Okta Alternative 2026: Warum Authentik für DSGVO-bewusste Unternehmen die richtige Wahl ist

Inhaltsverzeichnis

• TL;DR – Das Wichtigste in 60 Sekunden
• Warum überhaupt eine Okta-Alternative?
  • Das Kostenproblem: Pro-Nutzer-Pricing trifft den Mittelstand
  • Die SSO-Tax: Wie Okta jedes andere Tool teurer macht
  • Die Breach-Geschichte: Mehrere Vorfälle in drei Jahren
  • Das CLOUD-Act-Problem für deutsche Unternehmen
• Was kostet das wirklich? Total Cost of Ownership im Vergleich
  • Was die Tabelle ehrlich nicht zeigt
• Authentik: Die moderne Open-Source-Alternative
  • Dieselben Protokolle wie Okta – ohne Lizenzgebühren
  • Die Flow-Engine: Authentifizierungs-Logik ohne Code
  • Moderne MFA: Passkeys, WebAuthn, Hardware-Keys
  • Open Source mit verlässlicher Governance
• Authentik vs. Okta: Der Feature-Vergleich
• Die Open-Source-Alternativen im Überblick
• NIS2 und DSGVO: Warum souveränes Identity-Management 2026 zählt
  • Was NIS2 konkret fordert
  • Warum US-Anbieter ein Audit-Risiko sind
• Self-Hosting vs. Managed: Die ehrliche Rechnung
• Migration von Okta zu Authentik: Der realistische Pfad
• authhost: Managed Authentik auf deutscher Infrastruktur
• Fazit
• Quellen

TL;DR – Das Wichtigste in 60 Sekunden

• Kostenfalle Pro-Nutzer-Pricing: Okta kostet 100 Mitarbeiter rund 20.000 US-Dollar pro Jahr an Lizenz – mit Implementierung, Support und Add-ons summiert sich das erste Jahr auf das 2- bis 3-fache [1][2].
• SSO-Tax: Wer Okta einsetzt, zahlt bei vielen SaaS-Tools im Stack Aufpreise für "Enterprise SSO" – ein oft fünfstelliger versteckter Kostenblock [4].
• Vendor-Risiko: Mehrere dokumentierte Sicherheitsvorfälle in drei Jahren – beim Support-System-Breach von Oktober 2023 wurden die Kontaktdaten aller Okta-Support-Nutzer exfiltriert [6].
• Authentik: Open Source (MIT-Lizenz), alle Enterprise-Protokolle, moderne MFA, aktiv weiterentwickelt [8][10].
• Managed via authhost: Open Source plus 24/7-Betrieb auf deutscher Infrastruktur – ab 34,90 €/Monat, unbegrenzte Nutzer, DSGVO-konform.

Warum überhaupt eine Okta-Alternative?

Wer Okta heute neu einkauft oder eine Vertragsverlängerung verhandelt, stößt auf vier strukturelle Probleme, die in Verkaufsgesprächen selten thematisiert werden. Jedes für sich ist verkraftbar – in Kombination werden sie zum strategischen Risiko.

Das Kostenproblem: Pro-Nutzer-Pricing trifft den Mittelstand

Okta veröffentlicht keine vollständigen Preise. Öffentlich einsehbar ist: Die Starter Suite beginnt bei rund 6 US-Dollar pro Nutzer und Monat, die im Mittelstand häufige Essentials Suite liegt bei etwa 17 US-Dollar pro Nutzer und Monat [1]. Bei 100 Mitarbeitern sind das 20.400 US-Dollar Lizenzkosten pro Jahr – bevor irgendetwas implementiert wurde. Hinzu kommen ein Mindest-Jahresvertrag und eine jahresweise Abrechnung ohne echte monatliche Kündigungsoption.

Die wahren Kosten zeigen sich erst nach der Unterschrift. Rechnet man Implementierung, Support und Add-ons hinzu, liegt das erste Jahr laut öffentlichen Datensätzen von Vendr und CheckThat.ai bei etwa dem 2- bis 3-fachen der reinen Lizenzkosten [2][3]. Für 100 Nutzer auf Essentials bedeutet das rund 40.000 bis 80.000 US-Dollar Gesamtkosten im ersten Jahr. Zur Einordnung: Der mediane Okta-Jahresvertrag liegt nach Vendrs verifizierten Transaktionsdaten bei rund 43.840 US-Dollar [2].

