Wie richte ich Single Sign-on (SSO) mit Microsoft Entra ID oder Google Workspace ein?

Single Sign-on (SSO) richten Sie unter Workspace-Einstellungen im Tab Sicherheit ein, indem Sie Microsoft Entra ID oder Google Workspace verbinden. Danach melden sich die Personen aus Ihrem Verzeichnis mit Weiter mit Microsoft oder Weiter mit Google an und erhalten bei der ersten Anmeldung automatisch ein Worktivity-Konto, solange Plätze frei sind. Single Sign-on gehört zum Pro-Tarif und funktioniert in der kostenlosen Testphase; Starter und Growth enthalten es nicht. Inhaber und Mitinhaber können es einrichten, und für Microsoft braucht es einmalig die Freigabe eines Microsoft-Entra-Administrators.

Wer kann es einrichten, und in welchen Tarifen gibt es das?

Die Karte Single Sign-on können Inhaber und Mitinhaber öffnen. Sie gehört zum Tarif Pro und ist in der kostenlosen Testphase enthalten. In Starter und Growth zeigt die Karte "Single Sign-on ist Teil des Pro-Tarifs" und die Schaltfläche Tarife ansehen. Wechselt eine Organisation später in einen Tarif ohne Single Sign-on, bleibt die Verbindung erhalten, wird aber pausiert: Neue Personen werden nicht hinzugefügt, die SSO-Pflicht wird nicht durchgesetzt und es wird nichts synchronisiert. Sobald die Organisation wieder im Pro-Tarif ist, geht es weiter.

Halten Sie vor dem Start Folgendes bereit:

• Microsoft: einen Microsoft-Entra-Mandanten für Geschäfts- oder Schulkonten und einen Administrator dieses Mandanten, der Worktivity einmal freigeben kann (Global Administrator oder Privileged Role Administrator).
• Google: eine Google-Workspace-Domain. Bei einem privaten Gmail-Konto erscheint "Dieses Google-Konto gehört zu keiner Google-Workspace-Domain. Verwenden Sie zum Verbinden ein Arbeitskonto." und es lässt sich nicht verbinden.
• Eine geschäftliche E-Mail-Domain, die Ihrer Organisation gehört, zum Beispiel ihrefirma.de. Kostenlose E-Mail-Domains wie gmail.com und outlook.com werden nie akzeptiert, und automatisch hinzugefügt werden nur Personen, deren E-Mail-Adresse auf dieser Domain liegt.
• Genügend freie Plätze. Single Sign-on fügt keine Plätze hinzu und ändert Ihre Rechnung nicht.

Die persönliche Anmeldung ist davon getrennt: In jedem Tarif kann eine Person ihr eigenes Microsoft- oder Google-Konto unter Kontoeinstellungen > Anmeldemethoden verknüpfen. Der Rest dieses Artikels beschreibt die Einrichtung für die Organisation.

Welche Apps unterstützen Single Sign-on?

Für die Anmeldung per Single Sign-on brauchen Sie mindestens diese Versionen. Eine App, die nicht in der Liste steht, hat keine Anmeldung per Single Sign-on.

• Web-App: Weiter mit Microsoft und Weiter mit Google auf der Anmeldeseite.
• Worktivity Desktop-App (Windows und Mac, von der Worktivity-Website heruntergeladen): ab Version 2.6.3.
• Mac-App-Store-App: ab Version 3.2.0.
• Microsoft-Store-App: ab Version 1.2.0.
• Chrome-Erweiterung: ab Version 1.2.0.
• Linux-App und mobile Apps: keine Anmeldung per Single Sign-on. In einer Organisation, die Single Sign-on erzwingt, arbeiten bereits angemeldete Personen weiter, können sich aber bei einer erneuten Anmeldung nicht mit einem Passwort anmelden (nur der Inhaber kann es).

Wie verbinde ich Microsoft Entra ID?

1. Melden Sie sich in Worktivity als Inhaber oder Mitinhaber an, öffnen Sie die Workspace-Einstellungen und wählen Sie den Tab Sicherheit.
2. Wählen Sie in der Karte Single Sign-on die Option Microsoft Entra verbinden.
3. Melden Sie sich mit einem Arbeitskonto aus dem Mandanten an, den Sie verbinden möchten. Die Domain der E-Mail-Adresse dieses Kontos muss im Mandanten bestätigt sein.
4. Zurück in Worktivity zeigt die Karte Ihr Verzeichnis, Verbunden und das Datum.

