Single Sign-On (SSO)

Mit Single Sign-On meldet sich Ihr Team bei Resilic über Ihren eigenen Identitätsanbieter (IdP) an – Microsoft Entra ID, Okta, ADFS, PingFederate und andere – statt mit einem separaten Resilic-Passwort. Anmeldungen werden über Ihre E-Mail-Domain geleitet: Sobald SSO aktiv ist, erkennt Resilic Adressen auf Ihrer verifizierten Domain und bietet die Anmeldung bei Ihrem Identitätsanbieter an. Wer kein Resilic-Passwort hat, wird direkt dorthin weitergeleitet; wer noch eines hat, erhält die Wahl zwischen beidem (siehe Nach der Aktivierung).

Sie richten dies selbst unter Einstellungen → Single Sign-On ein. Nur eine Inhaberin/ein Inhaber oder eine Administratorin/ein Administrator sieht diesen Bereich.

Bevor Sie beginnen

• Sie benötigen administrativen Zugang zu Ihrem Identitätsanbieter (um eine neue Anwendung / vertrauende Seite hinzuzufügen, deren Metadaten auszulesen und – bei OIDC – einen Client anzulegen und dessen Client-ID und Secret auszulesen).
• Sie müssen einen DNS-TXT-Eintrag für Ihre Unternehmensdomain hinzufügen können (oder die Person darum bitten, die Ihr DNS verwaltet).
• Entscheiden Sie, welche Ihrer IdP-Gruppen welche Resilic-Rolle erhalten soll (siehe Wer aus Ihrem Team Zugang erhält unten). Ihr IdP muss Gruppeninformationen im Anmelde-Token senden, damit die automatische Zugangsvergabe funktioniert.

Schritt 1 — Domain verifizieren

Anmeldungen über die E-Mail-Domain zu leiten ist wirkungsvoll, daher lässt Resilic Sie zunächst nachweisen, dass Sie die Domain kontrollieren – sonst könnte jemand die Anmeldungen eines anderen Unternehmens umleiten. Geben Sie Ihre Unternehmensdomain ein, und Resilic gibt Ihnen einen zu veröffentlichenden DNS-TXT-Eintrag:

_resilic-sso.ihre-domain.example   →   <Verifizierungs-Token>

Fügen Sie ihn bei Ihrem DNS-Anbieter hinzu und klicken Sie dann auf Domain verifizieren. DNS-Änderungen können einige Minuten dauern; falls die Verifizierung nicht sofort gelingt, warten Sie kurz und versuchen Sie es erneut.

Nur verifizierte Domains — und Subdomains zählen separat

Sie können mehrere Domains verifizieren; jede einzelne braucht ihren eigenen DNS-TXT-Nachweis. Ihr Team meldet sich mit Adressen auf einer der verifizierten Domains an — alle führen zu demselben Identitätsanbieter.

Subdomains sind eigene Domains. Ist acme.example verifiziert, wird mail.acme.example nicht mitverifiziert — verifizieren Sie sie bei Bedarf zusätzlich.

Entscheidend ist das Verhalten im Fehlerfall: Wer eine Adresse auf einer nicht verifizierten Domain verwendet, bekommt keine Fehlermeldung, sondern die normale Passwort-Anmeldung. Von außen ist das nicht davon zu unterscheiden, dass SSO gar nicht eingerichtet wäre. Wenn also einzelne Kolleginnen und Kollegen „nicht per SSO reinkommen”, prüfen Sie zuerst, auf welcher Domain deren Adresse liegt.

Wird eine Domain entfernt, stoppen Anmeldungen über sie sofort. Die letzte verifizierte Domain einer aktiven SSO-Verbindung lässt sich nicht entfernen — deaktivieren Sie SSO zuerst.

Schritt 2 — Identitätsanbieter verbinden

Sobald eine Domain verifiziert ist, zeigt Resilic die Service-Provider-Daten, die Ihr Identitätsanbieter benötigt – noch bevor Sie etwas speichern. Die Reihenfolge ist wichtig, besonders bei OIDC: Ihr IdP gibt Client-ID und Secret nur für eine Anwendung heraus, die die Weiterleitungs-URI von Resilic bereits kennt.

