Bitwarden/Vaultwarden Selfhosted Password Manager

Veröffentlicht 17.03.2022 Aktualisiert 22.08.2025

Von Florian Lauer

2 Minuten Lesezeit

Vorwort

In diesem Beitrag findest du eine Step-by-Step Anleitung zur Installation eines Bitwarden/Vaultwarden Docker Containers.

Voraussetzungen

Docker-Host

Installation siehe: Docker Grundinstallation

Reverse Proxy

Installation siehe: Traefik Grundinstallation

Erstellung Docker-Compose Projekt

Im ersten Schritt ist das Docker-Compose Projekt zu erstellen.

        
      
mkdir bitwarden
cd bitwarden
mkdir data
touch docker-compose.yml

sudo nano docker-compose.yml

        
      
Version: '3'

services:
  traefik:
    image: vaultwarden/server:latest
    container_name: bitwarden
    restart: always
    ports:
      - 5010:80
      - 3012:3012
    environment:
      - ADMIN_TOKEN=TOKEN #Mit eigenem Secret zu ersetzten
      - TZ=Europe/Berlin
    volumes:
      - ./data:/data:rw

Traefik SSL Konfiguration

Um einen sicheren Zugriff via SSL zu gewährleisten, ist die Traefik Konfiguration anzupassen.

sudo nano config.yml

        
      
#DOMAIN ist durch die eigene zu ersetzen.
#IP-Adresse ist durch das gewünschte Ziel zu ersetzen.

http:
 #region routers 
  routers:

    passwordmanager:
      entryPoints:
        - "https"
      rule: "Host(`passwordmanager.DOMAIN.de`)"
      middlewares:
        - default-headers
        - https-redirect
        - rate-limit
        - error-pages
      tls:
        options: tls-options
      service: passwordmanager


#endregion
#region services
  services:
    passwordmanager:
      loadBalancer:
        servers:
          - url: "https://IP-DOCKERHOST:5010"
        passHostHeader: true

#endregion
  middlewares:
    https-redirect:
      redirectScheme:
        scheme: https
        permanent: true
    rate-limit:
      ratelimit:
        average: 200
        burst: 100
  
    default-headers:
      headers:
        frameDeny: true
        sslRedirect: true
        browserXssFilter: true
        contentTypeNosniff: true
        forceSTSHeader: true
        stsIncludeSubdomains: true
        stsPreload: true
        stsSeconds: 15552000
        customFrameOptionsValue: SAMEORIGIN
        customRequestHeaders:
          X-Forwarded-Proto: https

    gzip:
      compress: {}

tls:
  options:
    tls-options:
      minVersion: VersionTLS12
      sniStrict: true
      cipherSuites:
        - TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
        - TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
        - TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305
        - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
        - TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305
        - TLS_AES_128_GCM_SHA256
        - TLS_AES_256_GCM_SHA384
        - TLS_CHACHA20_POLY1305_SHA256
      curvePreferences:
        - CurveP521
        - CurveP384