Admin-Authentifizierung: Login, Passwort, Zwei-Faktor und SSO

Diese Anleitung betrifft den Login von Admins, Leitenden und Superadmins in der edoobox Administration. Teilnehmenden-Login, Magic Login und Teilnehmerprofile sind separat beschrieben, zum Beispiel unter Automatische Profilerkennung und Teilnehmendenkonto und Login-Arten.

Für die fachliche Pflege von Admins, Rechten und Zwei-Faktor-Einträgen lesen Sie zusätzlich Admins und ihre Benutzerrechte. SAML-Konfigurationen stehen unter Single Sign On via SAML in edoobox aktivieren.

Der normale Admin-Login fragt E-Mail-Adresse, Passwort, Sprache und optional eine Sicherheitsprüfung ab. Zusätzlich kann die Option Angemeldet bleiben angeboten werden. Je nach Umgebung nutzen Sie den passenden Login für APP1 oder APP2. Wenn Ihr Unternehmen Single Sign-On eingerichtet hat, verwenden Sie stattdessen die interne SSO-Adresse mit dem Kontokürzel.

Wenn im Browser bereits gültige Sessions gespeichert sind, zeigt edoobox diese Admins zur Auswahl an. Ein Klick auf einen gespeicherten Admin wechselt die Session, erneuert die Authentifizierung und lädt den aktuellen Login-Kontext neu. Das ist hilfreich, wenn Sie mehrere edoobox Konten betreuen. Prüfen Sie nach dem Wechsel immer oben in der Oberfläche, ob Sie im richtigen Konto arbeiten.

Adminprofil mit Zwei-Faktor-Authentifizierung, OTP, Telefon, YubiKey und Login-Verbindung

AZwei-Faktor-Authentifizierung und Backup-SchlüsselBOTP als zweiten Faktor hinzufügenCPasswort-Login und weitere Login-Verbindungen

Begriff	Was er bestimmt
Administration V1 oder V2	Die Oberfläche für Ihr Team. Der persönliche Adminzugang kann V1 und V2 getrennt erlauben. Eigene Rechtsgruppen verwenden V2.
APP1 oder APP2	Die Serverumgebung Ihres Kontos. APP2 bedeutet nicht automatisch «V2» und ist keine allgemeine Testumgebung.
Testkonto	Den Teststatus des Kontoabonnements. Eine Probebuchung in einem bestehenden Konto kann echte Buchungen, E-Mails und Zahlungen erzeugen.
Bootstrap-Version	Die Grundlage Ihres öffentlichen Buchungsdesigns im Design Manager. Sie ist unabhängig von der gewählten Administrationsoberfläche.

Ermitteln Sie das bestehende Kontokürzel und dessen APP1-/APP2-Umgebung anhand Ihres bisherigen Zugangs.
Öffnen Sie die V2-Anmeldeseite in der bisherigen Umgebung Ihres Kontos: V2 auf APP1 unter https://app1.edoobox.com/ed-admin/ oder V2 auf APP2 unter https://app2.edoobox.com/ed-admin/. Melden Sie sich dort mit Ihrem bestehenden Adminzugang an. Die ältere V1-Administration verwendet auf demselben Host den Pfad /admin. Für SSO verwenden Sie den zum Konto gehörenden SSO-Einstieg.
Kontrollieren Sie Organisationsname und Kontokürzel. Der Wechsel von /admin zu /ed-admin/ auf demselben Host öffnet die andere Administrationsoberfläche und veranlasst keinen Konto- oder Datenumzug. Wechseln Sie bei einem fehlenden Zugang nicht auf Verdacht den APP1-/APP2-Host, sondern lassen Sie den eigenen V2-Zugriff und das Rechteprofil prüfen.
Öffnen Sie vorhandene Angebote, Personen, Buchungen und Vorlagen. Ein zusätzlich neu registriertes Konto hat einen eigenen Datenbestand; es ist kein Umstieg des bisherigen Kontos.
Prüfen Sie die tatsächlich eingebundene Buchungsseite, E-Mails und PDFs vor dem Produktivstart. Für eine Designmodernisierung folgen Sie separat Bootstrap 5.3.

