Auth0 oder Cognito: Schweizer Datenschutz, AWS-Kosten und laufender Aufwand

Auth0 gewinnt meist dann, wenn Sie eine schnelle Integration und weitgehende Anpassbarkeit brauchen. Amazon Cognito gewinnt meist dann, wenn Ihr System ohnehin auf AWS läuft und die Kostenkontrolle im Vordergrund steht. Bei Unternehmensabläufen mit ungewöhnlicher Anmeldelogik zahlt sich die Erweiterbarkeit von Auth0 in der Regel aus. In beiden Fällen bleiben Sie für die korrekte Sicherheitskonfiguration verantwortlich, und die Pflichten beim Datenschutz hängen davon ab, wo und durch wen Ihre Daten bearbeitet werden. Diese Details zu beherrschen ist entscheidend, wie die Schritte für mittelgrosse Unternehmen zu digital security fundamentals zeigen.

---

Kurz zusammengefasst:

• Cognito enthält in den Stufen Lite und Essentials 10'000 monatlich aktive Nutzer:innen gratis. Erweiterte Funktionen, Föderation, doppelt geführte Regionen und Bot-Registrierungen können die Rechnung jedoch erhöhen.

• Die Stufe Plus von Cognito ergänzt adaptive Authentifizierung, Erkennung kompromittierter Zugangsdaten und exportierbare Sicherheitsprotokolle. Teams, die Kontoübernahmen fürchten müssen, sollten diese Kosten von Anfang an einrechnen.

• Schweizer Unternehmen müssen Bearbeitungsorte, Unterauftragsbearbeiter und vertragliche Garantien dokumentieren. Hosting in der Schweiz allein genügt nicht, wenn US-Cloud-Anbieter Personendaten bearbeiten.

• Prüfen Sie vor der Entscheidung, ob sich Passwort-Hashes exportieren lassen, testen Sie den Import in einer Testumgebung und planen Sie eine schrittweise Migration der Zugangsdaten, damit sich niemand aussperrt.

• Die verwaltete Anmeldung von Cognito erlaubt eigenes Branding, aber wenig Kontrolle über das Layout. Eine eigene Oberfläche bringt Freiheit, macht Ihr Team aber für die Sicherheit der Zugangsdaten verantwortlich.

---

Welcher Anbieter passt zu welchem Projekt?

• Komfort für Entwickler:innen und Erweiterbarkeit: Auth0 ist rund um eine ausgereifte Entwicklungserfahrung gebaut, mit einer gehosteten Anmeldeseite, die sich stark umgestalten lässt, und mit Einstiegspunkten, über die Sie während Anmeldung und Registrierung eigenen Code ausführen.

• AWS-nahe Integration und Kostenprofil: Cognito greift direkt auf IAM, API Gateway, Lambda und den Rest von AWS zu. Die Preise sind nach monatlich aktiven Nutzer:innen (MAU) gestaffelt, weshalb Teams, die innerhalb von AWS bleiben, oft tiefere und besser planbare Rechnungen sehen.

• MVPs und kleine Teams: Wählen Sie Auth0, wenn Sie Anmeldung, Social Login und MFA an einem Nachmittag zum Laufen bringen wollen und die Abläufe später verfeinern.

• Unternehmensprodukte mit komplexen Mandanten: Wählen Sie Auth0, wenn Kundinnen und Kunden eigene Claims, eigene SAML- oder OIDC-Identitätsanbieter und massgeschneiderte Onboarding-Schritte verlangen.

• Reine AWS-Umgebungen: Wählen Sie Cognito, wenn Ihre Dienste bereits über IAM autorisieren und Sie einen Anbieter, eine Rechnung und ein Sicherheitsmodell wollen.

• Kostensensible Endkunden-Apps: Das Gratiskontingent und der Preis pro MAU von Cognito passen zu Anwendungen mit vielen Nutzer:innen mit geringem Wert, sofern Sie die Zusatzfunktionen im Auge behalten.

