# Die Unternehmens-Anmeldung (SSO) einrichten

Nach dieser Seite melden sich Ihre Mitarbeitenden mit dem Konto Ihres Unternehmens an. Die Einrichtung läuft in drei Schritten: Anbieter, Domain, Erzwingung.

> **Typ:** anleitung
> **Für wen:** Inhaber, die die Anmeldung ihrer Organisation an ein Firmenkonto binden.
> **Voraussetzung:** Rolle **Inhaber**, ein Anbieter, der OpenID Connect spricht, Zugang zu dessen Verwaltung und zu den Einträgen Ihres Namensdienstes.
> **Ort im Portal:** **Einstellungen › Organisation › Unternehmens-Anmeldung** („Anmeldung über Ihren eigenen Anbieter“)

Die drei Schritte bauen aufeinander auf: Ohne Anbieter gibt es nichts zu beanspruchen, ohne bestätigte Domain niemanden für eine Erzwingung.

## Schritte

### 1. Anbieter anlegen

![Der Abschnitt 1. Anbieter der Unternehmens-Anmeldung mit der Rücksprungadresse zum Kopieren (1), dem Anzeigenamen (2), der Aussteller-URL (3), Client-ID und Client-Geheimnis (4), der Standard-Rolle (5), dem Schalter Konten beim ersten Anmelden anlegen (6) und der Schaltfläche Anbieter anlegen (7)](/docs/organisation/bilder/7eefa04c-sso-anbieter-formular.png)

1. Kopieren Sie im Abschnitt **1. Anbieter** die **Rücksprungadresse** in die Verwaltung Ihres Anbieters. Ohne sie weist er den Rücksprung ab.
2. Tragen Sie den **Anzeigename** ein — so heißt der Anmeldeweg auf der Anmeldeseite, etwa „Firmenkonto Contoso“.
3. Tragen Sie die **Aussteller-URL** ein, „die Adresse, unter der Ihr Anbieter seine Konfiguration veröffentlicht“.
4. Tragen Sie **Client-ID** und **Client-Geheimnis** von dort ein. Das Geheimnis wird nur einmal übertragen und danach nie wieder angezeigt; zum Wechseln tragen Sie es erneut ein.
5. Wählen Sie die **Standard-Rolle** für Konten, die beim ersten Anmelden neu entstehen; ohne Wahl gilt **Mitglied**. Zur Auswahl stehen nur Rollen, deren Rechte Sie selbst tragen.
6. Setzen Sie bei Bedarf **Konten beim ersten Anmelden anlegen**. Ohne diesen Schalter kommt nur hinein, wer bereits ein Konto hat.
7. Klicken Sie auf **Anbieter anlegen**. Es erscheint **Anbieter angelegt — er beginnt als Entwurf.**

Die Zustände **Entwurf**, **Aktiv** und **Abgeschaltet** schalten Sie in der Liste um; auf **Aktiv** erst, wenn Domain und Test-Anmeldung stehen.

| Zustand | Was er bedeutet |
|---|---|
| **Entwurf** | Angelegt, trägt noch keine Anmeldung. |
| **Aktiv** | Die Anmeldung über diesen Weg ist möglich. |
| **Abgeschaltet** | Der Weg trägt keine Anmeldung mehr. |

**Abgeschaltet** ist der Weg, einen laufenden Anmeldeweg vorübergehend stillzulegen: Anbieter und beanspruchte Domains bleiben stehen, und ein Klick setzt ihn wieder auf **Aktiv**. **Entfernen** dagegen ist endgültig und aus jedem der drei Zustände möglich.

### 2. Domain nachweisen

1. Tragen Sie im Abschnitt **2. Domain** die E-Mail-Domain Ihres Unternehmens ein, „ohne @“, und klicken Sie auf **Domain beanspruchen**. Der Status steht danach auf **Bestätigung ausstehend**.
2. Legen Sie den Eintrag aus dem Abschnitt **Eintrag im Namensdienst anlegen** an: **Name** (er beginnt mit `_signage-sso.`), **Typ** und **Wert**.
3. Klicken Sie auf **Jetzt prüfen**. Die Plattform antwortet sofort: **Domain bestätigt.** oder **Der Eintrag wurde noch nicht gefunden. Änderungen im Namensdienst brauchen oft einige Minuten.**

Nur bestätigte Domains führen zu diesem Anmeldeweg. Über **Zurückziehen** geben Sie eine wieder frei.

