CustomerIdentity.
Customer Identity verwaltet Registrierung, Anmeldung und Einwilligungen von Kunden, Partnern oder Bürgern für digitale Dienste. Sie trennt externe Identitäten, Mandanten und Datenschutzanforderungen vom internen Workforce-IAM.
Gezielt
einsetzen.
Externe Identitäten so gestalten, dass Produktzugang, Datenschutz und Mandantentrennung zusammenpassen.
CIAM ist nicht einfach SSO für Mitarbeitende. Datenschutz, Consent, Self-Service, Skalierung und Marken-Erlebnis sind Teil des Produkts und brauchen eigene Governance.
Konversion, Schutz,
Datenschutz.
Customer Identity and Access Management (CIAM) steuert Registrierung, Anmeldung und Profil von Kundinnen, Kunden und Partnern. Anders als bei Mitarbeitenden gibt es keine Pflicht zur Nutzung: Wer an der Anmeldung scheitert, kauft woanders. CIAM verfolgt drei Ziele gleichzeitig.
| Ziel | Worum es geht | Typische Funktionen |
|---|---|---|
| Konversion | Registrierung und Anmeldung ohne unnötige Hürden | Passkeys, Anmeldung mit bestehenden Konten (Social Login), schrittweise Profilerfassung |
| Schutz | Kontoübernahmen und Betrug verhindern | Erkennung von Credential Stuffing und Bots, risikobasierte MFA, Erkennung neuer Geräte |
| Datenschutz und Vertrauen | Personendaten rechtmässig bearbeiten und Rechte der Betroffenen einfach umsetzen | Einwilligungsverwaltung, Selbstbedienung für Auskunft, Berichtigung, Export und Löschung |
Lebenszyklus eines Kundenkontos
Art. 25 DSGVO und Art. 7 DSG verlangen Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen. Ein CIAM setzt diese Pflichten technisch um: Die Rechte der Betroffenen werden zur Funktion im Kundenkonto statt zu einem manuellen Prozess. Nach Schweizer DSG ist eine Einwilligung nur in bestimmten Fällen nötig; die DSGVO gilt, wenn Personen in der EU angesprochen werden.
Zwölf Werkzeuge im Vergleich.
Der CIAM-Markt umfasst Identity-Plattformen mit eigenem Kundenangebot (Okta mit Auth0, Ping Identity, Thales OneWelcome), die CIAM-Dienste der Hyperscaler (Microsoft Entra External ID, Amazon Cognito), entwicklerorientierte Spezialisten mit Fokus auf Passkeys und Betrugsabwehr (Descope, Stytch, Transmit Security) sowie Open-Source-Plattformen zum Selbstbetrieb (Keycloak, WSO2 Identity Server, Zitadel). Konsolidiert hat sich der Markt unter anderem durch die Zusammenführung von ForgeRock mit Ping Identity (Abschluss 23.08.2023) und die Übernahme von Stytch durch Twilio (laut Stytch abgeschlossen am 14.11.2025). Passkeys, B2B-Organisationsmodelle und Bot-Abwehr sind verbreitet, eine eingebaute Einwilligungs- und Präferenzverwaltung bieten nur wenige Anbieter. Mit cidaas (Deutschland, Hosting in Deutschland), Zitadel (gegründet in der Schweiz, Datenhaltung unter anderem in der Schweiz) und OneWelcome (Niederlande, Teil von Thales) sind Anbieter mit DACH/EU-Bezug vertreten.
Registrierung: Selbstregistrierung und Progressive Profiling · Passkeys: Passkeys oder passwortlos · Einwilligung: Einwilligungs- und Präferenzverwaltung · B2B: B2B-Organisationen und Mandanten · Betrug/Bots: Bot- oder Betrugserkennung · EU/CH-Hosting: Hosting in EU oder CH ausdrücklich angegeben · On-Prem: On-Premises oder Self-Hosted möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Auth0
Okta (Auth0)
B2C- und B2B-Identität mit Universal Login, passwortloser Anmeldung, Progressive Profiling und Passkeys für Datenbankverbindungen.
Bot Detection, Breached Password Detection und adaptive Authentisierung.
Auth0 Organizations verwaltet mehrere B2B-Kunden in einem Tenant mit eigenem Branding, eigenen Verbindungen, Mitgliedern und Rollen.
Public-Cloud-Tenants mit wählbarer Region, darunter Europa (Locality EU); Private Cloud mit frei gewählter Region auf AWS oder Azure.
Breiter Funktionsumfang für B2C und B2B mit ausgereifter Entwickler-Dokumentation.
