Workday will C1 übernehmen: Was das für ConductorOne-Kunden bedeutet

Stand 18. Oktober 2026 hat Workday vereinbart, C1.ai (ehemals ConductorOne) zu übernehmen, doch die Transaktion ist noch nicht abgeschlossen: Workday erwartet den Abschluss bis zum 31. Januar 2027, dem Ende seines Geschäftsjahres 2027. Zu bestehenden C1-Verträgen sagt die Ankündigung nichts, ebenso wenig zu dem, was ein Kunde ausserhalb von Workday für seine Planung braucht: die Zukunft der Marke C1, Preise, Hosting und Konnektoren zu Systemen ausserhalb von Workday. Wenn Sie bereits Workday HCM nutzen, ist Bleiben eine vernünftige Ausgangsposition. Wenn nicht, nutzen Sie die kommenden Wochen, um Ihren Vertrag zu prüfen, Ihre Nachweise aus den Access Reviews zu archivieren und vor Ihrem nächsten Audit zu entscheiden, ob Sie nachverhandeln oder wechseln.

Das Wichtigste in Kürze

• Workday hat am 12. Oktober 2026 eine verbindliche Vereinbarung zur Übernahme von C1.ai, ehemals ConductorOne, unterzeichnet und erwartet den Abschluss bis zum 31. Januar 2027.
• Stand 18. Oktober 2026 haben weder Workday noch C1 angekündigt, was mit der Marke C1, den Preisen, dem Hosting oder den Konnektoren für Kunden ohne Workday geschieht.
• Workday-Mitgründer und CEO Aneel Bhusri sagt, Workday könne mit anderen Identity Providern wie Microsoft oder Okta zusammenarbeiten, und bezeichnet das HR-System als einzige Quelle der Wahrheit für Mitarbeitende.
• Die Access-Review-Historie in C1 ist ein Audit-Nachweis: Wer C1 verlässt, sollte vergangene Kampagnen archivieren und die erste Kampagne im neuen Tool mit der letzten C1-Kampagne überlappen lassen.
• Access Reviews stützen die SOC-2-Kriterien für logischen Zugriff CC6.1 bis CC6.3 sowie die Controls 5.15, 5.18 und 8.2 aus Anhang A der ISO/IEC 27001:2022.

Was ist passiert? Workday will C1 übernehmen

Am 12. Oktober 2026 hat Workday eine verbindliche Vereinbarung zur Übernahme der ConductorOne, Inc. geschlossen, des Unternehmens, das heute als C1.ai auftritt. Das geht aus dem Formular 8-K hervor, das Workday bei der SEC eingereicht hat (auf Englisch). Workday hat die Übernahme einen Tag später, am 13. Oktober 2026, auf seiner Veranstaltung Workday Rising in Las Vegas angekündigt.

Laut der Pressemitteilung von Workday vom 13. Oktober 2026 (auf Englisch) soll die Transaktion im vierten Quartal des Geschäftsjahres 2027 von Workday abgeschlossen werden, das am 31. Januar 2027 endet, vorbehaltlich der üblichen Abschlussbedingungen. Einen Kaufpreis hat Workday nicht genannt.

Workday begründet die Übernahme mit KI-Agenten. Die Pressemitteilung beschreibt C1.ai als „eine führende agentische Identitätsplattform für Menschen und Agenten“ und hält fest: „Mit C1.ai wird Workday zur Identity-Governance-Schicht für Menschen, Geld und Agenten.“ Zudem heisst es, das Workday Agent System of Record gebe Unternehmen „bereits einen zentralen Ort, um ihre Agenten zu sehen und zu verwalten“. Gerrit Kazmaier, President Product and Technology bei Workday, fasst die These so zusammen: „Unternehmen arbeiten heute mit einer kombinierten Belegschaft aus Menschen und KI-Agenten.“ Zu Systemen ausserhalb von Workday bleibt die Mitteilung allgemein: Sie spricht von Zugriffs-Governance „über Workday und andere Unternehmenssysteme hinweg“, ohne Roadmap für Konnektoren. Die Zitate in diesem Artikel sind aus dem Englischen übersetzt.

