Single Sign-on und Benutzerverwaltung für Claude: Domain, SSO, JIT und SCIM einrichten

Single Sign-on und Benutzerverwaltung für Claude richten Sie in vier Schritten ein. Sie verifizieren die Firmendomain per DNS, verbinden Claude mit Ihrem Identitätsanbieter und erzwingen SSO. Danach wählen Sie JIT oder SCIM für die Bereitstellung der Konten. Auf Wunsch übernehmen Sie zuletzt bestehende Privatkonten auf Ihrer Domain.

Single Sign-on (SSO) ist ein Anmeldeverfahren, bei dem sich Mitarbeitende mit ihrem Firmenkonto anmelden und kein eigenes Passwort für Claude führen. Der Identitätsanbieter (IdP) ist laut der SSO-Dokumentation von Document360 der Dienst, der Zugangsdaten speichert und prüft. Beispiele sind Okta, Microsoft Entra ID, Google Workspace oder OneLogin. Bereitstellung, englisch Provisioning, bedeutet, dass Konten in Claude automatisch angelegt und wieder entfernt werden.

SSO steht laut Anthropic für Claude Team, Claude Enterprise und Console-Organisationen zur Verfügung. Die Console ist die Seite für den Zugang zur Programmierschnittstelle (API). Der Nutzen liegt in der zentralen Steuerung. Wer im IdP gesperrt wird, kommt nicht mehr in Claude hinein. Wer neu anfängt, erhält den Zugang über dieselbe Gruppe wie für E-Mail und Dateiablage.

Dieser Leitfaden richtet sich an Inhaber und IT-Leitung. Er erklärt die Schritte in der richtigen Reihenfolge, zeigt ein Beispiel mit Okta und benennt die Stellen, an denen Einführungen typischerweise haken. Einen Überblick über Tarife, Daten und Einstieg finden Sie auf der Seite Claude für Unternehmen.

Für SSO in Claude brauchen Sie einen passenden Tarif, die richtige Rolle in Claude und Administratorzugang zu Ihrem Identitätsanbieter. Fehlt einer der drei Punkte, bleibt die Einrichtung auf halber Strecke stehen.

Tarif

SSO gibt es in Claude Team, Claude Enterprise und in Console-Organisationen. Die Unterschiede liegen in der Benutzerverwaltung. JIT steht in allen drei zur Verfügung, SCIM nur in Enterprise und Console. Die Übernahme bestehender Konten auf der Domain gibt es nur in Enterprise. Die aktuellen Tarife und Kosten finden Sie in der Übersicht der Claude-Preise.

Rolle in Claude

In Claude Team und Enterprise muss die Person, die SSO einrichtet, Owner oder Primary Owner sein. In der Claude Console genügt die Rolle Admin. Die Rolle Primary Owner ist die oberste Rolle einer Organisation. Sie lässt sich nur von Hand übertragen.

Identitätsanbieter

Anthropic stellt eigene SAML-Anleitungen für Okta, Entra ID (früher Azure AD), Google, OneLogin, JumpCloud und Duo bereit. SAML ist ein Standard, über den der IdP der Anwendung bestätigt, wer sich anmeldet. Alle verifizierten Domains einer Organisation müssen über denselben IdP laufen. Unternehmen mit zwei Verzeichnissen, etwa nach einer Übernahme, sollten diesen Punkt vor dem Start klären.

Die technische Abwicklung läuft über WorkOS. Anthropic nutzt diesen Dienst für die Domainprüfung und die SSO-Einrichtung. Sie bewegen sich dabei in den Einstellungen unter Identity and access und folgen dort einem geführten Ablauf.

Die Domainverifizierung beweist, dass Ihrem Unternehmen die Firmendomain gehört. Erst danach lässt sich SSO für Konten mit dieser Domain einrichten. Den Nachweis führen Sie über einen TXT-Eintrag im DNS, also in der Namensverwaltung Ihrer Domain.

Der Wert des Eintrags beginnt mit anthropic-domain-verification-. Laut dem Help Center zur SSO-Einrichtung ist er länger, als das Feld in der Oberfläche zeigt. Er unterscheidet außerdem Groß- und Kleinschreibung. Kopieren Sie ihn deshalb vollständig und unverändert.

Zwei Zeitangaben helfen bei der Planung:

• Anthropic empfiehlt, nach dem Eintragen 10 Minuten zu warten.
• Weltweit kann die Verbreitung einer DNS-Änderung 24 bis 48 Stunden dauern.

Ein häufiger Fehler betrifft den Status Pending. Sobald die Domain so markiert ist, zeigt die Verwaltung den TXT-Wert nicht mehr an. Geht er verloren, müssen Sie die Domain entfernen und neu anlegen. Dabei entsteht ein neuer Wert. Speichern Sie den Wert deshalb sofort an einem sicheren Ort.

