# Anmeldung & Sicherheit

| Thema | Wer | Wo |
| --- | --- | --- |
| [Passwort](#password) und [Zwei-Faktor-Authentifizierung](#2fa) | jeder Benutzer für sich | Name unten links → **Dein Profil** → **Passwort und Authentifizierung** |
| [MFA-Pflicht für das Unternehmen](#mfa) | **Admin** | **Einstellungen** → **Organisation** → **Mehrfaktor-Authentifizierung** |
| [Single Sign-On mit Microsoft Entra ID](#entra-id) | **Admin** | **Einstellungen** → **Organisation** → **Single Sign-On** |
| [Single Sign-On mit SAML](#saml) | **Admin** | **Einstellungen** → **Organisation** → **SAML** |
| [API-Schlüssel](#api-keys) | **IT**, **Admin** | **Einstellungen** → **Integrationen** → **API-Integrationen** |

## Anmelden {#sign-in}

Auf der Anmeldeseite melden Sie sich mit **E-Mail-Adresse** und **Passwort** an. Ist für Ihr Unternehmen Single Sign-On eingerichtet, klicken Sie stattdessen auf **Ohne Passwort anmelden (SSO)**, siehe [Anmeldung per SSO](#sso-sign-in).

- Nach 10 Anmeldeversuchen innerhalb von 2 Minuten sperrt Workist weitere Versuche für diese E-Mail-Adresse kurzzeitig („Zu viele Versuche, bitte warte einen Moment.").
- Haben Sie Ihr Passwort vergessen, klicken Sie auf **Passwort vergessen?**. Workist schickt Ihnen einen Link, mit dem Sie ein neues Passwort setzen. Der Link ist 7 Tage gültig.

## Passwort {#password}

So ändern Sie Ihr Passwort:

1. Klicken Sie unten links auf Ihren Namen → **Dein Profil** und wählen Sie links **Passwort und Authentifizierung**.
2. Geben Sie unter **Passwort ändern** Ihr **Aktuelles Passwort** ein, dann zweimal das neue Passwort (**Neues Passwort**, **Neues Passwort bestätigen**).
3. Klicken Sie auf **Passwort ändern**.

Ein Passwort muss mindestens 12 Zeichen lang sein, darf nicht nur aus Ziffern bestehen, kein häufig verwendetes Passwort sein und nicht zu sehr Ihrem Namen oder Ihrer E-Mail-Adresse ähneln.

Benutzer mit den Rollen **Manager** und **Admin** können Mitarbeitenden eine E-Mail zum Zurücksetzen des Passworts schicken, siehe [Mitarbeitende verwalten](/docs/administration/users-and-roles.md#employees). Wer sich per SSO anmeldet, hat in der Regel kein Workist-Passwort und kann auch keines zurücksetzen, siehe [Single Sign-On](#sso).

## Zwei-Faktor-Authentifizierung {#2fa}

Mit der Zwei-Faktor-Authentifizierung (2FA) fragt Workist bei der Anmeldung mit Passwort zusätzlich einen zweiten Faktor ab. Sie richten sie unter **Passwort und Authentifizierung** im Bereich **Zwei-Faktor-Authentifizierung** ein:

| Methode | So funktioniert sie |
| --- | --- |
| Passkeys (Bereich **Passwörter**) | Sie bestätigen die Anmeldung per Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Sicherheitsschlüssel. Klicken Sie auf **Hinzufügen** → **Passkey einrichten**, folgen Sie Ihrem Browser und klicken Sie auf **Speichern**. Ihr Browser muss Passkeys unterstützen. |
| **Authentifikator-Apps** | Eine App oder Browser-Erweiterung erzeugt Einmalcodes. Klicken Sie auf **Hinzufügen**, scannen Sie den QR-Code oder geben Sie den Einrichtungsschlüssel ein, tragen Sie unter **Bestätigungscode eingeben** den aktuellen Code ein und klicken Sie auf **Speichern**. |
| **Wiederherstellungscodes** | Sechs Codes für den Notfall, falls Sie keinen Zugriff auf Ihre anderen Methoden haben. Jeder Code gilt einmal. Bewahren Sie die Codes sicher auf. |

Zum Hinzufügen und Entfernen einer Methode fragt Workist Ihr Workist-Passwort ab (**Gerät registrieren** bzw. **Gerät abmelden**). Jeder Methode können Sie einen Gerätenamen geben, damit Sie sie später wiedererkennen.

