Passwort Manager Vaultwarden auf deinem Synology NAS

In einer digitalen Welt, in der wir täglich zahlreiche Anmeldedaten nutzen, ist eine sichere Passwortverwaltung nicht mehr wegzudenken. Heute zeige ich dir Schritt für Schritt, wie ich diesen sicheren Passwort-Manager eingerichtet habe und wie du deine Passwörter damit zuverlässig verwalten, synchronisieren und sichern kannst.

Warum ein selbst-gehosteter Passwortmanager sinnvoll ist

Cloud-basierte Passwort-Manager wie 1Password oder Synology C2 Password bieten zwar komfortable Dienste, doch bei einer selbst-gehosteten Lösung behalte ich die volle Kontrolle über meine Daten. Vaultwarden, ein quelloffenes Bitwarden-Derivat, ermöglicht mir genau das: alle meine Passwörter werden verschlüsselt und ausschließlich auf meiner eigenen Hardware gespeichert.

Was mich besonders an Vaultwarden überzeugt, ist die Benutzerfreundlichkeit kombiniert mit umfangreichem Funktionsumfang. Ich kann sichere Passwörter generieren, diese in einem verschlüsselten Tresor speichern und über verschiedene Geräte und Browser wie Chrome, Firefox und Edge synchronisieren – ganz ohne Abhängigkeit von externen Cloud-Diensten.

Voraussetzungen für die Installation

Für mein Setup verwende ich ein Synology NAS, konkret ein DS220+(Amazon Affiliate-Link) Synology NAS, das mit 10 GB RAM(Amazon Affiliate-Link) ausgestattet ist. Vaultwarden stellt erfreulicherweise nur minimale Anforderungen an die Hardware. Ich benötige lediglich:

Die Anleitung lässt sich auch analog auf andere Docker-kompatible Geräte anwenden.

Ein Reverse-Proxy-Manager im Netzwerk ist nötig, unabhängig davon, ob er sich auf einem anderen Gerät oder direkt auf dem Synology NAS gehostet wird. Ebenso ist dementsprechend eine Domain sinnvoll.

Installation des Passwort Managers Vaultwarden mit Docker

Docker sollte auf dem NAS installiert sein. Zur Einrichtung einer Synology DiskStation habe ichhier mehr geschrieben. Portainer ist zwar optional, aber ein nützliches Tool für die Verwaltung von Containern. Ich werde mich in dieser Anleitung auf die Verwendung von Portainer konzentrieren.

Als nächstes erstelle ich einen eigenen Ordner für die persistenten Daten meines Passwort-Managers. Ich navigiere dazu im File Manager zu meinem bevorzugten Speicherort und erstelle dort einen neuen Ordner namens vaultwarden-data. Ich notiere mir den vollständigen Pfad, da ich ihn später in der Konfigurationsdatei benötigen werde.

Jetzt werde ich Vaultwarden mithilfe von Docker-Compose installieren. Da ich Portainer verwende, erstelle ich einen neuen Stack. Hier gebe ich folgenden Code ein:

networks:
    internal:
        external: false

services:
    vaultwarden:
        container_name: vaultwarden
        image: vaultwarden/server
        restart: unless-stopped
        volumes:
            - /pfad-zum-ordner:/data # Pfad zum Ordner auf dem NAS ändern z.B. /volume1/docker/vaultwarden-data:/data
        ports:
            - 1234:80 # Port auf der linken Seite kann nach Bedarf geändert werden. Der Port auf der rechten Seite muss 80 sein.
            - 3012:3012 # Port auf der linken Seite kann nach Bedarf geändert werden.
        environment:
            - WEBSOCKET_ENABLED=true # Aktiviert die Echtzeitsynchronisation
            - ADMIN_TOKEN=einsicherespasswort # Token für Admin-Login
        networks:
            - internal

Dabei passe ich natürlich den Pfad an den tatsächlichen Speicherort auf meinem NAS an. Der Port 1234 ist frei wählbar, sollte aber nicht von anderen Diensten belegt sein. Für das Admin-Token wähle ich ein sicheres Passwort, das ich mir gut merken kann.

Wenn du einen Proxy-Manager auf der DiskStation verwendest, integriere das Netzwerk des Proxy-Managers und lass die Port-Konfigurationen weg.

