Single Sign-On mit Keycloak: Ein Login für Nextcloud, Mattermost und Co.

Mit Single Sign-On meldet sich jede Person einmal bei Keycloak an und ist danach in Nextcloud, Mattermost und weiteren Anwendungen eingeloggt. Keycloak prüft Passwort und zweiten Faktor, die Anwendungen vertrauen seinem Urteil über OpenID Connect oder SAML. Bei Mattermost brauchen Sie dafür seit Version 11 die kostenlose Entry-Edition oder einen bezahlten Plan.

Was ist Single Sign-On und was macht ein Identity Provider?

In vielen kleinen Firmen hat jede Anwendung ihre eigene Benutzerverwaltung. Wer neu anfängt, bekommt ein Konto in Nextcloud, eines in Mattermost, eines im Passwortmanager und eines im Git-Server, jeweils mit eigenem Passwort. Wer geht, sollte aus allen vier wieder verschwinden. In der Praxis vergisst jemand mindestens eines davon.

Ein Identity Provider (IdP) nimmt den Anwendungen die Anmeldung ab. Klickt eine Mitarbeiterin in Nextcloud auf „Anmelden“, leitet Nextcloud sie zu Keycloak weiter. Dort gibt sie Benutzername, Passwort und gegebenenfalls einen zweiten Faktor ein. Keycloak schickt sie mit einem signierten Token zurück, in dem steht, wer sie ist und zu welchen Gruppen sie gehört. Nextcloud prüft die Signatur und legt die Sitzung an. Öffnet sie danach Mattermost, besteht bei Keycloak schon eine Sitzung, und die Weiterleitung läuft durch, ohne dass sie noch einmal etwas eintippt.

Keycloak ist ein Open-Source-IdP, den Red Hat angestoßen hat und der heute ein Projekt der Cloud Native Computing Foundation ist. Aktuell ist Version 26.8.1 vom 13. Oktober 2026, die laut Release-Ankündigung 21 Sicherheitskorrekturen enthält. Keycloak organisiert Benutzer in Realms. Für ein Unternehmen genügt meist ein Realm, in dem jede angebundene Anwendung als eigener Client eingetragen ist.

OIDC oder SAML: Welches Protokoll sollte ich nehmen?

Keycloak spricht beide Protokolle. Die Anwendung entscheidet, welches Sie verwenden.

• OpenID Connect (OIDC) baut auf OAuth 2.0 auf. Die Tokens sind JSON Web Tokens, die Konfiguration holt sich die Anwendung selbst über eine Discovery-Adresse wie https://login.example.de/realms/firma/.well-known/openid-configuration. Für neue Anbindungen ist OIDC meist die einfachere Wahl, auch weil Mobil-Apps damit gut zurechtkommen.
• SAML 2.0 ist älter und arbeitet mit XML-Assertions. Sie tauschen Metadaten-Dateien und Zertifikate zwischen IdP und Anwendung aus. SAML findet man vor allem in Unternehmenssoftware und Hochschulen, und manche Anwendungen bieten nur SAML an.

Mein Vorgehen: OIDC, wo die Anwendung es gut unterstützt, SAML dort, wo die Dokumentation des Herstellers den SAML-Weg besser beschreibt. Mattermost hat zum Beispiel eine eigene Anleitung für SAML mit Keycloak, OIDC funktioniert aber ebenso.

Wie binde ich Keycloak an Active Directory oder LDAP an?

Wenn Sie bereits ein Active Directory oder einen anderen LDAP-Server haben, bleibt der die Quelle für Benutzer und Passwörter. Keycloak bindet ihn unter „User Federation“ an. Beim Login prüft Keycloak das Passwort per LDAP-Bind gegen das Verzeichnis. Passwort-Hashes kopiert Keycloak dabei nicht in die eigene Datenbank.

Wichtig ist der Bearbeitungsmodus der Anbindung:

• READ_ONLY: Keycloak liest nur. Passwortänderungen laufen weiter über Windows oder Ihr bisheriges Werkzeug. Für die meisten Firmen mit AD ist das der richtige Modus.
• WRITABLE: Änderungen an Name, E-Mail und Passwort schreibt Keycloak ins Verzeichnis zurück.
• UNSYNCED: Keycloak speichert Änderungen lokal, das Verzeichnis bleibt unverändert, und Sie müssen selbst abgleichen.

