Einfache Anleitung zum Einrichten von Single Sign-On (SSO) auf WordPress 

Die Verwaltung mehrerer Benutzernamen und Passwörter für verschiedene Tools ist wirklich mühsam. Ob Mitgliederseite ,Team-Intranet oder großes WordPress-Netzwerk – das Jonglieren mit Logins führt zu Problemen und Sicherheitsrisiken. WordPress Single Sign-On (SSO) löst beide Probleme mit einem Schlag. In diesem Leitfaden erklären wir Ihnen Schritt für Schritt, wie SSO funktioniert, warum es wichtig ist und wie Sie es auf Ihrer Website einrichten.

Kurz gesagt: SSO in WordPress einrichten

• Mit WordPress SSO können sich Benutzer einmal anmelden und auf mehrere Tools zugreifen, ohne ihre Passwörter erneut eingeben zu müssen.

• SAML 2.0 ist das sicherste und am weitesten verbreitete SSO-Protokoll für WordPress und eignet sich ideal für Teams und Unternehmensumgebungen.

• SSO reduziert die Wiederverwendung von Passwörtern, zentralisiert die Benutzerverwaltung und vereinfacht Compliance-Audits erheblich.

• Sie benötigen eine selbstgehostete WordPress.org-Website mit aktiviertem HTTPS, bevor Sie SSO einrichten können.

• Das miniOrange SAML SSO-Plugin ist der einfachste Weg, WordPress mit Anbietern wie Google Workspace, Okta oder Microsoft Azure AD zu verbinden.

• In einem WordPress-Multisite-Netzwerk müssen Sie SSO nur einmal auf der Hauptseite konfigurieren.

• Testen Sie Ihre Konfiguration immer auf der Staging-Umgebung, bevor Sie sie in die Produktionsumgebung übertragen.

• Legen Sie die Standardbenutzerrolle auf Abonnent fest, nicht auf Redakteur oder Administrator.

Was ist Single Sign-On (SSO) bei WordPress?

Single Sign-On ist eine Authentifizierungsmethode, die es Benutzern ermöglicht, sich einmal anzumelden und auf mehrere Tools, Apps oder Websites zuzugreifen, ohne ihre Anmeldeinformationen erneut eingeben zu müssen.

Anstatt dass WordPress jedes Passwort selbst speichert und überprüft, delegiert es diese Aufgabe an ein vertrauenswürdiges externes System, das als Identitätsanbieter (Identity Provider, IdP) bezeichnet wird.

Man kann es sich wie eine Generalschlüsselkarte vorstellen. Anstatt für jede Tür einen separaten Schlüssel zu benötigen, öffnet eine einzige Karte alles. Für Teams, die Google Workspace, Microsoft Azure AD oder Okta nutzen, bedeutet dies, dass Mitarbeiter mit demselben Konto, das sie für E-Mails, Projekttools und alles andere verwenden, auf WordPress zugreifen können.

SSO ist besonders wertvoll für Organisationen, Mitgliederplattformen, E-Learning-Websitesund jede WordPress-Umgebung, in der mehrere Benutzer Zugriff auf verschiedene Systeme benötigen.

Wie funktioniert SAML SSO mit WordPress?

SAML steht für Security Assertion Markup Language. Es handelt sich um einen offenen Standard, der den sicheren Austausch von Authentifizierungsdaten zwischen zwei Parteien regelt: dem Identitätsanbieter (IdP) und dem Dienstanbieter (SP).

Bei einer WordPress-SSO-Konfiguration fungiert Ihre WordPress-Website als Dienstanbieter. So funktioniert der Ablauf in der Praxis:

• Ein Benutzer versucht, auf Ihre WordPress-Website zuzugreifen.
• WordPress leitet sie auf die IdP-Anmeldeseite weiter.
• Der Benutzer gibt dort seine Zugangsdaten ein.
• Der IdP überprüft die Identität und sendet eine signierte SAML-Assertion an WordPress zurück.
• WordPress liest diese Bestätigung und meldet den Benutzer automatisch an.

WordPress speichert oder validiert das Passwort zu keinem Zeitpunkt direkt. Genau das macht SAML-SSO deutlich sicherer als herkömmliche WordPress-Logins.

