Passt Lumos zur IGA im Mittelstand? Autonome Identität, Preise und Alternativen

Für IT- und Security-Verantwortliche in Unternehmen mit 50 bis 500 Beschäftigten, oft in Europa, die Lumos auf ihrer Shortlist für Identity Governance haben.

Lumos (auch Lumos Identity) ist eine Plattform für Identity Governance and Administration (IGA), die „autonome Identität“ verkauft: KI-Agenten, die Zugriffsüberprüfungen, Zugriffsanfragen und Rollendesign für Beschäftigte, Service-Accounts und KI-Agenten übernehmen. Lumos passt zu mittelständischen Teams mit SaaS-lastigem Stack und Enterprise-Budget, denn laut Einkaufsdaten liegt der mittlere Lumos-Vertrag bei 35.644 USD pro Jahr. Weniger geeignet ist Lumos, wenn Sie veröffentlichte Preise, eine tiefe Abdeckung von Berechtigungen in AWS, Azure oder GCP oder in der EU gehostete Identitätsdaten brauchen. Genau hier unterscheiden sich C1, Zluri, Torii, Microsoft Entra ID Governance und Corma.

Zuletzt aktualisiert: 30. September 2026. Preise und Bewertungen wurden an diesem Tag bei den verlinkten Quellen geprüft.

Was ist Lumos, und was bedeutet „autonome Identität“?

Lumos ist ein US-Anbieter für Identity Governance, dessen Plattform festlegt und dokumentiert, wer auf welche Anwendung zugreift, wie lange und wer das freigegeben hat. Der Anbieter nennt seinen Ansatz Autonomous Identity und beschreibt ihn als Einsatz von KI für „vollständige Transparenz, umsetzbare Erkenntnisse, durchgängige Automatisierung und adaptive Systeme in der Identity Governance“ (Definition aus dem Englischen übersetzt).

Einfach gesagt ist Identity Governance and Administration (IGA) die Ebene über Ihrem Identity Provider. Ihr IdP (Okta, Microsoft Entra ID oder Google Workspace) authentifiziert Personen. IGA entscheidet, ob sie diesen Zugriff noch haben sollten, und bewahrt die Nachweise auf, die der Auditor verlangen wird.

Lumos deckt diese Ebene mit vier Bausteinen ab:

• AppStore: ein Self-Service-Katalog, in dem Beschäftigte Zugriffe anfragen, mit Freigaberegeln und zeitlich begrenzten Berechtigungen.
• Lifecycle Management: Automatisierung von Eintritt, Wechsel und Austritt, einschliesslich Provisionierung und Deprovisionierung.
• Zugriffsüberprüfungen: Review-Kampagnen, deren erster Durchgang inzwischen von einem KI-Agenten übernommen wird.
• Albus: der KI-Agent von Lumos, der seine Empfehlungen laut Anbieter auf Berechtigungsdaten aus IdP, HR-System, SaaS, Cloud und On-Premises-Systemen stützt.

Lumos war nicht von Anfang an „autonom“. Die im Mai 2024 angekündigte Series B über 35 Millionen US-Dollar sollte SaaS-Management und Identitätsverwaltung zusammenführen. GitLab, eine der öffentlichen Referenzen, beschreibt Lumos in seinem Unternehmenshandbuch weiterhin als Werkzeug für Zugriffsanfragen, Just-in-Time-Zugriff, Zugriffsüberprüfungen, Lizenz-Tracking und die Erkennung von Schatten-IT.

Wer nur nach „Lumos“ sucht, landet leicht bei einem Internetanbieter, einem Krypto-Token oder einem Pharmaunternehmen. Der IGA-Anbieter ist der hier beschriebene, und seine Produktgeschichte erklärt den Grossteil dessen, was folgt.

Wie schneidet Lumos bei Identity Governance ab?

Lumos wird von seinen Kunden gut bewertet: 4,7 von 5 auf G2 bei 69 Bewertungen und eine Platzierung als Strong Performer im Gartner Peer Insights Voice of the Customer 2026 für IGA. Die wiederkehrende Kritik betrifft nicht die Intelligenz des Produkts, sondern seine Reichweite: Integrationen und Einrichtungsaufwand.

