SSO- und Sicherheits-Checkliste für Beratungs-KI: 7 Schritte vor dem institutionellen Rollout

Warum Single Sign-on die erste Frage ist – und das erste Missverständnis

Wenn eine Klinik, ein Krankenhaus, eine universitäre Beratungsstelle oder eine Gemeinschaftspraxis ein neues Beratungs-KI-Tool prüft, beginnt das Gespräch fast immer mit derselben Frage: Wie fügt sich dieses Tool in unser bestehendes Konto- und Identitätssystem ein? Single Sign-on (SSO) ist der naheliegende Ausgangspunkt. Doch hier liegt der Haken, der viele Beschaffungsprüfungen ins Stolpern bringt: Ob ein bestimmtes Tool SSO als Standardfunktion unterstützt, ist von Produkt zu Produkt verschieden. Es lohnt sich daher, das allgemeine Konzept früh von der konkreten Unterstützungsfrage zu trennen.

SSO erlaubt es Mitarbeitenden, sich mit einem einzigen Satz organisatorischer Zugangsdaten bei mehreren Systemen anzumelden. Der Reiz liegt auf der Hand – weniger zu verwaltende Passwörter und eine einzige Stelle, um den Zugang zu entziehen, wenn jemand ausscheidet oder wechselt. Doch der tiefere Grund, warum SSO an der Spitze einer Sicherheitsprüfung steht, ist nicht Bequemlichkeit, sondern Kontrolle. Wenn Konten über Tools verstreut sind, kann niemand die Frage beantworten, die im klinischen Kontext am meisten zählt: Wer hat genau jetzt Zugriff auf welche Klientendaten?

Dieser Leitfaden ordnet die Prüfschritte nach Priorität, damit IT- oder Sicherheitsverantwortliche bereits mit dem Wissen in ein Anbietergespräch gehen, was zu fragen ist – und was abzusichern ist, noch bevor dieses Gespräch stattfindet.

Schritt 1: Zuerst die eigene Identity-Provider-Umgebung kartieren

Bevor Sie die SSO-Fähigkeit eines Tools bewerten, schauen Sie nach innen. Welchen Identity Provider (IdP) betreibt Ihre Organisation bereits? Die beiden vorherrschenden Standards sind SAML (Security Assertion Markup Language) und OIDC (OpenID Connect), und der Integrationsweg hängt vollständig davon ab, was Ihr bestehendes Verzeichnis, Ihre Groupware oder Ihre Identitätsplattform unterstützt.

Die frühe Leitfrage ist einfach: Nutzen wir SAML, nutzen wir OIDC oder betreiben wir ein separates, eigenständiges Kontosystem? Das intern zu klären – meist ein fünfminütiges Gespräch mit Ihrem IT-Team – macht jede nachgelagerte Anbieterdiskussion deutlich kürzer und konkreter.

Wenn Sie eine kleinere Praxis ohne eigenen IdP sind, zwingen Sie SSO nicht vorzeitig in den Plan. Realistischer ist es, mit der Kontoverwaltung des Tools selbst zu beginnen und föderierte Identität später zu ergänzen, sobald Ihre Größe es rechtfertigt.

Schritt 2: Wenn SSO nicht bereitsteht, mit Konto- und Rollenverwaltung auf Plan-Ebene beginnen

SSO sollte keine Vorbedingung für die Einführung sein. Wenn es für Ihre Umgebung keine harte Anforderung ist, führt der schnellste Weg zu einem funktionierenden Rollout über die organisatorische Konto- und Rollenverwaltung des Tools.

Ein ausgereifter institutioneller Plan bietet typischerweise Mehrbehandler-Konten mit fein abgestuften Berechtigungen, Werkzeuge für Administration und Teamverwaltung, anpassbare Vorlagen für die Aufnahme- und Dokumentationsformulare Ihrer Organisation sowie praxisnahe Onboarding-Unterstützung. Der institutionelle Plan von Modalia AI bietet genau diese Art von Mehrplatz-Konto- und Berechtigungsverwaltung, sodass ein Team von Behandelnden vom ersten Tag an in einem kontrollierten Rahmen arbeiten kann. Ob eine vollständige SSO-Integration verfügbar ist, klärt man am besten direkt im Beschaffungsgespräch – doch Sie müssen nicht auf diese Antwort warten, um eine Mehrbehandler-Umgebung sicher zu betreiben.

Entscheidend ist, die Annahme aufzulösen, „wir können das nicht einführen, bevor SSO steht“. Etablieren Sie Ihre Betriebsstruktur zuerst über Konto- und Rollenverwaltung; behandeln Sie föderierte Identität als Folgeschritt, der ausgehandelt wird, sobald Ihre IdP-Umgebung und der Rollout-Umfang klar sind. So bleibt die Prüfung in Bewegung, statt zu stocken.

Schritt 3: Festlegen, wer Provisionierung verantwortet – und vor allem Offboarding

Der Schritt, den die meisten Teams unterplanen, ist nicht die Kontoerstellung, sondern die Kontobeendigung. Wenn eine Behandelnde die Organisation verlässt oder in eine andere Abteilung wechselt, hinterlässt jedes nicht sofort entzogene Tool-Konto einen offenen Pfad zu Klientendaten – eine stille, aber ernste Sicherheitslücke.

