Was ist SSO?

Single Sign-On (SSO) ist ein Authentifizierungsmodell, bei dem sich ein Benutzer einmalig mit einem Satz von Anmeldedaten anmeldet und während dieser Sitzung Zugriff auf alle Anwendungen erhält, für die er berechtigt ist, ohne die Anmeldedaten jedes Mal erneut eingeben zu müssen. Die meisten SSO-Lösungen in Unternehmen werden mit SAML oder OpenID Connect implementiert, wobei die Daten zwischen einem Identitätsanbieter und jedem verbundenen Dienst ausgetauscht werden.

Die wichtigsten Erkenntnisse

• Mit einer einzigen Anmeldung erhalten Sie für die jeweilige Sitzung Zugriff auf alle verbundenen Anwendungen.
• SAML und OpenID Connect sind die beiden Standards, auf denen die meisten SSO-Lösungen für Unternehmen basieren.
• Ein Identitätsanbieter authentifiziert Benutzer; Dienste vertrauen seinen Angaben.
• SSO-Abläufe beginnen entweder beim Dienstanbieter oder beim Identitätsanbieter.
• Versa Director, Concerto und das „ Titan “-Portal unterstützen alle SAML- oder OpenID-basiertes SSO.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SSO & Versa · Häufig gestellte Fragen

Warum ist SSO wichtig?

Ohne SSO müssen Nutzer für jede Anwendung ein separates Passwort verwalten, was zu schwachen, wiederverwendeten oder notierten Zugangsdaten führt – eine der Hauptursachen für Sicherheitsverletzungen durch Kontoübernahmen. SSO beseitigt diese Belastung: Ein Nutzer authentifiziert sich einmal bei einem vertrauenswürdigen Identitätsanbieter, und jede verbundene Anwendung akzeptiert diese Authentifizierung, anstatt erneut nach Anmeldedaten zu fragen. Dieser einzige Kontrollpunkt ist auch für Administratoren von Bedeutung. Wenn ein Mitarbeiter das Unternehmen verlässt, wird durch die Deaktivierung eines einzigen Kontos beim Identitätsanbieter der Zugriff überall gleichzeitig widerrufen, anstatt dass die IT-Abteilung Dutzende von Anmeldungen nachverfolgen muss.

Weniger Passwörter bedeuten auch eine geringere Angriffsfläche für Phishing – es muss nur ein einziger Zugangsnachweis geschützt werden, der durch starke MFA gesichert ist, anstatt über verschiedene Systeme verteilt zu sein, die diese möglicherweise gar nicht unterstützen. Für Unternehmen, die Dutzende von SaaS-Tools neben lokalen Systemen wie dem „ Versa Director“ verwalten, ist SSO die Voraussetzung dafür, dass eine zentralisierte Zugriffspolitik überhaupt möglich ist.

Was ist SSO?

SSO funktioniert, indem die Authentifizierung von den Anwendungen getrennt wird, die sie benötigen. Ein Identitätsanbieter (IdP) – wie beispielsweise Okta, Azure AD, ADFS, OneLogin oder Ping Identity – verwaltet die Anmeldedaten des Benutzers und führt die Anmeldung durch. Wenn ein Benutzer eine Anwendung (den Dienstanbieter) ohne aktive Sitzung aufruft, wird er zum IdP weitergeleitet, der seine Identität überprüft und eine signierte Assertion oder ein Token ausstellt, das bestätigt, wer er ist und welche Rollen er innehat. Der Dienstanbieter validiert diese Assertion und gewährt Zugriff, ohne das Passwort einzusehen.

Zwei Standards wickeln den Großteil dieses Datenverkehrs ab. SAML ist ein XML-basiertes Protokoll, das für die Single-Sign-On-Authentifizierung (SSO) im Browser entwickelt wurde und den Austausch signierter Assertions zwischen Identitätsanbieter (IdP) und Dienstanbieter ermöglicht. OpenID Connect ist ein neueres, tokenbasiertes Protokoll, das auf OAuth 2.0 aufbaut. Beide erreichen dasselbe Ziel – eine Anmeldung, viele Anwendungen – jedoch über unterschiedliche Nachrichtenformate.

Arten von SSO

SSO-Implementierungen unterscheiden sich in zwei Aspekten: wie der Ablauf beginnt und welches Protokoll ihn überträgt. Ein vom Dienstanbieter initiiertes (SP-initiiertes) SSO beginnt, wenn ein Benutzer versucht, eine Anwendung direkt aufzurufen; er wird zum IdP weitergeleitet, der ihn authentifiziert und mit einer Anmeldeantwort zurückleitet. Ein vom Identitätsanbieter (IdP) initiiertes SSO beginnt auf dem Portal des IdP – der Benutzer meldet sich dort zunächst an und startet dann eine Anwendung, die einer vom IdP gesendeten SSO-Antwort ohne vorherige Weiterleitung vertraut. Unternehmens-IdPs unterstützen in der Regel beide Varianten, die je nach Konnektor ausgewählt werden können.

