Vaultwarden auf Saplo einrichten (Passwortmanager für Teams)

Wenn du Bitwarden für dein Team zahlst, zahlst du pro Person und Monat, und mit jedem neuen Mitarbeiter steigen die Kosten. Bei rund einem Dutzend Personen kann die Jahresrechnung sogar mehr kosten als eine Box insgesamt, auf der dann die gesamte restliche Firmeninfrastruktur laufen könnte. Vaultwarden ist eine Open-Source-Umsetzung des Bitwarden-Servers und mit denselben offiziellen Apps (Browser, Desktop, Smartphone) kompatibel, wird jedoch auf deiner eigenen Box betrieben. Keine Gebühren pro Nutzer, und deine Passwortdaten bleiben bei dir. Schritt für Schritt erfährst du, wie du Vaultwarden auf Saplo einrichtest, dein Team einbindest und wie das Backup der verschlüsselten Passwortdaten aussieht.

Warum Vaultwarden statt des kostenpflichtigen Bitwarden-Dienstes

Bitwarden als SaaS-Produkt ist gut, aber der Team-Tarif kostet monatlich pro Konto, und die Passwörter deines Unternehmens liegen auf fremden Servern, außerhalb deiner Kontrolle. Vaultwarden ist eine unabhängige Implementierung desselben API-Protokolls, geschrieben in Rust, die von den offiziellen Bitwarden-Clients ohne jegliche Änderung unterstützt wird. Es genügt, in den Client-Einstellungen die Serveradresse auf deine eigene Domain zu ändern. Der Unterschied in der Praxis:

• keine Kosten pro Nutzer - du kannst beliebig viele Teamkonten hinzufügen, ohne dass die monatliche Rechnung wächst,
• Daten auf deiner Box - die Passwortdatenbank (clientseitig end-to-end verschlüsselt, genau wie bei Bitwarden selbst) verlässt deine Infrastruktur nicht,
• dieselben Apps - Browser, Desktop, Smartphone, alle offiziellen Bitwarden-Clients funktionieren unverändert, du änderst nur die Serveradresse,
• der Quellcode ist öffentlich einsehbar - es ist ein Open-Source-Projekt, das öffentlich auf GitHub weiterentwickelt wird, sodass du bei Bedarf genau nachsehen kannst, wie die Authentifizierung und die Speicherung verschlüsselter Daten funktionieren, statt blind einem geschlossenen SaaS zu vertrauen.

Voraussetzungen

Um Vaultwarden auf Saplo einzurichten, brauchst du:

• eine Box mit laufendem Docker (die Engine wird bei der Installation aus dem App-Katalog automatisch gestartet, Container-Nesting ist erforderlich und bei Saplo standardmäßig vorhanden),
• mindestens 256 MB freien Arbeitsspeicher auf der Box, wofür der kleinste Tarif Box S ausreicht,
• eine Domain oder Subdomain *.saploapp.pl, die im Preis jedes Tarifs enthalten ist und unter der das Anmeldepanel läuft.

Vaultwarden benötigt im Unterschied zu vielen anderen Anwendungen aus dem App-Katalog keine separate Datenbank. Vaultwarden speichert seine eigene SQLite-Datenbank im Datenvolumen des Containers, sodass die Installation schneller und schlanker ist als bei Anwendungen mit einer gemeinsam genutzten MySQL-Datenbank oder einer dedizierten Postgres-Datenbank.

Installation Schritt für Schritt

1. Öffne im Saplo-Panel den App-Katalog und wähle Vaultwarden (Kategorie „Geschäft“).
2. Wähle die Box, auf der er laufen soll, sowie die Domain oder Subdomain, unter der das Panel erreichbar sein wird.
3. Bestätige die Installation. Die Engine startet einen Docker-Container mit dem offiziellen Image vaultwarden/server, richtet ein Volume für die SQLite-Datenbank ein und stellt ihn über nginx mit einem kostenlosen SSL-Zertifikat unter der angegebenen Domain bereit.
4. Nach wenigen Dutzend Sekunden antwortet die Domain mit der Vaultwarden-Anmeldeseite. Die Registrierung neuer Konten ist standardmäßig aktiviert, sodass du das erste Konto direkt auf der Seite anlegst, ohne zusätzliche Konfiguration.
5. Das Administrationspanel unter /admin ist standardmäßig deaktiviert (da kein Administrator-Token festgelegt ist), was ein sicherer Ausgangszustand ist, bevor du den Zugriff für dich selbst konfigurierst.

