SaaS für Großkunden: SSO, Rollen und Audit-Log einplanen
Konzernkunden prüfen eine SaaS-Plattform vor der Unterschrift auf Single Sign-On, verständliche Rollen, ein Audit-Log sowie Virenscan, Datenexport und Löschung. Wer diese Enterprise-Anforderungen früh einplant, beantwortet den Sicherheitsfragebogen mit Belegen statt mit Ankündigungen.
Für ein Startup reicht die Anmeldung mit E-Mail und Passwort. Ein Konzern mit 3.000 Mitarbeitern will dagegen keine 3.000 Passwörter in einem weiteren System verwalten und fragt außerdem, wer beim Anbieter auf seine Daten zugreifen kann. Diese Fragen kommen meist als Fragebogen aus IT-Sicherheit und Datenschutz, nachdem die Fachabteilung sich für das Produkt entschieden hat.
Die rechtliche Wurzel vieler Fragen liegt in Art. 28 Abs. 1 DSGVO: Ein Unternehmen darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Fragebogen ist der Weg, diese Garantien zu prüfen. Welche Funktionen ihn beantworten und in welcher Reihenfolge sie entstehen sollten, zeigt dieser Beitrag. Für SaaS-Plattformen und Kundenportale gehören diese Bausteine in die Planung, bevor der erste Großkunde fragt.
Einkauf und IT-Sicherheit
Woran Verträge mit Großkunden hängen
Viele Sicherheitsfragebögen kreisen um fünf Themen, hier aus Sicht des Kunden formuliert: Wie melden sich unsere Mitarbeiter an, und was passiert beim Austritt? Wer darf was sehen und ändern? Lässt sich nachweisen, wer was getan hat? Wie werden hochgeladene Dateien geprüft? Wie bekommen wir unsere Daten heraus, und wann werden sie gelöscht?
Dazu kommen Vertragsthemen wie der Auftragsverarbeitungsvertrag, der Serverstandort und die Trennung der Kundendaten. Wie Daten mehrerer Kunden auf einer Plattform sauber getrennt werden, beschreibt der Beitrag Mandantenfähigkeit. Dieser Beitrag setzt dort an, wo die Trennung steht und der einzelne Großkunde eigene Anforderungen mitbringt.
Wer eine Funktion erst baut, wenn der Fragebogen vorliegt, verlängert die Verhandlung um die Bauzeit. Wer sie vorher gebaut hat, trägt „vorhanden seit Version X“ ein und legt einen Screenshot bei.
Anmeldung
Single Sign-On per SAML oder OpenID Connect
Bei Single Sign-On (SSO) meldet sich der Mitarbeiter beim Identitätsdienst seines Arbeitgebers an, meist Microsoft Entra ID, Okta oder Google Workspace, und Ihre Plattform vertraut dessen Bestätigung. Verlässt jemand das Unternehmen, sperrt die IT ein Konto, und der Zugang zu Ihrer Plattform ist mit gesperrt.
Zwei Standards teilen sich das Feld. SAML 2.0 ist seit März 2005 ein OASIS-Standard und tauscht signierte XML-Nachrichten über den Browser aus. Es ist in Konzernen weit verbreitet. OpenID Connect baut auf OAuth 2.0 auf, arbeitet mit JSON-Tokens und ist für mobile Apps und neue Anwendungen das handlichere Verfahren; die aktuelle Fassung der Kernspezifikation stammt vom 15.12.2023. Eine Plattform für Großkunden sollte beides können, weil der Kunde entscheidet, was sein Identitätsdienst anbietet.
Drei Punkte machen den Unterschied zwischen einem SSO, das im Vertriebsgespräch funktioniert, und einem, das im Betrieb hält:
Zuordnung über die Domain. SSO wird je Mandant eingerichtet. Wer sich mit einer Adresse der Kundendomain anmeldet, wird zum Identitätsdienst des Kunden weitergeleitet. Die Domain gilt erst nach einem Nachweis als bestätigt, sonst könnte jeder Mandant fremde Domains beanspruchen.
