Claude Enterprise SSO und SCIM mit Entra ID
Identitätsanbindung für Claude Enterprise – von SAML bis SCIMSSO und SCIM für Claude Enterprise mit Entra ID
Im Quartalsgespräch stellt der Informationssicherheitsbeauftragte genau zwei Fragen: Wie meldet sich jemand bei Claude an — und was passiert mit dem Zugang, wenn die Person das Haus verlässt? Lautet die Antwort „mit einem Anmeldelink per E-Mail“ und „dann nimmt die IT sie aus der Liste, sobald es jemandem auffällt“, ist das Gespräch beendet. Und dein Rollout auch, spätestens beim nächsten Audit.
Genau dafür gibt es SSO und SCIM. Die beiden Begriffe fallen meistens im selben Satz, lösen aber zwei völlig verschiedene Probleme — und stehen auch nicht auf denselben Plänen zur Verfügung. Dieser Artikel geht den Weg einmal durch: erst das Fundament aus Parent-Organisation und Domain, dann die SAML-Anbindung an Entra ID, dann die Provisionierung, und am Ende die Stolperfallen, die andere schon für dich gefunden haben.
Was SSO löst, was SCIM löst
Zwei Bausteine, zwei verschiedene Probleme
SSO beantwortet die Frage der Authentifizierung: Wer ist das, und darf diese Person sich überhaupt anmelden? Statt eigener Zugangsdaten prüft Entra ID die Identität, inklusive eurer Multifaktor-Regeln und eurer Bedingungen für Zugriff. Fällt eine Person im Verzeichnis aus, kann sie sich nicht mehr neu anmelden — das ist der halbe Gewinn.
SCIM beantwortet die Frage des Lebenszyklus: Wer soll ein Konto haben, mit welcher Rolle, und wann verschwindet es wieder? Ohne SCIM bleibt der Eintrag in der Mitgliederliste bestehen, auch wenn niemand mehr hinter der Identität steht — der Sitz bleibt belegt, die Nutzerliste wird zur Karteileiche, und beim Zugriffsreview darfst du erklären, warum ein seit acht Monaten ausgeschiedener Kollege noch Mitglied ist. SSO ohne SCIM ist eine verschlossene Tür in einem Haus, in dem niemand die alten Schlüssel einsammelt.
Die Plan-Matrix in drei Sätzen
Der Team-Plan kann SSO und Just-in-time-Provisionierung, aber kein SCIM. Der Enterprise-Plan kann alles: SSO, JIT, SCIM, Gruppen-Mappings auf Rollen und Sitztypen sowie eine Custom-Rolle für feingranulare Rechte. Die Console — also der Entwicklerbereich für die API — ist eine eigene Organisation, die sich an dieselbe Anmeldung anhängen lässt; SCIM steht ihr aber nur zur Verfügung, wenn sie an einer Enterprise-Struktur hängt und nicht an einem Team-Plan. Wer also automatisiertes Offboarding als Anforderung im Lastenheft stehen hat, hat die Planfrage damit implizit schon beantwortet.
Was die Identitätsanbindung nicht löst
Damit die Erwartung stimmt: SSO und SCIM regeln, wer hereinkommt und mit welcher Rolle — nicht, was drinnen erlaubt ist. Welche Konnektoren freigegeben sind, welche Modelle genutzt werden dürfen, wie lange Verläufe aufbewahrt werden und wo die Ausgabengrenzen liegen, stellt ihr getrennt in der Claude-Verwaltung ein. Auch die inhaltliche Nutzungsregel — was in ein Eingabefeld darf und was nicht — hängt an keinem Identitätsprotokoll. Wer im Projektplan „Governance“ mit „SSO eingerichtet“ abhakt, hat den Zugang geregelt und die Nutzung offen gelassen. Praktisch heißt das: Die Identitätsanbindung ist ein Baustein von mehreren und sollte im selben Zug geplant werden wie Rollenmodell und Nutzungsregeln, sonst baut ihr zweimal an derselben Stelle.
