--- title: "SAML-SSO mit Google Workspace für die Verwaltung - Payhawk Help Center" slug: "setting-up-saml-sso-with-google-workspace-gsuite" description: "Fügen Sie Payhawk als benutzerdefinierte SAML-App in der Google Workspace Admin-Konsole hinzu, ordnen Sie das E-Mail-Attribut zu und senden Sie die Metadaten." updated: 2026-10-23T07:50:13Z published: 2026-10-23T07:50:13Z canonical: "payhawk.com/setting-up-saml-sso-with-google-workspace-gsuite" --- > ## Documentation Index > Fetch the complete documentation index at: https://payhawk.com/help/llms.txt > Use this file to discover all available pages before exploring further. # SAML-SSO mit Google Workspace (GSuite) einrichten [Google Workspace](https://workspace.google.com/) (ehemals G Suite) ist mehr als nur eine E-Mail- und Produktivitätssuite. Die zugehörige Admin-Konsole fungiert gleichzeitig als Identitätsanbieter, der den Zugriff auf Anwendungen von Drittanbietern über SAML bündeln kann. Durch das Hinzufügen von Payhawk als benutzerdefinierte SAML-Anwendung kann sich Ihr Team mit dem bereits verwendeten Google-Konto anmelden, und Sie haben die Kontrolle über den Zugriff über dieselbe Seite **Web- und Mobil-Apps**, die Sie auch für alle anderen Zwecke nutzen. > [!WARNING] > SAML unterstützt keine vom Identitätsanbieter (IdP) initiierte Authentifizierung. Ihre Benutzer müssen stets über die Payhawk-Anmeldeseite beginnen. Die Zwei-Faktor-Authentifizierung (2FA) gilt, sofern sie aktiviert ist, weiterhin, und SSO ersetzt diese nicht. ## Bevor Sie starten - Sie benötigen ein Super-Admin-Konto für Google Workspace. - Sie benötigen Payhawk-Administratorrechte in Payhawk, um die Einrichtung zu koordinieren. - Halten Sie Ihre Authentifizierungsdomänen bereit (zum Beispiel `yourcompany.com`), also die E-Mail-Domänen, mit denen sich Ihre Benutzer anmelden. - Die primäre Google-E-Mail-Adresse jedes Benutzers muss genau mit der E-Mail-Adresse seines Payhawk-Kontos übereinstimmen. Nicht übereinstimmende E-Mail-Adressen führen zu fehlgeschlagenen Anmeldungen oder doppelten Benutzern. - Stellen Sie sicher, dass die zu Pyahawk eingeladenen Benutzer auf der Google-Seite Zugriff auf die App haben. - Stellen Sie sicher, dass die Zugriffsrechte und Bestimmungen für Anwendungen in Ihrem Google Workspace oder Ihrer Geräteverwaltung die Benutzer nicht daran hindern, die Payhawk-Anwendung zu nutzen, oder den Zugriff auf Payhawk blockieren. ## Einstellungen für Payhawk-Dienstanbieter (SP) Um die SAML-Anwendung in Google Workspace zu konfigurieren, verwenden Sie im Schritt **Angaben zum Dienstanbieter** die folgenden Werte. Diese sind für alle Kunden identisch. | Einstellung | Wert | | --- | --- | | ACS-URL | `https://id.payhawk.com/saml2/idpresponse` | | Entitäts-ID | `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p` | | Namens-ID-Format | `E-MAIL` | | Namens-ID | **Grundlegende Informationen** > **Primäre E-Mail-Adresse** | | Erforderliches Attribut | **Primäre E-Mail-Adresse**, zugeordnet zu `E-Mail` | ## SAML-Anwendung erstellen und konfigurieren 1. Melden Sie sich als Administrator in der Google Admin-Konsole an. 2. Navigieren Sie zu [**Apps** > **Web- und Mobile Apps**](https://admin.google.com/ac/apps/unified). 