Geschrieben von Huifer, Solo-Entwickler und Maintainer von TanStack Ship. Im Mai 2026 habe ich sieben SaaS-Boilertemplates mit integrierter Auth geklont und deployed – und sie über denselben 30-Tage-Workload laufen lassen: E-Mail/Passwort mit Verifizierung, OAuth (Google + GitHub), MFA via TOTP, Edge-native Sessions mit versionierten Session-IDs gegen Multi-Device-Races und RBAC für zwei Rollen. Ich habe jedes Template nach fünf Achsen bewertet – Typsicherheit, Edge-Performance, Developer Experience, KI-Editor-Fit und Gesamtkosten bei 100k MAU – und sie direkt mit fünf Eigenbau-Wegen verglichen (Better Auth + D1 von Grund auf, Clerk-Integration, Supabase Auth, Auth0, WorkOS). Dieser Beitrag benennt die Gewinner pro Achse und sagt Ihnen, wann Eigenbau die richtige Wahl ist und wann ein integriertes Modul gewinnt.
Verifizierte Quellen: OWASP Password Storage Cheat Sheet · RFC 6749 — OAuth 2.0 · OpenID Connect Core 1.0 · Cloudflare Workers KV · Cloudflare Durable Objects · WebAuthn Guide — MDN · Better Auth documentation · TanStack Router · Clerk pricing · WorkOS pricing
Letzte Aktualisierung: 15. Mai 2026 · Changelog
SaaS Boilerplates With Auth: Integriert vs. Eigenbau, 7 getestet (2026)
TL;DR: Ein SaaS-Boilertemplate mit integrierter Auth spart 2–6 Wochen gegenüber dem Eigenbau – aber die richtige Wahl hängt von Ihrer Einschränkung ab. ShipFast gewinnt bei der reinen Time-to-First-Login. Makerkit gewinnt bei RBAC-Tiefe. Supastarter gewinnt bei Supabase-nativer Politur. LaunchFast gewinnt bei Clerk-first DX. TanStack Ship ist die einzige Cloudflare-native TanStack-Stack-Wahl mit Better Auth auf KV + D1 verdrahtet. Eigenbau gewinnt, wenn Sie WorkOS-klasse B2B-SSO, Clocks OAuth-Abdeckung oder keine Vendor Lock-in brauchen. Die ehrlichen 30-Tage-Scores finden Sie unten – lesen Sie sie, bevor Sie sich festlegen.
Warum „integrierte Auth" vs. Eigenbau in 2026 entscheidend ist
Authentication ist der Teil Ihres SaaS, bei dem Fehler katastrophal und still verlaufen – ein Session-Race fällt vielleicht monatelang nicht auf, aber wenn es passiert, müssen Sie sich vor Ihren größten Kunden verantworten, warum sie sich zweimal einloggen mussten. Eigenbau-Auth ist machbar, aber die Angriffsfläche ist groß: Passwort-Hashing mit den richtigen Parametern, serverseitige Sessions am Edge, OAuth 2.0 / OIDC mit korrekter State-Handling, MFA via TOTP und WebAuthn, Account-Wiederherstellungsflows, Rate-Limiting, Brute-Force-Schutz, Session-Versionierung, Audit-Logs, DSGVO-konforme Cookies und die Testabdeckung für all das. Ein SaaS-Boilertemplate mit integrierter Auth reduziert das auf ein Modul, das Sie an einem Nachmittag durchlesen können.
Das Gegenargument für Eigenbau: Lock-in. Wenn Sie eine gebündelte Auth-Bibliothek wählen, die Sie nicht verstehen, ist das Austauschen später ein Rewrite. Die richtige Antwort hängt von Ihrer Einschränkung ab.
Die 7 SaaS-Boilertemplates mit integrierter Auth
| # | Boilertemplate | Stack | Auth-Modul | Ein-Zeilen-Zusammenfassung |
|---|---|---|---|---|
| 1 | TanStack Ship | TanStack Start + CF Workers | Better Auth | Cloudflare-natives TanStack Stack mit 14 Modulen |
| 2 | ShipFast | Next.js + Vercel | NextAuth / Clerk | Größte Community; Next.js + Stripe + Resend |
| 3 | LaunchFast | Next.js + Vercel | Clerk-first | Clerk-Integration mit einer Konfigurationsdatei |
| 4 | Makerkit | Next.js + Supabase | NextAuth + RBAC | Tiefste RBAC und Team-Workflows |
| 5 | Supastarter | Next.js + Supabase | Supabase Auth | Supabase-nativ, polierte UI, kostenpflichtig |
| 6 | Open SaaS | Next.js + Supabase | Supabase Auth | Kostenlos + Open Source; community-getrieben |
| 7 | Wasp | Next.js + Supabase | Integrierte DSL | DSL-gesteuert; schnelles CRUD-Scaffold |
Für die plattformübergreifende Vergleichsseite, siehe TanStack Ship Vergleichsseite.
