BizReach wechselt mit über 1 Million Benutzenden nahtlos zu Auth0

1 Million

Benutzende nahtlos zu Auth0 migriert

8 Monate

für gesamte Migration mit 3-köpfigem Entwicklungsteam

50 %

geringere Kosten für Implementierung und Betrieb verglichen mit einer proprietär entwickelten Lösung

BizReach mit Hauptsitz in Shibuya-ku, Tokio, bietet verschiedene IT-basierte Services im Bereich der HR-Technologien an und verfolgt dabei die Mission „Mehr Wahlmöglichkeiten und Perspektiven für Ihre Karriere zu bieten“.

In einer Zeit drastischer Veränderungen in der Gesellschaft und auf dem Arbeitsmarkt, in der traditionelle Ansichten zu unserer Arbeitsweise ihre Gültigkeit verloren haben, will BizReach seine Vision einer „Karriere-Infrastruktur“ verwirklichen.

„Die im Bereich Recruiting-Produkte angesiedelte Plattform-Entwicklungsabteilung ist für die Entwicklung von BizReach-Produkten verantwortlich. Sie entwickelt nicht direkt Produkte für die Kundschaft, sondern stärkt vielmehr die Funktionen und die Infrastruktur, die für die Produktentwicklung notwendig sind, um die Karriere-Infrastruktur der Zukunft zu realisieren“, sagt Shintaro Kikuchi, Leiter der Plattform-Entwicklungsabteilung des Bereichs Recruiting-Produkte.

Menschen, die wie heute immer öfter 100 Jahre und älter werden, wechseln auch immer öfter den Arbeitsplatz. Viele Menschen werden auch weiterhin in allen Phasen ihrer Karriere vor neuen Herausforderungen stehen, von Hochschulabsolventen über junge Berufstätige und erfahrene Fachleute bis hin zu Profis. Für die „Karriere-Infrastruktur“ will BizReach Services entwickeln, die diese individuellen Karrieren in verschiedenen Bereichen begleiten. „Konkret gehen wir davon aus, dass sich das Spektrum der beruflichen Veränderungen in Zukunft vergrößern wird und dass die Bedürfnisse der Arbeitssuchenden und Arbeitgebenden immer spezieller werden. Wir werden alle Funktionen der Vermittlungsplattform qualitativ weiter verbessern, beispielsweise im Hinblick auf die Genauigkeit der Suche und Empfehlungen, um unser Geschäft anzukurbeln“, erklärt Kikuchi.

Parallel zur kontinuierlichen Verbesserung und Stärkung der Managementinfrastruktur begann die Plattform-Entwicklungsabteilung umgehend mit der Erneuerung der Authentifizierungsplattform für das BizReach-Produkt. Die Produktplattform besteht aus einer B2C-Plattform (Mitglieder, die auf Jobsuche sind) und einer B2B-Plattform (Personalvermittlungsfirmen). Für die B2C-Plattform wurde die Auth0 Platform als Authentifizierungsinfrastruktur mit drei Hauptzielen eingeführt:

Erstens: Den Benutzenden sollte die Nutzung von Services auf der gesamten Plattform mit einem einzigen Account und Passwort ermöglicht werden. Jedes der Produkte des Unternehmens, einschließlich BizReach, ist für eine andere unternehmerische Phase und ein anderes Geschäftsmodell vorgesehen. In den frühen Entwicklungsphasen stand die Tragfähigkeit für den jeweiligen Geschäftsbereich im Vordergrund. Daher wurden die Authentifizierungsfunktionen für jedes Produkt unabhängig voneinander erstellt. Wenn die Benutzenden beispielsweise mehrere Produkte verwenden wollten, mussten sie sich für jedes einzelne Produkt registrieren. Da das Unternehmen jedoch für die Zukunft viele neue Services entwickeln wollte, legte es Wert darauf, dass die Benutzenden die Services auf der gesamten Plattform mit einem einzigen Account und Passwort nutzen können.

„Wir wollten unsere Authentifizierungsinfrastruktur mit Auth0 integrieren und eine Umgebung schaffen, in der unsere Kundschaft Services mit Single Sign-On komfortabel auf der gesamten Plattform nutzen kann“, so Kikuchi.