Die Verifizierung allein ändert für Ihre Mitarbeitenden nichts. Der Zugang ist erst betroffen, wenn SSO eingerichtet und ausdrücklich erzwungen ist. Nach der Verifizierung können Sie den Schalter Restrict organization creation aktivieren. Er verhindert, dass jemand mit Ihrer Domain neue Claude- oder Console-Organisationen anlegt, auch private Konten. Für die spätere Übernahme bestehender Konten ist dieser Schalter Pflicht.

Die SSO-Einrichtung für Claude verbindet Ihre Organisation per SAML mit dem Identitätsanbieter. Sie starten den Ablauf in Claude unter Identity and access. Dort erhalten Sie die Werte, die Sie anschließend im IdP eintragen.

Nach der Verbindung entscheiden Sie über die Einstellung Require SSO. Ist sie aktiv, müssen sich alle über „Continue with SSO“ anmelden. Ist sie nicht aktiv, können Mitarbeitende zwischen SSO und E-Mail wählen. Erst das Erzwingen macht SSO zu einer echten Zugangskontrolle.

Zwei Punkte, die Sie vor dem Erzwingen kennen sollten

Der Primary Owner ist von der SSO-Pflicht nicht ausgenommen. Die Pflicht gilt nach E-Mail-Domain, also auch für die oberste Rolle. Einen Notfallzugang über E-Mail gibt es dann nicht.

Daraus folgt das größte Risiko: ein abgelaufenes Zertifikat oder ein abgelaufenes Client-Geheimnis. Ist Require SSO aktiv und das Zertifikat abgelaufen, kann sich laut Anthropic niemand mehr anmelden, um es zu erneuern. Jede Anmeldung läuft dann über SSO. Tragen Sie das Ablaufdatum deshalb in den Wartungskalender der IT ein, mit Vorlauf von einigen Wochen.

Ein Sonderfall betrifft Unternehmen, die Claude Team oder Enterprise und die Console parallel nutzen. Teilen sich beide die SSO-Einstellungen, unterstützt Anthropic die Anmeldung aus dem IdP-Portal heraus für die Console derzeit nicht. Die Anmeldung muss dann auf der Claude-Seite beginnen.

Am Beispiel Okta lässt sich die Einrichtung Schritt für Schritt nachvollziehen. Anthropic beschreibt den Ablauf in einer eigenen Anleitung zu Okta SSO, die für Team, Enterprise und Console gilt. Voraussetzung ist eine verifizierte Domain und Administratorzugang in Okta.

Die Einrichtung folgt dieser Reihenfolge:

1. In Claude unter Identity and access den WorkOS-Ablauf starten. Dort stehen die ACS-URL, die Entity ID und die SCIM-Zugangsdaten.
2. In Okta eine neue Anwendung anlegen und als SSO-Methode „SAML 2.0“ wählen. OIDC ist möglich, SAML wird empfohlen.
3. In den SAML-Einstellungen Name ID format auf EmailAddress und Application username auf Email setzen.
4. Unter Attribute Statements ein Attribut email mit dem Wert user.email anlegen.
5. Nur in Enterprise oder Console: SCIM aktivieren und unter To App die Optionen Create Users, Update User Attributes und Deactivate Users einschalten.
6. Die Mitarbeitenden der Anwendung zuweisen.

Mit SCIM legt Okta die zugewiesenen Personen automatisch an. Mit JIT entstehen die Konten erst bei der ersten SSO-Anmeldung. Im Team-Tarif überspringen Sie Schritt 5 und nutzen JIT.

Ein typischer Fehler steckt im E-Mail-Feld. SCIM und SAML müssen dasselbe Okta-Feld für die E-Mail-Adresse nutzen. Häufig verwendet SCIM user.login und SAML user.email. Weichen beide ab, entstehen doppelte oder nicht zuordenbare Konten.

Die Bereitstellung legt fest, wie Konten in Claude entstehen und wieder verschwinden. Anthropic bietet laut der Anleitung zu JIT und SCIM drei Modi. Standard ist Invite only.

Just-in-Time-Bereitstellung (JIT) ist der Modus, bei dem Claude ein Konto beim ersten Anmelden anlegt, sofern die Person der Anthropic-Anwendung im IdP zugewiesen ist. SCIM ist ein Standard für den Verzeichnisabgleich: Konten entstehen und verschwinden nach den Zuweisungen im IdP, ohne dass sich jemand vorher anmeldet.

