Die besten self-hosted Passwortmanager

Passwortmanager auf eigener Infrastruktur kommen meist dann ins Spiel, wenn Unternehmen genau wissen wollen, wo ihre Zugangsdaten liegen und wer die Plattform betreibt. Wer ohnehin schon einen VPS, einen dedizierten Server oder eine lokale Umgebung betreibt, für den ist der eigene Passwort-Tresor der logische nächste Schritt.

Aus der Praxis mit selbst betriebenen Umgebungen weiß ich: Die Installation ist selten das Problem. Die eigentliche Frage ist, ob das Team den Dienst über Jahre sicher betreiben kann. Dazu gehören regelmäßige Updates, ein abgesicherter Admin-Zugang, verschlüsselte Backups, eine kontinuierliche Serverüberwachung und regelmäßig getestete Wiederherstellungen. Genau daran scheitern die meisten Installationen. Nicht am Aufsetzen.

Dieser Leitfaden vergleicht die wichtigsten Optionen und nennt bei jeder ehrlich, welchen betrieblichen Aufwand Du Dir damit einkaufst.

Was ist ein self-hosted Passwortmanager?

Ein self-hosted Passwortmanager speichert Deinen verschlüsselten Passwort-Tresor auf Infrastruktur, die Dir gehört oder die Du verwaltest: Heimserver, NAS, VPS, dedizierter Server oder lokale Umgebung. Anders als bei cloudbasierten Passwortmanagern, wo der Anbieter den Server betreibt, bestimmst Du selbst, wo Deine Daten liegen und wie die Umgebung verwaltet wird.

Datenschutz und Compliance bekommst Du dabei nur mit dem nötigen technischen Know-how oder einer managed Infrastruktur. Der Betrieb trägt die Verantwortung, die vorher beim Anbieter lag.

Worauf Du achten solltest

Ich bewerte Lösungen für den Eigenbetrieb nicht nur nach ihren Sicherheitsfunktionen, sondern danach, wie sie sich in echten Serverumgebungen schlagen. Ein Passwortmanager muss Zugangsdaten schützen und sich gleichzeitig sauber in Deine Hosting-Strategie, Wartungsroutinen und langfristigen Anforderungen einfügen. Auf diese Faktoren würde ich vor einer Entscheidung schauen:

• Starke Verschlüsselung: Wähle einen Passwortmanager, der clientseitige Verschlüsselung nutzt, damit Deine Zugangsdaten verschlüsselt werden, bevor sie auf dem Server gespeichert werden.
• Flexibilität beim Betrieb: Achte auf Unterstützung für Docker, Kubernetes, klassische Serverinstallationen oder andere Modelle, die sich in Deine bestehende Infrastruktur einfügen.
• Plattformübergreifender Zugriff: Stelle sicher, dass Desktop- und Mobil-Apps, Browser-Erweiterungen sowie eine zuverlässige Synchronisierung über alle Deine Geräte hinweg angeboten werden.
• Passwortfreigabe: Wenn Du mit einem Team arbeitest, achte vor allem auf sichere Freigabe, gemeinsame Tresore, rollenbasierte Berechtigungen und Aktivitätsprotokolle.
• Authentifizierungsoptionen: Funktionen wie Multi-Faktor-Authentifizierung (MFA) und Passkey-Unterstützung können die Kontosicherheit erheblich verbessern.
• Skalierbarkeit: Wähle eine Lösung, die mit Deinen Anforderungen mitwachsen kann, ob persönliche Zugangsdaten, kleines Team oder Unternehmensumgebung.
• Einfache Verwaltung: Klare Dokumentation, regelmäßige Updates und aktive Weiterentwicklung erleichtern Installation, Wartung und Fehlerbehebung langfristig erheblich.
• DSGVO und Serverstandort: Wenn Dein Hosting-Vertrag Auftragsverarbeitung nach Art. 28 DSGVO erfordert oder eine ISO-27001-zertifizierte Umgebung vorgegeben ist, prüf vor der Toolwahl, ob Dein Hoster einen entsprechenden AVV anbietet und ob der Serverstandort innerhalb der EU liegt.
• Netzwerkzugang: Ein self-hosted Passwortmanager muss über das Internet erreichbar sein, wenn Du von mehreren Standorten aus arbeiten willst. Klär vorab, ob Dein Server eine öffentliche IP hat, ob Du WireGuard oder einen VPN vorschaltest, und wie Du den Zugang absicherst.

