In vielen Unternehmen ist die Zahl der genutzten Anwendungen stark gewachsen: E-Mail, Ablage, Zeiterfassung, CRM, Personalsoftware und Fachanwendungen. Ohne Single Sign-On braucht jede davon ein eigenes Konto mit eigenem Passwort. Das führt zu schwachen oder mehrfach verwendeten Passwörtern und zu Konten, die beim Austritt vergessen werden. SSO verlagert die Anmeldung an eine zentrale Stelle, an der sich Sicherheitsregeln einheitlich durchsetzen lassen.
Wie funktioniert Single Sign-On?
Beteiligt sind ein Identitätsanbieter, etwa Microsoft Entra ID, und die Anwendungen, die diesem Anbieter vertrauen. Der Ablauf sieht vereinfacht so aus:
- Eine Person ruft eine Anwendung auf und wird zum Identitätsanbieter weitergeleitet.
- Dort meldet sie sich an, idealerweise mit Multi-Faktor-Authentifizierung.
- Der Identitätsanbieter stellt ein digital signiertes Token aus, das die Identität bestätigt.
- Die Anwendung prüft die Signatur und gewährt den Zugriff.
Solange die Sitzung beim Identitätsanbieter gültig ist, gelangt die Person ohne neue Eingabe in weitere angebundene Anwendungen. Verbreitete Standards sind SAML 2.0 und OpenID Connect für Web- und Cloud-Anwendungen sowie Kerberos in klassischen Windows-Netzen.
Typische Beispiele
- Nach der Anmeldung am Windows-Gerät stehen Microsoft 365 und weitere Cloud-Dienste ohne zusätzliche Passwortabfrage zur Verfügung.
- Eine Fachanwendung bietet eine Schaltfläche zur Anmeldung mit dem Firmenkonto an.
- Beim Austritt einer Person wird ein einziges Konto gesperrt, und der Zugang zu allen angebundenen Anwendungen endet.
Worauf Unternehmen achten sollten
- SSO immer mit MFA kombinieren: Das zentrale Konto ist besonders wertvoll und braucht den stärksten Schutz.
- Zugriffsregeln zentral setzen: Richtlinien wie Conditional Access wirken für alle angebundenen Anwendungen gleichzeitig.
- SSO bei der Beschaffung einfordern: Unterstützung für SAML oder OpenID Connect als Anforderung festlegen. Manche Anbieter bieten SSO nur in höheren Tarifen an.
- Kontenlebenszyklus automatisieren: Konten in Anwendungen automatisch anlegen und entfernen lassen, etwa über den Standard SCIM.
- Restliche Konten absichern: Anwendungen ohne SSO dokumentieren und deren Zugangsdaten in einem Passwort-Manager verwalten.
Abgrenzung
SSO ist nicht dasselbe wie ein überall gleiches Passwort. Bei SSO erfährt die Anwendung das Passwort gar nicht, sie erhält nur die signierte Bestätigung des Identitätsanbieters.
Security-Kompetenz ansehen