Google verwendet für die Nutzerauthentifizierung einen SAML-Anbieter (Security Assertion Markup Language). Wenn sich Nutzer in Google Workspace anmelden, werden sie auf der Google Workspace-Hauptseite zu einem Bildschirm weitergeleitet, um ihre Identität zu bestätigen.
Wie oft sehen Nutzer die Authentifizierungsseite?
Um die Nutzer nicht zu stören, wird dieser Bildschirm nur einmal pro Konto auf einem Gerät angezeigt. Nachdem der Nutzer seine Identität in einem bestimmten Chrome-Browser oder auf einem bestimmten Gerät bestätigt hat, kann er sich ohne weitere Identitätsüberprüfung anmelden.
Hinweis: Wenn Sie die Option Identitätsbestätigungen mit SSO aktivieren auswählen, werden für SSO-Nutzer möglicherweise zusätzliche Schritte zur Identitätsbestätigung angezeigt. Auch die 2‑Faktor-Authentifizierung wird aktiviert, falls sie für Ihr Google-Konto konfiguriert ist. Normalerweise ist die Bestätigung in zwei Schritten für Nutzer, die sich über SSO anmelden, deaktiviert.
Wozu dient dieses Verfahren?
- Schutz vor Phishingangriffen: Auf dem Anmeldebildschirm wird verhindert, dass sich Nutzer des Chrome-Browsers unwissentlich in einem Konto anmelden, das von einem Angreifer erstellt und kontrolliert wird. Beispielsweise könnte durch eine Phishing-Kampagne versucht werden, einen Nutzer dazu zu bringen, sich bei einem von einem Angreifer kontrollierten Google-Konto anzumelden. Bei dieser Art von Angriff kann die SAML-Einmalanmeldung (SSO) verwendet werden, da für die Anmeldung keine Nutzerinteraktion erforderlich ist. Um die Sicherheit der Nutzerdaten zu gewährleisten, haben wir daher die Authentifizierungsseite hinzugefügt.
- Konsistente Identität: Die neue Sicherheitsfunktion ist Teil eines größeren Projekts zur Schaffung einer konsistenten Identität für Google Workspace-Dienste (wie Gmail) und native Chrome-Browserdienste wie die Chrome-Synchronisierung. Für angemeldete Nutzer wird es dadurch noch einfacher, native Chrome-Browserfunktionen optimal zu nutzen. Dafür ist jedoch ein zusätzlicher Schutz bei der Authentifizierung erforderlich. Durch die neue Seite wird dieser Schutz gewährleistet und die Wahrscheinlichkeit verringert, dass Angreifer die SAML-SSO missbrauchen, um Nutzer in Phishing-Konten anzumelden.
Kann ich die Seite deaktivieren?
Ja, Sie können die Authentifizierungsseite deaktivieren. So lässt sich beispielsweise die Anzahl der Interaktionen zwischen Ihren Nutzern und Google reduzieren.
Wenn Sie die Seite für Ihre Organisation deaktivieren möchten, verwenden Sie den HTTP-Header "X-GoogApps-AllowedDomains", um Domains zu identifizieren, deren Nutzer auf Google-Dienste zugreifen können. Nutzer in diesen Domains sehen den zusätzlichen Bildschirm nicht. Google geht davon aus, dass diese Konten von Ihren Nutzern als vertrauenswürdig eingestuft werden.
Sie können den Header auch über die Gruppenrichtlinie "AllowedDomainsForApps" einrichten.