Wer mehrere Dienste/Tools selbst betreibt – etwa Nextcloud, Proxmox, Portainer, Grafana, Paperless-ngx oder ioBroker – kennt das Problem:

• Mehrere Logins
• Unterschiedliche Passwörter
• Unterschiedliche Benutzerverwaltung
• Keine zentrale Rechtevergabe
• Multi-Factor-Authentifikation MFA überall separat konfigurieren

Spätestens wenn man im „gewachsenen“ Heimnetz Dienste von Außen zugänglich macht wird es im besten Fall unübersichtlich und im schlechtesten Fall unsicher und gefährlich. Eine sichere Lösung muss her!

Warum eine SSO-Lösung auch privat Sinn macht

Single Sign-On (SSO) bedeutet:

Ein Login = Zugriff auf alle Dienste.

User → Application → SSO-Tool → Token → Application → Access granted

1️⃣ Sicherheit steigt

• Zentrale Durchsetzung von MFA
• Einheitliche Passwort-Policies
• Kein „vergessenes“ Admin-Konto in irgendeinem Tool
• Schnellere Deaktivierung von Accounts

2️⃣ Benutzerverwaltung wird zentralisiert

Statt Benutzer in:

• Nextcloud
• Proxmox
• Grafana
• Portainer
• etc.

anzulegen, verwaltet man alles an einer Stelle.

3️⃣ Rollen & Gruppen statt Chaos

Man kann sauber definieren:

• admins
• family
• iot-users
• readonly

Und diese Gruppen dann gezielt einzelnen Anwendungen zuweisen.

4️⃣ Komfort

Login bei einem Dienst → Zugriff auf alle anderen.
Keine erneute Passwortabfrage.

Gerade im privaten Umfeld mit mehreren Diensten ist SSO kein „Enterprise-Overkill“ (naja, schon ein bissle), aber ein enormer Gewinn an Übersicht und Sicherheit.

🏗️ Vollwertige Open-Source Identity-Provider im Vergleich

Wer SSO im Self-Hosting umsetzen möchte, landet zwangsläufig bei einer der folgenden gängigsten Open-Source-Lösungen. Damit beginnt die Qual der Wahl. Es kann sehr viel Zeit kosten, wenn man das falsche Tool nimmt, daher erst mal einen Vergleich machen 😉

🏛️ Keycloak

Enterprise-IAM-Plattform

Geeignet für: Große Umgebungen mit komplexen Anforderungen.

🔐 Authentik

Moderner, flexibler Self-Hosted Identity Provider

Geeignet für: Self-Hosting-Umgebungen mit vielen unterschiedlichen Apps.

🛡️ Authelia

Leichtgewichtige Proxy-basierte Lösung

Geeignet für: Kleine Umgebungen mit wenigen Apps.

☁️ ZITADEL

Cloud-orientierter moderner IdP

🔐 TL;DR: Open-Source SSO / Identity-Provider Vergleich

🏆 Warum Authentik die beste Wahl für mich war

Nach Abwägung aller Optionen fiel meine Entscheidung auf Authentik, weil:

• ✔️ Sehr gute Dokumentation und große Community
• ✔️ Open Source
• ✔️ Vollwertiger OIDC & SAML Support
• ✔️ Proxy-Modus für Apps ohne OIDC (z. B. ioBroker)
• ✔️ Docker-native Installation (habe ich die gute Doku erwähnt)
• ✔️ Gute Balance zwischen Enterprise-Features und Bedienbarkeit
• ✔️ Gruppen- und Rechteverwaltung
• ✔️ Zukunftssicher für wachsende Infrastruktur

Authentik bietet genau die Flexibilität, die ich für mein Heimnetz benötige – ohne (viel) unnötige Komplexität.

🚀 Authentik Installation mit Docker
(Schritt-für-Schritt)

Diese Anleitung basiert auf der offiziellen Docker-Installation.

🔹 Voraussetzungen

• Docker oder Portainer
• 2 GB RAM empfohlen
• Domain für Authentik (z. B. id.hagenfragen.de)
• Reverse Proxy empfohlen (z. B. NGINX Proxy Manager)

🔹 Schritt 1 – Arbeitsverzeichnis erstellen

mkdir authentik
cd authentik

🔹 Schritt 2 – Offizielle docker-compose.yml laden

wget https://goauthentik.io/docker-compose.yml

🔹 Schritt 3 – .env Datei erstellen

echo "PG_PASS=$(openssl rand -base64 36 | tr -d '\n')" >> .env
echo "AUTHENTIK_SECRET_KEY=$(openssl rand -base64 60 | tr -d '\n')" >> .env

Optional Ports anpassen:

echo "COMPOSE_PORT_HTTP=19000" >> .env
echo "COMPOSE_PORT_HTTPS=19443" >> .env

🔹 Schritt 4 – Container starten

docker compose pull
docker compose up -d

🔹 Schritt 5 – Initial Setup

Browser öffnen:

http://SERVER-IP:19000/if/flow/initial-setup/

Admin-Passwort setzen → Login.

🔹 Schritt 6 – Reverse Proxy konfigurieren

Im Reverse Proxy:

• Domain: id.hagenfragen.de
• Forward auf Authentik Container
• Websockets aktivieren
• TLS aktivieren

🎯 Fazit

SSO im privaten Umfeld ist kein bloßes „Weil ich es kann!“, sondern:

• Sicherheitsgewinn
• Strukturgewinn
• Komfortgewinn

Mit Authentik erhält man eine leistungsfähige, moderne und vollständig Open-Source-basierte Identitätslösung, die sowohl klassische OIDC-Integrationen als auch Proxy-Absicherung ermöglicht.

Für jedes gewachsene Heimnetz, das Dienste ins Internet exponiert ist SSO wirklich cool.