Beste Europese identitymanagementsoftware

#1 Keycloak

Londen, Verenigd Koninkrijk Gratis en open source Gratis

Het meest geschikt voor: Enterprises die volledige, zelf gehoste IAM willen zonder licentiekosten

• Exploiterend bedrijf. Keycloak (CNCF-project, oorspronkelijk van Red Hat)
• Jurisdictie. Zelf gehost; de governance van het project is internationaal
• Waar de gegevens staan. Waar je het ook uitrolt
• Onafhankelijke controles. AVG (jij blijft de verwerkingsverantwoordelijke)
• Broncode. Open source
• Vervangt. Auth0, Okta

Keycloak is een volwaardig enterprise-platform voor identity- en toegangsbeheer, uitgebracht onder Apache 2.0, en de combinatie is ongewoon genoeg om de positie hier toe te lichten: alles waar een organisatie doorgaans voor bij Okta betaalt, draait op je eigen infrastructuur zonder licentiekosten. Single sign-on via OAuth 2.0, OpenID Connect en SAML 2.0 dekt federatie met vrijwel alles wat al draait.

De functies die voor gevestigde organisaties belangrijk zijn, zijn allemaal aanwezig. Identity brokering en social login laten gebruikers inloggen via externe providers.

User federation koppelt LDAP en Active Directory, zodat de bestaande directory de bron van waarheid blijft in plaats van te worden gemigreerd, wat meestal de doorslaggevende factor is. Multifactorauthenticatie met adaptieve beleidsregels verscherpt de eisen per context, en fijnmazige autorisatiediensten bepalen wat een gebruiker mag doen en niet alleen of die mag inloggen. Dat is het deel dat lichtgewicht tools missen.

De Quarkus-basis zorgt voor snel opstarten en een beperkt geheugengebruik, met eersteklas Kubernetes-integratie en een operator voor clusteruitrol, en uitgebreide aanpassing via thema's en provider-SPI's. Red Hat biedt een commercieel ondersteunde versie voor organisaties die iemand willen kunnen bellen. De kosten zitten in de bediening: je draait het, past patches toe, maakt back-ups en schaalt het op, upgrades naar hoofdversies vragen aandacht, en de configuratie is zo omvangrijk dat ze echt ingewikkeld is.

Opvallendste functie. Alles waar organisaties voor bij Okta betalen, onder Apache 2.0: de licentiekosten zijn op elke schaal nul.

#2 Authentik

Pennsylvania, Verenigde Staten Gratis en open source / Enterprise $5 per gebruiker per maand, jaarlijks gefactureerd Gratis

Het meest geschikt voor: Zelfhosters die een mix van legacy- en moderne applicaties draaien

• Exploiterend bedrijf. Authentik Security Inc.
• Jurisdictie. Zelf gehost; de leverancier is een Amerikaans bedrijf (Delaware corporation)
• Waar de gegevens staan. Waar je het ook uitrolt
• Onafhankelijke controles. AVG
• Broncode. Open source
• Vervangt. Okta, OneLogin

Authentik is de identity provider voor wie al veel zelf gehoste diensten draait. De op flows gebaseerde authenticatie-engine behandelt inloggen, inschrijving, herstel en verificatie als configureerbare flows die uit stappen zijn opgebouwd, in plaats van vaste gedragingen. Een ongewone eis, zoals een specifieke goedkeuringsstap bij inschrijving, is daardoor een configuratiewijziging en geen fork.

De application proxy maakt het bij uitstek geschikt voor een gemengd landschap. Deze zet authenticatie voor applicaties die er zelf geen hebben, wat de praktijk is voor iedereen die moderne diensten met OIDC-ondersteuning draait naast oudere tools zonder. De protocolondersteuning omvat SAML, OAuth2, OpenID Connect, LDAP en SCIM, dus het federeert in beide richtingen.

Daaromheen liggen gebruikersbeheer en self-service, zodat mensen hun eigen inloggegevens kunnen resetten, plus MFA. Authentik is open source en gratis zelf te hosten, met een enterprise-licentie voor organisaties die support willen. Het komt uit Hamburg. Vergeleken met Keycloak is het lichter om uit te rollen en te configureren, maar het biedt minder diepgang in fijnmazige autorisatie, en zoals bij elke zelf gehoste IAM ligt de bediening bij jou.

Opvallendste functie. De application proxy zet een login voor software die er nooit een had, en dat is wat een echt zelf gehost landschap nodig heeft.

