Knowledge Base

Single Sign-On für Okta

Zuletzt bearbeitet: 16.10.2026

TeamViewer Single Sign-On (SSO) verbindet TeamViewer mit Okta, und ermöglicht es Benutzern, sich über den Identity Provider ihrer Organisation zu authentifizieren. Sie können SSO konfigurieren, indem Sie entweder die vorgefertigte TeamViewer Anwendung aus dem Okta Integration Network(OIN) hinzufügen oder eine benutzerdefinierte SAML 2.0-Anwendung in Okta erstellen. In diesem Artikel werden beide Konfigurationsmethoden sowie die Verifizierung Ihrer Domain erläutert.

Dieser Artikel richtet sich an alle mit einer TeamViewer Tensor-Lizenz.

Voraussetzungen

Für die Konfiguration von TeamViewer SSO mit Okta benötigen Sie:

Eine TeamViewer Tensor-Lizenz.
Einen TeamViewer Client ab Version 13.2.1080 oder höher auf Geräten, die SSO nutzen.
Ein TeamViewer Konto mit Unternehmensadministratorrechten.
Zugriff auf den TeamViewer Web Client oder den installierten Client.
Zugriff auf die DNS-Verwaltung der Domain, die Sie für SSO aktivieren möchten.
Eine Okta-Umgebung.

Frühere TeamViewer Versionen können Benutzer bei der Anmeldung nicht zum Identity Provider weiterleiten.

Wie kann ich Single Sign-On mit Okta konfigurieren?

Wählen Sie die Konfigurationsmethode aus, die zu Ihrer Okta-Umgebung passt.

Verwenden Sie diese Methode, um die vorgefertigte TeamViewer Anwendung aus dem Katalog des Okta Integration Network hinzuzufügen. Die Anwendung enthält bereits die TeamViewer Service-Provider-Konfiguration und die SAML-Attributanweisungen.

Unterstützte Funktionen

Die TeamViewer Anwendung im Okta Integration Network (OIN) unterstützt die folgenden SAML 2.0-Funktionen:

Service Provider (SP)-initiiertes SSO: Benutzer starten die Anmeldung im TeamViewer Client oder TeamViewer Web Client und werden zur Authentifizierung an Okta weitergeleitet.
Identity Provider (IdP)-initiiertes SSO: Benutzer können den Anmeldeprozess direkt über ihr Okta-Dashboard starten.
SHA-256-Signierung: SAML-Nachrichten werden mit SHA-256 signiert.

Weitere Informationen zu den aufgeführten Funktionen finden Sie im Okta-Glossar im Okta Help Center.

Hinweis: SAML-SSO und SCIM-Bereitstellung sind voneinander unabhängige Funktionen. Sie können SAML SSO ohne SCIM-Bereitstellung konfigurieren und verwenden. Wenn Sie zusätzlich die Verwaltung des Lebenszyklus von Benutzern und Gruppen automatisieren möchten, müssen Sie die SCIM-Bereitstellung separat konfigurieren. Weitere Informationen finden Sie im Leitfaden zur SCIM-Konfiguration.

Konfigurationsschritte

TeamViewer-SSO wird auf zwei Seiten konfiguriert:

In Okta fügen Sie die TeamViewer OIN-App hinzu und geben Ihren TeamViewer Customer Identifier ein.
Im Web Client oder im installierten Client fügen Sie Ihre Domain hinzu, hinterlegen die Metadaten-URL von Okta und generieren den Customer Identifier.

Schritt 1: TeamViewer App aus dem OIN-Katalog hinzufügen

Öffnen Sie in der Okta Admin Console Applications and Resources und wählen Sie Applications aus.
Wählen Sie Browse App Catalog aus.

Suchen Sie nach TeamViewer und wählen Sie die Anwendung aus den Suchergebnissen aus.
Wählen Sie Add Integration aus.

Bearbeiten Sie bei Bedarf die Application auf im Tab General Settings.
Wählen Sie Next aus.

