Was ist Single Sign-On (SSO)?
Single Sign-On (SSO) ist ein Verfahren zur Benutzerauthentifizierung, mit dem Benutzer mit nur einem Satz Anmeldedaten sicher auf mehrere Anwendungen und Services zugreifen können. Wenn Sie Slack, Asana, Google Workspace oder Zoom beruflich nutzen, können Sie mit SSO über ein Pop-up-Widget oder eine Anmeldeseite mit nur einem Passwort auf jede integrierte Anwendung zugreifen. So müssen Sie nicht jeden Tag zwölf Passwörter eingeben, sondern benötigen nur ein einziges – die Sicherheit wird durch SSO gewährleistet.
Dank Single Sign-On müssen Sie sich nicht mehr viele Passwörter merken und diese eingeben. Das frustrierende Zurücksetzen vergessener Passwörter entfällt ebenfalls. Die Benutzer können auf verschiedenste Plattformen und Anwendungen zugreifen, ohne sich bei allen einzeln anmelden zu müssen.
Wie funktioniert SSO?
SSO basiert auf dem Konzept der föderierten Identität, bei dem Identitätsattribute über vertrauenswürdige, aber autonome Systeme geteilt werden. Wenn ein Benutzer von einem System als vertrauenswürdig eingestuft wird, erhält er automatisch Zugriff auf alle anderen Systeme, die bei diesem eine Vertrauensstellung haben. Dies bildet die Grundlage moderner SSO-Lösungen, die Protokolle wie OpenID Connect und SAML 2.0 nutzen.
Wenn sich ein Benutzer über SSO bei einem Service anmeldet, wird ein Authentifizierungs-Token erstellt und entweder in seinem Browser oder auf den Servern der SSO-Lösung gespeichert. Jede Anwendung oder Website, auf die der Benutzer danach zugreift, führt eine Prüfung beim SSO-Service durch. Dieser sendet dann den Token des Benutzers, um seine Identität zu bestätigen und ihm Zugriff zu geben.
Formen von SSO
Es gibt eine Vielzahl von Protokollen und Standards, die Sie bei der Identifikation und Arbeit mit SSO kennen sollten. Dazu gehören:
- Security Access Markup Language (SAML): SAML ist ein offener Standard, durch den Text in Maschinensprache codiert und der Austausch von Identifikationsdaten ermöglicht wird. Er hat sich zu einem der grundlegenden Standards für SSO entwickelt und hilft Anwendungsanbietern sicherzustellen, dass ihre Authentifizierungsanfragen zulässig sind. SAML 2.0 ist speziell für die Verwendung in Webanwendungen optimiert, sodass Informationen über einen Webbrowser übermittelt werden können.
- Open Authorization (OAuth): OAuth ist ein auf einem offenen Standard basierendes Autorisierungsprotokoll, durch das Identifikationsdaten zwischen Applikationen übertragen und in Maschinencode verschlüsselt werden. Dadurch können Benutzer einer Anwendung Zugriff auf ihre Daten in einer anderen Anwendung gewähren, ohne dass sie ihre Identität manuell validieren müssen. Dies ist vor allem bei nativen Applikationen praktisch.
- OpenID Connect (OIDC): OIDC setzt auf OAuth 2.0 auf. Es liefert zusätzliche Informationen über den Benutzer und ermöglicht den SSO-Prozess. Mit OIDC kann eine Anmeldesitzung für mehrere Anwendungen verwendet werden. Es sorgt beispielsweise dafür, dass sich ein Benutzer über sein Facebook- oder Google-Konto bei einem Service anmelden kann, statt seine Benutzeranmeldedaten einzugeben.
- Kerberos: Kerberos ist ein Protokoll, das eine gegenseitige Authentifizierung ermöglicht. Dabei führen der Benutzer und der Server bei unsicheren Netzwerkverbindungen eine wechselseitige Identitätsprüfung durch. Kerberos nutzt einen Ticketausstellungsservice, der Token für die Authentifizierung von Benutzern und Software-Anwendungen wie E-Mail-Clients oder Wiki-Servern ausgibt.
- Smartcard-Authentifizierung: Neben herkömmlichem SSO gibt es auch Hardware, die diesen Prozess vereinfachen kann, beispielsweise physische Smartcard-Leser, die die Benutzer an ihre Computer anschließen. Eine Software auf dem Computer interagiert dann mit kryptographischen Schlüsseln auf der Smartcard, um den Benutzer zu authentifizieren. Smartcards sind ausgesprochen sicher und können erst nach der Eingabe einer PIN genutzt werden. Allerdings müssen die Benutzer sie physisch bei sich haben – es besteht also das Risiko, dass sie verloren gehen – und ihre Nutzung kann mit hohen Kosten verbunden sein.
