Raspberry Pi Vaultwarden

Passende Hardware im Überblick

Boards – der Passwort-Server selbst ist genügsam:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung (Link)*
Raspberry Pi 5 mit 16GB RAM, wenn weitere Dienste dazukommen (Link)*
Raspberry Pi 5 mit 4GB RAM – reicht für den Tresor locker (Link)*
Raspberry Pi 4 Starter-Set (Link)*
Raspberry Pi Zero 2 W – die sparsamste Variante (Link)*
db-tronic Pi 5 Komplett-Set mit Gehäuse und Kühler (Link)*

Speicher – die Datenbank gehört auf SSD:
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Offizieller PCIe M.2 HAT (Link)*
Intenso M.2 NVMe SSD 500GB – wenn es günstig sein soll (Link)*
Crucial P310 NVMe SSD 500GB (Link)*
SanDisk Extreme A2 128GB für den Zweit-Pi (Link)*

Für den Dauerbetrieb rund um die Uhr:
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
Geekworm X1200 USV gegen Stromausfälle (Link)*
PoE-HAT für den Netzwerkschrank (Link)*
Passives Alu-Gehäuse – lautloser Betrieb (Link)*

Kurz gesagt: Was bringt Vaultwarden auf dem Raspberry Pi?

Raspberry Pi Vaultwarden in der Kurzfassung:

• Was es ist: Vaultwarden ist ein schlanker, in Rust geschriebener Server, der das Protokoll von Bitwarden spricht. Die offiziellen Bitwarden-Apps und Browser-Erweiterungen verbinden sich damit, als wäre es der Original-Dienst – nur liegen die Daten im eigenen Haus.
• Warum nicht das echte Bitwarden: Der offizielle Self-Hosting-Server besteht aus einem guten Dutzend Containern und will mindestens 4 GB RAM. Vaultwarden ist ein einziger Container und begnügt sich im Leerlauf mit rund 50 bis 100 MB.
• Installation: Ein Dienst in einer Docker-Compose-Datei, dazu ein Reverse Proxy. Zusammen etwa eine Stunde Arbeit.
• HTTPS ist keine Option, sondern Pflicht: Ohne gültiges Zertifikat verweigern Browser die nötige Verschlüsselungs-Schnittstelle und die Handy-Apps die Verbindung. Das ist der Punkt, an dem die meisten Anläufe scheitern.
• Sicherheit: Nach dem ersten Konto die Registrierung sperren, Zwei-Faktor-Anmeldung einschalten und den Zugriff von außen über ein VPN statt über eine Portfreigabe lösen.
• Voraussetzung: 64-Bit-System und eine SSD. Eine SD-Karte als Ablage für die Passwort-Datenbank ist ein Risiko mit Ansage.

Was Vaultwarden ist – Bitwarden ohne Ballast

Bitwarden ist einer der bekanntesten Passwortmanager und ausdrücklich zum Selbsthosten gedacht. Der Haken: Die offizielle Server-Version ist für Firmen gebaut. Sie bringt SQL-Server, Identity-Dienst, Admin-Portal und mehrere Hilfscontainer mit – auf einem Einplatinenrechner ist das keine Freude.

Vaultwarden ist die Antwort darauf: eine unabhängige Neuimplementierung des Bitwarden-Servers in Rust, entwickelt von Daniel García. Sie spricht dieselbe Programmierschnittstelle, speichert alles in einer einfachen SQLite-Datei und läuft in einem einzigen Container.

Der zweite Grund ist die Ausstattung: Funktionen, die bei Bitwarden im bezahlten Tarif stecken – Organisationen zum Teilen von Zugängen, Dateianhänge, der Generator für Einmalcodes, der Notfallzugriff für Angehörige – sind hier von Anfang an freigeschaltet.

Wichtig zum Verständnis: Der Tresor ist Ende-zu-Ende verschlüsselt. Der Server sieht nur verschlüsselte Blöcke, entschlüsselt wird ausschließlich auf dem Endgerät mit dem Master-Passwort. Ein gestohlener Pi verrät ohne dieses Passwort nichts – was den Umkehrschluss mitliefert: Ein vergessenes Master-Passwort kann niemand zurücksetzen, auch die Admin-Oberfläche nicht.