Die TeamViewer OIN-App ist bereits mit den korrekten Service-Provider-Werten und Attributanweisungen vorkonfiguriert. Daher müssen Sie diese nicht manuell eingeben. Zur Referenz werden die folgenden Werte verwendet:

Einstellung	Wert
Single Sign-On URL (ACS URL)	https://sso.teamviewer.com/saml/acs
Audience URI (SP Entity ID)	https://sso.teamviewer.com/saml/metadata
Name-ID-Format	EmailAddress

Hinweis: Das Format für den Anwendungsbenutzernamen muss später in der Konfiguration auf Email festgelegt werden.

Schritt 2: Metadaten-URL von Okta kopieren

Öffnen Sie den Tab Sign-On Options.
Scrollen Sie zum Abschnitt Metadata details.
Kopieren Sie die Metadata URL.

Schritt 3: Domain hinzufügen und Customer Identifier generieren

Führen Sie die folgenden Schritte aus:

Melden Sie sich im Web-Client in Ihrem TeamViewer Konto an oder öffnen Sie den installierten TeamViewer Client.
Öffnen Sie Admin-Einstellungen.
Wählen Sie Single Sign-On aus.
Wählen Sie Domain hinzufügen aus.

Geben Sie die Domain ein, die Sie für SSO aktivieren möchten.
Belassen Sie Konfiguration auf Metadata URL (Standard).
Fügen Sie die in Schritt 2 kopierte Metadaten-URL von Okta ein.
TeamViewer lädt die Metadaten herunter und trägt Anmelde-URL, Entity ID und öffentlichen Schlüssel automatisch ein. Konfigurieren Sie die verfügbaren Optionen nach Bedarf und wählen Sie anschließend Weiter aus

Wählen Sie unter SSO-Zugriff einrichten eine Ausschlussliste oder Einschlussliste aus.
Fügen Sie die erforderlichen Benutzer oder Gruppen hinzu und wählen Sie Weiter aus.

Wählen Sie in der Custom Identifier Ansicht die Option Generieren aus oder geben Sie einen eigenen Wert ein.
Kopieren Sie den Customer Identifier und bewahren Sie ihn für die weitere Konfiguration sicher auf.
Wählen Sie Weiter.

Wichtig: Ändern Sie den Customer Identifier nach der Konfiguration nicht mehr. Eine Änderung führt dazu, dass SSO nicht mehr funktioniert. TeamViewer speichert diesen Wert nicht.

Schritt 4: Domain-Ownership verifizieren

SSO bleibt deaktiviert, bis die Eigentümerschaft der Domain verifiziert wurde.

Erstellen Sie in der Ansicht Domain Verification einen neuen TXT-Record für Ihre Domain mit den angezeigten Werten für Name/Host und Value/Data.

Melden Sie sich in einer separaten Browser-Registerkarte bei Ihrem DNS-Anbieter an (z. B. Domain-Registrar oder DNS-Host wie GoDaddy, Cloudflare, Namecheap oder AWS Route 53).
Fügen Sie einen neuen DNS-Eintrag mit den folgenden Werten hinzu:

Typ: TXT
Name / Host: Der in TeamViewer angezeigte Wert (geben Sie @ ein, wenn Ihr Anbieter dies für die Root-Domain verlangt)
Wert / TXT-Daten: Der in TeamViewer angezeigte Wert
TTL: Standardwert beibehalten (z. B. 1 Stunde).

Speichern Sie den Eintrag. Die genaue Bezeichnung der Felder variiert je nach Anbieter, jedoch bietet jeder Anbieter eine entsprechende DNS-Verwaltungsseite zum Hinzufügen eines TXT-Records.

Klicken Sie auf Verifizierung starten. Der Status wechselt zu Verifizierung läuft. Klicken Sie anschließend auf Fertigstellen.