Die SSO-Tax: Wie Okta jedes andere Tool teurer macht

Der versteckte Kostentreiber heißt SSO-Tax: Viele SaaS-Anbieter verlangen einen deutlichen Aufschlag auf ihre Standard-Pläne, sobald man "Enterprise SSO" mit einem Drittanbieter wie Okta nutzen möchte. AccessOwl dokumentiert Aufschläge in einer breiten Spanne, mit einem typischen Korridor von 15 bis über 100 Prozent [4].

Beispielrechnung: Ein Mittelständler mit 100 Nutzern und rund 20 SaaS-Tools im Stack zahlt durch die SSO-Tax schnell mehrere zehntausend Euro zusätzlich pro Jahr – allein dafür, dass Okta sich überhaupt mit den Tools verbinden darf. Authentik löst das strukturell anders: Über den eingebauten Proxy Provider und das LDAP-Outpost lassen sich auch Tools schützen, die nativ kein SAML unterstützen – ohne dass der jeweilige SaaS-Anbieter dafür einen teureren Tarif sehen muss.

Die Breach-Geschichte: Mehrere Vorfälle in drei Jahren

Wer einen Identity Provider einkauft, kauft Vertrauen. Genau dieses Vertrauen hat Okta in den letzten Jahren wiederholt strapaziert:

• Januar 2022: Die Gruppe Lapsus$ kompromittierte den Subprozessor Sitel, der Zugang zu Okta-Support-Systemen hatte. Rund 366 Kunden waren potenziell betroffen [5].
• Oktober 2023: Angreifer drangen über gestohlene Zugangsdaten in Oktas Support-System ein. Okta bezifferte den Impact zunächst auf "ein Prozent der Kunden" – bei 134 Kunden wurden Support-Dateien abgegriffen, teils mit aktiven Session-Tokens, was zu Folgeangriffen auf 1Password, BeyondTrust und Cloudflare führte. Später musste Okta einräumen, dass zusätzlich die Namen und E-Mail-Adressen aller Okta-Support-Nutzer im exfiltrierten Datensatz enthalten waren [6].
• 2024 und danach: Wiederholt Folgevorfälle und Diskussionen um Session-Token-Sicherheit [7].

Ein zentraler Identity Provider ist ein hochattraktives Angriffsziel, weil er Zugang zu tausenden nachgelagerten Anwendungen bündelt. Wer Okta einsetzt, kauft sich damit einen Single Point of Failure mit prominenter Angriffsfläche. Bei einer selbst gehosteten Authentik-Instanz verteilt sich dieses Risiko über viele kleine, unabhängige Installationen statt einer einzigen, global sichtbaren SaaS.

Das CLOUD-Act-Problem für deutsche Unternehmen

Selbst bei perfekter Technik bleibt für deutsche Unternehmen das regulatorische Problem: Okta ist ein US-Konzern und damit dem US CLOUD Act unterworfen. Das Gesetz verpflichtet amerikanische Unternehmen, US-Behörden auf Anfrage Zugriff auf Kundendaten zu gewähren – unabhängig vom Speicherort der Daten. Für DSGVO-relevante Workloads ist das ein Konflikt, der mit einem Auftragsverarbeitungsvertrag nur notdürftig überspielt wird. Und NIS2 verlangt explizit Maßnahmen zur Sicherheit der Lieferkette – ein US-Anbieter mit dokumentierter Breach-Historie ist hier kein Argument für, sondern gegen die Wahl.

Was kostet das wirklich? Total Cost of Ownership im Vergleich

Die folgende Tabelle zeigt die echten Gesamtkosten für einen typischen Mittelständler mit 100 Mitarbeitern. Sie unterscheidet bewusst zwischen reinem Okta-SaaS, einem komplett selbst betriebenen Authentik (DIY) und Managed Authentik via authhost.

Die Zahlen für authhost Business beziehen sich auf den Plan zu 104,90 €/Monat bei jährlicher Abrechnung (1.258,80 €/Jahr) – unbegrenzte Nutzer inklusive. Das ergibt bei 100 Mitarbeitern rund 12,59 € pro Nutzer und Jahr. Zum Vergleich: Okta Essentials liegt bei etwa 204 US-Dollar pro Nutzer und Jahr – und die Pro-Nutzer-Logik dreht sich um, denn bei authhost bleibt die Pauschale gleich, egal ob der 50. oder der 500. Nutzer dazukommt.

