Wie melde ich mich an und sichere meinen Zugang?
Angemeldet wird mit E-Mail und Passwort, mit einem Passkey ohne Passwort oder über das Unternehmenskonto bei Microsoft Entra. Den Zugang sicherst du mit einem zweiten Faktor und den Wiederherstellungscodes dazu. Ein vergessenes Passwort setzt du über einen Einmalcode an deine Adresse zurück.
Stand: September 2026
Die drei Wege in ein Konto
Welcher Weg offensteht, entscheidet der Betrieb. Die freie Registrierung lässt sich sperren, dann legt nur noch ein Konto an, wer eingeladen wurde.
Wie ein Konto entsteht.
| Weg | Wie er läuft | Wann er passt |
|---|---|---|
| Selbst registrieren | E-Mail eingeben, Bestätigungscode aus der Mail eintragen, danach Name und Passwort setzen. | Die erste Person eines Betriebs. Sie wird damit zur Geschäftsführung. |
| Über eine Einladung | Der Link führt in die Registrierung, die Zuordnung ist vorbelegt. | Alle weiteren Personen eines Betriebs. |
| Über das Unternehmenskonto | Anmeldung über Microsoft Entra. Wer noch kein Konto hat, bekommt es beim ersten Anmelden. | Betriebe, die ihre Konten ohnehin zentral führen. |
Selbst registrieren
- Wie er läuft
- E-Mail eingeben, Bestätigungscode aus der Mail eintragen, danach Name und Passwort setzen.
- Wann er passt
- Die erste Person eines Betriebs. Sie wird damit zur Geschäftsführung.
Über eine Einladung
- Wie er läuft
- Der Link führt in die Registrierung, die Zuordnung ist vorbelegt.
- Wann er passt
- Alle weiteren Personen eines Betriebs.
Über das Unternehmenskonto
- Wie er läuft
- Anmeldung über Microsoft Entra. Wer noch kein Konto hat, bekommt es beim ersten Anmelden.
- Wann er passt
- Betriebe, die ihre Konten ohnehin zentral führen.
Ist eine Adresse bereits registriert, entsteht kein zweites Konto. Stattdessen geht eine Hinweismail an diese Adresse.
Passwort vergessen
Das Zurücksetzen läuft in drei getrennten Schritten. Das Setzen des neuen Passworts ist ohne den geprüften Code gar nicht erreichbar.
Die Bestätigungsmail am Ende ist Teil des Schutzes und kein Beiwerk: sie erreicht die Inhaberin des Kontos auch dann, wenn jemand anderes zurückgesetzt hat.
- Das Zurücksetzen mit der eigenen Adresse anfordern.
- Den Einmalcode aus der E-Mail eintragen.
- Das neue Passwort setzen.
- Die Bestätigungsmail lesen. Kam sie unerwartet, hat jemand anderes den Vorgang angestoßen.
- Die Einmalcodes laufen von selbst ab, sie stehen nicht dauerhaft in der Datenbank.
- Der Weg setzt ein erreichbares Postfach voraus. Ein Zurücksetzen über Sicherheitsfragen, Telefon oder Support gibt es nicht.
- Ist das Postfach nicht mehr erreichbar, bleibt das Setzen eines neuen Passworts durch die Geschäftsführung in der Personalakte.
Zweiter Faktor und Wiederherstellungscodes
Der zweite Faktor ist ein zeitbasierter Einmalcode. Er wird über einen QR-Code in einer Authenticator-App eingerichtet, der erste Code wird geprüft, danach ist er aktiv. Abschalten kann ihn jede Person für ihr eigenes Konto selbst.
Zu jeder Einrichtung gehören Wiederherstellungscodes. Jeder von ihnen ist einmal verwendbar und für den Fall gedacht, dass das Gerät mit der Authenticator-App weg ist. Sie lassen sich neu erzeugen, die alten verfallen dabei.
Ohne Passwort: Passkeys
Ein Passkey ersetzt das Passwort durch das, was das Gerät ohnehin schon sichert: Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Registrieren und Anmelden laufen über den WebAuthn-Standard.
Die registrierten Passkeys stehen in einer eigenen Übersicht und lassen sich dort einzeln entfernen. Mehrere Geräte sind möglich.
Die App anmelden
Die App lässt sich per QR-Code anmelden: die Weboberfläche erzeugt ein kurzlebiges Token, die App liest den Code, und die Anmeldung steht ohne Eintippen des Passworts auf dem Telefon.
