          Private AI · Enterprise-Authentifizierung        

Open WebUI SSO mit Entra ID produktiv in 3–5 Tagen

Open WebUI SSO für IT-Leiter mit Private-AI-Pilot und Rollout auf 100+ Nutzer: Microsoft Entra ID (Azure AD) als zentrale Anmeldung, Gruppen-Mapping und Auto-Provisioning statt manueller Account-Pflege.

Kurz gesagt

Open WebUI SSO mit Microsoft Entra ID koppelt Ihre Private-AI-Plattform an die zentrale Identität: Anmeldung per M365-Konto, MFA über Conditional Access, Rollen aus AD-Gruppen. Pexon Consulting setzt OIDC, Gruppen-Mapping und Auto-Provisioning in 3–5 Tagen um, Festpreis 8–14 Tsd. EUR. Laut Microsoft senkt MFA das Konto-Kompromittierungsrisiko um 99,22 Prozent (Microsoft Entra-ID-Sign-in-Daten, 2023), mehr als 99,9 Prozent kompromittierter Microsoft-Konten hatten kein MFA.

Microsoft Solutions Partner

14+ produktive SSO-Setups

Entra ID · Keycloak · Okta

Microsoft Solutions Partner (Digital & App Innovation, Infrastructure Azure, Data & AI Azure), ISO/IEC 27001, Google Cloud Partner, AWS Partner

Jetzt Kontakt aufnehmen
Private AI im Überblick

Warum Open WebUI ohne SSO teuer wird

Der Pilot läuft mit 8 Nutzern, der Rollout soll 200 werden, und plötzlich pflegt jemand Accounts per Hand. Laut Microsoft Digital Defense Report 2024 gibt es über 600 Millionen Identitäts-Angriffe pro Tag, mehr als 99 Prozent davon passwortbasiert.

Off-Boarding-Risiko

Verlässt ein Mitarbeiter das Unternehmen, bleibt der lokale Open-WebUI-Account aktiv, bis jemand ihn manuell sperrt. Mit Entra ID greift die Sperre zentral am Tag des Off-Boardings.

Pflegekosten skalieren nicht

Account-Anlage, Passwort-Resets und Gruppenzuordnungen binden ab 100 Nutzern spürbar Engineering-Zeit, die in produktiven Setups typischerweise 4–8 Stunden pro Monat frisst.

Kein MFA ohne Identity-Layer

Open WebUI in der Standardkonfiguration hat lokale Passwörter. Für Banking, KRITIS oder ISO-Audits brauchen Sie Conditional Access und MFA aus Entra ID, nicht ein separates Passwort pro Tool.

Was Open WebUI SSO messbar bringt

Was zentrale SSO-Anbindung an Open WebUI in Enterprise-Setups messbar bringt, wenn Identität und Zugriff aus Microsoft Entra ID kommen.

99,22 % geringeres Kompromittierungsrisiko

MFA über Entra ID Conditional Access statt lokaler Passwörter in Open WebUI — Microsoft Entra-ID-Sign-in-Daten, 2023

70 % MFA-Adoption im Workforce-Kontext

Organisationen setzen MFA breit, aber fast ein Drittel der Nutzer hat noch keinen zweiten Faktor — Okta Secure Sign-in Trends Report 2025

3–5 Tage statt 3 Wochen Konfiguration

Festpreis-Sprint mit App-Registrierung, OIDC, Gruppen-Mapping und Übergabe — Erfahrung aus 14+ produktiven Pexon-Setups

1 Stunde max. Rechte-Latenz

Gruppenänderungen greifen beim nächsten Token-Refresh, Standard-Token-Lifetime in Entra ID ist 1 Stunde — Microsoft Identity Platform

Ab wann sich Open WebUI SSO lohnt

Open WebUI SSO lohnt sich, sobald Ihre Private-AI-Plattform von einem Pilot unter 30 Nutzern auf 100+ Mitarbeiter skaliert und zentrale Identität, MFA oder auditfähiges Off-Boarding Pflicht werden.

100+

Nutzer ab dem manuelle Pflege scheitert

1 Tenant

Microsoft Entra ID, Single-Tenant-Setup

3–5 Tage

Festpreis-Sprint bis produktivem SSO

Anwendungsbeispiele

Use Case 01

Versicherer rollt Open WebUI auf 200 Nutzer aus

Ein Versicherer betreibt Open WebUI als internes Chat-Interface. Der Pilot lief mit 8 Nutzern und lokalen Accounts, der Konzern-Rollout brauchte Entra-ID-SSO mit Gruppen-Mapping für Admins, Power-User und Standard-Zugang.

5 Tage bis produktivem SSO mit Conditional Access und auditfähigem Login-Trail

Use Case 02

Fertigungskonzern: MFA für Private AI

Ein Fertigungsunternehmen koppelt Open WebUI an Entra ID, damit Engineering-Teams per M365-Konto zugreifen. MFA kommt aus Conditional Access, Open WebUI implementiert keinen eigenen zweiten Faktor.

