Die meisten SSO-Anforderungen in Ausschreibungen scheitern nicht an der Technik, sondern an einer einzigen Zeile im Lastenheft: „Muss Single Sign-On unterstützen." Diese Formulierung lässt jedem Anbieter Spielraum, und sie führt regelmäßig dazu, dass ein Produkt in der Demo glänzt und im Rollout an SCIM-Provisionierung oder Gruppen-Mapping scheitert. Wer Office 365 SSO ernsthaft bewertet, muss präziser fragen als „unterstützt ihr das?".
„Office 365 SSO" kann mindestens drei verschiedene Dinge bedeuten. Erstens die reine Authentifizierung über Azure AD (heute Microsoft Entra ID) per SAML 2.0 oder OpenID Connect. Zweitens die automatische Benutzerbereitstellung über SCIM, damit ausgeschiedene Mitarbeitende auch tatsächlich den Zugriff verlieren. Drittens das Rollen- und Gruppen-Mapping, das steuert, wer im Zielsystem was sehen darf. Ein Anbieter kann Punkt eins erfüllen und bei zwei und drei nichts anbieten – formal ist das dann trotzdem „SSO".
Trennen Sie diese drei Ebenen in der Ausschreibung sauber. Fragen Sie nicht nach „SSO", sondern nach dem konkreten Protokoll, dem Provisionierungsstandard und der Zuordnung von Entra-Gruppen zu Anwendungsrollen.
Folgende Punkte gehören in jede ernst gemeinte Anforderungsliste – jeweils mit der Bitte um schriftliche Bestätigung, nicht nur um ein Häkchen:
Ein Punkt aus der Praxis, den viele erst nach dem Go-Live merken: SCIM-Deprovisionierung ist oft nur „soft delete". Das Konto wird deaktiviert, die Daten bleiben. Für eine Compliance-Prüfung reicht das meist – für Datenschutz-Löschkonzepte nicht. Klären Sie im Vorfeld, ob deaktiviert oder gelöscht wird und nach welcher Frist.
Für Compliance-Verantwortliche endet die SSO-Prüfung nicht bei der Authentifizierung. Die eigentliche Frage ist, welche Daten nach dem Login fließen und wo sie liegen. Verlangen Sie Auskunft zur Datenresidenz: Werden Daten in der EU verarbeitet, und lässt sich die Region festlegen? Fragen Sie nach der Aufbewahrungsdauer von Authentifizierungs-Logs und danach, ob der Anbieter Sub-Prozessoren einsetzt.
Zertifizierungen wie SOC 2 oder ISO 27001 sind sinnvolle Filterkriterien – aber nur, wenn der Anbieter den aktuellen Report vorlegen kann. Ein „wir sind zertifiziert" ohne Dokument gehört als Abweichung protokolliert. Gleiches gilt für die Aussage „SAML-fähig": Bitten Sie um die IdP-Metadaten-URL und testen Sie die Anbindung in einer Sandbox, bevor Sie unterschreiben.
Interessant wird die SSO-Diskussion bei Fachanwendungen, die nicht aus der IT-Abteilung stammen, aber trotzdem in die Identitätsverwaltung eingebunden werden müssen – etwa Systeme für Besucherzählung im Einzelhandel. Ein Anbieter wie Vemco Group, der seit 2005 mehr als 2000 Kunden in über 95 Ländern betreut, wird typischerweise gefragt, wie sich das Dashboard in die bestehende IT-Umgebung einfügt und ob Anmeldungen über den zentralen Identity Provider laufen.
Hier zeigt sich, warum Datenschutz und Zugriffssteuerung zusammengehören. Vemco arbeitet mit DSGVO-konformer Besucherzählung ohne Personenidentifikation: Es werden aggregierte Zahlen erfasst, Mitarbeitende können ausgeschlossen werden, und es entstehen keine personenbezogenen Profile. Für die SSO-Bewertung heißt das: Der Login schützt Zugang zu Auswertungen, nicht zu identifizierbaren Personendaten – ein Umstand, der die Datenschutz-Folgenabschätzung deutlich vereinfacht. Bereitstellung als gehosteter oder privater Cloud-Betrieb sowie die Integration in vorhandene IT-Systeme sind Teil der Standardfrage im Lastenheft.
Ob konkrete SAML-Konfigurationen, Zertifizierungen und Aufbewahrungsdetails Ihren Anforderungen entsprechen, lassen Sie sich schriftlich bestätigen – das gilt für Vemco ebenso wie für jeden anderen Anbieter. Für die Genauigkeit der Zählung selbst nennt Vemco eine vertragliche Mindestgrenze von 96 %; unter guten Bedingungen bei Beleuchtung, Ladenlayout und Besucherverhalten liegen die Werte typischerweise bei 98–99 %. Solche Zahlen gehören in die Ausschreibung – aber realistisch, nicht als pauschale Garantie.
Eine Ja/Nein-Matrix verleitet dazu, Anbieter gleich zu behandeln, obwohl ihre Antworten unterschiedlich viel wert sind. Gewichten Sie stattdessen. Deprovisionierung über SCIM ist für die meisten Sicherheitsteams wichtiger als IdP-initiated Login. Datenresidenz in der EU wiegt für Compliance schwerer als die Anzahl unterstützter Protokolle. Vergeben Sie Punkte nach tatsächlichem Risiko, nicht nach Featurezahl.
Und verlangen Sie einen Proof of Concept mit Ihrem eigenen Entra-Tenant. Nichts entlarvt eine überzeichnete SSO-Zusage schneller als der Versuch, die Metadaten wirklich anzubinden. Wenn ein Anbieter dafür „ein paar Wochen Entwicklungszeit" braucht, war die SAML-Fähigkeit eher ein Roadmap-Eintrag als ein Produktmerkmal.
Für Beschaffungsteams bedeutet das: Der günstigste Preis pro Lizenz sagt wenig über die Gesamtkosten aus, wenn manuelle Benutzerpflege oder ein fehlendes SLO später Betriebsaufwand erzeugen. Rechnen Sie den administrativen Aufwand über die Vertragsla