**Erste Einrichtung:** Solange Sie keine Methode eingerichtet haben, zeigt Workist nach jeder Anmeldung mit Passwort die Seite **Zwei-Faktor-Authentifizierung**. Dort richten Sie einen Passkey oder eine Authentifikator-App ein, klicken auf **Weiter**, erstellen Ihre Wiederherstellungscodes und schließen mit **Ich habe die Codes gespeichert und möchte fortfahren** ab. Ohne MFA-Pflicht können Sie den Schritt mit **Ohne Zwei-Faktor-Authentifizierung fortfahren** überspringen.

**Anmeldung:** Sobald Sie eine Methode eingerichtet haben, fragt Workist bei jeder Anmeldung mit Passwort den zweiten Faktor ab. Über **Anderes Gerät verwenden** wählen Sie eine andere Methode, z. B. einen Wiederherstellungscode.

Bei der Anmeldung per SSO fragt Workist keinen zweiten Faktor ab. Diese Aufgabe übernimmt Ihr Identitätsanbieter.

### Zugang verloren {#2fa-lost}

Haben Sie keinen Zugriff mehr auf Ihre Methoden, melden Sie sich mit einem Wiederherstellungscode an und richten danach eine neue Methode ein. Haben Sie auch keine Wiederherstellungscodes mehr, wenden Sie sich an den Workist-Support. Ein Admin Ihres Unternehmens kann die Zwei-Faktor-Authentifizierung nicht zurücksetzen.

## MFA für das ganze Unternehmen verlangen {#mfa}

Ein **Admin** kann die Mehrfaktor-Authentifizierung für alle Mitarbeitenden verpflichtend machen:

1. Öffnen Sie **Einstellungen** → **Organisation** und wählen Sie links **Mehrfaktor-Authentifizierung**.
2. Aktivieren Sie **Multi-Faktor-Authentifizierung (MFA) ist für jeden Mitarbeiter erforderlich**.
3. Klicken Sie auf **Speichern**.

Mitarbeitende ohne eingerichtete Methode werden nach ihrer nächsten Anmeldung zur Einrichtung aufgefordert. Bis sie eine Methode eingerichtet haben, können sie Workist nicht nutzen; überspringen lässt sich der Schritt nicht mehr.

:::warning MFA-Pflicht und SSO
Die MFA-Pflicht gilt auch für Benutzer, die sich per SSO anmelden. Zum Einrichten einer Methode fragt Workist das Workist-Passwort ab, und Benutzer, die sich per SSO anmelden, haben in der Regel keines. Sie können dann keine Methode einrichten und Workist nicht mehr nutzen. Wenn Sie SSO verwenden, lassen Sie die MFA-Pflicht in Workist ausgeschaltet und verlangen Sie die Mehrfaktor-Authentifizierung in Ihrem Identitätsanbieter.
:::

## Single Sign-On {#sso}

Mit Single Sign-On (SSO) melden sich Ihre Mitarbeitenden mit ihrem Firmenkonto an statt mit einem Workist-Passwort. Workist unterstützt zwei Verfahren:

- **Microsoft Entra ID** (ehemals Azure AD), eingerichtet auf der Seite **Single Sign-On**
- **SAML 2.0** mit einem beliebigen Identitätsanbieter, eingerichtet auf der Seite **SAML**

SSO richten nur Benutzer mit der Rolle **Admin** ein. Verwenden Sie für Ihr Unternehmen nur eines der beiden Verfahren: Workist meldet bestehende Benutzer immer über dieselbe Konfiguration Ihres Unternehmens an, unabhängig von der Domain ihrer E-Mail-Adresse.

