Wer seinen Passwort-Manager selbst hosten will, landet meistens bei Vaultwarden: ein kleiner Server, der mit den offiziellen Bitwarden-Apps und Browser-Erweiterungen funktioniert. Teams, die Zugangsdaten teilen und klare Rechte brauchen, sollten sich Passbolt ansehen. Und wenn du gar keinen Server willst, reicht eine KeePass-Datei, die du zwischen deinen Geräten synchronisierst.
Selbst hosten heißt aber auch: Die Verantwortung liegt bei dir. Die zweite Hälfte dieses Artikels behandelt die Punkte, die du nicht überspringen darfst, nämlich Backups, Zwei-Faktor-Anmeldung und eine abgesicherte Admin-Seite.
Solltest du einen Passwort-Manager überhaupt selbst hosten?
Berechtigte Frage. 1Password und der Cloud-Dienst von Bitwarden werden von Leuten betrieben, deren Vollzeitjob die Sicherheit dieser Tresore ist. Hostest du selbst, sind ein vergessenes Backup oder ein nicht aktualisierter Server dein Problem.
Dafür liegt dein verschlüsselter Tresor auf einer Maschine, die du kontrollierst, du hängst nicht an der Preispolitik eines Anbieters, und Funktionen, die anderswo Geld kosten, sind oft dabei. Wenn du schon ein paar eigene Apps betreibst und bei Backups diszipliniert bist, ist Selbsthosten eine vernünftige Wahl. Hast du noch nie ein Backup zurückgespielt, übe das zuerst, bevor du deine Passwörter umziehst.
Vaultwarden
Vaultwarden ist eine "alternative server implementation of the Bitwarden Client API, written in Rust". Auf Deutsch: Du betreibst Vaultwarden auf deinem Server und nutzt die offiziellen Bitwarden-Apps für Windows, macOS, Linux, Android, iOS und die Browser. Beim Login trägst du statt der Bitwarden-Cloud einfach deine eigene Adresse ein.
Es ist mit Abstand das beliebteste Projekt hier, mit rund 69.000 GitHub-Sternen (Oktober 2026). Version 1.37.4 erschien am 5. Oktober 2026, das Repository steht unter der AGPL-3.0. Vaultwarden gehört nicht zu Bitwarden, Inc. und bittet ausdrücklich darum, Fehler nicht beim Bitwarden-Support zu melden.
Das README spricht von einer "nearly complete implementation of the Bitwarden Client API". Dazu gehören der persönliche Tresor, Send, Anhänge, Organisationen mit Sammlungen und Gruppen, Notfallzugriff und Zwei-Faktor-Anmeldung per Authenticator-App, E-Mail, FIDO2-Schlüssel, YubiKey und Duo.
Vaultwarden ist leichtgewichtig. Es läuft als ein einziger Container, nutzt standardmäßig SQLite und kommt mit einem kleinen VPS oder Heimserver gut aus. Der Web-Tresor braucht HTTPS, weil Browser die nötige Kryptografie nur in einem sicheren Kontext erlauben.
Für wen: Einzelpersonen, Familien und kleine Teams, die Bitwarden wollen, ohne den offiziellen Bitwarden-Server zu betreiben.
Bitwarden (offizieller Server)
Der offizielle Bitwarden-Server ist ebenfalls Open Source, mit rund 20.000 GitHub-Sternen (Oktober 2026) und AGPL-3.0-Lizenz. Du kannst ihn per Docker selbst hosten. Er ist die schwerere Variante, und Vaultwarden beschreibt sich selbst als gedacht für Setups, "where running the official resource-heavy service might not be ideal". Nimm ihn, wenn du den Code des Herstellers willst und dir die Option offenhalten möchtest, Support bei Bitwarden zu kaufen.
Passbolt
Passbolt ist für Teams gebaut. Es hat rund 6.200 GitHub-Sterne (Oktober 2026), Version 5.16.0 kam am 17. September 2026, Lizenz ist AGPL-3.0. Die Verschlüsselung basiert auf OpenPGP: Jeder Nutzer hat einen Schlüssel, der Server hat seinen eigenen GPG-Schlüssel.