Nach dem Erstellen des Stacks überprüfe ich die Logs, um zu sehen, ob der Server erfolgreich gestartet ist. Wenn dort die Meldung erscheint, dass der Server betriebsbereit ist, kann ich mit der Konfiguration fortfahren.

Einrichtung des Reverse-Proxy

Damit ich auf meinen Passwortmanager auch von außerhalb meines Heimnetzwerks zugreifen kann, richte ich nun einen Reverse-Proxy ein. Das Einrichten eines Proxy-Hosts variiert je nach verwendetem Reverse-Proxy.

So könnte es mit Caddy aussehen:

# Hier die Domain eintragen
vaultwarden.domain.de {
encode gzip

# Hier den Port aus der docker-compose.yml eintragen mitsamt der IP des NAS
reverse_proxy /notifications/hub/negotiate 192.123.123.40:1234

# Hier den Port aus der docker-compose.yml für den Web Socket eintragen
reverse_proxy /notifications/hub 192.123.123.40:3012

# Wieder auf den ersten Port umleiten
reverse_proxy 192.123.123.40:1234
}

Für Nginx Proxy Manager:

Ich benötige ein Let’s Encrypt Zertifikat, um Vaultwarden über HTTPS erreichbar zu machen.

Die erweiterten Einstellungen müssen noch angepasst werden.

# location /admin {
#  return 404;
#  }

  location / {
    proxy_pass http://192.123.123.40:1234;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
  }

  location /notifications/hub {
    proxy_pass http://192.123.123.40:3012;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
  }

  location /notifications/hub/negotiate {
    proxy_pass http://192.123.123.40:1234;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
  }

Natürlich ersetze ich die IP-Adresse und den Port durch die tatsächlichen Werte meines Setups. Diese Konfiguration ist wichtig, damit die Echtzeitsynchronisierung zwischen verschiedenen Geräten reibungslos funktioniert

Ersteinrichtung und Benutzerverwaltung

Jetzt kann ich meinen neuen Passwort-Manager zum ersten Mal aufrufen. Ich öffne einen Browser und navigiere zu meiner Domain. Hier erstelle ich zunächst ein neues Benutzerkonto, das als Hauptkonto für die Verwaltung meiner Passwörter dienen wird.

Anschließend möchte ich den Administrationsbereich konfigurieren. Dazu rufe ich die URL mit dem Zusatz /admin auf und melde mich mit dem Admin-Token an, das ich in der Docker-Compose-Datei festgelegt habe. Hier sehe ich verschiedene Einstellungsmöglichkeiten:

Unter “General Settings” passe ich die Domain an und deaktiviere die Registrierung neuer Benutzer, da ich der einzige Nutzer sein möchte. Falls ich später weitere Familienmitglieder hinzufügen möchte, kann ich die Registrierung kurzzeitig wieder aktivieren oder Einladungen über den Admin-Bereich im Menüpunkt “Users” versenden.

Als nächstes richte ich die E-Mail-Einstellungen ein. Unter “SMTP Email Settings” gebe ich die Daten meines E-Mail-Providers ein, damit Vaultwarden Benachrichtigungen versenden kann, etwa bei Einladungen oder Passwortänderungen. Das heißt, ich trage hier Server, Port, Benutzername und Passwort meines E-Mail-Kontos ein.

Admin Bereich deaktivieren

Optional lässt sich der Admin Bereich auch deaktivieren, indem ich in den Einstellungen meines Proxy Managers die # entferne und so den Inhalt auskommentiere.

location /admin {
 return 404;
 }

 [...]

Integration mit Browsern und mobilen Geräten

Der große Vorteil eines Passwortmanagers wie Vaultwarden ist die nahtlose Integration mit Browsern und mobilen Geräten. Um meine Passwörter automatisch in Chrome, Firefox oder Edge zu nutzen, installiere ich die Bitwarden-Erweiterung aus dem jeweiligen Browser-Store (Beispiel für Chrome). Da Vaultwarden mit den offiziellen Bitwarden-Clients kompatibel ist, kann ich diese problemlos verwenden.

Bei der ersten Anmeldung in der Browser-Erweiterung muss ich allerdings die URL meines selbst-gehosteten Servers angeben. Anstelle der Standard-Bitwarden-URL trage ich meine eigene Domain ein (z.B. https://vaultwarden.meinedomain.de). Danach melde ich mich mit meinen Anmeldedaten an, und schon kann ich meine Passwörter im Browser verwenden.

