Was ist SAML?
Stell dir vor, dein Team nutzt zwölf Tools. Jedes mit eigenem Passwort, jedes mit eigener Abmeldung, wenn jemand geht. Genau dieses Chaos löst SAML, die Security Assertion Markup Language.
SAML ist ein offener Standard des Normungsgremiums OASIS. Er legt fest, wie zwei Dienste Sicherheitsinformationen austauschen. Die aktuelle Fassung SAML 2.0 ist seit März 2005 OASIS-Standard. In ihr sind SAML 1.1, das Hochschulprojekt Shibboleth und das Föderations-Framework der Liberty Alliance zusammengeflossen.
Im Kern gibt es zwei Rollen:
- Identity Provider (IdP): der Dienst, bei dem du dich wirklich anmeldest, etwa Microsoft Entra ID, Google Workspace oder Okta.
- Service Provider (SP): das Tool, das du nutzen willst, etwa HubSpot, Slack oder Notion.
Der IdP prüft dein Passwort und deinen zweiten Faktor. Danach stellt er eine digital signierte Assertion aus, eine Bestätigung im XML-Format: Diese Person ist angemeldet, und das sind ihre Angaben. Das Tool vertraut dieser Bestätigung und lässt dich rein, ohne eigenes Passwort.
So läuft eine SAML-Anmeldung ab
Am Beispiel Microsoft Entra ID als IdP und einem SaaS-Tool als SP:
- Du öffnest das Tool. Es kennt dich nicht und schickt deinen Browser mit einer Anfrage zum IdP.
- Du meldest dich bei Microsoft an, falls du es nicht schon bist.
- Microsoft schickt deinen Browser mit einer signierten Antwort zurück zum Tool.
- Das Tool prüft die Signatur und lässt dich rein.
Die Bestätigung gilt nur kurz. Bei Entra ID liegen zwischen Beginn und Ende der Gültigkeit 70 Minuten. Wer sie abfängt, kann sie also nicht ewig benutzen.
Der eigentliche Gewinn liegt aber woanders: Verlässt jemand das Team, sperrst du ein einziges Konto. Alle angebundenen Tools sind damit dicht. Ohne SSO musst du zwölf Logins einzeln finden und löschen, und einer bleibt garantiert offen.
SAML, OAuth und OpenID Connect
Die drei werden ständig in einen Topf geworfen. Dabei beantworten sie unterschiedliche Fragen.
Standard
Wofür
SAML 2.0 (2005)
Wer ist angemeldet? XML, typisch in Firmen
OAuth 2.0 (2012)
Was darf eine App? Zugriff, keine Anmeldung
OpenID Connect (2014)
Wer ist angemeldet? JSON, typisch für „Mit Google anmelden“
OAuth 2.0 ist laut RFC 6749 ein Rahmen für Autorisierung, also Zugriffsrechte. OpenID Connect setzt darauf eine Identitätsschicht und nutzt das Format JSON Web Token. SAML und OpenID Connect lösen also dieselbe Aufgabe, nur unterschiedlich. Microsoft Entra ID beherrscht beide, und das US-Normeninstitut NIST führt beide in seiner Richtlinie zur Föderation nebeneinander.
Was SSO mit SAML kostet
Hier wird es für KMU interessant. Viele SaaS-Anbieter stecken SAML-SSO in teure Tarife. In der Szene heißt das spöttisch SSO-Steuer.
Case A · CRM
HubSpot Marketing Hub
ab 800 $
pro Monat (Professional)
3.000 $
einmaliges Onboarding
SSO gibt es erst ab Professional
Listenpreise im November 2026 abgerufen, in US-Dollar, mit 3 Core Seats. Preise schwanken nach Region und Aktion.
