# Anmelden

Es gibt drei Wege in den Planer. Welche davon zu sehen sind, hängt davon ab,
was für deine Instanz eingerichtet wurde.

![Die Anmeldeseite](../bilder/anmelden-hell-schreibtisch.png)

| Weg                              | Wann sinnvoll                                                                                       |
| -------------------------------- | --------------------------------------------------------------------------------------------------- |
| **Unternehmensanmeldung** (OIDC) | In der Firma der Normalfall. Ein Klick, die Anmeldung übernimmt Entra ID beziehungsweise authentik. |
| **Passkey**                      | Der bequemste Weg am eigenen Gerät: Fingerabdruck, Gesicht oder Geräte-PIN, kein Passwort.          |
| **E-Mail und Passwort**          | Der Rückfallweg. Oft nur daheim freigeschaltet.                                                     |

## Mit Passkey anmelden

1. E-Mail-Adresse eintragen.
2. Auf **Mit Passkey anmelden** klicken.
3. Das Gerät fragt nach Fingerabdruck, Gesicht oder PIN.

Fertig — du landest auf der Startseite.

> **Warum erst die E-Mail-Adresse?** Damit der Planer weiß, welche Passkeys er
> anbieten soll. Er antwortet dabei für unbekannte Adressen genauso wie für
> bekannte, damit sich von außen nicht abfragen lässt, wer hier ein Konto hat.

## Einen Passkey einrichten

Das geht erst, wenn du angemeldet bist — also beim ersten Mal über OIDC oder
über E-Mail und Passwort.

1. Oben rechts auf **Einstellungen**.
2. Im Abschnitt _Passkeys_ einen Namen für das Gerät eintragen, etwa
   „Arbeitsrechner" oder „Diensthandy".
3. Auf **Anlegen** klicken und die Abfrage des Geräts bestätigen.

![Passkeys in den Einstellungen](../bilder/einstellungen-hell-schreibtisch.png)

Der Passkey steht danach in der Liste, mit Anlegedatum und letzter Benutzung.

> **Lege zwei Passkeys an, auf zwei verschiedenen Geräten.** Sonst sperrst du
> dich aus, sobald ein Gerät verlorengeht oder zurückgesetzt wird.

Unter jedem Eintrag steht, ob der Passkey **geräteübergreifend** ist — dann
liegt er im Schlüsselbund von Apple, Google oder deinem Passwortmanager und ist
auf deinen anderen Geräten ebenfalls verfügbar. Steht dort **nur dieses
Gerät**, ist er an genau dieses Gerät gebunden.

## Einen Passkey entfernen

In den Einstellungen auf das Papierkorb-Symbol neben dem Eintrag. Der Passkey
ist sofort ungültig; auf dem Gerät selbst bleibt ein Rest zurück, den du dort
im Schlüsselbund löschen kannst.

## Abmelden

Oben rechts auf das Symbol mit dem Pfeil aus der Tür.

## Wenn es klemmt

| Was du siehst                                                  | Was dahintersteckt                                                                                                                                                    |
| -------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| „Anmeldung nicht möglich. Bitte Angaben prüfen."               | Diese eine Meldung gilt für alle Fälle: falsches Passwort, unbekannte Adresse, gesperrtes Konto. Das ist Absicht — sonst ließe sich abfragen, wer hier ein Konto hat. |
| Es passiert nichts nach dem Klick auf **Mit Passkey anmelden** | Du hast den Systemdialog abgebrochen. Einfach noch einmal klicken.                                                                                                    |
| „Dieses Gerät ist hier schon hinterlegt."                      | Für dieses Gerät gibt es bereits einen Passkey. Ein zweiter bringt nichts.                                                                                            |
| Der Passkey-Knopf tut gar nichts                               | Der Browser unterstützt WebAuthn nicht, oder die Seite läuft nicht über HTTPS. Passkeys brauchen eine sichere Verbindung — `localhost` ausgenommen.                   |
| Passkey lässt sich nicht anlegen                               | Meist stimmt die Konfiguration nicht: `WEBAUTHN_ORIGIN` muss exakt der Adresse im Browser entsprechen, inklusive Port. Siehe [README](../../README.md).               |

## Ausgesperrt?

Wenn kein Weg mehr hineinführt, hilft nur jemand mit Zugriff auf den Server.
Dort lässt sich mit `ADMIN_EMAIL` und `ADMIN_PASSWORT` in der `.env` und einem
erneuten Seed-Lauf wieder ein Passwort setzen — siehe
[Schnellstart, Schritt 5](../SCHNELLSTART.md).

## Rollen

Unten in der Fußzeile und in den Einstellungen steht, welche Rolle du hast.

- **Benutzer** – sieht und plant die eigenen Sachen.
- **Verwaltung** – darf zusätzlich Bereiche ändern und das
  [Protokoll](protokoll.md) einsehen.

Die Rolle vergibt die Verwaltung; sie lässt sich nicht selbst hochstufen.