Vaultwarden Passwort Manager auf der Synology DiskStation im Container Manager installieren

Ein eigener Passwort-Manager ist der beste Kompromiss aus maximaler Kontrolle über die eigenen Daten und hohem Alltagskomfort. Genau aus diesem Grund habe ich Vaultwarden bei mir zu Hause exakt auf diese Weise im Einsatz: Ich habe den Passwort-Manager auf meiner Synology DiskStation im Container Manager eingerichtet und betreibe ihn dort produktiv im Alltag. Vaultwarden ist eine in Rust geschriebene, extrem ressourcenschonende Alternative zum offiziellen Bitwarden-Server – perfekt geeignet für den Betrieb auf einer NAS.

In dieser Anleitung zeige ich Schritt für Schritt, wie du Vaultwarden über den Container Manager unter DSM 7 aufsetzt, per Nginx Proxy Manager absicherst, ohne unnötige Risiken im Heimnetz betreibst und das System sauber wartest.

1. Voraussetzungen & Hardware-Check

Bevor es losgeht, stelle sicher, dass deine Umgebung bereit ist:

• Synology DiskStation: Ein Modell mit x86-64-Architektur oder kompatiblem ARM-Prozessor, das den Container Manager unterstützt (DSM 7.3 oder neuer). (Empfehlenswerte NAS-Systeme für Docker-Projekte findest du am Ende des Beitrags).
• Domain: Eine eigene Domain (z. B. vw.meinedomain.tld) oder eine kostenlose Synology-DDNS-Adresse. Eine rein interne Domain im Heimnetz reicht völlig aus!
• Reverse Proxy: Der Nginx Proxy Manager (meine Empfehlung) oder der interne Synology Reverse Proxy. ⚠️Wichtig: HTTPS ist für Vaultwarden zwingend erforderlich, da die Bitwarden-Clients andernfalls den Dienst bzw. Login verweigern – auch im reinen Heimnetzwerk benötigst du daher ein SSL-/TLS-Zertifikat (z. B. ein internes oder per Let’s Encrypt ausgestelltes).

2. Vorbereitung: Container Manager installieren und Ordnerstruktur auf dem NAS anlegen

1. Paket öffnen: Gehe in das Paketzentrum deiner DiskStation und suche nach „Container Manager“.
2. Installieren: Installiere das Paket Container Manager und starte es im Anschluss.
3. File Station öffnen: Öffne die File Station auf deiner Synology DiskStation.
4. Ordner erstellen: Navigiere in den freigegebenen Standard-Ordner /docker/.
5. Pfad anlegen: Erstelle dort einen neuen Unterordnerpfad: /docker/vaultwarden/data/.

⚠️Wichtig: An diesem Ort werden später alle Vaultwarden-Daten, Tresore und Einstellungen abgelegt. Die Verwendung eines persistenten, externen Volumes ist essenziell, damit deine sensiblen Daten bei künftigen Container-Updates nicht verloren gehen.

3. Die docker-compose.yaml vorbereiten

Wir nutzen Docker Compose, da es die Konfiguration übersichtlich und portabel hält.

⚠️ Wichtiger Sicherheitshinweis zur Docker-Tag-Wahl:

Verwende kein latest-Tag bei essentiellen Applikationen wie Passwort-Managern! Setze stattdessen auf eine feste Versionsnummer (z. B. 1.37.0). So verhinderst du, dass ungetestete automatische Updates dein System unbemerkt lahmlegen oder Inkompatibilitäten erzeugen.
Die Versionsänderungen kannst Du hier einsehen: Vaultwarden Release Notes

Erstelle den Inhalt deiner docker-compose.yaml wie folgt:

