Ist Keycloak kostenlos? Keycloak vs. authentik und die wahren Kosten

„Ist Keycloak kostenlos?“ ist die meistgesuchte Frage zu diesem Produkt, und die Antwort lautet tatsächlich ja — Apache 2.0, keine bezahlte Stufe, keine Nutzerzahl, nichts zurückgehalten.

Diese Antwort allein nützt allerdings wenig, denn freie Software ist keine freie Infrastruktur. Und weil die interessantere Frage lautet, welche Art von kostenlos man bekommt — und genau dort unterscheiden sich Keycloak und authentik auf eine Weise, die keine Feature-Tabelle zeigt.

Ja, Keycloak ist kostenlos — hier die präzise Fassung

Keycloak steht unter Apache 2.0. Es gibt kein Keycloak Enterprise mit Zusatzfunktionen, keine Lizenz pro Nutzer, kein Feature-Flag, das sich beim Bezahlen öffnet. Das Projekt ist ein CNCF-Incubating-Projekt, aufgenommen im April 2023, mit erstem Commit im Juli 2013.

Alles ist enthalten:

• SSO mit Single Logout über Anwendungen hinweg
• OpenID Connect, OAuth 2.0 und SAML 2.0
• Identity Brokering gegen andere OIDC- oder SAML-Provider, dazu Social Login
• Federation gegen LDAP und Active Directory
• MFA: OTP, WebAuthn und Passkeys, Recovery Codes
• Feingranulare Authorization Services jenseits einfacher Rollen
• Admin-Konsole, Self-Service-Account-Konsole, Themes, Clustering

Red Hat verkauft einen supporteten Build mit SLA. Das ist ein Supportvertrag, kein anderes Binary mit mehr Funktionen.

authentik funktioniert anders. Sein Repository benennt die Aufteilung ausdrücklich:

LICENSE (root)
├── Großteil des Codes       → MIT
├── website/                 → CC BY-SA 4.0
├── Client-seitiges JS       → MIT Expat
└── authentik/enterprise/    → proprietäre EE-Lizenz

Der Text der Enterprise-Lizenz ist eindeutig. Die dortige Software „may only be used in production, if you… have a valid authentik Enterprise Edition subscription for the correct number of user seats“, und während Änderungen für Entwicklung und Tests erlaubt sind, ist es „forbidden to copy, merge, publish, distribute, sublicense, and/or sell“.

Das ist Open Core, und es ist ein legitimes Modell — so finanziert das Unternehmen die Arbeit. Aber es ist ein anderes Angebot als Apache 2.0, und es gehört vor der Einführung verstanden, nicht während einer Lizenzprüfung.

authentiks Preise sind öffentlich: 5 US-Dollar pro internem Nutzer und Monat, jährlich abgerechnet, 0,02 US-Dollar pro externem Nutzer, Service-Accounts kostenlos. Enterprise Plus beginnt bei 20.000 US-Dollar jährlich.

Was tatsächlich hinter authentiks Bezahlschranke liegt

Die kostenlose Stufe ist keine beschnittene Demo. Sie enthält OIDC, SAML, LDAP, SCIM, RADIUS, Kerberos und den Proxy-Provider, ist OpenID-zertifiziert, deckt B2B und B2C ab und bringt sogar browserbasierten RDP- und SSH-Zugriff mit. Was fehlt, ist Support.

Die Enterprise-Stufe besteht überwiegend aus Integrationen und Compliance:

Diese Liste ehrlich gelesen: Für selbst gehostetes internes SSO mit einer Handvoll Anwendungen braucht man nichts davon. Für eine Organisation, die mit mTLS nach Entra ID synchronisiert und Audit-Anforderungen erfüllt, braucht man das meiste.

Was mich überrascht hat: Die Lizenz wird im Code durchgesetzt

authentik bittet nicht bloß um Einhaltung. Die Durchsetzung ist implementiert, und die Schwellen sind lesbar:

THRESHOLD_WARNING_ADMIN_WEEKS = 2
THRESHOLD_WARNING_USER_WEEKS = 4
THRESHOLD_WARNING_EXPIRY_WEEKS = 2
THRESHOLD_READ_ONLY_WEEKS = 6

Überschreitet man die Nutzerzahl oder lässt die Lizenz auslaufen, geht die Instanz eine Treppe hinunter: Administratoren werden nach zwei Wochen gewarnt, Endnutzer nach vier, und nach sechs Wochen wird die Instanz read-only. In diesem Zustand weist eine Middleware schreibende API-Operationen ab.

