- KYBERNA AI
-
ITSM & ESM Software
- ITSM & ESM Software ky2help®
- Lösung nach Branchen
- Bauunternehmen & Baugewerbe
- Finanzdienstleistungen & Banken
- Gesundheitswesen & Kliniken
- Hospitality & Hotelgruppen
- Industrie & Fertigung
- IT-Dienstleister, MSPs & Systemhäuser
- Öffentliche Verwaltung & Behörden
- Sicherheitsdienste & Leitstellen
- Telekommunikation & Netzbetreiber
- Versicherungen & Sozialversicherungen
- ky2help® Referenzen
- Kontakt
- ITSM & ESM Wissenswelt
- Glossar
- IT Services
- eAuktion
- Über uns
- News & Blog
- Support
Glossar
Fachbegriffe einfach erklärt
Single Sign-on: So funktioniert die Anmeldung mit einem Konto im IT-Alltag
Single Sign-on (SSO) bedeutet: Wer sich am Morgen einmal mit dem Firmenkonto anmeldet, kommt danach ohne weitere Passworteingabe in E-Mail, Teams, das Ticketsystem und andere freigeschaltete Programme. Im Hintergrund prüft ein Identitätsdienst die Anmeldung und teilt den Programmen mit, dass die Person bekannt ist. In Betrieben mit Microsoft 365 ist das in der Regel Microsoft Entra ID, das bis 2023 Azure Active Directory hieß.
Für kleine IT-Teams zählt vor allem eines: Zugänge werden an einer Stelle gepflegt. Eine neue Kollegin bekommt ein Konto und die passenden Gruppen, und beim Austritt genügt ein zentraler Schritt, um neue Anmeldungen zu verhindern. Was dabei leicht übersehen wird, zeigt dieser Artikel an typischen Situationen aus dem Alltag.
Das Wichtigste in Kürze
- Nutzen: Ein Konto und eine Anmeldung statt vieler Passwörter, die sich Mitarbeitende merken oder notieren müssen.
- Microsoft 365: Entra ID ist bereits vorhanden. Viele weitere Cloud-Programme lassen sich dort als Unternehmensanwendung anbinden.
- Grenzen: SSO ersetzt weder die Multi-Faktor-Authentifizierung noch einen sauberen Ablauf beim Austritt oder einen Notfallzugang.
- Dienstleister: Externe Partner bekommen Gastzugänge mit eigener Anmeldung statt geteilter Passwörter.
Stand: November 2026 · Geprüft anhand der Dokumentation von Microsoft Learn (Quellen am Ende des Artikels)
Was beim Anmelden im Hintergrund passiert
Angenommen, eine Mitarbeiterin der Grazer Niederlassung klappt um acht Uhr ihr Notebook auf und meldet sich an Windows an. Outlook und Teams öffnen sich ohne weitere Abfrage. Danach ruft sie im Browser die Zeiterfassung auf, ein Cloud-Programm eines anderen Herstellers, und ist auch dort sofort angemeldet. Drei Dinge sind dabei passiert:
- Die Windows-Anmeldung gilt für die Cloud: Ist das Gerät in Microsoft Entra ID eingebunden, erhält es bei der Anmeldung ein Primary Refresh Token (PRT). Damit melden sich Microsoft 365 und andere Entra-Anwendungen ohne neue Passwortabfrage an.
- Die Zeiterfassung fragt bei Entra ID nach: Das Programm leitet kurz an Entra ID weiter. Entra ID erkennt die bestehende Anmeldung und schickt eine digital signierte Bestätigung zurück, meist über SAML oder OpenID Connect.
- Das Programm vertraut der Bestätigung: Es prüft die Signatur, übernimmt Name und E-Mail-Adresse und legt eine eigene Sitzung an. Das Passwort der Mitarbeiterin bekommt es nie zu sehen.
Und der Dateiserver am Standort?
Liegt das Laufwerk mit den Projektordnern noch auf einem Server in der Zentrale in Linz, läuft die Anmeldung dort über Kerberos und das lokale Active Directory. Auch das ist Single Sign-on: Nach der Anmeldung an der Domäne stellt der Domain Controller Tickets aus, mit denen Freigaben und Drucker ohne neue Passworteingabe erreichbar sind.
Viele Betriebe arbeiten mit beidem. Das lokale AD bleibt die Quelle für Benutzer und Gruppen und wird mit Entra ID synchronisiert. Für ältere Geräte, die nur in der Domäne hängen, bietet Microsoft das nahtlose SSO an. Auf Windows 10 und 11 empfiehlt Microsoft dagegen das Anmelden über das PRT.
