Paperless-ngx 3.4.0: OIDC-Option für 2FA, ImageMagick entfällt

Das Paperless-ngx-Team hat am 29. Oktober 2026 die Version 3.4.0 veröffentlicht. Das Update bringt Custom Fields in Workflow-Titelvorlagen, eine neue Option zum Überspringen der lokalen Zwei-Faktor-Abfrage bei OIDC-Anmeldungen und erzeugt PDF-Vorschaubilder nicht mehr über ImageMagick, sondern über Poppler. Dazu kommen mehrere Abhängigkeits-Updates, die das Projekt ausdrücklich als Sicherheitsfixes ausweist.

Relevant ist das für alle, die Paperless-ngx selbst betreiben, meist als Docker-Container. Eine akut ausgenutzte Lücke in Paperless-ngx selbst nennt das Release nicht, ein Notfall-Patch ist daher nicht nötig. Admins sollten das Update aber im nächsten Wartungsfenster einplanen, vorher eine Sicherung ziehen und besonders bei OIDC-Anmeldung die neue Voreinstellung prüfen.

Was ist passiert?

Das GitHub-Release v3.4.0 erschien am 29. Oktober um 22:28 UTC, das passende Container-Image ghcr.io/paperless-ngx/paperless-ngx:3.4.0 trägt laut Image-Label org.opencontainers.image.version die Version 3.4.0 und wurde am selben Abend gebaut. Die wichtigsten Änderungen:

• Workflows: Titelvorlagen in Workflows können jetzt Werte aus Custom Fields verwenden. Abfragen auf Datumsfelder in Custom Fields unterstützen außerdem relative Angaben.
• OIDC und 2FA: Die neue Variable PAPERLESS_SOCIAL_ACCOUNT_MFA_TRUSTED_AMR legt fest, bei welchen Werten im amr-Claim des ID-Tokens Paperless-ngx die eigene Zwei-Faktor-Abfrage überspringt. Voreingestellt ist mfa. Anmeldungen mit Benutzername und Passwort oder über Provider ohne passenden Wert verlangen weiterhin den Paperless-Code.
• Vorschaubilder: PDF-Thumbnails entstehen jetzt mit pdftoppm aus Poppler plus Pillow. ImageMagick ist als Abhängigkeit komplett entfallen. Die Optionen PAPERLESS_CONVERT_MEMORY_LIMIT und PAPERLESS_CONVERT_TMPDIR sind veraltet und wirkungslos.
• Abhängigkeiten: django-allauth steigt auf 65.20 und oauthlib auf 4.0, laut Pull Request wegen offener oauthlib-Advisories. Außerdem wurden brotli, djangorestframework, filelock, msgpack, setuptools und einige Frontend-Pakete aus Sicherheitsgründen angehoben.
• Fehlerbehebungen: Unter anderem scheiterte der Ordner-Export mit --delete bisher an einer liegen gebliebenen manifest.json.tmp.

Für wen ist das relevant?

Betroffen sind alle Installationen bis einschließlich 3.3.4. Besonders lohnt sich ein genauer Blick für Umgebungen mit Single Sign-on über einen OIDC-Provider wie Authelia, Authentik, Keycloak oder Pocket ID. Laut Dokumentation sendet Authelia den Wert mfa, Pocket ID dagegen phr für Passkeys und otp für Einmalcodes per E-Mail, die ausdrücklich nicht als zweiter Faktor vertraut werden sollen. Keycloak sendet den Claim standardmäßig gar nicht.

Wer große Scans oder Formate wie A0 verarbeitet, profitiert von den Vorschaubildern: Im Pull Request sank die Spitzenlast für ein leeres A0-Blatt in einem Benchmark von 1892 MB auf 25 MB.

Wie dringend ist das Update?

Für den Normalbetrieb reicht ein geplantes Wartungsfenster. Die Sicherheits-Bumps betreffen Bibliotheken, nicht beschriebene Lücken im Paperless-Code. Wer OIDC einsetzt, sollte die Änderung bewusst prüfen: Mit der Voreinstellung mfa entfällt die lokale 2FA für Logins, bei denen der Provider diesen Wert meldet. Das ist gewollt, setzt aber voraus, dass der Provider tatsächlich einen zweiten Faktor erzwingt.

Was sollten Admins jetzt tun?

• Installierte Version prüfen, etwa im Info-Bereich der Weboberfläche oder per docker compose images, und festhalten, ob ein fester Tag oder latest verwendet wird.
• Vor dem Update laut offizieller Doku laufende Verarbeitungen abwarten und sichern, zum Beispiel mit docker compose exec -T webserver document_exporter ../export, zusätzlich Volumes und Datenbank.
• Update im Docker-Weg: docker compose down, Tag auf 3.4.0 setzen oder latest belassen, dann docker compose pull und docker compose up -d.
• Bei OIDC: im Django-Admin unter dem Social Account im Feld id_token nachsehen, welchen amr-Wert der Provider sendet, und PAPERLESS_SOCIAL_ACCOUNT_MFA_TRUSTED_AMR nur mit Werten belegen, die einen echten zweiten Faktor bedeuten.
• Veraltete Variablen PAPERLESS_CONVERT_MEMORY_LIMIT und PAPERLESS_CONVERT_TMPDIR aus Compose- oder Env-Dateien entfernen.

Einordnung für Unternehmen

Paperless-ngx ist in vielen kleinen Unternehmen das Archiv für Rechnungen und Verträge. Version 3.4.0 ist ein solides Funktionsupdate mit spürbarer Entlastung beim Thumbnail-Erzeugen und einer schlankeren Abhängigkeitsliste. Der wichtigste Punkt für Verantwortliche ist die OIDC-Option. Diese spart doppelte Faktorabfragen, verlagert die Verantwortung für den zweiten Faktor aber vollständig zum Identity Provider. Eine kurze Prüfung der Provider-Konfiguration gehört daher zum Update dazu.

Passende Anleitungen auf S-EDV

• Paperless-ngx mit OCR in Docker einrichten
• Pocket ID als OIDC-Provider mit Passkeys betreiben
• Container-Updates kontrolliert erkennen mit Diun und WUD

Quellen

• Paperless-ngx: Release v3.4.0 auf GitHub
• Paperless-ngx: Konfigurationsdokumentation (Stand v3.4.0)
• Paperless-ngx Doku: Administration, Update und Export
• Pull Request 14420: PDF-Thumbnails über Poppler