Wer seinen Passwort-Tresor selbst betreiben will, landet fast immer bei drei Namen: Vaultwarden, Bitwarden und KeePassXC. Alle drei verschlüsseln stark, alle drei sind quelloffen, und trotzdem unterscheiden sie sich fundamental darin, wo die Daten liegen und wie viel Serverleistung sie fressen. Ein Selfhosting-Vergleichstest vom April 2026 hat es konkret gemessen: Vaultwarden lief im Leerlauf mit 42 MB RAM, die offizielle Bitwarden-Serverinstallation brauchte 850 MB. Wer bereits einen direkten Vergleich zwischen KeePassXC und Bitwarden kennt, findet hier die dritte, oft übersehene Option dazwischen. Für Nutzer in Österreich, wo viele Privatanwender und kleine Firmen ihre IT auf einem Raspberry Pi oder einer günstigen VPS betreiben, ist das kein Nebensatz, sondern die zentrale Kaufentscheidung. Dazu kommt die Datenschutzfrage: Wer aus DSGVO-Gründen genau wissen will, wo Vault-Daten physisch liegen, kann das bei einer selbst gehosteten Lösung eindeutig beantworten, bei einem US-Cloud-Anbieter dagegen nur über dessen Zusicherungen. Dieser Artikel vergleicht alle drei Lösungen bei Preis, Sicherheit, Ressourcenverbrauch und Praxistauglichkeit, inklusive Migrationsanleitung für den Umstieg.
Was sind Vaultwarden, Bitwarden und KeePassXC?
Bitwarden ist der bekannteste Name der drei. Das Unternehmen bietet einen Cloud-Passwort-Manager mit Browser-Erweiterungen, Desktop-Apps, mobilen Clients und einer eigenen Serversoftware zum Selbsthosten an. Laut einer Pressemitteilung von Bitwarden über BusinessWire vom 28. Juli 2026 zählt der Dienst inzwischen über 15 Millionen Nutzer und 80.000 Unternehmenskunden in 180 Ländern und mehr als 50 Sprachen. Die offizielle Serverkomponente ist Open Source, läuft aber standardmäßig recht schwergewichtig, dazu später mehr.
Vaultwarden ist keine Bitwarden-Eigenentwicklung, sondern ein von der Community entwickelter, in Rust geschriebener Nachbau des Bitwarden-Servers. Das Projekt (Repository dani-garcia/vaultwarden auf GitHub, benannt nach Hauptentwickler Daniel García) spricht dieselbe API wie die offizielle Bitwarden-Serversoftware. Das bedeutet: Alle offiziellen Bitwarden-Clients, also Browser-Add-on, Handy-App und Desktop-Programm, funktionieren unverändert mit einem selbst gehosteten Vaultwarden-Server im Hintergrund. Der Nutzer merkt technisch keinen Unterschied, nur der Server dahinter ist ein anderer.
KeePassXC verfolgt einen komplett anderen Ansatz. Es gibt keinen Server, keine Cloud und keine Konten. Die Software speichert alle Einträge in einer lokal verschlüsselten Datei mit der Endung .kdbx, die der Nutzer selbst verwalten, sichern und bei Bedarf über Werkzeuge wie Syncthing oder Nextcloud zwischen Geräten abgleichen muss. Für alle, die grundsätzlich keinem Server vertrauen wollen, egal ob eigenem oder fremdem, ist das der radikalste, aber auch kontrollierteste Weg.
Die Entstehungsgeschichte der drei Projekte erklärt viel von ihrer heutigen Ausrichtung. Bitwarden wurde 2016 gegründet und ist von Beginn an als kommerzielles Cloud-Produkt mit offenem Quellcode konzipiert, finanziert über Abo-Umsätze. KeePassXC entstand als plattformübergreifender Fork des älteren, Windows-only KeePass-Projekts und ist bis heute ein reines Freiwilligenprojekt ohne kommerziellen Hintergrund. Vaultwarden wiederum, ursprünglich unter dem Namen bitwarden_rs gestartet, entstand aus dem Frust einzelner Entwickler über den hohen Ressourcenbedarf der offiziellen Bitwarden-Serversoftware und wurde bewusst in Rust neu geschrieben, einer Programmiersprache, die für kompakte, speichereffiziente Binaries bekannt ist. Diese drei unterschiedlichen Startpunkte, kommerzielles Produkt, Freiwilligenprojekt und Community-Fork aus Unzufriedenheit, prägen bis heute Tempo und Prioritäten der Weiterentwicklung. Wer sich für den technischen Hintergrund interessiert, findet auf der offiziellen Bitwarden-Blogseite regelmäßige Einblicke in die Produktentwicklung, während Vaultwarden seine Änderungen ausschließlich über GitHub-Release-Notes dokumentiert.
DSGVO, Serverstandort und Datenverarbeitung
Für Nutzer in Österreich ist die Frage nach dem Serverstandort keine Nebensache. Bitwarden Inc. hat seinen Firmensitz in den USA, bietet aber inzwischen eine separate EU-Region für Cloud-Kunden an, in der Vault-Daten innerhalb der Europäischen Union verarbeitet werden sollen. Wer diese Option nicht aktiv auswählt, landet standardmäßig auf US-Infrastruktur, auch wenn die eigentliche Ver- und Entschlüsselung ohnehin clientseitig passiert und der Anbieter die Klartextdaten technisch nie zu Gesicht bekommt.
Ähnliche Fragen zu Serverstandort und Vertrauen in einen Anbieter haben wir bereits im Vergleich zwischen Mullvad und ProtonVPN beleuchtet, wo dieselbe Abwägung zwischen europäischem und globalem Anbieter eine Rolle spielt. Bei Vaultwarden entfällt diese Unsicherheit komplett, weil der Nutzer den Serverstandort selbst festlegt, etwa bei einem österreichischen oder deutschen Hosting-Anbieter. Das vereinfacht die Dokumentation für ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO erheblich, weil Auftragsverarbeiter, Serverstandort und Zugriffsrechte vollständig in der eigenen Hand liegen. KeePassXC geht noch einen Schritt weiter: Ohne Server gibt es im engeren Sinn gar keine Datenverarbeitung durch Dritte, nur die selbst gewählte Sync-Lösung, etwa eine Nextcloud-Instanz, fällt datenschutzrechtlich überhaupt ins Gewicht. Für kleine Unternehmen und Vereine in Österreich, die ohnehin für andere Systeme bereits einen EU-Server betreiben, lässt sich Vaultwarden in der Regel ohne zusätzlichen Auftragsverarbeitungsvertrag mit einem US-Unternehmen einbinden.
