2012 trat der Mann zurück, der bei OAuth 2.0 die Feder führte. Seine Begründung liest sich wie eine Prognose.

Im Juli 2012 trat der Editor der OAuth-2.0-Spezifikation zurück. Eran Hammer hatte jahrelang die Feder geführt: Bei der IETF ist der Editor die Person, die den normativen Text schreibt und über das Design entscheidet, während die Arbeitsgruppe streitet, kein Korrekturleser. Davor hatte er den veröffentlichten Standard OAuth 1.0 editiert. Er zog seinen Namen von 2.0 zurück, ging, und veröffentlichte einen vielgelesenen Text mit dem Titel „OAuth 2.0 and the Road to Hell".

Sein Vorwurf war nicht akademisch. Das Protokoll, schrieb er, sei zu „einem Bauplan" ausgehöhlt worden, den jeder Anbieter zu seinem eigenen, inkompatiblen Produkt zurechtschneiden würde. Er nannte das „the enterprise way", den „WS-*-Weg". Und er warnte in aller Deutlichkeit, 2.0 „eröffnet ein ganz neues Feld, um Beratungsleistungen und Integrationslösungen zu verkaufen". Drei Monate später erschien RFC 6749, mit Dick Hardts Namen darauf.

Vierzehn Jahre später kostet es rund 125 Dollar pro Verbindung und Monat, die Unternehmensanmeldung einzuschalten, auf der dein größter Kunde besteht, oder sie steckt hinter einer Stufe namens „Enterprise", oder hinter einem „Vertrieb kontaktieren"-Button, der drei Wochen zu einer Frist hinzufügt, für die du ohnehin schon zu spät dran warst. Hammer hat die Umrisse davon 2012 gesehen, aus dem Raum heraus, in dem darüber entschieden wurde.

Es lohnt sich also, die ganze Geschichte von vorn aufzurollen: wer diese Standards geschrieben hat, was diese Leute zu bauen glaubten, und wie daraus ein Rechnungsposten wurde. Der Burggraben, der dabei herauskam, ist real. Er besteht aber aus zwei verschiedenen Materialien, und nur eines davon hält noch.

Die Protokolle waren fertig, bevor die Preisgestaltung es war

Bis 2015 war die Standardisierungsarbeit im Wesentlichen abgeschlossen. SAML 2.0 kam im März 2005 als OASIS-Standard heraus, ist also älter als das iPhone. OAuth 2.0 wurde 2012 als RFC 6749 veröffentlicht. OpenID Connect baute darauf 2014 Identität auf. SCIM, das Protokoll, das Nutzer systemübergreifend anlegt und wieder entfernt, erreichte im September 2015 seine Revision 2.0 (RFC 7642 bis 7644). Die vier Bausteine, aus denen „Enterprise-Authentifizierung" besteht, waren schon vor über einem Jahrzehnt spezifiziert, interoperabel und frei implementierbar.

Seither hat sich an ihnen nichts Wesentliches geändert. Eine heute signierte SAML-Assertion sieht aus wie eine 2008 signierte SAML-Assertion. Das schließt die übliche Rechtfertigung für einen Aufpreis aus: Neuheit. Enterprise-SSO ist keine Pionierfunktion, deren Weiterentwicklung ein Vermögen kostet, und es kostet einen Anbieter keinen Cent mehr, eine Anmeldung zu bedienen, die über SAML kam, als eine mit Passwort. Es ist gefestigte Infrastruktur. Was die Frage aufwirft, woher der Preis kommt, wenn nicht aus der Entwicklungsarbeit.

Die Arbeitsgruppen, die es geschrieben haben, waren keine Vertriebsteams

Fang bei der Frage an, wer die Spezifikationen geschrieben hat, denn das erklärt viel. SAML entstand nicht in einer Preissitzung. Es kam aus einem technischen Komitee von OASIS, und die Gründungsvorsitzende dieser Gruppe war Eve Maler, damals Technologiedirektorin bei Sun Microsystems, die jahrelang an den Markup- und Föderationsstandards gearbeitet hatte, die unternehmensübergreifende Anmeldung überhaupt erst möglich machten. Das Ergebnis war ein öffentliches Dokument, das jeder umsonst umsetzen konnte.

