Kurze Definition
Single Sign-on (SSO) ermöglicht Nutzern, mit einer zentral verwalteten digitalen Identität auf mehrere verbundene Anwendungen zuzugreifen. Multi-Faktor-Authentifizierung (MFA) verlangt für die Anmeldung mindestens zwei unterschiedliche Authentifizierungsfaktoren. Beide Verfahren können kombiniert werden, erfüllen aber unterschiedliche Aufgaben.
SSO und MFA auf einen Blick
- SSO bündelt die Anmeldung verbundener Anwendungen über einen zentralen Identity Provider.
- MFA verlangt den Nachweis von Faktoren aus mindestens zwei unterschiedlichen Kategorien.
- Die MFA-Prüfung kann zentral beim Identity Provider erfolgen.
- Rollen und Rechte legen nach der Anmeldung fest, welche Anlagen, Daten und Funktionen zugänglich sind.
Wie funktionieren SSO und MFA?
Bei SSO übernimmt ein Identity Provider (IdP) die Prüfung der digitalen Identität. Beispiele für solche Systeme sind Microsoft Entra ID und Okta. Die Zielanwendung vertraut der abgesicherten Identitätsbestätigung des IdP und muss die Anmeldedaten daher nicht selbst verwalten.
Für die Übertragung der Identitätsinformationen werden häufig SAML 2.0 oder OpenID Connect verwendet. Dabei erhält die Anwendung typischerweise eine signierte Assertion oder ein signiertes Token. Die darin enthaltenen Informationen können unter anderem die Identität, bestimmte Benutzerattribute und das verwendete Authentifizierungsverfahren beschreiben.
Ein typischer Ablauf beginnt damit, dass ein Nutzer die Energieplattform öffnet. Die Plattform leitet die Anmeldung an den IdP weiter. Nach erfolgreicher Prüfung stellt der IdP eine abgesicherte Identitätsbestätigung bereit, auf deren Grundlage die Plattform den Nutzer anmeldet.
MFA kombiniert Faktoren aus unterschiedlichen Kategorien:
- Wissen: beispielsweise Passwort oder PIN
- Besitz: beispielsweise ein registriertes Smartphone mit Authenticator-App, ein Hardware-Token oder ein Sicherheitsschlüssel
- Biometrisches Merkmal: beispielsweise Fingerabdruck oder Gesichtserkennung, typischerweise in Verbindung mit einem registrierten Gerät
Zwei Passwörter oder die Kombination aus Passwort und PIN gelten nicht als MFA, da beide Faktoren auf Wissen beruhen. Phishing-resistente Authentifizierungsverfahren auf Basis von FIDO2 beziehungsweise WebAuthn, darunter Sicherheitsschlüssel und Passkeys, können einen höheren Schutz als passwort- oder OTP-basierte Verfahren bieten. Passkeys können je nach Umsetzung auch für eine passwortlose Anmeldung eingesetzt werden und sind nicht grundsätzlich als klassischer zweiter Faktor einzuordnen.
SSO und MFA können gemeinsam, aber auch unabhängig voneinander eingesetzt werden. In einer kombinierten Architektur kann der IdP die MFA-Prüfung zentral durchführen und den verbundenen Anwendungen anschließend eine abgesicherte Identitätsbestätigung bereitstellen. Diese kann Informationen über das verwendete Authentifizierungsverfahren enthalten.
Typische Anwendungsfälle in Energieplattformen
SSO ist besonders für Energieplattformen mit mehreren Benutzern, Standorten oder Organisationen relevant. Betreiber können Zugänge zentral einrichten oder entziehen, während Servicepartner und Asset Manager ihre vorhandenen Unternehmensidentitäten verwenden.
MFA gewinnt an Bedeutung, wenn Benutzer nicht nur Messwerte betrachten, sondern auch Alarme konfigurieren, Betriebsparameter ändern oder Anlagen aus der Ferne steuern können. Je größer die möglichen Auswirkungen eines unbefugten Zugriffs sind, desto stärker sollte das Authentifizierungsverfahren abgesichert werden.
