Security & Compliance
Single Sign-On (SSO)
Single Sign-On (SSO) ist ein Verfahren, bei dem du dich einmal anmeldest und danach Zugriff auf mehrere Anwendungen und Dienste erhältst, ohne dich erneut einloggen zu müssen. Die zentrale Identitätsprüfung übernimmt ein Identity Provider, der gegenüber den angeschlossenen Systemen bestätigt, wer du bist.
Was ist Single Sign-On?
Single Sign-On (SSO) ist ein Authentifizierungsverfahren, bei dem du dich einmal mit deinen Zugangsdaten anmeldest und anschließend mehrere, voneinander unabhängige Anwendungen nutzen kannst, ohne dich für jede erneut einzuloggen. Ein zentraler Dienst, der sogenannte Identity Provider (IdP), prüft deine Identität und stellt den angeschlossenen Systemen (Service Providern) eine digitale Bestätigung aus, häufig in Form eines Tokens.
Technisch basieren SSO-Lösungen meist auf standardisierten Protokollen. In Unternehmensumgebungen mit Windows-Domänen kommt Kerberos zum Einsatz, für Web- und Cloud-Anwendungen haben sich SAML und OpenID Connect (auf Basis von OAuth 2.0) etabliert. Bekannte Identity Provider sind Microsoft Entra ID (früher Azure AD), Okta oder die Open-Source-Lösung Keycloak.
Relevanz für KMU
Für kleine und mittlere Unternehmen löst SSO zwei Probleme gleichzeitig: Mitarbeitende müssen sich nicht Dutzende Passwörter merken, und die IT-Verwaltung kann Zugänge zentral steuern. Wenn jemand das Unternehmen verlässt, sperrst du ein Konto am Identity Provider – und alle angeschlossenen Anwendungen sind damit ebenfalls abgesichert. Das reduziert das Risiko vergessener, weiter aktiver Zugänge erheblich.
Auch aus Compliance-Sicht ist SSO relevant: Eine zentrale, nachvollziehbare Zugriffssteuerung gilt als sinnvolle Maßnahme im Rahmen technischer und organisatorischer Maßnahmen und wird von Sicherheitsanforderungen wie NIS2 indirekt gefordert, etwa über sichere Authentifizierung und Berechtigungsmanagement. SSO ersetzt aber keine Mehr-Faktor-Authentifizierung – im Gegenteil: Die zentrale Anmeldung sollte besonders stark abgesichert sein, weil ein kompromittiertes SSO-Konto den Zugriff auf alle angeschlossenen Systeme öffnet.
Typische Missverständnisse
- „SSO macht Passwörter überflüssig.“ Nicht ganz. Du meldest dich weiterhin an – nur eben einmal zentral. Die Anmeldung selbst sollte idealerweise durch einen zweiten Faktor abgesichert sein.
- „SSO ist dasselbe wie ein Passwort-Manager.“ Nein. Ein Passwort-Manager füllt nur Anmeldefelder aus; jede Anwendung hat weiterhin eigene Zugangsdaten. Bei SSO authentifiziert sich der Nutzer nur gegenüber dem Identity Provider.
- „SSO ist nur etwas für Konzerne.“ Viele Cloud-Werkzeuge, die KMU bereits nutzen (z. B. Microsoft 365 oder Google Workspace), bringen SSO-Funktionen mit. Der Einstieg ist heute auch ohne große IT-Abteilung machbar.
- „Mit SSO bin ich automatisch sicherer.“ SSO verlagert das Risiko auf ein zentrales Konto. Ohne Mehr-Faktor-Authentifizierung und sauberes Rechtemanagement kann SSO zum Single Point of Failure werden.
Prüfpunkte
- Unterstützen deine wichtigsten Anwendungen (E-Mail, CRM, Buchhaltung) SSO über SAML oder OpenID Connect?
- Ist der zentrale Login durch Mehr-Faktor-Authentifizierung abgesichert?
- Gibt es einen Prozess, der beim Austritt von Mitarbeitenden alle Zugänge zentral sperrt?
- Sind die vergebenen Berechtigungen pro Anwendung dokumentiert und regelmäßig geprüft?
- Hast du einen Notfallplan, falls der Identity Provider ausfällt (Break-Glass-Zugang)?