Andrek: Die Seite wurde neu angelegt: „=Vaultwarden Server-Dokumentation= Die Vaultwarden-Instanz läuft in einem Proxmox-Container und wird dort über Docker Compose betrieben. Die zentrale Arbeits- und Konfigurationsbasis liegt unter: /opt/vaultwarden ==Überblick== Vaultwarden ist eine selbst gehostete, Bitwarden-kompatible Passwortverwaltung. Die Anwendung läuft als Docker-Container und speichert ihre persistenten Daten lokal im Datenverzeichnis des Host…“

2026-07-02T08:47:50Z

Die Seite wurde neu angelegt: „=Vaultwarden Server-Dokumentation= Die Vaultwarden-Instanz läuft in einem Proxmox-Container und wird dort über Docker Compose betrieben. Die zentrale Arbeits- und Konfigurationsbasis liegt unter: <source lang="bash"> /opt/vaultwarden </source> ==Überblick== Vaultwarden ist eine selbst gehostete, Bitwarden-kompatible Passwortverwaltung. Die Anwendung läuft als Docker-Container und speichert ihre persistenten Daten lokal im Datenverzeichnis des Host…“

Neue Seite

=Vaultwarden Server-Dokumentation=

Die Vaultwarden-Instanz läuft in einem Proxmox-Container und wird dort über Docker Compose betrieben. Die zentrale Arbeits- und Konfigurationsbasis liegt unter:

<source lang="bash">
/opt/vaultwarden
</source>

==Überblick==

Vaultwarden ist eine selbst gehostete, Bitwarden-kompatible Passwortverwaltung. Die Anwendung läuft als Docker-Container und speichert ihre persistenten Daten lokal im Datenverzeichnis des Hosts.

Wichtige Punkte:

*Vaultwarden wird über Docker Compose gestartet und gestoppt.
*Die Konfiguration liegt im Verzeichnis <code>/opt/vaultwarden</code>.
*Die eigentlichen Vaultwarden-Daten liegen im Unterverzeichnis <code>data</code>.
*Änderungen an Domain, SMTP, Admin-Token oder weiteren Umgebungsvariablen erfolgen in der Docker-Compose-Konfiguration.
*Vor Änderungen an Konfiguration oder Datenbestand sollte immer ein Backup erstellt werden.

==Serverzugriff==

Der Zugriff auf den Server erfolgt per SSH.

Beispiel:

<source lang="bash">
ssh root@SERVERNAME_ODER_IP
</source>

Nach dem Login in das Vaultwarden-Verzeichnis wechseln:

<source lang="bash">
cd /opt/vaultwarden
</source>

Alle Docker-Compose-Befehle sollten aus diesem Verzeichnis heraus ausgeführt werden.

==Verzeichnisstruktur==

Die relevante Struktur sieht typischerweise so aus:

<source lang="text">
/opt/vaultwarden/
├── compose.yaml
├── compose.yaml.caddy # optional / alte Variante mit Caddy
├── Caddyfile # optional, falls Caddy als Reverse Proxy genutzt wird/wurde
└── data/
├── db.sqlite3
├── db.sqlite3-shm
├── db.sqlite3-wal
├── attachments/
├── sends/
├── icon_cache/
└── rsa_key.*
</source>

Die wichtigsten Dateien und Verzeichnisse:

{| class="wikitable"
!Pfad!!Bedeutung
|-
|<code>/opt/vaultwarden/compose.yaml</code>||Zentrale Docker-Compose-Konfiguration. Hier werden Container, Ports, Volumes und Umgebungsvariablen definiert.
|-
|<code>/opt/vaultwarden/data</code>||Persistente Vaultwarden-Daten. Dieses Verzeichnis ist besonders wichtig und muss gesichert werden.
|-
|<code>/opt/vaultwarden/data/db.sqlite3</code>||SQLite-Datenbank von Vaultwarden, sofern SQLite verwendet wird.
|-
|<code>/opt/vaultwarden/Caddyfile</code>||Reverse-Proxy-Konfiguration, falls Caddy genutzt wird oder genutzt wurde.
|-
|<code>/opt/vaultwarden/compose.yaml.caddy</code>||Gesicherte/alte Compose-Variante mit Caddy. Nur verwenden, wenn bewusst wieder auf diese Variante umgestellt werden soll.
|}

