Auf der Suche nach einer Azure-AD-B2C-Alternative? Logto gibt dir Enterprise SSO, Multi-Tenant-Organisationen und MFA ohne XML-Custom-Policies oder einen Neuaufbau nach dem Zeitplan eines anderen.
Azure AD B2C hat sich seinen Platz verdient: ein großzügiger kostenloser Plan, der Azure-Compliance-Schirm und ein SLA von 99.99%. Aber Microsoft hat es für Neukunden geschlossen und verweist CIAM-Projekte jetzt auf Microsoft Entra External ID, eine Next-Generation-Plattform, die die Custom Policies nicht ausführt, an denen Teams jahrelang gebaut haben. Wenn wir mit Teams sprechen, die B2C verlassen, geht es selten um einen einzelnen Bug. Es ist eine Plattform, die stehen geblieben ist, während ihr Produkt weiter gewachsen ist.
| Beweggrund | So sieht es in der Praxis aus |
|---|---|
| Ein Produkt im Auslaufmodus | Seit dem 1. Mai 2025 ist Azure AD B2C für Neukunden nicht mehr verfügbar, und die Premium-P2-Stufe wurde am 15. März 2026 eingestellt. Microsoft verpflichtet sich, bestehende Tenants "mindestens bis Mai 2030" zu unterstützen. Das lässt Zeit zum Planen, aber jede neue Funktion, die du auf B2C aufbaust, vertieft deine Investition in eine Plattform, an der Microsoft selbst schon vorbeigezogen ist. |
| Der Upgrade-Pfad ist kein direkter Ersatz | Entra External ID verzichtet vollständig auf XML-Custom-Policies, und über Custom Policies konfigurierte Identitätsanbieter werden bei einer direkten Migration nicht unterstützt. Ein Wechsel dorthin bedeutet einen neuen Tenant, selbstgeschriebene Skripte zur Benutzermigration gegen die Graph API und eine App-für-App-Umstellung. Wenn das der Preis des Standard-Upgrades ist, ist es sinnvoll, stattdessen den gesamten Markt zu prüfen. |
| Custom Policies sind eine Sackgasse | Fortgeschrittene B2C-Szenarien leben im Identity Experience Framework: mehrere XML-Dateien, die sich in einer Vererbungskette gegenseitig referenzieren, kein lokales Debugging und Fehlersuche über Application-Insights-Logs. Microsofts eigene FAQ räumt ein, dass Kunden Custom Policies "zu schwer zu bauen und zu verwalten" fanden. Dieses Know-how lässt sich nirgendwohin übertragen. |
| Enterprise SSO bedeutet XML von Hand bearbeiten | In B2C ist die Föderation eines SAML-Identitätsanbieters nur über Custom Policies möglich. Jeder Enterprise-Kunde, den du onboardest, bedeutet handgeschriebenes Claims-Provider-XML, Zertifikat-Uploads und manuell ausgetauschte Metadaten. Es gibt kein Self-Service-Portal und kein SSO-Modell pro Kunde, auf das du dich stützen kannst. |
Anmeldeerlebnis, MFA, Passkeys und Enterprise SSO werden in der Logto Console oder über die Management API konfiguriert. Branding, benutzerdefinierte JWT-Claims und Webhooks decken die Szenarien ab, die Teams früher in Policy-XML von Hand gebaut haben. Änderungen erfordern einen Umschalter oder einen API-Aufruf, keinen Policy-Upload und keine Application-Insights-Session.
Logto-Organisationen geben jedem Geschäftskunden eigene Mitglieder, Rollen und eine eigene Enterprise-SSO-Verbindung, mit Just-in-time-Provisioning, sobald sich ihre Benutzer zum ersten Mal anmelden. Was B2C dich mit benutzerdefinierten Attributen von Hand modellieren lässt, ist in Logto eine erstklassige Produktfunktion.
Du hast gesehen, was passiert, wenn eine proprietäre Identitätsplattform das Ende des Verkaufs erreicht. Logto Cloud ist ein vollständig verwalteter Dienst und läuft auf derselben Codebasis wie die Open-Source-Version von Logto (13k+ GitHub-Sterne). Wenn Wirtschaftlichkeit oder Roadmap für dich irgendwann nicht mehr passen, kannst du selbst hosten und einfach weitermachen. Keine Erlaubnis nötig.