SAML vs. OAuth vs. OpenID Connect

Alle drei Protokolle ermöglichen SSO, dienen aber unterschiedlichen Anwendungsfällen.

• SAML 2.0 ist die bevorzugte Wahl für Unternehmensumgebungen, Firmenintranets und B2B-Portale. Es ist robust, hochsicher und wird von nahezu allen großen Identitätsanbietern unterstützt.

• OAuth 2.0 eignet sich besser für kundenorientierte Apps, die eine Social-Login-Funktionalität benötigen.

• OpenID Connect baut auf OAuth auf und ist eine solide Zwischenlösung für Mitgliederseiten und SaaS-Produkte mit hohem Nutzeraufkommen.

Für die meisten WordPress-Websites mit Teamzugriff, Unternehmenskunden oder internen Tools ist SAML die richtige Wahl.

Warum sollten Sie SSO auf Ihrer WordPress-Website einrichten?

Bevor Sie mit der Einrichtung beginnen, ist es hilfreich zu verstehen, welche Vorteile Sie dadurch tatsächlich erzielen. SSO ist nicht nur eine Komfortfunktion. Es verändert die gesamte Zugriffsverwaltung in Ihrem Unternehmen grundlegend.

Mehr Sicherheit, weniger Passwörter

Wenn Nutzer ein einziges, sicheres Passwort anstelle mehrerer verwenden, vermeiden sie die Wiederverwendung schwacher Zugangsdaten auf verschiedenen Plattformen. Die Wiederverwendung von Passwörtern ist eine der häufigsten Ursachen für den Diebstahl von Zugangsdaten. Single Sign-On (SSO) beseitigt diese Schwachstelle, indem WordPress-Passwörter vollständig eliminiert werden.

Vereinfachte Benutzerverwaltung

Als Administrator können Sie über Ihren Identitätsanbieter (IdP) Zugriffsrechte gewähren oder entziehen. Die Änderungen werden sofort auf allen verbundenen Plattformen wirksam. Verlässt ein Mitarbeiter das Unternehmen, deaktivieren Sie einfach ein Konto, und er verliert den Zugriff auf alle seine Dienste. Sie müssen nicht mehr manuell Konten in verschiedenen Systemen suchen und deaktivieren.

Weniger Reibungsverluste für Ihr Team

Schnellerer Zugriff auf Tools bedeutet ein produktiveres Team. Weniger vergessene Passwörter bedeuten auch weniger Supportanfragen. Für Agenturen, die mehrere Kundenwebsites betreuen , oder Unternehmen mit großen WordPress-Netzwerken macht sich das schnell bemerkbar. Benutzer melden sich einfach einmal an und können sofort loslegen.

Compliance und Auditbereitschaft

SSO zentralisiert Authentifizierungsprotokolle an einem einzigen Ort. Dadurch wird von DSGVO und HIPAA deutlich vereinfacht. Jeder Anmeldevorgang wird dem Identitätsanbieter (IdP) zugeordnet, sodass Sie eine lückenlose Nachverfolgbarkeit erhalten, ohne dass separate Protokollierungseinstellungen auf jeder Plattform erforderlich sind.

Wie Seahawk Media Ihnen bei der Einrichtung von WordPress SSO helfen kann?

Die Einrichtung von SSO erfordert mehr als nur das Durchklicken eines Plugin-Assistenten. Die korrekte Konfiguration des Identitätsanbieters (IdP), die Attributzuordnung, die Rollenverwaltung und die Tests im Produktivbetrieb erfordern sorgfältige Beachtung. Eine Fehlkonfiguration in einem dieser Schritte kann zu Anmeldefehlern oder unbeabsichtigtem Zugriff führen.

von Seahawk Mediaarbeiten mit Agenturen, Unternehmen und wachsenden WordPress-Firmen zusammen, um sichere und zuverlässige SSO-Lösungen zu implementieren, die zu den tatsächlichen Arbeitsweisen Ihres Teams passen.