Hinweis: Die DNS-Propagation kann mehrere Stunden dauern. TeamViewer sucht nach dem TXT-Record für 24 Stunden nach Beginn der Verifizierung. Wird der Eintrag in diesem Zeitraum nicht gefunden, schlägt die Verifizierung fehl und muss über das Bearbeitungsfenster der Domain erneut gestartet werden.

Schritt 5: Customer-Identifier-Attribut in Okta hinzufügen

Kehren Sie zu Ihrer benutzerdefinierten SAML-Anwendung in Okta zurück.
Öffnen Sie den Tab General.
Bearbeiten Sie die SAML-Einstellungen.
Wählen Sie Next, um die Attribute Statements zu öffnen.

Schritt 6: Benutzer zuweisen und Anmeldung testen

Öffnen Sie die TeamViewer Anwendung in Okta.
Öffnen Sie Assignments.
Weisen Sie die Benutzer oder Gruppen zu, die Zugriff benötigen.
Bitten Sie einen zugewiesenen Benutzer, sich anzumelden und die Konfiguration zu überprüfen.

Attribute der SAML-Assertion

TeamViewer liest die SAML NameID als E-Mail-Adresse des Benutzers und verwendet sie zur Zuordnung des Kontos. Die OIN-App sendet automatisch die folgenden Attributanweisungen (unter Verwendung des in Schritt 5 angegebenen Customer Identifier):

Attribut	Wert	Verwendungszweck
NameID (Format: E-Mail-Adresse)	user.email	Identifiziert den Benutzer anhand der E-Mail-Adresse
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	user.email	E-Mail des Benutzers
http://sso.teamviewer.com/saml/claims/customeridentifier	Customer Identifier	Verknüpft die Assertion mit Ihrem TeamViewer Unternehmen

Die NameID muss eine gültige E-Mail-Adresse enthalten, die mit dem TeamViewer Konto des Benutzers übereinstimmt. Benutzer auf der SSO-Ausschlussliste melden sich weiterhin mit ihrem TeamViewer Passwort an.

Verwenden Sie diese Methode, wenn Sie eine benutzerdefinierte SAML 2.0-Anwendung in Okta erstellen und konfigurieren möchten, anstatt die vorkonfigurierte Anwendung aus dem OIN-Katalog zu verwenden.

Schritt 1: Okta SAML-Anwendung erstellen

Öffnen Sie in der Okta Admin Console Applications und wählen Sie Applications aus.
Wählen Sie Create App Integration aus.

Wählen Sie SAML 2.0 aus.
Wählen Sie Next aus.

Geben Sie einen Namen für die Anwendung ein.
Wählen Sie Next aus.
Geben Sie auf der Seite SAML Settings die Werte aus der folgenden Tabelle ein:

Feld	Einzugebende Informationen
Single Sign-On-URL	https://sso.teamviewer.com/saml/acs (Hinweis: Lassen Sie das Kontrollkästchen Use this for Recipient URL and Destination URL aktiviert.)
Audience URI (SP Entity ID)	https://sso.teamviewer.com/saml/metadata
Name ID Format	EmailAddress
Application username	Email

Wählen Sie Show Advanced Settings aus.
Setzen Sie Assertion Encryption auf Encrypted.

Laden Sie den öffentlichen TeamViewer Schlüssel im Base64-Format unter Encryption Certificate hoch.

Fügen Sie unter Attribute Statements das folgende E-Mail-Attribut hinzu:

Name: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

Namensformat: URI Referenz

Wert: user.email

Wählen Sie Next aus.
Wählen Sie I'm an Okta customer adding an internal app aus.
Wählen Sie This is an internal app aus.
Wählen Sie Finish aus.

Wie kann ich den öffentlichen Schlüssel von TeamViewer abrufen?

