Ory
Ory Corp (EU-Vertretung: Ory Germany GmbH, München) ·www.ory.com· Stand: 2026-07-30
Dieses Werkzeug mit KI durchgehen
Unser Urteil
Eine Identitätsschicht gewinnt kein Geschäft. Wer keine hat, baut sie nebenbei selbst und schleppt Sitzungsfehler, Passwort-Hashes und Anmeldeschwachstellen als Dauerlast mit. Wer eine hat, ist damit noch nicht unterscheidbar. Unternehmens-Anmeldung über SAML oder OpenID Connect öffnet Türen im Vertrieb, aber sie öffnet dieselben Türen für jeden Wettbewerber, der sie ebenfalls anbietet. Der Vorsprung liegt hinter der Anmeldung, nicht in ihr.
Belege:Tarife, Freigrenzen, Verbrauchspreise und Enterprise-MerkmaleZur QuelleISO 27001, SOC 2 Type 2, Verschlüsselung, Protokollierung von Zugriffen, Trust CenterZur QuelleWahl der Speicherregion für personenbezogene Daten, globale Replikation der BetriebsdatenZur QuelleAuftragsverarbeitung mit Standardvertragsklauseln, Stand 24. März 2025Zur QuelleVerantwortlicher Ory Corp in den USA, Ory Germany GmbH als Vertretung in der EUZur QuelleExport von Identitäten samt gehashter Zugangsdaten über die VerwaltungsschnittstelleZur QuelleKern unter Apache-2.0, Hydra und Kratos als quelloffene ServerZur QuelleEreignisströme nur für Enterprise-VerträgeZur Quelle
Für wen es taugt
Solopreneur
bedingt geeignet
Der kostenlose Tarif hat keine Produktionsumgebung. Wer live gehen will, zahlt 770 US-Dollar im Jahr oder betreibt die quelloffenen Server selbst und tauscht Lizenzkosten gegen Betriebsaufwand.
KMU
geeignet
770 US-Dollar im Jahr plus Verbrauch bleibt für ein Produkt mit einigen hundert täglich aktiven Nutzern rechenbar, und die Speicherung personenbezogener Daten in der EU kostet keinen Aufpreis.
Konzern
bedingt geeignet
Genau die Punkte, nach denen der Konzerneinkauf fragt, hängen am Enterprise-Vertrag ohne öffentlichen Preis: SAML-Anmeldung mit einem Klick, unbegrenzte Organisationen, auslesbare Ereignisströme und die Verfügbarkeitszusage von 99,99 Prozent.
Kaufen, wechseln oder bauen
Standardprodukt
Gekaufte Identitätsplattform
Auth0, Okta oder Entra liefern Anmeldeoberflächen, Verwaltungskonsole und Nachweise fertig mit. Der Einstieg ist schneller, weil man keine Oberfläche baut. Bezahlt wird mit Preisen je aktivem Nutzer, die genau dann steigen, wenn das eigene Produkt erfolgreich wird, und mit einer Datenhaltung, aus der man nur unter Aufwand wieder herauskommt.
KI-nativ
Kein KI-nativer Ersatz, aber eine neue Nachbarschaft
Für die Identitätsschicht selbst gibt es keinen KI-nativen Ersatz. Neu ist etwas anderes: Identitäten für Agenten und Dienste. Wer KI-Prozesse im eigenen Produkt laufen lässt, muss ihnen Rechte geben, die sich einzeln nachvollziehen und einzeln entziehen lassen. Ory adressiert das mit Maschinen-Token und Rechteprüfungen im selben Produkt. Das erweitert die Kategorie, es ersetzt sie nicht.
Eigenbau
Anmeldung selbst bauen
Der Einstieg wirkt harmlos: eine Tabelle mit Nutzern, ein Passwort-Hash, ein Sitzungscookie. Teuer wird die Fortsetzung, also Mehrfaktor, Wiederherstellung verlorener Zugänge, Gerätewechsel, Passkeys, SAML für Unternehmenskunden und die Prüfung durch fremde Sicherheitsteams im Einkaufsprozess. Der Eigenbau ist nur dann vertretbar, wenn die Anmeldung selbst das Produkt ist.
