SSO, Passkeys und Zwei-Faktor-Anmeldung für die Desk-Buchung

Stellen Sie sich Kasia vor, die einzige IT-Verantwortliche eines Unternehmens mit 180 Mitarbeitenden, das gerade auf ein hybrides Büro umgestellt hat. Es ist Montag, 8:40 Uhr. Drei Tickets warten bereits: Ein Kollege hat das Passwort für das Schreibtisch-Buchungstool vergessen, eine Kollegin findet die E-Mail mit ihrem Anmeldecode nicht, und ein Teamleiter fragt, ob der externe Mitarbeiter, der am Freitag gegangen ist, noch einen Parkplatz buchen kann. Kasia hat zwei Jahre damit verbracht, jede Anwendung hinter den Identitätsanbieter des Unternehmens zu bringen. Das Buchungstool ist das einzige, das noch eigene Passwörter hat.

So funktioniert die Anmeldung in Desk & Park, das würde Kasia einrichten, und an dieser einen Stelle bricht das Produkt bewusst mit der Regel „alles über SSO“. Alles davon ist in jedem Tarif verfügbar, auch im kostenlosen Start-Tarif.

Schritt 1: den Identitätsanbieter verbinden (SSO per OpenID Connect)

Desk & Park unterstützt Single Sign-on über OpenID Connect, den Standard, den Microsoft Entra ID, Google Workspace, Okta und die meisten anderen Identitätsanbieter sprechen. Der Ablauf ist der Authorization Code Flow mit PKCE, die für Webanwendungen empfohlene Variante.

Kasia öffnet Organisationseinstellungen → Single Sign-on (SSO) und füllt vier Felder aus:

1. Issuer-URL: für Google https://accounts.google.com, für Entra https://login.microsoftonline.com/<tenant-id>/v2.0 oder der Issuer eines beliebigen anderen OIDC-Anbieters.
2. Client-ID und Client-Secret aus der App-Registrierung, die sie in der Konsole ihres Anbieters anlegt. Das Secret wird verschlüsselt gespeichert und nie wieder angezeigt; um es zu ändern, gibt sie ein neues ein.
3. Zulässige E-Mail-Domain (optional). Ist sie gesetzt, können sich nur Adressen dieser Domain per SSO anmelden. Ein privates Konto, das zufällig beim Anbieter existiert, kommt also nicht hinein.
4. Die Karte zeigt die Redirect-URI, die in die App-Registrierung zurückkopiert wird.

Sie setzt das Häkchen bei SSO-Anmeldung aktivieren und speichert. Die Anmeldeseite zeigt jetzt Mit SSO anmelden, und der Kollege, der sein Passwort vergessen hat, nutzt dasselbe Microsoft- oder Google-Konto wie für seine E-Mails. Eine Organisation verbindet einen Anbieter.

Was SSO allein nicht tut: Konten anlegen

Die erste SSO-Anmeldung legt kein Konto an. Authentifiziert sich jemand erfolgreich beim Anbieter, hat aber kein Desk & Park-Konto, wird er mit dem Hinweis zur Anmeldeseite zurückgeschickt, seinen Admin um eine Einladung zu bitten. Konten legt ein Admin an: einzeln eingeladen, aus einer Liste importiert oder automatisch aus Entra ID oder Okta per SCIM bereitgestellt, was wir in SCIM-Provisionierung und Offboarding beschreiben.

Für Kasias drittes Ticket ist das wichtig: Jemanden beim Anbieter zu sperren, ist nur die Hälfte des Offboardings. Die andere Hälfte ist, das Desk & Park-Konto zu deaktivieren und seine Sitzungen zu beenden, und genau das erledigt SCIM, wenn die Person im Verzeichnis deaktiviert wird.

Wer bei einer SSO-Anmeldung den zweiten Faktor prüft

Meldet sich jemand per SSO an, hat ihn der Identitätsanbieter bereits authentifiziert, deshalb setzt Desk & Park keinen eigenen Code-Schritt obendrauf. Der zweite Faktor ist das, was Ihr Anbieter verlangt. Fordert Ihre Entra- oder Okta-Richtlinie MFA, ist das die MFA, die Ihre Mitarbeitenden durchlaufen.

