SAML
SAML ist ein Standard, mit dem sich Menschen bei einer Webanwendung anmelden können, ohne dort ein eigenes Passwort zu haben. Stattdessen bestätigt ein zentraler Anmeldedienst des Unternehmens, wer sie sind.
In vielen Firmen arbeiten Beschäftigte täglich mit einem Dutzend verschiedener Programme im Browser. Für jedes ein eigenes Passwort zu verwalten, wäre unsicher und lästig. SAML löst das Problem: Es ist eine feste Vereinbarung darüber, wie zwei Computerdienste eine Aussage über eine Person austauschen. Diese Aussage lautet sinngemäß: Diese Person hat sich bei uns korrekt angemeldet, und sie heißt so und gehört zu dieser Abteilung. Der Dienst, den die Person nutzen will, vertraut dieser Aussage und lässt sie herein. Die Abkürzung steht für Security Assertion Markup Language, also etwa Auszeichnungssprache für Sicherheitsaussagen.
Ein Passwort statt fünfzig
Der praktische Gewinn heißt Single Sign-on: Man meldet sich morgens einmal an und kommt danach ohne weitere Passworteingabe in alle freigeschalteten Programme. Das spart nicht nur Zeit. Es beseitigt auch die Angewohnheit vieler Menschen, dasselbe schwache Passwort überall zu verwenden.
Noch wichtiger ist die Kontrolle für das Unternehmen. Wenn jemand die Firma verlässt, muss die IT-Abteilung nur ein einziges Konto sperren. Ohne einen solchen Standard müsste sie in jeder einzelnen Anwendung nachsehen, ob dort noch ein aktiver Zugang existiert. Vergessene Zugänge ehemaliger Mitarbeiter sind ein klassisches Einfallstor für Angriffe.
Für Anbieter von Unternehmenssoftware ist SAML-Unterstützung deshalb fast eine Verkaufsvoraussetzung. Große Kunden verlangen sie im Ausschreibungsverfahren. Wer sie nicht bietet, fällt bei Konzernen und Behörden von vornherein durch.
Der Ausweis, den der Browser überbringt
Beteiligt sind drei Seiten. Die Nutzerin sitzt am Browser. Der Service Provider ist die Anwendung, die sie benutzen will, etwa ein Projektwerkzeug. Der Identity Provider ist der zentrale Anmeldedienst der Firma, der die Passwörter kennt und die Identität bestätigt.
Der Ablauf ist immer gleich. Die Anwendung merkt, dass die Besucherin unbekannt ist, und schickt den Browser zum Anmeldedienst weiter. Dort gibt sie Passwort und meist einen zweiten Faktor ein, etwa einen Code aus einer App. Der Anmeldedienst stellt daraufhin eine Assertion aus, ein kleines strukturiertes Dokument mit Namen, Gültigkeitsdauer und Berechtigungen. Der Browser reicht dieses Dokument an die Anwendung weiter.
Damit niemand ein solches Dokument selbst fälscht, ist es digital signiert. Eine digitale Signatur ist eine Prüfsumme, die nur mit einem geheimen Schlüssel erzeugt werden kann, aber von jedem überprüfbar ist. Die Anwendung rechnet die Signatur nach und weiß so, dass die Aussage wirklich vom vertrauten Anmeldedienst stammt. Wichtig ist: Das Passwort selbst sieht die Anwendung nie.
Der Login-Knopf mit dem Firmenlogo
Sichtbar wird SAML dort, wo eine Anmeldeseite neben dem Passwortfeld einen Knopf wie “Mit Unternehmenskonto anmelden” zeigt. Wer ihn drückt, landet kurz auf einer fremden Seite und ist danach eingeloggt. Genau dieser Zwischensprung ist der Standard bei der Arbeit. Auch viele Schulen und Hochschulen nutzen ihn für Lernplattformen und Bibliothekszugänge.
In Wirtschaftsnachrichten taucht der Begriff im Umfeld von Identity-Anbietern wie Okta oder Microsoft Entra auf. Deren Geschäftsmodell besteht darin, diese zentrale Vertrauensstelle für tausende Firmen zu betreiben. Fällt ein solcher Anbieter aus oder wird er angegriffen, kommen sehr viele Menschen gleichzeitig nirgends mehr hinein. Zentrale Anmeldung erhöht die Sicherheit, bündelt aber auch das Risiko.
Ein häufiger Irrtum ist, SAML mit OAuth zu verwechseln. OAuth regelt, welche Rechte eine App an fremden Daten bekommt, etwa den Zugriff auf einen Kalender. SAML beantwortet dagegen nur die Frage, wer jemand ist. Im privaten Umfeld hat der neuere Standard OpenID Connect den älteren SAML weitgehend abgelöst. In Unternehmen läuft SAML wegen der vielen bestehenden Systeme weiterhin sehr verbreitet.