SaaS Management Tools vs. Identity Governance: Wo sie sich überschneiden - und wo nicht

Dein SaaS-Management-Dashboard ist sauber und aufgeräumt. Jede App in deinem Stack. Vertragslaufzeiten. Nutzungsgrade. Eine hübsche rote Markierung neben den Tools, die im letzten Quartal niemand geöffnet hat.

Und trotzdem beantwortet es keine einzige Frage dazu, warum Sarah aus dem Engineering immer noch Admin-Zugriff auf eure produktiven Figma-Files hat - drei Monate nachdem sie in ein anderes Team gewechselt ist.

Genau das ist die Lücke. Und sie kostet Unternehmen mehr, als den meisten IT-Verantwortlichen klar ist.

Laut Zylo's SaaS Management Index 2026 verschwendet ein durchschnittliches Enterprise trotz jahrelanger Investitionen in Transparenz- und Software Asset Management-Tools immer noch fast 19,8 Millionen US-Dollar pro Jahr für ungenutzte SaaS-Lizenzen. Die Insights sind da. Die Aktion fehlt.

Dieser Beitrag zieht eine klare, ehrliche Linie: Was SaaS Management Tools wirklich leisten, wo sie aufhören - und warum Identity Governance die Durchsetzungsschicht ist, die den Rest erst wirksam macht.

Wofür SaaS Management Tools eigentlich gebaut sind

Lass es uns direkt sagen: Tools wie Zylo, Productiv und die SaaS-Management-Seite von Zluri sind wirklich nützlich. Sie lösen ein echtes Problem - und sie tun das ziemlich gut.

Ihr Kernnutzen ist Sichtbarkeit:

• App Discovery: Auffinden aller SaaS-Tools in deiner Umgebung - inklusive Shadow IT, die Finance nie freigegeben und IT nie gesehen hat
• Spend Tracking: Zentrale Erfassung von Vertragsdaten, Verlängerungszeitpunkten und Kosten pro Seat, damit Procurement, Finance und IT mit denselben Zahlen arbeiten
• Berichte zur Lizenznutzung: Hervorheben, welche User sich nie einloggen, welche Tools untergenutzt sind und wo ihr für Seats bezahlt, die niemand braucht - klassisches SaaS Lizenzmanagement
• Vendor- und Renewals-Management: Procurement mit echten Nutzungsdaten in die Lage versetzen, Vertragsverlängerungen zu verhandeln - statt nach Bauchgefühl

Zylo positioniert sich beispielsweise als finance-first Plattform, die IT, Finance und Procurement auf einer gemeinsamen SaaS-Datenbasis zusammenbringt. Productiv geht tiefer in Feature-Level-Usage-Analytics: Du siehst nicht nur, ob jemand Slack nutzt, sondern auch, ob Workflows und Automationen genutzt werden oder nur der Basis-Chat. Das sind wertvolle Signale für das Right-Sizing von Verträgen.

Discovery ist tatsächlich schwer. Ein modernes Mid-Market-Unternehmen kann Hunderte von SaaS-Applikationen im Einsatz haben, viele davon von einzelnen Teams ohne Beteiligung der IT gekauft. Zu wissen, was überhaupt da ist, ist eine legitime Voraussetzung für Governance - egal ob du es SaaS Management, Software Asset Management oder Identity and Access Management nennst.

Was sie nicht tun

Hier wird es unbequem.

SaaS Management Tools sind Observability-Tools, keine Enforcement-Tools. Sie zeigen dir das Problem. Sie beheben es nicht.

• Sie können markieren, dass eine Lizenz ungenutzt ist. Sie können sie nicht automatisch in der Applikation entziehen.
• Sie können zeigen, dass ein offgeboardeter Mitarbeiter noch in einem Nutzungsreport auftaucht. Sie können dieses Konto nicht deprovisionieren.
• Sie können erkennen, dass Notion in eurem Stack ist, aber außerhalb von SSO. Sie können keine Zugriffsrichtlinien innerhalb von Notion durchsetzen.
• Sie können Ausgabendaten sichtbar machen. Sie können nicht beantworten: "Wer hat diesen Zugriff genehmigt - und sollte er weiter bestehen?"