Gruppen holen Sie mit einem Group-Mapper aus dem Verzeichnis. Aus der AD-Gruppe „Vertrieb“ wird so eine Keycloak-Gruppe, die Keycloak im Token an Nextcloud und die anderen Anwendungen weitergibt. Ohne Active Directory verwalten Sie die Benutzer direkt in Keycloak, was für Vereine und Firmen bis etwa zwanzig Personen oft reicht.

Welche Anwendungen lassen sich an Keycloak anbinden?

Die Anwendungen, die wir für Kunden betreiben, unterstützen fast alle OIDC. Wie viel davon in der kostenlosen Version steckt, ist sehr unterschiedlich.

Nextcloud

Für Nextcloud gibt es zwei offizielle Apps. „OpenID Connect user backend“ (user_oidc) ist für Keycloak die naheliegende Wahl. „SSO & SAML authentication“ (user_saml) nehmen Sie, wenn Sie SAML brauchen, etwa wegen eines vorhandenen Shibboleth. Den Keycloak-Client legen Sie bei user_oidc auch per Kommandozeile an:

sudo -u www-data php occ user_oidc:provider keycloak \
  --clientid="nextcloud" --clientsecret="…" \
  --discoveryuri="https://login.example.de/realms/firma/.well-known/openid-configuration" \
  --group-provisioning=1

Mit --group-provisioning=1 legt Nextcloud die Gruppen aus dem Token an und pflegt die Mitgliedschaften. Laut README der App kann man per regulärem Ausdruck einschränken, welche Gruppen übernommen werden, und Keycloak kann Nextcloud über Backchannel-Logout abmelden. Die Desktop- und Mobil-Clients melden sich über den Browser an, die Anmeldung läuft dann ebenfalls über Keycloak. Was in Nextcloud 35 sonst neu ist, steht in unserem Artikel zum Nextcloud-35-Update.

Mattermost

Hier hat sich die Lage seit Herbst 2025 deutlich geändert. Mit Mattermost 11 hat der Hersteller der freien Team Edition die GitLab-Anmeldung genommen, die bis dahin der einzige SSO-Weg in der MIT-lizenzierten Version war. In der aktuellen Übersicht der Editionen heißt es dazu nur, SSO werde aus der Team Edition entfernt. OpenID Connect, SAML und AD/LDAP gibt es laut OIDC-Dokumentation in den Plänen Entry, Professional, Enterprise und Enterprise Advanced.

Entry ist kostenlos, steht aber unter einer kommerziellen Lizenz und hat harte Grenzen. Am meisten spüren Teams die 10.000 Nachrichten: Ältere Nachrichten lassen sich weder anzeigen noch durchsuchen. Für ein Team, das täglich chattet, ist diese Grenze schnell erreicht. Wer Mattermost mit Keycloak dauerhaft nutzen will, plant deshalb realistisch mit Professional oder Enterprise. Mattermost 12 vom 16. Oktober 2026 hat an dieser Aufteilung nichts geändert, der Changelog enthält zu SSO nur Fehlerkorrekturen. Was sonst bei v12 zu beachten ist, haben wir im Artikel zum Mattermost-12-Upgrade zusammengefasst.

Vaultwarden, Forgejo und Paperless-ngx

Vaultwarden kann seit Version 1.35.0 vom 27. Dezember 2025 Anmeldungen über OIDC annehmen. Die Callback-Adresse lautet https://vault.example.de/identity/connect/oidc-signin, eingeschaltet wird das Ganze über SSO_ENABLED=true und SSO_AUTHORITY. Das Vaultwarden-Wiki weist ausdrücklich darauf hin, dass das Masterpasswort weiter nötig bleibt. Das ist gewollt, weil der Tresor mit diesem Passwort verschlüsselt ist. Keycloak ersetzt hier also nur den Login-Schritt.