==Containerstatus prüfen==

Im Verzeichnis <code>/opt/vaultwarden</code>:

<source lang="bash">
docker compose ps
</source>

Alternativ alle laufenden Container anzeigen:

<source lang="bash">
docker ps
</source>

Auch gestoppte Container anzeigen:

<source lang="bash">
docker ps -a
</source>

==Vaultwarden starten==

<source lang="bash">
cd /opt/vaultwarden
docker compose up -d
</source>

Danach prüfen, ob der Container läuft:

<source lang="bash">
docker compose ps
</source>

==Vaultwarden stoppen==

<source lang="bash">
cd /opt/vaultwarden
docker compose down
</source>

Der Befehl stoppt und entfernt den Container, löscht aber nicht die persistenten Daten im Verzeichnis <code>data</code>.

==Vaultwarden neu starten==

<source lang="bash">
cd /opt/vaultwarden
docker compose restart
</source>

Alternativ vollständig stoppen und neu starten:

<source lang="bash">
cd /opt/vaultwarden
docker compose down
docker compose up -d
</source>
==Autostart==

Vaultwarden wird über Docker Compose betrieben. Damit der Container nach einem Neustart des Servers automatisch wieder startet, sollte in der Datei <code>/opt/vaultwarden/compose.yaml</code> beim Vaultwarden-Service eine Restart-Policy gesetzt sein:

<source lang="yaml">
services:
vaultwarden:
restart: unless-stopped
</source>

Die Einstellung <code>unless-stopped</code> sorgt dafür, dass Vaultwarden nach einem Server-Neustart, Docker-Neustart oder Container-Absturz automatisch wieder gestartet wird. Wird der Container bewusst manuell gestoppt, bleibt er gestoppt.

Nach einer Änderung an der Compose-Datei muss die Konfiguration neu angewendet werden:

<source lang="bash">
cd /opt/vaultwarden
docker compose up -d
</source>

Die aktuell gesetzte Restart-Policy kann geprüft werden mit:

<source lang="bash">
docker inspect vaultwarden --format '{{.HostConfig.RestartPolicy.Name}}'
</source>

Erwartete Ausgabe:

<source lang="text">
unless-stopped
</source>

Zusätzlich muss Docker selbst beim Systemstart aktiviert sein:

<source lang="bash">
systemctl enable docker
systemctl is-enabled docker
</source>
==Logs anzeigen==

Aktuelle Logs anzeigen:

<source lang="bash">
docker logs vaultwarden
</source>

Live-Logs verfolgen:

<source lang="bash">
docker logs -f vaultwarden
</source>

Wenn der Containername abweicht, vorher den Namen prüfen:

<source lang="bash">
docker ps -a
</source>

==Konfiguration bearbeiten==

Die wichtigste Konfigurationsdatei ist:

<source lang="bash">
/opt/vaultwarden/compose.yaml
</source>

Bearbeiten:

<source lang="bash">
cd /opt/vaultwarden
vi compose.yaml
</source>

Nach Änderungen sollte die Konfiguration neu angewendet werden:

<source lang="bash">
docker compose down
docker compose up -d
</source>

Danach Logs prüfen:

<source lang="bash">
docker logs vaultwarden
</source>

==Domain ändern==

Wenn der Server unter einer anderen Domain erreichbar sein soll, muss die Domain in der Vaultwarden-Konfiguration angepasst werden.