### Anmeldung per SSO {#sso-sign-in}

1. Der Benutzer klickt auf der Anmeldeseite auf **Ohne Passwort anmelden (SSO)**.
2. Er gibt seine E-Mail-Adresse ein und klickt auf **Anmelden**.
3. Workist leitet ihn zu Ihrem Identitätsanbieter weiter und nach der Anmeldung zurück.

Die eingegebene E-Mail-Adresse muss genau der Adresse entsprechen, die der Identitätsanbieter für diesen Benutzer meldet; bei Microsoft Entra ID ist das der Benutzerprinzipalname (UPN). Weichen die Adressen ab, schlägt die Anmeldung fehl. Gibt es für die Adresse keine passende Konfiguration oder kein Workist-Konto, zeigt Workist: „SSO ist für dein Unternehmen nicht konfiguriert oder dein Nutzer ist noch nicht für SSO freigeschaltet."

### Microsoft Entra ID einrichten {#entra-id}

**Schritt 1: App in Microsoft Entra ID registrieren**

1. Legen Sie im Microsoft Entra Admin Center unter **App-Registrierungen** eine neue Registrierung an. Als Kontotyp genügen Konten in Ihrem Organisationsverzeichnis.
2. Tragen Sie als Umleitungs-URI für die Plattform **Web** ein: `https://wb.workist.com/login/providers/azure/authorized`
3. Erstellen Sie unter **Zertifikate & Geheimnisse** einen geheimen Clientschlüssel und kopieren Sie seinen **Wert**. Notieren Sie das Ablaufdatum.
4. Prüfen Sie unter **API-Berechtigungen**, dass die delegierte Berechtigung `User.Read` für Microsoft Graph vorhanden ist. Workist liest damit Name und Benutzerprinzipalnamen des angemeldeten Benutzers.
5. Notieren Sie in der **Übersicht** die **Anwendungs-ID (Client)** und die **Verzeichnis-ID (Mandant)**.

**Schritt 2: Konfiguration in Workist anlegen**

1. Öffnen Sie **Einstellungen** → **Organisation** und wählen Sie links **Single Sign-On**. Die Seite listet die bestehenden Konfigurationen.
2. Klicken Sie auf die Schaltfläche zum Hinzufügen einer Konfiguration (in der Oberfläche: *Add SSO Configuration*) und füllen Sie das Formular aus:

   | Feld | Was Sie eintragen |
   | --- | --- |
   | **SSO ist für jeden Mitarbeiter erforderlich** | **Ja:** Mitarbeitende melden sich nur noch per SSO an. Die Anmeldung mit E-Mail und Passwort wird abgelehnt. |
   | **Anbieternamen** | Geben Sie `azure` ein (Microsoft Entra ID). |
   | **Domain** | Domain der E-Mail-Adressen, z. B. `firma.de`. Workist ordnet darüber neue Benutzer bei der Selbstregistrierung Ihrem Unternehmen zu. |
   | **Selbstregistrierung zulassen** | **Ja:** Wer eine E-Mail-Adresse dieser Domain hat, aber noch kein Workist-Konto, erhält bei der ersten SSO-Anmeldung automatisch eines (Rolle **Member**, Standardteam). **Nein:** Nur bereits angelegte Benutzer können sich anmelden. |
   | **Tenant-ID** | **Verzeichnis-ID (Mandant)** aus der App-Registrierung in Microsoft Entra ID. |
   | **Client-ID** | **Anwendungs-ID (Client)** der App-Registrierung. |
   | **Client-Secret** | **Wert** des geheimen Clientschlüssels. Workist zeigt ihn nach dem Speichern nicht mehr an. Lassen Sie das Feld leer, bleibt der gespeicherte Wert erhalten. |

3. Klicken Sie auf **Erstellen**.

Über das Stift-Symbol einer Zeile bearbeiten Sie eine Konfiguration, über das Papierkorb-Symbol löschen Sie sie.

