Single Sign-On und Zwei-Faktor-Authentifizierung verpflichtend machen

Mit zwei Schaltern auf der Seite Security & SAML legen Sie strengere Regeln für die Anmeldung bei MuchSkills fest. Mit Enforce SAML ist Single Sign-On für Ihre E-Mail-Domains der einzige Weg zur Anmeldung. Mit Enforce two-factor authentication müssen alle, die sich per Passwort anmelden, die Anmeldung zusätzlich über eine Authenticator-App bestätigen.

Aktualisiert 3. Oktober 2026

Admins und HRIT

Wer: Owner oder Admin in MuchSkills
Wo: Team/Org › Settings › Security & SAML
SAML verpflichtend machen (Enforce SAML): Setzt voraus, dass Single Sign-On eingerichtet und aktiviert ist
Zwei-Faktor-Authentifizierung: Gilt für Anmeldungen per Passwort, mit Authenticator-App

How to

So funktioniert es

Drei Schalter unter Team/Org › Settings › Security & SAML legen fest, wie sich Personen anmelden.

Schalter	Funktion	Verfügbar, wenn
Enable SAML	Personen mit einer E-Mail-Adresse auf Ihren Domains können sich über Ihren Identity Provider anmelden	Eine E-Mail-Domain hinzugefügt und die IDP Metadata URL ausgefüllt ist
Enforce SAML	Personen mit einer E-Mail-Adresse auf Ihren Domains können sich nur noch per SAML/SSO anmelden. Admins können sich weiterhin mit Passwort anmelden	Enable SAML aktiviert ist
Enforce two-factor authentication (2fa) for your team	Alle, die sich mit Passwort anmelden, müssen zusätzlich einen Code aus einer Authenticator-App eingeben	Immer

Die Zwei-Faktor-Authentifizierung in MuchSkills schützt Anmeldungen mit Passwort. Wer sich per Single Sign-On oder über Log in with Google anmeldet, richtet sie nicht in MuchSkills ein. Für diese Personen gelten die Prüfungen ihres Identity Providers.

(1) Enable SAML, (2) Enforce SAML, (3) Enforce two-factor authentication

Bevor Sie beginnen

In MuchSkills: die Rolle Owner oder Admin. Nur diese Rollen haben Zugriff auf die Seite Security & SAML.
Für Enforce SAML: Single Sign-On ist eingerichtet, Enable SAML ist aktiviert und Ihre Testnutzer können sich anmelden. Wie das geht, beschreiben die Anleitungen für Microsoft Entra ID, Okta, Google Workspace und andere SAML-Anbieter.
Für die Zwei-Faktor-Authentifizierung: Die Personen brauchen ein Smartphone mit einer Authenticator-App, etwa Google Authenticator, Authy, Duo Mobile oder 1Password.
Informieren Sie vorab. Teilen Sie mit, was sich wann ändert, damit bei der nächsten Anmeldung niemand überrascht wird.

Schritte

Single Sign-On verpflichtend machen

Prüfen Sie, ob Single Sign-On funktioniert. Melden Sie sich auf der MuchSkills-Anmeldeseite als Testnutzer über Continue with SAML an.
Geben Sie in Ihrem Identity Provider allen Zugriff. Weisen Sie die MuchSkills-App allen Personen und Gruppen Ihrer Domains zu, die MuchSkills nutzen. Wer keinen Zugriff hat, kann sich nach der Umstellung nicht mehr anmelden.
Schalten Sie Enforce SAML ein. Aktivieren Sie auf der Seite Security & SAML die Option Enforce SAML. Ihre Änderungen werden sofort gespeichert.
Erklären Sie allen, wie die Anmeldung jetzt funktioniert. Auf der Anmeldeseite geben die Nutzer ihre geschäftliche E-Mail-Adresse ein, klicken auf Continue und anschließend auf Continue with SAML. Mit ihrem Passwort kommen sie nicht mehr hinein.

