WZ-IT betreibt ZITADEL als eigene Instanz in Rechenzentren in Deutschland, der Schweiz oder Österreich, mit Updates, täglichem Backup, 24/7-Monitoring und persönlichem Ansprechpartner. Auf Wunsch installieren wir ZITADEL auch in Ihrer Cloud oder on-premises.
ZITADEL ist eine Open-Source-Plattform für Identity und Access Management. Sie unterstützt OpenID Connect, OAuth 2.0, SAML 2.0, SCIM, Passkeys und Mandantenfähigkeit über Organisationen und virtuelle Instanzen. Der Zustand liegt als Event Store in PostgreSQL, der Server selbst ist zustandslos.
Im Betrieb zählen PostgreSQL (Versionen 14 bis 18), HTTP/2 am Reverse Proxy, die externe Domain, Backups des Event Stores und kontrollierte Upgrades. Beim Wechsel von Version 3 auf 4 müssen zum Beispiel vorab OIDC Web Keys aktiv sein, sonst werden bestehende Tokens ungültig.
Der Kern steht seit Version 3 unter AGPL-3.0, die Login-Oberfläche V2 und die SDKs unter MIT. Wir betreiben den unveränderten Upstream.
OpenID Connect und OAuth 2.0
Zertifiziertes OIDC sowie Device Authorization, Client Credentials, JWT Profile und Token Exchange für Anwendungen, APIs und Maschinen.
SAML 2.0
ZITADEL stellt SAML als Identity Provider bereit und bindet externe Identity Provider per OIDC oder SAML an.
SCIM 2.0
Eine SCIM-Schnittstelle zur Verwaltung von Nutzern. Die Dokumentation führt sie derzeit als Preview.
Passkeys und MFA
Passkeys (WebAuthn/FIDO2), Authenticator-Apps (TOTP), U2F sowie Einmalcodes per E-Mail oder SMS.
Mandantenfähigkeit
Organisationen mit eigenem Branding, eigenen Identity Providern und Administratoren sowie vollständig getrennte virtuelle Instanzen.
Event Store und Audit
Änderungen werden als unveränderliche Events gespeichert und lassen sich über die Events-API auswerten oder an ein SIEM weiterleiten.
Actions
Eigene Logik per Webhook oder Custom Code, zum Beispiel für Token-Anreicherung, Validierung oder Anbindung von Fachsystemen.
Login V2 und Branding
Die gehostete Login-Oberfläche lässt sich je Organisation gestalten. Auf bestehenden Instanzen ist der Wechsel auf Login V2 optional.
Lizenz
Lizenz
Der ZITADEL-Kern steht seit Version 3 (Mai 2025) unter AGPL-3.0, ältere Versionen unter Apache-2.0. Die Datei LICENSING.md des Herstellers nennt für den Betrieb des unveränderten Codes keine Zusatzbeschränkung. Wer Änderungen am Code vornimmt und die Instanz über ein Netzwerk anbietet, muss sie nach AGPL offenlegen oder eine kommerzielle Lizenz beim Hersteller erwerben.
Betrieb statt Einzelinstallation
ZITADEL als kritische Identity-Infrastruktur betreiben
Fällt die Anmeldung aus, sind alle angebundenen Anwendungen betroffen. Deshalb betrachten wir ZITADEL, PostgreSQL, Reverse Proxy, Domain und Schlüssel als ein System.
Identity-Plattform
ZITADEL, PostgreSQL und Konfiguration werden reproduzierbar aufgebaut, mit getrennten Phasen für init, setup und start.
Protokolle und Federation
OIDC, OAuth 2.0, SAML und externe Identity Provider werden kontrolliert integriert und getestet.
Organisationen und Rollen
Organisationen, Projekte, Rollen, Actions und MFA werden mit den Anwendungsteams abgestimmt.
Betrieb und Notfallfähigkeit
Monitoring, Backups des Event Stores, Upgrades mit Vorabprüfung und Notfallzugänge sichern den Betrieb ab.
Bereich
Verantwortung in der Identity-Architektur
Wir betreiben die Plattform und integrieren Systeme; fachliche Rollen und Berechtigungen bleiben beim Kunden.
Bereich
Verantwortung
Leistung und Abgrenzung
Architektur und ZITADEL-Plattform
WZ-IT
Dimensionierung und Betrieb von ZITADEL, PostgreSQL, Reverse Proxy und vereinbarten Cluster-Komponenten.
