Wer im Homelab auf einen eigenen Passwort-Tresor statt auf die Bitwarden-Cloud setzt, landet fast automatisch bei Vaultwarden — der schlanken, in Rust geschriebenen Alternative zum offiziellen Bitwarden-Server. Am 13. September 2026 ist Version 1.37.3 erschienen, und die hat es sicherheitstechnisch in sich.
ENDLICH: RATE-LIMITING GEGEN BRUTE-FORCE
Der wichtigste Punkt der neuen Version: Vaultwarden begrenzt jetzt die Anfragen an die Prelogin- und Auth-Request-Endpunkte. Bisher konnten Angreifer theoretisch unbegrenzt viele Login-Versuche gegen eine selbst gehostete Instanz feuern — mit Rate-Limiting wird das systematische Durchprobieren von Passwörtern deutlich unattraktiver. Ergänzend protokolliert Vaultwarden fehlgeschlagene Anmeldeversuche jetzt detaillierter mit IP-Adresse und Benutzername, was die Auswertung von Angriffsversuchen im eigenen Log erleichtert.
2FA WIRD BEI ÄNDERUNGEN SOFORT ZURÜCKGESETZT
Ein zweiter sicherheitsrelevanter Fix: Ändert ein Nutzer sein Passwort oder die Zwei-Faktor-Einstellungen, werden jetzt automatisch alle „2FA merken“-Tokens widerrufen. Vorher konnte ein bereits gemerktes Gerät theoretisch weiter ohne erneute 2FA-Abfrage zugreifen, selbst nachdem Zugangsdaten geändert wurden — genau die Lücke, die Angreifer nach einem teilweisen Kontozugriff ausnutzen könnten. Zusätzlich können Administratoren jetzt die Zwei-Faktor-Authentifizierung einzelner Nutzer zurücksetzen, praktisch bei verlorenen Geräten.
BUGFIXES, DIE HOMELAB-BETREIBER FREUEN DÜRFTEN
Neben den Sicherheits-Updates bringt 1.37.3 handfeste Reparaturen: Die Passwort-Änderung mit neueren Web-Vault-Versionen funktioniert wieder zuverlässig, ein MariaDB-12.2.2-Migrationsproblem wurde behoben, und auch der iOS-Registrierungs-Token liefert jetzt die korrekte Antwort. Wer Vaultwarden mit MariaDB als Datenbank-Backend betreibt und zuletzt Probleme beim Update hatte, sollte hier besonders aufmerken.
NEU: FEINERE KONTROLLE FÜR SSO UND PASSWORT-RESET
Abgerundet wird das Release durch die neue Option SSO_SIGNUPS_ALLOWED, mit der sich separat steuern lässt, ob sich neue Nutzer per Single-Sign-On registrieren dürfen. Außerdem deaktiviert Vaultwarden jetzt automatisch die Passwort-Reset-Selbstregistrierung, wenn der Mailversand ohnehin deaktiviert ist — ein kleines, aber sinnvolles Detail für Setups ohne konfigurierten Mailserver.
SO AKTUALISIERST DU DEINE INSTANZ
- Docker/Docker Compose: Image auf den Tag
1.37.3aktualisieren, danndocker compose pull && docker compose up -d. - Vor dem Update: Wie immer ein Backup der Datenbank und des
data-Ordners anlegen. - Nach dem Update: Einmal einloggen, 2FA testen und im Admin-Panel prüfen, ob alles sauber lädt — besonders bei MariaDB-Backends.
FAZIT: Kein Pflicht-Patch, aber ein sinnvoller
Es gibt keine akut ausgenutzte Lücke, die dieses Update erzwingt — aber Rate-Limiting gegen Brute-Force-Versuche ist genau die Art von Härtung, die man sich für einen Dienst wünscht, der buchstäblich alle Passwörter verwaltet. Wer Vaultwarden im eigenen Netz oder sogar mit Zugriff von außen betreibt, sollte das Update zeitnah einspielen.