Authentifizierungsdienste im Vergleich 2026: Auth0 vs. Firebase Auth vs. Supabase Auth vs. Clerk vs. Keycloak

Kaum ein Entwickler baut sich heute noch eine eigene Login- und Registrierungsmaske. Social Login, Passkeys, MFA und SSO von Grund auf selbst zu implementieren, bringt ein zu hohes Sicherheitsrisiko und zu viel Wartungsaufwand mit sich – deshalb lagern die meisten Teams diesen Bereich an einen etablierten Authentifizierungsdienst aus. Das Problem: Es gibt zu viele Kandidaten, und keiner von ihnen tickt genau gleich. Dieser Vergleich der Authentifizierungsdienste basiert nicht auf Marketing-Floskeln, sondern auf den Zahlen, die im August 2026 tatsächlich auf den offiziellen Preisseiten und in den Release Notes stehen.

Gerade in den vergangenen sechs Monaten hat sich in diesem Markt still, aber deutlich einiges bewegt. Clerk hat im Februar 2026 seine kostenlose Stufe verfünffacht, Supabase ist nach einer Finanzierungsrunde von umgerechnet rund 500 Millionen US-Dollar (etwa 460 Mio. Euro; in koreanischen Quellen mit rund 500 Mrd. KRW beziffert) im Juni 2026 bei einer Bewertung von etwa 10,5 Milliarden US-Dollar (rund 9,7 Mrd. Euro bzw. etwa 14 Billionen KRW) deutlich gewachsen, und Keycloak hat mit 26.7.0 eine SCIM-Vorschau sowie ein experimentelles Multi-Cluster-HA-Setup veröffentlicht. Firebase Auth dagegen unterstützt nach wie vor keine nativen (1st-Party) Passkeys – eine Lücke, die sich hartnäckig hält. Ein Blogartikel von vor ein paar Monaten dürfte in diesem Bereich also kaum noch eins zu eins stimmen.

In diesem Artikel stellen wir fünf Anbieter direkt gegenüber: Auth0, den traditionellen Platzhirschen im Enterprise-SaaS-Bereich; Firebase Authentication, fest verankert im Google-Ökosystem; Supabase Auth, Teil des Postgres-basierten Open-Source-Backends; Clerk, spezialisiert auf eine erstklassige React-/Next.js-Entwicklererfahrung; und Keycloak, die komplett kostenlose Self-Hosting-Open-Source-Lösung. Wir decken alle Achsen ab, die für eine echte Kaufentscheidung relevant sind: Free-Limits, Einstiegspreise, Passkey-/SSO-Unterstützung und die Möglichkeit zum Self-Hosting.

Im Folgenden starten wir mit einer Gesamtübersichtstabelle aller fünf Dienste, gefolgt von einem Feature-Deep-Dive je Produkt, einem Benchmark zu Free-Tier und Skalierbarkeit, einem vollständigen Preisvergleich, Empfehlungen nach Nutzertyp, Praxistipps und typischen Fehlern sowie einem FAQ-Abschnitt. Nicht offiziell bestätigte Zahlen werden nicht als Fakt dargestellt, sondern klar als „Schätzung Dritter, offiziell nicht bestätigt” gekennzeichnet – das sollten Sie bei Ihrer Budgetplanung berücksichtigen.

1. Executive Summary: Der Vergleich der Authentifizierungsdienste 2026 auf einen Blick

Für Entwickler, die keine Zeit zu verlieren haben, haben wir die wichtigsten Punkte der fünf großen Authentifizierungsdienste mit Stand August 2026 in einer Tabelle zusammengefasst.

📊 Gesamtübersicht: Vergleich der Authentifizierungsdienste

Die Zeile, bei der in dieser Tabelle am meisten Vorsicht geboten ist, ist das „Free-Limit”. Auf den ersten Blick wirken Firebase, Supabase und Clerk mit ihren jeweils rund 50.000 Nutzern ähnlich – doch Clerks Einheit ist keine MAU, sondern die eigenständige Kennzahl MRU (Monthly Retained User). Wer die Zahlen unreflektiert nebeneinanderlegt, kommt zu einer Fehleinschätzung. Diesen Unterschied klären wir ausführlich in Kapitel 2.

