Vaultwarden auf Hetzner

01 Voraussetzung: Server-Basis

Konto, API-Token, hcloud CLI (Command-Line Interface) und SSH-Key – einmalig, in einer eigenen Anleitung.

Firewall für Vaultwarden

Firewall-Prinzip: Server-Basis. Hier: 80 & 443 öffentlich (Zertifikat + Zugriff von überall), 22 nur von deiner IP (Internet Protocol).

$ip = (Invoke-RestMethod 'https://ipv4.icanhazip.com').Trim()
hcloud firewall create --name vw-fw
hcloud firewall add-rule vw-fw --direction in --protocol tcp --port 80  --source-ips 0.0.0.0/0,::/0
hcloud firewall add-rule vw-fw --direction in --protocol tcp --port 443 --source-ips 0.0.0.0/0,::/0
hcloud firewall add-rule vw-fw --direction in --protocol tcp --port 22  --source-ips "$ip/32"

02 cloud-init (Docker)

#cloud-config
package_update: true
package_upgrade: true
packages:
  - docker.io
  - docker-compose-v2

03 Server erstellen

Vaultwarden braucht praktisch nichts. CAX11 (2 ARM-vCPU / 4 GB, ~4 €) ist schon großzügig. Läuft auch auf einem bestehenden Server mit.

hcloud server create `
  --name vw-host `
  --type cax11 `
  --image ubuntu-24.04 `
  --ssh-key laptop `
  --firewall vw-fw `
  --user-data-from-file cloud-init.yaml

hcloud server ip vw-host        # IP notieren -> oben ins Feld "Server-IP"

04 DNS: Vault-Subdomain

Ein A-Record auf die Server-IP:

Liegt seb4u.com schon bei Cloudflare (siehe Domain zu Cloudflare umziehen), legst du vault einfach als A-Record in der bestehenden Zone an – kein Konto, keine Nameserver. Sonst: beim Domain-Anbieter bzw. der Hetzner DNS Console. Cloudflare-Proxy (orange Wolke) für diesen Record erstmal aus (grau) lassen, damit Caddy das Zertifikat holen kann – danach optional wieder an mit SSL-Modus „Full (strict)“. Prüfen: nslookup vault.seb4u.com.

05 compose-Datei & Caddyfile

Auf dem Server, alles in einem Ordner. Erst einloggen:

ssh root@<IP>
mkdir -p /opt/vaultwarden && cd /opt/vaultwarden

services:
  vaultwarden:
    image: vaultwarden/server:latest
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.seb4u.com"
      SIGNUPS_ALLOWED: "true"        # nur bis dein Konto steht (Schritt 9)
    volumes:
      - ./vw-data:/data

  caddy:
    image: caddy:2
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile
      - ./caddy-data:/data
      - ./caddy-config:/config
    depends_on:
      - vaultwarden

{
    email admin@vault.seb4u.com
}

vault.seb4u.com {
    reverse_proxy vaultwarden:80
}

Seit Vaultwarden 1.30 laufen die WebSocket-Benachrichtigungen über denselben Port – kein Extra-Port nötig.

06 Starten & Konto anlegen

cd /opt/vaultwarden
docker compose up -d
docker compose logs -f caddy       # "certificate obtained" abwarten, dann Strg+C

07 Registrierung sperren + Admin-Panel

Damit sich nicht Fremde registrieren, und für die Server-Einstellungen.

# Admin-Token als Argon2-Hash erzeugen (Passwort eingeben, Hash kopieren):
docker run --rm -it vaultwarden/server /vaultwarden hash

# in eine .env schreiben (Hash 1:1 einfuegen, in Anfuehrungszeichen):
nano /opt/vaultwarden/.env

ADMIN_TOKEN='$argon2id$v=19$m=65540,t=3,p=4$....'

In docker-compose.yml beim Dienst vaultwarden ergänzen / ändern:

    env_file: .env
    environment:
      DOMAIN: "https://vault.seb4u.com"
      SIGNUPS_ALLOWED: "false"

docker compose up -d
exit

Admin-Panel: https://vault.seb4u.com/admin – dort Nutzer verwalten, SMTP (Simple Mail Transfer Protocol) eintragen (Schritt 13), Einladungen verschicken (SIGNUPS_DOMAINS_WHITELIST oder direkt „Invite user“).

08 Bitwarden-Apps verbinden

In jeder offiziellen Bitwarden-App vor dem Login die Server-URL umstellen – danach ganz normal anmelden.

• Browser-Extension / Desktop: beim Anmelde-Bildschirm oben auf das Zahnrad / Region: Self-hosted → Server-URL https://vault.seb4u.com → Speichern.
• Android / iOS: beim ersten Start unten/oben Self-hosted wählen, gleiche URL (Uniform Resource Locator). Danach Autofill in den Systemeinstellungen aktivieren.
• CLI: bw config server https://vault.seb4u.com.

