Der Identity Hub
für den Mittelstand

01Executive Summary

Im Mittelstand verteilen sich digitale Identitäten auf dutzende Systeme. Konten werden per E-Mail und Ticket angelegt, bei Rollenwechseln selten bereinigt und beim Austritt oft vergessen. Das kostet IT-Zeit, verzögert die Einarbeitung und ist – spätestens mit NIS2 – ein Haftungsrisiko für die Geschäftsleitung.

neoid ist der Identity Hub für den Mittelstand. Das HR-System wird zur führenden Quelle; neoid berechnet daraus, wer welche Zugänge braucht, und versorgt alle angebundenen Systeme automatisch – vom ersten Arbeitstag über jeden Abteilungswechsel bis zum Austritt. Anmeldungen erfolgen passwortlos per Passkey, ein Notausschalter sperrt im Ernstfall alle Zugänge in Sekunden, und Rezertifizierung, Funktionstrennung und Audit-Trail liefern die Nachweise für Prüfer.

Kernaussagen

• Ein zentraler Steuerungspunkt für alle Identitäten, Zugänge und Berechtigungen
• Automatischer Lebenszyklus (Joiner, Mover, Leaver) direkt aus dem HR-System
• Passwortlose, phishing-resistente Anmeldung und Single Sign-On
• Nachweisbare Compliance für NIS2, CRA, ISO 27001, DSGVO und DORA
• Betrieb in der Cloud (Hosting in Deutschland & EU) oder On-Premises – in jedem Paket
• Transparente Preise ab 2 € (On-Premises) bzw. 3 € (Cloud) pro aktiver Identität und Monat

02Die Herausforderung: Identitäten im Mittelstand

Jede Rolle im Unternehmen spürt fragmentierte Identitäten anders. Diese Schmerzpunkte begegnen uns in nahezu jedem Projekt:

Was ohne zentralen Identity Hub passiert

• Neue Mitarbeitende warten tagelang auf Zugänge – ein schlechter erster Eindruck und verlorene Produktivität
• Rechte werden bei Abteilungswechseln selten entzogen; Berechtigungen wachsen unkontrolliert
• Konten ehemaliger Mitarbeitender bleiben aktiv – ein offenes Tor für Datenabfluss
• Schatten-IT entsteht, weil Fachabteilungen eigenmächtig SaaS-Dienste nutzen
• Für Audits fehlen belastbare Nachweise, wer wann worauf Zugriff hatte

03neoid im Überblick

Das HR-System ist die führende Quelle. neoid berechnet daraus, wer welche Zugänge braucht, und versorgt alle angebundenen Systeme automatisch – vom Eintritt über jeden Wechsel bis zum Austritt.

1. 1

   Joiner

   Eintritt im HR-System → Konten und Rechte in allen Systemen zum ersten Tag.

2. 2

   Mover

   Abteilungs- oder Rollenwechsel → neue Rechte sofort, alte werden entfernt.

3. 3

   Leaver

   Austritt → alle Konten deaktiviert, alle Sitzungen beendet.

neoid muss Active Directory oder Microsoft Entra ID nicht ersetzen, sondern steuert sie als übergeordnete Orchestrierungsschicht. Wer später weniger Systeme betreiben möchte, kann Anmeldung und Benutzerverwaltung schrittweise zu neoid verlagern. Alle Anbindungen basieren auf offenen Standards wie SCIM 2.0, OpenID Connect, SAML 2.0, LDAP und WebAuthn – Sie bleiben unabhängig.

04Funktionen

Die folgenden Funktionen sind in neoid verfügbar. Rechts steht das kleinste Paket, in dem die Funktion enthalten ist.

Anmeldung & Zugang

Ein Login für alle Anwendungen – passwortlos, phishing-resistent und ohne Helpdesk-Tickets.

