Erweiterte Benutzerrechte

Whitelisting für sensible Daten:

Die Rechtevergabe erfolgt stufenweise über Gruppen, Rechtepakete, Einschränkungen und einen abschließenden Praxistest. So können allgemeine Rollenrechte mit konkreten Regeln für Personen, Organisationseinheiten, Abteilungen und Datenbereiche kombiniert werden.

Merke: Rechte immer in dieser Reihenfolge prüfen: Rollen-/Gruppenzuordnung → Rechtepaket → benutzerabhängige Einschränkungen → Praxistest mit Testbenutzer.

Typische Anwendungsfälle / Nutzen

Die erweiterten Benutzerrechte eignen sich insbesondere für:

• Leserechte ohne Bearbeitungsmöglichkeit

• Zugriff auf bestimmte Organisationseinheiten oder Abteilungen

• Schutz sensibler Bereiche wie medizinische Daten oder Besoldung

• unterschiedliche Rechte für Disponenten, Sachbearbeitung und Leitung

• zeitweise Vertretungen und Rollenwechsel

• Einschränkungen einzelner Datensätze innerhalb eines Rechtepakets

Nutzen:

• zentrale und wiederverwendbare Rechtepakete

• weniger Einzelpflege pro Benutzer

• nachvollziehbare Zugriffskontrolle

• geringeres Risiko unbeabsichtigter Änderungen

• überprüfbare Trennung von Lesen, Bearbeiten und Ausblenden

Voraussetzungen

• Zugriff auf die Benutzer- und Rechteverwaltung

• Übersicht über Benutzer, Rollen, Gruppen und Organisationseinheiten

• klare Definition der benötigten Datenzugriffe

• festgelegtes Regelprinzip für Whitelisting oder Blacklisting

• ein Testbenutzer für die abschließende Prüfung

Wichtiger Hinweis: Rechte können sich durch Gruppen, mehrere Rechtepakete und hierarchische Vererbung kombinieren. Prüfen Sie deshalb immer das tatsächliche Ergebnis mit einem Testbenutzer.

Ablauf auf einen Blick

1. Benutzergruppen und Aufgaben definieren.

2. Rechtepaket mit Zweck und Geltungsbereich anlegen.

3. Rechtepaket der passenden Gruppe zuordnen.

4. Organisations-, Abteilungs- und Datensatzregeln festlegen.

5. Lesen, Bearbeiten oder Ausblenden konfigurieren.

6. Vererbung sowie Whitelisting oder Blacklisting prüfen.

7. Ergebnis mit einem Testbenutzer kontrollieren und dokumentieren.

Rechtepakete erstellen und zuordnen

Die Erweiterten Benutzerrechte bündeln Berechtigungen in wiederverwendbaren Paketen. Dadurch wird die Rechteverwaltung übersichtlicher und leichter pflegbar.

Vorgehensweise:

• Rechtepaket anlegen: Definieren Sie ein neues Rechtepaket innerhalb der Erweiterten Benutzerrechte.

• Zweck festlegen: Legen Sie fest, auf welche Inhalte sich das Paket bezieht (z. B. Allgemeine Daten oder Spezifische Abteilungen).

• Gruppen zuordnen: Verknüpfen Sie das Rechtepaket mit passenden Benutzergruppen (z. B. Disponenten, Sachbearbeiter, Leitungen).

Was bewirkt diese Zuordnung?

• Automatische Rechtevergabe: Alle Mitglieder der Gruppe übernehmen die im Rechtepaket definierten Berechtigungen.

• Einheitliche Rollenrechte: Benutzer mit gleicher Aufgabe arbeiten auf derselben Berechtigungsbasis.

• Weniger Pflegeaufwand: Änderungen erfolgen zentral am Rechtepaket statt pro Einzelbenutzer.

Einschränkung des Zugriffs auf Datensätze

Rechtepakete ermöglichen eine präzise und detaillierte Kontrolle darüber, welche Datensätze ein Benutzer sehen, bearbeiten oder ausblenden darf.

