Single Sign-on mit jedem SAML-Anbieter

MuchSkills funktioniert mit jedem Identitätsanbieter, der SAML 2.0 unterstützt. Diese Anleitung nennt die Werte, die Ihr Anbieter abfragt, die Schritte auf der MuchSkills-Seite und kurze Hinweise zu OneLogin, JumpCloud, PingOne und AD FS.

Aktualisiert 8. Oktober 2026

Anbindung auf AnfrageAdmins und HRIT

Wer: Ein MuchSkills-Owner oder -Admin, gemeinsam mit einem Administrator Ihres Identitätsanbieters
So funktioniert die Anbindung: Der Support fügt Ihre E-Mail-Domain hinzu, den Rest erledigen Sie unter Settings › Security & SAML
Standard: SAML 2.0, mit der E-Mail-Adresse als Name ID
Pakete: In allen Tarifen enthalten

How to

So funktioniert es

Ihr Identitätsanbieter bestätigt, wer eine Person ist, und sendet MuchSkills eine signierte SAML-Nachricht mit ihrer E-Mail-Adresse. MuchSkills ordnet diese Adresse dem Konto der Person zu und meldet sie an. Die Anmeldeadresse und das Zertifikat Ihres Anbieters liest MuchSkills aus der Metadaten-URL, die Sie einfügen. Single Sign-on gilt nur für E-Mail-Adressen auf den Domains, die der Support für Sie hinzugefügt hat.

Bevor Sie beginnen

In MuchSkills: die Rolle Owner oder Admin. Nur diese Rollen können die Seite Security & SAML öffnen.
In Ihrem Identitätsanbieter: ein Administrator, der eine benutzerdefinierte SAML-App anlegen und Personen Zugriff darauf geben kann.
Ihre E-Mail-Domains. Listen Sie jede Domain auf, mit der sich Ihre Mitarbeitenden anmelden. Der Support fügt sie in Schritt 1 für Sie hinzu.
Übereinstimmende E-Mail-Adressen. MuchSkills erkennt Personen an ihrer E-Mail-Adresse. Die E-Mail-Adresse, die Ihr Anbieter sendet, sollte die Adresse sein, die die jeweilige Person für MuchSkills nutzt.
Einige Testnutzer. Geben Sie zuerst sich selbst und zwei oder drei Kollegen Zugriff. Erzwingen Sie Single Sign-on erst, wenn diese sich anmelden können.

Schritte

In MuchSkills

Bitten Sie den Support, Ihre E-Mail-Domains hinzuzufügen. Schreiben Sie an support@muchskills.com oder nutzen Sie den Chat in MuchSkills. Geben Sie alle Domains an, die Ihre Mitarbeitenden nutzen. Sobald sie hinzugefügt sind, stehen sie unter Email domains auf der Seite Team/Org › Settings › Security & SAML. Bis dahin steht dort No domain added.
Kopieren Sie Ihre SSO URL. Auf derselben Seite kopieren Sie die SSO URL. Sie beginnt mit https://app.muchskills.com/auth/saml/, danach folgt die ID Ihrer Organisation. Lassen Sie den Tab offen.

Team/Org › Settings › Security & SAML: 1 E-Mail-Domains, 2 SSO URL, 3 IDP Metadata URL, 4 Enable SAML.

In Ihrem Identitätsanbieter

Legen Sie eine benutzerdefinierte SAML-2.0-App an. Je nach Anbieter heißt sie Custom App, generische App oder Non-Gallery-App. Die Hinweise unter Wichtig zu wissen nennen den Menüpfad für OneLogin, JumpCloud, PingOne und AD FS.
Tragen Sie die MuchSkills-Werte ein. Die Anbieter verwenden unterschiedliche Namen für dieselben Felder:

Ihr Anbieter fragt nach	Mögliche andere Bezeichnung	Eintragen
ACS URL	Reply URL, Single sign-on URL, Consumer URL, Recipient, SAML 2.0 SSO service URL	Ihre SSO URL aus Schritt 2
SP Entity ID	Audience, Audience URI, Identifier, Relying party trust identifier	Ihre SSO URL (dieselbe wie die ACS URL)
Name ID format	Subject NameID format	E-Mail-Adresse
Name ID value	Username, subject, NameID	Die E-Mail-Adresse der Person, die sie auch in MuchSkills nutzt

Geben Sie Ihren Testnutzern Zugriff. Weisen Sie die App sich selbst und einigen Kollegen zu.
Kopieren Sie die Metadaten-URL. Je nach Anbieter heißt sie Metadata URL, IdP Metadata URL, Issuer URL oder Federation Metadata. Wenn Ihr Anbieter nur eine Datei anbietet, lesen Sie Schritt 7.