Drei Begriffe, die im Support auftauchen
- Identitätsanbieter (IdP): der Dienst, der die Anmeldung prüft, hier Entra ID oder das lokale AD.
- Token: die signierte Bestätigung, die ein Programm vom IdP bekommt. Token sind zeitlich begrenzt gültig.
- Sitzung: die Anmeldung, die sich ein Programm nach dem Token merkt. Läuft sie ab, fragt das Programm erneut beim IdP nach.
Welche SSO-Variante passt zu welchem Programm?
Microsoft Entra ID kennt mehrere Arten, ein Programm anzubinden. Welche passt, hängt davon ab, was das Programm technisch kann. Die Übersicht hilft bei der Entscheidung, bevor ein neues Programm angeschafft wird.
| So funktioniert es | Passt, wenn … |
|---|---|
| Föderiertes SSO (SAML, OpenID Connect) | |
| Entra ID bestätigt die Anmeldung mit einem signierten Token | das Programm SAML oder OpenID Connect unterstützt |
| SSO mit gespeichertem Kennwort | |
| Entra ID hinterlegt die Zugangsdaten und gibt sie an das Programm weiter | eine Web-Anwendung nur Benutzername und Kennwort kennt |
| Verknüpftes SSO | |
| Nur ein Link im Portal „Meine Apps“, keine echte Einmalanmeldung | ein Programm erst später umgestellt wird |
| Windows-Anmeldung (Kerberos, PRT) | |
| Die Anmeldung am Gerät gilt für Server und Microsoft 365 | Geräte in der Domäne oder in Entra ID eingebunden sind |
Föderiertes SSO ist die beste Wahl, wo es möglich ist. Beim gespeicherten Kennwort hat das Programm weiterhin ein eigenes Passwort, das bei einem Austritt nicht automatisch ungültig wird.
Was mit Microsoft 365 schon da ist
Wer Microsoft 365 nutzt, hat bereits einen Entra-Mandanten. Für viele verbreitete Cloud-Programme gibt es im Microsoft Entra-Anwendungskatalog vorkonfigurierte Einträge, was die Anbindung deutlich vereinfacht. Richtlinien für den bedingten Zugriff, etwa „Anmeldung nur von verwalteten Geräten“, setzen eine Lizenz ab Microsoft Entra ID P1 voraus.
SSO mit externen Dienstleistern
Viele kleinere Betriebe lassen Teile ihrer IT von einem Partner betreuen. Statt diesem ein gemeinsames Administratorkonto zu geben, lädt man die Techniker als Gäste ein (Microsoft Entra B2B). Sie melden sich dann mit dem Konto ihres eigenen Unternehmens an. Endet die Zusammenarbeit, entfernt man die Gastkonten, und es bleibt kein geteiltes Passwort zurück. Wie Managed Service Provider und interne IT dabei zusammenarbeiten, beschreibt eine eigene Seite.
Fünf Situationen aus dem IT-Alltag
SSO zeigt seinen Wert nicht bei der Einrichtung, sondern in den wiederkehrenden Fällen. Diese fünf begegnen IT-Teams immer wieder.
1. Eine neue Kollegin fängt im Vertrieb in Wien an
Das Konto wird angelegt und in die Gruppe „Vertrieb“ aufgenommen. Sind die Programme in Entra ID der Gruppe zugewiesen, erscheinen CRM, Zeiterfassung und Teams-Kanäle von selbst im Portal „Meine Apps“. Werden Programme dagegen Person für Person zugewiesen, fehlt am ersten Arbeitstag leicht etwas.
2. Ein Mitarbeiter wechselt von der Produktion in den Einkauf
Die neue Gruppe ist schnell ergänzt. Vergessen wird oft, die alte zu entfernen. Nach einigen Wechseln hat ein Konto dann Zugriff auf Programme aus drei Abteilungen. Ein kurzer Prüfschritt im Ablauf („alte Gruppen entfernt?“) verhindert das.
3. Jemand verlässt das Unternehmen
Konto sperren reicht nicht ganz. Bereits geöffnete Sitzungen laufen weiter, bis ihr Token abläuft, bei Microsoft standardmäßig zwischen 60 und 90 Minuten. Deshalb gehören zum Austritt auch der Widerruf der Sitzungen und ein Blick auf Programme ohne SSO, in denen die Person ein eigenes Konto hat.