• Teams mit wenig Zeit für Sicherheit: Keine der beiden Varianten nimmt Ihnen die Konfiguration ab. Planen Sie diesen Aufwand von Beginn weg ein.

Was erlauben die Funktionen wirklich, und wo setzen sie Grenzen?

Beginnen wir beim Anmeldeerlebnis. Beide Anbieter bieten eine gehostete Anmeldeseite an. Das ist der schnellste und sicherste Weg, weil der Anbieter die Eingabe der Zugangsdaten übernimmt. Der Unterschied zeigt sich, sobald Sie etwas ändern wollen. Die gehostete Anmeldung von Auth0 lässt sich stark anpassen, und über die SDKs gehen Sie mit eingebetteten oder vollständig eigenen Oberflächen noch weiter. Die verwaltete Anmeldung von Cognito unterstützt Branding, verlangt dafür aber engere Grenzen bei Layout und Ablauf. Wenn Ihnen diese Grenzen zu eng werden, bauen Sie eine eigene Oberfläche auf den Cognito-APIs und übernehmen mehr Sicherheitsverantwortung selbst.

Am stärksten unterscheiden sich die beiden bei der Erweiterbarkeit zur Laufzeit. Auth0 lässt Sie an definierten Punkten Logik einfügen: ein Token anreichern, eine Anmeldung blockieren, einen externen Dienst aufrufen oder Konten verknüpfen. Cognito bietet für ähnliche Momente Lambda-Trigger an, etwa für die Prüfung vor der Registrierung oder vor der Ausstellung eines Tokens. Trigger funktionieren gut, wenn Ihr Team mit Lambda vertraut ist. Sie erhöhen aber die Latenz und den Betriebsaufwand, und komplexe mehrstufige Abläufe werden im Vergleich zum stärker geführten Ansatz von Auth0 schnell unhandlich.

Die Abdeckung der Protokolle ist weitgehend vergleichbar. Beide unterstützen OAuth 2.0, OpenID Connect, soziale Anbieter sowie SAML- oder OIDC-Föderation mit Identitätsanbietern von Unternehmen. Amazon beschreibt Cognito so, dass es neben der Föderation auch passkeys and passwordless sign-in abdeckt, und Auth0 unterstützt ebenfalls WebAuthn und Passkeys. Der Zugriff zwischen Maschinen läuft bei beiden über den Client-Credentials-Ablauf, wobei sich die Anpassung der Token für diese Abläufe leichter nachvollziehen lässt, wenn Sie die Einstiegspunkte selbst kontrollieren.

Für den Sicherheitsbetrieb zählt die Beobachtbarkeit. Die umfangreichere Protokollierung von Cognito, inklusive exportierbarer Sicherheitsprotokolle, liegt hinter einer höheren Funktionsstufe, die wir weiter unten behandeln. Prüfen Sie bei jedem Anbieter, welche Ereignisse Sie in Ihr eigenes SIEM oder Ihre Protokollverarbeitung übertragen können, denn Dashboards in der Konsole eines Anbieters genügen für die Reaktion auf Vorfälle selten. Stellen Sie vor der Entscheidung drei praktische Fragen: Lassen sich Anmeldeereignisse nahezu in Echtzeit exportieren, lassen sie sich mit Ihren Anwendungsprotokollen verknüpfen, und wie lange bewahrt sie der Anbieter auf?

Wie verändern MAU-Preise und Funktionsstufen Ihre Gesamtkosten?

Cognito rechnet nach monatlich aktiven Nutzer:innen und nach Funktionsplan ab. Gemäss der Preisseite von AWS werden die Stufen Lite, Essentials und Plus pro MAU verrechnet, mit einem Gratiskontingent von 10'000 MAU für Lite und Essentials. Erweiterte Sicherheitsfunktionen und Zusatzdienste kosten extra. Lesen Sie die Zählregeln für MAU genau: Eine Person wird in einem Monat in der Regel dann verrechnet, wenn für sie eine identitätsbezogene Aktion stattfindet. Bots, abgebrochene Registrierungen und Muster bei der Token-Erneuerung können die Zahl also aufblähen.

