SCIM-Provisioning für Claude: SSO ohne Lücken

TL;DR

SSO läuft auf Team und Enterprise, SCIM-Provisioning nur auf Enterprise. SCIM ist der einzige Modus, der Austritte automatisch entfernt. Der häufigste Fehler ist ein E-Mail-Attribut, das sich zwischen SCIM-Connector und SAML-Assertion unterscheidet, und der erzeugt Anmeldefehler, die von innerhalb Claudes nicht nachvollziehbar sind.

Welcher Provisionierungs-Modus zu Ihrem Plan passt

Claude steuert über eine Einstellung in den Identity-Einstellungen, wie Mitglieder in die Organisation kommen, und die Auswahl ist durch den Plan begrenzt. Wo diese Entscheidung in einem Rollout sitzt, steht im 90-Tage-Plan zur KI-Einführung. Die Anthropic-Dokumentation nennt drei Modi, mit Invite only als Standard.

Modus	Mitglieder hinzugefügt	Mitglieder entfernt	Rollenzuweisung	Verfügbar auf
Invite only	Admins fügen sie in den Claude- oder Console-Einstellungen hinzu. SSO-Anmeldung fügt niemanden hinzu	Manuell	Manuell	Allen Plänen
Just-in-Time	Nutzer, die der Claude-App im IdP zugewiesen sind, beim ersten Login	Nur manuell	Rolle User oder die höchste Rolle aus zugeordneten Gruppen, Änderungen ab nächstem Login	Team, Enterprise, Console-Organisationen
SCIM-Verzeichnissynchronisation	Automatisch aus der IdP-Zuweisung, ohne Login	Automatisch bei Entzug der Zuweisung	Manuell, sofern keine Gruppen-Mappings aktiv sind	Enterprise und Console-Organisationen mit Enterprise-Mutterorganisation

Zwei Einschränkungen folgen daraus, und sie entscheiden über den Plan, nicht über das Budget. SCIM gibt es nicht auf Team-Plänen und nicht in Console-Organisationen, die an eine Team-Mutterorganisation angeschlossen sind. Eigene Rollen gibt es nur auf Enterprise. Wenn automatisierte Ein- und Austritte eine Kontrolle sind, die Ihre Prüfer erwarten, ist Team kein Kandidat.

SSO selbst ist breiter verfügbar. Es funktioniert auf Team, Enterprise und in Console-Organisationen, wobei Console-Organisationen eine Mutterorganisation brauchen.

Was SCIM steuert und was in Claude manuell bleibt

SCIM verwaltet Mitgliedschaft. Nicht mehr. Teams, die mehr annehmen, landen bei einem Berechtigungsmodell ohne Besitzer.

Was das Verzeichnis treibt:

1. Hinzufügen eines Mitglieds, sobald es der Claude-Anwendung im IdP zugewiesen wird.
2. Entfernen eines Mitglieds, sobald diese Zuweisung entzogen wird.
3. Gruppenmitgliedschaft, die Claude bei aktivierten Gruppen-Mappings auf Rollen abbilden kann.

Was in Claude bleibt:

1. Rollen und Platztypen, sofern Gruppen-Mappings nicht ausdrücklich konfiguriert sind.
2. Ausgabelimits, die sich pro Mitglied aus Gruppe, Platz-Stufe und Organisationsstandard auflösen, wie unser Leitfaden zu LLM-Kosten zeigt.
3. Modell-Berechtigungen, also welche Modelle eine Rolle nutzen darf und mit welchem Modell neue Unterhaltungen starten.
4. Aufbewahrungsfristen und die Konfiguration der Compliance-API.

Diese Trennung zählt im Design-Review. SCIM liefert den Lebenszyklus und keine Autorisierung. Wenn Ihr Kontrollziel lautet “kein Austritt behält Zugriff”, beantwortet SCIM es. Wenn es lautet “niemand im Finanzbereich nutzt das teuerste Modell”, sitzt die Antwort in gruppenbasierten Modell-Berechtigungen, die das Analytics-Dashboard anschliessend nach denselben SCIM-Gruppen filtern kann. Unser Governance-Leitfaden ordnet diese Kontrollen den üblichen Richtlinien-Kapiteln zu.

Das E-Mail-Attribut, das jeden zweiten Rollout bricht

Ein Konfigurationsfehler verursacht die Mehrheit aller SSO-Tickets, und es ist bei jedem Identity-Provider derselbe: Das Feld für die SCIM-E-Mail und das Feld im SAML-E-Mail-Claim sind nicht dasselbe Feld.

Der Entra-Leitfaden von Anthropic schreibt ausdrücklich, dass das Attribut für SCIM-E-Mail und SSO-E-Mail identisch sein muss, und nennt eine Abweichung die häufigste Ursache fehlgeschlagener Anmeldungen. Der Okta-Leitfaden nennt die konkrete Paarung, die Teams erwischt: SCIM liest user.login, SAML liest user.email. Für die meisten Nutzer sind diese Werte gleich. Unterschiedlich sind sie genau bei den Personen, die umbenannt, verheiratet oder aus einer Altdomain migriert wurden.

