Passwörter fürs Team an einem Ort
Jede Person hat ihren eigenen Tresor. Was das Team gemeinsam braucht, liegt in geteilten Sammlungen, zum Beispiel Zugänge für Buchhaltung oder Website. Wer welche Sammlung sieht, legst du fest. Die Apps gibt es für Windows, Mac, Linux, Android und iPhone, dazu Erweiterungen für die gängigen Browser. Verschlüsselt wird auf dem Gerät, der Server bekommt die Daten nur verschlüsselt.
Wer nach „Bitwarden self hosted“ sucht, landet oft bei Vaultwarden: Es spricht dieselbe Schnittstelle wie Bitwarden, kommt aber mit deutlich weniger Rechenleistung aus. Selbst hosten musst du es deshalb nicht. Das übernehme ich.
Was ich übernehme
- Einrichtung. Vaultwarden auf einem Server in Deutschland, eigene Adresse mit gültigem Zertifikat, Organisation und Sammlungen für dein Team.
- Absicherung. Neue Konten nur auf Einladung, Zwei-Faktor-Anmeldung für alle, Mailversand für Einladungen und Hinweise.
- Updates. Ich spiele sie ein und prüfe danach Anmeldung und Abgleich in App und Browser.
- Sicherung. Datenbank, Anhänge und Schlüssel des Servers, täglich und verschlüsselt.
- Überwachung. Erreichbarkeit, Zertifikat und Sicherung. Ich merke es, bevor die Apps keine Verbindung mehr bekommen.
- Zugänge und Benutzer. Neue Leute einladen, Ausscheidende entfernen, Rechte an Sammlungen anpassen.
So überwache ich: Prometheus sammelt laufend die Messwerte aller Server und Container, Grafana zeigt sie an und Alertmanager alarmiert mich. Von außen prüfen Blackbox-Tests im Minutentakt, ob dein Dienst erreichbar ist und sein Zertifikat gültig bleibt. Jede Nacht prüfe ich alle Server und Container auf bekannte Sicherheitslücken und veraltete Versionen. Die Überwachung läuft auf einem eigenen Server in Deutschland, getrennt von den Systemen, die sie überwacht.
So sichere ich: Täglich und verschlüsselt, bevor die Daten den Server verlassen, auf getrennten Speicher in Deutschland. Aufbewahrt werden 30 Tage lang die täglichen Stände, dazu 12 Wochenstände und je nach System 6 bis 12 Monatsstände. Jeden Tag prüfe ich den Bestand der Sicherung, jede Woche lese ich stichprobenartig einen Teil der Daten zurück. Ist die letzte Sicherung älter als 26 Stunden, werde ich alarmiert. Ich habe Wiederherstellungen an echten Sicherungen getestet. Ein fester Rhythmus mit Bericht ist im Aufbau.
So spiele ich Updates ein: Sicherheitsupdates des Betriebssystems laufen täglich automatisch. Größere Runden mit Neustart mache ich von Hand, ein Server nach dem anderen, und prüfe nach jedem Server Dienste und Erreichbarkeit. Riskante Updates teste ich vorher an einer Kopie mit Datenbankabzug. Vor jedem Update sichere ich die Datenbank und behalte das alte Image und die alte Konfiguration. So gibt es immer einen Weg zurück.
Bei kritischen Sicherheitslücken ist mein Ziel: gepatcht innerhalb eines Tages für alles, wofür es einen Fix gibt. Bei der PHP-Lücke im Oktober waren die meisten Systeme am selben Abend dran, die letzten nach wenigen Tagen. Wo es keinen Fix gibt oder ein Kunde freigeben muss, schütze ich vorläufig und sage das dem Kunden offen.
Umfang, Sicherungsrhythmus und was bei einer Störung passiert, legen wir vorher fest.
Selbst betreiben oder betreiben lassen?
Vaultwarden ist schnell gestartet, ein einzelner Container reicht. Schwierig wird es später: ein Update, nach dem sich die Apps nicht mehr verbinden, ein abgelaufenes Zertifikat, eine Sicherung, die nie jemand zurückgespielt hat. Die Apps halten zwar eine lokale Kopie, aber ohne Server wird nichts mehr abgeglichen. Und ohne funktionierende Sicherung ist der Tresor bei einem Defekt weg. Wenn du Linux sicher kannst und Zeit dafür hast, mach es selbst. Wenn nicht, übernehme ich das.
Aus meiner Praxis
Ich betreibe Vaultwarden für meine eigenen Zugänge und für einen Kunden, dessen Team damit seine Passwörter teilt. Er läuft dort wie alles andere: überwacht, jede Nacht geprüft, täglich gesichert.
Was du nicht bekommst
Vaultwarden ist ein Gemeinschaftsprojekt und kein Produkt der Firma Bitwarden. Support von Bitwarden gibt es dafür nicht, den Support mache ich. Einige Funktionen der Bitwarden-Bezahlpläne fehlen oder funktionieren anders. Was dein Team braucht, prüfen wir vorher. Wenn dir die Cloud von Bitwarden reicht und du keinen eigenen Server willst, nimm die.
Was es kostet
Geteilter Betrieb ab 25 € im Monat (netto). Du bekommst deine eigene Vaultwarden-Instanz mit eigener Datenbank und eigener Sicherung, nur der Server in Deutschland ist geteilt. Enthalten sind bis zu 25 Personen, Zwei-Faktor-Anmeldung, Updates, tägliche Sicherung und Überwachung. Die ersten 30 Tage sind kostenlos, auch die Grundeinrichtung. Nach 30 Tagen entscheidest du, ob es weitergeht. Wenn du an eine Grenze kommst, sage ich dir das vorher. Einrichtung einmalig ab 290 €, für den eigenen Server und Einrichtung über die Grundeinrichtung hinaus.
Kein Lock-in: Wenn du selbst übernehmen oder wechseln willst, bekommst du Zugänge, Dokumentation und einen Export.
So starten wir
Im Erstgespräch erzählst du, wie dein Team heute mit Passwörtern umgeht und wie viele Leute es sind. Zugangsdaten brauche ich dafür nicht. Danach bekommst du ein Angebot mit Umfang und Kosten, bevor ich anfange. Eine NDA ist auf Wunsch möglich.
Häufige Fragen
Kannst du unsere Passwörter lesen?
Nein. Die Tresore werden auf euren Geräten mit dem Master-Passwort verschlüsselt, auf dem Server liegen sie nur verschlüsselt. Deshalb kann ich ein vergessenes Master-Passwort auch nicht zurücksetzen. Wie ihr dafür vorsorgt, besprechen wir bei der Einrichtung.
Wir nutzen gerade einen anderen Passwortmanager. Geht ein Umzug?
Meistens ja. Der Web-Tresor liest Exporte aus vielen Passwortmanagern ein, etwa aus 1Password, KeePass oder Bitwarden. Anhänge und Freigaben muss man oft neu anlegen.
Was passiert, wenn der Server ausfällt?
Die Apps zeigen weiter die zuletzt abgeglichenen Passwörter, Änderungen warten, bis der Server wieder da ist. Ich stelle den Dienst aus der Sicherung wieder her.
Wer sich kümmert
Ich bin Benjamin Kötting aus Hatten bei Oldenburg. Ich richte deinen Vaultwarden ein und betreibe ihn selbst, Updates, Sicherung und Störungen inklusive. Du landest direkt bei mir, nicht in einer Warteschleife.