Zum Hauptinhalt springen

Deine erste Stunde mit fremforge

Diese Seite zeigt das Onboarding aus der Sicht von Einkauf und Administration – was du in der ersten Stunde nach deiner Entscheidung zur Registrierung tatsächlich anklickst und siehst. Sie ergänzt Erste Schritte, die sich eher an Entwicklerinnen und Entwickler richten (SSH-Schlüssel, erstes Repository, erster CI-Lauf).

Wirst du der erste Owner deiner fremforge-Organisation, lies diese Seite vor der Registrierung einmal von oben bis unten. Das meiste funktioniert ohne dein Zutun, aber vier kleine Entscheidungen in dieser Stunde legen die Sicherheits- und Abrechnungsgrundlagen für deine gesamte Zeit mit fremforge fest – sie jetzt richtig zu treffen, ist viel günstiger, als sie später zurückzudrehen.

Der Ablauf im Überblick

                ┌──────────────────────────────────────────────────────────┐
                │  1. Sign up at www.frem.sh                               │
                │     email + org slug + country/VAT + Altcha PoW          │
                └─────────────────────────┬────────────────────────────────┘
                                          │
                                          ▼
                ┌──────────────────────────────────────────────────────────┐
                │  2. Verification email arrives (Lettermint, EU)          │
                │     click within 24h                                     │
                └─────────────────────────┬────────────────────────────────┘
                                          │
                                          ▼
                ┌──────────────────────────────────────────────────────────┐
                │  3. Confirm page → Mollie hosted checkout (card / SEPA)  │
                │     mandate captured at €0 → tenant + Forgejo org        │
                │     provisioned → welcome email with a one-time link     │
                └─────────────────────────┬────────────────────────────────┘
                                          │
                            ┌─────────────┴─────────────┐
                            ▼                           ▼
            ┌─────────────────────────┐   ┌──────────────────────────────┐
            │  4a. Sign in            │   │  4b. Configure your org      │
            │  frem.sh/_app/login     │   │  frem.sh/<slug>/_admin/   │
            │  → your dashboard       │   │  billing — wire SSO, invite, │
            │                         │   │  review billing              │
            └─────────────────────────┘   └──────────────────────────────┘
                                          │
                            ┌─────────────┴─────────────┐
                            ▼                           ▼
            ┌─────────────────────────┐   ┌──────────────────────────────┐
            │  5. Wire SSO            │   │  6. Confirm billing details  │
            │  (optional but strongly │   │  monthly vs. annual term,    │
            │  recommended on day 1)  │   │  seats, VAT — auto-converts  │
            │                         │   │  on day 30 of trial          │
            └─────────────────────────┘   └──────────────────────────────┘
                                          │
                                          ▼
                ┌──────────────────────────────────────────────────────────┐
                │  7. Harden the break-glass account (MFA on local owner)  │
                │     and invite teammates                                 │
                └──────────────────────────────────────────────────────────┘

Der gesamte Ablauf dauert 15–30 Minuten für eine Organisation mit einem einzigen Admin ohne SSO oder 30–60 Minuten, wenn du einen IdP anbindest und ein Team einlädst.

1. Registrieren

Gehe zu www.frem.sh und klicke in der oberen Navigation auf Sign up (oder direkt zu frem.sh/_app/signup). Das Registrierungsformular fragt nach:

