Robuster Auth-Stack
Login, Single Sign-On gegen Ihre vorhandene Identitätsverwaltung, Anbindung an OIDC oder SAML - herstellerunabhängig und auf Wunsch selbst gehostet. Konten lassen sich deaktivieren, ohne dass Sie Audit-Historien verlieren.
Schutz vor Missbrauch
Mehrstufige Drosselung gegen Brute-Force-Angriffe, Erkennung von ungewöhnlichen Login-Mustern, generische Fehlermeldungen ohne Datenpreisgabe. Optionaler Mehrfaktor-Layer für sensible Bereiche.
Mitglieder, Mandanten, Operator - auf einer Plattform
Auth, Permissions und Audit als integraler Plattform-Bestandteil - nicht als nachträgliches Add-on. Wir bauen Plattformen, in denen Tenant-Trennung, Compliance und Support-Workflows von Tag eins funktionieren.
- SSO · OIDC · SAML
- Mandanten-Trennung
- Audit-Trail
- MFA
Warum es schwer ist
Permissions sehen einfach aus, bis man sie produktiv betreiben muss
Die ersten 80 Prozent jeder Member- oder Tenant-Plattform sind in zwei Wochen gebaut. Die letzten 20 Prozent - Impersonation für Support, Audit-konforme Logs, Soft-Delete ohne Datenverlust, sichere Permission-Vererbung, MFA-Onboarding ohne Lockouts - fressen drei Monate, wenn man sie nicht von Anfang an mitdenkt.
- Wer hat wann was geändert (Audit-Trail mit Aktor und Zeitstempel)
- Datenresidenz und Backup-Lokalisierung
- Right-to-Forget-Workflow ohne Audit-Lücke
- Mandanten-Trennung tief im Datenmodell, nicht nur in der Anwendung
- Verschlüsselungs-Strategie für gespeicherte Secrets
Was wir mitbringen
Sechs Bausteine für robuste Member- und Tenant-Plattformen
Wir bringen die Architektur-Patterns aus produktiven Plattformen mit. Sie überspringen die Lehrgeld-Phase und starten direkt mit einem Modell, das auch das fünfte Compliance-Audit übersteht.
Mehrstufige Berechtigungen
Globale Rollen, Mandanten-Level, Projekt- oder Anlagen-Level, optional bis auf einzelne Geräte oder Datensätze. Vererbung und Sonderfälle sauber modelliert - und tief im Datenmodell verankert, nicht nur im UI.
Audit-Trail mit Impersonation
Jede schreibende Aktion wird protokolliert - wer hat wann was geändert, von wo. Wenn ein Admin im Namen eines Endkunden handelt (Support-Case), bleibt seine Identität im Log erhalten - die Verantwortlichkeit geht nicht verloren.
Verschlüsselte Secrets
API-Keys, hinterlegte Zugangsdaten und sensible Konfigurationen werden verschlüsselt gespeichert. Pro Installation eigener Schlüssel, Schlüssel-Rotation ohne Downtime - auch dann, wenn Compliance-Vorgaben das verlangen.
Tiefe Mandanten-Trennung
Tenant-Trennung wird auf Datenbank-Ebene durchgesetzt - nicht erst in der Anwendung. So bleibt die Trennung auch dann bestehen, wenn ein Endpoint mal eine Prüfung vergisst. Defense-in-Depth statt blindes Vertrauen ins Frontend.
Use Cases
Wer profitiert
B2B-SaaS mit Sub-Mandanten
Ein SaaS-Produkt, das von Reseller-Partnern an deren Endkunden verteilt wird. Reseller-Admin sieht alle eigenen Endkunden, Endkunden sehen nur sich selbst, Plattform-Operator sieht alles und kann eingreifen - alles im selben Code-Base.Mitgliederverwaltung & Vereine
Vereine, Verbände, Genossenschaften - mit Rollen (Vorstand, Mitglied, Gast), Mitgliedsbeitrags-Workflows, Wahlen und Beschlussfassung. Inkl. datenschutzorientierter Datenhaltung und Right-to-Forget.Interne Operator-Konsolen
Tools für Ihre Mitarbeiter zur Verwaltung von Kunden, Tickets, Geräten oder Lizenzen. Single-Sign-On gegen Ihre bestehende IdP, Audit-Trail für jede Aktion, Export für Compliance-Reports.Feature-Flagging & Tenancy-Configs
Pro Tenant unterschiedliche Features, Limits, UI-Branding. Self-Service-Konfiguration durch den Tenant-Admin, zentral steuerbar durch den Plattform-Operator. Feature-Toggles als First-Class-Citizen.
Scoping-Sprint
Umfang und Preis vor der Entwicklung festlegen
Anforderungen, Zielarchitektur und Aufwand werden geklärt. Ergebnis ist ein Festpreisangebot für die Umsetzung.
Scoping-Sprintab 1.490 € nettoeinmalig
Zahlung
- Überweisung
Häufig gestellte Fragen
Antworten auf die wichtigsten Fragen
- Das hängt vom Ziel ab. Für schnelles Time-to-Market und SaaS: Supabase. Für Enterprise-Compliance mit SAML/OIDC und bestehender IdP-Landschaft: Keycloak. Für moderne, leichtgewichtige Self-Hosting-Setups: Authentik. Wir entscheiden im Workshop gemeinsam und beraten produktneutral.
