Access & Login Security

Hier konfigurierst Du, wie sich Nutzer anmelden, ob Dein eigener Identity Provider (Keycloak, Okta, PingFederate, ...) für den Login genutzt wird, welche E-Mail-Domains automatisch in Deinen Workspace aufgenommen werden und ob Microsoft-Entra-Gruppen mit Deinen Teams synchronisiert werden.

Die Seite findest Du unter Einstellungen → Zugang. Sie ist nur für Workspace-Admins sichtbar.

Erlaubte E-Mail-Domains

Nutzer, die sich mit einer E-Mail auf einer verifizierten Domain registrieren, treten Deinem Workspace automatisch bei. Das ersetzt das manuelle Einzel-Einladen und verhindert gleichzeitig, dass Mitarbeitende eigene Trial-Accounts auf ihrer Firmen-E-Mail eröffnen.

Domain hinzufügen und verifizieren

1. Domain hinzufügen klicken und z.B. deinefirma.de eintragen. Die Domain landet zunächst im Status Unverifiziert — Auto-Join ist noch aus.
2. Im Verifikations-Dialog werden Dir ein Host, ein Typ (TXT) und ein Wert angezeigt. Diesen Eintrag legst Du in der DNS-Verwaltung Deiner Domain an.
3. Zurück in MeinGPT auf Jetzt prüfen klicken. DNS-Einträge propagieren meist innerhalb von 5 Minuten — wenn die Prüfung gleich fehlschlägt, kurz warten und erneut versuchen.
4. Nach erfolgreicher Prüfung wechselt die Domain auf Verifiziert, und neue Registrierungen mit dieser Endung werden ab sofort automatisch aufgenommen.

Bestehende Nutzer nachträglich aufnehmen

Beim Klick auf das „Auf bestehende Nutzer anwenden"-Icon einer verifizierten Domain zeigt MeinGPT alle Personen außerhalb dieses Workspaces, die bereits eine E-Mail auf dieser Domain haben. Du kannst sie in einem Schritt als Betrachter hinzufügen. Bestehende Mitgliedschaften in anderen Workspaces bleiben dabei unberührt.

Domain entfernen

Das Entfernen einer Domain stoppt den Auto-Join — bestehende Mitgliedschaften werden nicht entfernt. Wenn Du die Domain später wieder hinzufügst, musst Du sie neu per DNS-TXT verifizieren.

Workspace-Einladungen aus fremden Workspaces blockieren

Jede verifizierte Domain trägt einen weiteren Schalter: „Erlaube Nutzern mit dieser Domain, zu anderen Workspaces hinzugefügt zu werden". Schalte ihn aus, um Deinen Workspace zur einzigen Heimat dieser Domain zu machen — ab dann kann niemand mit dieser E-Mail-Endung in einen anderen MeinGPT-Workspace eingeladen oder aufgenommen werden. Einladungs-Mails, Beitritts-Links, manuelles Hinzufügen durch fremde Admins und das Hinzufügen über die API werden allesamt abgelehnt. Bestehende Mitgliedschaften andernorts bleiben unberührt, und das erneute Hinzufügen zu Deinem eigenen Workspace funktioniert weiterhin. Erfasst werden nur Adressen, die tatsächlich zur Domain passen — ein Contractor mit gmail.com-Adresse, der in Deinem Workspace ist, bleibt unberührt.

Empfehlung

Lege Domains möglichst früh an, damit Mitarbeitende nicht parallel Trial-Workspaces auf der Firmen-Domain eröffnen.

Mitgliedschaft in mehreren Workspaces

Ist ein Nutzer bereits Mitglied in mehr als einem MeinGPT-Workspace — etwa durch einen alten Trial-Account, eine andere Konzerngesellschaft mit eigenem Workspace oder einen externen Berater-Zugang — landet er beim Login nicht automatisch in einem bestimmten Workspace. Stattdessen zeigt MeinGPT eine Workspace-Auswahl, in der er selbst wählt, in welchem Workspace er sich anmeldet. Das gilt unabhängig davon, ob die Anmeldung per Magic Link, Google, Microsoft oder über Deinen eigenen Identity Provider erfolgt, und ist kein Fehler, sondern das erwartete Verhalten bei mehreren Mitgliedschaften.

Diese Auswahlseite erscheint dabei nur beim allerersten Login: MeinGPT merkt sich danach, welchen Workspace jemand gewählt hat, und leitet bei jedem weiteren Login direkt dorthin weiter — genau deshalb wird die Auswahl ausschließlich beim ersten Login sichtbar, auch bei brandneuen Accounts.