Bitwarden-Clients verbinden

Vaultwarden verwendet dasselbe API-Protokoll wie Bitwarden, daher funktioniert jeder offizielle Client ohne jegliche Änderungen:

1. Öffne in der Bitwarden-App (im Browser, am Desktop oder auf dem Smartphone) die Einstellungen und finde das Feld Self-hosted environment / Serveradresse.
2. Gib die Adresse deiner Installation auf Saplo ein, z. B. https://vault.ihredomain.de.
3. Melde dich mit dem Konto an, das du in Schritt 4 der Installation oben erstellt hast.

Ab diesem Moment funktionieren Passwortsynchronisierung, Passwortgenerator und Autovervollständigung genau wie im originalen Bitwarden. Nur werden deine Daten von deiner Box statt von den Bitwarden-Servern gespeichert.

Organisationen und Passwortfreigabe im Team

Dass sich alle über einen eigenen Login auf einem gemeinsamen Server anmelden, ist noch keine Passwortfreigabe. Dafür gibt es Organisationen, genau wie im kostenpflichtigen Team-Tarif von Bitwarden:

1. Öffne im Bitwarden-Client, der mit deiner Installation verbunden ist, New organization und erstelle eine Organisation für dein Unternehmen (z. B. "Team").
2. Lade die weiteren Personen über die E-Mail-Adresse ein, mit der sie im Schritt "Team hinzufügen" oben jeweils ein Konto erstellt haben.
3. Erstelle Kollektionen (Collections), also thematische Passwortgruppen, z. B. "Hosting", "Social Media", "Rechnungen", und gib den Zugriff nur für ausgewählte Personen oder Gruppen frei.
4. Verschiebe vorhandene persönliche Passwörter mit der Schaltfläche Move to organization in die Organisation, damit dein Team sie sofort sieht, statt sie per E-Mail oder Messenger zu versenden.

Dank Kollektionen sieht jede Person nur die Passwörter, zu denen sie tatsächlich Zugriff hat, und nicht die gesamte Unternehmensdatenbank. Das ist bei Personalwechseln oder der Zusammenarbeit mit externen Auftragnehmern wichtig. Wenn du nach dem Hinzufügen des Teams die Registrierung für Außenstehende schließen möchtest, deaktiviere die Variable SIGNUPS_ALLOWED auf der Containerseite oder beschränke den Zugriff auf eine bestimmte geschäftliche E-Mail-Domain. Das gehört allerdings bereits zur manuellen Konfiguration in den Umgebungsvariablen des Containers und liegt außerhalb des Funktionsumfangs des Installationsassistenten.

Backup und Sicherheit

Backups hängen vom gewählten Plan ab: Box L und höhere Tarife enthalten ein Backup im Preis (7 Tage Rückblick für L, 14 Tage für XL, 30 Tage plus Offsite-Kopie für XXL), für Box S und Box M kann ein tägliches Backup als Zusatzoption hinzugefügt werden. Bei Vaultwarden umfasst das Backup das gesamte Datenvolumen des Containers, also die SQLite-Datenbankdatei mit dem verschlüsselten Inhalt aller Passwörter. Es lohnt sich daher, das Backup zu aktivieren, bevor die Datenbank so groß wird, dass ihr Verlust dem gesamten Unternehmen spürbar schadet. Das Panel von Saplo zeigt den Status des SSL-Zertifikats an und erneuert es automatisch. Den Zugang zum Administrationspanel unter /admin solltest du erst aktivieren, wenn du in den Umgebungsvariablen des Containers ein starkes, zufälliges Administrator-Token festgelegt hast, denn über dieses Panel kannst du alle Konten der Installation verwalten.

