Für ein B2B-SaaS-Produkt kommt der Moment, in dem ein grösserer Kunde fragt: Unterstützt ihr SSO? Ohne Single Sign-on scheitert der Verkauf oft an der IT-Abteilung des Kunden, die Zugänge zentral verwalten und beim Austritt eines Mitarbeitenden sofort sperren will.
Das Prinzip
Die Anmeldung findet nicht in der Anwendung statt, sondern beim Identitätsanbieter des Kunden, etwa Microsoft Entra ID, Google Workspace oder Okta. Die Anwendung vertraut diesem Anbieter und erhält nach erfolgreicher Anmeldung eine signierte Bestätigung mit der Identität und Attributen des Nutzers. Passwörter für die Anwendung entfallen, und Mehrfaktor-Authentifizierung wird zentral durchgesetzt.
SAML 2.0
SAML ist der ältere, XML-basierte Standard und in Unternehmensumgebungen weit verbreitet. Er funktioniert über Browser-Weiterleitungen und signierte Assertions. Er ist robust und gut unterstützt, aber in der Implementierung fehleranfällig, etwa bei der Prüfung von Signaturen. Für die Umsetzung sollte man auf bewährte Bibliotheken oder einen Dienst setzen, nicht auf Eigenbau.
OpenID Connect
OIDC baut auf OAuth 2.0 auf und nutzt JSON Web Tokens. Es ist moderner, für Web- und Mobile-Anwendungen einfacher zu integrieren und wird von den grossen Identitätsanbietern ebenfalls unterstützt. Viele neue SaaS-Produkte bieten beides an: OIDC als Standard, SAML für Kunden, deren IT es verlangt.
Provisionierung mit SCIM
SSO regelt die Anmeldung, nicht die Verwaltung der Konten. Ohne Provisionierung bleibt ein Konto in der Anwendung bestehen, auch wenn der Nutzer beim Kunden gesperrt ist; er kann sich nur nicht mehr anmelden. SCIM ist der Standard, mit dem der Identitätsanbieter Konten in der Anwendung anlegt, ändert und deaktiviert. Für Unternehmenskunden mit vielen Nutzern ist SCIM oft die zweite Frage nach SSO.
Mandantenfähigkeit und typische Fehler
In einer mandantenfähigen Anwendung braucht jeder Kunde eine eigene SSO-Konfiguration, und die Zuordnung zum Mandanten muss eindeutig sein, etwa über die E-Mail-Domain mit Verifizierung. Häufige Fehler sind fehlende Prüfung der Domain, die es einem Angreifer erlaubt, sich einem fremden Mandanten zuzuordnen, ungenügende Signaturprüfung bei SAML, fehlende Abmeldung über alle Sitzungen und ein Notfallzugang, der SSO umgeht und vergessen wird. SSO ist eine zentrale technische Massnahme im Datenschutz und gehört in jede Sicherheits-Checkliste vor dem Go-live.