Microsoft Entra ID neben Authentik: Wann sich die Doppel-Strategie 2026 für den deutschen Mittelstand rechnet

Inhaltsverzeichnis

• TL;DR – Das Wichtigste in 60 Sekunden
• Die Ausgangslage 2026: Warum Identity zur Chefsache wird
  • Der CLOUD-Act-Eid von Microsoft France
  • Die Bewegung im öffentlichen Sektor
  • Die Microsoft-Preiserhöhung im Juli 2026
• Was Microsoft Entra ID gut kann – und was nicht
  • Die echten Stärken
  • Die strukturellen Grenzen
• Was Authentik gut kann – und was nicht
  • Die Stärken
  • Die ehrlichen Grenzen
• Pricing-Realität 2026
  • Microsoft Entra ID: standalone
  • Microsoft Entra ID: über Microsoft-365-Bundles
  • Authentik und Managed Authentik
  • Rechenbeispiel: 100-Personen-KMU mit gemischtem Stack
• Drei Szenarien, in denen die Doppel-Strategie aufgeht
  • Szenario 1 – Microsoft 365 plus Linux-Server und Custom-SaaS
  • Szenario 2 – Microsoft 365 plus RADIUS-VPN und LDAP-Legacy
  • Szenario 3 – Microsoft 365 plus DSGVO-kritische Eigenanwendung
  • Und wann eines allein reicht
• NIS2, DSGVO und der CLOUD Act: der Compliance-Rahmen
  • Was NIS2 verlangt
  • DSGVO Art. 32 und der CLOUD Act
  • Geschäftsführer-Verantwortung
• Coexistence in der Praxis: wie es technisch funktioniert
• Fazit
• Quellen

TL;DR – Das Wichtigste in 60 Sekunden

• Entra ID ist im Mittelstand omnipräsent – aber selten bewusst gewählt. Es kommt mit Microsoft 365 mit. Das macht es schwer zu ersetzen, aber leicht zu ergänzen.
• Die Souveränitätsfrage hat sich verschärft: Microsoft hat 2025 vor dem französischen Senat bestätigt, dass der US CLOUD Act EU-Datenresidenz aushebeln kann [5].
• Die Lizenzmatrix wird teurer und komplexer: P1, P2, Entra Suite, Governance als Add-on, Workload ID Premium – plus die Microsoft-365-Preiserhöhung im Juli 2026 [1][10].
• Authentik ist quelloffen (MIT-Lizenz), deckt alle relevanten Protokolle ab und läuft als Managed Service auf deutscher Infrastruktur – ab 34,90 €/Monat, unbegrenzte Nutzer.
• Die ehrliche Empfehlung lautet meist Coexistence: Entra ID bleibt für den Microsoft-365-Stack, Authentik übernimmt alles außerhalb davon – Linux-Server, Custom-Apps, RADIUS, Legacy-LDAP.

Die Ausgangslage 2026: Warum Identity zur Chefsache wird

Identity-Management war lange eine reine IT-Frage. 2026 ist es eine strategische – und im Zweifel eine geschäftsführungsrelevante. Drei Strömungen laufen zusammen.

Der CLOUD-Act-Eid von Microsoft France

Am 10. Juni 2025 sagte Anton Carniaux, Chefjurist von Microsoft France, vor dem französischen Senat aus, dass Microsoft nicht garantieren kann, dass Daten europäischer Bürger in EU-Rechenzentren vor dem Zugriff von US-Behörden geschützt sind – auch ohne Zustimmung europäischer Stellen [5]. Der Hamburgische Beauftragte für Datenschutz fasste es im August 2025 so zusammen: Trotz früherer Microsoft-Aussagen, EU-Daten seien sicher, gebe es keine Möglichkeit, US-Behörden vom Zugriff auf EU-Daten abzuhalten [6].

Das ist nicht neu im Sinne der Rechtslage – der CLOUD Act gilt seit 2018. Neu ist, dass die Behauptung „EU-Datenresidenz = Datensouveränität" auf höchster offizieller Ebene als unzutreffend gelten muss.

