Identity-and-Access-Management-Software (IAM) im Vergleich

Microsoft Entra ID ist der Cloud-Verzeichnis- und Anmeldedienst von Microsoft und die Basis der Microsoft-Entra-Produktfamilie für Identitäts- und Netzwerkzugriff. Bis 2023 hieß der Dienst Azure Active Directory (Azure AD). Hinter dem Produkt steht die Microsoft Corporation mit Hauptsitz in Redmond im US-Bundesstaat Washington. Microsoft gibt an, dass mehr als 720.000 Organisationen Entra ID einsetzen. Wer Microsoft 365, Azure, Dynamics 365 oder Intune nutzt, hat bereits einen Entra-Mandanten, denn die kostenlose Edition ist in diesen Abonnements enthalten.

Im Kern verwaltet Entra ID Benutzer, Gruppen und Geräte zentral und regelt, wer sich wo anmelden darf. Dazu gehören Single Sign-on für Cloud- und lokale Anwendungen, Multi-Faktor-Authentifizierung, kennwortlose und phishingresistente Anmeldung sowie Self-Service für Kennwörter. Ab dem Tarif P1 kommen bedingter Zugriff (Conditional Access), hybride Identität mit Synchronisierung eines lokalen Active Directory, mandantenübergreifender Zugriff und erweiterte Sicherheits- und Nutzungsberichte hinzu. P2 ergänzt ID Protection mit Risikoerkennung, risikobasierten bedingten Zugriff, Privileged Identity Management für Administratorrechte sowie Standardfunktionen für Berechtigungsverwaltung und Zugriffsüberprüfungen.

Für Identity Governance bietet Microsoft das Add-on Entra ID Governance. Es automatisiert den Zugriffslebenszyklus für Eintritte, Wechsel und Austritte, bringt Lebenszyklus-Workflows und den vollen Funktionsumfang von Privileged Identity Management. Die Benutzerbereitstellung in SaaS-Anwendungen läuft über den Bereitstellungsdienst mit SCIM 2.0. Als HR-Quelle für die eingehende Bereitstellung dokumentiert Microsoft unter anderem Workday und SAP SuccessFactors.

Der Anwendungskatalog umfasst Tausende SaaS-Anwendungen. Für verbreitete Dienste wie Atlassian Cloud, ServiceNow, Slack, Salesforce, die AWS-Konsole und Google Cloud gibt es eigene Anleitungen für Single Sign-on und automatische Bereitstellung. Eigene Apps lassen sich über SAML, OpenID Connect und SCIM anbinden. Für die Anmeldung per Smartphone stellt Microsoft die App Microsoft Authenticator für Android und iOS bereit, die Passkeys, kennwortlose Anmeldung und MFA per Benachrichtigung oder Code unterstützt.

Beim Datenschutz ist der Standort des Mandanten entscheidend. Er wird beim Anlegen festgelegt und lässt sich danach nicht mehr ändern. Für Kunden mit Standort in der EU oder EFTA speichert und verarbeitet Entra ID die meisten Kundendaten innerhalb der EU-Datengrenze. Microsoft dokumentiert Ausnahmen, etwa IP-Adressen oder Telefonnummern, die als betrügerisch erkannt und weltweit gesperrt werden. Eine Speicherung ausschließlich in deutschen Rechenzentren wird für Entra ID nicht angeboten. Entra ID liegt im Prüfumfang der ISO-27001-Zertifizierung und der SOC-2-Typ-2-Berichte von Microsoft. Der SOC-2-Bericht für Microsoft 365 deckt zusätzlich die Kriterien des BSI C5:2020 ab.

Die Preise (Stand 11/2026, netto, pro Benutzer und Monat bei jährlicher Abrechnung) liegen bei 6,10 Euro für P1 und 8,70 Euro für P2. Entra ID Governance kostet 6,10 Euro, die Entra Suite 10,40 Euro und setzt P1 voraus. P1 ist in Microsoft 365 E3 und Business Premium enthalten, P2 in Microsoft 365 E5. Die Testversion läuft einen Monat, verlangt eine Kreditkarte und geht danach automatisch in ein zwölfmonatiges Abonnement über.

Die Grenzen liegen vor allem in der Lizenzierung. Viele Funktionen sind auf P1, P2, Governance und Suite verteilt, und der Funktionsumfang hängt davon ab, welches Microsoft-Paket bereits vorhanden ist. Entra ID ist ein reiner Cloud-Dienst, lokale Verzeichnisse werden nur angebunden. Am meisten profitieren Unternehmen, die ohnehin auf Microsoft 365 setzen.

Okta Workforce Identity ist die Plattform von Okta für die Verwaltung von Mitarbeiteridentitäten und Zugriffen. Das Unternehmen Okta, Inc. hat seinen Hauptsitz in San Francisco und ein Büro in München. Okta versteht sich als herstellerneutraler Identity Provider, der zwischen Verzeichnissen, HR-Systemen und Anwendungen vermittelt, unabhängig davon, ob ein Unternehmen auf Microsoft, Google oder eine gemischte Umgebung setzt. Neben der Workforce-Plattform gehören Auth0 und Okta Customer Identity für Kundenidentitäten zum Portfolio, die hier nicht betrachtet werden.

