--- title: "Ist Keycloak kostenlos? Keycloak vs. authentik und die wahren Kosten" description: "Keycloak steht komplett unter Apache 2.0, ohne bezahlte Stufe. authentik ist Open Core — MIT plus ein proprietäres Enterprise-Verzeichnis. Dieser Lizenzunterschied wiegt schwerer als jede Feature-Tabelle, und auch die SCIM-Abdeckung ist nicht gleich." author: Aleksei Aleinikov date: 2026-08-13 lang: de tags: [ist keycloak kostenlos, keycloak vs authentik, keycloak scim, open source sso, identity provider] canonical: https://www.alekseialeinikov.com/de/blog/topics/security/ist-keycloak-kostenlos-keycloak-vs-authentik-2026 source: alekseialeinikov.com --- # Ist Keycloak kostenlos? Keycloak vs. authentik und die wahren Kosten „Ist Keycloak kostenlos?" ist die meistgesuchte Frage zu diesem Produkt, und die Antwort lautet tatsächlich ja — Apache 2.0, keine bezahlte Stufe, keine Nutzerzahl, nichts zurückgehalten. Diese Antwort allein nützt allerdings wenig, denn freie Software ist keine freie Infrastruktur. Und weil die interessantere Frage lautet, *welche Art* von kostenlos man bekommt — und genau dort unterscheiden sich Keycloak und authentik auf eine Weise, die keine Feature-Tabelle zeigt. ![Keycloak liefert eine einzige Apache-2.0-Lizenz; authentik teilt sein Repository zwischen MIT-Code und einem proprietären Enterprise-Verzeichnis.](https://www.alekseialeinikov.com/blog/keycloak-authentik-2026.webp) ## Ja, Keycloak ist kostenlos — hier die präzise Fassung Keycloak steht unter Apache 2.0. Es gibt kein Keycloak Enterprise mit Zusatzfunktionen, keine Lizenz pro Nutzer, kein Feature-Flag, das sich beim Bezahlen öffnet. Das Projekt ist ein **CNCF-Incubating-Projekt**, aufgenommen im April 2023, mit erstem Commit im Juli 2013. Alles ist enthalten: - SSO mit Single Logout über Anwendungen hinweg - **OpenID Connect, OAuth 2.0 und SAML 2.0** - Identity Brokering gegen andere OIDC- oder SAML-Provider, dazu Social Login - Federation gegen **LDAP und Active Directory** - MFA: OTP, WebAuthn und Passkeys, Recovery Codes - Feingranulare Authorization Services jenseits einfacher Rollen - Admin-Konsole, Self-Service-Account-Konsole, Themes, Clustering Red Hat verkauft einen supporteten Build mit SLA. Das ist ein Supportvertrag, kein anderes Binary mit mehr Funktionen. **authentik funktioniert anders.** Sein Repository benennt die Aufteilung ausdrücklich: ```text LICENSE (root) ├── Großteil des Codes → MIT ├── website/ → CC BY-SA 4.0 ├── Client-seitiges JS → MIT Expat └── authentik/enterprise/ → proprietäre EE-Lizenz ``` Der Text der Enterprise-Lizenz ist eindeutig. Die dortige Software *„may only be used in production, if you… have a valid authentik Enterprise Edition subscription for the correct number of user seats"*, und während Änderungen für Entwicklung und Tests erlaubt sind, ist es *„forbidden to copy, merge, publish, distribute, sublicense, and/or sell"*. Das ist **Open Core**, und es ist ein legitimes Modell — so finanziert das Unternehmen die Arbeit. Aber es ist ein anderes Angebot als Apache 2.0, und es gehört vor der Einführung verstanden, nicht während einer Lizenzprüfung. authentiks Preise sind öffentlich: **5 US-Dollar pro internem Nutzer und Monat**, jährlich abgerechnet, 0,02 US-Dollar pro externem Nutzer, Service-Accounts kostenlos. Enterprise