Zweitens: Die Kosten für die Implementierung und den Betrieb von Authentifizierungsfunktionen bei der Entwicklung neuer Services sollten gesenkt werden. „Da Authentifizierung und Autorisierung ein hohes Maß an Fachwissen erfordern, müssten wir – wenn wir unser eigenes Authentifizierungs- und Autorisierungssystem entwickeln – weiterhin Fachleute für diesen Zweck einstellen und damit hohe Betriebskosten in Kauf nehmen“, sagt Kikuchi.

„Der Authentifizierungs-/Autorisierungsmechanismus ist sehr komplex, aber auch die Sicherheit ist uns enorm wichtig. Der Verlust vertraulicher oder persönlicher Informationen könnte das Fundament des Unternehmens erschüttern. Aus diesem Grund braucht man für die Entwicklung eines eigenen Authentifizierungssystems ausnahmslos kompetente Fachleute für das jeweilige System. Doch in Japan wird es von Jahr zu Jahr schwerer, hervorragende Fachleute zu finden. Wir stehen vor der Entscheidung, ob wir für die Implementierung und den Betrieb der Authentifizierungsinfrastruktur in Personal oder in Software über einen Service wie Auth0 investieren sollen. Unser Kerngeschäft ist nicht die Authentifizierung, sondern die Personalvermittlung. Deshalb wollten wir die Ressourcen unserer hervorragenden Software-Ingenieure lieber dort konzentrieren“, so Kikuchi.

Drittens: Passwörter und andere vertrauliche Informationen sollten zentral verwaltet werden, um das Risiko von Datenlecks und unbefugter Nutzung zu verringern. Die unabhängige Entwicklung von Authentifizierungsfunktionen für jedes Produkt erhöht das Sicherheitsrisiko und erfordert individuelle Sicherheitsmaßnahmen. „Daher kamen wir zu dem Schluss, dass die zentrale Verwaltung mit Auth0 mit seinen umfangreichen Sicherheitsfunktionen und dem soliden Sicherheitssystem eine angemessenere Antwort auf bestehende Sicherheitsrisiken darstellt“, sagt Kikuchi.

„Ein weiterer Grund, warum wir uns für die Auth0 Platform entschieden haben, sind die Lernkosten. Auch nach der Entwicklung von Authentifizierungsfunktionen gibt es noch viel zu tun. Während Entwickelnde das nötige Wissen und die Erfahrung zum Pflegen und Nutzen von Funktionen haben, ist das bei anderen technischen Fachleuten möglicherweise nicht der Fall – und dann fallen Lernkosten an“, sagt Ryohei Yamamoto, Plattform-Entwicklungsabteilung, Bereich Recruiting-Produkte.

Vor diesem Hintergrund gründete die Plattform-Entwicklungsabteilung im August 2021 ein Projektteam für die Authentifizierungsinfrastruktur, um mit dem Wechsel zu Auth0 zu beginnen. Im eigentlichen Migrationsprozess wollte das Team vor allem verhindern, dass bestehende Benutzende abgemeldet werden. 

Zum Zeitpunkt der Migration war das BizReach-Produkt eine der größten Jobbörsen in Japan mit mehr als 1 Million Mitgliedern (Ende Oktober 2023: 2,27 Millionen) und einer beträchtlichen Anzahl monatlicher Benutzender. Im Zuge der Umstellung auf eine neue Authentifizierungsplattform könnte die zwangsweise Abmeldung dazu führen, dass viele Benutzende den Service nicht mehr nutzen können.

„Im Gegensatz zu B2B-Services, bei denen die Anmeldung mit einer E-Mail-Adresse und einem Passwort üblich ist, besteht bei B2C-Services eine höhere Wahrscheinlichkeit, dass Passwörter vergessen werden, da sich die Kundschaft nicht sehr oft anmeldet. Wenn Kund:innen ihr Passwort vergessen, wenden sie sich möglicherweise vom Service ab, ohne zurückzukehren. In der Vergangenheit mussten wir bei der Überführung bestehender Benutzender in eine neue Authentifizierungsinfrastruktur für einen B2C-Service alle Benutzenden einmal abmelden. Viele Benutzer kehrten danach nicht mehr zum Service zurück. Deshalb mussten wir dieses Mal unbedingt sicherstellen, dass bestehende Benutzende während der Migration nicht abgemeldet werden“, erklärt Yamamoto.