Typische Einsatzfälle:

• Lesen ohne Bearbeiten: Ein Benutzer darf den Fachbereich Untersuchungen einsehen, aber nicht ändern.

• Gezielte Ausblendung: Nicht relevante Datensatztypen können für bestimmte Benutzer ausgeblendet werden.

Was bewirken diese Einschränkungen?

• Datenintegrität: Sensible Inhalte bleiben vor unbeabsichtigten Änderungen geschützt.

• Übersichtlichkeit: Benutzer sehen nur die für ihre Aufgaben erforderlichen Inhalte.

• Sicherheit: Das Risiko von Fehlbedienungen wird reduziert.

Einschränkung auf Dienstbereiche (optional)

Sofern diese Funktionalität im Grundsystem aktiviert ist, kann der Zugriff auf einen oder mehrere Dienstbereiche eingeschränkt werden.

Vorgehensweise:

• Standard prüfen: Standardmäßig sind alle Dienste aktiviert.

• Bereiche eingrenzen: Beschränken Sie bei Bedarf den Zugriff auf spezifische Dienstbereiche.

• Benutzer oder Gruppen zuordnen: Wenden Sie die Einschränkung gezielt auf einzelne Benutzer oder Benutzergruppen an.

Nutzen:

• Feingranulare Steuerung: Berechtigungen lassen sich zusätzlich zur Rechtepaketlogik weiter verfeinern.

Benutzergruppen / Rechtepakete

Ein Rechtepaket ist die Grundlage für die Zuweisung von Berechtigungen und muss vor der eigentlichen Konfiguration der Zugriffsrechte erstellt werden.

Die Ansicht zeigt Rechtepaket, Zweck und Beschreibung. Diese Angaben bilden die Grundlage für die spätere Detailkonfiguration.

Vorgehensweise:

• Name definieren: Legen Sie einen eindeutigen Namen für das Rechtepaket fest (z. B. "Sachbearbeitung_Rettungsdienst" oder "Leitungsfunktion_Einsatz").

• Beschreibung ergänzen: Hinterlegen Sie eine kurze fachliche Erläuterung, z. B. "Dient zur Freischaltung aller Datensätze".

Zugriffsbereich festlegen:

• Zweck: Geben Sie an, für welche Dateninhalte der Personalverwaltung der Zugriff erlaubt ist.

• Bereiche definieren: Legen Sie fest, ob das Rechtepaket Zugriff auf sensible Bereiche wie Medizinische Daten, Besoldung oder nur auf allgemeine Daten wie Persönliche Daten gewährt.

Zuordnung der Einschränkungen:

Nach der Namens- und Zweckdefinition weisen Sie dem Rechtepaket die konkreten Einschränkungen für Datensätze, Abteilungen und Organisationseinheiten zu.

Was bewirkt diese Konfiguration?

• Klare Rechteabgrenzung: Jedes Rechtepaket bildet einen klar definierten Zugriffsumfang ab.

• Wiederverwendbarkeit: Einmal definierte Pakete können in mehreren Gruppen verwendet werden.

Filter für das Rechtepaket erstellen (Bundleeinschränkungen)

Der Dialog öffnet die Einschränkungen des aktuell ausgewählten Rechtepakets.

Vorgehensweise:

• Wechseln Sie im Formular Erweiterte Benutzerrechte in den Bereich Rechtepakete.

• Klicken Sie in der Fußzeile unten rechts auf das Filter-Icon Bundleeinschränkungen.

• Der Dialog Erweiterte Rechte für... öffnet sich und zeigt das ausgewählte Rechtepaket.

Was bewirkt dieser Schritt?

• Bearbeitungszugang: Sie öffnen den zentralen Dialog zur Definition von Einschränkungen.

• Paketbezug: Alle Änderungen beziehen sich direkt auf das aktuell ausgewählte Rechtepaket.

