Glossareintrag
Wir denken. KI tippt mit.
Single Sign-on (SSO, auf Deutsch Einmalanmeldung) ist ein Anmeldeverfahren, bei dem sich Nutzer einmal bei einem zentralen Dienst anmelden und danach ohne erneute Passworteingabe auf alle verbundenen Anwendungen zugreifen. Die Identitätsprüfung übernimmt der sogenannte Identity Provider (IdP). Die einzelnen Anwendungen, in der Fachsprache Service Provider genannt, verwalten keine eigenen Passwörter mehr, sondern vertrauen der Bestätigung des Identity Providers.
SAML (Security Assertion Markup Language) ist der etablierte technische Standard hinter dieser Firmen-Anmeldung. Das XML-basierte Verfahren stammt von der Standardisierungsorganisation OASIS und liegt seit der Verabschiedung von SAML 2.0 im März 2005 in der bis heute genutzten Version vor. Nennt ein Software-Anbieter „SAML-SSO" als Funktion, lässt sich sein Produkt an die zentrale Anmeldung einer Firma anschließen. Die Verbraucher-Variante des Prinzips kennen Sie von Knöpfen wie „Mit Google anmelden" auf Websites, dem sogenannten Social Login.
Eine SSO-Anmeldung läuft in vier Schritten ab. Der Mitarbeiter ruft eine Anwendung auf, etwa das Buchhaltungsprogramm im Browser. Die Anwendung leitet ihn an den Identity Provider weiter, wo er sich anmeldet, falls er es an diesem Tag nicht schon getan hat. Der Identity Provider schickt anschließend eine digital signierte Bestätigung an die Anwendung zurück, im SAML-Standard heißt sie Assertion. Die Anwendung prüft die Signatur und gibt den Zugriff frei. Das Passwort bekommt sie dabei nie zu sehen, es bleibt beim Identity Provider.
Neben SAML existieren zwei weitere Standards, die oft im selben Atemzug genannt werden. OAuth 2.0 regelt die Autorisierung, also die Frage, welche Zugriffe eine Anwendung im Namen des Nutzers ausführen darf, und prüft keine Identität. OpenID Connect (OIDC) baut auf OAuth 2.0 auf, arbeitet mit kompakten JSON-Tokens statt XML und gilt als der modernere Weg für Web- und Mobile-Apps. In der Praxis laufen beide Welten parallel, große Identity Provider wie Microsoft Entra ID (bis 2023 Azure Active Directory) unterstützen SAML und OIDC gleichermaßen.
Häufig taucht neben SSO die Abkürzung SCIM auf. Dieser Standard automatisiert die Nutzerverwaltung. Verlässt ein Mitarbeiter die Firma, deaktiviert der Identity Provider dessen Konto in allen angeschlossenen Tools automatisch, ohne dass jemand jede Anwendung einzeln durchgehen muss.
Der Sicherheitsgewinn von SSO liegt in der Zentralisierung. Microsoft blockierte nach eigenen Angaben im Digital Defense Report 2024 rund 7.000 Passwort-Angriffe pro Sekunde. Je weniger Dienste ein eigenes Passwort speichern, desto kleiner ist diese Angriffsfläche, und Schutzmaßnahmen wie die Zwei-Faktor-Authentifizierung richtet die Firma nur noch an einer Stelle ein statt in jedem einzelnen Tool.
Die Kehrseite ist die Abhängigkeit von einem einzigen Konto. Das BSI warnt in seiner Sicherheitsempfehlung zum Single Sign-on, dass mit einem geknackten zentralen Account zugleich alle verbundenen Konten offenstehen. Der zentrale Zugang braucht deshalb zwingend eine Mehrfaktor-Absicherung. SSO konkurriert dabei nicht mit Passkeys, denn die passwortlosen Verfahren ersetzen nur die Passworteingabe bei der Anmeldung selbst. Beide Techniken lassen sich kombinieren, der Identity Provider kann die zentrale Anmeldung per Passkey abwickeln.
Bei klassischer Business-Software hat SSO einen umstrittenen Preis. Viele SaaS-Anbieter reservieren die Funktion für ihre teuersten Enterprise-Tarife, wofür sich der Spottbegriff „SSO-Tax" (SSO-Steuer) etabliert hat. Die Website SSO Wall of Shame dokumentiert Aufschläge von teils mehreren hundert Prozent und argumentiert, dass eine grundlegende Sicherheitsfunktion kein Luxus-Extra sein darf.
Bei KI-Tools entscheidet SSO oft darüber, welchen Tarif ein Betrieb buchen muss. ChatGPT Business enthält SAML-SSO bereits ab 25 US-Dollar pro Nutzer und Monat (20 US-Dollar bei Jahreszahlung, Stand August 2026), die automatische Nutzerverwaltung per SCIM bleibt allerdings dem Enterprise-Tarif vorbehalten. Anthropic schaltet SSO für Claude ab dem Team-Plan zum gleichen Preis frei und unterstützt dabei unter anderem Okta, Microsoft Entra ID und Google Workspace. Google Gemini steckt in den bezahlten Workspace-Tarifen, die Anmeldung läuft dort ohnehin über das zentrale Google-Konto. Microsoft 365 Copilot setzt ein Entra-ID-Konto sogar zwingend voraus, eine getrennte SSO-Einrichtung entfällt. Was die Geschäftstarife von OpenAI im Einzelnen bieten, zeigt unser Vergleich von ChatGPT Business und Premium-Seats.
Viele Betriebe besitzen bereits einen Identity Provider, ohne es zu wissen. In jedem Microsoft-365-Firmenabo steckt Entra ID, und Google Workspace übernimmt für seine Kunden dieselbe Rolle. Ein Handwerksbetrieb, der seine E-Mails über Microsoft 365 laufen lässt, kann neue KI-Tools deshalb direkt an die vorhandene Anmeldung anschließen, statt einen zusätzlichen Dienst wie Okta zu bezahlen.
Ob sich die Einrichtung lohnt, hängt von der Zahl der Mitarbeiter und Tools ab. Für einen Zwei-Mann-Betrieb mit drei Online-Diensten erledigt ein Passwort-Manager denselben Job mit weniger Aufwand. Interessant wird SSO, sobald Mitarbeiter kommen und gehen. Beim Ausscheiden sperrt der Chef ein einziges Konto, und der frühere Mitarbeiter verliert im selben Moment den Zugang zu allen Firmen-Tools samt der darin gespeicherten Kundendaten und Chatverläufe. Wer Geschäftstarife vergleicht, sollte außerdem auf die Formulierung „SSO nur im Enterprise-Plan" achten, denn sie bedeutet im Klartext, dass die zentrale Anmeldung den Sprung in die teuerste Preisstufe erfordert.