Die Plattform-Entwicklungsabteilung entschied sich für die zahlreichen Migrationsfunktionen von Auth0. Die Migration zu Auth0 fand in zwei Phasen statt: die individuelle Migration aktiver Benutzender und die Batch-Migration inaktiver Benutzender. Für die individuelle Migration neu registrierter und bei BizReach angemeldeter Benutzender wurde die automatische Migrationsfunktion von Auth0 verwendet. Mithilfe der Skriptdatei „Custom Database Action Script“ wurden die Benutzerdaten in Verbindung mit der Service-API und den Datenbanken des Unternehmens migriert.

„Wenn sich Benutzende mit ihrer E-Mail-Adresse und ihrem Passwort anmelden, werden die Benutzerinformationen aus der Auth0-Benutzerdatenbank abgerufen. Falls die Daten nicht vorhanden sind, werden die Benutzerinformationen mithilfe unseres eigenen Skripts aus der bestehenden BizReach-Benutzerdatenbank abgerufen. Wenn in der Benutzerdatenbank Informationen vorhanden sind, werden diese automatisch in der Auth0-Benutzerdatenbank mit einer BizReach-ID registriert, um die Migration abzuschließen“, sagt Yamamoto.

Während die automatische Migrationsfunktion nur für Anmeldungen mit E-Mail-Adresse und Passwort und nicht für Benutzende mit Social-Media-Anbindung verfügbar ist, kann die Social Login-Funktion von Auth0 verwendet werden, um verschiedene Social-Media-Anbieter anzubinden. Melden sich Benutzende bei einem solchen Anbieter an, werden die Informationen zunächst in der Auth0-Benutzerdatenbank registriert. Anschließend wird mithilfe der Funktion „Actions“ (ehemals „Rules“) die Benutzer-ID des Social-Media-Anbieters zum Benutzer-ID-Token hinzugefügt und mit der bestehenden BizReach-Benutzerdatenbank verknüpft. Die BizReach-Benutzer-ID wird dann über die Management-API an die Zielbenutzenden gesendet.

Für die Batch-Migration anderer (inaktiver) Benutzender verwendete BizReach hingegen die von Auth0 bereitgestellte Batch-Importfunktionalität. Konkret wurden die zu migrierenden Daten aus der Benutzerdatenbank von BizReach bezogen und eine JSON-Datei erstellt, die Benutzerinformationen definierte. Diese wurde dann mithilfe der Management-API per Batch-Migration in die Auth0-Benutzerdatenbank übertragen.

Obwohl es bei der Migration der Authentifizierungsfunktionen bestehender Services angeblich viele Schwierigkeiten geben sollte, konnte sie durch den geschickten Einsatz der Auth0-Funktionen erfolgreich durchgeführt werden, ohne auch nur einen der eine Million Benutzenden von BizReach abzumelden.

„Teile unserer Kundschaft haben möglicherweise eine Veränderung auf dem Anmeldebildschirm bemerkt, konnten den BizReach-Service aber wie gewohnt nutzen, ohne sich davon besonders ablenken zu lassen. Dass seit der Umstellung auf die neue Authentifizierungsplattform keine Kund:innen den Service aufgrund einer Abmeldung verlassen haben, ist ein großer Erfolg“, betont Kikuchi.

Die eigentliche Migration dauerte etwa acht Monate. Davon entfielen etwa ein Monat auf die technische Überprüfung, sechs Monate auf Design und Entwicklung und ein Monat auf das Testen. Der Prozess wurde von drei Fachleuten der Plattformabteilung geleitet.

„Die grundlegenden Migrationsarbeiten waren schnell erledigt. Länger dauerte die Migration von Benutzenden, die nicht dem Standard-Anmelde-/Authentifizierungsablauf folgten, z. B. Benutzende sozialer Netzwerke und Benutzende, die mit nicht RFC-konformen E-Mail-Adressen registriert waren. Bei uns lag ein Sonderfall vor, da wir das System zu einem Produkt hinzufügten, das bereits seit über zehn Jahren im Einsatz war. Bei einem neuen oder relativ jungen Service denke ich, dass die Migration in etwa ein bis zwei Monaten möglich ist“, erklärt Kikuchi.

