Access-Review-Software: Zugriffsüberprüfungen automatisieren und C1, Zluri, Lumos und Corma vergleichen

Für IT- und Security-Verantwortliche im Mittelstand mit 50 bis 1.000 Mitarbeitenden, die ein ISO-27001-, SOC-2- oder NIS2-Audit vorbereiten, nicht für Konzerne mit Identitätslandschaften in SAP-Grössenordnung.

Access-Review-Software ist ein Tool, das erfasst, wer in Identity Provider und SaaS-Anwendungen worauf zugreifen kann, jede Berechtigung an die richtige prüfende Person weiterleitet und jede Entscheidung zum Behalten oder Entziehen als Audit-Nachweis speichert. Unter den vier Tools, die 2026 am häufigsten auf Shortlists stehen, sind C1 (ehemals ConductorOne) und Lumos Identity-Security-Plattformen, die bis zu KI-Agenten und sehr grossen Programmen reichen, Zluri ergänzt seine Identity-Security-Plattform um ein SaaS-Management-Modul, und Corma kombiniert SaaS-Erkennung mit Zugriffsüberprüfungen und hostet Daten in der EU. Für den Mittelstand entscheiden drei Kriterien: die Abdeckung von Anwendungen ausserhalb von Single Sign-on, der Speicherort der Review-Daten und ob ein Entzug den Zugriff tatsächlich entfernt.

Aktualisiert am 30. September 2026. Die Angaben zu den Anbietern wurden an diesem Tag auf deren Websites geprüft.

Was ist Access-Review-Software?

Access-Review-Software ist ein Governance-Tool, das die regelmässige Prüfung automatisiert, wer auf welche Anwendung zugreifen darf, damit jede Berechtigung weiterhin zur aktuellen Rolle der Person passt. Es ersetzt den Excel-Export, den Führungskräfte einmal im Quartal erhalten, überfliegen und pauschal freigeben.

Der Prozess hat viele Namen. Anbieter und Auditoren sprechen auch von Zugriffsüberprüfung, Berechtigungsprüfung, Rezertifizierung oder Access Certification. Die Mechanik ist immer dieselbe:

• Zugriffsdaten erfassen aus dem Identity Provider (Google Workspace, Microsoft Entra ID, Okta, JumpCloud), dem HR-System und den SaaS-Anwendungen selbst.
• Prüfende regelbasiert zuweisen: die Führungskraft für Standardzugriffe, die Application Owner für sensible Systeme.
• Entscheidungen festhalten (behalten, entziehen, ändern) mit Zeitstempel und Namen der prüfenden Person.
• Entzüge ausführen in der Zielanwendung, statt ein Ticket zu eröffnen.
• Nachweise erzeugen, die Auditoren akzeptieren: wer was wann geprüft hat und was sich geändert hat.

Ziel ist das Least-Privilege-Prinzip über die Zeit. Ohne regelmässige Reviews sammeln Mitarbeitende bei jedem Teamwechsel Rechte an (die sogenannte Rechteausweitung), und ausgeschiedene Personen behalten Konten in Anwendungen, die niemand an Single Sign-on angebunden hat. Genau diese überschüssigen Rechte machen aus einem gephishten Konto oder einer Insider-Bedrohung ein Datenleck.

Welche Access-Review-Software passt zum Mittelstand: C1, Zluri, Lumos oder Corma?

Für Unternehmen mit 50 bis 1.000 Mitarbeitenden liegen Corma und Zluri am nächsten an Ihrer Grösse, weil beide auch SaaS-Lizenzen und -Ausgaben verwalten, während C1 und Lumos Identity-Security-Plattformen sind, deren Umfang bis zu sehr grossen Programmen, KI-Agenten und nicht-menschlichen Identitäten reicht. Die Tabelle vergleicht die vier Tools anhand dessen, was jeder Anbieter öffentlich angibt.

Transparenzhinweis: Wir entwickeln Corma. Jede Angabe zu C1, Zluri und Lumos verlinkt auf die Website des jeweiligen Anbieters, geprüft am 30. September 2026, damit Sie sie vor einer Demo selbst kontrollieren können.