Auf meinen mobilen Geräten mit Android und iOS funktioniert die Einrichtung ähnlich. Ich lade die offizielle Bitwarden-App aus dem App Store oder Google Play herunter, gehe in die Einstellungen und ändere die Server-URL auf meine eigene Domain. Nach der Anmeldung habe ich auch unterwegs Zugriff auf all meine sicheren Passwörter.

Daten importieren und verwalten

Da ich zuvor bereits einen anderen Passwortmanager verwendet habe, möchte ich meine bestehenden Passwörter importieren. Vaultwarden unterstützt den Import aus verschiedenen Quellen wie 1Password, LastPass und anderen. Ich exportiere meine Daten aus dem alten Passwortmanager als CSV-Datei und importiere sie dann über die Weboberfläche von Vaultwarden.

Hierzu navigiere ich im Webinterface zu “Werkzeuge” > “Importieren” und wähle das entsprechende Format aus. Nach dem Import überprüfe ich, ob alle meine Anmeldedaten korrekt übernommen wurden. Das heißt, ich kontrolliere stichprobenartig einige Einträge und stelle sicher, dass Benutzernamen, Passwörter und URLs korrekt sind.

Vaultwarden aktualisieren und warten

Die Wartung von Vaultwarden ist erfreulich unkompliziert. Um Updates einzuspielen, nutze ich einfach Portainer. Ich gehe zum Stack-Editor, drücke auf “Update the stack” und aktiviere die Option, das Image neu zu laden. So wird die neueste Version von Vaultwarden heruntergeladen und installiert, ohne dass ich manuell eingreifen muss.

Es ist wichtig, regelmäßig nach Updates zu schauen, da diese oft Sicherheitsverbesserungen enthalten. Ich habe mir in Github Benachrichtigungen für neue Releases eingestellt, jedoch lässt sich das auch manuell prüfen.

Vorteile gegenüber Cloud-basierten Alternativen wie Synology C2 Password

Im Vergleich zu kommerziellen Lösungen wie Synology C2 Password oder 1Password bietet mein selbst-gehosteter Passwortmanager einige entscheidende Vorteile:

• Volle Kontrolle über meine Daten: Alle Passwörter bleiben auf meiner eigenen Hardware.
• Keine Abokosten: Im Gegensatz zu kostenpflichtigen Diensten fallen keine monatlichen Gebühren an.
• Unbegrenzte Nutzerkonten: Ich kann Familienmitglieder ohne zusätzliche Kosten einladen.
• Anpassbarkeit: Ich kann die Umgebung nach meinen Bedürfnissen konfigurieren.

Natürlich erfordert die Selbstverwaltung etwas mehr technisches Know-how und Wartungsaufwand als eine Cloud-Lösung. Für mich überwiegen jedoch die Vorteile der Kontrolle und Flexibilität.

Fazit und Empfehlung

Der Passwortmanager läuft stabil, synchronisiert zuverlässig zwischen all meinen Geräten und bietet alle Funktionen, die ich benötige.

Für wen eignet sich diese Lösung? Wenn du bereits ein Synology NAS besitzt, technisch versiert bist und Wert auf Datenkontrolle legst, ist Vaultwarden eine ausgezeichnete Wahl. Die minimalen Systemanforderungen bedeuten, dass selbst ältere NAS-Modelle ausreichen sollten.

Falls du keine eigene Hardware betreiben möchtest oder eine einfachere Lösung bevorzugst, sind Dienste wie Synology C2 Password, 1Password oder die Cloud-Version von Bitwarden möglicherweise besser geeignet. Sie bieten ähnliche Funktionen ohne den Installations- und Wartungsaufwand.

Das Wichtigste ist jedoch, überhaupt einen Passwortmanager zu nutzen. Die Zeiten von wiederverwendeten oder schwachen Passwörtern sollten definitiv der Vergangenheit angehören. Mit einem Passwortmanager kannst du für jeden Dienst ein sicheres, einzigartiges Passwort verwenden und behältst trotzdem den Überblick.

Weitere Ressourcen

• Vaultwarden auf GitHub
• Bitwarden Clients