Führen Sie den folgenden PowerShell-Befehl aus, um die TeamViewer SAML-Metadaten herunterzuladen, den öffentlichen Schlüssel zu extrahieren und als Zertifikatsdatei zu speichern:

"-----BEGIN PUBLIC KEY-----`n"+ `
((Select-Xml `
-Content ((Invoke-WebRequest `
https://sso.teamviewer.com/saml/metadata.xml).Content) `
-xpath "//*[local-name()='X509Certificate']").Node[0].'#text') + `
"`n-----END PUBLIC KEY-----" `
| Out-File -FilePath "sso.teamviewer.com -saml.cer" -Encoding ascii

Die erstellte Datei trägt den Namen: sso.teamviewer.com-saml.cer

So exportieren Sie das Zertifikat im Base64-kodierten X.509-Format:

Öffnen Sie sso.teamviewer.com-saml.cer.
Öffnen Sie den Tab Details.
Wählen Sie Copy to File aus.
Wählen Sie Next aus.
Wählen Sie Base-64 encoded X.509 aus.
Wählen Sie Next aus.
Geben Sie einen Dateinamen ein.
Wählen Sie Next und dann Finish aus.

Das resultierende Base64-Zertifikat sollte dem folgenden Beispiel entsprechen:

Verschlüsselungszertifikat Endgültiges Aussehen

Schritt 2: Okta-Metadaten-URL kopieren

Öffnen Sie Ihre benutzerdefinierte SAML-Anwendung in Okta.
Öffnen Sie den Tab Sign On.
Kopieren Sie die Identity Provider Metadata URL.

Schritt 3: Domain hinzufügen und Customer Identifier generieren

Befolgen Sie die nachfolgenden Schritte:

Melden Sie sich im Web Client in Ihrem TeamViewer Konto oder im installierten TeamViewer Client an.
Öffnen Sie Admin-Einstellungen.
Wählen Sie Single Sign-On aus.
Wählen Sie Domain hinzufügen aus.

Geben Sie die Domain ein, die Sie für SSO aktivieren möchten.
Belassen Sie Konfiguration auf Metadata URL (Standardeinstellung).
Fügen Sie die in Schritt 2 kopierte Metadaten-URL ein.
TeamViewer lädt die Metadaten herunter und füllt die Anmelde-URL, Entity ID und den öffentlichen Schlüssel automatisch aus. Konfigurieren Sie die verfügbaren Optionen nach Bedarf und wählen Sie Weiter aus.

Wählen Sie unter SSO-Zugriff einrichten eine Ausschlussliste oder Einschlussliste aus.
Fügen Sie die erforderlichen Benutzer oder Gruppen hinzu und wählen Sie Weiter aus.

In der Ansicht Custom Identifier wählen Sie Generieren aus oder geben Ihre eigenen Wert ein.
Kopieren Sie den Customer Identifier und bewahren Sie ihn für die weitere Konfiguration sicher auf.
Wählen Sie Weiter aus.

Wichtig: Ändern Sie den Customer Identifier nach Abschluss der Konfiguration nicht mehr. Eine Änderung führt dazu, dass SSO nicht mehr funktioniert. TeamViewer speichert diesen Wert nicht.

Schritt 4: Domain-Ownership verifizieren

SSO bleibt deaktiviert, bis die Eigentümerschaft der Domain verifiziert wurde.

Erstellen Sie in der Ansicht Domain verification einen neuen TXT record für Ihre Domain mit den angezeigten Werten für Name/Host und Value/Data.

Melden Sie sich in einem separaten Browser-Tab bei Ihrem DNS-Anbieter an (beispielsweise Ihrem Domain-Registrar oder DNS-Host wie GoDaddy, Cloudflare, Namecheap oder AWS Route 53).
Fügen Sie einen neuen DNS-Eintrag mit folgenden Werten hinzu:

Typ: TXT
Name / Host: Der in TeamViewer angezeigte Wert (geben Sie @ ein, wenn Ihr Anbieter dies für die Root-Domain verlangt)
Wert / TXT-Daten: Der in TeamViewer angezeigte Wert
TTL: Behalten Sie den Standardwert bei (z.B. 1 Stunde)

Speichern Sie den Eintrag. Die genaue Bezeichnung der Felder variiert je nach Anbieter, jedoch bietet jeder Anbieter eine entsprechende DNS-Verwaltungsseite zum Hinzufügen eines TXT-Records.