Eine Analyse zu Productiv fasst es so zusammen: Die Plattform kann "einige Basics wie Provisionierung neuer Apps oder Aufräumen ungenutzter Lizenzen" abdecken - aber du solltest nicht erwarten, dass sie "einen kompletten Offboarding-Prozess für Mitarbeiter fährt". Stark auf der "Wofür bezahlen wir eigentlich?"-Seite, deutlich schwächer bei IT-Actionability und granularer operativer Kontrolle.

Die Lücke zwischen Wissen und Handeln ist genau der Punkt, an dem sich SaaS-Verschwendung aufaddiert und Sicherheitsrisiken wachsen.

Das Durchsetzungsproblem: Warum Sichtbarkeit allein nicht reicht

Ein Szenario, das sich in Hunderten Mid-Market-IT-Teams jedes Quartal wiederholt:

Ein SaaS Management Tool markiert 47 ungenutzte Lizenzen über sechs Tools. Der IT-Manager exportiert den Report. Schickt ihn an die jeweiligen Teamleads. Drei antworten. Zwei sagen, sie schauen sich das an. Einer ignoriert die Mail.

Branchenstudien zeigen: Unternehmen holen typischerweise nur 5 bis 15 Prozent der identifizierten SaaS-Verschwendung wirklich zurück. Nicht, weil es an Sichtbarkeit mangelt. Sondern weil Aktion Ownership, klare Prozesse und jemanden braucht, der sowohl die Autorität als auch die technischen Möglichkeiten hat, Konten tatsächlich zu entziehen - und zwar in jeder Applikation, nicht nur in den wenigen, die via SCIM angebunden sind.

Das strukturelle Problem: Die meisten SaaS Management Tools hängen bei der Durchsetzung an Vendor-APIs und SCIM. Apps wie Figma, Adobe und Notion verstecken SCIM-Provisionierung häufig hinter teuren Enterprise-Upgrades - das ist die berüchtigte "SCIM-Steuer". Selbst wenn ein SaaS Management Tool also Deprovisionierung automatisieren will, prallt es an 60-80 % deines tatsächlichen App-Stacks ab.

Das Ergebnis? Du kennst die Verschwendung. Du kannst sie nur nicht systematisch eliminieren.

Wofür Identity Governance wirklich gebaut ist

Identity Governance startet mit einer anderen Kernfrage. Nicht: "Welche Lizenzen haben wir?" - sondern: "Wer sollte worauf Zugriff haben, und entspricht das der Realität - genau jetzt?"

Dieser Unterschied ist größer, als er klingt. Lizenzsichtbarkeit ist eine finanzielle Frage. Zugriffsgovernance ist eine Frage von Security und Compliance - mit sehr direkten finanziellen Folgen, wenn es schiefgeht.

Eine dedizierte IGA-Plattform wie Iden ist darauf ausgelegt:

• Den gesamten Identity Lifecycle zu automatisieren - Onboarding, Rollenwechsel und Offboarding - über alle Apps in deinem Stack, nicht nur die SCIM-fähigen
• Zugriffsrichtlinien kontinuierlich durchzusetzen - nicht nur im quartalsweisen Review, sondern als laufende, Echtzeit-Kontrolle, die jede Berechtigungsänderung trackt
• Feingranulare Kontrolle zu bieten - nicht nur "hat Zugriff auf GitHub", sondern: auf welche Repos, welche Umgebungen, welche Permission-Levels
• Unveränderbare Audit-Trails zu liefern - strukturierte Audit-Belege, die ohne eine Woche manueller Rekonstruktion beantworten: "Wer hatte wann worauf Zugriff, und wer hat das genehmigt?"
• Nicht-menschliche Identitäten zu governan - Service-Accounts, API-Keys, Bots und KI-Agenten, die klassische SaaS Management Tools gar nicht erst sehen