Für C1-Kunden sind die Lücken der Ankündigung wichtiger als die Schlagzeile. Hier sehen Sie, was bestätigt ist und was nicht, auf Basis der Workday-Pressemitteilung, des 8-K und der Mitteilung von C1.

Die Preisseite von C1 zeigt inzwischen ein Banner, das den Wechsel von C1.ai zu Workday ankündigt, und nennt weiterhin keinen Listenpreis. Dieser Artikel behandelt die Übernahme und den Umgang damit. Zum aktuellen Preismodell von C1, zum Funktionsumfang und zu den wichtigsten Alternativen lesen Sie unsere Analyse: C1 (ehemals ConductorOne): Preise, Funktionsumfang und Alternativen.

Was ändert sich für C1-Kunden?

Vor dem Abschluss wurde nichts angekündigt, was Ihren Service verändert. Danach betreffen die Änderungen, auf die Sie sich vorbereiten sollten, vier Bereiche: die Rolle von Workday als Identitätsquelle, Paketierung und Preise, Prioritäten bei den Konnektoren sowie den Support. Die folgenden Szenarien sind plausible Entwicklungen zur Vorbereitung, keine Prognosen.

Vor dem Abschluss der Übernahme

In der Praxis arbeitet C1 bis zum Abschluss eigenständig weiter, und Ihr aktueller Vertrag regelt weiterhin Preise, Support und Service-Level. Sicher ist die Übernahme auch nicht: Die zukunftsgerichteten Aussagen von Workday nennen behördliche Genehmigungen unter den Risiken für den Vollzug. Sinnvoll ist in dieser Phase vor allem administrative Arbeit. Ermitteln Sie Ihr Verlängerungsdatum, prüfen Sie die unten aufgeführten Klauseln und holen Sie vor Ablauf Ihrer Kündigungsfrist schriftliche Antworten von Ihrem Account Manager ein.

Nach dem Abschluss der Übernahme

• Workday als Identitätsquelle. In einem Interview mit diginomica am 14. Oktober 2026 sagte Workday-Mitgründer und CEO Aneel Bhusri: „Es wird nur eine einzige Quelle der Wahrheit geben, und das wird für Mitarbeitende immer das HR-System sein.“ Für Agenten übernehme diese Rolle das Agent System of Record. Für Unternehmen mit Workday HCM ist genau das der Sinn der Übernahme. Für Unternehmen mit einem anderen HR-System bleibt offen, wie C1 ein Nicht-Workday-HR-System als Quelle für Joiner-, Mover- und Leaver-Prozesse behandeln wird.
• Andere Identity Provider. Im selben Interview mit diginomica (auf Englisch) sagte Aneel Bhusri: „Wir können mit anderen IdPs zusammenarbeiten, ob Microsoft oder Okta.“ Unsere Lesart: Diese Zusicherung betrifft Identity Provider, nicht HR-Systeme ausserhalb von Workday.
• Paketierung und Preise. Ein plausibles Szenario ist, dass C1 in Workday-Paketen oder Workday-Verträgen verkauft wird. Angekündigt ist nichts, und genau deshalb gehört ein Preisschutz in Ihre nächste Verlängerung.
• Roadmap der Konnektoren. Die Entwicklungsprioritäten könnten sich zu Workday-zentrierten Anwendungsfällen verschieben. Wenn Ihre Access Reviews von bestimmten Konnektoren abhängen, verlangen Sie für jeden eine schriftliche Zusage.
• Support und Account Management. Ansprechpartner, Eskalationswege und Support-Tools können sich ändern, wenn Teams zusammengelegt werden. Prüfen Sie, was Ihr SLA bis zum Ende der laufenden Vertragslaufzeit garantiert.

Die Governance von KI-Agenten ist unabhängig von Ihren Tools relevant. Unser Governance-Framework für KI-Agenten beschreibt die Zugriffskontrollen für Agenten herstellerunabhängig.

