Keycloak statt Google-Konto: eine Stelle für alle Rechte

Willkommen beim S7, dem Club der Souveränen. Diesmal geht es um eine Frage, die bei jedem Umzug aus der Cloud auf dem Tisch landet: Wer darf künftig was sehen? Wir erzählen, wie bei uns Keycloak alle Berechtigungen an einer Stelle bündelt und warum wir dabei gleich unsere Teamstruktur neu sortiert haben. Außerdem zeigen wir, wie wir KI im Team nutzen, ohne dass jeder sein eigenes Abo abschließt. Viel Spaß beim Lesen. 1. UNTER KUMPELN: Ein Login für alles, und die Rechte gleich dazu Vor zwei Ausgaben haben wir geschrieben, dass bei uns heute viele einzelne Anwendungen stehen, wo früher eine Suite stand, jede mit eigenen Rechten. Bei der Migration war genau das eine der unangenehmsten Fragen: Wer darf künftig was sehen? Bei uns lag vorher vieles bei Google. Freigaben auf Dateien und Ordner hatten sich über Jahre angesammelt. Mal galten sie für eine Person, mal für ein Team, mal per Link für alle, die ihn kennen. Ob Sie von Microsoft kommen oder wie wir von Google, beim Umzug wandern die Daten mit, die Berechtigungen nicht. Wer sie nicht neu regelt, hat danach zu viele offene Türen oder ein Team, das an seine Ordner nicht mehr herankommt. Unsere Antwort darauf heißt Keycloak, https://www.keycloak.org . Keycloak ist ein quelloffener Anmeldedienst. Er hält fest, wer sich anmelden darf, zu welchen Gruppen jemand gehört und welche Anwendung was davon erfährt. In der vierten Ausgabe kam er schon einmal kurz vor, als Login hinter unserer Startseite Dashy. Beim Login war die Cloud bequem: einmal bei Google anmelden, alles offen. Im Selfhosting hat schnell jede Anwendung ihr eigenes Passwort. Mit Keycloak ist es wieder so einfach wie bei Google: Wer morgens anfängt, meldet sich einmal an und kommt in Chat, Projektwerkzeug und Dateiablage. Inzwischen hängen etwas mehr als zehn Anwendungen an Keycloak. Mehr gebracht haben uns die Gruppen. In Keycloak legen wir Gruppen an, etwa pro Team oder pro Projekt. Nextcloud, unsere Dateiablage, liest diese Gruppen und vergibt darüber die Rechte auf Ordner. Kommt ein Kollege dazu, landet er in der Gruppe und sieht die Ordner seines Teams. Wechselt er das Team, wechselt er die Gruppe. Die Freigaben ziehen mit, und niemand arbeitet Ordner für Ordner nach. Um Gruppen anzulegen, mussten wir zuerst aufschreiben, wie wir eigentlich arbeiten. Viele alte Freigaben passten zu Teams, die es so nicht mehr gab, oder zu Projekten, die längst abgeschlossen waren. Die neue Struktur haben wir deshalb nicht aus dem alten System abgeschrieben, sondern neu aufgebaut. Das hat länger gedauert als gedacht, dafür haben wir mit dem Umzug auch aufgeräumt. Viele Werkzeuge, über die wir hier schon geschrieben haben, lassen sich an Keycloak anbinden. Bei Zulip ist das kostenlos, bei OpenProject und n8n steckt die Anmeldung über Keycloak nur in den Bezahlversionen. Damit regeln die Gruppen auch den Zugang zu den angebundenen Anwendungen. Aus einer Gruppe werden ein Ordner, ein Kanal im Chat und die Werkzeuge, die genau dieses Team braucht. Ein neues Team beginnt bei uns mit einer neuen Gruppe in Keycloak. Ordner und Chat-Kanal entstehen danach teils automatisch, teils legen wir sie von Hand an. Wer sich bei uns anmelden darf, entscheidet heute kein Cloudanbieter mehr. Bei den großen Anbietern hängt der Zugang zum ganzen Unternehmen an Konten, die jemand anderes verwaltet. Automatische Prüfungen sperren ganze Firmenkonten, und dagegen haben Sie zunächst ein Kontaktformular. Dann entscheidet der Anbieter, wann Ihr Team wieder arbeiten kann. Ein neues Risiko haben wir uns mit Keycloak allerdings auch eingehandelt. Fällt der Dienst aus, kommt niemand mehr in seine Werkzeuge. Wer ein Konto in Keycloak übernimmt, kommt überall hinein. Keycloak ist damit der wichtigste Server im Haus. Lizenzkosten fallen keine an, der Betrieb kostet uns kaum etwas, aber regelmäßig Zeit für Updates. So begegnen wir dem: Jedes Konto braucht einen zweiten Faktor. Keycloak steht auf unserer Überwachungsliste ganz oben, und die Sicherungen spielen wir auch testweise zurück. Für den Fall, dass der Dienst ausfällt, gibt es einen dokumentierten Notzugang. Jede neue Anwendung, auch jedes interne Werkzeug, das wir selbst entwickeln, bekommt von Anfang an die Anbindung an Keycloak. Eigene Passwortlisten pro Anwendung bauen wir nicht mehr. Wenn Sie den Umzug noch vor sich haben: Legen Sie die Gruppen fest, bevor die erste Datei umzieht. Wer die Rechte erst hinterher sortiert, sortiert sie zweimal. Die Arbeit kann man sich sparen. 2. HAMMER UND SCHLÄGEL: LibreChat, eine Oberfläche für die KI im Team In dieser Rubrik geht es ums Werkzeug. Heute: LibreChat, https://www.librechat.ai, unsere gemeinsame Oberfläche für KI-Modelle. In vielen Unternehmen wird KI längst genutzt, nur weiß niemand genau, wo. Einer hat ein privates Abo, eine andere testet eine Browser-Erweiterung, ein Dritter kopiert Texte in den nächstbesten Chatbot. Dafür gibt es inzwischen einen eigenen Begriff: Schatten-KI. Für die IT heißt das: Niemand weiß, welche Daten wohin fließen, und die Kosten kommen aus vielen Richtungen. LibreChat ist quelloffen und läuft bei uns auf dem eigenen Server. Alle im Team arbeiten in derselben Oberfläche. Welche Modelle und Quellen dort zur Auswahl stehen, legen unsere Admins fest, passend zu unseren Richtlinien. Dazu gehören die jeweils aktuellsten Modelle, zum Evaluieren gerade auch Gemini 4 Argon von Google. Prompts und Skills, die sich bewährt haben, liegen an einem Ort und stehen allen zur Verfügung, statt in persönlichen Notizen zu verschwinden. Die Anmeldung läuft über Keycloak, mit demselben Login wie überall sonst. Warum wir das so machen: Wir wollen, dass KI genutzt wird, und zwar dort, wo wir sehen, was passiert. Ein Verbot hätte die Nutzung nur unsichtbar gemacht. So wissen wir, welche Modelle laufen, und die Kosten landen an einer Stelle. Was LibreChat nicht leistet: Es ist nur die Oberfläche. Wie gut die Antworten sind, hängt an den Modellen dahinter, und die müssen Sie selbst auswählen, anbinden und bezahlen. Vieles richten Sie über eine Konfigurationsdatei ein statt über Menüs. Haben Sie eine Frage rund um digitale Souveränität, Migration oder sichere Zusammenarbeit? Antworten Sie einfach auf diese Mail, sie landet direkt bei mir. Die spannendsten Themen nehmen wir uns hier vor, konkret und mit Handlungsschritten statt Beratersprech. Glück auf, Chris