Vergleichen Sie 10 Open-Source-MFA-Tools

Wir haben 10 kostenlos und Open-Source-MFA-Tools hinsichtlich ihrer Authentifizierungsprotokolle, MFA-Methoden, Bereitstellungsoptionen und der neuesten Versionen verglichen.

Wenn Sie mit Ihrer kostenlos und Open-Source-Multi-Faktor-Authentifizierung (MFA)-Implementierung beginnen, sollten Sie Folgendes beachten:

• MFA-Lösungen für Unternehmen: Keycloak, Authelia, Authentik, Zitadel und Kanidm bieten vollständiges Identity- und Access-Management (IAM) mit Unterstützung für mehrere Authentifizierungsprotokolle.
• Leichtgewichtige MFA-Tools: Hanko, LLDAP, FreeIPA, privacyIDEA und Rauthy sind einfacher zu konfigurieren und besser für kleinere oder selbst gehostete Setups geeignet.

Funktionen von Open-Source-MFA-Lösungen

• Multi-Mandanten-Architektur: Ermöglicht mehrere unabhängige Benutzergruppen (Mandanten) mit isolierten Daten und Konfigurationen.
• Token-Impersonierung: Ermöglicht sichere Token-Delegierung oder Identitätsübernahme eines Benutzers/einer Anwendung für autorisierte Aktionen.
• Biometrische Authentifizierung: Bietet biometrische Faktoren wie Fingerabdrücke.
• Google Titan Security Key: Ein hardwarebasiertes Authentifizierungsgerät, das phishing-resistente 2FA oder passwortlose Anmeldung bietet.

Alle Tools (außer LDAP) unterstützen Hardware-Tokens (z. B. YubiKey) und das passwortlose Authentifizierungsprotokoll FIDO2 / WebAuthN. FIDO2 verwendet keine gemeinsamen Geheimnisse wie Passwörter; es minimiert die mit Datenschutzverletzungen verbundenen Schwachstellen.

Unternehmensfunktionen

• OpenTelemetry: Open-Source-Standard und eine Reihe von Technologien zum Erfassen und Exportieren von Metriken, Traces und Logs.
• Benutzerdefinierte Sitzungen: Ermöglicht eine feingranulare Kontrolle über das Sitzungsverhalten, z. B.:
  • Wie und wann MFA ausgelöst wird (z. B. bei der Anmeldung, bei sensiblen Aktionen).
  • Die unterstützten MFA-Methoden (z. B. TOTP, WebAuthn, SMS)
• Self-Service-Funktionen:
  • Passwort zurücksetzen
  • Benutzerregistrierung

Unterstützung für privilegiertes Zugriffsmanagement (PAM)

Tools mit PAM ermöglichen es Ihnen, die Zugriffsrechte privilegierter Benutzer zu verwalten.

Selbstprüfungsfunktionen

Selbstprüfungsfunktionen verbessern die Protokollrückverfolgbarkeit, die für MFA-Tools (Multi-Faktor-Authentifizierung) entscheidend ist. Sie helfen, nicht autorisierte oder verdächtige Aktivitäten zu verfolgen, z. B. das Aktivieren/Deaktivieren von MFA, fehlgeschlagene Anmeldeversuche und die OTP-Nutzung.

MFA-Lösungen für Unternehmen

Keycloak, Authelia, Authentik, Zitadel und Kanidm bieten umfangreiche MFA-Funktionen. Diese kostenlos MFA-Tools bieten:

• Mehrere MFA-Methoden: TOTP (zeitbasiertes Einmalpasswort), WebAuthn, SMS, OIDC (OpenID Connect), E-Mail, Push, biometrische Authentifizierung, und genehmigungsbasierte MFA.
• Mehrere Authentifizierungsprotokolle: OAuth2, OIDC (OpenID Connect), SAML, LDAP und RADIUS.
• Höhere Anpassbarkeit: Granulares RBAC und benutzerdefinierte soziale SSO-Verbindungen (OIDC/OAuth2) über MFA-Richtlinien.