100 % MFA-Abdeckung über Entra ID ohne separates Passwort-Management in Open WebUI

Use Case 03

KRITIS-Energieversorger mit Gruppen-Routing

Ein Energieversorger mappt Entra-ID-Sicherheitsgruppen auf Open-WebUI-Rollen. Admins, Power-User und Standard-Nutzer erhalten unterschiedliche Rechte, alle anderen werden abgewiesen.

3 Rollen-Gruppen produktiv, Off-Boarding am Tag des Entra-ID-Account-Lockouts

Use Case 04

Multi-IdP: Keycloak statt Entra ID

Ein Mittelständler nutzt Keycloak on-prem als OIDC-Provider. Open WebUI bindet sich über den generischen OIDC-Pfad an, Gruppen-Claims und Auto-Provisioning funktionieren analog zum Entra-ID-Setup.

1 OIDC-Provider produktiv, gleicher Sprint-Ablauf wie bei Entra ID

Integration in Ihre Umgebung

Open WebUI SSO passt in typische Private-AI-Architekturen: Kubernetes oder Docker, Reverse Proxy mit HTTPS, und ein OIDC-fähiger Identity-Provider, den Sie ohnehin schon betreiben.

Identity & Zugriff

Microsoft Entra ID · Native Microsoft-Variablen, Redirect auf /oauth/microsoft/callback, Conditional Access und MFA aus der Entra-ID-Schicht

Keycloak / Okta / Auth0 · Generischer OIDC-Pfad mit OPENID_PROVIDER_URL und /oauth/oidc/callback, gleiches Gruppen-Mapping-Pattern

Gruppen-Mapping · Entra-ID-Gruppen oder App-Rollen werden auf Open-WebUI-Rollen gemappt, JIT-Provisioning beim ersten Login

Deployment & Infrastruktur

HTTPS Pflicht · Entra ID lehnt HTTP-Redirect-URIs ab, Nginx oder Ingress mit TLS vor Open WebUI

Helm / Docker · Environment-Variablen in values.yaml oder docker-compose, Secrets über Kubernetes Secret oder Vault

LiteLLM Gateway · Gruppen-basiertes Provider-Routing (GPT-4o vs. Azure OpenAI EU) läuft im LLM Gateway hinter Open WebUI, nicht im Chat-UI selbst

Wie Open WebUI SSO funktioniert

1

Discovery & App-Registrierung

Entra-ID-Inventur, Tenant und Gruppen-Struktur klären, App-Registrierung mit Redirect-URI und Client-Secret anlegen

2

OIDC konfigurieren

Microsoft- oder OIDC-Variablen setzen, ENABLE_OAUTH_SIGNUP aktivieren, HTTPS-Callback testen

3

Gruppen-Claims aktivieren

App-Manifest: groupMembershipClaims auf SecurityGroup oder ApplicationGroup, optional cloud_displayname für lesbare Gruppennamen

4

Rollen-Mapping

OAUTH_ADMIN_ROLES und OAUTH_ALLOWED_ROLES definieren, Pilot-User aus drei Gruppen testen

5

Edge Cases & Token-Lifetime

200-Gruppen-Limit im Token prüfen, Token-Lifetime auf 8 Stunden oder Refresh-Token-Workflow, Audit-Trail konfigurieren

6

Übergabe & Schulung

IT-Admin-Dokumentation, Runbook für Gruppenänderungen, Monitoring der Login-Fehler

Erfahren Sie mehr zu der technischen SSO-Einrichtung Schritt für Schritt

Warum Pexon statt Inhouse-Entwicklung

Inhouse selbst konfigurieren

–App-Registrierung, Manifest-Patches und Token-Edge-Cases kosten Wochen, wenn das Team OIDC selten macht

–Groups-Claim, 200-Gruppen-Limit und Microsoft-spezifische Variablen sind dokumentiert, aber fehleranfällig

–Kein Runbook für Gruppenänderungen, Token-Lifetime und Off-Boarding-Latenz

Generisches Cloud-Beratungshaus

–Kennt Entra ID, aber selten Open-WebUI-spezifische Stolpersteine wie WebSocket-Proxy oder dedizierte Microsoft-Env-Vars

–Kein Festpreis-Sprint, sondern Time-and-Material ohne definierten Scope

–Private-AI-Gesamtarchitektur (LiteLLM, RAG, GPU) fehlt oft im Angebot

Mit Pexon

✓14+ produktive Open-WebUI-SSO-Setups bei Versicherung, Fertigung und KRITIS

✓3–5-Tage-Festpreis-Sprint mit klarem Scope: 1 Tenant, Gruppen-Mapping, Pilot-Abnahme

✓Private-AI-Cluster: Open WebUI, LiteLLM, RBAC-Review und Compliance aus einer Hand

In 4 Phasen zur produktiven Lösung

Tag 1

Discovery

Entra-ID-Inventur, Gruppen-Struktur, App-Registrierung und Redirect-URI festlegen

Tag 2–3

OIDC & Mapping

Open-WebUI-Konfiguration, Gruppen-Mapping, Test mit Pilot-Usern aus drei Rollen-Gruppen

Tag 4

Edge Cases

Token-Lifetime, 200-Gruppen-Limit, Audit-Trail und Fehlerfall-Dokumentation

Tag 5

Übergabe

IT-Admin-Schulung, Runbook und produktive Freigabe mit Abnahme-Kriterien

Pilot zum Festpreis

Der SSO-Sprint liefert produktive Entra-ID-Anbindung für eine Open-WebUI-Instanz: 1 Tenant, definiertes Gruppen-Mapping, Pilot-Test und Übergabe-Doku. Endpreis nach Scoping bei Multi-Tenant oder ADFS.

