Bester VPS für Vaultwarden: Sicherheit und Backup
Für Vaultwarden ist der kleinste Preisunterschied selten das wichtigste Kriterium. Entscheidend sind eine restriktive Firewall, ein sauberer HTTPS-Pfad, eine konsistente Sicherung des Vaultwarden-Datenverzeichnisses und ein Restore, den Sie bereits getestet haben. Dieser Vergleich bewertet deshalb keine erfundenen Benchmarks und vergibt keine Punkte. Er zeigt, welche Betriebsaufgaben Hetzner, Hostinger und DigitalOcean abdecken und welche weiterhin bei Ihnen liegen.
Die zwei relevanten VPS-Wege
Cloud-Bausteine selbst kombinieren
Hetzner Cloud
Hetzner trennt Shared und Dedicated Resources, stellt eine zustandsbehaftete Cloud-Firewall bereit und kann täglich Server-Backups mit sieben Sicherungsständen erzeugen. Öffentliche IPv4-Adressen sind ein eigener Kostenpunkt. Angefügte Volumes sind weder in Server-Backups noch in Snapshots enthalten.
Passt, wenn: Sie Firewall, Primary IP, Server-Backup und einen unabhängigen Vaultwarden-Backupjob bewusst konfigurieren möchten.
Hetzner prüfen →Betrieb über ein zentrales VPS-Dashboard
Hostinger VPS
Hostinger verwaltet Firewall-Regeln, Sicherungsplan und Wiederherstellung im VPS-Dashboard. Laut aktueller Dokumentation ist ein wöchentliches Server-Backup standardmäßig aktiv; tägliche Sicherungen sind optional. Die Sicherungsstände lassen sich nicht direkt herunterladen. Deshalb gehört eine eigene externe Vaultwarden-Sicherung weiterhin zum Plan.
Passt, wenn: Sie Server-Firewall und Wiederherstellung ohne mehrere getrennte Cloud-Menüs bedienen möchten.
Hostinger prüfen →Die beiden Schaltflächen sind Partnerlinks. Bei einem Abschluss kann VPSchart eine Vergütung erhalten. Preis und Vertragsbedingungen ändern sich dadurch für Sie nicht. Es gibt auf dieser Seite keinen gekauften Testsieger.
Vergleich nach Betriebsaufgabe
| Anbieter | Netzwerk-Schutz | Server-Sicherung | Wichtige Grenze | Geeignet für |
|---|---|---|---|---|
| Hetzner | Zustandsbehaftete Cloud-Firewall, Regeln mit implizitem Verwerfen nicht erlaubter eingehender Verbindungen | Tägliche Server-Backups, sieben Plätze; manuelle Snapshots bleiben bis zur Löschung erhalten | Angefügte Volumes sind ausgeschlossen. Primary IPv4 wird getrennt berechnet. | Bewusste Cloud-Konfiguration und europäische Standorte |
| Hostinger | VPS-Firewall im Dashboard plus optionale Firewall im Betriebssystem | Wöchentlich standardmäßig, täglich optional; Wiederherstellung überschreibt den aktuellen Serverzustand | Server-Sicherungen können nicht direkt heruntergeladen werden. Ein eigener externer Export bleibt nötig. | Ein zentraler Bedienpfad für Firewall, Backup und Restore |
| DigitalOcean | Kostenlose zustandsbehaftete Cloud Firewalls für Droplets | Automatische Droplet-Backups mit wählbaren Intervallen und Wiederherstellung auf einen bestehenden oder neuen Droplet | Block Storage Volumes sind nicht in Droplet-Backups enthalten und brauchen eigene Snapshots. | Teams, die bereits Droplets, API und dokumentierte Cloud-Workflows nutzen |
Die Tabelle vergleicht veröffentlichte Produktfunktionen, keinen selbst gemessenen Durchsatz. Verfügbarkeit, Tarifumfang und Kosten müssen Sie vor der Bestellung auf der Anbieterseite prüfen.