- Ja. Wir kapseln Auth hinter einer Service-Schicht in der API, sodass ein Wechsel von Supabase auf Keycloak (oder umgekehrt) möglich ist, ohne Permissions oder Audit-Daten zu verlieren. Das ist ein architektonischer Aufwand, kein Datenverlust-Risiko.
- Sie zahlen einen Festpreis, den wir im Scoping-Sprint mit festem Umfang bestimmen - individuell auf Ihren Funktionsumfang zugeschnitten, von einem schlanken MVP mit Auth, Tenant-Modell, Audit und einem Permission-Level bis zur vollständigen Plattform mit Multi-Level-Permissions, Impersonation, MFA und Self-Service-Tenant-Konfiguration. Statt unkalkulierbarer Per-User- oder Per-Seat-Lizenzkosten haben Sie planbare, einmalige Projektkosten ohne Überraschungen beim Wachstum.
- MVP: 6-10 Wochen. Vollausbau: 4-8 Monate. Wir liefern in iterativen Releases - ab Woche 4 ist meistens etwas Nutzbares produktiv.
- Nicht zwingend. Wir hosten in europäischen Rechenzentren (Hetzner, IONOS, OVHcloud, STACKIT) - datenschutzorientiert und auf Wunsch mit dediziertem VPC. Alternativ läuft die Plattform auf Ihrer Proxmox-Infrastruktur oder in einem Hyperscaler Ihrer Wahl.
- Standard: alle Daten in der EU, Backups in der EU, kein Daten-Transfer in Drittländer. Auf Wunsch dokumentieren wir das in einem Datenschutz-Konzept-Dokument, das Sie an Auftragsverarbeitungs-Vereinbarungen anhängen können.
Im Verbund
Auth-Stack alleine reicht selten
Member- und Tenant-Plattformen werden meist im Kontext anderer Plattform-Aufgaben gebaut. Wir kombinieren sie nahtlos mit Remote-Site-Management, Custom-Dashboards oder klassischen Business-Apps.
Wissen
Verwandte Tutorials & Guides
Beiträge rund um Mitglieder- und Mandantenplattformen, Identität und Zugriff.
Software-Entwicklung
Blog
- Vaultwarden 1.36.0 & NIS2: Self-Hosted Passwort-Management für KMUAm 3. Mai 2026 hat das Vaultwarden-Maintainer-Team Version 1.36.0 veröffentlicht - und damit sechs Security-Advisories geschlossen, darunter zwei CSRF-Lücken im SSO-Login und eine blinde Server-Side-Request-Forgery...
- Authentik vs. Zitadel 2026: Open-Source Identity Provider im VergleichWer eine Okta- oder Auth0-Alternative sucht, landet schnell bei zwei Open-Source-Projekten: Authentik und Zitadel. Beide lösen das gleiche Problem - zentrales Identity & Access Management...
Bewertungen & Projekte
Software-Projekte mit belastbarem Ergebnis
Beispiele für Modernisierung, API-Erweiterung, Architektur, Deployment und laufenden Betrieb.
Vernetzung & Provisioning
WZ-IT hat unsere Studio-Infrastruktur von dezentralen Einzelgeräten auf eine zentrale Plattform gehoben: Jeder Standort ist per VPN sicher angebunden, neue Geräte werden automatisiert onboardet und ein kompletter Standort wird per Vorlage provisioniert - ohne manuelle Schritte vor Ort. Was mich am meisten beeindruckt hat, ist die Breite und Tiefe des Wissens: Timo und Robin sind kein normaler IT-Dienstleister, der einen Server aufsetzt und wieder geht. Die beiden denken sich in hochkomplexe Infrastruktur- und Softwarethemen rein, arbeiten sich in jede Anforderung ein, die wir ihnen hinlegen, und bauen Vernetzung, Provisioning und Betrieb so auf, dass am Ende alles zusammenpasst. WZ-IT ist ein hervorragender Partner, wenn es um komplexe Software-, Netzwerk- und Architekturprojekte geht.
Steve KirchnerGeschäftsführer, nextGYM GmbH
International
Gebaut im Ruhrgebiet. Produktiv weltweit.
WZ-IT plant, entwickelt und betreibt Infrastruktur und Software für Kunden in Deutschland und international. Projekte setzen wir remote um und begleiten sie auch nach dem Go-live im laufenden Betrieb.
Ausgewählte Projekte
- LiveRemote-Access-Plattform für verteilte WasseraufbereitungsanlagenABCO Water Systems · Australien · Secure Access & OT
- 81%AWS-Migration mit deutlich geringeren laufenden KostenEVA Real Estate · VAE · Cloud-Exit & Infrastruktur
- 98%Neue Standorte in Minuten statt Stunden bereitstellennextGYM GmbH · Deutschland · Automatisierung & IoT
Kundenstimmen ansehen
Anfrage
Mitglieder- oder Mandantenplattform konkretisieren
Nennen Sie Zielgruppen, Rollen, Fachprozesse und bestehende Datenquellen.
- Direkt mit Timo und Robin - kein Vertrieb, kein Sales-Pitch
- Fachliche Einschätzung Ihrer Situation
- Konkrete nächste Schritte für Infrastruktur, Software oder KI
Das Gespräch ist unverbindlich und kostenlos.
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.
Jakob ÖschlbergerInno7 GmbH
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.