Authentik vs. Authelia 2026: Welcher Self-Hosted Identity Provider passt?

Authentik oder Authelia? Die Frage taucht in jedem Self-Hosting-Forum auf – und die Antwort ist weniger nuanciert, als die meisten Vergleiche suggerieren. Authelia ist ein hervorragender Auth-Gateway für Homelabs. Aber sobald ein Unternehmen SAML für Legacy-Apps braucht, LDAP für Netzwerkgeräte, SCIM für automatisiertes On-/Offboarding oder eine zentrale Benutzerverwaltung mit Flows und Policies – ist Authelia am Ende seiner Möglichkeiten. Authentik deckt all das ab, als Open-Source-Lösung mit MIT-Lizenz. Und mit authhost erhalten Sie Managed Authentik Hosting ab 34,90 €/Monat – ohne den Betriebsaufwand.

Auch interessant: Keycloak Alternative für den Mittelstand

Kurzvergleich: Authentik vs. Authelia auf einen Blick

Inhaltsverzeichnis

• Was ist Authelia?
• Was ist Authentik?
• Architektur: Auth-Gateway vs. Identity Provider
  • Authelia: Vor dem Reverse Proxy
  • Authentik: Zentrale Identitätsplattform
  • Architekturvergleich
• Protokoll-Support: Der entscheidende Unterschied
• MFA und Conditional Access
  • MFA-Methoden
  • Conditional Access
• Benutzerverwaltung und Automatisierung
  • Authelia: Minimal by Design
  • Authentik: Vollständige Identity Platform
• Ressourcenverbrauch: Leichtgewicht vs. Full-Stack
  • Docker-Footprint im Vergleich
• Reverse Proxy Integration vs. Application Proxy
  • Authelia: Forward-Auth-Spezialist
  • Authentik: Drei Integrationswege
• Sicherheit und Community
  • Sicherheit
  • Community und Entwicklung
• Setup und Betrieb: YAML vs. Self-Service-Portal
  • Authelia: YAML-Konfiguration
  • Authentik: Web-UI + Flow Engine
  • authhost: Managed Authentik Hosting
• Kosten im Vergleich
  • Authelia: Kostenlos, aber Betriebsaufwand
  • Authentik Self-Hosted: Kostenlos oder $5/User/Monat
  • authhost: Flatrate ohne Per-User-Gebühren
  • Kostenvergleich: 50 Nutzer, 3 Jahre
• Entscheidungshilfe: Wann Authelia, wann Authentik?
  • Authelia ist die richtige Wahl, wenn Sie:
  • Authentik / authhost ist die bessere Wahl, wenn Sie:
  • Die Kurzformel
• Fazit
• Quellen

Was ist Authelia?

Authelia ist ein Open-Source-Authentifizierungsserver, geschrieben in Go. Er fungiert als Companion für Reverse Proxies – Nginx, Traefik, Caddy, HAProxy, Envoy – und stellt eine Login-Seite mit MFA vor Ihre Anwendungen.

Was Authelia gut kann:

• Login-Portal mit MFA (TOTP, WebAuthn, Passkeys, Duo Push)
• OpenID Connect 1.0 Provider (seit 2024 OpenID Certified)
• Granulare Access-Policies pro Subdomain/Pfad
• Brute-Force-Schutz und Session-Management
• Extrem leichtgewichtig: <20 MB Image, ~30 MB RAM

Was Authelia designbedingt nicht kann:

• Kein SAML 2.0 Provider (auf der Roadmap, kein veröffentlichter Zeitplan)
• Kein LDAP-Server (kann LDAP nur als Backend nutzen, nicht bereitstellen)
• Kein SCIM-Provisioning
• Kein RADIUS
• Kein Application Proxy für Apps ohne native SSO-Unterstützung
• Keine visuelle Flow Engine oder Workflow-Automatisierung
• Kein vollständiges User-Management-Dashboard
• Keine User-Impersonation

Authelia wurde für einen spezifischen Zweck gebaut: eine Authentifizierungsschicht vor einen Reverse Proxy legen. Das macht es hervorragend – aber es ist kein Identity Provider im eigentlichen Sinne.

