Vergleichen Sie 10 Open-Source-MFA-Tools

Wir haben 10 kostenlose und Open-Source-MFA-Tools hinsichtlich ihrer Authentifizierungsprotokolle, MFA-Methoden, Bereitstellungsoptionen und neuesten Versionen verglichen.

Bei der Einführung Ihrer kostenlosen und Open-Source-Multi-Faktor-Authentifizierung (MFA)-Implementierung sollten Sie Folgendes berücksichtigen:

• Enterprise-fähige MFA-Lösungen: Keycloak, Authelia, Authentik, Zitadel und Kanidm bieten vollständiges Identity- und Access-Management (IAM) mit Unterstützung für mehrere Authentifizierungsprotokolle.
• Leichtgewichtige MFA-Tools: Hanko, LLDAP, FreeIPA, privacyIDEA und Rauthy sind einfacher zu konfigurieren und besser für kleinere oder selbst gehostete Umgebungen geeignet.

Funktionen von Open-Source-MFA-Lösungen

• Multi-Tenancy-Architektur: Ermöglicht mehrere unabhängige Benutzergruppen (Tenants) mit isolierten Daten und Konfigurationen.
• Token-Impersonation: Ermöglicht sichere Token-Delegierung oder die Identitätsübernahme eines Benutzers/einer Anwendung für autorisierte Aktionen.
• Biometrische Authentifizierung: Bietet biometrische Faktoren wie Fingerabdrücke.
• Google Titan Security Key: Ein hardwarebasiertes Authentifizierungsgerät, das phishing-resistentes 2FA oder passwortloses Login bietet.

Alle Tools (außer LDAP) unterstützen Hardware-Tokens (z. B. YubiKey) und das passwortlose Authentifizierungsprotokoll FIDO2 / WebAuthN. FIDO2 verwendet keine gemeinsamen Geheimnisse wie Passwörter; es minimiert die mit Datenlecks verbundenen Risiken.

Enterprise-Funktionen

• OpenTelemetry: Open-Source-Standard und eine Reihe von Technologien zur Erfassung und zum Export von Metriken, Traces und Logs.
• Benutzerdefinierte Sitzungen: Ermöglicht eine granulare Steuerung des Sitzungsverhaltens, wie z. B.:
  • Wie und wann MFA ausgelöst wird (z. B. beim Login, bei sensiblen Aktionen).
  • Die Art der unterstützten MFA-Methoden (z. B. TOTP, WebAuthn, SMS)
• Self-Service-Funktionen:
  • Passwort-Zurücksetzung
  • Benutzer-Registrierung

Privileged Access Management (PAM)-Unterstützung

Tools mit PAM ermöglichen es Ihnen, die Zugriffsrechte privilegierter Benutzer zu verwalten.

Self-Audit-Fähigkeiten

Self-Audit-Fähigkeiten verbessern die Protokoll-Nachverfolgbarkeit, die für MFA-Tools (Multi-Faktor-Authentifizierung) entscheidend ist. Sie helfen, unautorisierte oder verdächtige Aktivitäten nachzuverfolgen, wie z. B. das Aktivieren/Deaktivieren von MFA, fehlgeschlagene Login-Versuche und OTP-Nutzung.

Enterprise-fähige MFA-Lösungen

Keycloak, Authelia, Authentik, Zitadel und Kanidm bieten umfassende MFA-Fähigkeiten. Diese kostenlosen MFA-Tools bieten:

• Mehrere MFA-Methoden: TOTP (zeitbasiertes Einmalpasswort), WebAuthn, SMS, OIDC (OpenID Connect), E-Mail, Push, biometrische Authentifizierung, und zustimmungsbasierte MFA.
• Mehrere Authentifizierungsprotokolle: OAuth2, OIDC (OpenID Connect), SAML, LDAP und RADIUS.
• Höhere Anpassbarkeit: Granulares RBAC und benutzerdefinierte soziale SSO-Verbindungen (OIDC/OAuth2) über MFA-Richtlinien.

Keycloak

Keycloak ist eine Open-Source-IAM-Plattform, die SSO, Identity Brokering, Social Login und RBAC abdeckt und SAML, OAuth2, OIDC und LDAP sofort unterstützt.