Forgejo trägt Keycloak als Authentifizierungsquelle vom Typ OpenID Connect ein und kann Gruppen aus dem Token automatisch Teams in Organisationen zuordnen, etwa die Keycloak-Gruppe „Entwicklung“ einem gleichnamigen Team. Paperless-ngx nutzt seit Version 2.5.0 die Bibliothek django-allauth. Die Dokumentation zeigt Keycloak als Beispiel, konfiguriert wird über PAPERLESS_APPS und PAPERLESS_SOCIALACCOUNT_PROVIDERS. Mit PAPERLESS_REDIRECT_LOGIN_TO_SSO landet man direkt bei Keycloak.

Wie richte ich Zwei-Faktor-Anmeldung und Passkeys in Keycloak ein?

Den zweiten Faktor richten Sie einmal in Keycloak ein, danach gilt er für jede angebundene Anwendung. Anwendungen wie Paperless-ngx, die selbst nur ein schlichtes Passwortfeld haben, bekommen so dieselbe Absicherung wie Nextcloud.

Keycloak bietet dafür Einmalcodes aus einer Authenticator-App (TOTP), Wiederherstellungscodes und WebAuthn, also Sicherheitsschlüssel wie YubiKeys oder die im Smartphone und Laptop eingebauten Passkeys. Seit Keycloak 26.4 vom September 2025 sind Passkeys offiziell unterstützt und erscheinen direkt im Login-Formular. In aktuellen Versionen schalten Sie sie in der Admin-Konsole unter „Realm Settings“, Reiter „Login“, mit dem Schalter „Enable Passkeys“ ein. Für den Anfang reichen in der Regel diese drei Schritte:

1. In der Authentifizierung den zweiten Faktor für alle verpflichtend machen, zum Beispiel über die Required Action „Configure OTP“ für neue Konten.
2. Passkeys zusätzlich erlauben, damit Mitarbeitende mit passendem Gerät auf Passwort und Code verzichten können.
3. Wiederherstellungscodes aktivieren und erklären, wo man sie aufbewahrt. Sonst landet jedes verlorene Handy als Ticket bei Ihnen.

Ist ein gesperrtes Konto wirklich überall gesperrt?

Für neue Anmeldungen ja. Sobald Sie ein Konto in Keycloak deaktivieren oder im Active Directory sperren, kommt die Person in keine angebundene Anwendung mehr hinein. Das ist der Hauptgrund, warum viele Firmen SSO einführen. Bestehende Sitzungen laufen allerdings weiter, und die Anwendungen behandeln das unterschiedlich:

• In Keycloak beenden Sie unter Users, Reiter „Sessions“, alle Sitzungen der Person. Anwendungen mit eingerichtetem Backchannel-Logout, etwa Nextcloud mit user_oidc, werden dabei mit abgemeldet.
• Mattermost hält SSO-Sitzungen laut Dokumentation standardmäßig 30 Tage und verlängert sie bei Aktivität. Deaktivieren Sie das Konto dort zusätzlich, etwa mit mmctl user deactivate name@example.de. Ist Mattermost zusätzlich per AD/LDAP-Synchronisation angebunden, deaktiviert es Konten, die im Verzeichnis fehlen, beim nächsten Abgleich selbst.
• Die Nextcloud-Clients auf Desktop und Handy arbeiten mit App-Passwörtern, die Nextcloud selbst ausgestellt hat. Sperren Sie das Konto deshalb auch in Nextcloud mit occ user:disable, dann sind diese Geräte sicher draußen.

Schreiben Sie diese Schritte in Ihre Offboarding-Checkliste. Es sind dann drei Handgriffe an zwei, drei Stellen statt einer Suche durch vier getrennte Benutzerverwaltungen, bei der man leicht ein Konto übersieht.

Welche Stolpersteine gibt es bei der Einführung von Keycloak?