Die Geschichte von SSO
Die SSO-Technologie hat ihren Ursprung in lokalen Identitätstools, über die Unternehmen Mitte bis Ende der 1990er Jahre ihre Computer, Netzwerke und Server sicher miteinander verbinden konnten. Damals begannen die Unternehmen, ihre Benutzeridentitäten über dedizierte Systeme wie Active Directory (AD) und Lightweight Directory Access Protocol (LDAP) von Microsoft zu verwalten, und sicherten den Zugriff dann über lokale SSO- oder Web Access Management (WAM)-Tools ab.
Da sich die IT durch den Wechsel in die Cloud, die Verteilung auf mehrere Geräte und die Konfrontation mit immer ausgeklügelteren Cyberbedrohungen immer weiter entwickelt, können diese herkömmlichen Identitätsmanagementtools nicht mehr mithalten. Die IT-Teams benötigen nun eine Lösung, die Benutzern schnellen, sicheren Single Sign-On-Zugriff auf alle Anwendungen und Services ermöglicht.
SSO-Mythen aufgedeckt
Es gibt zahlreiche Missverständnisse rund um das Thema SSO. Sie werden jedoch kontinuierlich durch moderne Lösungen ausgeräumt. Gängige SSO-Mythen sind unter anderem:
SSO-Mythos 1: SSO bremst IT-Teams aus und erhöht ihre Arbeitsbelastung
Im Gegenteil. SSO verhilft den IT-Teams zu mehr Effektivität, da es die Automatisierung steigert, mehr Sicherheit und Transparenz bietet und bessere Arbeitsabläufe ermöglicht. Es unterstützt die IT-Teams direkt bei ihrer Kernaufgabe – dafür zu sorgen, dass die Mitarbeiter reibungslos, sicher und schnell auf die Tools zugreifen können, die sie zur Erledigung ihrer Aufgaben benötigen. SSO ermöglicht auch eine schnellere Skalierung, umfassendere Einblicke in den Anwendungszugriff, eine geringere Anzahl von Helpdesk-Tickets sowie eine Senkung der IT-Kosten.
SSO-Mythos 2: Es ist schwierig, SSO zu implementieren
Veraltete Tools mögen zu ihrer Zeit komplex gewesen sein, doch modernes SSO lässt sich schnell und einfach bereitstellen. Die heutigen SSO-Tools besitzen integrierte Konnektoren zu Tausenden beliebten Anwendungen. Dadurch müssen die IT-Teams die entsprechenden Integrationen nicht manuell erstellen. Außerdem können Unternehmen Benutzern Zugriff gewähren und Informationen aus bestehenden Verzeichnissen importieren, ohne dass sie Hardware konfigurieren, installieren oder Support dafür bereitstellen bzw. Änderungen an der Firewall vornehmen müssen. SSO lässt sich einfach implementieren, zentralisiert das Onboarding von neuen Benutzern und Anwendungen, ist hochverfügbar und minimiert die Kosten. Gleichzeitig gewährleistet es einen einfachen und trotzdem sicheren Zugriff.
SSO-Mythos 3: SSO schafft eine zentrale Fehlerquelle (Single Point of Failure) und ist daher weniger sicher
Da bei SSO nur ein Passwort erforderlich ist, mag es naheliegend erscheinen, dass es einen attraktiven Angriffsvektor für Cyberbedrohungen bietet. Tatsächlich gibt es jedoch schon eine zentrale Fehlerquelle: den Benutzer. Wenn Benutzer mit unterschiedlichen Anmeldedaten arbeiten müssen, neigen sie oft zur Wiederverwendung von Passwörtern und zu einer schlechten Passworthygiene. Dies stellt für Unternehmen ein Sicherheitsrisiko dar. Bei SSO gehören mehrere Anmeldedaten der Vergangenheit an. Die IT-Teams können Passwortrichtlinien festlegen, durch die reguläre Sicherheitsprotokolle standardisiert werden. Gleichzeitig wird bei jeder Zugriffsanfrage der Anwendungs-, Benutzer-, Geräte-, Standort- und Netzwerkkontext überwacht.
SSO-Mythos 4: SSO ist dasselbe wie ein Passwortmanager
Über SSO und Passwortmanager können Benutzer mit einer Anmeldung auf mehrere Anwendungen zugreifen. Damit enden die Ähnlichkeiten aber auch schon. Passwortmanager sind „Tresore“, in denen die Anmeldedaten der Benutzer für verschiedene Applikationen oder Websites – geschützt durch ein primäres Passwort – gespeichert sind. Ihr Schwerpunkt liegt jedoch auf dem Schutz von Passwörtern, die die Ursache für über 80 % aller Sicherheitsverletzungen sind und somit für Hacker ein potenzielles Einfallstor in ein Unternehmen oder eine Identität darstellen. SSO-Lösungen hingegen verwalten den Zugriff vertrauensbasiert und nutzen bestehende Beziehungen, um eine einzelne Domäne zu erstellen, in der die Authentifizierung stattfindet.