2. Feature-Deep-Dive: Die fünf großen Authentifizierungsdienste im Detail

🔐 1) Auth0 – der Maßstab für Enterprise-SSO und Compliance

• Der Free-Tier ist großzügiger geworden: Der Free-Plan umfasst bis zu 25.000 MAU ohne Kreditkarte, unbegrenzte Logins, passwortlose Anmeldung, unbegrenzte Social-Connections, 5 Organizations, 1 Enterprise Connection und sogar Self-Service-SSO. Einige Drittquellen behaupten, dieses Limit sei von früher 7.500 MAU aus angehoben worden – der genaue Zeitpunkt dieser Ankündigung ließ sich jedoch nur als unbestätigt einordnen und müsste erneut verifiziert werden.
• Die kostenpflichtigen Stufen sind in B2C und B2B unterteilt: B2C Essentials startet bei 35 $/Monat (in 500-MAU-Schritten), B2C Professional bei 240 $/Monat inklusive MFA, Benutzerrollen, SSO-Integration sowie Actions-/Forms-Erweiterungen. B2B Essentials startet bei 150 $/Monat (3 Enterprise Connections inklusive, weitere Connections je 100 $, maximal 30), B2B Professional bei 800 $/Monat (5 Connections plus MFA inklusive). Enterprise wird individuell kalkuliert und bringt eine SLA von 99,99 % sowie SCIM-Provisioning mit.
• Der Preis pro zusätzlichem MAU wird offiziell nicht veröffentlicht: Die offizielle Auth0-Seite erklärt lediglich, dass bei Überschreiten einer Stufe „zum Tarif der nächsten Stufe” abgerechnet wird, nennt aber keinen exakten Preis pro zusätzlichem MAU. Drittquellen nennen einen Schätzwert von rund 0,07 $/MAU, doch dieser ist offiziell nicht bestätigt. Wachstumsstarke Start-ups sollten daher vor Vertragsabschluss direkt beim Vertriebsteam nachfragen.
• Passkeys sind im Web GA, bei nativen Apps besteht Klärungsbedarf: Web-Passkeys über Universal Login sind in allen Plänen (inklusive Free) als General Availability bestätigt. Die Passkey-Unterstützung in nativen iOS-/Android-Apps ist in älteren Quellen jedoch nur begrenzt dokumentiert, und ob mit Stand August 2026 tatsächlich vollständige GA erreicht ist, müsste mit aktuellen Quellen erneut überprüft werden.
• In den letzten sechs Monaten häuften sich Stabilitätsprobleme: Am 22. Februar 2026 gab es in der Region US-3 einen rund 2 Stunden und 35 Minuten langen Ausfall, und am 24. Juli 2026 wurde offiziell ein etwa zehnminütiger Ausfall bestätigt, der gleichzeitig die vier Produktions-Endpunkte US-1/3/4/5 betraf. Da es sich um reines SaaS ohne Self-Hosting-Option handelt, schlagen solche Ausfälle unmittelbar auf die Login-Funktion der eigenen Anwendung durch – das sollte man einkalkulieren.

🔥 2) Firebase Authentication – tief im Google-Ökosystem verankert, aber mit Passkey-Lücke

• Das Free-Limit unterscheidet sich stark je nach Login-Methode: E-Mail-, Social- und anonyme Logins sind sowohl im Spark- (kostenlos) als auch im Blaze-Plan (nutzungsbasiert) bis zu 50.000 MAU kostenlos. Bei SAML-/OIDC-Logins sinkt das Free-Limit dagegen drastisch auf 50 MAU. Sobald Enterprise-Login ins Spiel kommt, ist ein kostenpflichtiges Upgrade praktisch unausweichlich.
• Der Preis für zusätzliche Blaze-Nutzung und die SMS-Verifizierungsgebühren stehen nicht auf der offiziellen Seite: Dort heißt es lediglich, dass „die Google-Cloud-Preisstruktur gilt”, ein exakter Preis pro MAU wird nicht genannt. Auch die Telefon-(SMS-)Verifizierung wird separat und nutzungsbasiert abgerechnet und ist nicht kostenlos. Konkrete Preisangaben aus Drittquellen (etwa Kosten pro SMS) sind offiziell nicht bestätigt. Bei der Budgetplanung sollte man deshalb nur die gesicherte Tatsache „nicht kostenlos” zugrunde legen und den genauen Preis direkt in der Konsole nachschlagen.
• Als einziger der fünf Anbieter bietet Firebase keine nativen (1st-Party) Passkeys: Im Kern-SDK fehlte die Passkey-/WebAuthn-Unterstützung noch Anfang 2026, sodass sich das Feature nur über Drittanbieter-Erweiterungen wie firebase-web-authn umgehen lässt. Im Vergleich dazu unterstützen Auth0, Supabase, Clerk und Keycloak allesamt Passkeys in irgendeiner Form – eine klare Funktionslücke.
• MFA basiert standardmäßig auf SMS: Wer app-basierte Authenticator wie TOTP nutzen möchte, muss auf die höhere Identity-Platform-Ebene upgraden. Mit dem reinen Free-Plan lässt sich also keine engmaschige Multi-Faktor-Richtlinie umsetzen.
• Die letzten sechs Monate verliefen ruhig: In den vergangenen drei Monaten (Mai bis Juli 2026) wurden weder nennenswerte Preisänderungen noch größere Ausfälle bekannt. Allerdings wird in zahlreichen Vergleichsartikeln immer wieder darauf hingewiesen, dass die fehlende Passkey-Unterstützung auch 2026 weiterhin eine offene Lücke bleibt.