Kein Selbstbetrieb; eine Einwilligungs- und Präferenzverwaltung für Endkunden ist auf den abgerufenen Seiten nicht beschrieben.
PingOne Advanced Identity Cloud (vormals ForgeRock Identity Cloud)
Ping Identity
Orchestrierte Journeys per Drag-and-drop, unter anderem für Registrierung mit geringer Reibung; passwortlose Authentisierung.
Zero-Trust-Risikobewertung und Schutz auf Transaktionsebene laut Produktseite; Datenisolation laut Hersteller patentiert.
Orchestrierung für CIAM, B2B und Workforce (eigene Datenblätter); Einsatz neben der selbst betriebenen Software von Ping.
SaaS mit granularer Datenresidenz; konkrete EU-Regionen sind auf der Produktseite nicht genannt.
Journey-Orchestrierung für komplexe, regulierte Kundenprozesse mit Option auf Selbstbetrieb.
Portfolio nach der Fusion mit ForgeRock breit und teils überlappend; Betrugserkennung und EU-Regionen sind auf der Produktseite nicht konkret belegt.
Thales OneWelcome Identity Platform
Thales
Plattform für B2C-, B2B-, Gig-Worker- und Workforce-Identitäten mit MFA, SSO, Lebenszyklusverwaltung und Identitätsregistrierung.
Consent and Preference Management als App der Plattform: Nachweis erteilter Einwilligungen und von Kunden verwaltete Präferenzen im Sinne der DSGVO.
B2B-IAM für Partner, Lieferanten und Geschäftskunden über die Lösung eXtended Enterprise Access.
OneWelcome hat seinen Hauptsitz laut Übernahmemitteilung in den Niederlanden.
Eingebaute Einwilligungs- und Präferenzverwaltung und B2B-Funktionen von einem europäischen Anbieter.
Hosting-Regionen und Betrugserkennung sind auf den abgerufenen OneWelcome-Seiten nicht konkret belegt.
Microsoft Entra External ID
Microsoft
Eigener externer Tenant für Konsumenten und Geschäftskunden mit Selbstregistrierung, Anmeldung und Kontoverwaltung.
Anmeldung mit E-Mail und Passwort oder passwortlos mit E-Mail-Einmalcode; Social Login über Facebook, Google, Apple und OIDC-/SAML-Föderation.
App-Registrierungen mit OIDC oder SAML; Schutz vor Bot-Registrierungen und Betrug über Drittanbieter-Integrationen laut Sicherheitsleitfaden.
Bei Tenant-Erstellung wird ein Land gewählt, das einer Geo-Region wie «Europe, Middle East, and Africa (EMEA)» zugeordnet ist.
Nahtlos für Organisationen, deren Anwendungen bereits auf Microsoft Entra und Azure aufbauen.
Datenhaltung ist für externe Tenants als EMEA-Region beschrieben, nicht ausdrücklich als EU; Passkeys, B2B-Organisationsmodell und eingebaute Betrugserkennung sind nicht belegt.
Amazon Cognito
Amazon Web Services
Registrierung, Anmeldung und Zugriffssteuerung für Web- und Mobile-Apps mit Managed Login und visuellem Editor.
Passwortlose Anmeldung mit WebAuthn-Passkeys, E-Mail oder SMS; Threat Protection mit Erkennung kompromittierter Zugangsdaten und adaptiver Authentisierung (Plus-Plan).
Lambda-Trigger für Registrierung, Authentisierung und Token-Ausstellung; Social Login und Föderation.
Verfügbar unter anderem in den Regionen Europe (Frankfurt) und Europe (Zurich).
Kostengünstiger, skalierbarer Dienst für Anwendungen auf AWS mit Region Zürich.
Threat Protection nur im Plus-Plan; ein B2B-Organisationsmodell und Einwilligungsverwaltung sind nicht beschrieben.
Mosaic by Transmit Security
Transmit Security
Microservices-basierte CIAM-Plattform für B2C und B2B mit Onboarding, Lebenszyklus-Journeys, Progressive Profiling, Einwilligung und Self-Service.
MFA mit OTP, Passkeys, mobiler Biometrie, Magic Links und Social Login; Betrugserkennung und -reaktion sowie Identitätsprüfung von Ausweisdokumenten.
Journey-Orchestrierung per Drag-and-drop und natürlicher Sprache, etwa für Registrierung, Login oder Zahlungen.
Eine Plattform für Identitätsverwaltung, Betrugsprävention und Identitätsprüfung.
Kombination aus CIAM, Betrugsprävention und Identitätsprüfung in einer Plattform.
