Übersicht Identitäts- und Zugriffsverwaltung

Übersicht Identitäts- und Zugriffsverwaltung

Der Bereich Identitäts- und Zugriffsverwaltung (IAM) in den IT-Einstellungen ist die zentrale Stelle, an der IT-Administratoren und Datenschutzbeauftragte festlegen, wer sich in DPMS anmelden darf, wie Benutzerkonten angelegt und entfernt werden und welche externen Systeme mit der DPMS-API kommunizieren dürfen. Alle anderen Module — von den Verarbeitungsverzeichnissen bis zu Betroffenenanfragen — setzen voraus, dass IAM korrekt konfiguriert ist. Fehlt die SSO-Konfiguration, können sich Mitarbeitende nicht anmelden. Läuft SCIM nicht, erscheinen neue Mitarbeitende nicht in DPMS. Sind API-Token abgelaufen, brechen Integrationen geräuschlos ab.

So öffnen Sie den Bereich

Klicken Sie in der linken Seitenleiste auf IT-Einstellungen und anschließend auf Identitäts- und Zugriffsverwaltung. Das Menü klappt auf und zeigt sieben Untereinträge: Lokal, SAML / OAuth, SCIM2, Rollenzuordnung, Token, Protokolle, Active Directory und Benachrichtigungen.

Um diesen Bereich überhaupt zu sehen, benötigen Sie die Leseberechtigung für IT-Einstellungen – IAM. Ohne sie ist der Menüeintrag ausgeblendet. Um Änderungen vorzunehmen, ist zusätzlich die Bearbeitungsberechtigung erforderlich. Ohne sie können Sie alle Unterseiten lesen, aber alle Schaltflächen zum Bearbeiten sind deaktiviert und zeigen bei Berührung einen erklärenden Hinweis.

Was Sie auf dem Bildschirm sehen

Der IAM-Bereich verwendet dasselbe zweistufige Seitenleistenlayout wie alle anderen Bereiche von DPMS. Die äußere Leiste ist die allgemeine Anwendungsnavigation, die innere Leiste die IT-Einstellungen-Navigation mit der aufgeklappten IAM-Gruppe. Das jeweils aktive Element ist hervorgehoben.

Am oberen Rand jeder Unterseite befindet sich ein Breadcrumb-Pfad: IT-Einstellungen → Identitäts- und Zugriffsverwaltung → Name des aktuellen Themas. Rechts daneben ermöglichen zwei kleine Pfeile, zur vorherigen oder nächsten IAM-Unterseite zu wechseln, ohne zur Seitenleiste zurückkehren zu müssen.

Jede Unterseite zeigt einen blau hervorgehobenen Abschnittstitel, eine Trennlinie und anschließend eine Datenkarte mit zweispaltiger Ansicht: Beschriftungen links, Werte rechts. Ein kleiner grüner Punkt erscheint neben Werten, die einen aktiven oder verbundenen Zustand kennzeichnen. Aktionsschaltflächen wie Synchronisieren, Aktivieren, Deaktivieren und Alle Benutzer löschen befinden sich oben rechts in der Karte, neben der Schaltfläche Bearbeiten.

Arbeiten mit diesem Bereich

Single Sign-On zum ersten Mal einrichten

Ihr Unternehmen möchte, dass sich Mitarbeitende mit ihren Microsoft-, Google- oder anderen Unternehmenskonten in DPMS anmelden. Navigieren Sie in der Seitenleiste zu SAML / OAuth.

Falls noch keine SSO-Konfiguration vorhanden ist, ist die Karte leer. Klicken Sie oben rechts auf Bearbeiten. Wählen Sie im Bearbeitungsformular das Protokoll über den Schalter oben: SAML2 für eine zertifikatsbasierte Verbundanmeldung oder OAuth2 für einen Client-Credential-Flow (Standard für Microsoft und Google). Wählen Sie dann eine Konfigurationsvorlage — Microsoft, Google oder Benutzerdefiniert. Eine Vorlage füllt die Attributzuordnungsfelder mit sinnvollen Standardwerten vor.