🐘 3) Supabase Auth – quelloffene Authentifizierung, fest im Postgres-Backend integriert

• Das Free-Limit ist großzügig, hat aber Bedingungen: Der Free-Plan ist bis 50.000 MAU dauerhaft kostenlos (kein Ablaufdatum) und enthält zusätzlich 500 MB Datenbank, 1 GB Storage, 5 GB Egress und 500.000 Edge-Function-Aufrufe. Kostenlose Projekte pausieren allerdings automatisch nach einer Woche Inaktivität, und es lassen sich maximal zwei aktive Projekte gleichzeitig betreiben – für wer mehrere Nebenprojekte parallel laufen lassen möchte, ist das eine spürbare Einschränkung.
• Die kostenpflichtigen Stufen sind Pro und Team: Pro kostet 25 $/Monat inklusive 100.000 MAU (darüber hinaus 0,00325 $ pro MAU), dazu kommen 8 GB Disk, 250 GB Egress und ein 7-Tage-Backup. Team kostet 599 $/Monat und bringt SOC2-/ISO-27001-Zertifizierung, 14-Tage-Backup und Dashboard-SSO mit. SAML 2.0 für Endnutzer der eigenen App ist bei Pro und Team zum gleichen Preis mit 50 Connections inklusive, darüber hinaus werden 0,015 $ pro MAU berechnet – hier vermischen sich allerdings Konzepte mit dem SSO für den Dashboard-Login, weshalb eine erneute Prüfung vor Vertragsabschluss ratsam ist.
• Als einziger der fünf Anbieter ermöglicht Supabase echtes Self-Hosting: Es gibt einen offiziellen Stack, der die Open-Source-Engine GoTrue (Go, JWT-basiert, Apache 2.0) zusammen mit PostgREST, Realtime, Storage, Kong und Studio per Docker Compose auf eigener Infrastruktur betreibt. Beim Self-Hosting ist das Auth-Einstellungspanel im Dashboard jedoch deaktiviert, sodass OAuth-Provider & Co. direkt über Umgebungsvariablen in der docker-compose.yml konfiguriert werden müssen – ein spürbares UX-Manko. Im Oktober 2025 gab das Unternehmen in einer offiziellen GitHub-Diskussion bekannt, eigens einen Maintainer für die Verbesserung des Self-Hosting-Erlebnisses eingestellt zu haben, was auf eine entsprechende Priorität hindeutet.
• Passkeys wurden von allen fünf Anbietern zuletzt eingeführt: Seit Mai 2026 als Beta verfügbar, mit WebAuthn-basierter Unterstützung für Face ID, Touch ID, Windows Hello und Sicherheitsschlüssel. MFA wird zusätzlich über TOTP, SMS und E-Mail unterstützt.
• Eine große Finanzierungsrunde hat das Unternehmen deutlich wachsen lassen: Am 4. Juni 2026 sicherte sich Supabase eine Series-F-Runde über 500 Millionen US-Dollar (rund 460 Mio. Euro; in koreanischen Quellen mit etwa 500 Mrd. KRW beziffert) und erreichte damit eine Bewertung von 10,5 Milliarden US-Dollar (rund 9,7 Mrd. Euro bzw. etwa 14 Billionen KRW). Angeführt wurde die Runde von GIC, zu den bestehenden Investoren Accel, Y Combinator, Craft, Felicis, Peak XV und Coatue kamen eine zweite Beteiligung von Stripe sowie neu Salesforce Ventures hinzu. Innerhalb von acht Monaten sprang die Bewertung von 2 Milliarden US-Dollar (April 2025) über 5 Milliarden US-Dollar (Oktober 2025) auf 10,5 Milliarden US-Dollar (Juni 2026). Als Hintergrund dieses Wachstums nennt das Unternehmen selbst den sprunghaften Anstieg neu angelegter Datenbanken durch KI-Coding-Tools. Wer sich generell für Postgres interessiert, findet im Artikel Datenbanken im Vergleich: PostgreSQL, MySQL, MongoDB weiterführende Informationen.

⚡ 4) Clerk – der aufstrebende Star mit Fokus auf React-/Next.js-Entwicklererfahrung

