Single Sign-On: Ein Login, viele Türen — wenn die Architektur stimmt
Single Sign-On (SSO) reduziert Passwort-Chaos, steigert die Sicherheit und entlastet die IT — vorausgesetzt, der zentrale Identity Provider, die Protokolle und die Governance sitzen sauber. Ein Login darf nicht zur Single Source of Failure werden.
Dieser Fachbeitrag richtet sich an IT-Verantwortliche, Architekt:innen und Entscheider:innen, die SSO sauber planen, einführen und langfristig sicher betreiben wollen.
Was ist Single Sign-On (SSO)?
Single Sign-On ist ein Verfahren zur zentralen Authentifizierung: Nutzer melden sich nur einmal an und erhalten Zugriff auf alle freigegebenen Web-Applikationen, Systeme und Dienste, ohne sich erneut anmelden zu müssen.
Die Anmeldung erfolgt über einen Identity Provider (IdP). Dieser prüft die Zugangsdaten und stellt ein vertrauenswürdiges Token aus. Service Provider akzeptieren dieses Token und gewähren Zugriff, ohne selbst Passwörter zu prüfen. Technisch basiert SSO auf standardisierten Protokollen wie SAML 2.0, OAuth 2.0 und OpenID Connect.
Business-Mehrwert auf einen Blick
Warum ist Single Sign-On relevant?
Mit der wachsenden Zahl digitaler Anwendungen — Cloud, Mobile, On-Premises — steigt die Komplexität im Identity and Access Management. Nutzer kämpfen mit einem Passwort-Dschungel, IT verliert die Kontrolle über Authentifizierungs- und Berechtigungsprozesse. SSO schafft Abhilfe — technisch und strategisch.
Bessere Nutzererfahrung
Eine einmalige Anmeldung genügt für alle freigegebenen Systeme — lokal, mobil oder in der Cloud. Das steigert Zufriedenheit und Akzeptanz neuer Tools.
Höhere Sicherheit durch reduzierte Angriffsflächen
Weniger Anmeldungen heisst weniger Angriffsflächen. In Kombination mit MFA und kontextsensitiven Richtlinien steigt das Sicherheitsniveau spürbar.
Weniger Aufwand für IT und Support
Weniger vergessene Passwörter, zentrale Rechteverwaltung, einfacheres On- und Offboarding. IT und Service Desk gewinnen Zeit für Wesentliches.
Compliance- und Governance-Vorgaben
Zentrale Authentifizierung erleichtert Nachweise für DSGVO, ISO 27001 oder branchenspezifische Vorgaben. Alle Zugriffe lassen sich nachvollziehbar dokumentieren.
Skalierbare und zukunftssichere Lösung
SSO ist die Grundlage für modernes IAM — flexibel skalierbar und in hybride oder Multi-Cloud-Architekturen integrierbar.
Wie funktioniert Single Sign-On?
1. Zentrale Authentifizierung über den Identity Provider
Der Nutzer meldet sich einmalig beim IdP an. Die Authentifizierung erfolgt typischerweise über SAML 2.0, OAuth 2.0 oder OpenID Connect.
2. Token-Erstellung und -Verwaltung
Nach erfolgreicher Anmeldung stellt der IdP ein verschlüsseltes Authentifizierungstoken aus. Es enthält Identitäts- und Berechtigungsinformationen und wird an die Ziel-Applikationen weitergegeben.
3. Vertrauensbeziehung zu Service Providern
Service Provider prüfen das Token. Bei Gültigkeit erhalten Nutzer Zugriff — ohne weitere Passworteingabe.
4. Nahtloser Zugriff auf alle angebundenen Systeme
Nach der Authentifizierung können alle verbundenen Systeme genutzt werden. Hohe Benutzerfreundlichkeit, konsistente Sitzung, geringerer Aufwand beim Passwortmanagement.
5. Zentrales Sitzungsmanagement und Single Logout
Sitzungen werden zentral verwaltet. Eine Abmeldung beim IdP kann automatisch alle aktiven Sessions beenden — wichtig für die Sicherheitsstrategie.
Kernaussage
SSO entfaltet seinen Wert erst, wenn auch das Logout zentral funktioniert. Sonst entstehen Schatten-Sessions auf einzelnen Systemen.
Passende CoreOne Module
Die CoreOne Identity Platform unterstützt Unternehmen mit zentralen IAM-Funktionen bei der Umsetzung moderner Single-Sign-On-Architekturen.
- Single Sign-OnZentrale Authentifizierung vereinfacht sichere Zugriffe über mehrere Anwendungen hinweg.