Keycloak

Keycloak ist eine Open-Source-IAM-Plattform, die SSO, Identitätsvermittlung, Social Login und RBAC abdeckt und SAML, OAuth2, OIDC und LDAP standardmäßig unterstützt.

• Keycloak unterstützt mehrere Datenbank-Backends, darunter PostgreSQL, MySQL, MariaDB, Oracle und Microsoft SQL Server.¹
• Neuere Versionen fügten Workflow-Automatisierung für administrative Realm-Aufgaben, JWT Authorization Grants als empfohlene Alternative zum externen-zu-internen Token-Austausch, Kubernetes-Dienstkonto-Token-Authentifizierung für Clients und vollständige OpenTelemetry-Unterstützung für Metriken und Protokollierung hinzu.²

Keycloak ist komplexer zu installieren und zu konfigurieren als Authelia oder Authentik. Die Standard-Admin-Benutzeroberfläche deckt einen großen Funktionsumfang ab, der für Teams, die sich auf eine begrenzte Anzahl von Anwendungsfällen konzentrieren, schwer zu navigieren sein kann.

Authelia

Authelia ist ein Open-Source-Authentifizierungs- und Autorisierungsserver, der 2FA und SSO für Webanwendungen über einen Reverse-Proxy bereitstellt. Statt als eigenständige Identitätsplattform zu fungieren, arbeitet er als Begleiter zu Proxys wie nginx, Traefik, Caddy und HAProxy, sitzt vor Anwendungen und trifft Authentifizierungsentscheidungen. Die Konfiguration wird vollständig über eine YAML-Datei verwaltet, was die Versionskontrolle und Prüfung vereinfacht, aber Vertrautheit mit dem Konfigurationsschema erfordert.

Architektur und Ressourcenbedarf

Das Container-Image ist unter 20 MB groß und verbraucht typischerweise unter 30 MB RAM, womit es eine der leichteren Optionen in dieser Liste ist. Authelia hat die OpenID-Connect-1.0-Zertifizierung erreicht und kann als OIDC-Anbieter für nachgelagerte Anwendungen fungieren.³

Neueste Updates

Version 4.39 fügte Passkeys/passwortlose Anmeldung über WebAuthn, Device Code Flow für TV- und Shared-Screen-Anmeldeszenarien, Netzwerkkriterien für OIDC-Autorisierungsrichtlinien und RFC8176 Authentication Method Reference-Unterstützung zur Übermittlung des Authentifizierungsniveaus an Dritte hinzu.⁴

Hauptfunktionen

FIDO2 WebAuthn mit Hardware-Schlüsseln wie YubiKey, TOTP mit kompatiblen Authentifizierungs-Apps, mobile Push-Benachrichtigungen über Duo, passwortlose Anmeldung über Passkeys, richtlinienbasierte Zugriffskontrolle und Kubernetes-Unterstützung über Helm-Charts.

Einschränkungen

• Authelia hat keine Mandantenfähigkeit, keine PAM-Unterstützung und keine integrierte Benutzerverwaltungsoberfläche. Benutzerkonten werden über ein LDAP-Backend oder eine statische YAML-Datei verwaltet.
• Teams, die ein Self-Service-Benutzerportal oder Geräteverwaltung benötigen, sollten stattdessen Authentik oder Kanidm in Betracht ziehen.

Authentik

Authentik ist eine selbst gehostete IAM-Plattform, die SSO, LDAP, OAuth2/OpenID Connect, SAML, SCIM und Forward Authentication abdeckt. Im Vergleich zu Keycloak erfordert es weniger anfängliche Konfiguration für Teams ohne Erfahrung mit dedizierter Identitätsinfrastruktur.

