Was ist Single Sign-on?

Definition: einmalige Authentifizierung für verschiedene Services Was ist Single Sign-on?

16.04.2019Autor / Redakteur: Dipl.-Ing. (FH) Stefan Luber / Florian Karlstetter

Single Sign-on bezeichnet eine Verfahren, mit dem sich Anwender mit einem einzigen Authentifizierungsverfahren bei mehreren Services anmelden. Die Anmeldedaten sind nur einmalig anzugeben, um Zugriff auf verschiedene Anwendungen, Ressourcen oder Services zu erhalten.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fujitsu Technology Solutions GmbH

Southern Tech GmbH

Single Sign-on - Zugriff auf mehrere Services mit einer einzigen Anmeldung.
(Bild: gemeinfrei (geralt / pixabay))

Der Begriff Single Sign-on bedeutet im Deutschen Einmalanmeldung. Oft wird Single Sign-on mit SSO abgekürzt. Die Einmalanmeldung ist ein Verfahren, das einem Anwender nach einer einmaligen Anmeldung den Zugang zu verschiedenen Services, Ressourcen oder Applikationen erlaubt. Die Daten zur Authentifizierung sind ein einziges Mal einzugeben. Einzelne Anmeldevorgänge bei den verschiedenen Services mit unterschiedlichen Zugangsdaten sind nicht mehr notwendig.

Der Single Sign-on benötigt eine Instanz, die die Identität des Anwenders authentifiziert und gegenüber den anderen Services bestätigt. Die durch die SSO-Instanz geprüfte Identität ist bei allen am SSO-Verfahren beteiligten Services gültig. Der Single Sign-on verhindert, dass User eine Vielzahl verschiedener Kennungen und Passwörter benötigen, um die gewünschten Services oder Anwendungen zu nutzen. Dies reduziert den Aufwand für die Verwaltung der Userkennungen und verkürzt den Anmeldeprozess. Es existieren zahlreiche unterschiedliche technische Lösungen den Single Sign-on zu realisieren.

Im Internet ist es üblich, dem User nach erfolgreicher Authentifizierung durch die SSO-Instanz einen digitalen Schlüssel in Form eines Tokens oder Cookies zuzuweisen. Dieser fungiert gegenüber den anderen Services als digitaler Ausweis und gestattet den Zugang ohne erneute Anmeldung. Ein typischer Anwendungsbereich für den Single Sign-on ist die Authentifizierung von Mitarbeitern im Unternehmensnetzwerk. Der User meldet sich an seinem Arbeitsplatz nur einmal an und kann anschließend auf alle benötigten Netzwerkressourcen, Anwendungen und Unternehmensportale zugreifen. Auch im Webumfeld gewinnt der SSO mehr und mehr an Bedeutung. Es existieren zahlreiche Anbieter, die Anwendern SSO-Services zur Verfügung stellen und die Authentifizierung gegenüber anderen Webservices übernehmen.

Das Gegenstück zum Single Sign-on ist der Single Sign-out. Er sorgt dafür, dass der Anwender durch die einmalige Abmeldung bei allen weiteren SSO-Services abgemeldet wird. Der Single Sign-out kann vom Anwender ausgelöst werden oder wird automatisch nach einer bestimmten Zeit der Inaktivität ausgeführt. Dies verhindert, dass User im Hintergrund bei Services angemeldet bleiben, obwohl sie diese nicht mehr nutzen. Offene Sitzungen sind anfällig für Angriffe und unbefugte Zugriffe.

Abgrenzung zwischen Single Sign-on (SSO) und Same User Same Password (SUSP)

Auch beim Same User Same Password-Verfahren (SUSP-Verfahren) verwendet der User für verschiedene Services die gleichen Anmeldedaten. Das Verfahren unterscheidet sich jedoch grundlegend vom Single Sign-on. Während beim Single Sign-on die Anmeldedaten nur einmalig einzugeben sind und der User anschließend durch das SSO-Verfahren bei allen Services angemeldet ist, muss beim SUSP die Anmeldung für jeden Service einzeln durchgeführt werden. Lediglich die Userkennungen und Passwörter sind für alle Anmeldungen identisch.

