← Wählen Sie den Blickwinkel, der zu Ihrem Team passt

Für Enterprise IT

Der Shortener, den Ihr Sicherheitsteam nicht ablehnen wird.

Sie messen Compliance-Haltung, Vorfallsreaktionszeit und die Anzahl der Lieferantenfragebögen, die Sie überleben können. Elido ist der Shortener, den Ihr Sicherheitsteam nicht ablehnen wird.

Vertrieb kontaktieren Trust-Bericht lesen

SAML SSO + SCIM über unseren SSO-Anbieter oder nativ - Okta, Entra ID, Google
Primäre Datenbank in der EU; noch keine Regionsauswahl pro Workspace
SOC 2 in Vorbereitung, kein Bericht ausgestellt
ISO 27001 nicht zertifiziert; AVV auf Anfrage

Where data is hosted

EU-hosted primary data

Default + EU residency

Redirect edge nodes (no per-workspace region choice)

SAML + OIDC

SSO-Protokoll

WorkOS

SSO/SCIM-Anbieter

730 Tage

Standard-Aufbewahrung des Audit-Logs (konfigurierbar)

SOC 2

In Vorbereitung, kein Bericht ausgestellt

Wie SSO funktioniert

Okta oder Entra ID → SAML → Elido. Zwölf Minuten vom Kaltstart.

SSO läuft über WorkOS, das die Protokollunterschiede zwischen SAML 2.0 und OIDC und die jeweiligen IdP-Eigenheiten normalisiert, die niemand selbst pflegen möchte. Ihr Team konfiguriert die SAML-App einmalig im eigenen IdP; Elido ordnet Nutzer per E-Mail-Domain-zu-Connection-Mapping zu.

Step 1
User signs in
okta.com / login.microsoftonline.com
IdP authenticates against the corporate directory.
Step 2
SAML assertion
WorkOS connection · domain-routed
Email-domain → IdP connection mapping, no per-user setup.
Step 3
Elido session
edge auth · 200 OK
Session token issued, scope derived from group claims.
Step 4
Workspace landing
app.elido.app/w/your-org
Role + IP allowlist evaluated; audit row written.

SCIM-Provisioning

Nutzer in Okta hinzufügen. In fünf Minuten in Elido.

Die SCIM-2.0-Verzeichnissynchronisation provisioniert und deprovisioniert Nutzer automatisch. Group-Claim-Mapping wandelt IdP-Gruppen in Elido-Workspace-Rollen um - eine Beförderung im HR-System überträgt sich ohne Ticket auf Elido. Ausscheidende Mitarbeiter werden innerhalb des SCIM-Sync-Zyklus deprovisioniert, aktive Sitzungen werden widerrufen und die Aktion protokolliert.

Auto-Provisioning bei Gruppenhinzufügung
IdP-Gruppenmitgliedschaft → Workspace-Einladung, kein manueller Schritt
Group-Claim-Rollen-Mapping
engineering-eu → editor, finance → viewer, konfigurierbar
Deprovisioning = Session-Widerruf
DELETE-Event invalidiert Tokens; API-Keys per Policy widerrufen
Jedes SCIM-Event wird auditiert
Append-only-Log mit Akteur, Vorher/Nachher, Quell-IP

SCIM & SSO Deep-Dive →

SCIM directory sync

workspace · acme-eu

Live · WorkOS

1
User added in Okta
Joins the elido-eu-engineering directory group as part of HR onboarding.
okta.comPOST /scim/v2/Users
T+75s
2
WorkOS pushes to Elido
SCIM sync cycle picks up the create event; no manual invite needed.
workos.com → elido.appscim.create user@org
T+150s
3
Elido provisions the user
Account created, workspace invitation surfaced in pending state.
api-coreuser.id = usr_01HK…
T+225s
4
Group claim → role
engineering → editor; billing-admins → admin. Mapping is configurable.
policyrole: editor (workspace.eu)
T+300s
Deprovision is the same flow in reverse - DELETE event revokes sessions and rotates affected API keys per policy.

Autorisierungsmodell

Cedar-basiertes RBAC, keine feste Drei-Stufen-Hierarchie.

Die Matrix unten zeigt die Out-of-the-box-Ansicht. Benutzerdefinierte Rollen erlauben Ausdrücke wie „Links nur auf dieser Domain erstellen“ oder „Nur-Lesen auf Analytics, kein Billing-Zugriff“ als Cedar-Policies. Rollen sind per Workspace gescoped, sodass verschiedene Geschäftsbereiche unterschiedliche Rollenstrukturen betreiben können.

