Das Fundament der Identität — OutaStory wird in das Auth0-for-Startups-Programm aufgenommen

Foto: FlyD auf Unsplash

Von der neuen OutaStory ist öffentlich noch gar nicht die Rede. Es gibt keine Startseite zum Vorzeigen, keine Geschichten zum Verlinken, keinen Knopf, den man drücken könnte. Was es gibt, ist ein Maschinenraum — und in diesem Maschinenraum fällt gerade eine der wichtigsten Weichen überhaupt, lange bevor irgendjemand sie zu sehen bekommt: Wie melden sich Menschen bei OutaStory an?

Diese Woche kam dazu eine Nachricht, über die ich mich sehr gefreut habe: OutaStory GmbH wurde in das Auth0-for-Startups-Programm aufgenommen. Auth0 ist der Spezialist, der die Identitäts-Infrastruktur einer Plattform betreibt — alles rund um Anmeldung, Login mit Google oder Apple, Passwort-Vergessen, Mehr-Faktor-Bestätigung. Klingt unspektakulär. Ist aber genau der Teil, an dem man am allerwenigsten herumbasteln sollte. Und genau deshalb ist diese Zusage für ein kleines Team so viel wert.

Dieser Beitrag steht ein bisschen außer der Reihe — er entsteht, bevor die eigentliche Dev-Log-Serie zum Relaunch losgeht. Aber er gehört an den Anfang, weil hier ein Fundament gegossen wird, auf dem später alles andere steht. Drei Dinge will ich erzählen: wer Auth0 ist, warum Identität die heikelste Grundlage einer Plattform für Menschen jeden Alters ist — und was das Programm einem jungen Unternehmen konkret ermöglicht.

Wer ist Auth0?

Foto: George Prentzas auf Unsplash

Auth0 ist eine Identitätsplattform — heute ein Unternehmen von Okta, einem der großen Namen im Bereich Identity. Vereinfacht gesagt löst Auth0 ein Problem, das jede Anwendung mit Nutzerkonten hat und das überraschend schwer richtig zu lösen ist: Bist du wirklich, wer du behauptest zu sein — und zwar sicher, bequem und über jeden denkbaren Anmeldeweg hinweg?

Was dahintersteht, ist mehr, als man als Nutzer:in je sieht:

• Login und Registrierung — mit E-Mail und Passwort, aber genauso über „Mit Google anmelden" oder „Mit Apple anmelden", ohne dass wir für jeden dieser Wege selbst Code pflegen müssen.
• Mehr-Faktor-Authentifizierung (MFA) — die zweite Bestätigung per App oder Code, die aus einem gestohlenen Passwort allein noch keinen Schaden macht.
• Konto-Wiederherstellung — der „Passwort vergessen"-Weg, der sicher sein muss, ohne zur Hintertür zu werden.
• Schutz im Hintergrund — Erkennung verdächtiger Anmeldungen, Bremsen gegen automatisierte Angriffe, Hygiene rund um Sitzungen und Tokens.

Das Entscheidende daran: Auth0 macht das nicht nebenbei, sondern als Kerngeschäft, geprüft, zertifiziert und über Jahre gehärtet. Identität an einen solchen Spezialisten auszulagern heißt, sich auf etwas zu verlassen, das andere bereits unter weit härteren Bedingungen bewiesen haben, als ich es je allein könnte.

Warum Identität die heikelste Grundlage ist

Foto: Amol Tyagi auf Unsplash

Jetzt der Teil, der mir wirklich am Herzen liegt. OutaStory soll eine Plattform für Menschen jeden Alters werden — für Erwachsene, die abends lesen, genauso wie für junge Leser:innen. Sobald Konten ins Spiel kommen, vertrauen Menschen einem etwas an: ihre E-Mail-Adresse, ihren Namen, im Zweifel mehr. Und bei jüngeren Nutzer:innen wiegt dieses Vertrauen doppelt. Das ist keine technische Fußnote, das ist eine Verantwortung.

Daraus folgt für mich eine einfache, harte Regel: Identität ist der Teil, an dem man nicht improvisiert. Ein wackeliges Layout kann man nachbessern. Eine unglückliche Navigationsentscheidung lässt sich umbauen. Aber eine selbstgestrickte Anmeldung, die in ein paar Monaten ein Datenleck wird, kann man nicht „nachbessern" — der Schaden ist dann schon entstanden. Vorlesen, Stöbern, Schreiben: All das darf experimentell und im Fluss sein. Die Tür ins Konto darf es nicht.

