Der IGA-Kaufratgeber für den Mittelstand: Warum Enterprise-Suiten überdimensioniert sind
Enterprise-IGA-Suiten sind für Unternehmen mit 10.000 Mitarbeitenden und eigenen IAM-Teams gebaut. Wenn Sie 500 bis 5.000 Mitarbeitende haben und ein schlankes IT-Team, erfahren Sie hier, worauf es wirklich ankommt - und was Sie vermeiden sollten.
9 Min. Lesezeit · Zuletzt aktualisiert Juni 2026
Sie haben 800 Mitarbeitende, über 60 SaaS-Apps und einen IT-Generalisten, der gleichzeitig die Helpdesk-Queue betreut. Ihr Auditor hat gerade nach Belegen für vierteljährliche Access-Reviews gefragt. Sie googeln "IGA-Plattform" und landen bei SailPoint, Saviynt und einem Gartner Magic Quadrant, der für die Beschaffungsabteilungen von Fortune-500-Unternehmen geschrieben wurde.
Dieser Leitfaden ist nicht für diese Unternehmen gedacht. Er ist für Sie.
Die ehrliche Version: Die meisten IGA-Inhalte sind für Organisationen geschrieben, die eigene IAM-Ingenieure, mehrjährige Implementierungsbudgets und die Geduld für einen 12-monatigen Rollout mitbringen. Wenn das nicht auf Sie zutrifft - und für die meisten Unternehmen mit 500 bis 5.000 Mitarbeitenden tut es das nicht - brauchen Sie eine andere Shortlist und andere Kaufkriterien.
Warum Enterprise-IGA der falsche Ausgangspunkt ist
Enterprise-IGA-Plattformen wie SailPoint und Saviynt wurden für einen ganz bestimmten Kunden konzipiert: große, regulierte Unternehmen mit komplexer On-Premises-Infrastruktur, eigenen Identity-Engineering-Teams und Governance-Programmen, die Mainframes, ERP-Systeme und Tausende von individuellen Konnektoren umfassen.
Beide Plattformen sind primär für Enterprise-Organisationen mit dedizierten IAM-Teams ausgelegt. Das ist keine Kritik - es ist eine bewusste Designentscheidung. Das Problem: Mittelständische Käufer landen trotzdem immer wieder in deren Vertriebsprozessen, weil die Analysten-Coverage und der SEO-Fußabdruck sie wie die Standardantwort aussehen lassen.
Die Zahlen sprechen eine deutliche Sprache. Enterprise-IGA - SailPoint, Saviynt, One Identity Manager - ist für Organisationen mit Tausenden von Usern, komplexer On-Premises-Infrastruktur und eigenen Identity-Engineering-Teams gebaut. Implementierungszyklen dauern 12 bis 18 Monate. Der laufende Betrieb erfordert spezialisierte Kenntnisse. Die Leistungsfähigkeit ist real - aber ebenso die Kosten und die Komplexität.
Auf der Kostenseite ist die Lücke noch größer, als die meisten Käufer erwarten. Basierend auf Drittanbieter-Beschaffungsdaten und Kundenberichten zahlen mittelständische Unternehmen für SailPoint typischerweise zwischen 100.000 und über 500.000 Euro jährlich, wobei Professional Services im ersten Jahr häufig 30 bis 60 Prozent der Gesamtkosten ausmachen. Die Analyse von Vendr auf Basis von 30 verifizierten SailPoint-Käufen zeigt, dass der mittlere Jahresvertragswert bei 113.354 US-Dollar liegt - mit einer Spanne von 22.043 bis 528.594 US-Dollar. ([1])
Und das, bevor die versteckten Kosten eingerechnet werden. Laut Branchenanalysen liegen die Professional-Services-Kosten für SailPoint-Implementierungen typischerweise beim Zwei- bis Dreifachen der Lizenzkosten. Die Implementierung ist bekanntermaßen aufwendig, dauert oft über ein Jahr bis zur Betriebsreife, und die Professional-Services-Kosten können den ursprünglichen Softwarepreis verdreifachen. ([2])
Das Fazit für Organisationen mit weniger als 5.000 Mitarbeitenden ist eindeutig: Sowohl SailPoint als auch Saviynt sind für den Enterprise-Bereich konzipiert - der Implementierungsaufwand, die laufenden Wartungsanforderungen und die Preisgestaltung übersteigen häufig das, was mittelständische Unternehmen tatsächlich benötigen. ([3])
Die Enterprise-IGA-Falle: Wenn ein Anbieter ein Professional-Services-Engagement voraussetzt, bevor Sie live gehen können, zusätzliche Gebühren pro Connector auf die Lizenzkosten aufschlägt oder einen Deployment-Zeitraum von 6–9 Monaten als Standard angibt, haben Sie es mit einem Tool zu tun, das für ein dreimal so großes Team konzipiert wurde. Gehen Sie und erstellen Sie Ihre Shortlist entsprechend.