• Keycloak unterstützt mehrere Datenbank-Backends, darunter PostgreSQL, MySQL, MariaDB, Oracle und Microsoft SQL Server.¹
• Kürzliche Releases fügten Workflow-Automatisierung für administrative Realm-Aufgaben, JWT-Autorisierungsgewährungen als empfohlene Alternative zum extern-zu-intern-Token-Austausch, Kubernetes-Dienstkonto-Token-Authentifizierung für Clients und vollständige OpenTelemetry-Unterstützung für Metriken und Logging hinzu.²

Keycloak ist komplexer zu installieren und zu konfigurieren als Authelia oder Authentik. Die Standard-Admin-UI deckt einen breiten Bereich ab, der für Teams, die sich auf einen engen Anwendungsbereich konzentrieren, schwer zu navigieren sein kann.

Authelia

Authelia ist ein Open-Source-Authentifizierungs- und Autorisierungsserver, der 2FA und SSO für Webanwendungen über einen Reverse-Proxy bereitstellt. Es fungiert nicht als eigenständige Identitätsplattform, sondern als Begleiter zu Proxys wie nginx, Traefik, Caddy und HAProxy, sitzt vor Anwendungen und trifft Authentifizierungsentscheidungen. Die Konfiguration erfolgt ausschließlich über eine YAML-Datei, was die Versionskontrolle und Auditierung vereinfacht, aber Vertrautheit mit dem Konfigurationsschema erfordert.

Architektur und Ressourcenbedarf

Das Container-Image ist unter 20 MB groß und verbraucht typischerweise weniger als 30 MB RAM, womit es eine der leichtgewichtigeren Optionen in dieser Liste ist. Authelia hat die OpenID Connect 1.0-Zertifizierung erreicht und kann als OIDC-Provider für nachgelagerte Anwendungen fungieren.³

Aktuelle Updates

Version 4.39 fügte Passkeys/passwortloses Login via WebAuthn, Device Code Flow für TV- und Shared-Screen-Anmeldeszenarien, Netzwerkkriterien für OIDC-Autorisierungsrichtlinien und RFC8176 Authentication Method Reference-Unterstützung zur Kommunikation des Authentifizierungsniveaus an Dritte hinzu.⁴

Hauptfunktionen

FIDO2 WebAuthn mit Hardware-Keys wie YubiKey, TOTP mit kompatiblen Authenticator-Apps, mobile Push-Benachrichtigungen über Duo, passwortloses Login via Passkeys, richtlinienbasierte Zugriffskontrolle und Kubernetes-Unterstützung via Helm-Chart.

Einschränkungen

• Authelia hat keine Multi-Tenancy, keine PAM-Unterstützung und keine integrierte Benutzerverwaltungs-UI; Benutzerkonten werden über ein LDAP-Backend oder eine statische YAML-Datei verwaltet.
• Teams, die ein Self-Service-Benutzerportal oder Gerätemanagement benötigen, sollten stattdessen Authentik oder Kanidm evaluieren.

Authentik

Authentik ist eine selbst gehostete IAM-Plattform, die SSO, LDAP, OAuth2/OpenID Connect, SAML, SCIM und Forward-Authentifizierung abdeckt. Im Vergleich zu Keycloak erfordert es weniger anfängliche Konfiguration für Teams ohne Erfahrung mit dedizierter Identitätsinfrastruktur.

Aktuelle Updates

Version 2025.12 führte Endgeräte-Management für Windows, macOS und Linux über den Authentik Agent, WebAuthn Conditional UI, eine vollständige RBAC-Überarbeitung mit Multi-Parent-Gruppen und rollengeerbten Berechtigungen sowie zentralisiertes Dateimanagement mit S3-Unterstützung ein.⁵

Version 2026.2 fügte einen WS-Federation-Provider für SharePoint und Windows-native Anwendungen, einen Fleet Connector für Endgerätesignale und bedingten Zugriff, Linux-PAM-Unterstützung für lokale Geräteanmeldung und ED25519/ED448-Zertifikatsgenerierung hinzu.⁶

Sicherheit

Authentik unterhält ein jährliches Penetrationstest-Programm und einen formellen CVE-Offenlegungsprozess. Im Februar 2026 wurden drei CVEs veröffentlicht, darunter ein kritisches, gepatcht in den Versionen 2025.8.6, 2025.10.4 und 2025.12.4. Teams, die selbst gehostete Instanzen betreiben, sollten Updates einspielen.⁷

Einschränkungen

• Authentik läuft nur mit PostgreSQL.⁸
• PostgreSQL bleibt eine harte Abhängigkeit, was betrieblichen Mehraufwand für Einzelhost-Personaleinsätze bedeutet.
• Authentik hat auch keine native OpenTelemetry-Unterstützung.