Single Sign-On (OIDC & SAML) Ein Login für beliebig viele Anwendungen über offene Standards.	ab Starter
Passwortlose Anmeldung Passkeys (FIDO2/WebAuthn) per Fingerabdruck, Face ID oder Windows Hello – alternativ Passwort + MFA.	ab Starter
MFA-Richtlinien Zweiten Faktor verpflichtend machen – mit Übergangsfrist und gruppenbasierter Pflicht.	ab Starter
Faktoren selbst registrieren Passkey oder Authenticator-App direkt beim Login einrichten.	ab Starter
Erstzugang & Wiederherstellung Erstanmeldung und Wiederherstellung verlorener Faktoren ohne Helpdesk – per Datenabgleich und SMS-Code.	ab Starter
Sitzungs- & Token-Laufzeiten Sicherheit und Komfort verständlich ausbalancieren.	ab Starter

Identitäten & Lebenszyklus

Das HR-System gibt den Takt vor: Zugänge ab dem ersten Arbeitstag und sofort gesperrt beim Austritt.

Zentrales Identitätsverzeichnis Alle Identitäten mit Standort, Land, Beschäftigungsart, Vertragsende und mehreren Abteilungen.	ab Starter
HR-Anbindung Das HR-System als führende Quelle, z. B. neoHR, Paychex, Personio oder per SCIM 2.0.	ab Starter
Automatischer Ein- und Austritt Zugänge zum Eintrittsdatum, Deaktivierung zum Austrittsdatum – ohne Ticket.	ab Starter
Geführte Benutzeranlage Schritt-für-Schritt-Assistent mit Vorschau, welche Rechte die neue Person erhält.	ab Starter
Notausschalter Konto sperren und alle Sitzungen beenden – sofort, in allen angebundenen Systemen.	ab Starter
Benutzerliste mit Sicherheitsstatus Status und Absicherung vieler Konten auf einen Blick.	ab Starter
Dashboard Zentrale Startseite mit den wichtigsten Kennzahlen.	ab Starter
Regelbasierte Gruppenzuweisung neoid-Gruppen automatisch anhand von Attributen zuweisen.	ab Starter

Anbindungen & Provisionierung

Zielsysteme geführt anbinden, Bestandskonten sauber übernehmen und automatisch versorgen.

Provisionierungs-Anbindungen Active Directory, Entra ID, LDAP, SCIM, JDBC, Nextcloud, Mattermost, Rocket.Chat, EspoCRM, Clockodo, Vaultwarden u. v. m.	ab Starter
Verbindungstest Prüfen, ob eine Anbindung ihr Zielsystem erreicht – bevor etwas passiert.	ab Starter
Verschlüsselte Zugangsdaten Passwörter, Tokens und Client-Secrets werden verschlüsselt gespeichert.	ab Starter
Geführte Einrichtung Bestand sichten, Regeln festlegen, Konten verknüpfen – auf einer Seite.	ab Business
Kontenabgleich Bestehende Konten im Zielsystem finden und kontrolliert mit neoid-Benutzern verknüpfen.	ab Business
Vorschau vor dem ersten Sync Sehen, was sich im Zielsystem ändert – inklusive entfernter Berechtigungen.	ab Business
Nutzerkreis je Anbindung Festlegen, wer eine Anwendung nutzen darf – per Gruppe statt per Hand.	ab Business
App-Rollen im Token Anwendungen erhalten Gruppen und Rollen direkt beim Login.	ab Business

Regeln & Automatisierung

Wer welche Rechte bekommt, entscheiden nachvollziehbare Regeln – nicht E-Mails und Tickets.

Zuweisungsregeln für Gruppen & Rollen Attribute wie Abteilung oder Standort steuern automatisch Rechte in Zielsystemen – auch beim Rollenwechsel.	ab Business
Einfacher & erweiterter Regel-Modus Geführter Formular-Modus oder verschachtelte UND/ODER-Bedingungen für komplexe Fälle.	ab Business
Regelvorschläge neoid leitet nachvollziehbare Regeln aus dem bestehenden Berechtigungsbestand ab.	ab Business
Simulation & Auswirkungsvorschau Vorab sehen, wen eine Regel betrifft – Entwürfe werden erst mit Freigabe wirksam.	ab Business
Gezielte Ausführung Regeln kontrolliert außerhalb des automatischen Ablaufs anwenden.	ab Business
Rollen- & Gruppenkatalog Sehen, welche Gruppen und Rollen ein Zielsystem tatsächlich anbietet.	ab Business
Fremdzuweisungen erkennen & heilen Rechte, die am Hub vorbei vergeben wurden, aufdecken und bereinigen.	ab Business
Delegierte Administration Verwaltung einzelner Anbindungen an Fachverantwortliche übergeben.	ab Business

Audit & Nachvollziehbarkeit

Jede Änderung ist dokumentiert: wer, was, wann – mit Vorher-/Nachher-Vergleich.

