Anmeldung & Sicherheit

Thema	Wer	Wo
Passwort und Zwei-Faktor-Authentifizierung	jeder Benutzer für sich	Name unten links → Dein Profil → Passwort und Authentifizierung
MFA-Pflicht für das Unternehmen	Admin	Einstellungen → Organisation → Mehrfaktor-Authentifizierung
Single Sign-On mit Microsoft Entra ID	Admin	Einstellungen → Organisation → Single Sign-On
Single Sign-On mit SAML	Admin	Einstellungen → Organisation → SAML
API-Schlüssel	IT, Admin	Einstellungen → Integrationen → API-Integrationen

Anmelden

Auf der Anmeldeseite melden Sie sich mit E-Mail-Adresse und Passwort an. Ist für Ihr Unternehmen Single Sign-On eingerichtet, klicken Sie stattdessen auf Ohne Passwort anmelden (SSO), siehe Anmeldung per SSO.

• Nach 10 Anmeldeversuchen innerhalb von 2 Minuten sperrt Workist weitere Versuche für diese E-Mail-Adresse kurzzeitig („Zu viele Versuche, bitte warte einen Moment.").
• Haben Sie Ihr Passwort vergessen, klicken Sie auf Passwort vergessen?. Workist schickt Ihnen einen Link, mit dem Sie ein neues Passwort setzen. Der Link ist 7 Tage gültig.

Passwort

So ändern Sie Ihr Passwort:

1. Klicken Sie unten links auf Ihren Namen → Dein Profil und wählen Sie links Passwort und Authentifizierung.
2. Geben Sie unter Passwort ändern Ihr Aktuelles Passwort ein, dann zweimal das neue Passwort (Neues Passwort, Neues Passwort bestätigen).
3. Klicken Sie auf Passwort ändern.

Ein Passwort muss mindestens 12 Zeichen lang sein, darf nicht nur aus Ziffern bestehen, kein häufig verwendetes Passwort sein und nicht zu sehr Ihrem Namen oder Ihrer E-Mail-Adresse ähneln.

Benutzer mit den Rollen Manager und Admin können Mitarbeitenden eine E-Mail zum Zurücksetzen des Passworts schicken, siehe Mitarbeitende verwalten. Wer sich per SSO anmeldet, hat in der Regel kein Workist-Passwort und kann auch keines zurücksetzen, siehe Single Sign-On.

Zwei-Faktor-Authentifizierung

Mit der Zwei-Faktor-Authentifizierung (2FA) fragt Workist bei der Anmeldung mit Passwort zusätzlich einen zweiten Faktor ab. Sie richten sie unter Passwort und Authentifizierung im Bereich Zwei-Faktor-Authentifizierung ein:

Methode	So funktioniert sie
Passkeys (Bereich Passwörter)	Sie bestätigen die Anmeldung per Fingerabdruck, Gesichtserkennung, Geräte-PIN oder Sicherheitsschlüssel. Klicken Sie auf Hinzufügen → Passkey einrichten, folgen Sie Ihrem Browser und klicken Sie auf Speichern. Ihr Browser muss Passkeys unterstützen.
Authentifikator-Apps	Eine App oder Browser-Erweiterung erzeugt Einmalcodes. Klicken Sie auf Hinzufügen, scannen Sie den QR-Code oder geben Sie den Einrichtungsschlüssel ein, tragen Sie unter Bestätigungscode eingeben den aktuellen Code ein und klicken Sie auf Speichern.
Wiederherstellungscodes	Sechs Codes für den Notfall, falls Sie keinen Zugriff auf Ihre anderen Methoden haben. Jeder Code gilt einmal. Bewahren Sie die Codes sicher auf.

Zum Hinzufügen und Entfernen einer Methode fragt Workist Ihr Workist-Passwort ab (Gerät registrieren bzw. Gerät abmelden). Jeder Methode können Sie einen Gerätenamen geben, damit Sie sie später wiedererkennen.

Erste Einrichtung: Solange Sie keine Methode eingerichtet haben, zeigt Workist nach jeder Anmeldung mit Passwort die Seite Zwei-Faktor-Authentifizierung. Dort richten Sie einen Passkey oder eine Authentifikator-App ein, klicken auf Weiter, erstellen Ihre Wiederherstellungscodes und schließen mit Ich habe die Codes gespeichert und möchte fortfahren ab. Ohne MFA-Pflicht können Sie den Schritt mit Ohne Zwei-Faktor-Authentifizierung fortfahren überspringen.

