Keycloak

Keycloak ist eine Open-Source-Lösung für Identity and Access Management, mit der Organisationen Anmeldung und Berechtigungen für ihre Anwendungen und Dienste zentral steuern. Anwendungen müssen sich nicht mehr selbst um Login-Formulare, Passwortspeicherung oder Sitzungen kümmern, sondern delegieren die Authentifizierung an Keycloak. Das Projekt steht unter der Apache-Lizenz 2.0 und ist ein Incubation-Projekt der Cloud Native Computing Foundation unter dem Dach der Linux Foundation. Die aktuelle Hauptversion ist Keycloak 26, die neueste Version 26.8.2 erschien im November 2026.

Zu den Kernfunktionen gehören Single Sign-on und Single Sign-out über alle angebundenen Anwendungen, Identity Brokering zu externen OpenID-Connect- und SAML-2.0-Identitätsanbietern sowie Social Login über Google, GitHub, Microsoft, Facebook, LinkedIn, GitLab, Bitbucket und weitere Netzwerke. Über User Federation bindet Keycloak bestehende LDAP- und Active-Directory-Verzeichnisse an, Kerberos wird ebenfalls unterstützt. Eigene Benutzerspeicher wie relationale Datenbanken lassen sich über Erweiterungen anschließen.

Bei der Authentifizierung bietet Keycloak Passkeys, WebAuthn, Wiederherstellungscodes und Einmalpasswörter per TOTP oder HOTP, die sich mit Apps wie FreeOTP oder Google Authenticator nutzen lassen. Hinzu kommen X.509-Zertifikate, Step-up-Authentifizierung und frei konfigurierbare Authentifizierungsabläufe. Eine eigene Authenticator-App bringt das Projekt nicht mit. Unterstützte Protokolle sind OpenID Connect, OAuth 2.0 und SAML 2.0, darunter auch Device Authorization Grant, CIBA, Pushed Authorization Requests und DPoP.

Für die Verwaltung gibt es eine Admin-Konsole, eine Account-Konsole für Nutzer zur Pflege von Profil, Passwort, Zwei-Faktor-Einstellungen und Sitzungen sowie eine Admin REST API. In der aktuellen Version stellt Keycloak zusätzlich eine SCIM-Schnittstelle bereit, über die HR-Systeme oder Governance-Plattformen Benutzer und Gruppen anlegen und pflegen können. Mit Organizations lassen sich Kunden oder Geschäftspartner in einem Realm getrennt verwalten, was B2B-Szenarien abdeckt. Feingranulare Autorisierungsdienste ergänzen die rollenbasierte Rechtevergabe. Login-Seiten und E-Mails sind über Themes anpassbar, eigene Erweiterungen entstehen über Service Provider Interfaces.

Keycloak wird selbst betrieben: als ZIP- oder TAR-Distribution auf Basis von Quarkus, als Container-Image für Docker, Podman, Kubernetes und OpenShift oder über den Keycloak Operator. Benutzer-, Client- und Realm-Daten liegen in einer relationalen Datenbank nach Wahl, Clustering sorgt für Skalierung und Ausfallsicherheit. Wo die Daten gespeichert werden, entscheidet damit allein der Betreiber, ein Betrieb in Deutschland oder in der EU ist problemlos möglich, wird vom Projekt aber nicht als Dienst angeboten.

Die Software ist kostenlos. Wer kommerziellen Support benötigt, kann auf das Red Hat build of Keycloak zurückgreifen, eine von Red Hat gepflegte und unterstützte Distribution, die Red Hat Single Sign-On abgelöst hat. Konditionen dafür vergibt Red Hat im Rahmen eigener Subskriptionen.

Die Grenzen: Keycloak ist ein Baukasten für Entwickler und Plattformteams. Betrieb, Updates, Hochverfügbarkeit, Backups und Härtung liegen vollständig in der eigenen Verantwortung. Einen Katalog mit vorkonfigurierten SaaS-Anwendungen wie bei kommerziellen Cloud-Diensten gibt es nicht, jede Anwendung wird als Client per OIDC oder SAML eingerichtet. Ausgehendes Provisioning in Drittanwendungen, Access Reviews und Rezertifizierungen gehören nicht zum Funktionsumfang. Zertifizierungen wie ISO 27001 oder SOC 2 gelten nicht für die Software selbst, sondern müssen für den eigenen Betrieb nachgewiesen werden.