Zwischen Workspaces wechselst Du jederzeit selbst: Klicke unten im Nutzermenü auf Organisation Wechseln. Der Eintrag erscheint nur, wenn der Account in mehr als einem Workspace Mitglied ist.

Die doppelte Mitgliedschaft muss dabei nicht aus einer alten, verwaisten Anmeldung stammen: Sie kann auch im selben Moment entstehen, in dem ein ganz neuer Account per SSO angelegt wird — etwa wenn zu diesem Zeitpunkt noch eine offene Einladung in einem anderen, älteren Workspace für dieselbe E-Mail-Adresse besteht (zum Beispiel aus einem vergessenen Pilot- oder Test-Workspace).

Domain-Verifizierung und Auto-Join (siehe oben) steuern nur, ob neue Registrierungen automatisch Deinem Workspace beitreten. Sie entfernen und verschieben keine bestehenden Mitgliedschaften in anderen Workspaces — auch nicht, wenn Du den Schalter „Nutzer mit dieser Domain dürfen zu anderen Workspaces hinzugefügt werden" ausschaltest.

Wenn Mitarbeitende melden, dass sie beim SSO-Login nach dem Workspace gefragt werden, statt automatisch in Deinem zu landen: Das deutet auf eine bestehende Zweit-Mitgliedschaft hin. Bitte die betroffene Person, in der Workspace-Auswahl nachzusehen, welche(r) weitere(n) Workspace(s) dort angezeigt werden, und wende Dich mit dieser Information an unseren Support — wir können die überflüssige Mitgliedschaft entfernen oder zusammenführen.

Zusätzlichen Workspace bekommen

Einen eigenen Workspace legst Du nur bei der ersten Registrierung selbst an, und nur mit einem Konto, das noch in keinem Workspace Mitglied ist. Wer bereits Mitglied eines Workspaces ist, kann selbst keinen weiteren anlegen. Auch eine erneute Registrierung mit derselben E-Mail-Adresse erzeugt keinen zweiten Workspace.

Brauchst Du als bestehender Nutzer einen zusätzlichen Workspace, richtet unser Team ihn für Dich ein. Schreib an sales@meingpt.com oder an den Support und nenne den gewünschten Workspace-Namen und die E-Mail-Adresse, die dort Admin sein soll. Dieselbe E-Mail-Adresse kann in mehreren Workspaces Mitglied sein; zwischen ihnen wechselst Du über Organisation Wechseln (siehe oben).

Jeder Workspace hat eine eigene Abrechnung und ein eigenes Guthaben, siehe Abrechnung verwalten.

Eigene Domain (White-Label)

Du kannst Deinen Workspace unter einer eigenen Adresse erreichen, z.B. chat.deinefirma.de statt app.meingpt.com. Das ist als kostenpflichtige Erweiterung verfügbar und wird gemeinsam mit unserem Team eingerichtet.

Eine eigene Domain ist sinnvoll, wenn:

• Du den MeinGPT-Zugang für Deine Mitarbeitenden hinter Deiner eigenen Marke verstecken möchtest
• Du in Mitarbeiter-Kommunikation oder Onboarding-Material einen stabilen Firmen-Link kommunizieren willst
• Du SSO-Sicherheitsrichtlinien hast, die Drittanbieter-Hostnames vermeiden

Was bei der Einrichtung passiert (gemeinsam mit unserem Team):

• DNS-Eintrag auf Deiner Seite (CNAME oder A-Record auf unseren Endpoint)
• TLS-Zertifikat auf unserer Seite über Let's Encrypt
• Microsoft-, Google- und Workspace-SSO laufen über unsere zentrale Callback-Adresse; neue eigene Domains brauchen keine separaten OAuth-Redirect-URIs mehr
• Origin-Allowlist im Backend für CORS und Stripe-Redirects pflegen

Anfrage starten: Im Workspace-Setting unter Access & Login Security → Eigene Domain auf „Sales kontaktieren" klicken, oder direkt an enterprise@meingpt.com schreiben.

Netzwerkfreigaben (Firewall / Proxy)

Auch wenn Du MeinGPT unter Deiner eigenen Domain nutzt, lädt Dein Browser einige Inhalte von MeinGPT-Adressen außerhalb dieser Domain. Erlaube in der Firewall und im Proxy Deines Unternehmens deshalb zusätzlich ausgehendes HTTPS zu:

• cdn.meingpt.com - Bilder der Plattform, zum Beispiel die Vorschaubilder des Notetakers in den Meeting-Einstellungen
• assets.meingpt.com - Oberfläche des Outlook-Add-ins

Wird cdn.meingpt.com blockiert, erscheinen solche Bilder als leere Bildplatzhalter. Willst Du alle MeinGPT-Adressen auf einmal freigeben, erlaube *.meingpt.com.