YAML

version: '3'

services:
  vaultwarden:
    image: vaultwarden/server:1.37.0
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      # ACHTUNG: Admin-Token im Klartext nur temporär für den Erststart!
      ADMIN_TOKEN: "dOxZYTTZgXKMHkqLBIQVImayQXAVWdzGBPuFJKggzcgvgPJPXpWzqzKaUOIOGGIr"
      DISABLE_ADMIN_TOKEN: "false"
      DOMAIN: "https://vw.meinedomain.tld"
      TZ: "Europe/Berlin"
    volumes:
      - /volume1/docker/vaultwarden/data/:/data/
    ports:
      # Nur lokal/interne Bindung – der Zugriff erfolgt gesteuert über den Reverse Proxy
      - 127.0.0.1:5151:80

☝️Kopiere oder hinterlege die docker-compose.yaml Datei auf der Synology über die File Station im docker/vaultwarden Ordner. Von dort kannst du sie im nächsten Schritt beim Anlegen des Containers direk verwenden.

⚠️ Firewall-Hinweis: Falls die Synology-eigene Firewall aktiv ist, denke daran, den internen Port (hier 5151) in den Regelwerke-Einstellungen freizugeben.

4. Projekt im Synology Container Manager anlegen

1. Container Manager öffnen: Öffne den Container Manager in DSM.
2. Projekt starten: Klicke im linken Menü auf Projekt und oben rechts auf Erstellen.
3. Projektdetails eingeben:
   • Projektname: vaultwarden
   • Pfad: Wähle den zuvor erstellten Ordner /docker/vaultwarden aus.
   • Quelle: Wähle die Option „docker-compose.yaml hochladen“ aus wenn du das File wie gerade beschrieben schon erstellt hast, oder wähle die Option „docker-compose.yaml erstellen“ aus und füge den entsprechenden Konfigurationscode in den Editor ein.
4. Abschließen: Klicke dich durch den Assistenten und schließe die Erstellung ab. Der Container wird nun automatisch heruntergeladen, eingerichtet und gestartet.

5. Reverse Proxy & DNS konfigurieren (Nginx Proxy Manager)

Damit die Bitwarden-Apps und Browser-Erweiterungen funktionieren, benötigt Vaultwarden eine gültige HTTPS-Verschlüsselung.

DNS-Eintrag setzen (z. B. UniFi / FRITZ!Box / Cloudflare)

Lege in deinem lokalen Router (z. B. UniFi Controller oder FritzBox!) einen A-Record für deine Subdomain an:

• vw.meinedomain.tld ➔ Verweist auf die IP-Adresse deines Reverse Proxies.

Nginx Proxy Manager einrichten

• Erstelle im Nginx Proxy Manager einen neuen Proxy Host und konfiguriere ihn mit folgenden Parametern:
• Domain Names: vw.meinedomain.tld
• Scheme: http
• Forward Hostname / IP: Die IP-Adresse deiner DiskStation
• Forward Port: 5151 (oder der Port, den du in deiner docker-compose.yaml für Vaultwarden definiert hast)
• Aktivieren: Websockets Support (dies ist essenziell für die Live-Synchronisation der Tresore über alle Geräte hinweg!)

SSL-Zertifikat hinterlegen:

Wechsle in den SSL-Tab, wähle ein bestehendes SSL-Zertifikat aus oder fordere ein neues Let’s Encrypt-Zertifikat an. Aktiviere unbedingt die Option Force SSL, damit alle Verbindungen erzwingend über HTTPS laufen.

6. Sicherheits-Strategie: Braucht Vaultwarden Internet-Zugriff?

Hier scheiden sich oft die Geister, aber aus Sicherheitssicht lautet die klare Empfehlung: Mache deinen Passwort-Tresor NICHT direkt aus dem Internet erreichbar!

Warum die Offline-Nutzung problemlos funktioniert

Viele glauben, dass Bitwarden/Vaultwarden ohne permanente Verbindung zum Internet-Server unbrauchbar wird. Das stimmt nicht:

• Die Browser-Erweiterungen und Smartphone-Apps speichern eine lokale, verschlüsselte Kopie deines Tresors auf deinen Endgeräten.
• Du kannst deine Passwörter, Logins und Notizen jederzeit vollumfänglich einsehen, kopieren und nutzen – auch komplett offline.
• Das Einzige, was ohne Verbindung fehlt: Der Abgleich (Sync) von neu angelegten oder geänderten Passwörtern mit dem Server auf der DiskStation.

