Single Sign-on für Ihre Messaging-Plattform: OpenID-Connect-Leitfaden für Support-Teams

Single Sign-on (SSO) für eine Messaging-Plattform im Kundensupport bedeutet: Ihre Agenten melden sich mit ihrem Firmenkonto bei Ihrem Identitätsanbieter an, etwa Microsoft Entra ID, Okta, Keycloak, AD FS oder Google Workspace, statt mit einem eigenen Passwort. Der Standard dahinter heißt OpenID Connect (OIDC). In einer On-Premise-Installation von MonoChat richten Sie es einmal für die ganze Installation ein, beschränken es auf die E-Mail-Domains Ihres Unternehmens und können es zur einzigen Anmeldemethode machen.

Support-Teams haben dafür einen besonderen Grund. Das Konto eines Agenten öffnet jedes WhatsApp-, Instagram- und Messenger-Gespräch, das er sehen darf: Namen, Telefonnummern, Bestelldetails, manchmal Fragen zu Gesundheit oder Zahlungen. Dieses Konto sollte denselben Regeln folgen wie alle anderen Firmenkonten, und es sollte an dem Tag nicht mehr funktionieren, an dem die Person das Unternehmen verlässt.

Warum die Anmeldung für ein Support-Team wichtig ist

Gestohlene oder missbrauchte Zugangsdaten sind weiterhin der häufigste Weg in ein Unternehmen. Der Data Breach Investigations Report 2025 von Verizon, der 12.195 bestätigte Sicherheitsverletzungen ausgewertet hat, nennt den Missbrauch von Zugangsdaten (22 %) und das Ausnutzen von Schwachstellen (20 %) als die häufigsten ersten Angriffswege.

Eine Messaging-Plattform mit eigenen Passwörtern bringt für jeden Agenten einen weiteren Satz Zugangsdaten mit: ein Passwort mehr, das mehrfach verwendet wird, ein Konto mehr, das beim Weggang vergessen wird, und eine Anmeldung mehr, die Ihre Regeln für Multi-Faktor-Authentifizierung und bedingten Zugriff nicht abdecken. Mit SSO sieht die Plattform das Passwort nie. Ihr Identitätsanbieter prüft es, wendet Ihre MFA- und Zugriffsrichtlinien an und teilt der Plattform mit, wer sich angemeldet hat.

So funktioniert die Anmeldung mit OpenID Connect

OpenID Connect ist eine Identitätsschicht auf OAuth 2.0. MonoChat nutzt den Authorization-Code-Flow:

1. Der Agent klickt auf der Anmeldeseite auf den SSO-Button. MonoChat öffnet die Anmeldeseite Ihres Identitätsanbieters in einem Pop-up.
2. Der Agent meldet sich dort an, mit Ihrer MFA und Ihren Richtlinien.
3. Der Identitätsanbieter schickt den Browser mit einem Einmalcode zurück zu MonoChat.
4. Der MonoChat-Server tauscht den Code gegen ein ID-Token, von Server zu Server. Die Token laufen nie durch den Browser.
5. MonoChat prüft das ID-Token und meldet den Agenten an.

Das ID-Token ist, in den Worten der OpenID-Connect-Spezifikation, „a security token that contains Claims about the Authentication of an End-User“. MonoChat akzeptiert es nur, wenn:

• es mit einem der Schlüssel Ihres Identitätsanbieters signiert ist, die bei jeder Anmeldung aus dessen Discovery-Dokument (<issuer>/.well-known/openid-configuration) gelesen werden;
• sein Issuer (iss) Ihr Issuer ist, seine Audience (aud) die Client-ID von MonoChat ist und sein Ablaufzeitpunkt (exp) nicht überschritten ist;
• es die nonce enthält, die MonoChat mit der Anfrage gesendet hat, die das Token an diese Anmeldung bindet und Replay-Angriffe verhindert;
• es die E-Mail-Adresse der Person enthält und der Anbieter nicht angibt, dass diese Adresse unbestätigt ist.

Die Anfrage nutzt außerdem PKCE (S256) und einen state-Wert; eine Anmeldeanfrage ist 10 Minuten gültig und kann nur einmal verwendet werden.

