# SSO für Portale einrichten

Source: https://help.epilot.cloud/de/portale/registrierung-login-und-sicherheit/sso-fur-portale-einrichten
Last updated: 2026-10-28

Mit **Single Sign-On (SSO)** melden sich deine Portalnutzer mit einem bestehenden Konto an, zum Beispiel bei Google, Apple, Microsoft oder dem Identitätsanbieter deines Unternehmens. Ein eigenes Portal-Passwort brauchen sie dafür nicht.

Dieser Artikel zeigt dir, wie du einen SSO-Anbieter für dein Portal einrichtest, wie du Daten aus dem Anbieter auf Kontakte überträgst und wie du die Login-Seite steuerst.

***

## So funktioniert's [#so-funktionierts]

Auf der Login-Seite deines Portals erscheinen die eingerichteten Anbieter unter **Oder fortfahren mit** als Buttons. Ein Klick leitet zum Anbieter weiter. Nach der Anmeldung dort kommt der Nutzer angemeldet in dein Portal zurück.

<Screenshot src="https://help.epilot.cloud/img/confluence/654594bb7d-sso-05-loginseite.webp" alt="sso-05-loginseite.png" width="1600" height="900" maxWidth="760" />

epilot unterstützt Anbieter nach dem Standard OpenID Connect (OIDC). Für Apple, Google und Microsoft gibt es Vorlagen mit vorausgefüllten Endpunkten. Andere Anbieter, zum Beispiel ein Firmen-Login für ein Installateurportal, richtest du über **Benutzerdefiniert** ein.

Beim SSO-Login liefert der Anbieter Informationen über den Nutzer, sogenannte Token-Claims, zum Beispiel E-Mail-Adresse, Vor- und Nachname. Mit diesen Werten:

* **Attribut-Zuordnungen**: überträgst du Claims auf Felder in epilot, zum Beispiel *given\_name* auf **Vorname**.

* **Entitäts-Abgleich**: findest du bestehende Portalnutzer oder Kontakte, zum Beispiel über die E-Mail-Adresse.

* **Nutzer automatisch erstellen**: legst du einen neuen Portalnutzer an, wenn kein passender gefunden wird.

## Konfiguration [#konfiguration]

### Anwendung beim Identitätsanbieter anlegen [#anwendung-beim-identitätsanbieter-anlegen]

1\. Lege in der Admin-Konsole deines Identitätsanbieters eine OAuth-2.0- bzw. OpenID-Connect-Anwendung an. Notiere **Client ID** und **Client Secret**.

2\. Trage dort die Redirect-URI deines Portals als erlaubte Redirect-URI ein. Sie hat das Format &#x2A;[https://deine-portal-domain.de/sso](https://deine-portal-domain.de/sso)&#x2A;, zum Beispiel &#x2A;[https://kundenportal.stadtwerke-2punkt0.de/sso](https://kundenportal.stadtwerke-2punkt0.de/sso)*.

<Callout type="info">
  **Tipp**

  Richte die endgültige Domain deines Portals ein, bevor du SSO einrichtest. Wechselst du die Domain später, musst du die Redirect-URI beim Anbieter anpassen. Mehr dazu in [Eigene Domain für dein Portal einrichten](https://help.epilot.cloud/de/portale/design-und-domain/eigene-domain-fur-dein-portal-einrichten).
</Callout>

### SSO-Anbieter im Portal hinzufügen [#sso-anbieter-im-portal-hinzufügen]

3\. Öffne dein Portal im Portal Builder, klicke oben rechts auf das Zahnrad-Symbol und wechsle in den Bereich **SSO**. Du siehst die bereits eingerichteten Anbieter mit ihrem Typ, zum Beispiel **OIDC**, und ob ein Secret hinterlegt ist (**Secret gesetzt**).

<Screenshot src="https://help.epilot.cloud/img/confluence/783f83e83e-sso-01-anbieterliste.webp" alt="sso-01-anbieterliste.png" width="1264" height="790" maxWidth="760" />

4\. Klicke auf **SSO-Anbieter hinzufügen**.

5\. Wähle eine Vorlage: **Apple**, **Google**, **Microsoft** oder **Benutzerdefiniert** für alle anderen OIDC-Anbieter.

6\. Fülle unter **OIDC-Konfiguration** die Felder aus. Bei den Vorlagen sind Issuer und Endpunkte schon eingetragen:

* **Flow-Typ**: **Implicit** oder **Authorization Code**, je nachdem, was dein Anbieter verlangt.

* **OIDC Issuer URL**, **Redirect URI**, **Client ID** und **Client Secret**: die Daten aus Schritt 1 und 2.

* **Scopes** und &#x2A;*Prompt (optional)**: welche Daten abgefragt werden und wie sich der Login beim Anbieter verhält.