Authentifizierungsmethoden

Hier entscheidest Du, mit welchen Methoden sich Nutzer in Deinem Workspace registrieren und anmelden können. Drei Methoden sind standardmäßig aktiviert:

• E-Mail (Magic Link) — passwortlose Anmeldung über einen Einmal-Link, der an die E-Mail-Adresse geschickt wird. Der Link ist 15 Minuten gültig und nur einmal nutzbar; forderst Du einen neuen Link an, wird der vorherige sofort ungültig.
• Google — Sign-in via Google-Account (für Google-Workspace-Kunden besonders praktisch)
• Microsoft — Sign-in via Microsoft-Account (privat, Schul- oder Geschäfts-Account). Funktioniert ohne weitere Konfiguration, eine Entra-Hinterlegung ist hierfür nicht nötig — siehe Entra-ID-Synchronisierung, falls Du zusätzlich Gruppen synchronisieren willst.

Eine vierte Methode, SSO (OpenID Connect), erscheint in der Liste, sobald Du einen eigenen Identity Provider hinterlegt hast (siehe Single Sign-on mit eigenem Identity Provider). Sie wird beim Speichern des Providers automatisch aktiviert und lässt sich hier wie die anderen Methoden ein- und ausschalten.

Mindestens eine Methode muss aktiviert bleiben — MeinGPT verhindert, dass Du die letzte Methode deaktivierst.

So läuft die Anmeldung ab

Die Anmelde-Seite fragt zuerst nur nach der E-Mail-Adresse. Nach Weitermachen zeigt MeinGPT die Methoden, die der Workspace erlaubt, dem diese E-Mail-Domain gehört — und nur diese. Für eine Adresse auf einer Deiner verifizierten Domains sind das also genau die Toggles von oben; für eine unbekannte Adresse (z.B. eine private Gmail-Adresse) alle Standardmethoden.

• Wer sich schon einmal in diesem Browser angemeldet hat, überspringt den ersten Schritt: MeinGPT merkt sich die Adresse und die zuletzt genutzte Methode.
• Mit Nicht du? E-Mail-Adresse ändern geht es zurück zur Eingabe.
• Die eingegebene Adresse wählt nur die Buttons aus. Wer sich anschließend per Google, Microsoft oder SSO als jemand anderes anmeldet, landet im Account dieser Person — entscheidend ist immer, was der Login-Dienst bestätigt.

Was passiert, wenn der Magic Link geöffnet wird

• Öffnen ist noch kein Anmelden: Beim Öffnen des Links zeigt MeinGPT zuerst eine Bestätigungsseite. Bestehende Nutzer sehen dort "Willkommen zurück" mit ihrem Konto und der Schaltfläche Weitermachen; neue Nutzer legen zuerst ihr Profil an. Erst mit dem Klick auf Weitermachen (bzw. dem Absenden des Profils) wird der Link verbraucht und die Person angemeldet. Bis dahin lässt sich der Link innerhalb der 15 Minuten beliebig oft öffnen. Auch ein Mail-Scanner, der den Link nur abruft, verbraucht ihn nicht.
• Erneut öffnen: Ein bereits verwendeter Link zeigt "Der Magic Link wurde bereits verwendet". Ein Link, der älter als 15 Minuten ist oder durch eine neuere Anfrage ersetzt wurde, zeigt "Der Magic Link ist abgelaufen". In beiden Fällen fordert die Person auf der Anmeldeseite einen neuen Link an. Ist der Browser noch angemeldet, führt der Link ohne Fehlermeldung direkt in den Workspace.
• Seite neu laden: Nach dem Öffnen entfernt MeinGPT den Link aus der Adresszeile. Lädt die Person die Bestätigungsseite neu, erscheint die normale Anmeldeseite. Der Link selbst bleibt gültig und lässt sich erneut aus der E-Mail öffnen.
• Anderes Gerät oder Browser: Der Link ist nicht an ein Gerät oder einen Browser gebunden. Die E-Mail kann auf dem Handy gelesen und der Link am Laptop geöffnet werden. Angemeldet wird in dem Browser, in dem Weitermachen geklickt wird. Der Browser, in dem der Link angefordert wurde, bleibt abgemeldet. Ist 2FA aktiv, fragt MeinGPT den Code auf diesem Gerät ab.