Die Grundlage bilden Single Sign-on, Multi-Faktor-Authentifizierung und Universal Directory. Universal Directory führt Benutzerprofile aus Active Directory, LDAP und HR-Systemen in einem Cloud-Verzeichnis zusammen und kann Daten aus mehreren HR-Plattformen gleichzeitig übernehmen, etwa Workday, BambooHR und SAP SuccessFactors. Über eine LDAP-Schnittstelle können sich ältere lokale Anwendungen direkt gegen das Okta-Verzeichnis authentifizieren. Adaptive MFA bewertet Anmeldungen nach Risiko und unterstützt phishingresistente Verfahren wie Okta FastPass, Face ID und Touch ID. Für Smartphones stellt Okta die eigene App Okta Verify für iOS und Android bereit.

Lifecycle Management automatisiert Onboarding, Offboarding und Profiländerungen. Das HR-System dient als führende Quelle, Änderungen werden per SCIM an nachgelagerte Anwendungen wie Slack, Google Workspace oder Salesforce weitergegeben. Mit Identity Governance kommen Zugriffsanfragen und Zugriffsüberprüfungen hinzu, mit Privileged Access die Verwaltung privilegierter Zugänge zu Servern, SaaS-Apps und Active-Directory-Konten. Workflows ermöglichen eigene Automatisierungen ohne Code. In den höheren Suites folgen Device Access für die Anmeldung am Rechner, Identity Threat Protection, Identity Security Posture Management, API Access Management und Access Gateway, das lokale Anwendungen ohne Codeänderung an Okta anbindet.

Das Okta Integration Network umfasst mehr als 8.000 vorgefertigte Integrationen, darunter Google Workspace, Salesforce, Slack, Zoom, Box, Dropbox Business, Zendesk und HubSpot. Für eigene Anwendungen und Automatisierungen stehen REST-APIs bereit, etwa die Users API.

Okta arbeitet mit einer Zellen-Architektur. Kunden können lokale Zellen erwerben, Standorte gibt es in den USA, in EMEA, Japan, Australien, Kanada und Indien. Die EU-Zelle wird bei Amazon Web Services in Deutschland und Irland betrieben. Eine Garantie, dass Daten ausschließlich in Deutschland liegen, gibt es damit nicht, und der Ort der Verarbeitung kann je nach Dienst abweichen. Im Trust Center nennt Okta unter anderem ISO/IEC 27001:2022, ISO/IEC 27017 und 27018, SOC 2, BSI C5, TISAX, CSA STAR Level 2 und FedRAMP High, ohne die Nachweise einzelnen Produkten zuzuordnen.

Die Preise (Stand 11/2026) gelten pro Benutzer und Monat in US-Dollar bei jährlicher Abrechnung. Starter kostet 6 US-Dollar und enthält SSO, MFA, Universal Directory und fünf Workflows. Core Essentials liegt bei 14 US-Dollar, Essentials bei 17 US-Dollar mit Adaptive MFA, Lifecycle Management, Access Governance, Privileged Access und 50 Workflows. Professional und Enterprise gibt es nur auf Anfrage. Für Workforce Identity gilt ein Mindestvertragswert von 1.500 US-Dollar pro Jahr. Eine 30-tägige Testversion ist verfügbar, ein dauerhaft kostenloser Tarif für Mitarbeiteridentitäten nicht.

Okta passt zu Unternehmen mit vielen SaaS-Anwendungen und gemischten IT-Landschaften, die einen neutralen Identity Provider suchen. Kleine Teams stoßen auf den Mindestumsatz, und viele Sicherheits- und Governance-Funktionen stecken erst in den teureren Suites oder kosten als Add-on extra.

JumpCloud ist eine Cloud-Plattform, die Identitäts-, Zugriffs- und Geräteverwaltung in einer Konsole bündelt. Das Unternehmen JumpCloud Inc. stammt aus Colorado, der Firmensitz liegt in Louisville. Der Ansatz unterscheidet sich von reinen Identity Providern: JumpCloud versteht sich als Cloud-Verzeichnis, das ein lokales Active Directory ersetzen oder ergänzen kann und neben Benutzerkonten auch Rechner, Netzwerkzugänge und Server verwaltet. Damit richtet sich das Angebot vor allem an kleine und mittlere Unternehmen sowie an IT-Dienstleister, die keine eigene Domänenstruktur mehr betreiben wollen.

Herzstück ist das Cloud Directory. Darauf bauen Single Sign-on für Anwendungen per SAML 2.0 und OpenID Connect, Multi-Faktor-Authentifizierung und die kennwortlose Anmeldung JumpCloud Go auf. Für ältere Systeme stellt JumpCloud Cloud LDAP und Cloud RADIUS bereit, etwa für WLAN, VPN oder lokale Anwendungen. Bedingter Zugriff nach Zero-Trust-Prinzip, ein Passwort-Tresor, eine eigene PKI und Directory Insights für Protokolle ergänzen den Identitätsteil. Für MFA per Smartphone liefert JumpCloud die eigene App JumpCloud Protect für iOS und Android mit Push-Bestätigung und Einmalcodes.