Entscheiden Sie diese fünf Dinge, bevor Sie SSO aktivieren

Entscheidung	Optionen	Unsere Empfehlung für ein Support-Team
Wer sich anmelden darf	Jede Domain oder nur die E-Mail-Domains Ihres Unternehmens	Auf Ihre Domains beschränken
Was bei der ersten Anmeldung passiert	Konto anlegen oder nur eingeladene Personen zulassen	Konten anlegen, wenn Ihr Identitätsanbieter bereits steuert, wer im Unternehmen arbeitet
Bestehende Konten	SSO bei der ersten Anmeldung verknüpfen, wenn die E-Mail bestätigt ist, oder nach einer Passwort-Anmeldung	Hängt davon ab, ob Ihr Anbieter email_verified sendet
Andere Anmeldemethoden	Passwort- und Social-Login beibehalten oder nur SSO	Nur SSO, sobald alle SSO verknüpft haben
Wer neue Workspaces anlegen darf	Jeder mit einem Konto oder nur Personen mit der passenden Rolle	In einer Unternehmensinstallation das freie Anlegen von Workspaces abschalten

Halten Sie diese Entscheidungen schriftlich fest, bevor Sie eine Einstellung ändern. Es sind die Fragen, die Ihre IT-Sicherheit stellen wird, und die Antworten bestimmen, welche Einstellungen Sie brauchen.

SSO in einer On-Premise-Installation von MonoChat einrichten

SSO wird für die gesamte Installation in den Servereinstellungen eingerichtet, nicht pro Workspace. Die vollständige Referenz ist die Single-Sign-on-Seite im Help Center; hier die Kurzfassung.

1. MonoChat bei Ihrem Identitätsanbieter registrieren

Legen Sie eine Webanwendung mit Client-Secret an und konfigurieren Sie:

• die Redirect-URI https://<your MonoChat domain>/api/oauth/oidc/redirect;
• den Authorization-Code-Grant;
• die Scopes openid email profile;
• die Client-Authentifizierung, bei der das Secret als HTTP Basic gesendet wird (client_secret_basic).

Stellen Sie sicher, dass das ID-Token den Claim email enthält, und notieren Sie Client-ID, Client-Secret und Issuer.

2. Den Issuer exakt übernehmen

Der Issuer ist der Wert issuer im Discovery-Dokument Ihres Anbieters. Typische Formen:

Identitätsanbieter	Issuer
Microsoft Entra ID	https://login.microsoftonline.com/<tenant id>/v2.0
Okta	https://<your Okta domain>/oauth2/default oder https://<your Okta domain>
Keycloak	https://<your Keycloak host>/realms/<realm>
AD FS 2016 oder neuer	https://<your AD FS host>/adfs
Google Workspace	https://accounts.google.com

Öffnen Sie <issuer>/.well-known/openid-configuration im Browser und kopieren Sie den Wert Zeichen für Zeichen, einschließlich eines abschließenden Schrägstrichs, falls vorhanden. MonoChat lehnt jede Anmeldung ab, wenn die beiden Werte voneinander abweichen. Das ist der häufigste Grund, warum ein erster Test scheitert.

3. Einstellungen ergänzen und neu starten

Der öffentliche Teil (Issuer, Client-ID, Redirect-Pfad, Scopes und Button-Text) kommt unter public.oauth.oidc; das Client-Secret kommt unter oauth.oidc und bleibt auf dem Server. Zwei Optionen dort setzen Ihre Entscheidungen aus der Tabelle oben um:

• autoCreateAccounts: true legt das MonoChat-Konto bei der ersten SSO-Anmeldung einer Person an, auch wenn die Registrierung nur per Einladung möglich ist;
• allowedEmailDomains: ["yourcompany.com"] lehnt jede Adresse einer anderen Domain ab. Bei Google Workspace prüft MonoChat stattdessen die Workspace-Domain des Kontos (den Claim hd) und nicht die E-Mail-Adresse, weil ein privates Google-Konto eine Adresse auf jeder beliebigen Domain nutzen kann.

Der Button heißt „Mit SSO anmelden“ in der Sprache der jeweiligen Person, oder so, wie Sie ihn beschriften, zum Beispiel „Mit Northwind SSO anmelden“.

4. SSO sicher zur einzigen Methode machen

Wenn alle SSO verknüpft haben, setzen Sie die erlaubten Anmeldemethoden (public.auth.methods) auf ["oidc"]. Die Anmeldeseite zeigt dann nur noch den SSO-Button, und der Server lehnt Passwort- und Social-Login ab. Root-Superuser können sich weiterhin mit ihrem Passwort unter /auth/signin?fallback=1 anmelden, sodass ein ausgefallener Identitätsanbieter die Installation nie aussperrt. Damit neue SSO-Konten keine eigenen Workspaces anlegen, setzen Sie public.disableTenantCreation auf true.

5. Vier Anmeldungen testen

1. Eine Person mit Konto: Das Pop-up schließt sich und sie ist drin.
2. Eine Person ohne Konto: Das Konto wird angelegt, oder die Anmeldung wird abgelehnt, wenn Sie die Kontoanlage nicht aktiviert haben.
3. Eine Person mit einer anderen Domain: abgelehnt, wenn Sie Domains beschränkt haben.
4. Eine Passwort-Anmeldung bei aktivem Nur-SSO: abgelehnt, während die Root-Notfallanmeldung weiterhin funktioniert.

