storage-p vs. Vaultwarden: Zero-Knowledge & selbst gehostet

Wer nach einer Vaultwarden-Alternative sucht, will meist eines: Zugangsdaten schützen, ohne die Kontrolle darüber aus der Hand zu geben. storage-p und Vaultwarden verfolgen dasselbe Ziel, wählen dafür aber grundverschiedene Wege. storage-p ist ein selbst gehosteter Zero-Knowledge-Tresor, den du in Eigenregie betreibst; Vaultwarden ist ein selbst gehosteter Open-Source-Server. Für ein deutsches Publikum, dem Datenschutz und Datensouveränität wichtig sind, ist genau diese Weichenstellung entscheidend. Hier der sachliche Direktvergleich.

Auf einen Blick

Hosting: storage-p läuft selbst gehostet auf deinem eigenen Server; Vaultwarden ist ein selbst hostbarer Server.
Verschlüsselung: storage-p arbeitet nach dem Zero-Knowledge-Prinzip — dein Schlüssel wird im Browser mit Argon2id abgeleitet, und der Server speichert ausschließlich XChaCha20-Poly1305-Chiffretext.
Mehr als Passwörter: storage-p verwahrt auch SSH-/TLS-Schlüssel, API-Keys und TOTP und erzeugt Ed25519-SSH-Schlüssel sowie selbstsignierte Zertifikate direkt clientseitig.
Integrationen: storage-p vergibt eng begrenzte API-Tokens, deren jeder einzelne Lesezugriff eine Bestätigung in der App oder per Telegram erfordern kann.
Sowohl Vaultwarden als auch storage-p lassen sich selbst hosten; storage-p hält die Datenbank zusätzlich zur clientseitigen Verschlüsselung im Ruhezustand mit SQLCipher verschlüsselt.
Beide legen ihr Innenleben offen: Vaultwarden ist quelloffen, und storage-p ist selbst hostbar mit einem transparenten, dokumentierten Krypto-Design, das sich nachvollziehen lässt.

Der entscheidende Unterschied

Du hostest mit Vaultwarden bereits selbst — die eigentliche Frage ist also das Sicherheitsmodell. storage-p leitet die Schlüssel in deinem Browser ab (der Server sieht ausschließlich Chiffretext), verschlüsselt die Datenbank im Ruhezustand zusätzlich mit SQLCipher und gibt Integrationen eng begrenzte, bestätigungspflichtige API-Tokens statt weitreichenden Zugriffs. Selbst betreiben allein reicht nicht — es kommt darauf an, was der Server überhaupt zu sehen bekommt.

Wo storage-p überzeugt

Der Server sieht weder dein Master-Passwort noch Klartext — Ver- und Entschlüsselung, Schlüsselerzeugung und das Sicherheits-Audit laufen ausnahmslos auf deinem Gerät. Das entspricht dem, was das BSI unter Datensparsamkeit und wirksamer Verschlüsselung versteht. Du kannst SSH-/TLS-Material verwahren und erzeugen, per Burn-after-Read-Link oder Ende-zu-Ende-versiegelter Box teilen und Integrationen einen schmalen, protokollierbaren Zugriff gewähren, statt sie über pauschale Alles-oder-nichts-Exporte an alle Daten zu lassen.

Wann Vaultwarden die bessere Wahl sein kann

Vaultwarden ist ein ausgereiftes Projekt mit eigenem Ökosystem und eigenen Clients. Wenn du es bereits betreibst und auf seine Integrationen angewiesen bist, ist Bleiben unter Umständen der einfachste Weg.

Wechsel von Vaultwarden zu storage-p

Der Umzug ist unkompliziert: Vaultwarden kann eine JSON-Datei im Bitwarden-Format exportieren, die storage-p direkt einliest. Die Schritt-für-Schritt-Anleitung zur Migration ist unten verlinkt.