Audit-Log Anmelde- und Administrationsereignisse lückenlos protokolliert.	ab Starter
Änderungsdetails mit Vorher/Nachher Strukturierte Zusammenfassung und Attribut-Diff zu jeder Änderung.	ab Business
Unveränderliche Regel-Historie Jeder Regelstand ist jederzeit nachvollziehbar.	ab Business

Governance & Compliance

Zugriffe regelmäßig bestätigen, Funktionstrennung durchsetzen und Nachweise auf Knopfdruck liefern.

Rezertifizierung Periodische und anlassbezogene Kampagnen inkl. Rollen-Review, Drift-Erkennung, Erinnerungen und Ausnahmen.	ab Governance
Prüfkontrollen Keine Selbst-Rezertifizierung, Begründungspflicht bei Bestätigungen.	ab Governance
Funktionstrennung (SoD) Konfliktregeln über Systeme hinweg – geprüft bei jeder Regeländerung.	ab Governance
SoD-Überwachung Regelmäßige Hintergrundprüfung mit Benachrichtigung, Ausnahmen als dokumentierte Risiken, Vorschlagsassistent und SoD-Dashboard.	ab Governance
Regel-Verantwortliche Jede Regel hat einen Owner, der sie regelmäßig bestätigt.	ab Governance
Revisionssicherer Compliance-Export Regeln, Rezertifizierungen und SoD-Status als Nachweis für Prüfer.	ab Governance
Schatten-IT erkennen E-Mail-Domain-Monitoring, SSO-Adoption-Flow und zentrales App-Verzeichnis.	ab Governance
Governance-Dashboard Fällige Prüfungen, SoD-Status und Handlungsbedarf auf einen Blick.	ab Governance

KI-Assistent neoassist

Zugriffsprobleme in Sekunden verstehen – mit Vorschlägen, die erst nach Ihrer Bestätigung wirken.

360°-Zugriffsdiagnose Warum hat jemand keinen Zugriff? neoassist erklärt die Ursache und erkennt Abweichungen.	ab Business
Vorbereitete Aktionen mit Bestätigung neoassist ändert nichts selbstständig – jede Korrektur wird erst nach Ihrer Freigabe ausgeführt.	ab Business
Eigenes KI-Modell Wahl des Sprachmodells, auch selbst gehostet (z. B. Ollama).	ab Business

05Integration

Nicht jede Anwendung unterstützt moderne Standards gleich gut. neoid bietet abgestufte Möglichkeiten – von nativem Single Sign-On bis zum Workaround für Altsysteme.

1. 1
   Stufe 1 · Optimal

   Nativer Support (OIDC, SAML, SCIM)

   Die Anwendung spricht offene Standards.

   • Benutzerverwaltung in neoid
   • Import aus dem HR-System
   • Anmeldung über neoid inkl. Passkey und MFA
2. 2
   Stufe 2 · Gut

   Vorhandene Standard-API

   Ein vorgefertigter Konnektor nutzt die Schnittstelle der Anwendung.

   • Benutzerverwaltung in neoid
   • Import aus dem HR-System
   • Synchronisation von Konten, Gruppen und Rollen
3. 3
   Stufe 3 · Möglich

   Hybrid & On-Premises

   Lokale Verzeichnisse, Datenbanken und Fachsoftware – über sichere Anbindung, ohne eingehende Firewall-Ports.

   • Active Directory und LDAP
   • Datenbanken per generischem JDBC-Konnektor
   • Zentrale Steuerung auch für Altsysteme
4. 4
   Stufe 4 · Workaround

   Keine direkte Integration

   Auch ohne Schnittstelle bleibt kein System unkontrolliert.