Bleiben, nachverhandeln oder wechseln?

„Welche Optionen habe ich jetzt?“ Diese Frage stellen C1-Kunden bereits in Foren rund um Identity Management. Die Antwort hängt von vier Faktoren in Ihrem Unternehmen ab: ob Sie Workday HCM nutzen, wann Ihr nächstes Audit ansteht, wann Ihre C1-Verlängerung fällig ist und ob Sie mehr als Identity Governance brauchen. Die Tabelle zeigt Ihren Ausgangspunkt.

Keine dieser Optionen ist grundsätzlich falsch. Ein Unternehmen, das auf Workday HCM standardisiert ist, kann nach dem Abschluss mehr aus C1 herausholen, nicht weniger. Das Risiko liegt bei Unternehmen, deren HR-Daten anderswo liegen und deren nächstes Audit in die Integrationsphase fällt.

Was Sie in Ihrem C1-Vertrag prüfen sollten

Prüfen Sie vor Ihrer Entscheidung acht Klauseln und lassen Sie sich jede Antwort schriftlich geben. Diese Checkliste ist eine praktische Hilfe, keine Rechtsberatung: Lassen Sie den genauen Wortlaut Ihres Vertrags von Ihrer Rechtsabteilung prüfen.

• Kontrollwechsel (Change of Control). Gibt Ihnen der Vertrag ein Kündigungs- oder Nachverhandlungsrecht, wenn C1 den Eigentümer wechselt? Frage an Ihren Account Manager: „Löst die Übernahme durch Workday auf unserer Seite ein Recht aus einer Change-of-Control-Klausel aus, und ab welchem Datum?“
• Verlängerung und Kündigungsfrist. Prüfen Sie das Datum der automatischen Verlängerung und die Kündigungsfrist. Frage: „Wann genau sind unser Verlängerungsdatum und unsere Kündigungsfrist, und können wir die laufende Laufzeit zu denselben Konditionen verlängern?“
• Preisschutz. Suchen Sie nach einer Obergrenze für Preiserhöhungen bei der Verlängerung. Frage: „Können Sie Preiserhöhungen für unsere nächste Verlängerung schriftlich deckeln, unabhängig von der Paketierung nach dem Abschluss?“
• Export der Daten und der Kampagnenhistorie. Ihre Access-Review-Historie ist ein Nachweis, nicht nur Produktdaten. Frage: „Können wir die vollständige Historie unserer Access-Review-Kampagnen mit Entscheidungen, Reviewern, Zeitstempeln und Begründungen in einem Format exportieren, das unser Auditor akzeptiert, und zu welchen Kosten?“
• AVV und Unterauftragsverarbeiter. Eine Übernahme kann neue Unterauftragsverarbeiter mit sich bringen. Frage: „Werden Workday-Gesellschaften nach dem Abschluss zu Unterauftragsverarbeitern, und wie werden Sie uns darüber informieren?“
• Datenstandort. Klären Sie, wo Ihr Tenant heute gehostet wird. Frage: „In welcher Region wird unser Tenant gehostet, und ist diese Region auch nach dem Abschluss garantiert?“
• SLA. Prüfen Sie die Zusagen zu Verfügbarkeit und Support. Frage: „Bleiben unser SLA und unsere Support-Kanäle bis zum Ende der laufenden Vertragslaufzeit unverändert?“
• Konnektoren ausserhalb von Workday. Listen Sie die Konnektoren auf, von denen Ihre Reviews und Ihre Provisionierung abhängen. Frage: „Sagen Sie schriftlich zu, die von uns genutzten Konnektoren weiter zu pflegen, einschliesslich unseres HR-Systems, falls es nicht Workday ist?“

Access Reviews und Rezertifizierungskampagnen ohne Audit-Lücke umziehen (SOC 2, ISO 27001)

Behandeln Sie die Historie Ihrer C1-Kampagnen als Audit-Nachweis, nicht als Produktdaten. Archivieren Sie sie für den gesamten Prüfungszeitraum, brechen Sie nie eine laufende Kampagne ab, lassen Sie die erste Kampagne im neuen Tool mit der letzten C1-Kampagne überlappen, und informieren Sie Ihren Auditor vor dem Wechsel.