Anmeldung: Sobald Sie eine Methode eingerichtet haben, fragt Workist bei jeder Anmeldung mit Passwort den zweiten Faktor ab. Über Anderes Gerät verwenden wählen Sie eine andere Methode, z. B. einen Wiederherstellungscode.

Bei der Anmeldung per SSO fragt Workist keinen zweiten Faktor ab. Diese Aufgabe übernimmt Ihr Identitätsanbieter.

Zugang verloren

Haben Sie keinen Zugriff mehr auf Ihre Methoden, melden Sie sich mit einem Wiederherstellungscode an und richten danach eine neue Methode ein. Haben Sie auch keine Wiederherstellungscodes mehr, wenden Sie sich an den Workist-Support. Ein Admin Ihres Unternehmens kann die Zwei-Faktor-Authentifizierung nicht zurücksetzen.

MFA für das ganze Unternehmen verlangen

Ein Admin kann die Mehrfaktor-Authentifizierung für alle Mitarbeitenden verpflichtend machen:

1. Öffnen Sie Einstellungen → Organisation und wählen Sie links Mehrfaktor-Authentifizierung.
2. Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) ist für jeden Mitarbeiter erforderlich.
3. Klicken Sie auf Speichern.

Mitarbeitende ohne eingerichtete Methode werden nach ihrer nächsten Anmeldung zur Einrichtung aufgefordert. Bis sie eine Methode eingerichtet haben, können sie Workist nicht nutzen; überspringen lässt sich der Schritt nicht mehr.

MFA-Pflicht und SSO

Die MFA-Pflicht gilt auch für Benutzer, die sich per SSO anmelden. Zum Einrichten einer Methode fragt Workist das Workist-Passwort ab, und Benutzer, die sich per SSO anmelden, haben in der Regel keines. Sie können dann keine Methode einrichten und Workist nicht mehr nutzen. Wenn Sie SSO verwenden, lassen Sie die MFA-Pflicht in Workist ausgeschaltet und verlangen Sie die Mehrfaktor-Authentifizierung in Ihrem Identitätsanbieter.

Single Sign-On

Mit Single Sign-On (SSO) melden sich Ihre Mitarbeitenden mit ihrem Firmenkonto an statt mit einem Workist-Passwort. Workist unterstützt zwei Verfahren:

• Microsoft Entra ID (ehemals Azure AD), eingerichtet auf der Seite Single Sign-On
• SAML 2.0 mit einem beliebigen Identitätsanbieter, eingerichtet auf der Seite SAML

SSO richten nur Benutzer mit der Rolle Admin ein. Verwenden Sie für Ihr Unternehmen nur eines der beiden Verfahren: Workist meldet bestehende Benutzer immer über dieselbe Konfiguration Ihres Unternehmens an, unabhängig von der Domain ihrer E-Mail-Adresse.

Anmeldung per SSO

1. Der Benutzer klickt auf der Anmeldeseite auf Ohne Passwort anmelden (SSO).
2. Er gibt seine E-Mail-Adresse ein und klickt auf Anmelden.
3. Workist leitet ihn zu Ihrem Identitätsanbieter weiter und nach der Anmeldung zurück.

Die eingegebene E-Mail-Adresse muss genau der Adresse entsprechen, die der Identitätsanbieter für diesen Benutzer meldet; bei Microsoft Entra ID ist das der Benutzerprinzipalname (UPN). Weichen die Adressen ab, schlägt die Anmeldung fehl. Gibt es für die Adresse keine passende Konfiguration oder kein Workist-Konto, zeigt Workist: „SSO ist für dein Unternehmen nicht konfiguriert oder dein Nutzer ist noch nicht für SSO freigeschaltet."

Microsoft Entra ID einrichten

Schritt 1: App in Microsoft Entra ID registrieren

1. Legen Sie im Microsoft Entra Admin Center unter App-Registrierungen eine neue Registrierung an. Als Kontotyp genügen Konten in Ihrem Organisationsverzeichnis.
2. Tragen Sie als Umleitungs-URI für die Plattform Web ein: https://wb.workist.com/login/providers/azure/authorized
3. Erstellen Sie unter Zertifikate & Geheimnisse einen geheimen Clientschlüssel und kopieren Sie seinen Wert. Notieren Sie das Ablaufdatum.
4. Prüfen Sie unter API-Berechtigungen, dass die delegierte Berechtigung User.Read für Microsoft Graph vorhanden ist. Workist liest damit Name und Benutzerprinzipalnamen des angemeldeten Benutzers.
5. Notieren Sie in der Übersicht die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant).