  • Geschäftliche E-Mail-Adresse – sie wird zur E-Mail-Adresse des Bootstrap-Admins und zur Standardadresse für den Abrechnungskontakt (beides kannst du später ändern).
  • Organisations-Slug – 3–30 Kleinbuchstaben, Ziffern und Bindestriche. Das ist der URL-Pfad deiner Organisation (frem.sh/<slug> für den Entwicklerbereich, frem.sh/<slug>/_admin/... für die Verwaltung). Wähle sorgfältig: Slug-Änderungen übernimmt der Betrieb, nicht du selbst.
  • Anzeigename – das, was die Oberfläche zeigt, wenn der Slug dort nicht hineinpasst.
  • Land – bestimmt die umsatzsteuerliche Behandlung und die Buchhaltung. fremforge ist nur für Unternehmen: Für EU-Mitgliedstaaten ist eine USt-IdNr. Pflicht, für andere Länder eine USt-IdNr. oder Unternehmensregisternummer (Norwegen: die 9-stellige Organisationsnummer).
  • USt-IdNr. oder Unternehmensregisternummer – für Kunden in der EU prüfen wir sie live gegen VIES, bevor die Organisation angelegt wird. Ist dein VIES-Eintrag gerade nicht erreichbar (das kommt etwa einmal im Quartal vor und ist meist in <24 h behoben), siehst du eine Fehlermeldung und kannst es erneut versuchen, sobald das Register wieder läuft.
  • Unternehmenserklärung – ein Kästchen, mit dem du bestätigst, dass du dich im Namen eines Unternehmens anmeldest. fremforge verkauft nicht an Verbraucher.

Beim Absenden läuft ein Proof-of-Work-Captcha. Es braucht 1–3 Sekunden und ist unsichtbar – kein Anklicken von Ampeln.

Häufige Stolpersteine:

  • Reservierte Slugs (z. B. admin, support, legal) und Marken anderer Anbieter (z. B. github, gitlab) werden beim Absenden blockiert. Wähle etwas Unverwechselbares.
  • Anbieter von Wegwerf-E-Mail-Adressen sind gesperrt; verwende eine echte Firmenadresse oder eine Adresse deines Internetanbieters.

2. Deine E-Mail-Adresse bestätigen

Innerhalb von Sekunden landet eine Bestätigungs-E-Mail in deinem Posteingang. Der Link ist 24 Stunden gültig und funktioniert nur einmal – ein zweiter Klick legt nichts erneut an (er zeigt nur deine bestehende Organisation).

Die Bestätigungs-E-Mail wird von noreply@frem.sh über Lettermint versendet (in den Niederlanden verankerte, ausschließlich europäische Zustellinfrastruktur; einer der benannten Unterauftragsverarbeiter von fremforge laut AVV). Ist sie nach 5 Minuten nicht da, prüfe den Spam-Ordner und den Mailfilter deines Unternehmens – Absenderadresse und DKIM sollten übereinstimmen.

3. Bestätigung → Mollie-Checkout → Organisation bereitgestellt → Willkommens-E-Mail

Klicke auf den Bestätigungslink und dann auf der Bestätigungsseite auf Organisation anlegen. Du wirst zum gehosteten Checkout von Mollie weitergeleitet, um ein Zahlungsmandat zu erteilen, bevor die Organisation bereitgestellt wird. Mollie unterstützt Karten, SEPA-Lastschrift, iDEAL, Bancontact und weitere regionale Zahlungsarten. Die Prüfung läuft über 0 € (dein Kartenaussteller reserviert dabei eventuell kurz 0,01 € und gibt den Betrag im Rahmen der üblichen Prüfung sofort wieder frei). Während der 30-tägigen Testphase wird nichts berechnet – das Mandat existiert nur, damit die Testphase an Tag 30 ohne zusätzlichen Checkout-Schritt automatisch umgestellt werden kann. Bis dahin kannst du jederzeit kostenlos unter Verwaltung → Abrechnung kündigen; drei Tage vor der automatischen Abbuchung schicken wir dir eine Erinnerung.

Nachdem Mollie das Mandat angenommen hat, wird deine Organisation bereitgestellt, ein Bootstrap-Admin-Benutzer angelegt und die Willkommens-E-Mail verschickt. Dieser Admin-Benutzer ist dieselbe Anmeldung wie dein persönliches fremforge-Konto – registrierst du später mit derselben E-Mail-Adresse eine zweite Organisation, wird derselbe Benutzer wiederverwendet (kein zweites Konto).