Egal ob Sie eine bestehende Website auf SSO umstellen oder ein neues authentifiziertes Portal von Grund auf neu erstellen, unser Team kümmert sich um die technischen Details, damit Sie sich auf Ihr Geschäft konzentrieren können.

Nehmen Sie Kontakt mit uns auf, um über Ihre Anforderungen an WordPress-Sicherheit und Zugriffsverwaltung zu sprechen.

Was Sie vor dem Start benötigen?

Wenn Sie diese Checkliste vor Beginn durchgehen, sparen Sie später Zeit.

• Sie benötigen eine selbstgehostete WordPress.org-Installation. WordPress.com unterstützt keine benutzerdefinierten SAML-Plugins, daher funktioniert diese Einrichtung nur auf Websites, die Sie selbst hosten.

• HTTPS muss auf Ihrer Website aktiviert sein. SAML erfordert verschlüsselte Kommunikation, daher ist ein gültiges SSL-Zertifikat zwingend erforderlich.

• Sie benötigen außerdem Administratorrechte sowohl für WordPress als auch für Ihren gewählten Identitätsanbieter.

In diesem Leitfaden wird Google Workspace als Beispiel verwendet, die gleichen Prinzipien gelten aber auch für Okta, Microsoft Azure AD, OneLogin und andere Identitätsanbieter.

Schritte zum Einrichten von Single Sign-On (SSO) auf WordPress

Die einfachste Möglichkeit, WordPress Single Sign-On zu aktivieren, bietet das miniOrange SAML SSO-Plugin. Es unterstützt über 50 Identitätsanbieter, ist mit WordPress-Multisite-Netzwerken kompatibel und bietet eine kostenlose Version, die die meisten Standardkonfigurationen abdeckt.

Schritt 1: Installieren Sie das SAML SSO-Plugin auf WordPress

Melden Sie sich in Ihrem WordPress-Dashboard an und gehen Sie zu „Plugins“ und dann zu „Neu hinzufügen“. Suchen Sie nach „miniOrange SAML Single Sign On“ und installieren Sie es. Nach der Aktivierung finden Sie miniOrange SAML 2.0 SSO in Ihrer Seitenleiste. Hier nehmen Sie alle Konfigurationen vor.

Das Plugin verwandelt Ihre WordPress-Website in einen SAML-konformen Dienstanbieter. Das bedeutet, dass sie SAML-Assertions von jedem kompatiblen Identitätsanbieter empfangen und validieren kann, mit dem Sie sie verbinden.

Schritt 2: Metadaten Ihres Dienstanbieters finden

Klicken Sie im Plugin auf den Tab „Plugin-Konfiguration“ und öffnen Sie anschließend den Tab „Metadaten des Dienstanbieters“. Hier sehen Sie zwei wichtige Werte: die ACS-URL (Assertion Consumer Service URL) und die Entitäts-ID.

Lassen Sie diese Seite geöffnet. Sie müssen diese Werte im nächsten Schritt in Ihren Identitätsanbieter kopieren. Die ACS-URL gibt an, wohin der Identitätsanbieter die SAML-Assertion nach erfolgreicher Anmeldung sendet. Die Entitäts-ID identifiziert Ihre WordPress-Website eindeutig gegenüber dem Identitätsanbieter.

Schritt 3: Verbinden Sie Ihren Identitätsanbieter (Beispiel: Google Workspace)

Melden Sie sich in Ihrer Google Admin-Konsole unter admin.google.com an. Klicken Sie in der Seitenleiste auf „Apps“ und anschließend auf „Web- und mobile Apps“. Öffnen Sie das Dropdown-Menü „App hinzufügen“ und wählen Sie „Benutzerdefinierte SAML-App hinzufügen“.

• Geben Sie Ihrer App einen aussagekräftigen Namen, beispielsweise „WordPress SSO“, und klicken Sie auf „Weiter“. Klicken Sie im nächsten Fenster auf „Metadaten herunterladen“. Dadurch wird eine XML-Datei mit Ihren IdP-Details heruntergeladen. Speichern Sie die Datei; Sie benötigen sie gleich.

