Managed Authentik Hosting
aus deutschen Rechenzentren.
Ihre eigene Authentik-Instanz, betrieben statt selbst gewartet. Single Sign-On, MFA und Nutzerverwaltung für Ihre Anwendungen, ohne dass jemand bei Ihnen PostgreSQL, Redis und Worker-Container pflegen muss.
- Dedizierte Instanz statt geteiltem Mandanten
- Keine Per-User-Gebühren
- AV-Vertrag inklusive
- Monatlich kündbar
Wofür Authentik gebaut ist
Ein Identity Provider ist die Stelle, an der sich Ihre Mitarbeitenden einmal anmelden und danach überall hineinkommen. Authentik ist die quelloffene Variante davon.
- 01
Statt in jeder Anwendung eigene Konten zu pflegen, existiert ein Verzeichnis. Wer dort deaktiviert wird, ist überall draußen, sofort und nachweisbar. Das ist der Punkt, an dem Identity Management aufhört, ein Komfortthema zu sein, und zu einer Frage der Zugriffskontrolle wird.
- 02
Authentik spricht dafür alle gängigen Protokolle: OAuth2 und OpenID Connect für moderne Anwendungen, SAML 2.0 für alles, was in Unternehmen historisch gewachsen ist, und einen LDAP-Outpost für Software, die nichts davon kann. Über den Application Proxy lassen sich auch Anwendungen absichern, die überhaupt keine Anmeldung mitbringen.
- 03
Im Vergleich zu den kommerziellen Anbietern ist der Unterschied weniger der Funktionsumfang als das Abrechnungsmodell. Okta, Auth0 und Entra rechnen pro Nutzer ab, und die Rechnung wächst mit dem Team. Authentik ist quelloffen unter MIT-Lizenz, es gibt keine Nutzerlizenz, die skaliert.
Was Ihre Instanz kann
Der volle Funktionsumfang der Open-Source-Version, nichts davon ist bei uns hinter einem Tarif eingesperrt.
Single Sign-On
Ein Login für alle Anwendungen, über OAuth2, OpenID Connect, SAML 2.0 oder proxybasierte Authentifizierung. Föderation zu Google, Entra ID oder GitHub inklusive.
Multi-Faktor-Authentifizierung
TOTP, WebAuthn und Passkeys, dazu E-Mail-OTP. Optional SMS über Twilio und Duo. Passkeys sind der Weg weg von SMS, den auch Microsoft gerade geht.
LDAP-Outpost
Ein vollwertiger LDAP-Server als Outpost. Damit binden Sie Altanwendungen an, die weder OIDC noch SAML sprechen, ohne deren Code anzufassen.
SCIM-Provisioning
Nutzer werden automatisch in angebundene Systeme angelegt, geändert und deaktiviert. Der Lebenszyklus läuft über eine Stelle statt über zehn Oberflächen.
RADIUS-Outpost
Authentifizierung für VPN, WLAN und Switches direkt gegen dasselbe Verzeichnis. Kein zweiter Nutzerbestand für die Netzwerkebene.
Application Proxy
Anwendungen ohne eigene Anmeldung bekommen eine vorgelagerte Authentifizierung. Interne Tools werden damit veröffentlichbar, ohne sie umzubauen.
Anpassbare Flows
Login, Registrierung und Passwort-Reset werden als Ablauf zusammengeklickt, nicht programmiert. Bedingungen wie MFA-Pflicht für bestimmte Gruppen gehören dazu.
Audit-Logs
Jeder Anmeldevorgang wird protokolliert und lässt sich exportieren, etwa in ein SIEM. Für Nachweise nach ISO 27001 oder NIS2 ist das die Grundlage.
Eigenes Branding
Login-Seiten mit Ihrem Logo, Ihren Farben und Ihren Texten. Konfiguration in der Oberfläche, kein Eingriff in den Code.
Transparente Preise. Keine Überraschungen.
Eigene Instanz in 5 Minuten starten. Keine Per-User-Gebühren in allen Plänen.
