Benutzerauthentifizierung und SSO

tchop bietet flexible und sichere Wege zur Verwaltung der Benutzerauthentifizierung und Zugriffskontrolle. Wir empfehlen dringend, wo immer möglich Single Sign-On (SSO) zu verwenden, da Sie damit Benutzeridentitäten, Rollen und Berechtigungen vollständig in einem zentralen System steuern können. Dies sorgt für eine nahtlose Benutzererfahrung und reduziert die Risiken bei der Verwaltung mehrerer Logins.

Je nach Ihrem Anwendungsfall – ob es sich um eine interne Kommunikations-App für Mitarbeiter oder ein externes Community- oder Mitgliedschaftsmodell handelt – unterstützen wir alle modernen Standards für SSO und Benutzermanagement.

Wichtigste Optionen für Benutzerauthentifizierung und Synchronisierung

1. Standard-Web-Authentifizierung (OAuth2)

Für eine einfache und sichere Web-Authentifizierung unterstützt tchop OAuth2, den am weitesten verbreiteten Standard für App- und Web-Integrationen. OAuth2 macht es einfach, sich mit bestehenden Identitätsanbietern zu verbinden, und gewährleistet die Kompatibilität über verschiedene Plattformen hinweg.

Aber OAuth2 hat auch einige Nachteile. Es bietet beispielsweise eine Möglichkeit, den Zugriff zu delegieren, definiert jedoch keine Rollen, Gruppen oder Berechtigungen. Sie müssen die Zuordnung von Benutzern und Rollen in Ihrem eigenen Backend- oder Identitätssystem vornehmen. Oder Sie müssen unsere Plattform nutzen.

OAuth2 ist eine hervorragende Grundlage, aber für eine sichere Authentifizierung empfehlen wir fast immer OpenID Connect (OIDC).

2. Enterprise SSO (OpenID Connect & SAML 2.0)

Für Organisationen mit Enterprise-Anforderungen bieten wir die SSO-Integration über OpenID Connect oder SAML 2.0 an.

• OpenID Connect (OIDC) ist ideal, wenn Sie bereits moderne Identitätsplattformen wie Azure AD, Okta oder Google Workspace nutzen.

• SAML 2.0 gewährleistet eine breite Kompatibilität mit traditionellen Enterprise-Identitätsanbietern.

Diese Standards ermöglichen es Ihnen, Authentifizierung, Rollen und gruppenbasierten Zugriff direkt in Ihrem eigenen Identitätsmanagementsystem zu verwalten. Wir bieten Integrationen für alle gängigen ID-Anbieter auf dem Markt an, sodass die Integration in der Regel recht einfach ist.

Unsere Empfehlung ist die Verwendung von OpenID Connect, da dies der modernere und sicherere Standard ist.

3. API-basierte Benutzersynchronisierung

Wenn Sie direkte Backend-Integrationen bevorzugen, können Sie mit unserer API Benutzer programmatisch synchronisieren. Diese Option ist nützlich, wenn Benutzerdaten in einem externen System, CRM oder einer Datenbank verwaltet werden und Sie die Erstellung, Aktualisierung oder Löschung von Benutzerkonten in tchop automatisieren möchten.

Im Gegensatz zu SSO melden sich die Benutzer weiterhin über die Authentifizierungsebene von tchop an, nicht über Ihr eigenes System.

Diese Methode hat einige Vorteile: Sie entscheiden genau, wann und wie Benutzer erstellt, aktualisiert oder entfernt werden. Sobald die Integration eingerichtet ist, ist keine manuelle Arbeit mehr erforderlich, und sie funktioniert gut bei großen Benutzerzahlen mit häufigen Änderungen (z. B. Tausende von Benutzern, die täglich synchronisiert werden).

Sie erfordert auch nicht, dass Ihre Organisation einen Identitätsanbieter (z. B. Azure AD, Okta) betreibt, und sie ist nützlich, wenn Ihre Benutzer nicht alle derselben Unternehmensdomäne angehören (z. B. externe Communities, B2C-Modelle).

Die Nachteile: Sie erfordert einen gewissen technischen Aufwand auf Basis einer halbwegs modernen API. Je nachdem, wie Sie die Synchronisierungsaufträge planen, sind die Benutzerdaten möglicherweise nicht vollständig in Echtzeit verfügbar.

4. Webhook-basierte Synchronisierung

Für einfachere Anwendungsfälle bieten wir auch einfache Möglichkeiten zur Synchronisierung von Benutzerdaten über Webhooks. Wann immer sich Benutzerdaten in Ihrem System ändern, kann ein Webhook automatische Updates in tchop auslösen. Dies ist der flexibelste und unkomplizierteste Weg, um Benutzerinformationen konsistent zu halten.

Auch hier melden sich die Benutzer weiterhin über die Authentifizierungsebene von tchop an, nicht über Ihr eigenes System.

Der Vorteil: Dies erfordert keinen komplexen API-Client oder tiefe Integration, es funktioniert mit fast jedem System, das ausgehende Webhooks unterstützt.

Der Nachteil: Es wird eine gewisse Verzögerung bei der Synchronisierung der Benutzerverzeichnisse geben. Für eine grundlegende Benutzersynchronisierung (Erstellen/Aktualisieren/Löschen) ist dies in Ordnung, für komplexe Workflows jedoch nicht ideal. Es ist schwieriger, erweiterte Attribute, große Datensätze oder Massenaktualisierungen zu verarbeiten.

Mischmodelle: Web SSO + Mobile Login

In einigen Enterprise-Szenarien bevorzugen Kunden einen hybriden Ansatz für die Authentifizierung.

• SSO für die Web-App: Benutzer authentifizieren sich über den Identitätsanbieter ihres Unternehmens (SSO mit OIDC oder SAML 2.0), wenn sie auf die Web-Plattform innerhalb ihres eigenen Netzwerks zugreifen (mit zusätzlichem Zugriffsschutz durch IP-Whitelisting). Dies gewährleistet eine zentralisierte Kontrolle über den Zugriff und setzt die Sicherheitsrichtlinien des Unternehmens durch.

• Nativer Login für mobile Apps: Aus Sicherheitsgründen schränken einige Organisationen den SSO-Zugriff auf unmanaged oder privaten Mobilgeräten ein. In solchen Fällen ermöglichen wir es den Benutzern, sich mit den Standard-tchop-Zugangsdaten in den mobilen Apps anzumelden, während die Web-App weiterhin strikt unter SSO bleibt.

Dieses gemischte Setup bietet das Beste aus beiden Welten:

• Volle Compliance auf Enterprise-Niveau, wo erforderlich (Web-Zugriff).

• Maximale Flexibilität und Benutzerfreundlichkeit für mobile Nutzer, selbst auf privaten Geräten.

Wir unterstützen diese Arten von hybriden Authentifizierungsmodellen und können sie an Ihre spezifischen Compliance- oder IT-Sicherheitsanforderungen anpassen.

Empfohlenes Setup

Für die meisten Kunden empfehlen wir die Nutzung von SSO über OIDC oder SAML 2.0, um:

• Das Identitäts- und Rollenmanagement zu zentralisieren

• Starke Authentifizierungsrichtlinien durchzusetzen (z. B. MFA)

• Das Risiko von passwortbezogenen Problemen zu reduzieren

• Die Einhaltung interner IT-Sicherheitsstandards zu gewährleisten

Tipp: Unser Team kann Ihnen bei der Entscheidung helfen, welche Integrationsmethode am besten zu Ihrem Setup passt, und Sie durch die Implementierung führen.