Zurück in MuchSkills

Fügen Sie die Metadaten-URL ein. Fügen Sie sie auf Security & SAML in das Feld IDP Metadata URL ein. Das Feld wird freigeschaltet, sobald Ihre Domain hinzugefügt ist. Wenn Sie nur eine Metadatendatei haben, stellen Sie sie unter einer HTTPS-Adresse bereit, die MuchSkills erreichen kann, und fügen Sie diese Adresse ein. Oder senden Sie die Datei an support@muchskills.com, dann fügen wir sie für Sie hinzu. Änderungen werden sofort gespeichert.
Aktivieren Sie Single Sign-on. Schalten Sie Enable SAML ein. Solange Sie es nicht erzwingen, können sich Personen weiterhin mit einem Passwort anmelden.
Testen Sie es. Öffnen Sie ein privates Browserfenster und rufen Sie app.muchskills.com/login auf. Geben Sie die E-Mail-Adresse eines Testnutzers ein und klicken Sie auf Continue. MuchSkills erkennt die Domain und zeigt Continue with SAML an. Klicken Sie darauf, melden Sie sich bei Ihrem Anbieter an, und Sie landen in MuchSkills.
Erzwingen Sie es, wenn Sie möchten. Sobald Ihre Testnutzer hineinkommen, geben Sie in Ihrem Anbieter allen Zugriff, die MuchSkills brauchen, und schalten Sie dann Enforce SAML ein. Personen auf Ihren Domains können sich dann nur noch per SAML/SSO anmelden. Admins können sich weiterhin mit einem Passwort anmelden.

So prüfen Sie, ob es funktioniert

Ihr Testnutzer gelangt nach einem Klick auf Continue with SAML über die Anmeldung Ihres Anbieters zu MuchSkills.
Unter Team/Org › Settings › Manage Members steht bei Personen, die sich per Single Sign-on anmelden, ein SAML-Label neben dem Namen.

Benefits

Ihre Vorteile

Ein Login. Alle nutzen das Konto, das sie bei Ihrem Identitätsanbieter schon haben.
Zugriff an zentraler Stelle. Ihr Anbieter entscheidet, wer sich anmelden darf, nach Ihren eigenen Anmelderichtlinien, etwa mit Multi-Faktor-Authentifizierung.
Wer geht, verliert den Zugriff. Sobald Sie Single Sign-on erzwingen, kann sich niemand mehr bei MuchSkills anmelden, den Sie in Ihrem Anbieter deaktiviert haben.

Important to know

Wichtig zu wissen

OneLogin. Gehen Sie zu Applications › Applications › Add Apps und suchen Sie nach SAML Custom Connector (Advanced). Tragen Sie auf dem Tab Configuration Ihre SSO URL unter Audience (EntityID) ein und Ihre SSO URL ebenso unter Recipient und ACS (Consumer) URL. ACS (Consumer) URL Validator erwartet einen regulären Ausdruck; ^https:\/\/app\.muchskills\.com\/auth\/saml\/.*$ passt auf die SSO URLs von MuchSkills. Belassen Sie SAML nameID format auf Email. Kopieren Sie auf dem Tab SSO die Issuer URL: Das ist die Metadaten-URL für MuchSkills. OneLogin: SAML Custom Connector (Advanced) · OneLogin: SAML-Apps konfigurieren

JumpCloud. Gehen Sie zu Access › SSO Applications › + Add New Application, wählen Sie Custom Application und anschließend Manage Single Sign-On (SSO) sowie Configure SSO with SAML. Vergeben Sie ein Display Label, klicken Sie auf Save Application und dann auf Configure Application. Tragen Sie Ihre SSO URL unter SP Entity ID und ebenso unter ACS URLs ein. Den Namen unter IdP Entity ID legen Sie selbst fest. MuchSkills übernimmt ihn aus den Metadaten. SAMLSubject NameID steht standardmäßig auf E-Mail und kann so bleiben. Speichern Sie und klicken Sie dann auf Copy Metadata URL. Zugriff vergeben Sie über User Groups. JumpCloud: eigene SAML-Connectors · JumpCloud: Connector-Felder