Die Vorteile von SSO
Unternehmen, die SSO implementieren, profitieren von zahlreichen Vorteilen – angefangen bei der Vermeidung von Risiken, die durch die Wiederverwendung von Passwörtern aufgeworfen werden, bis hin zur Bereitstellung einer nahtlosen Benutzererfahrung. Single Sign-On bietet unter anderem folgende wichtige Vorteile:
- Geringere Angriffsfläche: SSO macht Schluss mit Passwort-Müdigkeit und der Verwendung unzureichender Passwörter. Ihr Unternehmen ist daher sofort weniger anfällig für Phishing-Angriffe. Mit SSO müssen sich die Benutzer nur ein einziges, einzigartiges, starkes Passwort merken. Dadurch sinkt die Anzahl zeitaufwändiger und kostenträchtiger Passwortrücksetzungen.
- Nahtloser und sicherer Benutzerzugriff: SSO stellt Echtzeitinformationen dazu bereit, welche Benutzer wann von wo auf Anwendungen zugegriffen haben. So können Unternehmen die Integrität ihrer Systeme schützen. SSO-Lösungen beheben zudem Sicherheitsrisiken, beispielsweise beim Verlust von unternehmenseigenen Geräten durch Benutzer, da die IT-Teams den Gerätezugriff auf Konten und kritische Daten sofort sperren können.
- Vereinfachte Audits zu Benutzerzugriffen: In einem sich ständig ändernden Arbeitsumfeld kann es schwierig sein sicherzustellen, dass die richtigen Personen die richtigen Zugriffsrechte auf Daten und Ressourcen haben. Mit SSO-Lösungen können die Zugriffsrechte eines Benutzers basierend auf seiner Rolle, Abteilung und Position konfiguriert werden. Hierdurch werden jederzeit Transparenz und der Überblick über die entsprechenden Zugriffsstufen sichergestellt.
- Mit Befugnissen ausgestattete und produktive Benutzer: Die Benutzer fordern zunehmend einen schnellen und nahtlosen Zugriff auf die Anwendungen, die sie zur Erledigung ihrer Aufgaben benötigen. Die manuelle Verwaltung der Anforderungen ist ein mühsamer Prozess, der die Benutzer nur frustriert. Bei der Authentifizierung über SSO entfällt die manuelle Aufsicht. Zudem ermöglicht sie mit einem Klick sofortigen Zugriff auf einige tausend Anwendungen.
- Zukunftssicher: SSO ist der erste Schritt zur Absicherung Ihres Unternehmens und seiner Benutzer. Auf der Grundlage von SSO kann Ihr Unternehmen weitere Best Practices für Sicherheit implementieren und beispielsweise Mehrfaktor-Authentifizierung (MFA) bereitstellen sowie Tools für die Identitätsprüfung, Risikobewertung und Verwaltung von Einwilligungen einbinden, um Compliance-Anforderungen zu erfüllen und Betrug einzudämmen. Mit SSO legen Sie den Grundstein dafür, dass Ihr Unternehmen in puncto Sicherheit gut für die Zukunft gerüstet ist.
Die Herausforderungen von SSO
SSO ist benutzerfreundlich und praktisch, doch wenn es nicht sorgfältig verwaltet oder unsachgemäß bereitgestellt wird, kann es auch ein Sicherheitsrisiko darstellen. Herausforderungen von SSO sind unter anderem:
Risiken beim Benutzerzugriff: Wenn ein Angreifer Zugriff auf die SSO-Anmeldedaten eines Benutzers erlangt, kann er auch auf jede Anwendung zugreifen, für die der Benutzer Zugriffsrechte hat. Darum ist es unverzichtbar, nicht nur Passwörter zu verwenden, sondern auch noch weitere Authentifizierungsmechanismen zu implementieren.
Potenzielle Schwachstellen: In SAML und OAuth wurden bereits Schwachstellen entdeckt, durch die Angreifer unberechtigten Zugriff auf die Web- und Mobilgerätekonten erlangen konnten. Daher ist es wichtig, mit einem Anbieter zu arbeiten, der diese Fälle bereits in seinem Produkt berücksichtigt hat und SSO mit zusätzlichen Authentifizierungsfaktoren und Identitäts-Governance kombiniert.
