Einführung in die Berechtigungen

Über Berechtigungen steuerst du in teamspace, wer was sieht und tun darf: welche Menüpunkte jemand öffnet, welche Aktionen er ausführt, welche Daten ihm angezeigt werden. Der Leitgedanke dahinter ist einfach – jeder Benutzer soll nur das sehen und tun dürfen, was er für seinen Job braucht. Je einfacher die Oberfläche für die einzelne Rolle, desto besser; und sensible Daten bleiben dort, wo sie hingehören.

Das Schöne: Du musst kein aufwändiges Berechtigungskonzept bauen. Viele Mandanten fahren mit „jeder darf fast alles” sehr gut. Aber sobald die Anforderungen kommen – „das Projekt soll nur der Lenkungsausschuss sehen”, „die Aushilfen brauchen ein ganz einfaches Menü”, „der Export unserer Daten darf auf gar keinen Fall” – steht der ganze Werkzeugkasten bereit.

Tipp: Wenn du dein System anpassen möchtest, aber gerade keine Lust auf die Detailarbeit hast: Das kann auch ein teamspace-Berater für dich einrichten. Vieles lässt sich aber gut selbst erledigen – diese Einführung zeigt dir, wie das Modell aufgebaut ist.

Wo Berechtigungen sitzen

Es gibt kein eigenes Hauptmenü-Modul für Berechtigungen. Das ganze Modell liegt im Konfigurations-Modus unter der Kategorie Benutzer & Rechte:

Werkzeug-Icon (unten rechts in der vertikalen Icon-Bar)
  → Toggle „Administrator Modus" aktivieren
  → „Systemkonfiguration"
  → linke Sidebar: Kategorie „Benutzer & Rechte"

Oben erscheint dann die Tab-Reihe mit allen Sub-Bereichen: Einstellungen, Benutzer, Benutzergruppen, Gruppenrechte, Projektrollen, Kompetenzen, Mitarbeiter Attribute. Den täglichen Teil deines Berechtigungs-Aufbaus erledigst du in zwei davon: Benutzergruppen (Gruppen anlegen, Mitglieder zuordnen, Rechte setzen) und Gruppenrechte (alle personenbezogenen Regeln über alle Gruppen hinweg).

Sechs Ebenen, auf denen Rechte greifen

Wenn jemand einen Menüpunkt nicht sieht oder einen Knopf nicht klicken kann, liegt das immer an einer dieser sechs Ebenen. Sie wirken zusammen, sind aber unabhängig konfigurierbar:

1. Menü & Dashboard / Hauptmenü-Kacheln – welche Kacheln im Modul-Menü erscheinen. Hinter jeder Kachel liegt eine Liste oder ein Bericht; wer die Kachel nicht hat, sieht den Menüpunkt nicht. Du kannst sogar mehrere Menüs definieren und verschiedenen Benutzern unterschiedliche Menüs geben.
2. Detailmanager-Reiter – welche Reiter auf einem Detail-Objekt (Angebot, Kontakt, Vertriebschance …) sichtbar sind.
3. Modul-Aktionsrechte – die grundsätzliche Erlaubnis hinter den Schaltflächen: darf jemand Belege überhaupt sehen, anlegen, fertigstellen? Der wichtigste Bereich, weil er unabhängig von Listen und Kacheln greift.
4. Gruppenspezifische Berechtigungen – personenbezogene Rechte: wer darf von wem Urlaub beantragen, Zeiten sehen, Krankmeldungen bescheinigen?
5. Globale Suche – ob jemand modulübergreifend suchen darf (relevant für die Performance).
6. Konfigurationsrechte – welche Konfig-Kategorien jemand öffnen darf (Artikel pflegen ja, Tickets konfigurieren nein).

Daneben greifen Elementberechtigungen – Projektrollen, Schutzklassen und Sachbearbeiterrechte –, die nicht in jeder Gruppe, sondern an einzelnen Objekten hängen. Wie die Ebenen genau zusammenspielen, steht in Wie Berechtigungen zusammenwirken.

ℹ Eine Kachel ist kein vollumfassender Schutz. Nur weil jemand die Angebotsliste nicht aktiviert hat, heißt das nicht, dass er keine Angebote sieht – über den Belegüberblick oder einen Hyperlink kommt er trotzdem rein. Die echte Sperre sitzt auf Ebene 3 („Modul-Aktionsrechte”): darf er Angebote überhaupt sehen?