C1 (ehemals ConductorOne): für grosse Programme, die auch KI-Agenten steuern

C1 hat am 6. April 2026 den Namen gewechselt. Die Ankündigung beginnt mit „Heute wird ConductorOne zu C1.ai“ (eigene Übersetzung), und viele Vergleichsseiten führen den Anbieter noch unter dem alten Namen. Access Reviews stecken im Modul C1 Comply, neben der Erkennung von Konflikten der Funktionstrennung (SoD) und der Behebung. Die Plattform verkauft ausserdem ein LLM-Gateway, ein MCP-Gateway und einen Credential Vault und richtet sich damit an Security-Teams, die Menschen und KI-Agenten in grossem Massstab steuern.

Worauf achten: C1 spricht auch kleine und mittlere Unternehmen an, doch die Plattform umfasst weit mehr als Reviews, fragen Sie deshalb ein auf das Modul Comply begrenztes Angebot an. Die aktuellen kommerziellen Installationen von C1 laufen in der US-Umgebung: Wer EU-Hosting braucht, sollte die EU-Umgebung schriftlich anfordern.

Zluri: für Teams, die Reviews und SaaS-Ausgaben zusammenführen wollen

Zluri beschreibt sich als Identity-Security-Plattform mit Identity Governance, Identity Security Posture Management und einem SaaS-Management-Modul für Erkennung, Ausgaben und Verlängerungen. Das Review-Angebot hebt wiederkehrende Vorlagen, kontextbezogene Risikohinweise und Closed-Loop-Behebung hervor, und das Trust Center weist SOC 2, ISO 27001 und ISO 27701 aus.

Worauf achten: Das Trust Center von Zluri listet AWS in den USA unter den Unterauftragsverarbeitern, und laut Datenschutzerklärung werden erhobene personenbezogene Daten „in Indien gespeichert und verarbeitet, oder dort, wo wir oder unsere Partner, verbundenen Unternehmen und Drittanbieter Einrichtungen unterhalten“ (eigene Übersetzung). Wenn EU-Datenresidenz Pflicht ist, lassen Sie sich die Bedingungen der Auftragsverarbeitung schriftlich geben. Unser ausführlicher Vergleich Corma vs. Zluri geht tiefer auf das SaaS-Management ein.

Lumos: für Konzerne, die agentengesteuerte Reviews wollen

Lumos richtet sich an Unternehmen „von schnell wachsenden Marken bis zu globalen Konzernen mit über 100.000 Mitarbeitenden“ (eigene Übersetzung) und führt Reviews auf Ebene einzelner Berechtigungen über IdP, HR-System, ITSM, SaaS, Cloud und On-Premises durch. Der KI-Agent Albus validiert die Review-Schritte und erstellt Berichte im Format für SOC 2, SOX und ISO 27001. Das Trust Center weist SOC 2 Type II und ISO 27001 aus.

Worauf achten: Lumos veröffentlicht keine Preise, und das Trust Center listet AWS in den USA als Unterauftragsverarbeiter für die Cloud-Infrastruktur: Preis und Datenstandort müssen im Vertriebsprozess geklärt werden. Der Vergleich Corma vs. Lumos zeigt die Unterschiede im Funktionsumfang.

Corma: für den Mittelstand, der Erkennung, Reviews und EU-Hosting zusammen braucht

Corma ist eine europäische Plattform für Lizenz- und Zugriffs-Governance, die Zugriffsdaten aus allen SaaS-Anwendungen zusammenführt und Reviews mit SaaS-Erkennung verbindet, einschliesslich einer Browser-Erweiterung, die Tools ohne Single Sign-on aufspürt. Die Daten liegen in AWS-Rechenzentren innerhalb der EU. Corma ist der einzige der vier Anbieter, der einen Einstiegspreis veröffentlicht, auf der Seite mit den Preisen von Corma: Der Tarif Essential deckt Übersicht und Kostenkontrolle ab, automatisierte Zugriffsüberprüfungen gehören zum Pro-Tarif mit Angebot nach einer Demo.

Weniger geeignet: Identitätsprogramme mit Zehntausenden Nutzern, die Regeln zur Funktionstrennung innerhalb eines ERP wie SAP brauchen, sind mit einer Enterprise-IGA-Suite besser bedient.

Unterscheidet EU-Hosting die Anbieter noch?

Nur teilweise. C1 bietet inzwischen eine EU-Umgebung an, daher trennt „Hosting in der EU“ allein europäische und US-Anbieter nicht mehr. Unterschiede bestehen darin, ob EU-Hosting die Standardeinstellung ist, ob es auch Support-Zugriffe und Unterauftragsverarbeiter abdeckt und ob der Anbieter es öffentlich angibt.

