In meinen Azure-Kursen taucht diese Frage inzwischen fast in jeder Schulungsrunde auf: „Wir wollen Kunden oder externe Partner in unsere Applikation einbinden – nehmen wir dafür noch Azure AD B2C oder schon Entra External ID?“ Die ehrliche Antwort lautet: Es kommt darauf an. Beide Dienste adressieren externe Identitäten (also Nicht-Mitarbeiter), unterscheiden sich aber erheblich in Architektur, Reifegrad und Zielgruppe. Dieser Artikel bringt Klarheit – ohne Marketingsprech.
Microsoft unterscheidet im Identitätsbereich grob drei Szenarien: Mitarbeiter-Identitäten (Workforce, klassisch über Microsoft Entra ID, früher Azure AD), Business-to-Business-Zusammenarbeit (B2B, z. B. Gastbenutzer) und Business-to-Consumer-Szenarien (B2C, also Endkunden oder externe Nutzer ohne eigenes Microsoft-Konto).
Begriffsklärung: Worum geht es hier überhaupt?
Azure AD B2C ist der seit Jahren etablierte Dienst für genau dieses Consumer-Szenario: Sie erstellen einen separaten B2C-Mandanten, definieren User Flows (vorgefertigte Authentifizierungsabläufe) oder Custom Policies (erweiterbare XML-basierte Regeln), und Ihre Endkunden melden sich mit Social-Logins (Google, Facebook), lokalen Konten oder beliebigen OIDC-Providern an. Der Dienst läuft vollständig getrennt von Ihrem normalen Entra-ID-Mandanten.
Microsoft Entra External ID ist der neuere Ansatz. Microsoft hat B2B-Zusammenarbeit und B2C-ähnliche Szenarien unter einem Dach zusammengeführt. Entra External ID kennt zwei Modi: „External Identities for B2B“ (Gastbenutzer in Ihrem eigenen Mandanten) und den neuen „External Identities for Customers“ (CIAM – Customer Identity and Access Management), der Azure AD B2C langfristig ablösen soll. Letzterer arbeitet mit sogenannten External Tenants, die zwar separat erstellt werden, aber tief in das Entra-Ökosystem integriert sind.
Technischer Vergleich: Die entscheidenden Unterschiede auf einen Blick
Wer beide Dienste produktiv einsetzt oder – wie ich das in meinen Azure-Kursen vermittle – für Kundenprojekte evaluiert, merkt schnell: Die Unterschiede liegen im Detail. Die folgende Tabelle fasst die wichtigsten Kriterien zusammen.
| Kriterium | Azure AD B2C | Entra External ID (CIAM) |
|---|---|---|
| Mandantenmodell | Separater B2C-Tenant, vollständig isoliert | External Tenant, isoliert aber Entra-nativ |
| Verwaltungsoberfläche | Eigenes Azure-Portal-Blade, proprietär | Entra Admin Center, einheitlich |
| Identity Provider Support | Social Logins, lokale Konten, SAML, OIDC | Social Logins (Google, Facebook), Microsoft-Konto, OIDC – SAML noch eingeschränkt |
| Anpassung der User Journey | User Flows (einfach) oder Custom Policies (sehr flexibel, komplex) | User Flows mit wachsender Flexibilität, Custom Extensions via Azure Functions |
| Branding / UI-Anpassung | Vollständiges HTML/CSS-Customizing möglich | Company Branding, Native Authentication API für native Apps |
| Skalierung (MAU) | Bis zu 50 Mio. MAU (Monthly Active Users) | Noch in Entwicklung; für große Consumer-Szenarien schrittweise freigegeben |
| Conditional Access | Eingeschränkt, nur via Custom Policies nutzbar | Vollständig integriert, native Entra-Richtlinien |
| MFA / Passwordless | SMS, E-Mail OTP, TOTP | Passkeys, TOTP, E-Mail OTP, Telefon – moderner Ansatz |
| Preismodell | 50.000 MAU kostenlos, dann pro MAU | 50.000 MAU kostenlos, dann pro MAU (ähnliche Struktur) |
| Reifegrad / GA-Status | Produktiv seit Jahren, sehr stabil | GA seit 2024, noch nicht alle Features parität zu B2C |
| Langfristige Roadmap | Kein End-of-Life angekündigt, aber kein aktiver Ausbau | Strategische Investition von Microsoft, aktiver Ausbau |
Neuerungen in der Madantenverwaltung
Allerdings ist Microsoft derzeit dabei, die Entra-Mandantenverwaltung massiv umzubauen. In aktuellen Mandanten sollte die Mandantenverwaltung in etwa so aussehen wie bei mir im folgender Abbildung:
Für erfahrene Entra-Nutzer habe ich in folgender Tabelle die neuen Bezeichnungen den bekannten Funktionen zugeordnet.
| Option (deutsch) | Englisch / Interner Name | Was ist das? | Wann wählen? |
|---|---|---|---|
| Verwaltete Mitarbeitende (empfohlen) PREVIEW | Governed Workforce / Managed Workforce | Neuer Workforce-Mandant mit automatischer Governance-Beziehung zum Heim-Mandanten (Tenant Governance). | Empfohlen für neue Add-On-Workforce-Mandanten |
| Mitarbeitende (Legacy) | Workforce (Legacy) | Klassischer Workforce-Mandant (wie bisher). | Wenn du den alten, einfachen Weg ohne Governance-Beziehung willst |
| Extern | External | External-ID-Mandant (Nachfolger von Azure AD B2C / CIAM) | Für Consumer- und Geschäftskunden-Apps (B2C-Szenarien) |
Im Grunde müssen Sie auch in Zukunft nur zwei Szenarien unterscheiden:
1. Gewöhnlichen Workforce-Mandanten anlegen
- Neuer Weg: Wählen Sie „Verwaltete Mitarbeitende (empfohlen)“. Das ist der moderne „Governed Workforce“-Flow. Er erstellt einen normalen Workforce-Mandanten und baut automatisch eine Governance-Beziehung zum aktuellen Heim-Mandanten auf (Cross-Tenant-Access, GDAP etc.). Voraussetzung: MCA-Abonnement + „Tenant Contributor“-Rechte + Default Governance Policy Template.