1. Registrieren Sie Resilic bei Ihrem Identitätsanbieter mit den in Schritt 2 angezeigten Werten:

   • OIDC – die Weiterleitungs-URI. In Microsoft Entra ID: App-Registrierungen → Neue Registrierung → Authentifizierung → Plattform hinzufügen → Web → Umleitungs-URI. Legen Sie dann unter Zertifikate & Geheimnisse ein Client-Secret an und fügen Sie unter Tokenkonfiguration den optionalen Anspruch email und den Gruppenanspruch hinzu.
   • SAML – die SP-Entitäts-ID (Entra: Bezeichner), die ACS- (Antwort-) URL (Entra: Antwort-URL) und, sofern Ihr IdP eine akzeptiert, die SP-Metadaten-URL.

   Weiterleitungs-URI und ACS-URL sind derselbe Endpunkt – SAML und OIDC nennen ihn nur unterschiedlich.

2. Zurück in Resilic wählen Sie das Protokoll und wie Sie die Metadaten bereitstellen:

   • OIDC – die Discovery-URL Ihres Anbieters. Verwenden Sie die mandantenspezifische; bei Entra ID ist das https://login.microsoftonline.com/<Mandanten-ID>/v2.0/.well-known/openid-configuration mit Ihrer Mandanten-ID. Die Varianten common und organizations veröffentlichen einen Platzhalter-Aussteller, sodass jede Anmeldung an der Aussteller-Prüfung scheitern würde.
   • SAML – die Föderations-Metadaten-URL oder das eingefügte Metadaten-XML.

3. Bei OIDC geben Sie außerdem die Client-ID und das Secret aus Schritt 1 ein. (SAML benötigt keine – es vertraut über die ausgetauschten Metadaten und Zertifikate.)

4. Speichern Sie. Resilic richtet die Verbindung ein. Stellen Sie sicher, dass Ihr IdP die Gruppenmitgliedschaften der Nutzer im Anmelde-Token sendet – das steuert die automatische Rollenzuweisung.

Resilic speichert niemals die Zertifikate oder Geheimnisse Ihres IdP – die Verbindung liegt in der zugrunde liegenden Identitätsebene, und Resilic behält nur die benötigten Referenzen.

Schritt 3 — Testen, dann aktivieren

1. Führen Sie eine echte Testanmeldung über Ihren IdP durch: Öffnen Sie in einem privaten Browserfenster die Anmeldeseite Ihrer Organisation, geben Sie eine E-Mail-Adresse auf Ihrer verifizierten Domain ein und schließen Sie die Anmeldung bei Ihrem Identitätsanbieter ab.
2. Klicken Sie danach in Resilic auf Testanmeldung — Resilic prüft, ob die Identitätsschicht tatsächlich eine Anmeldung über Ihren IdP beobachtet hat (ein Klick ohne echten Durchlauf wird abgelehnt).
3. Sobald der verifizierte Test bestanden ist, klicken Sie auf SSO aktivieren. Ab dann werden Anmeldungen auf Ihrer verifizierten Domain an Ihren Identitätsanbieter geleitet.

Sie können SSO jederzeit deaktivieren, um zur Passwort-Anmeldung zurückzukehren. Für eine spätere erneute Aktivierung ist zuerst ein frischer Test erforderlich, damit eine fehlerhafte IdP-Änderung Ihr Team nicht unbemerkt aussperrt.

Zertifikat des Identitätsanbieters erneuern

Bei SAML signiert Ihr Identitätsanbieter jede Anmeldung mit einem Zertifikat, das Resilic aus den Metadaten übernommen hat. Dieses Zertifikat hat ein Ablaufdatum — bei Entra ID typischerweise drei Jahre, bei anderen Anbietern oft ein Jahr. Läuft es ab, schlägt jede SSO-Anmeldung fehl, bis Sie das erneuerte Zertifikat nachreichen. Das ist eine Frist, die sonst leicht in Vergessenheit gerät.

