Pexon Consulting | 10 Min. Lesezeit | 08.06.2026
TL;DR
n8n Multi-Tenant funktioniert technisch, skaliert aber wirtschaftlich und compliance-seitig schlecht. Wer mehr als 10-20 Mandanten bedienen will, landet bei einer Instanz pro Mandant (teuer) oder n8n Enterprise (Lizenz-Kosten). Azure Logic Apps Standard mit Subscription-basierter Tenant-Trennung, Entra ID und Activity Logs ist für deutsche AI-Workflow-Plattformen oft die wirtschaftlichere Alternative. Pexon-Migrations-Pattern aus zwei Projekten.
n8n Multi-Tenant: Warum das Single-Tenant-Setup glänzt — und Multi-Tenant nicht
Wir haben in den letzten 18 Monaten in 14 Pexon-Beratungen mit n8n zu tun gehabt. In jedem zweiten Projekt war n8n die richtige Antwort: Ein Team will Workflows schnell modellieren, hat keine Cloud-Vorgaben, braucht 50-200 Workflows in einer Instanz. Single-Tenant, einfache Sicht. Da ist n8n ein erstklassiges Werkzeug — Open-Source-Edition reicht oft komplett.
Das Problem kommt, wenn das gleiche Team plötzlich eine Plattform für Mandanten bauen soll. Eigene Kunden, eigene Workflows, eigene Credentials. Und am besten ein gemeinsames Hosting. Hier zeigt n8n strukturelle Schwächen, die mit Konfiguration nicht weg-architekturiert werden können.
Aus einem konkreten Pexon-Projekt mit einem SaaS-Anbieter, der 35 mittelständische Maschinenbauer als Mandanten serviced: Die n8n-Community-Edition hat einen geteilten Credential-Store, geteilte Webhooks und keine echte User-Trennung. Bei 35 Mandanten heißt das: Workflow von Mandant A kann theoretisch auf Credentials von Mandant B zugreifen, wenn der Workflow-Entwickler nicht aufpasst. Das ist im DORA-Audit nicht vermittelbar — und auch sonst eine schlechte Nachricht.
Die drei n8n Multi-Tenant Pfade — und ihre Kosten
Wer n8n Multi-Tenant einsetzen will, hat drei Optionen. Jede mit klaren Trade-offs.
Pfad 1 — Eine n8n-Instanz pro Mandant. Saubere Isolation auf Container-Ebene. Funktioniert für 5-15 Mandanten, danach wird der Betriebsaufwand zur Vollzeit-Tätigkeit. Pro Instanz fallen Hosting, Backup, Monitoring, Updates an. Bei 35 Mandanten reden wir über 35 Datenbanken, 35 Webhooks-Routen, 35 Upgrade-Zyklen. In unserer Erfahrung explodieren die Betriebskosten exponentiell ab etwa 15 Mandanten.
Pfad 2 — n8n Enterprise mit Workspaces. Lizenz-basierte Lösung mit Workspace-Isolation, SAML-SSO, RBAC. Funktioniert sauber, kostet aber je nach Volumen 50.000-150.000+ EUR pro Jahr. Das ist für viele Mittelständler die richtige Antwort, wenn n8n der strategische Workflow-Stack bleibt. Für AI-Workflow-Plattformen mit hoher Mandanten-Anzahl ist die Kosten-Skala oft schon problematisch.
Pfad 3 — n8n Community + selbst gebaute Tenant-Schicht. Eine n8n-Instanz, vorgeschalteter Proxy, der Webhooks pro Mandant routet, eigene User-Datenbank, Credentials in eigenem Vault. Klingt verlockend, hat aber zwei tödliche Falle: erstens verstößt es oft gegen die n8n-Sustainable-Use-Lizenz, zweitens bricht jeder n8n-Upgrade die selbst gebaute Schicht. Wir raten aktuell konsequent davon ab.
Für deutsche SaaS-Plattformen mit DORA- oder NIS-2-Bezug ist Pfad 2 die einzige saubere n8n-Option. Wer das Budget dafür nicht hat oder wer Microsoft-Stack-zentriert arbeitet, sollte die n8n-Wahl ehrlich nochmal prüfen.