**Schritt 3: Testen.** Melden Sie sich mit einem Testbenutzer per SSO an, bevor Sie **SSO ist für jeden Mitarbeiter erforderlich** aktivieren.

**Mehrere Domains:** Jede Konfiguration gilt für eine Domain. Haben Ihre Mitarbeitenden E-Mail-Adressen mit verschiedenen Domains, legen Sie je Domain eine Konfiguration an, alle mit derselben App-Registrierung (gleiche Tenant-ID, Client-ID und Client-Secret) und derselben Einstellung für **SSO ist für jeden Mitarbeiter erforderlich**.

**Was sich für Benutzer ändert:**

- Nach der ersten Anmeldung per Microsoft Entra ID deaktiviert Workist das Workist-Passwort des Benutzers. Er meldet sich danach nur noch per SSO an; auch **Passwort vergessen?** hilft ihm nicht mehr.
- Mitarbeitende, die Sie einladen, während SSO eingerichtet ist, erhalten kein Workist-Passwort, sondern eine Einladung zur Anmeldung per SSO.

:::warning Client-Secret läuft ab
Ein geheimer Clientschlüssel in Microsoft Entra ID hat ein Ablaufdatum. Danach kann sich niemand mehr per SSO anmelden. Erstellen Sie rechtzeitig einen neuen Schlüssel und tragen Sie seinen Wert in Workist unter **Client-Secret** ein.
:::

### SAML einrichten {#saml}

**Schritt 1: Adressen von Workist abrufen**

1. Öffnen Sie **Einstellungen** → **Organisation** und wählen Sie links **SAML**.
2. Tragen Sie die **Domain** ein und klicken Sie auf **Speichern**. Danach zeigt die Seite, gegebenenfalls nach dem Neuladen, die **SP Metadaten-URL** und die **Assertion Consumer Service (ACS) URL**.

**Schritt 2: Anwendung im Identitätsanbieter anlegen**

Legen Sie in Ihrem Identitätsanbieter eine SAML-Anwendung an. Viele Identitätsanbieter übernehmen die Werte direkt von der **SP Metadaten-URL**. Sonst tragen Sie ein:

- als Entity ID bzw. Audience die **SP Entity ID** von der Workist-Seite,
- als Antwort-URL (ACS) die **Assertion Consumer Service (ACS) URL**,
- als NameID die E-Mail-Adresse des Benutzers im Format `emailAddress`.

Die E-Mail-Adresse muss genau der E-Mail-Adresse des Benutzers in Workist entsprechen.

**Schritt 3: Angaben des Identitätsanbieters in Workist eintragen**

| Feld | Was Sie eintragen |
| --- | --- |
| **SAML ist für jeden Mitarbeiter erforderlich** | **Ja:** Mitarbeitende melden sich nur noch per SAML an. Die Anmeldung mit E-Mail und Passwort wird abgelehnt. |
| **Domain** | Domain der E-Mail-Adressen Ihrer Mitarbeitenden, z. B. `firma.de`. |
| **Selbstregistrierung zulassen** | Hat bei SAML keine Wirkung. Anmelden können sich nur Benutzer, die in Workist bereits angelegt sind. |
| **IdP Entity ID** | Entity ID (Aussteller) Ihres Identitätsanbieters. |
| **IdP SSO URL** | Single-Sign-On-URL Ihres Identitätsanbieters für das HTTP-Redirect-Binding. |
| **IdP SLO URL (Einzelabmeldung)** | Optional. |
| **IdP X.509-Zertifikat** | Signaturzertifikat Ihres Identitätsanbieters (Base64). Workist zeigt es nach dem Speichern nicht mehr an. Lassen Sie das Feld leer, bleibt das gespeicherte Zertifikat erhalten. |
| **SP Entity ID** | Nur lesbar. Kennung von Workist. Tragen Sie sie beim Identitätsanbieter als Entity ID bzw. Audience ein. |
| **SP Name ID-Format** | Nur lesbar. Workist erwartet als NameID die E-Mail-Adresse (`emailAddress`). |
| **SP Metadaten-URL** | Nur lesbar, erscheint nach dem ersten Speichern. Metadaten von Workist; viele Identitätsanbieter übernehmen die Einstellungen direkt von dieser Adresse. |
| **Assertion Consumer Service (ACS) URL** | Nur lesbar, erscheint nach dem ersten Speichern. Antwort-URL, die Sie beim Identitätsanbieter eintragen. |
| **Signierte Assertions erforderlich** | **Ja:** Workist akzeptiert nur signierte Assertions. Empfohlen. |
| **Signierte Nachrichten erforderlich** | **Ja:** Workist verlangt zusätzlich, dass die gesamte SAML-Antwort signiert ist. |
| **Attribut-Mapping (JSON)** | Optional. Nur nötig, wenn Ihr Identitätsanbieter die E-Mail-Adresse weder als NameID noch im Attribut `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress` sendet. Beispiel: `{"email": "mail"}`. Workist liest aus der Antwort nur die E-Mail-Adresse. |

