Dana Okafor
dana@acme.com
Firmen-Login
Nur wer eine Firmen-E-Mail hat, kommt rein
Jede TeamOnly App liegt hinter Ihrem Firmen-Login. Kollegen nutzen ihr Google- oder Microsoft-Firmenkonto oder einen Code an ihre geschäftliche E-Mail. Alle anderen werden abgewiesen, bevor Ihre App lädt. Sie bauen und konfigurieren nichts davon. Um die Sicherheit kümmern wir uns.
Was Leute sehen, wenn sie den Link öffnen
01Kollegin
Was Ihre Kollegen sehen
Sie öffnen den Link, klicken auf „Mit Google anmelden“ oder „Mit Microsoft anmelden“ und wählen ihr Firmenkonto, oder sie fordern einen Code an ihre geschäftliche E-Mail an. Ein paar Sekunden später sind sie in der App, und beim nächsten Mal sind sie schon angemeldet.
02Außenstehende
Was Außenstehende sehen
Jemand mit einem privaten Konto, ein externer Dienstleister mit anderer Domain oder ein Bot, der den Link gefunden hat. Sie kommen bis zur Anmeldeseite und werden dort abgewiesen. Der Code Ihrer App läuft für sie nie.
03E-Mail-Codes
Jede Firmen-E-Mail funktioniert
Nicht bei Google Workspace oder Microsoft 365? Kollegen können sich mit einem 6-stelligen Code an ihre geschäftliche Adresse anmelden.
Das funktioniert, egal wer Ihre E-Mail betreibt: Zoho, Fastmail, GoDaddy oder Ihr eigener Mailserver. Hat Ihre Firma eine eigene E-Mail-Domain, kann sie TeamOnly nutzen, ohne etwas einzurichten.
So funktioniert es für Kollegen
- 1
Geschäftliche E-Mail eingeben
Auf der Anmeldeseite, unter den Schaltflächen für Google und Microsoft, geben sie ihre geschäftliche Adresse ein und fordern einen Code an.
- 2
Posteingang prüfen
Ein 6-stelliger Code kommt von
signin@teamonly.app. - 3
Code eingeben
Sie tippen ihn im selben Browser ein, und die App öffnet sich. Beim nächsten Mal sind sie schon angemeldet.
Warum das sicher ist
- Nur Adressen mit Ihren Firmendomains bekommen einen Code. Private Adressen wie Gmail oder Outlook.com werden abgelehnt.
- Ein Code gilt 10 Minuten, erlaubt 5 Versuche und funktioniert nur in dem Browser, der ihn angefordert hat.
- Das Formular antwortet für jede Adresse gleich, also kann niemand damit herausfinden, wer Zugang hat.
- Ratenbegrenzung und Cloudflare Turnstile halten Bots davon ab, es mit Anfragen zu überhäufen.
04Passwörter
Warum ein gemeinsames Passwort fürs Team nicht reicht
Ein Passwort für die ganze App ist besser als nichts. Für ein Team fällt es schnell auseinander.
- Es wandert. Es landet in einem Chatverlauf, auf einem Haftzettel, in einer E-Mail an einen Dienstleister. Sie wissen nicht, wer es hat.
- Es hat keine Namen. Ihre App kann nicht sagen, wer eine Ausgabe freigegeben hat, wenn sich alle als dieselbe Person angemeldet haben.
- Es geht nicht mit den Leuten. Wer die Firma verlässt, kennt das Passwort weiterhin, bis Sie es ändern und allen anderen das neue mitteilen.
- Es kostet oft extra. Manche Hoster berechnen es pro Projekt.
05Selbst bauen
Der Weg zum Selbstbauen, und wo er schiefgeht
Sie können das durchaus selbst bauen. Hier steht, was dazugehört, damit Sie entscheiden können.
Google: eine OAuth-App anlegen
Ein Projekt in Google Cloud anlegen, den Zustimmungsbildschirm einrichten, Zugangsdaten erstellen, Weiterleitungsadressen für jeden Ort hinzufügen, an dem die App läuft, und das Secret sicher aufbewahren.
Der häufige Fehler: den
hd-Parameter verwenden und es dabei belassen. Er gibt nur einen Hinweis, welche Konten angezeigt werden. Die Domain muss auf dem Server geprüft werden.Microsoft: eine Single-Tenant-App registrieren
Die App in Microsoft Entra registrieren, festlegen, wer sich anmelden darf, und ihre Tokens verarbeiten.
Der häufige Fehler: „Beliebige Organisation“ wählen, damit die Einrichtung klappt. Damit kommen Firmenkonten von jeder Firma rein.
Oder Cloudflare Access davorschalten
Cloudflare Access ist für bis zu 50 Nutzer kostenlos. Sie verbinden Ihren Identity Provider und schreiben dann Richtlinien für jede App.
