# Benutzer einladen > Holen Sie Ihre Kolleginnen und Kollegen in nexxus. Diese Anleitung zeigt alle Wege zu einem Konto, was die eingeladene Person sieht, die Benutzerliste und die Detailseite, wie Sie Zugänge entfernen und wie ein Konto mit Person und Firma verbunden ist. In nexxus geben Sie niemandem ein Passwort weiter. Sie laden die Person ein: nexxus legt das Konto mit seinen Rollen an, schickt einen Link per E-Mail, und die Person wählt ihr Passwort selbst. Bis dahin gibt es das Konto zwar, aber niemand kann sich damit anmelden. Ein Beispiel: Brandt & Söhne, ein Installationsbetrieb mit 60 Leuten. Am ersten Tag mit nexxus kopiert die Administratorin 24 E-Mail-Adressen aus Outlook in den Einrichtungsassistenten. Alle bekommen die Standardrolle „Mitarbeiter:in“. Die beiden Teamleitungen erhalten in einem zweiten Schritt ihre eigene Rolle, die Buchhalterin wird einzeln mit der Rolle „Verwaltung“ eingeladen. Bis zum Mittag haben alle ein Passwort gewählt und sich angemeldet. ## Wege zu einem Konto Ein Konto entsteht auf einem von fünf Wegen. Wählen Sie den, der zur Person passt. | Weg | Wer ihn anstößt | Passwort | Wofür | |---|---|---|---| | **Einladung** (eine Person) | Admin, in der Benutzerliste | Die Person setzt es über den Link in der E-Mail | Der Normalfall | | **Einladung** (viele auf einmal) | Admin, im Einrichtungsassistenten | Jede Person setzt es über den Link | Ein ganzes Team an Bord holen | | **Konto direkt anlegen** | Admin, in der Benutzerliste | nexxus erzeugt ein Übergangspasswort, das bei der ersten Anmeldung geändert werden muss | Personen ohne Postfach oder ein persönlich übergebenes Passwort | | **Erste Anmeldung mit Microsoft** | Die Person selbst | Keins, sie meldet sich bei Microsoft an | Unternehmen mit Microsoft 365, siehe [Anmeldung und OAuth](/de/setup/sign-in/) | | **Erster Administrator** | Wer eine neue Installation einrichtet | Wird auf der Einrichtungsseite gewählt | Einmal je Installation, siehe [Ersteinrichtung](/de/setup/first-run/) | Eine Einladung durchläuft vier Stationen: ## Bevor Sie anfangen - Sie haben die Systemrolle **ADMIN**. Nur Administratoren dürfen Personen einladen, Konten anlegen und die Benutzerliste öffnen. - **Der Mailversand funktioniert.** Einladungen gehen über den Mailserver aus dem Schritt E-Mail des Einrichtungsassistenten. Solange dieser Schritt nicht bestätigt ist, warten Einladungen in der Warteschlange. - **Es gibt mindestens eine Niederlassung einer Firma.** Jede Person gehört über eine Niederlassung zu einer Firma, und die Einladung fragt danach. Die erste eigene Firma samt Niederlassung entsteht, wenn Sie in der Einrichtung den Name der Organisation eintragen. - **Ihre Rollen stehen.** Die Einladung vergibt Berechtigungsrollen. Wenn Sie noch keine eingerichtet haben, lesen Sie zuerst [Rollen und Rechte](/de/setup/roles/) oder verlassen Sie sich auf die Standardrolle aus der Einrichtung. ## Eine Person einladen 1. Öffnen Sie . Die Seite Benutzer listet alle Konten Ihres Arbeitsbereichs. 2. Klicken Sie unten auf Person einladen. Der Dialog erklärt, was passiert: Verschickt einen Einladungslink. Das Konto ist bis zur Annahme gesperrt. 3. Füllen Sie Benutzername * und E-Mail-Adresse * aus, wenn Sie möchten auch Vorname und Nachname. Mit dem Benutzernamen meldet sich die Person an. Er muss in der ganzen Installation eindeutig sein, die E-Mail-Adresse ebenso. 