Managed Authentik Hosting
mit SSO, MFA und Application Proxy.
Ihre eigene Authentik-Instanz, betrieben statt selbst gewartet. Single Sign-On, MFA und Nutzerverwaltung für Ihre Anwendungen, ohne dass jemand bei Ihnen PostgreSQL, Redis und Worker-Container pflegen muss.
- Dedizierte Instanz statt geteiltem Mandanten
- Keine Per-User-Gebühren
- AV-Vertrag inklusive
- Vertragslaufzeit gemäß Angebot
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
Wofür Authentik gebaut ist
Ein Identity Provider ist die Stelle, an der sich Ihre Mitarbeitenden einmal anmelden und danach überall hineinkommen. Authentik ist die quelloffene Variante davon.
- 01
Statt in jeder Anwendung eigene Konten zu pflegen, existiert ein Verzeichnis. Wer dort deaktiviert wird, ist überall draußen, sofort und nachweisbar. Das ist der Punkt, an dem Identity Management aufhört, ein Komfortthema zu sein, und zu einer Frage der Zugriffskontrolle wird.
- 02
Authentik spricht dafür alle gängigen Protokolle: OAuth2 und OpenID Connect für moderne Anwendungen, SAML 2.0 für alles, was in Unternehmen historisch gewachsen ist, und einen LDAP-Outpost für Software, die nichts davon kann. Über den Application Proxy lassen sich auch Anwendungen absichern, die überhaupt keine Anmeldung mitbringen.
- 03
Bei nutzerbasierter Abrechnung wächst die Rechnung mit dem Team. Authentik ist unter der MIT-Lizenz quelloffen und benötigt keine Nutzerlizenz. Bei authhost richtet sich der Preis nach Instanzgröße und Support-Stufe.
Was Ihre Instanz kann
Der volle Funktionsumfang der Open-Source-Version, nichts davon ist bei uns hinter einem Tarif eingesperrt.
Single Sign-On
Ein Login für alle Anwendungen, über OAuth2, OpenID Connect, SAML 2.0 oder proxybasierte Authentifizierung. Föderation zu Google, Entra ID oder GitHub inklusive.
Multi-Faktor-Authentifizierung
TOTP, WebAuthn und Passkeys, dazu E-Mail-OTP. Optional SMS über Twilio und Duo. Passkeys sind der Weg weg von SMS, den auch Microsoft gerade geht.
LDAP-Outpost
Ein vollwertiger LDAP-Server als Outpost. Damit binden Sie Altanwendungen an, die weder OIDC noch SAML sprechen, ohne deren Code anzufassen.
SCIM-Provisioning
Nutzer werden automatisch in angebundene Systeme angelegt, geändert und deaktiviert. Der Lebenszyklus läuft über eine Stelle statt über zehn Oberflächen.
RADIUS-Outpost
Authentifizierung für VPN, WLAN und Switches direkt gegen dasselbe Verzeichnis. Kein zweiter Nutzerbestand für die Netzwerkebene.
Application Proxy
Anwendungen ohne eigene Anmeldung bekommen eine vorgelagerte Authentifizierung. Interne Tools werden damit veröffentlichbar, ohne sie umzubauen.
Anpassbare Flows
Login, Registrierung und Passwort-Reset werden als Ablauf zusammengeklickt, nicht programmiert. Bedingungen wie MFA-Pflicht für bestimmte Gruppen gehören dazu.
Audit-Logs
Jeder Anmeldevorgang wird protokolliert und lässt sich exportieren, etwa in ein SIEM. Für Nachweise nach ISO 27001 oder NIS2 ist das die Grundlage.
Eigenes Branding
Login-Seiten mit Ihrem Logo, Ihren Farben und Ihren Texten. Konfiguration in der Oberfläche, kein Eingriff in den Code.
Transparente Preise. Keine Überraschungen.
Instanz und Service Level nach WZ-IT-Konditionen. Deutschland ist der Standardstandort; andere Standorte auf Anfrage.