Ein Entra-Mandant lässt sich nur mit einer Worktivity-Organisation verbinden. Sehen Sie "Dieses Verzeichnis ist bereits mit einer anderen Organisation verbunden.", wenden Sie sich an den Support. Sehen Sie "Wir konnten in diesem Verzeichnis nicht bestätigen, dass Ihrer Organisation die Domain Ihrer Arbeits-E-Mail-Adresse gehört. Bitten Sie Ihren Verzeichnisadministrator, die Domain zu bestätigen, und versuchen Sie es erneut.", bitten Sie Ihren Entra-Administrator, die Domain im Microsoft Entra Admin Center unter Custom domain names zu bestätigen, und verbinden Sie danach erneut.

Warum muss mein Entra-Administrator Worktivity freigeben?

Microsoft verlangt, dass ein Administrator Ihres Mandanten eine App einmal freigibt, bevor sie das Verzeichnis lesen darf. Worktivity nutzt diese Freigabe, um etwa alle 15 Minuten zu prüfen, ob Personen noch aktiv und der App weiterhin zugewiesen sind. Die Berechtigungen sind schreibgeschützt, und Worktivity ändert Ihr Verzeichnis nie. Die Freigabeseite von Microsoft zeigt die App möglicherweise ohne verifizierten Herausgeber an; das ist erwartbar.

1. Wählen Sie in der Karte unter Ihr Entra-Administrator muss Worktivity einmal genehmigen die Option Administratorzustimmung erteilen.
2. Eine Microsoft-Seite öffnet sich. Ein Global Administrator oder Privileged Role Administrator Ihres Mandanten gibt die Freigabe. Die Seite listet die schreibgeschützten Berechtigungen User.Read.All, Application.Read.All und GroupMember.Read.All.
3. Sie kehren zu Worktivity zurück und sehen "Administratorzustimmung erteilt." Das Kennzeichen wechselt von Administratorzustimmung ausstehend zu Aktiv.

Solange die Freigabe fehlt, legt die Microsoft-Anmeldung keine Konten an und SSO erzwingen lässt sich nicht einschalten. Eine neue Person, die sich mit Microsoft anmeldet, sieht "Ihre Organisation hat die Microsoft-Anmeldung noch nicht fertig eingerichtet. Wenden Sie sich an Ihren Administrator.", und Ihre Inhaber werden nicht benachrichtigt. Prüfen Sie daher das Kennzeichen, bevor Sie die Einführung ankündigen. Wird die Freigabe später zurückgezogen, steht in der Karte "Die Administratorzustimmung wurde zurückgezogen": Die automatische Deaktivierung stoppt, und die Desktop-App-Sitzungen von Personen, die gehen, bleiben gültig, bis Sie sie unter Mitarbeitende sperren. Wählen Sie Administratorzustimmung erteilen erneut, um fortzufahren. Bei Google gibt es keinen Freigabeschritt.

Wie stelle ich sicher, dass nur zugewiesene Personen hineinkommen?

Schalten Sie in Microsoft Entra für die Worktivity-App Assignment required ein. Ohne diese Einstellung könnte jede Person und jedes Gastkonto Ihres Mandanten, das die Worktivity-Anmeldung erreicht, einem Worktivity-Konto zugeordnet werden.

1. Öffnen Sie im Microsoft Entra Admin Center Enterprise applications und dann die Anwendung Worktivity.
2. Öffnen Sie Properties, setzen Sie Assignment required? auf Yes und speichern Sie.
3. Öffnen Sie Users and groups und fügen Sie die Personen oder Gruppen hinzu, die Worktivity nutzen sollen.

Worktivity prüft diese Liste alle 15 Minuten. Wer die Zuweisung verliert, deaktiviert oder gelöscht wird, wird in Worktivity gesperrt, und der Platz wird frei. Die Karte zeigt "Automatische Deaktivierung: an", den Zeitpunkt der letzten Prüfung und das Ergebnis. Liefert Entra eine leere oder unvollständige Zuweisungsliste, überspringt Worktivity die Zuweisungsprüfung in diesem Lauf, statt alle zu sperren, und die Karte meldet "Die Zuweisungsprüfung wurde im letzten Lauf übersprungen."