#3 Hanko

Kiel, Duitsland Gratis variant / vanaf €99 per maand Gratis variant

Het meest geschikt voor: Developers die wachtwoorden uit een applicatie willen halen

• Exploiterend bedrijf. Hanko
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. EU, of zelf gehost
• Onafhankelijke controles. AVG
• Broncode. Open source
• Vervangt. Auth0, Firebase Auth

Hanko bestaat om passwordloze authenticatie een week werk te laten zijn. Het is vanaf de basis opgebouwd rond passkeys, WebAuthn en FIDO2, in plaats van die aan een op wachtwoorden gebaseerd systeem toe te voegen, en het verschil zit in wat er wordt opgeleverd: kant-en-klare UI-componenten zorgen dat de loginomgeving meteen werkt, in plaats van een specificatie die je zelf moet implementeren.

De veiligheidsreden voor passkeys is geen kleine verbetering. Een cryptografisch inloggegeven dat op het apparaat staat en wordt ontgrendeld met vingerafdruk, gezicht of pincode kan niet worden gephisht, niet over sites heen worden hergebruikt en niet lekken bij een datalek, waardoor het grootste deel van de accountcompromittering in de praktijk verdwijnt in plaats van alleen wordt verminderd. Hanko biedt terugvalmethoden voor gebruikers wier apparaten of gewoonten nog niet klaar zijn, naast OAuth2-ondersteuning.

De Passkey API is het onderschatte onderdeel: die voegt passkeys toe aan een bestaand authenticatiesysteem zonder het te vervangen, wat het enige realistische migratiepad is voor een product dat al gebruikers heeft en je die gebruikers niet allemaal opnieuw kunt laten registreren.

Hanko is open source, met zelf gehoste en cloudopties, een gratis variant en betaalde abonnementen vanaf €99 per maand, gevestigd in Kiel met verwerking volgens de AVG. De focus is bewust smal: dit is geen enterprise IAM-platform met LDAP-federatie en fijnmazige autorisatie.

Opvallendste functie. Een Passkey API die passkeys toevoegt aan de login die je al hebt, het enige migratiepad waarbij je gebruikers niet opnieuw hoeven te beginnen.

#4 Signward

Hongarije Vast €3-5 per gebruiker per maand, geen facturatie per MAU 30 dagen gratis proberen

Het meest geschikt voor: Kleine teams die beheerde EU-identity tegen een voorspelbare prijs willen

• Exploiterend bedrijf. Signward
• Rechtsgebied. EU (Hongarije)
• Waar de gegevens staan. Microsoft Azure-regio's in de EU, binnen de EU Data Boundary
• Onafhankelijke controles. AVG met getekende verwerkersovereenkomst, consentbeheer, data-export, verwijdering van tenants
• Broncode. Closed source
• Vervangt. Auth0, Okta

Signward beantwoordt de klacht die teams echt bij Auth0 wegjaagt, en dat zijn niet de functies maar de rekening. Het rekent een vast bedrag van €3 tot €5 per gebruiker per maand, zonder facturatie per MAU, dus de kosten voor authenticatie groeien met je team en niet mee met pieken in verkeer, slapende accounts die weer actief worden, of een B2B-klant die honderden incidentele gebruikers meebrengt.

Alles zit in elk abonnement, in plaats van dat het per niveau oploopt: single sign-on, passkeys via WebAuthn en FIDO2, TOTP-multifactorauthenticatie, eigen domeinen en huisstijl, webhooks, API-sleutels en auditlogs. Dat is belangrijk, want de functies die meestal voor hogere niveaus zijn bedoeld, met name SSO, zijn precies wat een klein team nodig heeft om aan een zakelijke klant te verkopen.

Het wordt gehost in Microsoft Azure-regio's in de EU binnen de EU Data Boundary, met een getekende verwerkersovereenkomst, consentbeheer, data-export en verwijdering van tenants. Het is gebouwd op OpenID Connect en OAuth 2.0, met SDK's onder MIT-licentie, plus AI-anomaliedetectie en beveiligingsrapportage.

Signward is Hongaars en richt zich op teams van 5 tot 500 gebruikers, met een gratis proefperiode van 30 dagen. De eerlijke beperkingen: het platform zelf is niet open source en kan niet zelf worden gehost, het is een jonge leverancier zonder het ecosysteem van Keycloak of Auth0, en het is gericht op kleine teams in plaats van op enterprise federatie.