Laut der Lumos-Ankündigung vom 9. April 2026 beruht die Gartner-Auszeichnung auf verifizierten Bewertungen aus den 18 Monaten bis zum 31. Januar 2026. Lumos erreichte darin 4,7 von 5 bei mehr als 50 Bewertungen, und 96 % der Bewertenden würden Lumos weiterempfehlen.

Die Schwächen zeigen sich in den negativen Themen, die G2 aus den Lumos-Bewertungen bildet (Stand 30. September 2026):

• Integrationsprobleme: 7 Nennungen
• Begrenzte Integrationen: 6 Nennungen
• Schwierigkeiten bei der Integration: 5 Nennungen
• Komplexe Einrichtung, fehlende Funktionen und unvollständiges Tracking: je 3 Nennungen

Drei dieser sechs Themen betreffen Integrationen, insgesamt 18 Nennungen. Einzelne Bewertungen bestätigen das Bild. Im Dezember 2025 schrieben mehrere Nutzer aus mittelständischen Unternehmen (51 bis 1.000 Beschäftigte), dass die Einrichtung von Integrationen und Workflows Zeit kostet, und ein Cloud Security Engineer forderte Integrationen für AWS, GCP und Azure.

Für ein Unternehmen mit 50 bis 500 Beschäftigten ist die Lesart klar. Die Governance-Logik wird gut bewertet; das Risiko liegt in der Time-to-Value, wenn Ihre Anwendungsliste Nischen-, Eigen- oder Infrastruktur-Apps enthält, die Lumos nicht von Haus aus anbindet.

Steuert Lumos KI-Agenten?

Ja. Seit Juni 2026 steuert Lumos KI-Agenten als eigenständige Identitäten, und seit September 2026 kontrolliert es mit MCP Governance auch, was Agenten zur Laufzeit tun. Daneben nutzt Lumos KI-Agenten, um die Governance-Arbeit selbst zu erledigen. Das ist eine andere Fähigkeit, die Sie in der Demo klar trennen sollten.

Die beiden Ebenen im Überblick:

• Agenten, die steuern. Albus (Juni 2025) empfiehlt Policies und Rollen, die Agentic User Access Reviews (Dezember 2025) übernehmen den ersten Durchgang jeder Kampagne, und die Identity Security Agents (März 2026) machen Identitätsrisiken sichtbar.
• Agenten, die gesteuert werden. Die am 15. Juni 2026 angekündigte Identity Agent Force beschreibt Lumos als „ein Team von KI-Agenten, das den Zugriff jedes Menschen, jeder Maschine und jedes KI-Agenten im Unternehmen kontinuierlich steuert“ (aus dem Englischen übersetzt). MCP Governance, gestartet am 22. September 2026, verspricht Transparenz und Laufzeitkontrolle über jeden MCP-Server und jeden Tool-Aufruf in Claude Code und Codex.

Manche Vergleichsseiten behaupten noch das Gegenteil. Ein am 30. April 2026 von Linx Security, einem Wettbewerber, veröffentlichter Vergleich stuft die Unterstützung von Lumos für nicht-menschliche und agentische Identitäten als „begrenzt“ ein und erklärt, Lumos arbeite nur mit Signalen auf IdP-Ebene. Die erste Aussage stammt aus der Zeit vor den Launches im Juni und September und beschreibt das heute verkaufte Produkt nicht mehr.

Die zweite Aussage verdient einen Test statt eines Urteils. Lumos zufolge liest Albus Berechtigungsdaten aus IdP, HR-System, SaaS, Cloud und On-Premises-Systemen, während ein G2-Nutzer im Dezember 2025 noch Integrationen für AWS, GCP und Azure forderte. Unsere Einschätzung: Lumos steuert KI-Agenten auf Produktebene; wie tief es in Ihre Cloud-Berechtigungen blickt, ist im Pilotprojekt zu belegen. Welche Kontrollen jedes KI-Agenten-Programm unabhängig vom Anbieter braucht, zeigt unser Governance-Framework für KI-Agenten.