Die gewählte Stufe bestimmt zudem, welche Funktionen Sie nutzen können. AWS’s guidance on feature plans hält fest, dass die Wahl des Plans und die aktivierten Funktionen Ihre monatlichen Kosten bestimmen und dass ein Wechsel des Plans oder das Aktivieren erweiterter Sicherheitsfunktionen sowohl die Abrechnung als auch die Verfügbarkeit verändert. Behandeln Sie den Plan als Architekturentscheid, nicht als Häkchen.

Überraschungen bei der Rechnung häufen sich an wenigen Stellen:

• Erweiterte Sicherheitsfunktionen, die für alle statt nur für besonders gefährdete Nutzer:innen aktiviert sind.

• Föderierte Anmeldung über SAML- oder OIDC-Anbieter, die anders bepreist sein kann als native Nutzer:innen.

• Mehrregionen-Architekturen, in denen Nutzerdaten und Datenverkehr doppelt anfallen.

• Öffentliche Registrierungsformulare, die automatisierte Anmeldungen anziehen.

Erstellen Sie für die Schätzung vor dem Start ein kleines Modell. Verwenden Sie dafür Beispielwerte, keine Marktdaten. Schätzen Sie Ihre erwarteten monatlichen Nutzer:innen, berücksichtigen Sie das oben beschriebene Gratiskontingent und rechnen Sie die übrigen Nutzer:innen zum MAU-Satz Ihrer Stufe. Addieren Sie die Kosten jeder Zusatzfunktion, die Sie aktivieren wollen, und wiederholen Sie die Schätzung für Szenarien mit weniger und mit mehr Verkehr. Machen Sie dieselbe Übung für Auth0 mit dessen aktueller Preisseite und vergleichen Sie die Kurven statt eines einzelnen Punkts. Die bei kleiner Nutzerzahl günstigere Variante ist bei grosser Nutzerzahl oft nicht mehr die günstigere.

Wie steht es um die Sicherheit, und wofür haften Sie rechtlich?

Klären Sie zuerst, wer was tut. Die Sicherheitsdokumentation von AWS für Cognito beschreibt das Modell der geteilten Verantwortung so: Der Anbieter liefert die Identitätswerkzeuge, doch die Kundin oder der Architekt ist dafür verantwortlich, Anmeldeabläufe und Sicherheitseinstellungen korrekt zu konfigurieren. Bei Auth0 ist es in der Praxis genauso. Eine starke Plattform mit schwacher Konfiguration bleibt ein schwaches System.

Auch die Sicherheitsfunktionen unterscheiden sich je nach Stufe. Der Funktionsplan Plus ergänzt adaptive Authentifizierung, Erkennung kompromittierter Zugangsdaten und exportierbare Sicherheitsprotokolle. Zusammen ermöglichen sie risikobasierte Massnahmen und bessere Nachforschungen. Wenn Ihr Bedrohungsmodell Credential Stuffing oder Kontoübernahmen umfasst, rechnen Sie Funktionen auf Plus-Niveau vom ersten Tag an ein, statt die Lücke erst nach einem Vorfall zu entdecken.

Für Schweizer Unternehmen braucht die rechtliche Seite dieselbe Sorgfalt. Zum revidierten Datenschutzgesetz (revDSG) erklärt die guidance from PrivacyBee, dass Hosting in der Schweiz allein keine Gesetzeskonformität garantiert, wenn Sie Cloud-Anbieter mit Sitz in den USA einsetzen. Sie müssen den Auftragsbearbeiter, die Bearbeitungskategorien und das Land der Bearbeitung in Ihrem Verzeichnis nennen und sicherstellen, dass Ihr Auftragsbearbeitungsvertrag (DPA) schweizspezifische Anforderungen wie die Haftung der Geschäftsleitung abdeckt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ergänzt, dass Verantwortliche processing locations, sub-processors and contractual safeguards prüfen müssen, bevor sie an einen Cloud-Anbieter auslagern.