Die Willkommens-E-Mail kommt innerhalb weniger Sekunden. Sie enthält kein Passwort – stattdessen enthält sie:

  • Einen Button, „Bei fremforge anmelden →“ – einen Einmal-Anmeldelink (nur einmal verwendbar, läuft nach 48 Stunden ab). Ein Klick meldet dich automatisch an und bringt dich auf die Willkommensseite deiner Organisation, wo du aufgefordert wirst, ein Passwort zu wählen und die Zwei-Faktor-Authentifizierung einzurichten. (Hatte deine Registrierungs-E-Mail-Adresse bereits ein fremforge-Konto, lautet der Button stattdessen „<your-slug> öffnen →“, und du meldest dich mit deinem bestehenden Passwort an.)
  • Deinen Admin-Benutzernamen und deine Registrierungs-E-Mail-Adresse, angezeigt unter „für den Notfallzugang aufbewahren“. Beides ist dein Anmeldename – es gibt kein Passwort zum Kopieren, du legst es über den Link oben fest.
  • Abrechnung – einen Link „Zahlungsmittel hinterlegen →“ und einen Hinweis, dass die Testphase an Tag 30 automatisch umgestellt wird.
  • Deinen Einstieg in die Verwaltung zum Speichern als Lesezeichen: frem.sh/<your-slug>/_admin/overview.

Kommt die Willkommens-E-Mail nicht an, obwohl die Bestätigung funktioniert hat, wurde deine Organisation trotzdem angelegt (die E-Mail wird nach bestem Bemühen versendet) – melde dich über die Discovery-Anmeldung mit deiner Registrierungs-E-Mail-Adresse an und nutze Forgot password, um ein Passwort festzulegen.

4a. Zum ersten Mal anmelden

Neue Organisation, neuer Admin – klicke einfach auf „Bei fremforge anmelden →“ in der Willkommens-E-Mail. Der Link meldet dich automatisch an (es gibt kein Passwort einzutippen), fordert dich dann auf, ein Passwort zu wählen und die Zwei-Faktor-Authentifizierung zu aktivieren, und bringt dich auf die Willkommensseite deiner Organisation. Der Link ist nur einmal verwendbar und läuft nach 48 Stunden ab; ist er abgelaufen, bevor du ihn nutzt, melde dich über die Discovery-Anmeldung an und nutze Forgot password.

Bestehendes fremforge-Konto – der Button in der E-Mail lautet stattdessen „<your-slug> öffnen →“. Melde dich mit deinem vorhandenen Passwort an (Benutzername und Registrierungs-E-Mail-Adresse funktionieren beide).

Spätere Anmeldungen

Sobald dein Passwort festgelegt ist, führen drei Einstiegspunkte zu deiner Organisation – nimm den, den du dir am besten merkst:

  • frem.sh/_app/login – die Discovery-Anmeldung. Gib deine E-Mail-Adresse ein; ist die Domain deiner Organisation verifiziert, leitet sie dich direkt zur Anmeldung deiner Organisation weiter (SSO, falls eingerichtet, sonst Passwort). Diesen Einstieg gibst du an dein Team weiter.
  • frem.sh/<your-slug>/login – die Anmeldeseite deiner Organisation, direkt. Zeigt deine SSO-Buttons, sobald SSO eingerichtet ist; sonst leitet sie zur Passwortanmeldung weiter.
  • frem.sh/user/login – die universelle Passwortanmeldung und dein Break-Glass-Weg, falls dein IdP einmal nicht verfügbar ist. Akzeptiert immer deinen Benutzernamen oder deine Registrierungs-E-Mail-Adresse + Passwort.

Das Gesamtbild – wie diese drei zusammenhängen, was sich mit SSO ändert und die Break-Glass-Regel – findest du unter So funktioniert die Anmeldung.

Dein Benutzername ist ein stabiles Kurzkennzeichen, das in URLs (frem.sh/<username>), in Autorzeilen von Commits und in @mentions verwendet wird – du brauchst ihn aber selten, da die Anmeldung per E-Mail-Adresse immer akzeptiert wird. Wähle ein langes Zufallspasswort aus deinem Passwortmanager; du wirst es selten eintippen (siehe Schritt 7).