Anwendungskompatibilität: Gelegentlich kommt es vor, dass die Einrichtung einer Applikation keine effektive Integration in eine SSO-Lösung zulässt. Anwendungsanbieter sollten wirklich SSO-fähig sein – sei es über SAML, Kerberos oder OAuth. Andernfalls stellt Ihre SSO-Lösung nur ein weiteres Passwort dar, das sich die Benutzer merken müssen, und bietet keinen umfassenden Schutz.
Ist SSO sicher?
Wenn die Best Practices für Single Sign-On eingehalten werden, kann eine zuverlässige SSO-Lösung die Sicherheit deutlich verbessern. SSO stellt Folgendes sicher:
- IT-Teams können SSO nutzen, um Benutzer mit konsistenten Sicherheitsrichtlinien zu schützen, die sich an ihr Verhalten anpassen lassen. Zudem wird die Verwaltung von Benutzernamen und Passwörtern vereinfacht.
- Integrierte Sicherheitstools identifizieren und blockieren automatisch böswillige Anmeldeversuche und verbessern so die Sicherheit von Unternehmensnetzwerken.
- Unternehmen können Sicherheitstools wie MFA gemeinsam mit SSO bereitstellen und bekommen schnell einen Überblick über die Benutzerzugriffsrechte.
Darüber hinaus sollte eine SSO-Lösung eines bewährten Anbieters den Unternehmen durch überprüfte Sicherheitsprotokolle und umfangreichen Service mehr Sicherheit geben.
Die Rolle von SSO beim Identitäts- und Zugriffsmanagement (IAM)
Mithilfe von IAM können Unternehmen alle Aspekte des Benutzerzugriffs verwalten und SSO ist dabei ein Teil dieser größeren Identitätslandschaft. SSO ist für die Überprüfung von Benutzeridentitäten und die Bereitstellung der richtigen Berechtigungsstufen unverzichtbar und sollte in Aktivitätsprotokolle, Tools zur Zugriffskontrolle sowie in Prozesse zur Überwachung des Benutzerverhaltens integriert werden.
Identity-as-a-Service (IDaaS)-Lösungen decken alle Aspekte von IAM – z. B. SSO, Adaptive MFA und Benutzerverzeichnisse – ein einem einzigen Paket sab. Dies sorgt für vereinfachte Sicherheit, Provisionierung und Arbeitsabläufe, verbessert die Benutzererfahrung und spart Unternehmen Zeit und Geld.
Worauf Sie bei einem SSO-Anbieter achten sollten
Angesichts der Vielzahl an SSO-Anbietern auf dem Markt ist es nicht leicht, die richtige Wahl zu treffen. Im Folgenden haben wir wichtige Funktionen zusammengestellt, die ein Anbieter bieten sollte:
Zugriff auf alle Anwendungen: Die besten SSO-Anbieter unterstützen Integrationen mit allen wichtigen Applikationen auf dem Markt. Bei der Bewertung von Anbietern sollten Sie den Schwerpunkt auf eine möglichst große Anzahl von Anwendungen und auf den Grad der Integrationen legen, die sie ermöglichen. Achten Sie außerdem darauf, ob sie sich sowohl mit den Unternehmens-, Software-as-a-Service (SaaS)- und Webanwendungen als auch mit Netzwerkressourcen integrieren lassen.
SSO-Anpassung: Ein modernes SSO-Produkt muss die spezifischen Anforderungen jedes Benutzers erfüllen und ein Dashboard bereitstellen, in dem ihm nur die relevanten Anwendungen angezeigt werden, für die er Zugriffsberechtigungen hat. Das Dashboard sollte auch an die Branding-Anforderungen des Unternehmens angepasst werden können sowie Markenkonsistenz und -kontinuität für alle Websites mit Markenbezug sicherstellen.
MFA-Integration: Es ist wichtig, sich nicht allein auf Benutzernamen und Passwörter zu verlassen. Suchen Sie daher einen SSO-Anbieter, der die Integration mit jeder MFA-Lösung ermöglicht und vielfältige kontextabhängige Faktoren wie den Standort, das Risikoprofil und das Verhalten erfassen kann. Dies stärkt die Sicherheit, da die Benutzer dazu aufgefordert werden, weitere Informationen zur Bestätigung ihrer Identität bereitzustellen.
Überwachung und Problembehebung: Ein effektiver SSO-Anbieter muss auch Überwachungstools bereitstellen, die Unternehmen bei der schnellen Erkennung und Behebung von Performance-Problemen in ihrer gesamten – hybriden oder vollständig in die Cloud verlagerten – IT-Umgebung unterstützen.
Hier erfahren Sie, wie Okta Single Sign-On die nahtlose Integration in mehr als 6.000 gängige Anwendungen ermöglicht. Sie können sich auch unsere Endbenutzererfahrung ansehen, um den Einstieg in SSO zu erleichtern.