Das veröffentlichen die Anbieter. C1 beschreibt drei Hosting-Umgebungen, darunter ein Angebot „Commercial EU“, bei dem die Kundendaten in der EU liegen, in AWS Frankfurt mit Irland für Disaster Recovery. Das Trust Center von Zluri listet AWS als Unterauftragsverarbeiter mit Standort USA, und Zluri stützt Übermittlungen auf das EU-U.S. Data Privacy Framework. Das Trust Center von Lumos listet Amazon Web Services in den USA als Unterauftragsverarbeiter für die Cloud-Infrastruktur, und die Datenschutzerklärung behandelt Übermittlungen ausserhalb des EWR. Die Sicherheits- und Hosting-Seite von Corma gibt an, dass Webserver und Datenbanken in sicheren Rechenzentren innerhalb der Europäischen Union laufen.

Review-Daten sind selbst sensibel: Sie listen jede Person, jede Anwendung und jede Berechtigung auf und bilden damit eine Karte Ihrer Angriffsfläche. Die Hosting-Frage gehört deshalb auf die Shortlist, nicht erst in die Vertragsprüfung. Keiner der fünf bestplatzierten Ratgeber zu „user access review software“ erwähnt Datenresidenz überhaupt, viele Käufer stossen erst im Einkauf darauf.

Stellen Sie jedem Anbieter diese fünf Fragen schriftlich:

1. Wo werden Mandantendaten standardmässig gespeichert, und lassen sie sich ohne Aufpreis auf die EU festlegen?
2. Welche Unterauftragsverarbeiter verarbeiten Review-Daten, und in welchen Ländern?
3. Aus welchen Ländern greifen Support-Teams auf Kundendaten zu?
4. Welcher Übermittlungsmechanismus gilt für Verarbeitungen ausserhalb der EU (Standardvertragsklauseln, EU-U.S. Data Privacy Framework)?
5. Können Sie den vollständigen Audit-Trail mit Entscheidungen und Zeitstempeln exportieren, wenn Sie wechseln?

Was sollte gute Access-Review-Software automatisieren?

Gute Access-Review-Software automatisiert alles ausser der Entscheidung: Datenerfassung, Zuweisung der Prüfenden, Erinnerungen, Entzug und Nachweise. Viele Tools mit dem Etikett „Access Review“ sind Dashboards, die Berechtigungen auflisten und die eigentliche Arbeit Ihnen überlassen. Bewerten Sie Anbieter mit dieser Checkliste.

Die Closed-Loop-Behebung verdient besondere Aufmerksamkeit. Ein markierter Zugriff ist noch kein entzogener Zugriff, und ein Entzug, der als vergessenes Ticket endet, erklärt, warum verwaiste Konten das Deprovisioning überleben. Lassen Sie sich in der Demo zeigen, wie ein Klick auf „Entziehen“ ein echtes Konto entfernt.

Warum übersehen Zugriffsüberprüfungen Anwendungen ausserhalb des Identity Providers?

Ein Review kann nur Konten zertifizieren, die es sieht, und ein Identity Provider sieht nur Anwendungen mit Single Sign-on. Alles andere fällt aus der Kampagne, und unbefugte Zugriffe bleiben dort unbemerkt: Tools, die per Firmenkreditkarte gekauft wurden, kostenlose Tarife, KI-Assistenten im Browser. Sie müssen nicht warten, bis eine Lücke auffällt: Wenn Ihr Review nur SSO-Anwendungen abdeckt, besteht die Lücke bereits.

Ihr Ausmass überrascht fast immer. Satelia, ein französisches Healthtech-Unternehmen aus Bordeaux für die Fernüberwachung von Herzpatienten, brauchte einen klaren, prüfbaren Überblick über seine SaaS-Tools, um die Zertifizierungen nach ISO 27001 und SOC 2 zu erhalten. Die manuellen Berichte führten 30 Anwendungen. Corma machte über 160 sichtbar, mehr als fünfmal so viele. Diese Transparenz erfüllte die Anforderungen der Zertifizierung und deckte zugleich doppelte Abonnements auf, etwa Notion, Google Drive und Confluence für denselben Zweck.

