Single Sign-On (SSO) ermöglicht es Benutzern, sich einmal anzumelden und auf mehrere Anwendungen zuzugreifen, ohne ihre Anmeldedaten erneut eingeben zu müssen. Der Benutzer authentifiziert sich bei einem Identitätsanbieter. Dieser stellt ein Token oder eine Bestätigung aus. Jede Anwendung vertraut dem Anbieter und akzeptiert das Token. Der Benutzer kann nahtlos zwischen Systemen wechseln. Die IT-Abteilung verwaltet nur einen Satz Anmeldeinformationen anstatt Dutzender.

Single Sign-On (SSO) verbessert Sicherheit und Benutzerfreundlichkeit. Weniger Passwörter bedeuten weniger wiederverwendete Passwörter und weniger Supportanfragen. Die zentrale Authentifizierung erleichtert die Durchsetzung von Multi-Faktor-Authentifizierung (MFA) und den Entzug von Zugriffsrechten beim Ausscheiden eines Mitarbeiters. Gleichzeitig konzentriert sich das Risiko. Wird der Identitätsanbieter kompromittiert, sind alle verbundenen Anwendungen gefährdet. Die Angreifer von SolarWinds im Jahr 2020 nutzten gefälschte SAML-Token, um SSO zu umgehen und auf Microsoft 365-Konten zuzugreifen. Diese Technik nutzte eine Schwachstelle in der Tokenvalidierung aus. SSO ist kein Allheilmittel. Es erfordert eine starke Authentifizierung beim Anbieter, die Überwachung auf ungewöhnliche Tokenverwendung und eine sorgfältige Konfiguration. Richtig implementiert, reduziert es die Angriffsfläche und verbessert die Benutzerfreundlichkeit. Falsch implementiert, schafft es einen Single Point of Failure, den Angreifer ausnutzen werden.

SSO-Protokolle

• SAML – XML-basiert, weit verbreitet in Unternehmensanwendungen
• OAuth 2.0 – weit verbreitetes Autorisierungsframework
• OpenID Connect – Authentifizierungsschicht zusätzlich zu OAuth
• Kerberos – ticketbasiert, üblich in Windows-Umgebungen

SSO ist gleichermaßen bequem und riskant. Die Bequemlichkeit hat zu seiner Verbreitung geführt. Das Risiko erfordert eine sorgfältige Absicherung.