Typischer Eintrag in <code>compose.yaml</code>:

<source lang="yaml">
environment:
DOMAIN: "https://vault.example.org"
</source>

Die Domain muss zur späteren öffentlichen Adresse passen. Sie wird unter anderem für Links in E-Mails und für bestimmte Web-Vault-Funktionen verwendet.

Nach der Änderung:

<source lang="bash">
cd /opt/vaultwarden
docker compose down
docker compose up -d
</source>

Danach prüfen:

<source lang="bash">
docker logs vaultwarden
</source>

Zusätzlich muss geprüft werden, ob DNS, Reverse Proxy und Zertifikat ebenfalls auf die neue Domain zeigen.

==Ports und Reverse Proxy==

Vaultwarden läuft intern im Docker-Container. Die Erreichbarkeit von außen hängt von der Portfreigabe in <code>compose.yaml</code> und gegebenenfalls von einem Reverse Proxy ab.

Typische Varianten:

*Direkte Portfreigabe vom Container auf den Host.
*Reverse Proxy über Caddy, Nginx, Apache oder Proxmox-seitige Weiterleitung.
*TLS/HTTPS über vorgeschalteten Reverse Proxy.

Falls Vaultwarden nicht erreichbar ist, folgende Punkte prüfen:

<source lang="bash">
cd /opt/vaultwarden
docker compose ps
docker ps
docker logs vaultwarden
</source>

Zusätzlich prüfen:

<source lang="bash">
ss -tulpen
</source>

Damit lässt sich sehen, welche Dienste auf welchen Ports lauschen.

==SMTP / E-Mail-Versand==

Vaultwarden kann Einladungen, Passwort-Hinweise, Verifizierungen und weitere Benachrichtigungen per E-Mail versenden. Dafür müssen SMTP-Parameter in der Umgebungskonfiguration gesetzt sein.

Typische Einträge in <code>compose.yaml</code>:

<source lang="yaml">
environment:
SMTP_HOST: "smtp.example.org"
SMTP_FROM: "vaultwarden@example.org"
SMTP_FROM_NAME: "Vaultwarden"
SMTP_PORT: "587"
SMTP_SECURITY: "starttls"
SMTP_USERNAME: "vaultwarden@example.org"
SMTP_PASSWORD: "PASSWORT_ODER_APP_PASSWORT"
</source>

Nach Änderungen:

<source lang="bash">
cd /opt/vaultwarden
docker compose down
docker compose up -d
docker logs vaultwarden
</source>

Wenn SMTP nicht funktioniert, sind häufig folgende Punkte die Ursache:

*Falscher SMTP-Host.
*Falscher Port.
*Falsche Verschlüsselungsart, z. B. <code>starttls</code> vs. TLS auf Port 465.
*Falscher Benutzername oder falsches Passwort.
*SMTP-Anbieter blockiert den Login ohne App-Passwort.
*Firewall oder Provider blockiert ausgehende SMTP-Verbindungen.
*<code>DOMAIN</code> ist falsch gesetzt, dadurch zeigen Einladungslinks auf eine falsche Adresse.

Zum Testen nach dem Start zuerst die Logs prüfen:

<source lang="bash">
docker logs vaultwarden
</source>

==Benutzer und Einladungen==

Benutzerverwaltung erfolgt entweder über die Vaultwarden-Weboberfläche oder über den Adminbereich, sofern dieser aktiviert ist.

Wichtig:

*Master-Passwörter von Benutzern können nicht einfach durch den Server-Administrator gesetzt oder ausgelesen werden.
*Wenn E-Mail-Versand aktiv, aber falsch konfiguriert ist, können Einladungen hängen bleiben.
*Wenn SMTP bewusst nicht verwendet wird, muss die Benutzeranlage entsprechend ohne E-Mail-Fluss geplant werden.
*Organisationsrollen wie Owner/Admin/User werden in der Organisation verwaltet.

Für neue Benutzer sollte bevorzugt der reguläre Einladungs- und Registrierungsprozess genutzt werden.

