Single Sign-On (SSO)

Bislang waren für die Anmeldung bei einem Benutzerkonto zwei Anmeldedaten erforderlich: ein Benutzername und ein Passwort. Doch jetzt, wo Dutzende von Anwendungen, Ressourcen und Diensten zu berücksichtigen sind, ist die Bereitstellung eines sicheren Zugangs nicht mehr so einfach.

Nun die gute Nachricht: Anstatt sich mehrere Passwörter merken oder diese verwalten zu müssen, können Kunden und Mitarbeiter mit nur einem Satz von Benutzeranmeldeinformationen auf wichtige Systeme zugreifen. Kurz gesagt, genau darum geht es bei Single Sign-On (SSO).

Lesen Sie weiter, um alles zu erfahren, was Sie über die SSO-Authentifizierung wissen müssen, insbesondere warum sie wichtig ist, wie sie funktioniert und wie Sie Ihre SSO-Konfiguration schützen können.

Single Sign-On ist eine Funktion des föderierten Identitätsmanagements, mit der Benutzer anhand eines einzigen Satzes Anmeldedaten auf mehrere Anwendungen zugreifen können. Wenn ein Mitarbeiter beispielsweise seine Anmeldedaten eingibt, um sich an seiner Arbeitsstation anzumelden, kann er durch SSO-Authentifizierung auch auf seine Anwendungen, Software, Systeme und Cloud-basierte Ressourcen zugreifen.

Ähnlich verhält es sich, wenn sich jemand bei einem Google-Dienst wie Gmail anmeldet. SSO authentifiziert Benutzer automatisch und ermöglicht dem Benutzerkonto den Zugriff auf andere Google-Anwendungen, wie YouTube oder Google Sheets. Bei Abmeldung in einer dieser Anwendungen wird der Benutzer automatisch auch bei den anderen Anwendungen abgemeldet.

Warum ist SSO wichtig?

Im Kern ist eine SSO-Lösung ein Authentifizierungsdienst, der ein wesentlicher Bestandteil der Identitäts- und Zugriffsverwaltung (IAM) ist. Dies wiederum ist eine besonders wertvolle Grundlage für das Zero-Trust-Sicherheitsmodell – ein Rahmenwerk, das sich gegen implizites Vertrauen ausspricht und eine kontinuierliche Benutzerauthentifizierung erfordert.

Warum ist das wichtig? Wenn ein System nicht weiß, wer ein Benutzer oder eine Einrichtung ist, gibt es keine Möglichkeit, deren Aktionen zuzulassen oder einzuschränken, was ein großes Datensicherheitsrisiko darstellt. Dies ist umso problematischer, als es immer mehr Cloud-Anwendungen und -Dienste gibt, für die jeweils eigene Benutzeranmeldedaten erforderlich sind.

Laut aktuellen Schätzungen nutzt ein durchschnittliches Unternehmen 210 verschiedene Zusammenarbeits- und Cloud-Dienste, und der durchschnittliche Mitarbeiter verwendet 36 Cloud-Dienste bei der Arbeit. Das sind viele Passwörter, die verwaltet werden müssen, und leider ist die IT-Infrastruktur vieler Unternehmen viel zu fragmentiert, um sie angemessen zu kontrollieren.

Glücklicherweise kommt an dieser Stelle die SSO-Implementierung ins Spiel. Die Reduzierung von mehreren Passwörtern auf einen Satz Anmeldedaten verbessert nicht nur die Benutzerfreundlichkeit, sondern fördert auch eine bessere Cybersicherheitshygiene für alle.

Eine SSO-Implementierung kann sowohl für Benutzer als auch für Unternehmen und Kunden mehrere Vorteile bieten. Zum Beispiel:

Höhere Benutzerfreundlichkeit, Produktivität und Kosteneinsparungen

Durch die Zusammenfassung mehrerer Passwörter zu einem einheitlichen Satz Benutzeranmeldedaten kann der Anmeldeprozess gestrafft werden, sodass die Mitarbeiter die Ressourcen so schnell wie möglich nutzen können. Besonders wichtig ist dies in einer hybriden Arbeitsumgebung, in der die wichtigsten Anwendungen zunehmend vor Ort oder in der Cloud betrieben werden.

Letztendlich führt dieser beschleunigte Arbeitsablauf zu einer Produktivitätssteigerung bei den Mitarbeitern. Noch besser: Selbst eine kleine Zeitersparnis wie SSO kann sich finanziell bemerkbar machen. Studien haben ergeben, dass ein Unternehmen mit 5.000 Beschäftigten durch die Einsparung von drei Minuten Zeit pro Mitarbeiter etwa 1,5 Millionen USD pro Jahr einsparen kann.

Außerdem kann eine SSO-Lösung unproduktive Aufgaben minimieren, wie z. B. Anfragen an den IT-Helpdesk, um Passwörter zurückzusetzen.

