Single Sign-on (SSO) erlaubt Ihnen, sich einmal anzumelden und anschließend auf mehrere Anwendungen zuzugreifen, ohne sich erneut zu authentifizieren. Das spart Zeit, reduziert Passwortmüdigkeit und verbessert die Nutzererfahrung in Unternehmen und bei Cloud-Diensten.
Im Kern steht ein zentraler Identitätsanbieter (Identity Provider, IdP). Bekannte IdPs sind Microsoft Azure Active Directory, Google Identity Platform und Auth0, das heute zu Okta gehört. Der IdP verwaltet Ihre Anmeldeinformationen und bestätigt gegenüber Dienstanbietern (Service Providers), dass Sie verifiziert sind.
SSO ist relevant für Mitarbeiter, Kunden, IT-Administratoren und Entwickler. In Deutschland spielen Datenschutz und Compliance, etwa die DSGVO, eine große Rolle bei der Auswahl und dem Betrieb von SSO-Lösungen.
Dieser Artikel erklärt zunächst die Grundprinzipien und Begriffe. Danach folgen die Sicherheitsprotokolle wie OAuth, OpenID Connect und SAML. Abschließend behandeln wir praktische Aspekte der Implementierung, Best Practices und typische Einsatzszenarien wie Microsoft 365, SaaS-Integrationen und mobile Anwendungen.
Sie lernen auch die wichtigsten Chancen und Risiken kennen: zentrale Zugriffskontrolle und bessere Usability stehen neben der Pflicht, Token sicher zu verwalten und den IdP abzusichern.
Grundprinzipien von Single Sign-on
Single Sign-on (SSO) vereinfacht den Zugriff auf mehrere Anwendungen, indem du dich einmal anmeldest und dann nahtlos weiterarbeitest. Dieses Prinzip reduziert wiederholte Anmeldungen und verbindet verschiedene Systeme über standardisierte Protokolle und einen zentralen Identity Provider.
Was Single Sign-on bedeutet
SSO ist ein Authentifizierungsmechanismus, der dir erlaubt, dich einmal zu authentifizieren und Zugang zu mehreren, voneinander unabhängigen Systemen zu erhalten, ohne mehrfach zu loggen. Typische Komponenten sind du als Nutzer, dein Client (Browser oder App), ein Identity Provider (IdP) und die Service Provider (SP) wie Office 365 oder Salesforce.
SSO ist kein Passwortmanager und kein Synonym für Single Logout (SLO). Es ist ein Ablaufsystem für Authentifizierung, das oft mit SLO und Identity Federation kombiniert wird.
Wie Authentifizierung und Autorisierung zusammenwirken
Authentifizierung stellt fest, wer du bist, etwa per Passwort, Multi-Faktor-Authentifizierung oder biometrischen Verfahren. Autorisierung legt fest, was du darfst, gesteuert durch Rollen und Berechtigungen.
Der typische Ablauf sieht so aus:
- Du forderst Zugriff bei einer Anwendung (SP) an.
- Die Anwendung leitet die Anfrage an den IdP weiter.
- Der IdP authentifiziert dich und sendet ein Token oder eine Assertion zurück.
- Der SP entscheidet auf Basis der übermittelten Claims und seiner Autorisierungsregeln über den Zugriff.
Der IdP übermittelt Attribute wie E-Mail, Gruppenmitgliedschaften oder Rollen. Diese Informationen helfen dem Service Provider, Zugriffsentscheidungen zu treffen. Häufig ist SSO in Identity- und Access-Management-Systeme integriert und nutzt Verzeichnisse wie Active Directory oder LDAP für zentrale Benutzerinformationen.
Vorteile für Nutzer und IT-Administratoren
Für dich als Nutzer bedeutet SSO weniger Passwörter, schnelleren Zugriff und geringere Login-Hürden. Das steigert die Akzeptanz und reduziert Passwort-Resets.
Für IT-Administratoren bietet SSO zentrale Verwaltung der Authentifizierung, vereinfachte Provisionierung und Deprovisionierung von Nutzern sowie konsistente Sicherheitsrichtlinien. Das senkt Helpdesk-Kosten und erhöht die Produktivität.
Risiken wie ein Single Point of Failure beim IdP lassen sich mit Hochverfügbarkeit, Backups, strenger Absicherung des IdP und Multi-Faktor-Authentifizierung mindern. Monitoring ergänzt diese Maßnahmen, um Ausfall und Kompromittierung frühzeitig zu erkennen.
Sicherheitsmechanismen und Protokolle bei Single Sign-on
Im Umgang mit Single Sign-on (SSO) stehen Protokolle und Mechanismen im Mittelpunkt, die Identität, Integrität und Vertraulichkeit schützen. Du solltest die Unterschiede zwischen Autorisierung und Authentifizierung kennen und verstehen, wie Token, Signaturen und Sessions zusammenspielen.