Benutzergruppen tragen die Rechte

Rechte vergibst du nicht an einzelne Personen, sondern an Benutzergruppen. Jede Gruppe trägt ihr Bündel aus Rechten, Mitgliedern und gruppenspezifischen Regeln – und Mitglieder erben es. Ist ein Benutzer in mehreren Gruppen, sammelt er die Rechte aller seiner Gruppen: Es reicht, wenn ein Recht in einer Gruppe aktiv ist; eine andere Gruppe entzieht es ihm nicht.

Faustregel aus der Praxis: Lege Rollen im Unternehmen als Benutzergruppe an, nicht Personen-Bündel. Wechselt jemand die Stelle, nimmst du ihn aus der einen Rolle raus und steckst ihn in die nächste – die Rechte folgen automatisch. Mehr dazu in Benutzergruppen anlegen und verwalten.

Wer sieht überhaupt wen?

Ein Beispiel, das jeder kennt: Oben rechts zeigt teamspace, welche Kollegen gerade angemeldet sind. In einem Mandanten mit 200 oder 400 Personen ist das eine lange Liste – dabei interessieren dich vielleicht nur die 17 Kollegen an deinem Standort. Genau solche Personen-Fragen löst die Ebene Gruppenspezifische Berechtigungen (Kollegensichtbarkeit, Teamverantwortlichkeit, Urlaubs- und Krankheits-Abläufe).

Module mandantenweit an- und ausschalten

Ganze Module lassen sich für den kompletten Mandanten an- und ausschalten – alles dazu wird dann unsichtbar, ohne dass du es mühsam wegkonfigurieren musst. Beachte: Manche Module sind nur in bestimmten Editionen enthalten. Ausschalten kannst du alles, aber z. B. die Kapazitätsplanung lässt sich in der Office-Variante nicht anschalten, weil sie dort nicht enthalten ist.

Wie viel Berechtigungssteuerung ist nötig?

Die vielen Berechtigungskonzepte wirken auf den ersten Blick einschüchternd. In der Praxis merkst du sie aber nicht – es sind Möglichkeiten, Daten zu schützen, kein Zwang. Auf welchem Niveau du das tust, ist individuell. Es gibt immer wieder Kunden, die ein umfangreiches Berechtigungskonzept brauchen – und dann ist es gut, darauf zurückgreifen zu können.

Häufige Probleme

Jemand sieht Belege, obwohl die passende Kachel fehlt – wie kann das sein? Eine Kachel ist kein vollständiger Schutz. Über den Belegüberblick oder einen Hyperlink kommt man auch ohne die Listen-Kachel an einzelne Belege. Die echte Sperre sitzt auf Ebene 3, den Modul-Aktionsrechten: Erst wenn dort Belege anzeigen fehlt, ist die Tür wirklich zu. Mehr dazu in Wie Berechtigungen zusammenwirken.

Ein entzogenes Recht wirkt nicht – der Menüpunkt erscheint noch. Warum? Das Menü ist aus Geschwindigkeitsgründen gecacht. Starte einmal die Session neu, dann lädt das Menü frisch und der entfernte Eintrag ist weg.

Ich habe meinen eigenen Zugang zu stark eingeschränkt und komme nicht mehr ran. Du kannst nur Rechte vergeben, die du selbst trägst – hast du dir eines genommen, kannst du es dir nicht zurückgeben. Nur ein Mandant-Admin darf alle Rechte vergeben, auch solche, die er selbst nicht hat. Deshalb sollte immer mindestens eine Person Mandant-Admin sein (siehe Mandant-Admin & sich nicht aussperren).

Verwandte Themen

• Wie Berechtigungen zusammenwirken – die sechs Ebenen Berechtigungen Konzept
• Benutzergruppen anlegen und verwalten (mit Video) Berechtigungen Konfiguration
• Gruppenspezifische Berechtigungen einrichten (mit Video) Berechtigungen Konfiguration
• Berechtigungskonzept planen Berechtigungen Konzept
• Modularer Aufbau & Zugriffsberechtigungen