Single Sign-On (SSO) ist eine Einmalanmeldung: Mit nur einem Login greifst du auf mehrere Anwendungen zu. Möglich macht das ein Vertrauensverhältnis zwischen Service Provider und Identity Provider, der deine Identität per digital signiertem Token bestätigt. SSO spart Zeit und reduziert Passwort-Chaos – birgt aber Risiken wie den Single Point of Failure und Datenschutzfragen. Mit Zwei-Faktor-Authentisierung und bewusster Dienstauswahl nutzt du es sicher.
- SSO (Single Sign-On) erlaubt die Anmeldung bei mehreren Diensten mit nur einem Login.
- Es beruht auf einem Vertrauensverhältnis zwischen Service Provider und Identity Provider, der deine Identität per signiertem Token bestätigt.
- Same Sign-On (Passwortmanager) und FIM (anbieterübergreifend) sind verwandt, aber nicht dasselbe.
- Größtes Risiko ist der Single Point of Failure – sichere SSO daher mit Zwei-Faktor-Authentisierung ab und schließe sensible Dienste aus.
Du shoppst online oder nutzt einen neuen Dienst und wirst aufgefordert, dich zu registrieren. Statt ein neues Konto anzulegen oder ein Passwort zu vergeben, bietet dir die Seite an, dich mit deinem Google-Account oder über ein soziales Netzwerk einzuloggen. Dieses Verfahren heißt Single Sign-On (SSO) und ist längst Online-Alltag.
Ein Schlüssel für viele Schlösser: Mit einem Login stehen dir mehrere Anwendungen offen. Praktisch? Auf jeden Fall. Aber auch riskant – denn wer alle Türen mit einem einzigen Schlüssel öffnet, macht sich auch angreifbar.
Wir zeigen dir, wie Single Sign-On funktioniert, welche Unterschiede es gibt und worauf du achten solltest.
Was ist ein Single Sign-On?
Single Sign-On (SSO) – also eine Einmalanmeldung – ist ein Authentifizierungsverfahren, mit dem du dich mit nur einem Login bei mehreren Anwendungen oder Websites anmelden kannst.
Es ist wie ein digitaler Ausweis, der von einem System zum anderen weitergereicht wird. Oder ein Generalschlüssel für viele Schlösser anstatt eines Schlüsselbunds, mit dem du jedes Schloss einzeln öffnest.
Wie funktioniert SSO?
SSO basiert auf einem Vertrauensverhältnis zwischen zwei Parteien:
- dem Service Provider (die App oder Website, auf die du zugreifen möchtest)
- und dem Identity Provider (Dienst, der deine Identität bestätigt)
Der Identity Provider muss nachweisen, dass die übermittelten Informationen echt und vertrauenswürdig sind.
Diese Informationen werden in sogenannten Token übermittelt – kleine Datenpakete. Sie enthalten z. B. deine E-Mail-Adresse oder deinen Benutzernamen und die Information, wer das Token ausgestellt hat. Damit das empfangende System sicher sein kann, dass der „Ausweis" echt ist, muss das Token digital signiert sein. Das dazu nötige Zertifikat tauschen die Systeme bei der ersten Einrichtung untereinander aus.
Angewandt auf unser Beispiel aus der Einleitung: Wenn du dich bei einem Online-Shop mit deinem Google-Konto anmeldest, dann ist Google der Identity Provider. Der Shop selbst kennt dich nicht direkt – verlässt sich aber auf Googles Bestätigung.
Der Identity Provider ist wie ein Türsteher, der dich kennt und auf die Gästeliste setzt. Sobald er dich reinwinkt, darfst du durch – auch wenn der Club (also die Website oder App) dich vorher noch nie gesehen hat.
SSO – Schritt für Schritt
- Du öffnest eine Anwendung oder Website – also den Service Provider.
- Diese Anwendung schickt eine Anfrage zur Authentifizierung an das SSO-System (den Identity Provider), inklusive eines Tokens mit z. B. deiner E-Mail-Adresse.
- Der Identity Provider prüft: Ist der Nutzer schon eingeloggt? Ja → weiter zu Schritt 5. Nein → du wirst aufgefordert, deine Zugangsdaten einzugeben (z. B. Benutzername + Passwort oder ein Einmalcode).
- Nach erfolgreicher Anmeldung sendet der Identity Provider ein neues Token zurück an die Anwendung.