Resilic hält sie deshalb im Blick:

• Die Single-Sign-On-Einstellungen zeigen IdP-Zertifikat gültig bis. Ab 30 Tagen vor Ablauf wird die Zeile als Warnung markiert, nach Ablauf als Fehler.
• 30 Tage vor Ablauf erhalten alle Abonnenten der Kategorie Single Sign-On: Zertifikat läuft ab eine E-Mail — einmal je Zertifikat, nicht täglich.

So erneuern Sie: Rollen Sie das neue Zertifikat zuerst bei Ihrem Identitätsanbieter aus (bei Entra ID unter Enterprise-Anwendungen → SAML-Signaturzertifikat). Dann reichen Sie die Metadaten erneut ein — bei einer Metadaten-URL genügt ein erneutes Speichern in Schritt 2, bei eingefügtem XML fügen Sie das aktualisierte XML ein. Resilic übernimmt das neue Zertifikat, zeigt das neue Ablaufdatum und stellt die Erinnerung für den nächsten Zyklus neu scharf. Solange Ihr IdP noch mit dem alten Zertifikat signiert, bleibt die Anmeldung unterbrochen; erneuern Sie deshalb innerhalb des Überlappungsfensters, das Ihr Anbieter vorsieht.

Bei OIDC gibt es kein solches Zertifikat: Resilic holt die Signaturschlüssel Ihres Anbieters laufend über die Discovery-URL. Was dort ablaufen kann, ist das Client-Secret — dessen Laufzeit legt Ihr Identitätsanbieter fest und Resilic kann sie nicht auslesen. Notieren Sie sich das Ablaufdatum beim Anlegen (Entra ID erlaubt bis zu 24 Monate) und hinterlegen Sie das neue Secret in Schritt 2, bevor das alte ausläuft.

Wer aus Ihrem Team Zugang erhält

Eine Anmeldung per SSO weist nach, wer jemand ist – sie gewährt allein noch keinen Zugang zu Ihrem Resilic-Arbeitsbereich. Der Zugang wird bei der ersten Anmeldung entschieden:

• In einer zugeordneten Gruppe → automatisch hinzugefügt. Ist die Person in einer Identitätsanbieter-Gruppe, die Sie einer Resilic-Rolle zugeordnet haben, wird sie bei der ersten Anmeldung mit dieser Rolle zu Ihrem Arbeitsbereich hinzugefügt – ohne Freigabe. Sie legen fest, welche Gruppe auf welche Rolle (Inhaber, Administrator, Mitglied, …) und auf welche Produkte abgebildet wird; Ihre IdP-Administration steuert, wer in welcher Gruppe ist. Genau das ist der Sinn von SSO: Sie regeln den Zugang über Gruppenrichtlinien, nicht Person für Person.
• Nicht in einer zugeordneten Gruppe → Zugang anfragen. Wer sich anmeldet, aber in keiner zugeordneten Gruppe ist, erhält noch keinen Zugang – die Person landet auf einem Bildschirm „Zugang anfragen”, und eine Inhaberin/ein Inhaber oder eine Administratorin/ein Administrator gibt sie unter Team & Rollen frei. Zugang wird niemals stillschweigend gewährt.
• Bereits Mitglied → dasselbe Konto, automatisch. Wer schon zur Organisation gehört und lediglich zum ersten Mal über Ihren Identitätsanbieter ankommt, landet im bestehenden Konto: Resilic erkennt die verifizierte E-Mail-Adresse. Mitgliedschaft und Rolle bleiben unverändert; ein zweites Konto entsteht nicht, und ein zusätzlicher Schritt ist nicht nötig.

Wird jemand später bei Ihrem IdP aus allen zugeordneten Gruppen entfernt, wird der Resilic-Zugang bei der nächsten Anmeldung gesperrt – das Offboarding bei Ihrem IdP wirkt also automatisch durch.

Rollen und der produktbezogene Geltungsbereich werden stets unter Team & Rollen verwaltet; SSO entscheidet, wie sich Personen authentifizieren und mit welcher Rolle sie ankommen, nicht, was eine Rolle darf.