4. Wählen Sie unter Firma / Niederlassung * die Niederlassung. Sie erscheint als „Name (Ort)“. Die Niederlassung einer eigenen Firma macht die Person zum Mitarbeiter, die Niederlassung eines Kunden zum Kontakt bei diesem Kunden (siehe [Wie ein Konto mit Person und Firma verbunden ist](#wie-ein-konto-mit-person-und-firma-verbunden-ist)). 5. Wählen Sie unter Berechtigungen eine Berechtigungsrolle und ihren Geltungsbereich und klicken Sie auf Hinzufügen. Voreingestellt ist Mandantenweit, und das ist fast immer richtig. Sie können mehrere Rollen hinzufügen und jede Zeile wieder entfernen. Fügen Sie gar keine Rolle hinzu, weist nexxus darauf hin, dass sich die Person zwar anmelden kann, aber nichts sieht. Schicken Sie die Einladung trotzdem ab, bekommt die Person die Standardrolle Ihres Arbeitsbereichs (festgelegt im Einrichtungsschritt Rollen). 6. Klicken Sie auf Einladung senden. Die Meldung Einladung an mit der Adresse bestätigt den Versand, und die Karte der Person trägt den Chip Einladung ausstehend. ## Viele Personen auf einmal einladen Der Einrichtungsassistent hat einen Schritt, der eine ganze Liste von Adressen nimmt. So holen Sie ein Team am schnellsten an Bord, und Sie können jederzeit dorthin zurückkehren. 1. Öffnen Sie und wählen Sie den Schritt Personen einladen (bei der ersten Einrichtung ist er der letzte Schritt des Assistenten). 2. Fügen Sie die Adressen in E-Mail-Adressen, eine pro Zeile oder mit Komma ein. Einfügen aus Outlook oder einer Tabelle geht. nexxus leitet die Namen aus den Adressen ab: aus `tom.keller@example.com` wird Tom Keller. 3. Klicken Sie auf Adressen prüfen. nexxus zeigt eine Tabelle mit den Spalten E-Mail, Name, Rolle und Status. Der Status sagt, was mit jeder Adresse geschieht: | Status | Bedeutung | |---|---| | Neu | Wird eingeladen | | Eingeladen | Wurde schon eingeladen | | Hat schon ein Konto | Zu dieser Adresse gibt es ein Konto, es wird nichts verschickt | | Adresse unvollständig | Keine brauchbare E-Mail-Adresse | | Doppelt | Steht zweimal in Ihrer Liste | 4. Wählen Sie für jede neue Adresse eine Rolle oder Keine Berechtigungsrolle. Der Kasten Was die Leute bekommen rechts fasst zusammen: eine Einladung per Mail mit Link zum Passwort setzen, und die gewählte Rolle, sonst die Standardrolle. 5. Klicken Sie auf den Versandknopf, zum Beispiel 22 Einladungen senden. Wer auf diesem Weg eingeladen wird, bekommt die E-Mail-Adresse in Kleinbuchstaben als Benutzernamen. **Sammeleinladungen vergeben keine Firma.** Öffnen Sie danach jede Person und setzen Sie Firma / Niederlassung im Reiter Stammdaten. Auf einmal lassen sich höchstens 200 Adressen einladen. ## Was die eingeladene Person sieht Die Einladung kommt als E-Mail von nexxus. Der Betreff lautet „Ihr Zugang zu“ und dann der Produktname, die Mail nennt den Benutzernamen, und der Knopf **„Zugang aktivieren“** öffnet die Anmeldeseite. Im Kleingedruckten steht, dass der Link 7 Tage gültig ist und nur einmal funktioniert. 1. Der Link öffnet die Anmeldeseite mit der Überschrift Zugang aktivieren, dem Namen und der E-Mail-Adresse der Person und dem Benutzernamen, der sich nicht ändern lässt. 