4. Der externe IT-Dienstleister braucht Zugriff
Der Partner bekommt Gastkonten mit Multi-Faktor-Authentifizierung, befristet und nur für die Programme, die er betreut. Wer die Freigabe erteilt hat und wann sie endet, sollte im Ticket stehen, nicht nur im Gedächtnis.
5. „Ich komme nicht mehr ins Programm“
Der Support prüft zuerst, ob die Person dem Programm zugewiesen ist und ob die Anmeldung in den Anmeldeprotokollen von Entra ID mit einem Fehler auftaucht. Betrifft das Problem alle Benutzer eines Programms gleichzeitig, ist oft ein abgelaufenes Zertifikat der Grund. Eine kurze Anleitung in der Knowledge Base spart hier viele Rückfragen.
Viele dieser Anfragen lassen sich über ein Self-Service-Portal einheitlich erfassen, mit allen Angaben, die das IT-Team für die Umsetzung braucht.
Checkliste für den sicheren Betrieb
Mit SSO hängt vieles an einem Konto. Diese Punkte sollten auch in einem kleinen IT-Team geregelt sein:
- MFA für alle: Multi-Faktor-Authentifizierung für jedes Konto, für Administratoren ohne Ausnahme. Wo möglich, phishingresistente Verfahren wie FIDO2-Schlüssel oder Windows Hello for Business nutzen.
- Notfallzugang: Microsoft empfiehlt zwei oder mehr Notfallzugriffskonten, die nicht im Alltag verwendet werden. Zugangsdaten sicher verwahren und den Zugang regelmäßig testen.
- Zuweisung über Gruppen: Programme nie einzelnen Personen, sondern Gruppen zuweisen.
- Liste der Ausnahmen: Programme ohne SSO und lokale Administratorkonten schriftlich festhalten, mit verantwortlicher Person.
- Zertifikate im Blick: Ablaufdaten der SAML-Zertifikate in einen Kalender oder ein Monitoring eintragen.
- Gäste prüfen: Gastkonten externer Partner in festen Abständen durchsehen, zum Beispiel vierteljährlich, und nicht mehr benötigte entfernen.
- Austritt als Ablauf: sperren, Sitzungen widerrufen, Geräte zurücknehmen, Programme ohne SSO prüfen.
Wer dafür Unterstützung von außen sucht, findet bei KYBERNA Leistungen rund um Microsoft 365 und Cybersecurity Services.
Häufige Fragen zu Single Sign-on
Was ist SSO einfach erklärt?
SSO heißt, dass man sich einmal mit dem Firmenkonto anmeldet und danach alle freigeschalteten Programme ohne weitere Passworteingabe nutzt. Ein zentraler Dienst wie Microsoft Entra ID prüft die Anmeldung und bestätigt sie den Programmen.
Haben wir mit Microsoft 365 automatisch Single Sign-on?
Für die Microsoft-365-Dienste selbst ja, denn sie nutzen alle dasselbe Entra-Konto. Andere Cloud-Programme müssen in Entra ID als Unternehmensanwendung angebunden werden, damit die Anmeldung auch dort gilt.
Ersetzt SSO die Multi-Faktor-Authentifizierung?
Nein. SSO sorgt dafür, dass eine Anmeldung für viele Programme gilt. MFA sichert diese eine Anmeldung mit einem zweiten Faktor ab. Gerade weil ein Konto viele Programme öffnet, ist MFA mit SSO wichtiger als ohne.
Warum hat jemand nach dem Austritt noch Zugriff?
Meist laufen bereits geöffnete Sitzungen noch, bis ihr Token abläuft, oder die Person hat in einem Programm ohne SSO ein eigenes Konto. Abhilfe schaffen der Widerruf der Sitzungen in Entra ID und eine Liste aller Programme, die nicht über SSO angebunden sind.
Wie bekommt ein externer IT-Dienstleister Zugriff ohne geteiltes Passwort?
Über Gastkonten in Microsoft Entra ID (B2B). Die Techniker melden sich mit dem Konto ihres eigenen Unternehmens an, und der Zugriff lässt sich auf bestimmte Programme und Zeiträume beschränken.
Funktioniert ky2help® mit Microsoft 365 und SSO?
Ja. ky2help® unterstützt im Standard Single Sign-on über Azure AD, heute Microsoft Entra ID, und bietet Schnittstellen zu Active Directory und MS Teams. Am einfachsten sehen Sie das in der kostenlosen Testversion.