Die SCIM-Mauer: Warum "modernes IGA" oft auch nicht ausreicht
Also überspringen Sie die Legacy-Giganten und schauen sich neuere, schlankere Tools an - solche, die als "modernes IGA" oder "SSO-nahes Governance" vermarktet werden. Viele davon lassen sich tatsächlich einfacher einsetzen. Aber die meisten stoßen schnell an eine harte Grenze: Sie können nur Apps steuern, die SCIM unterstützen.
SCIM (System for Cross-domain Identity Management) ist der offene Standard, der es Identity-Plattformen ermöglicht, die Provisionierung und Deprovisionierung von Konten zu automatisieren. Wenn es funktioniert, ist es großartig. Der Haken: SCIM-Zugriff ist häufig hinter Enterprise-Tarifen von SaaS-Anbietern verborgen. Eine aktuelle Analyse von 721 SaaS-Apps ergab, dass nur 9 davon eine nutzbare SCIM-Provisionierung anboten, ohne Kunden auf teurere Enterprise-Tarife zu zwingen - womit SCIM für rund 98,8 Prozent dieser Apps für mittelständische Käufer faktisch unzugänglich ist. ([4])
Das praktische Ergebnis: Die meisten SSO- und "modernen IGA"-Tools automatisieren die 20 bis 40 Prozent Ihres Stacks, die SCIM oder APIs unterstützen. Der Rest - Nischen-SaaS, abteilungseigene Tools, OT/ICS, Eigenentwicklungen - bleibt manuell. ([5])
Omdia-Forschungsergebnisse zeigen, dass nur 54 Prozent der verfügbaren Apps (SaaS, Cloud-Infrastruktur, On-Premises) ausreichend in IGA integriert waren. ([6]) Das bedeutet: Fast die Hälfte Ihres Stacks ist ungesteuert - und Auditoren interessiert es nicht, dass SCIM nicht verfügbar war.
Wenn 80 Prozent eines Applikationsportfolios nicht mit den Governance- oder Provisionierungs-Workflows einer IGA-Lösung verbunden sind, wächst das Lifecycle-Risiko schnell. Ausgeschiedene Mitarbeitende behalten möglicherweise tagelang oder wochenlang aktive Konten. Rollenwechsel lösen möglicherweise keine Access-Reviews aus. Temporäre Zugriffe laufen möglicherweise nie ab. Mit der Zeit häufen sich verwaiste Konten an, und Audit-Trails fragmentieren sich über Systeme, die nicht zentral abgeglichen werden können. ([7])
Das ist die SCIM-Steuer in der Praxis: Sie zahlen Enterprise-SaaS-Preise, nur um ein Provisionierungsprotokoll freizuschalten - und decken damit immer noch nicht den langen Schwanz ab. Für ein schlankes Team, das 60+ Apps verwaltet, ist das keine Governance-Strategie - es ist eine Governance-Illusion.
Die fünf Kaufkriterien, die bei 500 bis 5.000 Mitarbeitenden wirklich zählen
Vergessen Sie die Enterprise-RFP-Checkliste. Das sind die Faktoren, die darüber entscheiden, ob eine IGA-Plattform für ein schlankes Team tatsächlich funktioniert.
1. Applikationsabdeckung (nicht nur SCIM-Unterstützung)
Die richtige Frage lautet nicht: "Wie viele SCIM-Konnektoren haben Sie?" Sondern: "Welchen Anteil meines tatsächlichen App-Stacks können Sie steuern - einschließlich Apps ohne SCIM oder APIs?" Bitten Sie Anbieter, die Abdeckung für Ihre spezifischen Long-Tail-Apps live zu demonstrieren: Notion, Figma, Linear, Nischen-HR-Tools, interne Portale. Lautet die Antwort "Dafür müssten wir einen individuellen Konnektor entwickeln", ist das ein Warnsignal.
2. Time-to-Value (Tage, nicht Monate)
Traditionelle IGA-Plattformen wie Saviynt können sechs Monate oder länger für die Implementierung benötigen - und verzögern damit genau die Sicherheits- und Compliance-Vorteile, für die Sie die Plattform gekauft haben. ([8]) Für ein mittelständisches Team mit einem Audit-Termin in 90 Tagen ist das keine Option. Setzen Sie auf Plattformen, die in wenigen Tagen live gehen und erste Automatisierungen in unter einer Woche liefern.
