Das Lightweight Directory Access Protocol (kurz LDAP) ist ein offenes Protokoll, mit dem Client-Anwendungen auf Informationen in einem Verzeichnisdienst zugreifen und diese verwalten können. Ein Verzeichnisdienst ist dabei eine spezialisierte Datenbank, die Informationen über Benutzer:innen, Gruppen, Geräte und andere Netzwerkressourcen speichert – LDAP ist bis heute das dominierende Zugriffsprotokoll dafür in Unternehmensnetzwerken, Universitäten und Behörden.
Wie funktioniert LDAP?
LDAP basiert auf einem hierarchischen Datenmodell: Objekte sind in einer Baumstruktur organisiert, dem sogenannten Directory Information Tree (DIT). Jedes Objekt besitzt einen eindeutigen Distinguished Name (DN) und Attribute, die es beschreiben – ein Benutzerobjekt etwa Benutzername, E-Mail-Adresse oder Gruppenmitgliedschaften. Client-Anwendungen senden Operationen wie Bind (Authentifizierung), Search (Suche/Abfrage) oder Modify (Änderung) an den Verzeichnisserver, der über TCP/IP auf Port 389 (unverschlüsselt) oder 636 (LDAPS) erreichbar ist.
LDAP vs. Active Directory
Ein häufiges Missverständnis: LDAP und Active Directory werden oft synonym verwendet, sind aber nicht dasselbe.
| LDAP | Active Directory | |
|---|---|---|
| Was es ist | Offenes Protokoll | Microsofts konkrete Verzeichnisdienst-Implementierung |
| Authentifizierung | Über LDAP Bind | Primär über Kerberos, LDAP als eines von mehreren Protokollen |
| Verbreitung | Plattformübergreifend, stark in Linux/Unix-Umgebungen | Windows-Server-Umgebungen |
| Beispiel-Alternativen | OpenLDAP, 389 Directory Server | – |
Sicherheit: LDAP vs. LDAPS
Klassisches LDAP überträgt Anfragen und Zugangsdaten standardmäßig unverschlüsselt – ein erhebliches Risiko in jedem Netzwerk, das nicht vollständig isoliert ist. LDAPS (LDAP over SSL/TLS) verschlüsselt die gesamte Verbindung und sollte für jeden produktiven Einsatz Pflicht sein, ebenso wie die Alternative StartTLS, die eine bestehende Klartextverbindung nachträglich verschlüsselt. Bei der Absicherung von Verzeichnisdiensten und der Integration in bestehende Systeme unterstützen wir dich gerne im Rahmen unserer Cyber-Security-Leistungen.
LDAP und Single Sign-On
Ein zentrales Verzeichnis wie LDAP ist häufig die Grundlage für Single Sign-On (SSO) – Nutzer:innen melden sich einmal an und erhalten Zugriff auf mehrere Anwendungen, statt sich für jede Anwendung separat zu authentifizieren. In modernen Architekturen übernimmt LDAP dabei oft die Rolle des zentralen Verzeichnisspeichers, während die eigentliche SSO-Anmeldung über zusätzliche Protokolle wie SAML oder OIDC läuft. Für Unternehmen mit mehreren internen Systemen ist eine solche zentrale Benutzerverwaltung ein klassisches Einsatzgebiet für individuelle Softwareentwicklung, etwa bei der Anbindung bestehender Fachanwendungen an ein zentrales Verzeichnis.
Der Trend 2026: Cloud-Identity und Passwordless Authentication
Immer mehr Unternehmen ergänzen klassische, On-Premise-basierte LDAP-Verzeichnisse um Cloud-Identity-Dienste wie Microsoft Entra ID (vormals Azure AD) oder Okta – in der Praxis meist als hybrides Modell: Ein Verzeichnis wie Active Directory bleibt für Legacy-Anwendungen vor Ort bestehen, während eine Synchronisierung die Identitäten in die Cloud spiegelt und moderne, cloudbasierte Anwendungen über SAML oder OIDC angebunden werden. Gleichzeitig setzt sich passwortlose Authentifizierung über Passkeys (FIDO2/WebAuthn) zunehmend als Standard durch und verdrängt klassische Passwort-Anmeldungen schrittweise – auch in Umgebungen, die im Hintergrund weiterhin auf LDAP-Verzeichnisse als Datenquelle setzen.
Fazit
LDAP ist trotz neuer Cloud-Identity-Dienste weiterhin das Rückgrat vieler Unternehmensverzeichnisse – gerade in gewachsenen, heterogenen IT-Landschaften mit Legacy-Anwendungen. Ob klassisches LDAP-Verzeichnis, hybrides Modell mit Cloud-Anbindung oder eine komplett neue Identity-Lösung die richtige Wahl ist, hängt von deiner bestehenden Systemlandschaft ab. Wir beraten dich gerne zur passenden Strategie – im Rahmen unserer individuellen Softwareentwicklung oder direkt im unverbindlichen Beratungsgespräch.