Onyx selbst hosten: KI-Suche über SharePoint, Teams und Confluence und die passenden GPUs

KI-Unternehmenssuche über die Systeme, die Sie schon nutzen

Onyx, das Open-Source-Projekt, das früher Danswer hieß, ist eine Plattform für KI-Suche und Chat: Sie indexiert die Systeme, die ein Unternehmen schon nutzt, etwa SharePoint, Teams, Confluence, Google Drive und Jira, und beantwortet Fragen mit Links auf die Quelldokumente. Selbst gehostet laufen Index, Chats und Sprachmodell on-premise auf Ihrer eigenen Hardware, das Modell bereitgestellt von vLLM oder Ollama. Ein Pilot für eine Abteilung läuft auf einer Workstation mit einer NVIDIA RTX PRO 4500 Blackwell oder RTX PRO 5000 Blackwell; ein Unternehmen mit einigen hundert Beschäftigten braucht einen Server mit Karten vom Typ NVIDIA RTX PRO 6000 Blackwell Server Edition.

Dieser Leitfaden richtet sich an IT-Teams, die sich Glean oder Copilot für die Suche über SharePoint und Confluence angesehen haben und Index und Modell auf eigenen Servern betreiben möchten. Er zeigt, was jede Onyx-Edition mit Dokument­berechtigungen macht, was die Konnektoren indexieren, was auf dem Server bleibt und welche Hardware vom Pilot bis zu 2.000 Beschäftigten passt. Die Grundlagen von Retrieval und Berechtigungen stehen in unserem Leitfaden zu RAG auf Firmendaten, ein Chat-zentrierter Aufbau mit Open WebUI in unserer privaten ChatGPT-Alternative.

Am 30. Oktober 2026 zeigt das GitHub-Repository 32,9k Sterne, und das Projekt wird aktiv entwickelt; Version 5.0.0 vom 24. Oktober hat laut Versionshinweisen Vespa entfernt, der Index läuft seitdem auf OpenSearch. Von den beiden Betriebsarten ist Lite laut README eine schlanke Chat-Oberfläche, die keine Dokumente indexieren kann. Dieser Leitfaden behandelt Standard, den vollen Funktionsumfang.

Welche Onyx-Edition Berechtigungen aus SharePoint und Confluence übernimmt

Die LICENSE-Datei stellt alles außerhalb der ee-Verzeichnisse unter die MIT-Lizenz (Expat). Inhalte in den ee-Verzeichnissen stehen unter der „Onyx Enterprise License“. Die kostenpflichtigen Funktionen werden mit ENABLE_PAID_ENTERPRISE_EDITION_FEATURES eingeschaltet, die das Docker-Compose-Template mit der Zeile „Enterprise Features, requires a paid plan and licenses“ einleitet.

Onyx-README, LICENSE-Datei, Seite zur Enterprise Edition, Seite zu Berechtigungen und Anleitung zum MCP-Server, gelesen am 30. Oktober 2026.

Dieser Unterschied wiegt schwerer als jede Hardwarefrage. Auf der Seite zu Berechtigungen steht, dass in der Community Edition ein Dokument für den Ersteller seines Konnektors sichtbar ist und für alle, wenn der Konnektor öffentlich ist. Die freie Edition übernimmt keine Berechtigungen aus SharePoint oder Confluence und passt damit zu Inhalten, die jeder Onyx-Nutzer lesen darf, etwa ein Handbuch, eine Produktdokumentation oder ein Intranet. Quellen mit eingeschränkten Ordnern brauchen die kostenpflichtige Edition oder eine eigene Installation je Leserkreis.

