Eine Tür für alles: SSO — und die Frage, ob es ohne Microsoft und Google geht

Die Sonntagsausgabe: ein längerer Text für den zweiten Kaffee, jeden Sonntag ein Grundsatzthema. Heute: das unscheinbare Kürzel, das darüber entscheidet, wie sicher und wie aufgeräumt eine Firma ist.

Diese Woche habe ich ein neues Werkzeug in Betrieb genommen — die Newsletter-Verwaltung hinter dem Abonnieren-Feld dieses Blogs. Das Bemerkenswerte daran war nicht das Werkzeug. Es war der Moment der Inbetriebnahme: Kein neues Passwort. Kein neues Konto. Ich habe eine Gruppe in meinem zentralen Benutzerverzeichnis angelegt, mich mit dem Fingerabdruck angemeldet — fertig. Dasselbe Login wie für den Passwortmanager, das Git-System, das interne Dashboard.

Das Kürzel dahinter heisst SSO, Single Sign-on. Und weil es in jedem IT-Angebot vorkommt, aber selten jemand erklärt, worum es eigentlich geht, ist es heute die Sonntagsausgabe.

Was SSO ist — das Hotel-Bild

Stell dir eine Firma als Gebäude mit zwanzig Räumen vor: Buchhaltung, Mail, Ablage, Kalender, Kundendaten. Ohne SSO hat jeder Raum ein eigenes Schloss und jeder Mitarbeiter einen Schlüsselbund mit zwanzig Schlüsseln. Menschen verlieren Schlüssel, lassen sie nachmachen, verwenden denselben Bartschlüssel für alles — und wenn jemand die Firma verlässt, muss man zwanzig Schlösser einzeln umstellen und hoffen, dass man keines vergisst.

Mit SSO gibt es stattdessen eine Rezeption. Man weist sich einmal aus — gut geprüft, mit einem zweiten Faktor oder biometrisch — und die Rezeption gibt einem eine Tageskarte, die genau die richtigen Räume öffnet. Welche das sind, steht auf einer zentralen Liste: Wer zur Gruppe «Buchhaltung» gehört, kommt in die Buchhaltungsräume. Punkt.

Technisch heisst die Rezeption «Identity Provider», die Tageskarte ist ein kryptografisches Token, und die Protokolle dazwischen heissen OIDC oder SAML. Aber das Bild reicht: eine Tür, eine Prüfung, klare Listen.

Warum zentral so viel besser ist als verstreut

Vier Gründe, jeder für sich schon ausreichend:

Das Ausscheiden. Der wichtigste und der am meisten unterschätzte. Ohne SSO ist ein Offboarding eine Schnitzeljagd: zwanzig Systeme, zwanzig Konten, und niemand weiss sicher, ob es nicht einundzwanzig sind. Mit SSO ist es ein Schalter. In meinem Setup gibt es dafür drei Ebenen, die sich einzeln ziehen lassen — Konto sperren, laufende Sitzungen beenden, Netzwerkzugang kappen — und alle drei sind in Minuten erledigt, von unterwegs.

Ein starkes Login statt zwanzig schwacher. Wenn es nur eine Tür gibt, lohnt es sich, diese Tür exzellent zu sichern: Passkeys statt Passwörter, Fingerabdruck statt Zettel unter der Tastatur. Zwanzig Einzellogins bekommen diese Sorgfalt nie — dort gewinnt immer die Bequemlichkeit.

Die Übersicht. «Wer hat eigentlich Zugriff auf die Kundendaten?» ist ohne zentrales Verzeichnis eine Forschungsfrage. Mit Gruppen ist es eine Abfrage. Diese Woche wollte ich, dass ich die neue Newsletter-Verwaltung «sauber verwalten» kann — die Antwort war eine einzige neue Gruppe, an die das Werkzeug gebunden ist. Zugriff geben heisst: Person in die Gruppe. Entziehen: Person raus. Das versteht auch der Treuhänder.

Die Nachvollziehbarkeit. Eine Rezeption führt ein Journal: wer wann rein wollte, was abgelehnt wurde. Als sich diese Woche jemand dreimal erfolglos an einem Admin-Konto versuchte, stand es im Protokoll — mit Herkunft. (Es war, der Vollständigkeit halber: ich selbst, am falschen Konto.)

Ist das nicht Overkill für eine kleine Firma?

Die ehrliche Frage, die ich mir selbst gestellt habe — ich bin eine Einpersonenfirma mit Partnern im Netzwerk. Die Antwort aus der Praxis: Der Aufwand fällt einmal an, der Nutzen bei jedem neuen Werkzeug und jeder neuen Person. Als der erste externe Zugriff nötig wurde, war er eine Gruppenzuordnung statt einer Kontenverwaltung. Und für den Fall, dass die Rezeption selbst klemmt, gibt es das Bruchglas-Konto: ein Notfall-Admin, dessen Zugangsdaten auf Papier liegen — ja, Papier.