Updates und Monitoring
WZ-IT
Kontrollierte Versionswechsel, technische Überwachung und Incident-Bearbeitung nach Service Level.
Backups und Wiederanlauf
WZ-IT
Sicherung der Datenbank mit dem Event Store und der relevanten Schlüssel sowie geplante Restore-Prüfungen.
Anwendungen und Protokollintegration
Gemeinsam
WZ-IT konfiguriert Clients und Flows, Anwendungsteams testen Login, Logout und Fehlerfälle.
Externe Identity Provider und Verzeichnisse
Gemeinsam
Anbindung, Attribute und Gruppen werden gemeinsam abgestimmt.
Rollen- und Berechtigungsmodell
Kunde
Der Kunde verantwortet fachliche Rollen, Freigaben und die Zulässigkeit von Zugriffen.
Actions und Sonderentwicklungen
Optional durch WZ-IT
Eigene Actions, Login-Anpassungen und tiefe Integrationen können separat entwickelt und getestet werden.
Infrastruktur, Integration und Betrieb
ZITADEL als Teil Ihrer Infrastruktur
Wir stellen nicht nur eine Anwendung bereit. WZ-IT plant die technische Architektur, bindet Netzwerk und Identitäten an, übernimmt den vereinbarten Betrieb und entwickelt Integrationen weiter, wenn der Standard nicht ausreicht.
Architektur und Migration
Sizing, Zielumgebung, Datenübernahme, Cutover und Wiederanlauf werden vor dem produktiven Betrieb geklärt.
On-Premise
In Ihrem Rechenzentrum: Installation auf Bare-Metal, VM oder Docker · Integration in bestehendes Active Directory/LDAP
Installation in Ihrer Cloud
In Ihrem eigenen Cloud-Konto, etwa bei AWS, Azure, GCP oder Hetzner · Terraform/IaC Setup (optional) · Kubernetes oder Docker Compose · Kapazitäts- und Skalierungskonzept
Enterprise Setup
Erweiterte Architektur nach technischer und lizenzrechtlicher Prüfung: HA- und Wiederanlaufkonzept, soweit von Anwendung und Edition unterstützt · Protokollierung nach Funktionsumfang und Edition · Individuelle Security Policies
Netzwerk und Identity
SSO, sichere Zugänge, interne Systeme und vorhandene Security-Komponenten werden passend eingebunden.
VPN-Zugang
WireGuard, NetBird, Tailscale, Headscale, OpenVPN, Cloudflare Tunnel · Einfaches Client-Setup für alle Geräte
SSO Integration
Direkt oder über vorgeschalteten Identity-Layer
Multi-Faktor-Auth
Abhängig von Anwendung, Edition und Identity Provider
Firewall & Hardening
Fail2Ban, Rate Limiting, IP Whitelisting
Monitoring und Service Level
Updates, Backups, technische Überwachung und Reaktionswege folgen einem transparenten Betriebsumfang.
24/7 proaktives Monitoring
Updates und Patches
Regelmäßige Updates, CVE-Monitoring und priorisierte Patches bei kritischen Lücken
Tägliches Backup mit 7 Tagen Aufbewahrung
Persönlicher technischer Ansprechpartner
Integration und Weiterentwicklung
APIs, Automatisierungen und individuelle Erweiterungen können über die reine Bereitstellung hinaus umgesetzt werden.
Full-Service Installation ohne versteckte Kosten
Leistungsumfang der ZITADEL-Einrichtung
Vollständige Installation & Konfiguration
SSL-Zertifikat & Reverse Proxy Setup
Backup-Strategie & Disaster Recovery
Performance-Optimierung & Tuning
Security Hardening nach OWASP
Monitoring & Logging Setup
Dokumentation & Best Practices
Administrator-Schulung (Remote)
30 Tage E-Mail Support inklusive
Persönlicher Ansprechpartner
Optionale Integration: LDAP/AD, SSO, MFA
Update-Strategie & Einführung Patch-Management
Der konkrete Umfang hängt von Anwendung, Edition, Infrastruktur und Kritikalität ab. Herstellerlizenzen und Sonderkomponenten werden separat ausgewiesen.