Obwohl ein direkter Vergleich mit einer eigenen Entwicklung kaum möglich ist, sagt Kikuchi, dass der Arbeitsaufwand des Entwicklungspersonals halbiert wurde. „Hätten wir das System mit drei Personen selbst entwickelt, wären uns Entwicklungs- und Verifizierungskosten für Sicherheitsfunktionen entstanden, für die jetzt Auth0 verantwortlich ist. Dies hätte mehr Personal und Entwicklungszeit erfordert. In Anbetracht dessen könnte Auth0 zu einer Reduzierung von mehr als 50 % beigetragen haben. Ein weiterer großer Vorteil ist, dass die eingesparte Zeit für andere Systementwicklungen genutzt werden kann“, so Kikuchi.

Warum hat sich die Plattform-Entwicklungsabteilung für Auth0 entschieden, obwohl verschiedene Cloud-basierte Services für Authentifizierung, Autorisierung, Verwaltung und Zugriffskontrolle verfügbar sind?

„Wir haben mehrere Produkte verglichen und gegenübergestellt, uns aber für Auth0 entschieden, weil es die umfangreichste Funktionalität für Benutzermigrationen bot und wir die Sorge hatten, dass bestehende Benutzende während der Migration abgemeldet würden. Darüber hinaus haben wir die Sicherheit und Verfügbarkeit sowie den Support bewertet und eine Gesamtentscheidung getroffen“, sagt Kikuchi. 

In puncto Sicherheit erwies sich Auth0 laut BizReach als überlegen, da es zahlreiche Authentifizierungsmethoden wie Multi-Faktor-Authentifizierung (MFA) und Passkeys bietet und immer schnell auf die neuesten Authentifizierungsfunktionen reagiert.

„Bei der Entwicklung eigener Systeme muss man die langen Vorlaufzeiten für die Reaktion auf neue Sicherheitsbedrohungen berücksichtigen. Auth0 hingegen verfügt über diverse Sicherheitsfunktionen wie Schutz vor Brute-Force-Angriffen und Suspicious-IP-Throttling, die wir früher selbst entwickelt haben. Heute müssen wir das System nicht mehr selbst entwickeln und betreiben. Außerdem werden die Cyberangriffe jedes Jahr ausgefeilter und vielfältiger. Normale Unternehmen wie wir können dort nicht ohne hohe Investitionen mithalten. Wir haben zwar eine eigene Sicherheitsabteilung, müssen uns aber neben der Authentifizierung noch mit verschiedenen anderen Sicherheitsfragen auseinandersetzen“, so Kikuchi.

Was die Verfügbarkeit anbelangt, so „läuft [Auth] auf Amazon Web Services (AWS), die wir auch für unsere eigenen Produkte nutzen. Es garantiert in seiner SLA eine Verfügbarkeitsrate von 99,99 %, die die höchste unter den von uns verglichenen Produkten war, und führt 98 % der Authentifizierungsanfragen in 500 ms aus“, sagt Yamamoto. Latenz war für das BizReach-Team ein zentrales Anliegen. Hinsichtlich des Supports waren „die schnelle und präzise Reaktionszeit bei der Kontaktaufnahme mit dem Support“ und „die Dokumentation verschiedener Anwendungsfälle und Best Practices für die Verwendung der jeweiligen API“ die wichtigsten Faktoren für Yamamoto.

„Wenn solche Ressourcen nicht verfügbar sind, nutzen Sie das System möglicherweise unwissentlich auf eine Art und Weise, die die Leistung beeinträchtigt, oder Sie müssen sich an den Support wenden, weil Sie die Ursache des Problems nicht kennen. Fachleute sind am zufriedensten, wenn sie das Problem sofort selbst lösen können, indem sie in der Dokumentation nachschlagen, und möglichst wenig Zeit mit Rückfragen verbringen müssen“, sagt Yamamoto.

