Keycloak Upgrade - sichere Authentifizierung auf dem neuesten Stand

Begrüßung & Intro

Herzlich willkommen zu unserem Gepardec-Webinar zum Thema Single Sign-On.
Wir von Gepardec sind eine IT-Firma: Wir entwickeln Software für Kunden in Österreich – sowohl für den öffentlichen Bereich als auch für die Industrie. Außerdem begleiten wir Organisationen auf ihrer Cloud-Native Journey.

Mein Name ist Michael Mayer, ich bin bei Gepardec für New Business zuständig. Heute ist auch mein Kollege Christoph Kofler dabei, Innovation Manager – und er wird uns etwas zum Thema Single Sign-On erzählen.

Wir machen zuerst einen kurzen Vortrag von etwa 10 bis 15 Minuten als Einstieg. Danach wollen wir das Ganze als Sprungbrett für eine offene Diskussion nutzen – mit Fragen, Ideen und Themen aus Ihrer Praxis.

Warum Security und Innovation zusammengehören

Danke Michael. Mein Name ist Christoph Kofler. Ich versuche hier eine Brücke zu schlagen: Einerseits ist Security ein inhärentes Thema, über das wir sprechen müssen. Andererseits sehe ich es genauso als Chance, Produkte, Lösungen und vor allem die User Experience zu verbessern.

Denn: Wenn Sicherheit einfach ist, wird sie besser genutzt – und dann wird am Ende auch die gesamte Security besser. Insofern sind Security und Innovation in Wahrheit gar keine Gegensätze, sondern ergänzen sich.

Thema des Webinars

Heute geht es um Single Sign-On: „Simplify for business“ – und welchen Nutzen das bringt.

Bevor wir starten: Was ist eigentlich das Problem, das Single Sign-On lösen soll?

Das Problem: Passwörter sind das Einfallstor

Ich habe zwei Beispiele mitgebracht.

Kürzlich wurden 3,2 Milliarden E-Mail/Passwort-Kombinationen in einem Online-Hacking-Forum veröffentlicht. Diese Kombinationen stammen aus unterschiedlichen Data Breaches weltweit – und sie werden genutzt, um weiter in Firmen einzubrechen, Daten zu stehlen oder Systeme zu stören.

Bei solchen Data Breaches werden geheime, vertrauliche oder personenbezogene Daten entwendet – und diese Daten gibt es in praktisch jeder Firma. User und Passwort sind dabei in vielen Fällen das zentrale Einfallstor. Das Thema hat Viren und klassische Malware als häufigsten Einstiegspunkt längst überholt:

Gestohlene Zugangsdaten sind oft das Einfallstor Nummer eins bei erfolgreichen Angriffen.

Wenn so ein Angriff passiert, stellt sich schnell die Frage: Wer ist schuld?
War es der User mit einem schwachen Passwort oder demselben Passwort überall? Oder die Firma, weil sie bessere Systeme oder Schulungen hätte bereitstellen müssen?

Am Ende ist es egal: Der Schaden ist da. Und der kann so groß werden, dass er im schlimmsten Fall den Tod einer Firma bedeuten kann. In unserem näheren Umfeld ist das fast passiert: Eine Firma wurde angegriffen, die Daten wurden verschlüsselt, alles musste mühsam wiederhergestellt werden – und sie haben einen Konkurs nur knapp überlebt. Das braucht man wirklich nicht.

Die Realität: Zu viele Anwendungen, zu viele Logins

Durchschnittlich hat jedes Unternehmen heute rund 288 verschiedene Cloud-Anwendungen im Einsatz – und das steigt mit zunehmender Cloud-Nutzung weiter an.

Darum ist das Thema Single Sign-On und Identity & Access Management für viele längst auf der Agenda: Für einen großen Teil der globalen IT-Entscheider ist das ein Thema, für das bereits Lösungen gesucht oder umgesetzt werden.

Wie fühlt sich das Problem im Alltag an?