Neueste Updates

Version 2025.12 fügte Endpoint-Geräteverwaltung für Windows, macOS und Linux über den Authentik-Agenten, WebAuthn Conditional UI, eine vollständige RBAC-Überarbeitung mit Multi-Parent-Gruppen und rollengeerbten Berechtigungen sowie zentrales Dateimanagement mit S3-Unterstützung hinzu.⁵

Version 2026.2 fügte einen WS-Federation-Anbieter für SharePoint und Windows-native Anwendungen, einen Fleet-Connector für Endpoint-Gerätesignale und bedingten Zugriff, Linux-PAM-Unterstützung für lokale Geräteanmeldung und ED25519/ED448-Zertifikatsgenerierung hinzu.⁶

Sicherheit

Authentik unterhält ein jährliches Penetrationstestprogramm und einen formellen CVE-Meldeprozess. Im Februar 2026 wurden drei CVEs veröffentlicht, darunter eine kritische, die in den Versionen 2025.8.6, 2025.10.4 und 2025.12.4 gepatcht wurde. Teams, die selbst gehostete Instanzen betreiben, sollten Updates einspielen.⁷

Einschränkungen

• Authentik läuft nur auf PostgreSQL.⁸
• PostgreSQL bleibt eine harte Abhängigkeit, was für persönliche Einzelhost-Bereitstellungen zusätzlichen Betriebsaufwand bedeutet.
• Authentik bietet außerdem keine native OpenTelemetry-Unterstützung.

ZITADEL

ZITADEL ist eine selbst gehostete Identitätsinfrastruktur-Plattform, die auf Mandantenfähigkeit ausgelegt ist. Sie unterstützt OpenID Connect, OAuth2, SAML 2, LDAP, Passkeys/FIDO2, OTP und SCIM 2.0.

Neueste Updates

• Login V2 ist der Standard für neue Kunden. Actions V2 ersetzte das eingebettete V1-Erweiterungssystem durch ereignisgesteuerte Webhooks, die außerhalb des Kernprozesses ausgeführt werden, was polyglotte Erweiterungen und entkoppelte Skalierung unterstützt.⁹
• Die CockroachDB-Unterstützung wurde entfernt. PostgreSQL ist ab Version 3 die einzige unterstützte Datenbank.¹⁰

Einschränkungen

Die Administration erfordert Vertrautheit mit ZITADELs mehrschichtigem Mandantenmodell, was für Einzelorganisationen zusätzliche Komplexität bei der Einrichtung bedeutet. Die Roadmap 2026 zeigt, dass das Team daran arbeitet, dieses Modell zu vereinfachen und die Verwaltungskonsole zu vereinheitlichen.¹¹

Kanidm

Kanidm ist eine selbst gehostete Identitätsverwaltungsplattform, die in Rust geschrieben ist.

• Im Gegensatz zu LDAP, das Verzeichnisdienste bereitstellt, umfasst Kanidm natives OAuth2, OIDC, RADIUS, SSH-Schlüsselverwaltung und Linux-PAM-Integration, ohne externe Komponenten zu benötigen.
• Die Administration erfolgt hauptsächlich über die CLI; die Web-UI deckt Benutzer-Self-Service und teilweise Kontoverwaltung ab, aber nicht alle administrativen Aufgaben.

Die Web-UI wurde mit Theming-Unterstützung neu geschrieben. Version 1.10.0 entfernte OpenSSL als Abhängigkeit und ersetzte alle kryptografischen Pfade durch RustCrypto und Rustls über aws-lc-rs. Außerdem wurde eine optionale Kontowiederherstellung per E-Mail-Bestätigung und RFC8693 Token Exchange für Dienstkonten hinzugefügt, die OIDC/OAuth2-Tokens ausstellen.¹²

Einschränkungen

Das CLI-zentrierte Administrationsmodell erfordert Erfahrung mit Kommandozeilenwerkzeugen. Die eigenen Benchmarks von Kanidm mit 3.000 Benutzern und 1.500 Gruppen melden ungefähr 3x schnellere Such- und 5x schnellere Schreibvorgänge im Vergleich zu FreeIPA, wobei die Ergebnisse je nach Arbeitslast variieren.¹³

Leichtgewichtige MFA-Tools

Hanko, LDAP, FreeIPA, privacyIDEA und Rauthy decken engere Bereiche ab als vollwertige IAM-Plattformen wie Keycloak oder Authentik. Ihre Protokollunterstützung, Anpassungsoptionen und Bereitstellungskomplexität variieren erheblich, sodass die Kategoriebezeichnung „lightweight“ ein breites Spektrum abdeckt.

