Vaultwarden und Home Assistant: Erstellen Sie Ihren selbst gehosteten Passwort-Manager (vollständige Anleitung)

Passwort-Manager: Definition und Bedeutung für Ihre Sicherheit

Es wird immer wieder betont, dass man für jedes Online-Konto unterschiedliche, lange und komplexe Passwörter verwenden sollte. Doch in der Realität ist es kaum möglich, eine Vielzahl unterschiedlicher und komplexer Passwörter zu verwalten. Ein Passwort-Manager wurde entwickelt, um dieses Problem zu lösen, indem er Ihre Passwörter sicher speichert, generiert und organisiert. Anstatt sich jedes einzelne Passwort merken zu müssen, brauchen Sie sich nur ein einziges Passwort zu merken. Dieses wird als „Master-Passwort" bezeichnet. Es gewährt Zugang zu all Ihren anderen Passwörtern.

Die Bedeutung eines Passwort-Managers liegt vor allem in der erhöhten Sicherheit, die er bietet. Durch die Verwendung starker und einzigartiger Passwörter für jedes Konto reduzieren Sie das Risiko eines Hackerangriffs erheblich. Darüber hinaus (und das allein ist schon großartig!) erleichtert ein Passwort-Manager die tägliche Verwaltung Ihrer Zugänge, indem er Ihre Anmeldedaten beim Einloggen automatisch ausfüllt, was Ihnen wertvolle Zeit spart und Eingabefehler minimiert.

Warum Vaultwarden wählen: Vorteile gegenüber anderen Passwort-Managern

Sie haben es sicher schon erraten: Heute stelle ich Ihnen Vaultwarden vor! Tatsächlich ist Vaultwarden ein Open-Source-Derivat von Bitwarden, das als selbstgehostete Lösung konzipiert wurde. Aufbauend auf dem Code von Bitwarden ermöglicht Vaultwarden den Nutzern die vollständige Kontrolle über ihre sensiblen Daten, ohne von einem Drittanbieter abhängig zu sein.

Unter den zahlreichen auf dem Markt verfügbaren Passwort-Managern zeichnet sich Vaultwarden durch eine Reihe von Vorteilen aus, die ihn zur perfekten Lösung für sicherheitsbewusste Personen machen. Zunächst einmal ist Vaultwarden eine Open-Source-Lösung, was bedeutet, dass sein Quellcode für alle zugänglich ist. Diese Transparenz ermöglicht es der Community, den Code zu überprüfen, im Gegensatz zu kommerziellen Passwort-Managern, bei denen die Qualität des Quellcodes nicht immer bekannt ist. Diese Eigenschaft gewährleistet eine bessere Zuverlässigkeit und erhöhte Sicherheit, da Schwachstellen schneller identifiziert und behoben werden können.

Ein weiterer großer Vorteil von Vaultwarden ist die Möglichkeit, es selbst zu hosten. Im Gegensatz zu kommerziellen Passwort-Managern, die Ihre Daten auf ihren eigenen Servern speichern, ermöglicht Ihnen Vaultwarden, Ihre Passwörter lokal oder auf einem Server Ihrer Wahl zu hosten. Dies gibt Ihnen die vollständige Kontrolle über Ihre Daten, reduziert das Risiko von Datenschutzverletzungen durch Dritte und erhöht die Vertraulichkeit Ihrer persönlichen und beruflichen Informationen.

Schließlich ist ein Erweiterungs-Add-on für Home Assistant verfügbar, das eine extrem einfache Integration ermöglicht. Dank dieser Kompatibilität wird Vaultwarden zu einer natürlichen Erweiterung Ihres Smart-Home-Systems.

Was die Kosten betrifft, positioniert sich Vaultwarden als wirtschaftliche Alternative im Vergleich zu kostenpflichtigen Lösungen wie LastPass oder Dashlane. Tatsächlich ist Vaultwarden kostenlos! Ich weiß, dass einige denken werden: „Wenn es kostenlos ist, muss es schlechter sein". Nun, das stimmt nicht unbedingt. Das beste Beispiel ist LastPass, einer der weltweit führenden Passwort-Manager. Im Jahr 2022 erlitt er einen schwerwiegenden Hack, bei dem die verschlüsselten Passwörter der Nutzer sowie deren unverschlüsselte persönliche Daten offengelegt wurden!

