Auf der Suche nach einer AWS-Cognito-Alternative? Logto gibt dir Multi-Tenant-Organisationen, Enterprise SSO und ein Anmeldeerlebnis, das du vollständig kontrollierst ohne Lambda-Glue-Code oder einen neuen User Pool bei jeder Änderung der Anforderungen.
Cognito hat sich seinen Platz im AWS-Stack verdient: Es lebt direkt neben deiner Infrastruktur, Identity Pools können deinen Apps temporäre AWS-Anmeldeinformationen aushändigen, und die Lite-Stufe bleibt auch bei großem Umfang günstig. Aber Auth bleibt selten ein Häkchen auf einer Liste. Wenn sich die Anforderungen an die Registrierung ändern, wenn Geschäftskunden dazukommen oder wenn die Rechnung erneut ihre Form ändert, merken Teams, dass sie ein Toolkit pflegen, statt ein Produkt auszuliefern. Das ist meist der Moment, in dem sie anfangen zu vergleichen.
| Beweggrund | So sieht es in der Praxis aus |
|---|---|
| Preise, die sich ständig bewegen | Im Mai 2024 führte AWS eine Abrechnung für Machine-to-Machine-Auth ein, die zuvor kostenlos war; bestehende Konten erhielten eine 12-monatige Befreiung, und diese Rechnungen kamen im Mai 2025. Im November 2024 senkten neue Stufen das kostenlose Kontingent für neue Konten von 50,000 auf 10,000 MAU, und neue User Pools verwenden jetzt standardmäßig Essentials für $0.015 pro MAU, fast das Dreifache des Lite-Tarifs. Im November 2025 strich AWS die M2M-Gebühr pro App-Client, berechnet aber weiterhin jede Token-Anfrage. Jede Änderung wurde angekündigt. Keine davon hat gefragt. |
| Einstellungen, die du nie ändern kannst | In Cognito werden Anmeldebezeichner, die Groß-/Kleinschreibung von Benutzernamen und Pflichtattribute beim Erstellen eines User Pools festgelegt, und benutzerdefinierte Attribute lassen sich nie ändern oder löschen. Triffst du eine falsche Wahl, ist die offizielle Abhilfe schroff: "migriere deine Benutzer in einen neuen User Pool". Auth-Anforderungen entwickeln sich weiter; deine Pool-Konfiguration nicht. |
| Ein Rate-Limit-Pool für dein gesamtes Konto | Cognitos Request-Kontingente gelten pro AWS-Konto und Region, geteilt über jeden User Pool, den du betreibst, sodass ein Anmelde-Spike in einem Produkt alle drosseln kann. Die anpassbaren Kategorien anzuheben bedeutet, bereitgestellte Kapazität zusätzlich zum MAU-Preis zu kaufen. Andere sind fest: Die Passwort-Wiederherstellung ist auf 30 Anfragen pro Sekunde begrenzt und die Machine-to-Machine-Token-Ausstellung auf 150, egal wie viel du zahlst. |
| B2B ist ein Do-it-yourself-Projekt | Cognito hat kein Organisationsmodell. Der offizielle Leitfaden zur Mandantenfähigkeit bietet Muster, die du dir aus User Pools, App-Clients oder Gruppen selbst zusammenbaust, und räumt ein, dass bei einem Pool pro Mandant "der Entwicklungs- und Betriebsaufwand" hoch ist und "sich jeder Benutzer für jeden Mandanten einzeln registrieren muss". Hinzu kommt: Jeder Enterprise-Benutzer, der sich über SAML oder OIDC anmeldet, kostet nach den ersten 50 $0.015 pro Monat, auf jeder Stufe. |
| Die Anmeldeseite gehört nicht wirklich dir | Managed login gibt dir einen visuellen Editor für Farben und Logos, aber AWS sagt es deutlich: Du kannst den Text nicht ändern oder lokalisieren, und es gibt nur 12 eingebaute Sprachen. Die Lite-Stufe ist auf die ältere klassische gehostete UI beschränkt, die ein Logo und einen festen Satz an CSS-Werten unterstützt, ganz ohne Lokalisierung. Und eine benutzerdefinierte Domain erfordert ein Zertifikat in US East (N. Virginia), egal wo deine Benutzer leben. |
Logto sperrt dein Identitätsschema nicht bei der Einrichtung. Anmeldebezeichner sind Einstellungen, die du in der Konsole änderst, und Benutzerprofile tragen schemalose benutzerdefinierte Daten. Wenn sich die Anforderungen von reiner E-Mail auf Telefon oder Passkeys verschieben, legst du die Konfiguration um; du baust nicht den Tenant neu auf und migrierst nicht jeden Benutzer.