Region wählen
Support
S
Instanzgrößezzgl. USt.
- 2 vCPU
- 4 GB RAM
- 80 GB NVMe
- 20 TB Traffic
Support: Standard
- Reaktion in 24 Stunden
- Mo bis Fr, 08:00 bis 17:00 Uhr (MEZ/MESZ)
- Ticketsystem, Eingang per E-Mail
7 Tage testen. Kreditkarte erforderlich, danach automatisch kostenpflichtig, monatlich kündbar.
M
Instanzgrößezzgl. USt.
- 4 vCPU
- 8 GB RAM
- 160 GB NVMe
- 20 TB Traffic
Support: Standard
- Reaktion in 24 Stunden
- Mo bis Fr, 08:00 bis 17:00 Uhr (MEZ/MESZ)
- Ticketsystem, Eingang per E-Mail
7 Tage testen. Kreditkarte erforderlich, danach automatisch kostenpflichtig, monatlich kündbar.
L
Instanzgrößezzgl. USt.
- 8 vCPU
- 16 GB RAM
- 320 GB NVMe
- 20 TB Traffic
Support: Standard
- Reaktion in 24 Stunden
- Mo bis Fr, 08:00 bis 17:00 Uhr (MEZ/MESZ)
- Ticketsystem, Eingang per E-Mail
7 Tage testen. Kreditkarte erforderlich, danach automatisch kostenpflichtig, monatlich kündbar.
Die Instanz wird nach Ihrem Anwendungsfall dimensioniert. Wenn eine Größe nicht mehr reicht, wechseln wir sie im laufenden Betrieb. Außerhalb Deutschlands hat die Größe L 6 statt 8 vCPU, sonst sind die Zuschnitte identisch.
Funktionen
- SSO über OIDC, OAuth2 und SAML 2.0
- MFA: TOTP, WebAuthn und Passkeys, E-Mail-OTP
- LDAP-Outpost für Altanwendungen
- RADIUS-Outpost für VPN, WLAN und Switches
- SCIM-Provisioning
- Application Proxy für Anwendungen ohne eigene Anmeldung
- Remote Access Gateway für RDP, SSH und VNC
- Flows, Policies und Nutzerverzeichnis
- Föderation zu Google, Entra ID und GitHub
In jeder Größe enthalten
- Dedizierte Instanz, kein Shared Hosting
- Nutzer ohne Stückzahlbegrenzung
- Subdomain inklusive (*.authhost.de)
- Eigene Domain möglich
- PostgreSQL inklusive
- 99,9 % Verfügbarkeitszusage
- Automatische Backups und Updates
- 24/7 Monitoring
- Hosting in Deutschland
- AV-Vertrag inklusive
- Keine Einrichtungsgebühr, monatlich kündbar
Alle Preise netto zzgl. gesetzlicher USt. Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, nicht an Verbraucher.
Was der Betrieb umfasst
Authentik selbst zu betreiben ist machbar. Was Zeit kostet, ist nicht die Installation, sondern das Danach.
Updates über den ganzen Stack
Authentik erscheint monatlich. Gepatcht werden Anwendung, PostgreSQL, Redis und die Worker-Container, nicht nur das offensichtliche Stück.
Automatische Backups
Backups laufen automatisch und bleiben in derselben Region wie die Instanz. Ein Identity Provider ohne funktionierendes Restore ist ein Single Point of Failure.
24/7 Monitoring
Verfügbarkeit und Systemmetriken werden dauerhaft überwacht. Wenn die Anmeldung ausfällt, steht bei Ihnen alles, deshalb ist das die kritischste Komponente im Haus.
99,9 % SLA
Die Verfügbarkeitszusage von 99,9 % gilt in jeder Größe. Der Support antwortet je nach Stufe in 24 Stunden, 4 Stunden oder 30 Minuten.
Eigene Domain und Zertifikate
Subdomain unter authhost.de inklusive, auf Wunsch Ihre eigene Domain mit eigenem Zertifikat. Die Anmeldeseite trägt dann Ihren Namen.