Opvallendste functie. Vaste prijs per gebruiker met SSO in elk abonnement: de twee dingen die Auth0 duur maken, weggehaald.

#5 Signicat

Trondheim, Noorwegen Prijs op maat Neem contact op met sales

Het meest geschikt voor: Gereguleerde bedrijven die moeten vaststellen wie een gebruiker echt is

• Exploiterend bedrijf. Signicat
• Rechtsgebied. Noorwegen (EEA, geen EU-lidstaat)
• Waar de data staat. EEA
• Onafhankelijke controles. AVG, gekwalificeerde eIDAS-handtekeningen
• Broncode. Closed source
• Vervangt. Onfido, Jumio, DocuSign identity

Signicat lost een ander probleem op dan al het andere in deze categorie. De overige zes authenticeren een terugkerende gebruiker. Deze stelt bij de onboarding vast dat de persoon is wie die zegt te zijn. Voor een bank, een verzekeraar, een kredietverstrekker of iedereen met een KYC-verplichting is die verificatiestap een wettelijke eis en geen productkeuze.

Wat het Europees maakt en niet alleen in Europa beschikbaar, is de koppeling met nationale identiteitssystemen.

Signicat fungeert als tussenpartij voor de eID-systemen die mensen in elk land al hebben en vertrouwen: de bank-ID, het nationale systeem, het overheidsmiddel. Zo verifieert een Noorse, Nederlandse of Spaanse klant met de methode die hij of zij voor alles gebruikt, in plaats van een paspoort te fotograferen voor een dienst waar hij of zij nog nooit van heeft gehoord. Daarnaast staan authenticatie, KYC-workflows, elektronische handtekeningen en gekwalificeerde eIDAS-handtekeningen met de juridische status die daarbij hoort.

Signicat is gevestigd in Trondheim, dus Noorse jurisdictie binnen de EER onder de AVG: hetzelfde regime als de EU, zonder EU-lidmaatschap, en volledig binnen de Europese identity-infrastructuur. De prijzen zijn op maat en gericht op enterprises, dus een beoordeling betekent een salesgesprek en er is geen zelfbedieningsweg. Het is ook geen developer-IAM-platform: voor applicatielogin blijven Keycloak, Ory of Zitadel het antwoord, en veel organisaties draaien Signicat naast een van die tools.

Opvallendste functie. Klanten verifiëren met de bank-ID die ze al vertrouwen, in plaats van een paspoort te fotograferen voor een onbekende partij.

#6 cidaas

Wimsheim, Duitsland Customer IAM: Essentials €699/maand (1,000 gebruikers) / Standard €1,399/maand (5,000 gebruikers) / Pro €2,999/maand / Enterprise op aanvraag; Workforce IAM €4.50 per gebruiker/maand; 20% korting bij jaarlijkse betaling; btw-behandeling niet vermeld Gratis proefperiode van 30 dagen (Customer IAM tot 500 gebruikers; Workforce IAM tot 30 gebruikers)

Het meest geschikt voor: Customer- en workforce-IAM gehost in Duitsland, met lijstprijzen die je kunt lezen voordat je contact opneemt met sales

• Exploiterend bedrijf. Widas ID GmbH
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Duitsland/Europa; hostingpartners niet genoemd, behalve Open Telekom Cloud (Deutsche Telekom) als voorbeeld; geen openbare lijst van subverwerkers
• Onafhankelijke controles. ISO 27001, ISO 9001, OpenID Certified
• Broncode. Closed source
• Vervangt. Auth0, Okta, Microsoft Entra ID

cidaas is het product; Widas ID GmbH in Wimsheim, ingeschreven bij het Amtsgericht Mannheim onder HRB 731110, is het bedrijf waarmee je contracteert. De Over ons-pagina beschrijft cidaas als een business unit van WidasConcepts GmbH en noemt geen andere aandeelhouders. Het dekt beide helften van de categorie: customer IAM voor de mensen die inloggen op je applicatie, en workforce IAM voor de mensen die voor je werken, met ID-validatie als optie daarbovenop.

De prijzen staan op de pagina, wat in deze categorie zeldzamer is dan het zou moeten zijn. Customer IAM kost vanaf €699 per maand voor duizend gebruikers, €1,399 voor vijfduizend, €2,999 voor het Pro-niveau, met Enterprise op aanvraag. Workforce IAM kost €4.50 per gebruiker per maand; bij jaarbetaling is er 20% korting.