Und entscheidend: IGA ist die Schicht, die Lizenzrückgewinnung automatisch macht - nicht nur als Fleißaufgabe auf einer To-Do-Liste. Wenn ein Mitarbeiter offgeboardet wird, entfernt Iden ihn nicht nur aus Okta. Die Plattform deprovisioniert das Konto in jeder angebundenen Applikation - inklusive derer, die kein SCIM unterstützen - und holt die Lizenz zurück. Kein Ticket. Keine Checkliste. Kein Zombie-Konto, das im Hintergrund weiter abgerechnet wird.

Direktvergleich: Wo welches Tool gewinnt - und wo Schluss ist

Die Tabelle oben macht eines klar: Diese Tools sind keine Konkurrenten in dem Sinn, wie viele annehmen. Sie arbeiten auf unterschiedlichen Ebenen des Problems. SaaS Management Tools agieren auf der Ebene Inventar und Ausgaben. Identity Governance sitzt auf der Ebene Zugriff und Durchsetzung.

Die Herausforderung: Viele Teams behandeln sie als austauschbar - oder gehen davon aus, dass eines automatisch das abdeckt, was dem anderen fehlt.

Das Zombie-Lizenz-Problem: Wer ist wirklich verantwortlich?

Schauen wir uns den konkreten Fehlerfall an, der am meisten kostet.

Ein Mitarbeiter verlässt das Unternehmen. IT entfernt den Okta-Account. Erledigt - oder?

Nicht mal annähernd. Wenn Mitarbeiter aus einem SSO-Provider wie Okta oder Microsoft Entra entfernt werden, behalten sie oft weiterhin Direkt-Logins zu einzelnen Applikationen - über E-Mail/Passwort-Kombinationen, die nie an SSO angebunden waren. Apps, die außerhalb von SSO eingerichtet wurden, Apps, die nur teilweise an dein IdP angebunden sind, Apps mit SCIM-Support, aber nur im Enterprise-Tarif, den ihr nicht habt - all das sind Fabriken für verwaiste Konten.

Ein SaaS Management Tool wird diese Konten irgendwann als inaktiv markieren. Aber Markierung ist nicht Entzug. Die Lizenz wird weiter abgerechnet. Das Konto sammelt weiter veraltete Berechtigungen. Das Sicherheitsrisiko bleibt.

Zylo's SaaS Management Index zeigt: Zwischen 30 und 40 Prozent der Enterprise-SaaS-Lizenzen bleiben typischerweise ungenutzt - zu jedem beliebigen Zeitpunkt. Ein signifikanter Teil dieser Verschwendung geht auf unvollständiges Offboarding zurück - Konten, die niemand aufräumt, weil das SaaS Management Tool eine Shared Inbox benachrichtigt und dort niemand handelt.

Identity Governance schließt diese Lücke automatisch - direkt am HR-Event, das das Offboarding auslöst, nicht erst Wochen später, wenn der nächste Nutzungsreport läuft.

Berechne dein eigenes Risiko

Nutze das Widget unten, um zu schätzen, wie viel dein Unternehmen aktuell für Zombie-Lizenzen und ungenutzte Seats verbrennt - und was automatisierte IGA und konsequente Zugriffsbereitstellung einsparen könnten.

Die SCIM-Mauer: Warum die meisten Tools deinen Stack nicht wirklich automatisieren

Das ist der Teil der Diskussion, den SaaS-Management-Anbieter gerne überspringen.