Hosting-Regionen sind auf den abgerufenen Seiten nicht genannt; Einwilligungsverwaltung nur als Stichwort, ohne Funktionsbeschreibung.
Descope
Descope
No-Code-CIAM mit Drag-and-drop-Journeys für Registrierung, Login, MFA, SSO und Step-up für Kunden, Partner und KI-Agenten.
Passkeys, Magic Links und weitere passwortlose Verfahren; Schutz vor Betrug, Bots, Credential Stuffing und Account-Übernahme mit eigenen und fremden Risikosignalen.
B2B-CIAM mit Self-Service-SSO und SCIM, Mandantenfähigkeit, delegierter Administration und feingranularer Autorisierung.
Projekte werden einer Region zugeordnet, darunter EU (Frankfurt); Nutzer- und Tenant-Daten bleiben in dieser Region.
Schnelle Umsetzung passwortloser Journeys mit B2B-Mandantenfähigkeit und EU-Region.
Kein Selbstbetrieb; Einwilligungsverwaltung bezieht sich auf Agenten und Tokens, nicht auf Endkunden-Präferenzen.
Stytch
Stytch (Twilio)
Authentisierung für Menschen und KI-Agenten von Passkeys über breach-resistente Passwörter bis SAML-SSO.
Bot- und Betrugsschutz mit Geräteintelligenz und intelligentem Rate Limiting gegen Account-Übernahme und Credential Stuffing.
Native Mandantenfähigkeit mit Organisationsrichtlinien, IdP-Rollenzuordnung, JIT-Provisioning, SCIM und Admin-Portal für Kunden.
Nach der Übernahme ist Twilio Inc. Muttergesellschaft und für Data Governance und DSGVO-Konformität verantwortlich.
Entwicklerorientierte B2B-Mandantenfähigkeit mit integrierter Bot-Abwehr.
Hosting-Regionen und Selbstregistrierungs-Funktionen sind auf den abgerufenen Seiten nicht belegt; Produktausrichtung nach der Übernahme durch Twilio beobachten.
cidaas
Widas ID (cidaas)
Registrierung mit Social Login und Erkennung doppelter Profile, Benutzerprofile, Gruppen- und Rollenverwaltung, auch für mandantenfähige B2B-Plattformen.
Passwortlose Anmeldung mit FIDO2, Biometrie oder OTP; risikobasierte Authentisierung, adaptive MFA sowie Betrugs- und Bot-Erkennung.
Consent Management: Kunden können Einwilligungen einsehen, ändern, widerrufen oder bestätigen; OpenID Connect und OAuth 2.0.
Produkt der Widas ID GmbH (WidasConcepts, Wimsheim); laut Hersteller in Deutschland entwickelt und gehostet.
CIAM mit Einwilligungsverwaltung und Hosting in Deutschland.
Nur als Cloud-Dienst beschrieben; Funktionsumfang für sehr grosse internationale B2B-Szenarien gesondert prüfen.
Zitadel
Zitadel
Mandantenfähige, API-first Identity-Plattform mit gehosteter Login- und Registrierungsseite oder eigener Registrierung über APIs.
Passkeys auf Basis FIDO2, MFA-Richtlinien je Organisation und ereignisbasierter Audit-Trail.
B2B-Organisationen mit Selbstverwaltung von Benutzern, Rechten, SSO und Sicherheitsrichtlinien; delegierte Rollenvergabe an Kundenorganisationen.
Selbst betrieben oder Zitadel Cloud mit Datenresidenz EU, US, Schweiz oder Australien; gegründet in der Schweiz.
Offener Quellcode, B2B-Mandantenmodell und Datenhaltung in der Schweiz oder EU wählbar.
AGPL-Lizenz bei eigener Weiterverbreitung prüfen; Bot- und Betrugserkennung und Einwilligungsverwaltung sind nicht beschrieben.
Keycloak
Keycloak (CNCF-Projekt)
Open-Source-Identity- und Access-Management mit Selbstregistrierung, E-Mail-Verifikation und optionaler Zustimmung zu Nutzungsbedingungen.
WebAuthn und Passkeys, auch mit Conditional UI; Erkennung von Brute-Force-Angriffen mit temporärer oder dauerhafter Sperre.
Organizations mit Domänen, verknüpften Identitätsanbietern und Einladungen für B2B-Szenarien.
Selbst betrieben; Datenhaltung und Betrieb liegen vollständig beim Betreiber; CNCF-Projekt auf Stufe Incubating seit 10.04.2023.
Funktionsreicher, offener Identity Provider ohne Lizenzkosten mit B2B-Organisationen.