ZITADEL

ZITADEL ist eine selbst gehostete Identitätsinfrastruktur-Plattform, die auf Multi-Tenancy aufbaut. Sie unterstützt OpenID Connect, OAuth2, SAML 2, LDAP, Passkeys/FIDO2, OTP und SCIM 2.0.

Aktuelle Updates

• Login V2 ist der Standard für Neukunden. Actions V2 ersetzte das eingebettete V1-Erweiterungssystem durch ereignisgesteuerte Webhooks, die außerhalb des Kernprozesses ausgeführt werden, was mehrsprachige Erweiterungen und entkoppelte Skalierung unterstützt.⁹
• CockroachDB-Unterstützung wurde entfernt. PostgreSQL ist ab Version 3 die einzige unterstützte Datenbank.¹⁰

Einschränkungen

Die Administration erfordert Vertrautheit mit dem mehrschichtigen Tenant-Modell von ZITADEL, was die Einrichtungskomplexität für Einzelorganisations-Deployments erhöht. Die Roadmap für 2026 zeigt, dass das Team an einer Vereinfachung dieses Modells und der Vereinheitlichung der Management-Konsole arbeitet.¹¹

Kanidm

Kanidm ist eine selbst gehostete Identitätsmanagement-Plattform, die in Rust geschrieben ist.

• Im Gegensatz zu LDAP, das nur Verzeichnisdienste bietet, enthält Kanidm natives OAuth2, OIDC, RADIUS, SSH-Schlüsselverwaltung und Linux-PAM-Integration, ohne externe Komponenten zu benötigen.
• Die Administration erfolgt hauptsächlich über die CLI; die Web-UI deckt Benutzer-Self-Service und einige Kontoverwaltung ab, jedoch keine vollständigen administrativen Aufgaben.

Die Web-UI wurde mit Theming-Unterstützung neu geschrieben. Version 1.10.0 entfernte OpenSSL als Abhängigkeit und ersetzte alle kryptografischen Pfade durch RustCrypto und Rustls via aws-lc-rs. Ebenfalls hinzugefügt wurden optionale Account-Wiederherstellung per E-Mail-Verifizierung und RFC8693 Token Exchange für Dienstkonten, die OIDC/OAuth2-Tokens ausstellen.¹²

Einschränkungen

Das CLI-first-Administrationsmodell erfordert Vertrautheit mit Kommandozeilen-Werkzeugen. Kanidms eigene Benchmarks mit 3.000 Benutzern und 1.500 Gruppen berichten von etwa 3x schnelleren Such- und 5x schnelleren Schreiboperationen im Vergleich zu FreeIPA, wobei die Ergebnisse je nach Arbeitslast variieren.¹³

Leichtgewichtige MFA-Tools

Hanko, LDAP, FreeIPA, privacyIDEA und Rauthy decken engere Bereiche ab als vollständige IAM-Plattformen wie Keycloak oder Authentik. Ihre Protokollunterstützung, Anpassungsmöglichkeiten und Bereitstellungskomplexität variieren erheblich, sodass die Kategoriebezeichnung „leichtgewichtig“ ein breites Spektrum abdeckt.

Hanko

Hanko ist ein Open-Source-Authentifizierungsdienst, der auf passwortloses Login fokussiert ist. Es unterstützt Passkeys, TOTP, Sicherheitsschlüssel, OAuth SSO (Apple, Google, GitHub) und benutzerdefiniertes SAML SSO. Es umfasst serverseitiges Sitzungsmanagement und das entfernte Widerrufen von Sitzungen.

Es unterstützt keine benutzerdefinierten OIDC/OAuth2-Sozialverbindungen, Benutzer-Impersonation, privilegierte/Step-Up-Sitzungen, E-Mail-Sicherheitsbenachrichtigungen oder benutzerdefinierte Benutzermetadaten. Teams, die diese Fähigkeiten benötigen, benötigen eine funktionsreichere Plattform.

Verpassen Sie nicht unsere Benchmarks und datengestützten Erkenntnisse. Die Schaltfläche öffnet Google; die Auswahl von AIMultiple bestätigt, dass Sie AIMultiple häufiger in den Google-Suchergebnissen sehen möchten.

