SSO und SAML für den VPN-Zugang: Anmeldung über den Identitätsanbieter des Unternehmens

SSO (Single Sign-on) bedeutet, dass sich ein Mitarbeiter nur einmal gegenüber dem unternehmenseigenen Identitätsanbieter authentifiziert und das VPN wie jede andere Arbeits-App dieses Ergebnis akzeptiert, ohne ein eigenes Passwort für den Nutzer zu verwalten. SAML ist eines der Protokolle, die dieses Urteil vom Anbieter zum VPN transportieren; OIDC ist das andere. In der Praxis ist der Gatekeeper ein Produkt wie Okta, Entra ID oder Google Workspace, und das VPN-Gateway vertraut nichts außer seiner Signatur.

SSO und SAML sind nicht dasselbe

Anbieter drucken beide Begriffe nebeneinander auf ihren Preisseiten, weshalb viele sie verwechseln. SSO bezeichnet das Ergebnis: eine Unternehmens-Anmeldung für viele Anwendungen. SAML 2.0, ein OASIS-Standard aus dem Jahr 2005, beschreibt eine Möglichkeit, dieses Ergebnis zu übermitteln. Die technische Übersicht von OASIS zu SAML 2.0 beschreibt die beiden Rollen: den Identitätsanbieter (IdP), der Nutzer verwaltet, Passwörter und MFA prüft und eine signierte Aussage ausstellt; und den Dienstanbieter (SP), der ihr vertraut. Beim VPN ist der SP das Gateway oder die Admin-Konsole des Anbieters. OIDC erledigt dieselbe Aufgabe in einem anderen Format, und SSO funktioniert auch ohne SAML.

Was passiert, wenn sich ein Mitarbeiter verbindet

1. Der Nutzer klickt im VPN-Client auf Verbinden.
2. Ein Browserfenster öffnet sich, und das Gateway leitet es an den IdP weiter.
3. Zugangsdaten und der zweite Faktor werden dort geprüft, nicht auf der VPN-Seite.
4. Zurück kommt eine signierte XML-Assertion vom IdP: Identität, Anmeldezeitpunkt, Gültigkeitsbedingungen sowie Attribute wie E-Mail und Gruppenzugehörigkeit.
5. Mit dem während der Einrichtung ausgetauschten Zertifikat prüft das Gateway die Signatur, wendet die Gruppenrichtlinie an und baut den Tunnel auf.

Ein erster Versuch schlägt meist fehl, weil das Zertifikat auf dem Gateway nicht mit dem des Identitätsanbieters übereinstimmt oder wegen einer Uhrzeitabweichung.

SAML 2.0 oder OIDC

Beide übermitteln Identitäten zuverlässig. SAML hat sich gehalten, weil Enterprise-Gateways es seit Jahren sprechen; OIDC ist leichtgewichtiger für native Apps und benötigt meist weniger Konfigurationsfelder.

Was das Unternehmen davon hat

Das Offboarding wird zu einem einzigen Schalter. Deaktiviert man das IdP-Konto, enden neue VPN-Anmeldungen sofort. In einer typischen VPN-Umgebung wirkt das Anmeldeprotokoll nur beim Login und meldet eine spätere Löschung nicht an das Gateway, sodass ein bereits geöffneter Tunnel bis zum Timeout weiterläuft. Kurze Sitzungen oder SCIM schließen diese Lücke.

MFA lässt sich zentral erzwingen. Der IdP wendet den zweiten Faktor und bedingte Regeln (verwaltetes Gerät, Land) auf jede App an, das VPN eingeschlossen, sodass es kein separates Token-System zu pflegen gibt.

SCIM (System for Cross-domain Identity Management, Version 2.0, eine REST- und JSON-API aus den IETF RFC 7643 und 7644) übernimmt die Verwaltung. Der Anbieter überträgt Anlage, Gruppenänderungen und Deaktivierung selbstständig zum VPN, sodass das Profil eines ausgeschiedenen Mitarbeiters nicht mehr in der Nutzerliste stehen bleibt, bis ein Admin es von Hand löscht. Im VPN sollte höchstens ein lokal angelegter Notfall-Admin existieren: Lokale Konten umgehen zentrale MFA und das Offboarding vollständig.

Wo ZTNA ins Spiel kommt

Zero-Trust-Zugang gewährt den Zugriff auf einzelne Anwendungen, und die Identität bestimmt die Entscheidung. IdP-Gruppen werden zu Richtlinien pro App: die Finanzabteilung erreicht die Abrechnung, die Entwickler die Build-Server. Eine gestohlene IdP-Sitzung besteht jedoch die ZTNA-Prüfungen genauso überzeugend wie eine echte. Der VPNRadarLab-Glossar-Eintrag zu ZTNA behandelt dieses Modell ausführlich.

Prüfpunkte vor dem Kauf

• Herausfinden, welcher Tarif SAML tatsächlich enthält. Anbieter bieten SAML oder SCIM oft erst in einer höheren und teureren Tarifstufe als dem Einstiegstarif an: Cisco Secure Client listet SAML für die Premier- und VPN-Only-Lizenzen und lässt es bei Advantage weg; Secomea bietet SSO und SCIM ab dem Professional-Tarif; remote.it fügt SAML ab dem Business-Tarif hinzu. Das ist die klassische „SSO-Steuer“, daher sollten Sie Produkte vergleichen, die SSO-Support bestätigen, bevor Sie etwas unterschreiben.
• Nach der SCIM-Verfügbarkeit und deren Tarif fragen, falls vorhanden. Von den 371 Diensten im VPNRadarLab-Hauptranking bestätigen 5 SSO oder SAML, 372 erwähnen es nicht, und kein einziger erwähnt SCIM-Provisioning.
• Das Sitzungslimit ansehen und ob eine erneute Authentifizierung erzwungen werden kann.
• Bestätigen lassen, dass der eigene IdP unterstützt wird; eine generelle Aussage zu SAML sagt wenig über die eigene Umgebung aus.

Für Heimanwender ist das Thema irrelevant: Privatkunden-VPN-Apps melden sich über ein E-Mail-Konto an, und es gibt kein Unternehmensverzeichnis, das man anbinden könnte.

FAQ

Funktioniert SSO ohne SAML?

Ja. OIDC liefert dasselbe Ergebnis, und viele moderne Tools bieten ausschließlich das an.

Ist SCIM Teil von SAML?

Nein. Es ist eine separate Konto-API, die neben jedem der beiden Anmeldeprotokolle genutzt wird.

Brauchen Heimanwender von VPNs SSO?

Selten. SSO und SAML sind für Teams mit einem Identitätsanbieter relevant, nicht für ein privates Abo.

Kurzantwort

SSO ist eine Unternehmens-Anmeldung für das VPN und jede andere Arbeits-App; SAML 2.0 oder OIDC transportiert sie von Okta, Entra ID oder Google Workspace zum Gateway. Das Unternehmen kann ausgeschiedenen Mitarbeitern sofort den Zugang sperren, MFA zentral verwalten und mit SCIM nicht mehr benötigte Konten automatisch bereinigen. Prüfen Sie die Tarifstufe, die SAML und SCIM enthält, bevor Sie zahlen.