Was passiert bei der ersten Anmeldung einer Person?

Die Person wählt auf der Anmeldeseite Weiter mit Microsoft. Worktivity ordnet sie einer bestehenden Person mit derselben E-Mail-Adresse zu oder legt eine neue Person mit der Rolle Mitarbeitende und ohne Passwort im Team für neue Personen an. Wer eine offene Einladung hat, übernimmt diese Einladung und belegt keinen zweiten Platz.

Legen Sie das Team für neue Personen vor der Einführung fest. Erstellen Sie ein eigenes Team, zum Beispiel "Unassigned", und wählen Sie es unter Team für neue Personen aus; dann sehen Sie "Team für neue Personen gespeichert." Ist keines festgelegt, verwendet Worktivity Ihr ältestes Team. Diese Einstellung gilt für Microsoft Entra und Google Workspace.

Inhaber und Mitinhaber werden nicht automatisch verknüpft. Sie melden sich einmal mit ihrem Passwort an und verbinden ihr Konto unter Kontoeinstellungen > Anmeldemethoden > Verbinden.

Wie erzwinge ich Single Sign-on?

1. Stellen Sie bei Microsoft sicher, dass die Administratorzustimmung erteilt ist. Schalten Sie in der Karte SSO erzwingen ein.
2. Ein Dialog fragt "Single Sign-on erzwingen?" Bestätigen Sie mit SSO erzwingen.

Ab dann müssen alle außer dem Workspace-Inhaber bei der Anmeldung Single Sign-on verwenden. Mitarbeitende und Mitinhaber können sich nicht mehr mit einem Passwort anmelden; der Server meldet "Ihre Organisation verlangt die Anmeldung per Single Sign-On." Bevor Sie es einschalten:

• Der Inhaber kann sich weiterhin mit einem Passwort anmelden. Das ist Ihr Notzugang, falls Ihr Verzeichnis nicht erreichbar ist. Mitinhaber sind keine Ausnahme. Jeder Mitinhaber muss vor dem Einschalten unter Kontoeinstellungen > Anmeldemethoden > Verbinden Microsoft oder Google verbinden; sonst kann sich die Person erst wieder anmelden, wenn Sie die Funktion ausschalten. Melden Sie sich selbst einmal mit Microsoft oder Google an, um zu prüfen, dass es funktioniert. Die Karte warnt Sie, wenn Ihr eigenes Konto keine Anmeldung per Single Sign-on hat.
• Wer eine App ohne Anmeldung per Single Sign-on nutzt, arbeitet weiter, solange die Person angemeldet ist, kann sich dort aber nicht erneut anmelden: Linux-App, mobile Apps und jede App, die älter ist als die oben genannten Versionen. Prüfen Sie zuerst, welche Apps Ihr Team nutzt.
• Eine Person, die mehreren Organisationen angehört, erreicht eine Organisation mit SSO-Pflicht nicht per Passwort. Die Passwort-Anmeldung wählt eine Organisation, die es nicht erzwingt.
• Web-Sitzungen in einer Organisation mit SSO-Pflicht dauern 7 Tage. Danach meldet sich die Person erneut an, meist mit einem Klick.
• Bereits angemeldete Personen bleiben angemeldet; die Regel gilt bei ihrer nächsten Anmeldung. Um die Sitzung einer Person sofort zu beenden, sperren Sie sie unter Mitarbeitende.

Um zurückzugehen, schalten Sie SSO erzwingen aus oder wählen Sie Trennen, das es ebenfalls ausschaltet. Mitarbeitende werden nicht gelöscht. Automatisch angelegte Personen haben kein Passwort und legen über Passwort vergessen? auf der Anmeldeseite eines fest.

Wie verwalte ich Rollen und Teams über Microsoft Entra?

Im Pro-Tarif oder in der kostenlosen Testphase, mit Microsoft-Verbindung und erteilter Administratorzustimmung, kann Microsoft Entra bestimmen, wer Mitinhaber, Führungskraft oder Mitarbeitende ist und in welchem Team jemand ist. Der Workspace-Inhaber wird nie geändert. Das funktioniert nur mit Microsoft Entra, nicht mit Google Workspace.