Logto-Organisationen geben jedem Geschäftskunden eigene Mitglieder, Rollen und eine eigene Enterprise-SSO-Verbindung, mit Just-in-time-Provisioning, sobald sich ihre Benutzer zum ersten Mal anmelden. Was Cognitos Best-Practices-Leitfaden dich aus Pools, App-Clients und Gruppen zusammenbauen lässt, ist in Logto eine erstklassige Produktoberfläche.
Der kostenlose Plan von Logto deckt 50K MAU und 50K Token pro Monat ab, Machine-to-Machine inklusive, und Pro kostet $24 pro Monat mit unbegrenzten MAU. Rate Limits gelten pro Tenant, und sie für eine wachsende Auslastung anzuheben ist ein Gespräch mit dem Support, kein Kapazitätskauf. Logto Cloud ist ein vollständig verwalteter Dienst und läuft auf derselben Codebasis wie die Open-Source-Version von Logto (13k+ GitHub-Sterne). Wenn Preise oder Roadmap für dich irgendwann nicht mehr passen, kannst du selbst hosten und einfach weitermachen.
Wir glauben an ehrliche Positionierung. Logto ist nicht für jeden AWS Cognito-Kunden die perfekte Wahl.
| Logto | AWS Cognito | |
|---|---|---|
| Zentrale Unterschiede | ||
| Kostenloser PlanWas der kostenlose Plan enthält | Bis zu 50K MAU und 50K Token | 10K MAU bei Lite und Essentialskein kostenloser Plan bei Plus |
| Machine-to-Machine-AuthService-to-Service-Token über Client Credentials | Inklusivenur Access Tokens zählen für die Abrechnung | Kein kostenloses Kontingentjede Token-Anfrage berechnet, ab $0.00225 |
| B2B / MandantenfähigkeitModelliere Geschäftskunden als Organisationen mit Rollen | Unbegrenzt*Organisationen mit Rollen und SSO pro Organisation | Kein eingebautes OrganisationsmodellDo-it-yourself-Pool- oder Gruppenmuster |
| Enterprise-SSO-PreiseBenutzer, die sich über SAML- oder OIDC-Föderation anmelden | Connectors in der Konsole konfiguriertMAU-basierte Pläne | 50 föderierte MAU kostenlos, dann $0.015 pro Benutzer auf jeder Stufe |
| Änderungen am IdentitätsschemaAnmeldebezeichner und Attribute später anpassen | Jederzeit rekonfigurierbarschemalose benutzerdefinierte Daten | Anmeldebezeichner, Groß-/Kleinschreibung und benutzerdefinierte Attribute beim Erstellen festgelegt |
| Kontrolle über die Anmelde-UIBranding, Formulierungen und Sprachen der gehosteten Seiten | Benutzerdefinierte Formulierungen in jeder Sprachebring deine eigene UI mit | Nur Farben und LogoText nicht bearbeitbar12 Sprachen (Essentials und höher) |
| BereitstellungsoptionenWo der Auth-Dienst laufen kann | Cloud, Private Cloud oder selbst gehostet | Nur von AWS gehostet |
Basierend auf öffentlich verfügbaren Informationen, Stand Juli 2026; Cognito-Preise gelten für US East (N. Virginia). Bitte prüfe die aktuellen Details beim jeweiligen Anbieter.