Plus beginnt bei **20.000 US-Dollar jährlich**. ## Was tatsächlich hinter authentiks Bezahlschranke liegt Die kostenlose Stufe ist keine beschnittene Demo. Sie enthält OIDC, SAML, LDAP, **SCIM**, RADIUS, Kerberos und den Proxy-Provider, ist OpenID-zertifiziert, deckt B2B und B2C ab und bringt sogar browserbasierten RDP- und SSH-Zugriff mit. Was fehlt, ist Support. Die Enterprise-Stufe besteht überwiegend aus Integrationen und Compliance: | Nur Enterprise | Warum es zählt | |---|---| | Google Workspace und Microsoft Entra ID Provisionierung | Ausgehender Sync in die zwei größten Verzeichnisse | | Shared Signals Framework (Apple Business Manager) | Herstellerübergreifender Austausch von Sicherheitsereignissen | | Client-Zertifikats-Authentifizierung (mTLS) | Üblich in regulierten Umgebungen | | OAuth-2.0-Authentifizierung für SCIM | SCIM per Bearer-Token bleibt kostenlos | | RADIUS EAP-TLS | Zertifikatsbasierte Netzwerk-Authentifizierung | | Erweitertes Audit-Logging, Passwort-Historie | Compliance-Nachweise | | FIPS-Konformität (Enterprise Plus) | FedRAMP-Vorhaben | Diese Liste ehrlich gelesen: Für selbst gehostetes internes SSO mit einer Handvoll Anwendungen braucht man nichts davon. Für eine Organisation, die mit mTLS nach Entra ID synchronisiert und Audit-Anforderungen erfüllt, braucht man das meiste. ## Was mich überrascht hat: Die Lizenz wird im Code durchgesetzt authentik bittet nicht bloß um Einhaltung. Die Durchsetzung ist implementiert, und die Schwellen sind lesbar: ```python THRESHOLD_WARNING_ADMIN_WEEKS = 2 THRESHOLD_WARNING_USER_WEEKS = 4 THRESHOLD_WARNING_EXPIRY_WEEKS = 2 THRESHOLD_READ_ONLY_WEEKS = 6 ``` Überschreitet man die Nutzerzahl oder lässt die Lizenz auslaufen, geht die Instanz eine Treppe hinunter: Administratoren werden nach zwei Wochen gewarnt, Endnutzer nach vier, und nach **sechs Wochen wird die Instanz read-only**. In diesem Zustand weist eine Middleware schreibende API-Operationen ab. Es ist ein bewusst weiches Scheitern — Logins funktionieren weiter, der Flow-Executor läuft, und die Lizenzverwaltung bleibt schreibbar, damit man das Problem beheben kann. Niemand wird aus seinen Anwendungen ausgesperrt. Aber dein Identity Provider nimmt keine Änderungen mehr an, und das ist mitten in einem Vorfall eine eigene Art von schlechtem Tag. Lizenzen sind JWTs, geprüft gegen ein mitgeliefertes Zertifikat, mit getrennten Zählern für interne und externe Nutzer; die Nutzung wird planmäßig erfasst. Nichts davon ist versteckt oder unredlich — es liegt in einem öffentlichen Repository. Aber „Open Source" und „läuft unverändert für immer in Produktion" sind nicht derselbe Satz, und genau diese Unterscheidung sucht jemand, der *ist keycloak kostenlos* eintippt. ![authentiks Lizenzzustände eskalieren von Warnungen bis zur Read-only-Instanz nach sechs Wochen.](https://www.alekseialeinikov.com/blog/keycloak-authentik-license-2026.webp) ## SCIM: Beide haben es, aber nicht symmetrisch Hier hört der Vergleich auf, ausgeglichen zu sein — und das ist das Detail, das Projekte tatsächlich entscheidet. SCIM hat zwei Richtungen, und das sind verschiedene Probleme: - **Eingehend** — eine HR-Plattform oder ein Governance-Werkzeug provisioniert Nutzer *in* deinen IdP - **Ausgehend** — dein IdP schiebt Konten *nach außen* in Slack, GitHub und alles andere **Keycloak deckt die eingehende Hälfte ab.