Modus	Verfügbar in	Konto entsteht	Konto wird entfernt	Gruppen
Invite only	Standard	durch Einladung in Claude	von Hand in Claude	von Hand
JIT	Team, Enterprise, Console	bei der ersten SSO-Anmeldung	nie automatisch, der Seat bleibt belegt	von Hand unter Organization settings > Groups
SCIM	Enterprise, Console	sobald im IdP zugewiesen	automatisch nach IdP-Zuweisung	aus dem IdP abgeglichen

Der wichtigste Unterschied liegt beim Austritt. JIT entfernt niemanden automatisch. Wer aus der IdP-Anwendung genommen wird, kann sich nicht mehr anmelden. Die Person bleibt aber in der Mitgliederliste und belegt ihren Seat, bis ein Admin sie entfernt. Ein Seat ist ein bezahlter Platz für eine Person.

Aktivieren Sie SCIM und JIT nicht gleichzeitig. Sind beide aktiv, hat SCIM Vorrang. Bei Microsoft Entra rechnen Sie mit Verzögerung: Entra überträgt SCIM-Änderungen nur alle 40 Minuten.

Rollen und Gruppen in Claude bestimmen, was eine Person nach der Anmeldung darf. Mit JIT erhalten neue Nutzer beim ersten Anmelden standardmäßig die Rolle User. Weitergehende Rechte vergeben Sie anschließend in Claude.

Die Rolle Custom role bringt keine eigenen Rechte mit. Die Zugriffe ergeben sich vollständig aus den benutzerdefinierten Rollen, die den Gruppen dieser Person in Claude zugeordnet sind. Hier wirkt sich die Wahl der Bereitstellung direkt aus. Unter SCIM kommen die Gruppenmitgliedschaften aus dem IdP. Unter JIT legen Sie Gruppen in Claude an und befüllen sie selbst.

Sonderregeln für Primary Owner und Gruppenzuordnung

• Der Primary Owner ist vom SCIM-Abgleich ausgenommen. Owner und Admin sind es nicht.
• Die Rolle Primary Owner lässt sich nicht über Gruppenzuordnungen vergeben. Sie wird nur unter Organization settings > Members von Hand übertragen.
• Bei JIT mit Gruppenzuordnung in Okta wird eine Person beim nächsten Anmelden entfernt, wenn ihre Anmeldung keine zugeordnete Gruppe enthält. Ein Group Attribute Statement in Okta verhindert das.

Mit aktivem SCIM-Abgleich verschickt Claude an jedes neu angelegte Mitglied eine Willkommens-E-Mail. Owner und Primary Owner können sie abschalten. Organisationen mit eigenen Schlüsseln (CMEK) oder besonderen Datenschutzauflagen erhalten diese E-Mail nicht. Informieren Sie Ihr Team deshalb selbst, bevor die ersten Konten entstehen.

Wie Sie danach Funktionen und Rechte für die tägliche Arbeit setzen, beschreibt unser Leitfaden zu Claude Cowork mit Tarif, Rechten und Prüfschritten.

Die Übernahme bestehender Konten holt private Claude-Konten mit Ihrer Firmendomain in den Firmenarbeitsbereich. Das betrifft Free-, Pro- und Max-Konten, die Mitarbeitende mit ihrer Firmenadresse angelegt haben. Diese Funktion, Domain Claiming genannt, gibt es nur in Enterprise, direkt bei Anthropic oder über den AWS Marketplace gekauft.

Im Team-Tarif können Sie die Domain verifizieren und neue Privatkonten blockieren. Bestehende Konten übernehmen oder migrieren können Sie dort nicht.

Voraussetzungen und Unumkehrbarkeit

Vor dem Start verlangt Anthropic laut der Seite zur Übernahme von Konten auf Ihrer Domain vier Dinge: eingeschränkte Organisationserstellung, verifizierte Domain, tatsächlich erzwungenes SSO und aktives JIT oder SCIM. Die zugehörige Domain Capture verbietet alle Nicht-Enterprise-Konten auf der Domain. Sie lässt sich nach dem Einschalten nicht mehr zurücknehmen.

Ablauf der Migration

Die Frist beträgt 30 Tage ab Beginn der Übernahme. Sie gilt als ein gemeinsames Datum für alle betroffenen Konten, nicht pro Person. In dieser Zeit wählen Mitarbeitende eine von zwei Optionen. Mit Merge and join wandern Chats, Projekte, Dateien und Gedächtnis in das neue Konto.

Mit Join fresh beginnen sie mit einem leeren Konto. Ist HIPAA oder CMEK aktiv, bleibt nur Join fresh.

Zum Stichtag werden nicht migrierte Konten deaktiviert. Pro- und Max-Abos enden automatisch mit anteiliger Erstattung. Wer über den Apple App Store gekauft hat, muss selbst in den Apple-ID-Einstellungen kündigen. Es läuft immer nur eine Übernahme gleichzeitig. Eine später verifizierte Domain gehört nicht dazu.

Die meisten Probleme bei der Einführung von SSO in Claude entstehen nicht in der Technik, sondern in der Reihenfolge. Der folgenreichste Fehler betrifft das Speichern der JIT- oder SCIM-Einstellungen. Wer zu diesem Zeitpunkt nicht der Anthropic-Anwendung im IdP zugewiesen ist, wird aus der Organisation entfernt.