Installation von Vaultwarden mit Home Assistant

Zunächst einmal: Der Zugriff auf Home Assistant über einen Domainnamen ist für diesen Artikel zwingend erforderlich. Ich zeige seit jeher Cloudflared, daher werden wir das verwenden. Für diejenigen, die Nginx Proxy Manager nutzen, lässt sich das leicht anpassen. In jedem Fall muss Cloudflared (oder Nginx Proxy Manager) bereits konfiguriert sein!

Dafür gibt es ein Add-on, das die Sache vereinfacht.

Gehen Sie zu Einstellungen > Add-ons > Add-on-Store, dann finden Sie im Abschnitt Home Assistant Community Add-ons den Eintrag Vaultwarden (Bitwarden). Klicken Sie darauf und dann auf „Installieren".

Bevor Sie es starten, gehen Sie in die Konfiguration (Reiter Konfiguration). Hier deaktivieren wir die SSL-Option, da dies automatisch von Cloudflared übernommen wird. Notieren Sie sich dann im Netzwerk-Bereich den Port, über den Sie auf die Vaultwarden-Oberfläche zugreifen können, in der Regel ist das 7277.

Cloudflared für den Zugriff auf Vaultwarden konfigurieren

Um auf unseren Passwort-Manager zugreifen zu können, müssen wir Cloudflared mitteilen, eine neue Subdomain zu verwenden, die auf unseren Port 7277 umleitet, der von Vaultwarden verwendet wird.

Gehen Sie dazu zu Einstellungen > Add-ons > Cloudflared. Dann finden Sie im Reiter Konfiguration einen Bereich Zusätzliche Hosts. Hier ein Beispiel für die einzugebende Konfiguration:

Zur Erklärung: Neben hostname geben Sie eine neue Subdomain ein, die beliebig gewählt werden kann.

Neben service steht der Hostname Ihrer Home-Assistant-Instanz, gefolgt vom Vaultwarden-Port. Meistens ist das „homeassistant". Um Ihren Hostnamen herauszufinden, gehen Sie zu Einstellungen > System > Netzwerk. Das erste Feld entspricht dem Hostnamen.

Wenn das erledigt ist, können Sie speichern und Cloudflared neu starten.

Vaultwarden starten und auf die Administration zugreifen

Gehen Sie zurück zum Vaultwarden-Add-on, starten Sie es und klicken Sie oben auf den Reiter Protokoll. Sie sollten etwas Ähnliches wie dies sehen:

Wie Sie sehen, haben wir einen TEMPORÄREN Token, hier „jNhKtXrmFh0A5MVHZFJ0iV8RCRcj8F7m27T9MwTQf02co6sfHL0s9QCrsCvuKNN7". Kopieren Sie ihn und rufen Sie vaultwarden.IHRE_DOMAIN.de auf (passen Sie die Adresse entsprechend Ihrer Cloudflared-Konfiguration an).

Sie werden nach dem „Admin Token" gefragt. Fügen Sie den soeben kopierten Code ein.

Wie gerade erwähnt, ist der Zugangstoken temporär, und eine Meldung oben erinnert Sie daran (auf Englisch, ja, sorry...). Um wirklich sicher zu sein, muss ein mit Argon2 verschlüsseltes Passwort mit bestimmten spezifischen Parametern generiert werden. Für Anfänger kann das etwas knifflig sein, daher ist dieser Artikel da, um Ihnen die Aufgabe zu erleichtern! 🤓

Sie können den Generator weiter unten verwenden, um ein Passwort einzugeben, das in Argon2 konvertiert wird. ACHTUNG! Dieses Passwort muss besonders stark sein, und Sie müssen es sich merken. Es gewährt Zugang zu Ihrer Vaultwarden-Administration. Geben Sie Ihr Passwort ein und kopieren Sie den generierten Hash.