Für Microsoft OAuth2: Tragen Sie Ihre Azure-Mandanten-ID ein. Kopieren Sie dann die angezeigte Umleitungs-URL aus den SP-Feldern und fügen Sie sie in Ihre Microsoft Entra-Anwendungsregistrierung ein. Tragen Sie danach Client-ID und Client-Secret aus Entra ein. Legen Sie ein Ablaufdatum fest (üblich ist ein Jahr ab heute). Geben Sie im Feld Zulässige Domains die E-Mail-Domains ein, die SSO nutzen dürfen, getrennt durch Kommas.

Für SAML2: DPMS generiert automatisch vier SP-URLs (Entity-ID, Login-URL, Logout-URL und ACS-URL). Neben jeder URL befindet sich ein Zwischenablage-Symbol — klicken Sie darauf, um die URL zu kopieren und in Ihren Identity Provider einzutragen. Um IdP-Metadaten automatisch zu importieren, fügen Sie die Metadaten-URL Ihres IdP in das Feld IdP-Metadaten-URL ein und klicken auf das Link-Symbol daneben. DPMS ruft die Metadaten ab und füllt Entity-ID, Login-URL, Logout-URL und das x.509-Zertifikat automatisch aus.

Klicken Sie auf Speichern. DPMS speichert die Konfiguration und kehrt zur Leseansicht von SAML/OAuth zurück, die den Status nun als aktiv (grüner Punkt) anzeigt.

Achtung: Wenn Sie bei einer bereits gespeicherten Konfiguration den SSO-Typ von SAML2 auf OAuth2 wechseln (oder umgekehrt), fordert das Formular eine ausdrückliche Bestätigung. Die Änderung kann aktive Sitzungen und vorhandene SCIM-Token ungültig machen.

Benutzer aus Microsoft Entra ID manuell synchronisieren

Ihr Unternehmen nutzt Entra ID als maßgebliche Quelle für Benutzer und Gruppen. Sie möchten DPMS sofort aktualisieren, ohne auf die nächste planmäßige Synchronisierung zu warten.

Vergewissern Sie sich zunächst, dass Entra ID aktiviert ist: Öffnen Sie SAML / OAuth, rufen Sie das Bearbeitungsformular auf und prüfen Sie, ob der Schalter Entra ID aktivieren eingeschaltet ist. Das Aktivieren von Entra ID deaktiviert SCIM2 automatisch, da beides nicht gleichzeitig genutzt werden kann.

Wechseln Sie dann zu Active Directory in der Seitenleiste. Die Seite zeigt den aktuellen AD-Status (Verbunden oder Getrennt), die Anzahl der bereits synchronisierten Gruppen und Mitglieder sowie die Zeitstempel des letzten Synchronisierungsversuchs und der letzten erfolgreichen Synchronisierung. Klicken Sie auf Active Directory synchronisieren. Eine Bestätigungsmeldung erscheint, das Symbol der Schaltfläche wechselt zu einem Ladekreisel und die Schaltfläche wird deaktiviert. DPMS prüft den Jobstatus alle fünf Sekunden. Sobald die Synchronisierung abgeschlossen ist, werden Synchronisierte Gruppen, Synchronisierte Mitglieder, Letzter Synchronisierungsversuch und Letzte Synchronisierung automatisch aktualisiert — ohne Seitenneuladung.

Falls der Status Getrennt anzeigt, klicken Sie auf Aktivieren (blaue Schaltfläche). Wenn die Verbindung besteht und Sie die Integration vorübergehend pausieren möchten, ohne die Konfiguration zu löschen, klicken Sie auf Deaktivieren (rote Schaltfläche).

Tipp: Sie müssen nicht auf der Active Directory-Seite bleiben, während die Synchronisierung läuft. Die Abfrage läuft im Hintergrund, und beim erneuten Öffnen der Seite wird der aktuelle Status sofort angezeigt.

Passwortrichtlinie für lokale Konten konfigurieren

Ihre Sicherheitsrichtlinie wurde aktualisiert und erfordert stärkere Passwörter für Benutzer, die sich mit einem DPMS-Benutzernamen und -Passwort anmelden.