Region wählen
In jeder Stufe enthalten
Funktionen
- SSO über OIDC, OAuth2 und SAML 2.0
- MFA: TOTP, WebAuthn und Passkeys, E-Mail-OTP
- LDAP-Outpost für Altanwendungen
- RADIUS-Outpost für VPN, WLAN und Switches
- SCIM-Provisioning
- Application Proxy für Anwendungen ohne eigene Anmeldung
- Remote Access Gateway für RDP, SSH und VNC
- Flows, Policies und Nutzerverzeichnis
- Föderation zu Google, Entra ID und GitHub
Der Funktionsumfang folgt dem jeweiligen Open-Source-Projekt und kann sich mit neuen Versionen ändern. Maßgeblich ist die offizielle Dokumentation, Angaben ohne Gewähr: docs.goauthentik.io
Im Hosting enthalten
- Dedizierte Instanz, kein Shared Hosting
- Nutzer ohne Stückzahlbegrenzung
- Subdomain inklusive (*.authhost.de)
- Eigene Domain möglich
- PostgreSQL inklusive
Betrieb
Betrieb, Updates und Backups im vereinbarten Umfang · 24/7 automatisiertes Monitoring · Standardverfügbarkeit für gehostete Workloads: 99,9 % im Monat · Deutschland als Standardstandort · AV-Vertrag · Einrichtung und Vertragslaufzeit im Angebot
Support wählen
Essential, Business und Priority gelten während definierter Servicezeiten. Production und Critical ergänzen eine Reaktion auf P1-Incidents rund um die Uhr. Ab Business ist ein monatliches Betriebsbudget für planbare technische Leistungen enthalten.
Instanzgröße wählen
Die Größe bestimmt Rechenleistung und Arbeitsspeicher, nicht den Funktionsumfang. Reicht eine Größe nicht mehr, wechseln wir sie im laufenden Betrieb.
S
Instanzgrößezzgl. USt. · inkl. Support Essential
- 2 vCPU
- 4 GB RAM
- 80 GB NVMe
- 5 TB Traffic
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
M
Instanzgrößezzgl. USt. · inkl. Support Essential
- 4 vCPU
- 8 GB RAM
- 160 GB NVMe
- 5 TB Traffic
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
L
Instanzgrößezzgl. USt. · inkl. Support Essential
- 8 vCPU
- 16 GB RAM
- 240 GB NVMe
- 5 TB Traffic
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
Compute und Service Level werden unabhängig gewählt. Den tatsächlichen Ressourcenbedarf prüfen wir vor dem Angebot.
Hosting und zusätzliche Projektarbeit werden separat vereinbart. Es gelten die WZ-IT-Service-Levels und ausgewiesenen Support-Konditionen. Expertenunterstützung ansehen
Alle Preise netto zzgl. gesetzlicher USt. Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, nicht an Verbraucher.
Business, Priority, Production und Critical enthalten den ersten erfassten Workload einer Kundenumgebung. Weitere erfasste Workloads kosten 29,90 €, 49,90 €, 69,90 € beziehungsweise 99,90 € pro Monat.
Das flexible Betriebsbudget gilt für planbare Leistungen innerhalb der regulären Servicezeit und verfällt zum Monatsende. Betrieb, Monitoring, Backups, Wartung und Updates im vereinbarten Umfang werden nicht davon abgezogen. Zusatzleistungen und Incident-Aufwand kosten innerhalb der regulären Servicezeit 120 € netto pro Stunde im 6-Minuten-Takt, außerhalb 240 € netto je angefangener Stunde.
Production und Critical setzen eine technische Abnahme voraus. Critical ist kapazitätsbegrenzt. Reaktionsziele gelten für P1-Incidents über das vereinbarte Ticketsystem, nicht für jede Anfrage oder eine garantierte Lösungszeit.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
Alle Service Levels und Incident-Regeln bei WZ-ITWas der Betrieb umfasst
Authentik selbst zu betreiben ist machbar. Was Zeit kostet, ist nicht die Installation, sondern das Danach.
Updates über den ganzen Stack
Authentik erscheint monatlich. Gepatcht werden Anwendung, PostgreSQL, Redis und die Worker-Container, nicht nur das offensichtliche Stück.
Automatische Backups
Backups laufen automatisch und bleiben in derselben Region wie die Instanz. Ein Identity Provider ohne funktionierendes Restore ist ein Single Point of Failure.
24/7 Monitoring
Verfügbarkeit und Systemmetriken werden dauerhaft überwacht. Wenn die Anmeldung ausfällt, steht bei Ihnen alles, deshalb ist das die kritischste Komponente im Haus.
