SSO ist im DACH-Enterprise-Geschäft nicht verhandelbar. Procurement-Listen aus Banken, Versicherungen, Healthcare und Industrieunternehmen verlangen SAML 2.0, oft SCIM und manchmal beides. Wer als Mid-Market-SaaS in diese Kundenkreise verkauft, stösst auf die Frage spätestens beim ersten Security-Review. Die schmerzhafte Realität bei vielen Help-Center-Tools: SSO sitzt hinter dem Enterprise-Plan und verdoppelt oder vervierfacht den Listenpreis.
Dieser Artikel klärt, was SAML vs OIDC vs SCIM wirklich ist, welche KB-Tools welche Standards unterstützen, wo die Preisfalle steckt, und welche zehn Punkte du im RFP-Prozess prüfen musst, bevor du unterschreibst. Plus eine Vergleichstabelle der wichtigsten Anbieter mit verifizierten Preisen per 2026-05-23.
Was SAML SSO wirklich ist
SAML steht für Security Assertion Markup Language. Es ist ein offener Standard, der seit Mitte der 2000er für Single Sign-On zwischen einem Identity Provider (IdP, z.B. Okta, Azure AD, OneLogin, Google Workspace, JumpCloud) und einem Service Provider (SP, in diesem Fall dein KB-Tool) verwendet wird. Der Nutzer authentifiziert sich beim IdP, der IdP stellt eine signierte Assertion aus, und der SP akzeptiert sie. Der Nutzer braucht kein Passwort beim SP, der SP delegiert die Identitätsprüfung komplett an den IdP.
OIDC, OpenID Connect, ist die modernere Alternative, baut auf OAuth 2.0 auf und liefert JSON-basierte Tokens. OIDC ist für Web- und Mobile-Anwendungen technisch einfacher zu integrieren, deckt aber denselben Use Case ab. Procurement-Teams im DACH-Enterprise verlangen typischerweise SAML, weil das das Format ist, das ihre Identity-Plattformen seit Jahren produzieren. OIDC wird zunehmend akzeptiert, aber SAML bleibt der Default.
SCIM, System for Cross-domain Identity Management, ist eine andere Schicht. Während SAML und OIDC die Anmeldung regeln, regelt SCIM das Lifecycle-Management von Nutzer-Accounts. Ein neuer Mitarbeiter im IdP führt zu automatischer Account-Erstellung im SP. Ein gekündigter Mitarbeiter führt zu automatischer Account-Deaktivierung. Ohne SCIM musst du Nutzer manuell pflegen oder über CSV-Imports, was bei 500-Personen-Teams ein operatives Problem ist.
SAML vs OIDC vs SCIM im Vergleich
Die häufigste Konstellation im DACH-Mid-Market: SAML 2.0 plus JIT Provisioning reicht für Teams bis circa 200 Mitarbeiter. Ab 500 Mitarbeitern oder regulierter Branche kommt SCIM hinzu, weil die Audit-Abteilung den Lifecycle nachvollziehen muss.
KB-Tools und ihre SSO-Unterstützung 2026
Die Konstanz quer durch die Liste: SAML SSO ist bei den meisten Anbietern hinter dem mittleren oder höchsten Plan-Tier versteckt. HubSpot, Notion und Document360 koppeln SSO direkt an den Enterprise-Plan. Confluence verlangt Atlassian Access als separates Add-on. Help Scout und Zendesk öffnen SSO ab dem mittleren Tier, was bezahlbarer ist, aber immer noch einen Plan-Sprung erzwingt.
Die SSO-Falle: warum SSO die Rechnung verdoppelt
Bei vielen SaaS-Anbietern hat sich eine Praxis etabliert, die unter dem Begriff "SSO Tax" bekannt ist: SSO wird systematisch an den Enterprise-Plan gekoppelt, oft mit zwei- bis viermal höheren Preisen als der nächstniedrigere Tier. Konkrete Beispiele aus dem KB-Markt: HubSpot Service Hub Enterprise kostet 150 USD pro Sitz pro Monat versus 100 USD im Professional, mit Mindestabnahme. Notion Enterprise verlangt einen signifikanten Aufschlag gegenüber Business, ohne öffentlichen Listenpreis. Zendesk Suite Professional kostet circa 115 EUR pro Agent versus circa 89 EUR im Growth-Tier, allein für SSO und ein paar zusätzliche Features.