Die Gruppenzuordnung wird beim Onboarding mit uns eingerichtet. Da jeder Identitätsanbieter Gruppen anders benennt und sendet (Entra ID groups, SAML memberOf usw.), wird die Zuordnung Ihrer IdP-Gruppen zu Resilic-Rollen gemeinsam mit unserem Team eingerichtet, wenn Sie SSO aktivieren. Sagen Sie uns, welche Gruppen welche Rolle erhalten sollen.

Die Anmeldeseite Ihrer Organisation

Ihre Organisation hat eine eigene Anmeldeadresse:

https://ihr-kürzel.app.resilic.ai

Das Kürzel wird aus Ihrem Unternehmensnamen gebildet; die genaue Adresse steht in den Single-Sign-On-Einstellungen, und Einladungs- sowie Willkommens-E-Mails verlinken direkt dorthin. Diese Seite gehört nur Ihrer Organisation — deshalb darf sie Ihren Identitätsanbieter auch benennen, was auf einer gemeinsamen Anmeldeseite nicht möglich wäre, ohne die SSO-Domains aller Kunden offenzulegen.

Wer stattdessen die allgemeine Resilic-Anmeldung öffnet, gibt einmal die E-Mail-Adresse ein und wird von dort weitergeleitet.

Nach der Aktivierung: Passwort oder SSO

Teammitglieder, deren Resilic-Konto vor der SSO-Aktivierung existierte, behalten ihr altes Passwort. Die Aktivierung allein stellt sie nicht auf SSO um. Das ist fürs Offboarding relevant: Wer bei Ihrem IdP deaktiviert wurde, könnte sich mit dem alten Passwort weiterhin anmelden. Über Ihren IdP erstellte Konten haben nie ein Passwort; betroffen sind nur vorbestehende Konten.

Auf der Anmeldeseite Ihrer Organisation entscheidet sich nach Eingabe der E-Mail-Adresse, was angeboten wird:

Das Konto hat …	Die Anmeldeseite zeigt …
nur SSO (kein Passwort)	direkte Weiterleitung zu Ihrem Identitätsanbieter
Passwort und SSO	Passwortfeld und eine Schaltfläche für die Anmeldung per SSO
nur ein Passwort	ausschließlich die Passwortabfrage

Sobald SSO aktiv ist, zeigen die Single-Sign-On-Einstellungen, welche Mitglieder sich noch mit Passwort anmelden können, und Nur-SSO-Anmeldung durchsetzen entfernt diese Passwörter — Ihr Identitätsanbieter wird für sie der einzige Zugang.

Break-Glass: Ihr eigenes Passwort bleibt erhalten, sofern Sie das Entfernen nicht ausdrücklich mitwählen. Ohne Passwort kann sich niemand anmelden — und SSO nicht deaktivieren —, falls Ihr Identitätsanbieter falsch konfiguriert oder nicht erreichbar ist. Behalten Sie ein Owner-Passwort, bis ein zweiter Owner existiert oder Ihre IdP-Einrichtung nachweislich stabil läuft.

Ein Konto je Organisation

Jede Organisation hat ihren eigenen Anmeldebereich — und dort ein Konto je Person. Meldet sich ein bestehendes Mitglied erstmals über Ihren Identitätsanbieter an, wird dieselbe Anmeldung mit dem bestehenden Konto fortgesetzt (erkannt an der verifizierten E-Mail-Adresse); danach funktionieren beide Wege — Passwort wie SSO —, solange das Konto ein Passwort behält.

Wer für mehrere Unternehmen arbeitet — etwa in der Beratung oder in einer Firmengruppe — kann dieselbe E-Mail-Adresse in jeder dieser Organisationen verwenden; die Konten selbst bleiben je Organisation getrennt. Das ist kein Umweg, sondern Absicht: Jede Organisation kontrolliert ihren Anmeldebereich vollständig, und kein Konto trägt Zugänge aus einer Organisation in eine andere — auch dann nicht, wenn ein Identitätsanbieter einer anderen Organisation kompromittiert würde. Für den Wechsel melden Sie sich im Anmeldebereich der jeweiligen Organisation an; die App leitet Sie dorthin weiter.

Rollen gelten immer je Organisation: Inhaberin in der einen zu sein heißt nicht, in der anderen mehr als Mitglied zu sein.