Keycloak vs Authentik (2026): Welcher SSO-Server Sollten Sie Selbst-Hosten?

Zuletzt geprüft: 26. Juli 2026

Sobald man mehr als drei Apps selbst hostet, wird das separate Einloggen bei jedem schließlich lästig. Single Sign-On schafft Abhilfe, und im Jahr 2026 lautet die Shortlist der selbstgehosteten Lösungen zwei Namen: Keycloak, der von Red Hat unterstützte Veteran, auf den Unternehmen standardisieren, und Authentik, der Python-basierte Herausforderer, den die meisten Homelab-SSO-Anleitungen inzwischen voraussetzen.

Beide sprechen fließend OIDC und SAML. Die Unterschiede liegen im Betriebsmodell, in der Lernkurve und in einem Feature, das für Selbst-Hoster enorm wichtig ist: Was tun mit Apps, die gar kein Login-System haben?

TL;DR: Welchen solltest du wählen?

Wähle Authentik, wenn du einen selbstgehosteten Stack schützt: integrierte Forward Auth für Apps ohne OIDC, visuelle Abläufe und eine Einrichtung, die du in einem Abend abschließen kannst.

Wähle Keycloak, wenn du die Identität für eine Organisation verwaltest: ausgereift im großen Maßstab, erstklassiges Multi-Tenancy bei Realms, fein abgestimmte Autorisierungsdienste und das Ökosystem, auf das jedes Unternehmensintegration-Dokument zuerst verweist.

Keycloak vs Authentik auf einen Blick

Wo Keycloak gewinnt

Tiefe und Glaubwürdigkeit. Realms bieten echte Mandantenisolierung, die Autorisationsdienste ermöglichen fein granular permissions, die wenige Tools anstreben, und Identity Brokering federiert alle upstream IdPs, denen du begegnen wirst. Es ist die Referenz-Implementierung, gegen die Unternehmen testen; wenn eine kommerzielle App SSO dokumentiert, dokumentiert sie Keycloak. Betrieblich ist es ein einzelner JVM-Service plus Datenbank, was einige Admins einem Multi-Container-Stack vorziehen.

Der Preis ist kognitiv: Clients, Mapper, Scopes und Flows formen ein Modell, das du wirklich lernen musst, bevor es zuverlässig wird.

Wo Authentik gewinnt

Für die Selbst-Hosting-Welt geeignet. Der eingebaute Proxy-Provider macht den Unterschied: Forward Auth via Traefik oder Nginx, das SSO plus MFA vor Apps setzt, die kein eigenes Login haben - keine zusätzlichen Komponenten nötig. Anmelde- und Recovery-Workflows sind visuell gestaltet, die UI erklärt sich von selbst, und Blueprints machen die gesamte Konfiguration reproduzierbar als YAML - ideal für GitOps im Homelab.

Es ist jünger, und seine Open-Core-Features (Enterprise-Support-Tiers) führen gelegentlich zu Beschwerden, doch der Kern bleibt für Free-User stets wirklich brauchbar.

Anforderungen an VPS im Vergleich

Ein Identitätsanbieter ist der Service, dessen Ausfall dich bei allem anderen aussperrt. Deshalb ist Zuverlässigkeit hier wichtiger als der Preis. Hetzner ab 5,49 EUR pro Monat ist unsere Wahl: zuverlässiges Hochfahren, Snapshots vor Upgrades und NVMe, das Postgres flott hält. Contabo ab 5,99 EUR bietet günstig RAM-Headroom, wenn auf derselben Maschine auch dein Reverse Proxy und ein paar geschützte Apps laufen. US-Stacks funktionieren gut mit DigitalOcean ab 6 USD. Detaillierte Größenangaben findest du in den [best VPS for Keycloak](/de/best-vps-for-keycloak/) und [best VPS for Authentik](/de/best-vps-for-authentik/) Guides; die vollständige Rangfolge in unserem VPS Vergleich.

Fazit

Für einen selbstgehosteten Applikations-Stack ist Authentik der pragmatische Sieger: Es löst das eigentliche Homelab-Problem - ein Login vor allem - mit minimalem Aufwand. Keycloak bleibt die richtige Wahl, wenn die Anforderungen sich wie eine Stellenbeschreibung anfühlen: Multi-Tenant-Realm, komplexe Federation, Autorisierungsrichtlinien oder ein Auditor, der fragt, was die Unternehmen verwenden.

Egal wie, betreibe es ab Tag eins hinter HTTPS, aktiviere MFA für das Admin-Konto vor der Erstellung weiterer Ressourcen und mache Snapshots vor jedem Upgrade. SSO konzentriert dein Risiko genauso wie deine Bequemlichkeit.