3. Wählen Sie **App hinzufügen** > **Benutzerdefinierte SAML-App hinzufügen**. 4. Geben Sie als App-Name **Payhawk** ein. Fügen Sie optional eine Beschreibung und ein Logo hinzu und wählen Sie dann **Weiter**. 5. Laden Sie im Schritt **Details zum Google Identity Provider** die **Metadatendatei (IdP-Metadaten)** herunter. Diese werden Sie später an Payhawk senden. Wählen Sie **Weiter**. 6. Geben Sie im Schritt **Details zum Dienstanbieter** die Werte für den Payhawk-Dienstanbieter ein: - Geben Sie für **ACS-URL** Folgendes ein: `https://id.payhawk.com/saml2/idpresponse` - Geben Sie für **Entitäts-ID** Folgendes ein: `urn:amazon:cognito:sp:eu-central-1_mcW4Iwl7p` - Wählen Sie für **Namens-ID-Format** die Option **E-MAIL** aus. - Wählen Sie für **Namens-ID** **Grundlegende Informationen** > **Primäre E-Mail-Adresse**. 7. Wählen Sie **Weiter**. ## E-Mail-Attribut zuordnen Payhawk benötigt ein einzelnes Attribut mit dem Namen `E-Mail`. 1. Fügen Sie im Schritt **Attributzuordnung** eine Zuordnung hinzu: **Primäre E-Mail-Adresse** → `E-Mail`. 2. Wählen Sie **Fertigstellen**. ## Benutzer zuweisen 1. Wählen Sie unter **Web- und Mobile Apps** Ihre neue Payhawk Anwendung aus. 2. Aktivieren Sie unter **Benutzerzugriff** den Dienst **EIN** für alle Benutzer oder für die spezifischen Organisationseinheiten und Gruppen, die Payhawk nutzen sollen. 3. Bitte stellen Sie sicher, dass die bei Google hinterlegte primäre E-Mail-Adresse jedes zugewiesenen Benutzers mit dem seines Payhawk-Kontos übereinstimmt. ## IdP-Metadaten exportieren und an Payhawk senden 1. Falls Sie die IdP-Metadaten während der Einrichtung nicht heruntergeladen haben, öffnen Sie bitte die Payhawk-App und laden Sie unter **Details zum Dienstanbieter** oder in der App-Übersicht die XML-Datei **IdP-Metadaten** herunter. Diese enthält den Google-SSO-Endpunkt, die Entität und das Signaturzertifikat, die Payhawk benötigt. 2. Wenden Sie sich an Ihren Payhawk Implementation Manager und übermitteln Sie die XML-Datei mit den IdP-Metadaten, Ihre Authentifizierungsdomains sowie die Bestätigung der Attributzuordnung `E-Mail`. Payhawk führt die Backend-Konfiguration durch und bestätigt Ihnen, sobald SSO zum Testen bereit ist. ## Anmeldung testen 1. Gehen Sie zur Anmeldeseite. 2. Geben Sie eine geschäftliche E-Mail-Adresse in einer SSO-fähigen Domain ein. 3. Authentifizieren Sie sich über Google und führen Sie gegebenenfalls die Bestätigung in zwei Schritten oder 2FA durch. 4. Nach erfolgreicher Anmeldung kehren Sie angemeldet zurück. Änderungen an SAML-Apps in Google Workspace können bis zu 24 Stunden benötigen, bis sie übernommen werden, sind aber normalerweise innerhalb weniger Minuten aktiv. ## Fehlerbehebung - Sie werden zurück zur Anmeldeseite geleitet oder der Zugriff wird verweigert. Überprüfen Sie, ob das Attribut `E-Mail` übermittelt wurde und dessen Wert exakt mit der E-Mail-Adresse des Payhawk-Kontos übereinstimmt. - Der Dienst ist für den Benutzer deaktiviert – die Payhawk-App ist für die Organisationseinheit oder Gruppe dieses Benutzers nicht aktiviert. - Die von einem Identitätsanbieter (IdP) initiierte Anmeldung schlägt fehl - das ist zu erwarten. Benutzer müssen von der Payhawk-Anmeldeseite aus starten, nicht über den Google Apps Launcher.