Klicken Sie auf **Speichern**.

**Schritt 4: Benutzer anlegen und testen.** Per SAML können sich nur Benutzer anmelden, die in Workist bereits angelegt sind. Laden Sie Ihre Mitarbeitenden ein, siehe [Mitarbeitende einladen](/docs/administration/users-and-roles.md#invite), und testen Sie die Anmeldung, bevor Sie **SAML ist für jeden Mitarbeiter erforderlich** aktivieren.

Zu beachten:

- Starten Sie die Anmeldung immer auf der Workist-Anmeldeseite über **Ohne Passwort anmelden (SSO)**. Eine Anmeldung aus dem Portal Ihres Identitätsanbieters heraus unterstützt Workist nicht.
- Eine Anmeldung per SAML deaktiviert das Workist-Passwort nicht. Soll niemand mehr das Passwort verwenden, aktivieren Sie **SAML ist für jeden Mitarbeiter erforderlich**.

### Anmeldung nur per SSO erlauben {#sso-required}

Mit **SSO ist für jeden Mitarbeiter erforderlich** (Microsoft Entra ID) bzw. **SAML ist für jeden Mitarbeiter erforderlich** lehnt Workist die Anmeldung mit E-Mail und Passwort für alle Benutzer Ihres Unternehmens ab, auch für Admins. Sie erhalten die Meldung „Anmeldung über SSO ist für dieses Konto erforderlich." Aktivieren Sie die Option erst, wenn die Anmeldung per SSO funktioniert.

## API-Schlüssel {#api-keys}

Mit einem API-Schlüssel greifen Ihre Systeme über die [Workist-API](/docs/api-documentation.md) auf Workist zu. Ein Schlüssel gehört zum Unternehmen, nicht zu einer Person. Schlüssel verwalten Benutzer mit den Rollen **IT** und **Admin** unter **Einstellungen** → **Integrationen** → **API-Integrationen**:

- **Anlegen:** **Integration konfigurieren** → **Integrationsname** eingeben, optional ein **Ablaufdatum** wählen und festlegen, für welche Kanäle der Schlüssel gilt: **Zugriff auf alle Kanäle gewähren** oder einzelne Kanäle je Dokumentart. Dann **Integration erstellen**.
- **Schlüssel kopieren:** Workist zeigt den Schlüssel nur einmal an. Kopieren Sie ihn sofort und bewahren Sie ihn sicher auf.
- **Ablaufdatum:** Nach dem Ablaufdatum lehnt Workist Anfragen mit diesem Schlüssel ab. Über **Integration bearbeiten** verlängern Sie das Datum.
- **Erneuern:** **API-Schlüssel erneuern** erzeugt einen neuen Schlüssel. Der alte gilt ab sofort nicht mehr.
- **Löschen:** **Integration löschen** macht den Schlüssel sofort ungültig.

Schlüssel, die Workist für ein [Outlook-Add-In](/docs/data-exchange/outlook-add-in.md) erzeugt, erscheinen nicht in dieser Liste.