Eine Zugriffszertifizierung, auch Rezertifizierung genannt, ist eine geplante Überprüfung, bei der Applikationsverantwortliche oder Führungskräfte die Zugriffe jedes Nutzers bestätigen oder entziehen. Die Dokumentation, wer was wann und warum genehmigt hat, ist der Nachweis, den der Auditor prüft. Ein Toolwechsel ist ein Moment, in dem diese Dokumentation abreissen kann.

1. Vergangene Kampagnen für den gesamten Prüfungszeitraum exportieren und archivieren

Exportieren Sie jede Kampagne, die in Ihren aktuellen Prüfungszeitraum fällt, und zur Einordnung auch die vorherige. Bewahren Sie für jede Kampagne Folgendes auf:

• Umfang und Zeitraum der Kampagne sowie die abgedeckten Applikationen;
• jede Entscheidung (beibehalten, entziehen, ändern) und das betroffene Konto;
• die Identität jedes Reviewers und den Zeitstempel jeder Entscheidung;
• die Begründung oder den Kommentar zu jeder Entscheidung;
• den Nachweis der Umsetzung jedes Entzugs, etwa ein Ticket oder ein Deprovisionierungs-Log.

Legen Sie den Export schreibgeschützt in Ihrem Nachweis-Repository ab und prüfen Sie, dass er sich ohne Zugang zu C1 öffnen und korrekt lesen lässt.

2. Laufende Kampagnen nie abbrechen

Eine abgebrochene Kampagne hinterlässt Entscheidungen ohne Umsetzung und Konten ohne Reviewer. Schliessen Sie jede laufende Kampagne in C1 ab oder beenden Sie sie formell, exportieren Sie sie und wechseln Sie erst dann.

3. Die erste neue Kampagne mit der letzten C1-Kampagne überlappen lassen

Starten Sie die erste Kampagne im neuen Tool, bevor die letzte C1-Kampagne endet. Die Überlappung zeigt, dass die Reviews nie unterbrochen wurden, und Sie können den Umfang Applikation für Applikation vergleichen, bevor Sie C1 kündigen. So funktionieren automatisierte Access Reviews in Corma.

[VISUAL 1 : schéma de chevauchement des campagnes d'access review, dernière campagne C1 et première campagne dans le nouvel outil, fourni par Nikolai]

4. Den Wechsel als Änderung an einem Kontrollmechanismus dokumentieren

Erstellen Sie einen kurzen Änderungsnachweis: was sich ändert, zu welchen Terminen, wer für jeden Schritt verantwortlich ist, wo die archivierten Nachweise liegen und wie die Kontinuität sichergestellt wird. Teilen Sie ihn vor dem Wechsel mit Ihrem Auditor, nicht erst während der Prüfung vor Ort. Ihr Auditor entscheidet, welche Nachweise ausreichen, stimmen Sie den Plan also vorher mit ihm ab.

5. Die Controls zuordnen, die Ihre Access Reviews stützen

• SOC 2. Die Trust Services Criteria des AICPA (auf Englisch) fassen den logischen Zugriff unter den Kriterien CC6.1 bis CC6.3 zusammen. Ihre Points of Focus umfassen die regelmässige Überprüfung, ob Zugangsdaten (CC6.2) sowie Zugriffsrollen und Zugriffsregeln (CC6.3) angemessen sind.
• ISO 27001. Die ISO/IEC 27001:2022 (auf Englisch) führt in Anhang A die Controls 5.15 „Access control“, 5.18 „Access rights“ und 8.2 „Privileged access rights“.

Zu Kampagnenrhythmus und Nachweisen auf ISO-Seite geht unsere Roadmap für Access Reviews nach ISO 27001 ins Detail.