Yamamoto verwies außerdem auf den Vorteil, dass das Team mit Auth0 seit der Migration reibungsloser auf Benutzeranfragen reagieren und Ursachen mithilfe der Dashboards und Ereignisprotokolle leichter identifizieren könne. Darüber hinaus hat die Plattform-Entwicklungsabteilung eine eigene Managementoberfläche für die Kundensupport-Abteilung erstellt, die direkt für den Kundenservice zuständig ist, sodass Kundenanfragen innerhalb dieser Abteilung bearbeitet werden können.

„Wir haben eine Administrationsoberfläche erstellt, die es auch nichttechnischen Mitarbeitenden ermöglicht, Ereignisprotokolle von Auth0 über eine API abzurufen. Dadurch können unsere Kundenbetreuenden die Ereignisprotokolle mit der Mitgliedsnummer oder E-Mail-Adresse von Kund:innen abgleichen, sodass Anfragen fast nie bei uns in der Entwicklung landen“, sagt Yamamoto.

Viele Unternehmen zögern möglicherweise, ein groß angelegtes Projekt wie die Erneuerung der Authentifizierungsinfrastruktur für einen bestehenden umfangreichen Service wie die BizReach-Produkte umzusetzen, da damit hohe Personal- und Anschaffungskosten verbunden sind. Die Einführung von Auth0 durch die Plattform-Entwicklungsabteilung zeugt jedoch von einer proaktiven Haltung des Unternehmens, indem es nämlich mittel- bis langfristig investiert, soweit dies für das Geschäftswachstum notwendig ist, ohne sich von kurzfristigen Kosten einschränken zu lassen.

„Wenn man als Unternehmen wachsen möchte, erscheint die Strategie, Kosten durch zurückhaltende Investitionen niedrig zu halten, grundsätzlich sinnvoll, da sich der Gewinn des Unternehmens aus den Umsatzerlösen abzüglich der Ausgaben ergibt. Geht es allerdings um die Authentifizierungsinfrastruktur, ist es angesichts der Sicherheitsrisiken schwierig, hochqualifizierte Fachleute zu gewinnen. Daher lohnt es sich, in ein Produkt wie Auth0 zu investieren. Mit anderen Worten, es kommt darauf an, wofür man seine Entwicklungsressourcen einsetzt. Um Mehrwert zu schaffen, der sich auf die Gesellschaft auswirkt, sollten Entwicklung und Management meiner Meinung nach ihre Ressourcen auf die Kernbereiche konzentrieren, die die Wettbewerbsfähigkeit des Unternehmens sichern. Wir befinden uns in einer Situation, in der unsere Entwicklungsressourcen schlicht nicht ausreichen, um unsere Vision einer ‚Karriere-Infrastruktur‘ zu verwirklichen. Daher sind wir zu dem Schluss gekommen, dass es unerlässlich ist, unter Berücksichtigung der mittel- bis langfristigen Kosten, in eine Authentifizierungsinfrastruktur zu investieren, deren Entwicklung eben nicht Teil unseres Kerngeschäfts ist, um unseren Umsatz zu steigern und gleichzeitig die Sicherheit zu gewährleisten“, sagt Kikuchi.

Wie diese Worte belegen, ist es der Plattform-Entwicklungsabteilung gelungen, das Fundament für die „Umsetzung einer Karriere-Infrastruktur“ zu errichten, indem sie frühzeitig in die Authentifizierungsinfrastruktur investierte und damit auch die Managementgrundlage verbesserte und stärkte. 

„Zukünftig werden wir proaktiv Funktionen integrieren, die es unseren Kund:innen ermöglichen, unsere Produkte ohne Reibungsverluste zu nutzen. So möchten wir beispielsweise die Benutzerauthentifizierung stärken, indem wir MFA einführen und Passkeys unterstützen, und damit gleichzeitig den Benutzerkomfort erhöhen“, erklärt Kikuchi. Darüber hinaus beabsichtigt das Unternehmen, beim Release neuer Produkte eine komfortablere Zuordnungsplattform bereitzustellen, indem es auf den zentral von Auth0 verwalteten Kundenstamm zurückgreift. Schließlich möchte das Unternehmen die durch die Implementierung gewonnenen Kompetenzen und Erfahrungen dazu nutzen, die Vorteile von Auth0 auch auf den B2B-Bereich des Geschäfts zu übertragen.