Ein Unternehmen mit 25 Mitarbeitern nutzt heute schnell 20 bis 40 SaaS-Tools: CRM, Buchhaltung, Projektmanagement, Dateiablage, HR-System. Ohne zentrale Anmeldung heißt das: Dutzende Passwörter pro Person, geteilte Zugangsdaten in Chat-Verläufen und beim Austritt eines Mitarbeiters eine manuelle Liste, die nie vollständig ist. Single Sign-On löst genau dieses Problem: Ein Identitätsdienst prüft die Anmeldung einmal — alle angebundenen Tools vertrauen dieser Prüfung.
Wie SSO technisch funktioniert
Im Zentrum steht ein Identity Provider (IdP) — etwa Microsoft Entra ID, Google Workspace, Okta oder das selbst gehostete Keycloak. Meldet sich ein Nutzer bei einem Tool an, leitet das Tool ihn zum IdP um. Der prüft Identität und zweiten Faktor und stellt ein signiertes Token aus, mit dem das Tool den Nutzer einlässt. Das Passwort selbst sieht das Tool nie.
Zwei Protokolle dominieren: SAML, der ältere XML-Standard, den fast jede Enterprise-Software spricht, und OIDC (OpenID Connect), das auf OAuth 2.0 aufbaut und der Standard für moderne Web- und Mobile-Anwendungen ist. Für die Praxis gilt: Der IdP sollte beides beherrschen, dann ist die Protokollfrage pro Tool nur ein Konfigurationsdetail.
Der eigentliche Gewinn: Kontrolle über Zugriffe
Der Komfort — ein Login statt dreißig — ist nur die Oberfläche. Der operative Gewinn liegt in drei Punkten:
- Offboarding in Minuten: Ein Konto im IdP deaktivieren sperrt sofort alle angebundenen Tools. Ohne SSO bleiben Alt-Zugänge im Schnitt Wochen aktiv — jedes davon ein offenes Einfallstor.
- MFA an einer Stelle: Zwei-Faktor-Authentifizierung wird einmal zentral erzwungen statt pro Tool halbherzig konfiguriert.
- Rechte über Gruppen: Wer in die Gruppe „Vertrieb" kommt, erhält automatisch CRM- und Angebots-Tool-Zugang. Rollenwechsel bedeutet Gruppenwechsel, nicht zehn Einzeltickets.
Das größte Sicherheitsrisiko sind nicht gehackte Server, sondern vergessene Zugänge ehemaliger Mitarbeiter. SSO macht aus dem Offboarding einen einzigen Klick statt einer unvollständigen Checkliste.
„Ist das nicht ein Single Point of Failure?"
Der Einwand kommt immer — und er ist berechtigter Anlass für Sorgfalt, aber kein Gegenargument. Ein zentraler, mit MFA, Monitoring und Alerting abgesicherter IdP ist deutlich sicherer als 30 Tools mit 30 unterschiedlich schwachen Passwort-Policies. Gegen den Ausfall helfen zwei Standards: Break-Glass-Konten (lokale Notfall-Admins an den wichtigsten Systemen, sicher verwahrt) und ein IdP mit vertraglich zugesicherter Verfügbarkeit. Wer selbst hostet, braucht Redundanz — sonst steht bei einem Serverausfall das ganze Unternehmen.
Die SSO-Steuer: ein realer Kostenfaktor
Ein Punkt, der in keiner Hochglanzbroschüre steht: Viele SaaS-Anbieter verkaufen SAML/OIDC-Anbindung nur im Enterprise-Tarif — teils zum Zwei- bis Dreifachen des Standardpreises. Diese „SSO-Steuer" gehört in jede Tool-Entscheidung: Wer heute ein neues System einführt, sollte SSO-Fähigkeit im benötigten Tarif zur Einkaufsbedingung machen. Nachträglich upgraden ist fast immer teurer.
Pragmatisch einführen statt Big Bang
SSO muss nicht an einem Wochenende komplett stehen. Ein bewährter Ablauf: Zuerst den IdP aufsetzen und MFA für alle erzwingen. Dann die fünf meistgenutzten Tools anbinden — das deckt meist 80 Prozent der täglichen Logins ab. Danach Tool für Tool nachziehen und parallel eine Regel etablieren: Kein neues Tool ohne SSO-Anbindung. Für Alt-Systeme ohne SAML/OIDC bleibt übergangsweise ein Passwort-Manager im Team-Modus die zweitbeste Lösung.
Die nächste Stufe: automatisches Provisioning
Wer SSO im Betrieb hat, kann eine Stufe weitergehen: Mit SCIM (System for Cross-domain Identity Management) legt der IdP Benutzerkonten in den angebundenen Tools automatisch an, aktualisiert sie bei Rollenwechseln und löscht sie beim Austritt. Der Unterschied zu reinem SSO: Ohne Provisioning sperrt die Deaktivierung nur den Login — das Konto samt Lizenz existiert im Tool weiter und kostet Geld. Mit SCIM verschwinden auch die Lizenzleichen. Gerade bei Tools mit Preis pro Nutzer summiert sich das schnell auf vierstellige Beträge pro Jahr.
Wann sich der Aufwand rechnet
Die Rechnung ist nüchtern: Bei 25 Mitarbeitern und konservativ fünf Minuten Passwort-Reibung pro Person und Woche kommen über 100 Arbeitsstunden im Jahr zusammen — Helpdesk-Tickets für Passwort-Resets nicht eingerechnet. Dazu kommt das schwer bezifferbare, aber reale Risiko vergessener Alt-Zugänge. Ab etwa zehn Mitarbeitern und zehn Tools ist SSO deshalb selten die Frage ob, sondern nur noch wann und womit.
Single Sign-On ist kein Komfort-Feature, sondern die Grundlage eines steuerbaren Tool-Stacks: eine Identität, klare Gruppen, sofort wirksames Offboarding. Wer Prozesse automatisiert, ohne die Zugriffsfrage zu lösen, automatisiert auf wackligem Fundament.