Was ist Authentik?

Authentik ist ein Open-Source Identity Provider, geschrieben in Python/Django mit einem TypeScript-Frontend. Es ist die Self-Hosted-Alternative zu kommerziellen Lösungen wie Okta, Auth0 oder Azure AD – mit vollem Protokoll-Support und einer visuellen Flow Engine.

Was Authentik bietet:

• SSO über OIDC, OAuth2, SAML 2.0, LDAP, SCIM, RADIUS und Kerberos
• Vollständiges Admin-Dashboard mit Benutzerverwaltung
• Flow Engine: Authentifizierungsprozesse als konfigurierbare Flows mit Stages, Policies und Providern – visuell modellierbar
• Application Proxy: SSO für Anwendungen, die kein OIDC oder SAML sprechen
• LDAP-Outpost: Vollständiger LDAP-Server für Legacy-Anwendungen
• RADIUS-Outpost: Authentifizierung für VPN, WLAN und Netzwerkgeräte
• SCIM-Provisioning: Automatisches On-/Offboarding über HR-Systeme oder IdPs
• Remote Access Gateway: Browser-basierter RDP-, SSH- und VNC-Zugriff
• Conditional Access: GeoIP-Checks, Impossible-Travel-Detection, Device Posture
• User-Impersonation für Support und Debugging
• MIT-Lizenz: Keine Nutzungseinschränkungen, auch kommerziell

Authentik Enterprise ($5/User/Monat) fügt Features hinzu, die für die meisten KMUs nicht nötig sind: Google Workspace Integration, WS-Federation, mTLS-Login, erweiterte Compliance-Reports. Die Open-Source-Version deckt den Großteil der Unternehmensanforderungen ab.

Architektur: Auth-Gateway vs. Identity Provider

Authelia: Vor dem Reverse Proxy

Nutzer ──► Reverse Proxy (Traefik/Nginx) ──► Authelia prüft Login ──► App
                                                │
                                          MFA, Session, OIDC

Authelia schützt den Eingang. Es sitzt als Forward-Auth-Middleware vor dem Reverse Proxy und entscheidet: darf der Nutzer passieren oder muss er sich erst einloggen? Das funktioniert über auth_request (Nginx), forwardAuth (Traefik) oder forward_auth (Caddy).

Vorteil: Extrem leichtgewichtig, schnell aufgesetzt, minimal invasiv. Nachteil: Die Anwendung dahinter weiß nichts über den Nutzer – außer über HTTP-Header. Für Apps, die echte SSO-Integration brauchen (Tokens, Claims, Gruppen), reicht das nicht.

Authentik: Zentrale Identitätsplattform

Nutzer ──► Authentik (Login, MFA, Flow Engine) ──► Token/Session
                    │
        ┌───────────┼───────────┬──────────────┐
        ▼           ▼           ▼              ▼
   OIDC-App    SAML-App    LDAP-Gerät    Proxy-App

Authentik verwaltet die Identität. Es ist die zentrale Stelle, an der Nutzer authentifiziert, autorisiert und provisioniert werden. Anwendungen sprechen direkt mit Authentik über OIDC, SAML, LDAP oder den Application Proxy.

Vorteil: Jede Anwendung kennt den Nutzer, seine Gruppen, seine Rollen. Automatisierung über Flows und SCIM. Nachteil: Größerer Footprint (~250–350 MB RAM inkl. PostgreSQL; seit Release 2025.10 ohne Redis).

Architekturvergleich

Protokoll-Support: Der entscheidende Unterschied

Hier wird der Vergleich eindeutig. In einem Unternehmen gibt es nie nur OIDC-fähige Anwendungen. Es gibt Legacy-Software, die nur LDAP spricht. Netzwerkgeräte, die RADIUS brauchen. Enterprise-SaaS-Anbieter, die auf SAML bestehen. Und interne Tools, die gar kein SSO-Protokoll unterstützen.