Mehr Sicherheit durch bessere Passworthygiene

Mindestens 45 % der Sicherheitsverletzungen sind auf kompromittierte Anmeldedaten zurückzuführen – und in den meisten Fällen auf eine unzureichende Passwortsicherheit. Wenn sich Menschen mehrere Kombinationen aus Benutzernamen und Passwort merken müssen, fangen sie schließlich an, dieselben Kombinationen für verschiedene Konten zu verwenden.

Dies wird als „Passwortmüdigkeit“ bezeichnet. Das ist ein großes Sicherheitsrisiko, denn wenn ein Konto kompromittiert wird, können auch alle anderen Dienste betroffen sein. Mit anderen Worten: Angreifer könnten dasselbe Passwort verwenden, um die anderen Anwendungen des Opfers zu hacken.

Die SSO-Implementierung verringert die Passwortmüdigkeit, indem alle Anmeldungen auf eine einzige reduziert werden. Obwohl ein bösartiger Akteur auf andere Dienste zugreifen könnte, wenn es ihm gelingt, ein Konto zu kompromittieren, erleichtert SSO es Einzelpersonen theoretisch, sichere Passwörter zu erstellen, zu speichern und zu verwenden.

Die Realität sieht jedoch bisweilen anders aus. Deshalb ist es am besten, wenn Sie Ihre SSO-Lösung mit zusätzlichen Sicherheitsmaßnahmen unterstützen – aber dazu später mehr.

Einfachere Durchsetzung von Richtlinien und Identitätsmanagement

SSO bietet eine zentrale Anlaufstelle für Passwörter, sodass IT-Teams leichter Sicherheitsrichtlinien und -regeln durchsetzen können. Das Zurücksetzen von Passwörtern in bestimmten Zeitabständen ist mit SSO viel einfacher zu handhaben, da jeder Benutzer nur einen einzigen Satz Anmeldedaten zu ändern hat.

Noch wichtiger ist, dass das föderierte Identitätsmanagement bei korrekter Implementierung die Anmeldedaten intern in einer kontrollierten Umgebung speichert. Im Gegensatz dazu speichern Unternehmen herkömmliche Benutzername-Passwort-Kombinationen extern und haben nur wenig Einblick in deren Verwaltung, z. B. in einer Anwendung eines Drittanbieters. Dadurch wird es schwieriger, die Verwaltung von Zugangsdaten gemäß den bewährten Verfahren für die Datensicherheit zu gewährleisten.

SSO wird oft als eine Funktion der „Identitätsföderation“ bezeichnet. Vereinfacht ausgedrückt ist die Identitätsföderation ein Vertrauenssystem zwischen zwei Parteien zur Authentifizierung von Benutzern und zum Austausch von Informationen, die für die Autorisierung ihres Zugangs zu bestimmten Ressourcen erforderlich sind. Meistens handelt es sich dabei um die Verwendung von Open Authorization (OAuth). Dies ist ein Framework, das Anwendungen die Möglichkeit gibt, sicheren Zugriff zu gewähren, ohne die eigentlichen Anmeldeinformationen preiszugeben.

Im Allgemeinen ist die SSO-Authentifizierung ein schneller und einfacher Prozess:

1. Zunächst fordert der Benutzer den Zugriff auf eine Ressource innerhalb der SSO-Konfiguration an, wodurch der Anmeldevorgang eingeleitet wird.
2. Der Dienstanbieter der Ressource, z. B. die Host-Website, leitet den Benutzer an einen Identity Provider wie Entrust weiter.
3. Der Identity Provider überprüft die Identität des Benutzers, indem er dessen Anmeldeinformationen mithilfe eines der verschiedenen SSO-Protokolle überprüft.
4. Wenn der Benutzer erfolgreich verifiziert wurde, generiert der Identity Provider ein SSO-Token (auch Authentifizierungstoken genannt). Kurz gesagt handelt es sich um ein digitales Asset, das die authentifizierte Sitzung des Benutzers darstellt.
5. Der Identity Provider sendet das SSO-Token zurück an den Dienstanbieter, der dann dessen Gültigkeit überprüft. Falls erforderlich, kann die Anwendung, das System oder der Dienstanbieter die Identität des Benutzers weiter überprüfen, indem sie eine zusätzliche Authentifizierungsanfrage stellen.
6. Nach der Verifizierung gewährt der Dienstanbieter dem Benutzer Zugang zu seiner Ressource oder Anwendung.

Jetzt kann der Benutzer alle anderen im SSO-Setup konfigurierten Anwendungen verwenden. In einer aktiven Sitzung verwendet die SSO-Lösung dasselbe Authentifizierungstoken, um den Zugriff zu gewähren.