Bei Apgar war der Auslöser Schatten-IT und Schatten-KI, die über den Browser genutzt wurden. Corma erkennt diese Anwendungen heute, automatisiert die Lizenzoptimierung und führt die Zugriffsüberprüfungen durch, die das Unternehmen für ISO 27001 braucht.

Keiner der fünf bestplatzierten Ratgeber zu dieser Suchanfrage erklärt, dass eine Kampagne nur an SSO angebundene Anwendungen abdeckt; Schatten-IT taucht dort nur als Anbieterfunktion auf. Genau hier verändert eine Plattform für SaaS-Erkennung und SaaS-Management das Ergebnis eines Reviews: Die Kampagne startet mit der tatsächlichen Liste der Anwendungen, nicht mit der, die die IT angebunden hat.

Wie automatisiert man Zugriffsüberprüfungen und Rezertifizierungskampagnen ohne Durchwinken?

Automatisieren Sie die sechs Schritte, die Prüfende sonst von Hand erledigen: Inventar, Verantwortlichkeiten, Umfang, Review mit Kontext, Behebung und Nachweis. Das Durchwinken endet, wenn Prüfende letzte Anmeldung, Rolle und jüngste Änderungen direkt neben jeder Berechtigung sehen und ein Klick auf „Entziehen“ den Zugriff entfernt, statt ein Ticket zu eröffnen.

Der Druck wächst, weil sich Berechtigungen schneller vermehren, als Teams sie prüfen können. Corma-Mitgründerin und CEO Héloïse Rozès formulierte es im Dezember 2025 so: „das Risiko von Datenlecks und Zugriffsmissbrauch steigt jeden Tag mit dem Aufkommen von Shadow AI und dem allgemeinen Wildwuchs an Berechtigungen“ (aus dem Englischen übersetzt). Eine Tabelle mit 400 Zeilen ohne Kontext hält da nicht mit, eine strukturierte Kampagne schon.

Eine Rezertifizierungskampagne ist ein geplantes, abgegrenztes Review, in dem Prüfende einen festgelegten Satz von Berechtigungen bestätigen. Diesen Ablauf bildet gute Software ab:

1. Zugriffe inventarisieren. Eine vollständige, aktuelle Liste aller Nutzer und Berechtigungen über alle Systeme erstellen, einschliesslich SaaS-Anwendungen ausserhalb des Identity Providers.
2. Verantwortliche festlegen. Bestimmen, wer welche Ressource bestätigt: die Führungskraft für Standardzugriffe, die Application oder Data Owner für sensible Systeme.
3. Kampagne abgrenzen. Nutzergruppe und Rhythmus wählen, privilegierte Zugriffe trennen und festlegen, welche Ereignisse (Rollenwechsel, Versetzung, Austritt) ein gezieltes Review auslösen.
4. Mit Kontext prüfen. Prüfende sehen letzte Anmeldung, Rolle und Änderungen seit dem letzten Zyklus und behalten, ändern oder entziehen. Erinnerungen gehen automatisch an alle, die noch nicht geantwortet haben.
5. Beheben und verifizieren. Entzüge werden in der Zielanwendung ausgeführt und bestätigt, nicht nur protokolliert. Diesen Schritt lassen manuelle Prozesse am häufigsten aus.
6. Dokumentieren und abzeichnen. Das Tool speichert den Audit-Trail (prüfende Person, Entscheidung, Zeitstempel, Behebung) und die formelle Zertifizierung. Das ist die Akte für den Auditor.

Software rechtfertigt ihr Budget, wenn sie die Schritte 1, 3, 4, 5 und 6 selbstständig ausführt und Schritt 2 in eine Regel verwandelt statt in eine von Hand gepflegte Tabelle. Drei Kampagnentypen decken die meisten Anforderungen ab: eine periodische Kampagne über alle Zugriffe, eine engere Kampagne für privilegierte Konten und ereignisbasierte Reviews bei Wechsel oder Austritt.

Was sollte vor der Automatisierung von Zugriffsüberprüfungen stehen?