3. Access-Reviews ohne Spezialistenwissen
Access-Zertifizierungskampagnen sind der Punkt, an dem die meisten schlanken Teams versinken. Die richtige Plattform sollte es einem Nicht-IAM-Spezialisten - einem Abteilungsleiter, einem Compliance-Verantwortlichen - ermöglichen, einen aussagekräftigen Access-Review durchzuführen, ohne Role-Mining oder Entitlement-Hierarchien verstehen zu müssen. Wenn der Review-Workflow eine Schulung erfordert, wird er schlicht nicht durchgeführt.
4. Vollständige Joiner-Mover-Leaver-Automatisierung
Onboarding und Offboarding sind die häufigsten und risikoreichsten Identity-Ereignisse. Die Plattform muss den vollständigen JML-Zyklus über Ihren gesamten App-Stack hinweg automatisieren - nicht nur die SCIM-freundlichen 30 Prozent. Benchmarks zeigen, dass Organisationen routinemäßig 30 bis 50 Prozent ihrer SaaS-Budgets für ungenutzte oder kaum genutzte Lizenzen verschwenden. ([4]) Automatisierte Deprovisionierung ist die Lösung - aber nur, wenn sie jede App erreicht.
5. Transparente, nutzerbasierte Preisgestaltung
Undurchsichtige Enterprise-Preismodelle - individuelle Angebote, Gebühren pro Konnektor, Modul-Add-ons, Professional-Services-Multiplikatoren - sind ein Budgetrisiko, das Sie sich nicht leisten können. Achten Sie auf transparente Preise pro User ohne versteckte Konnektor-Kosten und ohne die Notwendigkeit, Ziel-Apps auf Enterprise-Tarife upgraden zu müssen, nur um Governance zu ermöglichen.
Warnsignale: Wann Sie das Gespräch beenden sollten
Warnsignale bei der Bewertung eines IGA-Anbieters:
- Erfordert einen Vollzeit-Administrator — wenn die eigene Dokumentation des Anbieters einen dedizierten IAM-Engineer voraussetzt, ist die Plattform nicht für Ihre Teamgröße ausgelegt.
- Gebühren pro Connector — zusätzliche Kosten für jede Integration summieren sich schnell bei einem Stack von 60 Apps und schaffen falsche Anreize, Apps unverwaltet zu lassen.
- 6–9 Monate Standard-Deployment — das ist ein Enterprise-Implementierungszeitplan. Mid-Market-Teams können und sollten nicht so lange warten.
- Professional Services für den Go-live erforderlich — wenn Sie das initiale Setup nicht selbst durchführen können, kaufen Sie ein Beratungsengagement, kein Produkt.
- Nur SCIM-Abdeckung — wenn der Anbieter Apps ohne SCIM-Endpunkte nicht verwalten kann, landen Sie für 60–80 % Ihres Stacks wieder bei Tabellenkalkulationen.
- Intransparente Preisgestaltung — wenn Sie ohne ein Verkaufsgespräch keinen Preis pro Nutzer erhalten, gehen Sie davon aus, dass der Preis Ihr Budget übersteigt.
Ein praktisches Framework für die Shortlist
Bevor Sie Demos buchen, prüfen Sie jeden Kandidaten anhand dieser Scorecard. Bewerten Sie jedes Kriterium mit 1 bis 5 und gewichten Sie es entsprechend Ihrer Situation.
So nutzen Sie die Scorecard in der Praxis
Führen Sie diese Bewertung vor Ihrem ersten Demo-Termin durch, nicht danach. Sie zwingt Sie dazu, Kriterien gegen Ihre tatsächliche Situation abzuwägen - ein Unternehmen, das SOC 2 in 60 Tagen anstrebt, sollte Time-to-Value höher gewichten; eines mit einem weitverzweigten SaaS-Stack sollte die Abdeckungsbreite am stärksten gewichten.
Verwenden Sie dieselbe Scorecard für jeden Anbieter, den Sie evaluieren. Die Disziplin einer konsistenten Bewertung deckt die Lücke zwischen Demo-Glanz und realem Fit auf.
