Das Selbst-Hosting Ihres Passwortspeichers beseitigt die eine Sicherheitslücke, die Sie von allem ausschließen könnte
Als LastPass-Nutzer 2023 von ihren eigenen Tresoren ausgesperrt wurden, lag das nicht daran, dass die Hacker irgendetwas geknackt hätten. Es lag daran, dass LastPass eine erzwungene MFA-Neusynchronisierung durchführte, um die Tresorverschlüsselung nach dem Sicherheitsvorfall zu verstärken, und ein Teil der Nutzer in einer Schleife stecken blieb, aus der sie nicht entkommen konnten. Ihr Authentifikator synchronisierte nicht, die E-Mail zum Zurücksetzen des Master-Passworts kam nie an, und der einzige Weg, den Support zu kontaktieren, war, sich in das Konto einzuloggen, in das sie sich nicht einloggen konnten. Der Sicherheitsvorfall ereignete sich 2022. Das Aussperren geschah Monate später und kam von LastPass.
Bis dahin hatte ich KeePass schon seit Jahren zeitweise benutzt, also hatte ich mich bereits von diesem Ausfallmodus ausgeschlossen. Kein Unternehmen würde an einem Dienstag eine Migration zu meinem Tresor erzwingen, weil kein Unternehmen meinen Tresor betreibt. Selbsthosting lässt diese Probleme nicht verschwinden; es gibt sie dir zurück. Das Selbsthosten deines Passworttresors ist eine praktische, sichere und kostengünstige Möglichkeit, einen Passwortmanager zu betreiben, vorausgesetzt, du bist bereit, grundlegende Server- und Sicherheitswartung selbst zu übernehmen.
Die LastPass-Sperren wurden nicht durch Hacker verursacht
Wie ein Sicherheitsfix den Zugang für zahlende Nutzer blockierte
Der ursprüngliche LastPass-Einbruch im Jahr 2022 war an sich schon schlimm genug. Angreifer gingen mit verschlüsselten Tresor-Backups und einer langen Liste von Metadaten davon, einschließlich der URLs jeder Website, die jeder Benutzer gespeichert hatte. Keine der Hauptpasswörter wurde geleakt, aber jeder mit einem schwachen Passwort befand sich effektiv auf einem langen, stillen Timer, während die Angreifer offline arbeiteten.
Was diese Sicherheitslücke für einige Benutzer zu einem Ausschluss machte, war die darauf folgende Behebung. LastPass hatte ältere Konten mit niedrigen PBKDF2-Iterationszahlen stillschweigend weitergeführt, was das Offline-Knacken schneller machte, als es hätte sein sollen. Um dies zu beheben, führte das Unternehmen automatische Iterations-Upgrades und eine erzwungene Re-Authentifizierung ein, die von den Benutzern verlangte, die Multi-Faktor-Authentifizierung auf jedem Gerät erneut einzurichten. Bei Konten, bei denen die Authenticator-App abgewichen war, die Wiederherstellungs-E-Mail veraltet war oder das Gerät ersetzt wurde, wurde der neue MFA-Prozess einfach nicht abgeschlossen.
Der Haken war, dass der einzige Weg, ein feststeckendes Konto eskalieren zu lassen, über den Support verlief, und das Support-Portal erwartete, dass man angemeldet war. Die Leute berichteten, wochenlang in dieser Schleife zu sitzen. Die Tresordaten waren sicher, die Verschlüsselung war jetzt stärker, und der Benutzer konnte die Datei immer noch nicht öffnen. Viele dieser Benutzer wechselten schließlich aus genau diesem Grund von LastPass zu Bitwarden.
Ein selbst gehostetes Vault legt jede dieser Entscheidungen auf Ihren Tisch
Sie entscheiden, wann Sie migrieren, Schlüssel drehen oder eine erneute Authentifizierung erzwingen.
Ein selbst gehostetes Vault macht die Verschlüsselung nicht stärker als ein Cloud-Vault. Was sich ändert, ist, wer die Schalter umlegt. Das MFA-Resync, das Upgrade der Iterationen, das erzwungene erneute Einloggen, die Support-Warteschlange - all das liegt in deiner Verantwortung. Wenn du entscheidest, dass deine Konten am Dienstag die Zwei-Faktor-Authentifizierung neu einrichten müssen, kannst du es für einen Sonntagmorgen planen, an dem du am Rechner sitzt.
Das bedeutet auch, dass Ihr Tresor nicht auf einer Infrastruktur sitzt, die Sie nicht sehen können. Ihre verschlüsselte Datenbank lebt auf einem Linux-VPS, einem Heimserver oder welchem Gerät auch immer Sie vertrauen, und Sie können eigene Kontrollen darüber legen: Firewall-Regeln, eingeschränkter SSH-Zugang, IP-Whitelist und Zugriff über ein VPN, wenn Sie den Dienst überhaupt nicht exponieren möchten.