Ihre Investition

ab 8.000 EUR

Festpreis · 3–5 Tage · 1 Tenant · Gruppen-Mapping

Enthält:

Scope · 1 Open-WebUI-Instanz, 1 Entra-ID-Tenant, bis zu 3 Rollen-Gruppen, HTTPS-Callback

Enthalten · App-Registrierung, OIDC-Konfiguration, Gruppen-Mapping, Pilot-Test, Admin-Doku

Abnahme · 5 Pilot-User loggen sich erfolgreich ein, Rollen stimmen, Off-Boarding-Test dokumentiert

Jetzt Kontakt aufnehmen

100% unverbindlich mit echtem Mehrwert

Häufige Fragen

Funktioniert Open WebUI SSO auch mit Keycloak oder Okta?

Ja. Open WebUI unterstützt OIDC nativ. Jeder OIDC-konforme Identity-Provider funktioniert: Microsoft Entra ID, Keycloak, Okta, Auth0 oder ADFS. Pexon Consulting hat produktive Setups mit allen genannten Providern umgesetzt. Der Sprint-Ablauf ist identisch, nur die Provider-URL und Callback-Pfade unterscheiden sich.

Wie kommt MFA in Open WebUI an?

MFA kommt aus Microsoft Entra ID Conditional Access, nicht aus Open WebUI selbst. Der User authentifiziert sich bei Entra ID mit MFA, Open WebUI erhält ein bereits validiertes Token. Für Banking-Setups konfigurieren wir typisch eine Conditional-Access-Policy: MFA required für die Open-WebUI-App.

Was kostet die Open-WebUI-SSO-Integration?

Der Festpreis-Sprint startet ab 8.000 EUR für ein Standard-Setup: 1 Entra-ID-Tenant, Gruppen-Mapping mit bis zu 3 Rollen-Gruppen, Pilot-Test und Übergabe. Bei komplexen Multi-Tenant-Setups, ADFS-Integration oder Custom-Middleware für das 200-Gruppen-Limit liegt der Endpreis bis 14.000 EUR. Endpreis nach Scoping.

Was passiert, wenn ein User seine Entra-ID-Gruppe verliert?

Beim nächsten Token-Refresh greift die Änderung. Standard-Token-Lifetime in Entra ID ist 1 Stunde, bei aktivem User maximal 1 Stunde Latenz bis zur Rollen-Anpassung. Für sehr sensitive Setups senken wir die Token-Lifetime auf 15 Minuten, dann synchronisiert Open WebUI schneller.

Wo hat Open WebUI SSO Grenzen?

Entra ID liefert maximal 200 Gruppen im Token, darüber braucht es Custom-Middleware. Gruppen-basiertes LLM-Provider-Routing macht Open WebUI nicht selbst, das läuft im LiteLLM Gateway dahinter. On-Behalf-Of-Flows für Tool-Zugriffe auf Outlook oder SharePoint sind ein separates Pattern. Multi-Tenant-Entra-ID-Setups liegen am oberen Ende der Preisspanne.

Was brauchen wir von unserer Seite für den Sprint?

Eine laufende Open-WebUI-Instanz mit HTTPS, Entra-ID-Global-Admin oder App-Admin für die Registrierung, definierte Sicherheitsgruppen und 3–5 Pilot-User. Rechnen Sie intern mit 4–8 Stunden für Gruppen-Abstimmung und Freigaben. Nach dem Sprint übernehmen Sie Wartung und Gruppen-Pflege in Entra ID, Open WebUI synchronisiert automatisch.

Open WebUI SSO in der nächsten Woche produktiv

Ihr Pilot läuft, der Rollout steht an, und manuelle Accounts skalieren nicht. In 30 Minuten klären wir Tenant, Gruppen-Struktur und Sprint-Scope, Festpreis 8–14 Tsd. EUR.

Jetzt Kontakt aufnehmen

Nachricht senden

Kein passender Termin? Schreiben Sie uns, wir melden uns innerhalb von 24 Stunden.

Antwort innerhalb von 24 Stunden

Unverbindliches Erstgespräch

Persönlicher Ansprechpartner

Phillip Pham

CEO @ Pexon Consulting

Aktualisiert am 14. Juli 2026

Sie suchen einen Partner für Ihr Projekt?

Wir analysieren Ihren individuellen Bedarf, geben erste Empfehlungen zu Umsetzungsstrategien und bieten Ihnen transparente Einblicke in unsere Methoden, Technologien und Referenzen.

Vertrieb kontaktieren

400+Projekte seit 2020

100+Kunden im DACH-Raum

ISO27001 zertifiziert

3Hyperscaler Partner