Built-in role permissions

Cedar policies · custom roles override

Permission	Owner	Admin	Member	Read-only	API key
Create / edit links
Manage custom domains
View analytics
Manage billing
Invite & manage members
Rotate API keys

Allowed

Scoped - set via Cedar policy

Denied

Policy eval at request time, not at loginaudit · every change

Sicherheitsmodell ansehen →Anleitung benutzerdefinierte Rollen → Docs

Was Enterprise IT tatsächlich bekommt

SAML SSO + SCIM über unseren SSO-Anbieter oder nativ - Okta, Entra ID, Google
Primäre Datenbank in der EU; noch keine Regionsauswahl pro Workspace
SOC 2 in Vorbereitung, kein Bericht ausgestellt
ISO 27001 nicht zertifiziert; AVV auf Anfrage
BAA auf Business+ für HIPAA-nahe Workloads
Dedizierte Edge-POPs für Enterprise-Verträge verfügbar

Was die Enterprise-IT wirklich von einem Shortener benötigt

Shadow-IT-Shortener scheitern bei der Beschaffung an drei Fragen: Wer hat Zugriff, wo liegen die Daten und können wir sie auditieren? Die folgenden Funktionen schließen genau diese Lücken.

Identität und Provisionierung

SAML SSO via WorkOS mit SCIM-Benutzerbereitstellung

SSO erfolgt über WorkOS, das SAML 2.0 und OIDC gegen alle gängigen IdPs unterstützt: Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping und andere. Das Mapping von E-Mail-Domänen auf Verbindungen sorgt dafür, dass Benutzer ohne Konfiguration auf ihrer Seite zum richtigen IdP geleitet werden. Die SCIM-Verzeichnissynchronisierung provisioniert und deprovisioniert Benutzer automatisch: Neue Mitarbeiter, die der entsprechenden IdP-Gruppe hinzugefügt werden, erhalten innerhalb weniger Minuten eine Elido-Workspace-Einladung; ausscheidende Mitarbeiter werden innerhalb des SCIM-Sync-Zyklus deprovisioniert, ohne dass ein manuelles Ticket erforderlich ist. Gruppen aus dem IdP werden auf Elido-Workspace-Rollen abgebildet; Sie konfigurieren das Mapping einmalig. Rollenänderungen im IdP werden automatisch übernommen. Dies ist eine von WorkOS verwaltete Integration – wir pflegen keinen Connector pro IdP; WorkOS normalisiert die Protokolle und Elido nutzt einen einzigen SCIM-Endpunkt.

Autorisierungsmodell

Benutzerdefinierte Rollen mit Cedar-basiertem RBAC - über Owner/Admin/Member hinaus

Das Rollenmodell von Elido basiert auf Cedar, was bedeutet, dass Berechtigungen Richtlinienausdrücke sind, die zum Zeitpunkt der Anfrage ausgewertet werden, anstatt einer festen dreistufigen Hierarchie zu folgen. Standardmäßig erhalten Sie Owner, Admin, Member und Viewer. Benutzerdefinierte Rollen ermöglichen es Ihnen, Richtlinien zu definieren wie 'kann Links auf dieser Domain erstellen, aber keine Routing-Regeln löschen oder ändern' oder 'reiner Lesezugriff auf Analytics, aber kein Zugriff auf Abrechnungseinstellungen'. Rollen werden pro Workspace zugewiesen, nicht global – ein Unternehmen mit mehreren Workspaces kann für jede Geschäftseinheit unterschiedliche Rollenstrukturen haben. IP-Allowlisten (CIDR-Bereiche) werden zusammen mit Rollenprüfungen ausgewertet: Einem Benutzer mit der richtigen Rolle, aber außerhalb des zulässigen IP-Bereichs, wird der Zugriff verweigert. Dies ist relevant für hybride Teams, bei denen externe Mitarbeiter auf andere Untergruppen zugreifen als festangestellte Mitarbeiter.

Audit und SIEM

Append-only Audit-Log, das in Echtzeit an Ihr SIEM gestreamt wird

Jede Workspace-Aktion - Link erstellen, ändern, löschen; Einstellungsänderung; Mitgliedseinladung und Rollenwechsel; Ausgabe und Rotation von API-Schlüsseln; Beanspruchung einer benutzerdefinierten Domain; Export - landet in einem Append-only-Audit-Log mit Akteur, Zeitstempel, Quell-IP, Vorher/Nachher-Diff und einem strukturierten Ereignistyp. Logs werden standardmäßig 730 Tage aufbewahrt, konfigurierbar pro Workspace. Der SIEM-Firehose streamt Ereignisse per Webhook (HMAC-SHA256-signiert) in Echtzeit an Splunk, Datadog, ELK oder jeden HTTP-Empfänger. Das Log ist im Dashboard abfragbar, aber nicht bearbeitbar; es ist in der Anwendung append-only, und jeder Eintrag ist mit dem vorherigen per Hash verkettet, sodass Manipulationen erkennbar sind. Compliance-Lage: Das Audit-Log ist der primäre Nachweis für Zugriffskontroll-Reviews, Änderungsmanagement und Incident Response. Wenn alte Einträge auslaufen, wird ein Metaereignis „retention purge“ protokolliert, sodass die Lücke selbst auditierbar ist.

