Bitwarden MCP Server

Der Bitwarden MCP Server verbindet KI-Assistenten mit Bitwarden, einem verbreiteten Passwortmanager für Privatpersonen und Unternehmen. MCP, das Model Context Protocol, ist ein offener Standard. Über ihn ruft ein Assistent wie Claude Desktop, Claude Code oder Cursor externe Werkzeuge auf. Der Server stammt von Bitwarden selbst, ist in TypeScript geschrieben und unter der GPL-3.0 als Open Source auf GitHub veröffentlicht. Er erscheint als npm-Paket @bitwarden/mcp-server und wird laut README regelmäßig gepflegt, die letzte Version trägt die Nummer v2026.7.0.

Wichtig vorab: Ein Passwortmanager ist der empfindlichste Ort, den man einem KI-Assistenten öffnen kann. Bitwarden schreibt das selbst sehr deutlich in die README. Der Server ist nur für den lokalen Betrieb gedacht. Er darf nicht öffentlich gehostet, nicht in die Cloud oder in Container ausgelagert und nicht über ein Netzwerk erreichbar gemacht werden. Wer ihn nutzt, sollte genau wissen, warum.

Zwei Bereiche: Tresor und Organisationsverwaltung

Der Server deckt zwei getrennte Aufgaben ab. Der erste Bereich ist die Tresorverwaltung. Dafür nutzt der Server die Bitwarden CLI, also das Kommandozeilenwerkzeug bw. Der Assistent kann Einträge auflisten, abrufen, anlegen, ändern, löschen und wiederherstellen. Er kann Ordner anlegen, Anhänge hochladen, Einträge in Sammlungen einer Organisation verschieben und mit generate sichere Passwörter oder TOTP-Codes erzeugen. Auch Bitwarden Send ist abgedeckt, der Dienst zum sicheren Teilen von Texten und Dateien mit Ablaufdatum.

Der zweite Bereich ist die Verwaltung von Organisationen über die Bitwarden Public API. Hier geht es um Administration statt um Passwörter. Der Assistent listet Mitglieder, lädt neue ein, ändert Rollen und entfernt Konten. Er verwaltet Gruppen und Sammlungen, liest und ändert Richtlinien und ruft mit get_org_events das Ereignisprotokoll ab, also die Audit-Logs. Dazu kommen Werkzeuge zur Geräte-Freigabe, zum Abo und zum Import von Nutzern und Gruppen. Dieser Bereich setzt laut README eine Teams- oder Enterprise-Organisation und Rechte als Owner oder Admin voraus.

Typischer Nutzen

Für Administratoren ist der zweite Bereich der eigentliche Mehrwert. Fragen wie "Wer ist in den letzten 30 Tagen der Organisation beigetreten?" oder "Welche Mitglieder sind noch nicht bestätigt?" beantwortet der Assistent direkt, statt dass man sich durch die Admin-Konsole klickt. Auch Onboarding wird einfacher: Mitglied einladen, Gruppe zuweisen, passende Sammlung freigeben, in einem Gespräch. Bitwarden selbst hat die Verwaltungsfunktionen im Oktober 2025 ausdrücklich für solche KI-gestützten Abläufe ausgebaut.

Im persönlichen Alltag hilft der Server etwa beim Aufräumen: doppelte Einträge finden, Ordnerstruktur anlegen oder ein starkes Passwort für einen neuen Dienst erzeugen und gleich speichern. Für Entwickler kann der Assistent Zugangsdaten für ein Testsystem aus dem Tresor holen. Genau hier ist aber Vorsicht geboten, denn das Passwort landet dann im Kontext des Modells.

Sicherheit: was Bitwarden empfiehlt

Die README benennt die Risiken offen. Ein verbundener Client kann Passwörter und sichere Notizen lesen, Einträge ändern oder löschen und Zugangsdaten in seinen Antworten ausgeben. Konfigurationsdateien enthalten Sitzungstoken und API-Schlüssel und gehören nicht in ein Git-Repository. Bitwarden rät, nur vertrauenswürdige Clients zu verbinden, Protokolle zu prüfen und für sensible Daten selbst gehostete oder lokale Sprachmodelle in Betracht zu ziehen.

Ein durchdachtes Detail ist das Entsperren: Das Werkzeug unlock öffnet laut README einen nativen Passwortdialog des Betriebssystems. Das Master-Passwort läuft dadurch nie über MCP oder das Sprachmodell. Auf Servern ohne Oberfläche entsperren Sie den Tresor stattdessen selbst mit bw unlock --raw. Dateiwerkzeuge sind gesperrt, solange die Variable BW_ALLOWED_DIRECTORIES keine erlaubten Verzeichnisse nennt.

Kosten

Der Server ist kostenlos und Open Source. Für den Tresorbereich genügt ein Bitwarden-Konto, laut Preisseite gibt es einen dauerhaft kostenlosen Plan sowie kostenpflichtige Pläne wie Premium und Families. Die Organisationsverwaltung über die Public API setzt die Business-Pläne Teams oder Enterprise voraus. Aktuelle Konditionen stehen auf der offiziellen Preisseite von Bitwarden. Selbst gehostete Bitwarden-Server lassen sich über die Variablen BW_API_BASE_URL und BW_IDENTITY_URL anbinden.

Für wen lohnt sich der Bitwarden MCP Server?

Am klarsten lohnt er sich für Administratoren von Bitwarden-Organisationen, die Mitglieder, Gruppen und Richtlinien verwalten und Audit-Logs auswerten. Hier spart der Assistent Klickarbeit, ohne dass Passwörter im Spiel sein müssen. Für den privaten Tresor ist er eher ein Werkzeug für erfahrene Nutzer, die das Risiko bewusst abwägen. Wer zögert, nutzt nur den Verwaltungsteil, sperrt den Tresor nach der Sitzung mit lock und verbindet den Server nur mit Clients, denen er wirklich vertraut.