Die Kostenstruktur ist ähnlich umgekehrt. Ein VPS mit 1 vCPU und 1 GB RAM reicht aus, um Vaultwarden zu betreiben, und derselbe Server kann auch andere Dienste hosten. Es gibt keine zusätzlichen Gebühren pro Benutzer, was das Selbst-Hosting für eine Familie oder ein kleines Team leicht rechtfertigt. Für alle, die bereits selbstgehostete Dienste wie einen privaten Cloud-Server betreiben, ist es nur ein weiterer Container im Stack.
Der ehrliche Gegenpunkt ist, dass man auch den operativen Ballast erbt. Updates, Backups, Zertifikatserneuerungen, Überwachung und gelegentliche Neustarts um 2 Uhr morgens sind jetzt dein Problem. Ein veraltetes Vaultwarden-Image, ein abgelaufenes TLS-Zertifikat oder eine falsch konfigurierte Firewall-Regel können dich genauso effektiv aussperren wie die MFA-Neusynchronisation von LastPass. Der Unterschied ist, dass die Person, die es kaputt gemacht hat, dieselbe Person ist, die es wieder reparieren kann.
Vaultwarden bietet Ihnen das Bitwarden-Erlebnis
Ein leichter Rust-Server, der das Bitwarden-Protokoll unterstützt
Der Grund, warum ich Vaultwarden gegenüber anderen selbstgehosteten Optionen empfehlen würde, ist, dass man nicht das Gefühl hat, tatsächlich ein anderes Produkt zu benutzen. Vaultwarden ist eine Rust-Neuimplementierung der Bitwarden-Server-API. Von der Client-Seite aus verhält es sich genau wie ein Bitwarden-Server, sodass das offizielle Bitwarden-Web-Tresor, Browser-Erweiterungen, Desktop-Apps, Mobile-Apps und die bw-CLI alle ohne benutzerdefinierte Plugins oder Forks darauf zugreifen.
Die Einrichtung ist auch ungewöhnlich leicht. Das offizielle Docker-Compose-Beispiel besteht aus einem einzigen Dienst plus einem Volume und einem Admin-Token, und der Server selbst verwendet typischerweise weniger als 100 MB RAM. Sie können ihn auf einem kleinen VPS, einem alten Laptop oder einem Raspberry Pi betreiben, ohne irgendetwas zu belasten.
Es gibt weitere selbst gehostete Optionen. KeePass und seine Forks arbeiten vollständig offline und lassen sich gut mit cloud-synchronisierten KDBX-Dateien kombinieren, und Passbolt ist eine solide Wahl für Teams, die eine granulare Freigabe benötigen. Der offizielle selbst gehostete Bitwarden-Server ist der vollständigste, aber auch schwerfällig, da er MSSQL und mehrere Dienste in einem Stack bündelt, der für Unternehmensbereitstellungen ausgelegt ist.
Vaultwarden befindet sich im idealen Bereich für die meisten Privatanwender und kleinen Teams. Sie erhalten die Politur der offiziellen Bitwarden-Clients auf jedem Gerät, echte plattformübergreifende Synchronisierung über Ihren eigenen HTTPS-Endpunkt und eine vollständige Funktionsparität für die Dinge, die täglich verwendet werden, einschließlich Anmeldungen, Ordnern, Anhängen, TOTP-Codes, Organisationen und Passwortgenerierung. Der Kompromiss besteht darin, dass es kein offizielles Bitwarden-Produkt ist, sodass Sie einem separaten (gut gepflegten) Open-Source-Projekt für den Server vertrauen.
Eigenes Hosting funktioniert, wenn Sie bereit sind, es zu warten
Das Selbst-Hosting eines Passwort-Tresors ist eine praktische, kostengünstige Möglichkeit, die Art von Fehlern auf der Anbieter-Seite zu vermeiden, die LastPass-Benutzer von ihren eigenen Daten ausgeschlossen haben. Vaultwarden macht es so zugänglich, dass man kein Systemadministrator sein muss, um es zum Laufen zu bringen, und die offiziellen Bitwarden-Clients halten die tägliche Nutzung vertraut.
Diese Zugänglichkeit nimmt die Verantwortung jedoch nicht weg. Sie müssen das Betriebssystem aktuell halten, das Vaultwarden-Image auf dem neuesten Stand halten und Backups überprüfen sowie die Box mit SSH-Schlüsseln, einer Firewall und Zwei-Faktor-Authentifizierung im Vault selbst absichern. Wenn Sie diese Wartung durchführen, ist das Self-Hosting tatsächlich die bessere Option. Wenn nicht, ist ein verwalteter Dienst mit einer starken Erfolgsbilanz die sicherere Wahl, auch wenn es Kompromisse gibt.