Klicken Sie auf Verifizierung starten. Der Status wechselt zu Verifizierung läuft. Klicken Sie anschließend auf Fertigstellen.

Hinweis: Die DNS-Propagation kann mehrere Stunden dauern. TeamViewer sucht nach dem TXT-Record für 24 Stunden nach Beginn der Verifizierung. Wird der Record innerhalb dieses Zeitraums nicht gefunden, schlägt die Verifizierung fehl und muss über das Bearbeitungsfenster der Domain erneut gestartet werden.

Schritt 5: Attribut „Customer Identifier“ in Okta hinzufügen

Kehren Sie zu Ihrer benutzerdefinierten SAML-Anwendung in Okta zurück.
Öffnen Sie den Tab General .
Bearbeiten Sie die SAML-Einstellungen.
Wählen Sie Next, um die Attribute Statements zu öffnen.

Fügen Sie das Attribut für den Customer Identifier hinzu:

Name: http://sso.teamviewer.com/saml/claims/customeridentifier

Name format: Nicht angegeben

Value: Der Customer Identifier, den Sie in TeamViewer generiert haben.

Wählen Sie Next aus.
Wählen Sie Finish aus.

8. Kopieren Sie dieses Token und gehen Sie zurück zu Ihrer Okta-App.

TeamViewer Client-Konfiguration

Standardmäßig verwendet TeamViewer einen eingebetteten Browser für die Authentifizierung über den Identity Provider. Alternativ können Sie TeamViewer so konfigurieren, dass der Standardbrowser des Betriebssystems verwendet wird.

Windows

Legen Sie den folgenden Registrierungswert fest:

HKEY_CURRENT_USER\Software\TeamViewer\SsoUseEmbeddedBrowser = 0

macOS

Führen Sie den folgenden Befehl aus:

defaults write com.teamviewer.teamviewer.preferences SsoUseEmbeddedBrowser -int 0

Troubleshooting

Die folgenden Informationen zur Fehlerbehebung stammen von der OIN-Quellseite. Die Seite zur benutzerdefinierten SAML-Konfiguration enthält keinen entsprechenden Abschnitt. Diese Inhalte müssen technisch geprüft werden, bevor sie als gemeinsamer Abschnitt für beide Methoden verwendet werden können.

Problem	Empfohlene Prüfung
SSO ist nicht aktiviert	Stellen Sie sicher, dass die Domain-Verifizierung über den TXT-Record erfolgreich abgeschlossen wurde.
Ungültige SAML-Antwort wird angezeigt	Vergewissern Sie sich, dass TeamViewer die Metadaten-URL von Okta abrufen und importieren konnte.
Ein Benutzer wird nach der Okta-Authentifizierung nicht erkannt	Stellen Sie sicher, dass die SAML NameID die E-Mail-Adresse enthält, die dem TeamViewer Konto des Benutzers zugeordnet ist.
SSO funktioniert nicht mehr	Vergewissern Sie sich, dass der Customer Identifier nicht geändert wurde.
Eine Assertion ist abgelaufen	Stellen Sie sicher, dass die entsprechenden Systemuhren synchronisiert sind.

Die OIN-Quelle empfiehlt außerdem, die Domain erneut hinzuzufügen, um die Metadaten nach einer Rotation des Okta-Signaturzertifikats zu aktualisieren.

Support kontaktieren

Wenn Sie Hilfe bei der Konfiguration benötigen, wenden Sie sich an den TeamViewer Kundensupport.

TeamViewer Remote

TeamViewer Tensor

TeamViewer DEX

TeamViewer Frontline

TeamViewer ONE Plattform