Okta

Was ist Okta

Okta ist eine globale Identity und Access Management Plattform der Okta, Inc. mit Sitz in San Francisco. Workforce Identity Cloud bietet Mitarbeitenden SSO, MFA, Lifecycle Management und Zugriffsprüfungen für Hunderte von Business Apps. Customer Identity Cloud (inkl. des 2021 übernommenen Auth0) sichert Logins für Consumer und B2B Anwendungen mit Social Login, passwortlos, Brute Force Schutz, Anomalie Erkennung und adaptiver MFA. Beide Produkte laufen über einen gehosteten Authentifizierungs Flow auf okta.com bzw. auth0.com Subdomains und zahlreiche SDKs.

Welche Daten und Cookies Okta erhebt

Okta erhebt Benutzername, Passwort (gehasht, nie im Klartext), E Mail, Telefon, MFA Faktoren (OTP Secrets, WebAuthn Keys), Geräte Fingerprint, IP, User Agent, Land, Audit Logs für jede Authentifizierung, Session und Konfigurationsänderung und beliebige Custom Claims aus dem Directory. Auf Besucherseite setzt der gehostete Sign In Flow ein sid Session Cookie und technische Cookies (DT, JSESSIONID, t) zur CSRF Abwehr. Auth0 ergänzt ein eigenes auth0 Cookie und optionale Anomalie Signale.

DSGVO und ePrivacy Folgen

Die Okta Authentifizierungs Cookies sind zwingend erforderlich für die Anmeldung am angeforderten Dienst und von der Einwilligungspflicht nach Paragraf 25 TTDSG ausgenommen. Die Verarbeitung von Credentials, MFA und Audit Logs stützt sich auf Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c für Sicherheit und Aufbewahrung) und berechtigtes Interesse zur Betrugsabwehr. Anomalie Erkennung oder Verhaltens Scoring jenseits des Notwendigen ist separat zu bewerten. Die Datenschutzerklärung muss Okta bzw. Auth0 als Auftragsverarbeiter nennen.

Ist eine Einwilligung erforderlich

Nein für die zwingend erforderlichen Authentifizierungs Cookies und Tokens. Ja für optionale Funktionen jenseits der Authentifizierung: Analytics auf der Login Seite, Marketing Widgets, einwilligungspflichtige Social Login Provider, persistente Geräteerkennung zu Marketingzwecken. Der Nutzer ist stets darüber zu informieren, dass Okta bzw. Auth0 im Login Flow eingebunden ist.

Datentransfers und Empfänger

Mit einer EU Cell (Frankfurt oder Dublin) bei der Tenant Erstellung verbleiben persistente Daten in der EU. Okta, Inc. (USA) bleibt Verantwortlicher der Plattform und greift zu Support , Sicherheits und Incident Zwecken zu. Okta ist im EU US Data Privacy Framework zertifiziert, bietet EU SCC über das Master Subscription Agreement und das Okta DPA und veröffentlicht eine regelmäßig aktualisierte Subprozessoren Liste. Auth0 folgt dem gleichen Regime. Für regulierte Branchen liefert Okta FedRAMP, ISO 27001, ISO 27018, SOC 2 Type II und HIPAA Nachweise.

Praktische Schritte zur Compliance

Wählen Sie bei der Bereitstellung eine EU Cell, schließen Sie das Okta DPA mit SCC Anhang, listen Sie Okta, Inc. und Auth0 als Empfänger in der Datenschutzerklärung mit Transfermechanismus (DPF und SCC), setzen Sie die Audit Log Speicherdauer auf das durch Sicherheits und Gesetzespflichten gerechtfertigte Minimum, beschränken Sie Admin Zugriffe per SSO und MFA und prüfen Sie Bring Your Own Key für sensible Tenants. Dokumentieren Sie die Integration im Verarbeitungsverzeichnis.