Konten anlegen und entziehen. Bei der ersten Anmeldung entsteht das Konto automatisch. Für das Entziehen ohne Anmeldung gibt es SCIM, ein Protokoll nach RFC 7643 und 7644: Der Identitätsdienst legt Nutzer und Gruppen über die Endpunkte /Users und /Groups selbst an, ändert und deaktiviert sie.
Zertifikatswechsel. SAML-Nachrichten werden signiert. Microsoft Entra ID erzeugt das Signaturzertifikat für eine neue SAML-Anwendung mit drei Jahren Laufzeit und erinnert 60, 30 und 7 Tage vor Ablauf, aber nur die eingetragenen Adressen beim Kunden. Kann Ihre Plattform je Mandant nur ein Zertifikat speichern, scheitert die Anmeldung aller Mitarbeiter dieses Kunden in dem Moment, in dem er das neue aktiviert. Zwei hinterlegte Zertifikate je Mandant und eine eigene Erinnerung vor dem Ablaufdatum verhindern das.
In Laravel lässt sich OpenID Connect über Laravel Socialite und die Adapter der Community-Seite Socialite Providers anbinden, SAML über eigene Pakete. Unser Projekt Cardeleine zeigt, wie das zusammenwächst: Die Plattform für digitale Visitenkarten wird seit November 2021 von uns weiterentwickelt, ist bei Großkunden aus Beauty, Finance und Beratung produktiv im Einsatz und bietet ihnen SAML2-SSO mit Anbindung an Microsoft Azure. Beim API-Backend Athena für einen Münchner Robotik-Konzern war das Microsoft-SSO an die Konzern-Identität Teil der rund acht Monate bis zur Übergabe.
Wer die Anmeldung an einen proprietären Identitätsdienst eines Cloud-Anbieters bindet, statt auf diese offenen Standards zu setzen, macht einen späteren Wechsel teuer, wie der Beitrag Vendor-Lock-in: Auch Cloud ist eine Falle beschreibt. Für Kunden ohne eigenen Identitätsdienst bleibt die lokale Anmeldung, dann mit Mehr-Faktor-Anmeldung oder Passkeys.
Berechtigungen
Rollen und Rechte, die Fachabteilungen verstehen
Ein Konzern verteilt Rechte nach Aufgaben: Einkauf, Marketing, Personalabteilung, externe Agentur. Rollen sollten deshalb so heißen, wie der Kunde arbeitet, und ihre Rechte sollten in der Oberfläche lesbar sein: „Darf Visitenkarten aller Mitarbeiter bearbeiten, darf keine Rechnungen sehen.“
Tragfähige Grundregeln eines rollenbasierten Rechtemodells sind eine kleine Zahl fester Rollen, die der Kunde selbst vergibt, getrennte Rechte für Lesen, Ändern, Exportieren und Verwalten sowie eine Rolle für Prüfer, die alles sehen und nichts ändern darf. Rollen aus dem Identitätsdienst des Kunden lassen sich über Gruppen übernehmen, sodass die IT Rechte an einer Stelle pflegt.
Laravel bietet dafür zwei Werkzeuge: Gates für Prüfungen ohne Bezug zu einem Datensatz, etwa „darf die Verwaltung öffnen“, und Policies, die alle Regeln zu einem Modell bündeln. Eine Stelle verdient beim Prüfen besondere Aufmerksamkeit: Ein Gate::before, das für Administratoren immer true zurückgibt, gilt vor allen anderen Prüfungen. Gibt es diese Abkürzung für das eigene Support-Team, sieht der Support alle Mandanten. Für Großkunden sollte dieser Zugriff an eine ausdrückliche Freigabe des Kunden gebunden sein und im Audit-Log erscheinen.
