IAM-Tool-Auswahl: SailPoint, Saviynt, One Identity oder Microsoft Entra?

Edouard Jacques

Managing Director, Cyber Culture

„Welches IAM-Tool ist das beste?“ gehört zu den ersten Fragen in fast jedem Gespräch über Identity & Access Management. Eine seriöse Antwort ohne Ihre Ausgangslage gibt es nicht, eine Rangliste schon gar nicht. Dieser Artikel ordnet die vier Produkte ein, die im Mittelstand am häufigsten auf der Liste stehen, nennt die Kriterien, die in der Auswahl tatsächlich trennen, und beschreibt, wie Sie die Kandidaten mit Ihren eigenen Daten prüfen. Die Produktangaben haben den Stand Oktober 2026.

Brauchen Sie überhaupt eine IGA-Plattform?

Gemeint sind Werkzeuge für Identity Governance and Administration (IGA). Sie verwalten den Lebenszyklus von Identitäten vom Eintritt bis zum Austritt, steuern Anträge und Genehmigungen, führen regelmäßige Rechteprüfungen (Rezertifizierungen) durch und erkennen Konflikte bei der Funktionstrennung. Davon zu unterscheiden sind Access Management, also Anmeldung, Single Sign-on und Mehr-Faktor-Authentisierung, sowie Privileged Access Management für Administratorkonten.

Eine IGA-Plattform lohnt sich, wenn viele Anwendungen eigene Benutzerverwaltungen haben, Ein- und Austritte regelmäßig hängen bleiben, Prüfer Nachweise verlangen, die Sie nur mit Handarbeit liefern, oder SAP-Berechtigungen samt Funktionstrennung gesteuert werden müssen. Sie lohnt sich noch nicht, solange das Active Directory unaufgeräumt ist, die HR-Daten unzuverlässig sind und niemand fachlich für Rollen verantwortlich ist. Dann konfigurieren Sie in jedem Tool nur Formulare. Wie Sie das Verzeichnis vorher in Ordnung bringen, beschreibt Active Directory aufräumen.

Die vier Kandidaten im Überblick

Microsoft Entra ID Governance wird oft unterschätzt und ebenso oft überschätzt. Wer Microsoft 365 E5 nutzt, hat Entra ID P2 und damit bereits Privileged Identity Management, Zugriffsprüfungen und die Berechtigungsverwaltung mit Zugriffspaketen und mehrstufigen Genehmigungen. Lifecycle Workflows für Eintritt, Wechsel und Austritt, Prüfungen mit Empfehlungen auf Basis maschinellen Lernens, eigene Erweiterungen über Logic Apps und das Aufspüren verwaister Konten in Zielanwendungen setzen dagegen die separate Lizenz Entra ID Governance voraus. Sie baut auf P1 oder P2 auf und ist auch in der Entra Suite enthalten. Microsoft hat angekündigt, P2 keine neuen IGA-Funktionen mehr hinzuzufügen. Lizenziert wird für alle Mitglieder im Geltungsbereich einer Funktion, nicht nur für tatsächliche Nutzer; Gäste rechnet Microsoft nach monatlich aktiven Nutzern über ein Azure-Abonnement ab, so die Lizenzübersicht von Microsoft. HR-Systeme lassen sich als Quelle anbinden, lokale Anwendungen über einen Bereitstellungsagenten.

SailPoint bietet zwei Produktlinien: eine SaaS-Plattform für Identitätssicherheit auf Basis von SailPoint Atlas und IdentityIQ als kundenbetriebene Lösung, die der Hersteller für komplexe, hybride und stark regulierte Umgebungen positioniert. Nach eigenen Angaben stehen mehr als 200 Konnektoren bereit. Zusatzmodule decken unter anderem externe Identitäten und Zugriffsrisiken ab.

Saviynt vermarktet eine Cloud-Plattform, die Identity Governance, die Steuerung feingranularer Zugriffe innerhalb von Anwendungen (Application Access Governance, auch für SAP), Privileged Access Management, Identity Security Posture Management und die Verwaltung externer Identitäten zusammenführt.

One Identity Manager gibt es für den eigenen Betrieb und als SaaS unter dem Namen Identity Manager On Demand. Der Hersteller hebt eine zertifizierte SAP-Integration hervor. Regelmäßige Rechteprüfungen heißen dort Attestierung.

Daneben gibt es weitere Anbieter, darunter solche aus dem deutschsprachigen Raum mit Fokus auf mittelständische Umgebungen. Eine Vorauswahl nur aus den vier bekanntesten Namen ist nicht zwingend.