Die kostenlose Community Edition hat keine Nutzergrenze. Sie bietet Teilen von Passwörtern, private und geteilte Ordner, Nutzer und Gruppen, Zwei-Faktor-Anmeldung, Browser-Erweiterungen, ein CLI, eine API und rollenbasierte Rechte. Die bezahlte Pro-Version ergänzt, was Firmen typischerweise wollen, etwa LDAP-Abgleich, SSO mit Microsoft, Google oder OpenID, Kontowiederherstellung und ein Aktivitätsprotokoll.
Installiert wird per Docker Compose. Außerdem brauchst du einen funktionierenden SMTP-Server, weil Passbolt Einladungen und Wiederherstellungs-Mails verschickt, und eine saubere Zeitsynchronisation auf dem Host, sonst kann die GPG-Anmeldung scheitern.
Für wen: IT-Teams und Agenturen, die viele Zugangsdaten teilen und genau steuern wollen, wer was sieht. Für eine einzelne Person ist das zu viel Maschinerie.
Psono
Psono ist ein Passwort-Manager für Firmen. Er verschlüsselt die Tresordaten im Client, bevor sie den Server erreichen, hat Apps für Windows, macOS, Linux, Android und iOS und Erweiterungen für Chrome, Firefox und Edge. Alle Komponenten lassen sich auf eigenen Servern betreiben. Laut Website sind die Business-Funktionen für bis zu 10 Nutzer kostenlos. Der Code liegt auf GitLab und steht unter Apache 2.0.
Für wen: kleine Firmen, die Team-Funktionen wollen, ohne ab dem ersten Nutzer zu zahlen. Die Community ist kleiner als bei Vaultwarden, rechne also mit weniger Anleitungen.
AliasVault
AliasVault ist jünger und kleiner, mit rund 3.200 GitHub-Sternen (Oktober 2026) und MIT-Lizenz. Neben einem Ende-zu-Ende-verschlüsselten Passwort-Tresor bringt es einen Generator für E-Mail-Aliase und einen eigenen Mailserver mit, sodass jedes neue Konto eine eigene Adresse bekommen kann. Interessant, wenn dich Spam und Tracking stören, aber das Projekt ist jünger als die anderen hier.
KeePass: ganz ohne Server
KeePass-artige Manager speichern alles in einer verschlüsselten .kdbx-Datei. KeePassXC ist eine Desktop-App für Windows, macOS und Linux und legt die Daten in "an offline, encrypted file that can be stored in any location" ab. KeeWeb ist eine Browser- und Desktop-App, die dieselben Dateien öffnet und sie auch aus Dropbox, Google Drive oder OneDrive laden kann.
Damit du die Datei auf mehreren Geräten nutzen kannst, synchronisierst du sie selbst, zum Beispiel mit Syncthing oder einem Nextcloud-Ordner. Für eine Person klappt das gut. In der Familie wird es unübersichtlich: Bearbeiten zwei Leute die Datei gleichzeitig, gibt es Konflikte, und einzelne Einträge teilen geht nicht.
Für wen: Einzelpersonen, die null Server wollen und volle Kontrolle über eine Datei.
Vergleichstabelle
| Vaultwarden | Bitwarden-Server | Passbolt | Psono | KeePass-Datei | |
|---|---|---|---|---|---|
| Am besten für | Einzelne, Familien, kleine Teams | Organisationen, die Herstellercode wollen | Teams, die Zugangsdaten teilen | Kleine Firmen | Eine Person |
| Apps | Offizielle Bitwarden-Apps | Offizielle Bitwarden-Apps | Browser-Erweiterungen, CLI | Desktop, Mobil, Browser | KeePassXC, KeeWeb und andere |
| Teilen | Organisationen, Sammlungen | Organisationen, Sammlungen | Ordner, Gruppen, Rollen | Team-Funktionen | Nicht pro Eintrag |
| Grenzen der Gratisversion | Keine | Siehe Bitwarden-Tarife | CE: unbegrenzt Nutzer | Business-Funktionen bis 10 Nutzer | Keine |
| Läuft als | Ein Container | Docker | Docker Compose + SMTP | Eigener Server | Kein Server |
| Lizenz | AGPL-3.0 | AGPL-3.0 | AGPL-3.0 | Apache 2.0 | Je nach App |
Sicherheit: Das darfst du nicht überspringen
Backups
Ein Passwort-Manager ohne Backup ist ein Risiko. Für Vaultwarden mit der Standard-Datenbank SQLite nennt das Wiki, was gesichert werden muss: db.sqlite3 (mit dem .backup-Befehl von SQLite oder dem eingebauten Backup von Vaultwarden, nicht per einfacher Kopie im laufenden Betrieb), den Ordner attachments/, config.json und die rsa_key*-Dateien. Kopier das Ganze an einen Ort außerhalb des Servers und spiel es einmal auf einer anderen Maschine zurück, damit du weißt, dass es funktioniert. Die Vaultwarden-Maintainer schreiben selbst, dass sie für Datenverlust nicht haften, und empfehlen regelmäßige Backups.