Grundlegende Einschränkungen zuweisen

Im Dialog Erweiterte Rechte für... weisen Sie dem ausgewählten Rechtepaket grundlegende Einschränkungen zu.

Was legen Sie hier fest?

• Grundsatzrechte: Welche Datenzugriffe auf höherer Ebene erlaubt oder verboten sind.

• Rahmen für Detailrechte: Die späteren Feineinstellungen bauen auf diesen Vorgaben auf.

Rechte zusätzlich bearbeiten, eingrenzen oder verfeinern

Wenn Sie Rechte zusätzlich eingrenzen möchten, nutzen Sie im Dialog Erweiterte Rechte für... den Bereich für die Detailkonfiguration.

Vorgehensweise:

• Ziel auswählen: Definieren Sie Rechte für bestimmte Personen oder ganze Personengruppen.

• Zugriffstyp setzen: Legen Sie Lesen (Checkbox Schreibgeschützt) oder Bearbeiten (Lese- und Schreibrechte) fest.

• Regelprinzip wählen: Entscheiden Sie zwischen zuordnen (Whitelisting) und entfernen (Blacklisting).

• Wichtiger Hinweis: Die Einstellungen für Whitelisting/Blacklisting sind unter Stammdaten-Konfiguration im System möglich und beeinflussen das globale Verhalten der Rechtevergabe.

Hinweis: Um die Zuordnungen einer Gruppe zu prüfen, empfiehlt es sich, eine Testperson zu definieren, mit der die Einstellungen anschließend geprüft werden können.

Zuordnungen

Die Zuordnungsansicht verbindet Benutzergruppe, Benutzer und Rechtepaket.

In diesem Abschnitt ordnen Sie Benutzer den Gruppen zu und verknüpfen diese Gruppen mit Rechtepaketen. So lassen sich Zugriffsrechte zentral und nachvollziehbar verwalten.

Vorgehensweise:

• Benutzergruppe auswählen: Öffnen Sie die gewünschte Gruppe in der Ansicht Benutzergruppen.

• Benutzer zuordnen: Aktivieren Sie die Checkboxen neben den Benutzern, die dieser Gruppe angehören sollen.

• Zuordnung prüfen: Kontrollieren Sie die Auswahl im Bereich Benutzer der Gruppe, bevor Sie den Dialog verlassen.

Was bewirkt diese Zuordnung?

• Rechtevererbung: Zugeordnete Benutzer übernehmen automatisch die Rechte der gewählten Gruppe.

• Einheitliche Rechtebasis: Benutzer mit gleicher Rolle erhalten konsistente Berechtigungen.

• Weniger Pflegeaufwand: Änderungen werden zentral an der Gruppe vorgenommen und nicht pro Einzelbenutzer.

Zuordnung von Gruppen zu Rechtepaketen

Nachdem die Benutzergruppen definiert und die Benutzer diesen zugeordnet wurden, erfolgt die Verknüpfung der Benutzergruppen mit den entsprechenden Rechtepaketen.

Vorgehensweise:

• Wechseln Sie in den Tab Gruppen zu Rechtepaket-Zuordnung.

• In diesem Tab wird nun die gewünschte Benutzergruppe (z. B. "Atemschutzgerätewarte", "Disponenten", "Sachbearbeiter Personal") ausgewählt.

• Anschließend werden dieser ausgewählten Benutzergruppe ein oder mehrere Rechtepakete zugeordnet (z. B. "Allgemeine Daten", "Alle Daten", "Atemschutzrelevante Daten").

Was bewirkt diese Verknüpfung?

• Skalierbarkeit: Rechtepakete können mehrfach verwendet und verschiedenen Gruppen zugewiesen werden.

• Schnelle Anpassung: Rollenwechsel werden durch Umgruppierung oder Paketwechsel ohne Einzelpflege umgesetzt.

• Transparenz: Die Rechtevergabe bleibt pro Gruppe und Rechtepaket klar nachvollziehbar.