PingOne. Gehen Sie zu Applications › Applications und klicken Sie auf das Plus-Symbol. Geben Sie einen Application Name ein, wählen Sie SAML Application und klicken Sie auf Configure. Wählen Sie Manually Enter, tragen Sie Ihre SSO URL unter ACS URLs und ebenso unter Entity ID ein und klicken Sie dann auf Save. Setzen Sie auf dem Tab Configuration das Subject NameID format auf das Format emailAddress. Ordnen Sie unter Attribute Mappings das Subject der Email Address zu. Aktivieren Sie die Anwendung mit dem Schalter, vergeben Sie den Zugriff auf dem Tab Access mit einer Group Membership Policy und kopieren Sie die IDP Metadata URL vom Tab Overview. PingOne: Anwendung hinzufügen · PingOne: SAML-Einstellungen · PingOne: IdP-Metadaten

AD FS. Klicken Sie in AD FS Management auf Add Relying Party Trust, wählen Sie Claims aware und dann Enter data about the relying party manually. Geben Sie ihr den Namen MuchSkills. Aktivieren Sie unter Configure URL die Option Enable support for the SAML 2.0 WebSSO protocol und tragen Sie Ihre SSO URL als Relying party SAML 2.0 SSO service URL ein. Fügen Sie unter Configure Identifiers Ihre SSO URL hinzu. Wählen Sie eine Zugriffssteuerungsrichtlinie und schließen Sie den Assistenten ab. Öffnen Sie dann Edit Claim Issuance Policy und fügen Sie zwei Regeln hinzu: Send LDAP Attributes as Claims, die E-Mail-Addresses auf E-Mail Address abbildet, und Transform an Incoming Claim, die E-Mail Address in Name ID mit dem Format Email umwandelt. Ihre Metadaten-URL besteht aus Ihrem AD-FS-Host, gefolgt von /FederationMetadata/2007-06/FederationMetadata.xml, zum Beispiel https://sts.example.com/FederationMetadata/2007-06/FederationMetadata.xml. Sie muss aus dem Internet erreichbar sein. Microsoft: Vertrauensstellung der vertrauenden Seite erstellen · Microsoft: LDAP-Attribute als Ansprüche senden · Microsoft: eingehenden Anspruch transformieren · Microsoft: der Endpunkt für Verbundmetadaten

E-Mail-Adressen müssen übereinstimmen. Weicht die Adresse, die Ihr Anbieter sendet, von der E-Mail-Adresse im MuchSkills-Konto der Person ab, kann MuchSkills sie nicht zuordnen.

Single Sign-on regelt nur die Anmeldung. Um Personen automatisch in MuchSkills aufzunehmen, nutzen Sie SCIM-Provisioning, sofern Ihr Anbieter es unterstützt, oder binden Sie Ihr HR-System an.

Zertifikatswechsel werden automatisch übernommen. MuchSkills liest das Signaturzertifikat aus Ihrer Metadaten-URL, daher erfordert ein Zertifikatswechsel bei Ihrem Anbieter keine Änderung in MuchSkills. Wenn Sie selbst eine Metadatendatei bereitstellen, ersetzen Sie die Datei, sobald sich das Zertifikat ändert.

Domains richtet MuchSkills ein. Wir fügen Ihre E-Mail-Domains hinzu, wenn wir SAML für Sie konfigurieren; Admins können sie nicht in der App hinzufügen. Um später eine Domain hinzuzufügen oder zu entfernen, wenden Sie sich an den Support.

Admins behalten den Zugang per Passwort. Wenn Enforce SAML aktiv ist, können sich Admins weiterhin mit einem Passwort anmelden. Schützen Sie diese Passwort-Anmeldungen mit Zwei-Faktor-Authentifizierung.