Schritt 2: Konfiguration in Workist anlegen

1. Öffnen Sie Einstellungen → Organisation und wählen Sie links Single Sign-On. Die Seite listet die bestehenden Konfigurationen.

2. Klicken Sie auf die Schaltfläche zum Hinzufügen einer Konfiguration (in der Oberfläche: Add SSO Configuration) und füllen Sie das Formular aus:

   Feld	Was Sie eintragen
   SSO ist für jeden Mitarbeiter erforderlich	Ja: Mitarbeitende melden sich nur noch per SSO an. Die Anmeldung mit E-Mail und Passwort wird abgelehnt.
   Anbieternamen	Geben Sie azure ein (Microsoft Entra ID).
   Domain	Domain der E-Mail-Adressen, z. B. firma.de. Workist ordnet darüber neue Benutzer bei der Selbstregistrierung Ihrem Unternehmen zu.
   Selbstregistrierung zulassen	Ja: Wer eine E-Mail-Adresse dieser Domain hat, aber noch kein Workist-Konto, erhält bei der ersten SSO-Anmeldung automatisch eines (Rolle Member, Standardteam). Nein: Nur bereits angelegte Benutzer können sich anmelden.
   Tenant-ID	Verzeichnis-ID (Mandant) aus der App-Registrierung in Microsoft Entra ID.
   Client-ID	Anwendungs-ID (Client) der App-Registrierung.
   Client-Secret	Wert des geheimen Clientschlüssels. Workist zeigt ihn nach dem Speichern nicht mehr an. Lassen Sie das Feld leer, bleibt der gespeicherte Wert erhalten.

3. Klicken Sie auf Erstellen.

Über das Stift-Symbol einer Zeile bearbeiten Sie eine Konfiguration, über das Papierkorb-Symbol löschen Sie sie.

Schritt 3: Testen. Melden Sie sich mit einem Testbenutzer per SSO an, bevor Sie SSO ist für jeden Mitarbeiter erforderlich aktivieren.

Mehrere Domains: Jede Konfiguration gilt für eine Domain. Haben Ihre Mitarbeitenden E-Mail-Adressen mit verschiedenen Domains, legen Sie je Domain eine Konfiguration an, alle mit derselben App-Registrierung (gleiche Tenant-ID, Client-ID und Client-Secret) und derselben Einstellung für SSO ist für jeden Mitarbeiter erforderlich.

Was sich für Benutzer ändert:

• Nach der ersten Anmeldung per Microsoft Entra ID deaktiviert Workist das Workist-Passwort des Benutzers. Er meldet sich danach nur noch per SSO an; auch Passwort vergessen? hilft ihm nicht mehr.
• Mitarbeitende, die Sie einladen, während SSO eingerichtet ist, erhalten kein Workist-Passwort, sondern eine Einladung zur Anmeldung per SSO.

Client-Secret läuft ab

Ein geheimer Clientschlüssel in Microsoft Entra ID hat ein Ablaufdatum. Danach kann sich niemand mehr per SSO anmelden. Erstellen Sie rechtzeitig einen neuen Schlüssel und tragen Sie seinen Wert in Workist unter Client-Secret ein.

SAML einrichten

Schritt 1: Adressen von Workist abrufen

1. Öffnen Sie Einstellungen → Organisation und wählen Sie links SAML.
2. Tragen Sie die Domain ein und klicken Sie auf Speichern. Danach zeigt die Seite, gegebenenfalls nach dem Neuladen, die SP Metadaten-URL und die Assertion Consumer Service (ACS) URL.

Schritt 2: Anwendung im Identitätsanbieter anlegen

Legen Sie in Ihrem Identitätsanbieter eine SAML-Anwendung an. Viele Identitätsanbieter übernehmen die Werte direkt von der SP Metadaten-URL. Sonst tragen Sie ein:

• als Entity ID bzw. Audience die SP Entity ID von der Workist-Seite,
• als Antwort-URL (ACS) die Assertion Consumer Service (ACS) URL,
• als NameID die E-Mail-Adresse des Benutzers im Format emailAddress.

Die E-Mail-Adresse muss genau der E-Mail-Adresse des Benutzers in Workist entsprechen.

