Kurz gesagt
Für neue Anbindungen ist OIDC meist die einfachere Wahl: JSON statt XML, Discovery-URL, gute Unterstützung für Mobile- und API-Clients. SAML nehmen Sie, wenn der Identity Provider oder die Organisation es vorgibt – etwa ADFS-Umgebungen oder Hochschulföderationen.
| Kriterium | SAML | OIDC |
|---|---|---|
| Datenformat | XML-Assertions, signiert (optional verschlüsselt) | JSON Web Tokens (JWT), signiert |
| Transport | Browser-Redirect und HTTP-POST zum SP | Redirects plus Back-Channel-Aufruf am Token-Endpoint |
| Konfiguration | Metadaten-XML austauschen, Zertifikate hinterlegen | Client-ID, Secret und Discovery-URL /.well-known/openid-configuration |
| Mobile und native Apps | Umständlich, praktisch nur über eingebetteten Browser | Vorgesehen, mit Authorization Code Flow und PKCE |
| APIs und Tokens | Nicht dafür gedacht | Access Tokens für APIs gehören zum Konzept (OAuth 2.0) |
| Logout | Single Logout spezifiziert, in der Praxis oft unzuverlässig | RP-initiated Logout, ebenfalls nicht immer konsistent umgesetzt |
| Verbreitung | Enterprise, ADFS, Hochschul- und Behördenföderationen | Moderne IdPs, Cloud-Dienste, Keycloak, Entra ID, Authentik |
| Fehlersuche | Base64-kodiertes XML im POST, Browser-Tools nötig | Lesbare Tokens, Fehler meist direkt in der Redirect-URL |
| Nextcloud-App | user_saml (SSO & SAML authentication) | user_oidc (OpenID Connect user backend) |
SAML passt, wenn …
- der IdP nur SAML anbietet, etwa ein älteres ADFS oder eine Föderation wie DFN-AAI.
- die Sicherheitsabteilung signierte und verschlüsselte Assertions ausdrücklich verlangt.
- bereits viele Anwendungen per SAML angebunden sind und das Team die Abläufe kennt.
- nur Browser-Logins nötig sind und keine API-Zugriffe mit Tokens.
OIDC passt, wenn …
- Sie eine neue Anbindung bauen und der IdP beides kann.
- Mobile Apps, Desktop-Clients oder APIs ebenfalls authentifiziert werden sollen.
- Sie Gruppen und Attribute als Claims einfach durchreichen wollen.
- das Team Konfiguration und Fehlersuche schnell selbst erledigen soll.
Stolpersteine aus dem Betrieb
- Abgelaufene SAML-Signaturzertifikate: Der Login bricht für alle gleichzeitig ab. Ablaufdaten im Monitoring erfassen.
- Uhrzeit-Abweichung zwischen IdP und Dienst: Assertions und Tokens gelten als noch nicht oder nicht mehr gültig. NTP auf allen Systemen prüfen.
- Falsches Attribut als Benutzer-ID: Ändert sich später E-Mail oder Name, entstehen doppelte Konten. Eine stabile, unveränderliche ID wählen.
- WebDAV-, CalDAV- und Sync-Clients können kein Browser-SSO. In Nextcloud dafür App-Passwörter bzw. den Login Flow einplanen.
Häufige Fragen
Kann Nextcloud SAML und OIDC gleichzeitig?
Technisch lassen sich beide Apps installieren, im Betrieb sollten Sie aber pro Instanz einen Weg festlegen. Zwei parallele Login-Wege erzeugen schnell doppelte Konten und unklare Zuständigkeiten.
Ist SAML unsicherer als OIDC?
Nicht grundsätzlich. Beide sind sicher, wenn sie korrekt konfiguriert sind. Die meisten Probleme entstehen durch Fehlkonfiguration, etwa fehlende Signaturprüfung oder zu lange Token-Laufzeiten, nicht durch das Protokoll selbst.