• Der Free-Tier wurde Anfang 2026 kräftig erweitert: Der Hobby-Plan (kostenlos) wurde zum 5. Februar 2026 auf bis zu 50.000 MRU kostenlos angehoben. Im Netz kursieren allerdings noch viele Informationen zum alten Modell mit niedrigerem Limit, was leicht zu Verwirrung führen kann.
• MRU ist eine andere Kennzahl als MAU – ein direkter Zahlenvergleich ist riskant: MRU zählt nur Nutzer, die mindestens einen Tag nach der Registrierung erneut wiedergekommen sind; die Aktivität am Registrierungstag selbst fällt dank der „First Day Free”-Regel nicht unter die Abrechnung. Damit ist MRU eine engere Kennzahl als die MAU-Definition von Auth0, Supabase oder Firebase. Die Zahl „50.000 kostenlos” darf also nicht eins zu eins mit dem „50.000 MAU kostenlos” anderer Dienste gleichgesetzt werden.
• Die kostenpflichtigen Stufen sind Pro für 25 $/Monat (bei jährlicher Zahlung 20 $/Monat) und Business für 300 $/Monat (bei jährlicher Zahlung 250 $/Monat), Enterprise wird individuell kalkuliert und bietet eine SLA von 99,99 % sowie eine HIPAA-BAA-Option. Die Abrechnung überschüssiger MRU ist gestaffelt und offiziell festgelegt: 0,02 $ pro MRU im Bereich von 50.000 bis 100.000, 0,018 $ im Bereich von 100.000 bis 1 Million, 0,015 $ im Bereich von 1 bis 10 Millionen und 0,012 $ jenseits von 10 Millionen.
• Der Funktionsumfang des Free-Plans ist der breiteste im Vergleich: Passkeys, Social Login, MFA und React-UI-Komponenten sind im Hobby-Plan allesamt standardmäßig enthalten. Auch Conditional UI (die automatische Passkey-Eingabeaufforderung des Browsers) ist standardmäßig aktiviert – laut eigenen Angaben sorgt das für eine hohe Passkey-Akzeptanz. Einen Self-Hosting-Weg gibt es allerdings nicht, es handelt sich um reines Managed-SaaS.
• Auch Finanzierung und Wachstum sind bemerkenswert: Am 15. Oktober 2025 sicherte sich Clerk eine Series-C-Runde über 50 Millionen US-Dollar, angeführt von Menlo Ventures und dem Anthology Fund von Anthropic. Die kumulierten Investitionen belaufen sich auf 134 Millionen US-Dollar (7 Runden, 15 Investoren). Die genaue Post-Money-Bewertung wurde nicht veröffentlicht.

🛡️ 5) Keycloak – das komplett kostenlose Self-Hosted-Open-Source-IAM

• Mit Stand August 2026 ist 26.7.0 (Release am 9. Juli 2026) die aktuelle Version: Neu hinzugekommen sind eine native SCIM-API-Vorschau, ein experimentelles Multi-Cluster-HA-Setup sowie SAML Step-up Authentication (schrittweise verstärkte Authentifizierung). In den letzten sechs Monaten folgte ein zügiger Minor-Release-Zyklus im Abstand von rund ein bis zwei Monaten: 26.5.6 (März) → 26.6.2 (Mai) → 26.6.3 (Juni) → 26.7.0 (Juli).
• Wichtig zu wissen: Es gibt keine LTS-Version (Long Term Support): Nach offizieller Richtlinie erhält bei Keycloak immer nur die jeweils aktuelle Version aktive Weiterentwicklung und Sicherheitspatches. Wer Upgrades hinauszögert, riskiert also, ohne Sicherheitspatches dazustehen. Teams, die Keycloak einführen, müssen den Betriebsaufwand für regelmäßige Versions-Updates alle paar Monate selbst einplanen.
• Komplett kostenlos, aber die Infrastrukturkosten fallen separat an: Es gibt keinerlei Abrechnung nach Nutzerzahl oder Funktionsumfang, die einzigen Kosten entstehen durch den selbst betriebenen Server- und Datenbank-Unterbau. Dass Red Hat mit „Red Hat build of Keycloak” eine kostenpflichtige Ausgabe mit kommerziellem Support anbietet, ist allgemein bekannt – der genaue Preis für diesen Support ließ sich in dieser Recherche jedoch nicht bestätigen und wird deshalb nicht beziffert.
• Bei der Integration in Legacy-On-Premise-Systeme ist Keycloak von allen fünf Anbietern am stärksten: Es unterstützt OIDC, OAuth 2.0 und SAML 2.0 vollständig und ermöglicht eine Benutzerföderation, die bestehende LDAP-/Active-Directory-Nutzer unverändert einbindet. Auch Identity Brokering – die Delegation des Logins an vorgelagerte Anbieter wie Google, Microsoft Entra ID oder GitHub – wird unterstützt.
• Keycloak ist das einzige Produkt, bei dem Self-Hosting die Grundvoraussetzung ist: Für Organisationen mit Datenhoheits- oder On-Premise-Anforderungen hat es sich faktisch als die Standard-Open-Source-Wahl etabliert. Da die Deployment-Infrastruktur aber selbst bereitgestellt werden muss, kommen bei Bedarf an einem Server für den Container-Betrieb Docker-fähige Plattformen wie Render oder Fly.io infrage, die im Artikel Webhosting & PaaS im Vergleich behandelt werden.

