> Source: https://meetrix.io/blogs/authentik-vs-authelia-de/ > Markdown copy of that page. Cite the URL above, not this file. IAM & Security # Authentik vs Authelia: SSO selbst hosten im Vergleich [By Shalomi Umeshika](https://meetrix.io/blogs/authors/shalomi-umeshika/) • October 13, 2026 • 6 min read [English](https://meetrix.io/blogs/authentik-vs-authelia/)Deutsch[Español](https://meetrix.io/blogs/authentik-vs-authelia-es/)[Français](https://meetrix.io/blogs/authentik-vs-authelia-fr/)[Italiano](https://meetrix.io/blogs/authentik-vs-authelia-it/) Authentik vs Authelia wird öfter als direkter Zweikampf dargestellt, als es sein sollte. Authentik ist ein vollständiger Identity Provider: eigene Admin-Oberfläche, eigene Nutzerdatenbank und Unterstützung für OIDC, SAML, LDAP und RADIUS. Authelia ist Forward-Auth-Middleware, die vor einem Reverse Proxy sitzt und entscheidet, ob eine Anfrage eine Anmeldung braucht, bevor sie durchgelassen wird. An den Rändern überschneiden sie sich, aber die Wahl zwischen beiden beginnt mit der Erkenntnis, dass sie eigentlich nicht für dieselbe Aufgabe gebaut sind. Kurze Antwort Authentik, wenn Sie einen vollständigen Identity Provider brauchen: eine echte Admin-Oberfläche, mehrere Protokolle und die Möglichkeit, Anwendungen ohne eigene Anmeldung mit SSO auszustatten. Authelia, wenn Sie bereits einen Reverse Proxy (Traefik, Nginx, Caddy) betreiben und nur eine schlanke Anmeldeschranke vor Ihren selbst gehosteten Diensten wollen, mit kleinerem Fußabdruck und ohne Admin-Oberfläche, die gepflegt werden muss. 3+ Container Der Stack von Authentik: Server, Worker und PostgreSQL (seit 2025.10 ohne Redis), plus Outposts 1 bis 3 Container Der Stack von Authelia: Authelia mit SQLite, oder mit Redis und PostgreSQL für mehr als eine Instanz ## Authentik: ein vollständiger Identity Provider mit Admin-Oberfläche Der Kern von [Authentik](https://goauthentik.io) steht unter der MIT-Lizenz und ist um ein visuelles, flussbasiertes Konfigurationssystem mit einer richtigen Web-Admin-Konsole zur Verwaltung von Nutzern, Gruppen, Anwendungen und Zugriffsrichtlinien gebaut. Die Proxy-Authentifizierung von Authentik funktioniert über Outposts, schlanke Proxy-Instanzen, die SSO vor eine Anwendung ohne eigene native Anmeldung setzen können, ohne diese Anwendung zu verändern. Die Protokollabdeckung ist breit: OIDC (mit dynamischer Client-Registrierung), SAML, LDAP, RADIUS und SCIM. Eine Enterprise-Stufe für 5 USD pro Nutzer und Monat ergänzt Funktionen wie die Google-Workspace-Integration, WS-Federation und mTLS-Anmeldung, vor allem für größere Organisationen gedacht. ### Wichtige Funktionen - Vollständige Web-Admin-Oberfläche zur Verwaltung von Nutzern, Gruppen und Anwendungen - Outpost-basierter Proxy, der Anwendungen ohne native Anmeldung SSO hinzufügt - Breite Protokollunterstützung: OIDC, SAML, LDAP, RADIUS, SCIM - Visuelle, flussbasierte Konfiguration für eigene Anmelde- und MFA-Abläufe ## Authelia: Forward-Auth-Middleware, kein vollständiger IdP [Authelia](https://www.authelia.com) steht unter der Apache-2.0-Lizenz und hat rund 25.000 GitHub-Sterne, und sein gesamtes Design dreht sich um eine einzige Aufgabe: vor einem Reverse Proxy (Traefik, Nginx, Caddy, HAProxy) zu sitzen und zu entscheiden, ob eine Anfrage durchkommt oder sich zuerst authentifizieren muss. Eine Web-Admin-Oberfläche gibt es von Haus aus nicht, die Konfiguration liegt in YAML-Dateien, was die Angriffsfläche klein hält und laut eigener Bilanz zu weniger gemeldeten Schwachstellen geführt hat als bei Tools mit vollständiger Admin-Konsole. Fein abgestufte Zugriffsregeln greifen nach Subdomain, Nutzer, Gruppe, Anfragepfad, Methode und Netzwerk, wobei