Das Fundament: Parent-Organisation und Domain
Die Parent-Organisation verstehen
Anthropic verwaltet Identität nicht in der einzelnen Organisation, sondern eine Ebene darüber — in der sogenannten Parent-Organisation. Dort liegen die verifizierten Domains, die SSO-Verbindung und die Provisionierungsregeln. Bei einem Enterprise-Plan entsteht sie automatisch bei der Einrichtung, beim Team-Plan beim ersten Aktivieren von SSO, und eine Console-Organisation braucht dafür entweder eine eigene oder muss an eine bestehende angehängt werden. Zwei Regeln bestimmen alles Weitere: Eine verifizierte Domain gehört genau einer Parent-Organisation, und eine Parent-Organisation spricht mit genau einem Identity Provider. Wer mehrere Gesellschaften mit unterschiedlichen Verzeichnissen betreibt, muss das vorher durchdenken — nachträglich umhängen bedeutet Support-Ticket und Konfigurationsverlust.
Wichtig für die Diskussion mit dem Einkauf: Nach oben wandert nur die Identität. Abrechnung, Rechnungen und Nutzungsauswertung bleiben bei der einzelnen Organisation. Eine gemeinsame Anmeldung heißt also nicht automatisch eine gemeinsame Rechnung.
Domain-Verifizierung ist die Eintrittskarte
Ohne verifizierte Domain kein SSO — das ist der erste Schritt und braucht einen DNS-Eintrag, also jemanden mit Zugriff auf eure Zone. Nebenbei liefert dieser Schritt etwas, das für die Rollout-Planung Gold wert ist: Über die Domain-Mitgliedschaften siehst du, welche Konten mit eurer Firmen-Domain bereits existieren, und kannst die Liste als CSV oder JSON herunterladen. Das ist die ehrlichste Bestandsaufnahme eurer KI-Schatten-IT, die du bekommen kannst — meist deutlich ernüchternder als die Schätzung aus der Fachbereichsumfrage. Ist die Domain verifiziert, könnt ihr außerdem verhindern, dass mit euren Adressen neue Organisationen oder Privatkonten angelegt werden.
Abb.: Die Parent-Organisation bündelt Domains, IdP und Provisionierung — die Abrechnung bleibt unten.
SSO mit Entra ID einrichten
Die Reihenfolge, die funktioniert
Auf eurer Seite braucht es die Rolle Owner oder Primary Owner in Claude sowie in Entra einen globalen Administrator oder Anwendungsadministrator. Anthropic nennt zusätzlich eine Entra-ID-Lizenz der Stufe P1 oder P2 als Voraussetzung — zwingend ist sie für die SCIM-Provisionierung, weil automatische Benutzerbereitstellung bei Microsoft ein kostenpflichtiges Feature ist. Der Ablauf selbst ist unspektakulär: Domain verifizieren, in Claude den Einrichtungsassistenten öffnen, in Entra unter „Unternehmensanwendungen“ eine neue Anwendung anlegen, SAML konfigurieren und die Metadaten austauschen.
Zwei Praxishinweise dazu. Erstens kommen alle Werte, die du in Entra einträgst — Entity ID und Reply URL —, aus dem Einrichtungsassistenten in eurer Claude-Verwaltung. Du musst dafür kein Ticket beim Support aufmachen; die Werte stehen in der laufenden Konfiguration und sind für jede Organisation andere. Als Anmelde-URL trägst du die normale Claude-Anmeldeseite ein. Zweitens lädst du zum Abschluss die Föderationsmetadaten aus Entra herunter und spielst sie im Assistenten wieder ein — dabei werden Zertifikat und Endpunkte automatisch übernommen, was eine ganze Klasse von Tippfehlern ausschließt. Technisch läuft die Anbindung übrigens über WorkOS, den Dienstleister, den Anthropic für Domain-Verifizierung und SSO einsetzt; für eure Subprozessor-Dokumentation ist das eine relevante Zeile.