Als bevorzugte Quelle hinzufügen

LLDAP

LLDAP ist ein leichtgewichtiger LDAP-Server. Es stellt eine standardmäßige LDAP-Schnittstelle und eine Web-UI für grundlegende Benutzer- und Gruppenverwaltung bereit, einschließlich Passwort-Zurücksetzungen per E-Mail. Es bietet keine Authentifizierungsprotokolle wie OAuth2 oder OIDC, die eine separate Komponente (Keycloak, Authelia usw.) davor erfordern.

Standardmäßig werden Benutzerdaten in SQLite gespeichert. MySQL/MariaDB und PostgreSQL werden ebenfalls unterstützt. LLDAP wird hauptsächlich in selbst gehosteten Umgebungen eingesetzt, in denen Anwendungen LDAP für Benutzerabfragen benötigen, der Betreiber jedoch den betrieblichen Aufwand von OpenLDAP vermeiden möchte.

privacyIDEA

privacyIDEA ist ein MFA-Managementsystem, kein vollständiger Identitätsanbieter. Es verwaltet Zweitfaktoren zentral: TOTP, HOTP, OCRA, mOTP, YubiKey (HOTP/TOTP/AES), FIDO U2F, FIDO2/WebAuthn, Push-Tokens, SMS, E-Mail und SSH-Schlüssel und stellt diese über eine API bereit, die Authentifizierungs-Frontends (Keycloak, FreeIPA, Gluu, NGINX) konsumieren. Es behandelt selbst keine Authentifizierungsprotokolle.

Version 3.12 fügte Benutzer-Resolver für Entra ID und Keycloak hinzu, mit denen Administratoren Benutzerdaten direkt aus diesen Verzeichnissen abrufen und Tokens in privacyIDEA zuweisen können, ohne einen separaten Synchronisierungsschritt.¹⁴ Die Passkey-Unterstützung als eigener Tokentyp wurde in Version 3.11 eingeführt.¹⁵ Version 3.13 erweiterte die Passkey-Unterstützung, sodass Benutzer während des Logins auf Windows und Linux einen Passkey für die Offline-Authentifizierung auf diesem Gerät registrieren können, verbesserte die RADIUS-Behandlung für Push-Tokens und veröffentlichte die neu gestaltete WebUI als Beta.¹⁶

Einschränkungen

• privacyIDEA enthält Kerberos oder andere Authentifizierungsprotokolle nicht nativ.
• Automatisierungsworkflows (Registrierung, Rollover, Onboarding, Offboarding) sind konfigurierbar, erfordern jedoch eine API-Integration, die über das hinausgeht, was ein Out-of-the-Box-TOTP-Setup in Keycloak beinhaltet.

FreeIPA

FreeIPA ist ein Identitätsmanagement-System für Linux- und UNIX-Umgebungen. Es bündelt ein LDAP-Verzeichnis (389-ds), einen Kerberos-KDC, einen DNS-Server, eine Zertifizierungsstelle und Samba-Bibliotheken für die Active-Directory-Integration in einer einzigen bereitstellbaren Einheit mit Web-UI und CLI.

Es unterstützt TOTP- und OTP-Tokens sowie FIDO2/Passkey-Authentifizierung. FreeIPA ist für Umgebungen konzipiert, die eine zentralisierte Linux-Host-Authentifizierung, Kerberos-Ticket-Ausstellung, Sudo-Richtlinienverwaltung und Benutzerverzeichnisdienste benötigen.

Einschränkungen

• Die gebündelte Architektur bedeutet, dass das Deployen von FreeIPA die Konfiguration mehrerer Subsysteme umfasst.
• Updates und Upgrades bergen ein höheres Risiko als Einzelkomponenten-Tools, da Änderungen an einem gebündelten Dienst die anderen beeinträchtigen können.
• Es ist keine praktische Wahl für Umgebungen, die keine Linux/UNIX-hostbasierte Authentifizierung verwenden.

Rauthy

Rauthy ist ein OpenID Connect Provider und Single-Sign-On-Lösung. Es unterstützt WebAuthn/FIDO2/Passkeys, TOTP und Social Login über externe Identitätsanbieter (GitHub, Google, Microsoft und andere, die als generische OIDC-Upstreams konfiguriert sind). Es ist auf geringen Ressourcenverbrauch ausgelegt und wird als einzelne Binärdatei oder Container-Image ausgeliefert.

