SAML (Security Assertion Markup Language): Definition und Einsatz im Unternehmens-SSO

Warum SAML trotz moderner Alternativen in vielen Unternehmen Standard bleibt

Was Sie über SAML wissen sollten: Der Beitrag erklärt den technischen Ablauf einer SAML-basierten Anmeldung. Außerdem ordnen wir SAML im Vergleich zu OAuth 2.0 und OpenID Connect ein.

Was ist SAML?

SAML (Security Assertion Markup Language) ist ein XML-basiertes offenes Protokoll für den Austausch von Authentifizierungs- und Autorisierungsdaten zwischen einem Identity Provider und einem Service Provider.

SAML wird besonders häufig in Unternehmensumgebungen für Single Sign-On eingesetzt, etwa bei der Anmeldung an mehreren internen Anwendungen mit einem zentralen Firmenkonto.

Funktionsweise von SAML

Die Rollen bei SAML: Identity Provider und Service Provider

Bei SAML übernimmt der Identity Provider (IdP) die Prüfung der Anmeldedaten und stellt im Erfolgsfall eine sogenannte Assertion aus – ein signiertes XML-Dokument, das Aussagen über die Identität und die Berechtigungen des Nutzers enthält. Der Service Provider (SP), also die eigentliche Zielanwendung, vertraut dieser Assertion und gewährt dem Nutzer auf dieser Basis Zugriff.

Der SAML-Ablauf: SP-initiated vs. IdP-initiated Flow

Man unterscheidet zwei grundlegende Abläufe: Beim SP-initiated Flow startet der Nutzer die Anmeldung direkt bei der Zielanwendung, die ihn zur Authentifizierung an den Identity Provider weiterleitet. Beim IdP-initiated Flow meldet sich der Nutzer zunächst beim Identity Provider an und wählt von dort aus die gewünschte Anwendung aus, oft über ein zentrales Anwendungsportal.

Aufbau einer SAML-Assertion

Die SAML-Assertion selbst enthält typischerweise drei Arten von Aussagen: Authentication Statements (wann und wie sich der Nutzer angemeldet hat), Attribute Statements (zusätzliche Nutzerinformationen wie Rolle oder Abteilung) sowie Authorization Decision Statements, die allerdings in der Praxis seltener genutzt werden.

Einordnung und Praxis von SAML

Abgrenzung: SAML vs. OAuth 2.0 / OpenID Connect

Im Vergleich zu OAuth 2.0 und OpenID Connect wirkt SAML durch seine XML-Basis technisch schwergewichtiger, bietet dafür aber ausgereifte Mechanismen für komplexe Enterprise-Szenarien, etwa granulare Attributübermittlung oder föderierte Identitäten über mehrere Organisationen hinweg. Während OAuth 2.0 und OIDC sich im Web- und Mobile-Umfeld durchgesetzt haben, bleibt SAML in vielen etablierten Unternehmens-IT-Landschaften der De-facto-Standard für Single Sign-On, nicht zuletzt, weil viele Business-Anwendungen SAML seit Jahren nativ unterstützen.

Warum SAML in Enterprise-Umgebungen weiterhin verbreitet ist

Ein häufiger Stolperstein in der Praxis ist die korrekte Konfiguration von Zertifikaten und Metadaten zwischen Identity Provider und Service Provider – abgelaufene Zertifikate oder falsch hinterlegte Endpunkt-URLs zählen zu den häufigsten Ursachen für gescheiterte SAML-Anmeldungen im laufenden Betrieb.

Gerade im Enterprise-Umfeld, wo SAML seit Jahren etabliert ist, entscheiden Nuancen wie Integrationsaufwand oder Kompatibilität mit bestehenden Systemlandschaften über die Kaufentscheidung. Anbieter, die diese praktischen Aspekte klar und glaubwürdig kommunizieren, heben sich von Wettbewerbern ab, die sich auf allgemeine Sicherheitsversprechen beschränken.

SAML-Kompetenz überzeugend kommunizieren – gemeinsam mit summ-it

Für Anbieter von Identity- und Access-Management-Lösungen im Enterprise-Umfeld ist es entscheidend, technische Zuverlässigkeit glaubwürdig zu vermitteln – gerade bei etablierten Standards wie SAML, wo Entscheider oft jahrelange Erfahrung mitbringen. summ-it kennt die Anforderungen komplexer B2B-Sales-Zyklen im Software-Umfeld und positioniert Ihr Unternehmen dort, wo es auf technisches Fachpublikum trifft.

So wird aus Expertise sichtbare Marktpräsenz.

Kostenloses Erstgespräch vereinbaren

FAQ: SAML

Ist SAML veraltet?

SAML gilt technisch als etabliert, aber keineswegs als veraltet. Viele Enterprise-Anwendungen unterstützen SAML nativ und zuverlässig, weshalb der Standard in klassischen Unternehmensumgebungen weiterhin breit im Einsatz ist. Moderne Alternativen wie OpenID Connect ersetzen SAML eher schrittweise als vollständig.

Kann man SAML und OAuth 2.0 gleichzeitig nutzen?

Ja, beide Standards schließen sich nicht aus und werden in vielen Unternehmen parallel eingesetzt. SAML übernimmt häufig das interne Unternehmens-SSO, während OAuth 2.0 und OpenID Connect eher bei API-Zugriffen und modernen Web-/Mobile-Anwendungen zum Einsatz kommen.

Was ist eine SAML-Metadatendatei?

Eine SAML-Metadatendatei enthält technische Konfigurationsangaben wie Endpunkt-URLs und öffentliche Zertifikate eines Identity- oder Service Providers. Sie wird beim initialen Einrichten der Vertrauensbeziehung zwischen beiden Parteien ausgetauscht.

Kann SAML mit Multi-Faktor-Authentifizierung kombiniert werden?

Ja, MFA wird üblicherweise auf Ebene des Identity Providers umgesetzt, bevor dieser die SAML-Assertion ausstellt. SAML selbst regelt lediglich die Übermittlung des Authentifizierungsergebnisses, nicht die Art der Anmeldeprüfung.

Wie lange ist eine SAML-Assertion gültig?

Die Gültigkeitsdauer wird in der Assertion selbst festgelegt und liegt meist im Bereich weniger Minuten, um Missbrauch bei einem Abfangen der Assertion zu verhindern.

Welche Branchen setzen besonders häufig auf SAML?

SAML ist besonders in Branchen mit etablierten, langlebigen IT-Landschaften verbreitet, etwa im Finanzsektor, in der Versicherungswirtschaft und in großen Industrieunternehmen mit komplexen Anwendungslandschaften.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.