Architektur im Vergleich: Cloud, Self-Hosted und lokal
Der Unterschied zwischen den drei Lösungen lässt sich am besten über das Betriebsmodell erklären. Bitwarden Cloud bedeutet: Bitwarden Inc. betreibt die Infrastruktur, kümmert sich um Backups, Updates und Verfügbarkeit, und der Nutzer zahlt dafür ein Abo. Bitwarden Self-Hosted bedeutet: Man installiert die offizielle Serversoftware selbst, meist über Docker Compose mit einer MariaDB- oder MSSQL-Datenbank im Hintergrund, trägt aber auch die volle Verantwortung für Patches und Ausfallsicherheit.
Vaultwarden sitzt technisch zwischen Cloud und lokal, ist aber klar dem Self-Hosting zuzuordnen. Es ersetzt den kompletten offiziellen Server-Stack durch einen einzelnen, schlanken Rust-Container mit SQLite als Standarddatenbank. Damit fällt die separate Datenbankinstanz weg, die bei offiziellem Bitwarden zusätzlichen Verwaltungsaufwand bedeutet. KeePassXC wiederum hat überhaupt keine Server-Komponente. Wer mehrere Geräte synchron halten will, muss das über externe Mittel selbst organisieren, etwa eine gemeinsame Cloud-Ordnerfreigabe oder ein Git-Repository für die Tresordatei.
Für österreichische Nutzer, die aus Datenschutzgründen keine US-Cloud nutzen wollen, ergeben sich daraus zwei praktikable Wege: entweder Vaultwarden auf einem Server in der EU selbst betreiben, oder komplett auf Server verzichten und KeePassXC lokal nutzen. Die offizielle Bitwarden-Cloud bietet zwar ebenfalls eine EU-Region an, bleibt aber ein Abo-Modell mit US-Mutterkonzern im Hintergrund.
Mehrbenutzer-Funktionen und Organisationen
Sobald mehrere Personen denselben Tresor oder Teile davon teilen sollen, kommt das Konzept der Organisation ins Spiel. Sowohl Bitwarden als auch Vaultwarden bilden Teams über Organisationen ab, innerhalb derer sich Sammlungen anlegen und mit granularen Rechten wie Owner, Admin, Manager oder einfachem Mitglied versehen lassen. Genau in dieser Schicht, nicht im Verschlüsselungskern, entstanden die meisten der später beschriebenen Vaultwarden-Sicherheitslücken, weil Rechteprüfungen über mehrere Organisationsebenen hinweg deutlich komplexer zu implementieren sind als einfache Ver- und Entschlüsselung. Bitwarden pflegt diese Logik im eigenen, kommerziell finanzierten Serverteam, Vaultwarden muss sie im Ehrenamt nachbauen und regelmäßig nachschärfen. KeePassXC kennt dieses Problem strukturell nicht, weil es überhaupt keine Mehrbenutzerverwaltung anbietet, jede Datenbank gehört faktisch einer Person oder wird informell über ein gemeinsames Passwort geteilt.
Technische Spezifikationen im direkten Vergleich
Die folgende Tabelle fasst die wichtigsten technischen Eckdaten aller drei Produkte zusammen, Stand September 2026. Wer die Tabelle von oben nach unten liest, erkennt schnell das Muster: In den ersten Zeilen zu Version, Technologie und Hosting-Modell trennen sich die drei Kandidaten am stärksten, während sie sich in den unteren Zeilen zu Verschlüsselung, KDF und Client-Funktionen wieder annähern, weil Vaultwarden bewusst so nah wie möglich am Bitwarden-Standard bleibt.
| Merkmal | Vaultwarden | Bitwarden (offiziell) | KeePassXC |
|---|---|---|---|
| Aktuelle Version (Sep. 2026) | 1.37.2 (22.08.2026) | Server 2026.8.1 | 2.7.12 (10.03.2026) |
| Technologie | Rust, Community-Projekt | .NET/TypeScript, Bitwarden Inc. | C++/Qt, Community-Projekt |
| Hosting-Modell | Nur Self-Hosted | Cloud oder Self-Hosted | Rein lokal, kein Server |
| Lizenz | Open Source (AGPL-3.0) | Open Source (Clients), proprietäre Cloud | Open Source (GPL-3.0/GPL-2.0) |
| Docker-Image-Größe | 83,4 MB (offizielles Image auf Docker Hub) | ca. 1,75 GB App + 331 MB Datenbank | Kein Container, Desktop-Installer |
| Minimale Systemanforderungen | Ab ca. 512 MB–1 GB RAM praxistauglich | 2 GB RAM, 12 GB Speicher, x64 1,4 GHz laut Bitwarden-Doku | Läuft auf jedem gängigen Windows-, Mac- oder Linux-Rechner |
| Datenbank | SQLite (Standard), optional MySQL/PostgreSQL | MariaDB/MSSQL/PostgreSQL erforderlich | Lokale .kdbx-Datei |
| Verschlüsselung | Wie Bitwarden-Protokoll (AES-256) | AES-256, clientseitige Verschlüsselung | AES-256-CBC mit HMAC-SHA256 |
| Schlüsselableitung (KDF) | Bitwarden-kompatibel (PBKDF2/Argon2id) | PBKDF2 bzw. Argon2id wählbar | Argon2id (Standard) |
| Passkey-Unterstützung (FIDO2) | Über Bitwarden-kompatible Clients | Vollständig seit Version 2026.3 | Seit 2.7.7, laut Reviews noch “reifend” |
| Browser-Erweiterung | Bitwarden-Erweiterung nutzbar | Chrome, Firefox, Edge, Safari u. a. | Eigene KeePassXC-Browser-Erweiterung |
| Mobile Apps | Bitwarden-Apps nutzbar (iOS/Android) | Native iOS- und Android-App | Kein offizieller mobiler Client |
| Sync-Methode | Echtzeit über eigenen Server | Echtzeit über Bitwarden-Cloud/-Server | Manuell über Dateifreigabe/Cloud-Ordner |
| Öffentliche Sicherheitsaudits | Keine eigenen, aber transparente CVE-Historie | Positioniert sich für Drittprüfungen, öffentlicher Auditverlauf nicht vollständig einsehbar | Eigene Seite zu Audits und Zertifizierungen sowie ein öffentlicher Prüfbericht |
Auffällig: Vaultwarden übernimmt bei Verschlüsselung, Passkeys und Client-Unterstützung im Grunde alles von Bitwarden, weil es dieselbe API bedient. Der entscheidende Unterschied liegt fast ausschließlich in der Server-Architektur selbst, nicht in den Sicherheitsfunktionen, die der Endnutzer sieht.
