Die Vorteile von Single Sign-On

In vielen Betrieben haben sich über die Jahre zahlreiche Anwendungen angesammelt: E-Mail, Buchhaltung, Warenwirtschaft, Zeiterfassung, Projektmanagement, dazu Cloud-Dienste und Kundenportale. Jede verlangt ein eigenes Konto mit eigenem Passwort. Die Folgen kennen die meisten Geschäftsführer aus dem Alltag: Mitarbeitende vergeben einfache Passwörter, verwenden dasselbe Passwort mehrfach oder kleben Zettel mit Zugangsdaten an den Bildschirm. Gleichzeitig wächst mit jeder Anwendung der Aufwand, Konten anzulegen, zurückzusetzen und beim Austritt eines Mitarbeiters wieder zu sperren. Single Sign-On, kurz SSO, setzt genau hier an: Ein einziger, gut abgesicherter Login ersetzt die Vielzahl einzelner Anmeldungen. Wer sich morgens einmal identifiziert, arbeitet danach in allen angebundenen Anwendungen weiter, ohne erneut nach Zugangsdaten gefragt zu werden.

Was sich im Arbeitsalltag ändert

Der spürbarste Vorteil ist der Komfort. Statt einer ganzen Liste von Passwörtern müssen sich Ihre Mitarbeitenden nur noch eines merken – und dieses eine darf dann auch anspruchsvoller sein, weil es täglich benutzt wird und im Gedächtnis bleibt. Vergessene Passwörter und die damit verbundenen Rücksetzungen, die in vielen Betrieben einen erheblichen Teil der IT-Anfragen ausmachen, fallen weitgehend weg.

Auch der Eintritt neuer Mitarbeiter wird einfacher. Statt in jeder Anwendung einzeln ein Konto anzulegen, wird das Konto einmal zentral erstellt und über Gruppen den passenden Anwendungen zugeordnet. Die neue Buchhalterin erhält damit automatisch Zugang zu den Finanzanwendungen, der neue Vertriebsmitarbeiter zum Kundenmanagement – ohne dass jemand fünf einzelne Einrichtungen vornehmen muss.

Der eigentliche Sicherheitsgewinn

Komfort ist das sichtbare Argument, der eigentliche Wert liegt in der Sicherheit. Mit Single Sign-On verlagert sich die Anmeldung an eine zentrale Stelle, den sogenannten Identity Provider. Dort lassen sich Regeln durchsetzen, die bei einzelnen Anwendungen oft scheitern: eine verbindliche Passwortrichtlinie, Sperrungen nach Fehlversuchen und vor allem die Mehr-Faktor-Authentifizierung. Statt jede Anwendung einzeln abzusichern, sichern Sie eine Anmeldung konsequent ab – und diese eine Anmeldung schützt dann alle angebundenen Dienste.

Der zweite Gewinn zeigt sich beim Austritt von Mitarbeitenden. Ohne zentrale Verwaltung muss bei jedem Ausscheiden in jeder Anwendung einzeln geprüft und gesperrt werden. Dass dabei Konten übersehen werden, kommt in der Praxis regelmäßig vor, und ein vergessenes Konto in einer Cloud-Anwendung ist ein offenes Scheunentor. Mit SSO sperren Sie das zentrale Konto, und der Zugang zu allen angebundenen Anwendungen ist damit erledigt.

Drittens entsteht Transparenz. Der Identity Provider protokolliert, wer sich wann und von wo angemeldet hat. Diese zentralen Protokolle helfen, verdächtige Anmeldungen zu erkennen – etwa aus ungewöhnlichen Regionen oder zu unüblichen Zeiten – und liefern im Schadensfall die Grundlage für die Aufklärung. Beachten Sie dabei: Anmeldeprotokolle enthalten personenbezogene Daten und können Rückschlüsse auf das Arbeitsverhalten zulassen. Binden Sie Datenschutzbeauftragte und gegebenenfalls den Betriebsrat früh ein, bevor Sie Auswertungen einführen.

Die Kehrseite: neue Abhängigkeiten

Single Sign-On bündelt nicht nur Komfort, sondern auch Risiken. Fällt der Identity Provider aus, kann sich niemand mehr anmelden – im schlimmsten Fall steht der gesamte Betrieb. Fragen Sie deshalb vor der Entscheidung, welche Verfügbarkeit der Anbieter zusichert und wie Ausfälle abgefedert werden.

Zweitens gilt: Wer das eine SSO-Konto erbeutet, hat Zugriff auf alles. Die zentrale Anmeldung muss deshalb zwingend mit einer Mehr-Faktor-Authentifizierung abgesichert werden, idealerweise ergänzt um Regeln, die Anmeldungen etwa auf Firmengeräte oder bestimmte Standorte beschränken. Und Sie brauchen ein sogenanntes Break-Glass-Konto: ein Notfall-Administratorkonto, das nicht über SSO läuft, mit einem sehr starken Passwort, das versiegelt und sicher verwahrt wird. Nur so kommen Sie auch dann noch ins System, wenn der Identity Provider selbst das Problem ist.

