Sie befinden sich auf einer neuen Website. Das Anmeldeformular ist lang. Sie klicken auf die Schaltfläche „Mit Google anmelden“. Es funktioniert. Du bist dabei.
Dies ist Single Sign-On (SSO).
Es ist das Standarderlebnis für das moderne Web. Die meisten Plattformen bieten es an. Facebook, Google, Apple, LinkedIn, sogar Twitter. Sie alle ermöglichen es Ihnen, den Schritt der Passworterstellung zu überspringen. Aber sollten Sie?
Die Antwort ist nicht einfach. Es kommt darauf an, worauf Sie mehr Wert legen: Geschwindigkeit oder Kontrolle.
Wie Single Sign-On tatsächlich funktioniert
Wenn Sie auf diese Schaltfläche klicken, melden Sie sich nicht nur an, sondern genehmigen auch eine Datenübertragung.
Die neue Website bittet Ihren Social-Media-Anbieter um Erlaubnis, bestimmte Details weiterzugeben. Hierzu gehören in der Regel Ihr Name und Ihre E-Mail-Adresse. Manchmal wird Ihr Profilbild erfasst.
In einigen Fällen werden tiefere Daten abgerufen. Geburtsdaten. Telefonnummern. Standortgeschichte.
Wer entscheidet, was geteilt wird? Es kommt auf zwei Richtlinien an. Die Richtlinie der App, der Sie beitreten. Und die Richtlinien Ihres wichtigsten sozialen Kontos.
„Kleinere Apps und Websites bieten wahrscheinlich weniger Sicherheit als große soziale Netzwerke, daher könnte es eine sicherere Option sein, auf die Herausgabe eines Passworts und einer E-Mail-Adresse zu verzichten und sich stattdessen über ein soziales Login anzumelden.“ — Paul Bischoff, Datenschutzspezialist bei Comparitech
Suchen Sie vor dem Klicken nach einem Textfeld. Es sollte genau auflisten, welche Daten offengelegt werden. Wenn Sie es nicht sehen, gehen Sie vom Schlimmsten aus.
Warum Sie Social Login verwenden sollten
Zeit ist das wichtigste Verkaufsargument.
Stellen Sie sich vor, Sie füllen zehn verschiedene Formulare aus. Name. E-Mail. Telefon. Adresse. Geburtstag. Es ist langweilig. SSO überspringt dies. Es ruft Ihre vorhandenen Informationen ab und speichert sie im neuen Konto.
Es vereinfacht auch das Gedächtnis. Sie haben Hunderte von Konten. An wie viele Passwörter erinnern Sie sich tatsächlich? SSO fungiert als Hauptschlüssel. Sie melden sich einmalig bei Google an. Sie können auf Dutzende verknüpfter Dienste zugreifen, ohne Ihre Anmeldeinformationen erneut eingeben zu müssen.
Sicherheit ist ein weiterer Faktor. Kleinere Websites weisen oft eine schwache Sicherheit auf. Große Technologieunternehmen verfügen über riesige Sicherheitsteams. Wenn eine kleine App nach Ihrem Passwort fragt, vertrauen Sie ihr ein Geheimnis an. Wenn sie SSO verwenden, vertrauen Sie ihnen nur einen API-Schlüssel an. Sie sehen nie Ihr tatsächliches soziales Passwort.
Es gibt auch funktionale Vorteile. Dropbox kann Ihre Facebook-Fotos direkt in den Cloud-Speicher ziehen. Zoom synchronisiert sich mit Ihrem Google Kalender. Slack importiert Ihre Kontakte.
Einige dieser Dinge können Sie ohne SSO erledigen. Aber SSO macht sie sofort möglich.
Die versteckten Kosten der Bequemlichkeit
Bequemlichkeit hat ihren Preis. Du verlierst die Kontrolle.
Wenn Sie manuell ein Konto erstellen, entscheiden Sie, was Sie teilen möchten. Mit SSO kann die App nehmen, was sie will. Sie könnten zustimmen, Ihr Alter und Ihre Interessen mitzuteilen, nur um Zugang zur App zu erhalten.