Wo die verschiedenen Anbieter tatsächlich passen
Um direkt zu sein:
Wenn Sie ein Großunternehmen sind - mit einem großen IAM-Team, einem mehrstelligen Millionenbudget und einem mehrjährigen Plan - sind Legacy-Anbieter nach wie vor eine Option. Aber wenn Sie Identity für 200, 800 oder 1.500 Personen mit einer Handvoll Admins und einem Labyrinth aus Nicht-SCIM-SaaS verwalten, brauchen Sie andere Tools. ([9])
Speziell für den Mittelstand:
- SailPoint / Saviynt - passend für große Unternehmen mit eigenen IAM-Teams und komplexen On-Premises-Umgebungen. Falsch dimensioniert, wenn Sie unter 5.000 Mitarbeitende haben und keine besetzte IAM-Funktion.
- Okta Identity Governance / Microsoft Entra ID Governance - solide, wenn Sie vollständig auf ein SSO-Ökosystem setzen und Ihr App-Stack überwiegend SCIM-freundlich ist. Abdeckungslücken entstehen schnell, sobald Sie den Long Tail erreichen.
- ConductorOne / Lumos - schneller einzusetzen als Legacy-Plattformen, gut für workflow-zentrierte Access-Reviews. Für die Provisionierungsautomatisierung nach wie vor primär SCIM-abhängig.
- Iden - speziell für das Segment mit 50 bis 2.000 Mitarbeitenden, SaaS-lastigem Stack und schlankem IT-Team entwickelt. Idens universelle Konnektor-Technologie erreicht 175+ Apps (und wächst weiter), einschließlich Apps ohne SCIM oder APIs, mit neuen individuellen Konnektoren in ca. 48 Stunden. ([5]) Iden-Kunden berichten von 80 Prozent weniger Zugriffstickets, 120 eingesparten Stunden pro Quartal bei Access-Reviews und bis zu 30 Prozent Reduzierung der SaaS-Ausgaben durch Lizenzrückgewinnung und den Verzicht auf SCIM-getriebene Upgrades. ([9]) Deployments gehen in ca. 24 Stunden live, ohne dedizierten IAM-Administrator.
| Criterion | Enterprise IGA (SailPoint/Saviynt) | SCIM-Only Modern IGA | Iden (Universal Coverage) |
|---|---|---|---|
| Deployment time | 6–18 months | 4–12 weeks | ~24 hours |
| App coverage | Broad (with custom connectors) | SCIM apps only (~20–40% of stack) | 175+ apps incl. non-SCIM |
| Dedicated admin required? | Yes | Often | No |
| Per-connector fees? | Common | Sometimes | No |
| Access reviews without specialist? | Difficult | Moderate | Yes |
| Pricing transparency | Opaque / custom | Moderate | Per-user, predictable |
| Best fit | 10,000+ employees, IAM team | SCIM-heavy stacks, SSO-first | 500–2,000 employees, lean IT |
Der ehrliche Vorbehalt
Iden ist nicht für jedes mittelständische Unternehmen die richtige Antwort. Wenn Sie eine stark On-Premises-geprägte Umgebung mit Mainframe-Abhängigkeiten, komplexen SAP-SoD-Anforderungen oder einem besetzten IAM-Team haben, das ein mehrjähriges Programm stemmen kann, ist eine Legacy-Plattform möglicherweise nach wie vor die richtige Wahl. Der Punkt ist nicht, dass Enterprise-IGA schlecht ist - es ist schlicht falsch dimensioniert für die meisten Unternehmen im Bereich von 500 bis 5.000 Mitarbeitenden.
Der Fehler, den es zu vermeiden gilt: Enterprise-Zeremonie kaufen, wenn Sie operative Abdeckung brauchen. Eine Plattform, die am Tag 30 100 Prozent Ihrer Apps steuert, schlägt eine, die verspricht, 100 Prozent Ihrer Apps nach einem 18-monatigen Rollout zu steuern.
Ihr nächster Schritt
Wenn Sie aktiv eine Shortlist erstellen, ist die obige Scorecard Ihr Ausgangspunkt. Prüfen Sie jeden Anbieter damit, bevor Sie einen Demo-Termin buchen. Stellen Sie dann jedem Anbieter drei Fragen, die echten Fit von Vertriebstheater unterscheiden:
- "Können Sie mir die Governance für [eine konkrete Nicht-SCIM-App in unserem Stack] zeigen - live, nicht auf der Roadmap?"
- "Was muss ein Nicht-IAM-Spezialist tun, um einen vierteljährlichen Access-Review durchzuführen?"
- "Was sind die vollständigen Kosten pro User - inklusive Konnektoren, Professional Services und Support?"
Die Antworten sagen mehr als jede Feature-Matrix.
Für mehr Kontext zur breiteren IAM-Landschaft lesen Sie unsere Artikel Die 10 besten IAM-Tools für schnell wachsende Teams 2026 und Identity-First Security Architecture für schlanke Teams.