De proefperiode duurt 30 dagen, voor maximaal 500 customer-gebruikers of 30 workforce-gebruikers. De prijspagina zegt niet of die bedragen btw bevatten. Onafhankelijke garanties zijn er in de vorm van ISO 27001 en ISO 9001, en de OpenID Foundation-certificering bevestigt de protocolimplementatie, niet de beveiliging van de bediening.

De claim over dataresidentie is het punt om op door te vragen. cidaas zegt dat het in Duitsland wordt ontwikkeld en gehost, en noemt de Open Telekom Cloud van Deutsche Telekom, maar als voorbeeld, op een marketingpagina.

De beveiligingspagina's noemen geen infrastructuurpartners, en er is geen openbare lijst van subverwerkers gevonden; het privacybeleid van de website noemt Google als verwerker zonder te zeggen waar. Voor een Duitse entiteit met Duitse hosting is dat op papier weinig concreet, dus vraag om de lijst van subverwerkers voordat je tekent. Het product is closed source, en er is geen editie die je zelf kunt hosten.

Opvallendste functie. Een Duitse GmbH die het bedrag publiceert, €699 per maand voor duizend customer-identiteiten, in plaats van je door te verwijzen naar een salesgesprek.

#7 Curity

Stockholm, Zweden Opgericht in 2015 Community Edition gratis / Standard-, Enterprise- en Token Handler-edities op een vast jaarabonnement, prijs op aanvraag Gratis Community Edition; proefperiode van 14 dagen voor de betaalde edities

Het meest geschikt voor: Teams die een OAuth- en OpenID Connect-server met veel standaarden op eigen hardware willen

• Exploiterend bedrijf. Curity AB
• Jurisdictie. EU (Zweden)
• Waar de gegevens staan. Zelf gehost (on-premise of in elke cloud naar keuze); geen door Curity beheerde SaaS gevonden
• Onafhankelijke controles. OpenID Foundation-gecertificeerd
• Broncode. Closed source
• Vervangt. Auth0, Okta, Ping Identity

Curity AB is een Zweedse AB, opgericht in Stockholm in 2015, registratienummer 559017-0196, aan Sankt Göransgatan 66. De gebruiksvoorwaarden, laatst bijgewerkt op 30 maart 2026, noemen die entiteit als contractpartij. Het product is een identityserver die is gebouwd rond de standaarden in plaats van rond een console: OAuth, OpenID Connect, FAPI, SAML en SCIM, met OpenID Foundation-certificering die bevestigt dat de implementatie conform is.

Er is geen door Curity beheerde SaaS. De uitrolpagina beschrijft alleen on-premise, single-cloud, multi-cloud en hybride installaties, wat een sterkere dataresidentiepositie is dan welke gehoste dienst ook kan bieden: de data staat waar jij hem neerzet, en er is geen regiokiezer van de leverancier bij betrokken. Het betekent ook dat de hele operationele last bij jou ligt, en er is geen manier om het product te proberen zonder het zelf op te zetten.

De Community Edition is gratis, en de betaalde edities (Standard, Enterprise en Token Handler) worden verkocht op een vast jaarabonnement met prijs op aanvraag, plus een proefperiode van 14 dagen.

Gratis betekent hier niet hetzelfde als open source: de code is niet gepubliceerd onder een open licentie. Sinds mei 2023 heeft GRO, een Deens private-equityfonds, een belang in het bedrijf, zonder dat de omvang van het belang wordt vermeld. De eigen pagina's van Curity noemen geen ISO 27001 of vergelijkbare audit.

Opvallendste functie. Het draait op hardware die jij hebt gekozen, omdat er geen Curity-cloud is waarop het in plaats daarvan kan draaien.

#8 Univention Nubus

Bremen, Duitsland Opgericht in 2002 Core Edition gratis (open source) / Enterprise-abonnement vanaf €35 per gebruiker per jaar, excl. btw (adviesverkoopprijs, verkocht via gecertificeerde partners) Gratis (Core Edition)

Het meest geschikt voor: Organisaties die Active Directory vervangen door een open-source directory die ze zelf draaien

• Exploiterend bedrijf. Univention GmbH
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Zelf gehost (on-premises VM, Kubernetes of hybride, waar je het ook draait)
• Broncode. Open source
• Vervangt. Microsoft Entra ID, Microsoft Active Directory, Okta

Univention GmbH is sinds 2002 in Bremen gevestigd, daar ingeschreven als HRB 20755; Nubus is de naam die het in 2024 gaf aan zijn identity management, voortkomend uit wat vroeger deel uitmaakte van Univention Corporate Server.

