Single Sign-On (SSO) und Federation

Stell dir vor, du meldest dich morgens an deinem Arbeitsrechner an – und hast damit sofort Zugriff auf E-Mail, das ERP-System, das Ticketing-Tool und die Cloud-Ablage, ohne dich irgendwo separat einloggen zu müssen. Das ist Single Sign-On (SSO): Eine einzige Authentifizierung öffnet den Zugang zu allen autorisierten Diensten.

SSO löst ein reales Usability- und Sicherheitsproblem. Ohne SSO haben Mitarbeitende für jede Anwendung eigene Zugangsdaten, verlieren sie, schreiben sie auf Zetteln auf oder verwenden überall dasselbe Passwort. Mit SSO gibt es nur noch eine zentrale Authentifizierung – idealerweise mit MFA gesichert – und alle anderen Dienste vertrauen ihr. Das ist nicht nur komfortabler, sondern auch sicherer.

1) Wie SSO funktioniert: Identity Provider und Service Provider

SSO basiert auf dem Zusammenspiel zweier Rollen: Der Identity Provider (IdP) ist das zentrale System, das die Identität verifiziert und bestätigt. Die Service Provider (SP) sind die einzelnen Anwendungen, die dem IdP vertrauen und keine eigene Authentifizierung durchführen. Der Nutzer authentifiziert sich nur beim IdP – der IdP stellt dann Token oder Assertions aus, die bei den Service Providern als Identitätsnachweis akzeptiert werden.

2) Protokolle: SAML, OAuth 2.0 und OpenID Connect

SSO ist kein einzelnes Protokoll, sondern wird durch verschiedene Standards umgesetzt. Die wichtigsten sind SAML 2.0 (klassisches Enterprise-SSO), OAuth 2.0 (Delegation von Zugriffsrechten) und OpenID Connect (Identitätsschicht über OAuth 2.0). In der Praxis begegnen dir alle drei.

3) Federation: SSO über Organisationsgrenzen

Federation erweitert SSO auf mehrere Organisationen oder Domänen. Ein Beispiel: Du meldest dich mit deinem Firmen-Account bei einer externen SaaS-Anwendung an – ohne dort ein eigenes Konto zu erstellen. Die externe Anwendung vertraut dem Identity Provider deiner Organisation. Das ist Federation.

Zusammenfassung

SSO ermöglicht eine einzige Anmeldung für viele Dienste. Kern: Identity Provider (IdP) authentifiziert, Service Provider (SP) vertrauen dem Token. Protokolle: SAML 2.0 (Enterprise, XML-basiert), OpenID Connect (modern, JSON/JWT, baut auf OAuth 2.0), Kerberos (Windows-Domänennetz). Federation erweitert SSO über Organisationsgrenzen. Sicherheitsvorteil: Zentrales Offboarding, MFA an einer Stelle durchsetzbar. Kombiniert mit MFA und RBAC bildet SSO das Fundament moderner IAM-Architekturen und Zero Trust.