Diese Punkte sollten Sie von jedem Identitätsanbieter verlangen:

• Exportierbare Protokolle und eine klare Aufbewahrungsregel.

• Eine aktuelle Liste der Unterauftragsbearbeiter mit Standorten.

• Optionen für die Schlüsselverwaltung, etwa eigene Schlüssel, sofern verfügbar.

• Einen Auftragsbearbeitungsvertrag, der konkret genug für eine Prüfung ist, keine Standardvorlage.

Wenn Sie unsicher sind, ob eine Übermittlung in ein bestimmtes Land zulässig ist, ziehen Sie den Leitfaden des EDÖB zur Datenübermittlung ins Ausland und eine qualifizierte Anwältin oder einen qualifizierten Anwalt bei.

Mit wie viel Reibung müssen Sie am ersten Tag rechnen?

Das Tempo in der Umsetzung hängt weniger von Funktionslisten ab als davon, wie schnell eine neue Entwicklerin eine funktionierende Anmeldung hinbekommt. Auth0 ist bekannt für die breite SDK-Abdeckung über Web, Mobile und Backend-Frameworks, für Schnellstarts zu gängigen Technologien und für eine Konsole, welche die Mandantenkonfiguration sichtbar macht. Die Stärke von Cognito ist die enge AWS-Integration, inklusive schneller Einrichtung von Registrierung, Anmeldung und Föderation. Konsole und Dokumentation setzen allerdings voraus, dass Sie bereits in AWS-Begriffen denken. Teams, die IAM und CloudFormation oder Terraform beherrschen, kommen schnell voran. Teams, die neu bei AWS sind, verlieren oft Tage mit Richtlinien und der Verkabelung von Ressourcen.

Die Wahl zwischen gehostet und eingebettet prägt Branding und Risiko zugleich. Eine gehostete Anmeldung belässt den Umgang mit Zugangsdaten auf der Domain des Anbieters und verkleinert Ihre Angriffsfläche, kostet aber etwas visuelle Kontrolle. Eine eingebettete oder eigene Oberfläche gibt Ihnen Kontrolle bis aufs Pixel, macht Sie aber dafür verantwortlich, das Formular zu schützen, Fehler sicher zu behandeln und die SDKs aktuell zu halten.

Dokumentation und Community wirken als Tempoverstärker. Das grössere Ökosystem an Anleitungen von Dritten hilft bei Auth0, wenn Sie auf einen Sonderfall stossen. Fragen zu Cognito klären sich oft über die AWS-Dokumentation, Foren und Ihren eigenen Supportvertrag. Wägen Sie das gegen die Bereitschaft Ihres Teams ab, Referenzdokumentation zu lesen.

Planen Sie schliesslich die Verwaltung der Umgebungen früh. Client-Secrets der App gehören in einen Secrets Manager, nicht in Repositories. Führen Sie getrennte Mandanten oder Benutzerpools für Entwicklung, Testumgebung und Produktion, und planen Sie den Wechsel von Schlüsseln und Secrets so ein, dass er Routine wird statt Notfall.

Was muss Ihr Team nach dem Start weiterhin betreiben?

Keines der beiden Produkte macht Identität zu einem Dienst, den man einmal aufsetzt und dann vergisst. Ihr Team behält den Lebenszyklus der Nutzer:innen: Anlegen, Deaktivieren, Kontowiederherstellung und Supportanfragen. Ebenso gehört Ihnen die Betrugsüberwachung, sofern Sie keine verwaltete Erkennung bezahlen, und die MFA-Richtlinie, also wer sich registrieren muss, welche Faktoren erlaubt sind und was passiert, wenn jemand ein Gerät verliert.