Unser Rat
- Solopreneur: Selbst betreiben oder den Produktionstarif nehmen, aber nicht selbst bauen.
- KMU: Kaufen, die EU-Speicherung beim Anlegen des Projekts wählen und die Verbrauchsposten monatlich mitlesen.
- Konzern: Kaufen, aber SAML, Ereignisströme und Speicherregion vor der Unterschrift schriftlich festzurren.
Wer dahinter steht
Tragfähigkeit: Finanziert
Risikokapital finanziert. Die zuletzt öffentlich belegte Runde ist eine Erweiterung der Series A im April 2024, eine Series B haben wir nicht gefunden. Das Gegengewicht ist der quelloffene Kern unter Apache-2.0, der auch dann weiterläuft, wenn der Anbieter das betriebene Netzwerk einstellt.
- Series A: 22,5 Mio. US-Dollar, geführt von Insight Partners, mit Balderton Capital und In-Q-Tel, Dezember 2021insightpartners.com/…Zur Quelle · Stand 2026-07-30
- Jüngste belegte Runde: 5 Mio. US-Dollar Erweiterung der Series A, April 2024ory.com/blog/series-a-extensionZur Quelle · Stand 2026-07-30
- Quelloffener Kern: Hydra und Kratos unter Apache-2.0, rund 17.400 und 13.800 Sterne auf GitHubgithub.com/ory/hydraZur Quelle · Stand 2026-07-30
- Zertifikate: ISO 27001 und SOC 2 Type 2ISO 27001, SOC 2 Type 2, Verschlüsselung, Protokollierung von Zugriffen, Trust CenterZur Quelle · Stand 2026-07-30
- Rechtsperson: Ory Corp, Scottsdale, Arizona, USA, mit Ory Germany GmbH, Karlsplatz 3, München, als Vertretung in der EUVerantwortlicher Ory Corp in den USA, Ory Germany GmbH als Vertretung in der EUZur Quelle · Stand 2026-07-30
- Handelsregister: Ory Germany GmbH, Amtsgericht München, HRB 246729northdata.com/Ory%20Germany%20GmbH,%20M%C3%BCnchen/HRB%20246729Zur Quelle · Stand 2026-07-30
- Betriebsgröße nach Anbieterangabe: 3,3 Mrd. verwaltete Identitäten, Kunden unter anderem OpenAI und Mistral AIory.comZur Quelle · Stand 2026-07-30
Ausstiegskosten: Gering
Der Weg hinaus führt in dieselbe Software. Identitäten lassen sich über die Verwaltungsschnittstelle samt gehashter Zugangsdaten ausgeben, die Konfiguration über die Kommandozeile exportieren, und beides in ein selbst betriebenes Kratos einspielen. Was bleibt, ist kein Datenproblem, sondern Betriebsaufwand: Datenbank, Aktualisierungen und Bereitschaft liegen danach beim eigenen Team.