- Multi-Faktor-AuthentifizierungZusätzliche Sicherheitsfaktoren stärken moderne Login- und Zugriffsprozesse.
- ProvisioningBenutzerkonten und Berechtigungen werden automatisiert bereitgestellt und verwaltet.
- Lifecycle ManagementIdentitäten und Zugriffe bleiben über den gesamten Lifecycle hinweg aktuell und kontrollierbar.
Echtes SSO vs. Passwortmanager
Beide werden im Alltag oft gleichgesetzt, erfüllen aber völlig unterschiedliche Funktionen. Passwortmanager speichern Anmeldedaten für verschiedene Anwendungen — der Nutzer gibt sie aber bei jeder Anwendung erneut ein. Zwischen Anwendung und Tresor besteht keine Vertrauensbeziehung.
Ein echtes SSO-System funktioniert anders: Die Anmeldung erfolgt einmal zentral über ein SSO-Portal. Danach erhalten Nutzer nahtlosen Zugriff auf alle freigegebenen Anwendungen — Cloud wie On-Premises. Authentifizierung und Autorisierung sind systemübergreifend integriert.
Externe Identitätsanbieter als Schlüssel zur vertrauenswürdigen Identität
Externe Identitätsanbieter (IdPs) spielen in modernen SSO-Architekturen eine zentrale Rolle. Sie ermöglichen den Zugriff auf standardisierte und vertrauenswürdige Identitäten, ohne dass Unternehmen Authentifizierungsprozesse selbst betreiben müssen — besonders relevant in föderierten, sektorenübergreifenden oder öffentlich-rechtlichen Umgebungen.
Standardisierte Authentifizierung ohne internen Aufwand
Über Protokolle wie OpenID Connect oder SAML 2.0 lassen sich externe IdPs nahtlos in bestehende SSO-Infrastrukturen einbinden. Sensible Identitätsdaten müssen nicht lokal gespeichert werden.
Praxisbeispiel AGOV
AGOV — die Föderationsinfrastruktur des Bundes — ermöglicht Behörden und Institutionen eine interoperable und rechtssichere Authentifizierung. Auch in der Privatwirtschaft setzen Unternehmen zunehmend auf externe IdPs.
Level of Trust: Sicherheit durch abgestufte Vertrauensniveaus
Der Level of Trust (LoT) beschreibt das messbare Vertrauensniveau einer Nutzeridentität. In föderierten SSO-Architekturen bildet er die Grundlage für risikobasierte Zugriffskontrollen.
QoA und QoR ergeben gemeinsam ein konsistentes Vertrauensniveau. Dieses kann über Token-Attribute wie «acr» oder «LoA» an Service Provider übermittelt werden — für gestaffelte Autorisierung, adaptive MFA oder Einschränkungen bei sensiblen Funktionen.
Praxis
Ein Nutzer mit hoher QoR (persönliche Identitätsprüfung) und starker QoA (MFA mit FIDO2-Token) erhält Zugriff auf besonders schützenswerte Anwendungen wie Patientendossiers oder Finanzportale. Bei niedrigerem LoT bleibt der Zugriff auf entsprechend niedrig priorisierte Dienste begrenzt.
OpenID Connect: Das moderne Protokoll für SSO
OpenID Connect baut auf OAuth 2.0 auf und ermöglicht die sichere Übermittlung von Identitätsinformationen — flexibel für Web, Mobile und APIs.
5 Risiken und Herausforderungen bei SSO
1. Ausfallrisiko durch zentralen Identity Provider
Fällt der IdP aus, verlieren alle angebundenen Anwendungen die Authentifizierung. Hochverfügbarkeit, Redundanz und Failover sind zwingend.
2. Komplexe Integration bestehender Systeme
Legacy-Systeme und unterschiedliche Protokolle (SAML, OAuth, OIDC) erfordern individuelle Lösungen und fundiertes Know-how.
3. Fehlkonfigurationen und falsche Berechtigungen
Unklare Berechtigungen oder fehlerhafte Konfigurationen öffnen ungewollte Zugriffe. Regelmässige Reviews sind Pflicht.
4. Abhängigkeit vom gewählten Identity Provider
Wird der IdP nicht weiterentwickelt oder erfüllt Sicherheitsanforderungen nicht mehr, entstehen langfristige Risiken. Wechselfähigkeit muss eingeplant sein.