Diese Daten sind nicht nur für die App bestimmt.
„Durch die Verwendung eines sozialen Logins entsteht ein Netzwerk von Websites, die über eine gemeinsame Kennung von Ihnen verfügen. Diese Kennung kann verwendet werden, um ein gemeinsames Werbeprofil basierend auf Ihrer Aktivität auf jeder dieser Websites zu erstellen.“ — Dan Fritcher, CTO von Sysfi Cloud Services
Dieses Profil wächst mit der Zeit. Es verfolgt Ihre Bewegungen im Internet. Wer weiß, wofür es in fünf Jahren verwendet wird?
Es gibt auch ein Vertrauensproblem. Große Marken haben Datenschutzrichtlinien. Zufällige Websites dürfen dies nicht tun. Eine Website ohne guten Ruf könnte Ihre Kontaktinformationen stehlen und an Betrüger verkaufen. Es passiert.
SSO erhöht das Risiko, wenn Ihr Hauptkonto kompromittiert wird.
Wenn ein Hacker Ihr Google-Passwort fälscht, erhält er nicht nur Ihre E-Mail. Sie erhalten jeden Dienst, der mit diesem Login verknüpft ist. Ein Verstoß. Viele Verluste.
Serviceausfälle sind ein weiteres Problem. Wenn Facebook ausfällt, stürzt jede App ab, die Facebook-Login verwendet. Aufgrund eines Unternehmensserverfehlers sind Sie von Ihren eigenen Konten ausgeschlossen.
Wie große Plattformen mit Daten Dritter umgehen
Nicht alle SSO-Anbieter sind gleich.
Google
Google bietet detaillierte Kontrollen. In Ihren Google-Kontoeinstellungen können Sie überprüfen, welche Apps Zugriff auf Ihr Konto haben. Sie können den Zugriff sofort widerrufen. Sie beschränken die Weitergabe der Daten im Allgemeinen auf das, was die App ausdrücklich anfordert.
Facebook (Meta)
Facebook hat seine Richtlinien nach Skandalen wie Cambridge Analytica verschärft. Apps müssen einen strengen Prüfprozess durchlaufen, um auf Benutzerdaten zugreifen zu können. Sie können genau sehen, welche Berechtigungen eine App angefordert hat. Mit Meta können Sie verbundene Apps anzeigen und entfernen.
Apfel
Apples „Mit Apple anmelden“ ist auf Datenschutz ausgelegt. Es ermöglicht Ihnen, Ihre echte E-Mail-Adresse zu verbergen, indem Sie eine zufällige, nur weiterleitende E-Mail verwenden. Außerdem haben Sie die Möglichkeit, „Meine E-Mail-Adresse ausblenden“ auszuwählen. Apple verlangt von Apps, dass sie offenlegen, warum sie Daten benötigen, und bietet Benutzern einfache Möglichkeiten, den Zugriff zu widerrufen.
Twitter (X)
Die Integration von Twitter ist weniger transparent. Es bietet zwar SSO, die Tiefe des Datenaustauschs und der Tracking-Funktionen von Drittanbietern ist jedoch möglicherweise weniger klar als bei Apple oder Google. Benutzer sollten die Berechtigungsbildschirme sorgfältig prüfen.
Das Urteil
Single Sign-On ist ein Tool. Es ist nicht grundsätzlich gut oder schlecht.
Es ist schnell. Es ist praktisch. Es kann sicherer sein, als ein schwaches Passwort auf einer unsicheren Website zu verwenden.
Aber es entsteht ein Netz des Datenaustauschs. Es gibt Apps mehr Informationen, als Sie möglicherweise bereitstellen möchten. Es verknüpft Ihre digitale Identität mit einigen großen Unternehmen.
Wenn Ihnen Geschwindigkeit wichtig ist, nutzen Sie sie.
Wenn Ihnen die Privatsphäre am Herzen liegt, seien Sie vorsichtig.
Überprüfen Sie die Berechtigungen. Lesen Sie die Datenschutzbestimmungen. Widerrufen Sie den Zugriff, wenn Sie die App nicht mehr benötigen. Ihre Daten sind schützenswert.