Empfohlene self-hosted Passwortmanager

Ich habe Nutzer bei der Einrichtung und dem Betrieb einer ganzen Reihe selbst betriebener Anwendungen unterstützt, darunter Vaultwarden, Passbolt, Padloc und Psono. Manche dieser Lösungen sind für schlanke Heimserver gebaut, andere bringen die Funktionen für Zusammenarbeit und Governance mit, die Unternehmen tatsächlich brauchen.

Die folgenden Passwortmanager werden aktiv gepflegt und decken sehr unterschiedliche Anwendungsfälle ab. Ich zeige Dir, welche Lösung wofür geeignet ist und welchen Aufwand sie im Betrieb verursacht.

Bitwarden

Bitwarden ist ein Open-Source-Passwortmanager, der sich selbst betreiben lässt und Nutzern damit die Kontrolle darüber gibt, wo und wie ihre Zugangsdaten gespeichert werden. Er unterstützt persönliche Tresore, gemeinsame Tresore und Unternehmensumgebungen durch ein ausgereiftes Ökosystem aus Desktop-, Mobil- und Browser-Anwendungen.

Ich habe eine Bitwarden-Installation betreut, die auf einem 2 GB VPS lief, auf dem bereits ein Reverse Proxy und ein Monitoring-Dienst liefen. Drei Wochen nach dem Launch kam die Meldung, der Server antworte nicht mehr. Der Grund: einer der zehn Docker Container hatte die Logs ungebremst vollgeschrieben, bis der Speicher voll war. Die Installation war korrekt. Das Betriebsmodell war es nicht. Wer Bitwarden ernsthaft betreiben will, braucht einen dedizierten Host oder zumindest klar zugeteilte Ressourcen, kein Gerät, das nebenbei noch drei andere Dienste trägt.

Funktionen

• Offizieller, self-hosted Bitwarden-Server
• Gemeinsame Tresore und Passwortfreigabe
• MFA und Passkey-Unterstützung
• Desktop-, Mobil- und Browser-Apps mit geräteübergreifender Synchronisierung

Einschränkungen

• Der offizielle Bitwarden-Server zieht im Betrieb via Docker Compose rund zehn Container hoch und benötigt mindestens 2 GB RAM, während Vaultwarden auf demselben Server mit unter 50 MB.
• SSO-Integration (SAML 2.0), SCIM-Provisionierung und erweiterte Passwortrichtlinien sind ausschließlich in den kostenpflichtigen Teams- und Enterprise-Tarifen enthalten.

Einschätzung

Ich empfehle Bitwarden dort, wo langfristiger offizieller Support, breite Client-Abdeckung und Unternehmensfunktionen gefragt sind, sofern die Serverressourcen vorhanden sind. Wer nur einen schlanken Tresor auf einem kleinen VPS sucht, ist hier überversorgt.

Vaultwarden

Vaultwarden ist eine in Rust geschriebene Open-Source-Implementierung des Bitwarden-Servers, eine ressourcenschonende Alternative, zum offiziellen Stack. Er ist auf die offiziellen Bitwarden-Clients ausgelegt und bietet damit dieselbe vertraute Desktop-, Mobil- und Browser-Erfahrung.

Bei kleineren VPS-Installationen ist Vaultwarden meist die erste Option, die ich mir ansehe. Auf einem 1-GB-VPS, der nebenbei noch Reverse Proxy, Monitoring und einen weiteren Dienst fährt, ist der Unterschied zwischen Bitwarden (≥ 2 GB RAM, ~10 Container) und Vaultwarden (< 50 MB RAM, ein einziger Container) kein theoretischer Vorteil. Er entscheidet, ob der Server stabil läuft oder permanent unter Druck steht.

Funktionen

• In Rust geschriebene, schlanke Serverimplementierung
• Vollständig kompatibel mit den offiziellen Bitwarden-Clients
• Gemeinsame Tresore und sichere Passwortfreigabe
• Aktive Open-Source-Community mit regelmäßigen Updates

Einschränkungen

• Vaultwarden ist ein von der Community gepflegtes Projekt, kein offiziell von Bitwarden unterstützter Server.
• Unternehmensfeatures wie SSO (SAML/OIDC) und SCIM-Provisionierung sind auf der offiziellen Bitwarden-Plattform verfügbar, in Vaultwarden aber nur teilweise oder experimentell implementiert.

