- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Single Sign-on (SSO): zentrale Anmeldung, Zugriffskontrolle und Nachweisbarkeit
Single Sign-on (SSO) ist ein Verfahren, bei dem ein zentraler Identitätsdienst die Anmeldung einer Person einmal prüft und diese Bestätigung an mehrere Anwendungen weitergibt, die ihm vertrauen. Die Anwendungen verzichten damit auf eine eigene Passwortprüfung und übernehmen das Ergebnis des Identitätsdienstes, des sogenannten Identity Providers (IdP).
Aus Sicht von Governance und Informationssicherheit verlagert SSO die Kontrolle über Anmeldungen von vielen Systemen an einen Punkt. Das erleichtert einheitliche Regeln und zentrale Nachweise. Zugleich steigen die Anforderungen an diesen Punkt, an seine Verfügbarkeit und an die Prozesse, die festlegen, wer überhaupt Zugriff erhält.
Das Wichtigste in Kürze
- Kontrollpunkt: Anmelderegeln wie MFA, Gerätestatus oder Standort gelten an einer Stelle für alle angebundenen Anwendungen.
- Grenze: SSO steuert die Anmeldung, nicht die Rechte in der Anwendung. Berechtigungskonzept und periodische Überprüfung bleiben nötig.
- Rechtsrahmen: DSG und Datenschutzverordnung verlangen eine dem Risiko angemessene Datensicherheit, darunter Zugriffs- und Benutzerkontrolle. Für Banken konkretisiert das FINMA-Rundschreiben 2023/1 die Anforderungen an Autorisierungssysteme.
- Risiko: Der Identitätsdienst wird zum kritischen System. Ausfall und Kompromittierung gehören in die Risikoplanung.
Stand: November 2026 · Abgeglichen mit Microsoft Learn, den Spezifikationen von OASIS und OpenID Foundation sowie Fedlex und FINMA (Quellen am Ende des Artikels)
Wie SSO Vertrauen zwischen Systemen herstellt
Grundlage jedes föderierten SSO ist eine Vertrauensstellung. IdP und Anwendung tauschen vorab Metadaten und Zertifikate aus. Die Anwendung akzeptiert danach nur Aussagen, die der IdP digital signiert hat. Wer diese Konfiguration ändern darf, ist deshalb eine Governance-Frage und keine rein technische.
Die gängigen Protokolle
- SAML 2.0: OASIS-Standard aus dem Jahr 2005. Der IdP übergibt eine signierte XML-Aussage, die sogenannte Assertion. Verbreitet in etablierten Unternehmensanwendungen.
- OpenID Connect: Identitätsschicht der OpenID Foundation auf Basis von OAuth 2.0. Der IdP stellt ein ID-Token im JSON-Web-Token-Format aus. Üblich bei modernen Web- und Mobile-Anwendungen.
- Kerberos: Anmeldeverfahren im Windows-Netz. Nach der Anmeldung an der Domäne stellt der Domain Controller Tickets für weitere Dienste aus.
OAuth 2.0 allein ist kein Anmeldeprotokoll. Es regelt gemäss RFC 6749, dass eine Anwendung begrenzten Zugriff auf einen Dienst erhält. Wird es dennoch für die Anmeldung zweckentfremdet, fehlt die verlässliche Aussage darüber, wer sich angemeldet hat.
Welche Daten fliessen
Mit jeder Anmeldung übermittelt der IdP Attribute wie Name, E-Mail-Adresse oder Gruppenzugehörigkeit an die Anwendung. Aus Datenschutzsicht gilt auch hier der Grundsatz der Verhältnismässigkeit (Art. 6 DSG): Eine Anwendung sollte nur die Attribute erhalten, die sie für ihren Zweck benötigt.
Umgekehrt entstehen beim IdP Anmeldeprotokolle, die zeigen, wer sich wann bei welcher Anwendung angemeldet hat. Microsoft weist darauf hin, dass diese Protokolle in Entra ID vom System erzeugt werden und sich nicht ändern oder löschen lassen. Sie belegen Anmeldungen, nicht aber, was eine Person danach in der Anwendung getan hat.
Wo die Identitätsdaten liegen
Bei Microsoft Entra ID richtet sich der Speicherort der Kerndaten nach dem Standort, der bei der Einrichtung des Mandanten gewählt wurde, etwa der Region «Europa, Naher Osten und Afrika». Laut Microsoft lässt er sich danach nicht mehr ändern. Eine eigene Region Schweiz ist in dieser Übersicht nicht aufgeführt. Für Organisationen mit Vorgaben zur Datenhaltung gehört dieser Punkt in die Risikobeurteilung.