Quellen und weiterführende Artikel
Quellen
- Microsoft Learn: Was ist einmaliges Anmelden?
- Microsoft Learn: Primäres Aktualisierungstoken (PRT)
- Microsoft Learn: Nahtloses einmaliges Anmelden mit Microsoft Entra
- Microsoft Learn: B2B-Zusammenarbeit in Microsoft Entra External ID
- Microsoft Learn: Notfallzugriffskonten verwalten
- Microsoft Learn: Zugriffstoken und ihre Lebensdauer
Weiterlesen im Glossar und in der Wissenswelt
Alle Glossar-Artikel in der Übersicht
Erfahren Sie, wie Microsofts Verzeichnisdienst Benutzer, Geräte und Rechte zentral verwaltet – sicher & zukunftsfähig für Unternehmen.
Mehr zu Active Directory
Was ist eine API? Erfahren Sie, wie Programmierschnittstellen Anwendungen verbinden, Prozesse automatisieren und Innovation in der digitalen Wirtschaft ermöglichen.
Was ist Authentifizierung? Erfahren Sie, wie Identitäten geprüft, Konten geschützt und moderne Anmeldeverfahren wie Zwei-Faktor-Authentifizierung Ihre Sicherheit erhöhen.
Was ist ein Backlog? Erfahren Sie, wie priorisierte Aufgabenlisten Teams helfen, Projekte agil zu steuern, Prioritäten zu setzen und Fortschritte transparent zu machen.
Erfahren Sie, wie eine Balanced Scorecard Unternehmen hilft, Strategie, Ziele und Kennzahlen zu verbinden und Erfolge messbar zu machen.
Das Change Advisory Board (CAB) berät bei der Bewertung und Freigabe von Changes im IT Service Management. Erfahren Sie, wann ein CAB gebraucht wird und wie ITIL 4 die Freigabe regelt.
Mehr zum CAB
Gesteuerter Change-Prozess mit Risikoanalyse, CAB-Freigaben und Kommunikation, um Ausfallzeiten zu reduzieren und Releasessicher in Produktionsumgebungen zu bringen.
Erfahren Sie, wie KI-gestützte Chatbots Kommunikation automatisieren, Kundenservice verbessern und Prozesse effizienter gestalten.
Was ist Continuous Integration? Erfahren Sie, wie automatisierte Builds und Tests Entwicklungsprozesse beschleunigen, Fehler vermeiden und Softwarequalität steigern.
Zentrale Konfigurationsdatenbank mit CIs und Beziehungen für Transparenz, Abhängigkeits-/Impact-Analysen, Audit-Sicherheit und Change-/Incident-Beschleunigung.
Was ist CSI? Erfahren Sie, wie Continual Service Improvement in ITIL hilft, IT-Services dauerhaft zu optimieren, Qualität zu steigern und Kundenzufriedenheit zu sichern.
Der Customer Effort Score ist eine Kennzahl, die beschreibt, wie viel Aufwand ein Kunde betreiben muss, um sein Anliegen mit einem Unternehmen zu lösen.
Was ist DevOps? Erfahren Sie, wie Entwicklung und IT-Betrieb durch Automatisierung, Zusammenarbeit und CI/CD zu schnelleren, stabileren Software-Releases führen.
Was ist die DSGVO? Erfahren Sie, wie die Datenschutz-Grundverordnungpersonenbezogene Daten schützt, welche Pflichten Unternehmen haben und welche Rechte Betroffene haben.
Was ist ESM? Erfahren Sie, wie Enterprise Service Management Prozesse vereinheitlicht, Services digitalisiert und alle Abteilungen effizient miteinander verbindet.
Was ist Hardware Asset Management? Erfahren Sie, wie Unternehmen mit HAM ihre IT-Geräte effizient verwalten, Kosten senken und Sicherheit im gesamten Lebenszyklus sichern.
Ein Helpdesk ist die zentrale Schnittstelle zwischen den Anwendern eines Unternehmens und den dafür zuständigen Support-Teams.
Ein Incident ist eine Beeinträchtigung eines IT-Services, die dazu führt, dass der Service nicht wie vorgesehen genutzt werden kann.
Erfahren Sie, wie der internationale Standard Unternehmen hilft, Informationssicherheit systematisch aufzubauen, Risiken zu minimieren und Vertrauen zu schaffen.
Erfahren Sie, wie das Framework IT-Prozesse strukturiert, Qualität sichert und die IT an den Geschäftszielen ausrichtet – praxisnah und modern mit ITIL 4 oder ITIL 5.
