In vielen kleinen Unternehmen hat jedes Tool ein eigenes Passwort. Das CRM ist ein weiterer Login, oft mit einem wiederverwendeten oder geteilten Passwort, und MFA ist bei manchen Nutzern aktiv und bei anderen nicht. Verlässt jemand das Unternehmen, wird das Postfach am letzten Tag abgeschaltet, das CRM-Konto fällt aber erst Wochen später auf. Pomio CRM empfiehlt Single Sign-on (SSO) für das CRM, sobald das Unternehmen bereits ein zentrales Arbeitskonto pro Person hat und das CRM es nutzen kann.
Was Single Sign-on ändert
Mit SSO speichert das CRM kein eigenes Passwort mehr pro Nutzer. Die Mitarbeitenden melden sich mit ihrem Microsoft-365- oder Google-Workspace-Konto an, und dieser Kontoanbieter bestätigt, wer sie sind. Das passt zur Regel, dass jeder CRM-Nutzer ein eigenes Login hat: Das Login ist einfach das Arbeitskonto, das die Person bereits hat, kein geteiltes oder zusätzliches Konto.
MFA an einer Stelle
Die Frage, ob ein CRM MFA braucht, wird mit SSO einfacher. Sie erzwingen die Multi-Faktor-Authentifizierung einmal für das Arbeitskonto, und sie gilt dann für das CRM, die E-Mail und jedes andere verbundene Tool. Es gibt keine separate Einstellung pro Tool, die jemand vergisst einzuschalten.
Ausscheidende verlieren den Zugriff automatisch
Der größte Gewinn liegt am Ende eines Arbeitsverhältnisses. Wird das Arbeitskonto deaktiviert, endet im selben Moment der CRM-Zugriff. Das macht es viel leichter, einen CRM-Nutzer am letzten Arbeitstag zu sperren. Sperren oder deaktivieren Sie den CRM-Nutzer trotzdem selbst und weisen Sie seine offenen Geschäfte neu zu, denn SSO blockiert nur die Anmeldung; es übergibt keine Kunden oder Datensätze.
Was SSO nicht leistet
SSO beantwortet, wer jemand ist, nicht, was die Person darf. Rollen, Sichtbarkeit und Rechte wie Export oder Löschen bleiben im CRM und müssen weiterhin eingerichtet und geprüft werden. SSO macht den Identitätsanbieter außerdem zu einer Abhängigkeit: Ist er nicht verfügbar oder falsch konfiguriert, kann sich niemand anmelden. Deshalb behalten Sie einen Notfall-Administratorzugang, der ohne SSO funktioniert, mit einem starken Passwort und eigener MFA, sicher verwahrt und nur genutzt, wenn SSO ausfällt. Zählen Sie ihn bei der Zahl der Administratoren mit, die Sie zulassen.
Eine praktische Regel für den Mittelstand
Schalten Sie SSO für das CRM ein, wenn alle Nutzer bereits ein zentrales Arbeitskonto haben und das CRM es unterstützt. Deaktivieren Sie das separate CRM-Passwort für normale Nutzer, sobald sich alle erfolgreich per SSO angemeldet haben, damit es keine zwei Wege hinein gibt. Behalten Sie einen dokumentierten Notfall-Admin-Zugang und prüfen Sie bei der vierteljährlichen Zugriffsprüfung, dass er noch funktioniert und niemand sonst ihn nutzt.