Ein Wechsel der Adminoberfläche ist keine Zusage, dass jedes ältere Design oder jede individuelle Integration unverändert funktioniert. Für einen geplanten Umstieg sichern Sie benötigte Exporte und halten Sie fest, welche produktiven Abläufe geprüft wurden.

Geben Sie Ihre E-Mail-Adresse und Ihr Passwort ein und melden Sie sich an. Falls ein zweiter Faktor eingerichtet ist, bestätigen Sie auch diesen Schritt. Anschliessend öffnet edoobox die Administration mit den für Ihren Zugang erlaubten Bereichen.

Wenn der Login als Teil einer Integration gestartet wurde, kann edoobox statt direkt zur Startseite einen Code für die externe Anwendung erzeugen. Für normale Adminarbeit ist dieser Unterschied nicht sichtbar; wichtig wird er nur bei angebundenen Apps oder speziellen Redirect-Flows.

Wenn mehrere Anmeldeversuche scheitern, kann eine zusätzliche Sicherheitsprüfung erscheinen. Prüfen Sie E-Mail-Adresse, Passwort, Tastaturlayout, aktiven Admin-Status und Rechte. Admins mit eingeschränkten Rechtsgruppen benötigen Zugriff auf die gewünschte Oberfläche.

Anwendungsbeispiel: Zwischen zwei Admin-Konten wechseln

Sie betreuen zwei edoobox Konten. Melden Sie sich zuerst in beiden Konten an. Beim nächsten Öffnen der Loginseite erscheinen die gespeicherten Admins. Wählen Sie den gewünschten Admin aus, warten Sie die Aktualisierung ab und prüfen Sie danach Kontoname und Rechte.

Über Passwort vergessen geben Sie Vorname und E-Mail-Adresse ein. edoobox zeigt bewusst eine neutrale Erfolgsmeldung, damit nicht sichtbar wird, ob ein Konto existiert. Wenn Spam-Schutz aktiv ist, muss zusätzlich eine Sicherheitsprüfung gelöst werden.

Der Reset-Link beziehungsweise Code ist zeitlich begrenzt. Nach erfolgreicher Änderung wird er ungültig. Wenn ein alter Reset-Link erneut geöffnet wird, muss eine neue Passwort-Anfrage gestartet werden.

Wenn ein Admin über SAML oder einen externen Identity Provider angemeldet wird, muss das Passwort beim Identity Provider zurückgesetzt werden, nicht in edoobox. Das betrifft zum Beispiel Organisationen, die Microsoft Entra ID oder Google Workspace als zentrale Anmeldung verwenden.

Wenn keine Passwort-Mail ankommt, prüfen Sie Schreibweise von Vorname und E-Mail, Spam-Ordner, aktiven Admin-Status, SSO-Bindung und E-Mail-Zustellung. Details zu E-Mail-Zustellung stehen unter Postausgang: E-Mails und fehlgeschlagene Sendungen.

Wenn zweite Faktoren eingerichtet sind, führt edoobox nach E-Mail-Adresse und Passwort zur Zwei-Faktor-Prüfung. Wählen Sie eine verfügbare Methode und schliessen Sie diese ab. Die Anmeldung ist erst danach vollständig.

Methode	So bestätigen Sie die Anmeldung
Passkey	Wählen Sie Passkey und klicken Sie auf authentifizieren. Bestätigen Sie den Gerätedialog mit Gerätesperre, Touch ID, Face ID oder einem eingerichteten Sicherheitsschlüssel. In edoobox ist kein Zahlencode einzugeben.
OTP-Authenticator-App	Geben Sie den aktuellen Code der eingerichteten App ein.
Backup-Schlüssel	Geben Sie einen noch unbenutzten Ersatzschlüssel ein.
Telefon	Wählen Sie die gespeicherte Nummer und SMS oder Anruf. Fordern Sie den Code an und geben Sie ihn im zweiten Schritt ein.
YubiKey	Geben Sie den mit der eingerichteten YubiKey-Methode erzeugten Code ein.