Preise 2026: Was kostet welche Lösung wirklich
Die Softwarelizenz ist bei allen drei Optionen kostenlos oder günstig, die eigentlichen Kosten entstehen an anderer Stelle. Bitwarden hat im Januar 2026 seine Preise für Privatkunden deutlich angehoben. Laut dem offiziellen Bitwarden-Blogbeitrag zur Preisänderung kostet Premium für Einzelpersonen jetzt 1,65 Dollar pro Monat, abgerechnet jährlich mit 19,80 Dollar, vorher waren es 10 Dollar im Jahr. Das ist fast eine Verdopplung. Der Family-Plan für bis zu sechs Nutzer stieg von 40 auf 47,88 Dollar pro Jahr.
| Plan/Produkt | Preis | Umfang |
|---|---|---|
| Bitwarden Free | 0 $ | Unbegrenzte Passwörter, ein Nutzer, unbegrenzte Geräte |
| Bitwarden Premium | 19,80 $/Jahr (1,65 $/Monat) | Erweiterter Speicher, Sicherheitsreports, TOTP-Generator |
| Bitwarden Families | 47,88 $/Jahr (3,99 $/Monat) | Bis zu 6 Nutzer, geteilte Sammlungen |
| Bitwarden Teams | 4 $/Nutzer/Monat | Business-Funktionen, Cloud oder Self-Hosted |
| Bitwarden Enterprise | 6 $/Nutzer/Monat | SSO, erweiterte Richtlinien, Self-Hosted möglich |
| Bitwarden Self-Hosted (offiziell) | Software gratis, Infrastruktur ab ca. 2 GB RAM | Voller Funktionsumfang, eigener Betrieb |
| Vaultwarden | Software gratis, VPS/NAS ab ca. 5 €/Monat | Unbegrenzte Nutzer, kompatibel mit allen Bitwarden-Clients |
| KeePassXC | Komplett kostenlos | Unbegrenzte Einträge, keine Serverkosten, Sync in Eigenregie |
Für ein Ein-Personen-Setup ist Vaultwarden auf einem günstigen Root-Server oder einer bereits vorhandenen NAS de facto kostenlos, sobald die Hardware steht. KeePassXC bleibt in jedem Szenario gratis, verlangt dafür aber Eigenaufwand bei der Synchronisation. Wer den Aufwand scheut und bereit ist, jährlich rund 20 Dollar zu zahlen, fährt mit Bitwarden Premium am wartungsärmsten.
Für Teams lohnt sich die Rechnung noch deutlicher. Ein fünfköpfiges Team zahlt bei Bitwarden Teams mit 4 Dollar pro Nutzer und Monat rund 240 Dollar im Jahr, bei Enterprise mit SSO-Pflicht sogar 360 Dollar im Jahr. Dieselbe Personenzahl lässt sich mit einer selbst gehosteten Vaultwarden-Instanz auf einer VPS für rund 5 bis 10 Euro monatlich betreiben, also 60 bis 120 Euro im Jahr, unabhängig davon, ob es fünf oder fünfzig Nutzer sind, solange der Server mitwächst. Der Haken dabei: Diese Rechnung blendet den Zeitaufwand für Betrieb, Updates und Incident Response komplett aus, der bei der Bitwarden-Cloud im Abopreis bereits eingepreist ist. Für ein Team ohne eigene IT-Ressourcen kann die vermeintlich teurere Cloud-Lösung unter dem Strich trotzdem günstiger sein, sobald man die Arbeitszeit für den Selbstbetrieb realistisch bewertet.
Ressourcenverbrauch: Die Benchmarks im Detail
Der Ressourcenverbrauch ist der Punkt, an dem sich Vaultwarden am deutlichsten von der offiziellen Bitwarden-Serversoftware absetzt. Drei unabhängige Quellen aus 2026 liefern dazu vergleichbare Zahlen.
| Kennzahl | Vaultwarden | Bitwarden (offiziell, self-hosted) | Quelle |
|---|---|---|---|
| RAM im Leerlauf | 42 MB | 850 MB (771 MB App + 95 MB Datenbank) | Selfhosting-Vergleichstest, April 2026 |
| Docker-Image-Größe | 168 MB im Test / 83,4 MB laut Docker Hub | ca. 2,08 GB gesamt (App + MariaDB) | Selfhosting-Vergleichstest / Docker Hub |
| Gesamter Speicherbedarf | unter 200 MB | über 2 GB | Selfhosting-Vergleichstest, April 2026 |
| RAM bei 5-10 gleichzeitigen Nutzern | 100-150 MB | ca. 2 GB empfohlen laut Bitwarden-Dokumentation | Community-Leitfaden für Heimserver, 2026 |
| Historischer Referenzwert (Vorläufer bitwarden_rs) | 10-16,5 MB RAM | ca. 1,5 GB RAM in der Praxis | Älterer GitHub-Issue-Thread zum Vaultwarden-Vorläufer |
Diese Differenz ist kein Rundungsfehler. Die offizielle Bitwarden-Serversoftware setzt zwei Container voraus, einen für die Anwendung und einen für die MariaDB-Datenbank, laut Bitwardens eigener Dokumentation mindestens 2 GB RAM, 12 GB Speicherplatz und eine x64-CPU mit 1,4 GHz. Vaultwarden bündelt alles in einem einzigen Rust-Binary mit eingebauter SQLite-Datenbank und kommt in der Praxis mit einem Bruchteil dieser Ressourcen aus. Auf Docker Hub hat das offizielle vaultwarden/server-Image bereits über 100 Millionen Downloads gesammelt, ein grober, aber belastbarer Indikator für die reale Verbreitung.