Die Bewegung im öffentlichen Sektor

Was im Behördensektor begann, erreicht den Mittelstand. Schleswig-Holstein hat im Oktober 2025 begonnen, rund 30.000 Beamten-Arbeitsplätze von Exchange und Outlook auf Open-Source-Alternativen umzustellen [7][8]. Die deutsche Bundesregierung gab 2024 nach eigenen Angaben 481 Millionen Euro für Microsoft-Lizenzen aus – eine Steigerung um 76 Prozent in zwei Jahren. Diese Zahlen sind im DACH-Diskurs zum Referenzpunkt geworden: nicht als Aufruf zum Microsoft-Ausstieg, sondern als Anlass, die eigene Abhängigkeit überhaupt einmal zu beziffern.

Die Microsoft-Preiserhöhung im Juli 2026

Beim ersten umfassenden Plan-Refresh seit Jahren steigen die Microsoft-365-Preise. M365 E5 klettert von 57 auf 60 US-Dollar pro Nutzer und Monat, M365 F1 (Frontline) von 2,25 auf 3,00 US-Dollar [10]. Gleichzeitig wurde mit M365 E7 (99 US-Dollar pro Nutzer und Monat, allgemeine Verfügbarkeit ab Mai 2026) ein neues Top-Bundle eingeführt, das erstmals die Entra Suite und das neue „Agent 365" enthält [9]. Wer 2026 ohnehin ein Lizenz-Review macht, kommt um die Identity-Kostenfrage nicht herum.

Was Microsoft Entra ID gut kann – und was nicht

Eine ehrliche Coexistence-Betrachtung beginnt damit, die Stärken des Platzhirsches anzuerkennen.

Die echten Stärken

• Tiefe Microsoft-365-Integration. Conditional Access für Outlook, Teams, SharePoint, OneDrive und die Geräteverwaltung über Intune – diese Verzahnung auf Endpunkt-Ebene ist real und lässt sich von außen nicht nachbauen.
• Marktreife. Entra ID wurde im November 2025 zum neunten Mal in Folge als „Leader" im Gartner Magic Quadrant for Access Management geführt [2]. Das ist kein reiner Microsoft-Bonus, sondern technisch fundiert.
• Breites Feature-Set für Microsoft-zentrische Stacks. Identity Protection, Privileged Identity Management, Verified ID, Entra Internet Access und Private Access sind ausgereifte Bausteine – wenn der Stack ohnehin Microsoft ist.

Die strukturellen Grenzen

• Lizenz-Komplexität. P1, P2, die Entra Suite als Add-on, Identity Governance als separates Add-on, Workload ID Premium als nie gebündelter Posten – dazu die M365-Bundles, in denen Entra-Tiers mitschwimmen. Die tatsächlichen Kosten sind ohne Tabelle kaum greifbar (siehe unten).
• CLOUD-Act-Exposition. Microsoft ist ein US-Konzern. Die Carniaux-Aussage (oben) macht die Drittstaaten-Frage zu einem dokumentationspflichtigen Risiko.
• Konzentrationsrisiko. Storm-0558 (Juli 2023) und Midnight Blizzard (Januar 2024) zeigten, dass auch der Identity-Anbieter selbst zum Ziel wird. Der Cyber Safety Review Board der US-Regierung nannte die Storm-0558-Kette im März 2024 eine „Kaskade vermeidbarer Fehler" und Microsofts damalige Sicherheitskultur „inadäquat" [3][4]. Der globale Azure-Front-Door-Ausfall vom 29. Oktober 2025 legte M365- und Entra-Anmeldungen über zwölf Stunden lahm – durch einen einzigen Konfigurationsfehler [11]. Microsoft hat mit der „Secure Future Initiative" reagiert; der strukturelle Punkt bleibt: Ein zentraler Identity Provider bündelt Risiko.

Keiner dieser Punkte heißt „Entra ID ist schlecht". Sie heißen: Entra ID ist nicht für jede Anwendung im Haus die zwingende Wahl.