Mit Berechtigungs-Sync liest Onyx die Zugriffsrechte aus der Quelle und wendet sie bei der Suche an, also genau dort, wo sie nach unserem Leitfaden zu RAG auf Firmendaten hingehören. Die Seiten zu SharePoint und Teams nennen dafür die Pläne Business und Enterprise in Onyx Cloud und beim Selbsthosten die Enterprise Edition; die Lizenz kommt von Onyx. Wir richten die Community Edition so ein, wie Onyx sie veröffentlicht, und eine kostenpflichtige Edition nur mit einem Abonnement, das Sie bei Onyx abschließen. Zwei Details aus der Dokumentation sollten Sie vor einem Pilot kennen. Der Abgleich läuft über E-Mail-Adressen, und laut der Teams-Seite bleiben Threads bei einer Abweichung für niemanden sichtbar. Seit 5.0.0 sind die Dokumente eines Konnektors mit Berechtigungs-Sync außerdem für niemanden sichtbar, bis der erste Sync gelaufen ist; die Versionshinweise sprechen von „fail closed while a connector waits for its first permission sync“.

Sie können den Server allein bestellen, die Einrichtung von Onyx, vLLM und den Modellen allein oder beides zusammen: den Server mit allem fertig installiert und eingerichtet; schreiben Sie uns, wir schlagen Ihnen die beste Lösung für Ihre Aufgaben und Ihr Budget vor.

Was die Konnektoren für SharePoint, Teams und Confluence indexieren

Die Konnektor-Übersicht von Onyx listet 56 Konnektoren in acht Kategorien. Standardmäßig aktualisiert sich jeder alle 30 Minuten und wird alle 7 Tage um gelöschte Dokumente bereinigt. Sechzehn Konnektoren unterstützen Berechtigungs-Sync, darunter Google Drive, Confluence, Jira, SharePoint, OneDrive, Teams, Outlook und Slack. Die drei Quellen aus dem Titel verhalten sich so:

Onyx-Seiten zu den Konnektoren SharePoint, Teams und Confluence Data Center sowie die Konnektor-Übersicht, gelesen am 30. Oktober 2026.

SharePoint. Der Konnektor liest Dateien in Dokumentbibliotheken samt eingebetteter Bilder und veröffentlichte Websiteseiten. SharePoint-Listen, ihre Einträge und Anhänge indexiert er nicht, Dateien über 20 MB überspringt er. Die alten Formate .doc, .xls und .ppt werden laut Seite nicht unterstützt, Archive aus älteren Office-Versionen sind also vorher umzuwandeln. Fürs Indexieren genügen die Berechtigung Sites.Read.All und ein Client Secret; der Berechtigungs-Sync braucht ein Zertifikat. Dokument­berechtigungen werden alle 30 Minuten abgeglichen, Mitgliedschaften alle 5, und bei selbst gehosteten Installationen lassen sich beide Intervalle ändern. Die Seite beschreibt einen Tenant mit SharePoint Online und sagt nichts zu SharePoint Server im eigenen Rechenzentrum; klären Sie das mit Onyx, bevor Sie damit planen.

Teams. Jeder Kanal-Thread wird zu einem Dokument, aus Standard-, privaten und freigegebenen Kanälen. Kanaldateien, Besprechungstranskripte und Besprechungschats sind Optionen; Dateien brauchen eine Zertifikatsanmeldung, Transkripte Einstellungen im Teams Admin Center. Einzelchats und andere Chats außerhalb von Kanälen und Besprechungen beschreibt die Seite nicht als indexiert, und Transkripte und Chattage, die älter als sechs Monate sind, werden übersprungen.

Confluence Data Center. Onyx meldet sich mit einem Personal Access Token an, den Data Center und Server ab Version 7.9 bieten. Der Berechtigungs-Sync liest Bereichsberechtigungen und Seitenbeschränkungen und braucht die Enterprise Edition sowie ein Konto mit Confluence-Admin- oder Bereichsadmin-Rechten.

Dateifreigaben. Die Übersicht listet keinen Konnektor für SMB-Freigaben, Nextcloud oder WebDAV. Dateien von einer Freigabe lassen sich mit dem Konnektor File Upload hochladen, dann aber ohne die Berechtigungen der Freigabe. Liegen Ihre Dokumente in Nextcloud, passt womöglich dessen eigener Assistent besser, wie unser Leitfaden zum Nextcloud Assistant mit lokalem LLM zeigt.