Beim Lebenszyklus von Benutzern automatisiert JumpCloud das Anlegen und Entfernen von Konten per SCIM, zum Beispiel in Slack, Salesforce, AWS, GitHub und Atlassian. HR-Systeme lassen sich über vorgefertigte Konnektoren anbinden, darunter BambooHR, Personio, Workday, HiBob und Namely, weitere Systeme über eine offene API. Bestehende Verzeichnisse wie Active Directory, Google Workspace und Microsoft 365 beziehungsweise Entra ID können synchronisiert werden. Zugriffsanfragen und Zugriffszertifizierungen sind als eigene Module buchbar, Privileged Access Management bietet JumpCloud separat über den Vertrieb an.

Die Geräteverwaltung ist ein Alleinstellungsmerkmal im Vergleich zu klassischen IAM-Lösungen. JumpCloud bietet plattformübergreifendes Mobile Device Management, Patch-Management, Softwareverteilung, Fernzugriff, Asset Management und System Insights. Ein Modul für SaaS-Management erkennt genutzte Anwendungen und Lizenzen. Für Automatisierungen steht die JumpCloud API 2.0 zur Verfügung.

Für europäische Kunden betreibt JumpCloud ein EU-Rechenzentrum bei AWS in Frankfurt am Main. Personenbezogene Kundendaten und Transaktionsdaten werden dort im Ruhezustand gespeichert, alle Produktfunktionen sind verfügbar. Die Wahl steht allerdings nur neuen Kunden mit Sitz in der EU bei der Registrierung offen, und Daten können gemäß Auftragsverarbeitungsvertrag auch außerhalb der EU verarbeitet werden, abgesichert über Standardvertragsklauseln. JumpCloud nennt eine Zertifizierung nach ISO 27001 und eine SOC-2-Typ-2-Prüfung.

Die Preise (Stand 11/2026) gelten pro Benutzer und Monat in US-Dollar, zuzüglich Umsatzsteuer. Device Management kostet 9 US-Dollar bei jährlicher und 11 US-Dollar bei monatlicher Zahlung. Das Paket SSO mit MFA und Passwort-Manager liegt bei 11 beziehungsweise 13 US-Dollar, Device Identity Management bei 13 beziehungsweise 15 US-Dollar. Einzelne Funktionen sind ab 3 US-Dollar jährlich oder 4 US-Dollar monatlich einzeln buchbar. Die Pakete Platform Essentials (bis 300 Benutzer), Platform und Platform Prime gibt es nur über den Vertrieb. Eine 30-tägige Testversion mit vollem Funktionsumfang ist verfügbar, ein dauerhaft kostenloser Tarif wird auf der Preisseite nicht angeboten.

JumpCloud lohnt sich besonders für Organisationen, die Identitäten und Geräte gemeinsam verwalten wollen und kein Active Directory mehr pflegen möchten. Wer dagegen umfangreiche Identity Governance oder sehr große Konzernstrukturen abbilden will, findet bei spezialisierten Anbietern mehr Tiefe. Die Kombination aus Paketen und Einzelfunktionen macht den Preisvergleich zudem aufwendig.

SailPoint Identity Security Cloud ist die SaaS-Plattform des US-Anbieters SailPoint Technologies für Identity Governance and Administration, kurz IGA. Sie beantwortet die Kernfrage jeder Berechtigungsprüfung: Wer hat worauf Zugriff, und sollte das so sein? Das Unternehmen wurde 2005 gegründet, hat seinen Hauptsitz in Austin, Texas, und ist seit 2025 wieder an der NASDAQ notiert. SailPoint nennt über 3.000 Mitarbeitende, mehr als 3.000 Kunden und einen wiederkehrenden Jahresumsatz von über einer Milliarde US-Dollar. In Deutschland ist die SailPoint Technologies GmbH tätig.

Die Identity Security Cloud läuft als mandantenfähige SaaS-Lösung und gliedert sich in vier Kernmodule. Lifecycle Management automatisiert Eintritte, Versetzungen und Austritte, legt Konten an und entzieht Rechte wieder. Access Modeling nutzt KI, um aus vorhandenen Berechtigungen Rollen vorzuschlagen und zu pflegen. Compliance Management setzt Zugriffsrichtlinien durch, steuert Zertifizierungskampagnen und liefert Nachweise für Audits. Analytics wertet Zugriffsrisiken aus und markiert Identitäten, die von ihrer Vergleichsgruppe abweichen. Für kritische Anwendungen wie SAP oder Oracle-ERP gibt es Konnektoren mit feingranularer Berechtigungsmodellierung und Regeln zur Funktionstrennung (SoD).