Rollen in Entra vergeben

1. Öffnen Sie im Microsoft Entra Admin Center Enterprise applications > Worktivity > Users and groups und wählen Sie Add user/group.
2. Wählen Sie eine Person oder Gruppe und weisen Sie die Rolle Worktivity.CoOwner, Worktivity.Manager oder Worktivity.Employee zu.
3. Für eine Rolle an eine Person brauchen Sie kein Entra ID P1. Für eine Rolle an eine Gruppe schon.

Hat eine Person mehrere Rollen, gilt die höchste (zuerst Mitinhaber, dann Führungskraft, dann Mitarbeitende). Wer keine Rolle zugewiesen hat, wird Mitarbeitende.

Teams Entra-Gruppen zuordnen

1. Wählen Sie unter Von Microsoft Entra verwaltet die Option Team-Zuordnungen bearbeiten. Die Tabelle Team-Zuordnungen öffnet sich.
2. Wählen Sie Zuordnung hinzufügen und dann ein Worktivity-Team (Team auswählen) und eine Entra-Gruppe (Gruppe auswählen). Geben Sie für die Gruppensuche mindestens 2 Zeichen ein.
3. Verwenden Sie eine Sicherheitsgruppe oder eine private Microsoft-365-Gruppe. Eine öffentliche Microsoft-365-Gruppe zeigt das Kennzeichen Öffentlich und lässt sich nicht verwenden.
4. Die Reihenfolge zählt: Ist jemand in mehreren zugeordneten Gruppen, gilt das Team weiter oben in der Liste.
5. Wählen Sie Zuordnungen speichern. Sie können höchstens 100 Teams zuordnen.

Einschalten

1. Schalten Sie Rollen aus Microsoft Entra und Teams aus Microsoft Entra ein. Beide sind standardmäßig aus. Ein Schalter, der noch nicht eingeschaltet werden kann, nennt den Grund, zum Beispiel "Erteilen Sie zuerst die Administratorzustimmung." oder "Wählen Sie zuerst ein Team für neue Personen aus."
2. Ein Dialog listet auf, was sich ändert. Eine Rolle oder ein Team, das Sie in Worktivity von Hand ändern, wird bei der nächsten Synchronisierung zurückgesetzt. Wählen Sie Einschalten.
3. Unter Mitarbeitende sind Rolle und Team von Personen, die sich mit Microsoft anmelden, gesperrt und zeigen "In Microsoft Entra verwaltet". Ändern Sie sie in Entra.

Rollen werden von der Verzeichnisprüfung angewendet, nicht bei der Anmeldung. Das Team einer Person kann sich auch bei der Anmeldung ändern, wenn sie einer zugeordneten Gruppe beigetreten ist. Würde eine Synchronisierung mehr als die Hälfte Ihrer Personen ändern, hält sie an, bevor etwas geändert wird, schickt Ihren Inhabern eine E-Mail und zeigt Änderungen sind angehalten mit Beispielen für die geplanten Änderungen. Stimmen sie, wählen Sie Änderungen anwenden und bestätigen Sie; die Freigabe wirkt einmal und gilt 30 Minuten. Stimmen sie nicht, korrigieren Sie zuerst Entra, denn ohne Ihre Freigabe wird nichts angewendet.

Wie oft läuft die Synchronisierung, und was macht Jetzt synchronisieren?

Die Verzeichnisprüfung läuft etwa alle 15 Minuten. Jetzt synchronisieren in der Karte startet eine Prüfung sofort. Danach sehen Sie "Synchronisierung angefordert; der Start kann bis zu einer Minute dauern". Jede Organisation kann es einmal alle 5 Minuten nutzen; bis dahin steht auf der Schaltfläche "Versuchen Sie es in N Min. erneut". Die Karte zeigt, wann Rollen und Teams zuletzt synchronisiert wurden und wie viele Personen geprüft wurden. Die Synchronisierung gibt es nur für Microsoft Entra.

Was passiert, wenn jemand geht oder gesperrt wird?

