Managed Keycloak Hosting
für komplexe IAM-Anforderungen.
Ihre eigene Keycloak-Instanz für SAML, Identity Brokering, AD-Föderation und getrennte Realms. authhost übernimmt den Betrieb des Java-Stacks auf Quarkus samt PostgreSQL und Infinispan-Cache.
- SAML 2.0 als Identity Provider und Service Provider
- LDAP- und AD-Föderation mit Write-back
- Dedizierte Instanz statt geteiltem Mandanten
- Vertragslaufzeit gemäß Angebot
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
Wofür Keycloak gebaut ist
Keycloak bündelt Föderation, Mandantentrennung und feingranulare Autorisierung für IAM-Landschaften mit anspruchsvollen Vorgaben.
- 01
Keycloak steht unter Apache-2.0, ist ein CNCF-Incubating-Projekt und wird von Red Hat getragen. Die Anwendung läuft mit Java auf Quarkus. Ihre funktionale Breite reicht von SAML 2.0 als Identity Provider und Service Provider bis zu Identity Brokering, Verzeichnisföderation und Autorisierungsdiensten.
- 02
Das passt zu Ausschreibungen, Behörden und Konzerntöchtern sowie zu Vorhaben mit SAML-, eIDAS-, AD-Föderations- oder Multi-Mandanten-Anforderungen. Realms dienen als Mandantengrenze, während Client Policies und Step-up-Authentifizierung Regeln für einzelne Anwendungsfälle abbilden.
- 03
authhost betreibt Authentik, Keycloak und Zitadel. Wenn sich die Anforderungen ändern, erfordert ein Wechsel des Identity Providers deshalb keinen Wechsel des Betriebsanbieters. Die Auswahl kann sich am fachlichen Bedarf orientieren, nicht an einer bereits aufgebauten Anbieterbeziehung.
Was Ihre Keycloak-Instanz kann
Die Funktionen richten sich besonders an föderierte Verzeichnisse, SAML-Landschaften und getrennte Mandanten.
SAML 2.0 in beiden Rollen
Keycloak arbeitet sowohl als Identity Provider als auch als Service Provider. Das ist für SAML-geprägte Unternehmens- und Behördenlandschaften relevant.
Identity Brokering
Externe Identitätsquellen lassen sich über Keycloak in eine zentrale Anmeldestruktur einbinden.
LDAP- und AD-Föderation
Bestehende LDAP- und Active-Directory-Verzeichnisse lassen sich einschließlich Write-back anbinden.
User Storage SPI
Über die User Storage SPI kann Keycloak weitere Nutzerspeicher in die Identitätsverwaltung einbeziehen.
Authorization Services
Fine-Grained Authorization Services bilden differenzierte Berechtigungsanforderungen innerhalb der Plattform ab.
Realms als Mandantengrenze
Getrennte Realms strukturieren Mandanten innerhalb einer Keycloak-Instanz.
Client Policies
Client Policies bündeln Vorgaben für die angebundenen Clients und deren Konfiguration.
Step-up-Authentifizierung
Für ausgewählte Situationen kann Keycloak eine zusätzliche Authentifizierung verlangen.
Transparente Preise. Keine Überraschungen.
Instanz und Service Level nach WZ-IT-Konditionen. Deutschland ist der Standardstandort; andere Standorte auf Anfrage.