Het bundelt de onderdelen die een organisatie nodig heeft om te stoppen met betalen voor een directory: een OpenLDAP-directory met SCIM, de Directory Manager, een portal, self-service wachtwoordreset en single sign-on via SAML en OpenID Connect. Alles valt onder AGPL-3.0-only, dus de Core Edition is gratis te draaien en de broncode is er om te lezen.

De eerlijke omschrijving van de single sign-on is die van Univention zelf: de identity provider binnen Nubus is, volgens het eigen README, een vooraf geconfigureerde uitrol van Keycloak. Dat overlapt rechtstreeks met de tool op nummer één in deze lijst. Wat je koopt of downloadt, is het pakket eromheen: de directory, de portal, de self-service en de beheerinterface, samengesteld en onderhouden als één product, in plaats van zeven componenten die je zelf integreert.

Er is geen door Univention beheerde cloud. Je rolt het uit op een VM, op Kubernetes of hybride, wat betekent dat de vraag naar dataresidentie wordt beantwoord door waar je het neerzet, en niet door de regiokiezer van een leverancier.

Het Enterprise-abonnement begint bij €35 per gebruiker per jaar, exclusief btw, maar dat bedrag is een adviesverkoopprijs die via gecertificeerde partners wordt verkocht, dus wat je werkelijk betaalt hangt af van bij welke partner je koopt. De eigen pagina's van Univention noemen geen ISO 27001 of vergelijkbare audit, wat voor een zelf gehost product minder zwaar weegt dan voor een SaaS, maar toch ontbreekt.

Opvallendste functie. Een directory, een portal en single sign-on in één AGPL-pakket uit Bremen, met de prijs per gebruiker per jaar op de site vermeld.

#9 Omada

Kopenhagen, Denemarken Prijs op maat; geen openbare prijslijst

Het meest geschikt voor: Enterprises die identity governance nodig hebben in plaats van een loginprovider

• Exploiterend bedrijf. Omada A/S
• Jurisdictie. EU (Denemarken)
• Waar de gegevens staan. Microsoft Azure, EU-regio (Microsoft Ireland Operations Ltd.) of Amerikaanse regio, naar keuze van de klant; transactionele e-mail via Twilio SendGrid (EU en VS)
• Onafhankelijke controles. ISO/IEC 27001:2022, SOC 2 Type 2, SOC 3
• Broncode. Closed source
• Vervangt. SailPoint, Saviynt, Microsoft Entra ID Governance

Omada doet hier een ander werk dan bijna al het andere hierboven. Identity governance en administration gaat over wie welke toegang mag hebben en of die nog gerechtvaardigd is, dus de producten die het vervangt zijn SailPoint, Saviynt en Microsoft Entra ID Governance, en niet Auth0. Omada A/S is gevestigd aan de Oesterbrogade 135 in Kopenhagen, eigendom van GRO, een Deens private-equityfonds, en Kirk Kapital, een Deense familie-investeerder, die beide in het bestuur vertegenwoordigd zijn.

Het contract volgt de klant. Onder de Customer Agreement V01 2025 sluiten kopers in de EEA en de rest van de wereld een contract met Omada A/S onder Deens recht, met de City Court van Kopenhagen als bevoegde rechter. Klanten uit de VS en Canada krijgen Omada Solutions, Inc., en klanten uit het VK krijgen Omada Solutions, Ltd. Voor een Europese koper is dat een zuiver Deens contract. Onafhankelijke certificering is voor deze lijst ongewoon grondig: ISO/IEC 27001:2022, SOC 2 Type 2 en SOC 3.

Vervolgens de infrastructuur. Omada Identity Cloud draait op Microsoft Azure. De DPA V04 2025 biedt een EU-regio, beheerd door Microsoft Ireland Operations Ltd., of een VS-regio, zoals de klant kiest, en zegt niet welke je standaard krijgt. Transactionele e-mail loopt via Twilio SendGrid, in de EU en in de VS. Dus een Deens bedrijf, Deens recht en Amerikaanse infrastructuur eronder: precies de combinatie waar deze directory steeds voor waarschuwt. Er is geen openbare prijslijst en geen proefperiode.

Opvallende functie. Een Deens contract onder Kopenhagense rechtsmacht, draaiend op Microsoft Azure: regel welke regio je krijgt voordat je tekent.

