Das ist bequemer und sicherer, weil es weniger Passwörter gibt.
Wie funktioniert Single Sign-On technisch?
Bei SSO meldet sich ein Nutzer einmal bei einem zentralen Identitätsanbieter (Identity Provider) an, etwa Microsoft Entra ID oder Google. Möchte er danach eine andere Anwendung öffnen, leitet diese ihn zum Identitätsanbieter weiter, der die Identität bestätigt und ein Token zurückgibt, das die Anwendung akzeptiert, ohne ein eigenes Passwort abzufragen.
Technisch laufen die gängigen Verfahren meist über die Standards SAML oder OpenID Connect. Die Anwendung selbst verwaltet dabei keine eigenen Passwörter mehr, sondern vertraut der Bestätigung des Identitätsanbieters. Das reduziert nicht nur Klicks, sondern auch die Zahl der Stellen, an denen ein Passwort überhaupt gestohlen werden kann.
Für wen ist SSO relevant?
SSO ist für praktisch jedes Unternehmen relevant, das mehr als eine Handvoll Cloud-Anwendungen im Einsatz hat, denn jede zusätzliche Anwendung ohne SSO bedeutet ein weiteres Passwort, eine weitere potenzielle Schwachstelle und einen weiteren Fall für den Service Desk bei einem vergessenen Kennwort.
Besonders wichtig wird es für Unternehmen, die extern Software einkaufen (SaaS) statt selbst zu entwickeln, weil dort Identität die einzige gemeinsame Kontrollstelle über viele Anbieter hinweg ist. Sehr kleine Teams mit nur ein oder zwei Anwendungen profitieren weniger stark, verlieren aber auch dort nichts durch die Einrichtung.
Was müssen Sie bei der Einführung von SSO klären?
Vor der Einführung lohnt die Klärung der folgenden Punkte.
- Welcher Identitätsanbieter wird die zentrale Quelle, meist Entra ID oder ein vergleichbarer Dienst?
- Welche Anwendungen unterstützen Federation-Standards wie SAML oder OpenID Connect, welche nicht?
- Wie werden Anwendungen ohne Federation-Unterstützung angebunden, etwa über passwortbasiertes SSO?
- Wie ist der Übergangsprozess geregelt, solange nicht alle Anwendungen angebunden sind?
Welche Fehler passieren bei SSO-Projekten?
Ein häufiger Fehler ist, SSO nur für die grossen, sichtbaren Anwendungen einzuführen und kleinere Fachanwendungen mit eigenem Passwort weiterlaufen zu lassen, wodurch die eigentliche Schwachstelle bestehen bleibt. Ebenso häufig wird SSO ohne Multi-Faktor-Authentifizierung am Identitätsanbieter eingeführt, was ein einzelnes gestohlenes Passwort wieder zum zentralen Risiko für alle angebundenen Anwendungen macht.
Drittens wird der Lebenszyklus vernachlässigt: Verlässt jemand das Unternehmen, muss der Zugriff zentral am Identitätsanbieter entzogen werden, sonst bleiben Alt-Zugänge in einzelnen Anwendungen bestehen, die nie über SSO liefen.
Worauf sollten Sie bei SSO-Lösungen achten?
Über die reine Anmeldefunktion hinaus zählt Folgendes.
- Unterstützung offener Standards wie SAML 2.0 und OpenID Connect statt proprietärer Insellösungen
- Verbindliche Kopplung mit Multi-Faktor-Authentifizierung am Identitätsanbieter
- Ein sauberer Onboarding- und Offboarding-Prozess, der Zugriffe zentral entzieht
Häufige Fragen
Ist SSO sicherer als einzelne Passwörter je Anwendung?
Ja, sofern es mit Multi-Faktor-Authentifizierung kombiniert wird. Ohne MFA wird ein einziges gestohlenes Passwort zum Generalschlüssel für alle angebundenen Anwendungen, deshalb gehören beide Massnahmen zusammen.
Funktioniert SSO mit jeder Software?
Nicht automatisch. Anwendungen brauchen Unterstützung für Standards wie SAML oder OpenID Connect, oder es kommt eine passwortbasierte Variante zum Einsatz, bei der der Identitätsanbieter das Passwort im Hintergrund verwaltet.
Was passiert, wenn der Identitätsanbieter ausfällt?
Dann können angebundene Anwendungen vorübergehend nicht per SSO erreicht werden, deshalb ist die Verfügbarkeit des Identitätsanbieters selbst ein zentraler Sicherheits- und Betriebsfaktor, den man bei der Wahl beachten sollte.
Ist SSO das Gleiche wie ein Passwortmanager?
Nein. Ein Passwortmanager speichert weiterhin viele einzelne Passwörter, SSO ersetzt die Mehrzahl davon durch eine einmalige, zentrale Anmeldung mit anschliessender Vertrauensweitergabe an die Anwendungen.
Lohnt sich SSO auch für kleine Unternehmen?
Ja, vor allem weil der Aufwand für den Service Desk bei vergessenen Passwörtern sinkt und Zugriffe beim Austritt eines Mitarbeitenden zentral und vollständig entzogen werden können.
Quellen
- What is single sign-on in Microsoft Entra ID?, Microsoft Learn, 2026
- SP 800-63B: Digital Identity Guidelines, Authentication and Authenticator Management, National Institute of Standards and Technology (NIST), 2020