99,9 % SLA
Essential: Technische Erstreaktion auf kritische Störungen (P1) bis Ende des nächsten Arbeitstags, Mo-Fr, 08:00-17:00 Uhr · Business: Technische Erstreaktion auf kritische Störungen (P1) innerhalb von 4 Servicezeitstunden, Mo-Fr, 08:00-18:00 Uhr · Priority: Technische Erstreaktion auf kritische Störungen (P1) innerhalb von 1 Servicezeitstunde, Mo-Fr, 08:00-18:00 Uhr · Production: Technische Erstreaktion auf kritische Störungen (P1) rund um die Uhr innerhalb von 60 Minuten, P1 rund um die Uhr · Critical: Technische Erstreaktion auf kritische Störungen (P1) rund um die Uhr innerhalb von 30 Minuten, inklusive Rückruf, P1 rund um die Uhr. Production und Critical setzen eine technische Abnahme voraus. Critical ist kapazitätsbegrenzt. Reaktionsziele gelten für P1-Incidents über das vereinbarte Ticketsystem, nicht für jede Anfrage oder eine garantierte Lösungszeit. Das flexible Betriebsbudget gilt für planbare Leistungen innerhalb der regulären Servicezeit und verfällt zum Monatsende. Betrieb, Monitoring, Backups, Wartung und Updates im vereinbarten Umfang werden nicht davon abgezogen. Zusatzleistungen und Incident-Aufwand kosten innerhalb der regulären Servicezeit 120 € netto pro Stunde im 6-Minuten-Takt, außerhalb 240 € netto je angefangener Stunde.
Eigene Domain und Zertifikate
Subdomain unter authhost.de inklusive, auf Wunsch Ihre eigene Domain mit eigenem Zertifikat. Die Anmeldeseite trägt dann Ihren Namen.
Kein Lock-in
Authentik steht unter MIT-Lizenz. Ein vollständiger Export inklusive Datenbank ist jederzeit möglich, der Weg in den Eigenbetrieb bleibt offen.
Datenstandort und Auftragsverarbeitung
Standardstandort ist Deutschland. Andere Standorte und deren Betriebsbedingungen prüfen wir auf Anfrage vor dem Angebot. Standort, Backup-Ziele und Verantwortlichkeiten werden dokumentiert.
Bei einem Identity Provider liegen naturgemäß personenbezogene Daten: Namen, E-Mail-Adressen, Gruppenzugehörigkeiten und die vollständige Anmeldehistorie. Damit sind Sie Verantwortlicher und wir Auftragsverarbeiter. Der AV-Vertrag nach Artikel 28 DSGVO gehört zu jedem Plan und regelt auch, wer unter welchen Bedingungen administrativ auf Ihre Instanz zugreifen kann.
Innerhalb der EU bleiben Deutschland und die Niederlande ohne Drittlandtransfer. Außerhalb der EU wird die Regionenwahl zu einer Compliance-Entscheidung, die wir vor dem Start mit Ihnen durchgehen.
So kommen Sie zu Ihrer Instanz
Von der Anmeldung bis zur ersten angebundenen Anwendung sind es vier Schritte.
- 1
Instanz starten
Bereitstellung, ein möglicher Pilot und Vertragsbedingungen werden vorab im Angebot vereinbart. Es gibt kein automatisches Testabonnement.
- 2
Nutzer anlegen oder anbinden
Nutzer manuell anlegen, aus einer bestehenden Quelle importieren oder per Föderation an Entra ID, Google oder ein vorhandenes LDAP anbinden.
- 3
Erste Anwendung verbinden
Provider anlegen, Client-ID und Secret in die Anwendung eintragen, fertig. Für Anwendungen ohne eigene Anmeldung übernimmt der Application Proxy.
- 4
Betrieb übergeben
Nach dem Testzeitraum geht die Instanz automatisch in das gewählte Abo über. Updates, Backups und Monitoring liegen ab dann bei uns.
Hosting von WZ-IT
Ein Team für Ihr Hosting und alles, was darauf läuft.
authhost ist ein Hosting-Angebot von WZ-IT. Wir verbinden Infrastruktur, Software und laufenden Betrieb. Timo und Robin klären mit Ihnen, was Sie benötigen und wer welche Verantwortung übernimmt.
- Direkt mit Timo und Robin - ohne Vertriebsumweg
- Betrieb und Support nach den vereinbarten WZ-IT-Service-Levels
- Managed IAM Hosting; IAM-Migration und Anwendungsanbindungen sind nicht enthalten
Gemeinsamer WZ-IT-Termin zum Kennenlernen und Einordnen Ihres Vorhabens.
Mehr über WZ-IT
Weiterlesen
Welcher Identity Provider passt?
Authentik, Authelia und Keycloak im direkten Vergleich, mit Entscheidungsmatrix statt Sieger.
Managed Keycloak Hosting
Wenn Sie SAML-Föderation, Realms als Mandantengrenze oder tiefe AD-Anbindung brauchen.
