Bei einer Lösung für Privileged Access Management (PAM) vergleichen die meisten Teams zuerst Funktionen und danach den Preis. Das eigentliche Kostenrisiko steckt aber dazwischen: im Lizenz- und Betriebsmodell. Ob Sie nach angelegten Konten oder nach gleichzeitig aktiven Nutzern zahlen, ob Sessions extra kosten, ob die Lösung in der Cloud oder auf Ihrer eigenen Infrastruktur läuft – das entscheidet über die realen Kosten der nächsten Jahre und darüber, wie souverän Sie bleiben.

Dieser Leitfaden gibt Ihnen sechs konkrete Kriterien an die Hand, mit denen Sie eine On-Prem-Subscription für Privileged Access Management bewerten. Wenn Sie zunächst die Grundlagen brauchen, erklären wir den Unterschied zwischen PAM, PIM und IAM. Am Ende sehen Sie, wie sich diese Kriterien in der Praxis prüfen lassen und woran Sie ein planbares Modell erkennen.

Warum das Lizenzmodell wichtiger ist als der Listenpreis

Zwei Lösungen mit identischem Funktionsumfang können sich in den Gesamtkosten um ein Vielfaches unterscheiden – allein durch die Art der Lizenzierung. Der Grund liegt in der Struktur des privilegierten Zugriffs: Neben den eigenen Administratoren greifen externe Dienstleister, Hersteller und Support-Teams zu, oft nur punktuell und selten alle gleichzeitig. Wer für jedes angelegte Konto zahlt, finanziert überwiegend Zugänge, die im Ruhezustand sind.

Die folgenden sechs Kriterien machen aus dem Bauchgefühl „das wirkt teuer“ eine prüfbare Entscheidung. Wer sie vor der Auswahl durchgeht, vermeidet die typischen versteckten Kosten – und wählt ein Modell, das mit dem Team mitwächst, statt es auszubremsen.

1. Lizenzlogik: Concurrent User statt Named User

Die erste Frage lautet: Wofür zahlen Sie – für jedes angelegte Konto (Named User) oder für die tatsächlich gleichzeitig aktiven Nutzer (Concurrent User)? Der Unterschied ist erheblich. In einer typischen Umgebung mit 50 gleichzeitigen Zugriffen können hunderte Konten angelegt sein: interne Admins, wechselnde Dienstleister, Hersteller-Support. Ein Named-User-Modell berechnet jedes dieser Konten. Ein Concurrent-User-Modell berechnet nur die Spitze der gleichzeitig aktiven Sitzungen.

VISULOX wird nach Concurrent Users lizenziert – bezahlt wird die Zahl gleichzeitig aktiver Nutzer, nicht die Zahl aller angelegten Konten. Das macht die Kosten planbar und vermeidet Zusatzkosten gerade bei vielen externen Dienstleistern, die nur gelegentlich zugreifen. Prüfen Sie im Auswahlprozess, welche Nutzerdefinition der Anbieter zugrunde legt – und lassen Sie sich das schriftlich geben.

2. Session-Zählung: Werden Sitzungen separat berechnet?

Eng verbunden mit der Lizenzlogik, aber oft übersehen: Zählt der Anbieter einzelne Sessions? Manche Modelle berechnen jede parallele Verbindung eines Nutzers als eigene Lizenz. In der Praxis öffnet aber ein Administrator schnell mehrere Sitzungen gleichzeitig – zu verschiedenen Zielsystemen, im Vier-Augen-Modus, mit paralleler Nachweisführung.

Bei VISULOX bemisst sich die Lizenz an der maximalen Anzahl gleichzeitig angemeldeter Benutzer – ausdrücklich unabhängig von der Anzahl der benötigten Sessions. Ein Nutzer, der fünf parallele Sitzungen fährt, verbraucht eine Lizenz, nicht fünf. Für Teams mit intensiver, paralleler Nutzung ist das ein spürbarer Kostenfaktor. Fragen Sie konkret nach: „Zählt eine zusätzliche parallele Session gegen unsere Lizenz?“

3. Betriebsmodell: On-Premises behält die Daten im Haus

Ein PAM-System sieht mehr von Ihrer IT als fast jedes andere System – es kennt die privilegierten Zugriffe auf Ihre kritischsten Server, Datenbanken und Anwendungen, inklusive der Sitzungsaufzeichnungen. Wo diese Daten liegen und wer rechtlich darauf zugreifen kann, ist deshalb keine reine Technikfrage.