Sie planen den Wechsel vor Ihrem nächsten Audit? Buchen Sie eine Corma-Demo, um eine überlappende erste Kampagne vor Ihrem C1-Verlängerungsdatum zu planen.

Migrations-Checkliste: C1 ohne Lücke verlassen

Führen Sie den Wechsel in sechs Phasen durch und lassen Sie C1 bis zur letzten Phase aktiv. Beginnen Sie mit der Bestandsaufnahme mindestens einen Kampagnenzyklus vor Ihrem C1-Verlängerungsdatum.

1. Bestandsaufnahme. Erfassen Sie die angebundenen Applikationen, Rollen und Berechtigungen, Zugriffsrichtlinien, Workflows für Zugriffsanfragen, Joiner-Mover-Leaver-Automatisierungen (JML) sowie die Verantwortlichen und Reviewer jeder Applikation.
2. Export. Exportieren Sie die oben beschriebenen Kampagnennachweise sowie Ihre Konfiguration: Applikationsliste, Richtlinien, Genehmigungsketten und Kampagnenpläne.
3. Anbindung. Verbinden Sie die neue Plattform mit Ihrem Identity Provider und Ihrem HR-System und bauen Sie anschliessend Ihre Regeln für Provisionierung und Onboarding für Joiner, Mover und Leaver neu auf.
4. Parallelbetrieb. Führen Sie die erste Access-Review-Kampagne im neuen Tool durch, während C1 noch die vorherige hält, und vergleichen Sie den Umfang Applikation für Applikation. Unser Leitfaden zu Access-Review-Software zeigt, was Sie in dieser Phase testen sollten.
5. Umstellung. Verlagern Sie Zugriffsanfragen und JML-Prozesse zu einem festen Termin auf die neue Plattform und kündigen Sie dies Reviewern und Applikationsverantwortlichen an.
6. Stilllegung. Widerrufen Sie die API-Tokens und Servicekonten, die C1 in jeder angebundenen Applikation genutzt hat, lassen Sie sich die Datenlöschung gemäss Ihrem AVV bestätigen und bewahren Sie die archivierten Nachweise für Ihre Aufbewahrungsfrist auf.

Warum Corma für C1-Kunden

Corma ist eine 2023 in Paris gegründete Plattform für SaaS Management und IAM, gebaut für den Mittelstand und nicht als IGA-Suite für Grosskonzerne. Sie bündelt Access Reviews, Provisionierung, Deprovisionierung und JML-Prozesse in derselben Plattform wie das Management von SaaS-Ausgaben und Lizenzen, mit nativen Konnektoren zu Google Workspace, Microsoft Entra ID, Okta und JumpCloud.

• Compliance. Corma ist nach ISO/IEC 27001:2022 zertifiziert, und Kundendaten werden in allen Tarifen in der EU gehostet.
• Anerkennung. Corma wird 2025 und 2026 im Gartner® Magic Quadrant™ für SaaS-Management-Plattformen geführt.
• Geschwindigkeit. Eine vollständige Einführung dauert in der Regel weniger als einen Monat.
• Umfang. Identity Governance und Administration und SaaS Management teilen sich ein gemeinsames Inventar von Applikationen und Nutzern.
• Preise. Ein kostenloser Tarif umfasst bis zu 10 Integrationen, und der Tarif Essential beginnt bei 3 € pro Nutzer und Monat bei jährlicher Bindung (siehe Corma-Preise).

[VISUAL 2 : capture de l'écran access reviews dans Corma, fournie par Nikolai]

Methodik: C1-Angaben am 18. Oktober 2026 auf der Preisseite von C1 sowie in den Mitteilungen von Workday und C1 geprüft; Corma-Angaben aus der Preisseite und den Unternehmensinformationen von Corma.

Wenn Sie Workday HCM nutzen und mit C1 zufrieden sind, ist diese Tabelle kein Grund zu wechseln. Relevant wird sie, wenn Ihre HR-Daten ausserhalb von Workday liegen, wenn Sie Hosting in der EU brauchen oder wenn Sie SaaS Management und Identity Governance in einem Tool vereinen möchten.

