Kurzfassung
Single Sign-On (SSO) ist ein Authentifizierungsmuster, bei dem sich ein Nutzer einmal bei einem vertrauten Identity Provider anmeldet und anschließend mehrere Anwendungen ohne erneute Eingabe von Anmeldedaten nutzen kann.
Was ist SSO?
In einem SSO-Setup pflegen Anwendungen keine eigenen Login-Bildschirme mehr. Sie leiten den Nutzer an einen zentralen Identity Provider weiter, der ihn authentifiziert und ein signiertes Token zurückgibt (OIDC-ID-Token, OAuth-Access-Token oder SAML-Assertion). Die Anwendung prüft die Signatur und nutzt die Claims im Token – Nutzer-ID, E-Mail, Gruppen – für die Autorisierung der Session.
Der spürbare Vorteil für Nutzer ist Komfort: ein starker Login pro Tag statt vieler schwacher Passwörter. Der Sicherheitsgewinn ist noch wichtiger. Authentifizierungsrichtlinien wie Passwortregeln, MFA und risikobasierte Prompts liegen an einem Ort. Offboarding wird zu einem einzigen Schalter im IdP, statt zu einer Tour durch alle Anwendungen. Audit-Logs „Wer hat sich wo angemeldet?" laufen zentral zusammen.
SSO ist ein Baustein, keine vollständige Identitätsstrategie. Es braucht einen Identity Provider, einen Lifecycle-Prozess (häufig per SCIM) und idealerweise Zero-Trust-Kontrollen darüber – denn ein gestohlenes SSO-Token kann sonst alles auf einmal öffnen. Moderne Infrastrukturwerkzeuge, darunter Mesh-VPNs wie NetBird, integrieren SSO, sodass auch der VPN-Zugang am vertrauten Login hängt.
Warum ist SSO relevant?
- User Experience: Ein starker Login statt vieler schwacher Passwörter
- Zentrale Policy: Passwortregeln, MFA und Lockouts an einer Stelle
- Schnelleres Offboarding: Ein deaktivierter Nutzer verliert überall den Zugriff
- Audit und Compliance: Alle Anmeldungen werden zentral protokolliert
Verwandte Begriffe
- Identity Provider: Vertrauenswürdiger Dienst, der die SSO-Tokens ausgibt
- Multi-Factor Authentication: Stärkeschicht, oft auf SSO aufgesetzt
- SCIM: Automatisierung, die SSO-Konten mit HR- oder Verzeichnisdiensten synchron hält
- Keycloak: Verbreitete Open-Source-Option für SSO/IdP
- Zero Trust: Modell, das SSO um pro-Anfrage durchgesetzte Prüfungen ergänzt