Regulatorik und Daten
| Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | belegt, ohne Auflageöffentlich verfügbares Data Processing Agreement mit Standardvertragsklauseln, Stand 24. März 2025Auftragsverarbeitung mit Standardvertragsklauseln, Stand 24. März 2025Zur QuelleDas Dokument liegt als PDF offen vor. Ob es automatisch Vertragsbestandteil wird oder gezeichnet werden muss, geht aus der Seite nicht hervor.Stand 2026-07-30 |
|---|---|
| Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | belegt, an eine Auflage gebundenEU wählbar für personenbezogene Daten, Betriebsdaten global repliziertWahl der Speicherregion für personenbezogene Daten, globale Replikation der BetriebsdatenZur QuelleDie Region wird beim Anlegen des Projekts gewählt und ist in den Tarifen Production und Growth enthalten. Betriebsdaten wie die Prüfung von Sitzungen und Rechten laufen laut Anbieter weltweit repliziert. Die Optionen Global und US Continental sind Enterprise-Kunden vorbehalten.Stand 2026-07-30 |
| Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | belegt, an eine Auflage gebundenunklartrust.ory.comZur QuelleEine öffentliche Liste der Unterauftragnehmer für das betriebene Netzwerk haben wir nicht gefunden. Das Trust Center verlangt eine Zugangsanfrage, und die Datenschutzerklärung nennt nur Dienste rund um die Website wie PostHog, HubSpot, Sanity und Cloudflare.Stand 2026-07-30 |
| Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | belegt, ohne AuflageUSA, Standardvertragsklauseln im AVV enthaltenVerantwortlicher Ory Corp in den USA, Ory Germany GmbH als Vertretung in der EUZur QuelleVerantwortlich ist die Ory Corp in Scottsdale, Arizona. Ory Germany GmbH in München ist als Vertretung in der EU benannt, nicht als Vertragspartner. Der AVV führt Standardvertragsklauseln bereits im Dateinamen.Stand 2026-07-30 |
| Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | belegt, an eine Auflage gebundenunklarWeder die Sicherheitsseite noch die Datenschutzerklärung sagen, ob Kundendaten aus dem betriebenen Netzwerk für das Training von Modellen verwendet werden. Da das Produkt Funktionen für Agenten-Identitäten anbietet, gehört die Frage in die Vertragsverhandlung.ohne Quellenangabe · Stand 2026-07-30 |
| Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung. | belegt, aber ungünstigunklarDie Sicherheitsseite nennt verschlüsselte Sicherungen und eine regelmäßige Sicherungsstrategie, aber keine Fristen. Die Datenschutzerklärung regelt Aufbewahrung nur für Website-Daten, nicht für Identitäten im betriebenen Netzwerk. Zum Löschen einzelner Nutzer gibt es eine dokumentierte Schnittstelle.ohne Quellenangabe · Stand 2026-07-30 |
| Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | belegt, ohne AuflageISO 27001 und SOC 2 Type 2 beim Anbieter, zusätzlich PCI DSS genanntISO 27001, SOC 2 Type 2, Verschlüsselung, Protokollierung von Zugriffen, Trust CenterZur QuelleDer SOC-2-Bericht wird nicht veröffentlicht, sondern über das Trust Center auf Anfrage herausgegeben. Verschlüsselung nach eigener Angabe AES-256 ruhend und TLS 1.2 aufwärts unterwegs, dazu Prüfungen durch Dritte.Stand 2026-07-30 |
| EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | belegt, an eine Auflage gebundenunklarEine Aussage des Anbieters zu den Transparenzpflichten aus Artikel 50 haben wir nicht gefunden. Der Dienst erzeugt keine Inhalte gegenüber Endnutzern, die Pflicht träfe im Zweifel den Betreiber der Anwendung und nicht die Identitätsschicht darunter.ohne Quellenangabe · Stand 2026-07-30 |
| Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | belegt, an eine Auflage gebundenZugriffe werden protokolliert, auslesbare Ereignisströme nur im Enterprise-VertragEreignisströme nur für Enterprise-VerträgeZur QuelleDie Sicherheitsseite sagt, dass alle Zugriffe für Prüfung und Vorfallanalyse protokolliert werden. Wer die Ereignisse selbst auswerten oder in eigene Systeme leiten will, braucht laut Dokumentation einen Enterprise-Vertrag.Stand 2026-07-30 |
Was es wirklich kostet
Einstieg
Der Entwicklertarif kostet nichts, hat aber keine Produktionsumgebung, ein Mitglied und zwei Entwicklungsumgebungen. Produktionsbetrieb beginnt bei 770 US-Dollar im Jahr mit 21 US-Dollar Monatsguthaben, einer Produktions- und drei Testumgebungen. Selbst betreiben ist unter Apache-2.0 lizenzkostenfrei.Tarife, Freigrenzen, Verbrauchspreise und Enterprise-MerkmaleZur Quelle
Stand 2026-07-30
Was teuer wird
Der Verbrauch, nicht die Grundgebühr. 0,14 US-Dollar je durchschnittlich täglich aktivem Nutzer und Monat, wobei das enthaltene Guthaben von 21 US-Dollar rechnerisch rund 150 davon abdeckt. Dazu 0,007 US-Dollar je Maschinen-Token und 0,000090 US-Dollar je Rechteprüfung. Der nächste Tarif springt auf 9.350 US-Dollar im Jahr, und was Konzerneinkauf verlangt, hängt am Enterprise-Vertrag ohne öffentlichen Preis.