Wenn man es aus Sicht eines einzelnen Users betrachtet, kennt das jeder:

Man sitzt am Rechner, öffnet die erste Anwendung – und muss sich anmelden.
Dann die nächste Anwendung – wieder anmelden.
Und wieder. Und wieder. Meist mit jeweils eigenem User/Passwort. Das Ganze geht auf allen Geräten so weiter – Laptop, Handy, Tablet.

Zwei-Faktor-Authentifizierung ist dabei grundsätzlich eine gute Idee – aber der Passwort-Alltag bleibt Wahnsinn. Und irgendwann kommt jeder an den Punkt, wo man sich denkt:

„Mist – welches Passwort war das jetzt?“

Was machen User dann?

Welche Lösungen finden Benutzer selbst gegen dieses Problem?

• Passwörter werden aufgeschrieben

• Es werden einfache Passwörter gewählt („password123“)

• Oder man verwendet überall dasselbe Passwort

Aus Sicht des Users ist das sogar nachvollziehbar – aber sicher ist es nicht.

Und wenn ein Passwort dann wirklich vergessen wird, läuft ein Prozess an:

• Self-Service „Passwort vergessen“-Link

• oder Helpdesk/Hotline in Unternehmen („Windows-Passwort vergessen …“)

Dieser Prozess kostet Zeit – und damit Geld:

• Zeit beim User, der nicht arbeiten kann

• Zeit beim Helpdesk, der betrieben werden muss

Und genau hier liegt ein großes Potenzial im Single-Sign-On-Thema.

Der „Traum“: Passwörter endlich einfach machen

Ich verwende hier gern ein Bild: Ich habe tatsächlich den Traum, dass wir dieses Passwort-Thema wirklich lösen können.

Man kann sich vorstellen, dass jemand ein richtig gutes Passwort im Kopf behält – aber nicht 10, 20, 30 oder 40 davon.

Das Gute ist: Dieser Traum kann Realität werden, denn die Technologie und Konzepte sind schon lange erfunden. Single Sign-On gibt es seit Jahrzehnten – man muss es „nur“ einsetzen. Und es wird immer wichtiger:

• weil die Bedrohungslage steigt

• und weil wir immer mehr Cloud-Anwendungen nutzen und immer mehr Passwörter verstreuen

Single Sign-On und Access Management

Ein zweiter Aspekt, der aus Firmensicht extrem interessant ist:
Wer darf worauf zugreifen?

Single Sign-On bedeutet nicht nur „ein Login für viele Systeme“. Dahinter steckt Identity & Access Management:

• Das System entscheidet, welche Person auf welche Ressourcen zugreifen darf

• und welche nicht

• und ggf. mit welchen Rollen/Funktionen

Konkretes Beispiel: MediaKey

Genug Theorie – ich zeige ein konkretes Beispiel: MediaKey.

MediaKey ist ein Single-Sign-On-System für österreichische Medienhäuser – z. B. ORF, Oberösterreichische Nachrichten, Tiroler Tageszeitung, „24“ und andere.
Bereitgestellt wird das von upperID – und wir bei Gepardec haben dieses System gemeinsam mit upperID für diesen Anwendungsfall entwickelt bzw. angepasst.

Ich zeige das kurz live:

Ich öffne die Oberösterreichischen Nachrichten. Viele Medienportale gehen immer stärker Richtung Content, der nur mit einem Abo und Login verfügbar ist – etwa fürs Kommentieren oder für Premium-Artikel.

Ich klicke auf „Anmelden“. Ich könnte jetzt Username/E-Mail und Passwort eingeben – oder z. B. über Google anmelden.

Dann lande ich beim Single-Sign-On von MediaKey.

Ich nutze hier zusätzlich einen Passwort-Manager, fülle die Daten automatisch aus, melde mich an – und bin angemeldet. Unter „Account / Meine Daten“ sieht man das.

Spannend wird Single Sign-On aber erst dann, wenn ich das auch bei anderen Services nutzen kann:

Ich öffne die Tiroler Tageszeitung. Oben rechts wieder „Anmelden“.
Das System erkennt: „Das ist neu – willst du das hinzufügen?“ Es werden minimalistisch Daten übertragen (z. B. E-Mail-Adresse). Ich bestätige – und bin auch dort angemeldet.