Die meisten Vorfälle gehen auf die Konfiguration zurück, nicht auf Mängel des Anbieters. Die AWS-Hinweise zur Sicherheitsverwaltung halten fest, dass eine offene Registrierung oder die Nutzung öffentlicher Clients das Risiko erhöht und dass eine durchdachte Absicherung des Benutzerpools Missbrauch und unerwartete Kosten vermeiden hilft. Dieselben Fehler verursachen sowohl Sicherheitsvorfälle als auch hohe Rechnungen. Häufig sind zudem Token-Laufzeiten, die weit länger sind als die Sitzung es braucht, zu breit gefasste Weiterleitungs-URLs und Administrationszugänge, die sich mehrere Personen teilen.

Gute Betriebsgewohnheiten sind grösstenteils unspektakulär. Trennen Sie die Umgebungen, damit ein Testskript nie produktive Nutzerdaten berührt. Richten Sie Warnungen beim MAU-Wachstum ein, damit eine Bot-Welle als Meldung auftaucht und nicht als Rechnung. Führen Sie Änderungen wie neue MFA-Pflichten schrittweise ein: zuerst interne Nutzer:innen, dann ein kleiner Anteil der Kundschaft, dann alle. Prüfen Sie die Identitätsprotokolle nach Plan und nicht erst, wenn etwas kaputtgeht, und halten Sie fest, wer Zugriff auf die Konsole hat.

Wie schwer ist ein späterer Wechsel?

Die Bindung an einen Anbieter entsteht selten durch die Benutzertabelle selbst, sondern durch alles, was darum herum gebaut ist. Profilattribute lassen sich bei beiden Anbietern in der Regel exportieren. Der Knackpunkt sind die Passwort-Hashes: Manche Plattformen geben sie gar nicht heraus. Dann bleibt entweder eine Kampagne zum Zurücksetzen der Passwörter oder eine verzögerte Migration, die Zugangsdaten beim nächsten Anmelden neu verschlüsselt. Klären Sie vor der Entscheidung, was jeder Anbieter exportiert und was nicht, und nicht erst, wenn Sie weg wollen.

Eigene Claims, besondere Token-Formate sowie Hook- oder Trigger-Logik verstärken die Bindung. Jeder nachgelagerte Dienst, der einen eigenen Claim liest, wird Teil der Migration. Externe SSO-Verbindungen bilden eine weitere Schicht, da der Identitätsanbieter jedes Geschäftskunden neu konfiguriert werden muss.

Ein sinnvoller Migrationsplan besteht aus drei Teilen:

• Prüfen Sie den Export und testen Sie den Import in einen Mandanten der Testumgebung.

• Migrieren Sie Zugangsdaten verzögert oder schrittweise, damit sich niemand aussperrt.

• Schreiben Sie einen Rückfallplan, der den alten Anbieter aktiv lässt, bis der Datenverkehr erwiesenermassen läuft.

Halten Sie Ihr Claims-Schema dokumentiert und schlank, dann senken Sie die Kosten jedes künftigen Wechsels.

Wie vermeiden Sie Überraschungen auf der Rechnung?

Kostenkontrolle läuft meist darauf hinaus, weniger irrelevante Nutzer:innen zu zählen und teure Funktionen nur dort zu aktivieren, wo sie sich lohnen.

• Blockieren Sie unechte MAU. Setzen Sie bei der offenen Registrierung auf Ratenbegrenzung, CAPTCHA und die Erkennung verdächtiger Anmeldungen, damit Bots gar nie zu verrechenbaren Nutzer:innen werden.

• Aktivieren Sie erweiterte Funktionen gezielt. Schalten Sie adaptive Authentifizierung und ähnliche Zusätze für besonders gefährdete Gruppen oder Administrationskonten ein und messen Sie die Kostenwirkung, bevor Sie sie ausweiten.