Es ist ein bewusst weiches Scheitern — Logins funktionieren weiter, der Flow-Executor läuft, und die Lizenzverwaltung bleibt schreibbar, damit man das Problem beheben kann. Niemand wird aus seinen Anwendungen ausgesperrt. Aber dein Identity Provider nimmt keine Änderungen mehr an, und das ist mitten in einem Vorfall eine eigene Art von schlechtem Tag.

Lizenzen sind JWTs, geprüft gegen ein mitgeliefertes Zertifikat, mit getrennten Zählern für interne und externe Nutzer; die Nutzung wird planmäßig erfasst.

Nichts davon ist versteckt oder unredlich — es liegt in einem öffentlichen Repository. Aber „Open Source“ und „läuft unverändert für immer in Produktion“ sind nicht derselbe Satz, und genau diese Unterscheidung sucht jemand, der ist keycloak kostenlos eintippt.

SCIM: Beide haben es, aber nicht symmetrisch

Hier hört der Vergleich auf, ausgeglichen zu sein — und das ist das Detail, das Projekte tatsächlich entscheidet.

SCIM hat zwei Richtungen, und das sind verschiedene Probleme:

• Eingehend — eine HR-Plattform oder ein Governance-Werkzeug provisioniert Nutzer in deinen IdP
• Ausgehend — dein IdP schiebt Konten nach außen in Slack, GitHub und alles andere

Keycloak deckt die eingehende Hälfte ab. Seine SCIM-API macht Keycloak zum SCIM-Server. Das kam in 26.7 als Preview-Feature:

# 1. Feature am Server aktivieren
bin/kc.sh start --features=scim-api

# 2. dann pro Realm einschalten:
#    Realm settings → General → SCIM API → On

# Basis-URL
https://<host>/realms/<realm>/scim/v2

Endpunkte sind /Users, /Groups, /Schemas, /ResourceTypes und /ServiceProviderConfig, mit vollem CRUD und PATCH, SCIM-Filtersyntax, Pagination sowie der Enterprise-User-Erweiterung und eigenen Erweiterungen aus User-Profile-Attributen. Der Zugriff verlangt ein Bearer-Token mit passender Audience, und öffentliche Clients werden rundweg abgelehnt.

Zum Wort „Preview“ bei Keycloak, denn es bedeutet dort etwas Bestimmtes: unterstützt für Produktionsfälle, aber ohne Garantie für nahtlose Upgrades, funktional vollständig, mit Security-Review vor dieser Stufe. Das ist ein stärkeres Versprechen als „Beta“ in den meisten Projekten und ein schwächeres als „stable“ in allen. Aktuelle Grenzen stehen in der Service-Provider-Konfiguration: Sortierung, ETags und Passwortänderung werden noch nicht unterstützt.

authentik deckt beide Hälften ab, und beide liegen außerhalb des proprietären Verzeichnisses:

• providers/scim — schiebt Nutzer und Gruppen nach außen in Anwendungen
• sources/scim — nimmt eingehende Provisionierung an, authentik kann also ebenfalls SCIM-Server sein

Ich bin ursprünglich davon ausgegangen, dass die beiden in entgegengesetzte Richtungen arbeiten. Das stimmt nicht — authentik deckt beide ab, Keycloak derzeit nur eine, und diese eine ist noch Preview. Wenn ausgehende Provisionierung in SaaS-Anwendungen deine Anforderung ist, ist das die deutlichste funktionale Lücke im ganzen Vergleich.

Keycloaks Dokumentation nennt Federation von externen SCIM-Providern und push-basierte Updates als geplant — die Lücke kann sich also schließen. Heute ist sie offen.

Wohin das Geld wirklich fließt

Keine der Lizenzen ist der teure Teil. Selbst gehostete Identität kostet das, was jeder zustandsbehaftete Tier-Zero-Dienst kostet.