Vaultwarden richtig dimensionieren
Die alte Fassung stellte feste RAM-, CPU- und Speicherwerte als allgemeines Minimum dar. Dafür gibt es keinen belastbaren Test auf dieser Seite. Für eine kleine private Instanz ist Vaultwarden häufig nicht der größte Ressourcenverbraucher. Betriebssystem, Container-Laufzeit, Reverse Proxy, Monitoring, Updates und Dateianhänge benötigen ebenfalls Reserve.
Wählen Sie zunächst die kleinste aktuelle Linux-Konfiguration, die diese Betriebsschichten mit freiem Arbeitsspeicher und freiem Plattenplatz ausführen kann. Beobachten Sie danach Speicher, Swap, Plattenbelegung und Antwortzeiten. Skalieren Sie anhand dieser Messwerte. Eine größere Instanz kompensiert weder ein offenes Admin-Panel noch eine fehlende Sicherung.
Der Sicherheitsweg vom Internet bis zum Tresor
- Nur notwendige Ports freigeben. Öffentlich benötigt der Reverse Proxy typischerweise HTTP für die Weiterleitung und HTTPS für den eigentlichen Zugriff. Begrenzen Sie SSH nach Möglichkeit auf eine feste Administrationsquelle. Datenbank und interner Vaultwarden-Port gehören nicht ins öffentliche Netz.
- HTTPS am Reverse Proxy beenden. Die offiziellen Proxy-Beispiele leiten HTTP auf HTTPS um und setzen die weitergereichten Protokollinformationen. Der konfigurierte
DOMAIN-Wert muss zur öffentlichen HTTPS-Adresse passen. - Adminzugriff reduzieren. Deaktivieren Sie die Adminseite, wenn sie nicht benötigt wird. Bei aktivem Adminbereich verwenden Sie einen mit Argon2id gehashten Token und begrenzen den Pfad zusätzlich am Proxy oder auf vertrauenswürdige Netze.
- Registrierung bewusst steuern. Entscheiden Sie nach der Ersteinrichtung, ob neue Konten offen angelegt werden dürfen. Prüfen Sie außerdem Mehrfaktor-Authentifizierung, SMTP und Protokolle als Teil Ihres Betriebsmodells.
- Updates kontrolliert einspielen. Lesen Sie die Vaultwarden-Release-Hinweise, erstellen Sie vorher eine konsistente Sicherung und prüfen Sie Anmeldung, Synchronisierung, Anhänge und Wiederherstellung nach dem Update.
Backup: Serverabbild und Tresorsicherung sind zwei Ebenen
Die Vaultwarden-Dokumentation rät zu regelmäßigen automatischen Sicherungen und mindestens einer entfernten Kopie. Sie warnt ausdrücklich davor, sich nur auf Datei- oder VM-Snapshots zu verlassen. Das ist für einen Passwortmanager besonders wichtig: Ein Serverabbild hilft bei einem beschädigten Betriebssystem, beweist aber noch nicht, dass Datenbank, Anhänge und Konfiguration konsistent wiederhergestellt werden können.
| Bestandteil | Sicherung | Restore-Prüfung |
|---|---|---|
| SQLite-Datenbank | Vaultwarden-Befehl /vaultwarden backup oder SQLite Online Backup API verwenden | Datenbank in einer getrennten Testinstanz öffnen und Anmeldung sowie Synchronisierung prüfen |
| Anhänge | Verzeichnis attachments getrennt sichern | Mindestens eine Datei aus dem wiederhergestellten Tresor laden |
| Konfiguration | config.json nur verschlüsselt extern speichern, da sensible Werte enthalten sein können | SMTP, Domain, Registrierung und Admin-Konfiguration kontrollieren |
| RSA-Schlüssel | rsa_key* sichern und besonders den privaten Schlüssel schützen | Bestehende Sitzungen und Einladungen nach dem Restore prüfen |
| Serverzustand | Anbieter-Backup oder Snapshot als zusätzliche Ebene nutzen | Wiederherstellungsdauer und Auswirkungen auf neuere Daten dokumentieren |
Ein einfacher Restore-Vertrag
Schreiben Sie vor dem produktiven Start auf, wie lange der Tresor maximal ausfallen darf und wie viele Stunden Datenverlust akzeptabel sind. Daraus folgen Sicherungsintervall und Aufbewahrung. Ein brauchbarer Ablauf besteht aus fünf überprüfbaren Schritten:
- Neue leere Testinstanz oder neuen Server bereitstellen.
