IT-Sicherheit
authentik
authentik ist ein quelloffener, selbstgehosteter Identity Provider mit SSO; Kennzeichen sind anpassbare, stufenbasierte Flows und Outposts für Apps ohne SSO.
- Identity Provider, self-hosted
- Anpassbare Flows/Stages
- OIDC, SAML, LDAP, RADIUS, SCIM
- Outposts (Forward Auth)
- Kern MIT, Enterprise lizenzpflichtig
authentik ist ein quelloffener, selbstgehosteter Identity Provider für Single Sign-on. Sein prägendes Merkmal sind Flows: frei gestaltbare, aus einzelnen Schritten zusammengesetzte Authentifizierungs- und Verwaltungsabläufe. Damit lässt sich sehr flexibel modellieren, wie Anmeldung, Registrierung oder Passwort-Wiederherstellung ablaufen.
Dieser Artikel erklärt das Flow-Konzept mit Stages und Policies, das Provider-und-Source-Modell, die Outposts als Brücke für Anwendungen ohne SSO (Forward Auth), die unterstützten Protokolle samt LDAP- und RADIUS-Provider, die MFA-Optionen sowie die Editions- und Sicherheitsfragen.
1. Flows, Stages, Policies
Das Herzstück von authentik ist der Flow: eine geordnete Abfolge von Stages (einzelne Schritte wie Identifikation, Passwort, MFA-Prüfung). Policies entscheiden dynamisch, ob eine Stage ausgeführt oder übersprungen wird, etwa abhängig von Gruppe, Attribut oder Kontext. So lassen sich Abläufe bauen, die andere IdPs nur fest vorgeben, das ist sehr flexibel, aber auch fehleranfällig: Eine falsch gesetzte Policy (etwa fehlende MFA-Bedingung) kann eine Lücke öffnen.
2. Provider und Source
Zwei Gegenstücke strukturieren die Anbindung: Ein Provider definiert, wie authentik sich gegenüber einer Anwendung verhält (als OIDC-, SAML-, LDAP-, RADIUS- oder Proxy-Provider), eine Source bindet umgekehrt externe Identitätsquellen ein (etwa ein LDAP-Verzeichnis oder Social Login). Provider machen authentik zum IdP gegenüber Anwendungen, Sources machen es zum Konsumenten externer Identitäten.
3. Outposts und Forward Auth
Eine Besonderheit sind die Outposts: separat lauffähige Komponenten, die Protokolle außerhalb des Kerns bereitstellen, darunter ein Proxy-Outpost für Forward Authentication. Damit lässt sich auch eine Anwendung absichern, die selbst kein SSO kann: Der Reverse Proxy (nginx, Traefik) fragt vor jeder Anfrage beim Outpost, ob der Nutzer angemeldet ist; der eigentliche Anwendungsverkehr läuft direkt zur Zielanwendung. So bekommen auch sperrige oder ältere Anwendungen eine zentrale Anmeldung.
Forward Auth ist authentiks Trumpf: Es bringt SSO vor Anwendungen, die niemals OIDC oder SAML lernen werden, statt sie ungeschützt zu lassen.
4. Protokolle und MFA
authentik spricht OIDC/OAuth 2.0 und SAML und kann zusätzlich als LDAP- und RADIUS-Provider auftreten (über Outposts) sowie per SCIM Konten in andere Systeme provisionieren, eine ungewöhnlich breite Protokollabdeckung. Für MFA stehen TOTP sowie WebAuthn/Passkeys bereit, eingebunden als Stages in den Flows.
5. Architektur und Editionen
Technisch besteht authentik aus einem Server (Python/Django) und einem Worker, mit PostgreSQL als Datenbank; die frühere Redis-Abhängigkeit ist mit Version 2025.10 entfallen. Lizenzseitig ist der Kern MIT-lizenziert und frei; einige Enterprise-Funktionen (etwa erweitertes Audit-Logging, bestimmte Konnektoren) sind lizenzpflichtig und werden per Schlüssel freigeschaltet. Welche Funktion in welche Kategorie fällt, verschiebt sich gelegentlich und gehört vor einer Entscheidung geprüft.
6. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Flexible Flows/Stages für maßgeschneiderte Abläufe | Flow-System komplex und fehlkonfigurierbar |
| Forward Auth bindet Anwendungen ohne SSO an | Enterprise-Funktionen lizenzpflichtig (Grenze verschiebt sich) |
| Breite Protokolle inkl. LDAP- und RADIUS-Provider | zentraler IdP als Angriffsziel, Härtung nötig |
| Moderne Oberfläche; Redis-Abhängigkeit entfallen | Self-Hosting erfordert laufende Update-Disziplin |
| MFA inkl. Passkeys; Kern MIT-lizenziert | Hochverfügbarkeit des IdP betriebskritisch |
Häufige Fragen zu authentik
Über einen Proxy-Outpost mit Forward Authentication. Der Reverse Proxy (etwa nginx oder Traefik) leitet eingehende Anfragen zunächst zur Authentifizierungsprüfung an den authentik-Outpost; nur bei gültiger Anmeldung wird der Zugriff auf die Anwendung freigegeben, der eigentliche Anwendungsverkehr fließt direkt zur Zielanwendung. So lässt sich auch eine Anwendung, die selbst kein OIDC oder SAML beherrscht, hinter einer zentralen Anmeldung absichern.
Der Kern ist MIT-lizenziert und frei nutzbar, inklusive OIDC, SAML, LDAP- und RADIUS-Provider, Flows und MFA. Einige Enterprise-Funktionen, etwa erweitertes Audit-Logging und bestimmte Konnektoren, sind lizenzpflichtig und werden per Schlüssel freigeschaltet. Die genaue Abgrenzung zwischen freiem Kern und Enterprise verschiebt sich von Version zu Version und sollte vor der Einführung anhand der aktuellen Dokumentation geprüft werden.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
authentik im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.