Single Sign-On (SSO)

Mit Single Sign-On meldet sich Ihr Team bei Resilic über Ihren eigenen Identitätsanbieter (IdP) an – Microsoft Entra ID, Okta, ADFS, PingFederate und andere – statt mit einem separaten Resilic-Passwort. Anmeldungen werden über Ihre E-Mail-Domain geleitet: Sobald SSO aktiv ist, erkennt Resilic Adressen auf Ihrer verifizierten Domain und bietet die Anmeldung bei Ihrem Identitätsanbieter an. Wer kein Resilic-Passwort hat, wird direkt dorthin weitergeleitet; wer noch eines hat, erhält die Wahl zwischen beidem (siehe Nach der Aktivierung).

Sie richten dies selbst unter Einstellungen → Single Sign-On ein. Nur eine Inhaberin/ein Inhaber oder eine Administratorin/ein Administrator sieht diesen Bereich.

Bevor Sie beginnen

• Sie benötigen administrativen Zugang zu Ihrem Identitätsanbieter (um eine neue Anwendung / vertrauende Seite hinzuzufügen, deren Metadaten auszulesen und – bei OIDC – einen Client anzulegen und dessen Client-ID und Secret auszulesen).
• Sie müssen einen DNS-TXT-Eintrag für Ihre Unternehmensdomain hinzufügen können (oder die Person darum bitten, die Ihr DNS verwaltet).
• Entscheiden Sie, welche Ihrer IdP-Gruppen welche Resilic-Rolle erhalten soll (siehe Wer aus Ihrem Team Zugang erhält unten). Ihr IdP muss Gruppeninformationen im Anmelde-Token senden, damit die automatische Zugangsvergabe funktioniert.

Schritt 1 — Domain verifizieren

Anmeldungen über die E-Mail-Domain zu leiten ist wirkungsvoll, daher lässt Resilic Sie zunächst nachweisen, dass Sie die Domain kontrollieren – sonst könnte jemand die Anmeldungen eines anderen Unternehmens umleiten. Geben Sie Ihre Unternehmensdomain ein, und Resilic gibt Ihnen einen zu veröffentlichenden DNS-TXT-Eintrag:

_resilic-sso.ihre-domain.example   →   <Verifizierungs-Token>

Fügen Sie ihn bei Ihrem DNS-Anbieter hinzu und klicken Sie dann auf Domain verifizieren. DNS-Änderungen können einige Minuten dauern; falls die Verifizierung nicht sofort gelingt, warten Sie kurz und versuchen Sie es erneut.

Nur verifizierte Domains — und Subdomains zählen separat

Sie können mehrere Domains verifizieren; jede einzelne braucht ihren eigenen DNS-TXT-Nachweis. Ihr Team meldet sich mit Adressen auf einer der verifizierten Domains an — alle führen zu demselben Identitätsanbieter.

Subdomains sind eigene Domains. Ist acme.example verifiziert, wird mail.acme.example nicht mitverifiziert — verifizieren Sie sie bei Bedarf zusätzlich.

Entscheidend ist das Verhalten im Fehlerfall: Wer eine Adresse auf einer nicht verifizierten Domain verwendet, bekommt keine Fehlermeldung, sondern die normale Passwort-Anmeldung. Von außen ist das nicht davon zu unterscheiden, dass SSO gar nicht eingerichtet wäre. Wenn also einzelne Kolleginnen und Kollegen „nicht per SSO reinkommen“, prüfen Sie zuerst, auf welcher Domain deren Adresse liegt.

Wird eine Domain entfernt, stoppen Anmeldungen über sie sofort. Die letzte verifizierte Domain einer aktiven SSO-Verbindung lässt sich nicht entfernen — deaktivieren Sie SSO zuerst.

