Corma vs Okta

Die Pariser IAM-plus-SaaS-Governance-Plattform gegen den Nasdaq-Zugriffsstandard

Corma ist das Produkt von CORMA SAS — einer französischen société par actions simplifiée, in Paris unter SIREN 953 523 271 eingetragen, gegründet im Juni 2023, mit 11-50 Mitarbeitenden am 96bis Boulevard Raspail. Das Unternehmen ist französisch gegründet und französisch eigentumsrechtlich; eine Seed-Runde über 3,5 Millionen Euro im Dezember 2025 wurde von XTX Ventures angeführt. Sowohl 2025 als auch 2026 hat Gartner Corma in den Magic Quadrant für SaaS Management Platforms aufgenommen — die formale Analystenanerkennung, die oft eine erforderliche Qualifikation für die Unternehmensbeschaffung darstellt.

Corma deckt eine besondere kombinierte Oberfläche ab: Workforce-IAM (Single Sign-On, Joiner-Mover-Leaver-Provisionierung, Self-Service-Zugriffsanfragen, rollenbasierte Zugriffskontrolle, Zugriffsprüfungen) plus SaaS-Management (Erkennung von Shadow-IT, Transparenz über Lizenzausgaben, Erkennung ungenutzter Sitze, Anwendungsinventar). Die meisten Wettbewerber machen das eine oder das andere; Corma macht beides in einer einzigen Plattform, in Frankreich auf AWS (Region Paris) gehostet, ISO 27001- und SOC 2-zertifiziert.

Okta ist eine Geschäftseinheit von Okta, Inc. — in Delaware eingetragen, an der Nasdaq notiert (OKTA), mit Hauptsitz in San Francisco, Kalifornien. Okta ist der Marktführer im Enterprise-IAM — reifes Produkt, tiefes Partner-Ökosystem, umfangreiche Enterprise-Föderationsfähigkeiten. Das Add-on Okta Identity Governance ergänzt Zugriffsprüfungen und Lifecycle-Management; kombiniert mit einer separaten SaaS-Management-Plattform (Zluri, Torii) nähert es sich Cormas kombinierter Oberfläche an. Unter dem CLOUD Act und FISA Section 702 ist Okta als US-Konzern jedoch rechtlich verpflichtet, Kunden-Identitätsdaten offenzulegen, unabhängig von der Hosting-Region.

Für europäische Organisationen, bei denen das Identitätssystem eine wesentliche regulatorische oder souveränitätsbezogene Exposition hält — und Beschaffungsraster 2026 diese Frage zunehmend direkt stellen — ist Corma die strukturelle europäische Alternative.

Vergleich der Rechtsordnung

	Corma	Okta
Hauptsitz	Paris, Frankreich	San Francisco, Kalifornien, USA
Unternehmensrechtliche Einheit	CORMA SAS (SIREN 953 523 271)	Okta, Inc. (Delaware; Nasdaq: OKTA)
Gegründet	Juni 2023 (französische Gründer)	2009
Eigentümerschaft	Privat, VC-finanziert (Seed über 3,5 Mio. Euro, Dez. 2025, XTX Ventures)	Börsennotiert (Nasdaq: OKTA)
CLOUD-Act-Exposition	⚠️ Indirekt (keine US-Mutter; AWS Region Paris + US-Unterauftragsverarbeiter)	Ja (in den USA eingetragenes Mutterunternehmen)
FISA-702-Exposition	Keine	Ja
Datenresidenz	Frankreich (AWS, Region Paris)	Weltweite Regionen einschließlich EU; Okta kann die Exposition durch das US-Mutterunternehmen nicht ausschließen
Zertifizierungen	ISO 27001, SOC 2, DSGVO-nativ	ISO 27001, SOC 2, FedRAMP, HITRUST
Analystenanerkennung	Gartner Magic Quadrant SMP 2025 + 2026	Gartner Magic Quadrant AM Leader (langjährig)

Produktfähigkeiten

Workforce-Identität + Single Sign-On

• Corma: SSO, MFA, rollenbasierte Zugriffskontrolle, Self-Service-Zugriffsanfragen mit Genehmigungsflüssen, Joiner-Mover-Leaver-Provisionierung, integriert über den gesamten SaaS-Stack.
• Okta: SSO im Enterprise-Maßstab mit dem tiefsten Föderationskatalog der Branche — über 7.000 vorgefertigte Anwendungsintegrationen, Adaptive MFA, Universal Directory, Access Gateway für On-Prem-Legacy-Anwendungen.