Kein Lock-in
Authentik steht unter MIT-Lizenz. Ein vollständiger Export inklusive Datenbank ist jederzeit möglich, der Weg in den Eigenbetrieb bleibt offen.
Betreiben lassen, selbst betreiben oder mieten
Drei Wege zum selben Ziel. Diese Übersicht sagt auch, wann sich der gemietete Betrieb nicht lohnt.
| authhost | Eigenbetrieb | Nutzerbasierte SaaS | |
|---|---|---|---|
| Einstiegskosten | Ab 99,90 € im Monat | Server plus Einrichtung | Pro Nutzer und Monat |
| Laufender Betrieb | Beim Anbieter | Im eigenen Team | Beim Anbieter |
| Kosten bei Wachstum | Konstant je Plan | Konstant | Wächst mit jedem Nutzer |
| Instanz | Dediziert | Dediziert | Geteilter Mandant |
| Verarbeitungsort | Deutschland, 7 weitere Regionen | Ihr Rechenzentrum | Nach Anbieterregion |
| Verfügbarkeitszusage | 99,9 % | Ihre eigene | Nach Anbieter |
| Passt für | Produktivbetrieb ohne eigenes Ops-Team | Teams mit eigener Betriebsmannschaft | Kleine Teams mit stabiler Nutzerzahl |
Ehrlich dazu: Wer ohnehin ein Team hat, das PostgreSQL, Redis und Container im Schlaf betreibt, fährt im Eigenbetrieb rechnerisch günstiger. Und bei fünf Nutzern ist eine nutzerbasierte SaaS billiger als jede Pauschale. Der gemietete Betrieb lohnt sich dazwischen, und der Kipppunkt gegenüber nutzerbasierten Modellen liegt je nach Anbieter bei etwa 15 bis 25 Nutzern.
Datenstandort und Auftragsverarbeitung
Die deutsche Region läuft in Rechenzentren mit ISO 27001 und BSI C5, die übrigen sieben Regionen in Rechenzentren mit ISO 27001 und SOC 2 Type II. Deutschland ist die Standardregion.
Bei einem Identity Provider liegen naturgemäß personenbezogene Daten: Namen, E-Mail-Adressen, Gruppenzugehörigkeiten und die vollständige Anmeldehistorie. Damit sind Sie Verantwortlicher und wir Auftragsverarbeiter. Der AV-Vertrag nach Artikel 28 DSGVO gehört zu jedem Plan und regelt auch, wer unter welchen Bedingungen administrativ auf Ihre Instanz zugreifen kann.
Innerhalb der EU bleiben Deutschland und die Niederlande ohne Drittlandtransfer. Außerhalb der EU wird die Regionenwahl zu einer Compliance-Entscheidung, die wir vor dem Start mit Ihnen durchgehen.
So kommen Sie zu Ihrer Instanz
Von der Anmeldung bis zur ersten angebundenen Anwendung sind es vier Schritte.
- 1
Instanz starten
Plan und Region wählen, die Instanz wird bereitgestellt. Der Test läuft 7 Tage, für die Anmeldung ist eine Kreditkarte erforderlich.
- 2
Nutzer anlegen oder anbinden
Nutzer manuell anlegen, aus einer bestehenden Quelle importieren oder per Föderation an Entra ID, Google oder ein vorhandenes LDAP anbinden.
- 3
Erste Anwendung verbinden
Provider anlegen, Client-ID und Secret in die Anwendung eintragen, fertig. Für Anwendungen ohne eigene Anmeldung übernimmt der Application Proxy.
- 4
Betrieb übergeben
Nach dem Testzeitraum geht die Instanz automatisch in das gewählte Abo über. Updates, Backups und Monitoring liegen ab dann bei uns.
Weiterlesen
Welcher Identity Provider passt?
Authentik, Authelia und Keycloak im direkten Vergleich, mit Entscheidungsmatrix statt Sieger.