Schritt 3: Angaben des Identitätsanbieters in Workist eintragen

Feld	Was Sie eintragen
SAML ist für jeden Mitarbeiter erforderlich	Ja: Mitarbeitende melden sich nur noch per SAML an. Die Anmeldung mit E-Mail und Passwort wird abgelehnt.
Domain	Domain der E-Mail-Adressen Ihrer Mitarbeitenden, z. B. firma.de.
Selbstregistrierung zulassen	Hat bei SAML keine Wirkung. Anmelden können sich nur Benutzer, die in Workist bereits angelegt sind.
IdP Entity ID	Entity ID (Aussteller) Ihres Identitätsanbieters.
IdP SSO URL	Single-Sign-On-URL Ihres Identitätsanbieters für das HTTP-Redirect-Binding.
IdP SLO URL (Einzelabmeldung)	Optional.
IdP X.509-Zertifikat	Signaturzertifikat Ihres Identitätsanbieters (Base64). Workist zeigt es nach dem Speichern nicht mehr an. Lassen Sie das Feld leer, bleibt das gespeicherte Zertifikat erhalten.
SP Entity ID	Nur lesbar. Kennung von Workist. Tragen Sie sie beim Identitätsanbieter als Entity ID bzw. Audience ein.
SP Name ID-Format	Nur lesbar. Workist erwartet als NameID die E-Mail-Adresse (emailAddress).
SP Metadaten-URL	Nur lesbar, erscheint nach dem ersten Speichern. Metadaten von Workist; viele Identitätsanbieter übernehmen die Einstellungen direkt von dieser Adresse.
Assertion Consumer Service (ACS) URL	Nur lesbar, erscheint nach dem ersten Speichern. Antwort-URL, die Sie beim Identitätsanbieter eintragen.
Signierte Assertions erforderlich	Ja: Workist akzeptiert nur signierte Assertions. Empfohlen.
Signierte Nachrichten erforderlich	Ja: Workist verlangt zusätzlich, dass die gesamte SAML-Antwort signiert ist.
Attribut-Mapping (JSON)	Optional. Nur nötig, wenn Ihr Identitätsanbieter die E-Mail-Adresse weder als NameID noch im Attribut http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress sendet. Beispiel: {"email": "mail"}. Workist liest aus der Antwort nur die E-Mail-Adresse.

Klicken Sie auf Speichern.

Schritt 4: Benutzer anlegen und testen. Per SAML können sich nur Benutzer anmelden, die in Workist bereits angelegt sind. Laden Sie Ihre Mitarbeitenden ein, siehe Mitarbeitende einladen, und testen Sie die Anmeldung, bevor Sie SAML ist für jeden Mitarbeiter erforderlich aktivieren.

Zu beachten:

• Starten Sie die Anmeldung immer auf der Workist-Anmeldeseite über Ohne Passwort anmelden (SSO). Eine Anmeldung aus dem Portal Ihres Identitätsanbieters heraus unterstützt Workist nicht.
• Eine Anmeldung per SAML deaktiviert das Workist-Passwort nicht. Soll niemand mehr das Passwort verwenden, aktivieren Sie SAML ist für jeden Mitarbeiter erforderlich.

Anmeldung nur per SSO erlauben

Mit SSO ist für jeden Mitarbeiter erforderlich (Microsoft Entra ID) bzw. SAML ist für jeden Mitarbeiter erforderlich lehnt Workist die Anmeldung mit E-Mail und Passwort für alle Benutzer Ihres Unternehmens ab, auch für Admins. Sie erhalten die Meldung „Anmeldung über SSO ist für dieses Konto erforderlich." Aktivieren Sie die Option erst, wenn die Anmeldung per SSO funktioniert.

API-Schlüssel

Mit einem API-Schlüssel greifen Ihre Systeme über die Workist-API auf Workist zu. Ein Schlüssel gehört zum Unternehmen, nicht zu einer Person. Schlüssel verwalten Benutzer mit den Rollen IT und Admin unter Einstellungen → Integrationen → API-Integrationen:

• Anlegen: Integration konfigurieren → Integrationsname eingeben, optional ein Ablaufdatum wählen und festlegen, für welche Kanäle der Schlüssel gilt: Zugriff auf alle Kanäle gewähren oder einzelne Kanäle je Dokumentart. Dann Integration erstellen.
• Schlüssel kopieren: Workist zeigt den Schlüssel nur einmal an. Kopieren Sie ihn sofort und bewahren Sie ihn sicher auf.
• Ablaufdatum: Nach dem Ablaufdatum lehnt Workist Anfragen mit diesem Schlüssel ab. Über Integration bearbeiten verlängern Sie das Datum.
• Erneuern: API-Schlüssel erneuern erzeugt einen neuen Schlüssel. Der alte gilt ab sofort nicht mehr.
• Löschen: Integration löschen macht den Schlüssel sofort ungültig.

Schlüssel, die Workist für ein Outlook-Add-In erzeugt, erscheinen nicht in dieser Liste.