Das kann man für alle Medienhäuser machen, die dabei sind. Und der Vorteil ist klar: Man muss sich nicht überall neue Logins und Passwörter merken.

In der MediaKey-Selbstverwaltung sehe ich dann, welche Dienste ich verbunden habe (z. B. „24“, ORF, Tiroler Tageszeitung). Und ich kann auch zentral sagen: Ich möchte die Verbindung wieder auflösen. Danach kann ich mich dort nicht mehr mit meinem Account anmelden.

Als Endkunde gewinne ich damit sehr viel Hoheit über meine Login-Daten. Ziel ist natürlich, das für möglichst viele Dienste zu nutzen – bei Medienhäusern, aber auch darüber hinaus. Und genauso kann das Prinzip in Unternehmen funktionieren: Ein zentrales Portal, über das man sich bei vielen Diensten anmelden kann.

Technische Basis: Keycloak / Red Hat SSO

Das System läuft technisch auf Red Hat Single Sign-On, auch bekannt als Keycloak. Ein sehr ausgereiftes Produkt, das wir für diesen Anwendungsfall entsprechend customized haben.

Q&A – Fragen aus der Runde

Frage: Was braucht man, um als Unternehmen zu starten – wenn man schon bestehende Systeme hat und Credentials migrieren will?

Antwort: Systeme wie Keycloak/Red Hat SSO setzen auf offene Standards – insbesondere OAuth2 und OpenID Connect. Damit kann man sehr viele Systeme anbinden: interne Systeme wie Zeiterfassung, externe Services, Cloud-Dienste.
Bei Migration arbeitet man schrittweise: bestehende Systeme anbinden, gemeinsam betreiben und so umstellen, dass man nur noch Single Sign-On verwendet.

Frage: Was ist der Unterschied zu „Google Sign-In“ – kann man das nicht einfach im Konzern nutzen?

Antwort: Google ist ein eigener Identity Provider – die Login-Daten liegen bei Google. Das kann man gut oder schlecht finden, aber so ist es.
Keycloak/Red Hat SSO kann dagegen als Broker zwischen mehreren Systemen funktionieren: Ich kann z. B. das interne Active Directory anbinden und gleichzeitig Google als Login-Option verwenden – und alles wird zentral vermittelt.

Frage: Welche Einsparungen erreicht man konkret?

Antwort: Drei große Hebel:

1. Risiko reduzieren: Wenn Credentials über hunderte Services verstreut sind, ist es nur eine Frage der Zeit, bis irgendwo ein Data Breach passiert. Und viele verwenden doch mal dasselbe Passwort – darüber hat man dann keine Kontrolle.

2. Weniger Arbeitszeitverlust: Passwort-vergessen-Prozesse kosten Zeit beim User und beim Helpdesk. Wie oft das passiert, kann man messen – und daraus Einsparungen ableiten.

3. Onboarding/Offboarding wird einfacher: Zugriffe zentral zuweisen und zentral entziehen. Rollen ändern, wenn jemand die Abteilung wechselt. Ohne SSO muss man oft jeden Dienst einzeln administrieren – mühsam und fehleranfällig.

Frage: Kann man das zentral administrieren – mit Regeln, zeitlich begrenzten Zugängen usw.?

Antwort: Ja. Man kann Gruppen und Rollen definieren und daraus Zugriffsrechte ableiten. Zusätzlich kann man Prozesse integrieren:
z. B. Bereinigung bei halbfertigen Registrierungen, automatische Rollenvergabe aus dem Onboarding-Prozess, Regeln und Workflows je nach Bedarf.

Frage: Ist das auch interessant, wenn man „nur intern“ arbeitet?

Antwort: Auf jeden Fall – besonders, wenn Anwendungen nicht mehr nur „on premise“ laufen oder wenn es selbst entwickelte Software gibt.
Login und Security kann man selbst sehr leicht falsch machen. Ein SSO-System bringt standardisierte Flows und Protokolle mit und lässt sich sicher und sauber integrieren – auch in Microservice-Architekturen, inklusive technischer Benutzer/Service-to-Service-Authentifizierung.

Abschluss

Ich habe keine weiteren Fragen mehr – danke!