Das Symptom führt in die Irre. Die Provisionierung gelingt, das Mitglied erscheint in Claude, und dann scheitert die Anmeldung. Nichts in der Claude-Administration zeigt auf das IdP.

Konfiguration, die vor dem Start festgeschrieben gehört:

Einstellung	Okta	Microsoft Entra ID
Name-ID-Format	EmailAddress	Aus dem WorkOS-Ablauf
E-Mail-Claim	Attribut email, abgebildet auf user.email	E-Mail-Claim sendet user.mail oder das Attribut, das SCIM nutzen wird
SCIM-E-Mail-Mapping	Dasselbe Okta-Feld wie im SAML-Claim	Unter Mappings auf dasselbe Feld gesetzt, typisch user.mail
Gruppen-Claim für Rollen	Group Attribute Statement mit Namen groups	Personen und Gruppen unter Users and groups zuweisen
Lizenzvoraussetzung	Okta-Administratorzugang	Entra ID P1 oder P2 für SCIM-Provisioning
Rolle in Claude	Owner oder Primary Owner (Team, Enterprise) oder Admin (Console)	Dasselbe, plus Global Administrator oder Application Administrator in Entra

Die Lizenzzeile bringt Beschaffungsprozesse ins Stocken. SCIM-Provisioning verlangt Entra ID P1 oder P2. Eine Organisation auf einer niedrigeren Stufe muss Identity-Lizenzen kaufen, bevor sie die Claude-Mitgliedschaft automatisieren kann, und diese Kosten gehören in den Business Case, nicht in eine Überraschung mitten im Rollout.

Gruppen-Mappings, Rollen und die JIT-Falle

Gruppen-Mappings gibt es mit Just-in-Time und mit SCIM. Dort sitzt auch die schärfste Kante.

Mit Just-in-Time und aktiven Gruppen-Mappings wird ein Nutzer, dessen Anmeldung keine zugeordnete Gruppe mitbringt, beim nächsten Login aus der Organisation entfernt. Lesen Sie das noch einmal, bevor Sie es aktivieren. Eine SAML-Assertion, die unbemerkt kein groups-Attribut mehr mitsendet, weil jemand die Okta-App bearbeitet oder die Gruppe umbenannt hat, erzeugt keinen Fehler. Sie deprovisioniert Personen, eine Anmeldung nach der anderen.

Ohne das Group Attribute Statement enthalten Anmeldungen überhaupt keine Gruppendaten, die Rollenzuweisung scheitert, und Nutzer landen auf der Basisrolle User. Unter Just-in-Time tritt ein Nutzer mit der Rolle User oder mit der höchsten Rolle aus seinen zugeordneten Gruppen ein, und Rollenwechsel greifen erst beim nächsten Login.

Zwei praktische Regeln:

1. Gruppen-Mappings erst aktivieren, nachdem Sie bestätigt haben, dass der Gruppen-Claim ankommt. Dazu ein Testkonto in einer zugeordneten Gruppe und ein zweites Testkonto bewusst außerhalb jeder zugeordneten Gruppe.
2. Bei SCIM Owner- und Admin-Rollen manuell zuweisen. Gruppengetriebene Rechteerhöhung ist bequem und bedeutet, dass eine Änderung an einer IdP-Gruppe administrativen Zugriff auf Claude vergibt, ohne dass jemand in Ihrer Organisation das in Claude genehmigt.

Was DSGVO und Mitbestimmung an dieser Stelle verlangen

Drei Pflichten landen direkt auf dieser Konfiguration.

Löschung und die Leaver-Lücke. Nach der DSGVO müssen Sie die Verarbeitung von Daten ehemaliger Beschäftigter beenden und belegen können, wann der Zugriff endete. Invite only und Just-in-Time lassen das Entfernen als manuelles Ticket, die Kontrolle ist also ein Mensch, der sich erinnert. SCIM schliesst diese Lücke strukturell, und das ist üblicherweise das Argument, das die Enterprise-Diskussion entscheidet. Zur Aufbewahrungsseite siehe unseren Leitfaden zur Compliance-API, der beschreibt, was Aktivitätsprotokolle und Chat-Exporte tatsächlich enthalten.

Betriebsrat. Nutzungs- und Kostenberichte pro Person plus Audit-Logs sind Leistungskontrolle im Sinne von Paragraf 87 Absatz 1 Nummer 6 BetrVG. Damit besteht ein Mitbestimmungsrecht an der Konfiguration, nicht nur ein Informationsrecht. Bringen Sie Gruppendesign und Analytics-Konfiguration früh in dieses Gespräch, denn ein Gruppenmodell nach Abschluss einer Betriebsvereinbarung umzubauen ist teuer.