   • Zugriff auf die Datenbank
   • File-Export und -Import
   • Strukturierter Prozess mit Benachrichtigung

Vorgefertigte Konnektoren

HR- und Quellsysteme

neoHR, Paychex, Personio, HRworks, SAP SuccessFactors, BambooHR, Workday und weitere – oder per SCIM 2.0, REST, CSV-Import und Webhooks.

Beispiel: vom HR-System bis Active Directory und Entra ID

1. 1

   Eintritt im HR-System

   Eine neue Mitarbeiterin wird in neoHR mit Abteilung Vertrieb und Eintrittsdatum angelegt.

2. 2

   Regeln in neoid

   Die Zuweisungsregel „Abteilung = Vertrieb“ ergibt die Gruppe „Vertrieb“ in Active Directory und Entra ID sowie den Zugang zum CRM.

3. 3

   Provisionierung

   Zum Eintrittsdatum legt neoid die Konten an und setzt die Gruppen. Am ersten Tag richtet die neue Kollegin ihren Passkey ein.

4. 4

   Austritt

   Mit dem Austrittsdatum deaktiviert neoid alle Konten und beendet alle Sitzungen – dokumentiert im Audit-Trail.

06Sicherheit & Compliance

Notausschalter

Ein Klick – oder ein API-Aufruf – sperrt alle Zugänge einer Person oder Gruppe in Echtzeit, über alle angebundenen Systeme hinweg.

1. 1

   Konto sperren

   Auslösung in der neoid-Oberfläche oder per API.

2. 2

   Token-Invalidierung

   Aktive Access- und Refresh-Tokens werden gesperrt.

3. 3

   Backchannel-Logout

   OIDC-fähige Anwendungen beenden laufende Sitzungen.

4. 4

   De-Provisionierung

   Alle angebundenen Zielsysteme erhalten die Deaktivierung.

5. 5

   Audit-Log

   Zeitgestempelter Eintrag mit auslösender Person.

6. 6

   Benachrichtigung

   Alerts an Security-Team, IT-Leitung oder SIEM.

Passwortlose Anmeldung

neoid ermöglicht den Weg in eine passwortlose Zukunft – auf Basis offener Standards wie FIDO2, WebAuthn und Passkeys.

Zero-Knowledge-Architektur

Zero-Knowledge ist eine architektonische Garantie: neoworx hat technisch keinen Zugriff auf Ihre Zugangsdaten oder Geheimnisse.

Regulatorik

1. 1

   NIS2-Richtlinie

   Pflichten für wichtige und besonders wichtige Einrichtungen.

   • Art. 21 Abs. 2 (b): Zugangskontrolle und Identitätsmanagement
   • Art. 21 Abs. 2 (e): Sicherheit in der Lieferkette (externe Zugänge)
   • Art. 21 Abs. 2 (i): Multi-Faktor-Authentifizierung
   • Art. 23: Meldepflichten mit lückenlosen Incident-Logs
2. 2

   ISO 27001:2022

   Der Standard für Informationssicherheits-Managementsysteme.

   • A.5.15 / A.5.16: Zugriffskontrolle und Identitätsverwaltung
   • A.5.18: Zugriffsrechte (Provisionierung und Deprovisionierung)
   • A.8.2: Privilegierte Zugriffsrechte
   • A.8.15: Logging – unveränderliche Audit-Trails
3. 3

   DSGVO

   Anforderungen an Verarbeitung, Speicherung und Löschung personenbezogener Daten.

   • Art. 5: Datensparsamkeit
   • Art. 17: Recht auf Löschung
   • Art. 25: Privacy by Design – Zero-Knowledge-Architektur
   • Art. 30: Verzeichnis der Verarbeitungstätigkeiten
4. 4

   DORA

   IKT-Risikomanagement für Finanzunternehmen.