Zwei-Faktor-Authentifizierung verpflichtend machen

Aktivieren Sie Enforce two-factor authentication (2fa) for your team. Den Schalter finden Sie auf derselben Seite.
Die Nutzer richten die Funktion beim nächsten Besuch ein. Alle, die sich mit Passwort anmelden, sehen ein Banner mit dem Hinweis Activate two-factor authentication und der Schaltfläche Activate now. Sie scannen den QR-Code, um eine Authenticator-App zu verknüpfen, geben den in der App angezeigten Code ein und klicken auf Validate.
Behalten Sie den Überblick. Unter Team/Org › Settings › Manage Members steht neben jedem Nutzer mit Passwortanmeldung das Label 2FA. Grün bedeutet, dass die Einrichtung erledigt ist, Rot, dass sie noch fehlt. Erinnern Sie alle mit rotem Label an die Einrichtung.

Funktioniert alles?

Ein Testnutzer auf Ihren Domains, der es mit einem Passwort versucht, sieht die Meldung This email is enforced to log in using SAML/SSO.
Sobald Sie Ihre eigene Authenticator-App verknüpft haben, werden Sie bei Ihrer nächsten Anmeldung mit Passwort nach einem Code aus der App gefragt.
Unter Team/Org › Settings › Manage Members werden die 2FA-Labels grün, sobald die Personen die Einrichtung abgeschlossen haben.

Benefits

Ihr Nutzen

Ein einziger Anmeldeweg für Ihre Domains. Die Richtlinien Ihres Identity Providers, etwa Multi-Faktor-Authentifizierung und Zugriffsprüfungen, gelten für jede MuchSkills-Anmeldung auf Ihren Domains.
Sicherere Anmeldung mit Passwort. Admins und alle Personen außerhalb Ihrer Domains brauchen neben dem Passwort auch einen Code.
Klarer Überblick. Die Labels unter Manage Members zeigen, wer sich per Single Sign-On anmeldet, wer über Google und wer die Zwei-Faktor-Authentifizierung eingerichtet hat.

Important to know

Wichtig zu wissen

Admins behalten den Passwortzugang. Auch bei aktiviertem Enforce SAML können sich Admins weiterhin mit Passwort anmelden. So behalten Sie die Kontrolle, falls Ihr Identity Provider ausfällt. Erzwingen Sie zusätzlich die Zwei-Faktor-Authentifizierung, damit auch für diese Passwort-Anmeldungen ein Code nötig ist.

Enforce SAML betrifft nur Ihre Domains. Personen mit einer E-Mail-Adresse auf einer anderen Domain, etwa Freelancer oder Partner, melden sich weiterhin mit Passwort oder über Google an. Die Zwei-Faktor-Authentifizierung gilt für sie, wenn Sie sie verpflichtend machen.

Jeder kann sie auch selbst einschalten. Wer sich mit Passwort anmeldet, kann die Zwei-Faktor-Authentifizierung unter Profile Settings › Account selbst aktivieren: im Abschnitt Two-factor authentication über Authenticator app.

Handy verloren? Auf der Seite zur Codeeingabe öffnet sich über I can't connect using a 2FA code eine E-Mail an support@muchskills.com. Der Support hilft dann, wieder Zugriff zu bekommen.

Rückgängig machen. Owner und Admins können beide Schalter unter Security & SAML wieder ausschalten.