- Klassischer Weg (Legacy): Wähle „Mitarbeitende (Legacy)“. Das ist der bisherige (alte) Workforce-Mandant ohne automatische Governance-Beziehung.
Ab dem 15. August 2026 können Add-On-Mitarbeitermandanten nur noch über die Oberfläche „Verwaltete Mitarbeitende“ erstellt werden. Der Legacy-Weg wird dann für neue Add-On-Mandanten eingeschränkt.
2. External ID (ehemals Azure AD B2C) anlegen
Das ist der dedizierte External Tenant für Customer Identity and Access Management (CIAM). Hier verwalten Sie Consumer und Geschäftskunden (Self-Service Sign-up, Social Logins, User Flows etc.). Es handelt sich also nicht um einen normalen Workforce-Mandant mit B2B-Gästen, sondern um den direkten Nachfolger von Azure AD B2C.
Merksatz: Azure AD B2C ist der ausgereifte Veteran mit maximaler Flexibilität. Entra External ID ist der strategische Nachfolger mit modernerem Unterbau – aber noch nicht in allen Punkten gleichwertig.
Im Folgenden geht es aber nicht um den klassischen Workforce Mandanten, sondern um die optimale Varianten für CIAM-Scenarien.
Entscheidungskriterien: Wann nehme ich welches Modell?
Folgendes Problem aus der Praxis: Ein mittelständisches Softwarehaus baut eine neue SaaS-Plattform für Endkunden und fragt mich, welches Modell es einsetzen soll. Meine Antwort hängt von drei zentralen Fragen ab.
Frage 1: Wie komplex sind Ihre User Journeys? Benötigen Sie mehrstufige Anmeldeprozesse, externe Claims-Provider, benutzerdefinierte Token-Transformation oder komplexe Attribute-Mapping-Logik? Dann ist Azure AD B2C mit Custom Policies nach wie vor das mächtigere Werkzeug. Die Custom Policies (Identity Experience Framework) ermöglichen nahezu beliebige Erweiterungen – erfordern aber XML-Kenntnisse und eine steile Lernkurve. Entra External ID holt hier gerade auf, ist aber noch nicht auf demselben Niveau.
Frage 2: Wie wichtig ist die Integration ins restliche Entra-Ökosystem? Wenn Sie Conditional Access (bedingter Zugriff), Microsoft Authenticator, Entra ID Governance oder zukünftige Entra-Features nutzen wollen, ist Entra External ID die klarere Wahl. B2C lebt quasi als eine als Insel-Lösung. Das war früher kein Problem, wird aber zunehmend zum Nachteil.
Frage 3: Starten Sie neu oder migrieren Sie? Bestehende B2C-Tenants sollten nicht übereilt migriert werden. Microsoft hat keinen End-of-Life-Termin für B2C kommuniziert. Für Neuprojekte hingegen empfehle ich Entra External ID, sofern die benötigten Features bereits verfügbar sind – was für die meisten Standardszenarien heute schon gilt.
Praxistipp: Prüfen Sie vor der Entscheidung konkret, welche Identity Provider und welche MFA-Methoden Ihr Projekt benötigt, und vergleichen Sie diese mit der aktuellen Feature-Matrix von Entra External ID. Microsoft aktualisiert die Parität regelmäßig – was vor sechs Monaten noch fehlte, kann heute bereits verfügbar sein.
Praxisempfehlung: KMU-taugliche Entscheidungsstruktur
Noch mal in Kürze:
| Szenario | Empfehlung |
|---|---|
| Neues CIAM-Projekt, Standardanforderungen (Social Login, E-Mail, MFA) | Entra External ID (CIAM) |
| Neues Projekt mit sehr komplexen Custom Policies oder SAML-Anbindung externer IdPs | Azure AD B2C – mit Migrationsplan für später |
| Bestehendes B2C-Projekt, läuft stabil | Vorerst behalten, Migration strategisch planen |
| B2B-Gastbenutzer (Partner, Lieferanten) | Entra External ID B2B Collaboration – kein B2C |
| Passkeys / Native Authentication für mobile Apps | Entra External ID (Native Authentication API) |
| Maximale UI-Flexibilität mit eigenem HTML-Template | Azure AD B2C (Custom Page Layouts) |
Wer tiefer in beide Modelle einsteigen möchte – von der Tenant-Konfiguration über User Flows bis hin zur Anbindung an eigene APIs – findet in meinen Azure-Kursen praxisnahe Übungen zu genau diesen Szenarien. Denn die Theorie ist das eine; einen External Tenant sauber aufzusetzen, Claims korrekt zu mappen und Conditional Access sinnvoll einzubinden, das ist das andere.
Mein abschließender Rat für KMU ohne dediziertes Identitätsteam: Wählen Sie Entra External ID für neue Projekte, nutzen Sie die kostenlosen 50.000 MAU als Einstiegspunkt, und halten Sie die Feature-Roadmap im Blick. Die Richtung, in die Microsoft investiert, ist eindeutig.