### 3. Test-Anmeldung und Erzwingung

1. Klicken Sie im Abschnitt **3. Erzwingung** auf **Test-Anmeldung starten**. Der Hinweis **Test-Anmeldung erforderlich** nennt die Frist von 15 Minuten.
2. Legen Sie den Schalter **Unternehmens-Anmeldung erzwingen** um. Der Dialog **Unternehmens-Anmeldung erzwingen?** nennt unter **Was ab dann gilt** die Tragweite und bietet die **Notfallkonten (höchstens 2)** zur Auswahl.
3. Haken Sie bis zu zwei Notfallkonten an und bestätigen Sie mit **Erzwingung einschalten** (**Unternehmens-Anmeldung wird jetzt erzwungen.**).

Was die Erzwingung erfasst und wozu die Notfallkonten dienen, steht auf [Was bedeutet die Erzwingung der Unternehmens-Anmeldung?](/docs/organisation/erzwingung-und-notfallkonten). Ausschalten geht jederzeit (**Erzwingung ausgeschaltet.**).

## Optionen

Unter den drei Schritten liegt ein vierter Abschnitt, **4. Provisionierung (SCIM)**. Er ist keine Stufe der Anmeldung, sondern der Anschluss Ihres Personalverzeichnisses: Es legt die Konten an, sperrt sie beim Austritt und vergibt die Rollen. Er setzt einen **aktiven** Anbieter voraus und steht unter [Konten aus dem Personalverzeichnis (SCIM)](/docs/organisation/provisionierung-scim).

Bei mehreren Anbietern bestimmen Sie mit **Auswählen**, welcher in den Schritten 2 und 3 bearbeitet wird. **Entfernen** fragt zurück (**Anbieter entfernen?**): Der Anmeldeweg und alle für ihn beanspruchten Domains verschwinden, bestehende Konten bleiben und melden sich danach wieder mit Passwort an. Wollen Sie die Domains behalten, schalten Sie den Anbieter statt dessen auf **Abgeschaltet**.

Enthält Ihr Paket die Unternehmens-Anmeldung nicht, steht der Bereich mit einem Schloss: Bestehendes läuft weiter, ein neuer Anmeldeweg geht erst ab dem genannten Paket. **Pakete ansehen** führt zur Abrechnung.

## Ergebnis prüfen

- Der Anbieter steht in der Liste auf **Aktiv**, die Domain auf **Bestätigt**.
- Auf der Anmeldeseite erscheint für Adressen dieser Domain die Schaltfläche **Mit Firmenkonto anmelden**.
- Bei eingeschalteter Erzwingung trägt die Seite dauerhaft den Hinweis **Notfallzugänge sind hinterlegt**.

## Wenn etwas nicht klappt

| Symptom | Bedeutung | Lösung |
|---|---|---|
| **Die Angaben zum Anbieter sind unvollständig oder der Aussteller ist nicht erreichbar.** | Der Aussteller antwortet nicht oder liefert keine gültige Konfiguration. | Aussteller-URL prüfen und erneut anlegen. |
| **Der Eintrag wurde noch nicht gefunden …** | Der Eintrag fehlt, ist falsch oder noch nicht überall sichtbar. | Name und Wert gegen die Anzeige prüfen, warten, erneut prüfen. |
| **Diese Domain gehört bereits zu einer anderen Organisation.** | Eine Domain gehört plattformweit zu genau einem Anmeldeweg. | Uns ansprechen. |
| Der Schalter **Unternehmens-Anmeldung erzwingen** ist gesperrt | Es fehlt eine frische Test-Anmeldung über diesen Anbieter, oder sie liegt mehr als 15 Minuten zurück. | **Test-Anmeldung starten** und direkt danach einschalten. |
| Ein Konto ist nicht wählbar (Vermerk „— kein zweiter Faktor eingerichtet“) | Jedes Notfallkonto braucht einen zweiten Faktor. | Für dieses Konto die [Zwei-Faktor-Anmeldung einrichten](/docs/organisation/zwei-faktor-anmeldung). |

## Weiterführendes

- [Was bedeutet die Erzwingung der Unternehmens-Anmeldung?](/docs/organisation/erzwingung-und-notfallkonten)
- [Das Portal unter der eigenen Adresse](/docs/organisation/eigene-adresse)
- [Anmelden: Passwort, Anmelde-Link, Firmenkonto](/docs/erste-schritte/anmelden)