Beim ersten Mal landest du auf der Willkommensseite deiner Organisation; danach führt dich die Anmeldung zu deinem Organisations-Dashboard unter frem.sh/<your-slug> („noch keine Repositorys“ ist normal – du hast noch nichts gepusht). Richtest du zuerst SSO ein und lädst Teammitglieder ein (empfohlen), öffne Schritt 4b in einem weiteren Tab.

4b. Deine Organisation konfigurieren (die Verwaltungs-URL)

frem.sh/<your-slug>/_admin/overview ist die Einstiegsseite der Verwaltung – eine Übersicht mit Schnellzugriffen auf Abrechnung, SSO, Sicherheit, Mitglieder, Audit-Log und mehr. Lege diese URL als Lesezeichen an. Bist du Admin mehrerer fremforge-Organisationen, richtet sich die Verwaltung nach dem Slug in der URL – es gibt keinen Organisationsumschalter im Produkt; du navigierst durch Eintippen oder über Lesezeichen.

Beim ersten Aufruf dieser URL wirst du zur Anmeldung deiner Organisation weitergeleitet (Verwaltungsseiten erfordern eine angemeldete Sitzung). Nach der Anmeldung landest du wieder hier.

Beim ersten Besuch siehst du:

  • Die Anzahl der Nutzer (standardmäßig 1 – du, der Bootstrap-Admin).
  • Die Laufzeit: monatlich (Standard; wechsle jederzeit zur jährlichen Laufzeit, um 15 % Rabatt zu erhalten; zurück zur monatlichen Laufzeit kannst du erst nach Ende der jährlichen Laufzeit wechseln).
  • Den Status der Zahlungsmethode: mandate active (das bei der Registrierung erfasste Mollie-Mandat) – oder „no method“ mit dem Aufruf Zahlungsmethode einrichten, wenn der Checkout bei der Registrierung abgebrochen oder das Mandat inzwischen bei deinem Kartenaussteller widerrufen wurde.
  • Den Status der Testphase: 30-Tage-Testphase aktiv mit dem Datum der automatischen Umstellung.

Siehst du „no method“, hat das Hinzufügen einer Zahlungsmethode vor Tag 30 Vorrang, damit die Sperrung nicht greift. Andernfalls mach mit SSO und Break-Glass weiter; die Abrechnung ist bereits eingerichtet.

5. SSO einrichten (am ersten Tag dringend empfohlen)

Nutzt dein Team einen SSO-Anbieter (Okta, Entra, Google Workspace, Authentik, Keycloak, Auth0), richte ihn ein, bevor du jemanden einlädst. Wird er erst eingerichtet, nachdem Teammitglieder Konten mit lokalem Passwort haben, ist pro Benutzer ein Migrationsschritt nötig.

Öffne Organisationsverwaltung → SSO. Es gibt zwei Arten von Arbeit:

  1. Deine Domain verifizieren – per DNS-TXT-Eintrag oder HTTP-Challenge über .well-known/fremforge-domain.txt. Erforderlich, bevor du eine Auth-Quelle registrieren kannst. Dauert 1–5 Minuten, sofern du DNS bearbeiten oder eine Datei im Wurzelverzeichnis deiner Domain ablegen kannst.

  2. Eine Auth-Quelle mit OIDC registrieren. Die Formulare führen dich durch die Felder auf der Seite des IdP. Die Einrichtungsschritte je IdP, einschließlich Entra ID und ADFS, findest du unter OIDC-SSO. SAML ist noch nicht verfügbar.

Optional, aber für regulierte Workloads empfohlen: Fülle, während du im OIDC-Formular bist, die drei Felder Per-org session-binding step-up ganz unten aus. Sie erzwingen eine erneute Bestätigung beim IdP beim Zugriff über Organisationsgrenzen hinweg; die Anforderungen auf der Seite des IdP stehen unter OIDC § Per-org session-binding step-up. Lässt du diese Felder leer, gilt die weiche Bindung (funktioniert weiterhin, nur ohne erzwungene erneute Abfrage durch den IdP; der Break-Glass-Zugang mit lokalen Zugangsdaten bleibt in beiden Fällen erhalten).