Region wählen
In jeder Stufe enthalten
Funktionen
- SSO über OIDC, OAuth2 und SAML 2.0
- SAML 2.0 als Identity Provider und Service Provider
- Identity Brokering zu externen Providern
- LDAP- und AD-Föderation inklusive Write-back
- User Storage SPI für eigene Nutzerquellen
- Realms ohne Stückzahlbegrenzung
- Fine-Grained Authorization Services
- Client Policies und Step-up-Authentifizierung
- MFA: TOTP, WebAuthn und Passkeys
- SCIM-API für Provisionierung (Preview, per Feature-Flag)
Der Funktionsumfang folgt dem jeweiligen Open-Source-Projekt und kann sich mit neuen Versionen ändern. Maßgeblich ist die offizielle Dokumentation, Angaben ohne Gewähr: keycloak.org/documentation
Im Hosting enthalten
- Dedizierte Instanz, kein Shared Hosting
- Nutzer ohne Stückzahlbegrenzung
- Subdomain inklusive (*.authhost.de)
- Eigene Domain möglich
- PostgreSQL inklusive
Betrieb
Betrieb, Updates und Backups im vereinbarten Umfang · 24/7 automatisiertes Monitoring · Standardverfügbarkeit für gehostete Workloads: 99,9 % im Monat · Deutschland als Standardstandort · AV-Vertrag · Einrichtung und Vertragslaufzeit im Angebot
Support wählen
Essential, Business und Priority gelten während definierter Servicezeiten. Production und Critical ergänzen eine Reaktion auf P1-Incidents rund um die Uhr. Ab Business ist ein monatliches Betriebsbudget für planbare technische Leistungen enthalten.
Instanzgröße wählen
Die Größe bestimmt Rechenleistung und Arbeitsspeicher, nicht den Funktionsumfang. Reicht eine Größe nicht mehr, wechseln wir sie im laufenden Betrieb.
M
Instanzgrößezzgl. USt. · inkl. Support Essential
- 4 vCPU
- 8 GB RAM
- 160 GB NVMe
- 5 TB Traffic
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
L
Instanzgrößezzgl. USt. · inkl. Support Essential
- 8 vCPU
- 16 GB RAM
- 240 GB NVMe
- 5 TB Traffic
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
Keycloak läuft auf der JVM und braucht mehr Arbeitsspeicher als ein Python- oder Go-Stack. Die kleinste Größe ist deshalb für Keycloak nicht im Angebot.
Compute und Service Level werden unabhängig gewählt. Den tatsächlichen Ressourcenbedarf prüfen wir vor dem Angebot.
Hosting und zusätzliche Projektarbeit werden separat vereinbart. Es gelten die WZ-IT-Service-Levels und ausgewiesenen Support-Konditionen. Expertenunterstützung ansehen
Alle Preise netto zzgl. gesetzlicher USt. Das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, nicht an Verbraucher.
Business, Priority, Production und Critical enthalten den ersten erfassten Workload einer Kundenumgebung. Weitere erfasste Workloads kosten 29,90 €, 49,90 €, 69,90 € beziehungsweise 99,90 € pro Monat.
Das flexible Betriebsbudget gilt für planbare Leistungen innerhalb der regulären Servicezeit und verfällt zum Monatsende. Betrieb, Monitoring, Backups, Wartung und Updates im vereinbarten Umfang werden nicht davon abgezogen. Zusatzleistungen und Incident-Aufwand kosten innerhalb der regulären Servicezeit 120 € netto pro Stunde im 6-Minuten-Takt, außerhalb 240 € netto je angefangener Stunde.
Production und Critical setzen eine technische Abnahme voraus. Critical ist kapazitätsbegrenzt. Reaktionsziele gelten für P1-Incidents über das vereinbarte Ticketsystem, nicht für jede Anfrage oder eine garantierte Lösungszeit.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
Alle Service Levels und Incident-Regeln bei WZ-ITWas beim Keycloak-Betrieb zählt
Die Komplexität liegt vor allem in Cache, Hochverfügbarkeit, JVM-Auslegung und kontrollierten Upgrades.
PostgreSQL und Infinispan
Keycloak benötigt PostgreSQL plus Infinispan-Cache. Seit Version 26 liegen persistente Sessions in der Datenbank.
Aufwendige Hochverfügbarkeit
Ein HA-Aufbau erfordert eine passende Cluster-Discovery und Cache-Topologie. Beide Ebenen müssen zusammen zur Instanz dimensioniert werden.
Upgrades mit bekannten Bruchstellen
Beim Sprung von Version 25 auf 26 führte ein Marshalling-Bruch zu Session-Verlust. Der frühere Wechsel von WildFly zu Quarkus erfolgte mit Version 17 im Jahr 2022.
