Warum es das gibt
Rechtesysteme scheitern meistens daran, dass sie zu fein sind: Wer dreißig Häkchen setzen muss, setzt am Ende alle. Deshalb gibt es in unternio nur vier Rollen, und die decken den Alltag kleiner Betriebe ab.
Inhaber darf alles, auch Stammdaten, Abo und Rollen. Teamleiter führt eine Abteilung und sieht den Verlauf. Mitarbeiter arbeitet in den Modulen, für die er freigeschaltet ist. Buchhalter darf ausschließlich lesen.
Innerhalb der Rolle Mitarbeiter regeln Modulrechte, welche Bereiche sichtbar sind. Entscheidend: Das ist keine Kosmetik. Was jemand nicht sehen darf, wird ihm nicht nur ausgeblendet, sondern serverseitig verweigert. Selbst wer die Adresse einer Seite kennt, bekommt keine Daten.
Wofür du es brauchst
- Gehälter sollen nicht jeder sehen. Personal-Recht entziehen, dann ist der ganze Bereich weg.
- Jemand führt eine Abteilung. Teamleiter sieht und plant seine Abteilung, nicht den Betrieb.
- Das Steuerbüro braucht Zugang. Buchhalter, rein lesend, kostenlos, einmal pro Firma.
- Ein Aushilfsjob. Mitarbeiter mit Leserecht auf ein einziges Modul.
Wie genau: Schritt für Schritt
Rolle festlegen
Am besten schon beim Einladen. Überleg vorher, was die Person tatsächlich tun muss: Wer nur Zahlen einsehen soll, braucht keine Schreibrechte.
Rolle vergeben
Im Bereich Team je Person die Rolle setzen, entweder beim Einladen oder später über die Auswahl in der Zeile. Nur der Inhaber darf Rollen ändern.
Abteilung zuordnen
Bei Teamleitern entscheidet die Abteilung, welchen Bereich sie verantworten. Siehe Abteilungen verwalten.
Wirkung prüfen
Nach dem Wechsel sieht die Person beim nächsten Laden nur noch die Bereiche, für die sie berechtigt ist. Am schnellsten prüfst du das, indem du sie kurz danach fragst, was sie sieht.
Regelmäßig aufräumen
Ehemalige Aushilfen, ausgeschiedene Mitarbeiter, der Praktikant vom Sommer: Zugänge, die niemand mehr braucht, gehören entfernt. Einmal im Quartal reicht, am besten als wiederkehrende Aufgabe.
Ein Beispiel
Ausgangslage: Fünf Personen, sehr unterschiedliche Aufgaben.
Wie er verteilt: Er selbst ist Inhaber. Der Werkstattleiter wird Teamleiter für die Abteilung Montage; er plant Schichten, genehmigt Urlaub seiner Leute und sieht den Verlauf. Die Bürokraft ist Mitarbeiterin mit Rechten für Kunden, Angebote und Rechnungen, ohne Personal. Zwei Monteure sind Mitarbeiter mit Leserecht auf Aufgaben und Projekte. Das Steuerbüro bekommt den Buchhalter-Zugang.
Was das praktisch heißt: Der Monteur sieht in der Seitenleiste vier Einträge, nicht dreizehn. Die Gruppe Finanzen verschwindet bei ihm komplett, weil kein einziger Eintrag darin für ihn sichtbar ist.
Beim Steuerbüro: Über der Ansicht steht ein violettes Band mit dem Hinweis auf reinen Lesezugriff. Alle Schaltflächen zum Ändern sind weg, und ein Schreibversuch würde auch technisch abgewiesen.
Die Rollen im Vergleich
| Bereich | Inhaber | Teamleiter | Mitarbeiter | Buchhalter |
|---|---|---|---|---|
| Aufgaben, Verträge, Kunden | voll | voll | voll | nur lesen |
| Angebote und Rechnungen | voll | voll | voll | nur lesen |
| Projekte | voll | voll | nur zugewiesene | nur lesen |
| Verlauf | ja | ja | nein | nein |
| Werkzeuge und Vertragsvorlagen | ja | nein | nein | nein |
| Stammdaten, Plan, Team | ja | nein | nein | nein |
Zusätzlich lässt sich je Modul steuern, wer lesen und wer schreiben darf. Die Personal-Module setzen den Team-Plan voraus.
Warum serverseitig geprüft wird
Wenn es klemmt
- Ein Kollege sieht einen Bereich nicht.
- Das ist meistens gewollt. Prüf die Modulrechte im Team-Bereich; ohne Leserecht ist der Nav-Eintrag unsichtbar.
- Kann ich mir selbst die Inhaber-Rolle nehmen?
- Nein. Der letzte Inhaber ist geschützt, sonst hätte die Firma niemanden mehr, der Rollen vergeben kann.
- Reicht das Ausblenden als Schutz?
- Es ist nicht nur Ausblenden. Die Rechte werden auf dem Server durchgesetzt, das Ausblenden ist nur die sichtbare Seite davon.
- Ich brauche feinere Rechte.
- Bewusst nicht vorgesehen. Vier Rollen plus Modulrechte decken den Alltag ab; feinere Systeme werden erfahrungsgemäß nicht gepflegt.