Die Stimmung jener Zeit war Offenheit, nicht Abschottung. Im August 2005 hielt Dick Hardt von Sxip Identity auf O'Reillys OSCON eine rasante Keynote mit dem Titel „Identity 2.0", die seither immer wieder angeschaut wird. Die Idee war ein Web, in dem deine Identität dir gehört und tragbar ist, von Seite zu Seite mitgenommen statt in jedem Verzeichnis einzeln eingesperrt. Ein Jahr später begann OAuth genauso. Blaine Cook, der an Twitters API baute, wollte einer App erlauben, in deinem Namen bei einer anderen zu handeln, ohne dass Nutzer ihre Passwörter herausgeben, fand dafür keinen offenen Standard und setzte sich Anfang 2007 mit Chris Messina, David Recordon und einer Handvoll anderer hin, um einen zu schreiben. Die erste OAuth-Spezifikation erschien noch im selben Jahr. Niemand in dieser Gruppe wollte eine Mautstelle bauen. Sie wollten dem Web abgewöhnen, Menschen nach ihren Passwörtern zu fragen.

Wovor Hammer tatsächlich gewarnt hat

Dann wurde der Standard erwachsen, und der Raum füllte sich anders. OAuth 2.0 trat an, die erste Version zu verallgemeinern, und in der Arbeitsgruppe saßen zunehmend größere Interessen. Verglichen mit 1.0, schrieb Hammer beim Hinausgehen, sei das Ergebnis „komplexer, weniger interoperabel, weniger nützlich, unvollständiger und, am wichtigsten, weniger sicher" geworden. Der Vergleich, zu dem er griff, der WS-*-Stack des vorangegangenen Jahrzehnts, war das deutlichste Beispiel der Branche dafür, wie eine offene Spezifikation zu einem Markt für Integrationsarbeit wird.

Mit einem Jahrzehnt Abstand gelesen, klingt das wie eine Prognose. Das, was am Ende pro Verbindung abgerechnet werden würde, wurde 2012 bereits von genau den Leuten geformt, die später abrechnen sollten. OpenID Connect stellte Identität 2014 wieder auf ein sauberes Fundament über OAuth 2.0, entworfen von Nat Sakimura am Nomura Research Institute mit John Bradley und Mike Jones, und es ist wirklich gute Arbeit, auf der die ganze Branche bis heute läuft. Aber sieh nach, wo die Autoren saßen: Bradley bei Ping Identity, Jones bei Microsoft. Die Spezifikationen blieben offen und frei implementierbar. Die Menschen, die sie schrieben, arbeiteten zunehmend für die Unternehmen, die das Ergebnis verkaufen würden.

Dieselben Leute, die den Standard schrieben, verkauften ihn später

Die kommerzielle Schicht kam nicht von außen in die Standardwelt. Sie wuchs direkt aus ihr heraus, oft durch dieselben Hände. Eve Maler, die bei Sun die Gruppe leitete, aus der SAML hervorging, ging 2014 als VP of Innovation zu ForgeRock und wurde später deren Technikchefin. ForgeRock selbst baute auf dem Identitäts-Stack auf, den Sun als OpenSSO quelloffen gemacht hatte, und wurde 2023 in Ping Identity eingegliedert. Ping gibt es seit 2002, früh genug, um am Föderations-Drehbuch mitzuschreiben, das es danach zwei Jahrzehnte lang verkaufte. Nichts davon war hinterhältig. Der Punkt ist enger und seltsamer: Die offene Spezifikation und das bepreiste Produkt waren nie zwei getrennte Welten. Dieselbe Expertise hat beides geschrieben.

