Open WebUI mandantenfähig betreiben: Multi-User für Teams

Pexon Consulting | 9 Min. Lesezeit | 19.06.2026

TL;DR

Open WebUI mandantenfähig zu betreiben heißt: Mehrere Teams nutzen dasselbe Setup, sehen aber nur ihre eigenen Chats, Knowledge-Bases und Modelle. Pexon Consulting baut Multi-User-Setups in 2 Wochen als Festpreis-Sprint zwischen 18 und 32k EUR — mit Team-Isolation, Cost-Tracking pro Team und Audit-Trail. Funktioniert für 100-5.000 Nutzer.

Was Mandantenfähigkeit konkret bedeutet

Wir hören das in fast jedem Sprint-Discovery: „Wir haben Open WebUI mit 8 Pilot-Usern, läuft toll. Jetzt sollen HR, Vertrieb und Engineering parallel rein — aber HR will, dass Vertrieb keine HR-Chats sieht.“

Drei Isolations-Schichten in Open WebUI.

Schicht 1: Chat-Isolation pro User. Standard — kein User sieht die Chats eines anderen Users.

Schicht 2: Knowledge-Base-Isolation pro Team. Pro Team eine eigene Knowledge-Base mit eigenen Dokumenten. HR-Team sieht HR-Wissensbasis, Vertriebs-Team sieht Vertriebs-Wissensbasis. Mehr zur breiten RAG-Knowledge-Base-Architektur.

Schicht 3: Modell-Berechtigung pro Team. Engineering bekommt GPT-4o für Coding, HR bekommt nur Azure OpenAI EU für Datenschutz. Über LiteLLM-Gateway konfigurierbar. Mehr im DSGVO-LLM-Routing-Pattern.

Die technische Umsetzung

Open WebUI hat seit Version 0.3 ein Teams-Konzept. Pro Team ein eigener Namespace mit eigenen Konfigurationen.

# Beispiel: Multi-Team-Konfiguration
teams:
  - name: engineering
    members_from_group: openwebui-engineering  # Entra-ID-Gruppe
    available_models:
      - gpt-4o
      - claude-sonnet-3.5
      - codestral
    knowledge_bases:
      - engineering-codebase
      - engineering-docs
    monthly_budget_eur: 6000
    
  - name: hr
    members_from_group: openwebui-hr
    available_models:
      - azure-openai-eu-gpt-4o  # nur EU-Backend
    knowledge_bases:
      - hr-policies
      - hr-onboarding
    monthly_budget_eur: 800
    
  - name: vertrieb
    members_from_group: openwebui-vertrieb
    available_models:
      - gpt-4o-mini  # Kosten-optimiert
      - claude-haiku
    knowledge_bases:
      - vertrieb-spickzettel
      - vertrieb-kundenbeispiele
    monthly_budget_eur: 2400

Die Team-Zugehörigkeit kommt aus Entra ID via OIDC-Group-Claim. Mehr zum SSO-Setup mit Entra ID.

Cost-Tracking pro Team

Wichtigster Differenzierungspunkt für Controlling-Verantwortliche.

Hard-Budgets pro Team. Bei 80% Verbrauch Warnung an Team-Lead, bei 100% werden weitere Anfragen abgelehnt. Verhindert Cost-Surprises durch einzelne Power-User. Mehr im LLM-FinOps-Pattern.

Cost-pro-User-Tracking. Pro Team eine Liste der Top-10-Verbraucher. Ausreißer können direkt befragt werden.

Monatlicher Report ans Controlling. Aus Pipeline-Daten generiert: Anfragen pro Team, Token pro Team, Kosten in EUR, Trend gegenüber Vormonat.

Audit-Trail pro Team

Was im Audit-Log landet.

{
  "timestamp": "2026-06-19T14:32:17Z",
  "user_id_hash": "ab38d49e...",
  "team_id": "hr",
  "chat_id": "abc-def",
  "model_routed_to": "azure-openai-eu-gpt-4o",
  "prompt_hash": "f7e9a2...",
  "tokens_input": 1342,
  "tokens_output": 487,
  "latency_ms": 1820,
  "knowledge_base_accessed": "hr-policies",
  "compliance_class": "internal-confidential"
}

Bei BaFin- oder BSI-Audits ist das die strukturierte Doku, die nachweist welcher User welche Anfrage gestellt hat — ohne den sensitiven Inhalt selbst zu speichern.

Pexon-Sprint und Investment

2-Wochen-Festpreis-Sprint:

• Woche 1 — Team-Struktur und SSO. Entra-ID-Gruppen-Mapping, OIDC-Konfiguration, Team-Definitionen.
• Woche 2 — Knowledge-Bases, Cost-Tracking, Übergabe. Pro Team eigene Knowledge-Base falls nötig, Cost-Budgets, Audit-Pipeline, Schulung.

Investment-Festpreis: 18-32k EUR je nach Komplexität. Untere Spanne bei einfachem 3-Team-Setup, obere Spanne bei komplexen Setups mit > 10 Teams plus Compliance-Anforderungen.

Häufig gestellte Fragen

Wie verhält sich das mit Daten-Soueränität pro Team?

Pro Team kann der Backend-Pfad unterschiedlich sein. HR-Team bekommt Azure OpenAI EU als einziges Backend, Marketing-Team auch OpenAI US für nicht-sensitive Inhalte. Über LiteLLM-Gateway konfigurierbar. Mehr im DSGVO-Routing-Pattern.

Was bei sehr vielen Teams (>30)?

Skaliert linear in der Configuration. Bei sehr vielen Teams wird die manuelle Pflege aufwändig — wir bauen dann eine Web-Admin-Schicht, die die Team-Configuration aus Entra ID automatisch generiert.

Kann ein User in mehreren Teams sein?

Ja. Über Entra-ID-Gruppen-Memberships steuerbar. Bei Mehrfach-Memberships wählt der User im UI das aktive Team aus.

Wie verhält sich das mit Onyx oder AnythingLLM?

Beide haben ähnliche Multi-User-Konzepte (Workspaces in AnythingLLM, Permission-Sync in Onyx). Mehr im Onyx vs Open WebUI-Vergleich und Open WebUI vs AnythingLLM-Vergleich.

Was wenn ein User das Team verlässt?

Über Entra-ID-Group-Removal. Bei nächstem Token-Refresh ist der User aus dem Team raus, sieht keine Team-Knowledge-Base und keine Team-Chats mehr. Bestehende Chats bleiben im Audit-Trail vorhanden.

Nächster Schritt

Wenn euer Open-WebUI-Setup Multi-User braucht und der interne Engineer schon am Setup hängt: 30-Minuten-Call. Wir skizzieren den Sprint.

Verwandte Themen