Ory
Ory Corp (EU-Vertretung: Ory Germany GmbH, München) ·www.ory.com· Stand: 2026-07-30
Unser Urteil
Eine Identitätsschicht gewinnt kein Geschäft. Wer keine hat, baut sie nebenbei selbst und schleppt Sitzungsfehler, Passwort-Hashes und Anmeldeschwachstellen als Dauerlast mit. Wer eine hat, ist damit noch nicht unterscheidbar. Unternehmens-Anmeldung über SAML oder OpenID Connect öffnet Türen im Vertrieb, aber sie öffnet dieselben Türen für jeden Wettbewerber, der sie ebenfalls anbietet. Der Vorsprung liegt hinter der Anmeldung, nicht in ihr.
Für wen es taugt
Solopreneur
bedingt geeignet
Der kostenlose Tarif hat keine Produktionsumgebung. Wer live gehen will, zahlt 770 US-Dollar im Jahr oder betreibt die quelloffenen Server selbst und tauscht Lizenzkosten gegen Betriebsaufwand.
KMU
geeignet
770 US-Dollar im Jahr plus Verbrauch bleibt für ein Produkt mit einigen hundert täglich aktiven Nutzern rechenbar, und die Speicherung personenbezogener Daten in der EU kostet keinen Aufpreis.
Konzern
bedingt geeignet
Genau die Punkte, die im Konzerneinkauf verlangt werden, hängen am Enterprise-Vertrag ohne öffentlichen Preis: SAML-Anmeldung mit einem Klick, unbegrenzte Organisationen, auslesbare Ereignisströme und die Verfügbarkeitszusage von 99,99 Prozent.
Kaufen, wechseln oder bauen
Standardprodukt
Gekaufte Identitätsplattform
Auth0, Okta oder Entra liefern Anmeldeoberflächen, Verwaltungskonsole und Nachweise fertig mit. Der Einstieg ist schneller, weil man keine Oberfläche baut. Bezahlt wird mit Preisen je aktivem Nutzer, die genau dann steigen, wenn das eigene Produkt erfolgreich wird, und mit einer Datenhaltung, aus der man nur unter Aufwand wieder herauskommt.
KI-nativ
Kein KI-nativer Ersatz, aber eine neue Nachbarschaft
Für die Identitätsschicht selbst gibt es keinen KI-nativen Ersatz. Neu ist etwas anderes: Identitäten für Agenten und Dienste. Wer KI-Prozesse im eigenen Produkt laufen lässt, muss ihnen Rechte geben, die sich einzeln nachvollziehen und einzeln entziehen lassen. Ory adressiert das mit Maschinen-Token und Rechteprüfungen im selben Produkt. Das erweitert die Kategorie, es ersetzt sie nicht.
Eigenbau
Anmeldung selbst bauen
Der Einstieg wirkt harmlos: eine Tabelle mit Nutzern, ein Passwort-Hash, ein Sitzungscookie. Teuer wird die Fortsetzung, also Mehrfaktor, Wiederherstellung verlorener Zugänge, Gerätewechsel, Passkeys, SAML für Unternehmenskunden und die Prüfung durch fremde Sicherheitsteams im Einkaufsprozess. Der Eigenbau ist nur dann vertretbar, wenn die Anmeldung selbst das Produkt ist.
Unser Rat
- Solopreneur: Selbst betreiben oder den Produktionstarif nehmen, aber nicht selbst bauen.
- KMU: Kaufen, die EU-Speicherung beim Anlegen des Projekts wählen und die Verbrauchsposten monatlich mitlesen.
- Konzern: Kaufen, aber SAML, Ereignisströme und Speicherregion vor der Unterschrift schriftlich festzurren.
Wer dahinter steht
Tragfähigkeit: Finanziert
Risikokapital finanziert. Die zuletzt öffentlich belegte Runde ist eine Erweiterung der Series A im April 2024, eine Series B haben wir nicht gefunden. Das Gegengewicht ist der quelloffene Kern unter Apache-2.0, der auch dann weiterläuft, wenn der Anbieter das betriebene Netzwerk einstellt.