pro Regel eine Ein- oder Zwei-Faktor-Richtlinie gewählt wird. Seit Version 4.37 liefert Authelia außerdem einen OIDC-Provider, der die Konformitätszertifizierung der OpenID Foundation bestanden hat, auch wenn das Projekt ihn selbst weiterhin als Beta bezeichnet und Single Sign-out noch nicht umgesetzt ist. ### Wichtige Funktionen - Forward-Auth-Middleware für Traefik, Nginx, Caddy und HAProxy - Keine Admin-Oberfläche, Konfiguration per YAML, kleinere Angriffsfläche - Zwei-Faktor-Authentifizierung mit WebAuthn (FIDO2, Passkeys) und TOTP - Fein abgestufte Zugriffsregeln nach Subdomain, Nutzer, Gruppe, Pfad und Netzwerk - OIDC-Provider seit v4.37, OpenID-zertifiziert, noch Beta mit einigen Lücken ## Authelia vs Authentik: verschiedene Werkzeugkategorien Das ist der Teil, bei dem man direkt sein sollte. Wenn Ihr eigentlicher Bedarf lautet „meinem Team Konten geben, damit es sich mit einer Identität bei einem Dutzend verschiedener selbst gehosteter Apps anmelden kann“, ist Authentik genau dafür gebaut, und Authelia wird sich anfühlen, als fehlten Teile, weil es nie versucht hat, das zu sein. Wenn Ihr eigentlicher Bedarf lautet „eine Anmeldeschranke vor mein Grafana, mein Portainer und ein paar andere Dashboards setzen, die keine eigene Authentifizierung haben“, erledigt Authelia das mit weniger zu betreiben und weniger abzusichern, und Authentik wird sich unnötig schwer anfühlen. Die „vs“-Darstellung passt zur Suchabsicht, aber die ehrliche Antwort lautet eher „welche Werkzeugkategorie brauchen Sie wirklich“ als „welches gewinnt“. ## Ressourcenbedarf Authelia kann als ein einzelner Container laufen, mit SQLite für den Speicher und Sitzungen im Arbeitsspeicher. Ergänzen Sie Redis für Sitzungen und PostgreSQL für den Speicher, sobald Sie mehr als eine Instanz betreiben, und es sind drei. Authentik braucht mindestens drei: einen Serverprozess, einen Hintergrund-Worker und PostgreSQL, dazu Outpost-Container für jede Anwendung, die Sie über den Proxy führen, und im Leerlauf belegt es etwa 1 GB RAM. Früher brauchte es auch Redis, aber [Release 2025.10](https://docs.goauthentik.io/releases/2025.10/) hat Caching, Aufgaben und Sitzungen nach PostgreSQL verlagert und Redis entfernt. Unser [Leitfaden zur Hochverfügbarkeit von Authentik](https://meetrix.io/blogs/authentik-high-availability/) beschreibt, was sich dadurch für einen Produktivbetrieb ändert. Keines von beiden ist nach heutigen Maßstäben schwer, aber der Fußabdruck von Authelia ist spürbar leichter, was auf einem kleinen Homelab-Server mehr zählt als auf dedizierter Infrastruktur. ### Authentik mit SQLite: keine Option Kurze Antwort: nein. Authentik braucht PostgreSQL, und seit 2025.10 ist das das Einzige, wovon es abhängt. Wenn eine Datenbank in einer einzigen Datei der Reiz ist, spricht das für Authelia. ## Kann man beide betreiben? Ja, und manche Selbsthoster tun es, aus Gründen, die einleuchten, sobald man den Kategorieunterschied klar sieht. Ein verbreitetes Muster: Authentik übernimmt die echte Identität, also die Apps, die tatsächlich OIDC oder SAML sprechen und ordentliche Nutzerkonten brauchen, während Authelia vor den kleineren Dashboards und Admin-Panels sitzt, die keine eigene Anmeldung haben und keinen vollständigen Identitätsdatensatz brauchen, nur eine Anmeldeschranke. Für die meisten ist das nicht die Standardeinrichtung, ein Tool zu betreiben ist einfacher als zwei, aber es ist eine legitime Antwort, wenn Ihre Dienste beide Arten von Bedarf haben und Sie nicht alles durch Outposts zwingen wollen, nur um eine Portainer-Instanz abzusichern. ## Authentik vs Authelia: Funktionsvergleich | Funktion | Authentik | Authelia | | --- | --- | --- | | Lizenz | MIT (Kern) | Apache 2.0 | | Kategorie | Vollständiger Identity Provider | Forward-Auth-Middleware | | Web-Admin-Oberfläche | Ja, vollständige Konsole | Nein, YAML-Konfiguration | | Minimaler Stack | 3+ Container (Server, Worker, PostgreSQL) | 1 Container mit SQLite, 3 mit Redis und PostgreSQL | | Datenbanken | Nur PostgreSQL | SQLite, PostgreSQL, MySQL | | mTLS | mTLS-Anmeldung (Enterprise) | Kann auf dem eigenen Listener Client-Zertifikate verlangen | | SSO für Apps ohne native Anmeldung | Ja, über Outposts | Über Forward-Auth des Reverse Proxys | | OIDC-Unterstützung | Umfassend, dynamische Client-Registrierung | Seit v4.37, OpenID-zertifiziert, noch Beta | | SAML / LDAP / RADIUS | Ja | Nein | | 2FA-Methoden | Mehrere, einschließlich WebAuthn | WebAuthn, TOTP | ## Authelia vs Authentik vs Keycloak [Keycloak](https://www.keycloak.org/) landet meist auf derselben Auswahlliste. Es gehört in dieselbe Schublade wie Authentik: ein vollständiger Identity Provider, älter, auf Java gebaut, schwerer zu betreiben und eher in Unternehmensumgebungen zu Hause. Die eigentliche Reihenfolge besteht also aus zwei Entscheidungen. Erstens, falls Sie überhaupt einen IdP brauchen, Keycloak oder Authentik (unser [Vergleich Authentik vs Keycloak](https://meetrix.io/blogs/authentik-vs-keycloak/) behandelt diese Frage). Zweitens, ob Sie Authelia trotzdem als schlanke Anmeldeschranke für das eine oder andere Dashboard wollen. Eine neuere Option, die man kennen sollte: [Pocket ID](https://pocket-id.org/), ein kleiner OIDC-Provider, bei dem sich Nutzer nur mit Passkeys anmelden. Er steht Authelia im Geist näher als Authentik und ist einen Blick wert, wenn Sie Passwörter loswerden wollen. Authentik vs Authelia ist kein Wettbewerb, den eines der Tools klar gewinnt, sie sind für benachbarte, aber verschiedene Aufgaben gebaut. Wählen Sie Authentik, wenn Sie einen echten Identity Provider mit Admin-Oberfläche und breiter Protokollunterstützung brauchen. Wählen Sie Authelia, wenn eine schlanke Anmeldeschranke vor Ihrem Reverse Proxy wirklich alles ist, was Sie brauchen, und Sie dafür lieber keine vollständige Admin-Konsole betreiben oder absichern wollen. Für die Protokolldetails hinter all dem listet die [Dokumentation zur Proxy-Integration](https://www.authelia.com/integration/proxies/introduction/) von Authelia jeden unterstützten Reverse Proxy auf. Unser [Authentik-Entwicklerleitfaden](https://meetrix.io/blogs/authentik-developer-guide/) und die [Anleitung zur Einrichtung auf AWS per Klick](https://meetrix.io/blogs/setup-authentik-aws-single-click/) decken den Weg über den vollständigen Identity Provider ab. Wenn Ihnen die Protokollbreite von Authentik mehr erscheint, als Sie brauchen, behandelt unser [Keycloak-Entwicklerleitfaden](https://meetrix.io/blogs/keycloak-developer-guide/) den anderen vollständigen IdP, den wir bereitstellen, nützlich zum Vergleich, bevor Sie sich festlegen. ## Häufig gestellte Fragen Authentik vs Authelia: Lösen sie überhaupt dasselbe Problem? Größtenteils nicht. Authentik ist ein vollständiger Identity Provider mit eigener Admin-Oberfläche, eigener Nutzerdatenbank und Unterstützung für mehrere Protokolle. Authelia ist Forward-Auth-Middleware, die vor einem Reverse Proxy sitzt und entscheidet, ob eine Anfrage zuerst eine Anmeldung braucht. An den Rändern überschneiden sie sich, aber Authelia versucht nicht, ein direkter Ersatz für Authentik zu sein. Was ist eine gute Authelia-Alternative mit vollständiger Admin-Oberfläche? Authentik. Authelia hat von Haus aus keine webbasierte Admin-Konsole, die Konfiguration besteht aus YAML-Dateien. Wenn Sie eine Oberfläche wollen, um Nutzer, Gruppen und Anwendungen visuell zu verwalten, ist