SAML-Assertion

Stell dir vor, du zeigst an der Kinokasse deinen Schülerausweis. Die Kasse prüft ihn nicht selbst aus — sie vertraut der Schule, die ihn ausgestellt hat. Eine SAML-Assertion funktioniert genauso. Sie ist ein kleines digitales Dokument, das eine vertrauenswürdige Stelle ausstellt und das bestätigt: Diese Person existiert, sie hat sich erfolgreich angemeldet, und sie darf bestimmte Dinge tun. Der Onlinedienst, den man besucht, liest dieses Dokument und lässt einen herein — ohne einen eigenen Benutzernamen oder ein eigenes Passwort zu verlangen. SAML steht für Security Assertion Markup Language, also eine Sprache für Sicherheitsaussagen in einem maschinenlesbaren Format.

Warum SAML-Assertions den Unternehmensalltag prägen

Große Firmen nutzen oft Dutzende verschiedene Softwaresysteme: ein Tool für E-Mails, eines für Gehaltsabrechnungen, eines für Projektplanung. Ohne SAML müsste jeder Mitarbeiter für jeden dieser Dienste ein eigenes Konto anlegen und ein eigenes Passwort verwalten. Mit SAML reicht eine einzige Anmeldung, um Zugang zu allen Diensten zu bekommen. Dieses Prinzip heißt Single Sign-On, kurz SSO.

Der Sicherheitsgewinn ist erheblich. Weniger Passwörter bedeuten weniger Angriffsfläche. Die IT-Abteilung kann außerdem den Zugang zentral sperren, wenn ein Mitarbeiter das Unternehmen verlässt — ein einziger Knopfdruck, nicht dreißig einzelne Konten löschen. Das ist ein praktischer Grund, warum SAML in Unternehmen und Behörden heute Standard ist.

Wie eine Assertion von A nach B reist

Im SAML-Ablauf gibt es zwei Hauptrollen. Der Identity Provider, kurz IdP, ist die vertrauenswürdige Stelle, die den Nutzer kennt und die Assertion ausstellt — zum Beispiel das Anmeldesystem einer Firma. Der Service Provider, kurz SP, ist der Dienst, den man eigentlich nutzen möchte, etwa eine Cloud-Anwendung. Der Nutzer selbst ist dabei eher Bote: Er trägt die Assertion vom IdP zum SP, ohne sie öffnen oder verändern zu können.

Eine Assertion enthält drei Arten von Aussagen. Erstens: Wer ist diese Person? Zweitens: Wann hat sie sich angemeldet und wie — mit Passwort, mit einer zweiten Sicherheitsabfrage? Drittens: Was darf sie tun, welche Rolle oder Gruppe gehört zu ihr? Damit der SP der Assertion vertrauen kann, ist sie digital signiert. Eine Signatur ist eine mathematische Prüfsumme, die Manipulationen auffliegen lässt. Hat jemand auch nur ein Zeichen verändert, stimmt die Signatur nicht mehr.

Assertions sind außerdem zeitlich begrenzt. Jede enthält einen Zeitstempel und ein Ablaufdatum. Eine abgelaufene Assertion wird vom SP abgewiesen. Das verhindert, dass ein Angreifer eine abgefangene Assertion später noch einmal benutzt.

Wo SAML-Assertions im Alltag auftauchen

Wer sich an einer Schule oder Universität mit seinem Schul-Account bei Microsoft 365 oder Google Workspace anmeldet, erlebt meist SAML im Hintergrund. Die Schule ist der Identity Provider, Microsoft oder Google ist der Service Provider. Der Schüler gibt sein Passwort nur einmal bei der Schule ein — und gelangt danach ohne weitere Anmeldung in alle verbundenen Dienste.

In Tech-Nachrichten taucht SAML oft im Zusammenhang mit Datenpannen oder Sicherheitslücken auf. 2021 wurde etwa eine Schwachstelle in mehreren SAML-Bibliotheken bekannt, die es Angreifern erlaubte, Assertions zu fälschen, indem sie die Signaturprüfung aushebelten. Solche Vorfälle zeigen, wie kritisch die korrekte Implementierung ist: SAML ist nur so sicher wie die Software, die es umsetzt.

Ein häufiger Irrtum ist, SAML mit OAuth oder OpenID Connect gleichzusetzen. Alle drei lösen ähnliche Probleme, aber auf verschiedenen Wegen. SAML ist älter, stammt aus dem Jahr 2002, und ist auf XML als Datenformat aufgebaut — ein ausführliches, strukturiertes Textformat. OAuth und OpenID Connect setzen dagegen auf ein moderneres, kompakteres Format und werden häufiger bei mobilen Apps und öffentlichen Webdiensten eingesetzt. Im Unternehmensumfeld mit bestehender Infrastruktur ist SAML aber bis heute die dominierende Technologie.