Was SSO kontrolliert und was nicht
Die Datenschutzverordnung (DSV) nennt in Art. 3 die Ziele der technischen und organisatorischen Massnahmen, die Art. 8 DSG verlangt. Einige davon unterstützt SSO direkt, andere nur mittelbar. Die Gegenüberstellung zeigt, wo die Lücken liegen.
| Beitrag von SSO | Zusätzlich nötig |
|---|---|
| Unbefugte Nutzung verhindern (DSV Art. 3 Abs. 1 Bst. c) | |
| Eine Anmeldung mit MFA und Geräteprüfung für alle angebundenen Systeme | Lokale Konten und Anwendungen ohne SSO absichern |
| Zugriff nur nach Bedarf (DSV Art. 3 Abs. 1 Bst. a) | |
| Zuweisung von Anwendungen über Gruppen | Rollen in der Anwendung, periodische Prüfung der Rechte |
| Nachweise (DSV Art. 3 Abs. 3) | |
| Protokolle aller Anmeldungen an zentraler Stelle | Protokolle über Tätigkeiten in der Anwendung |
| Rasch reagieren (DSV Art. 3 Abs. 3 Bst. c) | |
| Konto und Sitzungen an einer Stelle sperren | Ablauf der Token beachten, lokale Sitzungen beenden |
| Verfügbarkeit (DSV Art. 3 Abs. 2 Bst. e) | |
| Schafft eine zentrale Abhängigkeit | Notfallzugang bei Ausfall des zentralen Dienstes |
Bezug zu Protokollierung und Aufsicht
Art. 4 DSV verlangt in bestimmten Fällen eine Protokollierung, etwa wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet werden. Die Protokolle müssen dann mindestens ein Jahr getrennt vom bearbeitenden System aufbewahrt werden. Die Anmeldeprotokolle eines IdP decken davon nur einen Teil ab.
Für Banken verlangt das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» ein Autorisierungssystem für den Zugriff auf kritische Daten. Der Zugang zu diesem System ist besonders zu schützen, die Berechtigungen sind regelmässig zu überprüfen, und für Personen mit erhöhten Privilegien gelten erhöhte Sicherheitsanforderungen. SSO kann dafür ein Baustein sein, erfüllt die Anforderungen aber nicht von selbst. Die verbindliche Auslegung gehört in die Hände der Compliance-Verantwortlichen.
Zugriff über den ganzen Lebenszyklus steuern
SSO setzt um, was im Verzeichnis steht. Ob das richtig ist, entscheidet der Prozess davor. Ein kontrollierter Ablauf hat fünf Stationen:
- Antrag: Die vorgesetzte Person beantragt den Zugang über ein Self-Service-Portal, mit Begründung und gewünschter Rolle.
- Freigabe: Vorgesetzte und Dateneigner geben frei. Wer Gruppen administriert, genehmigt keine eigenen Anträge.
- Umsetzung: Die Informatik nimmt das Konto in die Gruppe auf. Über diese Gruppe erhält es die Anwendung per SSO.
- Periodische Prüfung: Dateneigner bestätigen in festen Abständen, ob die Zugriffe noch nötig sind. Der Rhythmus richtet sich nach dem Risiko.
- Austritt: Konto sperren, Sitzungen widerrufen und Konten in den Anwendungen entziehen, wo möglich automatisiert über SCIM.
Beispiele aus der Praxis
Die Libera AG, ein Schweizer Beratungsunternehmen für Vorsorgeeinrichtungen, hat den On- und Offboarding-Prozess ihrer Mitarbeitenden teilweise in Eigenregie in ky2help® umgesetzt und unter anderem Azure AD angebunden. Das Personalamt des Kantons Thurgau wickelt seine HR-Prozesse in ky2help® ab. Laut Referenzbericht sind dort sämtliche Aktivitäten «lückenlos nachvollziehbar, dokumentiert» und archiviert.
Wer entscheidet, wer prüft
Für jede per SSO angebundene Anwendung sollte feststehen, wer fachlich verantwortlich ist, wer Zugriffe freigibt und wer die Vertrauensstellung technisch ändern darf. Änderungen an Zertifikaten oder übergebenen Attributen laufen als geplanter Change über das Change Management, damit sie später belegbar sind.
Risiken nach Priorität
Nicht jedes Risiko wiegt gleich. Die folgende Reihenfolge hilft, Massnahmen zu planen, wenn Budget und Personal begrenzt sind.
Priorität 1: Übernahme privilegierter Konten
Wer ein Administratorkonto des IdP kontrolliert, kann Vertrauensstellungen ändern und sich Zugang zu jeder angebundenen Anwendung verschaffen. Administratorrollen gehören deshalb auf wenige, getrennte Konten mit phishingresistenter MFA, etwa FIDO2-Sicherheitsschlüsseln. Für den Zugriff auf kritische Daten verlangt FINMA-RS 2023/1 von Banken ohnehin eine Liste aller Personen mit erhöhten Privilegien.