Navigieren Sie in der Seitenleiste zu Lokal. Die Leseansicht zeigt den aktuellen Stand aller Passwortregeln auf einen Blick. Klicken Sie auf Bearbeiten:

• Stellen Sie sicher, dass der Schalter Lokale Benutzer eingeschaltet ist — ist er ausgeschaltet, ist die Anmeldung mit Benutzername und Passwort für das gesamte Unternehmen deaktiviert.
• Aktivieren Sie Zwei-Faktor-Authentifizierung erzwingen, wenn jeder lokale Benutzer beim Anmelden einen zweiten Faktor benötigt. Dieser Schalter kann nur im Root-Unternehmenskonto bearbeitet werden. Unterkonten erben die Einstellung.
• Aktivieren Sie unter Passwortanforderungen die gewünschten Komplexitätsregeln: Großbuchstabe, Kleinbuchstabe, Zahl und Sonderzeichen. Wenn Sie Sonderzeichen aktivieren, erscheint ein zusätzliches Textfeld — tragen Sie dort alle zulässigen Zeichen ein.
• Legen Sie Mindestlänge und Maximallänge fest (jeweils zwischen 4 und 50 Zeichen).
• Setzen Sie den Zurücksetz-Timer — die Anzahl der Minuten, nach denen ein Passwort-Zurücksetzen-Link abläuft (5 bis 60 Minuten).

Klicken Sie auf Speichern. Eine Erfolgsmeldung bestätigt die Aktualisierung. Die neuen Regeln gelten sofort für alle lokalen Benutzerkonten des Unternehmens.

API-Token für eine externe Integration erstellen

Ein Drittsystem muss sich mit DPMS verbinden — zum Beispiel ein HR-System, das Konten über SCIM bereitstellt, oder der DPMS-KI-Assistent (MCP), der sich gegenüber dem KI-Backend authentifizieren muss.

Navigieren Sie in der Seitenleiste zu Token. Die Tabelle zeigt alle vorhandenen Token mit den Filterreitern Aktiv und Abgelaufen. Klicken Sie oben rechts auf Token erstellen.

Im Erstellungsformular:

• Geben Sie einen aussagekräftigen Namen ein, z. B. HR-System SCIM-Token.
• Wählen Sie einen Typ: SCIM für eine SCIM-Bereitstellungsverbindung, MCP für den KI-Assistenten oder einen anderen verfügbaren Typ. Der Typ kann nach dem Speichern nicht mehr geändert werden.
• Wählen Sie eine Gültigkeit: 182, 365, 548 oder 731 Tage oder Benutzerdefiniert mit einer freien Eingabe in Tagen (maximal 3.652 Tage). Das Ablaufdatum wird automatisch berechnet.
• Fügen Sie optional einen Kommentar hinzu, um den Verwendungszweck festzuhalten.
• Beim Typ MCP erscheint ein Nur-Lesen-Feld mit der MCP-Endpunkt-URL — kopieren Sie sie für Ihre Integration.

Klicken Sie auf Speichern. Eine Bestätigungsmeldung erscheint für 15 Sekunden. Klicken Sie darin auf die Schaltfläche zur Bestätigung. DPMS generiert den Token und leitet Sie sofort zur Token-Anzeige weiter, auf der der vollständige Token-Wert einmalig sichtbar ist. Kopieren Sie ihn jetzt in einen Passwort-Manager oder das Geheimnisfeld Ihrer Integration.

Achtung: Sobald Sie die Token-Anzeige verlassen, kann der vollständige Token-Wert nicht mehr abgerufen werden. Wenn Sie ihn verlieren, müssen Sie den Token löschen und einen neuen erstellen.

Externe Verzeichnisgruppen DPMS-Rollen zuordnen

Wenn sich Benutzer über SSO anmelden oder über SCIM bereitgestellt werden, muss DPMS wissen, welche Berechtigungen sie erhalten sollen. Die Rollenzuordnung verbindet die Mitgliedschaft in einer Entra ID- oder SCIM-Gruppe mit einer bestimmten DPMS-Rolle.