Gut. Klicken Sie jetzt in der Vaultwarden-Administration auf „General settings" und Sie finden unten „Admin token/Argon2 PHC". Dort müssen Sie den erhaltenen Hash einfügen. Sobald Ihr Hash eingefügt ist, können Sie unten auf „Save" klicken. Sie können sich abmelden und wieder anmelden (mit dem im Generator oben eingegebenen Passwort), um zu überprüfen, ob alles korrekt funktioniert.

Vaultwarden-Diagnose überprüfen

Bevor Sie weitergehen, wechseln Sie zum Reiter Diagnostics in der Administration. Sie sollten mehrere grüne Indikatoren sehen, aber wahrscheinlich auch einige rote, insbesondere bei der Domain Configuration. Das ist normal: Vaultwarden denkt, dass Sie sich auf localhost befinden, obwohl Sie tatsächlich Ihren persönlichen Domainnamen verwenden.

Um dies zu beheben, gehen Sie zu Settings > General Settings und geben Sie Ihren vollständigen Domainnamen in das vorgesehene Feld ein (zum Beispiel https://vaultwarden.IHRE_DOMAIN.de). Klicken Sie auf „Save" und gehen Sie dann zurück zu Diagnostics: Alles sollte jetzt grün sein.

Wenn Sie Cloudflared nicht verwenden und der IP header-Indikator rot bleibt, gehen Sie zu Settings > Advanced Settings und ersetzen Sie den Wert des Feldes Client IP Header durch CF-Connecting-IP (ohne Leerzeichen am Anfang). Dies ermöglicht es Cloudflare, die echte IP-Adresse der Besucher korrekt zu übermitteln. Klicken Sie auf „Save" und überprüfen Sie erneut, ob alles grün ist.

E-Mail-Versand konfigurieren (SMTP über Gmail)

Der E-Mail-Versand ist ein wichtiger Schritt, insbesondere für die Kontowiederherstellung bei Passwortverlust oder zur Aktivierung der Zwei-Faktor-Authentifizierung per E-Mail. Dafür benötigt Vaultwarden einen SMTP-Server.

Die gute Nachricht ist, dass Sie Gmail dafür kostenlos nutzen können. Ich empfehle Ihnen jedoch, ein dediziertes Google-Konto zu erstellen, anstatt Ihr persönliches Konto zu verwenden, da die Nutzung desselben Kontos für Senden und Empfangen manchmal zu Problemen führt.

So gehen Sie vor:

1. Bestätigung in zwei Schritten im Google-Konto aktivieren

Gehen Sie zu den Sicherheitseinstellungen Ihres Google-Kontos und aktivieren Sie die Bestätigung in zwei Schritten. Dies ist eine absolut notwendige Voraussetzung für die nächsten Schritte.

2. Ein App-Passwort erstellen

Sobald die Bestätigung in zwei Schritten aktiviert ist, rufen Sie die Seite für App-Passwörter auf. Um direkt darauf zuzugreifen, ersetzen Sie das Ende der URL in den Anmeldeoptionen durch AppPasswords. Geben Sie Ihrer Anwendung einen Namen (zum Beispiel „Vaultwarden") und klicken Sie auf „Erstellen". Ein Passwort wird generiert: Kopieren Sie es sofort.

3. SMTP in Vaultwarden konfigurieren

Gehen Sie zurück zur Vaultwarden-Administration, Abschnitt Settings > SMTP Email Settings, und füllen Sie die Felder wie folgt aus:

Klicken Sie unten auf der Seite auf „Save". Sie können den Versand dann testen, indem Sie eine E-Mail-Adresse in das Testfeld eingeben und auf „Send test e-mail" klicken. Wenn Sie die E-Mail erhalten, ist alles korrekt konfiguriert!

Zwei-Faktor-Authentifizierung per E-Mail aktivieren

Da der E-Mail-Versand jetzt funktioniert, können Sie die E-Mail-2FA für Ihre Benutzer aktivieren. Gehen Sie zu Settings > Email 2FA Settings und aktivieren Sie die Option. Standardmäßig wird ein 6-stelliger Code per E-Mail gesendet, mit einer Gültigkeit von 600 Sekunden und maximal 3 Versuchen. Diese Werte sind in den meisten Fällen ausreichend, klicken Sie einfach auf „Save".