• Scrollen Sie nach unten und klicken Sie auf „Weiter“, um zum Formular mit den Details zum Dienstanbieter zu gelangen. Gehen Sie zurück zu Ihrem WordPress-Dashboard und kopieren Sie die ACS-URL und die Entitäts-ID aus dem miniOrange-Plugin. Fügen Sie diese in die entsprechenden Felder der Google Admin-Konsole ein. Aktivieren Sie außerdem das Kontrollkästchen „Signierte Antwort“.

• Wählen Sie für das Namens-ID-Format „E-Mail“ aus und legen Sie als Namens-ID „Basisinformationen“ und anschließend „Primäre E-Mail-Adresse“ fest. Klicken Sie auf „Weiter“, fügen Sie gegebenenfalls Attributzuordnungen wie Vorname und Nachname hinzu und klicken Sie dann auf „Fertigstellen“.

• Der letzte Schritt in der Google Admin-Konsole ist die Aktivierung der App. Suchen Sie den Schalter „Für alle AUS“ und schalten Sie ihn auf „Für alle EIN“. Speichern Sie Ihre Änderungen.

Beachten Sie, dass Okta, Azure AD und OneLogin einen sehr ähnlichen Ablauf verwenden. Die Plugin-Dokumentation beschreibt die spezifischen Schritte für jeden Identitätsanbieter (IdP), falls Sie einen anderen Anbieter als Google Workspace verwenden.

Schritt 4: Laden Sie Ihre IdP-Metadaten in WordPress hoch

Kehren Sie zum miniOrange-Plugin in WordPress zurück.

• Gehen Sie zu „Dienstanbietereinrichtung“ und wählen Sie Google Apps als Ihren Identitätsanbieter (IdP) aus. Navigieren Sie zum Tab „IDP-Metadaten hochladen“.

• Geben Sie einen Namen für Ihren Identitätsanbieter ein und laden Sie anschließend die XML-Datei hoch, die Sie aus der Google Admin-Konsole heruntergeladen haben. Klicken Sie auf „Hochladen“.

Das Plugin analysiert die Metadaten und füllt die IdP-Details automatisch aus. Überprüfen Sie die Verbindung mit der Schaltfläche „Konfiguration testen“, bevor Sie weitere Änderungen vornehmen. Beheben Sie alle hier angezeigten Fehler, bevor Sie fortfahren.

Schritt 5: Benutzerattribute zuordnen und Rollen zuweisen

Wechseln Sie im Plugin zum Tab „Attribut-/Rollenzuordnung“. Hier legen Sie fest, wie WordPress die Benutzerinformationen vom Identitätsanbieter (IdP) den WordPress-Benutzerfeldern zuordnet.

• Ordnen Sie die Felder Vorname, Nachname und E-Mail den entsprechenden WordPress-Attributen zu.

• Scrollen Sie nach unten zum Abschnitt „Rollenzuordnung“ und wählen Sie eine Standardrolle für neue Benutzer, die sich per SSO anmelden. Gehen Sie dabei sorgfältig vor.

• Die Rolle „Abonnent“ ist für die meisten Konfigurationen die sicherste Standardeinstellung. Sie können einzelne Benutzer jederzeit manuell in höhere Rollen befördern.

• Die Zuweisung der Rolle „Redakteur“ oder „Administrator“ als Standardrolle stellt ein erhebliches Sicherheitsrisiko dar. Klicken Sie auf „Aktualisieren“, um Ihre Einstellungen zu speichern.

Ab diesem Zeitpunkt sehen Benutzer, die Ihre Anmeldeseite besuchen, eine Schaltfläche „Anmelden mit“, die sie zur Authentifizierung zu Ihrem Identitätsanbieter weiterleitet.

SSO auf einer WordPress-Multisite einrichten

Wenn Sie ein WordPress-Multisite -Netzwerk verwalten, ist die Einrichtung viel einfacher als gedacht. Konfigurieren Sie SSO einmalig auf der Hauptwebsite, und die Authentifizierung wird automatisch auf alle Subsites im Netzwerk ausgeweitet. Sie müssen die Einrichtung nicht auf jeder einzelnen Website wiederholen.