Die zwei sicheren Wege zur Synchronisation

Anstatt deinen Vaultwarden-Server per Port-Freigabe im Router für das gesamte Internet (und damit für automatisierte Bots) zu öffnen, wähle eine dieser zwei Methoden:

1. Sync nur im Heimnetzwerk (Maximale Sicherheit): Vaultwarden ist nur erreichbar, wenn deine Geräte mit dem heimischen WLAN verbunden sind. Neue Passwörter werden automatisch abgeglichen, sobald du nach Hause kommst. Für die allermeisten Anwendungsfälle reicht das vollkommen aus.
2. Sync von unterwegs via VPN (Der beste Kompromiss): Möchtest du unterwegs ein neues Passwort anlegen und sofort auf dem Server sichern, verbinde dein Smartphone oder Notebook kurz über ein sicheres VPN mit deinem Heimnetzwerk.
   Empfehlung: Nutze moderne, schnelle Protokolle wie WireGuard (z. B. direkt über UniFi oder die FRITZ!Box) oder ein Mesh-VPN wie Tailscale.
   Sobald der VPN-Tunnel steht, verhält sich das Gerät wie zu Hause im WLAN – der Vaultwarden-Sync läuft sicher und verschlüsselt durch den Tunnel.

7. Erstanschluss & Client-Einrichtung

1. Rufe deine Domain https://vw.meinedomain.tld im Browser auf.
2. Registriere deinen Haupt-User und vergebe ein sehr starkes Master-Passwort.
3. Daten importieren: Falls du von Bitwarden, 1Password oder KeePass wechselst, kannst du deinen Tresor direkt über Tools ➔ Daten importieren einspielen.
   

Bitwarden Browser-Erweiterung & Mobile App verbinden

Da Vaultwarden vollständig API-kompatibel zum offiziellen Bitwarden ist, nutzt du einfach die regulären Bitwarden-Apps:

1. Lade die Bitwarden-Erweiterung oder App auf deine Geräte.
2. Klicke vor dem Login auf das Zahnrad-Symbol (Einstellungen).
3. Öffne den Bereich „Self-Hosted-Environment“
4. Trage unter Server-URL deine eigene Domain ein: https://vw.meinedomain.tld.
5. Melde dich ganz normal mit deiner E-Mail und dem Master-Passwort an.

8. Das Admin Panel: Funktionen & optimale Absicherung

Vaultwarden besitzt ein mächtiges, integriertes Admin-Dashboard (https://vw.meinedomain.tld/admin), das standardmäßig deaktiviert ist, solange kein ADMIN_TOKEN vergeben wurde. Über dieses Panel hast du die volle Kontrolle über deine Instanz, ohne in Datenbanken oder Konfigurationsdateien eingreifen zu müssen.

Was kannst du im Admin Panel steuern?

• Benutzerverwaltung: Sieh ein, welche Konten existieren, lösche ungenutzte Accounts oder lade neue Benutzer direkt per E-Mail ein.
• Registrierungen steuern: Du kannst die offene Registrierung neuer Benutzer global deaktivieren, damit sich keine fremden Personen auf deiner Instanz einrichten können.
• Organisationen verwalten: Erstelle Gruppen und erstelle Zugriffsrechte für Familienmitglieder oder Teams.
• System-Sicherheit: Verwalte globale Einstellungen wie Zwei-Faktor-Authentifizierung (2FA), SMTP-Server für den E-Mail-Versand oder Benachrichtigungen.

---

Schritt-für-Schritt: Admin-Zugang per Argon2id sicher konfigurieren

Das Admin-Panel ist das Herzstück deiner Instanz. Ein Klartext-Token in der docker-compose.yaml stellt ein Sicherheitsrisiko dar (z. B. wenn Backups unverschlüsselt gespeichert werden). Vaultwarden nutzt daher Argon2id-Hashing für ein sicheres Admin-Token.