Wichtiger noch: SSO ist eine dieser Grundlagen, die später alles andere billiger machen. Auch die KI-Agenten, über die diese Serie sonst schreibt, brauchen Identitäten und eng geschnittene Zugänge — wer sehen will, wie das aussieht: Es ist dasselbe Gruppen- und Schlüsselprinzip, nur für Maschinen.

Geht es ganz ohne Microsoft, Google und Social Logins?

Jetzt zur Frage aus der Überschrift. Sie hat drei Ebenen, und die muss man auseinanderhalten:

Ebene 1: Der Login für die eigenen Werkzeuge. Hier ist die Antwort ein klares Ja. Die Rezeption muss niemand mieten — es gibt ausgereifte Open-Source- Identity-Provider (meiner heisst Authentik; Keycloak und Zitadel sind andere), die auf eigener Infrastruktur laufen. Jedes ernstzunehmende Werkzeug spricht heute OIDC oder SAML. Mein kompletter Stack — Passwortmanager, Git, Dashboards, Newsletter — hängt an der eigenen Rezeption, gehostet in der Schweiz, und keine der Anmeldungen berührt einen US-Konzern.

Ebene 2: «Login mit Google» für eure Kunden. Auch hier: verzichtbar, und oft sogar besser. Social Logins wirken bequem, aber sie machen den fremden Konzern zum Türsteher eurer Kundenbeziehung — fällt das Google-Konto, fällt euer Kunde. Die moderne Alternative sind Passkeys (das Login mit Fingerabdruck oder Gesicht, ganz ohne Passwort) oder schlicht die E-Mail-Adresse mit Bestätigungslink. Beides gehört euch, nicht Mountain View.

Ebene 3: Die Realität der Microsoft-Abhängigkeit. Hier wird es ehrlich: Wer M365 mit Exchange, Teams und Office nutzt, hat seine Identitäten faktisch bei Microsoft — das Postfach zwingt die Identität mit. Ganz verzichten heisst dann: die Mail-Frage lösen, und das ist die härteste Migration von allen (meine läuft, schrittweise, Domain für Domain). Der gangbare Weg für die meisten KMU ist gestuft: eigene Rezeption für alles Neue und Interne, Microsoft behält vorerst, was an Microsoft hängt — und die Abhängigkeit schrumpft mit jedem Umzug, statt in einem riskanten Befreiungsschlag zu enden.

Die Risiken, unbeschönigt

SSO bündelt. Und was bündelt, konzentriert auch das Risiko:

• Eine Tür heisst: ein Angriffspunkt. Wird die Rezeption kompromittiert, ist alles dahinter offen. Darum verdient der Identity Provider die beste Absicherung im Haus: Passkeys erzwingen, Updates ernst nehmen, Protokolle anschauen.
• Fällt die Rezeption aus, steht das Haus. Selbst gehostet heisst: selbst verantwortlich. Dagegen helfen Backups, die man wiederherstellen geübt hat, und das Bruchglas-Konto für den Notzugang.
• Selbst hosten kostet Pflege. Wer dafür niemanden hat, fährt mit einem bezahlten europäischen Identity-Dienst besser als mit einer vernachlässigten eigenen Installation. Ungepflegtes Self-Hosting ist das schlechteste aus beiden Welten.

Das Gegenrisiko verschweigt die Werbung der grossen Anbieter übrigens auch: Wer seine Identitäten einem Konzern gibt, hat dieselbe eine Tür — nur steht sie in fremdem Boden, unter fremdem Recht, mit Geschäftsbedingungen, die sich ändern können.

Die Sonntagsfrage

Wenn morgen jemand euer Unternehmen verlässt — im Guten oder im Schlechten: Wie viele Systeme müsstet ihr anfassen? Wisst ihr überhaupt von allen? Und wie lange würde es dauern? Wenn die Antwort «ein Schalter, alle, fünf Minuten» ist: Glückwunsch, ihr habt SSO verstanden. Wenn nicht: Genau da würde ich anfangen — es ist die unglamouröseste Investition mit der höchsten Rendite, die die IT zu bieten hat.

Und wie funktioniert das technisch? Für alle, die es genau wissen wollen, gibt es zu diesem Text einen Anhang: die technische Zeichnung — eine einzige Grafik, die zeigt, warum eine gut gesicherte Tür sicherer sein kann als zwanzig und wie drei Riegel im Ernstfall alles in Minuten sperren. Ohne Informatikstudium, versprochen.

Fragen, Einwände, eigene Login-Geschichten? Schreib mir — ich antworte selbst. Bis nächsten Sonntag.