Ein Großteil der Automatisierung in SaaS Management Tools und in vielen "modernen IGA"-Plattformen hängt an SCIM - dem Protokoll, mit dem Apps User-Konten automatisch mit deinem Identity Provider synchronisieren. SCIM ist mächtig, wenn es da ist. Das Problem: Häufig ist es nicht da - oder hinter einer Bezahlschranke versteckt.

Viele verbreitete SaaS-Tools bieten SCIM nur in ihren höchsten Enterprise-Tiers an. Wenn du also Notion, Figma, Linear oder Dutzende andere Tools in Standard-Tarifen betreibst, hast du zwei Optionen: Deutlich mehr für den Enterprise-Plan zahlen, nur um SCIM zu bekommen (die SCIM-Steuer) - oder diese Apps manuell managen.

Automatisierung deckt in der Praxis oft nur 20-40 % der Apps in einer Organisation ab; die restlichen 60-80 % - inklusive Legacy-Systeme, Nischen-SaaS und Tools ohne APIs - werden weiterhin manuell mit Excel-Listen, Tickets und Ad-hoc-Anwendungsbereitstellung verwaltet.

Das bedeutet: Selbst das beste SaaS Management Tool der Welt arbeitet bei der Durchsetzung mit einem unvollständigen Bild. Es kann sehen, dass ein User ein Konto in Notion hat. Es kann dieses Konto aber nicht deprovisionieren, solange die App nicht via API oder SCIM mitspielt - was im Standard-Tarif oft schlicht nicht passiert.

Die universelle Connector-Architektur von Iden ist genau für dieses Problem gebaut. Sie verbindet sich mit Apps mit SCIM, mit APIs, aber ohne SCIM - und mit Apps ohne beides. Ohne dass du dafür Enterprise-Upgrades buchen musst. Das ist der Unterschied zwischen Governance, die 30 % deines Stacks abdeckt, und Governance, die den gesamten Stack abdeckt.

Wenn dir das bekannt vorkommt, lohnt sich ein Blick darauf, warum {{link:stop-force-fitting-your-sso-tool-to-do-governance}} SSO-Tools vor demselben Grundproblem stehen - die Coverage-Mauer ist kein exklusives Thema von SaaS Management Tools.

Wann welches Tool - und wann beide?

Ehrlichkeit heißt: Entscheidungsrahmen statt Sales-Pitch.

Ein SaaS Management Tool ergibt Sinn, wenn:

• Du ein großes Enterprise mit dedizierten Procurement- und Finance-Rollen bist, die Vertrags- und Kosten-Transparenz brauchen
• Vendor-Verhandlungen und Renewals dein Hauptschmerz sind
• Du Benchmarking und App-Rationalisierung über ein komplexes Portfolio brauchst
• Du bereits eine starke Identity Governance / Identity and Access Management-Schicht hast und ein extra, einkaufsorientiertes System of Record suchst

Identity Governance ist die richtige Primärschicht, wenn:

• Dein Kernproblem Zugriffskontrolle, Lifecycle-Automation oder Compliance (SOC 2, ISO 27001, DORA, HIPAA) ist
• Du ein schlankes IT-Team hast, das Provisionierung und Deprovisionierung ohne manuellen Aufwand automatisieren muss
• Du Apps außerhalb von SCIM oder SSO hast, die trotzdem governed werden müssen
• Du Zombie-Lizenzen, verwaiste Konten und Access-Sprawl eliminieren willst - nicht nur markieren
• Du einen Audit-Trail brauchst, der beantwortet, wer worauf Zugriff hatte - nicht nur einen Nutzungsreport

Für die meisten schnell wachsenden, SaaS-lastigen Unternehmen im Bereich 50-2.000 Mitarbeitende: Eine vollständige IGA-Plattform übernimmt den Großteil bei Lizenzrückgewinnung, Identity Lifecycle-Management, Zugriffsbereitstellung und Compliance - und macht ein separates SaaS Management Tool für den Governance-Use-Case oft überflüssig. Du brauchst nicht zwei Tools, um ein Problem zu lösen.

