Jeder Mitarbeiter in einem 30-Personen-Unternehmen jongliert heute im Schnitt rund ein Dutzend Logins für verschiedene Systeme. Die eine Hälfte des Büros speichert Passwörter in einer „passwords.xlsx" auf dem Desktop, die andere Hälfte tippt überall dasselbe „Firma2024!" ein. SSO ist kein Allheilmittel, aber für die meisten KMU dieser Größe gehört es zu den drei besten IT-Investitionen, die man machen kann.
Was bedeutet SSO konkret? Die Abkürzung steht für Single Sign-On — ein Mitarbeiter meldet sich einmal an einem zentralen System an (typischerweise Microsoft Entra ID, das umbenannte Azure AD, oder Google Workspace) und „springt" von dort in alle anderen Anwendungen, ohne separate Passwörter eintippen zu müssen. Das läuft über Standardprotokolle: SAML 2.0 oder OpenID Connect (OIDC). Aus Sicht des Nutzers verschwinden 90 Prozent der „wie war das Passwort noch gleich"-Momente.
Es ist nicht dasselbe wie ein Passwortmanager. Ein Passwortmanager hält 15 separate Passwörter und reicht sie im richtigen Moment nach. SSO sorgt dafür, dass diese 15 separaten Passwörter gar nicht erst existieren — es gibt ein Firmen-Login und das war's. Beide Werkzeuge können und sollten koexistieren, sie sind aber kein Ersatz füreinander.
Wann ein KMU SSO wirklich braucht
Nicht immer lohnt es sich. Ein Fünf-Personen-Betrieb mit drei SaaS-Tools lebt prima mit einem Passwortmanager. Wenn Sie aber eine der folgenden Situationen wiedererkennen, wird die SSO-Rechnung interessant:
- Sie sind 20+ Mitarbeiter, und jeder neue braucht in der ersten Woche Konten in 10+ Anwendungen.
- Das Offboarding eines Mitarbeiters dauert Stunden, weil „ich nicht mehr weiß, wo er noch ein Konto hatte".
- Ihr Helpdesk (intern oder extern) verbringt einen relevanten Teil seiner Zeit mit Passwort-Resets.
- Sie wollen firmenweit MFA erzwingen, aber „es geht nicht" — weil MFA in jeder Anwendung einzeln konfiguriert werden muss.
- Sie ahnen, dass irgendwo aktive Konten ehemaliger Mitarbeiter herumgeistern. Meistens haben Sie recht.
Wie es in der Praxis funktioniert
Für ein typisches 30-Personen-Unternehmen, das auf Microsoft 365 läuft, ist Entra ID die naheliegende Wahl — und wichtig: Das Paket Microsoft 365 Business Premium enthält bereits alles, was Sie brauchen, um Anwendungen per SAML anzubinden. Für ein Unternehmen auf Google Workspace übernimmt das entsprechende Workspace-Abo dieselbe Rolle. Das nennt man IdP (Identity Provider) — die zentrale Wahrheitsquelle darüber, wer in Ihrem Unternehmen arbeitet.
Jede Anwendung, die Sie an SSO anbinden, muss SAML 2.0 oder OIDC unterstützen. Die meisten Business-SaaS-Tools tun das — manchmal erst ab dem Business+-Plan aufwärts (Slack, Notion, Asana, Jira, HubSpot, Pipedrive, Comarch IBARD, die Cloud-Konsolen verbreiteter ERP-Systeme). On-Premise-Anwendungen lassen sich häufig über einen Application Proxy einbinden. Ein paar Legacy-Anwendungen können nichts außer eigenem Login und Passwort — die binden Sie nicht an, aber Sie können sie wenigstens im Passwortmanager halten und den Zugriff begrenzen.
Das zweite Stück, das man bei der Gelegenheit gleich mit ausrollen sollte, ist SCIM. Das ist das Protokoll, das beim Anlegen eines Kontos in Entra ID automatisch Konten in allen angebundenen Anwendungen anlegt — und beim Deaktivieren genauso automatisch wieder schließt. Ohne SCIM müssen Sie weiterhin bei jedem Onboarding in 12 Admin-Konsolen klicken.
Ein konkretes Beispiel
Bei einem unserer Kunden — einem 35-Personen-Hersteller von Baubeschlägen aus Großpolen, der Comarch Optima in der Cloud, Microsoft 365 Business Premium, Subiekt fürs Lager und 11 SaaS-Apps (Slack, ClickUp, Mailchimp, HubSpot, Toggl, Adobe Creative Cloud und ein paar kleinere) im Einsatz hatte — sah die Ausgangslage so aus:
- Jeder Mitarbeiter besaß im Schnitt 13 separate Logins.