Angebunden werden Zielsysteme über einen großen Konnektor-Katalog. Darin stehen unter anderem Microsoft Active Directory, Microsoft Entra, Microsoft Teams, SharePoint Online, Google Workspace, SAP S/4HANA Cloud, SAP SuccessFactors, Workday, Personio, Salesforce, ServiceNow, Okta und Amazon Web Services. Für eigene Anwendungen unterstützt SailPoint Standards wie SCIM, REST und JDBC. Eine dokumentierte REST-API steht für Automatisierung und eigene Integrationen bereit.

Hosting und Datenschutz sind für deutsche Unternehmen gut dokumentiert. Die Identity Security Cloud läuft auf Amazon Web Services, der Kunde wählt die Hosting-Region zu Beginn des Vertrags. Deutschland gehört zu den wählbaren AWS-Standorten, daneben unter anderem USA, Kanada, Großbritannien und Japan (Stand 11/2026). Die Unterauftragsverarbeiter sind öffentlich gelistet. Bei den Nachweisen nennt SailPoint ISO 27001:2022, ISO 27017, ISO 27018 und ISO 27701, SOC 1, SOC 2 und SOC 3, FedRAMP sowie einen BSI-C5-Bericht, den Kunden und qualifizierte Interessenten unter Geheimhaltungsvereinbarung erhalten.

Preise veröffentlicht SailPoint nicht. Die Plattform wird in aufeinander aufbauenden Suiten verkauft: Standard, Business und Business Plus für menschliche Identitäten sowie Agentic Business und Agentic Business Plus, die zusätzlich nicht menschliche Identitäten wie KI-Agenten, Bots und Maschinenkonten abdecken. Lizenziert wird pro menschlicher Identität, in den Agentic-Suiten ist pro Person ein Kontingent an nicht menschlichen Identitäten enthalten. Zusatzmodule wie Password Management, Non-Employee Risk Management, Data Access Security oder Access Risk Management kommen je nach Suite hinzu. Ein Angebot gibt es nur über den Vertrieb nach einer Demo.

Grenzen gibt es auch. SailPoint ist eine Governance-Plattform und kein Identity Provider: Single Sign-on und Multi-Faktor-Authentifizierung für Mitarbeitende laufen weiter über Systeme wie Microsoft Entra ID oder Okta, die SailPoint anbindet und steuert. Die Einführung ist ein Projekt mit Rollenmodell, Datenbereinigung und Konnektor-Konfiguration, das meist mit Partnern oder SailPoint-Services umgesetzt wird. Eine kostenlose Testversion bietet SailPoint nicht an, nur Produkttouren und Demos. Die Identity Security Cloud ist ein reiner SaaS-Dienst, wer selbst betreiben will, muss das separate Produkt IdentityIQ prüfen.

Sinnvoll ist SailPoint für Konzerne und große Mittelständler mit vielen Anwendungen, regulatorischem Druck aus Bankenaufsicht, NIS2 oder SOX und dem Wunsch, Zugriffsprüfungen und Rollen konzernweit zu vereinheitlichen. Für kleine Unternehmen mit überschaubarer IT ist der Aufwand meist zu hoch.

Ping Identity ist eine Plattform für Identity and Access Management, die Unternehmen für Mitarbeitende, Partner, Kunden und zunehmend auch für nicht menschliche Identitäten wie KI-Agenten einsetzen. Im Workforce-Bereich deckt sie Single Sign-on, Multi-Faktor-Authentifizierung, passwortlose Anmeldung, Verzeichnisdienste, Provisioning und Identity Governance ab. Der Hauptsitz liegt in Denver im US-Bundesstaat Colorado. Nach der Übernahme von ForgeRock durch Thoma Bravo wurde ForgeRock in Ping Identity integriert, die frühere ForgeRock Identity Cloud heißt heute PingOne Advanced Identity Cloud.

Die Plattform gibt es in drei Betriebsmodellen. PingOne ist der mandantenfähige Cloud-Dienst mit automatischen Updates. PingOne Advanced Identity Cloud ist eine Single-Tenant-Cloud mit dedizierter Infrastruktur, die Ping selbst betreibt. Ping Advanced Identity Software läuft selbstverwaltet in privaten, öffentlichen, hybriden oder lokalen Umgebungen. Dazu kommen Produkte wie PingFederate für Föderation und PingDirectory als Verzeichnis. Für Behörden gibt es eine separate FedRAMP-autorisierte Umgebung.

Bei der Anmeldung setzt Ping auf offene Standards: SAML 2.0, OpenID Connect und OAuth 2.0, dazu Kerberos, LDAP-Gateways und FIDO2 mit Passkeys. Die MFA-Lösung PingID bringt eine eigene Mobile App für iOS und Android, eine Desktop-App und einen Offline-Modus mit. Adaptive Richtlinien werten Signale wie Gerätezustand, Standort, IP-Adresse oder die Zeit seit der letzten Anmeldung aus und fordern nur bei erhöhtem Risiko einen zweiten Faktor an. Für die passwortlose Windows-Anmeldung gibt es eine Anbindung an Microsoft Entra ID.