Was kostet Lumos?

Lumos veröffentlicht auf seiner Website keine Preise, doch zwei öffentliche Quellen ergeben eine brauchbare Spanne: einen Listenpreis von 27.000 USD für einen 12-monatigen Core-Platform-Vertrag auf AWS Marketplace und einen Median von 35.644 USD pro Jahr über 50 von Vendr erfasste Käufe.

Bewertungen, die Lumos als „nur auf Anfrage“ beschreiben, liegen für lumos.com richtig und für den Markt falsch. Start with Identity (Juni 2026) nennt das Modell „Subscription, quote-based“, obwohl das AWS-Listing einen öffentlichen Listenpreis zeigt. Damit haben Sie vor dem ersten Vertriebsgespräch einen Anker für die Verhandlung.

Zwei Rechnungen helfen, diese Zahlen in ein Budget zu übersetzen. Sie sind Beispiele, keine Angebote:

• Bei 180 USD pro zusätzlichem Nutzer entspricht die Plattformgebühr von 27.000 USD dem Preis von 150 Nutzern. Das Listing nennt nicht, wie viele Nutzer die Plattformgebühr enthält: Fragen Sie nach.
• Ein Unternehmen mit 200 Beschäftigten, das den Vendr-Median zahlt, käme auf rund 178 USD pro Beschäftigtem und Jahr, also etwa 15 USD pro Monat.

Das untere Ende der Vendr-Spanne (12.997 USD) liegt unter der Hälfte des AWS-Listenpreises, was auf echten Verhandlungsspielraum bei kleinerem Umfang hindeutet. Das obere Ende steht für deutlich grössere Deployments.

Zum Vergleich: Die Preisstufen von Corma nennen für den Essential-Plan einen öffentlichen Einstiegspreis pro Nutzer und Monat bei jährlicher Abrechnung; er deckt Transparenz, Erkennung von Schatten-IT und Kostendaten ab. Die Governance-Automatisierung (automatisierte Access Reviews, Provisionierung, mehr als 200 Integrationen) liegt im Pro-Plan, der nach einer Demo angeboten wird. Vergleichen Sie also gleiche Leistungsumfänge.

Passt Lumos zu einem Unternehmen mit 50 bis 500 Beschäftigten?

Lumos passt zu einem Unternehmen mit 50 bis 500 Beschäftigten, wenn der Stack SaaS-lastig ist, ein einziger Identity Provider die Quelle der Wahrheit ist und das Budget zu Enterprise-Preisen passt. Weniger geeignet ist es, wenn das IT-Team klein ist, kritische Zugriffe in der Cloud-Infrastruktur liegen oder Bedingungen der Datenverarbeitung in der EU die Entscheidung prägen.

Die Botschaften von Lumos richten sich an grosse Organisationen. Auf 14 Lumos-Seiten, die wir am 30. September 2026 geprüft haben (Produkt-, Lösungs-, Kunden- und Ankündigungsseiten), kommt das Wort „mid-market“ kein einziges Mal vor, und die Agenten-Produkte versprechen Governance „in the enterprise“. Die Bewertenden sind gemischter: Mehrere der oben zitierten G2-Bewertungen stammen aus mittelständischen Unternehmen.

Was sollten europäische Käufer vor einer Entscheidung für Lumos prüfen?

Die Produktseiten von Lumos nennen keine EU-Hosting-Region. Die Datenschutzerklärung sieht vor, dass personenbezogene Daten in Länder ausserhalb des Europäischen Wirtschaftsraums übermittelt werden können, abgesichert durch von der Europäischen Kommission genehmigte vertragliche Verpflichtungen. Gemeint sind die Standardvertragsklauseln nach Artikel 46 DSGVO: ein rechtmässiger Übermittlungsmechanismus, den Ihr Datenschutzbeauftragter dennoch zusammen mit dem Auftragsverarbeitungsvertrag, der Liste der Unterauftragsverarbeiter und der Hosting-Region prüfen wird.

