Single Sign-on
Single Sign-on bedeutet: Man meldet sich einmal an und kann danach mehrere Dienste nutzen, ohne sich erneut einzuloggen. Bekanntes Beispiel ist der Knopf „Mit Google anmelden“ auf fremden Webseiten.
Normalerweise braucht man für jede Webseite und jedes Programm ein eigenes Passwort. Single Sign-on dreht das um. Man meldet sich nur an einer zentralen Stelle an, zum Beispiel beim Google-Konto oder beim Schul-Account. Alle anderen Dienste fragen dann nicht mehr nach einem Passwort, sondern verlassen sich auf diese eine Anmeldung. Der englische Name heißt wörtlich « einmaliges Anmelden ». Auf Deutsch sagt man auch Einmalanmeldung.
Weniger Passwörter, mehr Kontrolle
Menschen können sich keine dreißig verschiedenen Passwörter merken. Deshalb benutzen viele überall dasselbe. Wird dieses eine Passwort geklaut, sind sofort alle Konten offen. Single Sign-on löst das Problem an der Wurzel: Es gibt nur noch ein Passwort, und das kann man dafür richtig gut absichern.
Für Unternehmen ist der Vorteil vor allem organisatorisch. Ein neuer Mitarbeiter bekommt einen Zugang, und damit gleich Zugriff auf E-Mail, Kalender, Buchhaltung und Chat. Kündigt er, sperrt die IT diesen einen Zugang. Ohne Single Sign-on bleiben oft alte Konten in irgendwelchen Programmen offen, an die niemand mehr denkt. Solche « Zombie-Konten » sind ein klassisches Sicherheitsproblem.
Der Nachteil ist die Kehrseite derselben Idee. Wer die zentrale Anmeldung knackt, kommt überall hinein. Fachleute nennen das einen Single Point of Failure, also eine einzelne Stelle, deren Ausfall alles lahmlegt. Deshalb wird Single Sign-on fast immer mit einem zweiten Nachweis kombiniert, etwa einem Code aus einer App auf dem Handy.
Was beim Klick auf « Mit Google anmelden » passiert
Beteiligt sind drei Seiten. Erstens du. Zweitens der Dienst, den du nutzen willst, etwa eine Lern-App. Drittens die Stelle, die deine Identität bestätigt. Diese Stelle heißt Identitätsanbieter, englisch Identity Provider. Google, Microsoft oder der Server deiner Schule können solche Anbieter sein.
Der Ablauf ist immer ähnlich. Die Lern-App schickt dich zum Identitätsanbieter weiter. Dort gibst du dein Passwort ein, oder du bist schon angemeldet. Der Anbieter stellt daraufhin eine Art digitale Bestätigung aus, ein sogenanntes Token. Damit schickt er dich zurück zur Lern-App. Die App prüft das Token und lässt dich herein.
Wichtig ist ein Detail: Dein Passwort erfährt die Lern-App nie. Sie sieht nur die Bestätigung, dass die Anmeldung geklappt hat, plus vielleicht deinen Namen und deine E-Mail-Adresse. Das Token ist außerdem kryptografisch unterschrieben, also mit einem mathematischen Siegel versehen, das man nicht fälschen kann. Verbreitete Regelwerke für diesen Ablauf heißen OAuth 2.0, OpenID Connect und SAML. Sie unterscheiden sich in Details, folgen aber demselben Grundmuster.
Von der Schulplattform bis zum Cloud-Konzern
Im Alltag begegnet dir Single Sign-on jedes Mal, wenn eine Webseite anbietet, sich mit dem Google-, Apple- oder Microsoft-Konto anzumelden. Auch Schulen und Universitäten nutzen es: ein Login für Lernplattform, WLAN und Bibliothek. In Firmen laufen oft hundert Programme über einen einzigen Anmeldedienst.
In den Wirtschaftsnachrichten tauchen die Anbieter solcher Dienste regelmäßig auf. Firmen wie Okta oder Microsoft mit seinem Dienst Entra ID verdienen Geld damit, Anmeldungen für andere Unternehmen zu verwalten. Sicherheitsvorfälle bei diesen Anbietern gelten als besonders brisant, weil sie viele Kunden gleichzeitig betreffen.
Ein häufiger Irrtum ist die Verwechslung mit einem Passwortmanager. Ein Passwortmanager speichert viele verschiedene Passwörter und trägt sie für dich ein. Bei Single Sign-on existieren die anderen Passwörter gar nicht. Beides erleichtert das Anmelden, funktioniert aber technisch völlig unterschiedlich.