Okta vs Auth0 vs Managed Keycloak: IAM-Kostenvergleich

Identity and Access Management wird nach zwei Modellen berechnet: pro Nutzer (Okta, Auth0) oder zum Fixpreis (Keycloak). Der Unterschied wächst mit deiner Organisation.

Diese Seite vergleicht die drei Optionen, damit du die richtige IAM-Plattform für dein Budget und deine Anforderungen wählst.

Vergleich auf einen Blick

Kontakt

Die Pro-Nutzer-Preisfalle

Okta und Auth0 berechnen pro Nutzer. Das funktioniert im Kleinen, wird aber zur Wachstumsbremse:

• Okta Workforce Identity startet bei $6/Nutzer/Monat (Starter Suite). Mit SSO, MFA und Lifecycle Management rechnest du mit $14-17/Nutzer/Monat (Core Essentials oder Essentials), Professional und Enterprise gibt es nur auf Anfrage. Zum Listenpreis von Essentials kosten 10'000 Nutzer rund $2 Mio. pro Jahr ($17 × 10'000 × 12), vor allfälligen Mengenrabatten.
• Auth0 berechnet pro monatlich aktivem Nutzer (MAU). Das Gratis-Tier umfasst bis zu 25'000 MAU. Darüber hinaus startet Essentials bei $35/Monat, Professional bei $240/Monat, beide gedeckelt bei 500 MAU vor zusätzlichen nutzungsbasierten Kosten. Enterprise-Preise auf Anfrage.

Managed Keycloak kostet CHF 360/Monat. Keine Nutzergebühren. Management, Support und Software bleiben gleich, ob du 100 oder 100'000 Nutzer hast. Bei steigendem Anfragevolumen kann zusätzliche Cloud-Infrastruktur nötig werden. VSHN übernimmt die Kapazitätsplanung und gibt diese Cloud-Ressourcen zum Einkaufspreis weiter.

Kosten im Vergleich: 10'000 Mitarbeitende

Selbst mit dem 99.99%-SLA-Tier kostet Managed Keycloak einen Bruchteil von Okta. Die Differenz finanziert dein gesamtes IAM-Team.

Was du mit Keycloak aufgibst

Keycloak ist kein 1:1-Ersatz für alles, was Okta und Auth0 bieten:

• Kein integrierter Verzeichnisabgleich: Okta hat tiefe HR-System-Integrationen (Workday, BambooHR). Keycloak nutzt LDAP/AD-Federation oder eigene Provider.
• Kein vorgefertigter App-Katalog: Oktas Integration Network hat 7'000+ vorkonfigurierte Apps. Keycloak erfordert manuelle SAML/OIDC-Konfiguration pro App.
• Kein verwaltetes Passwordless im grossen Stil: Oktas FastPass und Auth0s Passkey-Support sind ausgereifter. Keycloak unterstützt WebAuthn, erfordert aber mehr Konfiguration.
• Self-Managed-Komplexität: ohne VSHN erfordert Keycloak im Produktionsbetrieb Kubernetes-Expertise, Datenbank-Management und Upgrade-Planung.

Hier kommt die Partnerschaft VSHN + Inventage ins Spiel: VSHN betreibt die Infrastruktur, Inventage bringt die Keycloak-Expertise, inklusive individueller Authentifizierungsflüsse, SSO-Integrationen und Theme-Entwicklung. Wenn du die Auth0-Actions-Anpassungen auch nicht selbst bauen würdest, entwickelt Inventage das Pendant in Keycloak für dich. Du erhältst den Kostenvorteil von Open Source mit professionellem Support auf Plattform- und Applikationsebene.

Was du mit Keycloak gewinnst

• Digitale Souveränität: Identität ist die fundamentalste Schicht deiner IT und verbindet jede Anwendung. Wenn dein Identity Provider nicht souverän ist, ist keine deiner Anwendungen souverän. Keycloak ist Apache 2.0: deine Konfiguration, Themes und Extensions gehören dir. Kein Anbieter kann die Konditionen ändern, Preise erhöhen oder Funktionen einschränken. Mehr in unserer Souveränitätsbewertung nach dem EU Cloud Sovereignty Framework.
• Deine Infrastruktur, deine Regeln: VSHN betreibt Keycloak dort, wo du es brauchst: auf Schweizer Cloud (Cloudscale, Exoscale) für Datenhoheit, oder in deinem bestehenden Azure- oder AWS-Tenant, damit Identität neben deinen Anwendungen läuft. In beiden Fällen gehört die Infrastruktur dir und du kontrollierst den Zugang. Bei Okta oder Auth0 liegen deine Credentials auf deren AWS-Konto.
• Voller Funktionsumfang: kein Feature-Gating hinter teuren Stufen. SSO, MFA, feingranulare Autorisierung, User Federation, eigene Themes und SCIM sind inklusive.
• Unbegrenzte Nutzer: keine Nutzergebühren. Der Servicepreis ist fix; nur die Cloud-Infrastruktur skaliert mit der Last (und VSHN übernimmt die Kapazitätsplanung).
• FINMA-konform: ISO 27001 zertifizierter Betrieb, Schweizer Datenstandort, audit-fähige Dokumentation.

Managed Keycloak Preise

Cloud-Infrastruktur (Compute, Storage) kommt zu diesen Beträgen dazu. Standardmässig beschafft VSHN sie zum Einkaufspreis, eine Rechnung deckt also den Dienst und die Maschinen ab, auf denen er läuft. Bringst du dein eigenes Cloud-Abo mit, rechnet der Anbieter diesen Teil direkt mit dir ab.

Wann welche Option die richtige ist

Okta wählen, wenn:

• du 7'000+ vorgefertigte App-Integrationen sofort benötigst
• HR-System-Abgleich (Workday, BambooHR) geschäftskritisch ist
• du Budget für Pro-Nutzer-Preise hast und kein schnelles Nutzerwachstum erwartest
• US-Datenhosting akzeptabel ist

Auth0 wählen, wenn:

• du Auth0s Actions-Pipeline für hochgradig individuelle Login-Flows benötigst (Progressive Profiling, Bot-Erkennung, Drittanbieter-Enrichment beim Login). Keycloak hat Authentication Flows und SPIs, aber diese erfordern Java statt JavaScript
• du ein verwaltetes B2B-Multi-Tenant-Setup mit Organisation-spezifischem Branding ab Werk willst (Auth0 Organizations). Keycloak kann das mit Realms, erfordert aber mehr Konfiguration
• deine MAU-Anzahl planbar ist und in Auth0s Preisbereich fällt

VSHN Managed Keycloak wählen, wenn:

• deine Daten in der Schweiz bleiben müssen (FINMA, Schweizer Datenschutz, interne Richtlinien)
• du planbare Kosten willst, die nicht mit der Nutzerzahl skalieren
• du volle Kontrolle über deine IAM-Plattform ohne Vendor Lock-in brauchst
• du Open-Source-Technologie mit professionellem Schweizer Betrieb willst
• du Okta oder Auth0 ablöst, um bei wachsender Nutzerzahl Kosten zu sparen

Nächste Schritte

Bereit, Keycloak für deine Organisation zu evaluieren? Buche ein kostenloses 15-Minuten-Gespräch. Wir prüfen dein aktuelles IAM-Setup und schätzen den Migrationsaufwand.