Raspberry Pi Vaultwarden installieren – Schritt für Schritt

1. Grundlage schaffen: 64-Bit Raspberry Pi OS (Lite genügt), aktuell gehalten, auf SSD betrieben und mit einer festen IP-Adresse versehen. Docker installieren mit curl -sSL https://get.docker.com | sh.
2. Ordner anlegen: mkdir -p ~/docker/vaultwarden und dorthin wechseln. In diesem Verzeichnis landen später Compose-Datei und Datenordner – beides zusammen ist das komplette Backup.
3. Compose-Datei schreiben als compose.yaml:
   services:
     vaultwarden:
       image: vaultwarden/server:latest
       container_name: vaultwarden
       restart: unless-stopped
       environment:
         - DOMAIN=https://tresor.deine-domain.de
         - SIGNUPS_ALLOWED=true
       volumes:
         - ./data:/data
       ports:
         - "127.0.0.1:8080:80"
4. Auf 127.0.0.1 binden: Die Angabe vor dem Port ist Absicht – so ist der Dienst nur lokal erreichbar und ausschließlich der Reverse Proxy reicht ihn nach außen.
5. Starten: docker compose up -d. Der erste Start dauert eine Minute, danach zeigt docker compose logs -f, ob der Dienst läuft.
6. Reverse Proxy einrichten (siehe nächster Abschnitt) und die Adresse im Browser aufrufen. Die Bedienoberfläche ist das bekannte Bitwarden-Web-Vault.
7. Erstes Konto anlegen: Auf „Konto erstellen" klicken, E-Mail-Adresse und ein starkes Master-Passwort vergeben. Dieses Passwort ist der einzige Schlüssel zum Tresor – es gehört auf Papier in den Ordner oder in den Safe, nicht in eine Datei.
8. Registrierung schließen: Sind alle Konten angelegt, SIGNUPS_ALLOWED=false setzen und mit docker compose up -d neu starten. Ab jetzt kommt niemand Fremdes mehr an eine Anmeldeseite mit Registrierungsknopf.

HTTPS ist Pflicht: Reverse Proxy mit Caddy oder Nginx Proxy Manager

Der Web-Tresor nutzt die Web-Crypto-Schnittstelle des Browsers, und die steht nur in einem sicheren Kontext zur Verfügung. Über http://192.168.1.50:8080 erscheint die Oberfläche zwar, aber die Anmeldung bricht ab. Die Handy-Apps sind noch strenger: Sie verlangen ein gültiges, von einer anerkannten Stelle ausgestelltes Zertifikat – ein selbst signiertes reicht nicht.

Der übliche Weg ist eine eigene Domain, ein Eintrag darauf (etwa tresor.deine-domain.de) und ein Reverse Proxy, der sich das Zertifikat bei Let's Encrypt abholt. Mit Caddy sind das drei Zeilen:

tresor.deine-domain.de {
  reverse_proxy 127.0.0.1:8080
}

Caddy beantragt das Zertifikat selbstständig und erneuert es automatisch. Wer lieber klickt, nimmt den Nginx Proxy Manager: ebenfalls ein Container, mit Weboberfläche, in der man Ziel-Adresse und Zertifikat per Formular einträgt.

Ein Hinweis zu älteren Anleitungen: Dort wird oft ein zweiter Port 3012 für die Echtzeit-Benachrichtigungen eingerichtet. Seit Version 1.30 läuft das über den normalen Port mit und kann ersatzlos gestrichen werden.

Admin-Token, gesperrte Registrierung und Zwei-Faktor-Anmeldung

Vaultwarden hat eine eigene Verwaltungsseite unter /admin. Sie ist standardmäßig aus und wird erst durch einen Admin-Token freigeschaltet. Dort lassen sich Benutzer verwalten, Einladungen verschicken und Einstellungen ohne Neustart ändern.

Den Token sollte man nicht als Klartext hinterlegen. Der eingebaute Befehl docker exec -it vaultwarden /vaultwarden hash erzeugt aus einem selbst gewählten Kennwort eine Argon2-Zeichenkette, die man als ADMIN_TOKEN einträgt. Kleine Falle: In einer Compose-Datei muss jedes Dollarzeichen darin verdoppelt werden, sonst versucht Docker, den Text als Variable zu ersetzen.