Migration von Bitwarden, LastPass oder 1Password

Der Umzug einer bestehenden Passwortdatenbank auf deine eigene Vaultwarden-Installation erfordert nicht, jedes Passwort manuell einzeln abzuschreiben:

• über Bitwarden exportierst du die Passwortdatenbank im Format .json (verschlüsselt oder unverschlüsselt) unter Account settings -> Export vault und importierst anschließend dieselbe Datei in den Client, der bereits mit deiner Vaultwarden-Installation verbunden ist, über Tools -> Import data,
• aus LastPass exportierst du die Passwörter über das Browser-Panel in eine CSV-Datei. Vaultwarden bietet im selben Fenster Import data das fertige Importformat "LastPass (csv)",
• aus 1Password exportierst du die Daten aus der Desktop-App im Format 1PUX, das Vaultwarden ebenfalls als fertiges Importformat erkennt.

Direkt nach dem Import solltest du die Liste auf Duplikate und Passwörter prüfen, die die integrierte Sicherheitsprüfung von Vaultwarden (Tools -> Vault health reports) als schwach oder mehrfach verwendet markiert, bevor du dem gesamten Team Zugriff gibst.

Kostenpflichtiges Bitwarden im Vergleich zu Vaultwarden auf Saplo

Häufige Fragen

Ist Vaultwarden genauso sicher wie die kostenpflichtige Version von Bitwarden? Vaultwarden nutzt denselben clientseitigen End-to-End-Verschlüsselungsmechanismus wie das ursprüngliche Bitwarden. Deshalb werden Passwörter verschlüsselt, bevor sie das Gerät verlassen. Der Unterschied liegt nicht in der Verschlüsselung selbst, sondern darin, wer die verschlüsselte Datenbank hostet.

Kann ich Passwörter aus einem bestehenden Konto bei Bitwarden, LastPass oder 1Password importieren? Ja, für alle drei sind in Vaultwarden fertige Importformate verfügbar, die im Abschnitt zur Migration oben beschrieben werden. So lässt sich die gesamte Datenbank in wenigen Minuten übertragen.

Wie viele Personen lassen sich mit Box S betreuen? Vaultwarden ist sehr leichtgewichtig, schon der Container allein verbraucht unter 100 MB RAM. Daher reicht Box S für die meisten kleinen und mittleren Teams. Bei mehr Personen erweiterst du den RAM deiner Box bei Bedarf, ohne Daten umziehen zu müssen.

Was passiert, wenn ich das Masterpasswort vergesse? Wie beim ursprünglichen Bitwarden kennt der Server das Masterpasswort nicht (End-to-End-Verschlüsselung), daher kann Vaultwarden es nicht wiederherstellen. Lege bei der Erstellung deines Kontos am besten einen Passworthinweis fest und bewahre ein Backup des Datenbankexports an einem sicheren Ort auf.

Kann ich die Registrierung neuer Konten deaktivieren, nachdem ich das Team hinzugefügt habe? Ja, du setzt auf der Container-Seite die Umgebungsvariable SIGNUPS_ALLOWED auf false. Danach erstellst du neue Konten ausschließlich manuell im Administrationspanel unter /admin.

Sehen alle Teammitglieder die Passwörter der Organisation? Nein, der Zugriff hängt von den Sammlungen ab: Jede Person sieht nur die Passwortsammlungen, denen sie zugewiesen wurde. So kannst du beispielsweise Passwörter für das Hosting von Passwörtern für die Buchhaltung trennen.

Passwörter sind eine Ebene, die zweite ist der Zugriff auf Unternehmensdienste. Wenn Panels und Server nur über das private Teamnetzwerk erreichbar sein sollen, sieh dir wie du Headscale auf Saplo einrichtest an, um einen eigenen Koordinierungsserver für Clients von Tailscale bereitzustellen.

Wenn du Fragen bei der Einrichtung von Vaultwarden auf deiner eigenen Box oder bei der Migration eines Teams von Bitwarden mit kostenpflichtigem Tarif hast, schreib uns. Wir helfen dir, die Organisation und das Backup Schritt für Schritt einzurichten.