SSO mit Google Workspace
Schritt für Schritt — eigene SAML-App anlegen, Metadaten-Datei herunterladen, Name-ID auf EMAIL stellen.
So verbindest du einen Arbeitsbereich mit Google Workspace. Die allgemeine Reihenfolge (erst die Domain nachweisen, dann die Verbindung) beschreibt Unternehmens-Anmeldung; diese Seite füllt den Teil, der in der Google Admin-Konsole passiert.
Eine Besonderheit vorweg: Google stellt keine Metadaten-URL bereit, sondern nur eine Datei zum Herunterladen. Du nutzt in verstag deshalb die Quelle „XML-Datei“ — und lädst nach einem Zertifikatswechsel bei Google eine neue Datei hoch, denn aus einer Datei kann nichts automatisch nachgeladen werden.
Die Menüpfade entsprechen der Google Admin-Konsole vom September 2026.
Was du brauchst
- In verstag: eine nachgewiesene E-Mail-Domain und die Karte „Unternehmens-Anmeldung (SSO)“ unter Einstellungen → „Sicherheit & SSO“. Dort stehen unter „Werte für den Identitätsanbieter“ die beiden Werte mit Kopierknöpfen, die du gleich einträgst.
- In Google: ein Konto mit Super-Admin-Rechten für die Admin-Konsole.
Schritt 1: Eigene SAML-App anlegen
- Öffne die Google Admin-Konsole und gehe zu Menü → Apps → Web- und Mobile-Apps.
- Wähle App hinzufügen → Eigene SAML-App hinzufügen.
- Gib einen Namen (etwa „verstag“) und klicke weiter.
Schritt 2: Metadaten-Datei herunterladen
Auf der Seite „Details zum Google-Identitätsanbieter“ wählst du
„METADATEN HERUNTERLADEN“. Die Datei heißt GoogleIDPMetadata.xml — sie ist
das, was verstag gleich bekommt. Die daneben angezeigte SSO-URL und das
Zertifikat brauchst du nicht einzeln; sie stecken in der Datei.
Schritt 3: Dienstanbieter-Details eintragen
Auf der Seite „Details zum Dienstanbieter“ trägst du die beiden Werte von der verstag-Karte ein:
- ACS-URL → der Wert „ACS-URL (Reply URL)“
- Entity-ID → der Wert „Entity ID (Identifier)“
Dann die eine Einstellung, an der eine Google-Verbindung sonst scheitert:
- Name-ID-Format: EMAIL
- Name-ID: Basic Information → Primary email
verstag ordnet eine Anmeldung über die E-Mail-Adresse zu. Steht die Name-ID nicht auf der primären E-Mail-Adresse, trägt die Anmeldung keine Adresse und wird abgelehnt — auch wenn alles andere stimmt.
Ein zusätzliches Attribut-Mapping brauchst du nicht.
Schritt 4: Die App für Nutzerinnen und Nutzer freischalten
Nach dem Anlegen steht die App auf „AUS für alle“. Öffne in der App-Übersicht Nutzerzugriff und schalte sie EIN — für alle oder für die Organisationseinheiten, die verstag nutzen sollen. Google braucht danach meist einige Minuten, bis die Freischaltung überall greift — in Einzelfällen auch deutlich länger.
Schritt 5: In verstag hochladen
Zurück auf der Karte „Unternehmens-Anmeldung (SSO)“:
- Stelle die Quelle auf „XML-Datei“ und wähle die heruntergeladene
GoogleIDPMetadata.xml. - Wähle die Rolle für neue Mitglieder und entscheide über die automatische Aufnahme.
- „Verbindung speichern“.
Prüfen
Melde dich über die Anmeldeadresse deines Arbeitsbereichs an (die dritte Karte der Seite). Nutze diesen Weg auch statt des Test-Knopfs in der Google-Konsole: Der startet die Anmeldung bei Google, die Anmeldeadresse startet sie bei verstag — und das ist der Weg, den deine Mitglieder gehen.
Wenn Google das Zertifikat wechselt
Google-Zertifikate laufen nach einigen Jahren ab; die Admin-Konsole zeigt das unter Sicherheit → Authentifizierung → SSO mit SAML-Anwendungen an. Lade dann die neue Metadaten-Datei herunter und lade sie in verstag erneut hoch — eine hochgeladene Datei aktualisiert sich nicht von selbst.