Navigieren Sie in der Seitenleiste zu Rollenzuordnung. Die Leseansicht zeigt eine Zeile pro DPMS-Rolle (außer Superadmin, der nicht extern zugeordnet werden kann) und listet die jeweils zugeordneten externen Gruppen mit Gruppenname und Mitgliederzahl auf.

Klicken Sie auf Bearbeiten. Das Bearbeitungsformular öffnet sich mit zwei Reitern:

• Allgemein: Für jede DPMS-Rolle gibt es ein asynchrones Dropdown. Tippen Sie einen Gruppennamen ein, um zu suchen, oder geben Sie einen neuen Namen ein und drücken Sie die Eingabetaste, um die Gruppe sofort zu erstellen. DPMS speichert die neue Gruppe in Echtzeit.
• Gruppen: Eine Tabelle aller externen Gruppen in DPMS mit einer Erstellen-Schaltfläche und einer Löschoption über das Drei-Punkte-Menü jeder Zeile.

Klicken Sie auf Speichern. DPMS leitet Sie zur Leseansicht der Rollenzuordnung mit dem Reiter Gruppen weiter.

Tipp: Die Rollenzuordnung gilt unabhängig davon, ob Benutzer über SAML2, OAuth2 oder SCIM2 kommen. Ist die externe Gruppe eines Benutzers keiner DPMS-Rolle zugeordnet, erhält er möglicherweise keinerlei Berechtigungen. Überprüfen Sie die Zuordnung nach jeder Umstrukturierung Ihrer Verzeichnisgruppen.

Token-Ablaufbenachrichtigungen einrichten

DPMS kann Sie per E-Mail warnen, bevor ein API- oder SCIM-Token abläuft, damit Sie ihn rechtzeitig erneuern können.

Navigieren Sie zu Benachrichtigungen und klicken Sie auf Bearbeiten. Tragen Sie im Feld Token-Benachrichtigungs-E-Mail die Adresse ein, die Warnungen erhalten soll. Geben Sie im Feld Token-Benachrichtigungstage eine kommagetrennte Liste positiver ganzer Zahlen ein — zum Beispiel 30, 14, 7, 1 für vier Erinnerungen. Prüfen Sie den Maximalwert (Tage)-Hinweis unterhalb des Felds: Werte, die die maximale Token-Lebensdauer Ihres Unternehmens übersteigen, werden abgelehnt. Klicken Sie auf Speichern.

SCIM-Synchronisierungsprotokolle prüfen

Wenn Sie vermuten, dass eine SCIM-Synchronisierung fehlschlägt, navigieren Sie in der Seitenleiste zu Protokolle. Diese Seite ist rein lesend. Sie zeigt eine chronologische Liste aller SCIM2-Synchronisierungs- und Authentifizierungsereignisse, jeweils mit Datum und Uhrzeit (bis auf Millisekunden genau), Ereignistyp, Protokoll, durchgeführter Operation, HTTP-Statuscode und der rohen Protokollnachricht. Durch Scrollen nach unten werden ältere Einträge automatisch nachgeladen. Es gibt keine Bearbeitungs- oder Löschfunktionen.

Feldreferenz

Unterseite Lokal – Bearbeitungsformular

• Lokale Benutzer — Schalter. Aktiviert oder deaktiviert die Anmeldung mit Benutzername und Passwort. Pflichtfeld.
• Zwei-Faktor-Authentifizierung erzwingen — Schalter. Verpflichtet alle lokalen Benutzer zu einem zweiten Faktor. Nur im Root-Konto bearbeitbar.
• Großbuchstabe / Kleinbuchstabe / Zahl / Sonderzeichen — Schalter für Passwortkomplexität. Bei aktivierten Sonderzeichen erscheint ein Textfeld für erlaubte Zeichen (1–255 Zeichen, Duplikate werden automatisch entfernt).
• Mindestlänge — Zahl, 4–50. Mindestlänge des Passworts. Standard: 5.
• Maximallänge — Zahl, 5–50. Maximallänge des Passworts. Standard: 60.
• Zurücksetz-Timer — Zahl, 5–60. Minuten bis zum Ablauf eines Passwort-Zurücksetzen-Links. Standard: 60.