Einschätzung

Vaultwarden ist für mich die pragmatische Wahl, wenn Du Bitwarden-kompatible Clients auf einem kleinen Server brauchst. Was Du dabei akzeptierst: Du hängst an einem Community-Projekt statt am offiziellen Server. Für die meisten kleinen Teams ist das ein guter Kompromiss. Für Unternehmen mit strengen Support- und Compliance-Anforderungen eher nicht.

Passbolt

Passbolt ist ein Open-Source-Passwortmanager für Organisationen, die Anmeldedaten teamübergreifend sicher verwalten und teilen müssen. Er kann auf eigener Infrastruktur, in der Cloud oder vollständig isoliert betrieben werden, über Docker, Kubernetes oder native Linux-Pakete.

Passbolt sehe ich regelmäßig bei Teams, in denen das Teilen von Passwörtern klare Zuständigkeiten, feingranulare Berechtigungen und Nachvollziehbarkeit erfordert. Sein Kollaborationsmodell passt gut zu Teams, die gemeinsam genutzte Infrastruktur oder privilegierte Konten verwalten.

Der Einrichtungsaufwand ist real und ich würde ihn nicht unterschätzen: HTTPS, SMTP, GPG-Schlüsselverwaltung und Nutzerprovisionierung müssen zuverlässig laufen, bevor die Plattform produktiv geht. Passbolt bietet OpenPGP-basierte clientseitige Verschlüsselung, detaillierte Berechtigungen und Prüfpfade, API- und CLI-Unterstützung sowie Single Sign-On (SSO). Das ist die richtige Ausstattung für Governance-Anforderungen und zugleich der Grund, warum die Einrichtung Zeit kostet.

Funktionen

• Speziell für sichere Passwortfreigabe und Teamzusammenarbeit entwickelt
• Eigenbetrieb, cloudbasierte und Air-Gapped-Betriebsoptionen
• Docker, Kubernetes und native Linux-Installationen
• OpenPGP-basierte clientseitige Verschlüsselung
• Detaillierte Berechtigungen und Prüfpfade
• API-, CLI- und SSO-Unterstützung

Einschränkungen

• Deutlich komplexer im Betrieb als ein Passwortmanager für den privaten Gebrauch.
• Die GPG-Schlüsselverwaltung ist für neue Nutzer eine echte Hürde: Wer noch nie mit GPG gearbeitet hat, braucht Zeit zu verstehen, warum ein abgelaufener oder verlorener Schlüssel bedeutet, dass der Zugriff auf eigene Einträge gesperrt ist, bis das jemand manuell korrigiert.
• Viele Governance-Funktionen sind für Einzelpersonen oder sehr kleine Teams schlicht überflüssig.

Einschätzung

Ich empfehle Passbolt dort, wo sichere Zusammenarbeit eine zentrale Anforderung ist, nicht nur ein gelegentlicher Bedarf. Teams, die gemeinsam genutzte Infrastruktur, privilegierte Konten oder compliance-getriebene Umgebungen verantwortlich betreuen, holen aus den Governance-Funktionen den meisten Wert. Für Einzelpersonen ist es schlicht zu viel Maschinerie.

Psono

Psono ist ein Open-Source-Passwortmanager für Organisationen, die ihre Passwortverwaltung unter eigener Kontrolle behalten wollen. Community- und Enterprise-Edition lassen sich auf eigener Infrastruktur betreiben; alternativ gibt es eine SaaS-Option.

Ich habe ein Team begleitet, das Psono in der Community Edition eingeführt hat: sauber aufgesetzt, gute Akzeptanz, lief stabil. Sechs Monate später wollte die IT-Abteilung die Anmeldung über das bestehende Active Directory abwickeln. LDAP Integration ist Enterprise-only. Das Team stand vor der Wahl zwischen einer ungeplanten Lizenz und einer Migration auf eine andere Plattform, kurz nachdem sich alle gerade erst an Psono gewöhnt hatten. Der Zeitpunkt für diese Entscheidung ist vor der Einführung, nicht danach.

Funktionen

• Community- und Enterprise-Edition
• Eigenbetrieb und SaaS-Option
• Clientseitige Verschlüsselung
• Passwortfreigabe und zentralisierte Verwaltung
• Audit-Protokollierung und Passwortrichtlinien
• Unterstützung für LDAP, SAML und OpenID Connect

Einschränkungen

• Kleinere Community und Nutzerbasis als Bitwarden.
• In erster Linie für Unternehmensumgebungen konzipiert, nicht für Einzelnutzer.
• SSO, Verzeichnisintegration und erweiterte Governance-Funktionen sind editionsspezifisch. Prüf das, bevor Du Dich auf ein Betriebsmodell festlegst.