Zugriffssteuerung ist in Europa zudem eine Compliance-Pflicht. Artikel 21 Absatz 2 Buchstabe i der NIS-2-Richtlinie zählt Konzepte für die Zugriffskontrolle zu den Risikomanagementmassnahmen, die betroffene Einrichtungen ergreifen müssen. Laut BSI sind die Geschäftsführungen betroffener Einrichtungen verpflichtet, diese Massnahmen umzusetzen, ihre Umsetzung zu überwachen und sich zu Cyberrisiken schulen zu lassen; betroffene Unternehmen registrieren sich zudem im BSI-Portal (§ 33 Absatz 6 BSIG). Keine der fünf Vergleichs- und Bewertungsseiten Dritter, die für „Lumos IGA“ ranken, erwähnt DSGVO, NIS-2 oder DORA (Zählung vom 30. September 2026). Dieser Teil der Bewertung liegt also bei Ihnen.

Wenn dieser Check Sie von Lumos wegführt, vor allem beim EU-Hosting oder bei der Bündelung von Kosten- und Zugriffskontrolle in einem Tool, buchen Sie eine Corma-Demo und prüfen Sie Corma mit derselben Liste.

Welche Lumos-Alternativen gibt es für IGA im Mittelstand?

Sechs Lumos-Alternativen decken Identity Governance im Mittelstand ab: C1 (ehemals ConductorOne), Zluri, Torii, Okta Identity Governance, Microsoft Entra ID Governance und Corma. Sie lassen sich in drei Gruppen einteilen: IGA-native Plattformen, SaaS-Management-Tools mit ergänzter Governance und Governance-Add-ons Ihres Identity Providers.

C1 ist die direkteste Alternative: eine IGA-native Plattform, die ebenfalls auf KI-Agenten setzt. Zluri und Torii kommen aus dem SaaS-Management und behandeln Zugriffssteuerung als Erweiterung der App-Erkennung; beide vergleichen wir in Corma vs. Zluri und Corma vs. Torii.

Okta Identity Governance und Microsoft Entra ID Governance sind sinnvoll, wenn ein einziger Identity Provider bereits alles steuert. Das Entra-Add-on ist die einzige Option dieser Tabelle, deren Governance-Preis pro Nutzer auf der eigenen Anbieterseite veröffentlicht ist. Eine breitere Liste mit Enterprise-Suiten finden Sie in unserem Leitfaden zu den besten IGA-Lösungen für den Mittelstand.

Wie schneidet Corma als europäische Alternative zu Lumos ab?

Corma ist eine europäische Plattform für SaaS-Management und Identity Governance, die Lizenz- und Kostenkontrolle, Zugriffsanfragen, Provisionierung und Zugriffsüberprüfungen in einem Tool für Unternehmen mit 50 bis 500 Beschäftigten bündelt. Während Lumos vom App Store zur autonomen Identität gewachsen ist, beruht Corma auf der Idee, dass ein Mittelständler keine zwei getrennten Governance-Tools betreiben sollte.

„Wir sind überzeugt, dass es für Unternehmen im Mittelstand keinen Sinn ergibt, zwei verschiedene Tools für die Governance ihrer Software zu haben.“

Héloïse Rozès, CEO und Mitgründerin von Corma, in Revenue Brew, 8. Dezember 2025 (aus dem Englischen übersetzt)

Was das im Vergleich zu Lumos konkret bedeutet:

• Europäisch von Grund auf. Die Identity-Governance-Plattform von Corma wird in der EU entwickelt und gehostet, ist an den Anforderungen von DSGVO und NIS-2 ausgerichtet, und Corma ist nach ISO/IEC 27001:2022 zertifiziert.
• Kosten und Zugriffe in einem Inventar. Dasselbe Anwendungsinventar steuert die Rückgewinnung von Lizenzen und die automatisierten Access Reviews, mit Konnektoren zu Google Workspace, Microsoft Entra ID, Okta oder JumpCloud.
• Nicht-menschliche Identitäten und KI-Agenten. Die Preisseite von Corma führt NHI-Erkennung (Service-Accounts, API-Tokens, OAuth), NHI-Lifecycle-Governance und Transparenz über KI-Agenten-Identitäten auf, und die KI-Agenten-Automatisierung von Corma provisioniert auch Anwendungen ohne API.