Mehrere Passkeys werden auf der Loginseite gemeinsam als Passkey mit ihren Namen angezeigt. Die Auswahl des passenden Schlüssels erfolgt im Gerätedialog. Unterstützt der Browser Passkeys nicht, zeigt edoobox einen Hinweis; verwenden Sie dann eine andere eingerichtete Methode.

Die Einrichtung erfolgt im eigenen Adminprofil → Einstellungen → Zwei-Faktor Authentifizierung. Dort können Sie mehrere Methoden hinterlegen und nicht mehr benötigte Geräte entfernen. Die vollständigen Schritte und die Wiederherstellung bei Geräteverlust stehen unter Zwei-Faktor und Passkeys einrichten.

Bei SAML erfolgt die zusätzliche Identitätsprüfung nach den Richtlinien Ihres Identity Providers. Die persönliche edoobox Zwei-Faktor-Konfiguration ist der zweite Schritt des edoobox Passwort-Logins; kontrollieren Sie die MFA-Richtlinien des Identity Providers für SSO separat.

edoobox kann mehrere Adminzugänge im Browser speichern. Öffnen Sie das Profilmenü, um den aktuellen Zugang zu kontrollieren oder zu einem anderen angemeldeten Admin zu wechseln. Beim Wechsel gelten Konto, Sprache und Rechte dieses Admins.

Einzelnen Admin abmelden: Bei mehreren angemeldeten Admins verwenden Sie die Abmeldeaktion direkt beim betreffenden Eintrag.
Alle gespeicherten Admins abmelden: Wählen Sie unten im Profilmenü Logout (alle Admins). Bei nur einem Zugang heisst diese Aktion Logout.
Weiteres Konto anmelden: Wählen Sie Konto hinzufügen und schliessen Sie dessen Anmeldung ab.

Kontrollieren Sie nach einem Wechsel den Adminnamen und das Konto. Fehlen danach Ansichten, prüfen Sie das Rechteprofil dieses Zugangs. Bei SSO kann die Sitzung beim Identity Provider separat bestehen bleiben; beenden Sie diese auf gemeinsam verwendeten Geräten ebenfalls nach den Vorgaben Ihrer Organisation.

Für SSO-Konten verwendet edoobox eine eigene SSO-URL mit Ihrem Kontokürzel. Beim Öffnen lädt edoobox die verfügbaren SAML-Provider und zeigt Login-Buttons. Ein Klick leitet zum Identity Provider weiter. Wenn kein gültiger Provider gefunden wird, wird zur normalen Login-Seite gewechselt.

Nach erfolgreicher Anmeldung beim Anbieter gelangen Sie zurück in die edoobox Administration. Die Einrichtung eines SAML-Providers, die Attributzuordnung und die Metadata-Datei sind in Single Sign On via SAML in edoobox aktivieren beschrieben. Anbieterbeispiele finden Sie unter SAML mit Microsoft Azure und SAML mit Google Workspace.

Anwendungsbeispiel: SSO-Link intern verteilen

Richten Sie zuerst den SAML-Provider ein und testen Sie die Anmeldung mit einem Admin. Verwenden Sie danach die SSO-URL mit Ihrem Kontokürzel aus der SAML-Konfiguration und verteilen Sie diese intern. Admins mit klassischem Passwort verwenden weiterhin die normale Login-Seite.

Für spezielle Redirect- oder OAuth-ähnliche Abläufe kann edoobox nach erfolgreicher Anmeldung einen Code an eine erlaubte Redirect-URL zurückgeben. Wenn Zwei-Faktor aktiv ist, wird der Code erst nach erfolgreicher zweiter Prüfung erzeugt. Solche Abläufe sind für Integrationen gedacht, nicht für normale Adminarbeit.