Einschätzung

Für Unternehmen, die ihre eigene Infrastruktur verwalten, überzeugt mich Psono durch seine Flexibilität im Betrieb. Ich empfehle ihn dort, wo zentrale Administration, Identitätsintegration und Anpassungsfähigkeit an sich verändernde Anforderungen gefragt sind. Nicht dort, wo lediglich ein einfacher Tresor benötigt wird.

KeePassXC

KeePassXC ist ein kostenloser Open-Source-Passwortmanager, der Anmeldedaten in einer lokal verschlüsselten Datenbank speichert. Kein Server, kein Synchronisierungsdienst, kein Betriebsaufwand.

Für einen einzelnen Administrator oder Berater, der keinen Server betreiben will, fällt mit KeePassXC eine erhebliche Last weg: keine Patches, keine Überwachung, keine Zugangsverwaltung. Der Haken ist, dass verschlüsselte Backups, sichere Synchronisierung und Wiederherstellung dann vollständig an Dir hängen.

Ich habe zu oft erlebt, dass eine gemeinsam genutzte KeePass-Datei auf einem Netzlaufwerk landet. Genau diesen Zustand wollte man eigentlich vermeiden. Das ist der Punkt, an dem KeePassXC aufhört, die richtige Wahl zu sein.

Funktionen

• Offline-first-Passwortmanager mit lokal verschlüsselter Datenbank
• Kein Server oder Cloud-Dienst erforderlich
• Vom Nutzer gesteuerte Dateisynchronisation
• Browser-Integration
• Plattformübergreifend für Windows, macOS und Linux

Einschränkungen

• Nicht für Teamzusammenarbeit oder zentralisierte Verwaltung konzipiert.
• Synchronisierung und Freigabe liegen vollständig beim Nutzer.
• Weniger praktisch für Nutzer, die häufig zwischen mehreren Geräten wechseln.

Einschätzung

KeePassXC ist meine Empfehlung für alle, die Serververwaltung komplett vermeiden und trotzdem die volle Kontrolle über ihre Passwortdatenbank behalten wollen. Sobald gemeinsame Tresore, Identitätsintegration oder zentrale Verwaltung ins Spiel kommen, ist ein serverbasierter Passwortmanager die bessere Wahl.

Padloc

Padloc kombiniert End-to-End-Verschlüsselung mit einer modernen, aufgeräumten Oberfläche für Einzelpersonen und kleine Teams, die einen self-hosted Passwortmanager wollen, ohne direkt in eine schwergewichtige Unternehmenskonfiguration einzusteigen.

Ich habe Padloc für ein fünfköpfiges Team ausgerollt, bei dem die Person, die den Dienst betreiben sollte, hauptsächlich für etwas anderes zuständig war. Die Einrichtung war an einem Nachmittag erledigt, und bei der ersten Erklärungsrunde an die Nutzer gab es keine Rückfragen: kein GPG, keine Schlüsselverwaltung, nichts zu erklären. Das ist der eigentliche Vorteil. Die offene Frage ist, ob die plan-abhängigen Business- und Verzeichnisfunktionen mitwachsen, wenn das Team größer wird. Wer das absehen kann, sollte von Anfang an mit Passbolt oder Psono planen.

TeamPass

TeamPass ist ein Open-Source-Passwortmanager für Unternehmen, die Zugangsdaten auf einer selbst betriebenen Plattform sicher speichern, organisieren und teilen möchten. Er basiert auf einer klassischen PHP- und MySQL-Architektur und läuft auf herkömmlichen Serverinstallationen ebenso wie in Docker.

TeamPass läuft am zuverlässigsten dort, wo jemand bereits PHP-basierte Anwendungen betreut und weiß, was das bedeutet. Ich habe eine Installation übernommen, bei der TeamPass seit über einem Jahr nicht aktualisiert worden war. Der vorherige Administrator hatte das Update mehrfach aufgeschoben, weil er nicht sicher war, ob die neue PHP Version mit der bestehenden Datenbankkonfiguration harmoniert.

Er hatte recht, dass es Aufwand bedeutet. Aber das Aufschieben hatte ihn in eine schlechtere Position gebracht. PHP Interpreter, Webserver und Anwendung haben getrennte Release-Zyklen. Wer das aktiv managed, hat kein Problem. Wer es laufen lässt, hat irgendwann eine veraltete Installation mit Sicherheitslücken, die er nicht anfassen will.