Schritt 2 — Identitätsanbieter verbinden

Sobald die Domain verifiziert ist, verbinden Sie Ihren IdP:

1. Wählen Sie das Protokoll (SAML oder OIDC) und wie Sie die Metadaten bereitstellen – als Metadaten-URL oder eingefügtes XML.
2. Bei OIDC geben Sie außerdem die Client-ID und das Secret ein, die Sie für Resilic bei Ihrem Identitätsanbieter registriert haben. (SAML benötigt keine – es vertraut über die ausgetauschten Metadaten und Zertifikate.)
3. Speichern Sie. Resilic richtet die Verbindung ein und zeigt Ihnen die Service-Provider-Daten – die Entitäts-ID, die ACS- (Antwort-) URL und eine SP-Metadaten-URL.
4. Tragen Sie diese Daten in Ihrem Identitätsanbieter ein, damit er Resilic vertraut, und stellen Sie sicher, dass er die Gruppenmitgliedschaften der Nutzer im Anmelde-Token sendet – das steuert die automatische Rollenzuweisung.

Resilic speichert niemals die Zertifikate oder Geheimnisse Ihres IdP – die Verbindung liegt in der zugrunde liegenden Identitätsebene, und Resilic behält nur die benötigten Referenzen.

Schritt 3 — Testen, dann aktivieren

1. Führen Sie eine echte Testanmeldung über Ihren IdP durch: Öffnen Sie in einem privaten Browserfenster die Anmeldeseite Ihrer Organisation, geben Sie eine E-Mail-Adresse auf Ihrer verifizierten Domain ein und schließen Sie die Anmeldung bei Ihrem Identitätsanbieter ab.
2. Klicken Sie danach in Resilic auf Testanmeldung — Resilic prüft, ob die Identitätsschicht tatsächlich eine Anmeldung über Ihren IdP beobachtet hat (ein Klick ohne echten Durchlauf wird abgelehnt).
3. Sobald der verifizierte Test bestanden ist, klicken Sie auf SSO aktivieren. Ab dann werden Anmeldungen auf Ihrer verifizierten Domain an Ihren Identitätsanbieter geleitet.

Sie können SSO jederzeit deaktivieren, um zur Passwort-Anmeldung zurückzukehren. Für eine spätere erneute Aktivierung ist zuerst ein frischer Test erforderlich, damit eine fehlerhafte IdP-Änderung Ihr Team nicht unbemerkt aussperrt.

Wer aus Ihrem Team Zugang erhält

Eine Anmeldung per SSO weist nach, wer jemand ist – sie gewährt allein noch keinen Zugang zu Ihrem Resilic-Arbeitsbereich. Der Zugang wird bei der ersten Anmeldung entschieden:

• In einer zugeordneten Gruppe → automatisch hinzugefügt. Ist die Person in einer Identitätsanbieter-Gruppe, die Sie einer Resilic-Rolle zugeordnet haben, wird sie bei der ersten Anmeldung mit dieser Rolle zu Ihrem Arbeitsbereich hinzugefügt – ohne Freigabe. Sie legen fest, welche Gruppe auf welche Rolle (Inhaber, Administrator, Mitglied, …) und auf welche Produkte abgebildet wird; Ihre IdP-Administration steuert, wer in welcher Gruppe ist. Genau das ist der Sinn von SSO: Sie regeln den Zugang über Gruppenrichtlinien, nicht Person für Person.
• Nicht in einer zugeordneten Gruppe → Zugang anfragen. Wer sich anmeldet, aber in keiner zugeordneten Gruppe ist, erhält noch keinen Zugang – die Person landet auf einem Bildschirm „Zugang anfragen“, und eine Inhaberin/ein Inhaber oder eine Administratorin/ein Administrator gibt sie unter Team & Rollen frei. Zugang wird niemals stillschweigend gewährt.
• Bereits Mitglied → dasselbe Konto, automatisch. Wer schon zur Organisation gehört und lediglich zum ersten Mal über Ihren Identitätsanbieter ankommt, landet im bestehenden Konto: Resilic erkennt die verifizierte E-Mail-Adresse. Mitgliedschaft und Rolle bleiben unverändert; ein zweites Konto entsteht nicht, und ein zusätzlicher Schritt ist nicht nötig.

Wird jemand später bei Ihrem IdP aus allen zugeordneten Gruppen entfernt, wird der Resilic-Zugang bei der nächsten Anmeldung gesperrt – das Offboarding bei Ihrem IdP wirkt also automatisch durch.

Rollen und der produktbezogene Geltungsbereich werden stets unter Team & Rollen verwaltet; SSO entscheidet, wie sich Personen authentifizieren und mit welcher Rolle sie ankommen, nicht, was eine Rolle darf.

