Ein Filialleiter verlässt das Unternehmen. Sein Windows-Konto wird noch am selben Tag deaktiviert – aber sein Zugang zum Analytics-Dashboard mit den Frequenzdaten aller Standorte bleibt sechs Wochen aktiv, weil niemand daran gedacht hat, das separate Passwort zu sperren. Genau dieses Szenario ist der Grund, warum IT-Abteilungen bei der Beschaffung von Retail-Analytics-Lösungen heute Single Sign-On über Microsoft Entra ID zur Bedingung machen. Diese FAQ beantwortet die Fragen, die unser Support-Team und unsere Partner in Einführungsprojekten am häufigsten hören – konkret, ohne Marketing-Umwege.
Drei Gründe tauchen in jedem Beschaffungsprozess auf. Erstens: Offboarding. Wenn der Zugang über Entra ID läuft, endet er automatisch mit dem Mitarbeiterkonto – kein vergessener Dashboard-Login mehr. Zweitens: Compliance. Ihre bestehenden Richtlinien für Multi-Faktor-Authentifizierung und Conditional Access greifen sofort auch für die Analytics-Plattform, ohne dass Sie dort etwas doppelt konfigurieren. Drittens: Akzeptanz. Filialpersonal, das sich morgens ohnehin am Microsoft-Konto anmeldet, öffnet das Dashboard mit einem Klick. In der Praxis steigt die tägliche Nutzung der Frequenzdaten messbar, sobald die Passwort-Hürde wegfällt – Store-Manager, die sich vorher einmal pro Woche einloggten, schauen plötzlich täglich auf ihre Zahlen.
Entra ID beherrscht beide Standards, und die Anbindung erfolgt in der Regel über eine Enterprise Application in Ihrem Tenant. Ob SAML 2.0 oder OpenID Connect zum Einsatz kommt, hängt von Ihrer bestehenden IT-Governance ab – viele Konzerne haben interne Vorgaben, welches Protokoll für Drittanbieter-Anwendungen zu verwenden ist. Klären Sie das vor dem Kickoff mit Ihrem Identity-Team. Für den Endanwender ist der Unterschied unsichtbar; für die Fehlersuche im Support macht er einen erheblichen Unterschied, weil die Fehlermeldungen und Log-Quellen unterschiedlich sind.
Hier eine Beobachtung aus der Implementierungspraxis, die in keiner Microsoft-Dokumentation prominent steht: Der Großteil der Support-Tickets in den ersten zwei Wochen hat nichts mit der SSO-Konfiguration selbst zu tun. Zwei Muster dominieren:
Unser Rat an Support-Teams: Prüfen Sie diese beiden Punkte, bevor Sie irgendetwas an Zertifikaten oder Claims ändern. Das spart in acht von zehn Fällen die Eskalation.
SSO beantwortet die Frage „Wer bist du?", nicht die Frage „Was darfst du sehen?". Die Berechtigungslogik – welcher Regional-Manager welche Standorte sieht, wer Berichte exportieren darf – wird in der Analytics-Plattform selbst abgebildet. Bewährt hat sich ein Modell, bei dem Entra-ID-Gruppen über Claims an die Anwendung übergeben und dort auf Rollen gemappt werden. Wichtig für Buyer im Auswahlprozess: Fragen Sie explizit, ob Gruppen-Claims unterstützt werden und wie viele Gruppen Entra ID im Token überträgt. Bei sehr großen Organisationen mit hunderten Gruppen pro Nutzer kann das Token-Limit von Entra ID greifen – dann müssen Gruppen-Filter in der App-Registrierung konfiguriert werden. Das ist ein klassischer Stolperstein, der erst beim Rollout an die Zentrale auffällt, nicht im Pilotprojekt mit fünf Testnutzern.
Sobald die Plattform als Enterprise Application registriert ist, können Sie Ihre bestehenden Conditional-Access-Richtlinien darauf anwenden – etwa MFA-Pflicht außerhalb des Firmennetzes oder Blockierung von Zugriffen aus bestimmten Regionen. Zwei praktische Hinweise: Testen Sie die Richtlinien mit einem Konto, das den typischen Filialnutzer abbildet, nicht nur mit einem IT-Admin-Konto. Und bedenken Sie geteilte Geräte am Point of Sale: Wenn mehrere Mitarbeitende ein Kassen-Tablet nutzen, kollidiert eine strenge Geräte-Compliance-Richtlinie schnell mit dem Arbeitsalltag. Hier lohnt eine eigene Richtlinie für diese Gerätegruppe.
Nein – und diese Trennung ist wichtig zu verstehen. SSO regelt ausschließlich den Zugang von Mitarbeitenden zum Dashboard. Die Zähldaten selbst bleiben davon unberührt: Vemcos People Counting arbeitet DSGVO-konform mit aggregierten Zählwerten, ohne Identifikation einzelner Personen, inklusive Herausrechnung des Personals. Es fließen also keine Besucherdaten in Ihren Entra-ID-Tenant, und umgekehrt landen keine Identitätsdaten Ihrer Kunden in der Zählplattform. Für Datenschutzbeauftragte ist das die entscheidende Botschaft: SSO fügt eine Kontrollschicht für den Mitarbeiterzugang hinzu, ohne neue personenbezogene Datenflüsse auf Besucherseite zu erzeugen. Da die Plattform gehostet oder in einer Private Cloud betrieben und in bestehende IT-Systeme integriert werden kann, lässt sich die Entra-ID-Anbindung in beiden Betriebsmodellen umsetzen – die Details gehören in den Scoping-Call mit Ihrem IT-Team.
Bei SAML-Anbindungen läuft das Signaturzertifikat der Enterprise Application standardmäßig nach drei Jahren ab. Wenn niemand die Erneuerung plant, fällt der Login für alle Nutzer gleichzeitig aus – meist an einem Montagmorgen. Legen Sie deshalb bereits im Einführungsprojekt fest: Wer im Unternehmen erhält die Ablauf-Benachrichtigung von Entra ID, und wie sieht der Erneuerungsprozess mit dem Anbieter aus? Ein Kalendereintrag drei Monate vor Ablauf ist die billigste Versicherung, die es in diesem Themenfeld gibt.
Ob Sie gerade evaluieren, ob Ihre People-Counting-Lösung an Microsoft Entra ID angebunden werden kann, oder mitten in einem Rollout stecken und auf einen AADSTS-Fehlercode starren: Unser Team bespricht mit Ihnen die konkrete Konfiguration für Ihren Tenant, Ihr Rollenmodell und Ihren Betriebsmodus – gehostet oder Private Cloud. Kontaktieren Sie uns unter vemcogroup.com/contact-us und schildern Sie Ihre Ausgangslage; wir bringen die passenden technischen Ansprechpartner mit in den Call.