Single Sign-On (SSO) einfach erklärt
Kennen Sie das Bändchen auf einem Festival? Am Eingang zeigen Sie einmal Ihr Ticket. Danach tragen Sie ein Bändchen am Handgelenk, und jede Bühne lässt Sie ohne weitere Kontrolle hinein – sofern Ihr Bändchen dafür gilt. Single Sign-On funktioniert nach demselben Prinzip.
Sie melden sich morgens einmal bei einem zentralen Anmeldedienst an, dem sogenannten Identitätsanbieter (Identity Provider). Danach öffnen sich E-Mail, Dateiablage, Personalsoftware und viele Cloud-Dienste, ohne dass Sie sich erneut anmelden müssen. Ein verbreiteter Identitätsanbieter ist beispielsweise Microsoft Entra ID.
Der Vergleich zeigt aber auch die Kehrseite: Wer ein Bändchen fälscht oder stiehlt, kommt ebenfalls überall hinein.
So funktioniert Single Sign-On
Technisch läuft eine SSO-Anmeldung meist so ab:
- Aufruf der Anwendung: Sie öffnen z. B. eine Cloud-Anwendung. Diese kennt Sie noch nicht und leitet Sie zum Identitätsanbieter weiter.
- Anmeldung: Dort weisen Sie sich aus – idealerweise mit Passwort und einem zweiten Faktor, also per Multi-Faktor-Authentifizierung.
- Digitaler Passierschein: Der Identitätsanbieter stellt eine digital signierte Bestätigung aus, ein sogenanntes Token. Darin steht, wer Sie sind und welche Rechte Sie haben.
- Zugang: Die Anwendung prüft die Signatur und lässt Sie hinein. Ihr Browser merkt sich die Sitzung beim Identitätsanbieter. Weitere Anwendungen erhalten ihr Token deshalb, ohne dass Sie sich erneut anmelden.
Für den Austausch der Token gibt es Standards. Verbreitet sind SAML und OpenID Connect, das auf dem Berechtigungsprotokoll OAuth 2.0 aufbaut. In klassischen Windows-Netzen sorgt das Active Directory mit dem Kerberos-Verfahren für eine ähnliche Einmalanmeldung.
Ein Beispiel aus der Praxis
Eine Steuerberatungskanzlei hat alle Cloud-Anwendungen an einen zentralen Identitätsanbieter angebunden und MFA per App-Bestätigung eingeführt. Eine Mitarbeiterin erhält eine täuschend echte E-Mail mit einem Link zur vermeintlichen Anmeldeseite. Die Seite ist ein Phishing-Proxy: Sie leitet alle Eingaben in Echtzeit an die echte Anmeldung weiter. Die Mitarbeiterin gibt ihr Passwort ein und bestätigt die MFA-Anfrage.
Der Angreifer fängt dabei das Sitzungstoken ab – den digitalen Passierschein, der die Anmeldung eine Zeit lang gültig hält. Damit erreicht er alle angebundenen Dienste – E-Mail, Dokumentenablage und Buchhaltungssoftware –, ohne Passwort und ohne zweiten Faktor. Aufgedeckt wird der Angriff, weil die Anmeldeprotokolle einen Zugriff aus einem ungewöhnlichen Land zeigen.
Die Kanzlei widerruft alle Sitzungen, setzt das Passwort zurück und erlaubt den Zugriff nur noch von verwalteten Geräten. Außerdem stellt sie auf phishing-resistente FIDO2-Sicherheitsschlüssel um: kleine USB- oder NFC-Schlüssel, die nur mit der echten Anmeldeseite zusammenarbeiten.
Warum ist das für Unternehmen wichtig?
SSO bündelt die Anmeldung an einer Stelle. Das hat Vorteile: Beschäftigte brauchen weniger Passwörter, Schutzmaßnahmen wie MFA greifen zentral, und verlässt jemand das Unternehmen, genügt es, ein einziges Konto zu sperren. Gleichzeitig wird der Identitätsanbieter zum Generalschlüssel für das gesamte Unternehmen.
Typische Risiken sind gestohlene Sitzungstoken, zu viele Administratorkonten, Anwendungen mit fehlerhafter Token-Prüfung und lokale Konten, über die sich SSO umgehen lässt. Besonders kritisch: Wer den Signaturschlüssel des Identitätsanbieters erbeutet, kann sich gültige Token für beliebige Konten selbst ausstellen – bei SAML spricht man von „Golden SAML“. Fällt der Identitätsanbieter aus, kann sich zudem niemand mehr bei den angebundenen Anwendungen anmelden.
So schützen Sie sich
- Starke Anmeldung: Erzwingen Sie MFA für alle Konten, möglichst mit phishing-resistenten Verfahren wie FIDO2 oder Passkeys.
- Zugriffsregeln: Richtlinien für den bedingten Zugriff erlauben Anmeldungen z. B. nur von verwalteten Geräten oder aus bestimmten Ländern.
- Administratoren schützen: Halten Sie die Zahl der Administratorkonten klein und nutzen Sie für die Verwaltung getrennte Konten.
- Keine Hintertüren: Deaktivieren Sie lokale Anmeldungen in den Anwendungen, sobald SSO eingerichtet ist – mit Ausnahme dokumentierter Notfallzugänge.
- Anbindungen prüfen: Kontrollieren Sie regelmäßig, welche Anwendungen angebunden sind und welche Berechtigungen sie besitzen.
- Anmeldungen überwachen: Werten Sie die Anmeldeprotokolle aus und lassen Sie sich bei Auffälligkeiten alarmieren.
- Notfallzugang einrichten: Ein besonders gesichertes Notfallkonto hält Sie handlungsfähig, falls die zentrale Anmeldung gestört ist oder sich Administratoren versehentlich aussperren.
Wie Rootsektor unterstützt
Im Microsoft 365 & Azure Review prüfen wir die Konfiguration von Entra ID, dem Identitätsdienst von Microsoft – von MFA und bedingtem Zugriff über Administratorrollen bis zu angebundenen Apps mit zu weitreichenden Berechtigungen. Für lokale Windows-Umgebungen deckt die Active-Directory-Analyse Schwachstellen in Kerberos und Berechtigungen auf. Ob Ihre eigenen Anwendungen SSO-Token korrekt prüfen, testen wir im Penetrationstest für Webanwendungen.