Es ist Tier Zero. Wenn dein IdP ausfällt, meldet sich niemand mehr irgendwo an — nicht im Wiki, nicht in den Dashboards, nicht im Incident-Werkzeug, das du brauchst, um den IdP zu reparieren. Diese Realität diktiert die Architektur: eine ordentlich betriebene Datenbank, Backups, die du tatsächlich schon zurückgespielt hast, Multi-Instanz-Betrieb und ein getesteter Upgrade-Pfad.

Upgrades sind echte Arbeit. Keycloaks Takt ist zügig, und Features wandern zwischen Preview und Supported von Release zu Release. authentik liefert ebenfalls häufig. So oder so stehst du auf einem Laufband, und bei einem Identitätssystem zurückzufallen ist ein Sicherheitsproblem, kein Wartungsproblem.

Jemand muss es verantworten. Die unglamouröse Wahrheit: Die laufenden Kosten von kostenlosem SSO sind die Aufmerksamkeit einer Ingenieurin. Wenn eine Lizenz für fünf Dollar pro Nutzer Support kauft, der einen Tag pro Monat spart, kann die Rechnung fürs Bezahlen sprechen — das ist eine Kalkulation, kein Prinzipienverrat.

Dieselbe Logik zieht sich durch Schluss mit Service-Account-Schlüsseln: Die günstigste Kontrolle ist die, an deren Bedienung sich niemand erinnern muss.

Wie ich wählen würde

Keycloak, wenn:

• Du eine Lizenz ohne kommerzielle Stufe und ohne Sitzplatz-Mathematik willst
• SAML zählt, weil Enterprise-Integration noch immer darauf läuft
• Du LDAP- oder Active-Directory-Federation als Kernfunktion brauchst
• Externe Systeme in deinen IdP provisionieren sollen (mit dem 26.7-Preview-Vorbehalt)
• Feingranulare Authorization Services sonst eine eigene Komponente wären

authentik, wenn:

• Du Provisionierung nach außen in SaaS-Anwendungen schieben willst — heute die deutlichste funktionale Lücke bei Keycloak
• Sein Flow-basiertes Modell dazu passt, wie ihr über Authentifizierung denkt
• Die Enterprise-Funktionen entweder unnötig oder den Preis pro Nutzer klar wert sind
• Eine moderne Admin-Oberfläche ein echter Produktivitätsfaktor im Team ist

Einen gehosteten IdP, wenn niemand im Team einen zustandsbehafteten Tier-Zero-Dienst verantworten will — eine legitime Antwort, und günstiger, als das Gegenteil vorzugeben.

Wie „gut“ aussieht

• Ein Identity Provider, nicht drei, und alle wissen, welcher maßgeblich ist
• Die Datenbank wird gesichert, und die Wiederherstellung wurde geprobt
• Upgrades passieren nach Plan, nicht wenn etwas kaputtgeht
• MFA wird per Richtlinie erzwungen, nicht per E-Mail erbeten
• Wer das Werkzeug ausgewählt hat, hat die Lizenz gelesen, nicht nur die Feature-Seite
• Tokens liegen in Cookies mit den richtigen Flags statt im localStorage — die andere Hälfte sauberer Authentifizierung

Das Fazit

Keycloak ist kostenlos im stärksten Sinn: Apache 2.0, jedes Feature, keine Sitzplätze zu zählen. authentik ist kostenlos im heute üblichen Sinn: ein wirklich leistungsfähiger MIT-Kern, mit einem proprietären Verzeichnis im selben Repository, das du ohne Abo nicht produktiv betreiben darfst.

Beides ist gute Software. Der Lizenzunterschied ist kein Skandal — er ist eine Weggabelung, und er gehört an den Anfang der Bewertung, nicht ans Ende.

Bei SCIM: Prüfe die Richtung, bevor du das Häkchen prüfst. Beide werben mit Unterstützung, aber authentik deckt ein- und ausgehend ab, Keycloak nur eingehend — und das nur als Preview.

Das Prinzip ist dasselbe wie bei der Wahl einer Policy-Engine: Benenne die Fähigkeit, die du brauchst, bevor du das Werkzeug benennst.