Der Grund für den Unterschied liegt tief in der jeweiligen Technologiewahl. Rust kompiliert zu nativem Maschinencode ohne Laufzeitumgebung, verwaltet Arbeitsspeicher ohne Garbage Collector und erzeugt dadurch typischerweise sehr kompakte, genügsame Binaries. Die offizielle Bitwarden-Serversoftware basiert dagegen auf .NET, das eine eigene Laufzeitumgebung mitbringt, plus einer separaten MariaDB-Instanz für die Datenhaltung. Zwei Laufzeitumgebungen statt einer schlanken Binary erklären einen Großteil der gemessenen Differenz von 850 MB zu 42 MB. Für Rechenzentren mit hunderten Nutzern mag das kaum ins Gewicht fallen, für einen Raspberry Pi oder eine 5-Euro-VPS ist es der Unterschied zwischen “läuft” und “läuft nicht”.
Bitwarden reagiert auf diese Kritik inzwischen selbst: Seit 2026 gibt es eine “Lite”-Variante des Self-Hosted-Servers, die laut offizieller Dokumentation mit mindestens 200 MB RAM und 1 GB Speicher auskommt. Damit nähert sich Bitwarden dem Vaultwarden-Niveau an, bleibt aber weiterhin eine separate, offiziell unterstützte Variante und keine 1:1-Antwort auf die Community-Lösung.
Sicherheitslage: CVEs, Patches und Ausfälle
Sicherheit lässt sich nicht allein an Verschlüsselungsalgorithmen ablesen, sondern auch daran, wie ein Projekt mit gefundenen Lücken umgeht, wie schnell Patches erscheinen und wie transparent die Kommunikation darüber läuft. Bei allen drei Projekten spielt zusätzlich eine Rolle, wie groß das jeweilige Entwicklerteam ist: Ein kommerzielles Unternehmen wie Bitwarden kann dedizierte Sicherheitsteams beschäftigen, während Vaultwarden und KeePassXC auf ehrenamtliche Maintainer angewiesen sind, deren Kapazität schwankt.
Vaultwarden-CVEs 2025 und 2026
Für Vaultwarden wurden 2025 und 2026 mehrere CVEs veröffentlicht, fast ausschließlich im Bereich Zugriffskontrolle und Rechteausweitung innerhalb von Organisationen. CVE-2025-24365 erlaubte es einem Organisations-Owner, sich Owner-Rechte über eine fremde Organisation zu erschleichen, sofern die Organisations-ID bekannt war, behoben in Version 1.33.0. Im selben Patch wurde auch eine Schwachstelle geschlossen, die einen 2FA-Bypass bei geschützten Aktionen ermöglichte, behoben in Version 1.35.0. Version 1.35.4 flickte gleich mehrere IDOR- und Rechteausweitungslücken, etwa CVE-2026-27802, bei der ein Manager per Massenänderung von Berechtigungen auf fremde Sammlungen zugreifen konnte. CVE-2026-26012 wiederum erlaubte einem normalen Organisationsmitglied, sämtliche Passworteinträge der Organisation aufzulisten, obwohl die Zugriffskontrolle auf Sammlungsebene das eigentlich verhindern sollte. Ein Authentifizierungs-Bypass über Organisationsgrenzen hinweg wurde mit Version 1.35.5 geschlossen, eine Informationslecklücke über die SSO-Discovery-Funktion mit Version 1.36.0. Auffällig ist das Muster: Vaultwarden reagiert schnell, aber die Häufigkeit der Funde in einem einzelnen Jahr zeigt, dass die Nachbau-Lösung an komplexen Enterprise-Funktionen wie SSO und granularer Organisationsverwaltung noch nachschärfen muss.
Bitwarden-Ausfälle und Wartungsfenster
Für die offizielle Bitwarden-Cloud wurden im untersuchten Zeitraum keine öffentlich dokumentierten CVEs gegen den Cloud-Dienst selbst gefunden, wohl aber mehrere Verfügbarkeitsprobleme. Ein unabhängiger Statusmonitor zählte in einem 90-Tage-Fenster drei Vorfälle, davon einen größeren und zwei kleinere Ausfälle, mit einer mittleren Dauer von knapp 30 Stunden. Ein für zwei Stunden angesetztes Wartungsfenster am 16. März 2026 zog sich laut demselben Monitor auf rund 30 Stunden. Ein weiteres Wartungsfenster am 8. Juni 2026 dauerte etwa einen Tag. Das sind keine Datenschutzvorfälle im eigentlichen Sinn, aber sie zeigen: Wer die Bitwarden-Cloud nutzt, gibt Verfügbarkeit und Betriebssicherheit vollständig in fremde Hände.
KeePassXC führt eine eigene Seite zu Sicherheitsaudits und Zertifizierungen und verweist auf mindestens einen veröffentlichten externen Prüfbericht. Da keine Server-Komponente existiert, entfällt für KeePassXC die gesamte Angriffsfläche, die Vaultwarden und Bitwarden durch Netzwerkdienste, APIs und Multi-User-Verwaltung mitbringen. Das ist der Kernvorteil des lokalen Modells: weniger Code, der übers Netz erreichbar ist, bedeutet strukturell weniger CVEs dieser Art.
Bitwarden positioniert sich auf seinen eigenen Seiten zusätzlich für regulierte Umgebungen und verweist darauf, dass sich der Dienst auf Infrastruktur betreiben lässt, die für FedRAMP- beziehungsweise GovRAMP-Anforderungen in den USA ausgelegt ist. Für europäische und österreichische Kunden ist das nur bedingt relevant, da es sich um US-Behördenstandards handelt, es zeigt aber, dass Bitwarden als Unternehmen in der Lage ist, formale Compliance-Prozesse und Audits zu durchlaufen, ein Aufwand, den ein Freiwilligenprojekt wie Vaultwarden strukturell nicht in derselben Tiefe leisten kann.