On-Premises bedeutet: Die Plattform läuft vollständig auf Ihrer eigenen Infrastruktur, die Zugriffs- und Aufzeichnungsdaten verlassen Ihr Haus nicht. Genau darauf ist die On-Prem-Subscription von VISULOX ausgelegt – das Subscription-Modell verändert das Kostenmodell, nicht den Betriebsort. Für Organisationen mit Souveränitäts- und Compliance-Anforderungen ist das der entscheidende Unterschied zu Cloud-basierten Angeboten. Warum der Rechtsraum des Anbieters dabei genauso zählt wie der Serverstandort, vertieft unser Leitfaden zur souveränen PAM-Auswahl.

4. Kostenstruktur: Subscription oder Kauf – bewusst wählen

On-Prem-Subscription und Perpetual-Kauf schließen sich nicht aus, sie passen zu unterschiedlichen Situationen. Die Subscription rechnet monatlich und nutzungsbasiert, ist jederzeit skalierbar und enthält – je nach Wartungsvertrag – laufende Updates und Support. Das ergibt planbare, transparente Kosten und passt zu wachsenden oder in der Größe schwankenden Teams. Der Kauf ist eine einmalige Investition und rechnet sich bei stabiler, langfristiger Nutzung.

VISULOX bietet beide Modelle an, beide laufen On-Premises; der Unterschied liegt allein im Kostenmodell. Die On-Prem-Subscription startet bei rund 20 US-Dollar pro Nutzer und Monat. Entscheidend für die Auswahl ist Ihr Planungshorizont: Wer flexibel skalieren und Kosten glätten will, fährt mit der Subscription besser; wer eine feste, langfristige Infrastruktur betreibt, kann mit dem Kauf günstiger liegen. Beide Varianten lassen sich im Preis- und Lizenzkalkulator in wenigen Minuten durchspielen.

5. Authentifizierung: MFA je Zugriff und an eigene Identitäten angebunden

Multi-Faktor-Authentifizierung ist heute Pflicht, nicht Kür – sie gehört zu den zehn Mindestmaßnahmen nach § 30 BSIG (NIS-2). Für die Bewertung zählt aber nicht nur, ob MFA vorhanden ist, sondern wie flexibel sie sich einsetzen lässt: Wird MFA je Zugriff erzwungen? Lässt sie sich für kritische Systeme verschärfen? Und knüpft sie an Ihre bestehenden Identitäten per SAML oder OAuth an, statt eine weitere, isolierte Nutzerverwaltung zu erzwingen?

Bei VISULOX ist MFA ein zubuchbares Modul, das je Zugriff erzwungen wird und jede Sitzung eindeutig einer natürlichen Person zuordnet – anonyme Sammel- und Wartungskonten entfallen. Die Anbindung an zentrale Identitäten per SAML/OAuth ist Teil der Architektur. So passt sich die Authentifizierung an den Schutzbedarf des Zielsystems an, statt für alle Zugriffe dieselbe starre Hürde zu setzen.

6. Skalierbarkeit und Deployment: mitwachsen ohne Projektballast

Das beste Lizenzmodell nützt wenig, wenn jede Erweiterung ein neues Implementierungsprojekt auslöst. Prüfen Sie deshalb, wie schnell die Lösung einsatzbereit ist und wie sie skaliert. Agentenlose Architekturen sind hier im Vorteil: Es müssen keine Clients auf Ziel- oder Endgeräten ausgerollt werden, was Deployment und Wartung deutlich verschlankt.

VISULOX ist agentenlos, in der Regel in unter zwei Tagen einsatzbereit und für den Enterprise-Betrieb ausgelegt – Multi-Tenant, hochverfügbar und für mehr als 1.000 gleichzeitige Nutzer erprobt. In der Subscription lässt sich die Nutzerzahl flexibel anpassen, ohne neue Lizenzverträge. Unternehmen wie Vodafone, Merck und Thyssengas betreiben VISULOX produktiv. Wie der Enterprise-Betrieb konkret aussieht, zeigt die Produktübersicht.

Bei einer PAM-Lösung kaufen Sie nicht nur Funktionen, sondern ein Kosten- und Betriebsmodell, das Sie über Jahre begleitet. Die sechs Kriterien – Lizenzlogik, Session-Zählung, Betriebsmodell, Kostenstruktur, Authentifizierung sowie Skalierbarkeit und Deployment – machen daraus eine prüfbare Entscheidung. Eine On-Prem-Subscription mit Concurrent-User-Lizenz verbindet planbare Kosten, volle Datenhoheit und Flexibilität beim Wachsen. Prüfen Sie Ihr Wunsch-Modell gegen diese sechs Punkte – oder spielen Sie Ihr Szenario direkt im Preis- und Lizenzkalkulator durch.