Unternehmens-SSO (OIDC) & Multi-Faktor-Authentifizierung (MFA)

Ort der Konfiguration

Unternehmensadministratoren erreichen diese Einstellungen über Einstellungen → Unternehmen, in den Tabs Anmeldemethoden und Zwei-Faktor-Authentifizierung.

Unternehmens-VPN, -Proxy oder -Firewall

Wenn sich Ihre Benutzer hinter einem VPN, einem Unternehmens-Proxy oder einer Firewall mit SSL-Inspektion anmelden, können einige SSO-Flüsse blockiert oder verändert werden (Status-Cookie entfernt, Identitätsdomänen nicht erreichbar). Das typische Symptom ist eine Anmeldung, die fehlschlägt oder in einer Schleife läuft — während SSO ohne VPN funktioniert. Geben Sie Ihrem Netzwerkteam die Netzwerkfluss-Matrix, um die erforderlichen Domänen ohne SSL-Inspektion und ohne Cookie-Umschreibung freizugeben.

Verfügbare Anmeldemethoden

FoxPlan unterstützt mehrere Authentifizierungsansätze:

• Passwort
• Google Sign-in
• Microsoft Sign-in
• Unternehmens-SSO (OIDC)

Wichtig

Unternehmensadministratoren behalten immer die Anmeldung per Passwort, selbst wenn diese für das Unternehmen deaktiviert ist. So wird vermieden, dass man aus FoxPlan ausgesperrt wird, falls der Identitätsanbieter nicht verfügbar ist.

Ausnahmen: das Passwort für bestimmte Benutzer beibehalten

Wenn Sie Ihre Organisation auf SSO umstellen, können Sie die Passwort-Anmeldung für alle außer einer Liste ausgewählter Benutzer deaktivieren.

Deaktivieren Sie das Kontrollkästchen Passwort: Unter den Kontrollkästchen erscheint dann ein Auswahlfeld „Ausnahmen: Benutzer, die das Passwort behalten". Wählen Sie dort die betroffenen Benutzer aus und speichern Sie.

Diese Benutzer sehen weiterhin das Passwortfeld auf dem Anmeldebildschirm, während alle anderen über SSO oder die Google-/Microsoft-Anmeldung gehen müssen.

Typische Anwendungsfälle:

• Notfallkonten („Break-glass") für den Fall eines Ausfalls des Identitätsanbieters
• Dienstleister oder Externe, die nicht in Ihrem Unternehmensverzeichnis enthalten sind
• Schrittweise Migration: die Teams in Wellen auf SSO umstellen

Tipp

Das Auswahlfeld ist nur sichtbar, wenn die Methode Passwort deaktiviert ist: Solange sie aktiv ist, gilt sie bereits für alle, und keine Ausnahme ist erforderlich.

MFA-Optionen

Organisationen können wählen zwischen:

• TOTP (kompatibel mit Google Authenticator, Microsoft Authenticator, Okta, Keycloak)
• Verifizierung per E-Mail
• Kein MFA

Geltungsbereich: für wen die Zwei-Faktor-Authentifizierung gilt

Sobald eine Methode ausgewählt ist (TOTP oder E-Mail), erlaubt ein Abschnitt „Gilt für" die Auswahl der betroffenen Benutzergruppe:

Option	Wirkung
Alle Benutzer	Die Zwei-Faktor-Authentifizierung gilt für das gesamte Unternehmen (Standardverhalten).
Nur die aufgeführten Benutzer	Nur die ausgewählten Benutzer durchlaufen die Zwei-Faktor-Authentifizierung.
Alle Benutzer außer den aufgeführten	Die Zwei-Faktor-Authentifizierung gilt überall, außer für die ausgewählten Benutzer.

Für die beiden letztgenannten Modi steht ein Auswahlfeld zur Verfügung, um die betroffenen Benutzer zu bestimmen.

Typische Anwendungsfälle:

• Schrittweise Einführung: mit „Nur die aufgeführten Benutzer" und einem Pilotteam beginnen, dann auf „Alle Benutzer" umstellen.
• Gezielte Verstärkung: die Zwei-Faktor-Authentifizierung nur für Administratoren und sensible Profile verlangen.
• Technische Ausnahmen: Konten, die keine MFA-Abfrage beantworten können (Servicekonten, gemeinsam genutzte Terminals), über „Alle Benutzer außer den aufgeführten" ausnehmen.

Der Geltungsbereich wird serverseitig durchgesetzt: Ein Benutzer außerhalb des Geltungsbereichs meldet sich direkt an, ohne MFA-Abfrage, selbst wenn eine Methode für das Unternehmen aktiv ist.

Vorsicht

Im Modus „Alle Benutzer außer den aufgeführten" stellt jeder ausgenommene Benutzer eine Schwächung des Sicherheitsniveaus dar. Überprüfen Sie diese Liste regelmäßig.

Anmeldeablauf

1. Der Benutzer gibt seine E-Mail-Adresse ein und fährt fort
2. FoxPlan ermittelt das zugehörige Unternehmen
3. Die für diese Organisation verfügbaren Authentifizierungsmethoden werden angezeigt
4. Der Benutzer wählt je nach aktivierten Optionen Passwort oder SSO

Bei Passwortabläufen greifen die MFA-Abfragen. SSO-Abläufe delegieren die Authentifizierung an den Identitätsanbieter.

Konfiguration des Unternehmens-SSO (OIDC)

FoxPlan unterstützt OIDC-Anbieter: Okta, Keycloak, Google, Microsoft sowie individuelle Implementierungen.

Auf Seiten des Identitätsanbieters:

• Eine OIDC-Anwendung vom Typ Web anlegen
• Weiterleitungs-URL: {origin}/login/oauth2/code/{registrationId}
• Client ID, Client Secret und Issuer URI erfassen

Im SSO-Formular von FoxPlan:

• Auswahl des Anbieters
• Anzeigename
• Client ID und Client Secret
• Issuer URI
• Scopes: openid,profile,email
• Username-Attribut (typischerweise sub oder email)
• Aktivierungsschalter

Konfiguration je Anbieter

Google — Issuer URI: https://accounts.google.com

Microsoft / Azure — Issuer: https://login.microsoftonline.com/{tenantId}/v2.0

Okta — Web-App-Typ mit passender Zuweisung und passenden Zugriffsrichtlinien

Keycloak — Issuer URI des Realms, konfigurierter Authorization-Code-Flow

Fehlerbehebung

Prüfen Sie bei Authentifizierungsproblemen folgende Punkte:

• Die Weiterleitungs-URL stimmt zwischen IdP und FoxPlan exakt überein
• Die SSO-Konfiguration ist tatsächlich aktiviert
• Die E-Mail-Adresse des Benutzers gehört zum richtigen Unternehmen
• Prüfen Sie bei Okta/Azure/Keycloak die Zuweisung und die Einhaltung der Policies
• Prüfen Sie bei Benutzern mit Passwort+MFA die Registrierung (TOTP-Secret oder gültige E-Mail)