Login-Link mit vorgewählten Methoden

Unter den Toggles findest Du eine vorgenerierte Login-URL der Form app.meingpt.com/auth?login=microsoft,email. Sie listet die aktuell aktivierten Methoden als URL-Parameter mit. Besucher, die diesen Link öffnen, sehen auf der Anmelde-Seite nur die hier vorgewählten Optionen — andere Methoden bleiben ausgeblendet.

Dieser Link ist nicht der Einmal-Link aus der Anmelde-E-Mail: Er wählt nur vor, welche Anmeldemethoden angezeigt werden.

Typischer Einsatz: Du gibst Deiner Belegschaft einen Microsoft-only-Link weiter, damit Mitarbeitende nicht versehentlich über Magic Link einen Parallel-Account auf ihrer privaten Adresse erzeugen. Die URL aktualisiert sich automatisch, sobald Du Methoden umtogglest.

Ist ein eigener Identity Provider hinterlegt, enthält der Link zusätzlich sso=<id>. Damit finden auch Mitglieder, deren E-Mail-Domain zu einem anderen Workspace gehört (etwa externe Berater), den SSO-Button Deines Workspaces.

Wie lange bleibe ich angemeldet?

Nach der Anmeldung bleibt eine Person bis zu etwa einer Woche angemeldet. Danach muss sie sich erneut anmelden, bei der Anmeldung per E-Mail also mit einem neuen Magic Link. Die Dauer lässt sich in den Workspace-Einstellungen nicht ändern. Meldet sich jemand deutlich öfter neu an, liegt die Ursache meist beim Browser, zum Beispiel bei Richtlinien, die Cookies beim Schließen oder nach Zeitplan löschen, oder bei der Nutzung des privaten Modus.

Magic Link kommt verspätet oder gar nicht an

Wenn ein Magic Link mehr als ein paar Minuten braucht, liegt das fast immer an einer Mail-Filterung und nicht an einem verlorengegangenen Versand:

1. Zuerst den Spam-/Junk-Ordner prüfen — die häufigste Ursache.
2. Deine IT-Abteilung bitten, meingpt.com auf die Allowlist zu setzen (SPF-verifizierter Absender / Safe-Sender-Liste) im Mail-Gateway Deines Unternehmens (z.B. Microsoft Defender for Office 365, Mimecast, Proofpoint). Gateways, die Nachrichten zum Scannen zurückhalten, sind der häufigste Grund, warum eine Magic-Link-E-Mail erst nach Ablauf ihres 15-Minuten-Fensters ankommt.
3. Immer die neueste E-Mail verwenden — jede neue Link-Anfrage macht den vorherigen Link sofort ungültig, auch wenn dieser noch ungenutzt aussieht.
4. Wiederholte Anfragen werden begrenzt — maximal 5 Link-Anfragen pro 15 Minuten und E-Mail-Adresse; weitere Versuche in diesem Zeitfenster werden abgelehnt, bis das Limit zurückgesetzt wird.

Kommen E-Mails auch nach dem Allowlisting nicht an, wende Dich an enterprise@meingpt.com.

Single Sign-on mit eigenem Identity Provider (OIDC)

Wenn Dein Unternehmen einen eigenen Identity Provider betreibt, melden sich Deine Mitarbeitenden damit bei MeinGPT an — Passwörter, Zwei-Faktor-Regeln und das Sperren von Accounts bleiben komplett bei Dir. Unterstützt wird jeder Provider, der OpenID Connect spricht, zum Beispiel Keycloak, Okta, PingFederate, Authentik oder Microsoft Entra ID. SAML wird nicht unterstützt.

Einrichtung

Das Client-Secret wird verschlüsselt gespeichert und nie wieder angezeigt. Um es zu wechseln, trägst Du einfach ein neues ein; lässt Du das Feld beim Bearbeiten leer, bleibt das gespeicherte erhalten.

Was beim Login passiert

Gibt jemand auf der Anmelde-Seite eine Adresse auf einer Deiner verifizierten Domains ein, erscheint der SSO-Button. Der Klick führt zu Deinem Identity Provider; nach dem Login dort geht es zurück zu MeinGPT.

