SSO mit Google Workspace

So verbindest du einen Arbeitsbereich mit Google Workspace. Die allgemeine Reihenfolge (erst die Domain nachweisen, dann die Verbindung) beschreibt Unternehmens-Anmeldung; diese Seite füllt den Teil, der in der Google Admin-Konsole passiert.

Eine Besonderheit vorweg: Google stellt keine Metadaten-URL bereit, sondern nur eine Datei zum Herunterladen. Du nutzt in verstag deshalb die Quelle „XML-Datei“ — und lädst nach einem Zertifikatswechsel bei Google eine neue Datei hoch, denn aus einer Datei kann nichts automatisch nachgeladen werden.

Die Menüpfade entsprechen der Google Admin-Konsole vom September 2026.

Was du brauchst

• In verstag: eine nachgewiesene E-Mail-Domain und die Karte „Unternehmens-Anmeldung (SSO)“ unter Einstellungen → „Sicherheit & SSO“. Dort stehen unter „Werte für den Identitätsanbieter“ die beiden Werte mit Kopierknöpfen, die du gleich einträgst.
• In Google: ein Konto mit Super-Admin-Rechten für die Admin-Konsole.

Schritt 1: Eigene SAML-App anlegen

1. Öffne die Google Admin-Konsole und gehe zu Menü → Apps → Web- und Mobile-Apps.
2. Wähle App hinzufügen → Eigene SAML-App hinzufügen.
3. Gib einen Namen (etwa „verstag“) und klicke weiter.

Schritt 2: Metadaten-Datei herunterladen

Auf der Seite „Details zum Google-Identitätsanbieter“ wählst du „METADATEN HERUNTERLADEN“. Die Datei heißt GoogleIDPMetadata.xml — sie ist das, was verstag gleich bekommt. Die daneben angezeigte SSO-URL und das Zertifikat brauchst du nicht einzeln; sie stecken in der Datei.

Schritt 3: Dienstanbieter-Details eintragen

Auf der Seite „Details zum Dienstanbieter“ trägst du die beiden Werte von der verstag-Karte ein:

• ACS-URL → der Wert „ACS-URL (Reply URL)“
• Entity-ID → der Wert „Entity ID (Identifier)“

Unter Name-ID stellst du ein:

• Name-ID-Format: EMAIL
• Name-ID: Basic Information → Primary email

Schritt 4: E-Mail-Adresse und Namen zuordnen

Das ist die Einstellung, an der eine Google-Verbindung sonst scheitert. Auf der Seite „Attributzuordnung“ wählst du „ZUORDNUNG HINZUFÜGEN“ und ordnest zu:

• Basic Information → Primary email → App-Attribut email
• Basic Information → First name → App-Attribut given_name
• Basic Information → Last name → App-Attribut family_name

verstag ordnet eine Anmeldung über die E-Mail-Adresse zu und liest sie aus diesem Attribut; die Name-ID allein reicht nicht. Fehlt die Zuordnung, lehnt verstag jede Anmeldung ab mit „Dein Unternehmenskonto hat bei der Anmeldung keine E-Mail-Adresse übermittelt“ — auch wenn alles andere stimmt.

Vor- und Nachname sind freiwillig. Mit ihnen erscheint ein neues Mitglied unter seinem Namen in der Mitgliederliste und im Protokoll, ohne sie unter seiner E-Mail-Adresse.

Bei einer bereits angelegten App findest du die Zuordnung in der App-Übersicht unter „SAML-Attributzuordnung“.

Schritt 5: Die App für Nutzerinnen und Nutzer freischalten

Nach dem Anlegen steht die App auf „AUS für alle“. Öffne in der App-Übersicht Nutzerzugriff und schalte sie EIN — für alle oder für die Organisationseinheiten, die verstag nutzen sollen. Google braucht danach meist einige Minuten, bis die Freischaltung überall greift — in Einzelfällen auch deutlich länger.

Schritt 6: In verstag hochladen

Zurück auf der Karte „Unternehmens-Anmeldung (SSO)“:

1. Stelle die Quelle auf „XML-Datei“ und wähle die heruntergeladene GoogleIDPMetadata.xml.
2. Wähle die Rolle für neue Mitglieder und entscheide über die automatische Aufnahme.
3. „Verbindung speichern“.

Prüfen

Melde dich über die Anmeldeadresse deines Arbeitsbereichs an (die dritte Karte der Seite). Nutze diesen Weg auch statt des Test-Knopfs in der Google-Konsole: Der startet die Anmeldung bei Google, die Anmeldeadresse startet sie bei verstag — und das ist der Weg, den deine Mitglieder gehen.

Wenn Google das Zertifikat wechselt

Google-Zertifikate laufen nach einigen Jahren ab; die Admin-Konsole zeigt das unter Sicherheit → Authentifizierung → SSO mit SAML-Anwendungen an. Lade dann die neue Metadaten-Datei herunter und lade sie in verstag erneut hoch — eine hochgeladene Datei aktualisiert sich nicht von selbst.