Wenn Sie auf „Mit Facebook anmelden“ klicken, übergeben Sie nicht nur einen Schlüssel. Sie öffnen die Tür zu Ihrem gesamten digitalen Fußabdruck. Die Unternehmen, die Single Sign-On (SSO) anbieten, haben sehr unterschiedliche Philosophien darüber, welche Daten für die Weitergabe an Drittanbieter-Apps „notwendig“ sind. Manche behandeln Ihre Privatsphäre wie einen Tresor. Andere behandeln es wie ein öffentliches Schwarzes Brett.
Hier erfahren Sie, wie die großen Player tatsächlich mit Ihren Informationen umgehen, wenn Sie sie als Identitätsanbieter nutzen.
Datenfreigaberichtlinie von Facebook
Die Standardhaltung von Facebook ist aggressiv. Während einer SSO-Initiierung stellt die Plattform dem Dritten Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilfoto zur Verfügung. Aber das ist nur die Spitze des Eisbergs.
Die tatsächliche Bekanntheit ergibt sich aus der Einstufung von Facebook als „öffentliches Profil“. Dieser Oberbegriff umfasst alles in Ihrem Profil, das nicht ausdrücklich gesperrt ist. Wenn es für Freunde sichtbar ist, ist es wahrscheinlich auch für die App sichtbar. Wir sprechen über Alter, Geschlecht, Geburtsdatum und Beziehungsstatus. Es erstreckt sich auf Familiendetails, Hobbys und sogar die Geräte, die Sie verwenden.
Schlimmer noch, Facebook kann Ihre Heimatstadt, Ihren beruflichen Werdegang, Ihren Bildungshintergrund, Ihre Religion und Ihre politischen Neigungen anzeigen. Das Unternehmen sammelt umfangreiche Daten und ist bekanntermaßen bereit, diese mit Partnern zu teilen, was durch die jüngsten Skandale und Klagen deutlich wird.
Sie sind jedoch nicht völlig machtlos. In den Datenschutzeinstellungen von Facebook können Sie bestimmte Details als nicht öffentlich kennzeichnen. Wenn Sie sorgfältig abgrenzen, was öffentlich und privat ist, können Sie das Ausbluten begrenzen. Die meisten Benutzer tun dies jedoch nicht.
Googles Richtlinie
Google verfolgt einen stärker segmentierten Ansatz. Der Technologieriese teilt mindestens Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilfoto mit. Das sind die Grundeintrittskosten.
Aber Google-Apps und Integrationen von Drittanbietern versuchen oft, mehr zu erreichen. Sie versuchen möglicherweise, in Ihrem Google Drive gespeicherte Dateien, Fotos, Nachrichten oder Kalenderereignisse abzurufen. Der Haken? Dies ist standardmäßig nicht möglich. Diese Dienste müssen ausdrücklich um Erlaubnis bitten, auf die tieferen Schichten Ihres Lebens zuzugreifen. Wenn Sie diese Anfragen ablehnen, erhalten sie nichts. Es ist eine klarere Grenze als das öffentliche Alles-oder-Nichts-Profilmodell von Facebook.
Twitter-Richtlinie
Der SSO-Prozess von Twitter ist von Natur aus schlank. Über Twitter registrierte Apps erhalten Lesezugriff auf bestimmte Datenpunkte: Ihren Benutzernamen, Ihr Profilfoto, Ihre Biografie, Ihren allgemeinen Standort, Ihre bevorzugte Sprache und Ihre Zeitzone.
Die App kann auch Ihre Tweet-Analysen sowie Ihre Follower-, Stumm- und Sperrlisten anzeigen. Insbesondere gibt Twitter Ihre E-Mail-Adresse während der Anmeldung nicht weiter, es sei denn, die App fordert dies ausdrücklich an und Sie erteilen die Erlaubnis.
Dies macht Twitter für einige zu einer überraschend datenschutzfreundlichen Option. Wenn Ihr Social-Media-Diagramm ohnehin größtenteils öffentlich ist, gibt es weniger sensible „private“ Daten, die eine App stehlen kann.