==Adminbereich==

Vaultwarden kann einen eigenen Adminbereich bereitstellen. Dieser ist üblicherweise erreichbar unter:

<source lang="text">
https://vault.example.org/admin
</source>

Der Zugriff wird über einen Admin-Token abgesichert, der in der Compose-Konfiguration als Umgebungsvariable gesetzt wird.

Typischer Eintrag:

<source lang="yaml">
environment:
ADMIN_TOKEN: "SEHR_LANGER_ZUFALLSWERT"
</source>

Ein neuer Token kann zum Beispiel so erzeugt werden:

<source lang="bash">
openssl rand -base64 48
</source>

Hinweise:

*Der Admin-Token darf nicht öffentlich dokumentiert werden.
*Der Token gehört nicht in eine allgemein zugängliche Wiki-Seite.
*Bei Weitergabe des Servers sollte geprüft werden, ob der Admin-Token geändert werden muss.
*Nach Änderung des Tokens muss Vaultwarden neu gestartet werden.

==Backup==

Das wichtigste Verzeichnis für Backups ist:

<source lang="bash">
/opt/vaultwarden/data
</source>

Vor einem Backup sollte Vaultwarden gestoppt werden, damit die SQLite-Datenbank konsistent gesichert wird:

<source lang="bash">
cd /opt/vaultwarden
docker compose down

tar -czf /root/vaultwarden-backup-$(date +%F).tar.gz /opt/vaultwarden

docker compose up -d
</source>

Danach prüfen:

<source lang="bash">
docker compose ps
docker logs vaultwarden
</source>

Das Backup sollte sicher und getrennt vom Server gespeichert werden. Da Vaultwarden Passwortdaten enthält, muss das Backup entsprechend geschützt werden.

==Restore==

Für eine Wiederherstellung wird das gesicherte Verzeichnis zurückkopiert.

Beispiel:

<source lang="bash">
cd /
tar -xzf /root/vaultwarden-backup-DATUM.tar.gz
cd /opt/vaultwarden
docker compose up -d
</source>

Danach prüfen:

<source lang="bash">
docker compose ps
docker logs vaultwarden
</source>

Vor einem Restore sollte der aktuelle Stand gesichert oder umbenannt werden, damit keine Daten versehentlich überschrieben werden.

==Update von Vaultwarden==

Vor einem Update immer ein Backup erstellen.

Danach kann das neue Image gezogen und der Container neu gestartet werden:

<source lang="bash">
cd /opt/vaultwarden

docker compose down
# optional: Backup erstellen

docker compose pull
docker compose up -d
</source>

Logs prüfen:

<source lang="bash">
docker logs vaultwarden
</source>

Wenn nach einem Update Probleme auftreten, sollte zuerst die Compose-Konfiguration, die Logs und der Stand des Images geprüft werden.

==Wichtige Standardbefehle==

{| class="wikitable"
!Zweck!!Befehl
|-
|In das Projektverzeichnis wechseln||<code>cd /opt/vaultwarden</code>
|-
|Container starten||<code>docker compose up -d</code>
|-
|Container stoppen||<code>docker compose down</code>
|-
|Container neu starten||<code>docker compose restart</code>
|-
|Status anzeigen||<code>docker compose ps</code>
|-
|Logs anzeigen||<code>docker logs vaultwarden</code>
|-
|Live-Logs anzeigen||<code>docker logs -f vaultwarden</code>
|-
|Compose-Datei bearbeiten||<code>vi /opt/vaultwarden/compose.yaml</code>
|-
|Neues Image ziehen||<code>docker compose pull</code>
|-
|Backup erstellen||<code>tar -czf /root/vaultwarden-backup-$(date +%F).tar.gz /opt/vaultwarden</code>
|}

[[Kategorie:Server]]
[[Kategorie:Docker]]
[[Kategorie:Vaultwarden]]

VaultWarden Passwort Manager - Versionsgeschichte