IT Service Management (ITSM) beschreibt die Gesamtheit spezialisierter organisatorischer Fähigkeiten, um IT-Services effizient zu betreiben.
Erfahren Sie, wie die japanische Kaizen-Methode durch kleine, stetige Verbesserungen Prozesse optimiert, Qualität steigert und Mitarbeitende einbindet.
Erfahren Sie, wie die Kanban-Methode durch Visualisierung, Flusssteuerung und kleine Verbesserungen Teams effizienter und flexibler arbeiten lässt.
Key Performance Indicators (KPIs) machen Ziele messbar, bewerten Leistung und unterstützen datenbasierte Entscheidungen im Unternehmen.
Erfahren Sie, wie KI funktioniert, wo sie eingesetzt wird und warum sie unsere Arbeitswelt verändert – zwischen Innovation und Verantwortung.
Machine Learning ist ein Teilgebiet der Künstlichen Intelligenz (KI). Es ermöglicht Systemen, Muster und Zusammenhänge in Daten eigenständig zu erkennen.
Erfahren Sie, wie Multi-Faktor-Authentifizierung funktioniert, warum sie Konten wirksam schützt und welche Methoden besonders sicher und benutzerfreundlich sind.
Erfahren Sie, wie die systematische Überwachung von IT-Systemen Leistung, Sicherheit und Verfügbarkeit verbessert – für stabile und effiziente Prozesse.
Erfahren Sie, wie Natural Language Processing funktioniert, wo es eingesetzt wird und warum es Kommunikation, Analyse und Serviceprozesse revolutioniert.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Der Net Promoter Score (NPS) gehört zu den bekanntesten Kennzahlen zur Messung von Kundenzufriedenheit und -loyalität im Umfeld von IT-Ticket-Systemen.
Operational Level Agreements (OLA) regelt interne Zusammenarbeit, unterstützt SLA-Ziele unterstützen und macht Serviceprozesse verlässlicher.
Operational Performance Indicator (OPI) sind ein zentrales Instrument, um die Leistungsfähigkeit operativer Prozesse in Unternehmen messbar zu machen.
Predictive Maintenance ist ein moderner Instandhaltungsansatz, der nicht auf starre Intervalle setzt, sondern auf datenbasierte Vorhersagen.
Die Root Cause Analysis (RCA) ist eine strukturierte Methode, um Ursachen eines Problems oder einer Störung zu identifizieren und zu beseitigen.
Was ist eine REST API? Erfahren Sie, wie REST-Schnittstellen Systeme verbinden, Daten austauschen und moderne Anwendungen schnell, flexibel und skalierbar machen.
Was ist eine Root Cause Analysis? Lernen Sie Methoden wie 5 Why, Ishikawa und Fehlerbaum kennen und erfahren Sie, welche Methode zu welcher Störung passt.
Was ist Scrum? Erfahren Sie, wie das agile Framework Teams hilft, flexibel zu arbeiten, schneller Ergebnisse zu liefern und Projekte kontinuierlich zu verbessern.
Verständlich erklärt: Wie Service Level Agreements Leistungen definieren, Qualität messbar machen und Servicebeziehungen strukturieren.
Was ist SSO? Erfahren Sie, wie Single Sign-On funktioniert, wie es Sicherheit und Komfort verbindet und warum es in modernen IT-Landschaften unverzichtbar ist.
Erfahren Sie, wie das Software Asset Management (SAM) Softwarebestände transparent macht, Kosten optimiert und Compliance sowie IT-Sicherheit stärkt.
Kompakt erklärt: Wie Sprints Teams helfen, in kurzen Zyklen zu planen, zu liefern und sich kontinuierlich zu verbessern.
Was ist eine SOP? Erfahren Sie, wie Standard Operating Procedures Abläufe standardisieren, Qualität sichern und Organisationen zuverlässiger machen.
Erfahren Sie, wie User Experience entsteht, warum sie entscheidend für Erfolg und Zufriedenheit ist und wie gute Nutzererlebnisse gestaltet werden.
Webhooks ermöglichen es, Ereignisse aus einem System in Echtzeit an ein anderes zu übermitteln, ohne dass ständige Abfragen erforderlich sind.
Was ist ein Workflow? Erfahren Sie, wie strukturierte Abläufe Prozesse vereinfachen, Qualität sichern und Unternehmen effizienter machen.
KYBERNA AG