Nach der Registrierung einer Auth-Quelle wird die nächste Person, die sich über SSO anmeldet, automatisch als fremforge-Benutzer angelegt. SCIM (Provisionierung per Push) ist eine eigene Einrichtung, siehe SCIM 2.0.

6. Abrechnungsdetails bestätigen

Das Mandat wurde bei der Registrierung erfasst; um die Abrechnung zu aktivieren, musst du hier also nichts tun – aber unter Verwaltung → Abrechnung bestätigst oder änderst du die Konditionen vor der automatischen Abbuchung an Tag 30:

Preise (werden an Tag 30 automatisch abgebucht, wenn du nicht vorher kündigst):

  • Monatlich: 30 €/Nutzer/Monat, im Voraus zu Beginn jedes 30-Tage-Zyklus berechnet. Jederzeit kündbar; der Zugang bleibt bis zum Ende des laufenden bezahlten Monats bestehen.
  • Jährlich: 306 €/Nutzer/Jahr (effektiv 25,50 €/Nutzer/Monat, 15 % unter Listenpreis), im Voraus als einmalige Jahresgebühr berechnet. Keine Erstattung bei Kündigung während der Laufzeit; der Zugang bleibt bis zum zugesagten Enddatum bestehen, und das Jahr gilt als bezahlt.

Was du vor Tag 30 ändern kannst:

  • Laufzeit: Wechsle von monatlich zu jährlich, um dir 15 % Rabatt zu sichern. Von monatlich zu jährlich kannst du jederzeit wechseln; von jährlich zu monatlich wird der Wechsel erst bei der nächsten Verlängerung wirksam.
  • Nutzer: Lade jetzt Teammitglieder ein, dann richtet sich die Abbuchung an Tag 30 nach deiner tatsächlichen Anzahl an Nutzern (jedes eingeladene Mitglied zählt ab der Annahme).
  • Zahlungsmethode: Ersetze das Mollie-Mandat (z. B. andere Karte oder Wechsel von Karte zu SEPA-Lastschrift) über Replace payment method unter Verwaltung → Abrechnung. Die Ersetzung durchläuft dieselbe Prüfung über 0 €, die Mollie bei der Registrierung verwendet hat.
  • Kündigen: Die Aktion Testphase beenden macht das Mandat ungültig und verhindert die Abbuchung an Tag 30; die Organisation behält während der Aufbewahrungsfrist für Daten gemäß §16.5 der AGB Lesezugriff.

Erinnerungen: Wir schicken 3 Tage vor der automatischen Abbuchung einen Hinweis, damit die Umstellung keine Überraschung ist. Schlägt die automatische Abbuchung durch Mollie an Tag 30 fehl (abgelaufene Karte, nicht ausreichende Deckung), erhältst du die üblichen Mahn-E-Mails – drei Versuche über 14 Tage, bevor die Organisation in die schreibgeschützte Kulanzphase geht.

7. Das Break-Glass-Konto absichern

Der Bootstrap-Admin, den du gerade angelegt hast, ist dein Break-Glass-Konto – behalte es, sichere es ab, lösche es nicht.

Warum: Richtest du SSO ein und fällt dein IdP später aus (oder wird falsch konfiguriert), kommst du über das Break-Glass-Konto zurück in die Verwaltung deiner Organisation, um die SSO-Pflicht abzuschalten und dein Team wieder arbeitsfähig zu machen. Der Weg ist unter SSO-Break-Glass dokumentiert; jeder Owner sollte ihn einmal durchspielen.

Drei Dinge, die du jetzt erledigen solltest, solange du ohnehin angemeldet bist:

  1. Ersetze das Bootstrap-Passwort durch ein langes Zufallspasswort, falls noch nicht geschehen. Erzeuge in einem Passwortmanager ein Passwort mit mindestens 24 Zeichen und speichere es. Du wirst es selten eintippen.