Für das Lifecycle-Management bietet PingOne Provisioning-Verbindungen zu Systemen wie Microsoft Entra ID, Google, Salesforce, Workday, ServiceNow, Slack, Box, Dropbox, GitHub EMU oder Snowflake sowie generische SCIM- und REST-Konnektoren. Ergänzend lassen sich modulare Dienste dazubuchen: Orchestration für No-Code-Abläufe, Protect für Risikoerkennung, Verify für Identitätsprüfung per Ausweis und Biometrie, Authorize für feingranulare Berechtigungen und Privilege für Just-in-time-Zugriffe. Governance-Funktionen umfassen Zugriffsanfragen, Access Reviews und die Prüfung von Funktionstrennung. Administratoren und Entwickler steuern die Plattform über APIs, eine CLI und eine MCP-Schnittstelle.

Zum Datenschutz: PingOne-Organisationen werden einer Geografie zugeordnet, für Europa gibt es eigene Endpunkte unter pingone.eu. PingOne Advanced Identity Cloud kann unter anderem in Frankfurt, Paris, den Niederlanden, Belgien, Finnland, London und Zürich betrieben werden, und bei PingOne Advanced Services lassen sich AWS-Regionen in Deutschland oder Irland wählen. Ping Identity ist nach ISO 27001:2022 inklusive ISO 27017 und ISO 27018 zertifiziert, verfügt über einen SOC-2-Type-2-Bericht, ISO 22301 und CSA STAR Level 2 und nimmt an TISAX teil (Stand 11/2026).

Preise veröffentlicht Ping nicht. Die Kosten richten sich nach Anzahl und Art der Identitäten (Workforce, Kunden, B2B oder Agenten), dem Betriebsmodell und den gewählten Diensten, ein Angebot gibt es nur über den Vertrieb. Eine kostenlose Testversion ohne Vertragsbindung ist verfügbar.

Die Grenzen: Ping zielt klar auf mittlere und große Organisationen mit komplexen Anforderungen. Die Vielzahl an Produkten, Diensten und Betriebsmodellen macht die Auswahl erklärungsbedürftig, und ohne Preisliste lassen sich die Kosten vorab kaum abschätzen. Für kleine Teams, die nur SSO und MFA für eine Handvoll SaaS-Apps brauchen, ist die Plattform meist überdimensioniert.

Omada Identity ist eine Plattform für Identity Governance and Administration (IGA) des dänischen Herstellers Omada A/S mit Hauptsitz in Kopenhagen. In Deutschland ist das Unternehmen mit der Omada GmbH in Frankfurt am Main vertreten, die Website gibt es auch auf Deutsch. Omada richtet sich an mittlere und große Organisationen, die Benutzerkonten und Zugriffsrechte über viele Systeme hinweg steuern und gegenüber Prüfern nachweisen müssen.

Die Besonderheit ist die Wahl des Betriebsmodells. Omada Identity Cloud ist der SaaS-Dienst auf Microsoft Azure. Omada Identity Cloud Private bringt dieselbe Plattform in den eigenen Azure-Tenant des Kunden, in der Region seiner Wahl, ohne dauerhaften Zugriff von Omada. Omada Identity ist die On-Premises-Variante für den Betrieb im eigenen Rechenzentrum. Alle drei Varianten bieten den gleichen Funktionsumfang.

Funktional deckt Omada den kompletten IGA-Umfang ab. Identitätsdaten werden aus HR-Systemen wie SAP HCM, SAP SuccessFactors oder Workday übernommen, bereinigt und zu einem einheitlichen Datenmodell zusammengeführt, auch wenn die Datenqualität anfangs nicht perfekt ist. Das Lifecycle Management steuert Eintritte, Wechsel und Austritte samt Sonderfällen wie Elternzeit oder dem Wechsel vom Externen zum Mitarbeitenden. Provisioning läuft automatisch, teilautomatisch oder über Tickets im Service-Desk. Ein Self-Service-Portal nimmt Zugriffsanträge entgegen, mit mehrstufigen Genehmigungen und SoD-Prüfung schon während der Anfrage. Ein Role-Mining-Werkzeug leitet Rollen aus realen Berechtigungen ab, Richtlinien regeln Zuweisung, Einschränkungen und Funktionstrennung.

Für Audits bietet Omada konfigurierbare Rezertifizierungskampagnen für Konten, Berechtigungen und Rollen, über 50 Standardberichte, Compliance-Dashboards zu verwaisten Konten oder nicht genehmigten Zugriffen sowie Risikobewertungen für Systeme, Ressourcen und Identitäten. KI-Funktionen geben Empfehlungen für Anträge und Rollenzuweisungen, ein KI-Assistent versteht natürliche Sprache. Mit Omada Agent Governance lassen sich auch KI-Agenten erfassen und Verantwortlichen zuordnen. Über eine Model-Context-Protocol-Schnittstelle können KI-Werkzeuge kontrolliert auf Identitätsdaten zugreifen.