Bemerkenswert: Oktas Föderationstiefe bleibt der Branchenmaßstab für komplexe Enterprise-Szenarien. Corma deckt die Standard-Workforce-IAM-Fälle ab und ergänzt SaaS-Management nativ, ohne dass eine zweite Plattform erforderlich ist.

Zugriffsprüfungen + Identity Governance

• Corma: Automatisierte Zugriffsprüfungen mit revisionssicherer Nachweisausgabe — direkt für den Konsum durch SOX-, ISO 27001- und ISAE 3402-Audits konzipiert. In der Kernplattform enthalten.
• Okta: Okta Identity Governance (OIG) bietet Zugriffsprüfungen und Lifecycle-Governance, jedoch als separate Kaufstufe von Okta Workforce Identity.

Bemerkenswert: Corma bündelt Governance in der Kernplattform; Oktas Governance-Stufe ist ein spürbarer zusätzlicher Kostenpunkt.

SaaS-Management + Shadow-IT-Erkennung

• Corma: Anwendungserkennung über den gesamten SaaS-Stack einschließlich nicht genehmigter Tools; Transparenz über Lizenzen und Ausgaben; Erkennung ungenutzter Sitze; automatisierte Deprovisionierung überlizenzierter Konten.
• Okta: Keine nativen SaaS-Management- oder Lizenzausgaben-Funktionen; Kunden kombinieren Okta mit Zluri, Torii, Productiv oder BetterCloud (alle mit Hauptsitz in den USA).

Bemerkenswert: Das ist Cormas strukturelle Differenzierung — die SaaS-Management-Fähigkeit, die Okta über ein Partner-Tool mit US-Mutterhaus ergänzen muss.

Joiner-Mover-Leaver-Provisionierung

• Corma: Native JML-Workflows verbinden HR-getriggerte Ereignisse (über HRIS-Integrationen wie Deel) mit Provisionierung und Deprovisionierung über den gesamten angebundenen SaaS-Stack. Zero-Touch-Provisionierung für Standardrollen.
• Okta: Lifecycle Management (eine OIG-Stufe) bietet HR-getriggerte Provisionierungs-Workflows mit reichhaltiger Richtlinienkonfiguration.

Bemerkenswert: Beide decken JML umfassend ab; der Unterschied liegt in der Integrationsoberfläche (Okta-Konnektoren tiefer für Legacy-Apps; Cormas agentenbasierter Ansatz deckt Long-Tail-SaaS ab).

Audit + Compliance-Nachweise

• Corma: Revisionssichere Nachweisausgabe im Zugriffsprüfungs-Workflow eingebaut — konzipiert für den direkten Konsum durch SOX-Prüfer, ISO 27001-Prüfer und äquivalente Rahmenwerke.
• Okta: OIG erzeugt konforme Audit-Trails; typischerweise über System-Log-Exporte plus Integrationen von Drittanbieter-GRC konsumiert.

Souveränitätsmodell

Die strukturelle Unterscheidung ist das Mutterunternehmen:

• Corma: Französisches Mutterhaus (CORMA SAS, SIREN 953 523 271); gehostet auf AWS (Region Paris); französische/EU-Rechtsordnung; DSGVO-nativ. Keine US-Muttergesellschaft; gehostet auf AWS (Region Paris) → indirekte CLOUD-Act-Exposition über einen US-Unterauftragsverarbeiter (weitere US-Unterauftragsverarbeiter: Google, GitHub, Vercel, Heroku, PostHog, Browserbase).
• Okta: US-Mutterunternehmen (Okta, Inc., Delaware, Nasdaq: OKTA); EU-Regionen für Datenresidenz verfügbar; CLOUD Act und FISA Section 702 gelten weiterhin für Okta als US-Konzern, unabhängig davon, wo die Daten physisch liegen.