Vorteile der Gruppen-Rechtevergabe

Die Zuweisung von Berechtigungen über Benutzergruppen statt über Einzelbenutzer bietet deutliche organisatorische Vorteile.

Zentrale Vorteile:

• Weniger Administrationsaufwand: Berechtigungen werden einmal pro Gruppe definiert und gelten automatisch für alle zugeordneten Benutzer.

• Konsistente Rechtevergabe: Benutzer mit gleicher Rolle erhalten einheitliche und nachvollziehbare Berechtigungen.

• Schnelle Änderungen: Bei Rollenwechsel oder Austritt genügt die Anpassung der Gruppenzuordnung statt einer Einzelpflege je Benutzer.

• Bessere Prüfbarkeit: Gruppen- und Rechtepaketzuordnungen lassen sich einfacher kontrollieren und dokumentieren.

Übersicht der Gruppenmitglieder

Im Abschnitt Benutzer der Gruppe xy prüfen Sie schnell, welche Benutzer aktuell einer ausgewählten Gruppe zugeordnet sind.

Was zeigt die Übersicht?

• Alle Gruppenmitglieder: Es werden alle Benutzer gelistet, die der aktuell ausgewählten Gruppe zugeordnet sind.

• Benutzer-ID: Eindeutige technische Identifikation des Benutzers.

• Kennung: Login-Name des Benutzers.

• Vollständiger Name: Klare Zuordnung zur Person.

Diese Übersicht unterstützt die Nachvollziehbarkeit der Rechtevergabe und vereinfacht die fachliche Kontrolle.

Einschränkungen von Zugriffsrechten

Bei der Definition von Zugriffsrechten in hierarchischen Strukturen (wie z. B. bei Organisationseinheiten oder Abteilungen) wendet das System das Prinzip der Vererbung an.

Regelwerk für Hierarchien:

• Vererbung: Eine Freigabe auf einer höheren Ebene (dem "Eltern-Element", z. B. die Hauptdienststelle) führt automatisch zur Freigabe aller untergeordneten ("Kind-Elemente") (z. B. der einzelnen Löschzüge, die dieser Hauptdienststelle unterstellt sind).

• Ausnahme (Enthaltung): Dieses Vererbungsprinzip gilt nur, sofern keine spezifischen, entgegenstehenden Berechtigungen auf niedrigerer Ebene existieren.

Das bedeutet: Wenn Sie einer übergeordneten Einheit Lese- oder Schreibrechte erteilen, gelten diese Rechte für die untergeordnete Struktur, sofern keine explizit restriktivere Regel auf Unterebene definiert ist.

Auswahl und Anzeige von Einschränkungen

Dieser Prozess beschreibt, wie Sie die einem Rechtepaket zugeordneten Einschränkungen anzeigen und zur detaillierten Bearbeitung öffnen.

Die Einschränkungsansicht zeigt die für das Rechtepaket freigeschalteten Bereiche und die Anzahl zugeordneter Datensätze.

Auswahl und Sichtbarkeit:

• Rechtepaket wählen: Im Textfeld Rechtepaket innerhalb des entsprechenden Tabs finden Sie eine Aufklappfunktion (▼), über die Sie weitere, detaillierte Einschränkungen auswählen können.

• Bearbeitbarkeit: Es ist wichtig zu verstehen, dass hier nur Elemente bearbeitet oder ausgewählt werden können, die zuvor freigeschaltet wurden.

• Übersicht: Diese freigeschalteten Elemente werden im Bereich Einschränkungen zusammen mit der Anzahl der zugehörigen Dateien übersichtlich dargestellt.

Detaillierung der Zugriffsrechte:

• Bearbeitung starten: Durch Klicken auf die Schaltfläche Bearbeiten gelangen Sie in das Formular Erweiterte Benutzerberechtigungen, in dem die eigentliche Detaillierung der Zugriffsrechte erfolgt.