** Seine SCIM-API macht Keycloak zum SCIM-Server. Das kam in **26.7 als Preview-Feature**: ```bash # 1. Feature am Server aktivieren bin/kc.sh start --features=scim-api # 2. dann pro Realm einschalten: # Realm settings → General → SCIM API → On # Basis-URL https:///realms//scim/v2 ``` Endpunkte sind `/Users`, `/Groups`, `/Schemas`, `/ResourceTypes` und `/ServiceProviderConfig`, mit vollem CRUD und PATCH, SCIM-Filtersyntax, Pagination sowie der Enterprise-User-Erweiterung und eigenen Erweiterungen aus User-Profile-Attributen. Der Zugriff verlangt ein Bearer-Token mit passender Audience, und **öffentliche Clients werden rundweg abgelehnt**. Zum Wort „Preview" bei Keycloak, denn es bedeutet dort etwas Bestimmtes: *unterstützt für Produktionsfälle, aber ohne Garantie für nahtlose Upgrades*, funktional vollständig, mit Security-Review vor dieser Stufe. Das ist ein stärkeres Versprechen als „Beta" in den meisten Projekten und ein schwächeres als „stable" in allen. Aktuelle Grenzen stehen in der Service-Provider-Konfiguration: Sortierung, ETags und Passwortänderung werden noch nicht unterstützt. **authentik deckt beide Hälften ab**, und beide liegen außerhalb des proprietären Verzeichnisses: - `providers/scim` — schiebt Nutzer und Gruppen nach außen in Anwendungen - `sources/scim` — nimmt eingehende Provisionierung an, authentik kann also ebenfalls SCIM-Server sein | | Keycloak 26.7 | authentik | |---|---|---| | Eingehend (SCIM-Server sein) | ja, Preview, standardmäßig aus | ja | | Ausgehend (in Apps provisionieren) | **nein** — als geplant gelistet | ja | | Lizenzstufe | Apache 2.0 | Open-Source-Stufe | | Vorbehalt | zweimal aktivieren, kein Sort/ETag | OAuth-Auth für SCIM ist Enterprise | Ich bin ursprünglich davon ausgegangen, dass die beiden in entgegengesetzte Richtungen arbeiten. Das stimmt nicht — **authentik deckt beide ab, Keycloak derzeit nur eine**, und diese eine ist noch Preview. Wenn ausgehende Provisionierung in SaaS-Anwendungen deine Anforderung ist, ist das die deutlichste funktionale Lücke im ganzen Vergleich. Keycloaks Dokumentation nennt Federation *von* externen SCIM-Providern und push-basierte Updates als geplant — die Lücke kann sich also schließen. Heute ist sie offen. ![SCIM hat zwei Richtungen: authentik deckt beide ab, Keycloak derzeit nur die eingehende.](https://www.alekseialeinikov.com/blog/keycloak-authentik-scim-2026.webp) ## Wohin das Geld wirklich fließt Keine der Lizenzen ist der teure Teil. Selbst gehostete Identität kostet das, was jeder zustandsbehaftete Tier-Zero-Dienst kostet. **Es ist Tier Zero.** Wenn dein IdP ausfällt, meldet sich niemand mehr irgendwo an — nicht im Wiki, nicht in den Dashboards, nicht im Incident-Werkzeug, das du brauchst, um den IdP zu reparieren. Diese Realität diktiert die Architektur: eine ordentlich betriebene Datenbank, Backups, die du tatsächlich schon zurückgespielt hast, Multi-Instanz-Betrieb und ein getesteter Upgrade-Pfad. **Upgrades sind echte Arbeit.** Keycloaks Takt ist zügig, und Features wandern zwischen Preview und Supported von Release zu Release. authentik liefert ebenfalls häufig. So oder so stehst du auf einem Laufband, und bei einem Identitätssystem zurückzufallen ist ein Sicherheitsproblem, kein Wartungsproblem. **Jemand muss es verantworten.