Okta Identity Governance: Was es abdeckt, was es kostet, wo es endet

Dieser Leitfaden richtet sich an IT-Verantwortliche in Unternehmen mit 50 bis 500 Mitarbeitenden auf Okta, denen Okta Identity Governance für ein Audit nach ISO 27001, SOC 2 oder NIS2 angeboten wurde, nicht an Admins, die eine Anleitung suchen.

Okta Identity Governance (OIG) ist das Identity-Governance-Modul von Okta: Es bündelt Lifecycle Management, Okta Workflows und Access Governance, das Zugriffsanfragen, Zertifizierungskampagnen, Berechtigungsverwaltung und Regeln zur Funktionstrennung umfasst. Laut der öffentlichen Preisliste von Okta im September 2026 ist OIG in den Suites Starter (6 $) und Core Essentials (14 $) nicht verfügbar und ab Essentials für 17 $ pro Benutzer und Monat enthalten, bei jährlicher Abrechnung. OIG steuert die Apps, Gruppen und Berechtigungen, die Okta bereits verwaltet: Apps ausserhalb von Okta bleiben ausserhalb seiner Überprüfungen.

Zuletzt aktualisiert: 29. September 2026. Okta-Preise am 28. September 2026 auf der deutschen Preisseite von Okta geprüft.

Was ist Okta Identity Governance?

Okta Identity Governance ist eine Identity-Governance-and-Administration-Schicht (IGA), die in die Plattform Okta Workforce Identity integriert ist: Sie nutzt die Benutzer, Gruppen und App-Zuweisungen, die Okta bereits kennt, um Zugriffsanfragen, Zugriffsüberprüfungen und die Automatisierung des Identitätslebenszyklus zu steuern. Wenn die Kategorie neu für Sie ist, erklärt unsere Definition von Identity Governance and Administration (IGA) die Grundlagen.

Laut dem Hilfecenter von Okta besteht OIG aus drei Okta-Angeboten: Lifecycle Management, Workflows und Access Governance. Jedes erfüllt eine andere Aufgabe, und jedes hat eine eigene Grenze.

Was Access Governance umfasst

Access Governance ist der Teil, den die meisten Käufer meinen, wenn sie von „OIG“ sprechen. Okta dokumentiert folgende Funktionen:

• Access Requests: Mitarbeitende stellen Self-Service-Zugriffsanfragen für Apps, App-Berechtigungen oder Gruppen über ihr End-User Dashboard, und Anfragetypen begrenzen, wer was beantragen kann.
• Access Certifications: geplante Kampagnen und anlassbezogene Sicherheitsüberprüfungen, die Okta für Prüfanforderungen nach SOC 2 und SOX positioniert.
• Entitlement Management: App-Berechtigungen importieren oder anlegen und über Richtlinien auf Basis von Profilattributen zuweisen.
• Ressourcensammlungen, Verantwortliche und Labels: Bündel aus Apps und Berechtigungen, Verantwortliche, die Anfragen genehmigen, und Labels zum Filtern.
• Funktionstrennung: Regeln, die festlegen, welche Kombinationen von Berechtigungen einen Interessenkonflikt darstellen, damit OIG widersprüchliche Berechtigungen meldet. Unser Artikel zur Funktionstrennung (SoD) im IAM erklärt das Prinzip.
• Berichte, APIs und System-Log-Ereignisse zu vergangenen Kampagnen und Anfragen.

Gehört Okta Workflows zu OIG?

Ja. Das Hilfecenter von Okta führt Workflows als eines der drei OIG-Angebote, und die deutsche Preisseite von Okta hält fest: „Das Add-on Okta Identity Governance (OIG) umfasst Access Governance, Lifecycle Management und Workflows.“ Manche Drittanbieter-Bewertungen behaupten noch, OIG sei ohne native Workflows-Integration gestartet: Das beschreibt OIG zur Markteinführung, nicht das Paket, das Okta 2026 verkauft.

Was kostet Okta Identity Governance?

Auf der Preisseite von Okta ist Identity Governance ab der Suite Essentials für 17 $ pro Benutzer und Monat enthalten und in Starter und Core Essentials als „nicht enthalten“ markiert. Alle Suites von Okta Workforce Identity werden jährlich abgerechnet, mit einem Mindestvertragswert von 1.500 US-Dollar pro Jahr. Professional und Enterprise gibt es auf Anfrage.