Authelia's SAML-Problem: SAML 2.0 steht seit Jahren auf der Authelia-Roadmap (GitHub Issue #493), ist aber Stand April 2026 nicht implementiert. Es gibt keinen veröffentlichten Zeitplan. Das Authelia-Team besteht aus 3 Entwicklern, die in ihrer Freizeit arbeiten. Für Unternehmen, die SAML für Microsoft 365, Salesforce, AWS SSO oder andere Enterprise-Dienste brauchen, ist das ein Dealbreaker.

Authelia's LDAP-Problem: Authelia kann LDAP als Authentifizierungs-Backend nutzen (z.B. gegen ein bestehendes Active Directory). Aber es kann keinen LDAP-Dienst bereitstellen. Wenn Sie ein NAS (Synology, QNAP), eine Firewall (OPNsense, pfSense) oder Netzwerk-Switches per LDAP authentifizieren wollen, brauchen Sie einen LDAP-Server – und Authelia kann das nicht.

MFA und Conditional Access

MFA-Methoden

Beide unterstützen die wichtigsten MFA-Methoden. Authelia hat den Vorteil der Duo-Push-Integration, Authentik bietet dafür SMS und Email als zusätzliche Faktoren.

Conditional Access

Hier trennen sich die Wege deutlich:

Authelia bietet regelbasierte Access-Policies: Zugriff erlauben/verweigern basierend auf Domain, Pfad, Gruppe und Netzwerk. Das reicht für einfache Szenarien.

Authentik bietet eine vollständige Policy Engine:

• GeoIP-Checks: Login aus ungewöhnlichem Land? Zusätzliche MFA-Abfrage.
• Impossible Travel Detection: Login aus Berlin und 5 Minuten später aus Tokio? Block.
• Device Posture: Gerät bekannt und compliant? Zugriff erlaubt.
• Reputation Scoring: IP-Adressen mit bekanntem Missbrauch werden blockiert.
• Time-based Policies: Zugriff nur während der Arbeitszeiten.
• Flow Engine: Alle Bedingungen visuell modellierbar, ohne Code.

Für Unternehmen mit Compliance-Anforderungen (NIS2, DSGVO, ISO 27001) ist die Conditional-Access-Funktionalität von Authentik ein entscheidender Vorteil.

Benutzerverwaltung und Automatisierung

Authelia: Minimal by Design

Authelia verwaltet keine Nutzer im eigentlichen Sinne. Es authentifiziert gegen ein externes Backend (LDAP-Server, lokale YAML-Datei) und speichert Sessions. Es gibt kein Admin-Dashboard zur Nutzerverwaltung, keine Gruppen-Zuweisung über die UI, keine Self-Service-Funktionen für Endnutzer.

Authentik: Vollständige Identity Platform

• Admin-Dashboard: Nutzer, Gruppen, Rollen, Anwendungen – alles über die Web-UI verwaltbar
• Flow Engine: Authentifizierungsprozesse visuell modellieren (Registration, Recovery, Login, Enrollment)
• SCIM-Provisioning: Nutzer automatisch aus HR-Systemen oder externen IdPs synchronisieren. Mitarbeiter verlässt das Unternehmen → Zugriff wird automatisch entzogen.
• User-Impersonation: Als Admin die Perspektive eines Nutzers einnehmen – für Support und Debugging
• Self-Service: Nutzer können Passwort zurücksetzen, MFA verwalten, Geräte registrieren – ohne Admin-Eingriff
• Event-Logging: Jede Aktion protokolliert – Login, Logout, Policy-Änderung, Gruppenzuweisung. Enhanced Audit Logging (Diff-Ansicht, CSV-Export, Visual Analytics) mit Authentik Enterprise.

Ressourcenverbrauch: Leichtgewicht vs. Full-Stack

Docker-Footprint im Vergleich

Authelia ist 2–3× ressourceneffizienter. Auf einem Raspberry Pi oder einem Mini-PC mit 2 GB RAM ist das relevant. Auf einem Server mit 8+ GB RAM – also jedem Unternehmens-Server – ist der Unterschied vernachlässigbar.

Für die Perspektive: Ein einziger Chrome-Tab verbraucht mehr RAM als der gesamte Authelia-Stack. Die Frage „Was braucht weniger RAM?" ist für Unternehmen die falsche Frage. Die richtige Frage ist: „Was löst mein Problem?"

