Eine Tür, drei Riegel: warum ein Login sicherer ist als zwanzig

Dieser Text gehört zur Sonntagsausgabe «Eine Tür für alles: SSO — und die Frage, ob es ohne Microsoft und Google geht». Dort steht das Warum — hier steht das Wie: eine einzige Zeichnung, die zeigt, weshalb eine gut gesicherte Tür sicherer sein kann als zwanzig — und wie man im Ernstfall alles dahinter in Minuten sperrt. Zehn Minuten, kein Fachwissen nötig.

Die Zeichnung

Links: ein Login statt zwanzig

Ganz links stehst du — mit deinen Geräten und mit genaueinem Login. Weil es nur eines ist, lohnt es sich, es exzellent zu machen: ein Passkey oder der Fingerabdruck statt eines Passworts, das irgendwo auf einem Zettel unter der Tastatur endet. Das ist der erste Grund, weshalb eine Tür sicherer sein kann als zwanzig: Zwanzig Einzellogins bekommen diese Sorgfalt nie — dort gewinnt immer die Bequemlichkeit.

Die Tür in der Mitte ist das zentrale Benutzerverzeichnis — in der Sonntagsausgabe heisst es die Rezeption, technisch der Identity Provider. Du weist dich einmal aus, gut geprüft, und die Rezeption gibt dir eine Tageskarte: ein kryptografisches Token, das genau die richtigen Räume öffnet. Die blauen Pfeile in der Zeichnung sind diese Bürgschaft — die Tür sagt jedem Raum: «Diese Person ist es wirklich, und sie darf hier hinein.»

In der Mitte: die drei Riegel

Das Herz der Zeichnung sind die drei gelben Riegel auf der Tür — und die Pointe ist, dass sich jeder einzeln ziehen lässt (die kleinen roten Pfeile). Sie sperren drei verschiedene Dinge:

• Riegel 1 sperrt das Konto — die Identität selbst. Die Person kann sich ab sofort nirgends mehr neu anmelden.
• Riegel 2 beendet die laufenden Sitzungen. Wer sich am Morgen angemeldet hat und noch «drin» ist, fliegt raus — die Tageskarte wird für ungültig erklärt, nicht erst beim nächsten Login.
• Riegel 3 kappt den Netzwerkzugang — die Leitung selbst. Selbst wer die Räume noch sähe, kommt nicht mehr bis zur Tür.

Das ist die Antwort auf die Frage im Titel: Beim Ausscheiden einer Person — im Guten oder im Schlechten — sind alle drei Riegel in Minuten gezogen, von unterwegs. Ohne zentrale Tür wäre derselbe Vorgang eine Schnitzeljagd durch zwanzig Systeme, bei der niemand sicher weiss, ob es nicht einundzwanzig sind. Genau das zeigt der verblasste Streifen unten in der Zeichnung.

Rechts: Räume ohne eigene Schlösser

Rechts stehen die Dienste, um die es eigentlich geht: Passwortmanager, Git-System, Newsletter-Verwaltung, das interne Dashboard. Das Entscheidende steht darunter: Keiner dieser Dienste führt eigene Passwörter. Sie prüfen nicht selbst, wer du bist — sie vertrauen der Tageskarte der einen Tür. Ein neues Werkzeug anschliessen heisst darum nicht «neues Konto, neues Passwort», sondern: eine Gruppe im Verzeichnis anlegen, das Werkzeug daran binden, fertig. Zugriff geben heisst Person in die Gruppe; entziehen heisst Person raus.

Und weil nirgends verstreute Passwörter liegen, gibt es auch keinen Seiteneingang, den man beim Sperren vergessen könnte: Wer an der Tür scheitert, kommt in keinen Raum — egal wie viele Räume es sind.

Ehrlich bleiben: was die eine Tür nicht löst

Drei Dinge muss man dazusagen, sonst wäre die Zeichnung Werbung statt Erklärung:

• Eine Tür ist auch ein einziger Angriffspunkt.Wer alles bündelt, konzentriert das Risiko. Darum verdient die Tür selbst die beste Absicherung im Haus — Passkeys erzwingen, Updates ernst nehmen, das Journal lesen — und für den Fall, dass die Rezeption selbst klemmt, braucht es das Bruchglas-Konto: den Notfall-Admin auf Papier.
• Nicht jedes Werkzeug kennt die Tür. Ältere Software spricht kein OIDC oder SAML, und wer M365 mit Exchange nutzt, hat seine Identitäten faktisch bei Microsoft — das Postfach zwingt die Identität mit. Die Zeichnung zeigt den Zielzustand; der Weg dorthin ist gestuft, Umzug für Umzug.
• Riegel, die man nie gezogen hat, klemmen im Ernstfall. «In Minuten gesperrt» gilt nur, wenn man den Handgriff geübt hat — an einem Testkonto, mit Blick ins Protokoll. Ein Notfallplan, den niemand je durchgespielt hat, ist ein Dokument, kein Plan.

Du musst das nicht glauben — du kannst es durchspielen

Das Schöne an dieser Architektur: Sie ist überprüfbar. Die Rezeption führt ein Journal — wer wann durch die Tür wollte, was abgelehnt wurde. Zieh probehalber die drei Riegel an einem Testkonto und schau ins Protokoll: Das gesperrte Konto scheitert an der Tür, die beendete Sitzung ist weg, die gekappte Leitung endet vor dem Haus. Und dann stell dir die Sonntagsfrage: Wie viele Systeme müsstest du heute anfassen, wenn morgen jemand geht? Wenn die Antwort nicht «ein Schalter, alle, fünf Minuten» lautet, weisst du jetzt, wie das Zielbild aussieht.

Warum das alles wichtig ist — und ob eine Firma dabei ganz ohne Microsoft, Google und Social Logins auskommt — steht in der Sonntagsausgabe: «Eine Tür für alles: SSO — und die Frage, ob es ohne Microsoft und Google geht»