Nachvollziehbarkeit
Audit-Log und Nachvollziehbarkeit
Ein Audit-Log beantwortet im Nachhinein die Frage: Wer hat wann was geändert, von wo, und mit welchem Ergebnis? Es unterscheidet sich vom technischen Fehlerprotokoll, weil es fachliche Ereignisse festhält und für den Kunden lesbar sein muss, oft als eigene Ansicht und als Export.
Hinein gehören Anmeldungen und Fehlversuche, Änderungen an Rollen und Rechten, Änderungen an SSO-Einstellungen, Exporte, Löschungen, Einladungen und jeder Zugriff des Anbieter-Supports auf Kundendaten. Der Baustein OPS.1.1.5 Protokollierung des BSI-IT-Grundschutz-Kompendiums beschreibt, was eine Protokollierung leisten soll, und eignet sich als Gliederung für die Antwort im Fragebogen.
Ein Eintrag enthält nur Verweise auf Personen, keine Klarnamen: So bleibt das Protokoll lesbar, wenn ein Nutzer später gelöscht wird. IP-Adressen sind personenbezogene Daten; für sie gilt nach Art. 5 Abs. 1 lit. e DSGVO eine begrenzte Speicherdauer, die im Auftragsverarbeitungsvertrag stehen sollte. Ein Eintrag kann so aussehen:
{
"id": "01J8Z6Q4M2K7P9X3V5N1C0T8RB",
"occurred_at": "2026-09-09T07:42:13Z",
"tenant_id": "tnt_4821",
"actor": {
"type": "user",
"id": "usr_19034",
"auth": "saml",
"idp": "entra-id"
},
"action": "role.assigned",
"target": {
"type": "user",
"id": "usr_20577"
},
"changes": {
"role": { "from": "editor", "to": "tenant_admin" }
},
"context": {
"ip": "203.0.113.24",
"request_id": "req_7f3a9c",
"support_access": false
},
"result": "success"
}
Dateien und Daten
Virenscan, Datenexport, Löschkonzept
Diese drei Punkte sind überschaubar zu bauen, wenn die Mandantentrennung stimmt.
Virenscan. Hochgeladene Dateien werden geprüft, bevor andere Nutzer sie öffnen können. Bei Cardeleine übernimmt ClamAV als Virenscanner diese Prüfung für hochgeladene Dateien. Sinnvoll ist ein Ablauf, bei dem die Datei bis zum Ergebnis in einem Quarantäne-Verzeichnis bleibt und ein Fund im Audit-Log landet.
Datenexport. Der Kunde muss seine Daten in einem maschinenlesbaren Format herausbekommen, ohne den Support zu bitten. Seit 12.09.2025 verlangt der EU Data Act von Anbietern von Datenverarbeitungsdiensten zusätzlich, den Wechsel zu einem anderen Anbieter zu ermöglichen; was das für die Wahl zwischen Standard- und Eigenentwicklung heißt, steht im Beitrag Standardsoftware oder Individualsoftware.
Löschkonzept. Art. 28 Abs. 3 lit. g DSGVO verlangt, dass der Auftragsverarbeiter nach Ende der Leistung alle Daten löscht oder zurückgibt. Technisch heißt das: Löschung je Mandant, einschließlich Dateien, Suchindex und Zwischenspeicher, mit einer festgelegten Frist für Sicherungskopien. Der Baustein CON.6 Löschen und Vernichten im IT-Grundschutz hilft, diese Fristen zu begründen.
Wer seine Plattform darüber hinaus nach einem anerkannten Katalog prüfen lassen will, findet beim BSI den Kriterienkatalog C5 für Cloud-Dienste. Ein Testat danach kostet Zeit und Geld; ob ein Kunde es verlangt, steht meist früh im Fragebogen.