   • Regelmäßige Überprüfung von Zugriffsrechten
   • Funktionstrennung über Systeme hinweg
   • Keine Selbst-Rezertifizierung, Begründungspflicht
   • Revisionssicherer Nachweis für Prüfer

Der CRA gilt schon – die Meldepflicht läuft seit September 2026

Der Cyber Resilience Act (EU 2024/2847) betrifft Hersteller, Importeure und Händler von Hardware und Software mit digitalen Elementen – von der vernetzten Maschine bis zur Fachanwendung. Seit dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gemeldet werden, auch für Produkte, die schon auf dem Markt sind.

1. 1
   10. Dezember 2024

   In Kraft getreten

   Die Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten – ohne nationales Umsetzungsgesetz.

2. 2
   11. September 2026 · gilt bereits

   Meldepflichten

   Aktiv ausgenutzte Schwachstellen und schwere Vorfälle gehen an das zuständige CSIRT und an ENISA.

   • Frühwarnung innerhalb von 24 Stunden
   • Meldung innerhalb von 72 Stunden
   • Abschlussbericht nach 14 Tagen bzw. einem Monat
3. 3
   11. Dezember 2027

   Alle Pflichten

   Neue Produkte kommen nur noch mit CE-Kennzeichnung nach CRA auf den Markt.

   • Security by Design und Risikobewertung
   • Schwachstellenmanagement über den Support-Zeitraum
   • Technische Dokumentation für die Marktüberwachung

• Vorfälle schnell eindämmen: Der Notausschalter sperrt ein kompromittiertes Konto in allen angebundenen Systemen und beendet alle Sitzungen – in Sekunden statt Stunden.
• Fristgerecht melden: Der Audit-Trail zeigt, wer wann worauf Zugriff hatte. Damit stehen die Fakten für Frühwarnung, Meldung und Abschlussbericht bereit.
• Entwicklung absichern: Zugänge zu Repositories, Build-Servern und Signierschlüsseln nur nach Rolle, mit Passkeys und regelmäßiger Rezertifizierung.
• Externe im Blick: Konten von Dienstleistern und externen Entwicklern sind zentral erfasst, rezertifizierbar und mit einem Klick gesperrt.

Identitätsmanagement-Systeme zählen nach Anhang III des CRA zu den wichtigen Produkten der Klasse I und unterliegen damit strengeren Anforderungen an die Konformitätsbewertung. Wir bereiten neoid auf die CRA-Pflichten vor. Diese Übersicht ersetzt keine Rechtsberatung. Ob und in welcher Rolle Ihr Unternehmen betroffen ist, hängt von Ihren Produkten ab.

Governance-Funktionen

• Rezertifizierung: Periodische und anlassbezogene Kampagnen: Verantwortliche bestätigen oder entziehen Zugriffe – mit Erinnerungen, Fristen und Ausnahmen.
• Funktionstrennung (SoD): Konfliktregeln über Systeme hinweg, Prüfung bei jeder Regeländerung, nächtliche Überwachung und dokumentierte Ausnahmen.
• Unveränderliche Audit-Logs: Zeitgestempelte Protokolle aller Zugriffsänderungen mit Vorher/Nachher – exportierbar.
• Compliance-Export: Regelstände, Rezertifizierungen und SoD-Status als revisionssicherer Nachweis.
• Regel-Verantwortliche: Jede Zuweisungsregel hat einen Owner, der sie regelmäßig bestätigt.
• Governance-Dashboard: Fällige Prüfungen und offene Konflikte auf einen Blick.

07Einführung

Kein Big-Bang-Rollout: neoid wird iterativ eingeführt – Abteilung für Abteilung, System für System.

1. 1
   Woche 1–2

   Discovery & Analyse

   Gemeinsamer Überblick über Systeme, Nutzer und Zugriffsrechte.

   • Bestandsaufnahme aller Anwendungen
   • Ist-Analyse von Identitäten und Rechten
   • Verwaiste Konten und Schatten-IT identifizieren
   • Rollenkonzept-Workshop mit HR und IT
2. 2
   Woche 2–3

   Pilot-Integration

   Anbindung des ersten Zielsystems – typischerweise Microsoft 365 oder Active Directory – mit 5–10 Testnutzern.