Data Governance

EU-Residenz, IP-Allowlist und BigQuery-Export für Data Governance Anforderungen

Die primäre Datenbank, der Analytics-Speicher und die Backups werden in der EU gehostet. Redirect-Knoten in den USA (Ashburn) und in Singapur verarbeiten ebenfalls Besucheranfragen; eine Regionsauswahl pro Workspace gibt es noch nicht. Die IP-Allowlist (CIDR) auf Business beschränkt den Workspace-Zugriff auf bekannte Egress-Bereiche - nützlich für Teams mit VPN oder festen Büro-IPs. Der BigQuery-Export sendet den vollständigen Klickereignis- und Audit-Log-Stream in ein BigQuery-Dataset, das Ihnen gehört, zeitgesteuert oder per Trigger. Snowflake und S3 werden ebenfalls unterstützt. Für regulierte Workloads, bei denen Daten in einer bestimmten Infrastruktur bleiben müssen, ist Self-Hosting per Vertrag verfügbar (Enterprise); kontaktieren Sie [email protected]. HIPAA-BAA ist auf Business+ verfügbar - die technischen Schutzmaßnahmen (Verschlüsselung, Audit-Trail, Zugriffskontrollen, Meldung von Datenpannen) sind umgesetzt; der BAA ist die rechtliche Hülle darum.

Vendor Due Diligence

Compliance-Nachweise: AVV, Unterauftragsverarbeiter, Sicherheitsstatus

Fragen aus dem Einkauf beantworten wir ohne langen E-Mail-Verlauf: Der AVV ist auf Anfrage unter [email protected] erhältlich (EU-SCCs inbegriffen); die Liste der Unterauftragsverarbeiter ist öffentlich unter /legal/subprocessors (13 Anbieter); Schwachstellenmeldungen gehen an [email protected], und die security.txt liegt am üblichen Pfad. Zertifizierungsstatus ohne Beschönigung: SOC 2 ist in Vorbereitung, es wurde kein Bericht ausgestellt; ISO 27001 ist nicht zertifiziert. Das Trust Center unter /trust zeigt den aktuellen Stand.

Stack, mit dem Sie arbeiten werden

SSO (SAML / OIDC)
SCIM-Bereitstellung
Benutzerdefinierte Rollen (RBAC)
IP-Allowlist
Audit Log + SIEM Firehose
EU-Datenresidenz
HIPAA BAA

Was Ihr Sicherheitsteam misst

Anzahl Unterauftragsverarbeiter: 13, öffentlich gelistet
Audit Log Retention: 730 Tage Standard
DSAR-Antwortzeit: Unter 30 Tagen

Elido vs. Bitly Enterprise vs. Bl.ink für die Enterprise-IT

Bitly Enterprise und Bl.ink sind beide Optionen für Unternehmen mit großen Installationsbasen. Der folgende Vergleich konzentriert sich auf die Funktionen, die IT-Teams in Unternehmen tatsächlich bewerten, nicht auf Marketingversprechen.

Funktion	Elido	Bitly Enterprise	Bl.ink
SSO-Protokoll	SAML 2.0 + OIDC via WorkOS	SAML 2.0 im Enterprise-Tarif	SAML 2.0 im Enterprise-Tarif
SCIM-Provisionierung	Business und höher, via WorkOS	Nur Enterprise-Tarif	Verfügbar im Enterprise-Tarif
Benutzerdefinierte Rollen (RBAC)	Cedar-basierte Richtlinienausdrücke	Feste Rollenstufen	Granular, dokumentiert
IP-Allowlist	CIDR, Business+	Nur Enterprise	Verfügbar
Audit-Log → SIEM	Echtzeit-Webhook-Firehose	Täglicher Export; Echtzeit-Enterprise-Add-on	API-basiert; SIEM-Anbindung manuell
Audit-Log-Aufbewahrung	730 Tage Standard, konfigurierbar	Standardmäßig 1 Jahr	Konfigurierbar im Enterprise-Tarif
EU-Datenresidenz	Standard für alle Pläne	Opt-in im Enterprise-Tarif	Verfügbar; nicht standardmäßig
BigQuery-Export	Geplant, Business+	Nicht dokumentiert	API-basiert; kein nativer Export

Fragen der Enterprise-IT

Welche IdPs unterstützt SSO?