Was auf Ihrem Server bleibt

Mit einem selbst gehosteten Embedding-Modell und einem Sprachmodell auf Ihrem eigenen Modellserver bleiben der OpenSearch-Index, die Dokumentkopien, die Onyx für eine Neuindexierung aufbewahrt, der Chatverlauf und jede Eingabe auf Ihrer Hardware. Zwei Einstellungen entscheiden darüber. Laut der Seite zu den Index-Einstellungen laufen Cloud-Embedding-Modelle auf den Servern des Anbieters, genannt werden Cohere, OpenAI, Google und Voyage, und Onyx schickt dann Dokumenttext und Suchanfragen an diesen Anbieter. Für das Sprachmodell gilt dasselbe: Zeigt Onyx auf eine Cloud-API, gehen die gefundenen Passagen mit jeder Frage hinaus.

Die Quellsysteme bewegen sich nicht. SharePoint Online, Teams und Confluence Cloud bleiben, wo sie sind, und der Onyx-Server liest sie über ihre APIs, braucht also ausgehenden Zugang zu diesen Diensten. Die Websuche, eine der Funktionen von Onyx, schickt Anfragen an den Suchanbieter, den Sie einrichten. Das Compose-Template enthält außerdem eine Variable DISABLE_TELEMETRY im Abschnitt zu Logging und Telemetrie; entscheiden Sie darüber vor dem ersten Start, wie es unser Artikel zur Telemetrie in selbst betriebenen KI-Tools für vLLM und den übrigen Stack tut. Für Standorte ohne Internetzugang beschreibt das README Onyx als „air-gappable“.

Hardware-Anforderungen von Onyx, von der Pilot-Workstation bis zu zwei Servern

Ein Onyx-Server trägt drei Lasten. Die Onyx-Dienste und OpenSearch laufen auf den Prozessoren. Zwei Modellserver, einer fürs Indexieren und einer für Anfragen, betreiben das Embedding-Modell, und die Seite zu den Index-Einstellungen empfiehlt für große Dokumentbestände eine GPU auf dem Indexierungs-Modellserver. Das Sprachmodell läuft auf einem eigenen Modellserver, vLLM oder Ollama, und belegt den größten Teil des GPU-Speichers.

Für das Sprachmodell gilt unsere Regel für Nutzer pro Karte, dieselbe wie in unserem Leitfaden, wie viele Nutzer eine RTX PRO 6000 bedient: 90 Prozent des Speichers, den der Treiber meldet, minus 3 GiB pro Karte, minus die Gewichte, bleiben für den KV-Cache der Unterhaltungen. Das ergibt 25,7 GiB auf einer RTX PRO 4500 mit 32 GB, 40,0 GiB auf einer RTX PRO 5000 mit 48 GB und 83,0 GiB auf einer RTX PRO 6000 mit 96 GB. Beschäftigte rechnen wir mit den Beispielwerten unseres Leitfadens zum privaten ChatGPT-Server nach Unternehmens­größe in gleichzeitige Anfragen um: 40 Prozent aktiv in der Spitzenstunde, je sechs Anfragen, 30 Sekunden pro Anfrage und ein Spitzenfaktor von zwei.

Unsere Schätzung nach der Regel für Nutzer pro Karte bei 32K Token, gpt-oss mit 16-Bit-Cache, Qwen3.8-27B mit FP8-Cache (1,14 GiB pro Unterhaltung); gpt-oss-20b mit 12,8 GiB, gpt-oss-120b mit 60,8 GiB und Qwen3.8-27B in FP8 mit 28,7 GiB Gewichten wie in unseren Leitfäden zu 30B-Modellen auf 24-GB-Karten und zu den Qwen-Hardware-Anforderungen; Stufen nach Beschäftigten aus unserem Sizing-Leitfaden nach Unternehmens­größe.