Für französische Banken, Versicherungen, öffentliche Verwaltungen, Verteidigungsauftragnehmer und Health-Tech-Unternehmen, die nationalen Datensouveränitätsrahmen oder ANSSI-naher Beschaffung unterliegen, ist die Unterscheidung des Mutterunternehmens ein formaler Punkt im Risikoregister — keine Marketing-Präferenz. Identitätssysteme halten besonders sensible Daten (wer wann und wie Zugriff worauf hat) und sind zunehmend ein formales Ziel souveränitätsbasierter Beschaffungspolitik.

Referenzkunden

Öffentliche Corma-Fallstudien umfassen:

• Brevo (E-Mail-Marketing-Plattform, Frankreich) — Stefan Schaper, Finance Manager
• Skello (HR-Software, Frankreich) — Mihenandi-Fuki Wony, Lead Cloud & IT
• Citel — Adrien Guichard, CEO
• Hivenet — Christophe Torride, Chief of Staff
• Mrge — Thorsten Milhoff, Engineering Manager
• Zusätzliche Nennungen: Robovision, Tuesday Capital

Die Referenzbasis erstreckt sich über französische und europäische Mid-Market-Technologieunternehmen — ein natürliches Frühadopter-Profil für eine in Paris ansässige Plattform mit DSGVO-nativer Positionierung.

Wer sollte wechseln?

Corma ist die strukturelle Wahl für:

• Französische Organisationen, die ANSSI-naher Beschaffung oder nationaler Datensouveränitätspolitik unterliegen
• Öffentliche EU-Sektoren, in denen die Rechtsordnung des Mutterunternehmens des Identitätssystems ein dokumentiertes Risikoelement ist
• Finanzdienstleistungen, die DORA-Anforderungen an operative Resilienz unterliegen, bei denen die Rechtsordnung des Anbieters prüfbar sein muss
• Health-Tech-Organisationen unter HDS oder äquivalenten nationalen Gesundheitsdaten-Rahmenwerken
• Mid-Market-IT-Teams, die IAM plus SaaS-Management in einer einzigen Plattform wollen, ohne für zwei separate Produkte zu zahlen
• CFO/IT-Teams mit Fokus auf Lizenzausgaben, die die Erkennung ungenutzter Sitze wünschen, die Okta nativ nicht bietet
• Unternehmen, die ein Zluri/Torii/Productiv/BetterCloud-SaaS-Management-Tool aus Gründen der EU-Souveränitäts-Beschaffung ersetzen
• Wachstumsunternehmen, die den Status eines im Gartner MQ anerkannten Anbieters mit auf ihre Größe angepassten Preisen wünschen

Okta bleibt die richtige Wahl für:

• Globale Konzerne mit komplexer mandantenfähiger Identitätsföderation, individuellem SAML-Brokering und tiefen Integrationen mit Enterprise-Identitätsanbietern
• Unternehmen, die Okta Customer Identity (Auth0) für kundenorientierte Authentifizierung betreiben — Corma zielt nicht auf CIAM
• Organisationen mit reifen Okta-Access-Gateway-Bereitstellungen, die On-Premise-Legacy-Identität integrieren
• Inhaber mehrjähriger Okta-Verträge, bei denen der Migrations-ROI die Wechselkosten nicht rechtfertigt

Fazit

Okta ist der reife Marktführer im Enterprise-IAM mit unübertroffener Föderationstiefe und Breite des Partner-Ökosystems. Nichts davon ändert die zugrunde liegende Realität der Rechtsordnung: Okta, Inc. ist ein Delaware-US-Konzern, und die Reichweite des CLOUD Act sowie der FISA Section 702 gilt für Kunden-Identitätsdaten, unabhängig von der Hosting-Region.