Azure Logic Apps als Alternative — die Architektur-Logik
Logic Apps ist Microsofts iPaaS-Antwort und seit 2023/24 stark gereift. Drei Eigenschaften machen es für Multi-Tenant-AI-Workflows interessant:
- Native Multi-Tenant via Azure-Hierarchie. Subscription → Resource Group → Logic App. Pro Mandant eine Subscription oder Resource Group, das ist die saubere Isolation, die Azure ohnehin schon implementiert hat. Kein selbst-gebautes Tenant-Routing.
- Entra ID als Identity-Layer. Logic Apps integriert mit Microsoft Entra ID nativ. User-Token, Group Claims, Managed Identities — alles, was wir im Beitrag zu AI Agent Security mit Entra ID beschrieben haben, gilt direkt auch für Logic-Apps-Workflows.
- 600+ Connectors out of the box. SAP, Salesforce, Microsoft Graph, SharePoint, Dynamics, ServiceNow, Outlook, viele On-Prem-Konnektoren über das On-Premises Data Gateway. Was n8n in Community-Nodes anbietet, ist in Logic Apps Standard-Repertoire mit Microsoft-Support.
Die Architektur-Logik im Pexon-Default sieht so aus:
+----------+ +-------------------+ +---------------------+
| Mandant- | | Azure API | | Resource Group |
| Frontend |-->| Management |-->| pro Mandant |
| (Web / | | (Tenant-Routing, | | - Logic App Standard|
| Mobile) | | Auth) | | - Key Vault |
+----------+ +-------------------+ | - Storage Account |
| +---------------------+
v |
+-----------------+ v
| Entra ID | +------------------+
| (User-Auth, | | Azure OpenAI |
| Tenant-Claims) | | (geteilt oder |
+-----------------+ | per Mandant) |
+------------------+Die zentrale Mehrwert-Schicht ist API Management vor den Logic Apps. Sie routet Anfragen anhand des Entra-Tenant-Claims auf die korrekte Resource Group, kümmert sich um Auth-Token-Validierung und liefert ein einheitliches API-Schema nach außen — egal, wie viele Tenants intern hängen.
Logic Apps Standard vs. Consumption — was Sie wirklich brauchen
Logic Apps kommt in zwei Varianten, die oft verwechselt werden:
Consumption Plan. Serverless, pay-per-execution. Kein dedizierter Compute-Anteil, kein VNet-Integration ohne Premium-Plan. Geeignet für sporadische Workflows mit niedrigem Volumen. Für Multi-Tenant-Plattformen oft ungeeignet, weil Cold-Starts und Connector-Limits stören.
Standard Plan. App-Service-basiert, dediziertes Compute, mehrere Workflows in einer Logic App. Native VNet-Integration, deutlich kontrollierbare Performance, klare Kostenstruktur. Das ist die Standard-Wahl für produktive Multi-Tenant-Workflows.
Unsere klare Empfehlung: Logic Apps Standard mit einem App-Service-Plan pro Mandanten-Cluster. „Cluster“ heißt: Mandanten ähnlicher Größe werden auf einen App-Service-Plan zusammengefasst, sehr kleine Mandanten teilen sich einen Plan (mit klarer Last-Trennung), sehr große Mandanten bekommen einen eigenen Plan. Das ist die wirtschaftliche Optimierung, die n8n-Pfad-1 nicht bieten kann.
Multi-Tenant-Pattern mit Subscriptions, RGs und API Management
Konkret bauen wir Multi-Tenant-Plattformen in Logic Apps nach diesem Standard-Pattern:
- Eine Master-Subscription für Plattform-Komponenten (API Management, gemeinsames Monitoring, Identity-Layer)
- Eine Resource Group pro Mandant in der Master-Subscription oder — bei sehr großen Mandanten — eine eigene Subscription
- Key Vault pro Mandant für Credentials, Secrets, API-Keys
- Application Insights zentral mit
tenant_idals Custom Property auf jedem Telemetrie-Event - Activity Log + Diagnostic Settings exportieren in zentrales Log Analytics, von dort in SIEM (Splunk, Sentinel, Elastic)
- Managed Identities pro Logic App, mit RBAC-Zuweisung nur auf die Mandanten-spezifischen Ressourcen
Drei wichtige Detail-Entscheidungen:
- Mandant-ID immer im Token, nicht im Request-Body. Das ist die DORA-saubere Trennung von Auth und Data. Wenn die Mandant-ID nur im Body steht, kann ein kompromittierter Workflow auf andere Mandanten-Daten zugreifen.