Reverse Proxy Integration vs. Application Proxy

Authelia: Forward-Auth-Spezialist

Authelia integriert sich nativ mit:

• Nginx (via auth_request)
• Traefik (via forwardAuth Middleware)
• Caddy (via forward_auth Plugin)
• HAProxy, Envoy, Skipper

Die Integration ist eng und gut dokumentiert. Für Docker-Setups mit Traefik ist Authelia in 5 Minuten aufgesetzt.

Authentik: Drei Integrationswege

1. Forward-Auth (wie Authelia) – über Traefik, Nginx, Caddy
2. Application Proxy (Outpost) – Authentik stellt selbst einen Reverse Proxy bereit, der SSO vor beliebige Anwendungen setzt
3. Native Integration – Anwendungen sprechen direkt OIDC/SAML mit Authentik

Der Application Proxy ist ein echter Differentiator: Er ermöglicht SSO für Anwendungen, die keinerlei SSO-Unterstützung haben – ohne dass die Anwendung angepasst werden muss. Das ist für Unternehmen mit Legacy-Software kritisch.

Sicherheit und Community

Sicherheit

Authelia hat historisch weniger gemeldete Sicherheitslücken. Das liegt primär an der kleineren Angriffsfläche: weniger Code, kein Admin-UI, keine Multi-Protokoll-Unterstützung. Die Codebasis in Go ist speichersicher.

Authentik hat eine breitere Angriffsfläche durch mehr Features und Code. Dafür wird das Projekt von Authentik Security Inc. professionell betreut – mit einem dedizierten Security-Team, regelmäßigen Releases und einem Responsible-Disclosure-Prozess.

Community und Entwicklung

Authelia hat mehr GitHub Stars – ein Zeichen für die starke Homelab-Community. Authentik hat mehr Contributors und wird von einem Unternehmen entwickelt, was langfristige Stabilität und Enterprise-Readiness garantiert.

Setup und Betrieb: YAML vs. Self-Service-Portal

Authelia: YAML-Konfiguration

Authelia wird über eine YAML-Datei konfiguriert. Das ist für Entwickler und Self-Hoster komfortabel, aber jede Änderung erfordert einen Dateiedit und Service-Restart. Es gibt kein Web-UI zur Konfiguration.

Authentik: Web-UI + Flow Engine

Authentik wird über ein vollständiges Web-Dashboard konfiguriert. Flows, Policies, Provider und Anwendungen werden grafisch verwaltet. Änderungen greifen sofort, ohne Restart.

authhost: Managed Authentik Hosting

Wer den Betriebsaufwand komplett eliminieren möchte, nutzt authhost – Managed Authentik Hosting von merkaio:

1. Account auf portal.merkaio.com erstellen
2. Instanz deployen – Plan wählen, Region auswählen (Deutschland, Niederlande, USA, Kanada, Singapur, Japan, Sydney oder Indien)
3. Authentik Dashboard öffnen – Ihre dedizierte Instanz ist fertig
4. Anwendungen anbinden und Nutzer onboarden

7 Tage kostenlos testen – eigene dedizierte Instanz.

Kosten im Vergleich

Authelia: Kostenlos, aber Betriebsaufwand

Authelia ist kostenlos (Apache 2.0). Aber der Betrieb kostet:

• Server-Hosting: ~20–50 €/Monat (VM mit PostgreSQL)
• Admin-Zeitaufwand: 2–4 Stunden/Monat für Updates, Troubleshooting, Zertifikate
• Kein kommerzieller Support bei Problemen

Authentik Self-Hosted: Kostenlos oder $5/User/Monat

Die Open-Source-Version ist kostenlos (MIT-Lizenz). Die Enterprise-Lizenz kostet $5/User/Monat und fügt Features hinzu, die die meisten KMUs nicht brauchen. Betriebskosten sind vergleichbar mit Authelia – aber mit mehr Funktionalität.

authhost: Flatrate ohne Per-User-Gebühren

Alle Pläne: Keine Per-User-Gebühren, 8 Regionen weltweit, 24/7 Monitoring, Updates und Patches inklusive, Event-Logging in allen Plänen.