Das Connectivity Directory listet rund 150 Konnektoren, darunter Microsoft Active Directory, Microsoft Entra ID, Exchange Online, SharePoint, Microsoft Teams, Microsoft SQL Server, ServiceNow, Workday, BambooHR, Google Workspace und Amazon Web Services. Dazu kommen Konnektoren für SAP, Salesforce und Oracle sowie SDKs und APIs für eigene Anbindungen. Das Cloud-Management-Portal steuert Upgrades, Konfiguration und Wiederherstellung per Browser oder API.

Zur Sicherheit nennt Omada eine Zertifizierung nach ISO 27001:2022 sowie SOC 2 Type 2, dessen Bericht Kunden auf Anfrage erhalten, und einen öffentlichen SOC-3-Bericht. Bei der Identity Cloud kann der Kunde die EU als Azure-Region wählen, Vertragspartner für das Hosting ist dann Microsoft Ireland Operations. Eine Hosting-Zusage speziell für Rechenzentren in Deutschland findet sich auf der Website nicht. Wer Daten zwingend in Deutschland halten muss, kann auf Cloud Private im eigenen Azure-Tenant oder den On-Premises-Betrieb ausweichen. Ein BSI-C5-Testat wird nicht genannt.

Preise veröffentlicht Omada nicht, Angebote gibt es nur über den Vertrieb. Das SaaS-Abonnement umfasst unter anderem 99,9 Prozent Verfügbarkeit, 24/7-Support für 2nd und 3rd Level, Test- und Produktivumgebung, unbegrenzt viele angebundene Systeme sowie Backup und Disaster Recovery. Für die Einführung bietet Omada ein Accelerator-Paket mit einer zwölfwöchigen Implementierung zu Festkosten an.

Für kleine Teams ist Omada nicht gedacht. Es ist keine Single-Sign-on-Lösung für Mitarbeitende, sondern steuert Konten und Rechte in anderen Systemen. Die Einführung bleibt trotz No-Code-Konfiguration ein Projekt mit Datenbereinigung und Rollenmodell, und ohne öffentliche Preise ist ein Vergleich nur über Angebote möglich.

tenfold ist eine Software für Identity Governance und Berechtigungsmanagement der tenfold Software GmbH mit Sitz in Wien. Der Hersteller ist seit mehr als zehn Jahren im IAM-Markt aktiv, nennt über 2.000 Kunden weltweit und zielt klar auf den Mittelstand, also auf Organisationen, denen klassische IGA-Suiten zu groß und zu teuer sind. Website, Oberfläche und Wissensartikel sind auf Deutsch verfügbar.

Im Mittelpunkt steht die automatische Verwaltung von Benutzern und Zugriffsrechten ohne Scripting. tenfold wird über eine grafische Oberfläche konfiguriert und bringt fertige Plugins für die angebundenen Systeme mit. Typischer Einstieg ist das lokale Active Directory mit den Fileservern: tenfold legt Benutzer beim Eintritt an, passt Gruppen und Ordnerrechte bei Abteilungswechseln an, verwaltet Basisordner und entzieht beim Austritt alle Zugänge. Die Rechtevergabe läuft rollenbasiert, bei einem Rollenwechsel werden die Berechtigungen automatisch aktualisiert.

Dazu kommen Self-Service-Anträge mit Freigabe-Workflows, über die Mitarbeitende Zugriffe anfordern und Passwörter zurücksetzen, sowie ein zentrales Berechtigungs-Reporting, das zeigt, wer worauf Zugriff hat, auch auf unstrukturierte Daten. Regelmäßige und anlassbezogene User Access Reviews lassen Verantwortliche Rechte rezertifizieren. Funktionstrennung (Separation of Duties) wird über Regeln durchgesetzt. Auditing und Event Logs werten Änderungen in Echtzeit aus, um verdächtige Ereignisse zu erkennen. Mit der Cloud-Sharing Governance lassen sich in Microsoft 365 geteilte Daten nachvollziehen und rezertifizieren.

Welche Systeme angebunden werden können, hängt von der Edition ab. Essentials deckt Active Directory und Fileserver ab. Essentials 365 ergänzt Entra ID, Exchange Online, Teams, SharePoint Online und OneDrive. Enterprise bringt Plugins für Exchange Server, HCL Notes, Webex, Zimbra, Microsoft SQL Server, Helpdesk-Systeme wie Jira, TOPdesk, ServiceDesk Plus und Matrix42, HR-Software wie Personio, SAP SuccessFactors und Workday, den SAP ERP User Lifecycle, Microsoft Dynamics NAV sowie einen Generic Connector, eine REST-API und Scripting über PowerShell, Groovy und SSH.