Konkret heißt „es richtig machen" für mich:

• Wir speichern niemals Passwörter selbst. Das Heikelste, was eine Plattform aufbewahren kann, liegt erst gar nicht bei uns.
• Mehr-Faktor-Authentifizierung bauen wir nicht selbst nach. Wir nutzen etwas Erprobtes, statt eine eigene, ungeprüfte Variante zu erfinden.
• Jede Anmeldung ist eine Tür — und eine Tür ist nur dann gut, wenn sie zuverlässig schließt und sich für die Berechtigten leicht öffnet. Beides zugleich hinzubekommen, ist genau die Kunst, auf die Auth0 spezialisiert ist.
• Datenschutz ist eingebaut, nicht angeklebt. Als deutsches Unternehmen unter der DSGVO muss ich von Anfang an wissen, welche Identitätsdaten wo liegen und wer sie verarbeitet. Mit einem etablierten Anbieter ist das eine beantwortbare Frage, kein Blindflug.

Mit anderen Worten: Die unsichtbarste Funktion der ganzen Plattform ist zugleich die, bei der ein Fehler am teuersten wäre. Genau deshalb steht sie ganz am Anfang — und genau deshalb soll sie auf den Schultern von jemandem stehen, der nichts anderes tut.

Was „Auth0 for Startups" konkret bringt

Foto: Paymo auf Unsplash

Ein Förderprogramm ist immer auch eine nüchterne Rechnung, und ich will ehrlich sein, was es bedeutet — und was nicht. „Auth0 for Startups" ist kein Rabatt auf eine Funktion, die wir sonst weggelassen hätten. Es ist die Möglichkeit, von Tag eins an die gute Version zu bauen, statt aus Kostengründen die sparsame.

Was im Programm steckt:

• Ein Jahr kostenfrei, mit dem vollen Funktionsumfang des B2B-Professional-Tarifs von Auth0 — also nicht die abgespeckte Einstiegsstufe, sondern das, was sonst zahlende Unternehmenskunden bekommen.
• Bis zu 100.000 aktive Nutzer:innen pro Monat. Das ist weit mehr Spielraum, als ein Start braucht — und genau das ist der Punkt: Wir können wachsen, ohne dass die Anmeldung zum ersten Flaschenhals wird.
• Zugang zu Support und Solutions Engineering. Wenn beim Aufbau eine knifflige Frage auftaucht, sitzt am anderen Ende jemand, der sich mit Identität auskennt — gerade in der Phase, in der jede grundlegende Entscheidung später schwer zu ändern ist, ist das Gold wert.

Für ein kleines Team ist das mehr als gespartes Geld. Es ist Rückenwind, das Fundament ernst zu nehmen. Ohne ein solches Programm ist die Versuchung groß, bei der Anmeldung zunächst die billigste Lösung zu wählen und „später, wenn es läuft" aufzurüsten. Nur kommt dieses „später" bei Identität fast nie zu einem guten Zeitpunkt — entweder ist es zu früh (keine Zeit) oder zu spät (etwas ist passiert). Das Programm nimmt diesen faulen Kompromiss vom Tisch: Wir bauen die belastbare Variante sofort, weil wir es uns leisten können.

Zum Programm gehört, dass man die Partnerschaft offen zeigt — und das tue ich gern. Auth0 wird auf der künftigen Partner-Seite von OutaStory einen festen Platz bekommen, neben den anderen Unternehmen, auf deren Schultern die Plattform steht. Es fühlt sich richtig an, die Grundlagen sichtbar zu machen, gerade weil sie sonst unsichtbar bleiben.

Was das für später heißt

Dieser Beitrag entsteht, wie gesagt, vor dem öffentlichen Anfang. Es gibt noch keine Zahlen zu vermelden, keine Geschichten, keine Nutzer:innen — nur eine Entscheidung, die im Stillen getroffen wird und deren Wert sich erst über die Zeit zeigt. Aber es ist die Art von Entscheidung, die ich später nicht bereuen will: die Anmeldung, das Konto, die Identität von Anfang an auf festen Boden zu stellen, statt auf Sand.

Wenn die neue OutaStory irgendwann öffentlich wird, soll sich das Anmelden so selbstverständlich anfühlen, dass niemand auch nur eine Sekunde darüber nachdenkt. Genau das ist das Ziel guter Identitäts-Infrastruktur: dass man sie nie bemerkt. Wenn dieser Beitrag in ein, zwei Jahren wie eine unscheinbare Randnotiz wirkt, dann haben wir hier alles richtig gemacht.

Bis dahin: Es geht weiter im Maschinenraum. Der erste sichtbare Stein ist gelegt — auch wenn ihn vorerst nur ich sehe.

— Thimo