Wichtig für ein Budget in Euro: Die deutsche Preisseite von Okta nennt dieselben Preise in US-Dollar. Die tatsächlichen Kosten von OIG hängen damit auch vom Wechselkurs zum Zeitpunkt der Verlängerung ab.

Was OIG ein Unternehmen mit 50, 200 und 500 Personen zum Listenpreis kostet

Okta berechnet Suites pro Benutzer: Der Wechsel zu Essentials gilt für alle Personen im Verzeichnis, nicht nur für jene, deren Zugriffe Sie überprüfen wollen. Hier die jährlichen Listenkosten für drei Unternehmensgrössen.

Für die Budgetplanung zählen zwei Lesarten. Wer bereits Core Essentials nutzt, zahlt für OIG zum Listenpreis 3 $ pro Benutzer und Monat mehr. Wer auf Starter ist, springt um 11 $ pro Benutzer und Monat und bezahlt Funktionen, die über Governance hinausgehen.

Warum die Zahl „4 $ pro Benutzer“ nicht zur Preisliste von Okta passt

Die viel gelesene OIG-Bewertung von Zluri nennt „4 $/Benutzer/Monat“ als „häufig zitierte Schätzung“ und rät zu prüfen, ob der Betrag zur bestehenden Suite hinzukommt. Die Bewertung von Multiplier sagt, OIG werde als Abonnement-Add-on zum bestehenden Okta-Tenant gekauft. Die Preisseite von Okta klärt das für Neukäufe: Governance ist in Starter und Core Essentials als nicht verfügbar markiert und ab Essentials enthalten. Dieselbe Seite spricht dennoch vom „Add-on OIG“, sodass Kunden mit älteren Verträgen es als eigene Position angeboten bekommen können. Fragen Sie Ihren Okta-Vertrieb, welche der beiden Varianten Ihnen vorliegt.

Fragen an Ihren Okta-Vertrieb vor der Unterschrift

• Suite oder Add-on? Wird Governance über ein Upgrade auf Essentials angeboten oder als Add-on zum bestehenden Vertrag?
• Welche Benutzer zählen? Suites werden pro Benutzer berechnet: Prüfen Sie, ob Externe und Servicekonten im abgerechneten Verzeichnis stehen.
• Wie viele Flows? Essentials enthält 50 Workflows, und individuelle Governance-Automatisierungen verbrauchen sie.
• Welche Apps sind ab dem ersten Tag steuerbar? Verlangen Sie die Liste Ihrer Apps mit SCIM oder OIN-Provisioning-Konnektor, nicht die Grösse des Integrationskatalogs.
• Was kostet die Einführung? Klären Sie, ob Professional Services enthalten sind oder separat berechnet werden.

Wo endet Okta Identity Governance?

OIG endet dort, wo der Blick von Okta auf Ihren Anwendungsbestand endet. Access Governance überprüft und vergibt Ressourcen, die Okta bereits kennt, und Lifecycle Management übernimmt die Benutzerprovisionierung über Konnektoren, SCIM oder On-Premises Provisioning. Eine App, die niemand mit Okta verbunden hat, erscheint weder in einem Anfragekatalog noch in einer Zertifizierungskampagne.

Lohnt sich eine dedizierte IGA, wenn SCIM nur einen Teil Ihrer Apps abdeckt?

Genau diese Frage stellte ein Praktiker auf r/IdentityManagement, und eine Antwort brachte die Einschränkung auf den Punkt: IdP-basierte Governance stützt sich auf SCIM und SAML, was „tatsächlich nur einen Bruchteil der Apps abdeckt“. Für ein Okta-Unternehmen ist der Praxistest einfach: Listen Sie die tatsächlich genutzten Apps auf und markieren Sie jene, die per SCIM oder OIN-Provisioning-Konnektor mit Okta verbunden sind. Alles Unmarkierte liegt ausserhalb der Reichweite von OIG.

Wie gross die Lücke ist, zeigt sich, sobald ein Unternehmen zählt. Als Satelia seine SaaS-Nutzung mit Corma inventarisierte, fand das Unternehmen 160 genutzte Anwendungen statt der 30 aus seinen manuellen Berichten. Eriel Cruz, Technical Project Manager bei Satelia, beschreibt, was diese Transparenz ermöglicht hat:

„Corma hat uns einen klaren Berichtskanal eröffnet: Wir sehen für das ganze Unternehmen, welche Tools genutzt werden, wie oft und wann der Zugriff vergeben wurde. Ohne diese Details hätten wir die Zertifizierungen nach ISO 27001 und SOC 2 nicht vorantreiben können.“Eriel Cruz, Technical Project Manager, Satelia (aus dem Englischen übersetzt). Quelle: die Einführung von Identity Governance bei Satelia, Juli 2026.

