Was ist Single Sign-On (SSO)? Funktionsweise und Grenzen (2026)

Sie melden sich morgens einmal an, und plötzlich sind E-Mail, Kalender, Chat und ein Dutzend weitere Werkzeuge geöffnet - keine weiteren Anmeldungen. Das ist Single Sign-On, kurz SSO. Es ist eines der häufigsten Authentifizierungssysteme am Arbeitsplatz und zunehmend auch online über Schaltflächen wie „Mit Google anmelden“. Dieser Leitfaden erklärt, was SSO ist, wie es funktioniert und wo seine ehrlichen Grenzen liegen.

SSO ist am stärksten in Kombination mit Multi-Faktor-Authentifizierung.

Die kurze Antwort

Mit Single Sign-On melden Sie sich einmal an und nutzen viele verbundene Apps, ohne Ihr Passwort erneut einzugeben. Sie authentifizieren sich bei einem vertrauenswürdigen Dienst, und dieser bestätigt Ihre Identität gegenüber den anderen Apps für Sie. Eine Anmeldung, viele Dienste. Das spart Zeit und reduziert den Stapel an Passwörtern, mit dem Sie sonst jonglieren müssten.

Wie SSO funktioniert

Hinter dem Komfort steht ein zentraler Identitätsanbieter - der Dienst, bei dem Sie sich tatsächlich anmelden. Wenn Sie sich anmelden, stellt er jeder App ein sicheres Token aus, das sagt: „Diese Person ist verifiziert.“ Die Apps vertrauen dem Token und fragen daher nie nach Ihrem Passwort und sehen es auch nie. Sie erleben eine einzige Anmeldung; die Apps akzeptieren den Nachweis still im Hintergrund. Die Schaltfläche „Mit Google anmelden“ ist SSO, das Sie wahrscheinlich schon genutzt haben.

Die echten Vorteile

SSO ist aus guten Gründen beliebt. Sie verwalten deutlich weniger Passwörter, was weniger schwache oder mehrfach genutzte bedeutet. Die Anmeldung ist schneller, besonders über viele Arbeitswerkzeuge hinweg. Und weil alles über einen Identitätsanbieter läuft, kann die Sicherheit zentralisiert werden - starke Authentifizierung und Zwei-Faktor-Anmeldung werden an einem Ort durchgesetzt statt App für App. Für Unternehmen wird auch das Gewähren und Entziehen von Zugängen viel einfacher.

Die ehrlichen Grenzen

Es gibt einen Haken, und er ist wichtig. SSO macht Ihr Hauptkonto zu einem einzigen Schlüssel: Bricht jemand in es ein, ist jede verbundene App auf einmal gefährdet. Das macht den Schutz des SSO-Kontos entscheidend - ein starkes, einzigartiges Passwort und Zwei-Faktor-Authentifizierung sind nicht verhandelbar. SSO deckt zudem nicht alles ab; viele Konten, die Sie nutzen, bieten überhaupt keine SSO-Option, sodass es gute Passwortgewohnheiten nie vollständig ersetzt.

SSO vs. Passwort-Manager

Manche behandeln die beiden als Rivalen; sie sind Partner. SSO gibt Ihnen eine Identität für eine Reihe verbundener Apps. Ein Passwort-Manager gibt Ihnen ein einzigartiges Passwort für jedes Konto, auch für all jene, die SSO nicht erreicht. SSO verringert, wie oft Sie sich anmelden; ein Passwort-Manager sorgt dafür, dass jede verbleibende Anmeldung stark ist. Nutzen Sie SSO, wo es angeboten wird, und einen Passwort-Manager für alles andere.

Die SSO-Protokolle einfach erklärt (SAML, OAuth, OIDC)

Sie müssen diese nie selbst einrichten, aber die drei Namen zu kennen hilft zu verstehen, was passiert, wenn Sie auf „Mit Google anmelden“ klicken. Es sind offene Standards, die es Apps erlauben, einem Identitätsanbieter zu vertrauen, ohne je Ihr Passwort zu teilen.

• SAML (Security Assertion Markup Language) ist der ältere Standard, verbreitet in Unternehmen und Schulen. Nach Ihrer Anmeldung beim Identitätsanbieter sendet dieser der App eine signierte XML-„Assertion“, die angibt, wer Sie sind. Er ist für die Authentifizierung gemacht - den Identitätsnachweis - und treibt die meisten Unternehmens-SSO-Portale an.
• OAuth 2.0 ist eigentlich gar kein Anmeldestandard, sondern ein Autorisierungs-Framework. Es erlaubt einer App, in Ihrem Namen in einer anderen zu handeln - etwa einer Kalender-App die Erlaubnis zu geben, Ihren Google Kalender zu lesen - indem ihr ein begrenztes Zugriffstoken statt Ihres Passworts übergeben wird.
• OIDC (OpenID Connect) ist eine dünne Identitätsschicht auf OAuth 2.0. Es ergänzt das fehlende „Wer ist diese Person“-Stück und liefert ein ID-Token (ein signiertes JWT) neben dem Zugriffstoken. Die Verbraucher-Schaltflächen „Mit Google / Apple / Microsoft anmelden“, die Sie online sehen, nutzen fast immer OIDC.

