Authentik vs. Zitadel: Der direkte Vergleich

Identity Provider sind das Herzstück moderner Self-Hosting-Setups. Authentik und Zitadel sind die zwei mächtigsten Open-Source-Lösungen für SSO, OAuth2 und OpenID Connect — beide aktiv entwickelt, beide für Kubernetes und Self-Hosting optimiert. Dieser Vergleich zeigt, wo die Unterschiede liegen und wann welches Tool die bessere Wahl ist.

Was sind Authentik und Zitadel?

Authentik ist ein flexibler Identity Provider aus Deutschland mit starkem Fokus auf Flows — anpassbare Authentifizierungsabläufe, die auch komplexe Szenarien wie MFA-Erzwingung, Policy-basierte Zugriffskontrolle und Custom Branding abdecken. Authentik wird aktiv von goauthentik.io entwickelt und hat eine große Self-Hosting-Community.

Zitadel ist ein Cloud-nativer Identity Provider, der als SaaS und Self-Hosted betrieben werden kann. Zitadel setzt auf Multi-Tenancy von Grund auf — es ist für Organisationen mit mehreren Teams, Kunden oder Umgebungen konzipiert. Das Schweizer Unternehmen CAOS AG entwickelt Zitadel, das mittlerweile auch in Enterprise-Umgebungen Einsatz findet.

Architektur und Installation

Authentik

Authentik besteht aus mehreren Komponenten:

# docker-compose.yml (vereinfacht)
services:
  postgresql:
    image: postgres:16
  redis:
    image: redis:alpine
  server:
    image: ghcr.io/goauthentik/server:latest
    command: server
  worker:
    image: ghcr.io/goauthentik/server:latest
    command: worker

Die Installation via Docker Compose ist unkompliziert. Authentik braucht PostgreSQL und Redis — der Worker übernimmt Background-Tasks wie E-Mail-Versand und Zertifikatserneuerung.

Kubernetes: Das offizielle Helm Chart funktioniert zuverlässig und ist gut dokumentiert.

Zitadel

Zitadel ist schlanker und benötigt nur eine Datenbank:

# docker-compose.yml (vereinfacht)
services:
  db:
    image: cockroachdb/cockroach:latest
    command: start-single-node --insecure
  zitadel:
    image: ghcr.io/zitadel/zitadel:latest
    command: start-from-init --masterkey MasterkeyNeedsToHave32Characters
    depends_on:
      - db

Zitadel läuft standardmäßig mit CockroachDB (PostgreSQL-kompatibel), kann aber auch mit PostgreSQL betrieben werden. Der Single-Binary-Ansatz macht das Deployment einfacher.

Feature-Vergleich

Feature Authentik Zitadel
SSO (SAML, OIDC, OAuth2) ✓ ✓
LDAP Provider ✓ ✓ (Enterprise)
Social Login ✓ viele ✓ viele
MFA (TOTP, WebAuthn) ✓ ✓
Custom Flows ✓ sehr flexibel begrenzt
Multi-Tenancy begrenzt ✓ nativ
Machine-to-Machine (M2M) ✓ ✓ nativ
Benutzer-Self-Service ✓ ✓
SCIM Support ✓ ✓
Admin API REST gRPC + REST
Lizenz MIT Apache 2.0

Flows vs. Konfiguration: Der philosophische Unterschied

Authentik und Zitadel haben fundamentell unterschiedliche Ansätze zur Konfiguration von Authentifizierungsabläufen.

Authentik: Flow-basiert

Jeder Authentifizierungsvorgang ist ein Flow — eine Kette von Stages (Schritten). Das ermöglicht extreme Flexibilität:

  • Passwortlose Anmeldung via WebAuthn als primärer Flow
  • Erzwinge MFA für bestimmte Anwendungen oder IPs
  • Benutzerdefinierte Felder beim Registrierungs-Flow
  • Stage-basierte Policies: Python-Policies oder Expression-Policies

Diese Flexibilität hat ihren Preis: Authentik hat eine steilere Lernkurve. Wer einen nicht-trivialen Anwendungsfall hat, muss Flows verstehen.

Zitadel: Konfigurationsbasiert

Zitadel konfiguriert Authentifizierung über Organizations, Projects und Applications. Die Admin-UI ist übersichtlicher — man definiert, was erlaubt ist, nicht wie der Prozess aussieht. Für Standard-Szenarien (OIDC, Social Login, MFA) ist Zitadel schneller einsatzbereit.

Multi-Tenancy

Dieser Punkt entscheidet oft zwischen den Tools:

Authentik unterstützt Multi-Tenancy über Tenants — getrennte Instanzen mit eigenem Branding und eigenen Flows. Die Isolation ist jedoch nicht so tief wie bei Zitadel. Für kleine Homelab-Setups oder Setups mit einer Organisation reicht das problemlos.

Zitadel hat Multi-Tenancy von Anfang an eingebaut. Organizations sind erste-Klasse-Konzepte: eigene Policies, eigene Benutzer, eigene MFA-Einstellungen. Das macht Zitadel zur besseren Wahl für:

  • MSPs, die mehrere Kundenmandanten verwalten
  • SaaS-Produkte, die eigene Identity-Verwaltung anbieten
  • Enterprise-Umgebungen mit klaren Mandantentrennung-Anforderungen

Proxy Provider: Authentik's Killer Feature

Ein einzigartiges Feature von Authentik ist der Outpost/Proxy Provider. Dahinter steckt ein Reverse Proxy, der Authentifizierung vor beliebige Web-Apps schaltet, ohne dass diese App OIDC unterstützen muss.

# Traefik middleware für Authentik
http:
  middlewares:
    authentik:
      forwardAuth:
        address: http://authentik-server:9000/outpost.goauthentik.io/auth/nginx
        trustForwardHeader: true
        authResponseHeaders:
          - X-authentik-username
          - X-authentik-email

Das ermöglicht SSO für ältere Apps, die kein modernes Auth unterstützen. Zitadel hat keinen vergleichbaren Proxy-Mechanismus — dort muss die App selbst OIDC implementieren.

Performance und Ressourcen

Authentik benötigt im Idle:

  • ca. 200–400 MB RAM (Server + Worker)
  • PostgreSQL: 100–200 MB
  • Redis: 20–50 MB

Zitadel benötigt im Idle:

  • ca. 100–200 MB RAM (alle-in-einem Binary)
  • CockroachDB/PostgreSQL: 150–300 MB

Zitadel ist in der Regel ressourcensparender, besonders wenn CockroachDB schon für andere Services läuft.

Meine Empfehlung

Wähle Authentik wenn:

  • Du ein Homelab mit gemischten Apps (auch nicht-OIDC-fähigen) betreibst
  • Du benutzerdefinierte Authentifizierungsflows benötigst
  • Du Reverse Proxy-basiertes Auth ohne App-Änderungen möchtest
  • Die Flexibilität wichtiger ist als Einfachheit

Wähle Zitadel wenn:

  • Du mehrere Organisationen/Mandanten verwaltst
  • Du einen modernen, API-first Identity Provider brauchst
  • Machine-to-Machine-Kommunikation (M2M, Service Accounts) wichtig ist
  • Du ein SaaS oder Enterprise-Produkt baust

Für den typischen Self-Hoster empfehle ich Authentik als Start — der Proxy Provider allein ist ein Game-Changer für Legacy-Apps. Wer skalieren oder Multi-Tenant arbeiten möchte, wechselt später zu Zitadel oder startet gleich damit.

Weiterführende Artikel

Verwandte Technologien im Techradar