Wir glauben an ehrliche Positionierung. Logto ist nicht für jeden Azure AD B2C-Kunden die perfekte Wahl.
| Logto | Azure AD B2C | |
|---|---|---|
| Zentrale Unterschiede | ||
| ProduktlebenszyklusOb das Produkt für Neukunden offen ist und aktiv weiterentwickelt wird | Aktiv weiterentwickelteine Produktlinie | Für Neukunden geschlossen seit Mai 2025neue Funktionen landen in einem separaten Produkt |
| Erweiterte AnpassungWie du über die eingebauten Anmelde-Flows hinausgehst | Konsole und APIsbenutzerdefinierte JWT-Claims und Webhooks | XML-Custom-Policies (Identity Experience Framework) |
| Enterprise SSOUnternehmenskunden melden sich mit ihrem eigenen Identitätsanbieter an | SAML- und OIDC-Connectors in der Konsole konfiguriert | SAML-Föderation erfordert Custom Policies |
| B2B / MandantenfähigkeitModelliere Geschäftskunden als Organisationen mit Rollen | Unbegrenzt*Organisationen mit Rollen und SSO pro Organisation | Kein eingebautes Organisationsmodell |
| SPA-SessionsBenutzer von Single-Page-Apps angemeldet halten | Rotierende Refresh-Token mit konfigurierbarer Lebensdauer | SPA-Refresh-Token auf 24 Stunden begrenzt |
| BereitstellungsoptionenWo der Auth-Dienst laufen kann | Cloud, Private Cloud oder selbst gehostet | Nur von Microsoft gehostet |
| Kostenloser PlanWas der kostenlose Plan enthält | Bis zu 50K MAU und 50K Token | Erste 50K MAU kostenlos |
Basierend auf öffentlich verfügbaren Informationen, Stand Juli 2026. Bitte prüfe die aktuellen Details beim jeweiligen Anbieter.
* "Unbegrenzt" bezieht sich auf Funktionen ohne feste Grenzen, unterliegt jedoch den Systemrichtlinien zur Gewährleistung einer fairen Nutzung, Sicherheit und optimalen Leistung.
Ehrlich gesagt: Azure AD B2C lässt dich keine Passwort-Hashes exportieren, also kann kein Anbieter eine Massenmigration versprechen, bei der jedes bestehende Passwort still und leise weiter funktioniert. Microsofts eigene External-ID-Anleitung umgeht dieselbe Einschränkung.
Alles andere lässt sich sauber übertragen. Exportiere Benutzerprofile über die Microsoft Graph API und importiere sie per Massenimport mit der Management API von Logto. Benutzer, die sich über Social-Anbieter oder passwortlose Methoden anmelden, bemerken den Wechsel überhaupt nicht.
Für Passwort-Benutzer plane entweder einen einmaligen Reset oder einen gestaffelten Rollout. Der richtige Ansatz hängt von deiner Benutzerbasis ab, also erzähl uns von deinem Setup, und wir helfen dir, die Umstellung zu planen.
Lies den Leitfaden zur Benutzermigration →Jede Migration ist ein wenig anders. Wenn der Leitfaden deinen Fall nicht abdeckt, sprich mit uns und sag uns, was du brauchst.
Microsoft verwendet das Wort "veraltet" nicht, aber seit dem 1. Mai 2025 ist Azure AD B2C für Neukunden nicht mehr käuflich, und die Premium-P2-Stufe wurde am 15. März 2026 eingestellt. Microsoft erklärt, bestehende Tenants mindestens bis Mai 2030 weiter zu unterstützen.
Es sind separate Produkte, und Microsoft erklärt, dass External ID kein neuer Name für Azure AD B2C ist. External ID ist Microsofts Next-Generation-CIAM-Plattform, und ihre Migrationsanleitung verweist bestehende B2C-Kunden dorthin. Sie unterstützt keine XML-Custom-Policies; Microsoft hat einen Migrationspfad für bestehende Custom Policies versprochen, aber er ist mit Stand Juli 2026 noch nicht verfügbar.
Nicht sofort. Bestehende Tenants werden mindestens bis Mai 2030 unterstützt, und Microsofts erklärte Zusagen für B2C umfassen Sicherheit, Verfügbarkeit und Zuverlässigkeit. Die Arbeit an neuen Funktionen findet in Entra External ID statt. Da ein Wechsel dorthin selbst ein Migrationsprojekt ist, nehmen viele Teams dies zum Anlass, den gesamten CIAM-Markt zu prüfen, statt standardmäßig zum hauseigenen Upgrade zu greifen.
Microsofts eigener Nachfolger ist Entra External ID, was für Teams sinnvoll ist, die tief im Microsoft-Ökosystem verankert sind. Wenn du Multi-Tenant-B2B-Funktionen, Enterprise SSO ohne Custom Policies und die Option zum Selbsthosten willst, statt auf einen weiteren proprietären Lebenszyklus zu setzen, ist Logto eine starke Wahl. Auch Auth0 und andere CIAM-Anbieter sind eine Prüfung wert.
Microsoft, Azure und Microsoft Entra sind Marken der Microsoft-Unternehmensgruppe. Funktionsvergleiche basieren auf öffentlich verfügbaren Informationen, Stand Juli 2026. Bitte prüfe die aktuellen Details beim jeweiligen Anbieter.