Hanko

Hanko ist ein Open-Source-Authentifizierungsdienst, der auf passwortlose Anmeldung fokussiert ist. Er unterstützt Passkeys, TOTP, Security Keys, OAuth SSO (Apple, Google, GitHub) und benutzerdefiniertes SAML SSO. Er umfasst serverseitige Sitzungsverwaltung und entfernte Sitzungswiderrufe.

Es unterstützt keine benutzerdefinierten OIDC/OAuth2-Social-Connections, keine Benutzer-Identitätsübernahme, keine privilegierten/Step-up-Sitzungen, keine E-Mail-Sicherheitsbenachrichtigungen und keine benutzerdefinierten Benutzermetadaten. Teams, die diese Funktionen benötigen, benötigen eine vollständigere Plattform.

Verpassen Sie nicht unsere Benchmarks und datengestützten Erkenntnisse. Die Schaltfläche öffnet Google; die Auswahl von AIMultiple bestätigt, dass Sie AIMultiple häufiger in den Google-Suchergebnissen sehen möchten.

Als bevorzugte Quelle hinzufügen

LLDAP

LLDAP ist ein leichtgewichtiger LDAP-Server. Er stellt eine Standard-LDAP-Schnittstelle und eine Web-UI für die grundlegende Benutzer- und Gruppenverwaltung bereit, einschließlich Passwortzurücksetzung per E-Mail. Er bietet keine Authentifizierungsprotokolle wie OAuth2 oder OIDC, für die eine separate Komponente (Keycloak, Authelia usw.) davorgeschaltet werden muss.

Standardmäßig werden Benutzerdaten in SQLite gespeichert. MySQL/MariaDB und PostgreSQL werden ebenfalls unterstützt. LLDAP wird hauptsächlich in selbst gehosteten Umgebungen eingesetzt, in denen Anwendungen LDAP für Benutzerabfragen benötigen, der Betreiber jedoch den Betriebsaufwand von OpenLDAP vermeiden möchte.

privacyIDEA

privacyIDEA ist ein MFA-Verwaltungssystem und kein vollständiger Identitätsanbieter. Es verwaltet Zweitfaktoren zentral: TOTP, HOTP, OCRA, mOTP, YubiKey (HOTP/TOTP/AES), FIDO U2F, FIDO2/WebAuthn, Push-Tokens, SMS, E-Mail und SSH-Schlüssel und stellt diese über eine API bereit, die Authentifizierungs-Frontends (Keycloak, FreeIPA, Gluu, NGINX) nutzen. Es behandelt Authentifizierungsprotokolle nicht selbst.

Version 3.12 fügte Benutzerauflöser für Entra ID und Keycloak hinzu, mit denen Administratoren Benutzerdaten direkt aus diesen Verzeichnissen abrufen und Tokens in privacyIDEA ohne separaten Synchronisierungsschritt zuweisen können.¹⁴ Die Passkey-Unterstützung als eigener Tokentyp wurde in Version 3.11 eingeführt.¹⁵ Version 3.13 erweiterte die Passkey-Unterstützung, sodass Benutzer einen Passkey unter Windows und Linux während der Anmeldung registrieren können, um sich auf diesem Gerät offline zu authentifizieren, verbesserte die RADIUS-Behandlung von Push-Tokens und veröffentlichte die neu gestaltete WebUI als Beta.¹⁶

Einschränkungen

• privacyIDEA enthält Kerberos oder andere Authentifizierungsprotokolle nicht nativ.
• Automatisierungsworkflows (Enrollment, Rollover, Onboarding, Offboarding) sind konfigurierbar, erfordern jedoch eine API-Integration, die über das hinausgeht, was eine sofort einsatzbereite TOTP-Einrichtung in Keycloak erfordert.