Kompatibilitätspolitik seit 2024
Seit Oktober 2024 erfolgen Breaking Changes in Minor-Releases nur noch opt-in über Feature- und API-Versionierung. Entfernungen kommen erst mit einem Major-Release. Ältere Kritik am Upgrade-Zyklus stammt zu großen Teilen aus der Zeit davor.
JVM-Auslegung
Als JVM-Anwendung braucht Keycloak deutlich mehr RAM als ein Python- oder Go-Stack. Als Richtwert gelten mindestens 1 GB plus JVM-Tuning.
Backups, Monitoring und Zusage
24/7 Monitoring, Support nach Service Level
Datenstandort und Auftragsverarbeitung
Standardstandort ist Deutschland. Andere Standorte und deren Betriebsbedingungen prüfen wir auf Anfrage vor dem Angebot. Standort, Backup-Ziele und Verantwortlichkeiten werden dokumentiert.
Zur Auswahl stehen Deutschland, die Niederlande, die USA, Kanada, Singapur, Japan, Australien und Indien. Jede Kundeninstanz ist dediziert und wird nicht als geteilter Mandant betrieben.
Der AV-Vertrag nach Artikel 28 DSGVO ist in jedem Plan enthalten. Automatische Backups verbleiben in derselben Region wie die Keycloak-Instanz.
So kommen Sie zu Ihrer Keycloak-Instanz
Von der Anmeldung bis zum ersten angebundenen Verzeichnis sind es vier Schritte.
- 1
Instanz starten
Bereitstellung, ein möglicher Pilot und Vertragsbedingungen werden vorab im Angebot vereinbart. Es gibt kein automatisches Testabonnement.
- 2
Realms anlegen
Mandanten so trennen, wie es Ihre Organisation verlangt: je Tochtergesellschaft, je Kunde oder je Umgebung. Die Anzahl ist nicht begrenzt.
- 3
Verzeichnisse anbinden
LDAP- oder AD-Föderation einrichten, bei Bedarf mit Write-back, oder über Identity Brokering an einen bestehenden Provider koppeln.
- 4
Betrieb übergeben
Nach dem Testzeitraum geht die Instanz automatisch in das gewählte Abo über. Updates, Backups und Monitoring liegen ab dann bei uns.
Hosting von WZ-IT
Ein Team für Ihr Hosting und alles, was darauf läuft.
authhost ist ein Hosting-Angebot von WZ-IT. Wir verbinden Infrastruktur, Software und laufenden Betrieb. Timo und Robin klären mit Ihnen, was Sie benötigen und wer welche Verantwortung übernimmt.
- Direkt mit Timo und Robin - ohne Vertriebsumweg
- Betrieb und Support nach den vereinbarten WZ-IT-Service-Levels
- Managed IAM Hosting; IAM-Migration und Anwendungsanbindungen sind nicht enthalten
Gemeinsamer WZ-IT-Termin zum Kennenlernen und Einordnen Ihres Vorhabens.
Mehr über WZ-IT
Weiterlesen
Managed Authentik Hosting
Für den klassischen Mittelstand mit zentraler Anmeldung und verwalteter dedizierter Instanz.
Managed Zitadel Hosting
Für Softwarehäuser und SaaS-Anbieter mit Organizations, Audit-Log und API-first-Ansatz.
Welcher Identity Provider passt?
Authentik, Authelia und Keycloak im direkten Vergleich mit Entscheidungsmatrix.
Häufige Fragen zu Managed Keycloak Hosting
Was kostet Managed Keycloak Hosting?+
S: ab 129,90 € · M: ab 159,80 € · L: ab 219,80 € netto pro Monat mit Essential. Höhere Service Levels gemäß WZ-IT-Konditionen; der erste erfasste Workload ist enthalten. Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.
Für wen eignet sich Keycloak?+
Keycloak passt zu Ausschreibungen, Behörden, Konzerntöchtern und Vorhaben mit SAML-, eIDAS-, AD-Föderations- oder Multi-Mandanten-Anforderungen. Realms, Identity Brokering und die Föderation bestehender Verzeichnisse gehören zu seinen prägenden Funktionen.