Die Cloud-Generation erbte das Muster, und der Preisinstinkt fuhr mit. Okta wurde 2009 von Todd McKinnon, der bei Salesforce die Entwicklung geleitet hatte, und Frederic Kerrest gegründet; 2017 ging das Unternehmen an die Börse und zahlte 2021 6,5 Milliarden Dollar in Aktien für Auth0. Auth0 war das entwicklerfreundliche Angebot, 2013 von zwei argentinischen Ingenieuren gestartet, Eugenio Pace und Matías Woloski, die sich bei Beratungsprojekten kennengelernt hatten und Login in einer App auf ein paar API-Aufrufe reduzieren wollten. Dass eine Firma, deren gesamtes Versprechen Entwicklerkomfort war, trotzdem sechseinhalb Milliarden Dollar wert war, ist der verräterische Punkt: Wem die Login-Box gehört, dem gehört eine Straße, über die jede andere Funktion fahren muss. Die jüngste Welle sagt es in ihrem Marketing offen. WorkOS, 2019 von Michael Grinich gegründet, verkauft das, was er die Überquerung des „enterprise chasm" nennt: ein Produkt „enterprise-ready" machen, indem man genau die Teile liefert, die abgerechnet werden, also SSO, Verzeichnisabgleich, Audit-Logs. SSO ist das Enterprise-Teil. Bei SSO liegt das Geld. Also bekommt SSO das Preisschild.

Warum der Preis an deiner Frist hängt, nicht am Code

Rob Chahin fiel das Muster auf, und 2019 startete er unter sso.tax eine öffentliche Liste, die „SSO Wall of Shame", die katalogisiert, wie viel Softwarefirmen dafür verlangen, SAML einzuschalten. Manche Aufschläge sind schon auf den ersten Blick absurd: ein Basistarif, der sich in dem Moment vervielfacht, in dem SSO darauf auftaucht. Die Liste ist lang, weil die Strategie funktioniert.

Sie funktioniert wegen des Zeitpunkts, zu dem der Käufer die Funktion braucht. Niemand kauft SSO an einem ruhigen Nachmittag ein. Du brauchst es in dem Moment, in dem das Sicherheitsteam eines großen Kunden es zur Bedingung für die Unterschrift macht, oder in der Woche, in der dein eigener SOC-2-Auditor fragt, wie du Zugriffe durchsetzt. Du brauchst es gegen eine Frist, mit einem Abschluss oder einem Zertifikat auf dem Spiel, und du brauchst es sofort. Das ist der am wenigsten preissensible Moment, den ein Käufer je hat, und die Preisgestaltung ist genau darauf gebaut. Der Aufpreis war nie an den Grenzkosten einer SAML-Implementierung ausgerichtet, die praktisch null sind. Er war daran ausgerichtet, wie wenig Hebel du an dem Tag hast, an dem du es endlich brauchst.

Das ist die wahre Form dessen, was man SSO-Steuer nennt. Kein Preis auf eine Funktion. Ein Preis auf eine Frist.

Woraus der Burggraben wirklich besteht

Wie verteidigungsfähig ist diese Position also? Der Burggraben der etablierten Anbieter ist real, aber er besteht aus zwei getrennten Materialien, und die sind nicht gleich fest.

Das erste ist Komplexität. SAML ist alt, aber es ist nicht einfach, es gut umzusetzen. Signaturprüfung, XML-Kanonisierung, verschlüsselte Assertions, Metadaten, die rotieren, und der lange Schwanz an Eigenheiten, die jeder Identitätsanbieter anders ausliefert: alles davon korrekt und sicher hinzubekommen, war historisch wochenlange Spezialistenarbeit und eine ergiebige Quelle für Sicherheitslücken, wenn es schiefging. SCIM bringt seine eigene Angriffsfläche mit. Das einmal zu bauen war eine echte Investition. Es gegen jeden IdP zu bauen, den deine Kunden mitbringen könnten, und zuverlässig zu betreiben, war ein Burggraben, hinter dem eine ganze Firma Platz fand.

Das zweite Material ist Vertrauen. Ein Sicherheitsteam im Unternehmen muss deine Identitätsschicht akzeptieren, und das heißt SOC 2, Penetrationstests, eine Historie, eine Firma, die es in fünf Jahren noch gibt, und jemanden, den man um zwei Uhr nachts anrufen kann, wenn die Föderation ausfällt. Kein noch so kluger Code kürzt das ab. Es wird langsam verdient, und es ist mit großem Abstand die härtere Hälfte des Burggrabens.

