Glossar · einfach erklärt

SSO (Single Sign-on)

SSO: einmal anmelden, alle Anwendungen nutzen — weniger Passwörter, zentrale Kontrolle, sauberes Offboarding.

Single Sign-on (SSO) bedeutet: Nutzer melden sich einmal beim zentralen Identity Provider an und erhalten danach Zugang zu allen angebundenen Anwendungen — ohne weitere Passwörter. Technisch übernehmen Standards wie SAML und OpenID Connect die sichere Weitergabe der Identität.

SSO ist weit mehr als Komfort: Es zentralisiert die Kontrolle. Authentifizierungsregeln, MFA und Kontosperrung wirken an einer Stelle für alle Dienste — und beim Austritt genügt ein Klick, um sämtliche Zugänge zu schließen.

Wie funktioniert SSO technisch?

Eine Anwendung, die einen nicht angemeldeten Nutzer sieht, leitet ihn zum Identity Provider (IdP) um. Dort erfolgt die Anmeldung — idealerweise mit MFA oder Passkey — und der IdP stellt ein signiertes Ticket aus (SAML-Assertion oder OIDC-Token), dem die Anwendung vertraut. Weitere Anwendungen erhalten ihre Tickets aus der bestehenden IdP-Sitzung, ohne erneute Anmeldung.

Die Sicherheit konzentriert sich damit auf die IdP-Sitzung: Ihre Härtung — starke Authentifizierung, Sitzungsdauer, Kontextprüfungen per Conditional Access — bestimmt das Schutzniveau aller angebundenen Dienste.

Was SSO dem Unternehmen bringt

Ein Ort für Regeln: MFA, Passkeys und Zugriffsrichtlinien gelten sofort überall.
Sauberes Offboarding: ein gesperrtes Konto schließt alle Anwendungen.
Weniger Passwort-Wildwuchs — und weniger Wiederverwendung über Dienste hinweg.
Volle Anmelde-Transparenz für Erkennung und Nachweise.

Häufige Fragen zu SSO (Single Sign-on)

Ist SSO nicht ein Single Point of Failure?

Der IdP wird zum kritischen Dienst — deshalb wählt man hochverfügbare Anbieter, härtet die Anmeldung mit MFA oder Passkeys und definiert Notfallzugänge. Die Alternative, Dutzende Einzelpasswörter, ist in Summe deutlich riskanter und unkontrollierbarer.

Was ist der Unterschied zwischen SAML und OpenID Connect?

Beide lösen dasselbe Problem — sichere Identitätsweitergabe. SAML ist der etablierte XML-Standard klassischer Unternehmensanwendungen; OpenID Connect, aufgesetzt auf OAuth 2.0, ist das modernere, leichtgewichtige Verfahren für Web und Apps. Gute IdPs sprechen beides.

Macht SSO Passwörter überflüssig?

Es reduziert sie auf eine einzige Anmeldung — und die lässt sich passwortlos gestalten: Passkeys oder Hardware-Token am IdP ersetzen das Passwort komplett. So kombiniert man den Komfort von SSO mit phishing-resistenter Authentifizierung.

Wie kommen Alt-Anwendungen ohne SSO-Support dazu?

Über Zugriffs-Proxies: Lösungen wie ZTNA-Plattformen setzen die zentrale Anmeldung vor beliebige interne Anwendungen, auch wenn diese selbst kein SAML oder OIDC sprechen. So profitieren auch Altsysteme von MFA und zentraler Kontrolle.

Was passiert bei einem kompromittierten SSO-Konto?

Dann ist schnelles, zentrales Handeln der Vorteil: Konto sperren, Sitzungen beenden — alle Anwendungen sind sofort geschützt. Ergänzend begrenzen Conditional-Access-Regeln und Anomalie-Erkennung am IdP, was ein Angreifer mit gestohlener Sitzung überhaupt erreicht.