• Detaillierung: In diesem Formular erfolgt die eigentliche Detaillierung der Zugriffsrechte, also die Festlegung der Lese-, Schreib- oder Ausblend-Berechtigungen für die einzelnen Datensätze und Inhalte.

Detaillierte Einschränkungen im Formular „Erweiterte Benutzerberechtigungen“

Im nachfolgend dargestellten Beispiel wurde im Formular Erweiterte Benutzerberechtigungen unter der Sektion Freizuschaltende Daten der Datentyp Schutzausrüstungs-Einsatzgrund ausgewählt.

Im Detaildialog werden einzelne Datensätze für Lesen, Bearbeiten oder Ausblenden ausgewählt.

• Daraufhin werden alle in den Stammdaten definierten Schutzausrüstungs-Einsatzgründe aufgelistet. Diese können nun einzeln dem gewählten Rechtepaket zugeordnet werden.

• Für jeden dieser Fachbereiche können Sie nun festlegen, ob die Daten nur lesbar sein sollen (durch Aktivierung der Checkbox Schreibgeschützt) oder ob sie auch bearbeitet werden dürfen.

• Nachdem Sie die gewünschten Selektionen vorgenommen haben, werden diese durch Auswahl des entsprechenden Buttons in das gewählte Rechtepaket übernommen.

Geltungsbereich der Einschränkungen (Wichtig!)

Es ist von entscheidender Bedeutung, in der Konfiguration der Personalverwaltung festzulegen, ob diese definierten Einschränkungen:

• nur in den Stammdaten greifen sollen,

• nur im Personalstammblatt wirken sollen,

• oder in beiden Bereichen Gültigkeit haben sollen.

Diese Einstellung bestimmt, wo im System die Zugriffsregeln angewendet werden.

Ergebnis der Einschränkungen für den Benutzer

Die Zugriffsrechte, die Sie über Rechtepakete und Organisationseinheiten definiert haben, steuern, welche Dateninhalte der Benutzer im System sehen und bearbeiten darf.

Was sieht der Benutzer im Formular?

• Dargestellte Daten: Nachdem ein Benutzer ausgewählt wurde, werden im rechten Formularbereich (der Hauptansicht) ausschließlich die für ihn freigegebenen und verfügbaren Dateninhalte dargestellt.

• Ausblendung: Dateien oder Fachbereiche, für die der Benutzer keine Berechtigung besitzt, werden ausgeblendet und sind für ihn nicht sichtbar. Dies sorgt für eine aufgabenorientierte und sichere Benutzeroberfläche.

Die Ansicht zeigt, welche Dateninhalte der Benutzer nach der Rechtevergabe tatsächlich sieht und bearbeiten kann.

Praxisbeispiel zu Lese- und Schreibrechten:

Die Einschränkungen definieren präzise, ob der Benutzer die Daten nur einsehen oder auch bearbeiten darf:

• Feuerlöschübungsanlage und Heißausbildung: Der Benutzer darf die Daten lediglich lesen und nutzen. Der Zugriffstyp ist schreibgeschützt.

• Alle anderen Fachbereiche: Der Benutzer besitzt die Berechtigung, sowohl Personendaten als auch Begrifflichkeiten in den Stammdaten zu ändern und zu bearbeiten. Der Zugriffstyp ist Lese- und Schreibrechte.

Damit sind Änderungen nur in den Bereichen möglich, für die der Benutzer explizit zuständig ist.

Kurz-Check vor dem Speichern

• Rechtepaket geprüft: Sind Name, Zweck und Geltungsbereich fachlich korrekt?

• Einschränkungen geprüft: Sind Orga-/Abteilungsregeln und Detailrechte konsistent gesetzt?

• Whitelisting/Blacklisting geprüft: Entspricht das Regelprinzip der gewünschten Zugriffspolitik?

• Resultat geprüft: Entspricht die sichtbare Datenmenge im Benutzertest der Erwartung?