Und wenn es dir vor allem um die {{link:step-by-step-guide-to-your-first-iso-27001-2022}} Audit-Beweislast für Frameworks wie ISO 27001:2022 geht, dann ist Identity Governance die Schicht, die strukturierte, unveränderbare Audit-Belege liefert - mit einem zentralen Audit-Log statt lose verteilten Reports. SaaS Management Tools allein bringen dich dort nicht hin.

Wie "komplett" in der Praxis wirklich aussieht

Ein Unternehmen mit 300 Mitarbeitenden nutzt im Schnitt 15-20 Apps pro Person. An einem typischen Tag werden vier Personen ongebordet und zwei offgebordet. Drei wechseln die Rolle. Ein Projekt für einen Dienstleister endet.

In einer Welt mit nur SaaS Management: Das Tool erkennt über die nächsten Wochen die Lizenzänderungen. Das IT-Team bekommt einen Report. Jemand arbeitet die Deprovisionierungs-Liste manuell ab - für die Apps, zu deren Admin-Konsole man Zugang hat, auf den Tarifen, die das überhaupt zulassen.

In einer IGA-gesteuerten Welt: Das HR-System löst das Lifecycle-Event aus. Die agentischen Workflows von Iden (AI-driven, autonome Workflows) führen Provisionierung oder Deprovisionierung über jede verbundene App aus - unabhängig von SCIM oder API - in Sekunden. Lizenzen werden automatisch zurückgeholt. Ein unveränderbarer Audit-Log-Eintrag wird geschrieben. Kein Ticket. Keine Checkliste. Keine Zombie-Konten.

Das ist die Enforcement-Schicht. Sie macht die Sichtbarkeit aus SaaS Management Tools erst skalierbar umsetzbar - und verbindet Software Asset Management, Identity Governance und automatisierte Anwendungsbereitstellung zu einem geschlossenen System.

Für Teams, die Identity and Access Management noch weiterdenken wollen - inklusive Governance von KI-Agenten und nicht-menschlichen Identitäten, die weder SaaS Management Tools noch klassische IGA-Plattformen sinnvoll abdecken - lohnt sich ein Blick darauf, {{link:how-to-build-an-agentic-identity-governance}} wie agentische Identity-Governance-Frameworks in der Praxis funktionieren.

Wichtigste Erkenntnisse

• SaaS Management Tools (Zylo, Productiv, Zluri) sind stark bei Ausgabentransparenz, App Discovery, Vertrags-Tracking und Renewal-Management. Nutze sie für genau diese Aufgaben.
• Sie sind keine Enforcement-Tools. Sie automatisieren keine vollumfängliche Provisionierung/Deprovisionierung über deinen gesamten Stack, liefern keine revisionssicheren Audit-Trails und können keine Apps ohne SCIM- oder API-Support governan.
• Identity Governance ist die Durchsetzungsschicht, die SaaS-Spending-Daten wirklich nutzbar macht - Zugriffe werden automatisch entzogen, Lizenzen zurückgeholt und Richtlinien kontinuierlich über deinen gesamten App-Stack gefahren.
• Die SCIM-Steuer ist der versteckte Engpass, der verhindert, dass die meisten Tools mehr als 20-40 % deines Stacks wirklich automatisieren. Eine universelle Connector-Architektur beseitigt diese Mauer.
• Zombie-Lizenzen sind kein Sichtbarkeits-, sondern ein Durchsetzungsproblem. Dass sie existieren, weißt du längst. Die Frage ist, ob du die Werkzeuge hast, sie automatisch und unternehmensweit - über alle Apps - zu eliminieren.
• Für schlanke IT-Teams übernimmt eine vollständige IGA-Plattform mit automatisierter Lizenzrückgewinnung so viel des SaaS Lizenzmanagement-Problems, dass eine zusätzliche SaaS-Management-Schicht oft keinen Mehrwert bringt.