Die Gruppenzuordnung wird beim Onboarding mit uns eingerichtet. Da jeder Identitätsanbieter Gruppen anders benennt und sendet (Entra ID groups, SAML memberOf usw.), wird die Zuordnung Ihrer IdP-Gruppen zu Resilic-Rollen gemeinsam mit unserem Team eingerichtet, wenn Sie SSO aktivieren. Sagen Sie uns, welche Gruppen welche Rolle erhalten sollen.

Die Anmeldeseite Ihrer Organisation

Ihre Organisation hat eine eigene Anmeldeadresse:

https://ihr-kürzel.app.resilic.ai

Das Kürzel wird aus Ihrem Unternehmensnamen gebildet; die genaue Adresse steht in den Single-Sign-On-Einstellungen, und Einladungs- sowie Willkommens-E-Mails verlinken direkt dorthin. Diese Seite gehört nur Ihrer Organisation — deshalb darf sie Ihren Identitätsanbieter auch benennen, was auf einer gemeinsamen Anmeldeseite nicht möglich wäre, ohne die SSO-Domains aller Kunden offenzulegen.

Wer stattdessen die allgemeine Resilic-Anmeldung öffnet, gibt einmal die E-Mail-Adresse ein und wird von dort weitergeleitet.

Nach der Aktivierung: Passwort oder SSO

Teammitglieder, deren Resilic-Konto vor der SSO-Aktivierung existierte, behalten ihr altes Passwort. Die Aktivierung allein stellt sie nicht auf SSO um. Das ist fürs Offboarding relevant: Wer bei Ihrem IdP deaktiviert wurde, könnte sich mit dem alten Passwort weiterhin anmelden. Über Ihren IdP erstellte Konten haben nie ein Passwort; betroffen sind nur vorbestehende Konten.

Auf der Anmeldeseite Ihrer Organisation entscheidet sich nach Eingabe der E-Mail-Adresse, was angeboten wird:

Das Konto hat …	Die Anmeldeseite zeigt …
nur SSO (kein Passwort)	direkte Weiterleitung zu Ihrem Identitätsanbieter
Passwort und SSO	Passwortfeld und eine Schaltfläche für die Anmeldung per SSO
nur ein Passwort	ausschließlich die Passwortabfrage

Sobald SSO aktiv ist, zeigen die Single-Sign-On-Einstellungen, welche Mitglieder sich noch mit Passwort anmelden können, und Nur-SSO-Anmeldung durchsetzen entfernt diese Passwörter — Ihr Identitätsanbieter wird für sie der einzige Zugang.

Break-Glass: Ihr eigenes Passwort bleibt erhalten, sofern Sie das Entfernen nicht ausdrücklich mitwählen. Ohne Passwort kann sich niemand anmelden — und SSO nicht deaktivieren —, falls Ihr Identitätsanbieter falsch konfiguriert oder nicht erreichbar ist. Behalten Sie ein Owner-Passwort, bis ein zweiter Owner existiert oder Ihre IdP-Einrichtung nachweislich stabil läuft.

Ein Konto je Organisation

Jede Organisation hat ihren eigenen Anmeldebereich — und dort ein Konto je Person. Meldet sich ein bestehendes Mitglied erstmals über Ihren Identitätsanbieter an, wird dieselbe Anmeldung mit dem bestehenden Konto fortgesetzt (erkannt an der verifizierten E-Mail-Adresse); danach funktionieren beide Wege — Passwort wie SSO —, solange das Konto ein Passwort behält.

Wer für mehrere Unternehmen arbeitet — etwa in der Beratung oder in einer Firmengruppe — kann dieselbe E-Mail-Adresse in jeder dieser Organisationen verwenden; die Konten selbst bleiben je Organisation getrennt. Das ist kein Umweg, sondern Absicht: Jede Organisation kontrolliert ihren Anmeldebereich vollständig, und kein Konto trägt Zugänge aus einer Organisation in eine andere — auch dann nicht, wenn ein Identitätsanbieter einer anderen Organisation kompromittiert würde. Für den Wechsel melden Sie sich im Anmeldebereich der jeweiligen Organisation an; die App leitet Sie dorthin weiter.

Rollen gelten immer je Organisation: Inhaberin in der einen zu sein heißt nicht, in der anderen mehr als Mitglied zu sein.