Verschlüsselung und Schlüsselableitung im Detail
Da Vaultwarden dieselbe API wie Bitwarden bedient, übernimmt es auch dessen Verschlüsselungsmodell: Die eigentliche Ver- und Entschlüsselung findet clientseitig mit AES-256 statt, der Server sieht zu keinem Zeitpunkt Klartext-Passwörter. Als Schlüsselableitungsfunktion (KDF) unterstützt das Bitwarden-Ökosystem sowohl PBKDF2 als auch das modernere, speicherintensive Argon2id, wählbar in den Kontoeinstellungen.
KeePassXC setzt beim Datenbankformat auf authentifizierte Verschlüsselung mit AES-256-CBC in Kombination mit HMAC-SHA256 zur Integritätsprüfung, und verwendet standardmäßig Argon2id als Schlüsselableitungsfunktion, laut offizieller KeePassXC-Dokumentation. Argon2id gilt in der Kryptografie-Community als eine der stärksten verfügbaren Methoden gegen Brute-Force-Angriffe mit spezialisierter Hardware, weil sie gezielt viel Arbeitsspeicher erfordert und damit GPU-gestützte Angriffe verlangsamt, anders als das ältere PBKDF2, das primär auf viele Rechenrunden statt auf Speicherbedarf setzt. Wie stark ein einziges Masterpasswort dadurch geschützt wird, hängt zusätzlich von dessen eigener Qualität ab, ein Thema, das wir in unserem Grundlagenartikel zur Passwortsicherheit ausführlicher behandeln. Sowohl das Bitwarden/Vaultwarden-Ökosystem als auch KeePassXC landen damit technisch auf einem vergleichbar hohen Niveau, der Unterschied liegt nicht in der Kryptografie selbst, sondern darin, wie viel zusätzliche Angriffsfläche durch Server, APIs und Synchronisationsdienste entsteht. Für Nutzer bedeutet das in der Praxis: Wer bei Bitwarden oder Vaultwarden noch auf PBKDF2 als KDF eingestellt ist, sollte in den Kontoeinstellungen manuell auf Argon2id wechseln, da PBKDF2 zwar weiterhin als sicher gilt, aber gegen moderne GPU-Cluster schwächer abschneidet als speicherharte Verfahren.
Passkeys, Biometrie und moderne Login-Methoden
Bitwarden hat seit Version 2026.3 vollständige Passkey-Unterstützung nach dem FIDO2/WebAuthn-Standard eingebaut. Nutzer können Passkeys direkt im Tresor anlegen, speichern und über alle verbundenen Geräte synchronisieren, was Bitwarden zunehmend auch als Ersatz für klassische Authenticator-Apps positioniert. Da Vaultwarden dieselben Clients nutzt, profitieren self-hostende Nutzer im Prinzip von denselben Funktionen, sobald die Serverversion aktuell genug ist. In der Praxis bedeutet das: Wer seinen Vaultwarden-Container regelmäßig aktualisiert, bekommt neue Passkey-Funktionen meist innerhalb weniger Wochen nach dem offiziellen Bitwarden-Release, weil die Community-Entwickler neue API-Endpunkte zügig nachbauen.
KeePassXC hat Passkey-Unterstützung mit Version 2.7.7 eingeführt, ausschließlich über die eigene Browser-Erweiterung. Mit Version 2.7.12 vom 10. März 2026 wurden Detailprobleme beim Umgang mit sogenannten BE/BS-Flags korrigiert, was laut Release Notes dazu führen kann, dass bereits gespeicherte Passkeys neu konfiguriert werden müssen. Unabhängige Reviews bezeichnen die KeePassXC-Passkey-Unterstützung übereinstimmend als “reifend”, da sie standardmäßig deaktiviert ist und einige WebAuthn-Funktionen wie residente Schlüssel oder PIN-/Biometrie-Verifikation noch nicht vollständig umgesetzt sind.
Biometrische Entsperrung per Fingerabdruck oder Gesichtserkennung ist bei den mobilen Bitwarden-Apps Standard und funktioniert identisch, ob der Nutzer die Cloud oder einen selbst gehosteten Vaultwarden-Server im Hintergrund verwendet. KeePassXC ist in erster Linie eine Desktop-Anwendung ohne offiziellen mobilen Client, biometrische Entsperrung spielt hier praktisch keine Rolle, allenfalls über inoffizielle KeePass-kompatible Drittanbieter-Apps auf dem Smartphone.
Sync, Browser-Erweiterungen und mobile Nutzung
Bitwarden und Vaultwarden synchronisieren nahezu in Echtzeit über WebSocket-Verbindungen zwischen Server und allen verbundenen Clients. Ändert man ein Passwort am Desktop, taucht es Sekunden später auf dem Smartphone auf, ganz gleich ob der Server in der Bitwarden-Cloud oder auf dem eigenen Vaultwarden-Container läuft. Für Selfhoster ist das ein handfester Vorteil gegenüber reinen Dateisynchronisationslösungen, weil Konflikte durch gleichzeitige Änderungen serverseitig aufgelöst werden.
KeePassXC verzichtet bewusst auf eingebaute Synchronisation. Die .kdbx-Datei muss der Nutzer selbst über Werkzeuge wie Syncthing, Nextcloud oder ein privates Git-Repository verteilen. Das erhöht die Kontrolle, weil zu keinem Zeitpunkt ein fremder Server involviert ist, erhöht aber auch das Risiko von Synchronisationskonflikten, etwa wenn zwei Geräte offline gleichzeitig Änderungen vornehmen und anschließend zwei widersprüchliche Versionen derselben Datei zusammengeführt werden müssen. In der Praxis bedeutet ein Konflikt bei KeePassXC meist, dass der Sync-Client zwei Dateiversionen anlegt und der Nutzer manuell entscheiden muss, welche Einträge er behält, ein Vorgang, der bei Bitwarden und Vaultwarden durch die serverseitige Konfliktauflösung schlicht nicht auftritt. Die KeePassXC-eigene Browser-Erweiterung deckt Autofill und, seit 2.7.7, Passkeys ab, bleibt funktional aber schmaler als das Bitwarden-Add-on mit Organisationen, geteilten Sammlungen und Sicherheitsberichten.
Praxisbeispiele: Fünf reale Einsatzszenarien
Die Theorie ist das eine, der tatsächliche Betrieb das andere. Sechs Beispiele aus der Praxis zeigen, wie unterschiedlich die drei Lösungen tatsächlich eingesetzt werden, von der privaten Heimserver-Ecke bis zur öffentlichen Verwaltung.
