# SSO Troubleshooting Checklist

Quelle: https://rz10.de/sap-security/sso-troubleshooting-checklist/
Stand: 2026-07-28

[Single Sign On](https://rz10.de/knowhow/sap-single-sign-on-sso/) ist ein beliebtes Thema aus der Kategorie kleines Problem - lange Fehlersuche. Ich habe mir dafür eine kleine Checkliste zusammengestellt. Die passenden Quell-Hinweise sind im jeweiligen Check verlinkt. Ich freue mich über jeden Kommentar - z.B. wenn noch ein möglicher Check fehlen sollte.

## Check 1 Systemversion und Version von SAPSECULIB oder SAPCRYPTOLIB

Welche Systemversion wird eingesetzt bzw. unterscheiden sich Test- & Produktivsystem?
Report SSF02 mit Parameter "Version ermitteln" (z.B. über SE38) ausführen

Result: SSF_API_OK

Wenn nicht: STRUSTSSO2 im eigenen und ggf. im 000-Mandant prüfen
Prüfen ob die SAPSECULIB oder SAPCRYPTOLIB aktuell ist:

[http://service.sap.com/download](http://service.sap.com/download) -> Download -> SAP Cryptographic Software.

Die Profilparameter müssen korrekt gesetzt sein:

ssf/ssfapi_lib = <Pfad zum Sicherheitsprodukt> (SAP Security Library)

ssf/name = SAPSECULIB

sec/libsapsecu = <Pfad zum Sicherheitsprodukt> (SAP Security Library)
Siehe dazu auch: [Hinweis 701205 - Single Sign-On über SAP-Anmeldetickets](https://service.sap.com/sap/support/notes/701205)

## Check 2 Profilparameter

RZ11 temporär, RZ10 permanent

| login/accept_sso2_ticket | 1 |
| --- | --- |
| login/create_sso2_ticket | 2 (ohne Zertifikat) |
| icm/host_name_full | FQDN (z.B. hostname.example.com), Achtung Reverse Proxies! |

## Check 3 Transaktion STRUSTSSO2

System-PSE prüfen, muss grün sein

![](https://rz10.de/files/2012/02/020212_1412_SSOTroubles1.png)

## Check 4 Transaktion SSO2

Die Transaktion ist zwar schon veraltet, die Fehlermeldungen dort können aber sehr gut recherchiert werden

![](https://rz10.de/files/2012/02/020212_1412_SSOTroubles2.png)

Das Zertifikat muss ggf. in die Trust-Liste der Systeme (STRUSTSSO2), die das Logon-Ticket akzeptieren (sofern das Ticket überhaupt signiert ist).

RFC-Destination: NONE

## Check 5: Transaktion SICF

Bei Nutzung von SSO-Tickets für eigene Webservices:

/default_host/sap/bc/srt/rfc/sap/WEBSERVICENAME

/default_host/sap/bc/bsp/sap/system_test (siehe nächsten Punkt)

Sind die aktiv?

## Check 6 : Transaktion SE80, Testwebseite SSO

SYSTEM_TEST/test_sso2.htm --> Testen (F8)

Wenn nicht verfügbar --> SICF prüfen (Check 5)

![SSO Troubleshooting Checklist](https://rz10.de/files/2012/02/020212_1412_SSOTroubles3.png)

Die URL oben kopieren und danach alle Browser-Fenster schließen. Danach neuen Browser aufmachen und probieren.

Beispiel-URL: http://hostname.example.com:8000/sap(bD1kZSZjPTgwMA==)/bc/bsp/sap/system_test/test_sso2.htm

Da sollte ein Cookie á la: 'MYSAPSSO2=...' sein.

Alternativ auch

javascript:alert(document.cookie);
Siehe dazu auch: [Hinweis 817529 - Überprüfung der SSO-Konfiguration](https://service.sap.com/sap/support/notes/817529)