09 Daten importieren

• Web-Vault öffnen (https://vault.seb4u.com, einloggen) → Tools → Import data.
• Aus dem vault.html-Tresor: dort Einstellungen → CSV (Comma-Separated Values) exportieren, beim Import als Format „Bitwarden (csv)“ wählen.
• Aus einem anderen Manager: passendes Format aus der Liste (LastPass, Chrome, KeePass, 1Password …).
• Danach die CSV-Datei sofort löschen – sie liegt im Klartext vor.

10 Backups

Alles Wichtige liegt in /opt/vaultwarden/vw-data/ (SQLite-DB, Anhänge, rsa_key*, config.json). Die DB ist pro Nutzer Ende-zu-Ende verschlüsselt – das Backup trotzdem gut schützen.

#!/bin/bash
set -e
cd /opt/vaultwarden
STAMP=$(date +%F_%H%M)
docker compose exec -T vaultwarden sqlite3 /data/db.sqlite3 ".backup /data/db-backup.sqlite3"
tar czf /root/vw-$STAMP.tar.gz -C vw-data db-backup.sqlite3 attachments sends rsa_key.pem rsa_key.pub.pem config.json 2>/dev/null || true
find /root -name 'vw-*.tar.gz' -mtime +14 -delete
# optional: zu einer Hetzner Storage Box schieben
# rclone copy /root/vw-$STAMP.tar.gz box:vaultwarden/

chmod +x /opt/vaultwarden/backup.sh
( crontab -l 2>/dev/null; echo "30 3 * * * /opt/vaultwarden/backup.sh" ) | crontab -

Zusätzlich die Hetzner-Server-Backups aktivieren (+20 %) – dann hast du auch bei einem Totalausfall des Servers alles.

+ Mailversand (optional)

Für Einladungen, Passwort-Hinweise, „neues Gerät“-Mails und E-Mail-2FA. Ohne SMTP läuft Vaultwarden trotzdem – nur diese Mails fehlen dann.

SMTP_HOST=smtp-relay.brevo.com
SMTP_PORT=587
SMTP_SECURITY=starttls
SMTP_FROM=vault@vault.seb4u.com
SMTP_USERNAME=DEIN_RELAY_USER
SMTP_PASSWORD=DEIN_RELAY_KEY

+ Hardening & Updates

• SIGNUPS_ALLOWED=false lassen. Neue Nutzer nur per Invite im Admin-Panel.
• ADMIN_TOKEN als Argon2-Hash (wie in Schritt 9), nie im Klartext. Oder /admin nach der Einrichtung ganz abschalten (DISABLE_ADMIN_TOKEN=false + Token leeren).
• Updates: cd /opt/vaultwarden && docker compose pull && docker compose up -d (alle paar Wochen). OS (Betriebssystem): apt install unattended-upgrades.
• fail2ban gegen Brute-Force auf Login und /admin – es gibt fertige Filter für Vaultwarden (Log via docker compose logs).
• 2FA für deinen eigenen Account in der App aktivieren (TOTP oder Passkey).
• Der Server-Betreiber (= du) kann den verschlüsselten Tresor sehen, nicht dessen Inhalt. Trotzdem: starkes Master-Passwort, Server aktuell halten.

+ Kosten

Kein Kill-Switch/Auto-Teardown – ein Passwort-Server soll erreichbar bleiben. Klein dimensionieren, Backups statt Redundanz.

+ Alternativen

Nur schnell etwas Kostenloses mit Autofill überall → Proton Pass Free. Volle Kontrolle und du hast eh einen Server → diese Anleitung.

+ Proton Pass Free einrichten

Der schnellste Weg ohne eigenen Server: kostenloser, gehosteter Manager aus der Schweiz, Open Source, mit Autofill auf allen Geräten und eingebautem 2FA-Authenticator. Kein Docker, keine Domain, keine Kreditkarte.

1. Proton-Konto auf proton.me anlegen (kostenlos). Falls du schon Proton Mail hast – nutzen.
2. pass.proton.me öffnen – der Tresor wird automatisch angelegt.
3. Browser-Extension installieren (Chrome, Firefox, Edge, Safari), anmelden. In den Extension-Einstellungen Autofill und „beim Login anbieten“ aktivieren.
4. Handy-App (iOS/Android) installieren, anmelden. Dann im System als Autofill-Dienst setzen:
   Android: Einstellungen → Passwörter & Konten → Autofill-Dienst → Proton Pass.
   iOS: Einstellungen → Allgemein → AutoFill & Passwörter → Proton Pass.
5. Daten importieren: pass.proton.me → Einstellungen → Import → Quelle Bitwarden → die .csv aus vault.html (oder aus einem anderen Manager das passende Format). Danach die CSV löschen.
6. 2FA-Codes: beim Eintrag das Feld 2FA-Secret hinterlegen – Proton Pass generiert den Code und füllt ihn mit aus.
7. Dein Proton-Konto absichern: Einstellungen → Sicherheit → 2FA aktivieren (Authenticator-App oder Passkey).