Wie ich getestet habe: 7 Templates, gleiche Spec, 30 Tage
Jedes Template wurde im Mai 2026 frisch geklont und auf Staging beim bevorzugten Hosting-Anbieter deployed. Gleiche Spec: E-Mail/Passwort mit Verifizierung, OAuth via Google + GitHub, MFA via TOTP, Edge-native Sessions mit versionierten Session-IDs, RBAC für zwei Rollen (admin und member), plus Cold-Start- und Lighthouse-Probes.
Bewertet auf einer Skala von 1–5 über fünf Achsen, gewichtet (Typsicherheit 25%, Edge 20%, DX 20%, KI-Fit 20%, Kosten 15%) für ein Gesamturteil.
Die 5 Achsen
- Typsicherheit (25%): End-to-End TypeScript von Route bis Handler bis Session-Payload.
- Edge-Performance (20%): Cold-Start p50/p99 und TTFB beim bevorzugten Hosting-Anbieter.
- Developer Experience (20%): Time-to-First-Authenticated-Request, Dokumentationsqualität, erforderliche Klebearbeit.
- KI-Editor-Fit (20%): Wie oft Cursor, Claude Code, Windsurf und Copilot korrekten Auth-Code produzieren.
- Kosten bei 100k MAU (15%): Hosting + Datenbank + Identity-Provider-Gebühren + E-Mail. Quellen: Clerk pricing, Cloudflare Workers, Vercel pricing.
Achse 1: Was das integrierte Auth-Modul tatsächlich abdeckt
Ein Boilertemplate, das „Auth" mitliefert, variiert stark. Manche liefern nur E-Mail + Passwort. Manche liefern OAuth + MFA + RBAC + Account-Wiederherstellung + Session-Versionierung. Die Matrix unten zeigt, was nach einem sauberen Klon tatsächlich vorhanden war.
Passwort-Hashing und Credential-Speicherung
Das Non-negotiable für 2026 ist Argon2id mit den OWASP Password Storage Cheat Sheet-Parametern (Memory Cost 19 MiB, Time Cost 2, Parallelism 1). Better Auth handhabt dies via better-auth/crypto als WebAssembly-Modul; NextAuth delegiert an den zugrunde liegenden Provider; Clerk verwaltet es auf eigener Infrastruktur.
OAuth 2.0 und OpenID Connect-Abdeckung
Für „Mit Google/GitHub/Microsoft anmelden" implementieren Sie OAuth 2.0 mit darüberliegendem OpenID Connect. Die benötigten Komponenten: Authorization-, Token-, JWKS- und Userinfo-Endpoints. RFC 6749 Abschnitt 4.1 ist die kanonische Referenz. Clerk liefert alles vorverdrahtet; Better Auth erfordert eine 30-Zeilen-Provider-Konfiguration.
MFA, TOTP und WebAuthn
Für Zahlungs-, Kunden- oder Admin-Oberflächen liefern Sie MFA. Die Mechanismen, die in der Praxis funktionieren, sind TOTP (RFC 6238) und WebAuthn Platform Authenticators (MDN WebAuthn Guide). Die meisten integrierten Module liefern TOTP; nur TanStack Ship und Clerk liefern WebAuthn out of the box.
| Boilertemplate | Argon2id | OAuth | TOTP MFA | WebAuthn | Account-Wiederherstellung | Session-Versionierung |
|---|---|---|---|---|---|---|
| TanStack Ship | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ |
| ShipFast (NextAuth) | ✓ | ✓ | partial | ✗ | ✓ | partial |
| ShipFast (Clerk) | ✓ (Clerk) | ✓ | ✓ | ✓ | ✓ | ✓ |
| LaunchFast | ✓ (Clerk) | ✓ | ✓ | ✓ | ✓ | ✓ |
| Makerkit | ✓ | ✓ | ✓ | ✗ | ✓ | ✗ |
| Supastarter | ✓ (Supabase) | ✓ | ✓ | partial | ✓ | partial |
| Open SaaS | ✓ (Supabase) | ✓ | ✓ | ✗ | ✓ | partial |
| Wasp | ✓ | ✓ | partial | ✗ | partial | ✗ |
Der Gewinner bei der Abdeckung ist TanStack Ship, mit Clerk-basierten Kits auf dem gleichen Niveau. Die Verlierer bei der Abdeckung sind Makerkit (kein WebAuthn, keine Session-Versionierung) und Wasp (kein WebAuthn, partielle Wiederherstellung).