• Änderungen dokumentiert: Sind Grund, Zeitpunkt und verantwortliche Person nachvollziehbar festgehalten?

Empfehlungen für die Rechtepflege

• Erstellen Sie Rechtepakete nach Aufgaben und nicht nach einzelnen Personen.

• Verwenden Sie eindeutige Namen und Beschreibungen für Gruppen und Rechtepakete.

• Vergeben Sie zunächst die kleinste erforderliche Berechtigung und erweitern Sie sie nur bei Bedarf.

• Prüfen Sie Leserechte und Schreibrechte getrennt.

• Dokumentieren Sie Whitelisting- und Blacklisting-Regeln nachvollziehbar.

• Testen Sie Gruppenwechsel, Rollenänderungen und Vertretungsrechte mit einem Testbenutzer.

• Kontrollieren Sie geerbte Rechte auf übergeordneten Organisationseinheiten.

Arbeitsweise und Nachverfolgung

• Dokumentieren Sie für jedes Rechtepaket Zweck, Geltungsbereich, Regelprinzip und verantwortliche Stelle.

• Prüfen Sie Benutzergruppen und Rechtepakete gemeinsam, da sich mehrere Zuordnungen auf das effektive Ergebnis auswirken können.

• Testen Sie Lesen, Bearbeiten und Ausblenden jeweils mit einem geeigneten Testbenutzer.

• Kontrollieren Sie bei Änderungen an Organisationseinheiten auch die geerbten Rechte der untergeordneten Bereiche.

• Dokumentieren Sie Rollenwechsel, Vertretungen sowie die Vergabe und den Entzug zeitlich begrenzter Rechte.

• Prüfen Sie nach jeder Änderung, welche Daten der Benutzer tatsächlich sehen und bearbeiten kann.

• Führen Sie regelmäßige Rezertifizierungen der Gruppenmitgliedschaften, Rechtepakete und direkten Benutzerrechte durch.

Alltagssituationen

Neue Mitarbeiterin in der Sachbearbeitung:

• Ordnen Sie die Person der passenden Gruppe zu, prüfen Sie das zugehörige Rechtepaket und testen Sie den Zugriff auf die benötigten Datenbereiche.

Vertretung während einer Abwesenheit:

• Verwenden Sie eine dokumentierte, zeitlich begrenzte Gruppenzuordnung. Entfernen Sie die Vertretungsrechte nach dem Ende des Zeitraums und prüfen Sie das Ergebnis erneut.

Wechsel in eine andere Organisationseinheit:

• Entfernen Sie nicht mehr benötigte Gruppenzuordnungen, ordnen Sie die neue Gruppe zu und kontrollieren Sie die Auswirkungen der Rechtevererbung.

Zugriff auf medizinische Daten:

• Gewähren Sie nur den ausdrücklich erforderlichen Zugriff und aktivieren Sie Schreibgeschützt, wenn eine Bearbeitung nicht notwendig ist.

Neue Abteilung wird eingerichtet:

• Prüfen Sie, welche Rechte von der übergeordneten Organisationseinheit geerbt werden, und definieren Sie notwendige Ausnahmen auf der niedrigeren Ebene.

Benutzer verlässt die Organisation:

• Sperren oder deaktivieren Sie den Benutzer nach dem internen Prozess, entfernen Sie Gruppen- und direkte Rechte und dokumentieren Sie die Prüfung.

Rechtliche und organisatorische Hinweise

WICHTIG: Berechtigungen und Datenschutz beachten. Benutzerrechte steuern den Zugriff auf personenbezogene und möglicherweise besonders schützenswerte Daten. Vergeben Sie nur die Rechte, die für die jeweilige Aufgabe erforderlich sind.

• Orientieren Sie sich am Prinzip der geringsten erforderlichen Berechtigung und trennen Sie Lesen, Bearbeiten und Administration voneinander.

• Beschränken Sie den Zugriff auf medizinische, finanzielle, beurteilungsbezogene und andere sensible Daten auf berechtigte Personen.