Zwei-Faktor-Anmeldung
Schalte sie für jedes Konto ein, angefangen bei deinem eigenen. Authenticator-App und Hardware-Schlüssel funktionieren beide mit Vaultwarden. Die Wiederherstellungscodes gehören nicht in den Tresor, gern auf Papier.
Die Admin-Seite
Die Admin-Seite von Vaultwarden unter /admin ist mit ADMIN_TOKEN geschützt. Behandle diesen Token wie ein Root-Passwort. Das Wiki empfiehlt, ihn als Argon2-Hash zu speichern, damit er nicht aus der Konfiguration lesbar ist, HTTPS einzuschalten, bevor du die Seite aktivierst, und Sitzungen kurz zu halten. Brauchst du die Admin-Seite nicht, setz den Token nicht, dann bleibt sie aus.
Registrierung
Sobald du und deine Familie Konten habt, setz SIGNUPS_ALLOWED=false, damit Fremde auf deinem Server keine Konten anlegen können. Einladen kannst du weiterhin über die Admin-Seite.
Updates
Lies die Release Notes und aktualisiere zügig. Ein Passwort-Server, der im Internet hängt, sollte nicht auf dem Stand vom letzten Jahr laufen.
So betreibst du sie
Der übliche Weg ist dein eigener Server mit Docker: Vaultwarden ist ein Container mit einem Volume, Passbolt liefert eine Compose-Datei mit. Davor kommt ein Reverse Proxy mit HTTPS, und die Backups richtest du am ersten Tag ein. Wenn Selbsthosten neu für dich ist, lies zuerst Selbsthosten für Einsteiger.
Der andere Weg ist ein Managed Hoster. Auf blitz.cloud installierst du Vaultwarden mit einem Klick aus dem App Store, gehostet in der EU, HTTPS inklusive. Der kostenlose Tarif braucht keine Kreditkarte, allerdings schlafen Apps nach 30 Minuten ohne Besucher ein, der erste Sync nach einer ruhigen Phase dauert also einen Moment. Die anderen Tools aus diesem Artikel gibt es dort nicht, für sie bleibt Docker auf deinem eigenen Server.
Weitere Optionen findest du unter 1Password-Alternativen.
FAQ
Ist Vaultwarden sicher?
Der Tresor wird auf deinem Gerät verschlüsselt, bevor er den Server erreicht, genau wie bei Bitwarden. Die Risiken liegen im Betrieb: fehlende Backups, eine offene Admin-Seite, freie Registrierung oder alte Versionen. Hast du das im Griff, ist es ein solides Setup.
Kann ich die Bitwarden-App mit Vaultwarden nutzen?
Ja. Installier die offizielle Bitwarden-App oder Browser-Erweiterung, wähl beim Login die selbst gehostete Option und gib die Adresse deines Servers ein.
Welcher Passwort-Manager ist der beste für ein Team?
Passbolt, wenn du fein abgestuftes Teilen mit Gruppen und Rollen und eine unbegrenzte Gratisversion willst. Für viele kleine Teams reichen aber die Organisationen in Vaultwarden, und alle behalten die Bitwarden-Apps, die sie kennen.
Brauche ich für KeePass einen Server?
Nein. KeePass speichert alles in einer verschlüsselten Datei. Du brauchst nur einen Weg, diese Datei zwischen deinen Geräten abzugleichen, etwa Syncthing.
Was passiert, wenn mein Server ausfällt?
Eine entsperrte Bitwarden-App zeigt deinen Tresor weiter an, allerdings nur lesend. Neue Einträge anlegen oder ändern kannst du erst, wenn der Server wieder läuft.