Bitwarden Bitwarden Test 2026: der Open-Source-Pick mit Self-Hosting-Option
Bitwarden ist die Open-Source-Alternative zu 1Password mit großzügigstem Free-Plan am Markt und einer einzigartigen Self-Hosting-Option (Vaultwarden). Für DSGVO-Hardliner mit eigenem Server-Knowhow + Tech-Scale-Ups mit Cost-Awareness ist Bitwarden 2026 die strukturell richtige Wahl.
Veröffentlicht: 2026-05-21 · Datenbasis: Bitwardens Audit- und Compliance-Seite, GitHub-Code-Reviews, DACH-Privacy-Community-Berichte.
Open-Source-Pick mit unschlagbarem Free-Plan + Self-Hosting-Option.
Die Gesamtnote gewichtet diese Dimensionen redaktionell – sie ist kein Mittelwert der Balken und liegt immer innerhalb ihrer Spannweite. Wie wir bewerten
DSGVO-konform · EU-Cloud-Region bei Registrierung wählbar
Open-Source · Free-Plan · Vaultwarden via Docker
Bitwarden Free starten →
So entstand diese Analyse
Methodik:
- Open-Source-Audit: Bitwarden + Vaultwarden Repositories auf GitHub stichprobenhaft auf Architektur und Telemetrie geprüft.
- Security-Audit-Reports: Bitwardens Compliance-Seite (bitwarden.com/help/is-bitwarden-audited) am 27.09.2026 Zeile für Zeile ausgezählt – jährliche Pen-Tests seit 2020, überwiegend durch Cure53 (16 der 25 Berichte), dazu Insight Risk Consulting (2020, 2021), IOActive, Mandiant und Paragon Initiative Enterprises (2024), Fracture Labs (2024, 2025), Unit 42 by Palo Alto Networks (2025) sowie ein Krypto-Gutachten der Applied Cryptography Group der ETH Zürich (2025).
- Vaultwarden-Setup-Verifikation: Docker-Compose-Datei + Caddy-Config + Backup-Strategie aus dem Vaultwarden-Wiki dokumentiert.
- Pricing-Verifikation: Bitwarden.com Pricing-Page + Wayback-Machine-Vergleich der letzten 12 Monate.
- Community-Berichte: r/Bitwarden, r/selfhosted, r/Privacy für reale Vaultwarden-Praxis-Erfahrungen.
- Vergleichsmaßstab: 1Password (Praxis-getestet bei ToolsPick), Proton Pass parallel als Konkurrenz-Referenz.
Pricing-Pläne im Überblick
Free
0 USD / Monat
dauerhaft kostenlos · für Bootstrap-Solos
- Unbegrenzte Passwörter + Items
- Unbegrenzte Geräte (1Password hat keinen Free-Tier)
- Browser-Extensions + mobile Apps
- Watchtower-Basic (Have-I-Been-Pwned-Check)
Premium
1,65 USD/Mo (19,80 USD/Jahr)
jährlich · für Power-User
- Alles aus Free
- TOTP-2FA-Codes im Vault
- 1 GB verschlüsselter Datei-Storage
- Emergency Access (Recovery via Vertrauensperson)
- Priorität-Support
Families
3,99 USD/Mo ($47,88/Jahr)
jährlich · 6 User · Familien-Sweet-Spot
- Alles aus Premium für 6 User
- Geteilte Familien-Vaults
- 1Password Families 4,31 €/Monat (Listenpreis 5,75 €) – Aktionspreis im ersten Jahr, native EUR
Teams
4 USD/Nutzer/Monat
jährlich · für Business + Tech-Scale-Ups
- Alles aus Premium für Team-User
- Granulare Vault-Berechtigungen
- SCIM-Provisioning (Enterprise)
- Audit-Logs für Compliance
- vs 1Password Business (8,99 USD/Nutzer/Monat): rund 56 % günstiger
Stand 28.10.2026 · Bitwarden-Preise USD-basiert (DACH ≈ EUR-Gegenwert) · Premium 01/2026 von 10 auf 19,80 $/Jahr erhöht · Self-Hosting via Vaultwarden: 0 € Lizenz + 7,13 €/Monat brutto für einen Hetzner CX23.