Anwendungsfälle
ZITADEL im Unternehmen einsetzen
Mandanten und Kundenorganisationen
Kunden oder Geschäftsbereiche als getrennte Organisationen mit eigenem Branding, eigenen Identity Providern und Administratoren abbilden
Single Sign-On für Anwendungen
Zentrale Anmeldung für Unternehmensanwendungen über OIDC oder SAML mit getesteten Login-, Logout- und Fehlerpfaden
Passkeys und MFA einführen
Passkeys, Authenticator-Apps und Einmalcodes mit abgestimmten Wiederherstellungs- und Notfallverfahren
Migration von Keycloak oder Auth0
Nutzer aus einem Realm-Export oder Auth0-Export testweise importieren, Passwort-Hashes je Verfahren prüfen und Anwendungen neu anbinden
Externe Identity Provider anbinden
Microsoft Entra ID, Okta und andere Identity Provider per OIDC oder SAML sowie LDAP-Verzeichnisse als externe Quelle verbinden
Maschinenkonten und APIs
Service-Nutzer mit JWT Profile oder Personal Access Token für Automatisierung, CI/CD und Service-to-Service-Kommunikation
Managed Hosting & Betrieb
Was kostet ZITADEL Hosting?
Compute, Anwendungen, Speicher und Reaktionszeit werden getrennt ausgewiesen. So sehen Sie, was im laufenden Betrieb enthalten ist und welche Anforderungen erst nach einem technischen Assessment angeboten werden.
ZITADEL nach Loginlast und Abhängigkeiten auslegen
Die Nutzerzahl allein sagt wenig. Login-Spitzen, Passwort-Hashing, Zahl der Organisationen und Clients, Token-Laufzeiten und gewünschte Verfügbarkeit bestimmen die Architektur.
Orientierung für den Einstieg
Nutzungsszenario
Technischer Startpunkt
Wichtige Einflussfaktoren
Interne SSO-Plattform für wenige Anwendungen
XS bis M
Geeignet für überschaubare Loginlast und klar begrenzte Clients.
Viele Organisationen oder Anwendungen
M oder L, eigene Datenbank
Organisationen, Projekte und Spitzenlast werden gemessen oder geschätzt. Passwort-Hashing verursacht CPU-Spitzen.
Öffentliche Logins oder hohe Authentifizierungslast
Individuelle Architektur
Lasttests, Rate Limits und Schutz gegen Missbrauch werden eingeplant.
Geschäftskritisches oder hochverfügbares IAM
Individuelle Architektur
Mehrere ZITADEL-Instanzen, PostgreSQL, Domain, Schlüssel und Upstream-Identity-Provider müssen zusammen funktionieren.
Der Rechner ist ein Startpunkt für eine Standardinstanz. Hochverfügbarkeit, Lasttests, Migration und mehrere Umgebungen werden individuell geplant.
Sizing und Bereitstellung
Bereitstellung passend zur Vertrauensgrenze
ZITADEL kann auf WZ-IT-Infrastruktur, in Ihrer Cloud, On-Premise oder hybrid nahe an Anwendungen und Verzeichnisdiensten betrieben werden.
WZ-IT Managed Hosting
Betrieb in Deutschland mit Compute, Backup, Monitoring und wählbarem Service Level.
Eigener Cloud-Account
Betrieb in Ihrer Cloud mit vorhandenen Netzwerk-, Security- und Logging-Diensten.
On-Premise
Integration in Ihr Rechenzentrum, Ihre Virtualisierung und interne Verzeichnisdienste.
Hybrid und Multi-Site
Sichere Verbindung zu verteilten Anwendungen, Clouds und externen Identity Providern.
Zielarchitektur
Identity-Flows über Anwendungen und Standorte planen
ZITADEL verbindet Nutzer, Organisationen und Anwendungen. Wir dokumentieren Vertrauensbeziehungen, Token-Flows, Adminzugänge und Ausfallpfade.
Nutzer und Anwendungen
Browser, mobile Apps, APIs, Maschinenkonten und administrative Zugänge.
Sicherer Einstieg
TLS, Reverse Proxy mit HTTP/2, Rate Limits und getrennte Administrationspfade.
Externe Identity Provider
Entra ID, Okta, SAML- und OIDC-Quellen sowie LDAP-Verzeichnisse als definierte Federation.
ZITADEL-Plattform
Instanzen, Organisationen, Projekte, Rollen, MFA, Actions und Token-Ausstellung.
PostgreSQL und Event Store
Persistenter Zustand mit Backups, Restore-Tests und abgestimmter Aufbewahrung.