Was Authentik gut kann – und was nicht

Die Stärken

• Quelloffen und unabhängig. Authentik steht unter der MIT-Lizenz; Träger ist Authentik Security, Inc., organisiert als Public Benefit Corporation [12]. Kein geschlossener Code, keine erzwungene Vendor-Roadmap.
• Vollständige Protokoll-Suite. OIDC, SAML 2.0, LDAP, RADIUS, SCIM, mTLS und Kerberos – plus eine visuelle Flow-Engine, mit der sich Authentifizierungs-Logik ohne Code abbilden lässt. Conditional Access (GeoIP, Impossible Travel, Device Posture) und moderne MFA inklusive Passkeys gehören dazu.
• Eigene Umgebung, eigene Daten. Self-Hosted oder als Managed Service – in beiden Fällen ein dedizierter Tenant, kein geteilter Mandant eines US-Konzerns. Die Release 2025.10 hat Redis als Abhängigkeit entfernt; das Remote Access Gateway (RDP/SSH/VNC) ist seit Release 2025.2 frei verfügbar [13].

Die ehrlichen Grenzen

• Keine native M365-Conditional-Access-Tiefe. Authentik kann sich per Föderation an Entra ID anbinden, aber die Endpunkt-nahe Verzahnung mit Outlook, Teams und SharePoint ist und bleibt Entra-Territorium.
• Betriebsverantwortung. Self-Hosting heißt: Updates, Backups, Monitoring, Verfügbarkeit – im Ernstfall rund um die Uhr. Genau dafür gibt es Managed-Angebote, aber der Aufwand verschwindet nicht, er verlagert sich.
• Kein 1:1-Ersatz für jedes Microsoft-Föderationsszenario. Bestimmte SharePoint-Federation-Konstellationen erwarten ältere Token-Formate, die Authentik nicht bedient. Wer solche Szenarien hat, muss das in der Architektur einplanen.

Pricing-Realität 2026

Microsoft veröffentlicht keine vollständig konsolidierte Preisliste – die folgenden Tabellen fassen die öffentlich einsehbaren Werte zusammen.

Microsoft Entra ID: standalone

Microsoft Entra ID: über Microsoft-365-Bundles

Authentik und Managed Authentik

Rechenbeispiel: 100-Personen-KMU mit gemischtem Stack

Ein Mittelständler mit 100 Mitarbeitern nutzt Microsoft 365 – und betreibt daneben rund 15 Anwendungen außerhalb des Microsoft-Stacks: Linux-Server mit SSH-Zugriff, eine GitLab-Instanz, ein RADIUS-VPN, eine eigene SaaS-Anwendung, mehrere Self-Hosted-Tools.

• Der M365-Stack läuft über die bestehenden Lizenzen – Entra ID P1 ist dort enthalten. Daran ändert eine Coexistence-Strategie nichts.
• Variante A – alles über Entra: Für die 15 Nicht-Microsoft-Anwendungen und ihre Service-Identitäten fallen je nach Anforderung Entra ID Governance (7 USD pro Nutzer/Monat auf P1), die Entra Suite (12 USD pro Nutzer/Monat) oder Workload ID Premium (3 USD pro Workload-Identität) an – Kosten, die mit jeder Nutzer- und Workload-Zahl mitwachsen.
• Variante B – Coexistence: Microsoft 365 und Entra ID bleiben unverändert. Managed Authentik übernimmt die 15 Nicht-Microsoft-Anwendungen – als Pauschale ab 34,90 €/Monat, unabhängig von Nutzer- oder Workload-Zahl.

Die Ersparnis entsteht nicht durch „Microsoft rauswerfen", sondern dadurch, dass die Identity-Kosten der Nicht-Microsoft-Welt von „pro Nutzer, pro Add-on, pro Workload" auf eine planbare Pauschale umgestellt werden.

Vergleich basiert auf öffentlich verfügbaren Informationen, Stand Mai 2026. Microsoft-Preise in US-Dollar, authhost-Preise in Euro; Preise und Tarife können sich jederzeit ändern – bitte direkt beim jeweiligen Anbieter prüfen. Microsoft® und Microsoft Entra ID® sind Marken der Microsoft Corporation. Authentik ist Open-Source-Software; das Projekt wird von der Authentik Security, Inc. (USA) gepflegt. authhost ist ein unabhängiger Managed-Hosting-Anbieter und steht in keiner Verbindung zu diesen Unternehmen.