Zwischenfazit: Wenn du noch keinen Passwort-Manager hast: Bitwarden Free in 5 Min installiert. Unbegrenzte Passwörter + Geräte ohne Zahlungsdaten. Später upgraden wenn nötig.
Auf einen Blick
| Anbieter | Bitwarden Inc. (Hauptsitz Santa Barbara, Kalifornien · Inkorporation Florida) – gegründet 2016 |
|---|---|
| Server-Standort | USA oder EU – in der Cloud wählbar: „The Bitwarden cloud is available globally with data storage in both United States and European Union regions“; die Region wählst du im Server-Dropdown bei der Registrierung. Regionen sind getrennt, ein späterer Wechsel geht nur über Export und Neuanlage (geprüft 30.08.2026) |
| Vertragspartner | US-Inc. (mit SCC) – bei Self-Hosting: dein Hosting-Provider |
| Open-Source | Ja (Server + alle Apps auf GitHub) |
| Architektur | Zero-Knowledge · PBKDF2 mit 600.000+ Iterationen · optional Argon2id |
| Verschlüsselung | AES-256-CBC + HMAC-SHA-256 |
| Audits | 25 Berichte öffentlich auf bitwarden.com, ältester von 2018, lückenlos jährlich seit 2020 (Stand 04.11.2026) – je einer 2018 und 2020, zwei 2021, zwei 2022, fünf 2023, fünf 2024, neun 2025. Cure53 stellt davon 16: je einen 2018 und 2021, zwei 2022, fünf 2023, einen 2024, sechs 2025 · Insight Risk Consulting (2020, 2021) · IOActive, Mandiant und Paragon Initiative Enterprises (2024) · Fracture Labs (2024, 2025) · Unit 42 by Palo Alto Networks und Applied Cryptography Group der ETH Zürich (2025) |
| Zertifikate | ISO 27001 · SOC 2 Type 2 + SOC 3 · HIPAA (jährliches Drittanbieter-Audit) · Data Privacy Framework |
| Free-Plan-Großzügigkeit | Unbegrenzte Passwörter + Geräte |
| Self-Hosting | Ja (Vaultwarden inoffiziell, Bitwarden offizielle Self-Hosted-Edition für Enterprise) |
| Apps | macOS, Windows, Linux, iOS, Android, alle Browser + CLI |
| Passkey-Support | Ja (seit 2023) |
| TOTP-2FA-Storage | Premium-Plan (1,65 USD/Mo) |
| Emergency Access | Native (besser als 1Password's Emergency Kit) |
| SSO (Business) | SAML, OIDC, SCIM-Provisioning ab Enterprise |
| Geschäfts-AVV | Kein öffentliches Vertragsdokument – nur GDPR-/SCC-/DPF-Zusage auf der Compliance-Seite (geprüft 15.09.2026) |
| Sprachen App | Deutsch verfügbar (Community-Übersetzung) |
| Support | Ticket-Formular rund um die Uhr · Community-Forum · Hilfe-Center teilweise auf Deutsch · keine Support-Rufnummer genannt, Support-Sprache nicht zugesagt (geprüft 25.09.2026) |
| Pricing-Währung | USD – die Preisseite weist nur Dollar aus („Pricing shown in USD“) |
Was Bitwarden gewinnt
1. Open-Source ist konkrete Compliance-Stärke
Vollständige Auditierbarkeit des Codes auf GitHub – Server, Apps, Browser-Erweiterungen. Sicherheitsforscher:innen können die Architektur unabhängig prüfen. Für DSGVO-Audit-Setups in regulierten Branchen ist das ein konkretes Compliance-Asset. Bei 1Password musst du dich auf die Zertifikate und Pen-Test-Reports verlassen – Code-Audit nicht möglich. Wichtig zur Einordnung: Bitwarden hat dieselben formalen Nachweise zusätzlich zum offenen Code – ISO 27001, SOC 2 Type 2, SOC 3 und, im Wortlaut der Compliance-Seite, „HIPAA compliant and undergoes annual third-party audits for HIPAA Security Rule compliance“ (bitwarden.com/compliance, geprüft 14.09.2026). Open Source ersetzt hier keine Zertifizierung, es kommt oben drauf.