Ab Version 0.27 enthält Rauthy ein rauthy-pam-nss-Modul, das Linux-PAM- und NSS-Integration ermöglicht und lokale Workstation-Logins via YubiKey-Passkeys und MFA-gesichertes SSH über kurzlebige Passwörter unterstützt.¹⁷

Einschränkungen

Rauthy enthält keine RADIUS-Unterstützung und keinen integrierten LDAP-Server. Es fungiert als OIDC-Provider, gegen den sich andere Anwendungen authentifizieren; es ersetzt kein vollständiges Benutzerverzeichnis.

FAQs

Weiterführende Literatur

• Top 10 Multi-Faktor-Authentifizierungslösungen (MFA)
• Open-Source-RBAC-Tools basierend auf GitHub-Sternen

Diese Forschung zitieren

Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.

@misc{dilmegani2026,
  author = {Dilmegani, Cem and Sezer, Sena},
  title  = {{Vergleichen Sie 10 Open-Source-MFA-Tools}},
  year   = {2026},
  month  = aug,
  howpublished    = {\url{https://aimultiple.com/open-source-mfa}},
  note   = {AIMultiple. Abgerufen am 4. August 2026}
}

Referenzlinks

1.

FIPS 140-2 support - Keycloak

2.

Keycloak 26.5.0 released - Keycloak

Keycloak

3.

Authelia | Free Open-Source Software Modern IAM Solution

4.

Release v4.39.0 · authelia/authelia · GitHub

5.

authentik version 2025.12 is here! | authentik

6.

Release 2026.2 | authentik

7.

CVE-2026-25227 | authentik

8.

Release 2025.10 | authentik

9.

ZITADEL Changelog | ZITADEL

10.

Release Cycle | ZITADEL Docs

11.

ZITADEL - Identity Infrastructure, Simplified

12.

Release v1.10.0 · kanidm/kanidm · GitHub

13.

GitHub - kanidm/kanidm: Kanidm: A simple, secure, and fast identity management platform · GitHub

14.

privacyIDEA 3.12 is available – privacyID3A

15.

privacyIDEA 3.11 is available – privacyID3A

16.

NetKnights releases privacyIDEA 3.13 with enhanced passkey functionality and new web interface - NetKnights - IT-Sicherheit - Zwei-Faktor-Authentisierung - Verschlüsselung

NetKnights GmbH

17.

Introduction - Rauthy Documentation

Cem Dilmegani

Leitender Analyst

Folgen auf

Cem ist seit 2017 leitender Analyst bei AIMultiple. AIMultiple informiert monatlich Hunderttausende von Unternehmen (laut similarWeb), darunter 60% der Fortune 500.

Cems Arbeit wurde von führenden globalen Publikationen zitiert, darunter Business Insider, Forbes, Washington Post, globalen Unternehmen wie Deloitte, HPE und NGOs wie dem World Economic Forum sowie supranationalen Organisationen wie der European Commission.

Während seiner Karriere war Cem als Tech-Berater, Tech-Einkäufer und Tech-Unternehmer tätig. Er beriet Unternehmen über ein Jahrzehnt lang bei McKinsey & Company und Altman Solon in Technologieentscheidungen. Er veröffentlichte auch einen McKinsey-Bericht zur Digitalisierung.

Er leitete die Technologiestrategie und Beschaffung eines Telekommunikationsunternehmens und berichtete dabei direkt an den CEO. Zudem führte er das kommerzielle Wachstum des Deep-Tech-Unternehmens Hypatos an, das innerhalb von 2 Jahren von null auf einen siebenstelligen jährlich wiederkehrenden Umsatz und eine neunstellige Bewertung anwuchs. Cems Arbeit bei Hypatos wurde von führenden Technologiepublikationen wie TechCrunch und Business Insider aufgegriffen.

Cem spricht regelmäßig auf internationalen Technologiekonferenzen. Er schloss sein Studium an der Bogazici University als Computer-Ingenieur ab und hat einen MBA von der Columbia Business School.

Vollständiges Profil anzeigen

Recherchiert von

Sena Sezer

Branchenanalyst

Folgen auf

Sena ist Branchenanalystin bei AIMultiple. Sie hat ihren Bachelor-Abschluss an der Bogazici-Universität erworben.

Vollständiges Profil anzeigen

Seien Sie der Erste, der kommentiert

Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.

Name

E-Mail-Adresse

Kommentar

0/450

Kommentar posten