Was es verdrängt
- Selbst gebaute Benutzerverwaltung
- Anmeldeplattform mit Preis je aktivem Nutzer
Schnittstellen
- REST-Schnittstellen für Verwaltung und Anwendung
- OAuth 2.0 und OpenID Connect über Ory Hydra
- SAML über Ory Polis
- Kommandozeile ory für Konfiguration und Projekte
- Ereignisströme in eigene Systeme, nur im Enterprise-Vertrag
Passende Methoden
- 5 Tiere: das ACV-GTM-ModellDas Modell ordnet jeder Vertragsgröße einen eigenen Vertriebsweg zu, und ab der Unternehmensklasse hängt der Abschluss an Anmeldung über SAML oder OpenID Connect, die Ory als fertige Schicht mitbringt.
- Need-to-believes minimierenDie Methode streicht offene Annahmen aus dem Kaufentscheid, und Fragen zu Sitzungssicherheit, Mehrfaktor und Rechteverwaltung fallen aus der Liste, sobald eine geprüfte Identitätsschicht darunterliegt statt einer nebenbei selbst gebauten.
Quellen
- 1.Tarife, Freigrenzen, Verbrauchspreise und Enterprise-Merkmale (öffnet in neuem Tab)ory.com/pricing · Stand 2026-07-30
- 2.ISO 27001, SOC 2 Type 2, Verschlüsselung, Protokollierung von Zugriffen, Trust Center (öffnet in neuem Tab)ory.com/security · Stand 2026-07-30
- 3.Wahl der Speicherregion für personenbezogene Daten, globale Replikation der Betriebsdaten (öffnet in neuem Tab)ory.com/docs/security-compliance/personal-data-location · Stand 2026-07-30
- 4.Auftragsverarbeitung mit Standardvertragsklauseln, Stand 24. März 2025 (öffnet in neuem Tab)ory.com/legal/dpa · Stand 2026-07-30
- 5.Verantwortlicher Ory Corp in den USA, Ory Germany GmbH als Vertretung in der EU (öffnet in neuem Tab)ory.com/legal/privacy · Stand 2026-07-30
- 6.Export von Identitäten samt gehashter Zugangsdaten über die Verwaltungsschnittstelle (öffnet in neuem Tab)ory.com/…/export-user-accounts-identities · Stand 2026-07-30
- 7.Kern unter Apache-2.0, Hydra und Kratos als quelloffene Server (öffnet in neuem Tab)ory.com/open-source · Stand 2026-07-30
- 8.Ereignisströme nur für Enterprise-Verträge (öffnet in neuem Tab)ory.com/docs/actions/live-events · Stand 2026-07-30
- 9.insightpartners.com/… (öffnet in neuem Tab)Stand 2026-07-30
- 10.ory.com/blog/series-a-extension (öffnet in neuem Tab)Stand 2026-07-30
- 11.github.com/ory/hydra (öffnet in neuem Tab)Stand 2026-07-30
- 12.northdata.com/Ory%20Germany%20GmbH,%20M%C3%BCnchen/HRB%20246729 (öffnet in neuem Tab)Stand 2026-07-30
- 13.ory.com (öffnet in neuem Tab)Stand 2026-07-30
- 14.trust.ory.com (öffnet in neuem Tab)Stand 2026-07-30
Zuletzt geprüft: 2026-07-30 von Dr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.