Single Sign-On (SSO): Bedeutung, Funktionsweise und Sicherheit

Was ist Single Sign-On?

SSO steht für Single Sign-On, auf Deutsch Einmalanmeldung. Sie melden sich morgens einmal an und können danach E-Mail, Chat, Dateiablage, CRM und viele weitere Anwendungen nutzen. Ein erneutes Passwort ist nicht nötig.

Das Prinzip ähnelt einem Firmenausweis. Am Empfang wird einmal geprüft, wer Sie sind. Danach öffnet der Ausweis alle Türen, für die Sie berechtigt sind. Niemand muss an jeder Tür Ihren Personalausweis sehen.

Im Unternehmen ist SSO heute Standard. Es spart Zeit, entlastet den IT-Support und macht die Anmeldung sicherer.

So funktioniert eine SSO-Anmeldung

Bei SSO wirken drei Beteiligte zusammen: der Benutzer, die Anwendung (Service Provider) und die zentrale Anmeldestelle (Identity Provider, IdP). Ein typischer Ablauf:

1. Aufruf: Sie öffnen eine Anwendung, zum Beispiel die Dateiablage.
2. Weiterleitung: Die Anwendung kennt Sie noch nicht und schickt Sie zum Identity Provider.
3. Anmeldung: Sie melden sich dort an, etwa mit Passwort und einem Passkey als zweitem Faktor.
4. Bestätigung: Der Identity Provider stellt eine digital signierte Bestätigung aus, ein Token oder eine Assertion. Es enthält, wer Sie sind und welche Rollen Sie haben.
5. Zugang: Die Anwendung prüft die Signatur und lässt Sie herein.
6. Nächste Anwendung: Öffnen Sie danach den Chat, erkennt der Identity Provider Ihre laufende Sitzung. Sie sind sofort angemeldet.

Wichtig: Die Anwendungen sehen Ihr Passwort nie. Sie vertrauen nur der Bestätigung des Identity Providers.

Die wichtigsten Standards

• SAML 2.0: der klassische Standard für Unternehmensanwendungen im Browser. Er nutzt XML-Nachrichten.
• OpenID Connect (OIDC): baut auf OAuth 2.0 auf und nutzt kompakte JSON-Token. Er eignet sich für Web-Apps, mobile Apps und Schnittstellen.
• OAuth 2.0: regelt die Freigabe von Zugriffen, etwa wenn eine App auf Ihren Kalender zugreifen darf. Für die Anmeldung allein ist OAuth nicht gedacht. Dafür gibt es OIDC.
• Kerberos: das SSO-Verfahren in Windows-Netzwerken mit Active Directory. Wer sich am Rechner anmeldet, erhält ein Ticket für weitere Dienste im Netz.

Ergänzend sorgt SCIM dafür, dass Benutzerkonten automatisch in allen angebundenen Anwendungen angelegt, geändert und gesperrt werden.

Abgrenzung zu ähnlichen Verfahren

• Passwort-Manager: speichert viele Passwörter. Jede Anwendung prüft weiterhin ihr eigenes.
• Passwort-Synchronisation: Dasselbe Passwort gilt in mehreren Systemen. Jede Anwendung fragt es aber erneut ab.
• Föderation: SSO über Unternehmensgrenzen hinweg. Partner melden sich bei ihrem eigenen Identity Provider an und erhalten Zugang zu Ihren Anwendungen.
• Social Login: Anmeldung mit einem bestehenden Konto bei einem großen Anbieter. Im privaten Umfeld verbreitet, in Unternehmen selten.

Vorteile von SSO

• Weniger Passwörter: Mitarbeitende merken sich ein starkes Passwort statt vieler schwacher.
• MFA für alle: Ein zweiter Faktor lässt sich zentral für alle Anwendungen erzwingen. Siehe Multi-Faktor-Authentifizierung.
• Schneller Zugriff: Weniger Anmeldungen sparen jeden Tag Zeit.
• Weniger Support: Anfragen zum Zurücksetzen von Passwörtern gehen deutlich zurück.
• Sauberer Austritt: Verlässt jemand das Unternehmen, sperrt die IT ein Konto statt zwanzig.
• Überblick: Alle Anmeldungen laufen über eine Stelle und werden dort protokolliert.

Risiken und Herausforderungen

• Ein Schlüssel für alles: Wird das SSO-Konto übernommen, stehen alle Anwendungen offen. Ohne starken zweiten Faktor ist das gefährlich.
• Ausfall: Fällt der Identity Provider aus, kann sich niemand mehr anmelden. Er muss hochverfügbar sein.
• Phishing: Gefälschte Anmeldeseiten zielen gezielt auf SSO-Zugänge. Phishing-resistente Faktoren wie Passkeys helfen.
• Gestohlene Sitzungen: Angreifer versuchen, Sitzungs-Cookies oder Token zu stehlen. Kurze Laufzeiten und die Bindung an das Gerät erschweren das.
• Alte Anwendungen: Nicht jede Software unterstützt SAML oder OIDC.

SSO sicher einführen

1. Anwendungen erfassen: Welche Systeme gibt es, und welche Standards unterstützen sie?
2. Identity Provider wählen: Er sollte SAML 2.0, OIDC und SCIM beherrschen und Ihr Verzeichnis, etwa Active Directory, anbinden.
3. Starke MFA erzwingen: am besten mit Passkeys oder FIDO2-Schlüsseln, die gegen Phishing schützen.
4. Regeln für den Zugriff festlegen: Bedingter Zugriff prüft bei jeder Anmeldung, etwa Gruppe, Anwendung oder Herkunft. Siehe Identity and Access Management.
5. Schrittweise anbinden: erst wenige Anwendungen, dann der Rest.
6. Überwachen: Anmeldungen auswerten und auffällige Muster melden.

Single Sign-On mit SecTepe.Comm

SecTepe.Comm hat eine zentrale Anmeldung für alle Dienste. Sie folgt den offenen Standards OIDC und SAML 2.0 und nutzt den bewährten Open-Source-Anmeldeserver Keycloak. Den zweiten Faktor bestätigen Sie per Einmalcode-App (TOTP), FIDO2-Hardware-Schlüssel oder Passkey. Konten entstehen über SCIM automatisch, ein bestehendes Active Directory lässt sich anbinden. Regeln für bedingten Zugriff entscheiden bei jeder Anmeldung neu, und neue Passwörter werden gegen eine öffentliche Datenbank geleakter Passwörter geprüft.

Fazit

Single Sign-On bedeutet: einmal anmelden, viele Anwendungen nutzen. Das ist bequemer und meist sicherer als viele einzelne Passwörter. Entscheidend sind ein starker zweiter Faktor, ein ausfallsicherer Identity Provider und offene Standards wie SAML und OpenID Connect.