Schritt 2: die bewusste Ausnahme, Administratoren

Dieser Teil überrascht manche IT-Teams: Administratorkonten können sich nicht per SSO anmelden. Das ist Absicht.

Eine SSO-Anmeldung ordnet die Person über die E-Mail-Adresse zu. Wäre ein Identitätsanbieter jemals falsch konfiguriert oder kompromittiert, könnte, wer ihn kontrolliert, die E-Mail-Adresse eines Admins vorweisen und in die Admin-Konsole des Buchungssystems gelangen. Um diese Tür geschlossen zu halten, nutzen Admins die plattformeigenen Faktoren: ein Passwort, einen Passkey oder einen E-Mail-Code, gefolgt von ihrem Authenticator-Code, sobald sie die Zwei-Faktor-Authentifizierung eingeschaltet haben.

Die praktische Regel für Kasia lautet also: Jedes Admin-Konto sollte unter Einstellungen → Sicherheit die Zwei-Faktor-Authentifizierung einschalten, angefangen mit ihrem eigenen. Das Produkt erzwingt es nicht, und genau deshalb gehört es auf ihre Checkliste.

Schritt 3: Passkeys für alle, die Passwörter hassen

Ein Passkey (WebAuthn) ermöglicht die Anmeldung per Fingerabdruck, Gesichtserkennung oder Geräte-PIN, ohne Passwort, das man sich merken muss oder das abgefischt werden kann. Jeder Benutzer fügt sich unter Einstellungen → Sicherheit → Passkeys selbst einen hinzu („Passkey hinzufügen“), optional mit einem Namen („MacBook“, „iPhone“). Die Liste zeigt, wann jeder Passkey hinzugefügt und zuletzt verwendet wurde, und jeder lässt sich entfernen.

Ein Detail, das für Sicherheitsprüfungen wichtig ist: Ein Passkey, der mit Benutzerverifizierung verwendet wird (Prüfung von Fingerabdruck, Gesicht oder PIN), zählt für sich allein als zwei Faktoren und schließt die Anmeldung ab. Ein Passkey ohne Benutzerverifizierung gilt nur als Besitzfaktor; ein Konto mit eingeschalteter Zwei-Faktor-Authentifizierung bekommt danach also trotzdem den Code-Schritt.

Schritt 4: Zwei-Faktor mit einer Authenticator-App

Die Zwei-Faktor-Authentifizierung in Desk & Park ist TOTP: der sechsstellige Code aus einer Authenticator-App. Jeder Benutzer schaltet sie unter Einstellungen → Sicherheit ein; ab dann fragt jede Anmeldung per Passwort, E-Mail-Code oder Passkey ohne Benutzerverifizierung nach dem Code.

Der Benutzer erhält außerdem Einmal-Wiederherstellungscodes: Geht das Telefon verloren, verschafft ein Code Zugang und ist danach verbraucht. Die Codes lassen sich neu erzeugen, und das Ein- oder Ausschalten der Zwei-Faktor-Authentifizierung wird im Sicherheitsprotokoll festgehalten.

Schritt 5: Sitzungen, die Sie sehen und beenden können

Unter Einstellungen → Sicherheit → Aktive Sitzungen sieht jeder Benutzer, wo er angemeldet ist (Browser, Betriebssystem, IP-Adresse, Startzeit), und kann jede Sitzung widerrufen oder sich Überall abmelden.

Im Hintergrund leisten zwei weitere Mechanismen stille Arbeit:

• Rotation der Refresh-Token. Bei jeder Verlängerung einer Sitzung wird das alte Token ersetzt. Wird ein bereits verwendetes Token erneut vorgelegt, ein Zeichen dafür, dass es kopiert wurde, wird die gesamte Sitzung beendet.
• Sperre nach wiederholten Fehlversuchen. Nach wiederholten Fehlversuchen werden weitere Versuche eine Zeit lang blockiert, und die Sperre erscheint im Sicherheitsprotokoll.

