# Single Sign-on. Eine Anmeldung mit MFA für alle Anwendungen.

Quelle: https://vetosec.at/loesungen/single-sign-on/

Jede Anwendung hat ihr eigenes Passwort, und beim Austritt bleibt leicht ein Zugang offen. Mit Single Sign-on meldet sich Ihr Team einmal an, und Sie sperren beim Austritt ein Konto statt zwanzig.

- **1 Konto** pro Person
- **MFA** auch für Admins
- **Selbst gehostet** in Ihrer Infrastruktur

## Was sich für Sie ändert

- **Austritt mit einem Klick**: Ein Konto sperren, und Filecloud, VPN, Fachsoftware und Verwaltungsoberflächen sind zu. Vergessene Zugänge ehemaliger Mitarbeiter gibt es nicht mehr.
- **MFA überall**: Der zweite Faktor gilt für jede angebundene Anwendung, per App oder Hardware-Schlüssel. Ein gestohlenes Passwort allein reicht nicht mehr.
- **Passwort selbst zurücksetzen**: Ein Passwort statt vieler. Zurücksetzen per Self-Service statt Anruf.
- [**Nachvollziehbar**](https://vetosec.at/services/gap-analysis/): Wer sich wann wo angemeldet hat, steht im Protokoll. Das hilft bei Audits, ISO 27001 und NIS2.

## Was im Hintergrund läuft

- **Bei Ihnen gehostet**: Der Anmeldedienst läuft in Ihrer Infrastruktur oder einem Rechenzentrum in der EU. Keine Abhängigkeit von einem Cloud-Konto.
- **Hochverfügbar**: Fällt die Anmeldung aus, steht alles. Deshalb läuft sie redundant und ist überwacht.
- **Auch für ältere Software**: Moderne Anwendungen per OpenID Connect oder SAML, ältere über LDAP oder einen vorgeschalteten Proxy.
- [**Mit dem Fernzugriff verbunden**](https://vetosec.at/loesungen/fernzugriff-vpn/): Dieselbe Anmeldung öffnet den Zugang ins Firmennetz, mit Prüfung von Person und Gerät.

[Wie wir grundsätzlich bauen](https://vetosec.at/so-bauen-wir/)

## So sieht es aus

- Zentrale Anmeldung: Eine Anmeldeseite für alle Anwendungen, in Ihrem Design.
- Passkey: Anmelden mit Passkey oder Hardware-Schlüssel, ohne Passwort, das gestohlen werden kann.

## Proof of Concept

**Single Sign-on testen, bevor Sie umstellen.**

Wir binden zwei oder drei Ihrer Anwendungen in einer Testumgebung an. Sie sehen, wie sich die Anmeldung für Ihr Team anfühlt.

PoC anfragen

## Dienst oder Projekt

**Wir betreiben es für Sie, oder Ihr Team übernimmt.**

Als Managed Service zum monatlichen Fixpreis, mit Updates, Backup und Überwachung. Oder als Projekt mit Übergabe von Netzplan, Betriebshandbuch und allen Zugängen.

## Für IT-Verantwortliche

Technische Details: Authentik · OIDC · SAML · LDAP

- **Identity Provider**: Authentik, selbst gehostet, in Containern auf gehärtetem Linux.
- **Protokolle**: OpenID Connect, OAuth 2.0, SAML 2.0 und LDAP. Anwendungen ohne SSO-Unterstützung über einen vorgeschalteten Proxy.
- **MFA**: TOTP, WebAuthn, Passkeys und Hardware-Schlüssel nach FIDO2, auch für Administratoren.
- **Verzeichnis**: Eigene Benutzerverwaltung oder Anbindung an ein bestehendes Active Directory.
- **Verfügbarkeit**: Redundant betrieben und überwacht.
- **Protokoll**: Anmeldeereignisse zentral protokolliert und im SIEM ausgewertet.
- **Lebenszyklus**: Self-Service für Passwörter. Ein gesperrtes Konto schließt alle angebundenen Zugänge.

## Weiterlesen

Mehr zum Thema

- [**Single Sign-on**](https://vetosec.at/it-sicherheit/single-sign-on/): Single Sign-on (SSO) ist eine zentrale Anmeldung für viele Anwendungen: Mitarbeiter melden sich einmal an, idealerweise mit zweitem Faktor, und kommen in alle Programme, für die sie freigeschaltet sind.
- [**Zwei-Faktor-Authentifizierung (2FA)**](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/): Die Zwei-Faktor-Authentifizierung verlangt beim Anmelden neben dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App oder einen Sicherheitsschlüssel zum Anstecken.
- [**Berechtigungskonzept für KMU: Eine einfache Struktur, die funktioniert**](https://vetosec.at/articles/it-wissen/berechtigungskonzept-kmu-vorlage/): Rollen, Freigaben, privilegierte Zugänge und Austritte ohne Tabellenchaos organisieren.

## Häufige Fragen

### Was ist Single Sign-on?

Single Sign-on bedeutet: eine zentrale Anmeldung für viele Anwendungen. Die Anwendungen vertrauen dem Anmeldedienst, statt eigene Passwörter zu verwalten.

### Brauchen wir das, wenn wir Microsoft 365 haben?

Nicht unbedingt. Es lohnt sich, wenn viele selbst betriebene Anwendungen dazukommen oder die Anmeldung in der eigenen Infrastruktur bleiben soll.

### Welche Technik setzen Sie ein?

Authentik als Identity Provider mit OpenID Connect, SAML und LDAP, MFA per TOTP oder WebAuthn, betrieben in Containern auf gehärtetem Linux.

### Für wen bieten Sie das an?

Für regulierte Unternehmen, Berufe mit Schweigepflicht und alle, die sensible Daten verarbeiten, sowie für Unternehmen ab etwa 30 Mitarbeitern mit kritischen Systemen.

## Passt dazu

- [Lösungen](https://vetosec.at/loesungen/): Nextcloud, SSO, Backup, Cluster
- [Managed Services](https://vetosec.at/services/managed-services/): Fixpreis pro Dienst
- [So bauen wir](https://vetosec.at/so-bauen-wir/): Standards für Sicherheit und Backup

## Single Sign-on und Identity Management mit Authentik in Österreich

vetosec richtet Single Sign-on und Multi-Faktor-Authentifizierung für Unternehmen in Österreich ein: zentraler Identity Provider mit Authentik, Anbindung von Nextcloud, VPN, Proxmox, Monitoring und Fachanwendungen per OpenID Connect, SAML oder LDAP, Self-Service für Passwörter und sauberes Offboarding.

Stand: 19. Oktober 2026

Anbieter: vetosec, Dipl.-Ing. Samuel Ziegler, BSc, Berndorf, Niederösterreich, Österreich. Kontakt: https://vetosec.at/contact/