SAML oder OpenID Connect: Das richtige Protokoll für Microsoft Entra ID wählen

Von Mirko Peters · 2026-10-30

Vergleichen Sie die Protokolle SAML und OpenID Connect (OIDC) in Microsoft Entra ID. Erfahren Sie die wichtigsten technischen Unterschiede, typische Anwendungsfälle und wann Sie welchen Standard wählen sollten.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

SAML und OpenID Connect (OIDC) sind die beiden wichtigsten Authentifizierungsprotokolle für unternehmensweites Single Sign-On in Microsoft Entra ID. Welches Protokoll passt, hängt vom Alter der Anwendung, den architektonischen Anforderungen und den Entwicklungsprozessen ab. Dabei gilt es, die Kompatibilität mit älterer Unternehmenssoftware gegen moderne Cloud-native Entwicklungsstandards abzuwägen.

Das Wichtigste in Kürze

• SAML ist ein XML-basiertes Unternehmensprotokoll und eignet sich besonders für ältere Anwendungen und Legacy-Software.
• OpenID Connect (OIDC) ist ein schlankes, JSON-basiertes Protokoll auf Basis von OAuth 2.0 und für moderne Web- und mobile Apps konzipiert.
• Microsoft Entra ID unterstützt beide Protokolle nativ. Administratoren können damit ältere und moderne Werkzeuge gleichzeitig absichern.
• Token-Diebstahl und Kompromittierung von Anmeldedaten sind für beide Protokolle die zentralen Angriffsvektoren. Deshalb sind robuste MFA-Richtlinien erforderlich.
• Die Wahl zwischen SAML und OIDC hängt von der Kompatibilität der Anwendung, dem Modernisierungsgrad der Entwicklung und den Compliance-Vorgaben des Unternehmens ab.

SAML im Unternehmensumfeld verstehen

Security Assertion Markup Language, allgemein als SAML bekannt, ist seit weit über einem Jahrzehnt das unangefochtene Arbeitspferd von Unternehmensanmeldesystemen. Als große Unternehmen einen Weg brauchten, Mitarbeitenden den Zugriff auf Dutzende interne und externe Systeme zu ermöglichen, ohne dass ständig Passwörter eingegeben werden mussten, bot SAML das robuste Gerüst, um komplexe Verzeichnisintegrationen zu bewältigen.

Im Kern verpackt SAML Authentifizierungsnachrichten und Benutzerassertionen in einem sperrigen, stark strukturierten Format namens XML. XML ist für Entwickler wegen seiner Ausführlichkeit oft lästig, eignet sich aber gut, um große Mengen detaillierter Informationen über einen Benutzer zu transportieren. In einer typischen SAML-Antwort kann das Token die genaue Abteilung eines Mitarbeitenden, die Berufsbezeichnung, die Organisationshierarchie, Sicherheitsgruppenzugehörigkeiten und konkrete Freigabestufen enthalten. Große Anbieter von Unternehmenssoftware haben ihre Plattformen auf dieser Fähigkeit aufgebaut, weil IT-Abteilungen eine feingranulare Kontrolle über Berechtigungen bereits beim Anmeldevorgang verlangten.

Für Administratoren in Microsoft Entra ID taucht SAML häufig bei der Integration älterer lokaler Anwendungen, spezialisierter ERP-Systeme oder Enterprise-SaaS-Plattformen auf, die noch vor der mobilen Cloud-Ära entstanden sind. Wenn ein älteres System nur SAML unterstützt oder strenge Compliance-Vorgaben und Beschaffungsverträge seine Verwendung festschreiben, konfigurieren Administratoren eine SAML-Verbindung über die Galerie für Unternehmensanwendungen, um die Kompatibilität sicherzustellen.

Der Aufstieg von OpenID Connect für moderne Apps

Als Software von monolithischen Desktop-Installationen zu cloudgehosteten Web-Apps, Single-Page-Applications (SPAs) und mobilen Apps überging, erwies sich die schwerfällige XML-Struktur von SAML für die schnelle Entwicklung als zu umständlich. So entstand OpenID Connect, allgemein als OIDC abgekürzt.

OIDC baut direkt auf OAuth 2.0 auf und trennt Authentifizierung (Nachweis, wer Sie sind) von Autorisierung (Entscheidung, worauf Sie zugreifen dürfen). Statt sperriger XML-Dateien verpackt OIDC Claims und Identitätsinformationen in kompakte JSON Web Tokens (JWTs). Dieses schlanke Design macht es für moderne Entwickler außergewöhnlich einfach, OIDC in Web- und Mobile-Frameworks zu integrieren.

Wenn Sie sich mit Microsoft Entra ID bei einer modernen SaaS-Anwendung oder einer individuell entwickelten Cloud-Anwendung anmelden, übernimmt OIDC im Hintergrund den zugrunde liegenden Token-Austausch. Entwickler bevorzugen OIDC, weil es sich natürlich in moderne Webarchitekturen einfügt, weniger Netzwerkressourcen beansprucht und in Browserumgebungen schnell verarbeitet werden kann. Die Standardempfehlung von Microsoft für die Entwicklung neuer Cloud-Anwendungen sieht OIDC ausdrücklich vor, und zwar wegen seiner Flexibilität und der nahtlosen Integration in moderne Entwicklungs-Stacks.