Dasselbe Interview gibt die Richtung für 2026 vor: die Seed-Runde nutzen, um „die Multi-Agenten-Vision von Corma zu entwickeln und in jeder möglichen Phase automatisierte Zero-Touch-Workflows und Anwendungsfälle für die Lizenz-Governance bereitzustellen“ (aus dem Englischen übersetzt).

Satelia, ein auf Herzerkrankungen spezialisiertes Monitoring-Unternehmen, zeigt, wie das in einem Audit aussieht. Die manuellen Berichte hatten 30 Anwendungen erfasst; Corma machte 160 Anwendungen und Agenten sichtbar und lieferte den Auditoren den Nachweis kontrollierter Zugriffe, den Satelia für ISO 27001 und SOC 2 brauchte. Eriel Cruz, Technical Project Manager bei Satelia, fasst es so zusammen: „Ohne diese Details hätten wir mit den Zertifizierungen nach ISO 27001 und SOC 2 nicht weitermachen können.“ (Satelia-Kundenstory, Juli 2026, aus dem Englischen übersetzt)

Wo Lumos vorne liegt: Wenn die Laufzeitkontrolle von MCP-Tool-Aufrufen heute eine harte Anforderung ist, hat Lumos dafür ein eigenes Produkt, gestartet am 22. September 2026. Prüfen Sie das Gegenstück bei jedem Tool auf Ihrer Shortlist, Corma eingeschlossen. Einen Vergleich Funktion für Funktion finden Sie im Vergleich Corma vs. Lumos.

So bewerten Sie Lumos in 30 Tagen

Führen Sie eine 30-tägige Evaluierung mit Ihren eigenen Daten durch: Testen Sie die Integrationstiefe bei Ihren sensibelsten Anwendungen, ein Cloud-Konto, eine echte Zugriffsüberprüfung, Ihre KI-Agenten und Service-Accounts, die Datenschutzunterlagen und den Preis im Vergleich zu öffentlichen Richtwerten.

1. Integrationstiefe bei den wichtigsten Apps prüfen. Listen Sie die 20 Anwendungen auf, bei denen Zugriffe am meisten zählen, und fragen Sie je App, ob der Konnektor nur Konten liest oder auch provisioniert und entzieht. Integrationen sind der häufigste Kritikpunkt in Lumos-Bewertungen.
2. Ein Cloud-Konto anbinden. Verbinden Sie ein AWS-, Azure- oder GCP-Konto und prüfen Sie, ob Berechtigungen auf Ressourcenebene erscheinen oder nur als Gruppenmitgliedschaft aus dem IdP.
3. Eine echte Zugriffsüberprüfung durchführen. Starten Sie eine Kampagne für eine sensible Anwendung mit aktiviertem Agenten-Vorlauf und messen Sie die Zeit der Prüfenden sowie die Zahl der tatsächlich entzogenen Zugriffe.
4. Nicht-menschliche Identitäten erfassen. Zählen Sie Service-Accounts, API-Tokens und KI-Agenten in Ihrer Umgebung und vergleichen Sie das Ergebnis mit dem, was Identity Agent Force und MCP Governance erkennen.
5. EU-Unterlagen einholen. Fordern Sie Auftragsverarbeitungsvertrag, Hosting-Region und Liste der Unterauftragsverarbeiter an und gleichen Sie die Audit-Exporte mit Ihren Nachweispflichten nach NIS-2 und ISO 27001 ab.
6. Das Angebot einordnen. Vergleichen Sie das Angebot mit dem AWS-Listenpreis von 27.000 USD und dem Vendr-Median von 35.644 USD, und fragen Sie, wie viele Nutzer die Plattformgebühr enthält, bevor der Preis von 180 USD pro Nutzer greift.