  2. Aktiviere 2FA für das Bootstrap-Konto – Forgejo unterstützt TOTP (jede Authenticator-App) sowie WebAuthn / Passkeys. 2FA für das Break-Glass-Konto ist Pflicht, nicht optional: Ein langes Zufallspasswort ohne 2FA ist immer noch ein einzelner Faktor, der sich abfischen lässt; ist der Break-Glass-Weg eine Anmeldung mit nur einem Faktor, verfehlt die SSO-Pflicht ihren Zweck. Bewahre die Wiederherstellungscodes in deinem Passwortmanager auf (oder in einem versiegelten Umschlag in einem Tresor, nicht in einer Slack-Direktnachricht).

  3. Prüfe, ob die lokale Anmeldung funktioniert, und zwar in einem privaten Browserfenster, bevor du den SSO-Schalter Erforderlich umlegst. Öffne https://frem.sh/user/login, melde dich mit lokalem Passwort + 2FA an und vergewissere dich, dass du Organisationsverwaltung → SSO erreichst. Tu das, während deine normale Sitzung noch in einem regulären Fenster offen ist, damit du eingreifen kannst, falls etwas nicht stimmt.

Hat deine Organisation mehr als einen menschlichen Admin, halte mindestens zwei Owner mit vorbereitetem Break-Glass-Zugang bereit. Verliert einer den Zugang (verlorenes Gerät, gestohlener Laptop, Jobwechsel), kann der zweite Owner den Zugang neu vergeben, ohne den Support einschalten zu müssen.

8. Teammitglieder einladen

Öffne Organisationsverwaltung → Mitglieder (frem.sh/<your-slug>/_admin/members) und wähle Per E-Mail einladen. Hast du SSO eingerichtet, musst du niemanden einladen: Mitglieder erscheinen automatisch unter Organisationsverwaltung → Mitglieder, sobald sie sich zum ersten Mal über deinen Identity Provider anmelden, ohne manuelle Provisionierung pro Nutzer, und Zugriff vergibst du, indem du IdP-Gruppen unter Organisationsverwaltung → SSO Teams zuordnest. Mit eingerichtetem SSO zeigt Mitglieder statt Per E-Mail einladen die Schaltfläche Lokales Konto anlegen (Notfallzugang). Hast du kein SSO eingerichtet, erhält jede eingeladene Person ein Konto mit lokalem Passwort.

Jedes eingeladene Mitglied zählt ab dem Moment der Annahme als abrechenbarer Nutzer. fremforge hat keine Nutzerstufen; jeder Nutzer kostet denselben Pauschalpreis (30 €/Monat oder 306 €/Jahr bei jährlicher Laufzeit). Das vollständige Mitgliedschaftsmodell beschreibt Mitglieder und Teams.

Was du am Ende der Stunde erledigt haben solltest

Eine kurze Checkliste, bevor du die Sache als erledigt betrachtest:

  • Organisation unter frem.sh/<your-slug> bereitgestellt und frem.sh/<your-slug>/_admin/billing erreichbar
  • Bootstrap-Passwort durch ein langes Zufallspasswort ersetzt + 2FA aktiviert + Wiederherstellungscodes gespeichert
  • SSO eingerichtet (Auth-Quelle registriert, Domain verifiziert) oder bewusst entschieden, SSO zu verschieben
  • Hartes Step-up eingerichtet (optional, für regulierte Workloads) oder als Aufgabe für Phase 2 notiert
  • Abrechnungskonditionen bestätigt (monatlich oder jährlich, Anzahl der Nutzer) vor der automatischen Umstellung an Tag 30
  • Mindestens ein Teammitglied eingeladen (oder als Folgeaufgabe notiert)
  • Break-Glass-Ablauf einmal durchgespielt: abgemeldet und in einem privaten Browserfenster mit lokalem Passwort + 2FA wieder angemeldet

Alles, was du in dieser Liste offen gelassen hast, ist eine bekannte Folgeaufgabe – schreib sie auf. Die beiden, die später wehtun, sind die MFA für Break-Glass und die SSO-Einrichtung; beides ist heute eine Aufgabe von 15 Minuten und ein stundenlanges Durcheinander, sobald dein Team fremforge aktiv nutzt.

Querverweise