- Series A: 22,5 Mio. US-Dollar, geführt von Insight Partners, mit Balderton Capital und In-Q-Tel, Dezember 2021 · Quelle · Stand 2026-07-30
- Jüngste belegte Runde: 5 Mio. US-Dollar Erweiterung der Series A, April 2024 · Quelle · Stand 2026-07-30
- Quelloffener Kern: Hydra und Kratos unter Apache-2.0, rund 17.400 und 13.800 Sterne auf GitHub · Quelle · Stand 2026-07-30
- Zertifikate: ISO 27001 und SOC 2 Type 2 · Quelle · Stand 2026-07-30
- Rechtsperson: Ory Corp, Scottsdale, Arizona, USA, mit Ory Germany GmbH, Karlsplatz 3, München, als Vertretung in der EU · Quelle · Stand 2026-07-30
- Handelsregister: Ory Germany GmbH, Amtsgericht München, HRB 246729 · Quelle · Stand 2026-07-30
- Betriebsgröße nach Anbieterangabe: 3,3 Mrd. verwaltete Identitäten, Kunden unter anderem OpenAI und Mistral AI · Quelle · Stand 2026-07-30
Ausstiegskosten: Gering
Der Weg hinaus führt in dieselbe Software. Identitäten lassen sich über die Verwaltungsschnittstelle samt gehashter Zugangsdaten ausgeben, die Konfiguration über die Kommandozeile exportieren, und beides in ein selbst betriebenes Kratos einspielen. Was bleibt, ist kein Datenproblem, sondern Betriebsaufwand: Datenbank, Aktualisierungen und Bereitschaft liegen danach beim eigenen Team.
Regulatorik und Daten
| Auftragsverarbeitung | öffentlich verfügbares Data Processing Agreement mit Standardvertragsklauseln, Stand 24. März 2025Das Dokument liegt als PDF offen vor. Ob es automatisch Vertragsbestandteil wird oder gezeichnet werden muss, geht aus der Seite nicht hervor.Quelle · Stand 2026-07-30 |
|---|---|
| Speicherort | EU wählbar für personenbezogene Daten, Betriebsdaten global repliziertDie Region wird beim Anlegen des Projekts gewählt und ist in den Tarifen Production und Growth enthalten. Betriebsdaten wie die Prüfung von Sitzungen und Rechten laufen laut Anbieter weltweit repliziert. Die Optionen Global und US Continental sind Enterprise-Kunden vorbehalten.Quelle · Stand 2026-07-30 |
| Subunternehmer | unklarEine öffentliche Liste der Unterauftragnehmer für das betriebene Netzwerk haben wir nicht gefunden. Das Trust Center verlangt eine Zugangsanfrage, und die Datenschutzerklärung nennt nur Dienste rund um die Website wie PostHog, HubSpot, Sanity und Cloudflare.Quelle · Stand 2026-07-30 |
| Drittlandübermittlung | USA, Standardvertragsklauseln im AVV enthaltenVerantwortlich ist die Ory Corp in Scottsdale, Arizona. Ory Germany GmbH in München ist als Vertretung in der EU benannt, nicht als Vertragspartner. Der AVV führt Standardvertragsklauseln bereits im Dateinamen.Quelle · Stand 2026-07-30 |
| Training mit Kundendaten | unklarWeder die Sicherheitsseite noch die Datenschutzerklärung sagen, ob Kundendaten aus dem betriebenen Netzwerk für das Training von Modellen verwendet werden. Da das Produkt Funktionen für Agenten-Identitäten anbietet, gehört die Frage in die Vertragsverhandlung.ohne Quellenangabe · Stand 2026-07-30 |
| Aufbewahrung und Löschung | unklarDie Sicherheitsseite nennt verschlüsselte Sicherungen und eine regelmäßige Sicherungsstrategie, aber keine Fristen. Die Datenschutzerklärung regelt Aufbewahrung nur für Website-Daten, nicht für Identitäten im betriebenen Netzwerk. Zum Löschen einzelner Nutzer gibt es eine dokumentierte Schnittstelle.ohne Quellenangabe · Stand 2026-07-30 |