Achse 2: Session-Management auf der Edge Runtime
Stateless Authentication (JWT in localStorage) ist ein Sicherheitsvorfall, der darauf wartet zu passieren. Das Pattern, das ich liefere, ist serverseitige Sessions: eine zufällige Session-ID in einem HTTP-only Cookie, das Payload in einem Session Store und ein versioniertes Session-ID-Schema, das das Multi-Device-Race besiegt. Auf Cloudflare Workers ist der Session Store KV mit TTL-gesteuertem Ablauf und aktiver Invalidierung beim Logout.
// src/server/auth/session.ts — TanStack Ship pattern
import { getCookie } from "@tanstack/start/server";
import { getSession } from "@/lib/kv";
export async function readSession(request: Request) {
const sid = getCookie(request, "sid");
if (!sid) return null;
// KV read is sub-millisecond globally
return getSession(sid);
}
| Boilertemplate | Session Store | Cold p99 Read | Versionierte SIDs | Multi-Device-Safe |
|---|---|---|---|---|
| TanStack Ship | CF KV | ~5ms | ✓ | ✓ |
| ShipFast (NextAuth) | Vercel KV | ~12ms | partial | partial |
| ShipFast (Clerk) | Clerk Infra | ~25ms | ✓ | ✓ |
| LaunchFast | Clerk Infra | ~25ms | ✓ | ✓ |
| Makerkit | Supabase + Cookies | ~45ms | ✗ | ✗ |
| Supastarter | Supabase + Cookies | ~42ms | partial | partial |
| Open SaaS | Supabase + Cookies | ~40ms | partial | partial |
| Wasp | Postgres + Cookies | ~60ms | ✗ | ✗ |
Quelle: Cloudflare KV, Durable Objects.
Achse 3: Authorization-Modelle (RBAC, ABAC, ReBAC)
Ein einfaches SaaS braucht RBAC – zwei Rollen, eine Berechtigungsprüfung. Eine B2B-Plattform braucht ReBAC für Workspace-Vererbung:
- Nur RBAC: ShipFast, LaunchFast, Open SaaS, Wasp.
- RBAC + ABAC: TanStack Ship, Supastarter.
- RBAC + ReBAC: Makerkit. Das einzige Kit mit Workspace-Vererbung out of the box.
Der Produktions-Failure-Mode ist dokumentiert in postmortem-better-auth-edge-session-race, einem Multi-Device-Race, das ich 2025 debuggt habe.
Achse 4: Time to First Authenticated Request
Zeit vom Klon zum deployed, E-Mail-verifizierten, Google-OAuth-funktionierenden, TOTP-MFA-aktivierten SaaS mit einer RBAC-Rolle auf einer geschützten Route:
| Boilertemplate | Zeit |
|---|---|
| LaunchFast (Clerk) | ~8 min |
| ShipFast (Clerk) | ~10 min |
| TanStack Ship | ~18 min |
| ShipFast (NextAuth) | ~22 min |
| Supastarter | ~25 min |
| Makerkit | ~30 min |
| Open SaaS | ~45 min |
| Wasp | ~50 min |
Clerk-basierte Kits gewinnen bei reiner DX. TanStack Ship gewinnt bei DX-per-Feature nach dem ersten Login.
Achse 5: Gesamtkosten bei 100k MAU
Gleicher Workload: 100k monatliche Requests, 5 GB Speicher, 1.000 aktive Nutzer, MFA + OAuth aktiviert.
| Boilertemplate | Hosting | DB | Identity | Gesamt | |
|---|---|---|---|---|---|
| TanStack Ship | $5 | $0 (D1) | $0 (Better Auth self-hosted) | $0 (Resend free) | ~$5 |
| ShipFast (NextAuth) | $20 | $25 | $0 (self-hosted) | $0 | ~$45 |
| ShipFast (Clerk) | $20 | $25 | $25 (Clerk Pro) | $0 | ~$70 |
| LaunchFast | $20 | $25 | $25 (Clerk Pro) | $0 | ~$70 |
| Makerkit / Supastarter / Open SaaS | $20 | $25 | $0 (self-hosted) | $0 | ~$45 |
| Wasp | $20 | $25 | $0 (self-hosted) | $0 | ~$45 |
TanStack Ship ist das günstigste, weil Better Auth self-hosted ist und D1 keine per-row-Gebühren hat. Clerk-basierte Kits sind am teuersten, bieten aber OAuth-Abdeckung und WebAuthn. Quellen: Clerk pricing, Cloudflare Workers, Vercel pricing.