** Die unglamouröse Wahrheit: Die laufenden Kosten von kostenlosem SSO sind die Aufmerksamkeit einer Ingenieurin. Wenn eine Lizenz für fünf Dollar pro Nutzer Support kauft, der einen Tag pro Monat spart, kann die Rechnung fürs Bezahlen sprechen — das ist eine Kalkulation, kein Prinzipienverrat. ![Wohin der Aufwand bei einem selbst gehosteten Identity Provider wirklich geht: die Lizenz ist der kleinste Anteil.](https://www.alekseialeinikov.com/blog/keycloak-authentik-cost-2026.webp) Dieselbe Logik zieht sich durch [Schluss mit Service-Account-Schlüsseln](https://www.alekseialeinikov.com/de/blog/topics/security/service-account-schluessel-abschaffen-workload-identity-federation-2026): Die günstigste Kontrolle ist die, an deren Bedienung sich niemand erinnern muss. ## Wie ich wählen würde **Keycloak, wenn:** - Du eine Lizenz ohne kommerzielle Stufe und ohne Sitzplatz-Mathematik willst - SAML zählt, weil Enterprise-Integration noch immer darauf läuft - Du LDAP- oder Active-Directory-Federation als Kernfunktion brauchst - Externe Systeme *in* deinen IdP provisionieren sollen (mit dem 26.7-Preview-Vorbehalt) - Feingranulare Authorization Services sonst eine eigene Komponente wären **authentik, wenn:** - Du Provisionierung *nach außen* in SaaS-Anwendungen schieben willst — heute die deutlichste funktionale Lücke bei Keycloak - Sein Flow-basiertes Modell dazu passt, wie ihr über Authentifizierung denkt - Die Enterprise-Funktionen entweder unnötig oder den Preis pro Nutzer klar wert sind - Eine moderne Admin-Oberfläche ein echter Produktivitätsfaktor im Team ist **Einen gehosteten IdP, wenn** niemand im Team einen zustandsbehafteten Tier-Zero-Dienst verantworten will — eine legitime Antwort, und günstiger, als das Gegenteil vorzugeben. ## Wie „gut" aussieht - Ein Identity Provider, nicht drei, und alle wissen, welcher maßgeblich ist - Die Datenbank wird gesichert, und die Wiederherstellung wurde geprobt - Upgrades passieren nach Plan, nicht wenn etwas kaputtgeht - MFA wird per Richtlinie erzwungen, nicht per E-Mail erbeten - Wer das Werkzeug ausgewählt hat, hat die Lizenz gelesen, nicht nur die Feature-Seite - Tokens liegen in Cookies mit den richtigen Flags statt im `localStorage` — die [andere Hälfte sauberer Authentifizierung](https://www.alekseialeinikov.com/de/blog/topics/security/jwt-nicht-in-localstorage-cookie-auth-fuer-spas-2026) ## Das Fazit Keycloak ist kostenlos im stärksten Sinn: Apache 2.0, jedes Feature, keine Sitzplätze zu zählen. authentik ist kostenlos im heute üblichen Sinn: ein wirklich leistungsfähiger MIT-Kern, mit einem proprietären Verzeichnis im selben Repository, das du ohne Abo nicht produktiv betreiben darfst. Beides ist gute Software. Der Lizenzunterschied ist kein Skandal — er ist eine Weggabelung, und er gehört an den Anfang der Bewertung, nicht ans Ende. Bei SCIM: Prüfe die Richtung, bevor du das Häkchen prüfst. Beide werben mit Unterstützung, aber authentik deckt ein- und ausgehend ab, Keycloak nur eingehend — und das nur als Preview. Das Prinzip ist dasselbe wie bei der [Wahl einer Policy-Engine](https://www.alekseialeinikov.com/de/blog/topics/security/opa-vs-kyverno-2026-kubernetes-policy-engine-vergleich): Benenne die Fähigkeit, die du brauchst, bevor du das Werkzeug benennst.