Drei Szenarien, in denen die Doppel-Strategie aufgeht

Szenario 1 – Microsoft 365 plus Linux-Server und Custom-SaaS

Das Office läuft auf M365, aber die Produktentwicklung auf Linux-Servern, dazu eine selbst entwickelte SaaS-Anwendung und Tools wie GitLab oder Grafana. Entra ID bleibt für den Office-Stack; Authentik wird zum Identity Provider für SSH-Zugriff, interne Tools und die eigene Anwendung – ein Bereich, in dem Entra-Lizenzen schnell teuer und unhandlich werden.

Szenario 2 – Microsoft 365 plus RADIUS-VPN und LDAP-Legacy

Klassischer Mittelstand: M365 für die Büro-IT, aber ein RADIUS-abgesichertes VPN und mehrere Legacy-Anwendungen, die nur LDAP sprechen. Authentik stellt RADIUS- und LDAP-Outposts bereit und bindet genau diese Systeme an, ohne dass jeder betroffene Nutzer ein höheres Entra-Tier braucht.

Szenario 3 – Microsoft 365 plus DSGVO-kritische Eigenanwendung

Eine Anwendung verarbeitet besonders sensible Daten – Gesundheits-, Finanz- oder Mandantendaten. Hier ist der CLOUD-Act-Rahmen am relevantesten. Diese Anwendung bekommt ihren Identity Provider in Deutschland, getrennt vom US-Stack; das übrige Office bleibt bei Entra.

Und wann eines allein reicht

Coexistence ist kein Selbstzweck. Ein reines Microsoft-Haus ohne nennenswerte Anwendungen außerhalb des M365-Stacks fährt mit Entra ID allein gut – der Mehraufwand eines zweiten Systems lohnt sich dann nicht. Umgekehrt braucht ein reiner Open-Source-Stack ohne Microsoft 365 kein Entra ID; dort ist Authentik allein die schlüssige Wahl. Die Doppel-Strategie ist die richtige Antwort für den großen Mittelbau dazwischen – und das sind die meisten DACH-Mittelständler.

NIS2, DSGVO und der CLOUD Act: der Compliance-Rahmen

Was NIS2 verlangt

Das deutsche NIS2-Umsetzungsgesetz nennt in § 30 einen Katalog an Risikomanagement-Maßnahmen. Für Identity & Access Management einschlägig sind Zugriffskontrollkonzepte und der Einsatz von Multi-Faktor-Authentifizierung [14]. Entscheidend: NIS2 nennt keinen Anbieternamen. Die regulatorische Frage ist Wirksamkeit nach dem Stand der Technik, nicht „Microsoft oder nicht". § 38 etabliert die persönliche Verantwortung der Geschäftsleitung – und sie ist nicht delegierbar.

DSGVO Art. 32 und der CLOUD Act

Verantwortliche müssen nach Art. 32 DSGVO begründen, warum eine technische Maßnahme dem Stand der Technik entspricht. Bei einem US-Anbieter mit CLOUD-Act-Exposition gehört dazu die Feststellung, dass der Schutz vor Drittstaaten-Zugriffen nicht garantiert werden kann – Microsoft hat das selbst bestätigt. Wo ein hohes Risiko besteht, ist ohnehin eine Datenschutz-Folgenabschätzung vorgeschrieben; die CLOUD-Act-Exposition gehört nach Auffassung des Hamburgischen Datenschutzbeauftragten dort hinein.

Geschäftsführer-Verantwortung

„Der IT-Leiter hat gesagt, wir nutzen Entra, weil das Standard ist" ist unter NIS2 kein tragfähiges Argument. Die Wahl des Identity Providers ist eine dokumentierte, begründete Entscheidung – und genau deshalb lohnt sich der bewusste Blick auf die Architektur.