   • HR-System anbinden (lesend)
   • Erstes Zielsystem integrieren
   • Joiner, Mover, Leaver im Test validieren
3. 3
   Woche 3–5

   Schrittweiser Rollout

   System für System und Abteilung für Abteilung – nichts wird ohne Prüfung und Freigabe übernommen.

   • Weitere Zielsysteme anbinden
   • Abteilungen schrittweise übernehmen
   • HR- und IT-Ansprechpartner schulen
   • Audit-Trail und Compliance-Berichte aktivieren
4. 4
   ab Woche 6

   Optimierung & Betrieb

   Feinabstimmung: Self-Service, Rezertifizierung und Monitoring werden aktiviert.

   • Self-Service für Wiederherstellung
   • Periodische Zugriffsprüfungen
   • SIEM-Anbindung und Alarme
   • Übergabe in den Betrieb

Der dargestellte Plan ist ein typisches Beispiel. Die tatsächliche Dauer hängt von Unternehmensgröße und Anzahl der Anwendungen ab.

Was passiert mit bestehenden Konten?

• Bestehende Konten werden gefunden und nach Ihrer Bestätigung mit den richtigen Personen verknüpft.
• Verwaiste Konten werden sichtbar und zur Prüfung vorgelegt.
• Vor dem ersten Sync zeigt neoid, was sich im Zielsystem ändern würde.
• Ab Stichtag übernimmt neoid die Steuerung aller neuen Ereignisse – Altbestände folgen in Ihrem Tempo.

Was wir vorab von Ihnen brauchen

• Zugang zum HR-System (API-Key oder Webhook)
• Service-Konto für AD/Entra ID – wir zeigen Ihnen die genauen Berechtigungen
• Liste der anzubindenden Systeme (Top 3–5 zuerst)
• Rollenkonzept – wir liefern eine Vorlage
• Je eine Ansprechperson aus IT und HR für wöchentliche 30-Minuten-Termine

08Pakete & Preise

Alle Pakete wahlweise als Cloud-Service (Hosting in Deutschland & EU) oder On-Premises bzw. hybrid in Ihrer Infrastruktur. Abgerechnet wird pro aktiver Identität und Monat (jährliche Abrechnung, zzgl. USt.), Mindestabnahme 50 Identitäten.

Cloud: Wir betreiben neoid für Sie – Hosting in Deutschland & EU, inklusive Betrieb, Monitoring, Backups, Updates und Support.
On-Premises: Sie betreiben neoid in Ihrer eigenen Infrastruktur (auch hybrid) – rund 30 % günstiger, Updates und Support inklusive.

Funktionsvergleich

Einführung, Rollenkonzept-Workshop und individuelle Anbindungen bieten wir nach Aufwand an – mit Festpreisangebot nach einem gemeinsamen Workshop. Typisch: produktiv in 6 Wochen.

09Über neoworx

neoid wird von neoworx in Deutschland entwickelt und in Deutschland und der EU gehostet – oder läuft On-Premises in Ihrer Infrastruktur. Unser Anspruch: Identity Governance auf Enterprise-Niveau, die zum Mittelstand passt – schnell eingeführt, transparent bepreist und auf offenen Standards gebaut.

• Entwickelt in Deutschland: Von neoworx entwickelt, gehostet in Deutschland und der EU – mit deutschsprachigem Support.
• Cloud oder On-Premises: In jedem Paket: Hosting in Deutschland & EU mit AV-Vertrag – oder Betrieb in Ihrer eigenen Infrastruktur, rund 30 % günstiger.
• Offene Standards: SCIM 2.0, OIDC, SAML, LDAP und WebAuthn – Sie bleiben unabhängig.
• Zero-Knowledge: Ende-zu-Ende-Verschlüsselung: Auch neoworx kann Ihre Geheimnisse nicht lesen.
• In 6 Wochen produktiv: Iterative Einführung – System für System, ohne Big-Bang-Rollout.
• Direkt mit den Architekten: Sie sprechen mit den Menschen, die neoid bauen – nicht mit einem Callcenter.