- Privater Homelab-Betrieb auf Raspberry Pi 4: Ein 2026 veröffentlichter Self-Hosting-Leitfaden beschreibt den Betrieb von Vaultwarden auf einem Raspberry Pi 4 mit einem RAM-Verbrauch von 15 bis 30 MB im Ruhezustand, während dieselbe Aufgabe mit offiziellem Bitwarden laut demselben Leitfaden rund 2 GB RAM und eine dedizierte SQL-Datenbank verlangt hätte, was den Pi 4 an seine Grenzen gebracht hätte.
- Migration von einer bestehenden Bitwarden-Installation: Der bereits erwähnte Selfhosting-Vergleichstest von April 2026 dokumentiert eine reale Migration von offiziellem Bitwarden zu Vaultwarden auf demselben privaten VPS, mit einem gemessenen Rückgang des Leerlauf-RAM-Verbrauchs von rund 850 MB auf 42 MB und des Speicherbedarfs von über 2 GB auf unter 200 MB.
- Öffentlicher Sektor in Frankreich: Laut einem Verzeichnis für Open-Source-Software im öffentlichen Sektor zählen die kommunale IT-Kooperation Gironde Numérique sowie die Organisation SITPI zu den dokumentierten Vaultwarden-Nutzern. Die SITIV-Kooperation soll Vaultwarden nach denselben Angaben für rund 10.000 Nutzer ausgerollt haben.
- US-Bundesbehörden mit Bitwarden: Bitwarden selbst wirbt auf seinen Public-Sector-Seiten damit, in allen drei Gewalten der US-Bundesregierung im Einsatz zu sein, in mehr als der Hälfte der Kabinettsministerien sowie in jedem Wehrbereich, vertrieben unter anderem über den Beschaffungspartner Carahsoft. Diese Zahlen stammen direkt vom Hersteller und sind entsprechend als Werbeaussage einzuordnen, zeigen aber die angestrebte Zielgruppe im Enterprise- und Behördenbereich.
- Community-Stimmung in Selfhosting-Foren: In einschlägigen Diskussionen rund um Selfhosting wird ein wiederkehrendes Muster sichtbar: Vaultwarden wird für seine Leichtgewichtigkeit gelobt, KeePassXC für den kompletten Verzicht auf Serverbetrieb, während offizielles Bitwarden Self-Hosting wiederholt als vergleichsweise ressourcenhungrig beschrieben wird. Es handelt sich um Stimmungsbilder aus Community-Diskussionen, nicht um eine repräsentative Umfrage.
- NAS-Betrieb bei kleinen IT-Dienstleistern: Community-Leitfäden zum Betrieb von Vaultwarden auf handelsüblichen NAS-Systemen beschreiben den typischen Anwendungsfall eines kleinen IT-Dienstleisters, der für mehrere Kundenmandate getrennte Vaultwarden-Instanzen auf derselben NAS-Hardware parallel betreibt, weil jede Instanz dank des geringen Ressourcenbedarfs nur wenige Megabyte zusätzlichen Arbeitsspeicher beansprucht, ein Szenario, das mit dem offiziellen Bitwarden-Server auf derselben Hardware kaum praktikabel wäre.
Migrationsanleitung: Schritt für Schritt zu Vaultwarden
Ein Umstieg lohnt sich planungstechnisch immer dann, wenn ohnehin eine Erneuerung der eigenen Infrastruktur ansteht, etwa ein neuer Root-Server, eine neue NAS oder ein frisch aufgesetztes Homelab. Wer mitten in einem funktionierenden Bitwarden-Alltag steckt, sollte den Umzug nicht spontan an einem Werktag durchziehen, sondern als kleines Projekt mit Testphase behandeln. Die folgenden zwei Wege decken die häufigsten Ausgangssituationen ab.
Von der Bitwarden-Cloud zu Vaultwarden
Der Umstieg von der Bitwarden-Cloud auf einen selbst gehosteten Vaultwarden-Server läuft über den offiziellen Export- und Import-Mechanismus, den Bitwarden für genau solche Fälle vorsieht. Wichtig vorab: Der Umzug sollte außerhalb der Kernarbeitszeit stattfinden, weil für einen kurzen Zeitraum zwei Systeme parallel existieren und Änderungen im alten System nach dem Export nicht mehr automatisch im neuen ankommen. Zunächst wird der eigene Vaultwarden-Container aufgesetzt, üblicherweise per Docker Compose:
version: "3"
services:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: unless-stopped
environment:
- WEBSOCKET_ENABLED=true
- SIGNUPS_ALLOWED=false
- ADMIN_TOKEN=CHANGE_ME
volumes:
- ./vw-data:/data
ports:
- "8080:80"Danach exportiert man im Bitwarden-Webtresor unter den Kontoeinstellungen den gesamten Vault als verschlüsselte JSON-Datei, verbindet den Bitwarden-Client anschließend mit der neuen Server-URL des eigenen Vaultwarden-Containers und importiert die Exportdatei dort. Wichtig: Die exportierte Datei enthält je nach gewähltem Format unverschlüsselte Klartextdaten und sollte direkt nach dem erfolgreichen Import sicher gelöscht werden, nicht erst Tage später. Bevor Sync und Autofill produktiv genutzt werden, empfiehlt sich ein Testlauf mit einem Zweitgerät, um zu prüfen, ob WebSocket-Sync und Zwei-Faktor-Authentifizierung nach dem Umzug korrekt funktionieren.
Von KeePassXC zu Vaultwarden
Wer von KeePassXC kommt, profitiert davon, dass sowohl Bitwarden als auch Vaultwarden den Import von KeePass-KDBX-Dateien inklusive optionaler Schlüsseldatei unterstützen. Der Umstieg bedeutet in der Praxis: Vaultwarden-Server aufsetzen, KDBX-Datei über die Bitwarden-kompatible Import-Funktion einlesen, Gruppen werden dabei automatisch zu Sammlungen umgewandelt. Wichtig ist, sich vorher bewusst zu machen, dass sich damit auch das Bedrohungsmodell ändert: Aus einer rein lokalen Datei ohne Netzwerkzugriff wird ein Client-Server-System, das zusätzliche Angriffsfläche über Netzwerkdienste mit sich bringt, dafür aber automatische Synchronisation über mehrere Geräte hinweg ermöglicht.