Clients und APIs
OIDC- und SAML-Anbindungen mit getesteten Login-, Logout- und Fehlerpfaden.
Audit und Monitoring
Metriken, Health Checks, Events und Logs mit optionaler Weiterleitung an ein SIEM.
Identity ist eine gemeinsame Abhängigkeit. Änderungen werden deshalb mit Staging, definierten Rollback-Schritten und Notfallzugängen geplant.
Rolle im Gesamtsystem
Ergänzende Leistungen für ZITADEL
Diese Seite deckt Installation und vereinbarten Plattformbetrieb für ZITADEL ab. Eigener Code, die Zugriffsschicht und besondere Vertraulichkeitsanforderungen bleiben klar getrennte, bei Bedarf ergänzbare Verantwortungsbereiche.
Antworten zu Migration, Upgrades, Lizenz, Hochverfügbarkeit und Betrieb.
ZITADEL Hosting kostet bei WZ-IT ab 99,90 € netto im Monat. Enthalten sind eine eigene Instanz der Größe XS (2 vCPU, 2 GB RAM, 40 GB NVMe SSD), Updates, tägliches Backup mit 7 Tagen Aufbewahrung, 24/7-Monitoring, 5 TB ausgehender Traffic und eine Erstreaktion auf kritische Störungen bis Ende des nächsten Arbeitstags. Größere Instanzen und höhere Service Levels kosten Aufpreis; der Konfigurator zeigt den Gesamtpreis.
Der Einstieg ist eine dedizierte Instanz der Größe XS mit 2 vCPU, 2 GB RAM, 40 GB NVMe SSD für 99,90 €; sie eignet sich für schlanke Anwendungen sowie Test- und Entwicklungsumgebungen. Größe S mit 2 vCPU, 4 GB RAM, 80 GB NVMe SSD kostet 129,90 €. Welche Größe ZITADEL im produktiven Betrieb braucht, prüfen wir vor der Bereitstellung. Größe M (4 vCPU, 8 GB RAM, 80 GB NVMe SSD) kostet zusätzlich 29,90 € netto, L (8 vCPU, 16 GB RAM, 80 GB NVMe SSD) zusätzlich 89,90 € netto und XL (16 vCPU, 32 GB RAM, 80 GB NVMe SSD) zusätzlich 199,90 € netto, jeweils im Monat. Zusätzlicher Speicher kostet 4,99 € netto je 50 GB und Monat.
Nein. WZ-IT begrenzt die Zahl der Nutzer nicht. Wie viele Nutzer gleichzeitig flüssig arbeiten, hängt von der Nutzung und der gewählten Instanzgröße XS bis XL ab.
ZITADEL Hosting ist monatlich kündbar, ohne Mindestlaufzeit, mit einer Frist von 30 Tagen zum Monatsende.
Wählbar sind Deutschland, die Schweiz und Österreich, zu denselben Preisen. Alle drei Standorte sind ISO-27001-zertifizierte Rechenzentren ohne US-Clouds; in Deutschland betreiben wir zusätzlich bei einem deutschen Anbieter, dessen Rechenzentren BSI-C5-testiert sind. Eine Zusatzvereinbarung nach § 203 StGB ist auch im App Hosting auf Anfrage möglich, nur am Standort Deutschland; die separate §203 Managed Cloud für Berufsgeheimnisträger gibt es nur in Deutschland.
Ja. Neben Deutschland stehen die Schweiz und Österreich als Standort zur Wahl, zu denselben Preisen in Euro. Der Betreiber des Rechenzentrums in der Schweiz ist nach ISO 27001, ISO 9001, ISO 14001 und ISO 50001 zertifiziert und bezieht Strom aus erneuerbaren Quellen; das Rechenzentrum in Österreich ist nach ISO 27001 zertifiziert. Den gewünschten Standort nennen Sie bei der Anfrage; er wird im Angebot festgehalten.
Eine produktive Instanz stellen wir in der Regel innerhalb weniger Werktage nach Vertragsabschluss bereit. Zum Ausprobieren richten wir eine Testinstanz ein, in der Regel am nächsten Werktag; sie läuft 7 Tage kostenlos und ohne Zahlungsdaten.
Ja. Eine .de-Domain ist in jedem Hosting inklusive. Alternativ binden Sie Ihre eigene Domain oder Subdomain per CNAME-Eintrag ein.