Der Fall Satelia ist kein Okta-Fall. Er zeigt das allgemeine Problem: Eine Überprüfungskampagne zertifiziert die Liste, die man ihr gibt, und diese Liste entspricht selten der Realität.

Lizenzen, Verträge und Verlängerungen

Die Produktseite von Okta beschreibt Einsparungen als Erkennen inaktiver App-Benutzer, um Softwareausgaben zu senken, orchestriert mit Workflows. Vertragsdaten, Kündigungsfristen, Rechnungsdaten und Lizenzzahlen pro App gehören nicht zu den von Okta dokumentierten OIG-Bausteinen. Für ein IT-Team im Mittelstand, das auch das Softwarebudget verantwortet, bedeutet das ein zweites Tool oder eine Tabelle neben OIG.

NIS2 und DSGVO: welche Nachweise in Deutschland zählen

Die meisten OIG-Bewertungen argumentieren aus US-Compliance-Sicht. In den drei im September 2026 analysierten OIG-Bewertungen von Drittanbietern taucht SOX dreimal auf, DSGVO (GDPR), NIS2 und DORA dagegen kein einziges Mal. Für Unternehmen in der EU ist die NIS-2-Richtlinie massgeblich: Artikel 21 Absatz 2 Buchstabe i der Richtlinie (EU) 2022/2555 nennt „Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen“ als eine Massnahme des Cybersicherheits-Risikomanagements. In Deutschland bündelt das BSI die Informationen dazu auf seiner Seite „NIS-2-regulierte Unternehmen“.

Zusammen mit der Okta-Dokumentation gelesen, ist die Konsequenz praktisch. OIG kann die Zugriffskontrolle für Ressourcen in Okta belegen. Die Hälfte „Management von Anlagen“, also zu wissen, welche Apps existieren und wer sie nutzt, braucht eine Erkennungsquelle jenseits des IdP. Ein Prüfer, der fragt „Woher wissen Sie, dass diese Liste vollständig ist?“, zielt auf diese zweite Hälfte.

Vor einem Audit lässt sich die Lücke in drei Schritten bemessen:

1. Inventarisieren Sie die tatsächlich genutzten Apps, auf Basis von Browser- und Ausgabendaten statt des IdP.
2. Klassifizieren Sie jede App: mit Okta verbunden inklusive Provisioning, nur SSO oder gar nicht verbunden.
3. Legen Sie den Überprüfungsweg fest für jede Gruppe: OIG-Kampagnen für provisionierte Apps, ein Governance-Tool oder eine dokumentierte manuelle Überprüfung für den Rest.

Wenn Ihr Prüfumfang Apps ausserhalb von Okta umfasst, ist die Antwort keine grössere Okta-Suite, sondern eine Governance-Schicht, die Apps innerhalb und ausserhalb von Okta abdeckt.

Die Stärken von Okta Identity Governance

OIG ist eine glaubwürdige Wahl, wenn Ihre kritischen Apps bereits mit Okta verbunden sind. Rückmeldungen aus der Praxis nennen dieselben Stärken und denselben Haken:

• Eine Konsole. In einem Thread auf r/IdentityManagement zur Ablösung einer IGA war das Argument eines Praktikers für OIG, dass es in dieselbe Admin-Konsole integriert ist, die das IT-Team bereits nutzt.
• Native Regeln zur Funktionstrennung und Berechtigungsrichtlinien, die leichtere Tools oft weglassen.
• Empfehlungen des Governance Analyzer, die Okta als gebündelte Risikosignale für Prüfende darstellt.
• Der Haken ist der Preis. Eine Antwort auf r/okta zur Berichtsautomatisierung nannte OIG eine „ganzheitlichere (wenn auch sicher teurere)“ Lösung als Skripte.
• Das Produkt entwickelt sich noch. In einem LinkedIn-Beitrag vom Mai 2026 schrieb der IAM-Praktiker Shubham Singh, dass „OIG sich noch weiterentwickelt“, und die Support-Website von Okta führt eine laufende Seite „What's new in Okta Identity Governance“, aktualisiert für September 2026.

