Erschwerend kommt dazu, dass sich der Markt gerade neu sortiert. Palo Alto Networks hat Anfang 2026 die Übernahme von CyberArk abgeschlossen, SailPoint hat Mitte des Jahres Entro Security gekauft, die Übernahme von Permiso Security durch Okta wurde angekündigt.

Die Stoßrichtung ist überall ähnlich: Sicherheit und Identität wachsen zusammen, und KI-Agenten sind der Treiber.

Praktisch heißt das: Was dir in der Demo als eine Plattform gezeigt wird, sind manchmal zwei zugekaufte Produkte mit gemeinsamem Logo, getrennten Datenmodellen und getrennter Lizenz. Frag nach, was davon wirklich integriert ist.

Auslöser

Wenn die Auswahl kein Wunschkonzert ist

Die wenigsten Auswahlprojekte starten, weil jemand Lust auf ein neues System hat. Meistens gibt es einen Auslöser, und der bestimmt den Zeitrahmen mit.

Der größte im deutschen Markt ist gerade SAP Identity Management. SAP beendet die Wartung für SAP IdM 8 Ende 2027, eine kostenpflichtige Extended Maintenance läuft bis 2030, ein Nachfolgeprodukt aus dem eigenen Haus wird es nicht geben. Wer das aktuell noch im Einsatz hat, sollte sich dringend um ein Alternativprodukt kümmern.

Ähnlich sieht es bei anderen Auslösern aus, die uns regelmäßig begegnen: ein Audit, das fehlende Nachweise moniert, ein auslaufender Lizenzvertrag, ein Zukauf, der zwei Identitätswelten zusammenbringt, oder schlicht Wachstum, das die bisherige Lösung nicht mehr abdeckt.

Allen gemeinsam ist, dass die Auswahl unter Zeitdruck läuft. Umso wichtiger ist die Vorarbeit, sonst entscheidest du zwar schnell, aber schlecht.

Vorarbeit

Das solltest du klären, bevor du den ersten Anbieter einlädst

Kläre diese Fragen vorab intern, dann kannst du im Termin über das Produkt statt über Rahmenbedingungen reden:

• Wie viele Identitäten verwaltest du, Servicekonten und technische Accounts mitgezählt?
• Welche Zielsysteme müssen zuerst angebunden werden, und welche Schnittstelle bringen sie mit?
• Wie gut ist die Datenqualität in deinen Quellsystemen, allen voran im HR-System?
• Wo dürfen deine Identitätsdaten verarbeitet werden, und gibt es dazu interne Vorgaben?
• Welche Nachweise musst du erbringen, und wer fragt sie ab: interne Revision, Wirtschaftsprüfer oder Aufsicht?
• Was ist dein Budget, inklusive Betrieb und Anpassungen?

Die Frage nach Cloud oder On Premise stellt sich übrigens kaum noch so. Ein Teil der Hersteller setzt inzwischen rein auf SaaS, andere bieten beides an. Die eigentliche Frage lautet deshalb, wo die Daten verarbeitet werden und wie souverän du aufgestellt sein willst.

Hol dir für diese Antworten Leute aus HR, Fachbereich und IT an einen Tisch. Die Anforderungen sehen aus HR-Sicht regelmäßig anders aus als aus Sicht der IT, und beide haben recht.

Regulatorik

Warum Compliance öfter entscheidet als das Feature-Set

Je nach Branche gelten unterschiedliche gesetzliche Vorgaben, und die beeinflussen die Produktauswahl oft stärker als der Funktionsumfang. Diese vier begegnen uns am häufigsten:

• NIS2: gilt in Deutschland seit Dezember 2025 und betrifft einen breiten Kreis von Unternehmen. Zugriffskontrolle kann jedes System, entscheidend ist der Nachweis. Lass dir Berechtigungshistorien und Rezertifizierungsberichte zeigen, nicht nur eine Featureliste.
• DORA: gilt seit Anfang 2025 für Finanzunternehmen. Betreibt der Anbieter dein IAM-System als Cloud- oder Managed Service, wird er selbst zum IKT-Drittdienstleister. Und weil ein IAM-System in aller Regel eine kritische oder wichtige Funktion stützt, braucht der Vertrag Prüfrechte, Regeln zur Untervergabe und eine Ausstiegsstrategie. Nicht jeder Anbieter unterschreibt das.
• eIDAS 2.0: die EUDI-Wallet soll in Deutschland Anfang 2027 starten. Wer ohnehin starke Nutzerauthentifizierung einsetzt, etwa Banken, Energieversorger, Telekommunikation oder Gesundheitswesen, muss sie ab Ende 2027 akzeptieren. Für die CIAM-Auswahl also eine Frage an den Anbieter.
• DSGVO und Datenresidenz: wo werden die Identitätsdaten verarbeitet, und welchem Recht unterliegt der Betreiber? Das ist inzwischen für viele unserer Kunden ein Ausschlusskriterium und der Grund, warum europäische Anbieter wieder stärker im Rennen sind. Mehr dazu unter digitale Souveränität im IAM.

Kläre früh, was davon auf dich zutrifft. Sonst fliegt ein Favorit erst im Einkauf raus, wenn schon alle Workshops gelaufen sind.

Anbietergespräch

Die 6 Fragen, die du jedem Anbieter stellen solltest

Unser Rat

Was wir aus unseren Auswahlprojekten mitnehmen

Die meisten Fehlkäufe entstehen nicht durch schlechte Produkte, sondern durch unklare Anforderungen.

Unser Expertenrat: Plane die Anforderungsaufnahme als eigene Projektphase mit festem Zeitbudget, bevor du den ersten Anbieter einlädst. Und besetze den Betrieb, bevor du live gehst. Was da auf dich zukommt, beschreiben wir unter IAM Betrieb nach dem Go live.

Wir begleiten solche Auswahlprozesse herstellerneutral. Welche Produkte wir dabei im Blick haben, siehst du auf unserer Technologieseite.

Q&A

Häufige Fragen zur Auswahl eines IAM-Systems

• Suite oder Best of Breed? Eine Suite reduziert Integrationsaufwand und Vertragspartner, Best of Breed liefert in der einzelnen Disziplin mehr Tiefe. Entscheidend ist, wie viele Disziplinen du wirklich brauchst und wie stark deine eigene IT die Integration tragen kann.
• Was passiert mit SAP Identity Management? Die Wartung für SAP IdM 8 endet Ende 2027, eine kostenpflichtige Extended Maintenance ist bis 2030 möglich. Ein Nachfolgeprodukt von SAP gibt es nicht, betroffene Unternehmen stehen vor einer Neuauswahl.
• Brauche ich wegen NIS2 ein IAM-System? NIS2 schreibt kein Produkt vor, verlangt aber Zugriffskontrolle, nachweisbare Prozesse und, soweit angemessen, Multifaktor-Authentifizierung.
• Kann ein System Workforce IAM und Customer IAM abdecken? Technisch ja, in der Praxis nur bedingt. Skalierung, Nutzerführung und Datenschutzanforderungen unterscheiden sich deutlich. Kläre, welcher Anwendungsfall Priorität hat. Die Unterschiede erklären wir unter Customer IAM und Workforce IAM.