Wenn eine externe App einen Login-Code erwartet, muss sie Redirect-URL und optionalen State korrekt übergeben. Der State hilft, die Antwort der ursprünglichen Anfrage zuzuordnen. Für API-Zugänge verwenden Sie dedizierte API-Schlüssel mit passenden Rechten statt persönliche Admin-Passwörter. Starten Sie unter edoobox API erste Schritte und API-Schlüssel und Zugriffsrechte verwalten.

Prüfen Sie bei Integrationen immer, ob die Redirect-URL erlaubt ist und ob der erwartete Antworttyp zur Anwendung passt. Wenn 2FA aktiv ist, darf eine externe Anwendung erst nach erfolgreichem zweiten Faktor mit einem gültigen Code rechnen.

Passwort wird abgelehnt: Schreibweise, Passwortmanager, Tastaturlayout und aktiven Admin prüfen.
Captcha erscheint: Nach mehreren Fehlversuchen muss die Sicherheitsprüfung erfolgreich abgeschlossen werden.
2FA-Code funktioniert nicht: Uhrzeit des Geräts, gewählten Faktor und zuletzt verwendete Backup-Codes prüfen.
Telefoncode kommt nicht an: Empfang, Landesvorwahl, SMS-/Anruf-Auswahl und gespeicherte Telefonnummer prüfen.
Passwort-Mail kommt nicht an: Vorname, E-Mail, Spam-Ordner, SSO-Bindung und Postausgang prüfen.
SSO leitet falsch weiter: SAML-Provider, Kontokürzel, Redirect-URL und aktive Admin-Zuordnung prüfen.
Gespeicherter Admin ist falsch: alte Session abmelden und mit dem gewünschten Konto neu anmelden.

Wenn ein Login-Problem nur bei einer Person auftritt, prüfen Sie zuerst deren Adminstatus, Rechte, 2FA und SSO-Zuordnung. Wenn mehrere Admins betroffen sind, prüfen Sie Konto-Sicherheitseinstellungen, SAML-Provider und allgemeine Erreichbarkeit.

Jede Person soll einen eigenen Admin-Login verwenden.
Aktivieren Sie Zwei-Faktor-Authentifizierung für Admins mit sensiblen Rechten.
Teilen Sie Passwörter, Backup-Schlüssel und API-Secrets nie per E-Mail oder Chat.
Entfernen Sie gespeicherte Sessions, wenn ein Gerät nicht mehr verwendet wird.
Deaktivieren Sie Admins sofort, wenn Personen die Organisation verlassen.
Prüfen Sie SSO-Provider regelmässig und entfernen Sie veraltete Zugänge.

Anwendungsbeispiel: Admin nutzt SMS statt Authenticator-App

Für einen Admin sind Authenticator-App und Telefon aktiv. Auf der Zwei-Faktor-Seite wählt die Person Telefon, entscheidet sich für SMS, fordert den Code an und schliesst danach die Anmeldung ab. Danach prüft sie im Profil, ob ein sicherer Backup-Schlüssel vorhanden ist.

Passkey fehlt: Prüfen Sie, ob für den ausgewählten Admin bereits ein Passkey gespeichert ist und ob der Browser diese Methode unterstützt.
Gerätedialog abgebrochen: Starten Sie die Passkey-Prüfung erneut oder wählen Sie eine andere eingerichtete Methode.
Mehrere edoobox Konten: Kontrollieren Sie zuerst das gewählte Konto und den Admin. Faktoren gehören zum jeweiligen Zugang.
Gerät verloren: Melden Sie sich mit einer verbleibenden Methode oder einem unbenutzten Backup-Schlüssel an, entfernen Sie den verlorenen Passkey und richten Sie einen Ersatz ein.