SAML- und OIDC-Architekturen im Vergleich

Um SAML und OpenID Connect zu bewerten, sollten Sie über die Akronyme hinausblicken und untersuchen, wie beide Protokolle die Datenübertragung, die Kompatibilität mit Anwendungen und den administrativen Aufwand handhaben. Ein hilfreiches Bild: SAML gleicht einem förmlichen, mit vielen Stempeln versehenen Rechtsdokument, das per Einschreiben zugestellt wird, während OIDC einer schnellen, verschlüsselten Textnachricht ähnelt, die sofort auf einem Mobilgerät ankommt.

Die folgende Tabelle fasst die wichtigsten architektonischen Unterschiede zusammen:

• Datenformat: SAML verwendet XML, OIDC verwendet JSON (JWT).
• Zugrunde liegendes Framework: SAML ist eigenständig, OIDC baut auf OAuth 2.0 auf.
• Hauptanwendungsfall: SAML eignet sich für klassische Unternehmensumgebungen und Legacy-SaaS, OIDC bildet die Grundlage für moderne Web-, Mobil- und Single-Page-Apps.
• Entwicklerkomplexität: SAML erfordert tiefes Parsen des Protokolls, OIDC bietet eine schlanke, intuitive API-Integration.

Trotz dieser Unterschiede ist keines der beiden Protokolle grundsätzlich überlegen. Sie sind lediglich Lösungen, die für unterschiedliche Epochen der Softwareentwicklung konzipiert wurden. Viele Organisationen betreiben hybride Umgebungen, in denen Legacy-Tools weiterhin auf SAML setzen, während neu bereitgestellte Cloud-Anwendungen OIDC nutzen. Beide Protokolle laufen dabei innerhalb von Microsoft Entra ID nebeneinander, ohne dass es zu Konflikten kommt.

Sicherheitsaspekte und Token-Verwaltung

Unabhängig davon, ob Ihre Organisation auf SAML oder OIDC setzt, beruht die grundlegende Sicherheitslage vollständig auf der Token-Validierung und dem Lebenszyklusmanagement. In einer modernen Single-Sign-on-Architektur ist das wertvollste Ziel für einen Angreifer nicht mehr ein statisches Passwort, sondern ein aktives Sitzungstoken.

Da Token direkten Zugriff gewähren, ohne erneut nach Anmeldedaten zu fragen, nutzen versierte Angreifer Phishing-Kits und Adversary-in-the-Middle-Angriffe, um aktive Token abzufangen. Um dieses Risiko in Microsoft Entra ID zu verringern, müssen Administratoren robuste Richtlinien für die Multi-Faktor-Authentifizierung (MFA) durchsetzen, Conditional Access nutzen, um die Gerätekonformität zu prüfen, und sicherstellen, dass die Gültigkeitsdauer der Token angemessen begrenzt ist.

Zugriffs- und ID-Token sind bewusst kurzlebig und haben häufig eine Standardlaufzeit von etwa einer Stunde. Daher müssen Anwendungen auf Aktualisierungstoken oder erneute Authentifizierungsprüfungen zurückgreifen, um Benutzersitzungen sicher aufrechtzuerhalten. Ob Anwendungen XML-Assertions in SAML auswerten oder JSON-Claims in OIDC validieren: Sie müssen die kryptografischen Signaturen anhand vertrauenswürdiger Zertifikate des Identitätsanbieters konsequent prüfen, um Fälschungen zu verhindern.

Fazit

Wer Identitäten in Microsoft Entra ID verwaltet, sei es als Cloud-Architekt oder IT-Administrator, sollte die Unterschiede zwischen SAML und OpenID Connect genau kennen. Protokolldebatten können hitzig werden, doch das Verständnis der technischen Unterschiede hilft Teams, pragmatische Architekturentscheidungen auf Basis von Anwendungskompatibilität und Sicherheitsanforderungen zu treffen. Wenn Sie die Hintergründe zu Identity Providern, Token-Lebenszyklen und moderner Cloud-Sicherheit vertiefen möchten, hören Sie sich die vollständige Episode an und abonnieren Sie den Podcast für weitere Expertenhinweise zum Microsoft-365-Ökosystem.

Häufige Fragen

Was ist der wichtigste technische Unterschied zwischen SAML und OpenID Connect?

SAML verwendet XML, um Authentifizierungsdaten und Claims zu verpacken, was es schwerfälliger und komplexer macht. OpenID Connect nutzt dagegen JSON Web Tokens (JWTs) auf Basis von OAuth 2.0 und bietet dadurch ein schlankeres und schnelleres Entwicklungserlebnis.

Kann Microsoft Entra ID SAML und OIDC gleichzeitig verarbeiten?

Ja, Microsoft Entra ID unterstützt beide Protokolle vollständig. Organisationen betreiben häufig SAML für klassische Unternehmensanwendungen und gleichzeitig OIDC für moderne Cloud-native-Software im selben Mandanten.

Wann sollte sich eine Organisation für OpenID Connect statt SAML entscheiden?

Organisationen sollten OpenID Connect wählen, wenn sie moderne Webanwendungen, Single-Page-Applications (SPAs) und mobile Apps entwickeln oder einbinden, die schnelle, schlanke Token-Austausche und eine vereinfachte Entwicklerimplementierung erfordern.

Gefährdet die Wahl von SAML statt OIDC die Sicherheit in Microsoft Entra ID?

Nein, beide Protokolle sind sicher, wenn sie korrekt konfiguriert sind. Ihre Sicherheit hängt jedoch stark von einer robusten Multi-Faktor-Authentifizierung (MFA) und vom Schutz der Token vor Diebstahl oder Session Hijacking ab.