#10 Memority

Puteaux (Parijs), Frankrijk Opgericht in 2022 Prijs op maat; geen openbare prijslijst Demo op aanvraag

Het meest geschikt voor: Franse organisaties die governance, SSO en MFA als service willen, zonder de Europese hosting op te geven

• Exploiterende vennootschap. Memority SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. SaaS in één cloudregio, Parijs of Dublin, op AWS, Google Cloud of S3NS (SecNumCloud-gekwalificeerd); gedeeld of dedicated platform
• Onafhankelijke controles. ISO 27001, ISO 27701, AirCyber Gold (de SecNumCloud 3.2-kwalificatie hoort bij de S3NS-hostingoptie)
• Broncode. Closed source
• Vervangt. Okta, Microsoft Entra ID, SailPoint

Memority SAS zit op 11-13 Cours Valmy in Puteaux, met een kapitaal van €2,435,048 en RCS Versailles-nummer B 920 613 478. Het register vermeldt het bedrijf als opgericht op 28 september 2022, met de SAS AIGAVE als président. De entiteit is dus jong, ook al claimt de carrièrepagina tien jaar IAM-werk erachter. In mei 2025 haalde het €13m op in een Series A onder leiding van Tikehau Capital, een Franse investeerder, via Brienne, zijn cybersecuritystrategie.

Het product is IDaaS met drie modules: identity governance, single sign-on en multi-factor authentication, en niet alleen applicatielogin. Daarmee ligt het dichter bij de genoemde concurrenten van Memority, Okta, Entra ID en SailPoint, dan bij de op ontwikkelaars gerichte tools hoger op deze lijst. Het heeft ISO 27001 en ISO 27701, de privacy-managementextensie, plus AirCyber Gold uit het programma voor de luchtvaartleveringsketen.

Hosting draait in één cloudregio per klant, Parijs of Dublin, op een gedeeld of dedicated platform, met drie onderliggende opties: AWS, Google Cloud of S3NS.

Alleen de laatste is SecNumCloud-gekwalificeerd, en die kwalificatie is van S3NS zelf, aangekondigd op 13 mei 2026 voor SecNumCloud 3.2. Het is geen certificering die Memority bezit. Kies je AWS of Google Cloud, dan heb je een Frans contract op infrastructuur in Amerikaans bezit, precies het onderscheid waarvoor deze directory bestaat. Er worden geen prijzen gepubliceerd en er is geen proefperiode; een demoaanvraag is de enige manier om te beginnen.

Opvallende functie. Parijs of Dublin, één regio, en een SecNumCloud-optie, mits je opmerkt dat de kwalificatie bij S3NS hoort en niet bij Memority.

#11 Bare.ID

Wiesbaden, Duitsland Opgericht in 2021 De prijs van Bare.ID wordt bepaald per maandelijks actieve gebruiker (MAU), op een contract van 12 of 36 maanden, met de abonnementen Professional, Premium en Enterprise (op maat, ook on-premise of hybride). De prijspagina heeft een prijscalculator voor B2E-, B2B- en B2C-toepassingen, maar de bedragen die de calculator toont, staan niet in de server-gerenderde HTML, dus er worden hier geen eurobedragen genoemd. Volgens de FAQ kan er maandelijks, per kwartaal of jaarlijks worden betaald, per factuur of via SEPA-incasso, en bestaan er speciale voorwaarden voor non-profitorganisaties, onderwijs en overheidsinstanties. Prijzen: zie de website of neem contact op met sales. 30 dagen gratis proefperiode met volledige functionaliteit (volgens de FAQ van de leverancier)

Het meest geschikt voor: Duitse organisaties die Keycloak als beheerde dienst met support willen

• Exploiterende vennootschap. Bare.ID GmbH
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Duitsland (SaaS, beheerd in gecertificeerde datacenters in Duitsland; hostingpartners niet genoemd op de gelezen pagina's)
• Onafhankelijke controles. ISO/IEC 27001 (TUEV Rheinland, volgens de bedrijfspagina); hostingpartners hebben BSI C5 en BSI IT-Grundschutz volgens de FAQ; labels 'Software Made in Germany' en 'Software Hosted in Germany'
• Broncode. Closed source
• Vervangt. Okta, Auth0, Microsoft Entra ID

Bare.ID GmbH in Wiesbaden (Amtsgericht Wiesbaden, HRB 33190) draait een identity- en access managementplatform, gebouwd op Keycloak. Het bedrijf groeide uit Keycloak-consultancy binnen de AOE-groep, werd in 2021 een zelfstandig bedrijf en werd in 2023 van AOE afgesplitst. Het dekt workforce identities, customer identities en partner identities, met single sign-on, multifactorauthenticatie, lifecycle management en toegangsbeleid bovenop de open-sourcekern.