3. Free-Tier & Skalierbarkeit im Benchmark-Vergleich

In diesem Vergleich der Authentifizierungsdienste kommt es vor Vertragsabschluss nicht auf die Geschwindigkeit an, sondern auf zwei Fragen: „Wie großzügig ist das Free-Limit?” und „Wie vorhersehbar wird die Rechnung, wenn dieses Limit überschritten wird?”. Ordnet man ausschließlich anhand der auf den offiziellen Seiten bestätigten Zahlen, ergibt sich folgendes Ranking:

[Offizielle Free-Limits & Abrechnungstransparenz, Stand August 2026]
Keycloak       : ⭐⭐⭐⭐⭐ Unbegrenzt (Self-Hosting), keine Abrechnung überhaupt
Supabase Auth  : ⭐⭐⭐⭐☆ 50.000 MAU kostenlos + offiziell veröffentlichter Überschreitungspreis (0,00325 $/MAU)
Clerk          : ⭐⭐⭐⭐☆ 50.000 MRU kostenlos + Überschreitungspreis für alle Stufen offiziell veröffentlicht
Firebase Auth  : ⭐⭐⭐☆☆ 50.000 MAU kostenlos (SAML nur 50), Überschreitungspreis nicht veröffentlicht
Auth0          : ⭐⭐⭐☆☆ 25.000 MAU kostenlos, Überschreitungspreis nicht veröffentlicht (nur Schätzungen Dritter)

Wie die Tabelle zeigt, geben Clerk und Supabase ihre Überschreitungspreise offiziell an, was eine Budgetsimulation ermöglicht, während Auth0 und Firebase Auth nur vage Angaben wie „Tarif der nächsten Stufe” oder „siehe Google-Cloud-Preisstruktur” machen. Die konkreten Preise aus Drittquellen (Auth0 ca. 0,07 $/MAU, Firebase im Bereich 50.000–100.000 ca. 0,0055 $/MAU usw.) sind unbestätigte Schätzungen. Wer mit hohem Traffic rechnet, sollte deshalb als einzig verlässliche Methode vor Vertragsabschluss direkt beim Vertriebsteam ein Angebot anfordern.

Betrachtet man nur das Free-Limit, wirken Firebase, Supabase und Clerk mit ihren jeweils rund 50.000 sehr ähnlich – doch wie bereits erklärt, ist Clerks MRU eine engere Kennzahl als MAU. Bei einem Dienst mit geringer Wiederkehrrate im Verhältnis zu den Neuanmeldungen kann sich Clerks „50.000 kostenlos” in der Praxis großzügiger anfühlen als das „50.000 MAU kostenlos” anderer Anbieter. Das ist der Grund, warum man bei diesem Vergleich der Authentifizierungsdienste nicht nur auf die Zahlen schauen, sondern auch das Rückkehrverhalten der eigenen Nutzer mit einbeziehen sollte.

4. Vollständiger Tarif- und Preisvergleich

[Einstiegshürde für kostenpflichtige Tarife — sortiert nach Mindestkosten pro Monat, laut offiziellen Preisseiten]
Keycloak                 : 0 $/Monat    (nur Infrastrukturkosten, keine Abrechnung überhaupt)
Clerk (Pro)              : 25 $/Monat   (bei Jahreszahlung 20 $/Monat, danach nutzungsbasiert ab 50.000 MRU)
Supabase Auth (Pro)      : 25 $/Monat   (100.000 MAU inklusive, darüber 0,00325 $/MAU)
Auth0 (B2C Essentials)   : 35 $/Monat   (in 500-MAU-Schritten)
Auth0 (B2B Essentials)   : 150 $/Monat  (3 Enterprise Connections inklusive)
Clerk (Business)         : 300 $/Monat  (bei Jahreszahlung 250 $/Monat)
Auth0 (B2B Professional) : 800 $/Monat  (5 Enterprise Connections + MFA inklusive)
Supabase Auth (Team)     : 599 $/Monat  (SOC2/ISO 27001, 14-Tage-Backup)

💰 Detaillierter Tarifvergleich (laut offiziellen Preisseiten, Stand August 2026)

Bei den versteckten Kosten sind drei Punkte wichtig. Erstens: Die Überschreitungsabrechnung von Auth0 ist praktisch „nicht vorhersehbar”. Da die offizielle Seite keinen exakten Preis veröffentlicht, sollten Dienste mit saisonalen Traffic-Spitzen den Überschreitungspreis unbedingt schriftlich im Angebot festhalten lassen, bevor der Vertrag unterschrieben wird. In der Community kursieren tatsächlich Einzelberichte, wonach nach einer Preisumstellung die Rechnung so stark gestiegen sei, dass ein Wechsel des Anbieters erzwungen wurde – da es sich dabei aber um individuelle Nutzerberichte und keine offizielle Unternehmensmitteilung handelt, lässt sich das nicht verallgemeinern, ist aber dennoch beachtenswert. Zweitens: Clerks MRU-Kennzahl sollte nicht wie eine Bandbreite gedacht werden. Da die Aktivität am ersten Tag nach der Anmeldung nicht abgerechnet wird, kann die Zahl der tatsächlich kostenpflichtigen Nutzer bei Diensten mit hoher Onboarding-Abbruchrate deutlich unter der Zahl der Neuanmeldungen liegen. Drittens: Keycloaks „komplett kostenlos” schließt keine Personalkosten ein. Da es kein LTS gibt, muss man alle paar Monate ein Versions-Upgrade nachvollziehen – rechnet man diesen Betriebsaufwand in Personalkosten um, kann Keycloak für kleine Teams unterm Strich sogar teurer werden als ein Managed-SaaS-Angebot.

