Zum Inhalt springen
Resilience Platform Resilience Platform

Enterprise SSO

Enterprise SSO — Identity Federation für Finanzinstitute

SAML 2.0, OpenID Connect und LDAP-basierte Identity Federation für regulierte Finanzinstitute. JIT-Provisioning, SCIM-Synchronisation und revisionssichere Zugriffssteuerung.

Hinweis: Diese Seite ist eine Umsetzungshilfe und ersetzt keine Rechtsberatung oder verbindliche aufsichtsrechtliche Auslegung.

Was ist Enterprise SSO?

Enterprise Single Sign-On (SSO) ermöglicht Benutzern den Zugriff auf mehrere Anwendungen mit einer einzigen Authentifizierung. Über einen zentralen Identity Provider (IdP) werden Identitäten verwaltet, authentifiziert und autorisiert – ohne dass Passwörter in den einzelnen Anwendungen gespeichert oder verwaltet werden müssen.

Für regulierte Finanzinstitute ist SSO nicht nur eine Frage der Benutzerfreundlichkeit: DORA Art. 9 fordert starke Authentifizierungsmechanismen, MaRisk AT 7.2 verlangt eine dokumentierte Zugriffssteuerung, und die BSI TR-03130 definiert konkrete Anforderungen an föderierte Identitäten. Enterprise SSO ist der zentrale Baustein einer prüfsicheren Identity Federation.

Integrations-Workflow

Der standardisierte Integrationsprozess stellt eine prüfsichere Anbindung jedes Identity Providers sicher.

1

IdP-Konfiguration

Hinterlegung der Metadaten-URL, des X.509-Zertifikats und der Entity-ID des Identity Providers. Unterstützt werden SAML 2.0 Metadata XML, OpenID Connect Discovery und LDAP-Bind-Parameter.

2

Attribut-Mapping

Zuordnung der IdP-Attribute zu Plattform-Feldern: NameID → E-Mail, Gruppen → Rollen, Optional: Abteilung, Standort, Kostenstelle.

3

Test & Validierung

Automatisierte Test-Login-Prüfung, Validierung der SAML-Antwort-Signatur, Prüfung des Attribut-Mappings und der Rollen-Ableitung.

4

Go-Live & Monitoring

Freigabe für den Produktivbetrieb. Kontinuierliches Monitoring der Login-Erfolgsrate, Zertifikats-Ablauf und Anomalie-Erkennung.

Unterstützte Identity Provider

Die Plattform unterstützt alle gängigen SAML 2.0 / OIDC / LDAP-kompatiblen IdPs.

A

Azure AD / Entra ID

SAML 2.0, OIDC, SCIM

O

Okta

SAML 2.0, OIDC, SCIM

K

Keycloak

SAML 2.0, OIDC, LDAP

P

PingIdentity

SAML 2.0, OIDC

Verbindung testen

Prüfen Sie die SAML/OIDC-Konfiguration mit einem Test-Login.

Sicherheit & Identity Governance

Just-in-Time (JIT) Provisioning

Benutzerkonten werden beim ersten SSO-Login automatisch erstellt und mit den vom IdP übermittelten Attributen befüllt. Keine manuelle Benutzeranlage erforderlich. Deaktivierte IdP-Benutzer erhalten keinen Zugriff mehr.

SCIM 2.0 Synchronisation

Vollständige Benutzer- und Gruppen-Synchronisation über SCIM 2.0. Create, Update, Delete, Patch – inkl. Gruppenmitgliedschaften. Änderungen im IdP werden automatisch in der Plattform übernommen.

Rollen-Mapping & RBAC

IdP-Gruppen werden auf Plattform-Rollen abgebildet. Rollen können granular definiert werden: Admin, CISO, Compliance, Risk, Auditor, Viewer. Das Mapping ist revisionssicher dokumentiert.

Access Reviews

Regelmässige Überprüfung der Zugriffsberechtigungen. Automatisierte Reports über Benutzer, Rollen und letzte Aktivität. Integration mit dem Berechtigungsmanagement für zertifizierte Reviews.

SCIM-Provisioning

Automatische Benutzer- und Gruppen-Synchronisation über das System for Cross-domain Identity Management (SCIM) 2.0.

SCIM-Endpoint: https://resilience.amartens.com/api/scim/v2

Authentifizierung: Bearer Token (SCIM-Geheimnis)

Unterstützte Operationen: CreateUser, UpdateUser, DeleteUser, CreateGroup, UpdateGroup, DeleteGroup, Patch

User Provisioning Group Sync Attribute Mapping Just-in-Time (JIT)

Konfiguration

Beispielkonfiguration für die Integration mit einem SAML 2.0 Identity Provider.

IdP-URL (Issuer)

https://{idp-domain}/saml2

Entity-ID (SP Identifier)

https://resilience.amartens.com/auth/saml/metadata

X.509-Zertifikat (Signatur)

-----BEGIN CERTIFICATE-----
MIIDazCCAlMCFAjxRq3jL5ZoQ7Gf5...K2m8w==
-----END CERTIFICATE-----

Attribut-Mapping

SAML-Attribut IdP Claim Plattform-Feld
NameIDuser.principalnameuser.email
givenNameuser.givennameuser.first_name
surnameuser.surnameuser.last_name
groupsgroup.membershipuser.roles

Compliance: Aufsichtsrechtliche Anforderungen an Identity Federation

DORA Art. 9 — IKT-Risikomanagement

DORA Art. 9 verlangt starke Authentifizierungsmechanismen und eine dokumentierte Zugriffssteuerung. Enterprise SSO erfüllt diese Anforderungen durch SAML 2.0 mit signierten Assertions, verschlüsselten Attributen und revisionssicheren Audit-Logs.

MaRisk AT 7.2 — Zugriffssteuerung

MaRisk AT 7.2 fordert die Dokumentation von Berechtigungen und regelmässige Berechtigungs-Reviews. Das rollenbasierte Zugriffsmodell in Kombination mit Access Reviews erfüllt diese Anforderung nachweisbar.

BSI TR-03130 — Föderierte Identitäten

Die Technische Richtlinie des BSI definiert Anforderungen an föderierte Identitätsmanagement-Systeme. Die Implementierung folgt den Vorgaben für SAML 2.0 Metadata, Single Logout, und Attribute Authority.

Identity Federation für Ihr Institut?

Vereinbaren Sie ein unverbindliches Pilotgespräch – wir zeigen Ihnen, wie Enterprise SSO Ihre Authentifizierungsprozesse prüfsicher und effizient gestaltet.

Pilotgespräch anfragen

Reifegrad

  1. 1 Initial

    Ad-hoc-Ansätze, keine formalen Prozesse

  2. 2 Defined

    Formale Prozesse definiert, aber nicht durchgängig umgesetzt

  3. 3 Implemented

    Prozesse vollständig umgesetzt und dokumentiert

  4. 4 Monitored

    Prozesse werden überwacht und gemessen

  5. 5 Optimized

    Kontinuierliche Verbesserung und Anpassung