Common errors

Fehlerbehebung

Was Sie sehen	Ursache	Lösung
Ihr Anbieter lehnt die Anfrage ab und verweist auf Audience, Issuer oder Entity	Die SP Entity ID in Ihrem Anbieter stimmt nicht mit der Entity ID überein, die MuchSkills sendet	Tragen Sie Ihre SSO URL exakt ein, inklusive der ID Ihrer Organisation am Ende. Bei vielen Anbietern kommt es auf Groß- und Kleinschreibung an
Ihr Anbieter lehnt die Anfrage ab und verweist auf die ACS URL oder Reply URL	Die ACS URL in Ihrem Anbieter entspricht nicht exakt Ihrer SSO URL	Kopieren Sie die SSO URL erneut aus Security & SAML
Sie melden sich bei Ihrem Anbieter an, gelangen aber nicht zu MuchSkills	Die Name ID ist nicht die E-Mail-Adresse, oder die Metadaten-URL kann nicht gelesen werden	Prüfen Sie die Name-ID-Einstellungen. Öffnen Sie außerdem die Metadaten-URL im Browser und sehen Sie nach, ob sie lädt
This email is not configured to use SAML/SSO	Die Domain der E-Mail-Adresse ist nicht unter Email domains aufgeführt, oder Enable SAML ist ausgeschaltet	Prüfen Sie die Domains und den Schalter auf Security & SAML. Bitten Sie den Support, eine fehlende Domain hinzuzufügen
No account with this email exists	Zur E-Mail-Adresse, die Ihr Anbieter gesendet hat, gibt es in MuchSkills kein Konto	Prüfen Sie den Name-ID-Wert. Laden Sie die Person ein, falls sie noch kein Konto hat
Das Feld IDP Metadata URL ist ausgegraut	Es wurde noch keine E-Mail-Domain hinzugefügt	Bitten Sie den Support, Ihre Domains hinzuzufügen (Schritt 1)
Enable SAML lässt sich nicht einschalten	Es ist noch keine Domain oder keine IDP Metadata URL hinterlegt	Schließen Sie zuerst die Schritte 1 und 7 ab
This email is enforced to log in using SAML/SSO	Enforce SAML ist aktiv und die Person wollte sich mit Passwort anmelden	Klicken Sie auf Continue with SAML und melden Sie sich bei Ihrem Anbieter an

Häufig gestellte Fragen

Funktioniert MuchSkills mit unserem Identity Provider?

Ja, wenn er SAML 2.0 unterstützt und die E-Mail-Adresse als Name ID senden kann. Das gilt für OneLogin, JumpCloud, PingOne, AD FS und die meisten anderen. Für Microsoft Entra ID, Okta und Google Workspace gibt es eigene Schritt-für-Schritt-Anleitungen.

Welche Werte braucht unser Identity Provider von MuchSkills?

Zwei: die ACS URL, nämlich die SSO URL in Ihrer Ansicht Security & SAML, und die Entity ID. Das ist dieselbe SSO URL mit der ID Ihrer Organisation am Ende.

Was braucht MuchSkills von unserem Identity Provider?

Eine Metadaten-URL. Tragen Sie sie in der Ansicht Security & SAML unter IDP Metadata URL ein. MuchSkills entnimmt ihr die Anmeldeadresse und das Zertifikat.

Unser Anbieter stellt nur eine Metadatendatei bereit. Was tun wir?

Hosten Sie die Datei unter einer HTTPS-Adresse, die MuchSkills erreichen kann, und fügen Sie diese Adresse ein. Oder senden Sie die Datei an den Support, und wir hinterlegen sie für Sie.

Welche Name ID sollten wir senden?

Die E-Mail-Adresse der Person im E-Mail-Adressformat. Es muss die Adresse sein, die sie für MuchSkills verwendet.

Können wir es zuerst mit wenigen Personen ausprobieren?

Ja. Geben Sie in Ihrem Identity Provider nur Ihren Testbenutzern Zugriff auf die App und lassen Sie Enforce SAML ausgeschaltet. Alle anderen melden sich weiterhin wie bisher an.

Können sich Personen weiterhin mit Passwort anmelden?

Ja, bis Sie Enforce SAML einschalten. Danach können sich Personen mit einer E-Mail-Adresse auf Ihren Domains nur noch per SAML/SSO anmelden. Admins können sich weiterhin mit Passwort anmelden.

Kann unser Identity Provider auch Benutzer in MuchSkills anlegen?

Ja, sofern er SCIM 2.0 unterstützt. Mehr dazu unter SCIM-Provisionierung: So funktioniert es.

Ist Single Sign-on in unserem Tarif enthalten?

Ja. Alle MuchSkills-Tarife enthalten Single Sign-on (SAML) und SCIM-Provisionierung.