Die Attributfalle
Wenn eine Anbindung scheitert, liegt es fast immer an einer Sache: dem E-Mail-Attribut. Der Claim, den Entra in der SAML-Assertion schickt, und das Feld, das später für die SCIM-Zuordnung verwendet wird, müssen exakt dasselbe sein — üblicherweise „user.mail“. Weichen sie voneinander ab, meldet sich der Nutzer erfolgreich an und landet trotzdem nicht in eurer Organisation, oder er wird als zweiter Datensatz angelegt. Das Symptom sieht aus wie ein Rechteproblem, ist aber ein Abbildungsfehler. Wer sich das einmal notiert, spart sich zwei Stunden Fehlersuche.
Abb.: Der Anmeldeflow von der Firmen-E-Mail bis zum zugewiesenen Sitz — und die Voraussetzungen dafür.
|
PRAXIS-TIPP Ein Notfallzugang, bevor du die Tür zumachst Bevor du die SSO-Pflicht aktivierst, richte einen zweiten Owner ein, der den Weg beherrscht, und teste die Anmeldung mit einem echten Testnutzer aus einer Fachabteilung. Der Klassiker in Identitätsprojekten ist, dass sich der Administrator selbst aussperrt — bei Claude besonders elegant dadurch, dass er beim Aktivieren der Gruppen-Mappings nicht in der Owner-Gruppe steht und auf die Nutzerrolle zurückfällt. Ein zweites Konto mit Owner-Rechten kostet nichts außer Disziplin und rettet dir einen Nachmittag. |
|---|
Provisionierung: Invite-only, JIT oder SCIM
Die drei Modi
Nach der Anmeldung stellt sich die Frage, wie Konten überhaupt entstehen. „Nur auf Einladung“ ist die Voreinstellung: Admins pflegen jede Person von Hand, SSO regelt lediglich die Anmeldung. Just-in-time provisioniert automatisch bei der ersten Anmeldung — jeder, der in Entra der Anwendung zugewiesen ist, bekommt beim ersten Login einen Sitz, sofern noch einer frei ist. Das ist bequem und für den Team-Plan die einzige Automatik, hat aber eine Lücke: Beim Austritt endet zwar die Anmeldemöglichkeit, der Eintrag in der Mitgliederliste bleibt jedoch stehen, bis ihn jemand entfernt. SCIM schließt genau diese Lücke, weil das Verzeichnis führend wird: Wer der Anwendung zugewiesen wird, entsteht in Claude; wer die Zuweisung verliert, verschwindet — ganz ohne Anmeldung.
Gruppen-Mappings für Rollen und Sitztypen
Richtig interessant wird es mit Gruppen-Mappings, die sowohl mit JIT als auch mit SCIM funktionieren. Du legst in Entra Gruppen an, ordnest sie in Claude den Rollen zu — Owner, Admin, User oder Custom — und optional auch den Sitztypen. Ab dann steuert die Gruppenmitgliedschaft, wer welche Rolle und welchen Sitz bekommt: Der Wechsel aus der Entwicklung ins Controlling ändert die Ausstattung, ohne dass jemand in Claude etwas anfasst. Zwei Details aus dem Kleingedruckten, die im Projekt regelmäßig zubeißen: Sobald Gruppen-Mappings aktiv sind, muss jede Person in mindestens einer rollenzugeordneten Gruppe stehen, sonst wird sie nicht bereitgestellt — und wer keiner Sitztyp-Gruppe angehört, bekommt standardmäßig den höchsten verfügbaren Sitztyp.
|
WARNUNG Der Sitztyp-Standard kostet euch echtes Geld Ist keine Sitztyp-Gruppe zugeordnet, weist Claude die höchste verfügbare Stufe zu. Aus einer Abteilung, die mit Standardsitzen glücklich gewesen wäre, wird so über Nacht eine Abteilung auf Premium-Sitzen — und zwar leise, ohne dass jemand eine Bestellung ausgelöst hätte. Baue die Sitztyp-Gruppen im selben Arbeitsgang wie die Rollengruppen, nicht „später, wenn wir wissen, wer viel nutzt“. Später ist in diesem Fall die nächste Rechnung. |
|---|
Der Austritt ist die eigentliche Compliance-Frage
Für den Auditor zählt weniger, wie elegant das Onboarding läuft, sondern wie belastbar das Offboarding ist. Mit SCIM ist die Antwort einfach: Entzug der Zuweisung im Verzeichnis, automatische Entfernung in Claude, Sitz wird frei. Ein Detail solltest du dabei kennen — Entra überträgt Änderungen nicht sofort, sondern in einem Takt von etwa 40 Minuten. Für die geordnete Kündigung reicht das locker; für den Fall, in dem jemand um 9 Uhr das Gebäude verlassen muss, nicht. Dann gilt die alte Regel: Im Verzeichnis sperren wirkt sofort auf neue Anmeldungen, und wer es genau nimmt, entfernt die Person zusätzlich von Hand in Claude oder stößt die Synchronisierung manuell an. Wie bei jeder SAML-Anbindung beendet das Sperren im Verzeichnis übrigens nicht schlagartig jede laufende Sitzung — auch das gehört in eure Offboarding-Anweisung.
