Single Sign-on
Single Sign-on (SSO) bedeutet: Man meldet sich einmal an und kann danach mehrere verschiedene Dienste nutzen, ohne sich erneut einzuloggen. Bekannt ist das Prinzip von Buttons wie „Mit Google anmelden".
Wer im Internet unterwegs ist, muss sich ständig ausweisen. Fast jede Seite will einen Benutzernamen und ein Passwort. Single Sign-on löst dieses Problem anders: Man weist sich nur einmal an einer zentralen Stelle aus. Danach öffnen sich mehrere andere Dienste, ohne dass man dort erneut ein Passwort eintippt. Der deutsche Begriff dafür lautet Einmalanmeldung. Das englische “single sign-on” heißt wörtlich genau das: einmaliges Anmelden.
Ein Passwort statt fünfzig schlechter
Menschen können sich keine fünfzig guten Passwörter merken. Also nehmen viele überall dasselbe oder leichte Varianten davon. Wird ein einziger Anbieter gehackt, sind damit sofort alle anderen Konten gefährdet. Single Sign-on reduziert die Zahl der Passwörter drastisch. Man kann sich für das eine verbleibende Passwort dann wirklich Mühe geben.
Für Unternehmen kommt ein zweiter Vorteil dazu: Kontrolle. In einer Firma nutzt ein Mitarbeiter oft dreißig verschiedene Programme. Verlässt er das Unternehmen, muss der Zugang überall gesperrt werden. Mit einer zentralen Anmeldung genügt ein einziger Klick. Ohne sie bleiben erfahrungsgemäß Konten offen, an die niemand mehr denkt.
Es gibt aber auch eine Kehrseite. Die zentrale Anmeldung wird zum Generalschlüssel. Wer sie knackt, kommt überall hinein. Deshalb wird SSO in der Praxis fast immer mit einer zweiten Sicherung kombiniert, etwa einem Code aus einer App auf dem Handy. Fachleute nennen das Zwei-Faktor-Authentifizierung.
Der Ausweis, den die Webseite prüft
An einem SSO-Vorgang sind drei Beteiligte im Spiel. Da ist der Nutzer, da ist der Dienst, den er benutzen will, und da ist die zentrale Anmeldestelle. Diese Stelle nennt man Identitätsanbieter, auf Englisch Identity Provider. Google, Microsoft oder Apple sind bekannte Beispiele dafür.
Der Ablauf ist immer ähnlich. Man klickt auf einer Seite auf “Anmelden” und wird zum Identitätsanbieter weitergeleitet. Dort gibt man sein Passwort ein, oft nur beim ersten Mal am Tag. Der Anbieter schickt danach eine digitale Bestätigung zurück an die Seite. Diese Bestätigung heißt Token und ist so etwas wie ein fälschungssicherer Tagesausweis.
Wichtig ist, was dabei nicht passiert: Das Passwort erreicht die Webseite nie. Sie erfährt nur, dass die Anmeldung geklappt hat, meist zusammen mit der E-Mail-Adresse. Ein Vergleich hilft: Der Türsteher im Club prüft deinen Ausweis, behält ihn aber nicht. Die technischen Regeln für diesen Austausch heißen OAuth, OpenID Connect oder SAML. Man begegnet diesen Kürzeln in Dokumentationen, muss sie aber als Nutzer nicht kennen.
Vom Google-Button bis zum Firmenlaptop
Am häufigsten sieht man SSO als Knopf unter dem Anmeldeformular: “Mit Google fortfahren” oder “Mit Apple anmelden”. Auch die Schul-Cloud vieler Bundesländer funktioniert so. Und in vielen Firmen meldet man sich morgens am Laptop an und hat danach E-Mail, Kalender und Chat offen.
In Nachrichten aus der Tech-Branche taucht der Begriff regelmäßig auf. Firmen wie Okta oder Microsoft verdienen Geld damit, solche Anmeldesysteme zu betreiben. Wenn dort eine Sicherheitslücke auftritt, sind schnell tausende Unternehmen betroffen. Auch bei KI-Werkzeugen ist SSO ein Verkaufsargument: Geschäftskunden buchen teurere Tarife oft nur, weil erst diese eine zentrale Anmeldung erlauben.
Ein häufiger Irrtum: Ein Passwort-Manager ist kein Single Sign-on. Er speichert weiterhin viele einzelne Passwörter und füllt sie automatisch aus. Bei echtem SSO existieren die anderen Passwörter dagegen gar nicht. Das ist ein wichtiger Unterschied, auch wenn sich beides im Alltag ähnlich bequem anfühlt.