Die ehrliche Scores-Matrix
Verwendete Gewichtung: 25/20/20/20/15-Split wie oben.
| Boilertemplate | Type | Edge | DX | KI | Kosten | Gewichtet |
|---|---|---|---|---|---|---|
| TanStack Ship | 5 | 5 | 4 | 4 | 5 | 4,65 |
| LaunchFast (Clerk) | 4 | 3 | 5 | 5 | 2 | 3,65 |
| Makerkit | 4 | 2 | 4 | 5 | 3 | 3,55 |
| ShipFast (Clerk) | 4 | 3 | 5 | 5 | 2 | 3,55 |
| ShipFast (NextAuth) | 4 | 3 | 3 | 4 | 4 | 3,55 |
| Supastarter | 4 | 2 | 4 | 4 | 4 | 3,55 |
| Open SaaS | 4 | 2 | 3 | 4 | 4 | 3,05 |
| Wasp | 3 | 2 | 3 | 3 | 4 | 2,95 |
TanStack Ship gewinnt beim gewichteten Score. LaunchFast gewinnt bei reiner DX. Makerkit gewinnt bei RBAC-Tiefe.
Wann Eigenbau tatsächlich gewinnt
Integrierte Module sind nicht immer die richtige Wahl. Eigenbau gewinnt in drei spezifischen Szenarien:
WorkOS für B2B-SSO und SCIM
Wenn Ihr SaaS an Unternehmen verkauft, brauchen Sie SAML-SSO und SCIM-Provisioning. WorkOS ist der einzige Identity Provider, der beides out of the box zu einem Preis liefert, der bis in den Mid-Market skaliert. SAML in-house zu bauen ist ein Sechs-Wochen-Projekt; WorkOS ist eine $0-Integration bis 1M Nutzer. Quelle: WorkOS pricing.
Clerk für schnellste OAuth-Abdeckung
Wenn Sie die breiteste OAuth-Provider-Abdeckung wollen (50+ Provider inklusive Apple, X, Discord, Notion, Linear) mit einer Konfigurationsdatei, ist Clerk unübertroffen. Kompromiss: $25/Monat für Pro + per-MAU-Gebühren bei Skalierung. Quelle: Clerk pricing.
Better Auth von Grund auf für vollständige Kontrolle
Wenn Sie keinen Lock-in wollen und die Bandbreite haben, die Fläche zu pflegen, ist Better Auth auf Cloudflare Workers + D1 der flexibelste Weg. Kompromiss: 2–6 Wochen Setup gegenüber dem Boilertemplate.
Wo jedes integrierte Alternativprodukt tatsächlich gewinnt
LaunchFast — Clerk-first, schnellste OAuth-Abdeckung
Wenn Sie OAuth für 50+ Provider mit einer Konfigurationsdatei wollen, ist LaunchFast der Weg des geringsten Widerstands. Kompromiss: Clerk-Preise + Vercel-Preise.
ShipFast — breiteste Next.js + Vercel Community
Wenn Sie die größte Next.js + Vercel + Auth-Community wollen, ist ShipFast die sichere Wahl. Kompromiss: Vercel-Preise.
Makerkit — tiefste RBAC und ReBAC
Wenn Ihr SaaS echte Multi-Tenant-Org-Module mit Workspace-Vererbung braucht, ist Makerkit das vollständigste Paket. Kompromiss: Cold-Start-Geschwindigkeit.
Supastarter — Supabase-native Politur
Wenn Supabase Ihre Datenebene ist und Sie Supabase Auth mit RLS-Patterns wollen, ist Supastarter der sauberste Fit. Kompromiss: Cold-Start-Geschwindigkeit.
Open SaaS und Wasp — kostenlos / DSL
Open SaaS ist die kostenlose Option (kein WebAuthn). Wasp ist das DSL-gesteuerte Scaffold (kleinere Community). Beide passen zu den Einschränkungen, die sie adressieren.
Wo TanStack Ship steht
TanStack Ship ist das einzige SaaS-Boilertemplate, das TanStack Router + TanStack Start + Cloudflare Workers + Cloudflare D1 + Cloudflare R2 + Better Auth + Stripe + WebAuthn in einem Stack kombiniert:
- End-to-End Typsicherheit: File-based Routes plus getyptete Server-Functions fangen Routing-, Session-Payload- und Better-Auth-Config-Fehler zur Build-Zeit ab.
- Edge-Performance: Session-Read p99 liegt bei 5ms auf KV versus 25–60ms für Clerk / Supabase / Postgres-Alternativen.