FreeIPA

FreeIPA ist ein Identitätsverwaltungssystem für Linux- und UNIX-Umgebungen. Es bündelt ein LDAP-Verzeichnis (389-ds), einen Kerberos-KDC, einen DNS-Server, eine Zertifizierungsstelle und Samba-Bibliotheken für die Active-Directory-Integration in einer einzigen bereitstellbaren Einheit mit Web-UI und CLI.

Es unterstützt TOTP- und OTP-Tokens sowie FIDO2/Passkey-Authentifizierung. FreeIPA ist für Umgebungen konzipiert, die eine zentrale Linux-Host-Authentifizierung, Kerberos-Ticket-Ausstellung, sudo-Richtlinienverwaltung und Benutzerverzeichnisdienste benötigen.

Einschränkungen

• Die gebündelte Architektur bedeutet, dass die Bereitstellung von FreeIPA die Konfiguration mehrerer Subsysteme umfasst.
• Updates und Upgrades bergen ein höheres Risiko als Einzelkomponenten-Tools, da Änderungen an einem gebündelten Dienst andere beeinträchtigen können.
• Es ist keine praktische Wahl für Umgebungen, die keine Linux/UNIX-Host-basierte Authentifizierung verwenden.

Rauthy

Rauthy ist ein OpenID-Connect-Provider und eine Single-Sign-on-Lösung. Er unterstützt WebAuthn/FIDO2/Passkeys, TOTP und Social Login über externe Identitätsanbieter (GitHub, Google, Microsoft und andere, die als generische OIDC-Upstreams konfiguriert sind). Er ist auf geringen Ressourcenverbrauch ausgelegt und wird als einzelne Binärdatei oder Container-Image bereitgestellt.

Ab Version 0.27 enthält Rauthy ein rauthy-pam-nss-Modul, das Linux-PAM- und NSS-Integration ermöglicht und lokale Workstation-Anmeldungen über YubiKey-Passkeys sowie MFA-gesicherte SSH-Anmeldungen über kurzlebige Passwörter unterstützt.¹⁷

Einschränkungen

Rauthy enthält keine RADIUS-Unterstützung und keinen integrierten LDAP-Server. Es fungiert als OIDC-Provider, gegenüber dem sich andere Anwendungen authentifizieren; es ersetzt kein vollständiges Benutzerverzeichnis.

FAQs

Weiterführende Literatur

• Top 10 Lösungen für Multi-Faktor-Authentifizierung (MFA)
• Open-Source-RBAC-Tools basierend auf GitHub-Sternen

Diese Forschung zitieren

Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.

@misc{dilmegani2026,
  author = {Dilmegani, Cem and PhD., Ezgi Arslan,},
  title  = {{Vergleichen Sie 10 Open-Source-MFA-Tools}},
  year   = {2026},
  month  = sep,
  howpublished    = {\url{https://aimultiple.com/open-source-mfa}},
  note   = {AIMultiple. Abgerufen am 1. September 2026}
}

Änderungsprotokoll

5 Aktualisierungen

1. 20263. Jun

   Abschnitte zu den neuesten Releases von Keycloak, ZITADEL, Kanidm und privacyIDEA mit neueren Versionsdetails aktualisiert.

2. 23. Feb

   Google Titan Security Key zum Abschnitt „Funktionen von Open-Source-MFA-Lösungen“ hinzugefügt.

3. 20251. Mai

   Die Beschreibung von FreeIPA im Abschnitt „FreeIPA“ wurde ersetzt.