Abb.: Provisioning-Lebenszyklus — was die drei Modi bei Eintritt, Wechsel und Austritt für dich erledigen.
|
WARNUNG Ein Klick zur falschen Zeit entfernt die halbe Belegschaft Beim Aktivieren von JIT, SCIM oder Gruppen-Mappings gilt eine eiserne Reihenfolge: erst alle Personen in Entra der Anwendung und den richtigen Gruppen zuweisen, dann in Claude speichern. Wer zuerst speichert, deprovisioniert alle, die noch nicht zugewiesen sind — im Zweifel die halbe Organisation samt Owner. Die Verwaltung zeigt vor dem Anwenden eine Vorschau mit der Zahl der zu entfernenden Mitglieder. Lies diese Zahl. Wenn sie höher ist, als du erwartet hast, brich ab und prüfe die Gruppen, statt zu hoffen. |
|---|
|
INFO Der Primary Owner ist die eine Ausnahme Der Primary Owner bleibt vom SCIM-Abgleich verschont: Fehlt er im Verzeichnis oder in einer zugeordneten Gruppe, wird er beim Abgleich übersprungen statt entfernt. Diese Ausnahme gilt ausschließlich für diese eine Rolle — normale Owner und Admins fliegen sehr wohl raus, wenn sie in keiner zugeordneten Gruppe stehen. Über SCIM vergeben lässt sich die Rolle nicht; sie wird manuell übertragen. Kläre deshalb vor der Aktivierung, wer sie hält, und dokumentiere es. |
|---|
Bestandskonten und Betriebspraxis
Was mit den privaten Konten der Belegschaft passiert
Der Punkt, der in der Kommunikation am häufigsten schiefgeht: Viele Mitarbeiter haben längst ein eigenes Claude-Konto mit ihrer Firmenadresse. Wird SSO eingeführt und die Person der Anwendung zugewiesen, behält sie ihr bisheriges Konto und kann zwischen beiden umschalten. Wird sie nicht zugewiesen und ihr erzwingt die SSO-Anmeldung, kommt sie an ihr altes Konto nicht mehr heran — gelöscht wird es nicht, aber unerreichbar. Kündige diesen Schritt deshalb mit Vorlauf an und weise darauf hin, dass eigene Verläufe vorher exportiert werden sollten. Ein Satz im Intranet spart dir zehn wütende Tickets am Stichtag.
Die kleinen Dinge, die den Betrieb ausmachen
Drei Punkte, die im Alltag immer wieder auftauchen. Erstens: Ohne freie Sitze passiert nichts. Stehen Personen korrekt im Verzeichnis, tauchen aber nicht als Mitglieder auf, ist fast immer das Sitzkontingent erschöpft — nachbuchen, Synchronisierung anstoßen, fertig. Zweitens: Die SSO-Pflicht lässt sich für Claude und für die Console getrennt erzwingen. Führe sie zuerst dort ein, wo die Masse arbeitet, und lass den Entwicklerbereich so lange offen, bis dessen Nutzer geordnet umgezogen sind. Drittens: Ein späterer Wechsel des Identity Providers ist möglich, aber kein Nebenbei-Projekt — plane ihn wie eine Migration, mit Testnutzer und Zeitfenster, nicht als Freitagnachmittags-Aufgabe.
