Kurz vorweg: Studien zeigen: Mitarbeitende verwalten im Schnitt 80–100 Passwörter, davon viele schwach oder mehrfach genutzt. Wer beim Off-Boarding 30 verschiedene Tool-Logins manuell deaktivieren muss, vergisst 2–3 davon – ein gefährlicher Schwachpunkt. SSO + Conditional Access + MFA an zentraler Stelle löst beide Probleme. Für die meisten Schweizer KMU mit Microsoft 365 ist das technische Fundament bereits bezahlt – es muss „nur“ richtig konfiguriert werden.
Warum SSO 2026 Standard ist
Eine Identität, ein MFA
User loggen sich einmal mit Konto + MFA ein. Alle SSO-Apps öffnen sich nahtlos. Kein App-spezifisches Passwort, kein App-spezifisches MFA.
Off-Boarding in 60 Sekunden
Account in Entra ID / Okta deaktivieren = sofortiger Logout aus allen verbundenen Apps. Keine vergessenen Slack-/Trello-/Bexio-Logins.
Conditional Access
Regeln pro App: nur aus CH/EU, nur von verwaltetem Gerät, nur mit MFA – pro App granular einstellbar.
Audit & Compliance
Alle Logins, alle App-Zugriffe in einem zentralen Log. revDSG, ISO 27001, ISG-Anforderungen erfüllbar.
Mitarbeiter-Erfahrung
Onboarding-Tag 1: ein Login, alle Tools sofort offen. Self-Service Passwort-Reset, MyApps-Portal mit Lieblings-Apps.
Identity-Provider im Vergleich
| IdP | Stärke | Preis (Mt./User) | Empfehlung für |
|---|---|---|---|
| Microsoft Entra ID Free | In M365 inkl., SAML/OIDC zu allen Standard-Apps | CHF 0 (in M365) | M365-Häuser bis 25 MA |
| Microsoft Entra ID P1 | Conditional Access, Self-Service Password Reset, Hybrid AD | CHF 6 | M365-Häuser ab 25 MA, mit On-Prem AD |
| Microsoft Entra ID P2 | P1 + Identity Protection (Risk-based MFA, PIM) | CHF 9 | Compliance-getrieben (FINMA, ISG) |
| Google Workspace SSO | Wenn Sie Workspace nutzen, SSO bereits inkl. | in WS-Lizenz | Google Workspace-Häuser |
| Okta Workforce Identity | Marktführer, riesiger App-Katalog, top Lifecycle-Mgmt | USD 2–15 | Multi-Cloud / Cross-Stack KMU |
| JumpCloud | Cross-Platform IdP + Device Mgmt + RADIUS | USD 9 (SSO) | Heterogene KMU (Mac/Linux/Windows mix) |
| Cloudflare Zero Trust | SSO via E-Mail-OTP / SAML, gratis bis 50 User | USD 0–7 | Cloudflare-Stack-Häuser, Web-App-SSO |
| Authentik / Keycloak | Open Source self-hosted, vollständige Kontrolle | CHF 0 (Server) | IT-affine KMU mit Datenschutz-Fokus |
Für die meisten Schweizer KMU gewinnt Entra ID P1: integriert in Microsoft 365 Business Premium, mit Conditional Access und MFA – ein einziger Identity-Provider deckt 90% der Use Cases. Wer auf Google Workspace setzt, nutzt dessen SSO. Okta bleibt der Best-of-Breed-Spezialist für komplexe Multi-Cloud-Stacks. Authentik / Keycloak ist die Wahl für IT-affine KMU mit Datenschutz-Vorgaben.