Priorität 2: Ausfall des Identitätsdienstes
Fällt der IdP aus, sind neue Anmeldungen an allen föderierten Anwendungen blockiert. Microsoft empfiehlt zwei oder mehr Notfallzugriffskonten. Im Notfallkonzept sollte zudem stehen, welche Anwendungen eine lokale Anmeldung als Rückfallebene brauchen und wer sie freigibt.
Priorität 3: Verzögerte Sperre
Ein gesperrtes Konto kann keine neuen Token mehr erhalten. Zugriffstoken der Microsoft Identity Platform gelten jedoch standardmässig 60 bis 90 Minuten. Die fortlaufende Zugriffsevaluierung (CAE) setzt eine Sperre bei unterstützten Diensten wie Exchange Online, SharePoint Online und Teams nahezu in Echtzeit durch, laut Microsoft mit bis zu 15 Minuten Verzögerung. Für andere Anwendungen gilt deren eigene Sitzungsdauer.
Priorität 4: Anwendungen ausserhalb von SSO
Anwendungen mit eigenen Konten entziehen sich der zentralen Kontrolle. Ein vollständiges Anwendungsinventar mit Angabe des Anmeldeverfahrens ist die Voraussetzung, um diese Lücke zu schliessen oder bewusst zu akzeptieren.
Priorität 5: Unkontrollierte Konfigurationsänderungen
Abgelaufene Zertifikate führen zu Ausfällen, zusätzliche Attribute zu ungewollter Datenweitergabe. Beides lässt sich mit einem festen Change-Prozess und regelmässiger Überprüfung der Konfiguration vermeiden.
Häufige Fragen zu Single Sign-on
Was versteht man unter Single Sign-on?
Single Sign-on ist ein Verfahren, bei dem ein zentraler Identitätsdienst die Anmeldung einmal prüft und das Ergebnis an mehrere Anwendungen weitergibt. Die Anwendungen vertrauen dem Identitätsdienst und verzichten auf eine eigene Passwortabfrage.
Erhöht oder senkt SSO das Sicherheitsrisiko?
Beides ist möglich. SSO erlaubt einheitliche Anmelderegeln und eine zentrale Sperre, macht den Identitätsdienst aber zum kritischen System. Entscheidend sind starke MFA für alle Konten, geschützte Administratorrollen und ein Notfallzugang.
Genügt SSO für die Zugriffskontrolle nach DSG?
Nein. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit, und die Datenschutzverordnung nennt dafür unter anderem Zugriffs- und Benutzerkontrolle. SSO unterstützt die Benutzerkontrolle, die Rechte in den Anwendungen müssen aber über ein Berechtigungskonzept gesteuert und periodisch überprüft werden.
Wo speichert Microsoft Entra ID die Identitätsdaten?
Der Speicherort der Kerndaten richtet sich nach dem Standort, der beim Einrichten des Mandanten gewählt wurde, zum Beispiel die Region «Europa, Naher Osten und Afrika». Laut Microsoft lässt sich dieser Standort nachträglich nicht ändern.
Wie schnell wirkt eine Kontosperre bei SSO?
Neue Anmeldungen sind sofort blockiert. Bereits ausgestellte Zugriffstoken gelten bei Microsoft standardmässig 60 bis 90 Minuten, unterstützte Dienste setzen die Sperre über die fortlaufende Zugriffsevaluierung nahezu in Echtzeit durch. Für andere Anwendungen müssen Sitzungen gezielt beendet werden.
Lässt sich ky2help® per SSO anbinden?
Ja. ky2help® unterstützt im Standard Single Sign-on über Azure AD, heute Microsoft Entra ID, sowie eine Schnittstelle zu Active Directory (AD/LDAP). Betrieben wird es als SaaS oder On-Premises, mit eigener Instanz in einem Rechenzentrum in der Schweiz oder in Deutschland. Details klären wir gern in einem Beratungstermin.
Quellen und weiterführende Artikel
Quellen
- Microsoft Learn: Was ist einmaliges Anmelden?
- Microsoft Learn: Microsoft Entra ID und Datenresidenz
- Microsoft Learn: Anmeldeprotokolle in Microsoft Entra ID
- Microsoft Learn: Fortlaufende Zugriffsevaluierung
- OASIS: SAML V2.0 Technical Overview · OpenID Foundation: OpenID Connect Core 1.0
- Fedlex: Bundesgesetz über den Datenschutz (DSG) und Datenschutzverordnung (DSV)
- FINMA: Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken»
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