Warum ist Keycloak im Betrieb anspruchsvoll?+
Zum Stack gehören PostgreSQL und Infinispan. Für Hochverfügbarkeit müssen Cluster-Discovery und Cache-Topologie geplant werden. Dazu kommt die JVM: Als Richtwert braucht Keycloak mindestens 1 GB RAM plus JVM-Tuning.
Wie riskant sind Keycloak-Upgrades?+
Upgrades bleiben ein wichtiges Betriebsthema. Beim Sprung von Version 25 auf 26 gab es einen Marshalling-Bruch mit Session-Verlust. Seit Oktober 2024 begrenzt eine Kompatibilitätspolitik Breaking Changes in Minor-Releases auf opt-in Änderungen über Feature- und API-Versionierung, Entfernungen folgen erst in Major-Releases.
Welche Föderationsfunktionen bringt Keycloak mit?+
Keycloak unterstützt SAML 2.0 als Identity Provider und Service Provider, Identity Brokering sowie LDAP- und AD-Föderation einschließlich Write-back. Über die User Storage SPI lassen sich weitere Nutzerspeicher einbeziehen.
Wo liegen die Daten und Backups?+
Standardstandort ist Deutschland. Andere Standorte und deren Betriebsbedingungen prüfen wir auf Anfrage vor dem Angebot. Standort, Backup-Ziele und Verantwortlichkeiten werden dokumentiert.
Welche Verfügbarkeit und Support-Reaktion gelten?+
Essential: Technische Erstreaktion auf kritische Störungen (P1) bis Ende des nächsten Arbeitstags, Mo-Fr, 08:00-17:00 Uhr · Business: Technische Erstreaktion auf kritische Störungen (P1) innerhalb von 4 Servicezeitstunden, Mo-Fr, 08:00-18:00 Uhr · Priority: Technische Erstreaktion auf kritische Störungen (P1) innerhalb von 1 Servicezeitstunde, Mo-Fr, 08:00-18:00 Uhr · Production: Technische Erstreaktion auf kritische Störungen (P1) rund um die Uhr innerhalb von 60 Minuten, P1 rund um die Uhr · Critical: Technische Erstreaktion auf kritische Störungen (P1) rund um die Uhr innerhalb von 30 Minuten, inklusive Rückruf, P1 rund um die Uhr. Production und Critical setzen eine technische Abnahme voraus. Critical ist kapazitätsbegrenzt. Reaktionsziele gelten für P1-Incidents über das vereinbarte Ticketsystem, nicht für jede Anfrage oder eine garantierte Lösungszeit. Das flexible Betriebsbudget gilt für planbare Leistungen innerhalb der regulären Servicezeit und verfällt zum Monatsende. Betrieb, Monitoring, Backups, Wartung und Updates im vereinbarten Umfang werden nicht davon abgezogen. Zusatzleistungen und Incident-Aufwand kosten innerhalb der regulären Servicezeit 120 € netto pro Stunde im 6-Minuten-Takt, außerhalb 240 € netto je angefangener Stunde.
Bereitstellung, ein möglicher Pilot und Vertragsbedingungen werden vorab im Angebot vereinbart. Es gibt kein automatisches Testabonnement.+
Bereitstellung, ein möglicher Pilot und Vertragsbedingungen werden vorab im Angebot vereinbart. Es gibt kein automatisches Testabonnement.
Keycloak dimensionieren lassen
Bereitstellung, ein möglicher Pilot und Vertragsbedingungen werden vorab im Angebot vereinbart. Es gibt kein automatisches Testabonnement.
WZ-IT prüft Ihre Konfiguration und vereinbart Bereitstellung und Betriebsumfang mit Ihnen.
Unverbindlicher monatlicher Richtpreis für eine Standardumgebung in Deutschland. Einrichtung, Migration, zusätzliche Integrationen und Herstellerlizenzen werden nach Umfang separat angeboten. Laufzeit und Kündigungsfrist stehen im Angebot.