Pilot. gpt-oss-20b unter Apache 2.0 hat 13,8 GB Gewichte, etwa 12,8 GiB, und braucht 0,75 GiB Cache pro Unterhaltung mit 32K, sodass die RTX PRO 4500 nach unserer Schätzung etwa 17 gleichzeitig hält. Qwen3.8-27B in Qwens FP8-Version, ein größeres dichtes Modell, lässt auf der RTX PRO 5000 mit 48 GB Platz für etwa 9, mit einem FP8-Cache von 1,14 GiB pro Unterhaltung. Bei einem Pilot mit wenigen Quellen kann das Embedding-Modell auf dem Prozessor laufen; die Seite zu den Index-Einstellungen zeigt für jedes Modell, wie viele Dokumente es pro Minute auf einem Kern verarbeitet.

Etwa 100 Beschäftigte. gpt-oss-120b mit etwa 65 GB (60,8 GiB) Gewichten passt auf eine Karte mit 96 GB und lässt Platz für etwa 19 Unterhaltungen mit 32K. Die zweite Karte übernimmt die Embedding-Modelle und ein kleines Modell für Nebenaufgaben. Jede Edition der RTX PRO 6000 lässt sich unter Linux in bis zu vier MIG-Instanzen mit 24 GB teilen, wie unser Leitfaden zu den MIG-Profilen der RTX PRO 6000 erklärt. In eine Workstation passen zwei RTX PRO 6000 Workstation Edition oder Max-Q; für einen Dienst, von dem die ganze Firma abhängt, ist ein Rack-Server mit zwei Karten der Server Edition der bessere Ort. Nach unserer Schätzung nimmt eine Workstation mit zwei Max-Q etwa 1,1 kW an der Steckdose auf, der Server mit zwei Karten etwa 1,8 kW.

500 und 2.000 Beschäftigte. Diese Zeilen folgen unserem Sizing-Leitfaden nach Unternehmens­größe: zwei Server, damit jeder allein die Spitze trägt, mit einer kleinen L4 oder L40S für das Embedding-Modell. Bei 2.000 Beschäftigten betreibt jeder Server zwei Kopien von gpt-oss-120b, jede über ein Kartenpaar geteilt; die Karten haben kein NVLink, deshalb sollte eine geteilte Kopie vor dem produktiven Einsatz bei der erwarteten Spitzenlast getestet werden.

Prozessoren und RAM folgen der Ressourcen-Seite von Onyx. Standard braucht mindestens 4 vCPU, 10 GB RAM und 32 GB Plattenplatz plus etwa das 2,5-Fache der indexierten Daten; Onyx bevorzugt 8 oder mehr vCPU, 16 GB oder mehr und 500 GB Plattenplatz für Organisationen unter 5.000 Nutzern. OpenSearch wächst mit den Dokumenten, von etwa 2 GB Arbeitsspeicher pro GB Quelldokumente unter 5 GB bis 1 GB über 50 GB, und im Beispiel der Seite brauchen 10 GB Text etwa 19 GB Arbeitsspeicher und 4,5 CPU allein für OpenSearch. Die Server auf unserer Seite KI-Server beginnen bei 384 GB DDR5 für zwei Karten, genug für einen großen Index neben den Modellen.

Wir bauen diese Workstations und Server auf Bestellung; senden Sie uns Ihre Quellen und die Zahl Ihrer Beschäftigten, wir schlagen Ihnen die beste Lösung für Ihre Aufgaben und Ihr Budget vor.

Erste Vollindexierung und Neuindexierung

Onyx veröffentlicht keinen GPU-Durchsatz für seine Modellserver; messen Sie deshalb die erste Vollindexierung einer Quelle und rechnen Sie von dort hoch. Die Werte in unserem Leitfaden zu Embedding- und Reranker-Servern, etwa rund 5,8 Stunden für 3 Millionen Chunks auf einer L40S, stammen aus NVIDIAs NIM-Containern und gelten nicht für den Modellserver von Onyx.