1. Hash-Token generieren:
Generiere dir dein verschlüsseltes Token direkt im Terminal deiner Synology (per SSH) oder über einen Linux-Rechner mit folgendem Befehl:
„`bash
argon2 „$(openssl rand -base64 32)“ -e

Die Ausgabe sieht etwa so aus: $argon2id$v=19$m=65536,t=3,p=4$abc...

2. Token in der docker-compose.yaml eintragen: ⚠️ Wichtiger Syntaktischer Hinweis für Docker Compose: Docker interpretert einfache $-Zeichen als Variable. Um Syntaxfehler beim Projektstart im Container Manager zu vermeiden, musst du jedes einfache $-Zeichen im generierten Hash durch ein doppelts $$-Zeichen ersetzen!

Passe deine docker-compose.yaml wie folgt an:

Beispiel:

YAML

environment:
  # Doppelte $$ Maskierung für Docker Compose:
  ADMIN_TOKEN: "$$argon2id$$v=19$$m=65536,t=3,p=4$$PHR…DEIN_HASH…"
  DISABLE_ADMIN_TOKEN: "false"

Alternativ: Rufe die Admin-Oberfläche direkt im Browser auf (https://vw.meinedomain.tld/admin), trage das unverschlüsselte Token dort ein (ohne Hochkommas ' am Anfang und Ende) und konfiguriere die Einstellungen bequem über das Web-UI.

3. Admin-Panel nach Erstvergabe komplett abschalten (Best Practice): Benötigst du das Admin-Panel im Alltag gar nicht mehr, kannst du es nach der Ersteinrichtung aus Sicherheitsgründen vollständig deaktivieren. Setze dazu in deiner docker-compose.yaml einfach: DISABLE_ADMIN_TOKEN: "true"

Nach einem Neustart des Projekts ist die /admin-Route komplett gesperrt.

9. Wartung & Updates durchführen

Da wir aus Sicherheitsgründen keine automatischen Updates per :latest-Tag nutzen, führen wir Updates kontrolliert manuell durch:

1. Projekt stoppen: Öffne den Container Manager in DSM, navigiere zu Projekt, wähle dein Vaultwarden-Projekt aus und klicke auf Aktion ➔ Stoppen.
2. Versionsnummer anpassen: Klicke bei gestopptem Projekt auf Details ➔ YAML-Konfiguration (oder direkt auf Bearbeiten). Ändere im Code das Image-Tag auf die gewünschte neue Version (z. B. image: vaultwarden/server:1.38.0) und sichere die Datei.
3. Container neu aufbauen: Klicke im Menü auf Aktion ➔ Erstellen (bzw. Bauen / Starten). Der Container Manager erkennt die neue Versionsnummer, lädt das passende Image automatisch aus der Registry herunter und setzt den Container mit deiner bestehenden Konfiguration neu auf.
4. Alte Images aufräumen (optional): Da deine Daten im eingebundenen Ordner /docker/vaultwarden/data/ liegen, bleibt deine Datenbank unberührt. Das alte Image der vorherigen Version verbleibt als Leiche auf der DiskStation – du kannst es im linken Menü unter Image ganz einfach markieren und löschen.

Fazit & Hardware-Empfehlungen

Vaultwarden auf der Synology DiskStation bietet maximale Kontrolle über deine sensiblen Passwörter – ohne wiederkehrende Abogebühren. Dank Docker Compose und Nginx Proxy Manager ist die Einrichtung schnell erledigt und bietet in Kombination mit einer VPN-Lösung das höchste Maß an Datensicherheit.

❗Gerne darfst du natürllich auch meinen YouTube Kanal ➡️ „Haus und Technik“ besuchen. Dort findest Du weitere spannende Inhalte. Ich würde mich freuen! 😊