Troubleshooting nach dem Umzug
Nach der Migration tauchen in der Praxis meist dieselben drei Probleme auf. Erstens: Der Bitwarden-Client verbindet sich nicht mit dem neuen Server, weil die Server-URL in den Client-Einstellungen noch auf die alte Adresse oder auf vault.bitwarden.com zeigt, statt auf die eigene Domain oder IP-Adresse des Vaultwarden-Containers. Zweitens: WebSocket-Sync funktioniert nicht zuverlässig, meist weil ein vorgeschalteter Reverse-Proxy wie nginx die WebSocket-Header nicht korrekt durchreicht, was sich über die Proxy-Konfiguration nachbessern lässt. Drittens: Zwei-Faktor-Authentifizierung, die vorher mit der Bitwarden-Cloud eingerichtet war, muss nach dem Import in der Regel neu aktiviert werden, weil TOTP-Geheimnisse nicht immer vollständig migriert werden. Vor dem produktiven Einsatz lohnt sich deshalb ein Test mit einem Zweitgerät, bevor man das alte Bitwarden-Konto endgültig löscht.
Vor- und Nachteile im direkten Vergleich
Nach allen technischen Details und Zahlen lohnt sich eine kompakte Gegenüberstellung der wichtigsten Stärken und Schwächen, bevor es an die konkreten Einsatzempfehlungen geht.
Vaultwarden – Vorteile: extrem geringer Ressourcenverbrauch, läuft auf schwacher Hardware wie einem Raspberry Pi, volle Kompatibilität mit allen offiziellen Bitwarden-Clients, kostenlos in der Software selbst, aktive Weiterentwicklung mit regelmäßigen Sicherheits-Patches.
Vaultwarden – Nachteile: kein offizieller Support durch Bitwarden Inc., mehrere dokumentierte CVEs rund um Organisationsrechte in den letzten beiden Jahren, volle Verantwortung für Betrieb, Backups und Patches liegt beim Nutzer selbst, keine offiziellen Zertifizierungen.
Bitwarden – Vorteile: offizieller Support und Enterprise-Funktionen wie SSO, breite Public-Sector-Referenzen, komfortable Cloud-Option ohne eigenen Serverbetrieb, große Nutzerbasis mit entsprechend aktivem Ökosystem an Integrationen.
Bitwarden – Nachteile: spürbare Preiserhöhung seit Januar 2026, offizielle Self-Hosted-Variante braucht deutlich mehr Ressourcen als Vaultwarden, wiederkehrende Wartungsfenster und Ausfälle laut unabhängigem Monitoring, Cloud-Variante bedeutet Vertrauen in einen US-Anbieter. Gerade die knapp verdoppelten Premium-Preise sorgen seit Anfang 2026 in Foren immer wieder für Diskussionen über Alternativen, was den beiden anderen Kandidaten in diesem Vergleich zusätzlichen Rückenwind gibt.
KeePassXC – Vorteile: keinerlei Server-Angriffsfläche, komplett kostenlos, starke Verschlüsselung mit Argon2id, volle Kontrolle über die Datenhaltung, eigene öffentliche Audit-Seite.
KeePassXC – Nachteile: keine eingebaute Synchronisation, kein offizieller mobiler Client, Passkey-Unterstützung laut Reviews noch nicht ausgereift, Einrichtung von Mehrgeräte-Sync erfordert zusätzliches technisches Werkzeug und Eigenverantwortung.
Welche Lösung passt zu wem? Fünf Empfehlungen
Die folgenden fünf Empfehlungen orientieren sich an den typischen Ausgangssituationen österreichischer Leserinnen und Leser, von der Einzelperson bis zur kleinen Organisation, und berücksichtigen jeweils sowohl den technischen Aufwand als auch die Kostenseite.
- Technikaffine Privatnutzer mit eigenem Server oder NAS: Vaultwarden ist hier fast immer die richtige Wahl, weil der Ressourcenverbrauch minimal ist und alle gewohnten Bitwarden-Apps unverändert weiterlaufen.
- Nutzer ohne eigene Infrastruktur, die es einfach wollen: Für alle, die keinen Server betreiben möchten oder können, bleibt die Bitwarden-Cloud die pragmatischste Option, trotz der Preiserhöhung von 2026 immer noch günstiger als die meisten kommerziellen Alternativen.
- Sicherheitsbewusste Einzelnutzer ohne Sync-Bedarf: Wer nur ein oder zwei Geräte hat und maximale Kontrolle will, fährt mit KeePassXC am transparentesten, weil überhaupt keine Netzwerkkomponente existiert, die kompromittiert werden könnte.
- Kleine Unternehmen und Vereine in Österreich: Für Teams mit shared Vaults, aber ohne eigenes IT-Personal, ist Vaultwarden auf einer verwalteten VPS in der EU ein guter Mittelweg zwischen Kosten, Datenschutz und Funktionsumfang, sofern jemand die Updates im Blick behält.
- Behörden und regulierte Enterprise-Umgebungen: Organisationen mit Compliance-Anforderungen und Bedarf an offiziellem Support, SSO und vertraglich zugesicherten SLAs sollten bei offiziellem Bitwarden bleiben, ob als Cloud- oder Self-Hosted-Enterprise-Variante, weil Vaultwarden explizit als inoffizielle Community-Lösung ohne Herstellergarantie läuft.
- Entwickler und DevOps-Teams mit bestehender Docker-Infrastruktur: Wer ohnehin schon Docker Compose und einen Reverse Proxy für andere selbst gehostete Dienste betreibt, kann Vaultwarden in wenigen Minuten in dieselbe Infrastruktur integrieren und profitiert vom geringen Ressourcenbedarf, ohne zusätzliche Hardware anschaffen zu müssen.