5. Datenschutz und rechtliche Vorgaben
SSO erfasst umfassende Nutzerdaten. Das revidierte Schweizer Datenschutzgesetz fordert Transparenz, Zweckbindung und Datensicherheit. Speicherort und Anbieterauswahl gehören in jede Sicherheitsbewertung.
Kernaussage
Ein zentrales SSO-System muss von Anfang an auf Hochverfügbarkeit, klare Governance und nachvollziehbaren Datenschutz ausgelegt werden — nachgerüstet wird es selten richtig gut.
7 Best Practices für die Einführung von SSO
1. Klare Zielsetzung und Anforderungsanalyse
Definiere vor Projektbeginn Systeme, Anwendungen und Nutzergruppen. Lege Sicherheitsanforderungen fest und prüfe technische Abhängigkeiten.
2. Passender Identity Provider
Skalierbar, datenschutz- und compliance-konform, hochverfügbar, mit Unterstützung relevanter Protokolle (OIDC, SAML).
3. Integration von Sicherheitsmechanismen
SSO mit MFA, RBAC und kontinuierlichem Monitoring kombinieren.
4. Schrittweise Einführung mit Tests
Pilotprojekte mit ausgewählten Nutzergruppen helfen, Probleme früh zu erkennen.
5. Verbindliche Richtlinien und Schulungen
Klare Regeln für das SSO-Portal, transparente Kommunikation, praxisnahe Schulungen.
6. Regelmässige Überprüfung und Wartung
Konfiguration prüfen, Komponenten aktuell halten, Berechtigungen anpassen.
7. Datenschutz und Compliance aktiv gestalten
Privacy by Design, nachvollziehbare Protokollierung, Wahrung der Betroffenenrechte.
Häufige Fehler bei der SSO-Einführung — und wie du sie vermeidest
Die Schweizer Antwort auf sicheres und komfortables SSO
Die CoreOne Identity Platform bietet eine zentrale, hochverfügbare Infrastruktur für SSO, die sich flexibel in bestehende Systemlandschaften integriert — von lokalen Applikationen bis hin zu hybriden oder cloudbasierten Umgebungen.
CoreOne reduziert administrativen Aufwand, verbessert die Benutzerfreundlichkeit und erfüllt die Anforderungen des revidierten Schweizer Datenschutzgesetzes — eine langfristig tragfähige Grundlage für modernes IAM.
Zusammenfassung für Entscheider
Häufig gestellte Fragen
Was ist Single Sign-On (SSO)?
Single Sign-On (SSO) ist ein Authentifizierungsverfahren, bei dem sich Nutzer nur einmal anmelden müssen, um Zugriff auf mehrere Systeme und Web-Applikationen zu erhalten. Das erhöht die Nutzerfreundlichkeit und reduziert die Zahl an notwendigen Logins im Arbeitsalltag.
Welche Vorteile bietet SSO für Unternehmen?
SSO reduziert den administrativen Aufwand, verbessert die Nutzererfahrung und erhöht die Sicherheit. Unternehmen profitieren unter anderem von weniger Support-Tickets, besserer Einhaltung von Compliance-Vorgaben und einem effizienteren Zugriff auf cloudbasierte sowie lokale Systeme.
Welche Herausforderungen gibt es bei der Einführung von SSO?
Typische Herausforderungen betreffen die technische Integration, das Sitzungsmanagement, die Wahl eines geeigneten IdP sowie Datenschutz- und Compliance-Vorgaben. Eine fundierte Planung und erprobte Best Practices helfen, Risiken zu minimieren.
Worin liegt der Unterschied zwischen SSO und einem Passwortmanager?
Ein Passwortmanager speichert verschiedene Zugangsdaten, die manuell bei jeder Anwendung eingegeben werden müssen. SSO hingegen authentifiziert Nutzer einmal zentral und ermöglicht danach den automatischen Zugriff auf alle freigegebenen Web-Applikationen, ohne erneute Anmeldung.
Welche Protokolle kommen bei SSO zum Einsatz?
Gängige Protokolle sind OpenID Connect, SAML 2.0 und OAuth 2.0. Sie ermöglichen eine standardisierte Kommunikation zwischen dem Identity Provider und den Service Providern und sind essenziell für eine sichere Integration in bestehende Systemlandschaften.
Kann SSO auch mit älteren oder On-Premises-Systemen verwendet werden?
Ja, viele moderne SSO-Lösungen lassen sich über Protokolle wie SAML oder OpenID Connect auch mit Legacy-Systemen oder lokalen Applikationen verbinden. Dafür sind oft Schnittstellenanpassungen oder Middleware-Komponenten notwendig.
