Single Sign-On (SSO) für KMU einfach erklärt: Ein Login für alle Tools

Single Sign-On (SSO) bedeutet: Mitarbeitende melden sich einmal an und haben dann Zugriff auf alle freigegebenen Werkzeuge – Dateiablage, KI-Chat, Dokumentensystem, Automatisierung. Für KMU bringt SSO mehr Sicherheit, weniger Passwortchaos und die Möglichkeit, Zugänge beim Austritt mit einem Klick zu sperren. Open-Source-Lösungen wie Keycloak oder Authentik machen das ohne Lizenzkosten möglich.

Das Problem ohne SSO

• Jedes Werkzeug hat eigene Benutzer und Passwörter.
• Mitarbeitende verwenden dasselbe Passwort überall – oder notieren es.
• Beim Austritt einer Person muss jemand in jedem System einzeln den Zugang sperren – und vergisst eines.
• Neue Kolleginnen warten tagelang auf alle Zugänge.
• Zwei-Faktor-Anmeldung ist mal vorhanden, mal nicht.

Wie SSO funktioniert

Ein zentraler Dienst, der Identitätsanbieter, verwaltet alle Benutzer, Gruppen und Anmeldungen. Möchte jemand ein Werkzeug öffnen, leitet dieses zur zentralen Anmeldung weiter. Nach erfolgreicher Anmeldung bestätigt der Identitätsanbieter dem Werkzeug: „Das ist Frau Müller aus der Verwaltung.“ Das Werkzeug muss das Passwort nie selbst kennen.

Die Vorteile für KMU

• Sicherheit: Ein starkes Passwort plus zweiter Faktor (App oder Sicherheitsschlüssel) für alles.
• Schnelles Sperren: Beim Austritt wird ein Konto deaktiviert – alle Zugänge sind sofort zu.
• Schneller Start: Neue Mitarbeitende erhalten über Gruppen auf einen Schlag die richtigen Rechte.
• Übersicht: Wer hat worauf Zugriff? Eine zentrale Stelle beantwortet das – wichtig auch für Datenschutz und Prüfungen.
• Komfort: Ein Login statt zehn.

Was SSO mit KI und Open-Source-Werkzeugen zu tun hat

Wer mehrere selbst betriebene Werkzeuge einsetzt – etwa Nextcloud, Open WebUI, Paperless-ngx und n8n –, braucht eine gemeinsame Nutzerverwaltung. Sonst entsteht genau das Passwortchaos, das man vermeiden wollte. SSO ist deshalb der Kitt einer offenen Plattform.

Open-Source-Optionen

• Keycloak: sehr verbreitet, Apache-2.0-Lizenz, von Red Hat getragen, sehr leistungsfähig – siehe Keycloak im Mittelstand.
• Authentik: moderne Oberfläche, schnell eingerichtet, Kern unter MIT-Lizenz – siehe Authentik im Unternehmen.
• Den direkten Vergleich zeigt Keycloak vs. Authentik.

Und was ist mit Microsoft Entra ID oder Google?

Wer bereits Microsoft 365 oder Google Workspace nutzt, kann deren Anmeldedienste als SSO verwenden. Open-Source-Lösungen lassen sich damit auch verbinden. Wer seine Nutzerverwaltung unabhängig und in Deutschland betreiben will, wählt Keycloak oder Authentik als zentrale Instanz.

Einführung in fünf Schritten

1. Werkzeuge auflisten, die angebunden werden sollen.
2. Gruppen und Rollen festlegen (z. B. Verwaltung, Vertrieb, Geschäftsführung).
3. Identitätsanbieter auf einem Server in Deutschland einrichten, zwei Faktoren aktivieren.
4. Werkzeuge nacheinander anbinden, mit einem Pilot-Team testen.
5. Ein- und Austrittsprozess anpassen: Wer legt Konten an, wer sperrt?

bettersorted setzt für seine Kundinnen und Kunden auf offene, einsehbare Bausteine – betrieben auf Servern in Deutschland und gebündelt im automaisa Hub. Wir beraten herstellerneutral, sind beim BAFA registrierter Berater und autorisierter INQA-Coach. Die Beratung und begleitete Einführung lassen sich über das INQA-Coaching mit 80 % fördern; den passenden Weg zeigt der Förder-Check. Für ein unverbindliches Erstgespräch: Kontakt.

Beispiel: Austritt einer Mitarbeiterin

Ein illustratives Szenario: Eine Mitarbeiterin verlässt einen Betrieb mit zehn Online-Werkzeugen. Ohne SSO müsste jemand zehn Zugänge sperren – und vergisst den alten Cloud-Speicher. Mit SSO wird ein einziges Konto deaktiviert; alle angebundenen Werkzeuge sind sofort gesperrt, und das Protokoll zeigt, dass es erledigt ist.

Typische Fehler

• Kein zweiter Faktor: Ein Passwort für alles ohne zweiten Faktor ist ein Risiko.
• Kein Notfallzugang: Fällt der Identitätsanbieter aus, braucht es einen geregelten Weg.
• Zu grobe Gruppen: Jeder bekommt alles – das widerspricht dem Datenschutz.
• Austrittsprozess nicht angepasst: Die Technik nützt nur, wenn Personalabteilung und IT zusammenarbeiten.

Kosten und Förderung

Für Single Sign-On fallen bei Open-Source-Werkzeugen keine Lizenzkosten an. Kosten entstehen für Einrichtung (Planung, Installation, Anbindung, Tests), Betrieb (Server oder Hosting in Deutschland, Updates, Überwachung, Datensicherung) und Begleitung (Schulung, Regeln, Ansprechpartner). Feste Preise nennen wir nicht, weil Umfang und Ausgangslage stark variieren.

Förderfähig ist die Beratung und begleitete Einführung: Das INQA-Coaching übernimmt bundesweit 80 % der Coachingkosten (bis 11.520 €, Schecks bis 30.06.2028); eine vorgelagerte Analyse bezuschusst die BAFA-Beratungsförderung mit 80 % in den neuen Bundesländern, Lüneburg und Trier, sonst 50 % – für Anträge bis 31.12.2026.

Häufig gestellte Fragen

Was ist Single Sign-On einfach erklärt?

Eine zentrale Anmeldung: Man meldet sich einmal an und kann dann alle freigegebenen Programme ohne weitere Passwörter nutzen.

Ist Single Sign-On sicherer?

Ja, wenn es mit einem starken Passwort und einem zweiten Faktor kombiniert wird. Zugänge lassen sich zentral verwalten und beim Austritt sofort sperren.

Lohnt sich SSO für kleine Unternehmen?

Ja, besonders sobald mehrere Werkzeuge im Einsatz sind. Open-Source-Lösungen verursachen keine Lizenzkosten, nur Aufwand für Einrichtung und Betrieb.

Welche SSO-Lösung ist für KMU geeignet?

Für selbst betriebene Werkzeuge bieten sich Keycloak und Authentik an. Authentik ist oft schneller eingerichtet, Keycloak bietet mehr Tiefe für komplexe Anforderungen.

Stand: Oktober 2026.