Funktionen

• Gemeinsame Passwortverwaltung für Teams
• Traditionelle PHP/MySQL-Architektur
• Standard-Serverinstallation und Docker
• Aktive Pflege mit regelmäßigen Sicherheitsupdates

Einschränkungen

• Traditionellerer Technologie-Stack als neuere Alternativen.
• Erfordert die fortlaufende Verwaltung von Webserver, Datenbank und Anwendung als drei getrennte Wartungsaufgaben.
• Prüf ehrlich, ob Deine Wartungskapazität zu den betrieblichen Anforderungen einer selbst betriebenen PHP-Anwendung passt.

Einschätzung

Ich empfehle TeamPass Unternehmen, die bereits PHP-basierte Anwendungen betreiben und eine Passwortverwaltung suchen, die sich in die vorhandene Infrastruktur einfügt. Die Architektur ist nicht so modern wie bei einigen neueren Alternativen. Das ist der ehrliche Preis. Dafür bekommst Du ein vertrautes Betriebsmodell und solide Kollaborationsfunktionen. Für IT-Teams, die Stabilität über einen neuen Stack stellen, ist das ein fairer Tausch.

Häufige Fragen

Vaultwarden vs. Bitwarden: Was ist der Unterschied?

Vaultwarden ist eine inoffizielle, in Rust geschriebene Neuimplementierung des Bitwarden Servers, die als einzelner Container mit unter 50 MB läuft – im Gegensatz zum offiziellen Bitwarden, das rund zehn Container und mindestens 2 GB RAM benötigt. Für Teams mit Compliance-Anforderungen empfiehlt sich Bitwarden, während Vaultwarden die pragmatischere Wahl für kleine Teams auf begrenzter Infrastruktur ist.

Ist Vaultwarden sicher?

Der Anwendungscode wird aktiv gepflegt und regelmäßig aktualisiert. Die Verschlüsselung basiert auf der Bitwarden Architektur und gilt als solide. Das Hauptrisiko liegt nicht in der Anwendung selbst, sondern im Betrieb: Ein veralteter Server, fehlendes HTTPS oder schwache Zugriffskontrollen machen jede Anwendung unsicher, egal wie gut der Code ist.

Was passiert, wenn der Admin den Recovery-Schlüssel verliert?

Das hängt vom Tool ab. Bei Bitwarden und Vaultwarden gibt es einen Installationsschlüssel, ohne den ein Datenbankzugriff nach einem Serverumzug nicht möglich ist. Bei Passbolt sind es die GPG-Schlüssel der Nutzer: Wer seinen privaten Schlüssel verliert, verliert den Zugriff auf seine Einträge. In allen Fällen gilt: Der Recovery-Schlüssel gehört in ein separates, verschlüsseltes Backup an einem anderen Ort als der Server selbst.

Brauche ich einen VPN, um von außen auf meinen Passwortmanager zuzugreifen?

Nicht zwingend, aber es hängt von Deiner Risikoeinschätzung ab. Ein öffentlich erreichbarer Passwortmanager mit HTTPS, starker MFA und regelmäßigen Updates ist für viele Teams ausreichend. Wer höhere Anforderungen hat, schaltet WireGuard oder einen VPN vor, sodass der Dienst überhaupt nicht öffentlich erreichbar ist. KeePassXC ist die einzige Option in diesem Vergleich, die ohne Netzwerkzugang auskommt.

Fazit

Wer einen Passwortmanager auf eigener Infrastruktur betreibt, übernimmt Verantwortung für die gesamte Umgebung. Ein Passwortmanager ist nur so sicher wie der Server, auf dem er läuft: saubere Zugriffskontrollen, laufende Serverwartung und regelmäßig getestete Wiederherstellungen sind keine Extras, sondern Voraussetzungen.

Wähle eine Lösung, die zu Deinen tatsächlichen technischen Kapazitäten passt, nicht zu Deinen Wunschvorstellungen. Dann baust Du ein System, das langfristig beherrschbar bleibt. Wenn Du dabei Unterstützung brauchst, hilft Dir das hosting.de Team gerne weiter. Ob VPS oder Cloud Server: Wir stellen die passende Grundlage bereit, damit Dein Passwortmanager sicher und stabil läuft.

Artikel von

Oliver Dick

Hallo! Ich bin Oliver, einer der Gründer und Geschäftsführer von hosting.de. Seit dem Jahr 2000 arbeite ich als Hosting-Unternehmer.