SAML/OAuth – Bearbeitungsformular (wichtigste Felder)

• SSO-Typ — Schalter zwischen SAML2 und OAuth2. Das Umschalten tauscht den Feldsatz aus; zuvor eingegebene Werte bleiben je Typ erhalten.
• Konfigurationsvorlage — Dropdown: Microsoft, Google oder Benutzerdefiniert. Füllt die Attributzuordnung mit Standardwerten vor.
• Zulässige Domains — Kommagetrennte E-Mail-Domains, die SSO nutzen dürfen. Jeder Eintrag wird auf korrektes Domain-Format geprüft.
• IdP-Metadaten-URL (nur SAML) — Optional. Nach dem Einfügen und Klick auf das Link-Symbol ruft DPMS die Metadaten ab und füllt die IdP-Felder automatisch aus.
• x.509-Zertifikat des Identity Providers (nur SAML) — Base64-Zertifikat einfügen, Zertifikats-URL einfügen oder Datei hochladen (.cer, .crt, .der, .pem, .cert). PEM-Header werden automatisch entfernt.
• Name-ID-Format (nur SAML) — Dropdown. Optionen u. a. persistent, emailAddress, transient. Standard: persistent.
• SCIM2 aktivieren — Schalter. Aktiviert SCIM2. Gegenseitig ausschließend mit „Entra ID aktivieren".
• Entra ID aktivieren (nur OAuth2/Microsoft) — Schalter. Aktiviert Entra ID-Synchronisierung und deaktiviert SCIM2 automatisch.
• Attributzuordnung — Fünf Textfelder: Quell-ID (eindeutiger, unveränderlicher Benutzerbezeichner des IdP), Name, E-Mail, Gruppen, Telefon. Die ersten vier sind Pflichtfelder, Telefon ist optional. Werden durch die gewählte Vorlage vorausgefüllt.
• Ablaufdatum — Datumsfeld. Ab wann die Konfiguration als abgelaufen gilt. Standard: ein Jahr ab heute.
• Client-ID / Client-Secret (nur OAuth2) — Anmeldedaten aus Ihrer IdP-Anwendungsregistrierung. Ein Klick auf das Client-Secret-Feld bei einem bereits gespeicherten Secret leert das Feld für eine neue Eingabe.

Token-Erstellungsformular

• Name — Text. Aussagekräftige Bezeichnung. Pflichtfeld.
• Typ — Dropdown (SCIM, MCP und weitere). Kann nach dem Erstellen nicht geändert werden.
• Gültigkeit — Dropdown: 182, 365, 548 oder 731 Tage oder Benutzerdefiniert. Vorauswahl setzt das Ablaufdatum automatisch.
• Benutzerdefinierte Gültigkeit — Zahl (nur bei Benutzerdefiniert). Tage bis zum Ablauf. Maximal: 3.652 Tage.
• Ablaufdatum — Nur lesbar. Berechnet aus dem heutigen Datum plus der gewählten Gültigkeit.
• Kommentar — Optionaler Freitext.

Benachrichtigungen – Bearbeitungsformular

• Token-Benachrichtigungs-E-Mail — E-Mail-Adresse für Ablaufwarnungen. Muss ein gültiges E-Mail-Format haben. Optional.
• Token-Benachrichtigungstage — Kommagetrennte positive ganzzahlige Werte (z. B. 30, 14, 7). Jeder Wert darf den Maximalwert (Tage) nicht überschreiten, der unterhalb des Felds angezeigt wird.