Achtung: Die SSO-Tax
Viele SaaS-Anbieter verstecken SSO im teuersten Lizenz-Tier („SSO ist Enterprise-Feature“). Das nennt sich SSO-Tax und kann das Tool-Budget massiv verschieben. Beispiele:
| Tool | Plan ohne SSO | Plan mit SSO | Aufpreis pro User/Mt. |
|---|---|---|---|
| Slack | Pro CHF 7.25 | Business+ CHF 12.50 | + CHF 5.25 |
| Notion | Plus CHF 10 | Business CHF 15 | + CHF 5 |
| HubSpot | Starter CHF 30 | Pro CHF 90 | + CHF 60 |
| Zoom | Pro CHF 14 | Business CHF 19 | + CHF 5 |
| Mailchimp | Standard | Premium | + ca. CHF 250 |
| Atlassian Jira | Standard CHF 7.75 | Premium CHF 15.25 | + CHF 7.50 |
| Microsoft 365 | in jedem Plan | in jedem Plan | CHF 0 (kein SSO-Tax) |
| Cloudflare, Tailscale | inkl. | inkl. | CHF 0 (kein SSO-Tax) |
Tipp: Nicht jede App braucht SAML-SSO. Browser-Erweiterung (Bitwarden, 1Password) mit Auto-Fill auf MFA-geschützten Accounts ist eine günstige Alternative für Tools mit hoher SSO-Tax. Für kritische Tools (HR, Finanz, Production) lohnt der Aufpreis.
Einführung in 4 Wochen
- Woche 1: App-Inventar erstellen – jedes SaaS-Tool im Einsatz, mit Anzahl Usern und SSO-Fähigkeit. Kritische Apps (Finanz, HR, CRM, ERP) markieren.
- Woche 2: IdP wählen (i.d.R. Entra ID, da bereits in M365). Konditionalpolicies definieren: MFA für alle Externen, Geräte-Compliance für sensible Apps.
- Woche 3: Top-5-Apps SSO-aktivieren (per SAML/OIDC im IdP konfigurieren). Pilot mit 5–10 Mitarbeitenden, Self-Service-Portal aktivieren.
- Woche 4: Restliche Apps anbinden, Off-Boarding-Workflow definieren (Account-Disable + Lizenz-Recall + Mailbox-Litigation-Hold). Mitarbeiter-Schulung.
- Ab Monat 2: Conditional Access verfeinern (Risk-based MFA, Geo-Block, Compliance), Passkeys als bevorzugte MFA-Methode rollen, regelmässige Access Reviews.
- Nach 6 Monaten: SSO-Coverage prüfen (Ziel: 80%+ aller Apps), Lifecycle-Management (Joiner/Mover/Leaver) automatisieren, Audit-Reports einführen.
Typische Stolpersteine
- „Big Bang“-Migration – alle Apps gleichzeitig SSO-aktivieren ist Stress pur. Lieber phasenweise pro Abteilung oder App-Kategorie.
- Notfall-Konto vergessen – wenn IdP ausfällt, kommt niemand mehr in die Apps. Ein Break-Glass-Account (Notfall-Admin mit Passwort offline gelagert) ist Pflicht.
- MFA für Admins nicht erzwungen – Admins sind das Hauptziel von Phishing. Phishing-resistente MFA (Passkey, FIDO2) für alle Privileged-Accounts ist Pflicht.
- Externe / Lieferanten / Praktikanten ignoriert – Guest-Accounts in Entra ID brauchen ebenso Conditional Access. Standardmässig: Externe nur mit MFA, nur kurzfristig, mit Access Review.
- Local-Account in M365 / Bexio – User mit lokalem Passwort umgehen SSO. Hartes Aus: alle User über IdP, Local-Logins blockieren.
- SSO-Tax nicht eingerechnet – Tool-Lizenzen werden plötzlich 2–3× teurer. Vorher prüfen, ggf. günstigere Tools wählen oder mit Anbieter verhandeln.
Fazit: Identity ist die neue Firewall
Die Sicherheitsperimeter klassischer Firmen-Netze sind durch Cloud, Mobile und Home-Office obsolet. 2026 ist Identität die wichtigste Verteidigungslinie – und SSO mit MFA und Conditional Access ist die zentrale Schaltstelle.
Empfehlung: Entra ID P1 in Microsoft 365 Business Premium reicht in 90% der Schweizer KMU. Phishing-resistente MFA (Passkeys, FIDO2 Security Keys) für alle, Conditional Access für sensible Apps, sauberes Off-Boarding und ein Notfall-Konto. Kosten unter CHF 10/User/Monat – der Schutz, den Sie dafür bekommen, ist um ein Vielfaches grösser.
SSO für Ihr KMU einführen
Wir wählen den passenden IdP, binden Ihre Top-Apps an, schreiben Conditional-Access-Policies und automatisieren Joiner/Mover/Leaver – inkl. Notfall-Konto.
Beratung anfragen