Unabhängig davon kann das Protokoll entweder auf SAML basieren und signierte XML-Assertions verwenden oder auf OpenID Connect basieren und OAuth 2.0-Token nutzen. Unternehmen, die auf einen Identitätsanbieter (IdP) wie Okta oder Azure AD standardisiert sind, unterstützen in der Regel beide Varianten und treffen die Wahl je nach Anwendung.

SSO & Versa

Versa Director, Concerto und das „ Titan “-Portal unterstützen jeweils SSO als Alternative zur lokalen Anmeldung mit Benutzername und Passwort. Director unterstützt sowohl SAML- als auch OpenID Connect-basiertes SSO, das mit ADFS, Okta, OneLogin und Ping Identity getestet wurde, einschließlich SP- und IdP-initiierter Abläufe sowie der Zuordnung von Rollen vom IdP zu Director. Concerto unterstützt dieselben beiden Protokolle, getestet mit ADFS, Azure, Okta und Ping Identity, mit getrennten Abläufen für System- und Mandantenbenutzer. Titan Portal, das Reseller-Portal von Versa, unterstützt SAML-basiertes SSO, das mit ADFS, Azure AD, G-Suite, Okta und OneLogin getestet wurde und entweder jeden authentifizierten IdP-Benutzer oder nur bereits lokal bereitgestellte Benutzer zulässt. SSO wird anstelle der Zwei-Faktor-Authentifizierung aktiviert – nicht zusätzlich dazu.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SSO und der Multi-Faktor-Authentifizierung?

SSO und MFA lösen unterschiedliche Probleme. SSO reduziert die Anzahl der Anmeldungen eines Benutzers – eine einzige Anmeldung reicht für den Zugriff auf viele Anwendungen aus. MFA sichert jede Anmeldung durch einen zweiten Faktor zusätzlich zum Passwort ab. Beide Verfahren ergänzen sich: SSO konzentriert die Authentifizierung auf den Identitätsanbieter, wodurch es einfacher wird, MFA dort durchzusetzen, anstatt bei jeder einzelnen Anwendung.

Was ist der Unterschied zwischen SSO und föderierter Identität?

SSO bedeutet in der Regel eine einheitliche Anmeldung für alle unternehmenseigenen Anwendungen. Die föderierte Identität erweitert dieses Konzept auf verschiedene Organisationen – beispielsweise die Anmeldung im Portal eines Partners unter Verwendung des Identitätsanbieters des eigenen Unternehmens als Vertrauensanker. Die Föderation ermöglicht das organisationsübergreifende SSO.

Was ist der Unterschied zwischen einem vom SP-initiierten und einem vom IdP-initiierten SSO?

Das SP-initiierte SSO beginnt, wenn ein Benutzer eine Anwendung direkt öffnet und zur Authentifizierung an den Identitätsanbieter weitergeleitet wird. Das IdP-initiierte SSO beginnt auf dem Portal des Identitätsanbieters, wo der Benutzer eine bereits vertrauenswürdige Anwendung ohne vorherige Weiterleitung startet. Die meisten Identitätsanbieter für Unternehmen unterstützen beide Verfahren.

Erhöht SSO das Risiko für ein Konto, wenn das Passwort in die falschen Hände gerät?

Das ist möglich, da ein einmal kompromittiertes Anmeldepasswort beim Identitätsanbieter potenziell den Zugriff auf alle verbundenen Anwendungen ermöglicht. Aus diesem Grund sollten SSO-Implementierungen mit einer starken MFA beim Identitätsanbieter kombiniert werden – die Konzentration der Authentifizierung an einem einzigen Ort ist nur dann sicherer, wenn dieser Ort gut geschützt ist.

Unterstützen „ Versa “ Director und „Concerto“ dieselben SSO-Protokolle?

Ja. Beide unterstützen sowohl SAML-basiertes als auch OpenID Connect-basiertes SSO, das als Konnektor mit IdP-Metadaten wie Zertifikaten und Endpunkt-URLs konfiguriert wird. Das „ Titan “-Portal, das separate Reseller-Portal von Versa, unterstützt ausschließlich SAML-basiertes SSO. Alle drei wurden mit IdPs wie Okta, ADFS, Azure AD und Ping Identity getestet.

Mehr zum Thema SSO

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit SSO beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.