Apples Richtlinie
Der SSO-Prozess von Apple zeichnet sich durch sein benutzerzentriertes Design aus. Es ist einzigartig unter den großen Anbietern. Wenn die Registrierung gestartet wird, teilt Apple Ihren Namen und Ihre E-Mail-Adresse mit. Aber die Benutzer haben die Kontrolle.
Sie können Ihren Namen bearbeiten, bevor er gesendet wird. Sie können Ihre E-Mail-Adresse vollständig ausblenden. Apple generiert dann eine Dummy-Adresse, die E-Mails automatisch an Ihr echtes Konto zurückleitet. Sie können diese Weiterleitung später deaktivieren, wenn Sie Verbindungen trennen und Spam verhindern möchten.
Eine Zwei-Faktor-Authentifizierung ist obligatorisch. Apple behauptet außerdem, keine Daten über Ihre Interaktion mit der App zu sammeln. Dadurch entsteht ein Puffer zwischen Ihrer Identität und dem Dritten.
Apple scheint einer der besten Dienste zu sein, wenn es um SSO geht, da es Benutzern die größte Kontrolle darüber gibt, welche Daten geteilt werden.
Was Sie bei SSO tun können
Wenn Sie Single Sign-On verwenden möchten, müssen Sie sich darüber im Klaren sein, welche Informationen übertragen werden. Sie haben die Wahl zwischen Unternehmen. Entscheiden Sie sich für den Dienst, der die geringste Datenmenge teilt.
Basierend auf Datenaustausch und Benutzerkontrolle ist Apple wohl die sicherste Wahl. Sie benötigen kein Apple-Gerät, um eine Apple-ID zu erstellen. Dies macht es für Android- und Windows-Benutzer zugänglich, die eine bessere Datenschutzkontrolle wünschen.
Alternativ bevorzugen einige Experten Twitter. Bischoff weist beispielsweise darauf hin, dass fast alles auf seinem Twitter-Konto öffentlich ist und eine App nicht viel mehr Daten von seiner Anmeldung bei Twitter erhalten kann. Es ist eine Strategie, „nichts zu verbergen“. Doch nicht jede App bietet jede Anmeldemöglichkeit. Sie sind oft auf das beschränkt, was der Entwickler integriert hat.
Sichere Alternativen zu SSO
Es gibt eine bessere Möglichkeit, den Zugriff zu verwalten, ohne Ihre Identität preiszugeben. Verwenden Sie einen speziellen Passwort-Manager wie 1Password.
Dieses Programm speichert alle Ihre Anmeldedaten in einem verschlüsselten Ordner. Der Zugriff darauf ist nur mit einem von Ihnen festgelegten „Master-Passwort“ möglich. Dieser Hauptschlüssel wird lokal und offline gespeichert. Ohne physischen Zugriff auf Ihren Computer ist es für Hacker praktisch unmöglich, an diese Daten zu gelangen.
Viele Webbrowser bieten auch integrierte Passwort-Manager. Sie verwenden ihre eigenen Verschlüsselungsmethoden, die besser als reiner Text, aber weniger robust als ein spezielles Tool eines Drittanbieters sind.
Sicherheitsgrundlagen
Verbessern Sie die Sicherheit Ihrer sozialen Medien. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA). Dadurch wird ein temporärer Passcode generiert, der an Ihre persönliche E-Mail-Adresse oder Telefonnummer gesendet wird.
Es ist eine der schnellsten und effektivsten Methoden, um unerwünschte Online-Zugriffe zu verhindern. Es schützt auch Ihre Single-Sign-On-Konten. Wenn jemand Ihr Passwort stiehlt, kann er ohne diesen zweiten Faktor trotzdem nicht hinein.
Die sicherste Vorgehensweise bleibt die Erstellung eindeutiger Passwörter für jeden von Ihnen genutzten Dienst. Es ist langweilig. Es ist ärgerlich. Aber es funktioniert. Verwenden Sie einen verschlüsselten Passwort-Manager, um den Überblick über alle zu behalten. Hören Sie auf, sich an Dinge zu erinnern. Fangen Sie an, sie zu verwalten.
