Single Sign-On (SSO) bedeutet „Einmal-Anmeldung": Du loggst dich einmal bei einem zentralen Dienst ein und bekommst danach automatisch Zugang zu vielen weiteren Anwendungen — ohne dich dort erneut anmelden zu müssen. Bekannte Beispiele: „Mit Google anmelden", „Mit Microsoft anmelden" oder der Firmen-Login für E-Mail, Intranet und Ticketsystem zugleich.
Wie SSO funktioniert
SSO besteht aus drei Rollen:
- Identity Provider (IdP): Der zentrale Dienst, der die Anmeldung prüft (z. B. Google, Microsoft Entra ID, Keycloak).
- Service Provider (SP): Die einzelne Anwendung, die den Login anbietet (z. B. ein Wiki, ein CRM, eine Cloud-Console).
- Token oder Session: Nach erfolgreicher Anmeldung stellt der IdP eine signierte Bestätigung aus — der Browser oder Client zeigt sie den Diensten vor, statt erneut Passwort zu senden.
Technisch laufen dabei Protokolle wie SAML (viele Firmenanwendungen) oder OpenID Connect (modern, baut auf OAuth auf). Das Ergebnis der Anmeldung ist meist ein JWT-Token, das die Dienste prüfen.
Vorteile
- Weniger Passwörter: Nutzer merken sich nur noch eine Anmeldung.
- Zentrale Verwaltung: Admins sperren einen Account statt vieler — ideal zusammen mit Active Directory oder LDAP-Verzeichnissen.
- Stärkere Sicherheit: SSO lässt sich mit Zwei-Faktor-Authentifizierung kombinieren — einmal absichern, überall geschützt.
- Weniger Passwort-Reset-Anfragen: Vergessene Passwörter werden seltener zum Support-Thema.
Risiken und Grenzen
- Single Point of Failure: Fällt der IdP aus, sind alle Dienste blockiert — gute SSO-Lösungen haben daher redundante Standorte.
- Ein Konto, viel Macht: Ist das SSO-Konto geknackt, sind alle angebundenen Dienste offen. Deshalb ist 2FA/MFA bei SSO Pflicht.
- Phishing-Ziel: Gefälschte Login-Seiten, die den IdP imitieren, sind ein klassischer Angriff — mehr unter Phishing.
Praxis-Tipps
- Privat reicht „Mit Google anmelden" oft; im Unternehmen sollte ein zentraler IdP mit Richtlinien (Passwortablauf, MFA) stehen.
- Die Anmelde-Sitzung ist ein Session-Konzept — nach Ablauf muss sich der Nutzer erneut am IdP anmelden.
- Die Kommunikation läuft verschlüsselt über HTTPS, die Tokens sind signiert — Details zur Absicherung in Verschlüsselung und Zertifikate.
Verwandte Grundlagen: OAuth, JWT, Zwei-Faktor-Authentifizierung, Active Directory, LDAP.