- Audit-Log pro Workflow-Run mit tenant_id und user_id. Default-Activity-Log liefert das nicht — wir reichern jeden Run-Log mit Custom-Properties an, damit das SIEM tenant-spezifisch filtern kann.
- Versionierung der Logic-App-Workflows in Git. Logic Apps Standard erlaubt Code-First-Development mit dem ARM-Template-Format oder den neuen Bicep-Modulen. CI/CD über GitHub Actions oder Azure DevOps. Damit ist die Workflow-Definition revisionssicher — was n8n in Community-Edition nicht von Haus aus liefert.
AI-Workflows in Logic Apps — Azure OpenAI nativ
Ein Multi-Tenant-AI-Workflow ist kein Workflow „mit AI dran“ — er ist ein Workflow, in dem der LLM-Call ein normaler Schritt ist. Logic Apps unterstützt das nativ über den Azure OpenAI-Connector:
- Chat Completions, Embeddings, Image Generation als Workflow-Aktion
- Token-Limits konfigurierbar pro Aktion
- Error-Handling über Retry-Policies eingebaut
- Tracing über Application Insights pro AI-Call
Aus zwei laufenden Pexon-Projekten: Die häufigsten AI-Workflows in Multi-Tenant-Plattformen sind Klassifikation eingehender Dokumente, Generierung von Antwortentwürfen, Anomalie-Erkennung in Ticket-Streams. Alles Use-Cases, in denen das LLM ein Schritt im Workflow ist, nicht das Workflow-Zentrum. Genau dafür sind iPaaS-Tools wie Logic Apps gebaut.
Ein konkretes Beispiel: Ein Workflow „neuer Lieferanten-Kontakt“ startet bei E-Mail-Eingang im Mandanten-Postfach, klassifiziert die Anfrage über Azure OpenAI in „Angebot / Reklamation / Sonstiges“, legt sie in das CRM des Mandanten ab und benachrichtigt den zuständigen Account-Manager. Pro Mandant eigene CRM-Connectoren, gemeinsamer Azure-OpenAI-Endpoint (oder pro Mandant einer, je nach Compliance-Anforderung). Workflow-Definition einmal entwickelt, pro Mandant deployt.
Migrations-Pattern — von n8n zu Logic Apps in 6-10 Wochen
Wer von n8n auf Logic Apps migrieren will, kann nicht 1:1 portieren — n8n-Nodes haben oft kein direktes Logic-Apps-Pendant. Aus zwei Pexon-Migrations-Projekten der bewährte Pfad:
Investment: 65.000-95.000 EUR für eine typische Migration mit 50-100 Workflows und 15-40 Mandanten. Laufende Kosten danach: 800-3.000 EUR pro Mandant pro Jahr für Logic-Apps-Verbrauch, plus zentrale Plattform-Kosten von typisch 1.500-3.000 EUR pro Monat.
Aus unseren bisherigen Projekten: Die Pattern-Konsolidierung (Phase 2) ist der unterschätzte Hebel. n8n macht es einfach, viele kleine Workflows zu bauen — was über die Jahre zu Workflow-Wildwuchs führt. In der Migration konsolidieren wir typisch auf 40-60 % der ursprünglichen Workflow-Anzahl, ohne Funktionalitätsverlust.
Was Logic Apps NICHT besser kann
Fair-Play: Es gibt drei Punkte, in denen n8n auch in 2026 noch im Vorteil ist:
1. Time-to-First-Workflow. Eine erste n8n-Instanz steht in 20 Minuten. Logic Apps braucht Azure-Subscription, RG-Setup, Connector-Auth — bei Erst-Inbetriebnahme 1-3 Tage. Für PoC-Phasen ist n8n schneller, für Produktion verschiebt sich die Rechnung.
2. Selbst-hostbare Open-Source-Edition. Wer absolut keine Cloud darf, hat mit n8n Community eine echte Option. Logic Apps gibt es nicht on-prem (es gibt das Integration Account, aber nicht den Logic-App-Runtime). Für sovereign-AI-Cases ist n8n da im Vorteil.