• Prüfen und dokumentieren Sie Rechtevergaben, Rollenwechsel, Vertretungen und Rechteentzüge nachvollziehbar.

• Entfernen Sie Rechte zeitnah, wenn eine Person die Aufgabe, Organisationseinheit oder Organisation verlässt.

• Verwenden Sie keine gemeinsam genutzten Benutzerkonten und geben Sie persönliche Zugangsdaten nicht weiter.

• Stimmen Sie Whitelisting, Blacklisting und Ausnahmen mit der zuständigen Administration oder Datenschutzstelle ab.

• Beachten Sie die geltenden Datenschutz-, Aufbewahrungs-, Protokollierungs- und internen Kontrollvorgaben. Die konkrete rechtliche Bewertung richtet sich nach den Regelungen Ihrer Organisation.

Hinweise zu Fehlerquellen: So vermeiden Sie Fehler

• Zu weit gefasstes Rechtepaket: Begrenzen Sie den Zugriff auf die Datenbereiche, die für die Aufgabe tatsächlich benötigt werden.

• Schreibrecht versehentlich vergeben: Prüfen Sie, ob Schreibgeschützt aktiviert oder deaktiviert sein muss.

• Vererbung übersehen: Kontrollieren Sie Rechte der übergeordneten Organisationseinheit und mögliche Einschränkungen auf Unterebenen.

• Blacklisting falsch eingesetzt: Prüfen Sie, ob die globale Konfiguration das Entfernen oder Freigeben von Daten wie erwartet verarbeitet.

• Mehrere Rechtepakete wirken zusammen: Testen Sie das effektive Ergebnis, wenn ein Benutzer mehreren Gruppen angehört.

• Testbenutzer fehlt: Prüfen Sie nicht nur die Konfiguration, sondern die tatsächlich sichtbaren und bearbeitbaren Daten.

• Ausgetretener Benutzer bleibt zugeordnet: Entfernen Sie Benutzer zeitnah aus Gruppen und prüfen Sie bestehende direkte Rechte.

Typische Arbeitsszenarien

Sachbearbeitung mit Leserechten:

• Erstellen Sie ein Rechtepaket für den Fachbereich, aktivieren Sie Schreibgeschützt und testen Sie, dass Anzeigen möglich, Änderungen aber gesperrt sind.

Personalverwaltung mit Schreibrechten:

• Ordnen Sie der zuständigen Gruppe ein Paket mit Lese- und Schreibrechten für die benötigten Personaldaten zu. Sensible Bereiche bleiben ausgeschlossen.

Disponent nur für eine Organisationseinheit:

• Erteilen Sie die Rechte auf der passenden Organisationseinheit und prüfen Sie, dass untergeordnete Bereiche nur entsprechend der gewünschten Vererbung sichtbar sind.

Atemschutzgerätewart mit Fachbereichszugriff:

• Geben Sie nur die relevanten Atemschutz- und Schutzausrüstungsdaten frei und lassen Sie medizinische oder finanzielle Bereiche ausgeblendet.

Vertretung für eine Urlaubszeit:

• Ordnen Sie die Vertretung einer passenden Gruppe zu, dokumentieren Sie den Zeitraum und entfernen Sie die Zuordnung nach Ende der Vertretung.

Leitung mit gruppenbezogenem Zugriff:

• Verwenden Sie eine übergeordnete Freigabe für die eigene Organisationseinheit und testen Sie, ob die Mitglieder der untergeordneten Abteilungen sichtbar sind.

White­listing für sensible Daten:

• Geben Sie nur ausdrücklich ausgewählte Personen oder Datensätze frei, wenn der Zugriff besonders eng begrenzt sein muss.

Blacklisting für Ausnahmen:

• Verwenden Sie eine allgemeine Freigabe und schließen Sie einzelne nicht relevante oder besonders geschützte Bereiche gezielt aus.