Was die Tabelle ehrlich nicht zeigt

Es wäre unseriös, Okta nur als "teuer und unsicher" darzustellen. Drei Bereiche, in denen Okta wirklich stark ist:

• ein sehr großer Marketplace mit tausenden vorgefertigten App-Integrationen,
• ausgereifte Customer-Success-Programme mit dediziertem Ansprechpartner in den Top-Tarifen,
• KI-gestützte Threat-Protection in den höchsten Plänen.

Für hochkomplexe, multinationale Setups mit dutzenden Spezial-Integrationen kann Okta die richtige Wahl sein. Für den deutschen Mittelstand mit 50–1.000 Mitarbeitern, standardisierten SaaS-Anwendungen und klaren DSGVO- und NIS2-Anforderungen ist die Antwort jedoch meist eine andere.

Vergleich basiert auf öffentlich verfügbaren Informationen, Stand Mai 2026. Okta-Preise in US-Dollar, authhost-Preise in Euro. Funktionen, Preise und Tarife können sich jederzeit ändern – bitte direkt beim jeweiligen Anbieter prüfen. Okta® ist eine Marke der Okta, Inc. Authentik ist Open-Source-Software; das Projekt wird von der Authentik Security, Inc. (USA) gepflegt. authhost ist ein unabhängiger Managed-Hosting-Anbieter und steht in keiner Verbindung zu diesen Unternehmen.

Authentik: Die moderne Open-Source-Alternative

Authentik ist ein Open-Source Identity Provider, der 2018 gestartet wurde und sich explizit als modernere Alternative zu kommerziellen IdPs wie Okta positioniert [8]. Das Projekt hat über 21.000 GitHub Stars [10] und wird aktiv weiterentwickelt.

Dieselben Protokolle wie Okta – ohne Lizenzgebühren

Authentik unterstützt alle relevanten Standards: OAuth 2.0, OpenID Connect, SAML 2.0, LDAP, RADIUS und SCIM. Für SSO interner und Cloud-Anwendungen, MFA für Mitarbeiter und zentrale Benutzerverwaltung bietet Authentik denselben funktionalen Kern wie Okta – nur eben quelloffen und ohne Pro-Nutzer-Lizenz. Über das Proxy-Outpost lassen sich auch Anwendungen absichern, die selbst kein SSO können, und das LDAP-Outpost bindet Legacy-Systeme und Netzwerkgeräte an.

Die Flow-Engine: Authentifizierungs-Logik ohne Code

Das Herzstück von Authentik ist das Flow-System. Statt starrer Konfigurationsmasken setzen Sie Authentifizierungs-Workflows aus einzelnen "Stages" zusammen – Identifikation, Passwort, MFA, Consent – und steuern sie per Policy dynamisch:

• Zugriff aus dem Firmennetzwerk? → 2FA überspringen.
• Login von einer unbekannten IP? → Hardware-Key verlangen.
• Neuer Mitarbeiter? → Automatisch der richtigen Gruppe zuordnen.

Das alles konfigurieren Sie über die Admin-UI – ohne Code, ohne YAML-Dateien. Diese visuelle Flexibilität ist der Punkt, an dem sich Authentik am deutlichsten von klassischen IdPs absetzt.

Moderne MFA: Passkeys, WebAuthn, Hardware-Keys

Authentik unterstützt das volle Spektrum moderner Mehr-Faktor-Authentifizierung: TOTP über Authenticator-Apps, WebAuthn und Passkeys als phishing-resistente Verfahren, FIDO2-Hardware-Keys wie YubiKey, E-Mail-OTP sowie die Duo-Integration. Damit erfüllt Authentik die Authentifizierungs-Anforderungen, die NIS2 von regulierten Unternehmen verlangt – ohne dass dafür ein höherer Tarif fällig wird.

Open Source mit verlässlicher Governance

Authentik steht unter der MIT-Lizenz und ist damit auch kommerziell frei nutzbar [9]. Hinter dem Projekt steht die Authentik Security, Inc., organisiert als US-amerikanische Public Benefit Corporation – eine Struktur, die das Open-Source-Versprechen rechtlich absichert. Das Unternehmen hat zugesagt, keine Features aus der Open-Source-Version in die Enterprise-Version zu verschieben; der Trend geht in die andere Richtung – Remote Access Control wurde 2025 von Enterprise zu Open Source verschoben [9]. Für die Vendor-Risiko-Bewertung ist das ein wichtiger Unterschied zu klassischen SaaS-Modellen.