Bei Svennis gleichen wir deshalb vor dem Speichern die Zuweisungen in der IdP-Anwendung mit der aktuellen Mitgliederliste in Claude ab, Person für Person. Erst wenn beide Listen übereinstimmen, schalten wir die Bereitstellung scharf.

Weitere typische Fehler im Überblick:

• Der TXT-Wert geht im Status Pending verloren. Die Domain muss dann neu angelegt werden.
• Das SAML-Zertifikat läuft bei erzwungenem SSO ab. Niemand kommt mehr hinein, auch der Primary Owner nicht.
• SCIM und SAML nutzen unterschiedliche E-Mail-Felder im IdP. Konten passen dann nicht zusammen.
• Unter JIT bleiben Ausgetretene in der Mitgliederliste. Ihre Seats laufen weiter, bis ein Admin sie entfernt.
• JIT und SCIM sind gleichzeitig aktiv. SCIM setzt sich durch, und das Verhalten wird schwer nachvollziehbar.

Ein Missverständnis betrifft Entwicklerteams mit Claude Code. Die SSO-Einstellung von Claude.ai regelt laut der Kong-Dokumentation zu Claude Code SSO nur die Anmeldung über claude /login mit einem Seat. API-Schlüssel aus der Console erfasst sie nicht. Wer Claude Code über API-Schlüssel nutzt, braucht dafür eine eigene Zugangslösung.

Für Unternehmen im deutschsprachigen Raum ist SSO für Claude vor allem eine Frage des geordneten Ein- und Austritts. Viele Firmen steuern Zugänge bereits über Microsoft Entra ID oder Google Workspace. Claude lässt sich in genau diesen Ablauf einhängen, statt eine eigene Benutzerliste zu pflegen.

Beim Austritt zeigt sich der Unterschied zwischen den Tarifen am deutlichsten. Im Team-Tarif mit JIT sperrt die Abmeldung im IdP den Zugang sofort. Der Seat bleibt aber belegt, bis jemand ihn in Claude freigibt. Nehmen Sie diesen Schritt deshalb ausdrücklich in Ihre Checkliste für Austritte auf. In Enterprise mit SCIM erledigt der IdP beides, bei Entra mit bis zu 40 Minuten Verzögerung.

Ein zweiter Punkt betrifft private Konten mit Firmenadresse. Mitarbeitende nutzen Claude oft schon vor der offiziellen Einführung. Im Team-Tarif bleiben solche Konten bestehen, Sie können nur neue verhindern. Klären Sie früh mit Datenschutz und Betriebsrat, wie mit diesen Konten und ihren Inhalten umgegangen wird. In Enterprise sollte die 30-tägige Migrationsfrist vorab angekündigt werden, damit niemand Inhalte verliert.

SSO regelt den Zugang, nicht die Frage, welche Daten in Claude verarbeitet werden. Wie Datenweg, DSGVO und KI-Verordnung zusammenspielen, erläutert die Seite Claude im Unternehmen: Daten, DSGVO, KI-Verordnung. Beide Themen gehören in dieselbe Einführungsplanung.

Für eine saubere Einführung von SSO in Claude arbeiten Sie diese Schritte der Reihe nach ab:

1. Tarif festlegen: Brauchen Sie SCIM oder die Übernahme bestehender Konten, kommt nur Enterprise in Frage.
2. Rollen prüfen: Wer ist Primary Owner, wer Owner, und wer hat Administratorzugang im IdP?
3. Domain verifizieren und den TXT-Wert sicher ablegen.
4. Organisationserstellung einschränken, damit keine neuen Privatkonten entstehen.
5. SSO verbinden, mit einer Testgruppe prüfen und erst dann erzwingen.
6. Zuweisungen im IdP mit der Mitgliederliste abgleichen, dann JIT oder SCIM speichern.
7. Ablaufdatum des Zertifikats in den Wartungskalender eintragen.
8. Austritts-Checkliste um das Freigeben von Seats ergänzen.

Wenn Sie Claude erst einführen, gehört die Benutzerverwaltung in die Planung vor dem ersten Seat. Svennis arbeitet dafür in vier Schritten. Im Claude-Workshop legen Sie Tarif, Rollen und Anwendungsfälle fest. Danach folgt Pilot Claude A, ein KI-Agent auf Claude für einen Prozess, oder Pilot Claude B mit Claude Team für das ganze Team. Anschließend kommen die Aktivierung der Abteilung und der monatliche Betrieb.

Haben Sie bereits Lizenzen, die kaum genutzt werden oder unsauber verwaltet sind, hilft der Claude-Neustart beim Aufräumen von Konten und Rechten.