• Speichern Sie Token sinnvoll zwischen. Verwenden Sie gültige Token wieder und nutzen Sie Erneuerungsabläufe bewusst, damit Ihre Anwendung keine unnötigen Identitätsereignisse auslöst.

• Warnen Sie vor der Schwelle. Richten Sie Kostenalarme und automatische Meldungen ein, wenn die MAU-Zahl auf eine Stufengrenze zuläuft.

Wann lohnt es sich, erfahrene Unterstützung zu holen?

Die Wahl zwischen Auth0 und Cognito ist der einfache Teil. Teuer wird die Integration: Token durch Ihre Dienste führen, laufende Nutzer:innen ohne Aussperrungen migrieren und die Bearbeitung für eine Schweizer Datenschutzprüfung dokumentieren. Unser Team ist ein kleines Studio, in dem erfahrene Entwickler:innen vom ersten Gespräch bis zur Übergabe beteiligt bleiben. So werden Anforderungen nicht mitten im Projekt umgeschrieben, und das Wissen bleibt im Haus.

Wir unterstützen Sie bei:

• Der Umsetzung von Anmeldung, SSO und MFA in Web- oder Mobile-Anwendungen und Plattformen.

• Der Planung und Durchführung von Systemmigrationen zwischen Identitätsanbietern.

• Beratungsterminen zu Architektur, Anbieterrisiken und Integrationsentscheiden im Sinne des revDSG.

• Laufendem Support und Überwachung, sobald Ihre Authentifizierung produktiv ist.

Melden Sie sich, wenn eine komplexe Migration ansteht, Sie erfahrene Einschätzungen zur Identitätsarchitektur brauchen oder eine Zweitmeinung wollen, bevor Sie den Auftragsbearbeitungsvertrag eines Anbieters unterschreiben. Auf unserer Seite zu Preisen und Leistungen finden Sie das passende Modell. Erzählen Sie uns, woran Sie arbeiten.

Dieser Artikel ist allgemeine Information und ersetzt keine Beratung durch eine qualifizierte Anwältin oder einen qualifizierten Anwalt. Klären Sie Ihre konkrete Situation mit einer juristischen Fachperson, bevor Sie hier Beschriebenes umsetzen.

FAQ

Wer sind die wichtigsten Konkurrenten von Auth0?

Die wichtigsten Alternativen zu Auth0 sind andere verwaltete Identitätsplattformen, darunter Amazon Cognito, Firebase Authentication und ähnliche Dienste. Welche am besten mithält, hängt von Ihrer Technologie ab: Cognito passt zu Teams mit AWS-Schwerpunkt, Firebase zu Teams, die ohnehin auf den Werkzeugen von Google aufbauen.

Welche Nachteile hat Amazon Cognito?

Prüfen Sie vor der Wahl von Cognito drei Dinge: wie weit sich die gehostete Anmeldung anpassen lässt, wie vertraut Ihr Team mit AWS und Lambda-Triggern ist und welche Funktionen in teureren Stufen liegen. Wer das früh plant, vermeidet Überraschungen bei Kosten und Umfang.

Wem gehört Auth0?

Auth0 ist eine kommerzielle Identitätsplattform, die von Okta übernommen wurde. Prüfen Sie im Auftragsbearbeitungsvertrag die aktuellen Angaben zum Unternehmen und zu den Unterauftragsbearbeitern, denn Eigentümerschaft und Hosting-Standorte sind für Ihre Datenschutzdokumentation relevant.

Was ist der Unterschied zwischen OAuth und Auth0?

OAuth ist ein offenes Autorisierungsprotokoll, also ein Standard, um beschränkten Zugriff auf Ressourcen zu gewähren. Auth0 ist ein kommerzielles Produkt, das OAuth 2.0, OpenID Connect und weitere Standards als verwalteten Dienst umsetzt.