- Eine Datei namens „firmen-passwoerter.xlsx" existierte in 8 Kopien über verschiedene OneDrive-Ordner verstreut.
- Der Helpdesk bearbeitete etwa 30–35 Passwort-Reset-Tickets pro Monat.
- Das Offboarding einer Buchhalterin dauerte eine ganze Woche — und zwei Wochen später stellte sich heraus, dass sie weiterhin ein aktives Konto in Mailchimp hatte.
- MFA war nur in Microsoft 365 aktiviert; bei den übrigen Anwendungen stand „machen wir später" auf der Liste.
Nach der Einführung von Entra ID als IdP, dem Anbinden von 9 der 11 Apps über SAML und SCIM und dem Erzwingen von MFA auf IdP-Ebene (Conditional Access):
- Aktive Logins pro Mitarbeiter sanken von 13 auf 4 (3 Legacy-Systeme unterstützten kein SSO).
- Passwort-Resets im Helpdesk: 4–6 Tickets pro Monat statt 30+.
- Mitarbeiter-Offboarding: 20 Minuten, ein Klick auf „disable user" in Entra ID schneidet den Zugriff überall ab.
- MFA wurde automatisch über alle 9 angebundenen Anwendungen erzwungen, über eine einzige Richtlinie.
- Beim Audit-Durchlauf tauchten 3 aktive Konten ehemaliger Mitarbeiter in SaaS-Tools auf, an die niemand mehr gedacht hatte. Geschlossen.
Das Projekt dauerte 6 Wochen bei rund 4 Stunden Beratungszeit pro Woche plus 2 Stunden pro Woche auf Kundenseite. Die Lizenzkosten stiegen nicht — das Unternehmen hatte Business Premium ohnehin und nutzte Entra ID bisher nur für die Outlook-Anmeldung.
Wo es üblicherweise kracht
Technisch ist die SSO-Einführung kein schweres Projekt — sie kann aber organisatorisch entgleisen:
- Keine Anwendungsliste. Bevor Sie irgendetwas anbinden, machen Sie eine Inventur. In einem typischen 30-Personen-Unternehmen finden Sie 5–10 Anwendungen, von denen die IT „nichts wusste".
- Private statt geschäftliche Konten. Jemand hat ein SaaS-Tool mit einer @gmail.com-Adresse registriert, „weil es schneller ging". Diese Konten müssen vor der Anbindung migriert werden.
- Geteilte Logins. Konten wie „marketing@firma.de", unter denen sich drei Personen anmelden — SSO behandelt das schlecht. Hier muss auf personenbezogene Konten mit passenden Rechten migriert werden.
- Anwendungen, die SAML „fast" unterstützen. Manche Anbieter packen SSO erst in einen höheren Plan. Das sind typischerweise +5–15 EUR pro Nutzer und Monat oben drauf. Prüfen Sie das vor dem Start, damit das Budget unterwegs nicht still wächst.
- IdP-Ausfall = alles ausgefallen. Wenn Entra ID down ist, melden Sie sich nirgendwo mehr an. Deshalb sollte man ein sogenanntes Break-Glass-Konto haben — ein Notfallkonto mit einem langen, im Safe verwahrten Passwort, das nur zum Einsatz kommt, wenn der IdP steht.
Was als Nächstes
SSO ersetzt weder Ihren Passwortmanager noch MFA, MDM oder Ihre Backup-Strategie — es spielt mit ihnen zusammen. Aber es ist das Fundament, auf das alles andere sauber aufrastet. Ohne SSO heißt jede neue Sicherheitsrichtlinie: Löcher einzeln in 15 verschiedenen Systemen stopfen. Mit SSO haben Sie einen Ort, an dem diese Regeln einmal definiert werden.
Wenn Sie die Symptome vom Anfang dieses Artikels wiedererkennen — Passwortdateien auf Desktops, langwieriges Offboarding, Dutzende Resets pro Monat — dann ist es ein guter Moment, sich eine halbe Stunde hinzusetzen und auszurechnen, was das Ihr Unternehmen tatsächlich an Arbeitszeit kostet. Die Zahl fällt meistens höher aus, als man erwartet.
SSO ist kein Konzern-Spielzeug. Es ist der einfache Weg, 15 Logins pro Mitarbeiter in ein einziges zu verwandeln — und dabei endlich die Hintertüren ehemaliger Mitarbeiter zu schließen.