Wie dieser Bereich mit dem Rest von DPMS zusammenhängt

Der IAM-Bereich ist die Grundschicht für alle anderen Module der Plattform:

• Benutzerverwaltung: Die hier konfigurierten SCIM2- und Entra ID-Einstellungen bestimmen direkt, welche Benutzer in der Benutzerverwaltung erscheinen und welchen Quellentyp sie tragen. Das Löschen aller SCIM- oder Entra ID-Benutzer über IAM entfernt sie sofort aus der Benutzerverwaltung.
• KI-Assistent (MCP): Der Token-Typ MCP im Token-Unterbereich erzeugt das Bearer-Token für den DPMS-KI-Assistenten. Ohne einen gültigen, nicht abgelaufenen MCP-Token kann der KI-Assistent-Button, der in Dateneingabeformularen im gesamten DPMS erscheint, sich nicht authentifizieren.
• Alle DPMS-Module: Die Rollenzuordnung bestimmt, welche Berechtigungen ein Benutzer erhält, wenn er sich über SSO anmeldet oder über SCIM bereitgestellt wird. Fehlerhafte Zuordnungen können dazu führen, dass Benutzer überall in DPMS — vom Verarbeitungsverzeichnis bis zum Lieferantenmanagement — zu viele oder zu wenige Rechte haben.
• Unternehmensweite Anmeldung: Der Schalter „Zwei-Faktor-Authentifizierung erzwingen" und die Passwortrichtlinieneinstellungen im Lokal-Unterbereich gelten für alle lokalen Benutzer des Unternehmens und wirken sich sofort auf die Registrierungs- und Passwort-Änderungs-Flows aus.

Die empfohlene Reihenfolge nach der Ersteinrichtung: Lokal oder SSO konfigurieren → SCIM2 oder Entra ID einrichten → Rollenzuordnung konfigurieren → Token erstellen → Benachrichtigungs-E-Mail festlegen → alles über den Protokoll-Unterbereich überprüfen.

Tipps und häufige Fehlerquellen

Achtung: SCIM2 und Entra ID schließen sich gegenseitig aus. Das Aktivieren von Entra ID aktivieren im SAML/OAuth-Bearbeitungsformular deaktiviert SCIM2 automatisch — und umgekehrt. Entscheiden Sie sich vor der Konfiguration für eine der beiden Bereitstellungsmethoden.

Achtung: Der generierte Token wird nur einmal angezeigt. Nach dem Erstellen und Bestätigen des Tokens ist der vollständige Token-Wert auf der Token-Anzeige nur ein einziges Mal sichtbar. Sobald Sie die Seite verlassen, ist er nicht mehr abrufbar. Kopieren Sie ihn sofort an einen sicheren Ort.

• Der Schalter „Zwei-Faktor-Authentifizierung erzwingen" ist nur im Root-Unternehmenskonto bearbeitbar. Unterkonten in einer Mehrfirmenkonfiguration erben die Einstellung und können sie nicht überschreiben.
• Ein Wechsel des SSO-Typs erfordert eine Bestätigung. Wenn Sie bei einer bestehenden Konfiguration von SAML2 auf OAuth2 wechseln (oder umgekehrt), fordert das Formular eine ausdrückliche Bestätigung. Die Änderung kann aktive SCIM-Token ungültig machen. Der Bestätigungsdialog bietet die Option, diese Token gleichzeitig zu deaktivieren.
• Der Synchronisierungsstatus aktualisiert sich automatisch. Wenn auf der Active Directory-Seite eine Synchronisierung läuft, müssen Sie die Seite nicht neu laden. DPMS prüft den Jobstatus alle fünf Sekunden und aktualisiert Gruppen- und Mitgliederzahlen sowie Zeitstempel sobald die Synchronisierung abgeschlossen ist.
• Benachrichtigungstage dürfen die maximale Token-Lebensdauer nicht überschreiten. Das Feld Token-Benachrichtigungstage lehnt Werte ab, die den konfigurierten Maximalwert des Unternehmens überschreiten. Prüfen Sie den Maximalwert (Tage)-Hinweis direkt unterhalb des Felds, bevor Sie Werte eingeben.
• Die Rollenzuordnung gilt für alle Bereitstellungsmethoden. Unabhängig davon, ob Benutzer über SAML2, OAuth2 oder SCIM2 kommen — die Rollenzuordnung ist das Instrument, das ihre DPMS-Berechtigungen festlegt. Ein Benutzer, dessen externe Gruppe keiner Rolle zugeordnet ist, hat möglicherweise keinerlei Rechte. Überprüfen Sie die Zuordnung nach jeder Umstrukturierung Ihrer Verzeichnishierarchie.