Die Begründung der Vendoren ist, dass SSO eine Enterprise-Anforderung ist und Enterprise-Plans entsprechend bepreist werden. Die Realität ist, dass viele Mid-Market-Teams SSO brauchen, ohne den restlichen Enterprise-Funktionsumfang (Custom-Roles, dedizierte CSM, Premium-Support) zu benötigen. Sie zahlen für das ganze Paket, nutzen aber nur einen Bruchteil.
Wer das vermeiden will, sollte explizit nach Anbietern suchen, die SAML im Mid-Tier oder im Standard-Plan anbieten. HappySupport ist hier bewusst anders positioniert: SAML ist im Standard-Plan enthalten, ohne Tier-Sprung. Andere Anbieter mit ähnlichem Ansatz: KnowledgeOwl Premium und einige OSS-Optionen wie Zammad.
10-Punkte-Checkliste vor dem Vertrag
- SAML 2.0 unterstützt, oder nur OIDC. SAML ist DACH-Default.
- SP-initiated SSO, IdP-initiated SSO, oder beide. SP-initiated ist Standard, IdP-initiated ist für Portale wichtig.
- Mehrere IdPs gleichzeitig möglich, oder nur einer. Wichtig bei M&A oder Multi-Brand.
- SCIM für Provisioning, oder nur manuelle Anlage. Bei 500+ Mitarbeitern hartes Kriterium.
- JIT Provisioning verfügbar. Account-Anlage beim ersten Login.
- Signing-Cert-Rotation dokumentiert. Wie oft, wie wird der Cert-Wechsel kommuniziert.
- Audit-Logs für SSO-Events. Wer hat sich wann angemeldet, von welcher IP.
- Role-Mapping über SAML-Attribute oder SCIM-Gruppen.
- Staging- und Produktions-Tenants separat konfigurierbar. Test ohne Production-Risiko.
- Pre-integrierte IdPs. Okta, Azure AD, Google Workspace, OneLogin, JumpCloud sind die Standards.
Identity-Provider-Integration im Mid-Market
Die fünf häufigsten IdPs im DACH-Mid-Market: Microsoft Entra ID (vormals Azure AD) für Unternehmen mit Microsoft 365, Okta für SaaS-First-Stacks, Google Workspace für kleinere Tech-Teams, JumpCloud für Teams ohne dedizierte IT-Abteilung, OneLogin als günstigere Alternative. Jeder seriöse KB-Anbieter sollte mit allen fünf pre-integriert sein, also eine fertige Connector-App im IdP-Marketplace anbieten.
Wenn die Integration nicht pre-integriert ist, wird das Setup zur manuellen XML-Konfiguration. Das ist machbar, aber zeit-aufwendig und fehleranfällig. Vor dem Vertrag prüfen, wie der IdP-Setup-Pfad aussieht.
Häufige Procurement-Fehler
Erster Fehler: SSO erst im letzten Quartal vor dem Renewal beantragen. Vendor-seitig sind das fast immer Wochen, manchmal Monate Setup, weil die Integration konfiguriert und getestet werden muss.
Zweiter Fehler: SCIM mit SSO gleichsetzen. SSO regelt nur die Anmeldung, SCIM regelt das Lifecycle. Wer SCIM nicht explizit fordert, bekommt ihn oft nicht, auch im Enterprise-Plan.
Dritter Fehler: den Tier-Sprung akzeptieren, ohne zu verhandeln. Viele Anbieter machen SSO-Add-on-Deals jenseits der Listenpreise, vor allem bei Multi-Year-Verträgen oder Annual-Prepay.
Vierter Fehler: SSO nur für die Admin-Seite konfigurieren, nicht für die End-Nutzer-Seite. Bei einem externen Help Center mit eingeloggten Kunden ist SSO für die Customer-Seite oft die wichtigere Anforderung.
HappySupport im Kontext
HappySupport bietet SAML 2.0 im Standard-Plan, ohne Aufpreis und ohne Plan-Sprung. SCIM ist optional verfügbar. Die fünf großen IdPs (Okta, Azure AD, Google Workspace, JumpCloud, OneLogin) sind pre-integriert. Mehr zur Architektur findest du in unseren Artikeln zur selbst-aktualisierenden Wissensdatenbank und zur DSGVO-konformen Wissensdatenbank. Wer auf Enterprise-Anbieter vergleicht, findet die Aufschlüsselung in Wissensdatenbank für Unternehmen und im Vergleich HappySupport vs Confluence.
HappySupport sitzt neben deinem Ticketing-System, nicht statt. Wer Zendesk, Intercom, Help Scout oder einen anderen Helpdesk einsetzt, behält das. HappySupport übernimmt die Artikel-Ebene und sorgt dafür, dass die Inhalte aktuell bleiben, wenn das Produkt sich ändert.