De belofte is dat Keycloak beheersbaar wordt. Bare.ID voegt een beheerinterface toe, white-label templates, staging-omgevingen, dagelijkse back-ups met point-in-time recovery, support met SLA tot een 24/7-hotline en migratiehulp voor bestaande Keycloak-installaties. Ontwikkeling, hosting en support worden omschreven als volledig Duits, en het bedrijf heeft ISO 27001. SaaS is het hoofdaanbod, met hybride en on-premise opties wanneer data lokaal moet blijven.

Weeg het eerlijk af tegen wat er al op deze pagina staat. Keycloak zelf kost geen licentie, dus Bare.ID is een betaalde dienst bovenop, geen goedkopere route. Anders dan cidaas publiceert Bare.ID geen lijstprijzen in de broncode van de pagina: er is een calculator, maar je komt uiteindelijk bij de verkoop terecht. Hostingpartners worden niet genoemd. Het past bij middelgrote Duitse en publieke-sectorkopers, niet bij kleine teams of ontwikkelaars die een gratis variant willen.

Opvallende functie. Een beheerd, ondersteund Keycloak, in Duitsland geëxploiteerd, met on-premise en hybride opties voor organisaties die het niet zelf willen draaien.

#12 Cloud-IAM

Rennes, Frankrijk Opgericht in 2018 Gecontroleerd op 26 oktober 2026 op cloud-iam.com/pricing. Freemium: gratis tot 100 gebruikers, 1 realm, gedeelde infrastructuur, geen SLA, community-support, alleen gehost op AWS. Starter: vanaf €225/maand, toegewijde high-availability-omgeving, tot 100 realms, onbeperkt aantal maandelijks actieve gebruikers, 99% uptime-SLA, community-support. Essential: vanaf €495/maand, 99.9% SLA, support per e-mail en ticket, eigen extensies (.jar), automatische geplande updates. Premium: vanaf €1,440/maand, 99.95% SLA, 24/7 wachtdienst, 1 dag per maand Keycloak-consultancy, eigen statuspagina. Max: prijs op maat (contact met sales), 99.98% SLA, uitrol in meerdere regio's, back-ups elke 15 minuten. Prijzen hangen af van het aantal gebruikers en de gekozen cloudprovider; de pagina heeft een calculator, maandelijkse of jaarlijkse facturatie, en vermeldt een besparing van 10% bij jaarlijkse facturatie. Freemium-abonnement, gratis voor maximaal 100 gebruikers (1 realm, gedeeld, geen SLA, alleen AWS)

Het meest geschikt voor: Teams die Keycloak in de EU door een ander laten draaien

• Exploiterende vennootschap. CLOUDIAM (Cloud-IAM SAS), SIREN 900205436, RCS Rennes
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Elke implementatie draait bij één provider, gekozen bij het aanmaken: Scaleway (Frankrijk/Europa) of 3DS Outscale (Frankrijk/Europa), of Amazon Web Services, Google Cloud of Microsoft Azure in de regio die je kiest. Logs, metrics en back-ups worden in Frankrijk bewaard (Scaleway, Outscale). Volgens de subverwerkerspagina (bijgewerkt op 21 oktober 2026) brengt een in de EU gehoste implementatie geen doorgifte van persoonsgegevens buiten de EU met zich mee, en zijn alle operators met toegang in de EU gevestigd.
• Onafhankelijke controles. ISO 27001:2022 (geclaimd op de prijs- en homepage; certificaat niet gezien), SecNumCloud 3.2 en HDS alleen op Outscale-implementaties (volgens de prijspagina), SOC 2 type 2 'binnenkort gecertificeerd', NIS 2 en AVG-conform (zelfverklaard)
• Broncode. Closed source
• Vervangt. Okta, Auth0, Microsoft Entra ID

Cloud-IAM is een Frans bedrijf in Rennes (CLOUDIAM, SIREN 900205436) dat maar één ding doet: Keycloak voor je uitrollen, upgraden, back-uppen en monitoren.