* "Unbegrenzt" bezieht sich auf Funktionen ohne feste Grenzen, unterliegt jedoch den Systemrichtlinien zur Gewährleistung einer fairen Nutzung, Sicherheit und optimalen Leistung.
Ehrlich gesagt: Cognito lässt dich keine Passwort-Hashes exportieren, also kann kein Anbieter eine Massenmigration versprechen, bei der jedes bestehende Passwort still und leise weiter funktioniert. Cognito selbst akzeptiert ebenfalls keine importierten Hashes: Der eigene Massenimport zwingt Benutzer, ihr Passwort bei der ersten Anmeldung zurückzusetzen.
Alles andere lässt sich sauber übertragen. Exportiere Benutzerprofile über die Cognito-APIs und importiere sie per Massenimport mit der Management API von Logto. Benutzer, die sich über Social-Anbieter oder passwortlose Methoden anmelden, bemerken den Wechsel überhaupt nicht.
Für Passwort-Benutzer plane entweder einen einmaligen Reset oder einen gestaffelten Rollout. Der richtige Ansatz hängt von deiner Benutzerbasis ab, also erzähl uns von deinem Setup, und wir helfen dir, die Umstellung zu planen.
Lies den Leitfaden zur Benutzermigration →Jede Migration ist ein wenig anders. Wenn der Leitfaden deinen Fall nicht abdeckt, sprich mit uns und sag uns, was du brauchst.
Teilweise. Konten, die nach dem 22. November 2024 erstellt wurden, erhalten 10,000 MAU kostenlos pro Monat auf der Lite- oder Essentials-Stufe; ältere Konten behalten 50,000 kostenlose MAU auf Lite. Die Plus-Stufe hat kein kostenloses Kontingent. Machine-to-Machine-Token-Anfragen werden immer berechnet, über SAML oder OIDC föderierte Benutzer sind nur bis zu 50 MAU kostenlos, und SMS-Nachrichten werden separat über Amazon SNS berechnet.
Drei Änderungen in zwei Jahren. Mai 2024: AWS führte die Abrechnung pro Token für Machine-to-Machine-Auth ein, mit einer 12-monatigen Befreiung für bestehende Konten, die im Mai 2025 endete. November 2024: Cognito wurde in die Stufen Lite, Essentials und Plus umstrukturiert, der kostenlose Plan für neue Konten sank von 50,000 auf 10,000 MAU, und neue User Pools verwenden standardmäßig Essentials für $0.015 pro MAU. November 2025: AWS entfernte die M2M-Gebühr pro App-Client, behielt aber die Gebühren pro Token bei.
Nicht als eingebaute Funktion. AWS dokumentiert Muster für Mandantenfähigkeit, die du selbst implementierst: einen User Pool pro Mandant, einen App-Client pro Mandant oder Gruppen innerhalb eines Pools. Jedes hat dokumentierte Kompromisse, vom hohen Entwicklungs- und Betriebsaufwand bis zu Benutzern, die sich für jeden Mandanten separat registrieren. Logto modelliert das direkt mit Organisationen: Jeder Geschäftskunde erhält eigene Mitglieder, Rollen und eine eigene Enterprise-SSO-Verbindung.
Es hängt davon ab, warum du wechselst. Wenn deine Apps temporäre AWS-Anmeldeinformationen für Dienste wie S3 brauchen, bleiben Cognito Identity Pools der native Weg. Wenn du eingebaute B2B-Organisationen, Enterprise SSO ohne Föderationsgebühren pro Benutzer und Preise willst, die sich nicht unter dir verändern, ist Logto eine starke Wahl. Auch Auth0, Firebase Auth und Keycloak werden häufig geprüft.
AWS, Amazon Cognito und Amazon Web Services sind Marken von Amazon.com, Inc. oder seinen verbundenen Unternehmen. Funktionsvergleiche basieren auf öffentlich verfügbaren Informationen, Stand Juli 2026. Bitte prüfe die aktuellen Details beim jeweiligen Anbieter.