Uhrzeit und Token-Laufzeit

Tokens tragen einen Ausstellungs- und einen Ablaufzeitpunkt. Gehen die Uhren von Keycloak-Server und Anwendungsserver auseinander, lehnt die Anwendung gültige Tokens ab, und die Fehlermeldungen sind selten hilfreich. Prüfen Sie auf allen Servern mit timedatectl, ob „System clock synchronized: yes“ dasteht. Die Access Tokens von Keycloak sind standardmäßig nur fünf Minuten gültig. Für Vaultwarden empfiehlt das Wiki mindestens zehn Minuten, weil der Bitwarden-Client selbst mit einer Fünf-Minuten-Grenze rechnet und sich beides sonst in die Quere kommt.

Redirect-URIs

Keycloak leitet nur an Adressen zurück, die im Client eingetragen sind, und vergleicht genau. Ein fehlendes /index.php bei Nextcloud oder ein Schrägstrich zu viel reicht für die Meldung „Invalid parameter: redirect_uri“. Bei Mattermost lautet die Adresse https://chat.example.de/signup/openid/complete. Tragen Sie keine Platzhalter wie * ein, auch wenn es beim Testen bequem ist. Läuft Keycloak hinter einem Reverse Proxy, muss außerdem der öffentliche Hostname in der Keycloak-Konfiguration stimmen, sonst stehen im Discovery-Dokument interne Adressen.

Gruppen-Mapping

Gruppen landen erst im Token, wenn Sie im Client-Scope einen Mapper vom Typ „Group Membership“ anlegen, meist mit dem Claim-Namen groups. Die Option „Full group path“ ist dabei eingeschaltet, und aus „Vertrieb“ wird dann „/Vertrieb“ mit Schrägstrich. Wer in Nextcloud oder Forgejo nach dem Gruppennamen ohne Schrägstrich filtert, wundert sich, warum niemand in seiner Gruppe landet.

Notfallzugang (Break-Glass-Admin)

Wenn Keycloak ausfällt, kommt niemand mehr in die angebundenen Anwendungen, auch die Administratoren nicht. Legen Sie deshalb in jeder Anwendung ein lokales Admin-Konto mit langem Passwort an und hinterlegen Sie es im Passwortsafe der Geschäftsführung. Nextcloud zeigt das normale Login-Formular weiterhin unter ?direct=1 an. Mattermost lässt sich auf dem Server über mmctl --local verwalten. Für Keycloak selbst gibt es seit Version 26 den Befehl kc.sh bootstrap-admin user, der laut Keycloak-Doku einen temporären Admin anlegt, wenn der Zugang verloren ist. Sichern Sie die Keycloak-Datenbank genauso regelmäßig wie die Nextcloud-Daten.

Lohnt sich Keycloak für ein kleines Unternehmen?

Ab drei angebundenen Anwendungen und regelmäßigen Personalwechseln lohnt es sich meiner Erfahrung nach fast immer. Bei Nextcloud allein ist der Gewinn klein, da reichen die eingebaute Zwei-Faktor-Anmeldung oder eine direkte LDAP-Anbindung. Rechnen Sie bei Mattermost die Lizenz mit ein, bevor Sie sich festlegen. Der Aufwand liegt weniger in der ersten Einrichtung als im Betrieb: Keycloak braucht Updates, Backups und Überwachung wie jede andere Anwendung, und wenn es steht, steht alles.

ACONA betreibt Keycloak für Single Sign-On auf Servern in Deutschland und bindet es an Nextcloud, Mattermost und Ihre weiteren Anwendungen an, auf Wunsch mit Ihrem Active Directory. Ob sich das für Ihr Team rechnet, klären wir in einem kostenlosen Erstgespräch von 20 Minuten. Schreiben Sie uns dazu über die Kontaktseite.

Häufige Fragen

Quellen

1. Keycloak: Keycloak 26.8.1 released (13.10.2026)
2. Keycloak: Keycloak 26.4.0 released, Passkeys (30.09.2025)
3. Mattermost Docs: Editions and Offerings (abgerufen 10/2026)
4. Mattermost Docs: OpenID Connect Single Sign-On (abgerufen 10/2026)
5. Nextcloud: user_oidc auf GitHub (abgerufen 10/2026)
6. Vaultwarden Wiki: Enabling SSO support using OpenID Connect (abgerufen 10/2026)
7. Keycloak: Recovering admin access (abgerufen 10/2026)