Elk betaald abonnement is een dedicated implementatie met hoge beschikbaarheid op de cloud die je kiest, en Scaleway en 3DS Outscale staan naast AWS, Google Cloud en Azure op de lijst. De eigen subverwerkerspagina zegt dat een in de EU gehoste implementatie geen doorgifte van persoonsgegevens buiten de EU met zich meebrengt, en dat logs en back-ups in Frankrijk blijven. Je krijgt Keycloak zonder zelf een cluster, een database en een patchschema te hoeven beheren.

De onderliggende software is Keycloak, dus de afwegingen van Keycloak gelden, en de pagina zet het al op nr. 1.

Wat Cloud-IAM toevoegt is de beheerlaag: automatische geplande updates, thema-aanpassingen en het uploaden van eigen extensies zonder downtime, een uptime-SLA van 99% tot 99.98%, en een 24/7-piketteam op Premium en Max. Support komt daar bovenop, van alleen community op Starter tot consultancydagen op Premium. Voor een team dat Keycloak wel wil maar niemand heeft om het te beheren, is dat het echte aanbod.

Het is niet goedkoop vergeleken met Keycloak zelf draaien, en het is geen andere engine. Betaalde abonnementen beginnen bij €225 per maand voor Starter en €495 voor Essential, en de 99%-SLA op Starter is dun voor een inlogsysteem.

Vergeleken met Zitadel Cloud of Ory Network is het meer een hosting- en supportdienst dan een zelfstandig product, en het heeft geen eigen cloudmodel op basis van betaling per gebruiker. De gratis variant is nuttig om te testen, maar het is gedeelde infrastructuur op AWS zonder SLA, dus het soevereiniteitsverhaal begint pas bij de betaalde abonnementen.

Opvallende functie. Het is de beheerde route voor teams die Keycloak zelf willen, op een dedicated EU-implementatie van een Frans bedrijf, met een SLA erachter.

#13 CyberDesk

München, Duitsland Opgericht in 2022 Op de site van de leverancier staan geen prijzen. De leverancier biedt een demo en een gratis beveiligingscontrole aan; de prijs is op aanvraag.

Het meest geschikt voor: Beveiligingsteams die zicht op toegang tot data op dataniveau nodig hebben

• Exploiterend bedrijf. CyberDesk GmbH (HRB 277291, Amtsgericht München, btw-id DE354262605)
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Niet vermeld voor het product. De leverancier claimt een metadata-architectuur 'Made in EU', en bezoekersdata van de website wordt verwerkt op AWS-servers
• Onafhankelijke controles. De site claimt 'TÜV Certified Security' zonder het schema of het certificaat te noemen. Er is geen ISO 27001- of SOC 2-claim gevonden
• Broncode. Closed source
• Vervangt. Dedicated IGA-tools en tools voor governance van datatoegang

CyberDesk is een bedrijf uit München, CyberDesk GmbH, opgericht in 2022 door Dr. Tobias Lieberum en Prabhakar Mishra, dat identiteitsgerichte gegevensbeveiliging verkoopt. Het werkt naast een identiteitsprovider in plaats van die te vervangen. Het platform bouwt een inventaris van menselijke en niet-menselijke identiteiten (serviceaccounts, tokens, secrets, derden, AI-agents) en een inventaris van gevoelige data. Daarna brengt het in kaart wie via welke groepen, rollen en rechten bij welke data kan, tot op individuele resources.

Daarop bouwt de leverancier toegangsbeoordelingen op privilegeniveau voor data, levenscyclusbeheer met gesimuleerde provisioning, en risicobewaking die laat zien wat een gecompromitteerde identiteit zou kunnen raken. De integratiepagina noemt Entra ID, Okta, Active Directory, SharePoint, OneDrive, Google Workspace, Slack, Jira, ServiceNow, Personio en veel AWS-, Azure- en Google Cloud-diensten. Volgens de leverancier zijn de connectors agentloos en werken ze out-of-band, dus er is geen wijziging in de applicatiecode nodig.

Het staat onderaan omdat het een ander probleem oplost dan de single sign-on- en klantidentiteitstools hierboven. Het logt geen gebruikers in. Ook publiceert het geen prijzen en geen proefperiode. Het biedt een demo en een gratis beveiligingscontrole aan, en het toont een claim 'TÜV Certified Security' zonder het schema te noemen. Lees het als een governancelaag voor bedrijven die al een identiteitsprovider draaien en willen zien waar toegang te ruim is toegekend.

Opvallende functie. Het is de enige vermelding hier die meet wie daadwerkelijk bij welke data kan, in plaats van hoe gebruikers inloggen.