2. Free-Plan ist unschlagbar großzügig
Unbegrenzte Passwörter, unbegrenzte Geräte, alle Browser-Erweiterungen + mobile Apps. Die einzige Limitierung: kein TOTP-Code-Storage im Vault (Premium 1,65 USD/Mo schließt diese Lücke). 1Password hat keinen Free-Tier – nur 14 Tage Trial. Für Bootstrap-Solo-Selbstständige + Studierende reicht Bitwarden Free oft jahrelang ohne Zahlung.
3. Self-Hosting via Vaultwarden gibt volle Daten-Kontrolle
Vaultwarden ist eine inoffizielle Bitwarden-Server-Implementation in Rust – 100 % kompatibel mit allen offiziellen Bitwarden-Apps. Setup auf einem Hetzner CX23 (7,13 €/Monat brutto) mit Docker + Caddy-SSL + automatischem S3-Backup: ~2-3 Stunden einmalig. Für DSGVO-Hardliner mit eigenem Server-Knowhow ist das die rechtssicherste Passwort-Manager-Architektur am Markt – und gleichzeitig mathematisch sicher wie die Cloud-Variante.
4. Pro-User-Pricing für Teams ist konkurrenzlos
Teams 4 USD/Nutzer/Monat vs 1Password Business 7,99 €/Nutzer/Monat – 1Password nennt für Business auf derselben Preisseite auch einen Dollar-Preis, 8,99 USD/Nutzer/Monat. In Dollar gerechnet ist Bitwarden rund 56 % günstiger. Für ein 20-Personen-Tech-Team über 3 Jahre: Bitwarden 2.880 USD, 1Password 6.472,80 USD (5.752,80 € zum Euro-Preis). Bei einem 50-Personen-Team spart Bitwarden über 3 Jahre 8.982 USD – eine Differenz in Euro wäre eine Umrechnung, keine Preisangabe. Mit Self-Hosting: praktisch kostenlos (nur Hosting + Maintenance).
5. Native Emergency Access ist robuster
Bitwarden hat ein eingebautes Emergency-Access-Feature: du kannst Vertrauenspersonen designieren, die nach einem konfigurierbaren Wartezeit-Fenster (z. B. 7 Tage) Zugriff bekommen, falls du es nicht rechtzeitig abblockst. 1Password's Recovery erfolgt über das physische Emergency Kit (PDF mit Secret Key) – funktioniert, aber weniger ergonomisch für unerwartete Notfälle.
6. EUR-Pricing ohne Wechselkurs-Risiko
Bitwarden rechnet für Geschäftskunden in US-Dollar ab (Teams 4 USD, Enterprise 6 USD pro Nutzer:in und Monat) – bei DACH-Abrechnung in Euro bleibt damit ein Wechselkurs-Rest. Anders als hier früher stand, ist das kein Vorteil gegenüber 1Password: Das weist deutschen Kund:innen eine native Euro-Preisliste aus (Business 7,99 €/Nutzer:in und Monat). Wer Wechselkurs-Risiko ganz vermeiden will, ist bei Proton Pass oder NordPass richtig – beide führen EUR-Listen.
Wo es schwierig wird
1. UX-Polish hinter 1Password
Browser-Extension-Auto-Fill funktioniert, ist aber bei komplexen Formularen (mehrstufige Login-Flows, manche SaaS-Tools mit Custom-Feldern) weniger verlässlich als 1Password. Mobile-Apps sind funktional aber visuell weniger poliert. Für Family-Vault-Workflows mit nicht-tech-affinen Familienmitgliedern: 1Password ergonomischer.
