Glossar

SSO (Single Sign-on)

Single Sign-on lässt Nutzer sich einmal bei einem Identitätsanbieter anmelden und danach ohne erneute Passworteingabe auf mehrere Anwendungen zugreifen. Auf mobilen Geräten ist SSO mehr als Bequemlichkeit: Es ist die Stelle, an der Sie Zugriff zentral entziehen und an Bedingungen wie Gerätekonformität koppeln können.

So funktioniert es

Die Anwendung vertraut nicht dem Passwort, sondern einem Token. Der Nutzer authentifiziert sich beim Identitätsanbieter, dieser stellt ein signiertes Token aus, und die Anwendung prüft die Signatur. Im Web laufen dafür SAML 2.0 und OpenID Connect, wobei OIDC auf OAuth 2.0 aufsetzt und in neuen Projekten die Regel ist. Kerberos spielt die gleiche Rolle im Windows-Netz.

Auf mobilen Plattformen gibt es dafür eigene Mechanik. Apple hat mit iOS 13 die Single Sign-On Extension eingeführt, die ein MDM als Profil verteilt, sodass Safari und alle Apps dieselbe Sitzung nutzen; in der Variante Platform SSO, seit macOS 13 und mit iOS 26 auch auf Mobilgeräten verfügbar, hängt die Geräteanmeldung selbst am Identitätsanbieter. Unter Android übernimmt die Microsoft Authenticator App oder der Google Play Services Broker die Sitzungsverwaltung zwischen Apps.

Der Unterschied zu einem Passwortmanager ist wichtig. Ein Manager tippt Passwörter schneller ein, SSO schafft Passwörter in den Anwendungen ab. Deshalb lässt sich mit SSO ein Konto an einer Stelle abschalten, und der Zugriff auf 40 SaaS-Dienste endet, statt in 40 Admin-Oberflächen nachgehalten zu werden.

Warum es für eine Flotte wichtig ist

Mobile Nutzer tippen Passwörter auf einer Bildschirmtastatur, oft mit Sonderzeichen, oft unterwegs. Jede erneute Anmeldung kostet Sekunden und produziert schwache, wiederverwendete Passwörter. Mit einer per MDM verteilten SSO-Erweiterung melden sich die Nutzer morgens einmal an, und der Rest des Tages läuft still.

Der Sicherheitsgewinn liegt beim Offboarding und bei den Bedingungen. Wer das Unternehmen verlässt, verliert mit der Deaktivierung im Verzeichnis sofort alle angebundenen Dienste. Und weil der Identitätsanbieter jede Anmeldung sieht, kann er MFA verlangen, Anmeldungen aus ungewöhnlichen Ländern blocken oder nur konforme Geräte zulassen.

Die Kehrseite: SSO zentralisiert das Risiko. Ein übernommenes Identitätskonto öffnet alles, und ein Ausfall des Anbieters blockiert alles. Planen Sie Notfallzugänge für Administratoren mit separaten Anmeldedaten und phishing-resistenter MFA, und dokumentieren Sie, wie Sie arbeiten, wenn der Anbieter eine Stunde weg ist.

So handhabt es Appaloosa

Appaloosa verteilt SSO-Profile und Zertifikate auf registrierte iOS-, Android-, Windows- und macOS-Geräte, installiert die benötigten Broker-Apps und erzwingt Sperrcode, Verschlüsselung und Systemstand als Voraussetzung. Den Konformitätsstatus kann Ihr Identitätsanbieter in seine Anmelderichtlinien einbeziehen, siehe die Seite Mobile Device Management.

Entdecken

Die ganze Plattform

Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.

Appaloosa entdecken →

Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen

Häufige Fragen

Wie kommt SSO auf ein iPhone?

Über ein Profil mit einer Single Sign-On Extension, das Ihr MDM verteilt. Der Identitätsanbieter liefert die Konfiguration, die Erweiterung übernimmt dann die Sitzung für Safari und für Apps, die sie nutzen. Ohne MDM müssten Nutzer das selbst einrichten, was in der Praxis nicht passiert.

Ersetzt SSO die Multi-Faktor-Authentifizierung?

Nein, es bündelt sie. Der zweite Faktor fällt einmal beim Identitätsanbieter an statt in jeder Anwendung. Ohne MFA wäre SSO ein einziges Passwort für alles, also genau der Fall, den Sie vermeiden wollen.

Was passiert, wenn der Identitätsanbieter ausfällt?

Neue Anmeldungen scheitern, bestehende Token laufen bis zum Ablauf weiter. Halten Sie für Administratoren Notfallkonten mit eigenen Anmeldedaten bereit und legen Sie Tokenlaufzeiten nicht zu knapp aus, damit ein kurzer Ausfall nicht die ganze Flotte aussperrt.