Hinweis: Dies ist kein Rechtsrat. Konkrete Compliance- und Haftungsfragen gehören in die Hand von Datenschutz- und Rechtsberatung.

Coexistence in der Praxis: wie es technisch funktioniert

Die Architektur ist unspektakulärer, als sie klingt. Authentik wird zum Identity Provider für alles außerhalb des Microsoft-Stacks – Linux-SSO über OIDC, SaaS-Anwendungen über SAML 2.0, Legacy-Systeme über das LDAP-Outpost, VPNs über das RADIUS-Outpost.

Die Brücke zu Microsoft 365 ist Standard-Föderation: Authentik und Entra ID lassen sich über OIDC oder SAML verbinden, sodass Single Sign-On erhalten bleibt – Nutzer melden sich einmal an, unabhängig davon, ob die Zielanwendung im Microsoft-Stack liegt oder nicht. Die Identitäten der Nicht-Microsoft-Welt landen dabei nicht in der Microsoft-Cloud.

Für besonders schützenswerte Anwendungen lassen sich in Authentik Conditional-Access-Policies (GeoIP, Impossible Travel, Device Posture) aktivieren und Hardware-Keys nach WebAuthn/FIDO2 als Standard etablieren. Mit Managed Authentik von authhost übernimmt der Betrieb – Updates, Backups, Monitoring – ein Team in Deutschland; die Datenhoheit bleibt beim Kunden.

Fazit

Microsoft Entra ID ist im deutschen Mittelstand allgegenwärtig – aber selten eine bewusste Entscheidung. Es kommt mit Microsoft 365 mit. 2026 lohnt sich der bewusste Blick: Die CLOUD-Act-Lage hat sich verfestigt, NIS2 macht Identity zur dokumentationspflichtigen Geschäftsführungsfrage, und die Lizenzkosten steigen.

Die ehrliche Antwort ist für die meisten Unternehmen nicht „Microsoft rauswerfen", sondern Coexistence: Entra ID bleibt, wofür es gebaut ist – den Microsoft-365-Stack. Authentik übernimmt alles andere – quelloffen, auf deutscher Infrastruktur, zu planbaren Kosten. Wer M365 nutzt und daneben Linux-Server, Custom-Apps oder Legacy-Systeme betreibt, fährt mit der Doppel-Strategie meist sauberer und souveräner als mit „Entra für alles".

Jetzt Managed Authentik kennenlernen → | → Pläne & Preise ansehen

Quellen

1. Microsoft – Entra Pricing-Übersicht: microsoft.com
2. Microsoft Security Blog – Gartner Magic Quadrant for Access Management 2025: microsoft.com
3. CISA / Cyber Safety Review Board – Review of the Summer 2023 Microsoft Exchange Online Intrusion (20.03.2024): cisa.gov
4. Microsoft MSRC – Midnight Blizzard / Nation-State Actor (Januar/März 2024): microsoft.com
5. Microsoft France vor dem französischen Senat – CLOUD-Act-Aussage (Juni 2025): Berichterstattung u. a. borncity.com
6. Hamburgischer Beauftragter für Datenschutz – Microsoft kann US-Zugriff auf EU-Cloud nicht verhindern (08/2025): datenschutzbeauftragter-hamburg.de
7. The Register – Schleswig-Holstein migriert auf Open Source (10/2025): theregister.com
8. The Irish Times – A small German state's quiet revolt against Microsoft (02/2026): irishtimes.com
9. Wintive – Microsoft Entra ID Complete Guide 2026 (Agent 365, M365 E7): wintive.com
10. SAMexpert – Microsoft Entra ID Licensing Guide & M365-Preisänderungen 2026: samexpert.com
11. breached.company – Azure Front Door Outage (29.10.2025): breached.company
12. Authentik – Offizielle Website & Lizenz: goauthentik.io
13. Authentik – Release 2025.10 (Redis-Abhängigkeit entfernt): goauthentik.io
14. NIS2-Richtlinie (EU) 2022/2555 – Risikomanagement-Maßnahmen (Art. 21): eur-lex.europa.eu