Keycloak im Mittelstand: Einsatz, Vorteile, Aufwand

Keycloak ist eine ausgereifte Open-Source-Lösung für zentrale Anmeldung (Single Sign-On) und Zugriffsverwaltung unter Apache-2.0-Lizenz. Getragen wird sie von Red Hat; seit 2023 ist sie ein Projekt der Cloud Native Computing Foundation. Im Mittelstand eignet sich Keycloak besonders für Unternehmen mit vielen Nutzern, mehreren Standorten, Partner- oder Kundenzugängen und komplexen Rechten. Der Einrichtungsaufwand ist höher als bei schlankeren Lösungen.

Typische Einsatzszenarien im Mittelstand

• Mitarbeiter-SSO: Ein Login für Nextcloud, KI-Werkzeuge, ERP-Webanwendungen und Fachsoftware.
• Mehrere Standorte oder Gesellschaften: getrennte Bereiche („Realms“) mit eigenen Regeln unter einem System.
• Partner- und Kundenportale: Zugänge für Externe, getrennt von internen Konten.
• Anbindung bestehender Verzeichnisse: Active Directory oder LDAP bleiben die Quelle, Keycloak übernimmt die moderne Anmeldung.
• Eigene Anwendungen: Webportale und Apps nutzen Keycloak für Anmeldung und Rechte.

Vorteile

• Vollständig freie Lizenz: Apache 2.0, keine Enterprise-Stufe mit gesperrten Funktionen.
• Funktionsumfang: feine Rechte, starke Authentifizierung, Föderation mit anderen Identitätsanbietern.
• Standards: OpenID Connect, OAuth 2.0, SAML – breite Kompatibilität.
• Stabilität: großer Träger, große Community, lange Erfahrung im Einsatz.
• Support möglich: kommerzielle Unterstützung über Red Hat oder spezialisierte Dienstleister.
• Unabhängigkeit: Betrieb in Deutschland, keine Abhängigkeit von einem Cloud-Anbieter – siehe Vendor-Lock-in vermeiden.

Mit welchem Aufwand Sie rechnen sollten

• Planung: Rollen, Gruppen, Bereiche und Anbindungen sorgfältig durchdenken.
• Einrichtung: umfangreicher als bei Authentik; Erfahrung mit Identitätsmanagement hilft.
• Betrieb: regelmäßige Updates, Überwachung, Datensicherung, Hochverfügbarkeit bei vielen Nutzern.
• Know-how: Intern oder über einen Dienstleister muss jemand Keycloak gut kennen.

Für kleinere Umgebungen ist das oft mehr als nötig – dann lohnt der Blick auf Authentik. Den direkten Vergleich zeigt Keycloak vs. Authentik.

Sicherheit und Datenschutz

• Keycloak ist der zentrale Schlüssel zu allen Systemen – Absicherung, Updates und Überwachung haben höchste Priorität.
• Zwei-Faktor-Anmeldung für alle, mindestens für Administratoren.
• Betrieb in Deutschland, Protokolle getrennt und geschützt speichern.
• Nur notwendige Angaben an Anwendungen weitergeben (Datensparsamkeit).

Einführung im Mittelstand

1. Bestandsaufnahme: Anwendungen, Verzeichnisse, Nutzergruppen, externe Zugänge.
2. Zielbild: Bereiche, Rollen, Anmelderegeln, Zwei-Faktor-Pflicht.
3. Pilot mit einer Abteilung und zwei bis drei Anwendungen.
4. Schrittweiser Ausbau, Schulung der Administratoren.
5. Betriebskonzept: Updates, Überwachung, Notfallzugang, Dokumentation.

bettersorted setzt für seine Kundinnen und Kunden auf offene, einsehbare Bausteine – betrieben auf Servern in Deutschland und gebündelt im automaisa Hub. Wir beraten herstellerneutral, sind beim BAFA registrierter Berater und autorisierter INQA-Coach. Die Beratung und begleitete Einführung lassen sich über das INQA-Coaching mit 80 % fördern; den passenden Weg zeigt der Förder-Check. Für ein unverbindliches Erstgespräch: Kontakt.

Beispiel: Händlerportal und Mitarbeiter-SSO

Ein illustratives Szenario: Ein Maschinenbauer mit 300 Mitarbeitenden betreibt ein Portal für Händler und Servicepartner. Keycloak stellt zwei getrennte Bereiche bereit: Mitarbeitende melden sich über das bestehende Active Directory an, Partner über eigene Konten mit Zwei-Faktor. Beide nutzen dieselben Webanwendungen, sehen aber nur, was für sie freigegeben ist.

Betrieb realistisch planen

• Zwei Instanzen für Ausfallsicherheit bei vielen Nutzern
• Regelmäßige Updates mit Test in einer Testumgebung
• Überwachung von Anmeldefehlern und ungewöhnlichen Zugriffen
• Dokumentierte Konfiguration, damit Wissen nicht an einer Person hängt

Kosten und Förderung

Für die Einführung von Keycloak fallen bei Open-Source-Werkzeugen keine Lizenzkosten an. Kosten entstehen für Einrichtung (Planung, Installation, Anbindung, Tests), Betrieb (Server oder Hosting in Deutschland, Updates, Überwachung, Datensicherung) und Begleitung (Schulung, Regeln, Ansprechpartner). Feste Preise nennen wir nicht, weil Umfang und Ausgangslage stark variieren.

Förderfähig ist die Beratung und begleitete Einführung: Das INQA-Coaching übernimmt bundesweit 80 % der Coachingkosten (bis 11.520 €, Schecks bis 30.06.2028); eine vorgelagerte Analyse bezuschusst die BAFA-Beratungsförderung mit 80 % in den neuen Bundesländern, Lüneburg und Trier, sonst 50 % – für Anträge bis 31.12.2026.

Häufig gestellte Fragen

Was ist Keycloak?

Eine Open-Source-Lösung für zentrale Anmeldung und Zugriffsverwaltung (Identity and Access Management), unter Apache-2.0-Lizenz, getragen von Red Hat und der Cloud Native Computing Foundation.

Ist Keycloak für den Mittelstand geeignet?

Ja, besonders bei vielen Nutzern, mehreren Standorten, externen Zugängen oder komplexen Rechten. Für sehr kleine Umgebungen kann eine schlankere Lösung genügen.

Was kostet Keycloak?

Die Software ist kostenlos. Kosten entstehen für Server, Einrichtung, Betrieb und optional kommerziellen Support.

Kann Keycloak Active Directory anbinden?

Ja. Keycloak kann bestehende Verzeichnisse wie Active Directory oder LDAP als Benutzerquelle nutzen und darauf eine moderne Anmeldung aufsetzen.

Stand: Oktober 2026. Modelle, Versionen und Lizenzen ändern sich schnell – prüfen Sie vor einer Entscheidung die aktuelle Lizenz beim Anbieter.