Das Verdikt: Was die Daten zeigen
Die Zahlen sprechen eine klare Sprache. Vaultwarden verbraucht im Leerlauf rund 20-mal weniger Arbeitsspeicher als die offizielle Bitwarden-Serversoftware (42 MB gegenüber 850 MB) und benötigt weniger als ein Zehntel des Speicherplatzes. Für Privatanwender und kleine Teams mit eigener Hardware ist das ein Argument, das sich kaum wegdiskutieren lässt. Gleichzeitig zeigt die CVE-Historie von 2025 und 2026, dass Vaultwarden bei komplexen Enterprise-Funktionen wie Organisationsverwaltung und SSO häufiger nachbessern musste als der offizielle Bitwarden-Dienst selbst, für den im gleichen Zeitraum keine vergleichbaren öffentlichen CVEs auftauchten, dafür aber mehrere mehrstündige bis mehrtägige Ausfälle dokumentiert sind.
KeePassXC bleibt der Sonderfall: technisch nicht direkt mit den beiden anderen vergleichbar, weil es gar keinen Server gibt, dafür aber ohne jede Netzwerk-Angriffsfläche und komplett kostenlos. Die Empfehlung hängt am Ende weniger von einem einzelnen Gewinner ab als vom eigenen Betriebsmodell: Wer Server mag und Ressourcen sparen will, nimmt Vaultwarden. Wer keinen Server will, nimmt Bitwarden Cloud oder KeePassXC, je nachdem, wie wichtig automatische Synchronisation ist.
Wer nach diesem Vergleich noch weitere Optionen prüfen will, findet in unseren Tests zu Bitwarden gegen 1Password, NordPass, Dashlane und Keeper sowie Proton Pass im Vergleich mit Bitwarden und 1Password weitere Cloud-Alternativen, die im Gegensatz zu Vaultwarden und KeePassXC keinerlei Selfhosting-Option bieten. Für den österreichischen Kontext kommt noch ein Punkt hinzu, der sich nicht in Megabyte messen lässt: die Kontrolle über den Serverstandort. Wer aus DSGVO-Gründen ohnehin schon Server in Wien, Frankfurt oder Amsterdam betreibt, bekommt mit Vaultwarden eine Lösung, die sich nahtlos in diese Infrastruktur einfügt, ohne einen zusätzlichen Vertrag mit einem US-Anbieter abschließen zu müssen. Das ist kein Sicherheitsvorteil im engeren Sinn, aber ein handfester organisatorischer Vorteil, der bei der Entscheidung mitgewichtet werden sollte.
Häufig gestellte Fragen
Ist Vaultwarden genauso sicher wie offizielles Bitwarden?
Kryptografisch ja, da beide dasselbe clientseitige AES-256-Verschlüsselungsmodell nutzen. Organisatorisch zeigt die CVE-Historie 2025/2026 aber, dass Vaultwarden bei komplexen Mehrbenutzer-Funktionen häufiger nachpatchen musste als der offizielle Dienst.
Kann ich die offizielle Bitwarden-App mit einem Vaultwarden-Server nutzen?
Ja. Da Vaultwarden dieselbe API implementiert, muss man in den Bitwarden-Apps und -Erweiterungen lediglich die Server-URL auf die eigene Vaultwarden-Instanz umstellen, sonst ändert sich für den Nutzer nichts.
Wie viel RAM braucht Vaultwarden im Betrieb wirklich?
Laut Vergleichstests liegt der Leerlaufverbrauch bei rund 42 MB, mit mehreren gleichzeitigen Nutzern steigt er auf etwa 100 bis 150 MB. Damit läuft Vaultwarden problemlos auf einem Raspberry Pi oder einer sehr günstigen VPS.
Unterstützt KeePassXC Passkeys?
Seit Version 2.7.7, verfeinert in 2.7.12 vom März 2026, allerdings nur über die eigene Browser-Erweiterung und laut unabhängigen Reviews noch mit Einschränkungen bei residenten Schlüsseln und Biometrie-Verifikation.
Warum ist Bitwarden Premium 2026 teurer geworden?
Bitwarden hat den Premium-Jahrespreis im Januar 2026 von 10 auf 19,80 Dollar angehoben und im Gegenzug unter anderem den Speicherplatz deutlich erweitert, so die Begründung im offiziellen Blogbeitrag zur Preisänderung.
Brauche ich für Vaultwarden Programmierkenntnisse?
Nein, aber Grundkenntnisse in Docker und Linux-Administration sind hilfreich. Die Installation läuft über eine Docker-Compose-Datei, laufende Wartung wie Updates und Backups bleiben aber vollständig in der eigenen Verantwortung.
Ist KeePassXC für Teams geeignet?
Bedingt. Ohne eingebaute Synchronisation und ohne Rechteverwaltung für mehrere Nutzer ist KeePassXC in erster Linie für Einzelpersonen gedacht. Für Teams mit geteilten Tresoren sind Vaultwarden oder Bitwarden strukturell besser geeignet.
Was passiert, wenn mein selbst gehosteter Vaultwarden-Server ausfällt?
Anders als bei der Bitwarden-Cloud gibt es keinen Hersteller-Support, der den Ausfall behebt. Deshalb sind regelmäßige Backups der Datenbank und ein dokumentierter Wiederherstellungsplan bei Self-Hosting-Lösungen wie Vaultwarden unverzichtbar.
Wo finde ich den Quellcode von Vaultwarden?
Das Projekt wird offen auf GitHub unter dani-garcia/vaultwarden entwickelt, dort lassen sich auch offene Issues, Release Notes und der aktuelle Entwicklungsstand einsehen.
Lohnt sich der Umstieg von Bitwarden Free auf Vaultwarden rein finanziell?
Bitwarden Free kostet ohnehin nichts, hier entsteht kein Sparpotenzial. Interessant wird Vaultwarden finanziell erst im Vergleich zu Bitwarden Premium oder Families, wo eine bereits vorhandene VPS oder NAS die jährlichen 19,80 beziehungsweise 47,88 Dollar einsparen kann, sofern der Betreuungsaufwand mit eingerechnet wird.
Wie viele GitHub-Sterne haben die drei Projekte?
Alle drei Repositories zählen zu den aktiv gepflegten Open-Source-Projekten mit regelmäßigen Commits und Releases, konkrete, tagesaktuelle Sternezahlen ändern sich aber laufend und lassen sich am zuverlässigsten direkt auf der jeweiligen GitHub-Seite ablesen statt über eine Momentaufnahme in einem Artikel.