OIG, Governance-Schicht oder Status quo: Was passt zu einem Mittelständler mit Okta?

OIG passt, wenn Okta Ihre kritischen Apps bereits sieht; eine Governance-Schicht passt, wenn nicht. Die meisten Unternehmen mit 50 bis 500 Mitarbeitenden auf Okta wägen drei realistische Optionen ab, unten verglichen nach den Kriterien, die Prüfer und Finanzleitung gleichermassen interessieren.

Héloïse Rozès, CEO von Corma, hat die Sicht des Mittelstands in einem Interview mit Revenue Brew im Dezember 2025 so formuliert: Für mittelständische Unternehmen „ergibt es keinen Sinn, zwei verschiedene Tools für die Governance Ihrer Software zu haben“. Sie verknüpft das mit der Prüflast: „Während die Regulierung zunimmt, wachsen die IT-Teams weder personell noch im Budget“ (aus dem Englischen übersetzt).

OIG ist die richtige Wahl, wenn:

• Ihre kritischen Apps bereits über SCIM oder OIN-Konnektoren hinter Okta liegen;
• Sie native Regeln zur Funktionstrennung auf Berechtigungsebene brauchen;
• Sie bereits Core Essentials nutzen und der Listenpreisschritt 3 $ pro Benutzer und Monat beträgt.

Eine Governance-Schicht passt besser, wenn:

• eine echte Inventur viele Apps ausserhalb von Okta zeigt, wie bei Satelia;
• Sie für SSO bei Starter bleiben und Governance separat finanzieren wollen;
• dasselbe Team Zugriffsüberprüfungen, Lizenzen und Verlängerungen verantwortet;
• Sie in der EU gehostete Nachweise für Audits nach ISO 27001 oder NIS2 brauchen.

Wenn Sie noch überlegen, ob Sie Okta überhaupt behalten, behandelt unser Leitfaden zu Okta-Alternativen für den Mittelstand die Seite des Identity Providers, und unser Vergleich der besten IGA-Lösungen für den Mittelstand die dedizierten Governance-Tools.

Wie Corma Zugriffe oberhalb von Okta steuert

Corma ist eine europäische Plattform für SaaS-Management und Identity Governance, die sich an Ihren bestehenden Identity Provider anbindet: Sie behalten Okta für die Anmeldung und ergänzen Governance für jede App, verbunden oder nicht.

• Okta behalten, den Umfang erweitern. Die Okta-Integration von Corma verbindet sich mit Okta SSO, um Provisionierung und Zugriffskontrolle über Ihren SaaS-Bestand zu automatisieren, und Corma bindet auch Microsoft Entra ID, Google Workspace und JumpCloud an.
• Sehen, was Okta nicht sieht. Corma erkennt nicht autorisierte Anwendungen und Schatten-IT, einschliesslich Tools, die im Browser genutzt oder auf dem Gerät installiert werden.
• Überprüfungen, die Prüfer akzeptieren. Automatisierte, prüfungsfertige Zugriffsüberprüfungen liefern den Audit-Trail, den Audits nach ISO 27001, SOC 2 und NIS2 erwarten.
• Lizenzen am selben Ort steuern. Vertrags- und Lizenzverwaltung liegt direkt neben den Zugriffen, der Ein-Tool-Ansatz, den Héloïse Rozès beschreibt.
• Europäisch von Grund auf. Corma wird in der EU gehostet, ist DSGVO-konform ausgerichtet, nach ISO/IEC 27001 zertifiziert und wurde im Gartner Magic Quadrant 2025 für SaaS-Management-Plattformen anerkannt.

Zugriffsüberprüfungen und automatisierte Provisionierung sind Teil des Pro-Plans von Corma, und Transparenz mit Erkennung von Schatten-IT beginnt im Essential-Plan bei 3 € pro Benutzer und Monat bei jährlicher Bindung. Details finden Sie auf der Preisseite von Corma, eine Gegenüberstellung in unserem Vergleich Corma und Okta.

FAQ

Okta Identity Governance: das Fazit

Okta Identity Governance ist ein solides Governance-Modul für Ressourcen, die Okta bereits verwaltet, und zum Listenpreis in der Essentials-Suite für 17 $ pro Benutzer und Monat enthalten. Bevor Sie upgraden, zählen Sie die Apps, die Okta nicht sieht. Ist diese Liste lang, bringt eine Governance über den IdP hinaus Ihrem Audit mehr als eine grössere Okta-Suite.