2. Self-Hosting erfordert IT-Knowhow
Vaultwarden-Setup ist überschaubar (~2-3 Stunden Initial-Setup), aber erfordert Docker-Grundkenntnisse + Caddy-/Nginx-Reverse-Proxy + SSL-Zertifikat + automatisches Backup-Konzept. Für Solo-Selbstständige ohne IT-Background ist die Cloud-Variante (Bitwarden.com Premium 1,65 USD/Mo) der pragmatischere Pfad.
3. US-Sitz in Cloud-Variante
Bitwarden Inc. sitzt in den USA – das ist Schrems-II-formal angreifbar. Dazu kommt eine Lücke, die vielen erst im Audit auffällt: Bitwarden veröffentlicht kein eigenständiges AVV-Dokument. Die Compliance-Seite sagt zu, man halte „GDPR, current EU data protection rules, and EU Standard Contractual Clauses (SCCs)“ ein und sei nach dem Data Privacy Framework zertifiziert – einen Vertragstext nach Art. 28 DSGVO zum Herunterladen oder Zeichnen gibt es dort nicht, und auch nicht in Terms, Datenschutzerklärung oder Hilfe-Center (geprüft 15.09.2026). Wer den AVV fürs Verzeichnis braucht, muss ihn beim Anbieter anfragen und bekommt keine Zusage vorab zu sehen. Für DSGVO-Hardliner ist Self-Hosting die rechtssicherere Wahl. Alternativ: Proton Pass (Schweizer Sitz) als Cloud-Alternative ohne Self-Hosting-Aufwand – dort ist der AVV Vertragsbestandteil und öffentlich lesbar.
4. Deutschsprachiger Support ist nicht zugesagt
Support läuft über ein Ticket-Formular, das Hilfe-Center und das Community-Forum. Eine Support-Rufnummer nennt Bitwarden weder auf der Kontakt- noch auf der Support-, Preis- oder Vertriebsseite – auf diesen Seiten und in den Nutzungsbedingungen steht überhaupt keine Rufnummer, gefunden haben wir eine nur im Datenschutz-Kontaktblock neben privacypolicy@bitwarden.com. Und ob Tickets auf Deutsch beantwortet werden, sagt Bitwarden nirgends zu: Das Kontaktformular ist bis auf ein Feld auf Deutsch, das Hilfe-Center nur teilweise – dort stehen die Artikelüberschriften gemischt auf Deutsch und Englisch. Ein deutschsprachiges Support-Team ist uns nicht bekannt (geprüft 25.09.2026). Das Community-Forum deckt DACH-spezifische Themen (Passwort-Manager-Compliance unter BSI-Empfehlungen oder NIS-2-Richtlinie) nur eingeschränkt ab – bei tieferen Compliance-Fragen bleibt eigene Recherche oder ein DSGVO-Berater.
Vaultwarden Self-Hosting auf Hetzner: Schnell-Anleitung
Da Self-Hosting der zentrale Bitwarden-Vorteil ist, hier eine kompakte Schritt-für-Schritt-Skizze (vollständige Dokumentation auf vaultwarden.dev/wiki):
- Hetzner-VPS aufsetzen (~5 Min): CX23 für 7,13 €/Monat in Falkenstein. Ubuntu 24.04 LTS. SSH-Key statt Passwort.
- Domain auf VPS zeigen (~5 Min): A-Record für vault.example.de auf VPS-IP. Wartezeit für DNS-Propagation (~10-30 Min).
- Server härten (~15 Min): ufw-Firewall, unattended-upgrades, fail2ban – Standard-Hetzner-Hardening.
- Docker installieren (~10 Min): apt install docker.io docker-compose-plugin.
- Vaultwarden + Caddy via docker-compose (~30 Min): docker-compose.yml mit beiden Services, Caddy übernimmt SSL via Let's Encrypt automatisch.
- Erste Anmeldung (~5 Min): Vault-Account erstellen → Browser-Extensions installieren → Server-URL auf https://vault.example.de setzen.