Managed Zitadel Hosting
Für Softwarehäuser mit Mandantenstruktur: Organizations, Event-Log und API-first.
Häufige Fragen zu Managed Authentik Hosting
Was kostet Managed Authentik Hosting?+
Essential: Technische Erstreaktion auf kritische Störungen (P1) bis Ende des nächsten Arbeitstags, Mo-Fr, 08:00-17:00 Uhr · Business: Technische Erstreaktion auf kritische Störungen (P1) innerhalb von 4 Servicezeitstunden, Mo-Fr, 08:00-18:00 Uhr · Priority: Technische Erstreaktion auf kritische Störungen (P1) innerhalb von 1 Servicezeitstunde, Mo-Fr, 08:00-18:00 Uhr · Production: Technische Erstreaktion auf kritische Störungen (P1) rund um die Uhr innerhalb von 60 Minuten, P1 rund um die Uhr · Critical: Technische Erstreaktion auf kritische Störungen (P1) rund um die Uhr innerhalb von 30 Minuten, inklusive Rückruf, P1 rund um die Uhr. Production und Critical setzen eine technische Abnahme voraus. Critical ist kapazitätsbegrenzt. Reaktionsziele gelten für P1-Incidents über das vereinbarte Ticketsystem, nicht für jede Anfrage oder eine garantierte Lösungszeit. Das flexible Betriebsbudget gilt für planbare Leistungen innerhalb der regulären Servicezeit und verfällt zum Monatsende. Betrieb, Monitoring, Backups, Wartung und Updates im vereinbarten Umfang werden nicht davon abgezogen. Zusatzleistungen und Incident-Aufwand kosten innerhalb der regulären Servicezeit 120 € netto pro Stunde im 6-Minuten-Takt, außerhalb 240 € netto je angefangener Stunde.
Wie viele Nutzer trägt ein Plan?+
Authentik selbst kennt kein Nutzerlimit, es gibt keine Lizenz, die zählt. Begrenzend ist die Dimensionierung der Instanz: CPU, Arbeitsspeicher und vor allem das Anmeldeaufkommen. Deshalb steht in den Plänen die Ausstattung statt einer geratenen Nutzerzahl. Wenn eine Größe nicht mehr trägt, wechseln wir sie im laufenden Betrieb.
Bieten Sie IAM-Migrationen an?+
Nein. Unser Angebot umfasst derzeit Managed Hosting für Authentik, Keycloak und Zitadel. Die Übernahme bestehender Nutzer, Berechtigungen und Anwendungsanbindungen ist nicht Bestandteil unseres Angebots.
Bekomme ich einen Auftragsverarbeitungsvertrag?+
WZ-IT stimmt Anforderungen und Umfang mit Ihnen ab und stellt die Instanz nach Beauftragung bereit. Zugänge und Betriebsdokumentation erhalten Sie bei der Übergabe.
Welche Anwendungen kann ich anbinden?+
Alles, was OAuth2, OpenID Connect oder SAML 2.0 spricht, also die große Mehrheit moderner Software. Für Altanwendungen gibt es den LDAP-Outpost, für Netzwerkgeräte den RADIUS-Outpost, und für Anwendungen ohne jede eigene Anmeldung den Application Proxy. In der Praxis bleibt selten etwas übrig, das gar nicht geht.
Was passiert, wenn Authentik ausfällt?+
Dann kommt niemand mehr in die angebundenen Anwendungen, das ist die unbequeme Wahrheit über zentrale Anmeldung. Deshalb gilt in jeder Größe eine Verfügbarkeitszusage von 99,9 %, dazu 24/7-Monitoring. Für den Ernstfall behalten Sie einen lokalen Notfall-Administrator in den kritischen Systemen, das empfehlen wir unabhängig vom Anbieter.
Wo liegen die Daten?+
Standardstandort ist Deutschland. Andere Standorte und deren Betriebsbedingungen prüfen wir auf Anfrage vor dem Angebot. Standort, Backup-Ziele und Verantwortlichkeiten werden dokumentiert.
Was passiert nach dem Testzeitraum?+
Bereitstellung, ein möglicher Pilot und Vertragsbedingungen werden vorab im Angebot vereinbart. Es gibt kein automatisches Testabonnement.
Authentik betreiben lassen
Bereitstellung, ein möglicher Pilot und Vertragsbedingungen werden vorab im Angebot vereinbart. Es gibt kein automatisches Testabonnement.
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.