Beim Betrieb unterscheidet sich tenfold deutlich von Cloud-Anbietern. Die Software läuft ausschließlich on-premises beim Kunden und ist keine SaaS-Plattform. Benötigt werden ein Windows Server Standard und eine Datenbank auf Microsoft SQL Server oder Oracle Database. Damit bleiben alle Identitäts- und Berechtigungsdaten in der eigenen Infrastruktur, ein Hosting-Standort des Herstellers spielt keine Rolle. Installation und Inbetriebnahme übernehmen geschulte Consultants der Vertriebspartner. tenfold ist nach ISO 27001 zertifiziert und als Trusted Application der TÜV Trust IT ausgezeichnet.

Die Preise sind teilweise öffentlich. Auf der englischen Preisseite stehen Startpreise von 0,90 US-Dollar für Essentials und 1,25 US-Dollar für Essentials 365, jeweils pro verwalteter Identität und Monat, bei einem Mindestumfang von 100 Benutzern im Jahresabo (Stand 11/2026). Der tatsächliche Preis je Benutzer hängt von der Lizenzmenge ab und kann höher liegen. Enterprise gibt es nur auf Anfrage. Die kostenlose Community Edition deckt bis zu 150 Benutzer mit allen Funktionen und Plugins ab, Support gibt es dort nur über das Community-Forum. Ein kostenloser Test im eigenen Netzwerk lässt sich vereinbaren.

Wichtig für die Einordnung: tenfold ist keine Plattform für Single Sign-on oder Multi-Faktor-Authentifizierung. Die Anmeldung an Zielsystemen übernimmt tenfold nicht, für die eigene Oberfläche werden aber MFA per Authenticator-App und SSO über Kerberos oder Entra ID unterstützt. Wer eine Cloud-Lösung ohne eigenen Server sucht, ist hier falsch.

OneLogin ist eine cloudbasierte Lösung für Identity and Access Management, mit der Unternehmen die Anmeldung ihrer Mitarbeitenden an Cloud- und lokalen Anwendungen zentral steuern. Im Mittelpunkt stehen Single Sign-on, Multi-Faktor-Authentifizierung, ein Cloud-Verzeichnis und die automatische Verwaltung von Benutzerkonten über den gesamten Lebenszyklus. OneLogin gehört heute zu One Identity, einem Anbieter für Identity Security mit Hauptsitz in Cork, Irland, der zusätzlich Lösungen für Identity Governance, Privileged Access Management und Active-Directory-Verwaltung anbietet.

Für die Anmeldung stellt OneLogin einen App-Katalog mit mehr als 6.000 vorintegrierten Anwendungen bereit, darunter Salesforce, Workday, Microsoft 365, Slack, ServiceNow, Box, Dropbox, Jira und GitHub. Unterstützt werden formularbasierte Anmeldung, SAML und OpenID Connect, für nicht gelistete Anwendungen gibt es generische Konnektoren. Eigene Apps können Provisioning über SCIM anbinden. Die MFA bietet TOTP und Hardware-Token, E-Mail, SMS, WebAuthn mit Windows Hello oder Touch ID, Passkeys sowie die eigene Authenticator-App OneLogin Protect. Fremdfaktoren wie YubiKey oder Duo lassen sich ebenfalls einbinden.

Beim Lifecycle-Management legt OneLogin Konten automatisch an und entzieht sie wieder, steuert Berechtigungen über Rollen und Regeln und synchronisiert Benutzer mit Active Directory. Ab dem Business-Tarif kommen die Synchronisation mit HR-Systemen wie Workday, UKG, Namely und BambooHR, rollenbasierte Zugriffskontrolle, die risikobasierte Authentifizierung SmartFactor, RADIUS für WLAN und VPN sowie ein virtueller LDAP-Endpunkt in der Cloud hinzu. Im Enterprise-Tarif sind LDAP-Synchronisation, delegierte Administration, mehrere Marken, API Access Management und OneLogin Access für Single Sign-on zu lokalen und selbst entwickelten Anwendungen enthalten. Für Entwickler gibt es APIs für Authentifizierung, Benutzer- und App-Verwaltung sowie SDKs für Python, Java, .NET, Node.js, Go und weitere Sprachen.

Zu Sicherheit und Datenschutz: OneLogin verfügt über SOC-2-Type-2-, SOC-1-Type-2- und SOC-3-Berichte, ein ISO-27001:2022-Zertifikat mit ISO 27017 und ISO 27018 sowie eine PCI-DSS-Bestätigung. Für europäische Kunden gibt es eine eigene EU-Instanz, die bei AWS in Rechenzentren in Deutschland und Irland betrieben wird. Ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln ist verfügbar, als Datenschutzbeauftragter fungiert ein externer Berater mit Sitz in der EU (Stand 11/2026).

Die Preise sind für die Workforce-Tarife öffentlich und werden in US-Dollar pro Nutzer und Monat angegeben: Basic kostet 3 US-Dollar, Essentials 6 US-Dollar und Business 10 US-Dollar. Enterprise wird individuell kalkuliert. OneLogin Workflows lässt sich für 2 US-Dollar pro Nutzer und Monat ergänzen. Eine kostenlose Testphase von 30 Tagen ist verfügbar.