5. Abschließender Empfehlungsleitfaden nach Nutzertyp

🎯 1) Solo-Entwickler, die gerade ein Nebenprojekt starten

• Optimale Wahl: Clerk
• Warum: Im kostenlosen Hobby-Plan sind Passkeys, Social Login, MFA und React-UI-Komponenten allesamt standardmäßig enthalten, sodass sich ohne jede Zahlung am schnellsten eine ausgereifte Login-Oberfläche bauen lässt. Innerhalb des 50.000-MRU-Limits gibt es praktisch keine Kostensorgen.

🎯 2) Start-ups, die auf React/Next.js schnell ein MVP launchen wollen

• Optimale Wahl: Clerk
• Warum: Dank integrierter Framework-Komponenten lassen sich Login-, Registrierungs- und Profilverwaltungs-UIs mit wenigen Codezeilen umsetzen. Wer mit der MRU-Kennzahl noch nicht vertraut ist, sollte die Zahl der tatsächlich kostenpflichtigen Nutzer früh direkt im Dashboard überprüfen.

🎯 3) Teams, die ein Postgres-basiertes Full-Stack-SaaS betreiben und sich die Self-Hosting-Option offenhalten wollen

• Optimale Wahl: Supabase Auth
• Warum: Datenbank, Storage und Auth sind in einer Plattform vereint, und Supabase ist die einzige Option, bei der sich der GoTrue-Open-Source-Stack bei Bedarf auf die eigene Infrastruktur umziehen lässt. Wer Postgres selbst noch tiefergehend vergleichen möchte, findet Hilfe im Artikel Datenbanken im Vergleich: PostgreSQL, MySQL, MongoDB.

🎯 4) B2B-SaaS mit zwingendem Bedarf an Enterprise-SSO, SAML und Compliance

• Optimale Wahl: Auth0
• Warum: Self-Service-SSO ist bereits im Free-Plan möglich, und in der Stufe B2B Professional sind 5 Enterprise Connections sowie MFA standardmäßig enthalten. Das SCIM-Provisioning und die fortgeschrittenen Compliance-Zertifizierungen der Enterprise-Stufe sind unter allen fünf Anbietern am weitesten ausgereift.

🎯 5) Mobile Apps, die bereits im Firebase-/Google-Cloud-Ökosystem verankert sind

• Optimale Wahl: Firebase Authentication
• Warum: Die Integration in bestehende Google-Infrastruktur wie Firestore und Cloud Functions ist nahtlos. Allerdings sollte man sich der fehlenden Passkey-Unterstützung im Core-SDK bewusst sein – wenn passwortloser Login unverzichtbar ist, sollte zunächst geprüft werden, ob eine Drittanbieter-Erweiterung infrage kommt.

🎯 6) Behörden und Finanzinstitute mit zwingender Datenhoheit oder Organisationen, die Legacy-LDAP/AD unverändert weiterverwenden müssen

• Optimale Wahl: Keycloak
• Warum: Als komplett kostenlose Open-Source-Lösung mit standardmäßig integrierter SAML-2.0- und LDAP-/Active-Directory-Föderation ist Keycloak bei der Integration in Legacy-On-Premise-Systeme am stärksten. Wer noch eine Self-Hosting-Infrastruktur aufbauen muss, sollte auch die Docker-fähigen Plattformen im Artikel Webhosting & PaaS im Vergleich in Betracht ziehen.

6. Praxistipps & typische Fehler

✅ Tipp 1: Vergleichen Sie Clerks MRU niemals eins zu eins mit der MAU anderer Anbieter

Nur weil beide mit „50.000 kostenlos” werben, sollten Sie Clerk und Supabase nicht als gleichwertig behandeln. MRU ist eine enge Kennzahl, die nur Nutzer zählt, die mindestens einen Tag nach der Anmeldung wiedergekommen sind, und die Aktivität am Anmeldetag selbst ausschließt. Bei Diensten mit hoher Onboarding-Abbruchrate kann die Zahl der tatsächlich kostenpflichtigen Nutzer deutlich unter der Anmeldezahl liegen – prüfen Sie deshalb vor Vertragsabschluss zuerst die D1-Rückkehrrate Ihres eigenen Dienstes.

✅ Tipp 2: Lassen Sie sich den Auth0-Überschreitungspreis pro MAU unbedingt schriftlich bestätigen

Da die offizielle Seite nur den „Tarif der nächsten Stufe” nennt, ohne einen exakten Preis zu veröffentlichen, ist es für Dienste mit möglichen Traffic-Spitzen die einzig sichere Absicherung, den Überschreitungspreis beim Vertragsabschluss mit dem Vertriebsteam schriftlich festzuhalten. Es gibt Community-Berichte über deutlich höhere Rechnungen als erwartet, wenn dieser Schritt vernachlässigt wurde.