Betrieb, Updates, Hochverfügbarkeit und Support liegen beim Betreiber; Bot- und Betrugserkennung über Brute-Force-Schutz hinaus und Präferenzverwaltung fehlen.
WSO2 Identity Server (Asgardeo als SaaS)
WSO2
CIAM für Konsumenten, Geschäftskunden und Bürger; Passkeys und FIDO2 als Funktion genannt.
Fraud & Bot Detection als Fähigkeit sowie Integrationen für Betrugserkennung und Identitätsprüfung.
B2B mit delegierter Administration und Organisationsverwaltung für Partner und Geschäftskunden.
Selbst betrieben auf eigenen Servern, Bare Metal, Cloud oder Kubernetes, auch air-gapped; SaaS-Variante Asgardeo mit Multi-Region und Data-Sovereignty-Option.
Selbstbetrieb einschliesslich abgeschotteter Umgebungen mit offener Codebasis.
Die Open-Source-Distribution ist laut Hersteller nicht für den Produktivbetrieb unterstützt; EU-Region für Asgardeo und Registrierungsfunktionen auf der Produktseite nicht belegt.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- SAP Customer Data Cloud (Customer Identity, Consent): CIAM mit Einwilligungsverwaltung eines deutschen Herstellers
- Frontegg: B2B-orientiertes CIAM
- Okta Customer Identity: zweites CIAM-Angebot von Okta neben Auth0
- Google Cloud Identity Platform, Firebase Authentication: CIAM-Dienst von Google Cloud
- FusionAuth, Curity, Ory: weitere CIAM-Produkte (Curity Schweden, Ory Deutschland)
- IBM Verify: Plattform mit CIAM-Funktionen
Vom Datenmodell
zur Anmeldung.
- Identitätsmodell vor der Plattformwahl festlegen: Kunde, Organisation, Mandant, Rolle und Einwilligung als eigene Objekte mit Lebenszyklus und Löschfrist beschreiben.
- Registrierung gegen automatisierte Konto-Erstellung absichern (Rate Limits, Bot-Erkennung) und die Anmeldung schrittweise auf Passkeys ausrichten; das Passwort bleibt Rückfallweg.
- Bestehende Konten migrieren, ohne Kunden zum Zurücksetzen zu zwingen: Passwort-Hashes übernehmen, sofern das Verfahren unterstützt wird, sonst beim nächsten Login übertragen.
- Credential Stuffing und Kontoübernahmen als eigenen Erkennungsfall im SOC führen, mit festgelegter Reaktion: Sitzung beenden, zusätzliche Authentisierung verlangen, Kunden informieren.
- Anteil erfolgreicher Anmeldungen ohne Passwort (z. B. per Passkey)
- Abbruchquote im Registrierungs- und Recovery-Ablauf
- Bestätigte Kontoübernahmen je 10 000 aktive Konten
Das digitale Produkt verantwortet Customer Journey und Konversion, der Datenschutz die Einwilligungs- und Löschlogik, Security die Missbrauchserkennung. Der Plattformbetrieb liegt oft näher beim Produkt-Engineering als beim Workforce-IAM-Team.
Das revDSG verlangt Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (Art. 7); eine Einwilligung gilt nur, wenn sie nach angemessener Information freiwillig für bestimmte Bearbeitungen erteilt wird (Art. 6 Abs. 6). Nach DSGVO Art. 7 Abs. 1 muss der Verantwortliche die Einwilligung nachweisen können.
ISO/IEC 27001:2022 Annex A 5.17 (Authentisierungsinformationen) und 8.5 (sichere Authentisierung) sind auch auf Kundenkonten anzuwenden, sofern diese im Geltungsbereich des ISMS liegen; im EU-Zahlungsverkehr verlangt die PSD2 (Art. 97) zusätzlich eine starke Kundenauthentifizierung.
Passkeys lösen das Recovery-Problem nicht. Wer ein Konto per E-Mail-Link oder Support-Anruf zurücksetzen kann, ist nur so gut geschützt wie dieser Weg.
Nachweis statt
Versprechen.
- Mandanten, Consent und Aufbewahrung im eigenen Datenmodell prüfen.
- Anmeldung, Konto-Recovery und privilegierte Support-Zugriffe testen.
- API- und Identity-Logs für Missbrauch und Nachweis einplanen.
Produktfunktionen sind Herstellerangaben. Die Eignung zeigt erst ein kontrollierter Test im eigenen Scope.
Security Tool Navigator · Gebiet 03
Im Gebiet Identity Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Identity Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.