Für europäische Organisationen, bei denen die Souveränität des Identitätssystems ein formales Beschaffungskriterium ist — und zunehmend für Mid-Market-IT-Teams, die Workforce-IAM plus SaaS-Management in einer Plattform kombinieren möchten, statt für zwei zu zahlen — ist Corma die strukturell abgestimmte Wahl. Das in Paris ansässige CORMA SAS (SIREN 953 523 271) unter französischer Rechtsordnung; in Frankreich auf AWS gehostet; ISO 27001 und SOC 2; DSGVO-nativ; in den Jahren 2025 und 2026 im Gartner Magic Quadrant für SaaS Management Platforms genannt; kombinierte Oberfläche aus IAM plus SaaS-Governance, für deren Ergänzung Okta ein Partner-Tool mit US-Mutterhaus benötigt.

Für die wachsende Zahl europäischer Organisationen, bei denen Rechtsordnung, kombinierte IAM-plus-SaaS-Governance und revisionssichere Compliance-Nachweise gemeinsam beantwortet werden müssen — Corma beantwortet alle drei auf einmal.

---

Suchen Sie nach weiteren europäischen IAM- und Compliance-Alternativen? Siehe auch: Signicat vs Okta, Tehtris vs CrowdStrike und dScribe vs Collibra.

Häufig gestellte Fragen

Wo hat Corma seinen Sitz und wie wirkt sich das auf die Rechtsordnung aus?

Corma ist das Produkt von CORMA SAS, einer französischen société par actions simplifiée, eingetragen unter SIREN 953 523 271, mit Hauptsitz am 96bis Boulevard Raspail in Paris, gegründet im Juni 2023. Das Unternehmen ist französisch gegründet und französisch eigentumsrechtlich, mit 11-50 Mitarbeitenden. Als Unternehmen mit französischem Mutterhaus unterliegt Corma französischer und EU-Rechtsordnung — es wird von der DSGVO geregelt und unterliegt der Aufsicht der französischen Datenschutzbehörde (CNIL). Es gibt keine US-Muttergesellschaft; Corma wird jedoch auf AWS (Region Paris) gehostet und nennt US-Unterauftragsverarbeiter wie Google, GitHub, Vercel, Heroku, PostHog und Browserbase → indirekte CLOUD-Act-Exposition über einen US-Unterauftragsverarbeiter. Das unterscheidet sich dennoch strukturell von Okta, Inc., einem in Delaware eingetragenen, an der Nasdaq notierten US-Unternehmen, bei dem die Reichweite des CLOUD Act auf Kunden-Identitätsdaten Anwendung findet, unabhängig davon, in welcher Region der Identitätsspeicher liegt.

Wie unterscheidet sich Corma von Zluri, Torii oder Productiv?

Zluri, Torii und Productiv sind SaaS-Management-Plattformen mit Hauptsitz in den USA — dieselbe Kernkategorie, in der auch Corma tätig ist, aber unter der Rechtsordnung des CLOUD Act. Corma ist die direkte europäische Alternative in dieser Kategorie: gleicher Funktionsumfang (SaaS-Erkennung, Lizenzverwaltung, Erkennung ungenutzter Sitze, Joiner-Mover-Leaver-Provisionierung, Zugriffsprüfungen), gleiche Nachweisausgaben für Compliance-Rahmenwerke, aber mit in Frankreich (AWS, Region Paris) gehosteten Daten und französischem Mutterkonzern. Für Teams, die aus Beschaffungs- oder Compliance-Gründen von US-SaaS-Management-Tools wegmigrieren, ist Corma der natürliche Ersatz. Ungewöhnlich ist, dass Corma auch Workforce-IAM (die Okta-Funktionalität) einschließt, was die meisten reinen SaaS-Management-Plattformen nicht bieten.

Ist Cormas Platzierung im Gartner Magic Quadrant aussagekräftig?