✅ Tipp 3: Wer Firebase Auth nutzt, sollte die Passkey-Lücke von Anfang an einplanen

Erfährt man erst später, dass es keine nativen Passkeys gibt, steigen die Refactoring-Kosten deutlich. Steht passwortloser Login auf der Roadmap, sollte die Integration einer Drittanbieter-Erweiterung von Anfang an in die Architektur eingeplant werden – oder, falls Passkeys unverzichtbar sind, direkt einer der Dienste Clerk, Auth0, Supabase oder Keycloak in Betracht gezogen werden.

✅ Tipp 4: Supabase-Self-Hosting wird über Umgebungsvariablen konfiguriert, nicht über das Dashboard

Betreibt man GoTrue auf eigener Infrastruktur, ist das Auth-Einstellungspanel im Dashboard anders als in der Managed-Version deaktiviert. OAuth-Provider-Schlüssel und Ähnliches müssen direkt als Umgebungsvariablen in der docker-compose.yml gesetzt werden. Wer die UX des Managed-Dashboards erwartet, muss am Anfang eventuell mehrfach in der Dokumentation nachschlagen, um sich zurechtzufinden.

✅ Tipp 5: Berücksichtigen Sie vor der Einführung von Keycloak das Fehlen eines LTS im Betriebsplan

Bei Keycloak erhält immer nur die jeweils aktuelle Version Sicherheitspatches. Da wie bei 26.7.0 im Abstand von ein bis zwei Monaten neue Minor-Versionen erscheinen, setzt man sich bei mehrmonatigem Aufschub von Upgrades bekannten Schwachstellen aus. Es empfiehlt sich, vierteljährliche Upgrade-Termine fest im Kalender einzuplanen.

✅ Tipp 6: Wer ein kostenloses Projekt lange ruhen lassen will, sollte Supabases automatische Pause im Kopf behalten

Im Supabase-Free-Plan pausiert ein Projekt automatisch, wenn eine Woche lang keine Aktivität stattfindet. Wer es länger für Demos oder ein Portfolio online halten möchte, sollte regelmäßig minimale Health-Check-Anfragen senden – oder von vornherein planen, spätestens beim Start des echten Betriebs auf Pro umzusteigen.

7. Häufig gestellte Fragen (FAQ)

F: Worauf sollte man beim Vergleich von Authentifizierungsdiensten zuerst achten?

Auf zwei Punkte: „Wird Self-Hosting benötigt?” und „Ist Enterprise-SSO/SAML jetzt schon zwingend erforderlich?”. Bei Datenhoheits- oder On-Premise-Anforderungen verengt sich die Auswahl auf Keycloak, wird SSO bereits ab der kostenlosen Stufe benötigt, spricht das für Auth0. Treffen beide Kriterien nicht zu, geht es weiter mit dem Vergleich von Free-Limits und Entwicklererfahrung (Clerk vs. Supabase vs. Firebase).

F: Welcher der fünf Dienste eignet sich am besten für einen kostenlosen Start?

Betrachtet man allein den Funktionsumfang, ist Clerks Hobby-Plan mit Passkeys, Social Login, MFA und UI-Komponenten allesamt kostenlos am großzügigsten. Wer aber komplett kostenlos bleiben will und kein Problem mit dem Serverbetrieb hat, für den ist auch Keycloak eine gute Alternative; wer ohnehin ein Postgres-Backend einsetzen möchte, findet in Supabase Free (50.000 MAU) einen starken Kandidaten.

F: Ist Auth0 oder Clerk günstiger?

Laut offiziellen Seiten liegt der Einstiegspreis bei Clerk Pro mit 25 $/Monat niedriger als bei Auth0 B2C Essentials mit 35 $/Monat. In manchen Drittquellen finden sich Behauptungen, Auth0 sei bei hohem Nutzungsvolumen „mehrfach teurer” als Clerk, doch da die Berechnungsmethodik nicht offengelegt wird, sind die genauen Faktoren nicht verlässlich. Am genauesten ist es, mit der eigenen erwarteten MAU-/MRU-Größenordnung direkt bei den jeweiligen Vertriebsteams ein Angebot einzuholen.

F: Lässt sich Supabase Auth self-hosten?

Ja. Es gibt einen offiziellen Stack, der die Open-Source-Engine GoTrue (Apache 2.0) zusammen mit PostgREST, Realtime, Storage, Kong und Studio per Docker Compose auf eigener Infrastruktur betreibt. Beim Self-Hosting ist allerdings das Auth-Einstellungspanel im Dashboard deaktiviert, sodass OAuth-Provider & Co. direkt über Umgebungsvariablen konfiguriert werden müssen.

F: Unterstützt Firebase Auth Passkeys?

Im zentralen Managed-SDK selbst gibt es mit Stand Anfang 2026 keine native (1st-Party) Passkey-Unterstützung. Umsetzbar ist das nur über Drittanbieter-Erweiterungen wie firebase-web-authn – im Vergleich zu den anderen vier Anbietern wird das als klare Funktionslücke bewertet.

F: Keycloak ist komplett kostenlos – gibt es keinen kommerziellen Support?

