Ein typisches Gespräch: HR stellt einen neuen Anbieter für betriebliches Welfare (insbesondere Flexible Benefits) vor, die IT fragt "Haben Sie SCIM?", und der Anbieter antwortet "Was?". Das IT-Vokabular des betrieblichen Welfare übersetzt: Was SCIM, SSO und Webhook sind, warum sie wichtig sind, und warum die Antwort "Was?" bereits eine Antwort ist.
Typisches Szenario, das wir mehrfach miterlebt haben. Die HR-Abteilung eines mittelgroßen Unternehmens evaluiert eine neue Plattform für betriebliches Welfare (insbesondere für Flexible Benefits: Gesundheitskostenerstattungen, Weiterbildung, Transport, Kinderbetreuung, Darlehen). Sie bezieht den IT-Leiter in einen Auswahlcall ein. Der IT-Leiter, der es gewohnt ist, mit modernen SaaS-Anbietern zu sprechen (Slack, Zoom, Notion, Salesforce, GitHub), stellt drei Fragen hintereinander.
"Haben Sie SCIM für das Provisioning?"
"Lässt es sich mit unserem Identity Provider via OIDC integrieren?"
"Bieten Sie Webhooks für Benutzerereignisse an?"
Neun von zehn Mal folgt auf der anderen Seite des Calls eine Stille. Dann: "Ich schicke Ihnen eine E-Mail mit dem technischen Ansprechpartner". Diese E-Mail kommt neun von zehn Mal nie mit der richtigen Antwort an.
Das Problem liegt nicht daran, dass der einzelne Anbieter schlecht gemacht ist. Das Problem ist strukturell: Ein Großteil des italienischen Welfare-Sektors ist bei einem Integrationsmodell aus den 2010er-Jahren steckengeblieben: CSV-Dateien, persönliche Passwörter, nächtliche Batch-Prozesse. Im übrigen SaaS-Bereich gilt das seit mindestens acht Jahren als Vorgeschichte.
Sehen wir uns an, was diese drei Kürzel wirklich bedeuten, warum sie wichtig sind, und was man antworten soll, wenn man "Was?" zu hören bekommt.
SCIM steht für System for Cross-domain Identity Management. Es ist ein offener Standard (RFC 7644), der es Ihrem Identity Provider – Microsoft Entra ID, Okta, Google Workspace, OneLogin – ermöglicht, Benutzer in einer externen Anwendung in Echtzeit zu erstellen, zu aktualisieren und zu deaktivieren.
In der Praxis: Wenn Sie jemanden einstellen und in Entra ID mit der Rolle "Mitarbeiter" anlegen, erhält die Welfare-Plattform sofort eine SCIM-Benachrichtigung, erstellt den Benutzer, weist ihm den richtigen Flexible-Benefits-Plan zu und sendet ihm die Onboarding-E-Mail. Wenn ein Mitarbeiter das Unternehmen verlässt und Sie ihn in Entra ID deaktivieren, wird der Plan automatisch innerhalb von Minuten gesperrt.
Warum es wichtig ist: Ohne SCIM muss jemand in HR daran denken, das Dashboard des betrieblichen Welfare jedes Mal zu öffnen, wenn jemand eingestellt oder entlassen wird. Das wird regelmäßig vergessen. Das Ergebnis: Neue Mitarbeiter warten zwei Wochen auf ihren Zugang zu Flexible Benefits, und ausgeschiedene Mitarbeiter bleiben monatelang aktiv.
Was Sie den Anbieter fragen sollten: "Unterstützen Sie SCIM 2.0? Haben Sie zertifizierte Konnektoren für Entra ID und Okta?"
SSO steht für Single Sign-On. Das bedeutet, dass der Mitarbeiter auf das Welfare-Portal mit denselben Unternehmensanmeldedaten zugreift, die er für E-Mail, Slack und ERP verwendet. Kein neues Passwort, kein Zurücksetzen, kein "Ich habe vergessen, wie man sich anmeldet".
Die modernen Protokolle, die Sie benötigen, sind SAML 2.0 und OIDC (OpenID Connect). Das sind offene Standards, die von jedem seriösen Identity Provider unterstützt werden. Ein Welfare-Anbieter, der sagt "Wir verwalten die Authentifizierung mit Benutzername und Passwort auf unseren Servern", sagt auf elegante Weise, dass sein Stack veraltet ist.