Ja. Wir prüfen Version, Datenbank, Domain, Organisationen, Actions und angebundene Identity Provider und planen anschließend Testupgrade, Backup, Cutover und Rückfalloption.
Der Hersteller dokumentiert den Weg über einen Realm-Export und das Werkzeug zitadel-tools. Wir importieren testweise, prüfen, welche Passwort-Hashes übernommen werden können, und binden die Anwendungen neu an, weil sich Client-IDs und Client-Credentials nicht importieren lassen. Nicht übernommene Passwörter lassen sich über einen Reset oder einen parallelen Betrieb ersetzen.
Ab Version 4 sind OIDC Web Keys Pflicht. Der Hersteller beschreibt deshalb den Weg über das letzte 3.4.x-Release und das Abwarten, bis ältere Tokens abgelaufen sind. Sonst werden bestehende Tokens ungültig und Nutzer müssen sich neu anmelden. Vorher sichern wir die Datenbank und testen die kritischen Flows.
PostgreSQL in den Versionen 14 bis 18. Die Unterstützung für CockroachDB ist seit Version 3 entfallen. Der Zustand liegt als Event Store in der Datenbank, deshalb ist das Datenbank-Backup die zentrale Sicherung.
Wenn mehrere geschäftskritische Anwendungen von der Anmeldung abhängen und die tolerierbare Ausfallzeit gering ist. Dann betrachten wir ZITADEL, PostgreSQL, Proxy und Upstream-Identity-Provider als Gesamtkette. Das wird je Einsatz geplant und nicht im Standardpreis angenommen.
Der Kern steht seit Version 3 unter AGPL-3.0, die Login-Oberfläche V2 und die SDKs unter MIT. Wir betreiben den unveränderten Upstream. Eigene Codeänderungen müssten nach AGPL offengelegt werden.
Wenn Sie keine eigene Instanz betreiben wollen und der Datenstandort der Cloud-Regionen genügt. Laut Preisseite des Herstellers (Stand 29.10.2026) kostet der Pro-Tarif 100 US-Dollar im Monat mit 25.000 aktiven Nutzern pro Tag. Eine dedizierte Instanz in Deutschland mit Betrieb, Backup und Service Level ist die Alternative, wenn Standort, Kontrolle über die Instanz oder Integration in Ihre Infrastruktur im Vordergrund stehen.
Ja. Entra ID, Okta und andere Anbieter lassen sich per OIDC oder SAML anbinden, LDAP-Verzeichnisse als externer Identity Provider. Attribute und Gruppen stimmen wir mit Ihrem Team ab.
Wir sichern die Datenbank mit dem Event Store sowie die relevanten Schlüssel und Konfigurationen und prüfen die Wiederherstellung geplant, bevor die Instanz produktiv geht.
WZ-IT hat unsere Studio-Infrastruktur von dezentralen Einzelgeräten auf eine zentrale Plattform gehoben: Jeder Standort ist per VPN sicher angebunden, neue Geräte werden automatisiert onboardet und ein kompletter Standort wird per Vorlage provisioniert - ohne manuelle Schritte vor Ort. Was mich am meisten beeindruckt hat, ist die Breite und Tiefe des Wissens: Timo und Robin sind kein normaler IT-Dienstleister, der einen Server aufsetzt und wieder geht. Die beiden denken sich in hochkomplexe Infrastruktur- und Softwarethemen rein, arbeiten sich in jede Anforderung ein, die wir ihnen hinlegen, und bauen Vernetzung, Provisioning und Betrieb so auf, dass am Ende alles zusammenpasst. WZ-IT ist ein hervorragender Partner, wenn es um komplexe Software-, Netzwerk- und Architekturprojekte geht.
WZ-IT plant, entwickelt und betreibt Infrastruktur und Software für Kunden in Deutschland und international. Projekte setzen wir remote um und begleiten sie auch nach dem Go-live im laufenden Betrieb.
Nennen Sie kurz Ausgangslage und Ziel für ZITADEL. Wir ordnen Infrastruktur, Integration und laufenden Betrieb ein.
Direkt mit Timo und Robin - kein Vertrieb, kein Sales-Pitch
Fachliche Einschätzung Ihrer Situation
Konkrete nächste Schritte für Infrastruktur, Software oder KI
Das Gespräch ist unverbindlich und kostenlos.
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.