- Backup-Workflow (~30 Min): Cron-Job für tägliches Backup der Vaultwarden-DB zu Hetzner Storage Box oder S3. Verschlüsselte Backups via gpg.
Gesamt-Setup-Zeit: ~2 Stunden einmalig. Danach läuft das System jahrelang ohne aktive Wartung außer Docker-Image-Updates (~10 Min/Quartal). Familie/Team nutzt offizielle Bitwarden-Apps mit deinem Self-Hosted-Server.
Hinweis: Vaultwarden ist ein inoffizielles Drittprojekt (Bitwarden-kompatibel, aber nicht von Bitwarden Inc. selbst entwickelt). Die Bitwarden-Apps und das offizielle Protokoll bleiben mit Vaultwarden kompatibel – Bitwarden Inc. ändert in der Regel nichts ohne längeren Forwarning. Für Production-Setups ist Vaultwarden seit Jahren stabil eingesetzt (Stand 04.11.2026: 70.235 GitHub-Sterne, aktive Maintenance).
Für wen lohnt sich Bitwarden?
Gut geeignet für…
- Bootstrap-Solo-Selbstständige + Studierende (Free unbegrenzt)
- DSGVO-Hardliner mit eigenem Server-Knowhow (Vaultwarden Self-Hosting)
- Tech-Scale-Ups 20+ User mit Cost-Awareness (Teams in Dollar gerechnet rund 56 % günstiger als 1Password Business)
- Open-Source-First-Setups (Compliance-Vorteil bei Audit)
- Power-User mit TOTP-2FA-Storage-Bedarf (Premium 1,65 USD/Mo)
Eher nicht für…
- Familien ohne IT-Affinität – 1Password Families polished-er
- Setups, die verbindlich deutschsprachigen Support oder eine Hotline brauchen
- Anwaltskanzleien / Therapie ohne IT-Server-Knowhow (→ Proton Pass)
- Nutzer:innen die polished UX über Open-Source priorisieren
Empfehlung
Bitwarden ist 2026 die richtige Wahl für drei klare Personas: Bootstrap-Solo (Free), Tech-Scale-Ups mit Cost-Bewusstsein (Teams), und DSGVO-Hardliner mit IT-Knowhow (Self-Hosting).
Für klassische Familien mit Standard-Use-Case ist 1Password Families UX-überlegen – siehe unseren 1Password vs Bitwarden Vergleich mit konkreter 3-Jahres-TCO-Berechnung. Für Anwaltskanzleien mit Schweigepflicht: Proton Pass (Schweizer Sitz) ist die compliance-stärkere Wahl ohne Self-Hosting-Aufwand.
Häufig gestellte Fragen
Was macht Bitwarden gegenüber 1Password besonders?
Drei zentrale Differenzierer: (1) Vollständig Open-Source – der gesamte Code (Server + alle Apps) ist auf GitHub auditierbar. (2) Self-Hosting-Option via Vaultwarden (inoffizieller Rust-Server, kompatibel mit allen offiziellen Bitwarden-Apps) – Docker-Container auf eigenem Server für volle Daten-Kontrolle. (3) Großzügiger Free-Plan mit unbegrenzten Passwörtern auf unbegrenzten Geräten. 1Password hat keinen Free-Tier.
Ist Bitwarden DSGVO-konform für DACH-Geschäftsnutzung?