Die Vorteile des Single Sign-ons

Der Single Sign-on bietet eine Vielzahl an Vorteilen. Da der Anmeldevorgang nur einmalig durchzuführen ist, spart der Anwender Zeit. Er muss sich lediglich ein Passwort für verschiedene Services merken und hat weniger Aufwand bei der Verwaltung der Anmeldedaten. Dies erhöht die Sicherheit, da ein einziges komplexes und sicheres Passwort anstatt vielen einfachen, unsicheren Passwörtern gewählt werden kann. Ist das Zugriffsrecht auf die Systeme für einen Anwender zu bearbeiten oder muss der Account gesperrt werden, ist lediglich ein Userkonto zu bearbeiten. Fehler und zeitraubende Arbeiten an mehreren Identitäten in unterschiedlichen Datenbanken lassen sich vermeiden.

Der Single Sign-on präsentiert sich gegenüber dem User mit einer immer gleichen, einheitlichen Anmeldeoberfläche. Das Risiko, Opfer einer Phishing-Attacke zu werden, reduziert sich, da sich der User weniger leicht dazu verleiten lässt, die Anmeldedaten auf einem betrügerischen System einzugeben. Die Echtheit der SSO-Anmeldeoberfläche ist einfacher zu prüfen, da immer die gleiche URL oder das gleiche SSL-Zertifikat zum Einsatz kommen.

Die Nachteile des Single Sign-ons

Die einmalige Anmeldung bei einer SSO-Instanz birgt auch Risiken und bringt Nachteile mit sich. Erhält ein Unbefugter Zugriff auf die Anmeldedaten des Users, erhält er nicht nur Zugang zu einem, sondern zu vielen verschiedenen Systemen und Services. Für die Anmeldedaten und das Passwort sind daher strenge Richtlinien hinsichtlich Komplexität und vertraulichem Umgang einzuhalten.

Die SSO-Instanz bildet einen Single Point of Failure. Steht der SSO-Service nicht zur Verfügung, ist die Anmeldung an vielen Systemen nicht mehr möglich. Die Verfügbarkeit der einzelnen Services ist direkt von der Verfügbarkeit des SSO-Systems abhängig. Wichtig ist es zudem, beim Single Sign-in Mechanismen für den Single Sign-out vorzusehen. Offene Sitzungen können eine Sicherheitslücke darstellen. Single Sign-on birgt das Risiko, dass SSO-Anbieter die Aktivitäten und genutzten Services der Anwender mitverfolgen und für bestimmte Zwecke auswerten. Unter Umständen werden Vorgaben des Datenschutzes und der DSGVO verletzt, an die ein außereuropäischer SSO-Anbieter sich nicht gebunden fühlt. Ein weiterer Nachteil ist, dass eine Sperrung eines Users, beispielsweise durch mehrfache Falscheingabe des Passworts, automatisch zur Sperrung bei allen verbundenen Services führt. Der Anwender kann sich bis zur Aufhebung der Sperre bei keinem Service anmelden.

Verschiedene Single Sign-on-Verfahren

Grundsätzlich lassen sich die Single Sign-on-Verfahren in drei verschiedene Kategorien einteilen. Diese sind:

Single Sign-on über eine Portallösung

Single Sign-on über ein Ticketing-System

Single Sign-on über eine lokale Lösung

Beim Single Sign-on über eine Portallösung meldet sich der Anwender an einem zentralen Portal an. Nach der Authentifizierung erhält der User Zugriff auf weitere über das Portal verbundene Services. Die Anmeldung bei Google ist ein Beispiel für eine solche Lösung. Nach der Anmeldung mit den Google-Benutzerdaten können Services wie Google Mail, Google Docs, Google Kalender oder Googele Play genutzt werden.

Ticketing-Systeme arbeiten mit digitalen, virtuellen Tickets. Ist der Anwender bei einem am Ticketing-System teilnehmenden Service angemeldet, identifiziert ihn das Ticket automatisch gegenüber allen anderen Services. Beispiel für ein solches System ist der Authentifizierungsdienst Kerberos.

Eine lokale SSO-Lösung hinterlegt die Zugangsdaten für die verschiedenen Services an einem zentralen Ort. Dies sind verschlüsselte Dateien auf einem Rechner, Informationen in einer Chipkarte oder verschlüsselte Daten in einer Cloud. Ein Beispiel hierfür ist die Nutzung eines Passwortmanagers, der alle Anmeldedaten verschlüsselt speichert. Der Anwender benötigt nur ein einziges Masterpasswort. Anschließend übernimmt der Passwortmanager das Ausfüllen der Anmeldeseite einer besuchten Internetseite. Streng genommen handelt es sich bei einem Passwortmanager nur mit Einschränkungen um eine SSO-Lösung, da weiterhin verschiedene Anmeldedaten und Anmeldevorgänge notwendig sind.