Bei Microsoft Entra sperrt die nächste Verzeichnisprüfung eine Person, die gelöscht, deaktiviert oder nicht mehr zugewiesen ist; das dauert etwa 15 Minuten. Sobald jemand in Worktivity gesperrt ist, sei es durch die Prüfung oder durch Sie unter Mitarbeitende, funktionieren seine Web- und App-Sitzungen meist nach etwa zwei Minuten nicht mehr. Das ist wichtig, weil eine Desktop-App-Sitzung sonst etwa 3 Jahre gilt.

• Die Prüfung sperrt nur, wenn Entra eindeutig zeigt, dass die Person gelöscht, deaktiviert oder nicht zugewiesen ist. Fehler und unklare Antworten sperren niemanden.
• Inhaber werden nie automatisch gesperrt.
• Würde eine Prüfung mehr als die Hälfte Ihrer verbundenen Personen sperren, wird niemand gesperrt, Ihre Inhaber werden benachrichtigt und die Karte zeigt die Prüfung als angehalten.
• Sperren werden nie automatisch aufgehoben. Kehrt jemand zurück, wählen Sie unter Mitarbeitende Sperre aufheben.

Was bietet Google Workspace, und was nicht?

Google Workspace funktioniert für die Anmeldung, nicht für den Verzeichnisabgleich.

• Vorhanden: Google Workspace verbinden im Tab Sicherheit, Weiter mit Google, automatisches Anlegen von Konten bei der ersten Anmeldung für Personen Ihrer Workspace-Domain, SSO erzwingen (mit der Ausnahme für den Inhaber) und die Desktop-Anmeldung mit Code. Es gibt keinen Freigabeschritt, es funktioniert direkt nach dem Verbinden.
• Nicht vorhanden: automatische Deaktivierung, Rollenzuordnung, Team-Zuordnung und Jetzt synchronisieren. Worktivity liest Ihr Google-Verzeichnis nicht; wenn jemand geht, wählen Sie unter Mitarbeitende selbst Person sperren.

Was tue ich, wenn sich jemand nicht anmelden kann?

• "Ihre Organisation hat keine freien Plätze. Wenden Sie sich an Ihren Administrator.": Alle Plätze sind belegt. Sperren Sie jemanden, der nicht mehr mit Ihnen arbeitet (Person sperren unter Mitarbeitende), oder erweitern Sie Ihr Abonnement um Plätze. Bitten Sie die Person danach, sich erneut anzumelden.
• "Diese E-Mail-Adresse wird bereits von einem anderen Worktivity-Konto verwendet. Bitten Sie Ihren Administrator um Hilfe.": Die E-Mail-Adresse gehört zu einem Konto in einer anderen Organisation. Die Person meldet sich mit diesem Konto an und verbindet Microsoft in den Kontoeinstellungen oder wendet sich an den Support.
• "Ihre Organisation hat die Microsoft-Anmeldung noch nicht fertig eingerichtet. Wenden Sie sich an Ihren Administrator.": Die Karte zeigt Administratorzustimmung ausstehend. Erteilen Sie die Administratorzustimmung und bitten Sie die Person dann, sich erneut anzumelden.
• "Ihr Konto wurde gesperrt. Wenden Sie sich an support@useworktivity.com.": Die Person ist in Worktivity gesperrt. War das ein Versehen, wählen Sie Sperre aufheben und prüfen Sie zuerst die Zuweisung in Entra, sonst sperrt die nächste Prüfung erneut.
• "Melden Sie sich einmal mit Ihrem Passwort an und verbinden Sie dann in den Kontoeinstellungen Ihr Konto bei Microsoft.": Die Person ist Inhaber oder Mitinhaber, oder die E-Mail gehört auch zu einem Konto in einer anderen Organisation. Sie meldet sich einmal mit dem Passwort an und verbindet Microsoft in den Kontoeinstellungen. Ist SSO erzwingen aktiv, kann sich ein Mitinhaber nicht mit Passwort anmelden: Schalten Sie SSO erzwingen kurz aus oder lassen Sie ihn die Verbindung aus einer noch offenen Sitzung herstellen.

Besteht das Problem weiter, schreiben Sie an support@useworktivity.com und nennen Sie den Zeitpunkt des Versuchs. Senden Sie keine Passwörter oder Codes. Die Seite der Mitarbeitenden finden Sie in Wie melde ich mich mit Microsoft oder Google an?.