Node.js 22 oder neuer, die Bitwarden CLI (bw) und ein Bitwarden-Konto. Für die Organisationsverwaltung zusätzlich eine Teams- oder Enterprise-Organisation mit Owner- oder Admin-Rechten. Ein MCP-Client mit stdio-Transport, zum Beispiel Claude Desktop, Claude Code oder Cursor.

Mit dem Bitwarden MCP Server greift ein KI-Assistent auf Ihren Bitwarden-Tresor und auf die Verwaltung Ihrer Organisation zu. Dieser Ratgeber zeigt die Einrichtung Schritt für Schritt und worauf Sie bei einem so sensiblen Zugang achten sollten.

Vorab: nur lokal betreiben

Bitwarden schreibt in der README unmissverständlich, dass der Server nur lokal laufen darf. Hosten Sie ihn nicht öffentlich, packen Sie ihn nicht in einen Cloud-Container und machen Sie ihn nicht über das Netzwerk erreichbar. Er läuft als lokaler Prozess über stdio, den Ihr KI-Client selbst startet.

Schritt 1: Voraussetzungen

Sie brauchen Node.js ab Version 22, ein Bitwarden-Konto und die Bitwarden CLI. Installieren Sie die CLI mit npm install -g @bitwarden/cli. Für die Organisationsverwaltung brauchen Sie zusätzlich eine Teams- oder Enterprise-Organisation und Rechte als Owner oder Admin.

npm install -g @bitwarden/cli

Schritt 2: Sitzungstoken erzeugen

Melden Sie sich einmal mit bw login an. Danach entsperren Sie den Tresor mit bw unlock --raw. Der Befehl gibt ein Sitzungstoken aus, das der Server in der Variable BW_SESSION erwartet. Sitzungen laufen nach Inaktivität ab. Dann erzeugen Sie ein neues Token oder bitten den Assistenten, das Werkzeug unlock aufzurufen. Es öffnet einen Passwortdialog Ihres Betriebssystems, sodass das Master-Passwort nie beim Sprachmodell landet.

Schritt 3: In Claude Code oder Claude Desktop eintragen

In Claude Code lautet der Befehl claude mcp add bitwarden -e BW_SESSION=<session-token> -- npx -y @bitwarden/mcp-server. In Claude Desktop ergänzen Sie in der Datei claude_desktop_config.json einen Eintrag mit dem Befehl npx, den Argumenten -y und @bitwarden/mcp-server und BW_SESSION im env-Block. Andere Clients mit stdio-Transport, etwa Cursor, funktionieren genauso. Starten Sie den Client danach neu.

claude mcp add bitwarden -e BW_SESSION=<session-token> -- npx -y @bitwarden/mcp-server

Organisationsverwaltung anbinden

Für die Public API öffnen Sie in der Web-Oberfläche Ihre Organisation, dann Settings und My Organization. Im Bereich API Key wählen Sie View API Key. Tragen Sie Client-ID und Secret als BW_CLIENT_ID und BW_CLIENT_SECRET ein. Die Client-ID beginnt mit organization. Bei selbst gehostetem Bitwarden setzen Sie zusätzlich BW_API_BASE_URL und BW_IDENTITY_URL auf Ihre eigenen Server-Adressen.

Schritt 4: Erste Aufgaben

Fragen Sie zum Einstieg nach dem Status des Tresors oder lassen Sie ein sicheres Passwort erzeugen. Als Admin bitten Sie etwa um eine Liste aller Mitglieder, die noch nicht bestätigt sind, oder um die Ereignisse der letzten Woche. Prüfen Sie jede schreibende Aktion, bevor Sie sie freigeben, besonders das Entfernen von Mitgliedern und das Löschen von Einträgen.

Sicher arbeiten

Legen Sie Konfigurationsdateien mit Token und Schlüsseln nie in ein Git-Repository. Sperren Sie den Tresor nach der Arbeit mit dem Werkzeug lock. Dateiwerkzeuge bleiben gesperrt, bis Sie in BW_ALLOWED_DIRECTORIES erlaubte Verzeichnisse angeben. Verbinden Sie den Server nur mit Clients, denen Sie vertrauen. Für besonders sensible Daten empfiehlt Bitwarden lokale oder selbst gehostete Modelle.

Sitzungstoken der Bitwarden CLI in BW_SESSION (Tresor) sowie Client-ID und Client-Secret der Organisation in BW_CLIENT_ID und BW_CLIENT_SECRET (Public API). Das Entsperren per unlock-Werkzeug läuft über einen nativen Passwortdialog des Betriebssystems.

Tresor: Einträge, Ordner, Anhänge und Sends lesen, anlegen, ändern und löschen, Passwörter und TOTP erzeugen. Organisation: Mitglieder, Gruppen, Sammlungen und Richtlinien lesen und ändern, Ereignisprotokolle abrufen, Geräte freigeben, Abo ändern.

Der Server läuft lokal. Abgerufene Passwörter, Notizen, Mitgliederdaten und Protokolle gelangen aber in den Kontext des KI-Clients und damit zum Modellanbieter. Bitwarden empfiehlt für sensible Daten selbst gehostete oder lokale Modelle.

Sehr hoch: Der Assistent kann Zugangsdaten lesen und in Antworten ausgeben, Einträge löschen und Organisationsmitglieder entfernen. Sitzungstoken und API-Schlüssel liegen in Konfigurationsdateien. Inhalte aus Notizen oder Sends können Prompt Injection enthalten. Laut Bitwarden niemals öffentlich hosten oder über das Netzwerk erreichbar machen.