Kostenvergleich: 50 Nutzer, 3 Jahre

Admin-Zeitkosten konservativ geschätzt: 2–4 Stunden/Monat × 50 €/Stunde.

Entscheidungshilfe: Wann Authelia, wann Authentik?

Authelia ist die richtige Wahl, wenn Sie:

• Ein Homelab oder kleines Self-Hosting-Setup mit 3–10 Anwendungen betreiben
• Ausschließlich OIDC-fähige Anwendungen nutzen (kein SAML, kein LDAP nötig)
• Minimalen Ressourcenverbrauch auf einem Raspberry Pi oder Mini-PC brauchen
• Nur Login + MFA vor einem Reverse Proxy benötigen – ohne zentrale Benutzerverwaltung
• Komfortabel mit YAML-Konfiguration sind und keinen Enterprise-Support brauchen

Authentik / authhost ist die bessere Wahl, wenn Sie:

• SAML 2.0 für Enterprise-SaaS-Dienste (Microsoft 365, Salesforce, AWS SSO) benötigen
• Einen LDAP-Server für NAS-Systeme, Firewalls oder Netzwerkgeräte brauchen
• SCIM-Provisioning für automatisches On-/Offboarding wollen
• RADIUS für VPN- oder WLAN-Authentifizierung benötigen
• Einen Application Proxy für Legacy-Apps ohne SSO-Unterstützung einsetzen möchten
• Conditional Access mit GeoIP, Impossible Travel und Device Posture brauchen
• Eine zentrale Benutzerverwaltung mit Flows, Policies und Event-Logging benötigen
• Mehr als 20 Nutzer verwalten und den Betriebsaufwand minimieren möchten
• DSGVO-konformes Managed Hosting in Deutschland bevorzugen

Die Kurzformel

Authelia = Auth-Gateway. Es schützt den Eingang. Authentik = Identity Provider. Es verwaltet die gesamte Identität.

Wenn Sie nur einen Eingang brauchen, reicht Authelia. Wenn Sie Identitätsmanagement brauchen, brauchen Sie Authentik.

Fazit

Authelia ist ein exzellentes Tool für seinen Zweck: eine leichtgewichtige Authentifizierungsschicht vor einem Reverse Proxy. Für Homelabs und kleine Self-Hosting-Setups ist es perfekt.

Aber für Unternehmen – selbst für kleine – greift Authelia zu kurz. Kein SAML bedeutet keine Integration mit Enterprise-SaaS. Kein LDAP-Server bedeutet keine Authentifizierung für Netzwerkgeräte. Kein SCIM bedeutet manuelles On-/Offboarding. Keine Flow Engine bedeutet keine Automatisierung. Und ein 3-Personen-Freizeitprojekt ohne Enterprise-Support ist für unternehmenskritische Infrastruktur ein Risiko.

Authentik bietet all das – als Open-Source-Lösung mit MIT-Lizenz. In Kombination mit dem Managed Hosting von authhost erhalten Unternehmen einen vollständigen Identity Provider, der in Minuten einsatzbereit ist, zum planbaren Festpreis betrieben wird und in zertifizierten Rechenzentren gehostet ist.

Jetzt testen: Starten Sie Ihre eigene Authentik-Instanz über das merkaio Self-Service-Portal – 7 Tage kostenlos.

Lesetipp: Keycloak Alternative für den Mittelstand

Quellen

• Authelia – Official Website
• Authelia GitHub Repository (Apache 2.0)
• Authelia Roadmap – SAML 2.0 Planning
• Authelia Roadmap – Overview
• Authentik – Official Website
• Authentik GitHub Repository (MIT)
• Authentik Dokumentation
• Authentik Features
• Authentik Pricing
• Authentik Version 2026.2 Release Notes
• Cerbos: Authelia vs Authentik 2026
• selfhosting.sh: Authelia vs Authentik Comparison
• House of FOSS: State of Open-Source Identity 2025
• authhost.de – Managed Authentik Hosting