Danach hält die App ihre Sitzung über ein Aktualisierungstoken, das serverseitig geführt und beim Abmelden entwertet wird. Wer mehreren Betrieben angehört, wählt nach der Anmeldung den Betrieb und wechselt ihn später ohne erneute Anmeldung.
Die Schritte hier beschreiben ein laufendes System. Wer noch keines hat, richtet es in der Testphase ein und behält alles, was dabei entsteht.
Die E-Mail-Adresse ändern
Die Anmeldeadresse wird über einen Einmalcode an die neue Adresse geändert. Die alte Adresse wird dabei informiert, und aus dieser Nachricht heraus lässt sich die Änderung zurücknehmen.
Das ist kein Komfort, sondern der Schutz gegen eine Kontoübernahme: Wer sich Zugang verschafft und die Adresse tauscht, wäre sonst allein Herr des Kontos.
Was der Sicherheitsbereich zeigt
Passwortwechsel, zweiter Faktor, Passkeys und die Sicherheitsmeldungen des Kontos stehen in den Benutzereinstellungen an einer Stelle zusammen.
Dort warnt die Anwendung auch, wenn ein Passwort verwendet wird, das in bekannten Datenlecks auftaucht. Sie drängt auf einen Wechsel, sie sperrt das Konto nicht.
Der Supportzugang
Ohne Zutun des Betriebs kommt niemand aus dem Support in die Daten. Die Geschäftsführung erzeugt dafür ein Zugangstoken, mit dem der Support befristet in den Betrieb schauen kann.
Widerrufen lässt sich der Zugang jederzeit, und zwar von beiden Seiten: vom Betrieb und von der Supportseite selbst.
Wie die Betriebe voneinander getrennt sind
Jede Abfrage ist an den Betrieb gebunden. Zusätzlich prüfen eigene Wächter jede übergebene Kennung gegen den handelnden Betrieb, und zwar fehlschlagend geschlossen: gehört auch nur eine davon nicht dazu, bricht der Vorgang ab.
Diese Wächter braucht es, weil mehrere Verweise auf betriebsübergreifende Tabellen zeigen. Eine untergeschobene fremde Kennung würde die Datenbank dort annehmen, die Prüfung nicht.
Die Trennung ist logisch und nicht physisch: alle Betriebe liegen in derselben Datenbank, getrennt wird über Spalten und Prüfungen. Die Oberfläche sendet dabei nie eine ungültige Kennung, ein Verstoß ist deshalb ein Manipulationsversuch und kein Bedienfehler.
Nachgefragt
- Ich komme nicht mehr an meine E-Mails. Wie komme ich ins Konto?
- Über das Zurücksetzen nicht: der Einmalcode geht an dein Postfach, und einen zweiten Weg über Sicherheitsfragen, Telefon oder Support gibt es nicht. Die Geschäftsführung kann dir in der Personalakte ein neues Passwort setzen, das ist der vorgesehene Weg.
- Ich habe mein Handy mit der Authenticator-App verloren.
- Dafür sind die Wiederherstellungscodes da. Jeder ist einmal verwendbar. Danach richtest du den zweiten Faktor neu ein und erzeugst neue Codes, die alten verfallen dabei.
- Können wir die freie Registrierung sperren?
- Ja. Dann legt nur ein Konto an, wer eine Einladung bekommen hat. Der Einladungslink führt in die Registrierung mit vorbelegter Zuordnung.
- Kann der Support einfach in unsere Daten sehen?
- Nein. Es braucht ein Zugangstoken, das die Geschäftsführung selbst erzeugt, und es ist befristet. Widerrufen können es beide Seiten jederzeit, der Betrieb und der Support.
- Liegen unsere Daten in einer eigenen Datenbank?
- Nein, die Trennung ist logisch: alle Betriebe liegen in derselben Datenbank und werden über Spalten und Prüfungen getrennt. Jede Abfrage ist an den Betrieb gebunden, und eigene Wächter prüfen zusätzlich jede übergebene Kennung.
Beschreibt den Stand der Anwendung am September 2026. Was sich im Produkt ändert, steht in den Produkt-Updates.
Herausgeberin: AMNAU GmbH
Redaktionell verantwortlich: Ugur Aydogan, Produktentwicklung.
Zuletzt fachlich geprüft: September 2026
Nachlesen ist das eine. Es selbst einzurichten dauert einen Nachmittag.
MetronHR erfasst Arbeitszeiten am Terminal, in der App und im Browser, führt Urlaub und Überstunden mit und legt den Monat fertig ab. 14 Tage kostenlos testen.
Ohne Kreditkarte, jederzeit kündbar