Konkrete Beispiele

Beispiel 1: Untersuchungen nur lesen.

• Die Sachbearbeitung soll medizinische Untersuchungen einsehen, aber nicht bearbeiten. Ordnen Sie das entsprechende Rechtepaket zu, aktivieren Sie Schreibgeschützt und prüfen Sie den Zugriff mit einem Testbenutzer.

Beispiel 2: Zwei Abteilungen, eine Ausnahme.

• Eine Leitung soll zwei Abteilungen sehen, aber eine besonders geschützte Untereinheit nicht. Prüfen Sie die Vererbung und setzen Sie die Ausnahme auf der niedrigeren Ebene.

Beispiel 3: Neue Rolle für Einsatznachbearbeitung.

• Erstellen Sie eine Gruppe Einsatznachbearbeitung, ordnen Sie ein passendes Rechtepaket zu und begrenzen Sie die Organisationseinheiten auf den zuständigen Einsatzbereich.

Beispiel 4: Rechte nach Rollenwechsel.

• Ein Benutzer wechselt von Disposition in die Personalverwaltung. Entfernen Sie die alte Gruppenzuordnung, ordnen Sie die neue Gruppe zu und prüfen Sie das effektive Ergebnis.

Fragen und Antworten

Frage: In welcher Reihenfolge prüfe ich Rechte?

• Antwort: Prüfen Sie Rollen- und Gruppenzuordnung, Rechtepaket, benutzerabhängige Einschränkungen und anschließend den Praxistest.

Frage: Was ist der Unterschied zwischen Lesen und Bearbeiten?

• Antwort: Lesen erlaubt die Anzeige. Bearbeiten umfasst zusätzlich das Ändern oder Speichern von Daten.

Frage: Was bedeutet Vererbung?

• Antwort: Eine Freigabe auf einer übergeordneten Ebene gilt grundsätzlich auch für untergeordnete Einheiten, sofern keine restriktivere Regel dagegensteht.

Frage: Wann verwende ich Whitelisting?

• Antwort: Wenn nur ausdrücklich ausgewählte Personen, Organisationseinheiten oder Datensätze zugänglich sein sollen.

Frage: Wann verwende ich Blacklisting?

• Antwort: Wenn grundsätzlich ein breiter Zugriff gelten soll und nur einzelne Ausnahmen ausgeschlossen werden müssen.

Frage: Warum sieht ein Benutzer trotz Rechtepaket keine Daten?

• Antwort: Prüfen Sie Gruppenmitgliedschaft, Organisationseinheit, Einschränkungen, Vererbung und mögliche Ausschlussregeln.

Problemlösungen im Alltag

Wenn ein Benutzer zu viele Daten sieht:

• Prüfen Sie mehrere Gruppenmitgliedschaften, Rechtepakete, geerbte Freigaben und Blacklisting-Regeln.

Wenn ein Benutzer Daten sieht, aber nicht ändern kann:

• Kontrollieren Sie, ob das Rechtepaket schreibgeschützt ist oder ein Bearbeitungsrecht auf niedrigerer Ebene fehlt.

Wenn eine Abteilung trotz Freigabe nicht sichtbar ist:

• Prüfen Sie Organisationseinheit, Vererbung, Gruppenmitgliedschaft und die globale Konfiguration des Regelprinzips.

Wenn Rechte nach einer Änderung nicht wirksam werden:

• Melden Sie den Benutzer erneut an, prüfen Sie das richtige Konto und führen Sie den Test mit der tatsächlichen Rolle durch.

Wenn eine Vertretung weiterhin Zugriff besitzt:

• Entfernen Sie die zeitweise Gruppenzuordnung und prüfen Sie zusätzlich direkte Benutzerrechte.

Wenn unklar ist, welche Regel den Zugriff verursacht:

• Prüfen Sie Rechtepakete einzeln, erstellen Sie einen Vergleichstest mit einem Testbenutzer und dokumentieren Sie das Ergebnis.