Onyx Danswer 2026: Enterprise Search mit Governance-Falle

Micha, Pexon Consulting | 7 Min. Lesezeit | 25.07.2026

TL;DR

Onyx Danswer ist eine quelloffene Enterprise-Such- und Chat-App über eure Unternehmensdaten, self-hostbar mit über 40 Konnektoren. Die Falle: SSO und RBAC stecken in der kostenpflichtigen Enterprise Edition, genau das braucht ihr in regulierten Branchen. Pexon prüft eure Governance-Anforderungen zuerst und liefert die produktionsreife Integration als 6-Wochen-Pilot.

Das Problem: die Demo glänzt, die Freigabe fehlt

Wir sehen dasselbe Muster in fast jedem GenAI-Projekt, das ein Fachbereich intern anstößt. Jemand startet Onyx auf einer VM, hängt Confluence dran, stellt eine Frage und bekommt in zwei Minuten eine belegte Antwort aus internen Dokumenten. Der Bereichsleiter ist begeistert, die Demo läuft im Vorstand, und dann kommt Informationssicherheit mit einer Liste, die das Projekt sechs Monate aufhält.

Der Grund ist nicht die Technik. Die Retrieval-Qualität von Onyx ist gut. Das Problem ist, dass ein Proof of Concept keine Zugriffskontrolle braucht und Produktion in einer Bank ohne sie gar nicht erst startet. Wer bei euch welche Dokumente sehen darf, ist keine Nachrüstung, sondern die Grundvoraussetzung. Unsere klare Position: In regulierten Branchen entscheidet nicht das Tool über den Projekterfolg, sondern ob die Governance-Anforderungen vor der Tool-Wahl auf dem Tisch lagen.

Was ist Onyx Danswer und wie es funktioniert

Onyx, bis 2024 unter dem Namen Danswer bekannt und aus dem YC-Batch W24 hervorgegangen, ist eine fertige Such- und Chat-Anwendung über eure Firmendaten. Der Kern steht unter MIT-Lizenz auf GitHub und hat sich eine der größeren Communities im Open-Source-RAG-Umfeld aufgebaut (nach Angaben des Projekts mehrere zehntausend Sterne, Stand 2026).

Technisch besteht Onyx aus einem Indexer, der über mehr als 40 Konnektoren an Google Drive, Slack, Confluence, SharePoint und Co. andockt, einem Vektor-Index für die semantische Suche und einer Web-UI mit Chat. Ihr stellt eine Frage, Onyx holt die relevanten Passagen aus euren Quellen und formuliert eine Antwort mit Quellenangabe. Das Prinzip dahinter ist Retrieval Augmented Generation, das wir in unserem Überblick zum RAG-System im Enterprise-Kontext ausführlicher einordnen.

Der Reiz liegt darin, dass ihr keine Pipeline von Grund auf baut. Onyx ist eine Anwendung, kein Baukasten. Für ein internes Wissensportal ohne harte Compliance-Auflagen ist das ein schneller, sinnvoller Weg.

Die Kostenwahrheit: SSO und RBAC hinter der Enterprise Edition

Hier liegt der Punkt, den die meisten Vergleichstabellen unterschlagen. Onyx trennt in Community Edition und Enterprise Edition. Der MIT-Core deckt Chat, RAG und Konnektoren ab. Single Sign-On über SAML oder OIDC und eine belastbare rollenbasierte Zugriffssteuerung gehören nach Angaben des Projekts in den Umfang der kostenpflichtigen Enterprise Edition.

Für ein Startup mit fünfzehn Leuten ist das egal, alle dürfen alles sehen. Für eine Versicherung ist es der ganze Unterschied. Ohne SSO könnt ihr die Anwendung nicht an euer Identity-Management hängen, ohne RBAC könnt ihr nicht nachweisen, dass ein Sachbearbeiter aus Region Nord keine Personaldaten aus dem Vorstandsbereich über die Suche ziehen kann. Genau diese Nachweise verlangen Prüfer.

Der teurere Weg ist, das zu übersehen und den Aufwand hinterher als Custom-Entwicklung auf den MIT-Core draufzusetzen. Wir raten dann in vielen Fällen zu einem ehrlichen Kostenvergleich: EE-Lizenz gegen Eigenbau gegen eine schlankere Alternative. Welches Werkzeug am Ende passt, hängt von euren Auflagen ab, nicht vom Sternchen-Ranking. Wer die Optionen sauber gegeneinander stellen will, findet in unserem direkten Vergleich von Open WebUI und Onyx Danswer die Entscheidungskriterien.

Enterprise-Praxis: erst Governance, dann Tool

In unseren Projekten drehen wir die übliche Reihenfolge um. Nicht „welches Tool ist am beliebtesten“, sondern „welche fünf Anforderungen muss die Lösung erfüllen, sonst geht sie nicht in Produktion“. Bei einer Bank sieht diese Liste typischerweise so aus: Identity-Anbindung über den vorhandenen IdP, mandantenfähige Rechte auf Dokumentebene, Datenhaltung ausschließlich in eurer eigenen Infrastruktur, Protokollierung jeder Antwort für die Revision und ein klarer Update-Prozess ohne Betriebsrisiko.

