Was ist Single Sign-On (SSO)?

Single Sign-On: Definition und Nutzen

Ohne SSO besitzt jeder Mitarbeiter für jede Anwendung ein eigenes Konto mit eigenem Passwort: für E-Mail, Warenwirtschaft, Zeiterfassung, Ticketsystem und Kundenportal. Das führt zu Passwortmüdigkeit, wiederverwendeten Kennwörtern und vielen Support-Anfragen nach vergessenen Zugangsdaten. SSO bündelt die Anmeldung an einer Stelle.

Nutzer melden sich einmal am zentralen Identitätsdienst an, dem Identity Provider (IdP), etwa Microsoft Entra ID, Okta oder dem Open-Source-Dienst Keycloak. Die angebundenen Anwendungen, die Service Provider, erhalten eine Bestätigung der Identität und lassen den Nutzer ein. Das ist mehr als „Same Sign-On“, bei dem lediglich überall dasselbe Passwort gilt.

So funktioniert SSO

Technisch beruht SSO auf standardisierten Protokollen. SAML 2.0 ist vor allem bei Unternehmensanwendungen verbreitet, OpenID Connect – aufgebaut auf OAuth 2.0 – bei modernen Web- und Mobile-Anwendungen. Beide übermitteln eine signierte Bestätigung der Identität samt Attributen wie Name, E-Mail-Adresse oder Gruppenzugehörigkeit.

Ruft ein Nutzer eine Anwendung auf, leitet diese ihn an den Identity Provider weiter. Besteht dort bereits eine Sitzung, geht es ohne neue Eingabe zurück zur Anwendung. Andernfalls erfolgt die Anmeldung – idealerweise mit Zwei-Faktor-Authentifizierung – und gilt anschließend für alle angebundenen Anwendungen.

Praxis­bei­spiel: Offboarding im Mittelstand

Ein Maschinenbauer mit 80 Mitarbeitern nutzt ein Dutzend Anwendungen. Verlässt jemand das Unternehmen, müssen die IT-Verantwortlichen zwölf Konten einzeln sperren; in der Praxis bleibt dabei leicht ein vergessener Zugang bestehen, etwa im Kundenportal oder Ticketsystem, und niemand bemerkt es.

Mit SSO wird das Konto zentral deaktiviert, und neue Anmeldungen sind in allen angebundenen Anwendungen sofort nicht mehr möglich; bestehende Sitzungen laufen je nach Konfiguration kurz danach aus. Neue Mitarbeiter erhalten über Gruppen sofort die passenden Zugänge, und die Zwei-Faktor-Authentifizierung lässt sich an einer Stelle durchsetzen.

Vorteile, Grenzen und typische Fehler

SSO erhöht Komfort und Sicherheit, weil weniger Passwörter im Umlauf sind und Regeln zentral gelten. Zugleich wird der Identity Provider zum kritischen Punkt: Fällt er aus oder wird ein Konto kompromittiert, sind gleich viele Anwendungen betroffen. Diese Abhängigkeit muss abgesichert werden. Typische Fehler:

• SSO ohne Zwei-Faktor-Authentifizierung für das zentrale Konto betreiben
• Notfallzugang (Break-Glass-Konto) für den Ausfall des Identitätsdienstes vergessen
• Anwendungen anbinden, ohne Rollen und Berechtigungen sauber zuzuordnen
• Lange Sitzungsdauer, sodass Zugriffe nach dem Ausscheiden nachwirken
• Alte lokale Konten parallel weiterlaufen lassen

Worauf Unternehmen achten sollten

Klären Sie vorab, welche Anwendungen SSO unterstützen (SAML oder OpenID Connect), wer die Identitäten pflegt und wie Rollen vergeben werden. Wer bereits Microsoft 365 nutzt, hat mit Entra ID meist den Identitätsdienst schon im Haus. Nano Concepts bindet Kundenportale, Apps und Webanwendungen per OpenID Connect oder SAML an Ihren Identitätsdienst an.