---
title: "Enterprise SSO"
description: "Lassen Sie Ihr Team sich über den Identitätsanbieter Ihres Unternehmens bei ThunderPhone anmelden – mit Just-in-Time-Bereitstellung und einer unternehmensweiten Sicherheitsrichtlinie, die Sie kontrollieren."
---

Enterprise SSO befindet sich unter **Einstellungen → Organisation** (Tab „Allgemein“) in der Karte **Enterprise SSO**. Aktivieren Sie den Schalter **Single Sign-on**, um die Konfiguration anzuzeigen. Nur **Administratoren** und **Inhaber** der Organisation können diese Einstellungen sehen oder ändern.

## Sicherheitsrichtlinie

Drei organisationsweite Schalter, die zusammen mit **Richtlinie speichern** gespeichert werden:

- **SSO für die Anmeldung erforderlich** — Mitglieder müssen sich über Ihren Identitätsanbieter authentifizieren.
- **Notfall-Passwortanmeldung für Administratoren zulassen** — ein Notfallzugang per Passwort für Administratoren, während SSO erzwungen wird (nur konfigurierbar, wenn die Erzwingung aktiviert ist).
- **Passkeys für den Zugriff auf die Organisation erforderlich** — jedes Mitglied muss einen [Passkey](/de/guides/account-and-security) registrieren und eine Passkey-Prüfung nach der Anmeldung bestehen. Mitglieder ohne Passkey erhalten eine **Kulanzfrist von 3 Tagen**, um ihn einzurichten; im Richtlinienbereich wird angezeigt, wie viele Mitglieder noch einen benötigen.

<Note>
  **API-Schlüssel der Organisation [API keys](/de/guides/api-keys) sind von dieser Anforderung ausgenommen.**
  Passkeys sind eine an eine Anmeldesitzung gebundene 2FA-Prüfung für Personen; Server-API-Schlüssel (`sk_live_...`) sind Maschinenanmeldedaten ohne Sitzung, an die eine Passkey-Prüfung angehängt werden könnte. Daher authentifizieren sie sich auch bei aktivierter Richtlinie weiterhin — absichtlich, nicht versehentlich. Wenn die Anforderung aktiviert ist und Ihre Organisation aktive API-Schlüssel besitzt, zeigt der Richtlinienbereich an, wie viele davon ausgenommen sind, mit einem Link zu **Organisation → Schlüssel**, damit Administratoren alle Schlüssel prüfen oder widerrufen können, die nicht mehr aktiv sein sollten.
</Note>

## SSO-Verbindungen

Das SSO von ThunderPhone basiert auf Stytch. **Verbindung hinzufügen** erstellt eine Verbindung mit:

| Feld | Funktion |
| --- | --- |
| **Verbindungsname** | Eine Bezeichnung, z. B. „Acme Workspace SSO“. |
| **Standardrolle für neue Benutzer** | Mitglied, Administrator oder Inhaber für über SSO erstellte Konten. |
| **Stytch-Organisations-Slug / ID** | Identifiziert Ihre Stytch-Organisation, die die Verbindung unterstützt. |
| **Zulässige E-Mail-Domains** | Durch Kommas getrennte Domains, die sich darüber anmelden dürfen. |
| **Gruppen-zu-Rollen-Zuordnungen** | JSON-Array zur Zuordnung von IdP-Gruppen zu Rollen, z. B. `[{"group":"it-admins","role":"admin"}]`. |
| **JIT-Bereitstellung aktivieren** | Erstellt ThunderPhone-Konten automatisch bei der ersten SSO-Anmeldung. |
| **Verbindung aktiv** | Deaktivieren, ohne sie zu löschen. |

Das Löschen einer Verbindung entfernt sie dauerhaft — Benutzer, die sich darüber angemeldet haben, können sie nicht mehr verwenden.

<Note>
  Für die Einrichtung auf Seiten des Identitätsanbieters ist eine Stytch-Organisation erforderlich. Wenn Sie diese Kennungen nicht haben, wenden Sie sich an den [Support](mailto:support@thunderphone.com), damit Ihre Organisation bereitgestellt wird.
</Note>

## Nächste Schritte

<CardGroup cols={2}>
  <Card title="Ihr Team einladen" icon="user-plus" href="/de/guides/invite-your-team">
    Rollen und Einladungen für Mitglieder, die außerhalb von SSO beitreten.
  </Card>
  <Card title="Konto & Sicherheit" icon="shield" href="/de/guides/account-and-security">
    So sieht die Passkey-Anforderung für jedes Mitglied aus.
  </Card>
</CardGroup>