Erst wenn diese Liste steht, prüfen wir Onyx dagegen. In manchen Fällen ist die Enterprise Edition die pragmatische Antwort, weil SSO und RBAC ab Werk mitkommen und ihr euch die Eigenentwicklung spart. In anderen Fällen ist eine schlankere Basis plus gezielte Eigenanteile günstiger und wartbarer. Diese Governance-Perspektive, also SSO, Audit und Compliance zusammen gedacht, vertiefen wir separat für alle, die tiefer einsteigen wollen.

Unsere klare Position dazu: Ein produktionsreifer Wissens-Bot ist zu achtzig Prozent Betriebs- und Governance-Arbeit und zu zwanzig Prozent Modell und Prompt. Die zwanzig Prozent sind der Teil, den die Demo zeigt. Die achtzig Prozent sind der Teil, an dem Projekte scheitern.

Der Einstieg: Onyx lokal, aber mit realem LLM-Endpunkt

Wer Onyx zuerst technisch anfassen will, startet die Community Edition in wenigen Minuten. Wichtig aus unserer Sicht: von Anfang an gegen einen internen LLM-Endpunkt testen, nicht gegen eine öffentliche API, sonst validiert ihr eine Architektur, die ihr später ohnehin nicht produktiv setzen dürft.

# Onyx (frueher Danswer) lokal starten - Community Edition unter MIT-Lizenz
git clone https://github.com/onyx-dot-app/onyx.git
cd onyx/deployment/docker_compose

# Endpunkt auf euren self-gehosteten LLM setzen (interner vLLM- oder Azure-Proxy)
# statt einer öffentlichen API - so testet ihr die später erlaubte Architektur
export GEN_AI_API_ENDPOINT="https://llm.intern.eure-bank.de/v1"

# Stack hochfahren: Vektor-Index, Postgres, Web-UI und Hintergrund-Worker
docker compose -f docker-compose.dev.yml up -d

# Danach Konnektoren (Confluence, SharePoint, Slack) über die Web-UI anbinden
# und zuerst prüfen, ob Rechte pro Dokument sauber durchgereicht werden

Das bringt euch zu einer belastbaren Demo. Der Weg von hier bis zur Freigabe durch Informationssicherheit ist der eigentliche Aufwand, und den plant man besser vorher ein als hinterher zu improvisieren.

Häufig gestellte Fragen

Ist Onyx Danswer wirklich kostenlos?

Der Kern steht unter MIT-Lizenz und ist frei nutzbar, inklusive Chat, RAG und der über 40 Konnektoren. Kostenpflichtig wird es bei der Enterprise Edition, die nach Angaben des Projekts Funktionen wie SSO und erweiterte Zugriffssteuerung enthält. Für regulierte Branchen ist genau dieser Teil relevant.

Was kostet eine produktionsreife Onyx-Einführung in einer Bank?

Das hängt von euren Auflagen ab, nicht vom Lizenzpreis allein. Der größere Posten ist meist die Integration in Identity-Management, Rechtekonzept und Betrieb. Wir schätzen das in einem kurzen Assessment realistisch ein und stellen EE-Lizenz gegen Eigenbau, damit ihr eine echte Zahl habt statt eines Bauchgefühls.

Reicht Onyx ohne die Enterprise Edition für ein internes Wissensportal?

Für ein Team ohne harte Compliance-Auflagen oft ja. Sobald ihr Zugriffe pro Dokument steuern und gegenüber Prüfern nachweisen müsst, wer was sehen darf, kommt ihr um SSO und RBAC nicht herum. Dann führt der MIT-Core allein nicht in die Produktion.

Läuft Onyx vollständig in unserer eigenen Infrastruktur?

Ja, Onyx ist self-hostbar, inklusive Index und Datenhaltung. Damit die Antworten aber nicht doch über eine externe LLM-API laufen, müsst ihr den Modell-Endpunkt auf eine interne Instanz zeigen. Das ist eine Konfiguration, die man von Anfang an richtig setzt.

Wie unterscheidet sich Onyx von einem selbstgebauten RAG-System?

Onyx ist eine fertige Anwendung mit UI und Konnektoren, ein Eigenbau ist ein Baukasten mit voller Kontrolle. Onyx spart Bauzeit, kostet aber Flexibilität an den Stellen, wo eure Governance vom Standard abweicht. Welcher Weg günstiger ist, entscheidet sich an genau diesen Abweichungen.

Nächster Schritt

Wenn ihr vor der Entscheidung steht, ob Onyx in euer reguliertes Umfeld passt, klärt ihr das am schnellsten in einem kurzen Gespräch über eure konkreten Auflagen.

Verwandte Themen