Bestehende Agenten: So werden Konten verknüpft

Die meisten Teams aktivieren SSO, obwohl ihre Agenten bereits MonoChat-Konten haben. MonoChat verknüpft SSO auf zwei Wegen mit einem bestehenden Konto mit derselben E-Mail-Adresse:

• Automatisch bei der ersten SSO-Anmeldung, wenn die Installation das Zusammenführen erlaubt und das ID-Token die Adresse als bestätigt ausweist (email_verified: true).
• Nach einer Passwort-Anmeldung in allen anderen Fällen: MonoChat bittet die Person, sich einmal mit ihrem Passwort anzumelden, und verknüpft SSO dann. Auch das Annehmen einer Einladung in einen Workspace verknüpft es.

Microsoft Entra ID und AD FS senden email_verified nicht. Lassen Sie bei ihnen die Passwort-Anmeldung zu, bis alle SSO verknüpft haben, oder laden Sie die Personen erneut ein, bevor Sie auf Nur-SSO umstellen.

SSO ist die Identität, Rollen sind der Zugriff

Die Anmeldung gibt einer Person ein Konto, keinen Zugriff auf Ihre Gespräche. Ein MonoChat-Konto kann zu mehreren Workspaces gehören, und Personen melden sich an, bevor sie einen auswählen. Eine Person sieht einen Workspace erst, wenn er sie einlädt und ihr eine Rolle zuweist; die Rolle bestimmt, auf welche Kanäle, Gespräche und Einstellungen sie zugreifen kann. Wie Sie diese einrichten, lesen Sie unter Rollen und Berechtigungen im Team-Posteingang.

Diese Trennung möchte auch ein Prüfer sehen:

• Eintritt: Der Identitätsanbieter legt die Person an; ein Workspace-Admin lädt sie ein und wählt die Rolle.
• Wechsel: Ändern Sie die Rolle oder die Arbeitsgruppe in MonoChat; die Anmeldung ändert sich nicht.
• Austritt: Deaktivieren Sie die Person beim Identitätsanbieter und entfernen Sie sie in MonoChat aus dem Workspace.

Grenzen, die Sie einplanen sollten

• Die mobile App. Die MonoChat-App für Android und iOS bietet SSO noch nicht an. Wenn SSO die einzige Anmeldemethode ist, können sich Agenten nicht auf dem Smartphone anmelden. Lassen Sie daher für mobile Nutzer eine andere Methode zu oder planen Sie Schichten nur am Desktop.
• Abmeldung. Die Abmeldung von MonoChat meldet die Person nicht beim Identitätsanbieter ab, und die Abmeldung dort meldet sie noch nicht von MonoChat ab. Das Deaktivieren eines ausgeschiedenen Mitarbeiters beim Identitätsanbieter verhindert neue Anmeldungen; entfernen Sie ihn zusätzlich aus dem Workspace.
• Netzwerk. Die Browser der Personen müssen /api/oauth/oidc/authorize und den Redirect-Pfad erreichen, und der MonoChat-Server muss das Discovery-Dokument, den Token-Endpunkt und den Schlüsselsatz Ihres Anbieters per HTTPS erreichen. Wenn Sie die Installation zusätzlich per IP beschränken, behalten Sie diese Pfade im Blick.

Wo SSO in MonoChat einzuordnen ist

SSO wird in den Servereinstellungen einer gesamten Installation konfiguriert und gehört deshalb heute zu On-Premise-MonoChat: der Enterprise-Option für Teams, die die Plattform auf eigenen Servern betreiben, mit eigenem LLM und eigener Vektordatenbank. Die Enterprise-Seite erklärt die On-Premise-Option, und die Sicherheitsseite behandelt rollenbasierten Zugriff, Workspace-Isolation und Zertifizierungen. Zur Datenseite eines KI-Rollouts lesen Sie die Checkliste Datenschutz für KI-Chatbots.

Wenn Sie das Produkt zuerst ausprobieren möchten: Der kostenlose Basic-Plan unter app.monochat.ai bietet Ihnen einen Agenten und einen Kanal.

Quellen

• OpenID Connect Core 1.0, OpenID Foundation, abgerufen am 4. Nov. 2026
• Verizon 2025 Data Breach Investigations Report, Ankündigung, abgerufen am 4. Nov. 2026
• MonoChat Help Center: Single Sign-on für eine On-Premise-Installation, abgerufen am 4. Nov. 2026
• MonoChat Changelog 3.8.43, 2. Nov. 2026