Authentik vs. Okta: Der Feature-Vergleich

✓ = vollständig erfüllt · ➖ = teilweise / mit Einschränkung · ✗ = nicht erfüllt

Vergleich basiert auf öffentlich verfügbaren Informationen, Stand Mai 2026. Funktionen und Tarife können sich jederzeit ändern. Okta® ist eine Marke der Okta, Inc.

Die Open-Source-Alternativen im Überblick

Authentik ist nicht der einzige quelloffene Identity Provider. Ein kurzer Überblick, wo die Stärken liegen:

Für den Mittelstand mit gemischtem Cloud- und Legacy-Stack trifft Authentik den Sweet Spot zwischen Funktionsumfang und Betreibbarkeit am besten. Wer den direkten Vergleich sucht: In Authentik vs. Authelia vs. Keycloak gehen wir die drei meistgenutzten Optionen im Detail durch, und in der Keycloak Alternative für den Mittelstand zeigen wir, warum Keycloak für kleinere Teams oft überdimensioniert ist.

NIS2 und DSGVO: Warum souveränes Identity-Management 2026 zählt

Für deutsche Entscheider ist die Frage nach einer Okta-Alternative nicht nur eine Kostenfrage, sondern zunehmend eine regulatorische.

Was NIS2 konkret fordert

Die NIS2-Richtlinie verlangt von betroffenen Unternehmen ein Bündel an Risikomanagement-Maßnahmen – darunter explizit Multi-Faktor-Authentifizierung beziehungsweise kontinuierliche Authentifizierung, Zugriffskontrolle, Maßnahmen zur Sicherheit der Lieferkette und nachvollziehbare Protokollierung [11]. Cybersicherheit wird damit zur Leitungsaufgabe: Die Verantwortung lässt sich nicht mehr vollständig an einen Dienstleister delegieren. Zentrales, sauber dokumentiertes Identity-Management ist genau einer der Bausteine, die in einem NIS2-Kontext nachgewiesen werden müssen.

Warum US-Anbieter ein Audit-Risiko sind

Ein US-gehosteter Identity Provider mit dokumentierter Breach-Historie ist in einer NIS2-Argumentation keine Stärke, sondern eine Schwäche – sowohl beim Punkt "Sicherheit der Lieferkette" als auch bei der Datensouveränität. Authentik, betrieben als Managed Service auf deutscher Infrastruktur, dreht dieses Argument um: Hosting in Deutschland, AV-Vertrag inklusive, quelloffene und damit auditierbare Software, volle Datenkontrolle. Die Compliance-Verantwortung bleibt beim Unternehmen – aber die technische und organisatorische Basis stimmt.

Self-Hosting vs. Managed: Die ehrliche Rechnung

Self-Hosting spart die Lizenzkosten – aber es ist nicht kostenlos. Wer Authentik selbst betreibt, übernimmt Einrichtung, Sicherheitsupdates, Datenbankpflege, Backups, Monitoring und TLS-Zertifikate. Vor allem aber übernimmt er die Verantwortung für die Verfügbarkeit: Fällt der Identity Provider aus, kommt niemand mehr in die angeschlossenen Anwendungen. Das verlangt im Ernstfall eine 24/7-Bereitschaft, die kleine IT-Teams selten dauerhaft leisten können.

authhost ist der Mittelweg. Wir betreiben Ihre dedizierte Authentik-Instanz als Managed Service auf Infrastruktur in Deutschland – mit automatischen, vorab getesteten Updates, täglichen Backups, 24/7-Monitoring und deutschsprachigem Support von einem Team, das Authentik im eigenen Stack produktiv einsetzt. Sie behalten die volle Datenkontrolle und die Open-Source-Freiheit; den Betriebsaufwand übernehmen wir. Die Funktionsübersicht zeigt, was in jeder Instanz steckt.

Migration von Okta zu Authentik: Der realistische Pfad

Die gute Nachricht: Eine Migration ist protokollorientiert und damit risikoarm planbar. Weil Authentik dieselben Standards spricht wie Okta – SAML, OIDC, SCIM –, lässt sich der Wechsel schrittweise und ohne harten Stichtag durchführen.