Ja. Gartner hat Corma sowohl 2025 als auch 2026 in den Magic Quadrant für SaaS Management Platforms aufgenommen — Gartners formale Analystenanerkennung nach unabhängiger Anbieterbewertung, keine bezahlte Platzierung. Für die Beschaffung in Unternehmen ist die Präsenz im Gartner Magic Quadrant oft eine erforderliche Qualifikation — viele Organisationen ziehen ausschließlich Anbieter in Betracht, die Gartner bewertet hat. Die Nennung 2025 etablierte Corma als bewerteten Anbieter; die erneute Nennung 2026 bestätigt die fortgesetzte Analystenberichterstattung. Das ist ein wirklich differenzierender Nachweis für ein im Juni 2023 gegründetes Unternehmen.

Welche Integrationen bietet Corma?

Corma nennt über 100 Integrationen im gesamten SaaS-Stack. Auf der Produkt-Website sichtbar genannte Integrationen umfassen Google Workspace, Microsoft Entra ID, Slack, Zapier, Figma, Deel, Airtable, Notion, Zoom, Adobe und OpenAI. Die Integrationsoberfläche unterstützt sowohl API-basierte Ansätze (für Apps, die Provisionierungs- und Audit-APIs bereitstellen) als auch Agent-basierte Ansätze (browserbasierte Automatisierung für Apps, die dies nicht tun) — dadurch ist die Abdeckung von Long-Tail-SaaS-Tools möglich, die traditionelle konnektorbasierte Plattformen nicht erreichen können.

Welche Zertifizierungen besitzt Corma?

Corma besitzt ISO 27001 (Informationssicherheits-Managementsystem) und SOC 2 (Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit, Datenschutz) — die beiden Standardreferenzen für Auditprüfungen in der Unternehmensbeschaffung. Die Plattform ist DSGVO-nativ, die Daten liegen in Frankreich auf AWS (Region Paris); da AWS und mehrere weitere Unterauftragsverarbeiter US-Unternehmen sind, besteht eine indirekte CLOUD-Act-Exposition. Für die französische Beschaffung im öffentlichen Sektor oder in ANSSI-nahen Kontexten positioniert die Struktur mit französischem Mutterkonzern kombiniert mit dem Datenstandort Frankreich Corma günstig gegenüber Alternativen mit US-Mutter, die zusätzliche Datenverarbeitungsvereinbarungen und Standardvertragsklauseln benötigen, um dieselbe Position zu erreichen.

Wie vergleicht sich Cormas Zugriffsprüfungs-Workflow mit Okta Identity Governance?

Cormas Zugriffsprüfungen sind darauf ausgelegt, direkt revisionssichere Nachweise zu erzeugen — der Prüfprozess, die Nachweiskette und die Behebungsmaßnahmen werden in einer für Audits konsumierbaren Form erfasst, die für SOX, ISO 27001, ISAE 3402 und ähnliche Auditrahmenwerke geeignet ist. Okta Identity Governance (OIG) (eine separate Stufe von Okta Workforce Identity) bietet vergleichbare Funktionalität, ist aber ein Add-on, das die Okta-Preisstruktur spürbar verändert. Corma umfasst Zugriffsprüfungen in der Kernplattform ohne zusätzliche Stufe.

Wie sieht der Preisvergleich aus?

Cormas öffentliche Preise sind auf Anfrage — jedes Angebot wird nach Organisationsgröße, Anzahl der Anwendungen und Workflow-Umfang kalkuliert. Okta veröffentlicht Preise pro Nutzer, doch der effektive Enterprise-Preis weicht häufig deutlich davon ab über gebündelte Stufen (Workforce, Adaptive MFA, Identity Governance, Access Gateway), die für Mid-Market-Kunden zu fünfstelligen jährlichen Verpflichtungen zusammenlaufen. Für einen fairen Vergleich sollten Käufer bei beiden Anbietern Angebote einholen — Cormas typische Positionierung ist deutlich günstiger als Okta Workforce Identity plus Okta Identity Governance plus ein separates SaaS-Management-Tool (Zluri oder ähnlich) zusammen.