SSO ist daher besonders nützlich für Agenturen, die mehrere Kundenstandorte in einem einzigen Netzwerk verwalten, oder für große Organisationen mit abteilungsspezifischen Subsites. Benutzer melden sich am Hauptstandort an und können ihre Sitzung auf allen Subsites fortsetzen, auf die sie Zugriff haben.

Häufige Fehler bei der SSO-Einrichtung, die Sie vermeiden sollten

Die meisten SSO-Probleme lassen sich auf wenige vermeidbare Fehler zurückführen. Wer weiß, worauf er achten muss, spart viel Zeit bei der Fehlersuche.

Nicht übereinstimmende E-Mail-Domänen

Die mit einem WordPress-Nutzer verknüpfte E-Mail-Adresse muss exakt mit der im Identitätsanbieter (IdP) registrierten E-Mail-Adresse übereinstimmen. Wenn ein Teammitglied in WordPress eine private Gmail-Adresse verwendet, sich aber über ein geschäftliches Google Workspace-Konto anmeldet, werden die Konten nicht korrekt per Single Sign-On (SSO) verknüpft. Stellen Sie daher sicher, dass die E-Mail-Adressen vor der Aktivierung von SSO für bestehende Nutzer immer übereinstimmen.

Den Test vor der Live-Schaltung überspringen

Die Schaltfläche „Konfiguration testen“ im Plugin hat ihren Sinn. Verwenden Sie sie in einer Testumgebung, bevor Sie SSO in der Produktionsumgebung aktivieren. Eine falsch konfigurierte Assertion oder eine falsche ACS-URL kann Sie und Ihre Benutzer vollständig vom Zugriff auf die Website ausschließen. Testen Sie daher immer zuerst.

Zuweisung der falschen Standardrolle

Neu über SSO erstellte Benutzer erhalten automatisch die im Plugin konfigurierte Standardrolle. Wenn Sie diese auf „Redakteur“ oder „Administrator“ belassen, erhält jeder Benutzer Ihres Identitätsanbieters, der Ihre Website besucht, automatisch erweiterte Berechtigungen. Beginnen Sie mit der Rolle „Abonnent“ und weisen Sie höhere Rollen manuell einzelnen Benutzern zu.

SSO vs. Social Login auf WordPress: Was ist der Unterschied?

Social Login und SSO sind zwar verwandt, aber für unterschiedliche Zielgruppen konzipiert.

Social Login ermöglicht es Besuchern, sich mit ihren bestehenden Konten bei Plattformen wie Google oder Facebook anzumelden. Dies eignet sich gut für kundenorientierte Websites, Blogs und Online-Shops, bei denen die Vereinfachung des Anmeldeprozesses im Vordergrund steht.

SAML SSO ist für Organisationen konzipiert, die eine zentralisierte Zugriffskontrolle und Sicherheitsrichtlinien benötigen.

Es integriert sich mit Enterprise-IdPs wie Azure AD und Okta, unterstützt rollenbasierte Zugriffsverwaltung und bietet die von regulierten Branchen geforderten Audit-Trails.

Wenn Sie eine öffentliche Mitgliederseite betreiben, reicht möglicherweise die Anmeldung über soziale Netzwerke aus. Wenn Sie jedoch den internen Teamzugriff oder Kundenportale für Unternehmen verwalten, ist SAML SSO die richtige Wahl.

Zusammenfassung

WordPress Single Sign-On vereinfacht die Arbeit für alle Beteiligten. Benutzer müssen keine Passwörter mehr verwalten, Administratoren können die Zugriffsrechte zentral verwalten und Ihre Website wird dadurch deutlich sicherer.

Beginnen Sie mit dem SAML SSO-Plugin, verbinden Sie Ihren Identitätsanbieter, testen Sie die Konfiguration gründlich und aktivieren Sie anschließend die Zwei-Faktor-Authentifizierung (2FA) für einen stärkeren Schutz.

Wenn Sie von Anfang an alles richtig machen wollen, ist Seahawk Media für Sie da. Wir sind spezialisiert auf WordPress-Sicherheit, Performance und individuelle Konfigurationen für Agenturen und Unternehmen, die sich keine Fehler leisten können.

Häufig gestellte Fragen zu SSO auf WordPress