- Das Token wandert über deinen Browser zurück zum Service Provider.
- Der Service Provider prüft das Token anhand des ursprünglichen Vertrauensverhältnisses.
- Du erhältst Zugriff.
- Möchtest du nun eine andere SSO-verbundene Website besuchen, läuft alles genauso – ohne neue Anmeldung, solange du noch eingeloggt bist.
SSO, Same Sign-On und FIM – die Unterschiede
Same Sign-On
Was ist echtes SSO – und was nur ein Passworttresor? Nicht alles, was „SSO" heißt, ist wirklich Single Sign-On. Oft ist eigentlich nur Same Sign-On gemeint – klingt ähnlich, ist aber nicht das Gleiche.
Der Unterschied: Bei einem Passwortmanager speicherst du deine Zugangsdaten. Jedes Mal, wenn du eine App öffnest, trägt das Tool Benutzernamen & Passwort für dich ein. Aber: Zwischen App und Passworttool gibt es kein Vertrauensverhältnis.
„Richtiges" SSO funktioniert anders: einmal eingeloggt → überall Zugriff. Alles läuft über ein SSO-Portal, in dem alle freigegebenen Anwendungen gesammelt sind – egal ob in der Cloud oder lokal.
Verbundidentitätsverwaltung (FIM)
Bei einer Verbundidentitätsverwaltung (FIM) kannst du dich mit einem einzigen Konto bei verschiedenen, unabhängigen Diensten anmelden – auch wenn diese zu unterschiedlichen Organisationen gehören.
Beispiel: Eine Uni-Website erlaubt den Login mit dem Hochschul-Account, obwohl das Portal von einem externen Anbieter betrieben wird. Die Identität wird also „mitgenommen".
Vorteile von SSO
Weniger Login-Hürden
Wie sicher ist Single Sign-On?
Zunächst einmal gilt: die richtige SSO-Lösung wählen.
Fragen, die du vorher klären solltest
- Wer nutzt das System? Gibt es verschiedene Gruppen mit unterschiedlichen Anforderungen?
- Soll die Lösung in der Cloud laufen oder lokal, im eigenen Netzwerk?
- Wächst die Lösung mit? Sind Anpassungen möglich?
- Wie wird sichergestellt, wer Zugriff hat? (Multi-Faktor-Authentifizierung, IP-Whitelist, Geräteerkennung)
- Müssen Systeme angebunden werden? Wird z. B. ein API-Zugriff benötigt?
Manche Anwendungen benötigen eventuell etwas mehr Schutz. Zum Beispiel:
- eine Extra-Sicherheitsabfrage beim Zugriff,
- Zugang nur im Firmennetz erlaubt.
Risiken von SSO
Sicherheitstipps für SSO
Überblick: SSO, FIM, Same Sign-On & MFA
| Lösung | Was ist das? | Vorteil | Nachteil | Sinnvoll, wenn … |
|---|---|---|---|---|
| Single Sign-On (SSO) | Einmal anmelden, auf mehrere Services zugreifen | Weniger Logins, besserer Nutzerfluss | Ein zentraler Account = hohes Risiko bei Missbrauch | viele Anwendungen unter einem Anbieter laufen |
| Verbundidentitätsverwaltung (FIM) | Gemeinsame Anmeldung über Anbietergrenzen hinweg | Funktioniert auch domänenübergreifend | Komplexer in der Einrichtung | verschiedene Systeme und Anbieter zusammenarbeiten |
| Same Sign-On | Gleiches Passwort für mehrere Anwendungen (separate Logins), keine automatische Weitergabe der Anmeldung | Vertraut für Nutzer, einfache Umsetzung | Kein echter Komfortgewinn, schwächere Sicherheit | Benutzer keine neue Technik lernen sollen |
| Multi-Faktor-Authentifizierung (MFA) | Anmeldung mit zusätzlichem Faktor (z. B. Code, App, Fingerabdruck) | Hoher Schutz vor Identitätsdiebstahl (besonders zusammen mit SSO) | Zusätzlicher Aufwand beim Login | es besonders schützenswerte Daten oder Accounts betrifft |
Unterstützung bei SSO gefällig?
Wenn du beim Thema Sicherheit unsicher bist oder Unterstützung bei der Einrichtung von SSO wünschst, schreib uns – wir unterstützen dich gern.