Häufige Fragen

Wird C1 eingestellt?

Eine Einstellung wurde nicht angekündigt. Workday erklärt, dass es mit C1.ai zur Identity-Governance-Schicht für Menschen, Geld und Agenten wird. Der Abschluss wird bis zum 31. Januar 2027 erwartet, und Workday hat keine Produktänderungen für bestehende C1-Kunden konkretisiert.

Wann wird die Übernahme von C1 durch Workday abgeschlossen?

Workday erwartet den Abschluss im vierten Quartal seines Geschäftsjahres 2027, das am 31. Januar 2027 endet, vorbehaltlich der üblichen Abschlussbedingungen. Die Vereinbarung wurde am 12. Oktober 2026 unterzeichnet und am 13. Oktober 2026 angekündigt.

Brauche ich Workday, um C1 weiter zu nutzen?

Stand 18. Oktober 2026 wurde weder das eine noch das andere angekündigt. Workday-CEO Aneel Bhusri sagte, Workday könne mit anderen Identity Providern wie Microsoft oder Okta zusammenarbeiten, doch keines der beiden Unternehmen hat erklärt, wie C1 nach dem Abschluss HR-Systeme ausserhalb von Workday unterstützen wird.

Gefährdet ein Toolwechsel mein SOC-2- oder ISO-27001-Audit?

Nicht zwangsläufig. Archivieren Sie jede C1-Kampagne aus Ihrem Prüfungszeitraum, brechen Sie nie eine laufende Kampagne ab, lassen Sie die erste Kampagne im neuen Tool mit der letzten C1-Kampagne überlappen und stimmen Sie den Plan vor dem Wechsel mit Ihrem Auditor ab.

Kann ich meine Access-Review-Historie aus C1 exportieren?

Fragen Sie Ihren Account Manager vor Ablauf Ihrer Kündigungsfrist schriftlich danach. Verlangen Sie die vollständige Historie jeder Kampagne: Entscheidungen, Reviewer, Zeitstempel, Begründungen und Umsetzung, in einem Format, das Ihr Auditor akzeptiert. Prüfen Sie in Ihrem Vertrag die Bedingungen und Kosten des Exports.

Ändern sich die Preise von C1 nach der Übernahme?

Workday und C1 haben keine Preisänderungen angekündigt. C1 nennt auf seiner Preisseite keinen Listenpreis, Ihr Schutz liegt also in Ihrem Vertrag. Verlangen Sie bei Ihrer nächsten Verlängerung eine schriftliche Obergrenze für Preiserhöhungen.

Welche ConductorOne-Alternativen eignen sich für den Mittelstand?

Bei 100 bis 2000 Beschäftigten sollten Sie Tools in die engere Wahl nehmen, die Access Reviews, Provisionierung und JML-Prozesse abdecken, sich mit Ihrem Identity Provider und Ihrem HR-System verbinden und ihre Preise veröffentlichen. Corma verbindet diese Funktionen mit SaaS Management. Unser Überblick über die besten IGA-Lösungen für den Mittelstand vergleicht die wichtigsten Optionen.

Fazit

Die Vereinbarung von Workday zur Übernahme von C1 ändert Ihren Service heute nicht, eröffnet aber ein Entscheidungsfenster, das sich mit Ihrer nächsten Verlängerung oder Ihrem nächsten Audit schliesst, je nachdem, was zuerst kommt. Wenn Sie Workday HCM nutzen, bleiben Sie und sichern Sie Ihren Preis ab. Wenn nicht, holen Sie schriftliche Antworten zu Ihrem Vertrag ein, archivieren Sie Ihre Kampagnennachweise und planen Sie eine überlappende erste Kampagne in Ihrem nächsten Tool. Wie diese erste Kampagne in Corma abläuft, zeigen wir Ihnen gern: Demo anfragen.