditiertes Projekt. Deine Daten werden mit deinem Master-Passwort verschlüsselt bevor sie gespeichert werden.

Kann ich von Bitwarden Cloud migrieren?

Ja. Exportiere aus Bitwarden (JSON-Format), importiere in Vaultwarden.

Was passiert wenn mein VPS ausfällt?

Deine Bitwarden-Apps cachen den Tresor lokal. Du kannst nicht synchronisieren, aber Passwörter funktionieren offline. Halte Backups bereit!

Wie oft sollte ich sichern?

Mindestens täglich. Cron-Job empfohlen.

Vaultwarden vs selbst gehostetes Bitwarden?

Vaultwarden ist leichter (50MB vs 2GB+) und enthält Premium-Funktionen kostenlos. Offizielles Bitwarden ist schwerer aber vollständig unterstützt.

Empfohlene Konfiguration

Anwendungsfall	VPS	Monatliche Kosten
Persönlich	Hetzner CX11	3,79€
Familie	Hostinger KVM1	4,99$
Kleines Team	Hetzner CX21	5,39€

Starte mit Hetzner CX11 — 3,79€/Monat für vollständige Passwort-Souveränität. Günstiger als Bitwarden Premium, und du besitzt die Daten.