Häufig gestellte Fragen
Was ist Single Sign-On (SSO) einfach erklärt?
Single Sign-On ist ein Authentifizierungsverfahren, bei dem sich ein Nutzer einmal zentral anmeldet und danach ohne erneute Passworteingabe auf mehrere verbundene Anwendungen zugreifen kann. Statt für ERP, CRM, E-Mail und Dokumentenarchiv jeweils eigene Zugangsdaten zu pflegen, prüft ein zentraler Identitätsdienst die Identität einmalig und stellt den angebundenen Diensten einen signierten Nachweis darüber aus. Die einzelnen Anwendungen vertrauen dieser Bestätigung, sodass das Passwort idealerweise nur noch an einer Stelle existiert. SSO ist dabei kein einzelnes Produkt, sondern ein Architekturprinzip, das auf etablierten Standardprotokollen aufsetzt.
Worin unterscheiden sich SAML, OAuth 2.0 und OpenID Connect?
Die drei Standards bedienen unterschiedliche Aufgaben und werden in reifen Umgebungen oft parallel eingesetzt. SAML 2.0 ist ein etabliertes, auf XML basierendes Verfahren, das vor allem in klassischen Unternehmens- und regulierten Umgebungen für die Authentifizierung und SSO verbreitet ist. OAuth 2.0 ist demgegenüber ein Rahmenwerk für die Autorisierung, also für die Vergabe von Zugriffsrechten auf Ressourcen, und nicht primär für die Identitätsprüfung gedacht. OpenID Connect (OIDC) setzt auf OAuth 2.0 auf, ergänzt eine Authentifizierungsschicht mit JSON-basierten Token (JWT) und gilt als die modernere, eher für Web-, Mobil- und API-Anwendungen geeignete Variante.
Lohnt sich SSO im Mittelstand?
Mit wachsender Zahl an Cloud-Anwendungen wird SSO auch für mittelständische Betriebe zunehmend relevant, häufig ab einer mittleren zweistelligen Nutzerzahl und mehreren parallel genutzten Diensten. Zu den Vorteilen zählen ein vereinfachtes On- und Offboarding, weniger Aufwand für Passwort-Resets im IT-Support sowie eine zentral steuerbare und revisionssichere Verwaltung von Zugriffen. Hinzu kommt, dass regulatorische Vorgaben wie der BSI-Grundschutz oder die NIS-2-Richtlinie die Anforderungen an Authentifizierung und Zugriffskontrolle verschärfen. Ob und ab welcher Größe sich eine Einführung konkret rechnet, hängt von der Anzahl der Systeme, der IT-Ausstattung und den Compliance-Pflichten des einzelnen Unternehmens ab.
Wie sicher ist SSO und warum sollte man es mit MFA kombinieren?
SSO ist grundsätzlich nur so sicher wie der zentrale Identitätsdienst, an dem die Anmeldung erfolgt. Da ein einziger Login den Zugang zu allen verbundenen Anwendungen öffnet, würde ein gestohlenes Passwort ohne weitere Absicherung sämtliche Systeme gefährden. Aus diesem Grund gilt die Kombination mit einer Multi-Faktor-Authentifizierung (MFA) als Best Practice, die dem einen Login einen zweiten Faktor hinzufügt. Die deutsche Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG), die am 6. Dezember 2025 in Kraft trat, benennt für betroffene Einrichtungen Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung ausdrücklich als eine der verpflichtenden Risikomanagementmaßnahmen.
Was passiert bei SSO, wenn der Identity Provider ausfällt?
Weil SSO die Anmeldung an einem zentralen Punkt bündelt, entsteht ein sogenannter Single Point of Failure: Fällt der Identitätsdienst aus, können Mitarbeiter unter Umständen keine der angebundenen Anwendungen mehr erreichen. Dokumentierte Störungen großer Anbieter haben gezeigt, dass eine solche Unterbrechung zahlreiche Geschäftsprozesse gleichzeitig lahmlegen kann. Als Gegenmaßnahmen gelten ein Identitätsanbieter mit hoher Verfügbarkeit, ein Notfall- und Wiederherstellungsplan sowie gesondert abgesicherte Notfallzugänge, oft als Break-Glass-Accounts bezeichnet. Bei der Auswahl eines ERP-Systems sollte daher mitbedacht werden, wie sich die Anwendung bei einem Ausfall des Identity Providers verhält.
Welche SSO-Anbindung sollte ein ERP-System unterstützen?
Bei der Bewertung eines ERP-Systems lohnt die Prüfung, welche SSO-Protokolle es nativ unterstützt, wobei SAML 2.0 und OpenID Connect als Standard gelten und proprietäre Sonderlösungen die Integration erschweren. Wichtig ist außerdem, wie sich Berechtigungen aus dem zentralen Verzeichnisdienst auf die internen Rollen des ERP abbilden lassen, da SSO nur die Identität klärt und nicht die eigentlichen Zugriffsrechte vergibt. Am Markt werden solche zentralen Identitätsdienste etwa von Microsoft Entra ID, Okta oder dem quelloffenen Keycloak bereitgestellt, hier ohne Wertung und rein illustrativ genannt. Zu klären sind ferner die Behandlung technischer Konten, das Verhalten bei Ausfall des Dienstes sowie die Frage, ob für besonders sensible Vorgänge eine zusätzliche Anmeldung erzwungen werden kann.