Bauplan
Reihenfolge: was zuerst gebaut werden sollte
Die Reihenfolge folgt einer klaren Logik: zuerst, was alle späteren Bausteine brauchen, dann, was die meisten Fragebögen abfragen, zuletzt, was einzelne Kunden ausdrücklich verlangen. Sie gibt unsere Einschätzung wieder und folgt keiner Norm.
Rollen und Rechte über Policies. Ohne sauberes Rechtemodell lassen sich weder SSO-Gruppen zuordnen noch Supportzugriffe begrenzen.
Audit-Log für Anmeldungen, Rechte und Exporte. Es dokumentiert alles, was danach gebaut wird, ab dem ersten Tag.
SSO per OpenID Connect und SAML je Mandant, mit Domain-Nachweis und zwei Zertifikatsplätzen.
Export und Löschung je Mandant, einschließlich Dateien und Sicherungen.
Virenscan für Uploads, sobald Nutzer Dateien mit anderen teilen.
SCIM-Anbindung, wenn der erste Kunde Konten automatisch anlegen und entziehen will.
Prüfbericht oder Testat, wenn Kunden aus regulierten Branchen es verlangen.
Zu jedem Baustein gehört ein Absatz in einer Sicherheitsbeschreibung, die Sie dem Fragebogen beilegen. So muss Ihr Vertrieb den nächsten Fragebogen nicht von vorn beantworten.
Fragen aus der Prüfung
Häufige Fragen
-
Beide lassen einen Identitätsdienst die Anmeldung bestätigen. SAML 2.0 arbeitet mit signierten XML-Nachrichten und ist in Konzernumgebungen weit verbreitet. OpenID Connect baut auf OAuth 2.0 auf, nutzt JSON-Tokens und passt besser zu mobilen Apps und neuen Anwendungen. Für Ihre Plattform zählt, welches Verfahren der Identitätsdienst Ihres Kunden anbietet.
-
Gesetzlich vorgeschrieben ist es nicht. Wer an Unternehmen mit eigener IT-Abteilung verkauft, wird aber häufig danach gefragt, weil die Kunden Konten an einer Stelle verwalten und beim Austritt sperren wollen. Für Plattformen mit Privatkunden oder kleinen Betrieben reicht eine sichere lokale Anmeldung mit zweitem Faktor oder Passkeys.
-
Anmeldungen und Fehlversuche, Änderungen an Rollen, Rechten und Sicherheitseinstellungen, Exporte, Löschungen und jeder Zugriff des Anbieter-Supports. Jeder Eintrag nennt Zeitpunkt in UTC, Mandant, handelnde Person als Kennung, Aktion, betroffenes Objekt und Ergebnis. Klarnamen gehören nicht hinein, damit das Protokoll die Löschung eines Nutzers übersteht.
-
Eine feste Frist für alle Fälle gibt es nicht. Die DSGVO verlangt, personenbezogene Daten wie IP-Adressen nur so lange zu speichern, wie es der Zweck erfordert. Legen Sie die Frist im Auftragsverarbeitungsvertrag mit dem Kunden fest und bauen Sie die automatische Löschung danach gleich mit.
Bereit für den ersten Sicherheitsfragebogen
Die beste Grundlage ist der Fragebogen Ihres Großkunden oder Ihre Plattform-Dokumentation. Daran zeigen wir, welche Antworten schon belegbar sind und welche Bausteine in welcher Reihenfolge fehlen.
Nachweise
Quellen und Stand
Stand: 09.09.2026. Standards laut OASIS, OpenID Foundation und IETF, Framework-Funktionen laut Laravel-13-Dokumentation, Zertifikatsverhalten laut Microsoft Learn. Die Hinweise zu DSGVO und Data Act beschreiben die Rechtslage zu diesem Datum und sind keine Rechtsberatung.
Weiterlesen: Welche Schwachstellen in Webanwendungen am häufigsten vorkommen, zeigt OWASP Top 10 2025 (12.10.2026).
Artikel teilen