Häufige Fragen (FAQ)
Unterstützt Claude SSO mit Microsoft Entra ID?
Ja, Claude unterstützt SAML-basiertes Single Sign-on mit Microsoft Entra ID auf Team- und Enterprise-Plänen sowie für Console-Organisationen. Die Anbindung läuft über eine Unternehmensanwendung in Entra, in die du Entity ID und Reply URL aus dem Einrichtungsassistenten einträgst; die Föderationsmetadaten spielst du anschließend zurück in Claude. Voraussetzung ist eine zuvor per DNS-Eintrag verifizierte Domain.
Was ist der Unterschied zwischen JIT und SCIM bei Claude?
JIT legt ein Konto an, wenn sich die Person das erste Mal anmeldet, SCIM legt es an, sobald sie im Verzeichnis zugewiesen wird — und entfernt es automatisch wieder, wenn die Zuweisung entfällt. Der entscheidende Unterschied liegt also im Austritt: Bei JIT bleibt der Eintrag bis zur manuellen Entfernung bestehen und blockiert einen Sitz. Beide Verfahren lassen sich mit Gruppen-Mappings kombinieren, um Rollen und Sitztypen aus dem Verzeichnis zu steuern.
Gibt es SCIM auch im Claude-Team-Plan?
Nein, SCIM setzt einen Enterprise-Plan voraus; Team-Organisationen können SSO mit „nur auf Einladung“ oder mit Just-in-time-Provisionierung kombinieren. Auch eine Console-Organisation bekommt SCIM nur, wenn sie an einer Enterprise-Struktur hängt und nicht an einem Team-Plan. Wenn automatisiertes Deprovisioning bei euch eine harte Anforderung aus der Informationssicherheit ist, ist die Planfrage damit entschieden.
Wie schnell verliert ein ausgeschiedener Mitarbeiter den Zugriff?
Die Sperre im Verzeichnis wirkt sofort auf neue Anmeldungen, die automatische Entfernung des Kontos folgt mit dem SCIM-Takt von etwa 40 Minuten. Für den Eilfall stößt du die Synchronisierung von Hand an oder entfernst die Person direkt in der Mitgliederverwaltung. Bereits laufende Sitzungen enden dadurch nicht zwangsläufig sofort — wer ein hartes Zeitfenster zusichern muss, sollte diesen Punkt in der Offboarding-Anweisung explizit regeln.
Was passiert mit privaten Claude-Konten, wenn wir SSO erzwingen?
Wer der SSO-Anwendung zugewiesen ist, behält sein bisheriges Konto und kann zwischen den Konten wechseln; wer nicht zugewiesen ist, kommt bei erzwungener SSO-Anmeldung nicht mehr an sein altes Konto — es wird nicht gelöscht, aber unzugänglich. Kündigt den Stichtag deshalb rechtzeitig an und weist auf die Möglichkeit hin, eigene Daten vorher zu exportieren. Über die Domain-Mitgliedschaften seht ihr vorab, wie viele Konten überhaupt betroffen sind.
Brauchen wir für Claude eine Entra-ID-P1-Lizenz?
Für die SCIM-Provisionierung ja — Anthropic nennt eine Entra-ID-Lizenz der Stufe P1 oder P2 als Voraussetzung, weil die automatische Benutzerbereitstellung bei Microsoft zu den kostenpflichtigen Funktionen gehört. Da die meisten Häuser mit Enterprise-Ambitionen ohnehin auf P1 oder höher liegen, ist das selten ein echter Blocker. Prüft es trotzdem vor der Planung, damit die Lizenzfrage nicht mitten in der Einrichtung auftaucht.
Weiterlesen
Wie Claude im Unternehmen insgesamt aufgesetzt wird — Lizenzmodelle, Microsoft-Umfeld, Datenschutz und Rollout — steht im Überblick Claude im Unternehmen. Wenn ihr die Identitätsanbindung sauber aufsetzen wollt, ohne die klassischen Aussperr- und Deprovisionierungsunfälle: In der Beratung zu Claude und KI-Governance planen wir Reihenfolge, Gruppenmodell und Notfallzugang gemeinsam mit eurem Identity-Team.