Der häufige Fehler: eine Richtlinie, die ein bisschen zu viel erlaubt, oder eine neue App, die ohne Richtlinie veröffentlicht wird.
Vor der Spesen-App steht eine Tür mit dem Schild „Nur für Personal“. Sam, angemeldet als sam@acme.com, wird an der Tür geprüft und geht hinein. Danach werden randomperson@gmail.com und ein Bot an derselben Tür geprüft und abgewiesen. Sie erreichen die App nie, denn die Prüfung findet an der Tür statt, vor der App.
06Wer darf öffnen
Ganze Firma oder eine Namensliste
Jede App ist standardmäßig für alle in Ihrer Firma offen. Sie können eine App auf eine Liste von E-Mail-Adressen eingrenzen, etwa die Buchhaltung für das Tool zur Spesenfreigabe.
Alle @acme.com
oderNur bestimmte Personen
Wer auch immer reinkommt: Ihre App erfährt Name und E-Mail und weiß so, wer was getan hat.
07Offboarding
Wenn jemand geht
Sobald das Firmenkonto deaktiviert ist, kann sich die Person nicht mehr bei Ihren Apps anmelden. Niemand muss daran denken, sie aus jedem Tool zu entfernen.
Für die Personen, die Ihre Apps nutzen, gibt es keine zusätzlichen Konten oder Lizenzen, also gibt es nichts weiter aufzuräumen. Mehr zu Offboarding und Verantwortung für die IT finden Sie auf der Seite Für die IT.
Kann ich die Google-Anmeldung auf meine Firmendomain beschränken?
Ja, und mit TeamOnly richten Sie dafür nichts ein. Wenn Ihre Firma bei TeamOnly eingerichtet wird, wird Ihre E-Mail-Domain bestätigt, zum Beispiel acme.com. Ab dann können nur Google-Konten mit dieser Domain Ihre Apps öffnen.
Reicht der hd-Parameter aus?
Nein. Der hd-Parameter von Google sagt der Anmeldeseite nur, welche Konten sie vorschlagen soll. Jeder kann ihn entfernen. Die Domain muss nach der Anmeldung auf dem Server anhand des verifizierten Tokens geprüft werden. TeamOnly macht diese Prüfung bei jeder Anmeldung.
Was, wenn wir weder Google Workspace noch Microsoft 365 nutzen?
Das funktioniert auch. Kollegen geben auf der Anmeldeseite ihre geschäftliche E-Mail ein, und wir schicken ihnen einen 6-stelligen Code. Das klappt mit jedem E-Mail-Anbieter, etwa Zoho, Fastmail, GoDaddy oder Ihrem eigenen Mailserver. Jede Firma mit eigener E-Mail-Domain kann TeamOnly also nutzen, ohne etwas einzurichten.
Was, wenn wir Microsoft 365 nutzen?
Das funktioniert schon heute. Kollegen klicken auf „Mit Microsoft anmelden“ und nutzen ihr Firmenkonto. Private Microsoft-Konten werden abgelehnt, und nur Konten mit Ihren Firmendomains kommen rein.
Was passiert, wenn sich jemand mit einem privaten Gmail-Konto anmeldet?
Die Person wird auf der Anmeldeseite abgewiesen, mit einem kurzen Hinweis, dass die App nur für Ihre Firma ist. Einen E-Mail-Code an eine private Adresse anzufordern, funktioniert auch nicht. Ihre App lädt für sie nie.
Kann ich nur einige wenige Personen zulassen?
Ja. Jede App ist entweder für die ganze Firma offen oder für eine Liste von E-Mail-Adressen, die Sie festlegen.
Weiterlesen
- Details zur SicherheitWie die Anmeldung geprüft wird und wie Apps getrennt bleiben.
- Für die ITInventar, Offboarding und was die IT im Business-Tarif bekommt.
- So funktioniert’sMit einem Befehl vom Laptop zum Team.
- Andere Wege, eine App privat zu haltenReplit, Lovable, Vercel, Netlify und Cloudflare Access im direkten Vergleich.
Early Access
Ihr erstes Tool, noch diese Woche online.
TeamOnly ist im Early Access, und alle Tarife sind jetzt buchbar. Testen Sie 14 Tage kostenlos ohne Karte, oder schließen Sie ein Abo ab. So oder so ist Ihre Firma sofort bereit, und drei Befehle bringen Ihre erste App online.
14 Tage kostenlos testenOder gleich abonnieren
Keine Karte für die Testphase. Danach ab $19 im Monat, jederzeit kündbar.
Noch nicht so weit? Neuigkeiten erhalten
Fragen an hello@teamonly.dev. Ein Mensch antwortet.