Authentik genau dafür gebaut, Authelia bewusst nicht. Was ist eine gute schlanke Lösung, um SSO selbst zu hosten, für ein Homelab? Authelia, wenn Sie bereits einen Reverse Proxy wie Traefik, Nginx oder Caddy betreiben. Es kann als einzelner Container mit SQLite laufen (ergänzen Sie Redis und PostgreSQL, sobald Sie mehr als eine Instanz brauchen), während Authentik mindestens einen Server, einen Worker und PostgreSQL braucht. Außerdem gibt es keine Admin-Oberfläche, die Sie absichern oder pflegen müssten. Unterstützt Authelia SSO im Stil der Proxy-Authentifizierung von Authentik für Anwendungen ohne eigene Anmeldung? Nicht auf dieselbe Weise. Die Outposts von Authentik können SSO vor eine Anwendung setzen, die selbst keinerlei Authentifizierung unterstützt. Das Forward-Auth-Modell von Authelia leistet auf der Ebene des Reverse Proxys etwas Ähnliches, wird aber über Proxy-Regeln und YAML konfiguriert, nicht speziell über das Outpost-System von Authentik. Kann Authelia als vollständiger OIDC-Identity-Provider auftreten? Seit Version 4.37 ja, in eingeschränkter Form. Der OIDC-Provider von Authelia hat die Konformitätszertifizierung der OpenID Foundation bestanden, aber das Projekt selbst bezeichnet ihn weiterhin als Beta, und Funktionen wie Single Sign-out sind noch nicht umgesetzt. Die OIDC-Unterstützung von Authentik ist vollständiger. Unterstützt Authentik SQLite? Nein. Authentik braucht PostgreSQL. SQLite ist eine Option von Authelia, in Ordnung für ein Homelab mit einem einzelnen Node. Seit Version 2025.10 braucht Authentik auch kein Redis mehr, PostgreSQL ist also seine einzige externe Abhängigkeit. Unterstützen Authelia und Authentik mTLS? Auf unterschiedliche Weise. Die Einstellung server.tls.client\_certificates von Authelia lässt Authelia selbst auf seinem Listener gegenseitiges TLS verlangen. Authentik bietet mTLS als Anmeldemethode an, in der kostenpflichtigen Enterprise-Stufe. Wo passt Keycloak in Authelia vs Authentik vs Keycloak? Keycloak steht neben Authentik als vollständiger Identity Provider, schwerer und stärker auf Unternehmen ausgerichtet. Authelia bleibt der Außenseiter: eine Anmeldeschranke für einen Reverse Proxy, kein IdP. Entscheiden Sie zuerst zwischen Keycloak und Authentik und dann, ob Sie Authelia überhaupt brauchen. Was ist sicherer, Authentik oder Authelia? Authelia hat historisch weniger Schwachstellen gemeldet, vor allem wegen der kleineren Angriffsfläche: keine Admin-Oberfläche, weniger Code und ein Design für einen einzigen Zweck. Das ist keine Kritik an der Sicherheit von Authentik, sondern eine natürliche Folge davon, dass Authentik mehr leistet. ## Authentik auf AWS in Minuten starten Starten Sie einen vorkonfigurierten Authentik-Server auf AWS, einen vollständigen, selbst gehosteten Identity Provider mit bereits eingerichtetem SSO. [Authentik im AWS Marketplace holen](https://aws.amazon.com/marketplace/pp/prodview-uluiq3b35rnfc) Meetrix Store Authentik SSO, MFA and visual login flows [Deploy it](https://meetrix.io/store/authentik/) Meetrix Store New Deploy what this guide covers, pre-configured. - [Authentik SSO, MFA and visual login flows](https://meetrix.io/store/authentik/) - [Keycloak SSO with OIDC and SAML, an Auth0 alternative](https://meetrix.io/store/keycloak/) - [OpenVPN Encrypted remote access, no per-user fees](https://meetrix.io/store/openvpn/) - [Jitsi Meet Self-hosted video calls for 50 to 500 users](https://meetrix.io/store/jitsi-meet/) - [RustDesk Remote desktop AMI, a TeamViewer alternative](https://meetrix.io/store/rustdesk/) - [Coturn TURN/STUN for WebRTC, no per-minute relay fees](https://meetrix.io/store/coturn/) [Browse all products](https://meetrix.io/store/)