Ja, es gibt verschiedene SSO-Protokolle und -Standards. Jede SSO-Konfiguration funktioniert ein wenig anders, aber alle folgen demselben allgemeinen Prozess. Dies sind einige der häufigsten Arten:

• Security Access Markup Language (SAML): Die SAML-SSO-Konfiguration ist ein offener Standard für die Kodierung von Text in Maschinensprache und die Übermittlung von Identitätsinformationen. Im Vergleich zu anderen Protokollen ist es ein Authentifizierungsprotokoll mit einem breiten Anwendungsbereich, während andere Protokolle für spezielle Anwendungsfälle des sicheren Zugangs konzipiert sind. Die Security Assertion Markup Language ist auch der wichtigste Standard für die Erstellung von SSO-Token.
• Open Authorization (OAuth): OAuth ist ein offenes Standardprotokoll, das Identitätsinformationen verschlüsselt und zwischen Anwendungen überträgt. Dadurch können Benutzer auf Daten anderer Anwendungen zugreifen, ohne ihre Identität manuell bestätigen zu müssen.
• OpenID Connect (OIDC): Als Erweiterung von OAuth ermöglicht OIDC mehreren Anwendungen, eine Anmeldesitzung zu nutzen. Bei vielen Diensten können Sie sich beispielsweise mit einem Facebook- oder Google-Konto anstelle Ihrer Anmeldedaten anmelden.

Single Sign-On mag ein hohes Maß an Benutzerfreundlichkeit bieten, aber es ist an und für sich keine perfekte Lösung. Hacker können sich den Komfort von SSO zunutze machen, wenn die Zugriffskontrolle und die Passwortrichtlinien nicht ausreichen.

Wenn Ihre SSO-Authentifizierung aus einem einzigen Passwort ohne Multi-Faktor-Authentifizierung für mehrere Anwendungen besteht, haben Sie Ihre Benutzer zwar produktiver gemacht, aber Ihr Risiko vervielfacht. Wenn beispielsweise ein böswilliger Akteur ein SSO-Konto kompromittiert, kann er ungehindert auf die anderen Anwendungen innerhalb derselben Konfiguration zugreifen.

Um das Risiko zu mindern, sollten Unternehmen SSO durch zusätzliche Sicherheitsebenen ergänzen, z. B:

• Risikobasierte adaptive Authentifizierung, die eine erhöhte Herausforderung bietet, wenn Kontextdaten auf eine potenzielle Bedrohung hinweisen. Wenn jemand versucht, sich von einem unbekannten oder nicht verwalteten Gerät aus anzumelden, kann das Authentifizierungsschema ihn auffordern, zusätzliche Informationen anzugeben, z. B. einen einmaligen Passcode.
• passwortlose Authentifizierung mithilfe von Anmeldedaten, bei der herkömmliche Passwörter durch biometrische Daten oder Token ersetzt werden, um einen schnellen und reibungslosen Zugang zu ermöglichen. Und das Beste daran? Kein Passwort, nichts zu stehlen – keine Möglichkeit, die Schutzmaßnahmen zu durchbrechen.

SSO kann ein großer Segen für die Produktivität sein, birgt aber auch Risiken. Um also sicherzustellen, dass Ihre SSO-Implementierung so sicher wie möglich ist, sollten Sie die folgenden Best Practices beachten:

1. Eine Übersicht über Ihre Anwendungen erstellen: Bestimmen Sie, welche Software, Systeme, Anwendungen und Dienste in Ihre SSO-Konfiguration aufgenommen werden sollen.
2. Einen Identity Provider wählen: Suchen Sie nach einer flexiblen SSO-Lösung, die plattformunabhängig und mit allen Browsern kompatibel ist. Noch wichtiger ist, dass Ihr Identity Provider auch mehrere Sicherheitsfunktionen bietet, um zu gewährleisten, dass Ihre Bereitstellung gut geschützt ist.
3. Benutzerberechtigungen überprüfen: Im Sinne des Zero-Trust-Rahmens sollten Sie Ihre Entscheidungen zur Zugriffskontrolle auf das Konzept des „Zugriffs nach dem Prinzip der geringsten Berechtigungen“ stützen. Die Idee ist, dass jeder Benutzer nur die Mindestberechtigungen erhält, die er für die Erfüllung seiner Aufgaben benötigt. Wenn jemand die Kontrolle über sein Konto verliert, kann ein Hacker auf diese Weise bestimmte Anwendungen nicht nutzen.

Unsere IAM-Plattform, Entrust Identity, unterstützt SSO, sodass Benutzer mit nur einem Satz sicherer Anmeldeinformationen auf alle Anwendungen zugreifen können, anstatt Zugangsdaten für jede einzelne Cloud-basierte, lokale und Legacy-Anwendung verwalten zu müssen. Darüber hinaus bietet sie alle Kernfunktionen, die Sie für die Realisierung einer Zero-Trust-Architektur benötigen, einschließlich:

• Multi-Faktor-Authentifizierung
• Passwortloser Zugang
• Flexibilität bei der Bereitstellung
• Nahtlose Integrationen
• Zentrale Verwaltung

Das Beste kommt noch: Gartner hat Entrust im Gartner®Magic Quadrant™ für Zugriffsmanagement von 2023 aufgrund unserer Fähigkeit zur Umsetzung und unserer vollkommenen Vision als „Challenger“ eingestuft.