Single Sign-On (SSO) ist ein Anmeldeverfahren, bei dem sich Nutzer einmal mit einer Identität anmelden und anschließend auf viele Anwendungen zugreifen können, ohne erneut Passwörter einzugeben.
Wie SSO funktioniert
Ein zentraler Identity Provider (IdP) – etwa Microsoft Entra ID, Okta, Google Workspace oder Keycloak – prüft den Nutzer, idealerweise mit MFA. Die Anwendungen vertrauen dem IdP und akzeptieren statt eines eigenen Passworts eine signierte Assertion oder ein Token.
Wichtige Protokolle:
- SAML 2.0 – XML-basierter Standard von 2005, verbreitet in Unternehmensanwendungen;
- OpenID Connect – Identitätsschicht auf OAuth 2.0 (2014), Grundlage von „Mit Google/Apple anmelden“ und modernen Apps;
- Kerberos – in Windows-Domänen mit Active Directory.
Warum SSO wichtig ist
Vorteile von SSO:
- weniger Passwörter, die man sich merken und wiederverwenden muss;
- MFA und Richtlinien lassen sich an einer Stelle durchsetzen;
- beim Ausscheiden eines Mitarbeiters kann das Unternehmen sämtliche Zugänge sofort entziehen.
Die Kehrseite: Der IdP wird zum Single Point of Failure und zum Hauptziel. Wer eine SSO-Sitzung stiehlt oder den IdP kompromittiert, kommt überall hinein. Techniken wie „Golden SAML“ – das Fälschen von Assertions mit einem gestohlenen Signaturschlüssel – wurden in der SolarWinds-Kampagne eingesetzt. Der Einbruch in das Supportsystem von Okta 2023 legte Sitzungsdaten von Kunden offen. Zudem hängt SSO von der korrekten Umsetzung in jeder Anwendung ab.
Empfehlungen
- Schützen Sie den IdP mit phishingresistenter MFA und Conditional Access, vor allem für Admins.
- Sichern Sie Signaturschlüssel und Zertifikate und überwachen Sie neue Föderationsvertrauensstellungen und App-Registrierungen.
- Binden Sie möglichst viele Anwendungen an SSO an und entfernen Sie lokale Konten und geteilte Passwörter.
- Begrenzen Sie die Sitzungsdauer und binden Sie Sitzungen an verwaltete Geräte.