Auftragsverarbeitung. AVV und Inferenz-Route sind von Identity getrennt und werden nicht weniger wichtig, weil SSO saubere Anmeldungen liefert. Unser Leitfaden zur Datenresidenz beschreibt, welche Route Inferenz tatsächlich in einer Region hält und was sie kostet.

Selbst betreiben oder auslagern?

Aufgabe	Intern halten	Sinnvoll auslagerbar
SAML- und SCIM-Konfiguration	Ja. Ihr Identity-Team besitzt das IdP	Eine begleitete erste Verbindung, wenn WorkOS neu für Sie ist
Entscheidung über das Attribut	Ja. Nur Sie wissen, welches Feld führend ist	Nein
Gruppen- und Rollenmodell	Ja. Es spiegelt Organigramm und Betriebsvereinbarung	Review des ersten Entwurfs
Entra- oder Okta-Lizenzstufe	Beschaffungsentscheidung, intern	Nein
Audit-Nachweise und Aufbewahrung	Ja, mit Recht und Datenschutz	Vorlage und Lückenanalyse

Identity ist das falsche Thema für dauerhaftes Outsourcing. Eine begleitete erste Verbindung einzukaufen ist vernünftig, die Attribut-Entscheidung abzugeben nicht, weil das führende E-Mail-Feld eine Tatsache über Ihr Verzeichnis ist, die ein externes Team nur raten kann.

FAQ

Was kostet SSO und SCIM für Claude?

SSO kostet nichts zusätzlich, es gehört zu Team und Enterprise. Die Kosten sind indirekt: Claude Enterprise zu 20 USD pro Platz und Monat bei jährlicher Zahlung ab 20 Plätzen, wenn Sie SCIM brauchen, plus eine Entra-ID-P1- oder P2-Lizenz pro Person, falls Ihr IdP Entra ist und auf einer niedrigeren Stufe läuft. Für 50 Personen sind das 12.000 USD im Jahr für Claude vor Verbrauch, plus Identity-Lizenzen.

SSO oder SCIM: was ist der Unterschied?

SSO authentifiziert ein Mitglied, das in Ihrer Claude-Organisation bereits existiert. SCIM erzeugt und entfernt dieses Mitglied aus Ihrem Verzeichnis. SSO ohne SCIM ist möglich, dann ist Mitgliedschaft manuell oder Just-in-Time. SCIM ohne SSO ist nicht möglich, weil die Verzeichnisverbindung auf einem konfigurierten Identity-Provider aufsetzt.

Gibt es SCIM auf dem Claude-Team-Plan?

Nein. SCIM fehlt auf Team-Plänen und in Console-Organisationen, die an eine Team-Mutterorganisation angeschlossen sind. Team-Organisationen nutzen Just-in-Time, das Mitglieder beim ersten Login hinzufügt und nie automatisch entfernt. Unser Team-Plan-Leitfaden zeigt die übrigen Grenzen.

Welche Identity-Provider unterstützt Claude?

SSO und SCIM laufen über einen WorkOS-basierten Einrichtungsablauf, und Anthropic veröffentlicht Anleitungen für Okta, Microsoft Entra ID, Google Workspace und OneLogin. Die benötigten Werte, darunter Entity ID, Reply URL, SCIM-Tenant-URL und Secret Token, kommen aus diesem Ablauf und nicht aus einer statischen Dokumentationsseite.

Warum können sich Nutzer nach dem SCIM-Start nicht anmelden?

Fast immer das E-Mail-Attribut. Prüfen Sie, ob das Feld, das SCIM als E-Mail schreibt, und das Feld, das die SAML-Assertion als E-Mail sendet, dasselbe Feld im IdP sind. Bei Okta ist die klassische Abweichung user.login gegen user.email, bei Entra jeder Claim ausser dem, den das SCIM-Mapping nutzt.

Löscht SCIM die Chat-Historie eines entfernten Mitglieds?

Nein. Das Entfernen beendet den Zugriff, es löscht nicht die erzeugten Inhalte. Die Aufbewahrung von Unterhaltungen und Dateien ist eine eigene Einstellung, verfügbar über eigene Aufbewahrungsfristen auf Enterprise, und die Compliance-API ist der Weg, diese Inhalte vor Fristablauf zu exportieren oder zu prüfen.

Quellen

1. Anthropic: JIT- oder SCIM-Provisionierung einrichten (28. Oktober 2026)
2. Anthropic: SSO mit Okta (28. Oktober 2026)
3. Anthropic: SSO mit Microsoft Entra ID (28. Oktober 2026)
4. Anthropic: Claude Preise und Pläne (28. Oktober 2026)
5. Anthropic: Mehr Transparenz und Kontrolle für Admins (28. Oktober 2026)