* **OIDC-Endpoints**: Authorization, Token, Userinfo und Logout. Für benutzerdefinierte Anbieter findest du die Werte in der Dokumentation deines Anbieters.

<Screenshot src="https://help.epilot.cloud/img/confluence/e1f198d9de-sso-02-anbieter-hinzufuegen.webp" alt="sso-02-anbieter-hinzufuegen.png" width="1600" height="900" maxWidth="760" />

<Callout type="warning">
  **Wichtig**

  Trage sensible Werte wie das Client Secret nicht im Klartext ein, sondern verweise mit &#x2A;\{\{ env.MY\_VAR }}&#x2A; auf eine Umgebungsvariable deiner Organisation. Über das Symbol &#x2A;*\{ }** an jedem Feld fügst du eine Variable ein. Aktiviere **Öffentliches Client Secret** nur, wenn dein Flow das zwingend braucht: Der Wert ist dann im Browser sichtbar.
</Callout>

7\. Prüfe unter **Attribut-Zuordnungen**, welche Token-Claims auf welche Felder geschrieben werden. Die Vorlagen ordnen schon E-Mail, Vorname und Nachname zu. Mit **Attribut-Zuordnung hinzufügen** ergänzt du weitere Felder.

<Screenshot src="https://help.epilot.cloud/img/confluence/2eecc050e4-sso-04-attribut-zuordnungen.webp" alt="sso-04-attribut-zuordnungen.png" width="1600" height="900" maxWidth="760" />

8\. Lege unter **Entitäts-Abgleich** mit **Regel hinzufügen** fest, wie bestehende Portalnutzer oder Kontakte erkannt werden, zum Beispiel über die E-Mail-Adresse. Alle konfigurierten Felder müssen übereinstimmen.

9\. Schalte **Nutzer automatisch erstellen** ein, wenn beim ersten SSO-Login ein neuer Portalnutzer aus den Token-Claims angelegt werden soll, falls kein passender gefunden wird.

10\. Klicke auf **Anbieter speichern** und danach im Einstellungsfenster auf **Speichern**.

11\. Teste den Login in deinem Portal mit einem Testkonto beim Anbieter.

Weitere Optionen im Formular: **Logout-Redirect bei „Login als“ überspringen** brauchst du für Anbieter, die nach dem Logout nicht zurückleiten. Die **Mobile-App-Konfiguration** ist nur nötig, wenn dein Portal eine kundenspezifische Mobile App mit eigenem OIDC-Client hat.

### Verhalten der Login-Seite festlegen [#verhalten-der-login-seite-festlegen]

12\. Lege im Bereich **SSO** unter den Anbietern fest, wie die Login-Seite aussieht:

* **Login mit SSO starten**: Die Login-Seite zeigt zuerst die SSO-Optionen statt des Passwort-Formulars. Nutzer, die bereits ein Passwort gesetzt haben, sehen weiterhin die Passwort-Ansicht.

* **Automatisch zum SSO-Anbieter weiterleiten**: Die Login-Seite des Portals wird übersprungen, Nutzer landen direkt beim Anbieter. Das greift nur, wenn genau ein bevorzugter Anbieter ausgewählt ist.

* **Bevorzugte SSO-Anbieter**: die Anbieter, die auf der Login-Seite angeboten werden.

<Screenshot src="https://help.epilot.cloud/img/confluence/933a5e47dc-sso-03-login-verhalten.webp" alt="sso-03-login-verhalten.png" width="1224" height="720" maxWidth="760" />

**Beispiel**: Für ein Installateurportal, in dem sich nur Mitarbeitende von Partnerbetrieben über deren Firmen-Login anmelden, wählst du genau diesen einen Anbieter als bevorzugt aus und schaltest **Automatisch zum SSO-Anbieter weiterleiten** ein.

## Häufige Fragen [#häufige-fragen]

**Funktioniert SSO auch in der Mobile App?**

Nicht standardmäßig. Wende dich an den Support, wenn du SSO für eine kundenspezifische Mobile App brauchst. Mehr zur App in Portal als Mobile App.

**Können sich Nutzer weiter mit Passwort anmelden?**

Ja, solange du nicht automatisch zum SSO-Anbieter weiterleitest. Welche weiteren Anmeldemethoden es gibt, zeigt [Login-Methoden im Portal](https://help.epilot.cloud/de/portale/registrierung-login-und-sicherheit/login-methoden-im-portal).

**Was passiert, wenn sich ein unbekannter Nutzer per SSO anmeldet?**

Findet der Entitäts-Abgleich keinen passenden Portalnutzer, wird nur dann einer angelegt, wenn **Nutzer automatisch erstellen** eingeschaltet ist.

**Wie entferne ich einen Anbieter?**

Klicke in der Anbieterliste auf das Papierkorb-Symbol neben dem Anbieter und speichere die Einstellungen. Mit **Edit** bearbeitest du einen bestehenden Anbieter.