Unternehmens-Anmeldung

Unter Einstellungen → „Sicherheit & SSO“ meldet sich ein Arbeitsbereich über den eigenen Identitätsanbieter an (SAML 2.0).

Lesen dürfen Inhaber und Admin. Jede andere Rolle bekommt eine Seite „nicht gefunden“.

Die Seite beginnt mit „Zwei-Faktor-Authentifizierung“ — die gilt für jeden Arbeitsbereich und ist unter Zwei-Faktor-Pflicht beschrieben. Darunter folgen die drei Karten für SSO, in der Reihenfolge, in der du sie brauchst: „E-Mail-Domains“, „Unternehmens-Anmeldung (SSO)“, „Anmeldeadresse für diesen Arbeitsbereich“.

Schritt 1: Die Domain nachweisen

Trage die Domain ein. Die Seite zeigt dir daraufhin einen TXT-Eintrag mit Kopierknöpfen:

• Name: _verstag-challenge.DEINE-DOMAIN
• Wert: verstag-domain-verification=TOKEN — das Token sind 64 Hexadezimalzeichen

Lege den Eintrag im DNS an und drücke danach „Prüfen“. Eine automatische Nachprüfung gibt es nicht: Geprüft wird nur, wenn du drückst.

Das Fenster beträgt 14 Tage. Läuft es ab, ohne dass der Eintrag gefunden wurde, stellst du den Nachweis über „Nachweis neu ausstellen“ neu aus — dabei bekommst du ein neues Token, der alte Eintrag im DNS ist dann wertlos.

Ein abgelaufener Nachweis wird auch dann nicht bestätigt, wenn der Eintrag inzwischen im DNS steht. Stelle ihn in dem Fall neu aus und trage den neuen Wert ein.

Eine bestätigte Domain wird zurückgezogen, sobald eine Prüfung den Eintrag nicht mehr findet. Dann öffnet sich dasselbe 14-Tage-Fenster erneut — diesmal mit demselben Token, der Eintrag muss also nur zurück.

Schritt 2: Die Verbindung einrichten

Die Verbindungskarte beginnt mit „Werte für den Identitätsanbieter“: Entity ID und ACS-URL, jeweils mit Kopierknopf. Das sind die beiden Angaben, die du drüben beim Anbieter einträgst — sie kommen zuerst, weil der Anbieter sie kennen muss, bevor seine Metadaten hier etwas wert sind.

Ohne nachgewiesene Domain zeigt die Karte darunter kein Formular, sondern nur den Satz, der den Nachweis als ersten Schritt benennt. Erst danach kannst du den Identitätsanbieter eintragen, die Rolle für neue Mitglieder wählen und die automatische Aufnahme einschalten.

Die Metadaten des Anbieters nimmst du auf einem von zwei Wegen entgegen — der Umschalter über dem Feld wählt ihn:

• „Metadaten-URL“ — der Anbieter stellt seine Metadaten unter einer öffentlichen Adresse bereit. So arbeitet Microsoft Entra ID.
• „XML-Datei“ — der Anbieter bietet die Metadaten nur als Datei zum Herunterladen an. So arbeitet Google Workspace. Aus einer Datei kann nichts automatisch nachgeladen werden: Nach einem Zertifikatswechsel beim Anbieter lädst du die neue Datei hoch.

Für die beiden häufigsten Anbieter gibt es Schritt-für-Schritt-Anleitungen: Microsoft Entra ID und Google Workspace.

Eine bereits aktive Verbindung lässt sich auch ohne erneuten Nachweis auf einen anderen Anbieter umstellen — etwa nach einem Zertifikatswechsel.

Einladungen

Wen du unter Einstellungen → Mitglieder einlädst, der tritt über das Unternehmenskonto bei, sofern seine Adresse unter einer nachgewiesenen Domain liegt. Die Rolle kommt aus der Einladung, auch wenn die automatische Aufnahme ausgeschaltet ist. Das Einladungsformular nennt die Domains, für die das gilt.

• SSO erzwungen: Adressen außerhalb der nachgewiesenen Domains lassen sich nicht einladen. Eingeladene setzen kein Passwort.
• Passwort erlaubt: Eingeladene unter euren Domains können stattdessen mit einem Passwort beitreten. Alle anderen Adressen treten mit Passwort bei.

Eine deaktivierte Person kommt über das Unternehmenskonto auch mit einer neuen Einladung nicht zurück. Reaktiviere sie in der Mitgliederliste.

Wenn die Anmeldung abläuft

Bei eingeschalteter Anmeldepflicht steht eine Anmeldung über den Identitätsanbieter höchstens zwölf Stunden, danach lässt der Arbeitsbereich sie erneut bestätigen.

Läuft das Fenster ab, landest du an der Anmeldeadresse deines Arbeitsbereichs mit einem Satz, der „abgelaufen“ sagt. Eine erneute Anmeldung über den Anbieter genügt.

Ohne eingeschaltete Anmeldepflicht gilt das nicht.

Wenn jemand den Zugang verlieren soll

Wird jemand beim Identitätsanbieter gesperrt, ist eine neue Anmeldung ab sofort unmöglich. Eine laufende Sitzung endet erst, wenn das Zwölfstundenfenster abläuft.

Soll der Zugang sofort und dauerhaft enden, tu beides: Sperre die Person beim Anbieter und deaktiviere die Mitgliedschaft im Arbeitsbereich. Die Deaktivierung beendet den Zugang sofort, die Sperre beim Anbieter hält ihn geschlossen.

Deaktivierst du nur hier, kommt die Person über den Anbieter unter ihrer bisherigen Adresse nicht zurück — auch nicht mit einem neuen Konto über die automatische Aufnahme. Ändert sie aber die Adresse ihres verstag-Kontos, kann die automatische Aufnahme sie unter der alten Adresse als neues Mitglied aufnehmen. Dauerhaft sperrt nur der Anbieter.

Soll jemand dagegen über die automatische Aufnahme wieder hereinkommen können, entferne die alte Mitgliedschaft, statt sie zu deaktivieren.

Was ein Admin bedienen darf

Ein Admin sieht die Verbindung als vier Zustandszeilen — „Identitätsanbieter“, „Rolle für neue Mitglieder“, „Automatische Aufnahme“, „Verbindung“ — und im Domain-Abschnitt die Liste, den Status, den TXT-Eintrag samt Wert und die Kopierknöpfe.

Nicht bedienen darf er: die Verbindung speichern, und im Domain-Abschnitt „Prüfen“, „Nachweis neu ausstellen“ und „Domain eintragen“. An der Stelle des Formulars steht bei ihm ein Satz, der sagt, wer es darf.

Den Schalter für die Anmeldepflicht darf ein Admin bedienen. Er bekommt damit genau einen der beiden Schalter auf der Karte.

Wenn der Tarif es nicht enthält

Die Unternehmens-Anmeldung ist ab dem Tarif Growth enthalten. In einem kleineren Tarif steht statt des Formulars ein Satz, der das sagt. Verliert ein Arbeitsbereich die Funktion, sagt die Seite das anders als beim Nie-Gehabt-Haben: Bestehende Anmeldungen laufen weiter.