Bei der ersten Anmeldung einer Person verknüpft MeinGPT die Identität aus Deinem Provider mit einem MeinGPT-Account. Dabei gilt:

• Bestätigt Dein Provider die E-Mail-Adresse als verifiziert und liegt sie auf einer Deiner verifizierten Domains, wird der Account sofort angelegt bzw. verknüpft und die Person tritt Deinem Workspace bei. Die Domain muss per DNS-Eintrag oder durch unseren Support verifiziert sein. Domains, die aus der früheren Domain-Liste als verifiziert übernommen wurden, zählen hier nicht.
• Andernfalls schickt MeinGPT zuerst eine Bestätigungs-E-Mail an die Adresse. Erst der Klick auf den Link verknüpft die Identität. So kann kein Provider eine fremde Adresse für sich beanspruchen. Die E-Mail nennt Deinen Workspace und Deinen Provider, und der Link funktioniert nur in dem Browser, in dem die Anmeldung gestartet wurde.

Ab der zweiten Anmeldung zählt nur noch die Identität bei Deinem Provider — auch wenn sich die E-Mail-Adresse der Person dort inzwischen geändert hat. Das gilt, solange die Person Mitglied Deines Workspaces ist; nach dem Verlassen folgt ihre nächste Anmeldung wieder den Regeln für die erste Anmeldung.

Provider ändern oder entfernen

Ein neues Client-Secret kannst Du jederzeit eintragen, ohne dass sich für Deine Nutzer etwas ändert. Änderst Du die Issuer-URL, trägst Du das Client-Secret erneut ein; MeinGPT schickt das gespeicherte Secret nie an einen neuen Issuer. Änderst Du dagegen die Issuer-URL oder die Client-ID oder klickst Du auf SSO-Anbieter entfernen, löst MeinGPT alle bestehenden SSO-Verknüpfungen und beendet die laufenden SSO-Sitzungen dieses Workspaces: Alle melden sich beim nächsten Mal neu an und werden dabei erneut verknüpft. Beim Entfernen wird die Methode SSO deaktiviert; mindestens eine andere Methode muss vorher aktiv sein.

Was bei Deinem Provider bleibt

Multi-Faktor-Authentifizierung, Passwortregeln, Conditional Access und das Deaktivieren von Nutzern konfigurierst Du bei Deinem Identity Provider. Ein dort gesperrter Nutzer kann sich nicht mehr neu bei MeinGPT anmelden; eine bereits laufende Sitzung endet mit ihrer normalen Gültigkeit. Soll jemand sofort keinen Zugriff mehr auf Deinen Workspace haben, entfernst Du die Person zusätzlich in der Nutzerverwaltung.

Entra-ID-Synchronisierung

Wenn Du Microsoft Entra ID (ehemals Azure AD) einsetzt, kannst Du Entra-Gruppen mit Deinen MeinGPT-Teams verknüpfen. Die Synchronisierung ist rein additiv und läuft bei jedem Login: Nutzer werden automatisch zu den passenden Teams hinzugefügt, aber nicht automatisch entfernt — wer aus der Entra-Gruppe entfernt wird, bleibt im MeinGPT-Team, bis ein Admin ihn manuell entfernt.

Einmalige Autorisierung

1. Autorisieren klicken. Es öffnet sich ein Microsoft-Popup mit der Bitte um Admin-Consent für Deinen Tenant — diesen Schritt muss eine Person mit Microsoft-Admin-Rechten durchführen.
2. Nach erfolgreicher Bestätigung speichert MeinGPT die Tenant-ID. Eine separate manuelle Konfiguration ist nicht nötig.

Gruppensynchronisierung aktivieren

Der Schalter neben dem Section-Titel steuert, ob Entra-Gruppen tatsächlich gesynct werden. Beim ersten Aktivieren oder nach Tenant-Wechseln kann MeinGPT eine erneute Autorisierung verlangen — das Banner „Eine erneute Autorisierung kann erforderlich sein" zeigt das an. In dem Fall einfach noch einmal auf Erneut autorisieren klicken.

Welche Entra-Gruppe an welches MeinGPT-Team angedockt wird, konfigurierst Du anschließend in der Team-Verwaltung (siehe Team-Verwaltung → Entra-Sync). Für die SCIM-basierte Nutzerbereitstellung aus Entra ID — ein separater, aber verwandter Schritt — siehe Entra ID SCIM-Provisionierung.

Zugriff zusätzlich Microsoft-seitig einschränken

Wenn Du den MeinGPT-Zugang nur bestimmten Entra-Gruppen erlauben willst, ist das auf Microsoft-Seite über Conditional Access machbar: Application „MeinGPT" für alle blockieren und ausgewählten Gruppen explizit freigeben. Das ergänzt die Authentifizierungs-Toggles in MeinGPT, ersetzt sie aber nicht.

Technischer Deep Dive

• Connections (Cloud/on-Prem)
• Identity Forwarding