OAuth und OpenID Connect
OAuth 2.0 ist ein Autorisierungsrahmen, der Drittanbietern begrenzten Zugriff auf Ressourcen erlaubt, ohne Passwörter preiszugeben. OpenID Connect baut auf OAuth 2.0 auf und liefert ein ID-Token, meist ein JSON Web Token (JWT), zur Identitätsprüfung.
Typische Abläufe sind der Authorization Code Flow, das Client Credentials Flow und das veraltete Implicit Flow. Für Web- und Mobile-Apps empfiehlt sich der Authorization Code Flow mit PKCE. PKCE reduziert das Risiko von Code-Interception und verbessert die Sicherheit auf mobilen Geräten.
- Gängige Anbieter: Microsoft Azure AD, Google Identity, Okta, Auth0.
- Sicherheitsmaßnahmen: Schutz von Client Secrets, Einsatz von TLS/HTTPS, Prüfung von Token-Signaturen und Ablaufzeiten (exp), vorsichtige Handhabung von Refresh Tokens.
SAML (Security Assertion Markup Language)
SAML ist ein XML-basiertes Protokoll, das in Unternehmensumgebungen weit verbreitet ist. Es passt gut zu klassischen Webanwendungen und Identity Providern wie ADFS oder Shibboleth.
Ein typischer Ablauf beinhaltet eine AuthnRequest, die Erstellung einer Assertion und eine signierte Response. Signatur und Verschlüsselung der Assertion sind wichtige Sicherheitsoptionen, um Manipulation und Einsicht zu verhindern.
- Einsatzfelder: Hochschulen, größere Unternehmen und SaaS-Integrationen, die SAML 2.0 unterstützen.
- Sicherheitsbestimmungen: Assertions signieren, Zeitstempel validieren, Audience-Restriktionen prüfen und Replay-Angriffe verhindern.
Session-Management und Token-Sicherheit
Unterschiede zwischen Sitzungscookies und tokenbasierten Verfahren wie JWT sind relevant für deine Sicherheitspolitik. Sitzungscookies leben typischerweise am Server, Tokens verbleiben meist beim Client.
Angriffe wie Session-Hijacking, Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF) können SSO kompromittieren. Du solltest sichere Cookie-Attribute setzen: Secure, HttpOnly und SameSite.
- Begrenze Token-Lebensdauern und nutze Refresh Tokens mit sicherer Aufbewahrung.
- Rotieren von Schlüsseln und regelmäßige Überwachung helfen, kompromittierte Tokens zu entdecken.
- Setze Multi-Faktor-Authentifizierung am Identity Provider ein; FIDO2/WebAuthn und TOTP-Apps bieten stärkeren Schutz als SMS.
- Integriere Logging, Auditing und SIEM, um Anomalien wie ungewöhnliche Login-Muster oder Geolocation-Abweichungen zu erkennen.
Single Sign-on in der Praxis: Implementierung und Best Practices
In der Planungsphase sollten Sie einen Identity Provider (IdP) wählen, der DSGVO-konform ist und Integrationen zu Active Directory oder LDAP bietet. Prüfen Sie Microsoft Azure AD, Google Workspace, Okta oder Auth0 auf unterstützte Protokolle wie OpenID Connect und SAML, Verfügbarkeit von Multi-Faktor-Authentifizierung (MFA), Skalierbarkeit sowie das Kostenmodell.
Bereiten Sie die Implementierung vor, indem Sie alle Anwendungen inventarisieren und sensible Ressourcen klassifizieren. Definieren Sie Rollen, Zugriffsrichtlinien und automatisierte Provisionierung per SCIM. Testen Sie Authorization-Code-Flows und SAML-Assertions in einer Staging-Umgebung, tauschen Sie Metadaten und Zertifikate aus und konfigurieren Sie Redirect-URIs sorgfältig.
Setzen Sie Sicherheits-Best-Practices um: Erzwingen Sie MFA am IdP, implementieren Sie RBAC oder ABAC und etablieren Sie strenge Passwort- und Account-Richtlinien. Sorgen Sie für Hochverfügbarkeit und Disaster Recovery durch georedundante Bereitstellung und regelmäßige Backups der IdP-Konfiguration.
Beachten Sie Datenschutzpflichten in Deutschland: Minimieren Sie personenbezogene Daten, dokumentieren Sie Verarbeitungszwecke und schließen Sie Auftragsverarbeitungsverträge mit SaaS-Anbietern ab. Starten Sie mit einem Pilotprojekt, führen Sie regelmäßige Sicherheitsreviews und Penetrationstests durch und schulen Sie Administratoren sowie Anwender. So verbessert SSO die Nutzererfahrung, ohne die Identitätsschicht zur Schwachstelle werden zu lassen.