Case B · Gegenbeispiel
Microsoft Entra ID als Identity Provider
0 $
Free-Stufe mit SSO
7 $
P1 je Nutzer und Monat
Der IdP ist oft günstig, teuer ist der Tarif beim Tool
Die Free-Stufe wirbt mit „unlimited SSO“. P1 kostet 7 US-Dollar je Nutzer und Monat bei jährlicher Zahlung.
Auch Slack bietet SAML-SSO erst ab Business+, Notion nur im Business- und Enterprise-Plan. Die Sammlung sso.tax listete etwa für GitHub einen Aufpreis von 425 % (Stand April 2020) und für Slack von 72 % (Stand Juni 2023), sobald man für SSO den Tarif wechselt. Die Zahlen sind alt, das Muster gilt weiter.
Häufige Fehler
Fehler 1 · SAML mit SSO gleichsetzen
Single Sign-on ist das Ziel, SAML nur ein Weg dorthin. Bietet ein Tool „SSO“ an, frag nach, ob per SAML oder OpenID Connect. Dein IdP muss dasselbe sprechen.
Fehler 2 · SAML mit OAuth verwechseln
OAuth gibt einer App Zugriff auf Daten, zum Beispiel auf deinen Kalender. Es sagt nicht, wer du bist. Wer das gleichsetzt, versteht die Zustimmungsfenster falsch.
Fehler 3 · „Signiert“ für „sicher“ halten
Die Signatur schützt nur, wenn das Tool sie richtig prüft. In der Bibliothek ruby-saml fand man 2024 und 2025 Lücken, über die sich Angreifer als beliebige Nutzer anmelden konnten. Eine davon (CVE-2024-45409) bekam die Bewertung 9,9 von 10. Software aktuell halten ist hier Pflicht, keine Kür.
Fehler 4 · Den Tarif ohne SSO-Check kaufen
Viele merken erst nach dem Kauf, dass SSO im gebuchten Tarif fehlt. Ein Upgrade mitten im Vertrag ist teuer. Prüf das vorher in der Preistabelle.
Was das für dich bedeutet
- Solo oder zu zweit: SAML brauchst du nicht. Ein Passwortmanager und Multi-Faktor-Authentifizierung reichen.
- Ab fünf, sechs Leuten mit wechselnder Besetzung: Nutzt ihr Microsoft 365 oder Google Workspace, habt ihr den IdP schon. Dann lohnt der Blick, welche Tools SAML-SSO in eurem Tarif können.
- Beim Tool-Kauf: SSO-Fähigkeit, Tarif und Aufpreis in die Entscheidung einrechnen, nicht hinterher.
Häufige Fragen
Was ist der Unterschied zwischen SAML und OAuth?
SAML bestätigt, wer sich angemeldet hat. OAuth 2.0 regelt, worauf eine App zugreifen darf, etwa auf deinen Kalender. Für die Anmeldung per OAuth-Technik gibt es OpenID Connect, das ist das Gegenstück zu SAML.
Ist SAML veraltet?
Es ist alt, aber nicht abgelöst. SAML 2.0 stammt von 2005 und läuft in sehr vielen Business-Tools. Neue Anwendungen und Apps setzen eher auf OpenID Connect. Große Identity Provider wie Microsoft Entra ID bieten beides an.
Was ist ein Identity Provider?
Der Dienst, der deine Identität prüft und anderen Tools bestätigt. Typische Beispiele sind Microsoft Entra ID, Google Workspace, Okta, OneLogin und JumpCloud. Die Tools selbst heißen in SAML Service Provider.
Brauche ich als kleines Unternehmen SAML?
Meist erst, wenn mehrere Leute viele Tools nutzen und die Besetzung wechselt. Davor bringt dir Multi-Faktor-Authentifizierung mit einem Passwortmanager mehr Sicherheit fürs Geld.
Warum kostet SSO bei vielen Tools extra?
Weil Anbieter SSO als Merkmal für Firmenkunden sehen und es in teure Tarife packen. Bei HubSpot gibt es SSO erst ab Professional, bei Slack ab Business+, bei Notion ab Business.