4. 18. Apr

   Die Unterstützung für Pluggable Authentication Module (PAM) wurde dem Abschnitt „Tools mit umfassender MFA-Unterstützung“ hinzugefügt.

5. 17. Apr

   Hanko wurde zu den Tools mit leichter MFA-Unterstützung hinzugefügt.

Referenzlinks

1.

FIPS 140-2 support - Keycloak

2.

Keycloak 26.5.0 released - Keycloak

Keycloak

3.

Authelia | Free Open-Source Software Modern IAM Solution

4.

Release v4.39.0 · authelia/authelia · GitHub

5.

authentik version 2025.12 is here! | authentik

6.

Release 2026.2 | authentik

7.

CVE-2026-25227 | authentik

8.

Release 2025.10 | authentik

9.

Migrate from v1 APIs to v2 APIs | ZITADEL Docs

10.

PostgreSQL Compatibility - CockroachDB

CockroachDB

11.

ZITADEL - Identity Infrastructure, Simplified

12.

Release v1.10.0 · kanidm/kanidm · GitHub

13.

GitHub - kanidm/kanidm: Kanidm: A simple, secure, and fast identity management platform · GitHub

14.

privacyIDEA 3.12 is available – privacyID3A

15.

privacyIDEA 3.11 is available – privacyID3A

16.

NetKnights releases privacyIDEA 3.13 with enhanced passkey functionality and new web interface - NetKnights - IT-Sicherheit - Zwei-Faktor-Authentisierung - Verschlüsselung

NetKnights GmbH

17.

Introduction - Rauthy Documentation

Cem Dilmegani

Leitender Analyst

Folgen auf

Cem ist seit 2017 leitender Analyst bei AIMultiple.

Cems Arbeit bei AIMultiple wurde von führenden globalen Publikationen wie Business Insider, Forbes, Morning Brew und Washington Post, von globalen Unternehmen wie Deloitte und HPE, von NGOs wie dem World Economic Forum und von supranationalen Organisationen wie der European Commission zitiert. [1], [2], [3], [4], [5]

Im Laufe seiner Karriere war Cem als Tech-Berater, Tech-Einkäufer und Tech-Unternehmer tätig. Er beriet Unternehmen bei ihren Technologieentscheidungen bei McKinsey & Company und Altman Solon über mehr als ein Jahrzehnt. Er veröffentlichte außerdem einen McKinsey-Bericht zur Digitalisierung.

Er leitete Technologiestrategie und -beschaffung eines Telekommunikationsunternehmens und berichtete dabei direkt an den CEO. Außerdem verantwortete er das kommerzielle Wachstum des Deep-Tech-Unternehmens Hypatos, das innerhalb von zwei Jahren von 0 einen siebenstelligen jährlich wiederkehrenden Umsatz und eine neunstellige Bewertung erreichte. Cems Arbeit bei Hypatos wurde von führenden Technologiepublikationen wie TechCrunch und Business Insider aufgegriffen.

Cem spricht regelmäßig auf internationalen Technologiekonferenzen. Er absolvierte die Bogazici University als Computeringenieur und hat einen MBA von der Columbia Business School.

Vollständiges Profil anzeigen

Recherchiert von

Ezgi Arslan, PhD.

Industrieanalystin

Folgen auf

Ezgi hat einen Doktortitel in Betriebswirtschaftslehre mit Spezialisierung auf Finanzen und ist als Industrieanalystin bei AIMultiple tätig. Sie treibt Forschung und Erkenntnisse an der Schnittstelle von Technologie und Wirtschaft voran, mit Fachkenntnissen in den Bereichen Nachhaltigkeit, Umfrage- und Sentimentanalyse, KI-Agenten-Anwendungen im Finanzwesen, Answer-Engine-Optimierung, Firewall-Management und Beschaffungstechnologien.

Vollständiges Profil anzeigen

Seien Sie der Erste, der kommentiert

Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.

Name

E-Mail-Adresse

Kommentar

0/450

Kommentar posten