Praxistipps für die Einführung

• Beginnen Sie mit den Admins. Stellen Sie vor der Ankündigung von SSO sicher, dass jeder Admin die Zwei-Faktor-Authentifizierung eingeschaltet und einen Passkey hinzugefügt hat. SSO können sie nicht nutzen, ihre eigene Anmeldung muss also stark sein.
• Legen Sie die zulässige E-Mail-Domain fest, wenn Ihr Identitätsanbieter auch Gast- oder Privatkonten enthält.
• Entscheiden Sie, wie Konten entstehen. Für ein kleines Büro reichen Einladungen. Für alles Größere verbinden Sie SCIM, damit Ein- und Austritte aus dem Verzeichnis übernommen werden.
• Halten Sie die Ankündigung kurz. „Nutzen Sie ‚Mit SSO anmelden‘, dasselbe Konto wie für Ihre E-Mails“ genügt.
• Lesen Sie ab und zu den Sicherheitsfeed. Anmeldungen, Fehlversuche, Sperren und Änderungen an der Zwei-Faktor-Authentifizierung erscheinen im Admin-Audit-Log; wir beschreiben es in Audit-Log und transparenter Supportzugriff.

Umfang: was die Funktion nicht leistet

Um die Erwartungen ehrlich zu halten: Single Sign-on gibt es nur per OpenID Connect, SAML wird also nicht unterstützt. Es gibt keine organisationsweite Richtlinie, die Zwei-Faktor für alle Benutzer erzwingt, kein konfigurierbares Sitzungs-Timeout, keine IP-Allowlist und keinen „Nur SSO“-Modus, der die anderen Anmeldemethoden abschaltet. Die Zwei-Faktor-Authentifizierung ist die eigene Entscheidung jedes Benutzers, weshalb die Checkliste oben mit den Admins beginnt. Wo die Daten selbst gespeichert werden, ist ein eigenes Thema, behandelt in Warum Ihre Arbeitsplatzdaten eine isolierte Datenbank brauchen.

Tarife und Limits stehen auf der Preisseite; die Einrichtung eines ganzen Büros beschreibt der Onboarding-Leitfaden.

FAQ

Welche Identitätsanbieter funktionieren mit dem SSO von Desk & Park?

Jeder Anbieter, der OpenID Connect unterstützt, darunter Microsoft Entra ID, Google Workspace und Okta. Eine Organisation verbindet einen Anbieter. SAML wird nicht unterstützt.

Legt die erste SSO-Anmeldung automatisch ein Konto an?

Nein. Das Konto muss zuerst existieren: Ein Admin lädt die Person ein, importiert eine Liste oder stellt Konten per SCIM aus Entra ID oder Okta bereit. Wer kein Konto hat, wird mit dem Hinweis, sich an seinen Admin zu wenden, zur Anmeldeseite zurückgeschickt.

Warum können sich Administratoren nicht per SSO anmelden?

Weil eine SSO-Anmeldung das Konto über die E-Mail-Adresse zuordnet und ein falsch konfigurierter oder kompromittierter Identitätsanbieter nicht die Admin-Konsole öffnen können darf. Admins melden sich mit Passwort, Passkey oder E-Mail-Code an, gefolgt von ihrem Authenticator-Code, sobald die Zwei-Faktor-Authentifizierung eingeschaltet ist.

Können wir die Zwei-Faktor-Authentifizierung für alle erzwingen?

Nicht im Produkt. Die Zwei-Faktor-Authentifizierung schaltet jeder Benutzer unter Einstellungen → Sicherheit selbst ein. Mitarbeitende, die sich per SSO anmelden, durchlaufen die MFA, die Ihr Identitätsanbieter verlangt; für Admins sollte das Einschalten der Zwei-Faktor-Authentifizierung Teil Ihrer Einrichtungs-Checkliste sein.

Ist SSO im kostenlosen Tarif enthalten?

Ja. SSO, Passkeys, Zwei-Faktor-Authentifizierung und die Liste aktiver Sitzungen sind in jedem Tarif verfügbar, auch in Start.