Die Grenzen: Der günstige Basic-Tarif beschränkt Sicherheitsrichtlinien und Lifecycle-Regeln auf jeweils fünf und enthält keine Synchronisation mit Entra ID oder Google Workspace. Adaptive Authentifizierung, HR-Anbindung, RADIUS und Desktop-MFA gibt es erst ab Business, LDAP-Synchronisation und die Absicherung lokaler Anwendungen nur in Enterprise. OneLogin ist ein reiner Cloud-Dienst, eine selbst betriebene Variante gibt es nicht. Eine vollständige Identity-Governance-Lösung mit Rezertifizierungen gehört nicht zum Kernprodukt, dafür verweist One Identity auf separate Produkte.

Keycloak ist eine Open-Source-Lösung für Identity and Access Management, mit der Organisationen Anmeldung und Berechtigungen für ihre Anwendungen und Dienste zentral steuern. Anwendungen müssen sich nicht mehr selbst um Login-Formulare, Passwortspeicherung oder Sitzungen kümmern, sondern delegieren die Authentifizierung an Keycloak. Das Projekt steht unter der Apache-Lizenz 2.0 und ist ein Incubation-Projekt der Cloud Native Computing Foundation unter dem Dach der Linux Foundation. Die aktuelle Hauptversion ist Keycloak 26, die neueste Version 26.8.2 erschien im November 2026.

Zu den Kernfunktionen gehören Single Sign-on und Single Sign-out über alle angebundenen Anwendungen, Identity Brokering zu externen OpenID-Connect- und SAML-2.0-Identitätsanbietern sowie Social Login über Google, GitHub, Microsoft, Facebook, LinkedIn, GitLab, Bitbucket und weitere Netzwerke. Über User Federation bindet Keycloak bestehende LDAP- und Active-Directory-Verzeichnisse an, Kerberos wird ebenfalls unterstützt. Eigene Benutzerspeicher wie relationale Datenbanken lassen sich über Erweiterungen anschließen.

Bei der Authentifizierung bietet Keycloak Passkeys, WebAuthn, Wiederherstellungscodes und Einmalpasswörter per TOTP oder HOTP, die sich mit Apps wie FreeOTP oder Google Authenticator nutzen lassen. Hinzu kommen X.509-Zertifikate, Step-up-Authentifizierung und frei konfigurierbare Authentifizierungsabläufe. Eine eigene Authenticator-App bringt das Projekt nicht mit. Unterstützte Protokolle sind OpenID Connect, OAuth 2.0 und SAML 2.0, darunter auch Device Authorization Grant, CIBA, Pushed Authorization Requests und DPoP.

Für die Verwaltung gibt es eine Admin-Konsole, eine Account-Konsole für Nutzer zur Pflege von Profil, Passwort, Zwei-Faktor-Einstellungen und Sitzungen sowie eine Admin REST API. In der aktuellen Version stellt Keycloak zusätzlich eine SCIM-Schnittstelle bereit, über die HR-Systeme oder Governance-Plattformen Benutzer und Gruppen anlegen und pflegen können. Mit Organizations lassen sich Kunden oder Geschäftspartner in einem Realm getrennt verwalten, was B2B-Szenarien abdeckt. Feingranulare Autorisierungsdienste ergänzen die rollenbasierte Rechtevergabe. Login-Seiten und E-Mails sind über Themes anpassbar, eigene Erweiterungen entstehen über Service Provider Interfaces.

Keycloak wird selbst betrieben: als ZIP- oder TAR-Distribution auf Basis von Quarkus, als Container-Image für Docker, Podman, Kubernetes und OpenShift oder über den Keycloak Operator. Benutzer-, Client- und Realm-Daten liegen in einer relationalen Datenbank nach Wahl, Clustering sorgt für Skalierung und Ausfallsicherheit. Wo die Daten gespeichert werden, entscheidet damit allein der Betreiber, ein Betrieb in Deutschland oder in der EU ist problemlos möglich, wird vom Projekt aber nicht als Dienst angeboten.

Die Software ist kostenlos. Wer kommerziellen Support benötigt, kann auf das Red Hat build of Keycloak zurückgreifen, eine von Red Hat gepflegte und unterstützte Distribution, die Red Hat Single Sign-On abgelöst hat. Konditionen dafür vergibt Red Hat im Rahmen eigener Subskriptionen.

Die Grenzen: Keycloak ist ein Baukasten für Entwickler und Plattformteams. Betrieb, Updates, Hochverfügbarkeit, Backups und Härtung liegen vollständig in der eigenen Verantwortung. Einen Katalog mit vorkonfigurierten SaaS-Anwendungen wie bei kommerziellen Cloud-Diensten gibt es nicht, jede Anwendung wird als Client per OIDC oder SAML eingerichtet. Ausgehendes Provisioning in Drittanwendungen, Access Reviews und Rezertifizierungen gehören nicht zum Funktionsumfang. Zertifizierungen wie ISO 27001 oder SOC 2 gelten nicht für die Software selbst, sondern müssen für den eigenen Betrieb nachgewiesen werden.