YubiKey-Schlüssel konfigurieren

Falls Sie YubiKey-Schlüssel noch nicht kennen, empfehle ich Ihnen wirklich, sich darüber zu informieren. Konkret handelt es sich um einen physischen Schlüssel, den Sie an Ihren Computer anschließen und auf den Sie drücken müssen, um eine Anmeldung zu bestätigen. Selbst wenn jemand Ihr Passwort kennt, kann er ohne diesen Schlüssel nicht auf Ihr Konto zugreifen. Sie verstehen also den enormen Nutzen in Kombination mit einem Passwort-Manager: Wenn jemand an Ihr Master-Passwort gelangt, aber diesen Schlüssel nicht besitzt, kann er nicht auf Ihren Tresor zugreifen.

Um YubiKey-Schlüssel in Vaultwarden zu konfigurieren, müssen Sie zunächst einen API-Schlüssel von der Yubico-Website beziehen. Gehen Sie auf die entsprechende Seite (Link in der Videobeschreibung), geben Sie Ihre E-Mail-Adresse ein, akzeptieren Sie die Nutzungsbedingungen, stecken Sie dann Ihren Schlüssel in den Computer und drücken Sie darauf. Sie erhalten eine Client ID und einen Secret Key.

Gehen Sie in der Vaultwarden-Administration zu Settings > YubiKey Settings und geben Sie die erhaltene Client ID und den Secret Key ein. Lassen Sie den Server auf dem Standardwert. Klicken Sie auf „Save".

Administration nach Deaktivierung wiederherstellen

Wenn Sie die Administration durch Entfernen des Admin Tokens deaktiviert haben und sie wieder aktivieren möchten (zum Beispiel um einen neuen Benutzer hinzuzufügen, wenn die Registrierungen geschlossen sind), folgen Sie dieser Anleitung. Sie erfordert Kommandozeilen-Zugang über das SSH-Terminal von Home Assistant.

1. SSH-Terminal installieren

Falls noch nicht geschehen, installieren Sie das Add-on Advanced SSH & Web Terminal aus dem Add-on-Store. Im Reiter Info deaktivieren Sie den geschützten Modus (eine Warnung wird Sie darauf hinweisen, dass dies ein sensibler Vorgang ist), dann starten Sie das Add-on neu.

2. Auf den Vaultwarden-Docker-Container zugreifen

Öffnen Sie das Terminal und listen Sie die Docker-Container auf:

Suchen Sie den Container, dessen Name „bitwarden" enthält (Vaultwarden ist ein Derivat von Bitwarden). Kopieren Sie seinen Namen und betreten Sie den Container:

3. Die Konfigurationsdatei bearbeiten

Wechseln Sie in das Datenverzeichnis und installieren Sie den Texteditor Nano:

Öffnen Sie dann die Konfigurationsdatei:

Scrollen Sie ganz nach unten und fügen Sie vor der letzten schließenden geschweiften Klammer die folgende Zeile ein:

Vergessen Sie nicht das Komma am Ende der vorherigen Zeile. Speichern Sie mit STRG+X, dann Y, dann Enter.

4. Neustart und Überprüfung

Gehen Sie zurück zu Home Assistant und starten Sie das Vaultwarden-Add-on neu. Rufen Sie erneut vaultwarden.IHRE_DOMAIN.de/admin auf: Sie sollten sich mit dem Passwort anmelden können, das Ihrem Argon2-Hash entspricht.

Wichtig: Denken Sie nach Abschluss der Maßnahme daran, den geschützten Modus beim Add-on Advanced SSH & Web Terminal wieder zu aktivieren und es neu zu starten.

Ein Benutzerkonto erstellen

Da Vaultwarden nun vollständig konfiguriert ist, wird es Zeit, Ihr erstes Benutzerkonto zu erstellen. Überprüfen Sie zunächst, ob die Registrierungen in Settings > General Settings erlaubt sind (die Option „Allow new signups" muss aktiviert sein).