Keycloak selbst ist ohne jede Abrechnung nach Nutzerzahl oder Funktionsumfang komplett kostenlos. Dass Red Hat mit „Red Hat build of Keycloak” eine kostenpflichtige Ausgabe mit kommerziellem Support anbietet, ist allgemein bekannt, der genaue Preis dafür ließ sich in dieser Recherche jedoch nicht offiziell bestätigen. Bei Bedarf empfiehlt es sich, direkt beim Vertriebsteam von Red Hat nachzufragen.

F: Wie genau unterscheidet sich Clerks MRU von MAU?

MRU (Monthly Retained User) zählt nur Nutzer, die mindestens einen Tag nach der Anmeldung erneut wiedergekommen sind; die Aktivität am Anmeldetag selbst wird nach der „First Day Free”-Regel nicht abgerechnet. MAU dagegen zählt normalerweise alle eindeutigen Nutzer, die im jeweiligen Monat aktiv waren. MRU liefert also stets einen Wert, der gleich groß oder kleiner als MAU ist – die Angabe „50.000 kostenlos” darf deshalb nicht nach demselben Maßstab wie bei anderen Diensten verglichen werden.

F: Ist eine Migration von Auth0 zu einem anderen Dienst einfach?

Supabase stellt eine offizielle Migrationsanleitung von Auth0 zu Supabase bereit, und es gibt tatsächlich einen Technik-Blogbeitrag über die Migration von rund 125.000 Nutzern (hierbei handelt es sich allerdings um einen individuellen Erfahrungsbericht, keine offizielle Fallstudie des Unternehmens). Auch andere Anbieter wie WorkOS stellen eigene Auth0-Migrationsleitfäden bereit, was darauf hindeutet, dass die Nachfrage nach einem Wechsel von Auth0 in diesem Markt anhaltend besteht. Da bei einer Migration jedoch viele Detailfragen wie Sessions und die Behandlung von Passwort-Hashes eine Rolle spielen, empfiehlt sich ein Start mit einem kleinen Pilotprojekt.

8. Fazit: Die praktische Schlussfolgerung aus dem Vergleich der Authentifizierungsdienste 2026

Mit Stand August 2026 lautet das Fazit dieses Vergleichs der Authentifizierungsdienste nicht „die eine richtige Antwort”, sondern eher „legen Sie zuerst eine Achse fest”. Die meisten Start-ups ohne Self-Hosting-Bedarf können je nach Framework-Vorliebe zwischen Clerks breitem kostenlosem Funktionsumfang und Supabases Postgres-Integration wählen; wenn Enterprise-SSO von Anfang an unverzichtbar ist, bleibt Auth0 nach wie vor am ausgereiftesten. Geht es dagegen um Datenhoheit oder die Integration von Legacy-LDAP, gibt es von vornherein kaum eine echte Alternative zu Keycloak.

Sich blind auf eine einzelne Zahl zu verlassen und danach das Budget zu planen, ist in diesem Markt besonders riskant. Sowohl Auth0 als auch Firebase Auth veröffentlichen ihre Überschreitungspreise nicht offiziell, und Clerks Free-Limit wird nicht in MAU, sondern in der eigenständigen Kennzahl MRU gemessen. Vor Vertragsabschluss sollte man unbedingt die offiziellen Preisseiten erneut prüfen und sich unklare Punkte schriftlich vom Vertriebsteam bestätigen lassen. Wer die Einführung von Passkeys erwägt, findet im Artikel Passwort-Manager im Vergleich zusätzliche Hilfe, um die passwortlose Erfahrung auf Nutzerseite in einem breiteren Kontext zu verstehen.

[Zusammenfassung: Die passende Empfehlung für Ihre Situation]

Gerade gestartetes Nebenprojekt / React-Next.js-MVP
  → Clerk (Hobby kostenlos, bis 50.000 MRU Passkeys, Social Login & MFA allesamt gratis)

Postgres-Full-Stack-SaaS mit Wunsch nach Self-Hosting-Option
  → Supabase Auth (Free 50.000 MAU, GoTrue-Open-Source-Self-Hosting möglich)

B2B-SaaS mit zwingendem Enterprise-SSO/SAML/Compliance-Bedarf
  → Auth0 (Self-Service-SSO ab Free-Plan, B2B Professional 800 $/Monat)

Mobile App, bereits im Firebase-/GCP-Ökosystem verankert
  → Firebase Auth (50.000 MAU kostenlos, Passkey-Lücke aber einplanen)

Organisation mit zwingender Datenhoheit, Legacy-LDAP/AD-Anbindung
  → Keycloak (komplett kostenlos, Self-Hosting Grundvoraussetzung, kein LTS beachten)

Legen Sie zunächst fest, welche Achse (Self-Hosting, SSO, Framework-DX, Free-Limit) für Ihren Dienst gerade am wichtigsten ist, und wenden Sie darauf die Vergleichstabelle der Authentifizierungsdienste aus diesem Artikel an – so lassen sich unerwartete Rechnungen und Migrationsrisiken gleichermaßen reduzieren.