Automatisierung verstärkt Ihre Prozesse, gute wie schlechte. Ein Nutzer aus einem Industrieunternehmen hat es im Juli 2026 auf Gartner Peer Insights auf den Punkt gebracht: Das Tool entfaltet seinen Nutzen am besten, wenn Systemverantwortung, Rollendefinitionen, Zugriffsfreigaben und Austrittsprozesse bereits diszipliniert laufen, und das Rollen-Mapping braucht Sorgfalt, bevor man automatisierten Entscheidungen vertraut. Das deckt sich mit unseren Erfahrungen aus Einführungen. Prüfen Sie vorab fünf Punkte:

• Ein Owner pro Anwendung, im Tool benannt und verantwortlich für sensible Zugriffe.
• Eine führende Quelle für Rollen, meist das HR-System, damit Abteilung, Führungskraft und Regeln der rollenbasierten Zugriffskontrolle (RBAC) aktuell bleiben.
• Eine schriftliche Freigaberegel, wer was vergeben darf, damit Prüfende die Referenz kennen.
• Ein Austrittsprozess für Anwendungen ohne SSO, weil der Entzug dort oft über eine API oder eine Aufgabe läuft.
• Das Nachweisformat, das Ihr Auditor akzeptiert, vor der ersten Kampagne abgestimmt statt danach.

Wie oft sollten Zugriffsüberprüfungen stattfinden?

Prüfen Sie privilegierte und sensible Zugriffe vierteljährlich, Standard-SaaS-Zugriffe alle sechs bis zwölf Monate und lösen Sie bei jedem Rollenwechsel oder Austritt ein zusätzliches Review aus. Ausserhalb des Finanzsektors legt keine EU-Vorschrift das Intervall fest: Schreiben Sie Ihren Rhythmus in die Richtlinie zur Zugriffskontrolle und halten Sie ihn ein.

Die bestplatzierten Ratgeber widersprechen sich hier. SecurEnds schreibt, Organisationen sollten Zugriffsüberprüfungen „mindestens vierteljährlich“ durchführen (eigene Übersetzung), Ping Identity nennt vierteljährliche, halbjährliche oder jährliche Reviews als üblich. Die Primärtexte schaffen Klarheit, und keiner der beiden Ratgeber erwähnt den einzigen Text mit festen Zahlen.

• DORA legt Intervalle für Finanzunternehmen fest. Artikel 21 der Delegierten Verordnung (EU) 2024/1774, die DORA ergänzt, verlangt die Aktualisierung der Zugangsrechte „mindestens aber einmal jährlich bei allen IKT-Systemen mit Ausnahme derjenigen, die kritische oder wichtige Funktionen unterstützen, und mindestens alle sechs Monate bei IKT-Systemen, die kritische oder wichtige Funktionen unterstützen“. Für Unternehmen im vereinfachten Rahmen (Artikel 33) gilt eine regelmässige Überprüfung der Zugangsrechte ohne festes Intervall.
• Der BSI-Grundschutz verlangt Regelmässigkeit, kein Intervall. Die Basis-Anforderung ORP.4.A3 fordert, die Dokumentation von Benutzerkennungen, Gruppen und Rechteprofilen regelmässig mit dem tatsächlichen Stand der Rechtevergabe abzugleichen und dabei zu prüfen, ob die Rechte noch den aktuellen Aufgaben entsprechen.
• NIS2 nennt kein Intervall. Artikel 21 Absatz 2 Buchstabe i der NIS2-Richtlinie verlangt „Konzepte für die Zugriffskontrolle“, ohne einen Rhythmus vorzugeben.

Vierteljährlich ist also gute Praxis für riskante Zugriffe, keine allgemeine gesetzliche Pflicht, und „einmal im Jahr reicht“ ist falsch für jedes DORA-regulierte System, das eine kritische Funktion unterstützt.

Welche Vorschriften und Standards verlangen Zugriffsüberprüfungen?

ISO 27001, SOC 2, NIS2, DORA, die DSGVO und der BSI-Grundschutz erwarten alle, dass Zugriffe kontrolliert und über die Zeit überprüft werden, doch nur DORA legt Intervalle fest, und nur für Finanzunternehmen. Die Tabelle zeigt, was jeder Text tatsächlich verlangt.

Für europäische Käufer zählt eine Nuance. Manche Anbieter-Ratgeber, etwa dieser Artikel von Lumos, behaupten, die DSGVO verpflichte Organisationen, „Benutzerzugriffe regelmässig zu validieren und zu dokumentieren“ (eigene Übersetzung). Der Verordnungstext ist enger gefasst: Er verlangt ein Verfahren, das die Wirksamkeit der Sicherheitsmassnahmen regelmässig überprüft. Zugriffsüberprüfungen sind einer der besten Wege, dieses Verfahren nachzuweisen, doch die DSGVO nennt sie nicht ausdrücklich. Mehr zur Audit-Seite lesen Sie in unserer Roadmap für Zugriffsüberprüfungen nach ISO 27001.