Legen Sie während der Prüfung zwei Dinge ausdrücklich fest: wer für Provisionierung und Deprovisionierung verantwortlich ist und über welches Verfahren. In einer SSO-gestützten Umgebung bindet das ideale Design den Zugang direkt an den IdP, sodass das Deaktivieren einer Identität dort das Tool sofort abschneidet. Wenn Sie ohne SSO arbeiten, benennen Sie eine namentlich bestimmte Administratorin, die Konten über die Admin-Konsole entzieht, legen Sie eine wiederkehrende Prüfkadenz fest und verschriftlichen Sie beides vor dem Start in Ihrer Betriebsrichtlinie.

Schritt 4: Zugriff nach Rolle trennen – und sensible Daten pseudonymisieren

In einer Beratungs-KI-Prüfung zählen Zugriffstrennung und Pseudonymisierung ebenso viel wie die Authentifizierung selbst. Wenn SSO regelt, wer sich anmeldet, regeln rollenbasierte Berechtigungen, was diese Person sehen kann, sobald sie drin ist. Das sind zwei verschiedene Kontrollen, und ein sicherer Einsatz braucht beide.

Modalia AI behandelt Zugriffstrennung und Pseudonymisierung als feste Sicherheitsrichtlinie: Das System unterscheidet, wer welche Daten erreichen kann, und unterstützt einen Workflow, der identifizierende Informationen aus den Aufzeichnungen entfernt. Bestätigen Sie als Sicherheitsverantwortliche – unabhängig von der SSO-Frage –, dass der Zugriff auf Sitzungsdaten so partitioniert ist, dass er der Rolle und dem Arbeitsbereich jeder Nutzerin entspricht. Die genaue Granularität dieser Berechtigungsstufen lässt sich im Beschaffungsgespräch an Ihre Umgebung anpassen, doch das Prinzip sollte von Anfang an nicht verhandelbar sein.

Schritt 5: Verschlüsselung und eine No-Training-Datenrichtlinie prüfen

Beratungsunterlagen gehören zu den sensibelsten Daten, die eine Organisation verarbeitet, daher müssen Sie neben der SSO-Prüfung bestätigen, wie Daten sowohl im Ruhezustand als auch bei der Übertragung geschützt werden. Achten Sie auf Verschlüsselung im Ruhezustand, Verschlüsselung bei der Übertragung und auf eine ausdrückliche Zusage, dass Klientendaten niemals zum Training von Modellen verwendet werden.

Modalia AI verschlüsselt Daten im Ruhezustand und bei der Übertragung und nutzt Klientendaten nicht für das Modelltraining – und dieses No-Training-Prinzip erstreckt sich auf alle externen Modellanbieter in der Verarbeitungskette. Feinere Details – Schlüsselverwaltung, Aufbewahrungsfristen, konkrete Zertifizierungen – werden typischerweise im Rahmen eines formalen Beschaffungs- und Sicherheitsprüfprozesses geteilt, statt als feste öffentliche Angaben veröffentlicht zu werden. Wenn Ihre Organisation eine Sicherheitsbewertung durchführt, lassen Sie sich diese Details im Anbietergespräch schriftlich geben, damit Sie eine Dokumentation in den Akten haben.

Schritt 6: SSO- und Sicherheitsanforderungen in einem Beschaffungsgespräch zusammenführen

Der letzte Schritt besteht darin, alles Vorangegangene in einer einzigen, gut vorbereiteten Anbieterdiskussion zu bündeln. SSO-Unterstützung, der Umfang der Konto- und Rollenverwaltung, die Datenschutzrichtlinie und die Sicherheitsklauseln, die in einen Auftragsverarbeitungsvertrag gehören, variieren alle mit Ihrer Umgebung und dem Rollout-Umfang – daher ist es weit effizienter, Prioritäten gemeinsam in einer Sitzung zu setzen, als jedem Punkt einzeln nachzujagen.

Vorbereitung beschleunigt das Ganze. Gehen Sie mit drei dokumentierten Dingen hinein: Ihrer IdP-Umgebung (SAML, OIDC oder eigenständig), der Zahl der benötigten Behandlerplätze und der Liste der Dokumente, die Ihre Sicherheitsprüfung verlangt. Damit lassen sich in einem einzigen Gespräch in der Regel sowohl die SSO-Frage als auch Ihre Sicherheitsanforderungen klären.

Prüfprioritäten auf einen Blick

SSO ist nicht die Startlinie eines institutionellen Rollouts – es ist ein Punkt, den Sie im Gespräch eingrenzen, nachdem Sie Kontosteuerung, Rollenberechtigungen und Datenschutz bereits geklärt haben. Arbeiten Sie die Liste in dieser Reihenfolge ab, und Sie können einen sicheren, gut steuerbaren Einsatz beginnen, selbst während die SSO-Antwort noch aussteht. Nutzen Sie diese Checkliste, um die Konfiguration zu formen, die zu Ihrer Organisation passt.