Anmeldung über das Microsoft-Konto des Betriebs

MetronHR meldet über Microsoft Entra ID an, per OpenID Connect. Die Geschäftsführung hinterlegt den Azure-Mandanten einmal, danach kommt jede Person mit ihrem Arbeitskonto herein. Ob dabei neue Konten entstehen dürfen, ist eine eigene Entscheidung. Enthalten in jedem Tarif.

Stand:15. September 2026

Was bei einer Anmeldung geprüft wird

Die Reihenfolge ist die Sicherheit. Jede Stufe kann die Anmeldung beenden, und jede Ablehnung nennt ihren Grund im Klartext, statt nur „fehlgeschlagen" zu sagen.

  • 1. Profil

    Was geprüft wird
    Enthält das Token eine E-Mail-Adresse?
    Wenn es nicht passt
    Abbruch. Ohne Adresse gibt es keine Zuordnung.

  • 2. Mandant

    Was geprüft wird
    Ist dieser Azure-Mandant bei einem Betrieb hinterlegt?
    Wenn es nicht passt
    Abbruch mit dem Hinweis, dass die Anmeldung nicht eingerichtet ist.

  • 3. Bekanntes Konto

    Was geprüft wird
    Gibt es die Person schon und ist sie noch aktiv?
    Wenn es nicht passt
    Ein gelöschtes oder überall inaktives Konto kommt nicht herein.

  • 4. Bekannte Adresse

    Was geprüft wird
    Existiert ein Konto mit dieser Adresse?
    Wenn es nicht passt
    Es wird verknüpft. Eine Mitgliedschaft im Betrieb entsteht nur mit Freigabe zum Anlegen.

  • 5. Neue Person

    Was geprüft wird
    Anlegen freigegeben, Abo aktiv, Lizenz frei?
    Wenn es nicht passt
    Fehlt eines davon, gibt es keinen Zugang und eine Meldung mit dem Grund.

Stand 15. September 2026. Die Lizenzgrenze wird zweimal geprüft: vorab und verbindlich unter Sperre in der Transaktion, damit zwei gleichzeitige Anmeldungen nicht beide die letzte Lizenz bekommen.

Einrichten

Die Einrichtung macht die Geschäftsführung, einmal je Betrieb. Danach ändert sich für die Beschäftigten nur, dass auf der Anmeldeseite ein zweiter Knopf steht.

  1. 1. Azure-Mandant hinterlegen

    In den Unternehmenseinstellungen die Kennung des Microsoft-Mandanten eintragen. Ein Azure-Mandant gehört genau einem Betrieb; ist er anderswo schon hinterlegt, wird der Eintrag abgewiesen.

  2. 2. Entscheiden, ob Konten entstehen dürfen

    Mit dieser Freigabe entsteht ein Konto bei der ersten Anmeldung, ohne sie kommt nur herein, wer bereits eingeladen wurde. Für Betriebe, die den Zugang eng führen wollen, ist „aus" die richtige Einstellung.

  3. 3. Anmeldung prüfen

    Eine Person aus dem Verzeichnis meldet sich an. In den Einstellungen ist danach zu sehen, wie viele Konten mit dem Verzeichnis verknüpft sind.

Die übrigen Wege hinein

Nicht jeder Betrieb hat Microsoft 365, und nicht jede Person im Betrieb sitzt an einem Rechner. Deshalb gibt es vier Wege nebeneinander, und der Betrieb entscheidet, welche davon gelten.

  • Microsoft Entra ID

    Für wen
    Betriebe mit Microsoft 365.
    Was dazugehört
    Kein zweites Kennwort, die Regeln des Verzeichnisses gelten mit.

  • E-Mail und Kennwort

    Für wen
    Alle übrigen.
    Was dazugehört
    Auf Wunsch mit zweitem Faktor über eine Authenticator-App.

  • Passkey

    Für wen
    Wer ohne Kennwort arbeiten will.
    Was dazugehört
    Anmeldung über Gerät, Fingerabdruck oder Gesichtserkennung des Geräts; die biometrischen Daten bleiben auf dem Gerät.

  • Terminal und QR-Code

    Für wen
    Beschäftigte ohne Diensthandy und ohne Rechner.
    Was dazugehört
    Karte oder Chip am Terminal, QR-Code für die App. Keine Biometrie.

Stand 15. September 2026. Zur Zeiterfassung selbst verarbeitet MetronHR keine biometrischen Daten, siehe der Beitrag zur Zeiterfassung ohne Fingerabdruck.

Warum ein Fingerabdruck am Terminal keine gute Idee ist, steht im Beitrag Zeiterfassung ohne Fingerabdruck. Wo die Daten liegen und wer sie verarbeitet, steht im Trust Center.

Fragen zur Anmeldung

Was uns dazu am häufigsten gefragt wird.

Microsoft Entra ID, früher Azure Active Directory, über OpenID Connect. Andere Anbieter wie Google Workspace oder Okta sind nicht angebunden. Wer keinen Entra-Mandanten hat, meldet sich mit E-Mail und Kennwort an, wahlweise mit Passkey und zweitem Faktor.

Nichts zusätzlich, die Anmeldung über Entra ID ist in jedem Tarif enthalten. Sie ist kein Aufpreis-Merkmal, weil eine sichere Anmeldung keine Sonderausstattung ist.

Nur wenn der Betrieb das ausdrücklich einschaltet. Ist das Anlegen aus, kommt nur herein, wer in MetronHR bereits existiert; alle anderen bekommen eine Meldung und keinen Zugang. Ist es an, entsteht das Konto bei der ersten Anmeldung, aber nur bei laufendem Abo und nur, solange eine Lizenz frei ist.

Die Anmeldung schlägt fehl, weil Entra ID kein Token mehr ausstellt. Das Konto in MetronHR bleibt bestehen und muss dort deaktiviert werden. Eine automatische Bereitstellung in beide Richtungen, etwa über SCIM, gibt es nicht.

Nein. Ein Azure-Mandant gehört genau einem MetronHR-Betrieb, und diese Zuordnung ist eindeutig. Der Versuch, denselben Azure-Mandanten ein zweites Mal zu hinterlegen, wird abgewiesen.

Die Mitarbeitenden-App meldet sich mit den Zugangsdaten des Kontos an, dazu gibt es die Anmeldung am Terminal über Karte oder Chip und die Anmeldung per QR-Code. Welcher Weg im Betrieb gilt, entscheidet die Geschäftsführung.

Steht deine Frage nicht dabei? Schritt für Schritt erklärt ist die Bedienung im Hilfezentrum.

Meldet euch mit dem Konto an, das ihr schon habt

Entra ID einmal hinterlegen, danach ist die Anmeldung ein Knopf.

Trust Center ansehen

Ohne Kreditkarte, jederzeit kündbar

Passt dazu

Wo es von hier aus weitergeht, und was dich dort erwartet.