Drittens: Nicht jede Anwendung spielt mit. Ältere Software und manche Branchenlösungen beherrschen die gängigen Standards nicht. Diese Ausreißer bleiben dann separate Logins – was kein Argument gegen SSO ist, aber ehrlich einkalkuliert werden sollte.

So gehen Sie die Einführung an

Beginnen Sie mit einer Bestandsaufnahme. Listen Sie alle Anwendungen, die im Unternehmen genutzt werden, samt der Frage, wer sie nutzt und wie die Anmeldung heute funktioniert. Prüfen Sie dann, welche Anwendungen die Standards SAML oder OpenID Connect unterstützen – das sind die beiden verbreiteten Protokolle, über die Anwendungen die Anmeldung an einen zentralen Dienst auslagern.

Erst danach wählen Sie den Identity Provider. Häufig ist schon einer im Haus: Wer Microsoft 365 nutzt, hat mit Microsoft Entra ID bereits einen solchen Dienst, bei Google Workspace ist es das Google-Konto. Alternativen sind eigenständige Lösungen, etwa die quelloffene Software Keycloak oder kommerzielle Anbieter wie Okta. Die richtige Wahl hängt davon ab, welche Anwendungen Sie anbinden wollen und wer den Dienst betreut.

Starten Sie mit einer Pilotgruppe, etwa einer Abteilung und zwei, drei Anwendungen. Erst wenn Anmeldung, Mehr-Faktor-Authentifizierung und Sperrung dort sauber laufen, rollen Sie in Wellen auf den Rest des Unternehmens aus. Kommunizieren Sie den Umstellungstermin frühzeitig – am ersten Tag entscheidet sich, ob die Belegschaft die Lösung annimmt oder als neue Hürde empfindet.

Fragen, die Sie Softwareanbietern stellen sollten

Bei jeder bestehenden und jeder neu beschafften Anwendung gehören vier Fragen auf den Tisch: Unterstützt die Software SAML oder OpenID Connect? Beherrscht sie SCIM, also das automatisierte Anlegen und Löschen von Benutzerkonten? Ist die SSO-Anbindung in Ihrem Lizenzumfang enthalten oder an ein höheres Paket gebunden – manche Hersteller öffnen die Schnittstellen nur in höheren Lizenzstufen? Und gibt es lokale Notfallkonten, falls der zentrale Anmeldedienst einmal nicht erreichbar ist? Machen Sie SSO-Fähigkeit künftig zum festen Punkt in jeder Softwarebeschaffung.

Woran Sie merken, dass etwas schiefläuft

Ein deutliches Warnsignal sind Parallelwelten: Mitarbeitende melden sich weiterhin mit lokalen Konten an, weil die SSO-Anbindung unzuverlässig ist oder bestimmte Anwendungen nie angeschlossen wurden. Ebenso kritisch ist es, wenn das Sperren austretender Mitarbeiter weiterhin Tage dauert, weil niemand weiß, welche Konten wo existieren. Und wenn bei Anmeldeproblemen niemand zentral nachsehen kann, sondern jede Anwendung einzeln untersucht wird, ist der zentrale Gedanke verfehlt. Spätestens dann gehört die Umsetzung auf den Prüfstand.

Wann sich Single Sign-On nicht lohnt

Ehrlichkeit gehört dazu: In einem kleinen Team mit nur zwei oder drei Anwendungen ist der Verwaltungsaufwand ohne SSO überschaubar, und die Einführung kann mehr kosten als sie bringt. Auch wenn der Großteil Ihrer Software die Standards nicht unterstützt und Sie am Ende nur einen Bruchteil der Anwendungen anbinden könnten, ist der Nutzen begrenzt. Und wenn Ihr eigentliches Problem darin besteht, dass Passwörter überhaupt nicht verwaltet werden, kann ein Passwortmanager der pragmatischere erste Schritt sein – SSO ist dann die spätere Weiterentwicklung, nicht der Ersatz.

Wer im Unternehmen zuständig ist

Die technische Betreuung – Anbindung der Anwendungen, Pflege der Regeln, Überwachung – liegt bei der IT-Leitung oder einem externen IT-Betreuer. Die Entscheidung über die Einführung gehört jedoch in die Geschäftsführung, weil sie alle Mitarbeitenden betrifft, Regeln für die Anmeldung festlegt und Mittel bindet. Und weil Anmeldeprotokolle das Verhalten von Beschäftigten sichtbar machen können, sollten Datenschutz und Betriebsrat von Anfang an am Tisch sitzen. Wer diese Rollen früh klärt, vermeidet später die meisten Reibungen.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.