Managed Keycloak Hosting
Wenn Sie SAML-Föderation, Realms als Mandantengrenze oder tiefe AD-Anbindung brauchen.
Managed Zitadel Hosting
Für Softwarehäuser mit Mandantenstruktur: Organizations, Event-Log und API-first.
Häufige Fragen zu Managed Authentik Hosting
Was kostet Managed Authentik Hosting?+
Der Preis ergibt sich aus zwei Angaben: der Instanzgröße und der Support-Stufe. Die kleinste Größe kostet in Deutschland 99,90 € im Monat netto mit 2 vCPU, 4 GB RAM, 80 GB NVMe und 20 TB Traffic. Größe M liegt bei 149,90 €, Größe L bei 249,90 €. Die Support-Stufe Business kostet 100 € Aufschlag, Enterprise 350 €. Abgerechnet wird je Plan, nicht je Nutzer. Es gibt keine Einrichtungsgebühr und keine Mindestlaufzeit.
Wie viele Nutzer trägt ein Plan?+
Authentik selbst kennt kein Nutzerlimit, es gibt keine Lizenz, die zählt. Begrenzend ist die Dimensionierung der Instanz: CPU, Arbeitsspeicher und vor allem das Anmeldeaufkommen. Deshalb steht in den Plänen die Ausstattung statt einer geratenen Nutzerzahl. Wenn eine Größe nicht mehr trägt, wechseln wir sie im laufenden Betrieb.
Kann ich meine bestehende Authentik-Instanz migrieren?+
Ja. Es ist dieselbe Software, deshalb lassen sich Nutzer, Gruppen, Provider, Applikationen und Flows übernehmen. Der übliche Weg ist ein Datenbank-Dump der bestehenden Instanz, den wir einspielen, danach passen Sie nur die Redirect-URIs in den angebundenen Anwendungen an. Bei größeren Beständen unterstützen wir dabei.
Bekomme ich einen Auftragsverarbeitungsvertrag?+
Ja, in jedem Plan enthalten. Sie fordern ihn im Portal oder per Mail an und bekommen ihn unterschriftsreif. Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen sowie die technischen und organisatorischen Maßnahmen.
Welche Anwendungen kann ich anbinden?+
Alles, was OAuth2, OpenID Connect oder SAML 2.0 spricht, also die große Mehrheit moderner Software. Für Altanwendungen gibt es den LDAP-Outpost, für Netzwerkgeräte den RADIUS-Outpost, und für Anwendungen ohne jede eigene Anmeldung den Application Proxy. In der Praxis bleibt selten etwas übrig, das gar nicht geht.
Was passiert, wenn Authentik ausfällt?+
Dann kommt niemand mehr in die angebundenen Anwendungen, das ist die unbequeme Wahrheit über zentrale Anmeldung. Deshalb gilt in jeder Größe eine Verfügbarkeitszusage von 99,9 %, dazu 24/7-Monitoring. Für den Ernstfall behalten Sie einen lokalen Notfall-Administrator in den kritischen Systemen, das empfehlen wir unabhängig vom Anbieter.
Wo liegen die Daten?+
In der Standardkonfiguration in Deutschland, in Rechenzentren mit ISO 27001 und BSI C5. Sieben weitere Regionen stehen zur Wahl. Betroffen sind die Instanz selbst, die PostgreSQL-Datenbank mit Nutzern und Anmeldehistorie sowie die automatischen Backups.
Was passiert nach dem Testzeitraum?+
Der Test läuft 7 Tage. Für die Anmeldung ist eine Kreditkarte erforderlich, und nach Ablauf geht der Test automatisch in das gewählte kostenpflichtige Abo über. Wenn Sie nicht fortsetzen möchten, kündigen Sie vorher im Portal.
Authentik betreiben lassen
Starten Sie den 7-Tage-Test oder besprechen Sie vorab, welche Anwendungen und Nutzerquellen Sie anbinden wollen. Für die Anmeldung ist eine Kreditkarte erforderlich, der Test geht danach automatisch in das gewählte Abo über.