• Registrierung dicht: SIGNUPS_ALLOWED=false nach dem letzten Konto. Neue Nutzer kommen danach nur noch per Einladung aus der Admin-Oberfläche hinein.
• Zwei-Faktor-Anmeldung: Im Web-Tresor unter den Kontoeinstellungen. Eine Authenticator-App auf dem Handy ist das Minimum, ein Hardware-Schlüssel nach WebAuthn-Standard die stärkere Variante. Die Wiederherstellungscodes gehören ausgedruckt in den Ordner.
• E-Mail-Versand: Ohne SMTP-Zugangsdaten kann der Server weder einladen noch Codes per Mail schicken. Ein normales Postfach mit App-Passwort genügt.
• Fehlversuche bremsen: Vaultwarden schreibt Anmeldefehler ins Protokoll, sodass sich Fail2ban andocken lässt. Sinnvoll für jeden Server, der aus dem Internet erreichbar ist – ergänzend zu den Grundregeln der Absicherung.

Raspberry Pi Vaultwarden sicher von unterwegs erreichen

Ein Passwortmanager taugt wenig, wenn er nur im Wohnzimmer funktioniert. Die Frage ist also, wie der Tresor von unterwegs erreichbar wird – und hier trennen sich die Wege deutlich.

Die schlechteste Antwort ist die naheliegendste: eine Portfreigabe im Router plus DynDNS. Damit steht die Anmeldeseite des eigenen Passwort-Tresors offen im Netz und wird binnen Stunden von automatisierten Scannern gefunden.

• Eigenes VPN: WireGuard auf dem Pi. Das Handy baut den Tunnel auf, der Tresor bleibt für den Rest der Welt unsichtbar. Nur ein UDP-Port muss offen sein.
• Tailscale: Ein Mesh-Netz, das ohne jede Portfreigabe auskommt und auch hinter dem geteilten Anschluss eines Kabelanbieters funktioniert. Der bequemste Weg für alle, die sich nicht mit Routern beschäftigen wollen.
• Cloudflare Tunnel: Der Pi baut die Verbindung nach außen auf, es bleibt jeder Port zu. Zu bedenken ist: Die Verschlüsselung endet bei Cloudflare. Der Tresorinhalt bleibt zwar Ende-zu-Ende geschützt, der Weg dorthin führt aber über fremde Server.

Erfahrungswerte aus der Community laufen meist auf VPN oder Tailscale hinaus, weil beides nach dem Einrichten nicht mehr auffällt. Wer echte Push-Benachrichtigungen an die Handy-App will, holt sich unter bitwarden.com/host eine kostenlose Installations-Kennung und trägt sie als PUSH_ENABLED, PUSH_INSTALLATION_ID und PUSH_INSTALLATION_KEY ein.

Backup, Wiederherstellung und Umzug vom alten Passwortmanager

Beim Passwort-Server ist das Backup keine Fleißaufgabe, sondern die halbe Miete: Fällt die SSD aus und es gibt keine Sicherung, sind sämtliche Zugänge weg. Gesichert wird der gesamte data-Ordner. Darin stecken die Datenbank db.sqlite3, die Schlüsseldateien, die config.json aus der Admin-Oberfläche sowie die Ordner attachments und sends. Wer nur die Datenbank kopiert, bekommt später einen Tresor mit lauter kaputten Dateianhängen.

1. Datenbank sauber kopieren: Eine laufende SQLite-Datei einfach wegzukopieren, kann eine unbrauchbare Kopie ergeben. Richtig geht es mit sqlite3 data/db.sqlite3 ".backup sicherung.sqlite3" oder über den eingebauten Befehl docker exec vaultwarden /vaultwarden backup.
2. Rest mitnehmen: Danach den kompletten Ordner samt compose.yaml in ein Archiv packen.
3. Täglich automatisieren: Ein kleines Skript per Cronjob, das Archiv auf ein NAS oder in eine verschlüsselte Ablage außer Haus schieben.
4. Wiederherstellung testen: Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung. Einmal auf einem zweiten Pi ausprobieren – die generellen Regeln stehen im Beitrag zum Raspberry-Pi-Backup.

Der Umzug von einem anderen Passwortmanager läuft über das Web-Vault unter „Werkzeuge" und „Daten importieren". Unterstützt werden unter anderem KeePass, LastPass, 1Password, Dashlane sowie die Passwortspeicher von Chrome und Firefox. Wichtig: Die Exportdatei des alten Programms ist unverschlüsselter Klartext – sie gehört sofort nach dem Import gelöscht, niemals in einen Cloud-Ordner.