Warum es wichtig ist: Die Adoptionsrate von betrieblichem Welfare (und insbesondere von Flexible Benefits, die ohnehin komplizierter zu nutzen sind als ein einfacher Einkauf) hängt brutal von der Zugänglichkeit ab. Wenn der Mitarbeiter sich an ein weiteres Passwort erinnern muss, nutzt er es halb so oft. Wenn er per Klick vom Unternehmens-Dashboard aus einsteigt, nutzt er es doppelt so oft.
Was Sie den Anbieter fragen sollten: "Unterstützen Sie SAML oder OIDC? Haben Sie eine Anleitung zur Integration unseres IdP? In wie vielen Tagen wird es aktiviert?"
Ein Webhook ist eine HTTP-Benachrichtigung, die die Welfare-Plattform an einen Ihrer Endpunkte sendet, wenn etwas Relevantes passiert: eine Transaktion, eine Auszahlung, ein neuer Benutzer, eine gesperrte Karte. Das ist die Standardmethode, mit der moderne SaaS-Systeme miteinander kommunizieren.
Konkrete Beispiele dafür, was mit Webhooks im betrieblichen Welfare möglich ist.
• Jede Flexible-Benefits-Transaktion an Ihre Business Intelligence (Power BI, Looker, Metabase) senden für Echtzeit-Controlling-Dashboards.
• Den Manager via Slack benachrichtigen, wenn einer seiner Mitarbeiter eine Genehmigung für Ausgaben über einem Schwellenwert beantragt.
• Bei der ersten Auszahlung an einen neuen Mitarbeiter automatisch einen Onboarding-Workflow auslösen.
• Die Ausgabenhistorie des betrieblichen Welfare in Ihr HRIS synchronisieren, ohne Polling durchführen zu müssen.
Warum es wichtig ist: Ohne Webhooks macht man Polling. Das heißt, jemand lädt jede Nacht eine Datei herunter und versucht herauszufinden, was sich geändert hat. Das funktioniert, ist aber langsam, fehleranfällig – und genau so wurde 2009 gearbeitet.
Was Sie den Anbieter fragen sollten: "Bieten Sie Webhooks für Ereignisse an? Gibt es eine öffentliche Dokumentation? Kann ich ein Beispiel-Payload sehen?"
Diese Fragen sollten Sie Ihrer IT-Abteilung geben, bevor Sie irgendeinen Vertrag unterzeichnen.
1. Provisioning: "Unterstützen Sie SCIM 2.0 mit Konnektoren für Entra ID, Okta, Google Workspace?"
2. Authentifizierung: "Unterstützen Sie SSO via SAML 2.0 und OIDC? Wie lange dauert die Aktivierung?"
3. API: "Haben Sie eine öffentlich dokumentierte REST-API? Kann ich die Dokumentation jetzt sehen?"
4. Webhook: "Bieten Sie Ereignisse via Webhook an? Welche Ereignisse? Mit welchen Zustellungsgarantien?"
5. Logging und Audit: "Gibt es ein unveränderliches Audit-Log der Benutzeraktionen, das für Prüfungen exportiert werden kann?"
Die Antworten sagen Ihnen alles, was Sie über die technische Reife des Anbieters wissen müssen. Wenn die erste Antwort lautet "Ich lasse Sie vom Vertrieb zurückrufen", ist die Reife so, wie sie ist. Wenn die erste Antwort ein Link zur Entwicklerdokumentation ist, sind Sie auf der richtigen Seite.
Weil wir mit einer anderen Philosophie gebaut wurden: Betriebliches Welfare (und insbesondere Flexible Benefits, der schwierige Kern der Kategorie) muss ein Baustein Ihres IT-Stacks sein, keine separate Insel. Das bedeutet SCIM, SSO, Webhooks, dokumentierte REST-APIs, nachverfolgbare Ereignisse. Es bedeutet, dass Ihr IT-Leiter Cipay wie jeden anderen modernen SaaS-Dienst integrieren kann, ohne eine Sondersprache lernen zu müssen.
Wenn Sie unsere technische Dokumentation einsehen oder verstehen möchten, wie Cipay mit Ihrem Identity Provider und Ihrem HRIS integriert werden kann, schreiben Sie uns. Wir verbinden Sie direkt mit jemandem, der Ihre Sprache spricht – nicht mit einem Vertriebsmitarbeiter, der Sie weiterverweist.