Kriterien, die in der Auswahl wirklich trennen

Funktionslisten sehen bei allen Anbietern ähnlich aus. Unterschiede zeigen sich an diesen Stellen:

1. HR als Quelle. Welches HR-System liefert Eintritte, Wechsel und Austritte, und gibt es dafür einen Standardanschluss oder nur einen Dateiexport? Ebenso wichtig ist die Datenqualität: Eintritts- und Austrittsdatum, Kostenstelle, Führungskraft und Stellenschlüssel müssen gepflegt sein. Externe stehen oft gar nicht im HR-System und brauchen eine eigene Quelle.
2. Zielsysteme. Listen Sie die 15 bis 20 wichtigsten Anwendungen auf und klären Sie je Kandidat, ob es einen Standardkonnektor gibt, eine Anbindung über SCIM oder REST oder nur ein Ticket an einen Menschen. Ein Rest an manueller Umsetzung bleibt fast immer. Fragen Sie, wie das Werkzeug ihn steuert und nachweist.
3. SAP. Wenn SAP zentral ist, entscheidet die Tiefe: SAP-Rollen, Konfliktregeln innerhalb von SAP, Zusammenspiel mit SAP Access Control oder SAP Cloud Identity Access Governance. Zeitdruck kommt von SAP selbst. Die Wartung für SAP Identity Management endet 2027, verlängerte Wartung gibt es bis 2030, und SAP verweist für die Nachfolge auf Microsoft Entra ID, wie der Migrationsleitfaden von Microsoft beschreibt.
4. Betriebsmodell. SaaS oder eigener Betrieb, Speicherort der Daten, Aufwand für Updates. Bei selbst betriebenen IGA-Plattformen ist ein Versionswechsel oft ein eigenes kleines Projekt.
5. Lizenzlogik. Wer zählt: Mitarbeitende, Externe, Gäste, technische Konten, deaktivierte Konten? Rechnen Sie mit Ihren Zahlen, nicht mit dem Beispiel aus der Präsentation.
6. Anpassung und Betrieb. Wer konfiguriert Workflows und Regeln, Ihre IT oder dauerhaft ein Partner? Je mehr Eigenentwicklung, desto stärker die Abhängigkeit.
7. Nachweise. Wie schnell erzeugen Sie für den Prüfer die Antwort auf die Frage, wer am 31. März Zugriff auf die Lohnabrechnung hatte und wer das genehmigt hat?
8. Ausstieg. Lassen sich Rollen, Historie und Prüfprotokolle in einem offenen Format exportieren?

So testen Sie mit Ihren eigenen Daten

Nach der Vorauswahl auf zwei, höchstens drei Kandidaten folgt keine Standard-Demo, sondern ein Drehbuch. Alle Anbieter bekommen dieselben Szenarien mit Ihren anonymisierten Daten:

• Eintritt aus einem HR-Datensatz mit automatischer Basis- und Funktionsrolle
• Abteilungswechsel mit Übergangsfrist, nach der die alte Rolle entfällt
• Austritt mit Sperre im Active Directory, in Entra ID und in einer Fachanwendung ohne Standardkonnektor
• Rezertifizierung einer Rolle, in der ein Konflikt bei der Funktionstrennung steckt

Wer diese vier Abläufe vor Ihren Augen sauber durchspielt, hat die wichtigsten Fragen beantwortet. Für den Favoriten lohnt sich danach ein Machbarkeitstest von zwei bis vier Wochen mit Ihrem HR-Export und drei echten Zielsystemen. Bewerten Sie am Ende die Gesamtkosten über fünf Jahre: Lizenzen, Einführung, Betrieb und die interne Zeit für Rollenpflege und Prüfungen. Eine strukturierte Auswahl mit Anforderungen, Drehbuch-Demos und Machbarkeitstest dauert realistisch zwei bis drei Monate.

Referenzen rufen Sie am besten selbst an, idealerweise bei Unternehmen mit ähnlicher Größe und ähnlicher Systemlandschaft.

Typische Weichenstellungen im Mittelstand

Einen Testsieger gibt es nicht, wohl aber Muster, die sich aus den Produkteigenschaften ergeben.

Arbeiten Sie überwiegend mit Microsoft 365, wenigen weiteren Anwendungen und ohne Funktionstrennung in SAP, ist Entra der naheliegende Start. Vieles ist mit P2 schon lizenziert, und die Governance-Lizenz kommt dazu, sobald Sie automatisierte Lebenszyklus-Abläufe brauchen. Was Entra in der Praxis leistet, beschreibt der Beitrag zu Entra ID Governance.

Ist SAP das Rückgrat und muss die Funktionstrennung innerhalb von SAP gesteuert werden, gehören Lösungen mit tiefer SAP-Integration auf die Liste. Prüfen Sie dann genau, wie sie mit den SAP-eigenen Werkzeugen für die Zugriffskontrolle zusammenspielen.

Haben Sie eine heterogene, überwiegend lokal betriebene Landschaft und eine klare Vorgabe zum Eigenbetrieb, schrumpft die Auswahl auf Produkte, die für den Betrieb im eigenen Rechenzentrum angeboten werden, etwa IdentityIQ oder One Identity Manager.

Auch Mischformen kommen vor: Entra für Microsoft-Dienste und Anmeldung, eine IGA-Suite für SAP und Fachanwendungen. Das funktioniert, verlangt aber eine klare Festlegung, welches System für welche Entscheidung führend ist.

Der nächste Schritt

Bevor Sie Anbieter einladen, brauchen Sie drei Dinge: ein bereinigtes Verzeichnis, eine Liste Ihrer Zielsysteme mit Zuständigen und eine erste Vorstellung Ihrer Rollen. Wie diese Grundlagen in eine Roadmap passen, zeigt IAM von Null aufbauen. Wenn Sie Anforderungen und Drehbuch gemeinsam mit uns aufsetzen möchten, vereinbaren Sie einen Termin. Und falls Entra für Sie in Frage kommt: Der Cloud-Security-Check unter diesem Artikel zeigt, wie es um die Grundkonfiguration Ihres Tenants steht.