Typische Fehler und wie man sie vermeidet

• Kein HTTPS – der Klassiker: Die Weboberfläche erscheint, aber Anmeldung oder Handy-App verweigern den Dienst. Ursache ist fast immer die fehlende oder selbst gebastelte Verschlüsselung. Ohne anerkanntes Zertifikat wird das nichts.
• DOMAIN nicht gesetzt: Bleibt die Variable auf dem Standardwert, brechen Hardware-Schlüssel, Anhänge und Push-Nachrichten. Sie muss exakt die Adresse enthalten, unter der die Nutzer den Tresor aufrufen – mitsamt https://.
• SD-Karte statt SSD: Eine ständig schreibende Datenbank ist Gift für Speicherkarten. Ein NVMe-Aufsatz kostet wenig und nimmt der Sache den Schrecken.
• Registrierung offen gelassen: Wer SIGNUPS_ALLOWED=true stehen lässt und den Server ins Internet stellt, lädt Fremde zum Anlegen von Konten ein. Nach dem letzten eigenen Konto sofort schließen.
• Backup vergessen: Der teuerste Fehler von allen, weil er erst beim Defekt auffällt. Automatisiert sichern, außer Haus kopieren, Wiederherstellung einmal testen.
• Updates liegen lassen: Im Juli 2026 schloss Version 1.37.0 gleich mehrere Sicherheitslücken. Ein Passwort-Server ist nichts, was man einmal aufsetzt und dann vergisst – monatlich docker compose pull && docker compose up -d ist das Mindeste.

Häufige Fragen zu Vaultwarden auf dem Raspberry Pi

Welcher Raspberry Pi reicht für Vaultwarden?
Der Dienst selbst kommt mit sehr wenig aus, sogar ein Zero 2 W genügt für eine Familie. Sobald Reverse Proxy, VPN und weitere Container dazukommen, ist ein Pi 5 die entspanntere Wahl.

Komme ich noch an meine Passwörter, wenn der Pi ausfällt?
Ja. Alle Bitwarden-Clients halten eine verschlüsselte Kopie des Tresors lokal vor und funktionieren offline weiter. Nur Änderungen werden erst wieder abgeglichen, wenn der Server läuft.

Kann ich die offiziellen Bitwarden-Apps verwenden?
Ja, genau das ist der Reiz. In der App vor dem Anmelden auf das Zahnrad tippen, „Selbst gehostet" wählen und die eigene Server-Adresse eintragen. Browser-Erweiterungen und Desktop-App funktionieren identisch.

Warum funktioniert die Handy-App nicht, obwohl der Browser geht?
In neun von zehn Fällen liegt es am Zertifikat. Ein selbst signiertes oder abgelaufenes Zertifikat akzeptiert der Browser nach Nachfrage, die App aber nicht. Ein echtes Let's-Encrypt-Zertifikat löst das.

Ist Vaultwarden genauso sicher wie Bitwarden?
Die Verschlüsselung ist dieselbe und passiert ohnehin auf dem Endgerät. Der Unterschied liegt im Betrieb: Für Updates, Zertifikate und Backups ist man selbst verantwortlich statt ein Anbieter mit Sicherheitsabteilung.

Brauche ich eine eigene Domain?
Für ein anerkanntes Zertifikat ja – eine günstige Domain genügt. Sie muss aber nicht öffentlich auf den Pi zeigen: Über die DNS-Prüfung bekommt man ein gültiges Zertifikat auch für einen Server, der nur intern erreichbar ist.

Wie viele Nutzer verträgt ein Pi?
Für den Hausgebrauch spielt das keine Rolle. Berichte aus der Community zeigen mehrere Dutzend Konten auf einem Pi 4, ohne dass der Rechner ins Schwitzen kommt.

Fazit

Raspberry Pi Vaultwarden ist eines der wenigen Selbsthosting-Projekte, bei denen der eigene Server dem bezahlten Dienst funktional nichts nachsteht – Organisationen, Anhänge, Einmalcodes und Notfallzugriff inklusive, ohne Abo. Unsere klare Empfehlung dazu: Nimm dir die zusätzliche halbe Stunde für einen ordentlichen Reverse Proxy mit echtem Zertifikat, statt es mit einer selbst gebastelten Verschlüsselung zu versuchen. Genau daran scheitern die meisten Anläufe, und mit Caddy sind es wirklich nur drei Zeilen. Der zweite Punkt ist ebenso wichtig und weit weniger spannend: Das automatische Backup gehört eingerichtet, bevor das erste Passwort im Tresor landet – und zwar auf einer SSD, nicht auf einer Speicherkarte.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)