Nutzen, Grenzen und technische Voraussetzungen
SSO kann den administrativen Aufwand reduzieren und das Sperren ausgeschiedener Benutzer vereinfachen. MFA verringert das Risiko, dass ein gestohlenes oder erratenes Passwort allein für einen Zugriff ausreicht.
Ein zentraler Identity Provider erzeugt jedoch auch eine kritische Abhängigkeit. Ist dieser nicht erreichbar oder fehlerhaft konfiguriert, können mehrere Anwendungen gleichzeitig unzugänglich werden. Deshalb müssen Verfügbarkeit, Sitzungsdauer, Protokollierung, Wiederherstellungsverfahren und kontrollierte Notfallzugänge berücksichtigt werden.
Authentifizierung und Berechtigung sind voneinander zu trennen. Die Authentifizierung bestätigt die Identität eines Nutzers. Rollen und Rechte bestimmen anschließend, welche Mandanten, Standorte, Daten und Funktionen zugänglich sind. Gemeinsam genutzte Benutzerkonten sollten vermieden werden, da sich Änderungen und Steuerbefehle sonst nicht eindeutig einer Person zuordnen lassen.
Für die technische Umsetzung müssen der Identity Provider und die Energieplattform ein gemeinsames Authentifizierungsprotokoll unterstützen. Zusätzlich sind eindeutige Benutzerzuordnungen, geeignete Rollenmodelle sowie Regeln für Sitzungen, Notfallzugänge und die Deaktivierung von Konten erforderlich.
Benutzerzugriffe in der EcoPhi Monitoring & Control Cloud
Die EcoPhi Monitoring & Control Cloud unterstützt eine rollenbasierte Zugriffskontrolle sowie die getrennte Verwaltung von Benutzern, Systemen und Mandanten. Dadurch können Zugriffe auf die für den jeweiligen Nutzer relevanten Anlageninformationen beschränkt werden.
Ob SSO oder MFA für ein bestimmtes Plattformpaket verfügbar ist, sollte projektspezifisch geprüft werden. Dabei sind insbesondere der gewünschte Identity Provider, das unterstützte Authentifizierungsprotokoll, die Benutzerstruktur und die erforderlichen Sicherheitsrichtlinien zu berücksichtigen. SSO und MFA sollten daher nicht ohne technische Prüfung als allgemeine Standardfunktionen dargestellt werden.
Bedeutung für den sicheren Plattformbetrieb
SSO und MFA können die Verwaltung und Absicherung von Benutzerzugängen verbessern. Für Energieplattformen entsteht ein belastbares Zugangskonzept jedoch erst durch das Zusammenspiel mit eindeutigen Benutzerkonten, abgestuften Berechtigungen, nachvollziehbarer Protokollierung sowie geeigneten Betriebs- und Notfallverfahren.
Häufige Fragen zu SSO und MFA
Kann MFA auch ohne SSO eingesetzt werden?
Ja. Eine Anwendung kann MFA direkt für ihre eigenen Benutzerkonten verlangen, ohne an einen zentralen Identity Provider angebunden zu sein.
Was passiert bei einem Ausfall des Identity Providers?
Bei einem Ausfall können neue Anmeldungen über SSO vorübergehend nicht möglich sein. Abhängig von der Sitzungsverwaltung können bereits angemeldete Benutzer zunächst weiterarbeiten. Für kritische Anwendungen sind definierte Notfallzugänge und Wiederherstellungsverfahren erforderlich.
Ersetzt MFA eine Rollen- und Rechteverwaltung?
Nein. MFA erhöht die Sicherheit der Identitätsprüfung. Die Rollen- und Rechteverwaltung bestimmt anschließend, auf welche Daten, Anlagen und Funktionen ein Nutzer zugreifen darf.
Sind Passkeys automatisch MFA?
Nicht grundsätzlich. Passkeys können eine passwortlose und phishing-resistente Anmeldung ermöglichen. Ob dabei mehrere Faktoren verwendet werden, hängt von der konkreten Implementierung und der Aktivierung des Passkeys ab.