Jeden IdP, der SAML 2.0 oder OIDC unterstützt – Okta, Azure AD / Entra ID, Google Workspace, OneLogin, Ping, Rippling und andere. Die Integration erfolgt über WorkOS, das Protokollunterschiede normalisiert. Wenn Ihr IdP SAML oder OIDC spricht, funktioniert es. Die Einrichtung ist ein von WorkOS geführter Prozess: Konfigurieren Sie die SAML-App in Ihrem IdP, fügen Sie die Metadaten-URL in Elido ein, fertig.

Wie funktioniert das SCIM-Deprovisioning?

WorkOS verwaltet den SCIM 2.0-Endpunkt. Wenn ein Benutzer aus der entsprechenden Gruppe in Ihrem IdP entfernt wird, sendet WorkOS ein DELETE-Ereignis an Elido. Elido widerruft sofort die Sitzungs-Token des Benutzers und markiert das Konto als inaktiv. Aktive API-Keys, die diesem Benutzer zugeordnet sind, werden nicht automatisch widerrufen – dies ist ein separater Schritt, den Sie in den SCIM-Einstellungen konfigurieren können (Standard ist Widerruf bei Deprovisionierung). Die Deprovisionierungsaktion erscheint innerhalb des SCIM-Sync-Zyklus (normalerweise unter 5 Minuten) im Audit-Log.

Was deckt die IP-Allowlist ab?

Dashboard-Login, API-Anfragen und die Bestätigung der Webhook-Zustellung. Die CIDR-Notation wird unterstützt; mehrere Bereiche werden durch Kommas getrennt. Anfragen von außerhalb der Allowlist geben einen 403-Fehler mit einem protokollierten Audit-Ereignis zurück – keine stillschweigenden Ablehnungen. Die IP-Allowlist wird nach der Authentifizierung ausgewertet, nicht davor, sodass fehlgeschlagene Auth-Versuche von außerhalb der Allowlist dennoch protokolliert werden.

Können wir ein BAA für die HIPAA-Compliance erhalten?

Ja, bei Business+. Das BAA deckt die Rolle von Elido als Geschäftspartner für Workspaces ab, in denen PHI durch Link-Metadaten oder Analytics fließen könnten. Die technischen Schutzmaßnahmen (Verschlüsselung im Ruhezustand und bei der Übertragung, Audit-Trail, Zugriffskontrollen, Benachrichtigung bei Datenschutzverletzungen) sind bereits implementiert. Kontaktieren Sie [email protected] für die BAA-Vorlage.

Wie ist der Status von SOC 2?

SOC 2 ist in Vorbereitung, es wurde kein Bericht ausgestellt. ISO 27001 ist nicht zertifiziert. Wir geben keine Audit-Nachweise weiter, die wir nicht haben; schreiben Sie an [email protected], um die aktuellen Antworten auf den Sicherheitsfragebogen zu erhalten. Das Trust Center unter /trust zeigt den aktuellen Stand.

Wie funktionieren benutzerdefinierte Rollen – kann ich ein Team auf den Lesezugriff für eine bestimmte Domain beschränken?

Ja. Benutzerdefinierte Rollen definieren Cedar-basierte Richtlinien, die Berechtigungen auf bestimmte Domains, Ordner oder Operationen (Erstellen/Lesen/Aktualisieren/Löschen) eingrenzen können. Eine Rolle, die das Erstellen von Links nur auf einer bestimmten Custom Domain erlaubt und nur Lesezugriff auf die Analytics gewährt, ist eine gültige Richtlinie. Rollen gelten pro Workspace; ein Benutzer kann in verschiedenen Workspaces unterschiedliche Rollen haben. Die Auswertung der Richtlinien erfolgt bei jeder Anfrage, nicht nur beim Login.

Gibt es eine dedizierte Edge-Option für Business-Kunden?

Die Business-Stufe nutzt die gemeinsam genutzten Edge-POPs von Elido (EU-Region, US East, Asien-Pazifik). Ein dedizierter Edge - Ihre eigene Flotte von Redirect-Nodes, verkehrstechnisch von anderen Mandanten isoliert - ist ein Thema für Enterprise-Kunden. Kontaktieren Sie [email protected]. Self-Hosting ist ebenfalls per Vertrag verfügbar (Enterprise).

Wie sieht die SLA für die Benachrichtigung bei Datenschutzverletzungen aus?

24 Stunden Kundenbenachrichtigung bei bestätigten Verletzungen personenbezogener Daten; 72 Stunden Behördenbenachrichtigung (DSGVO Art. 33). Die Benachrichtigung umfasst den aktuellen Wissensstand – wir warten nicht auf die vollständige Forensik. Der Prozess ist unter /trust/incident-response einsehbar.