Warum Corma für automatisierte Zugriffsüberprüfungen

Corma ist für Unternehmen gebaut, die aus der Tabelle herausgewachsen sind, aber weder Budget noch Personal für ein Enterprise-IGA-Programm haben. Die Plattform verbindet Erkennung, Reviews und Behebung: Die Kampagne startet mit allen genutzten Anwendungen und endet mit tatsächlich entfernten Zugriffen.

• Erkennung zuerst. Reviews stützen sich auf Zugriffsdaten aus allen SaaS-Anwendungen, und die Erkennung macht Anwendungen ohne SSO sichtbar, einschliesslich Schatten-KI-Tools im Browser.
• Eine Plattform. Zugriffsüberprüfungen, Provisionierung für Eintritte, Wechsel und Austritte, Zugriffsanfragen und Lizenzoptimierung nutzen dieselben Daten, über die Identity-Governance-Plattform von Corma.
• EU-Hosting und geprüfte Sicherheit. Die Daten bleiben in AWS-Rechenzentren innerhalb der EU, und Corma durchläuft jährlich ein unabhängiges ISO-27001-Audit.
• Von Analysten anerkannt. Corma wurde 2025 und 2026 in den Gartner® Magic Quadrant™ für SaaS Management Platforms aufgenommen.
• Transparenter Einstieg. Corma ist der einzige der vier Anbieter, der einen Einstiegspreis veröffentlicht.

Häufige Fragen

Was ist die beste Access-Review-Software?

Die beste Access-Review-Software hängt von Unternehmensgrösse und Hosting-Anforderungen ab. Ein europäisches Unternehmen mit 50 bis 1.000 Mitarbeitenden sollte ein Tool wählen, das Anwendungen ausserhalb von Single Sign-on erkennt, Daten in der EU hostet und Zugriffe automatisch entzieht, genau dafür ist Corma gebaut. Grosse Programme, die KI-Agenten über On-Premises-Systeme steuern, prüfen meist C1 oder Lumos.

Was ist der Unterschied zwischen Zugriffsüberprüfung und Rezertifizierung?

Die Zugriffsüberprüfung ist die Kontrolle, ob jede Berechtigung noch zur Rolle der Person passt. Die Rezertifizierung ist die formelle Bestätigung, dass die geprüften Zugriffe korrekt sind, meist als geplante Kampagne. Anbieter verwenden die Begriffe oft synonym, ebenso Access Review und Berechtigungsprüfung.

Lassen sich Zugriffsüberprüfungen vollständig automatisieren?

Der grösste Teil lässt sich automatisieren: Datenerfassung, Zuweisung der Prüfenden, Erinnerungen, Entzug und Nachweise. Die Entscheidung über Behalten oder Entziehen sollte bei Führungskraft oder Application Owner bleiben, denn sie hängt von fachlichem Kontext ab, den Software aufbereiten, aber nicht beurteilen kann.

Wer ist für Zugriffsüberprüfungen verantwortlich?

Führungskräfte prüfen Standardzugriffe, Application oder Data Owner prüfen sensible Zugriffe, und das IT- oder Security-Team steuert die Kampagne und verwahrt die Nachweise. Die Richtlinie zur Zugriffskontrolle sollte jede dieser Rollen benennen, damit Auditoren sehen, wer was zertifiziert hat.

Was passiert, wenn eine prüfende Person einen Zugriff entzieht?

In einem Tool mit Closed-Loop-Behebung löst der Entzug das Deprovisioning in der Zielanwendung aus, und die Entfernung wird als Audit-Nachweis protokolliert. In einem manuellen Prozess wird der Entzug zum Ticket, und unbearbeitete Tickets sind der Ort, an dem verwaiste Konten meist überleben.

Sind ConductorOne und C1 dasselbe Unternehmen?

Ja. ConductorOne hat sich am 6. April 2026 in C1.ai umbenannt, mit demselben Team und derselben Plattform. Ältere Vergleiche führen den Anbieter noch als ConductorOne, suchen Sie deshalb bei Bewertungen und Referenzen nach beiden Namen.