Besser, als oft angenommen – Self-Hosting ist dafür nicht nötig. Bitwarden betreibt eine eigene EU-Cloud-Region: „The Bitwarden cloud is available globally with data storage in both United States and European Union regions“ (Hilfe-Doku, geprüft 30.08.2026). Die Region wählst du im Server-Dropdown auf dem Login- bzw. Registrierungs-Bildschirm, in allen Apps. Zwei Dinge muss man wissen: Die Regionen sind getrennt – dein Konto existiert nur in der Region, in der du es angelegt hast – und ein späterer Wechsel läuft über Export und Neuanlage, nicht per Schalter. Anbieter bleibt eine US-Gesellschaft. Und beim Vertrag klafft eine Lücke: Bitwarden veröffentlicht kein AVV-Dokument nach Art. 28 DSGVO – weder in Terms, Datenschutzerklärung, Hilfe-Center noch auf der Compliance-Seite, die stattdessen allgemein „GDPR, current EU data protection rules, and EU Standard Contractual Clauses (SCCs)“ zusagt (geprüft 15.09.2026). Für das Verzeichnis von Verarbeitungstätigkeiten musst du den Vertrag also anfragen, statt ihn herunterzuladen. Self-Hosted (Vaultwarden) bleibt die Option für volle Kontrolle über die Infrastruktur.
Was kostet Bitwarden?
Fünf Pläne: Free (unbegrenzte Passwörter, unbegrenzte Geräte – gratis), Premium 19,80 USD/Jahr (01/2026 von 10 auf 19,80 USD erhöht), Families 47,88 USD/Jahr für 6 User, Teams 4 USD/Nutzer/Monat mit SCIM und Audit-Logs, Enterprise 6 USD/Nutzer/Monat – jeweils jährlich abgerechnet. Bitwarden führt keine Euro-Preisliste; die Euro-Beträge auf der Rechnung hängen am Tageskurs. Self-Hosting via Vaultwarden: 0 € Lizenz + 7,13 €/Monat brutto Hosting auf einem Hetzner CX23. Bei größeren Teams: in Dollar gerechnet rund 56 % günstiger als 1Password Business, das neben 7,99 €/Nutzer/Monat auch 8,99 USD/Nutzer/Monat ausweist (jährlich abgerechnet).
Wie sicher ist Bitwarden im Vergleich zu 1Password?
Vergleichbar sicher mit unterschiedlichen Architekturen. Beide nutzen Zero-Knowledge-Architektur und AES-256. Bitwarden setzt auf PBKDF2 mit 600.000+ Iterationen + optional Argon2id – ein der stärksten Key-Derivation-Funktionen am Markt. 1Password hat eine zusätzliche Schicht (Secret Key) – bei reinem Master-Passwort-Breach wären 1Password-Daten trotzdem geschützt. Formal sind beide breit belegt: Bitwarden hat ISO 27001, SOC 2 Type 2, SOC 3 und lässt seit 2020 jährlich pentesten (Reports frei abrufbar); 1Password hat ISO 27001 plus 27017, 27018 und 27701, SOC 2 Type 2 und vier Cure53-Pentests zwischen 2020 und 2022 – neuere Reports gibt es dort nur noch über das Trust Center. Wahl ist eher Architektur-Philosophie als Sicherheits-Differenz.
Wie funktioniert Vaultwarden (Self-Hosting)?
Vaultwarden ist ein inoffizieller, in Rust geschriebener Bitwarden-Server. Vollständig kompatibel mit allen offiziellen Bitwarden-Apps (iOS, Android, macOS, Windows, Linux, Browser-Erweiterungen). Setup: Docker-Container auf einem Hetzner CX23 (7,13 €/Monat brutto), Caddy als Reverse-Proxy mit automatischem SSL-Zertifikat, automatischer Backup-Workflow zu S3 oder Hetzner Storage Box. Initial-Setup ~2-3 Stunden, danach läuft es jahrelang ohne Wartung außer Docker-Image-Updates (~10 Min/Quartal).
Welcher Use-Case passt am besten zu Bitwarden?
Drei Hauptpersonas: (1) Bootstrap-Solo-Selbstständige mit Budget-Null (Free-Plan reicht). (2) Tech-Scale-Ups 20+ User mit Cost-Awareness (Teams-Plan in Dollar gerechnet rund 56 % günstiger als 1Password Business). (3) DSGVO-Hardliner-Setups mit eigenem Server-Knowhow (Vaultwarden Self-Hosting). Für Familien ohne IT-Affinität: 1Password Families hat die polished-ere UX.