- Passende Vaultwarden-Version und Reverse Proxy installieren.
- Datenbank, Anhänge, Konfiguration und Schlüssel aus einer verschlüsselten Kopie einspielen.
- Anmeldung, Synchronisierung, Organisationen, Anhänge und Mehrfaktor-Login testen.
- Zeitbedarf, fehlende Dateien und nötige Korrekturen im Betriebsprotokoll festhalten.
Erst dieser Test zeigt, ob Ihr Backup verwendbar ist. Eine grüne Sicherungsanzeige im Anbieter-Dashboard reicht dafür nicht.
Aktuelle Primärquellen
Alle Quellen wurden am 2. November 2026 geprüft. Anbieterpreise wurden bewusst nicht in den Vergleich kopiert, weil Region, Laufzeit, Steuer, IP und Zusatzfunktionen den Gesamtpreis verändern können.
- Vaultwarden Quellrepository und Releases
- Vaultwarden: Backing up your vault
- Vaultwarden: Proxy examples
- Vaultwarden: Enabling admin page
- Hetzner Cloud Servers overview
- Hetzner Backups and Snapshots
- Hetzner Volumes overview
- Hetzner Cloud Firewalls FAQ
- Hostinger VPS backups and restore
- Hostinger VPS firewall
- DigitalOcean Droplet backups and restore
- DigitalOcean Volume limits and backup boundary
- DigitalOcean Droplet features and Cloud Firewalls
Frequently Asked Questions
Braucht Vaultwarden einen leistungsstarken VPS?
Meist entscheidet nicht die Rechenleistung, sondern der sichere Betrieb. Wählen Sie genug Reserve für Betriebssystem, Container, Reverse Proxy und Updates. Prüfen Sie Speicher- und Plattenverbrauch nach dem Start und skalieren Sie erst bei gemessener Last.
Reicht ein Server-Snapshot als Vaultwarden-Backup?
Nein. Die Vaultwarden-Dokumentation empfiehlt eine eigene Datensicherung und warnt davor, sich nur auf Datei- oder VM-Snapshots zu verlassen. Sichern Sie die Datenbank konsistent sowie Anhänge, Konfiguration und Schlüssel. Bewahren Sie mindestens eine verschlüsselte Kopie außerhalb des VPS auf.
Was muss bei Hetzner zusätzlich gesichert werden?
Hetzner-Backups und Snapshots erfassen die Serverfestplatte, aber keine angehängten Volumes. Liegt das Vaultwarden-Datenverzeichnis auf einem Volume, benötigt es einen getrennten Backup- und Restore-Pfad.
Was ist der praktische Vorteil von Hostinger für Vaultwarden?
Firewall, Sicherungsplan und Wiederherstellung sind direkt im VPS-Dashboard erreichbar. Das senkt den Bedienaufwand, ersetzt aber keine anwendungskonsistente und extern gespeicherte Vaultwarden-Sicherung.
Sollte die Vaultwarden-Adminseite öffentlich erreichbar sein?
Wenn Sie die Adminseite nicht benötigen, deaktivieren Sie sie. Falls sie aktiv bleibt, empfiehlt die Vaultwarden-Dokumentation einen mit Argon2id gehashten Admin-Token. Begrenzen Sie den Zugriff zusätzlich am Reverse Proxy oder auf vertrauenswürdige Netze.