| Zertifikate | ISO 27001 und SOC 2 Type 2 beim Anbieter, zusätzlich PCI DSS genanntDer SOC-2-Bericht wird nicht veröffentlicht, sondern über das Trust Center auf Anfrage herausgegeben. Verschlüsselung nach eigener Angabe AES-256 ruhend und TLS 1.2 aufwärts unterwegs, dazu Prüfungen durch Dritte.Quelle · Stand 2026-07-30 |
| EU-KI-Verordnung, Artikel 50 | unklarEine Aussage des Anbieters zu den Transparenzpflichten aus Artikel 50 haben wir nicht gefunden. Der Dienst erzeugt keine Inhalte gegenüber Endnutzern, die Pflicht träfe im Zweifel den Betreiber der Anwendung und nicht die Identitätsschicht darunter.ohne Quellenangabe · Stand 2026-07-30 |
| Protokollierung | Zugriffe werden protokolliert, auslesbare Ereignisströme nur im Enterprise-VertragDie Sicherheitsseite sagt, dass alle Zugriffe für Prüfung und Vorfallanalyse protokolliert werden. Wer die Ereignisse selbst auswerten oder in eigene Systeme leiten will, braucht laut Dokumentation einen Enterprise-Vertrag.Quelle · Stand 2026-07-30 |
Was es wirklich kostet
Einstieg
Der Entwicklertarif kostet nichts, hat aber keine Produktionsumgebung, ein Mitglied und zwei Entwicklungsumgebungen. Produktionsbetrieb beginnt bei 770 US-Dollar im Jahr mit 21 US-Dollar Monatsguthaben, einer Produktions- und drei Testumgebungen. Selbst betreiben ist unter Apache-2.0 lizenzkostenfrei.
Quelle · Stand2026-07-30
Was teuer wird
Der Verbrauch, nicht die Grundgebühr. 0,14 US-Dollar je durchschnittlich täglich aktivem Nutzer und Monat, wobei das enthaltene Guthaben von 21 US-Dollar rechnerisch rund 150 davon abdeckt. Dazu 0,007 US-Dollar je Maschinen-Token und 0,000090 US-Dollar je Rechteprüfung. Der nächste Tarif springt auf 9.350 US-Dollar im Jahr, und was Konzerneinkauf verlangt, hängt am Enterprise-Vertrag ohne öffentlichen Preis.
Was es verdrängt
- Selbst gebaute Benutzerverwaltung
- Anmeldeplattform mit Preis je aktivem Nutzer
Schnittstellen
- REST-Schnittstellen für Verwaltung und Anwendung
- OAuth 2.0 und OpenID Connect über Ory Hydra
- SAML über Ory Polis
- Kommandozeile ory für Konfiguration und Projekte
- Ereignisströme in eigene Systeme, nur im Enterprise-Vertrag
Bei uns: Nicht von uns genutzt
Nicht im Einsatz. Anmeldung und Zugriff laufen bei uns nicht über eine eigene Identitätsplattform. Diese Einschätzung stützt sich deshalb allein auf öffentliche Belege, nicht auf Betriebserfahrung.
Passende Methoden
Belege
- 1.Tarife, Freigrenzen, Verbrauchspreise und Enterprise-Merkmale · Stand 2026-07-30
- 2.ISO 27001, SOC 2 Type 2, Verschlüsselung, Protokollierung von Zugriffen, Trust Center · Stand 2026-07-30
- 3.Wahl der Speicherregion für personenbezogene Daten, globale Replikation der Betriebsdaten · Stand 2026-07-30
- 4.Auftragsverarbeitung mit Standardvertragsklauseln, Stand 24. März 2025 · Stand 2026-07-30
- 5.Verantwortlicher Ory Corp in den USA, Ory Germany GmbH als Vertretung in der EU · Stand 2026-07-30
- 6.Export von Identitäten samt gehashter Zugangsdaten über die Verwaltungsschnittstelle · Stand 2026-07-30
- 7.Kern unter Apache-2.0, Hydra und Kratos als quelloffene Server · Stand 2026-07-30
- 8.Ereignisströme nur für Enterprise-Verträge · Stand 2026-07-30
Zuletzt geprüft: 2026-07-30vonDr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.