Zwanzig Jahre lang haben sich diese beiden Hälften gegenseitig verstärkt, und die Preisgestaltung behandelte sie als eine einzige, unteilbare Sache. Sie sind nicht eine Sache.

Die Hälfte des Burggrabens, die die KI abträgt

Und hier hat sich etwas geändert. Die Komplexitätshälfte dieses Burggrabens war im Kern ein Wissens- und Arbeitsproblem: Die Protokolle sind gut spezifiziert und ausführlich dokumentiert, aber sie korrekt zu verdrahten kostete knappe, teure Expertise und viele Stunden. Genau bei dieser Art Problem sind KI-Programmierassistenten stark. Ein gefestigter, zwanzig Jahre alter Standard mit reichlich öffentlichen Referenzimplementierungen ist für sie fast der beste Fall. Arbeit, für die früher ein Identitätsspezialist einen Monat brauchte, braucht zunehmend einen fähigen Entwickler und einen guten Assistenten für eine Woche.

Sei vorsichtig damit, was das erodiert und was nicht. Die Vertrauenshälfte rührt es nicht an. KI reicht dir kein SOC 2, keinen Ruf in Sicherheitsfragen und keine Rufbereitschaft, und wenn überhaupt macht die Flut maschinell erzeugten Auth-Codes einen geprüften, kampferprobten Anbieter wertvoller, nicht weniger wert. Aber an die Komplexitätshälfte legt sie die Motorsäge. Das zählt, weil die Preisgestaltung sich stillschweigend auf beide Hälften gleichzeitig gestützt hat. Wenn SAML zu implementieren aufhört, ein Burggraben zu sein, und zu einem Wochenende wird, ist „nur für Enterprise" keine Aussage mehr darüber, was schwer zu bauen ist. Es ist eine Aussage darüber, wofür der Anbieter sich entschieden hat, Geld zu nehmen. Der Fähigkeitsabstand schließt sich schneller, als die Preisliste zugibt.

Ein kleines Team, das die besteuerten Funktionen verschenkt

Wir sind ein Datenpunkt in dieser Debatte. Authagonal ist ein kleines Team, und SSO, SAML und SCIM sind bei uns kein Upsell; sie liegen im kostenlosen Tarif, mit unbegrenzten Verbindungen, bis zu 250 monatlich aktiven Nutzern, ohne Karte. Die bezahlten Tarife beginnen bei 29 Dollar im Monat und tragen auf jeder Stufe denselben Funktionsumfang. Stell das gegen den Marktpreis für dieselbe Fähigkeit: WorkOS rechnet SSO mit rund 125 Dollar pro Verbindung und Monat ab und SCIM mit weiteren 125; Clerk gibt dir eine Verbindung, danach rund 75 Dollar für jede weitere; Auth0 legt eine Verbindung bis 25.000 Nutzer kostenlos bei und leitet produktives SSO dann auf seine teurere Business-Linie um. Wir sind nicht billiger, weil wir einen Trick gefunden haben. Wir sind billiger, weil die Funktion in der Bereitstellung fast nichts kostet und wir uns geweigert haben, sie zu bepreisen, als wäre sie knapp.

Nichts davon bedeutet, dass die etablierten Anbieter kurz vor dem Aus stehen. Die Vertrauenshälfte ihres Burggrabens ist real, und sie haben zwei Jahrzehnte darauf verwendet, sie aufzubauen. Aber die Geschichte, dass Enterprise-Authentifizierung teuer ist, weil sie schwer ist, lässt sich immer schwerer mit ernster Miene erzählen, gerade während die Werkzeuge, die sie leicht machen, alle erreichen. Um zu sehen, was die Funktionen kosten, sobald du aufhörst, die Steuer zu zahlen: unsere Preisseite stellt jede einzelne von ihnen auf denselben Tarif, und der SSO-Steuer-Rechner berechnet deine genaue Konstellation gegen die Anbieter, die sie noch immer abrechnen.