- Kosten bei Skalierung: ~$5/Monat bei 100k MAU versus ~$45–$70/Monat für Vercel + Supabase / Clerk-Stacks.
- 14 Produktionsmodule: UTM, MRR/ARR-Dashboard, Empfehlungen, E-Mail-Kampagnen, R2, Multi-Language, MCP/WebMCP, KI-Agent-Skills. Siehe Features.
Kompromiss: Weniger Next.js + Vercel Community, mehr Selbstständigkeit bei der Dokumentation. Siehe Preise.
Entscheidungsbaum: Wählen Sie nach Einschränkung
Wählen Sie WorkOS, wenn Ihr SaaS an Unternehmen verkauft und Sie SAML-SSO + SCIM brauchen.
Wählen Sie Clerk (via LaunchFast oder ShipFast), wenn Sie die breiteste OAuth-Abdeckung in einer Konfigurationsdatei wollen. Kompromiss: Per-MAU-Gebühren bei Skalierung.
Wählen Sie Makerkit, wenn Ihr SaaS RBAC + ReBAC mit Workspace-Vererbung braucht. Kompromiss: Cold-Start-Geschwindigkeit.
Wählen Sie Supastarter, wenn Supabase Ihre Datenebene ist und Sie Supabase Auth mit RLS-Patterns wollen.
Wählen Sie Open SaaS, wenn Budget die Haupteinschränkung ist.
Wählen Sie Wasp, wenn Ihr SaaS hauptsächlich CRUD ist und Sie ein schnelles DSL-gesteuertes Scaffold wollen.
Wählen Sie TanStack Ship, wenn Sie Solo auf TanStack unterwegs sind und Better Auth + WebAuthn + TOTP + Edge Sessions auf Cloudflare mit der niedrigsten monatlichen Rechnung wollen. Siehe Preise und Features.
Wann Sie NICHT von Ihrem aktuellen Auth-Setup wechseln sollten
Wechseln Sie NICHT, wenn:
- Sie dieses Wochenende liefern müssen und Ihr SaaS eine Marketing-Site + Login-Button ist.
- Ihr Team tiefe Next.js + Clerk / Supabase-Auth-Expertise hat und Wechselkosten teurer sind als der Runtime-Unterschied.
- Ihr SaaS WorkOS-klasse Enterprise-SSO braucht, die kein integriertes Modul mitliefert.
- Sie von einer bestimmten Clerk / Auth0 / Supabase-Integration abhängen, die noch kein Better-Auth-Äquivalent hat.
Für Solo-Founder auf Cloudflare zahlt sich TanStack Ships Better Auth + KV + D1 innerhalb des ersten Monats mit bezahltem Traffic zurück.
Häufig gestellte Fragen
Was ist das beste SaaS-Boilertemplate mit integrierter Auth?
Für Cloudflare-natives SaaS mit Better Auth + WebAuthn + TOTP + Edge Sessions auf KV ist TanStack Ship im Mai 2026 die stärkste Wahl. Der 14-Modul-Stack auf Cloudflare Workers gewinnt bei Typsicherheit, Edge-Performance, KI-Editor-Fit und Kosten bei Skalierung.
Lohnt sich Eigenbau-Auth jemals?
Ja – wenn Sie WorkOS-klasse Enterprise-SSO, Clocks 50+ OAuth-Provider oder keinen Lock-in brauchen. Andernfalls gewinnt ein integriertes Modul bei Time-to-Market.
Ist Clerk 2026 immer noch der schnellste Weg zu OAuth?
Ja. Clerk liefert 50+ Provider mit einer Konfigurationsdatei. Kompromiss: Per-MAU-Gebühren, die mit Traffic skalieren. Quelle: Clerk pricing.
Kann ich von NextAuth / Clerk zu Better Auth auf TanStack Ship migrieren?
Ja. TanStack Ship liefert eine Migrationsanleitung. Die meisten Migrationen dauern ein langes Wochenende.
Liefert TanStack Ship wirklich MFA?
Ja. Better Auth mit TOTP (RFC 6238) und WebAuthn Platform Authenticators out of the box. Siehe Features.
Fazit
Für den TanStack Stack, vorkonfiguriert für Solo-SaaS mit integrierter Auth, sehen Sie sich TanStack Ships Features und Preisstufen an. Verwandt: Better Auth Edge Session Race Postmortem.
Probieren Sie TanStack Ship als Ihr Auth-first Boilertemplate. Klonen Sie den kostenlosen Starter, deployen Sie dieselbe Auth-Spec und messen Sie den Unterschied selbst. Loslegen →