Rufen Sie Ihre Vaultwarden-URL (ohne /admin) auf und klicken Sie auf „Konto erstellen". Geben Sie Ihre E-Mail-Adresse, Ihren Namen und vor allem Ihr Master-Passwort ein. Dieses Passwort ist entscheidend: Es schützt den Zugang zu Ihrem gesamten Tresor. Wählen Sie es lang, komplex und einzigartig.

Wenn andere Familienmitglieder Vaultwarden nutzen möchten, ist jetzt der richtige Zeitpunkt, auch deren Konten zu erstellen.

Registrierungen deaktivieren und Installation absichern

Sobald alle Konten erstellt sind, empfehle ich Ihnen dringend:

1. Neue Registrierungen deaktivieren: In der Administration unter General Settings deaktivieren Sie „Allow new signups". Ohne dies könnte jeder, der Ihre URL findet, ein Konto erstellen und Ihren Dienst nutzen.

2. Administration deaktivieren: Ebenfalls in General Settings löschen Sie den gesamten Inhalt des Feldes Admin Token und klicken Sie auf „Save". Niemand kann dann mehr auf den Administrationsbereich zugreifen (außer über die zuvor beschriebene Wiederherstellungsprozedur).

Starten Sie Vaultwarden neu, damit die Änderungen wirksam werden. Wenn Sie versuchen, /admin aufzurufen, sehen Sie eine Meldung, die darauf hinweist, dass die Administration deaktiviert ist. Und wenn jemand versucht, ein Konto zu erstellen, erhält er eine Fehlermeldung, dass die Registrierungen deaktiviert sind.

Anmelden und E-Mail verifizieren

Melden Sie sich jetzt mit Ihrem frisch erstellten Konto bei Vaultwarden an. Eine Meldung wird Sie auffordern, Ihre E-Mail-Adresse zu verifizieren. Klicken Sie auf „Bestätigungs-E-Mail senden", öffnen Sie die erhaltene E-Mail und klicken Sie auf den Bestätigungslink. Melden Sie sich erneut an und Sie gelangen endlich zu Ihrem Tresor.

Wenn Sie bereits einen anderen Passwort-Manager verwendet haben, können Sie Ihre Daten importieren, direkt über die Vaultwarden-Weboberfläche, indem Sie dem angebotenen Importverfahren folgen.

Die Browser-Erweiterung installieren und konfigurieren

Um Vaultwarden im Alltag voll auszunutzen, installieren Sie die Bitwarden-Erweiterung, die für Chrome, Firefox, Edge und andere Browser verfügbar ist. Nach der Installation pinnen Sie sie in Ihre Symbolleiste, um schnell darauf zugreifen zu können.

Beim ersten Start der Erweiterung klicken Sie anstelle von „Anmeldung bei bitwarden.com" und wählen „Selbst gehostet". Geben Sie im Feld Server-URL die URL Ihres Vaultwarden-Dienstes ein (zum Beispiel https://vaultwarden.IHRE_DOMAIN.de) und speichern Sie.

Melden Sie sich dann mit Ihrer E-Mail-Adresse und Ihrem Master-Passwort an. Wenn Sie einen YubiKey konfiguriert haben, werden Sie aufgefordert, ihn zu berühren, um die Verbindung zu bestätigen.

Wenn Sie der einzige Benutzer Ihrer Sitzung sind, können Sie in der Erweiterung unter Einstellungen > Kontosicherheit das Tresor-Timeout ändern, um zu vermeiden, dass Sie sich bei jedem Schließen des Browsers erneut anmelden müssen.

Mobile Anwendungen von Bitwarden sind ebenfalls für Android und iPhone verfügbar. Sie funktionieren genauso wie die Browser-Erweiterung, sodass Sie Ihre Passwörter auf absolut allen Ihren Geräten haben können.

Zwei-Faktor-Authentifizierung für Ihr Konto aktivieren

Bevor Sie Ihren Tresor im Alltag nutzen, nehmen Sie sich die Zeit, Ihr Konto abzusichern. Gehen Sie zu Einstellungen > Sicherheit > Zweistufige Anmeldung.