Wenden Sie dieselben sechs Schritte auf jede Alternative an. Eine Shortlist, die Ihren eigenen Daten standhält, ist mehr wert als jedes Ranking, dieses eingeschlossen.

FAQ

Was macht das Unternehmen Lumos?

Lumos ist ein US-Softwareunternehmen, das eine Plattform für Identity Governance and Administration verkauft. Sie automatisiert Zugriffsanfragen, Ein- und Austritte, Zugriffsüberprüfungen und Rollendesign und steuert seit 2026 auch nicht-menschliche Identitäten und KI-Agenten. Lumos vermarktet diesen Ansatz als autonome Identität.

Wofür steht IGA, und was unterscheidet IGA von IAM?

IGA steht für Identity Governance and Administration: die Richtlinien, Überprüfungen und Audit-Trails, die festlegen, wer worauf zugreifen darf. IAM, Identity and Access Management, umfasst Authentifizierung und Durchsetzung, etwa SSO und MFA. Kurz gesagt lässt IAM Nutzer herein, und IGA belegt, dass sie noch dort sein dürfen.

Veröffentlicht Lumos seine Preise?

Auf lumos.com steht kein Preis; die Preisseite ist ein Demo-Formular, das die Unternehmensgrösse abfragt. Das AWS-Marketplace-Listing von Lumos zeigt 27.000 USD für einen 12-monatigen Core-Platform-Vertrag plus 180 USD pro zusätzlichem Nutzer und Jahr, und Vendr meldet einen mittleren Lumos-Vertrag von 35.644 USD pro Jahr (Stand 30. September 2026).

Wer sind die wichtigsten Wettbewerber von Lumos?

Zu den wichtigsten Wettbewerbern von Lumos bei Identity Governance im Mittelstand gehören C1 (ehemals ConductorOne), Zluri, Torii, Okta Identity Governance, Microsoft Entra ID Governance und Corma. Enterprise-Suiten wie SailPoint und Saviynt zielen eher auf grosse Organisationen mit komplexen hybriden Umgebungen.

Ist Lumos ein SaaS-Management-Tool oder eine IGA-Plattform?

Lumos ist beides, mit heutigem Schwerpunkt auf IGA. Lumos begann mit einem App Store und Lizenz-Tracking, sammelte 2024 eine Series B ein, um SaaS- und Identitätsmanagement zu vereinen, und positioniert sich seit 2025 als Plattform für autonome Identität. Gartner Peer Insights führt Lumos sowohl im Markt für SaaS-Management als auch im IGA-Markt.

Welche IGA-Lösung ist die beste für ein mittelständisches Unternehmen?

Die beste IGA-Lösung für ein mittelständisches Unternehmen ist die, die den tatsächlichen Zugriffsbestand zu einem tragbaren Budget abdeckt. SaaS-orientierte Teams mit einem einzigen IdP können Lumos, C1, Zluri, Torii und Corma vergleichen, während Microsoft-365- oder Okta-Umgebungen mit dem Governance-Add-on ihres Anbieters beginnen können. Europäische Unternehmen sollten Hosting-Region und NIS-2-Nachweise in ihre Kriterien aufnehmen.

Quellen

• Lumos, Seiten Autonomous Identity, Albus, MCP Governance, Pricing und Privacy Policy, abgerufen am 30. September 2026.
• Lumos-Ankündigungen: Gartner Peer Insights Voice of the Customer for IGA (9. April 2026), Identity Agent Force (15. Juni 2026), MCP Governance (22. September 2026).
• Lumos auf AWS Marketplace und Lumos-Preise auf Vendr, abgerufen am 30. September 2026.
• Lumos-Bewertungen auf G2, abgerufen am 30. September 2026.
• Richtlinie (EU) 2022/2555 (NIS-2), Artikel 21, und Verordnung (EU) 2016/679 (DSGVO), Artikel 46.
• BSI, NIS-2-regulierte Unternehmen.
• Layla Ilchi, „Corma seed round“, Revenue Brew, 8. Dezember 2025.