Drei Änderungen erzwingen laut der Seite zu den Index-Einstellungen eine vollständige Neuindexierung: ein neues Embedding-Modell, eine neue Vektorquantisierung und das Einschalten von Contextual Retrieval. Die Neuindexierung baut aus den Dokumenten auf, die Onyx bereits gespeichert hat, ohne sie erneut aus den Quellen zu holen, und kann bei großen Indizes Stunden oder Tage dauern. OpenSearch hält währenddessen den alten und den neuen Index, planen Sie also Plattenplatz für beide; den alten löscht Onyx etwa einen Tag nach der Umstellung. Wählen Sie das Embedding-Modell für Deutsch und die anderen Sprachen Ihrer Dokumente vor der ersten Vollindexierung. Onyx nimmt auf seinen Modellservern auch ein eigenes Embedding-Modell von Hugging Face an, sodass Sie ein mehrsprachiges Modell vorher an einer Auswahl Ihrer eigenen Fragen testen können.

Onyx oder Open WebUI

Beide verbinden sich mit demselben vLLM-Server und lösen unterschiedliche Aufgaben.

Onyx-Dokumentation, gelesen am 30. Oktober 2026; Open WebUI wie in unserem Leitfaden zur privaten ChatGPT-Alternative.

Wählen Sie Onyx, wenn das Wissen in SharePoint, Teams, Confluence und Jira liegt und sich täglich ändert und wenn jede Person nur sehen darf, was sie in der Quelle öffnen kann. Wählen Sie Open WebUI, wenn der Chat im Vordergrund steht und sich die Dokumente in Sammlungen mit jeweils einem festen Leserkreis aufteilen lassen. Für ein gescanntes Papierarchiv passt Paperless-ngx mit lokaler KI besser, für den Dokumenten-Chat eines einzelnen Teams AnythingLLM. Beide können auch nebeneinander arbeiten. Der MCP-Server von Onyx steht laut Anleitung in allen Editionen zur Verfügung, ist in den mitgelieferten Compose-Dateien und im Helm-Chart standardmäßig aktiv und bietet MCP-Clients wie Claude Code und Codex ein Werkzeug search_indexed_documents, bei dem Dokument­berechtigungen und Arbeitsbereichsrichtlinien weiter gelten. Unser Leitfaden zur Sicherheit von MCP-Servern zeigt, was Sie vorher prüfen sollten.

Onyx installieren und ein lokales Modell anbinden

Der dokumentierte Weg mit Docker: Repository klonen, nach deployment/docker_compose wechseln, cp env.template .env ausführen, die Variablen setzen und mit docker compose up -d starten; die Weboberfläche antwortet auf Port 3000. Das aktuelle Berechtigungssystem braucht Onyx 4.7 oder neuer, und weil 5.0 das Index-Backend gewechselt hat, lesen Sie die Versionshinweise, bevor Sie eine Installation von 4.x aktualisieren.

Das Sprachmodell wird im Admin-Bereich über die Karte OpenAI-Compatible eingetragen: die API-Basis-URL Ihres vLLM-Servers, sein Schlüssel und die Modelle, die Onyx über die Route /v1/models des Servers liest und vor dem Speichern testet. vLLMs --api-key schützt nur einen Teil seiner Routen; lassen Sie daher nur den Onyx-Host an den vLLM-Port, wie unser Leitfaden zu den Sicherheitshinweisen für vLLM erklärt. Unser Service Private AI/ML setzt Modelle mit vLLM oder Ollama auf Ihren Servern ein und baut Assistenten, die die Quelle nennen; ob Onyx die Zugriffsrechte der Quellsysteme übernimmt, hängt wie oben beschrieben von der Edition ab.

FAQ