YubiKey aktivieren: Klicken Sie auf „Verwalten" neben der Option YubiKey OTP-Sicherheitsschlüssel, geben Sie Ihr Master-Passwort ein, klicken Sie dann in ein leeres Feld, stecken Sie Ihren Schlüssel ein und drücken Sie darauf. Sie können bis zu 5 YubiKeys pro Konto registrieren. Ich empfehle, mindestens 2 zu haben, falls Sie den ersten verlieren.

E-Mail-Verifizierung aktivieren: Sie können auch die Zwei-Faktor-Authentifizierung per E-Mail aktivieren. Geben Sie Ihr Master-Passwort ein, bestätigen Sie den Code-Versand per E-Mail und geben Sie dann den erhaltenen Code ein. Sie haben dann mindestens zwei Arten der Zwei-Faktor-Authentifizierung für Ihr Konto aktiviert.

Tägliche Nutzung von Vaultwarden

In der Praxis funktioniert Vaultwarden im Alltag wirklich sehr gut. Hier sind die wichtigsten Funktionen, die Sie nutzen werden:

Automatische Passwortspeicherung

Wenn Sie sich auf einer Website anmelden, bietet Vaultwarden automatisch an, das Passwort zu speichern. Klicken Sie einfach auf „Speichern" und die Seite wird zu Ihrem Tresor hinzugefügt.

Automatisches Ausfüllen

Wenn Sie dieselbe Seite das nächste Mal besuchen, bietet Vaultwarden an, die Anmeldefelder automatisch auszufüllen. Ein Klick und Sie sind angemeldet.

Passwort-Generator

Bei der Registrierung auf einer neuen Seite verwenden Sie den integrierten Generator der Erweiterung. Denken Sie daran, Sonderzeichen zu aktivieren und eine ausreichende Länge zu wählen. Kopieren Sie das generierte Passwort und Vaultwarden bietet an, es automatisch zu speichern.

Zwei-Faktor-Authentifizierung (TOTP) verwalten

Vaultwarden kann auch die app-basierte Zwei-Faktor-Authentifizierung (TOTP) verwalten. Wenn eine Website Ihnen die Aktivierung von 2FA anbietet, kopieren Sie den Code (oft durch Klicken auf „Ich kann den QR-Code nicht scannen") und geben Sie ihn in Ihrem Vaultwarden-Eintrag im Feld „Authenticator Key (TOTP)" ein. Ein Bestätigungscode wird dann automatisch generiert.

Der Vorteil ist, dass Vaultwarden beim automatischen Ausfüllen den TOTP-Code automatisch in Ihre Zwischenablage kopiert, wenn Sie sich auf einer Website anmelden. Sie müssen ihn nur noch einfügen, wenn die Website danach fragt.

Anmeldeinformationen bearbeiten

Manchmal speichert Vaultwarden den Benutzernamen anstelle der E-Mail als Anmeldekennung oder umgekehrt. Keine Sorge: Klicken Sie auf den betreffenden Eintrag und dann auf „Bearbeiten", um den Benutzernamen zu korrigieren.

Zahlungskarten

Zusätzlich zu Ihren Passwörtern können Sie Ihre Zahlungskarten in Vaultwarden speichern, um sie nicht bei jedem Online-Kauf erneut eingeben zu müssen.

Identitäten (Formulare)

Identitäten ermöglichen es Ihnen, Ihre persönlichen Daten (Name, Vorname, Adresse usw.) zu speichern, um Registrierungs- oder Lieferformulare automatisch auszufüllen. Um sie zu verwenden, klicken Sie mit der rechten Maustaste auf die Seite, dann Bitwarden > Identität automatisch ausfüllen und wählen Sie die konfigurierte Identität aus.

Backup-Codes speichern

Wenn Sie die Zwei-Faktor-Authentifizierung auf einer Website aktivieren, erhalten Sie in der Regel Backup-Codes. Diese Codes ermöglichen es Ihnen, den Zugang zu Ihrem Konto wiederherzustellen, falls Sie Ihr 2FA-Mittel verlieren. Denken Sie daran, sie in Vaultwarden zu speichern, entweder in den Notizen des entsprechenden Eintrags oder in benutzerdefinierten versteckten Feldern für zusätzliche Sicherheit.