1. Authentik parallel aufsetzen. Die neue Instanz läuft neben Okta, ohne dass etwas abgeschaltet wird.
2. Anwendungen App für App umstellen. Jede Anwendung wird einzeln neu verbunden – typischerweise wenige Minuten pro App.
3. Nutzerverzeichnis via SCIM synchronisieren. Das User-Lifecycle-Management läuft über Standard-Provisioning.
4. Nach erfolgreichem Cut-over Okta abkündigen. Erst wenn alles läuft, endet der Okta-Vertrag.

Der Parallelbetrieb ist der Schlüssel: Dieselbe Anwendung kann übergangsweise mit Okta und Authentik verbunden sein, sodass Sie kontrolliert umschalten. Realistischer Zeitrahmen für ein mittelständisches Setup: 1–4 Wochen, abhängig von der Anzahl der Apps, dem MFA-Setup und etwaigen Custom Flows. Im Business-Plan begleitet ein persönlicher Setup-Call die Migration, im Enterprise-Plan kommt eine individuelle Onboarding-Begleitung dazu.

authhost: Managed Authentik auf deutscher Infrastruktur

authhost betreibt Authentik als vollständig verwalteten Service – dedizierte Instanz, Hosting in Deutschland, DSGVO-konform. Drei Pläne, alle mit unbegrenzten Nutzern:

• Starter – ab 34,90 €/Monat: Dedizierte Authentik-Instanz, SSO (OIDC, SAML, LDAP, SCIM, RADIUS), MFA, Login Flows, Proxy Provider, Remote Access Gateway, 24/7-Monitoring, automatische Backups & Updates, E-Mail-Support (48 h). Empfohlen bis 250 Nutzer.
• Business – ab 104,90 €/Monat: Alles aus Starter, plus mehr Hardware-Ausstattung, Priority Support (4 h SLA) und persönlicher Setup-Call. Empfohlen bis 1.000 Nutzer.
• Enterprise – auf Anfrage: Für mehr als 1.000 Nutzer. Dedizierte Infrastruktur, dedizierter Ansprechpartner (2 h SLA), Custom Onboarding, 99,99 % SLA-Garantie, On-Premise-Option.

Alle Pläne sind monatlich kündbar, ohne Einrichtungsgebühr, mit AV-Vertrag und automatischen Backups. Jeder Plan enthält eine 7-tägige kostenlose Testphase.

→ Pläne & Preise ansehen | → Kostenlos testen

Fazit

Okta war lange die naheliegende Wahl für Identity- und Access-Management – und ist es für manche multinationale Konzerne weiterhin. Aber für den deutschen Mittelstand hat sich die Rechnung verschoben: Pro-Nutzer-Pricing, SSO-Tax, eine Breach-Historie und die CLOUD-Act-Problematik machen Okta 2026 zu einer teuren und regulatorisch unbequemen Option.

Authentik liefert dieselben Kernfunktionen quelloffen, ohne Lizenzgebühren und mit voller Datenkontrolle. Die einzige echte Hürde ist der Betriebsaufwand – und genau den nimmt authhost ab: Managed Authentik auf deutscher Infrastruktur, DSGVO-konform, mit planbaren Kosten ab 34,90 €/Monat. Wer eine souveräne, zukunftssichere Okta-Alternative sucht, findet sie hier.

Jetzt Managed Authentik testen →

Quellen

1. Okta – Offizielle Pricing-Übersicht: okta.com
2. Vendr – Okta Pricing & verifizierte Transaktionsdaten: vendr.com
3. CheckThat.ai – Okta Pricing Deep Dive: checkthat.ai
4. AccessOwl – Okta Cost & die SSO-Tax: accessowl.com
5. Breachsense – Okta Data Breach Case Study (Vorfall-Historie): breachsense.com
6. InformationWeek – Massive Okta Breach 2023: informationweek.com
7. VentureBeat – Was Oktas Vorfälle über Identity-Security aussagen: venturebeat.com
8. Authentik – Offizielle Website & Positionierung: goauthentik.io
9. Authentik – Open Source RAC & Lizenz-Commitment: goauthentik.io
10. Authentik – GitHub Repository: github.com
11. NIS2-Richtlinie (EU) 2022/2555 – Risikomanagement-Maßnahmen (Art. 21): eur-lex.europa.eu