Praktisch gemerkt: SAML und OIDC klären, wer Sie sind, OAuth klärt, was eine App tun darf. In allen drei Fällen erhält die App ein kurzlebiges signiertes Token, nie Ihre echten Zugangsdaten - genau deshalb ist ein per Phishing erbeutetes SSO-Passwort so gefährlich, und genau darum geht es im nächsten Abschnitt.

Das Single-Point-of-Failure-Risiko (und wie man es begrenzt)

Der Komfort von SSO hat eine scharfe Kante: Ihr Identitätsanbieter-Konto ist ein Generalschlüssel. Wird es kompromittiert, erbt ein Angreifer auf einen Schlag jede verbundene App, ohne weitere Passwörter. Zwei getrennte Risiken sind zu unterscheiden.

Das erste ist die Kontoübernahme - jemand phisht oder errät Ihre IdP-Anmeldung. Deshalb muss das SSO-Konto selbst Ihre stärksten Schutzmaßnahmen tragen: ein langes, einzigartiges Passwort und einen phishing-resistenten zweiten Faktor wie einen Hardware-Schlüssel oder Passkey, niemals SMS allein. Das zweite ist die Verfügbarkeit - fällt der Identitätsanbieter aus, können Sie von allem ausgesperrt sein, was von ihm abhängt, bis er wieder läuft. Echte IdP-Ausfälle haben genau das ganzen Unternehmen angetan.

Diese Risiken lassen sich nicht beseitigen, aber abmildern: Schützen Sie das IdP-Konto stärker als jede einzelne App, aktivieren Sie MFA darauf, bewahren Sie Wiederherstellungscodes sicher und offline auf und speichern Sie einzigartige Passwörter für Ihre Konten ohne SSO in einem Passwort-Manager, damit ein einzelner IdP-Ausfall Sie nie völlig aussperrt.

Häufige Fragen

Ist „Mit Google anmelden“ dasselbe wie SSO?

Ja. Die Verbraucher-Schaltflächen „Mit Google / Apple / Facebook anmelden“ sind SSO, gebaut auf dem OpenID-Connect-Standard. Sie authentifizieren sich einmal beim Anbieter, und dieser bürgt für Sie bei der Drittanbieter-Seite, die nie ein Passwort für Sie sieht oder speichert.

Bedeutet SSO, dass ich gar kein Passwort mehr habe?

Nein. Sie haben weiterhin ein Passwort - das für Ihr Identitätsanbieter-Konto. SSO bedeutet nur, dass Sie nicht mehr für jede verbundene App ein eigenes Passwort anlegen. Deshalb ist es so wichtig, dieses eine verbleibende Passwort zu schützen (und ihm MFA hinzuzufügen).

Kann ich SSO auch für private Konten nutzen, nicht nur beruflich?

Oft ja. Viele Verbraucherseiten lassen Sie sich mit einem Google-, Apple- oder Microsoft-Konto anmelden. Der Nachteil ist, dass diese Konten dann zentral für Ihr Online-Leben werden und daher den bestmöglichen Schutz verdienen. Für Seiten ohne SSO-Option bleibt ein Passwort-Manager unverzichtbar.

Was passiert, wenn mein SSO-Anbieter ausfällt?

Sie können vorübergehend den Zugang zu jeder App verlieren, die von ihm abhängt, bis der Dienst wiederhergestellt ist. Dieses Verfügbarkeitsrisiko ist ein Grund, Backup-Wiederherstellungscodes aufzubewahren und sicherzustellen, dass Ihre kritischsten Konten - und alle Konten ohne SSO - ihre eigenen einzigartigen, sicher gespeicherten Passwörter haben.

Das Fazit

Mit Single Sign-On melden Sie sich einmal an und bewegen sich frei zwischen verbundenen Apps, mit weniger Passwörtern und zentralisierter Sicherheit. Im Hintergrund läuft es auf offenen Standards - SAML, OAuth und OIDC -, die es Apps erlauben, einem Identitätsanbieter zu vertrauen, ohne je Ihr Passwort zu sehen. Der Nachteil ist, dass das SSO-Konto zu einem einzigen Ausfallpunkt wird, der daher streng abgesichert werden muss, mit einem starken Passwort und phishing-resistenter MFA. Und weil es nie jedes Konto abdeckt, funktioniert es am besten zusammen mit einem Passwort-Manager - SSO für die verbundenen Apps, einzigartige Passwörter für den Rest.