Corma

Corma ist eine Plattform aus Paris, die zwei Aufgaben zusammenführt, die in vielen Unternehmen getrennt laufen: Software-Asset-Management für SaaS-Lizenzen und Verträge sowie Identity Governance, also die Frage, wer auf welche Anwendung zugreifen darf. SaaS-Management und Zugriffsverwaltung liegen damit auf einer Plattform. Hinter dem Produkt steht die Corma SAS mit Sitz in Paris und den Gründern Héloïse Rozès (CEO), Samuel Bismut (CTO) und Nikolai Fomm (COO). Eine deutsche Gesellschaft gibt es nicht. Die Website ist auch auf Deutsch verfügbar, die Produktoberfläche selbst gibt es nur auf Englisch.

Der Einstieg läuft über den Identity Provider. Corma verbindet sich mit Google Workspace, Microsoft Entra ID oder Okta und liest daraus Nutzer und angebundene Apps. Eine Browser-Erweiterung für Chrome, Edge, Firefox und Safari erkennt zusätzlich Anwendungen, die Mitarbeitende ohne Freigabe nutzen, also Shadow IT und KI-Tools. Daraus entsteht ein Verzeichnis aller Apps mit Nutzern, Rollen und Verantwortlichen. Für Anwendungen ohne passende Schnittstelle setzt Corma browserbasierte Agenten ein, die Daten direkt aus den Admin-Oberflächen der SaaS-Tools lesen und dort auch Konten anlegen oder entfernen können. Insgesamt nennt Corma über 800 Integrationen.

Auf der Kostenseite bündelt Corma Verträge und Lizenzen zentral, zeigt ungenutzte Seats und erinnert an Verlängerungen. Ab dem Essential-Tarif kommen Finanz- und HR-Integrationen hinzu, ein Ausgaben-Dashboard sowie ein Scanner, der Rechnungen und Verträge per OCR ausliest und Lieferanten zuordnet.

Für IT und Security liegt der Schwerpunkt auf dem Lebenszyklus von Zugängen. Im Pro-Tarif legt Corma beim Onboarding automatisch Konten an und entzieht sie beim Offboarding wieder, auch bei Apps ohne API. Mitarbeitende fordern Zugänge über einen internen App-Store an, Freigaben laufen über Genehmigungsflüsse, Slack- oder Teams-Bots und Tickets. Dazu kommen automatisierte Access Reviews, prüfungsfertige Berichte als PDF oder CSV, das Widerrufen von Zugriffstoken und die Durchsetzung minimaler Rechte nach dem Least-Privilege-Prinzip. Auch nicht menschliche Identitäten wie Service-Accounts, API-Tokens und OAuth-Freigaben werden ab Pro erkannt. Corma ersetzt dabei keinen Identity Provider, sondern setzt als Governance-Schicht darauf auf.

Zur Sicherheit ist Corma nach ISO/IEC 27001:2022 zertifiziert, verfügt über SOC 2 und arbeitet DSGVO-konform. Die Daten liegen bei Amazon Web Services in der Region Paris (eu-west-3) und werden bei der Übertragung und im Ruhezustand verschlüsselt.

Der Einstieg ist kostenlos: Der Freemium-Tarif deckt bis zu 10 Nutzer und 10 Apps ab, mit Anbindung des Identity Providers, Browser-Erweiterung, App-Store und Lizenzübersicht. Zum Testen lässt er sich ohne Zeitlimit nutzen, eine separate Testphase der Bezahltarife gibt es nicht. Der Essential-Tarif kostet ab 3 € pro Nutzer und Monat, Pro und Enterprise gibt es auf Anfrage. Bezahlt wird per Karte oder Überweisung.

Corma passt zu wachsenden Unternehmen und dem Mittelstand, deren IT-Team Lizenzkosten senken und Zugänge für ISO-27001- oder SOC-2-Audits nachweisbar steuern will, ohne eine schwere IGA-Suite einzuführen. Eine mobile App gibt es nicht, gearbeitet wird im Browser. Wer eine reine Single-Sign-on-Lösung oder einen Passwort-Manager sucht, ist hier falsch.