Common errors

Fehlerbehebung

Was Sie sehen	Ursache	Was zu tun ist
This email is enforced to log in using SAML/SSO	Enforce SAML ist aktiviert und die Person hat es mit einem Passwort versucht	Auf Continue with SAML klicken und über den Identity Provider anmelden
This email is not configured to use SAML/SSO	Die E-Mail-Adresse gehört zu keiner Domain, die unter Email domains eingetragen ist, oder Enable SAML ist deaktiviert	Mit Passwort anmelden oder den Support bitten, die Domain hinzuzufügen
Enforce SAML lässt sich nicht aktivieren	Enable SAML ist deaktiviert	Zuerst Enable SAML aktivieren. Dafür sind eine Domain und eine IDP Metadata URL nötig
Jemand kann sich nicht anmelden, nachdem Sie SAML verpflichtend gemacht haben	Die Person ist der MuchSkills-App in Ihrem Identity Provider nicht zugewiesen	Die Person zuweisen oder eine Gruppe, der sie angehört
The code is incorrect	Der Code wurde falsch eingegeben oder ist abgelaufen, oder die Uhrzeit auf dem Smartphone stimmt nicht	Den aktuellen Code eingeben. Datum und Uhrzeit auf dem Smartphone auf automatische Aktualisierung stellen
Wrong key bei der Einrichtung	Der eingegebene Code passt nicht zum gescannten QR-Code	Den QR-Code erneut scannen und den neuen Code eingeben
In den Kontoeinstellungen einer Person fehlt die Option für die Zwei-Faktor-Authentifizierung	Die Person meldet sich per Single Sign-On oder über Google an	In MuchSkills ist nichts zu tun. Multi-Faktor-Authentifizierung im Identity Provider der Person einrichten
Jemand hat das Smartphone mit der Authenticator-App verloren	Die Codes befinden sich auf diesem Smartphone	Die Person klickt auf I can't connect using a 2FA code, um dem Support eine E-Mail zu schreiben

Häufig gestellte Fragen

Wer ist betroffen, wenn wir SAML erzwingen?

Alle, deren E-Mail-Adresse zu einer der Domains unter Email domains gehört. Diese Personen können sich nur noch per SAML/SSO anmelden. Wer eine andere E-Mail-Adresse hat, etwa externe Auftragnehmer, meldet sich wie gewohnt an. Admins können sich weiterhin mit Passwort anmelden.

Können wir uns selbst aussperren?

Admins können sich auch bei erzwungenem SAML weiterhin mit Passwort anmelden. So kann ein Admin jederzeit die Seite „Security & SAML“ öffnen und die Erzwingung wieder abschalten.

Was sehen die Nutzer, nachdem wir die Zwei-Faktor-Authentifizierung erzwungen haben?

Wer sich mit Passwort anmeldet, sieht ein Banner mit der Aufforderung, die Zwei-Faktor-Authentifizierung zu aktivieren. Dazu wird eine Authenticator-App verknüpft, indem man einen QR-Code scannt und den angezeigten Code eingibt. Ab dann wird bei jeder Anmeldung ein Code abgefragt.

Welche Authenticator-Apps funktionieren?

Jede kompatible Authentifizierungs-App, zum Beispiel Google Authenticator, Authy, Duo Mobile oder 1Password. MuchSkills zeigt einen QR-Code zum Scannen an.

Gilt die Zwei-Faktor-Authentifizierung auch für Personen, die sich mit Microsoft, Okta oder Google anmelden?

Nein. Die Zwei-Faktor-Authentifizierung in MuchSkills schützt Anmeldungen mit Passwort. Wer sich per Single Sign-on oder „Log in with Google“ anmeldet, durchläuft die Anmeldeprüfungen des jeweiligen Anbieters. Richten Sie die Multi-Faktor-Authentifizierung daher dort ein.

Was ist, wenn jemand sein Smartphone verliert?

Auf der Seite zur Code-Eingabe klicken Betroffene auf I can't connect using a 2FA code. Damit öffnet sich eine E-Mail an support@muchskills.com, und der Support hilft ihnen, sich wieder anzumelden.

Können Nutzer die Zwei-Faktor-Authentifizierung auch aktivieren, ohne dass wir sie erzwingen?

Ja. Jeder, der sich mit Passwort anmeldet, kann sie unter „Profile Settings › Account“ für das eigene Konto aktivieren.

Können wir beides gleichzeitig erzwingen?

Ja, und diese Kombination ist sinnvoll. SAML deckt alle Nutzer auf Ihren Domains ab, und die Zwei-Faktor-Authentifizierung greift bei allen übrigen Anmeldungen per Passwort, auch bei Ihren Admins.

Wie sehen wir, wer die Zwei-Faktor-Authentifizierung eingerichtet hat?

Sobald Sie 2FA verpflichtend machen, zeigt Team/Org › Settings › Manage Members bei jeder Person, die sich mit Passwort anmeldet, ein 2FA-Label an: grün, wenn sie 2FA eingerichtet hat, rot, wenn nicht.