3. Community-Connectoren für Nischen-Systeme. Wenn Sie ein exotisches Tool integrieren müssen (z.B. ein altes branchenspezifisches ERP), gibt es in n8n oft schon ein Community-Node. Logic Apps verlangt dann einen Custom-Connector — der ist nicht trivial.
Konfidenz: hoch. Wir sehen diese drei Vorteile in jedem zweiten Projekt — gleichzeitig kippt die Bilanz bei Multi-Tenant ab 15-20 Mandanten klar zu Logic Apps.
Häufig gestellte Fragen
Ab welcher Mandantenzahl rentiert sich der Wechsel von n8n Multi-Tenant zu Logic Apps?
Aus unserer Erfahrung ab etwa 15-20 Mandanten. Darunter ist n8n Community oder Cloud meist die wirtschaftlichere Wahl. Zwischen 20-50 Mandanten ist n8n Multi-Tenant Enterprise eine valide Option, oberhalb 50 wird Logic Apps fast immer günstiger und einfacher zu betreiben.
Was kostet Azure Logic Apps wirklich für 30 Mandanten?
Eine plausible Range aus zwei laufenden Projekten: 2.500-5.000 EUR pro Monat für Logic-Apps-Verbrauch (App Service Pläne, Connectoren), 800-1.500 EUR für API Management Standard-Tier, 600-1.500 EUR für Monitoring/Logging-Stack. In Summe 4.000-8.000 EUR pro Monat für eine 30-Mandanten-Plattform. Verglichen mit 35 dedizierten n8n-Instanzen plus Betrieb deutlich günstiger.
Ist Logic Apps DORA- und NIS-2-konform out-of-the-box?
Nicht „out-of-the-box“, aber DORA-tauglich konfigurierbar. Pflicht-Setup: Activity Log + Diagnostic Settings in SIEM, Customer Managed Keys für Verschlüsselung, Private Endpoints für Connectoren mit sensiblen Daten, Entra ID Conditional Access für Admin-Zugriffe. Pexon liefert ein DORA-Setup-Template, das diese Konfiguration als Bicep-Modul automatisiert.
Können wir n8n und Logic Apps parallel betreiben?
Ja, das ist sogar der pragmatische Migrations-Weg. Bestehende n8n-Workflows bleiben in Betrieb, neue Workflows entstehen in Logic Apps, Migration in Wellen. Wichtig: Klares Sunset-Datum für n8n (typisch 6-12 Monate nach Migrations-Start), sonst läuft beides parallel weiter und die Komplexität wächst.
Funktioniert das Pattern auch mit anderen iPaaS wie Make, Tray.io oder Workato?
Make ist eher Single-Tenant-orientiert wie n8n Community. Tray.io und Workato haben echte Multi-Tenant-Features, sind aber preislich vergleichbar mit n8n Enterprise. Für rein Microsoft-zentrierte Organisationen mit Entra ID, M365 und Azure ist Logic Apps wirtschaftlich kaum zu schlagen. Wer mit AWS arbeitet, kommt mit AWS Step Functions auf eine ähnliche Multi-Tenant-Logik — die Pexon-Pattern übertragen sich konzeptionell.
Können wir LLM-Workflows in Logic Apps mit Claude oder GPT-4 betreiben statt Azure OpenAI?
Ja, über generische HTTP-Aktionen. Logic Apps kann jeden REST-API-Endpoint aufrufen, also auch Anthropic-API oder OpenAI-Standard-API. Für Multi-Tenant-Plattformen mit deutschen Mandanten empfehlen wir trotzdem Azure OpenAI oder AWS Bedrock in EU-Region, weil die Auftragsverarbeitung sauberer abbildbar ist und Activity-Logs nativ funktionieren.
Nächster Schritt
Wenn Sie aktuell eine Multi-Tenant-Workflow-Plattform planen oder mit n8n an Skalierungs- oder Compliance-Grenzen stoßen: Wir machen die Entscheidung im 6-Wochen-Pilotprojekt für Generative AI konkret — Workflow-Inventory, Architektur-Bewertung und Pilot mit 5-10 Workflows auf Azure Logic Apps Standard.
Verwandte Themen
→Azure Consulting für Multi-Tenant-Plattformen
→Agentic Loops Production: Welches Framework hält 100 User?