2. Die Person gibt ein Passwort in Passwort und noch einmal in Passwort wiederholen ein. Während sie tippt, haken sich zwei Regeln ab: Mindestens 12 Zeichen und Wird beim Anlegen gegen bekannte Datenlecks geprüft. 3. Sie klickt auf Zugang aktivieren. Die Seite wechselt zur normalen Anmeldung, der Benutzername ist schon eingetragen, und die Person meldet sich mit dem neuen Passwort an. nexxus meldet die Person nach dem Setzen des Passworts nicht automatisch an. Als Erstes beweist sie, dass das gerade gewählte Passwort funktioniert. Anmeldeseite und App sind in der Standardsprache Ihres Mandanten, bis die Person auf ihrem Profil eine eigene Sprache wählt. Die Standardsprache stellen Sie unter ein, Abschnitt Sprache: Deutsch, English oder Polski. Die Einladungsmail selbst bleibt deutsch. ## Konto direkt anlegen Manche Konten haben kein Postfach, oder Sie möchten das erste Passwort persönlich übergeben. Dafür legt nexxus das Konto mit einem Übergangspasswort an. 1. Klicken Sie in der Benutzerliste auf Konto direkt anlegen. 2. Der Dialog Konto angelegt zeigt ein erzeugtes Passwort. Es besteht aus vier Gruppen zu fünf Zeichen, ohne leicht verwechselbare Zeichen wie O und 0 oder I und 1. Klicken Sie auf Kopieren und geben Sie es auf einem sicheren Weg weiter. Das Passwort wird **nur jetzt** angezeigt. 3. Klicken Sie auf Ich habe es notiert. Anders lässt sich der Dialog nicht schließen, damit niemand das Passwort durch einen Klick daneben verliert. Die Detailseite des neuen Benutzers öffnet sich: tragen Sie dort Name, E-Mail und Firma ein. 4. Bei der ersten Anmeldung sieht die Person Passwortänderung erforderlich und muss ein eigenes Passwort wählen, bevor sie weiterarbeiten kann. ## Einladung erneut senden oder zurückziehen Ein Einladungslink gilt 7 Tage. In der Anwendung gibt es keinen Knopf, um ihn erneut zu schicken oder zurückzuziehen. Dort löschen Sie den ausstehenden Benutzer (siehe [Zugang entfernen](#zugang-entfernen)) und laden neu ein. Für Automatisierungen gibt es beides in der API, jeweils nur für Administratoren: ```http POST /api/admin/user-invitation/{id}/resend # neuer Link, der alte wird ungültig DELETE /api/admin/user-invitation/{id} # löscht ein Konto, dessen Einladung nie angenommen wurde ``` Eine erneut gesendete Einladung macht den alten Link ungültig. Zurückziehen scheitert mit „Diese Einladung wurde bereits angenommen.“, sobald die Person ihr Passwort gesetzt hat. ## Die Benutzerliste Die Seite Benutzer zeigt eine Karte je Konto: Bild oder Initialen, Name, ID, Benutzername und E-Mail, gegebenenfalls den Chip Einladung ausstehend, einen Chip je Systemrolle und wann das Konto angelegt und zuletzt geändert wurde. - **Suchen** Sie im Feld über der Liste. Es findet Benutzername, Vor- und Nachname und E-Mail. - **Filtern** Sie nach Rolle (den Systemrollen) und nach Bearbeitungsdatum. - **Sortieren** Sie nach Bearbeitungsdatum, Erstellungsdatum oder Benutzername. - Rechts stehen eine Übersicht (Benutzer gesamt, Aktiv, Administratoren, Rollen-Typen), die Rollenverteilung und die Letzte Aktivität. Aktiv zählt jedes Konto, das nicht gelöscht ist, auch ausstehende Einladungen. - **Mehrere Konten auf einmal:** Karten auswählen und in der Auswahlleiste auf Löschen klicken. ## Die Detailseite eines Benutzers Ein Klick auf eine Karte öffnet die Person. Das ⓘ neben dem Namen öffnet Zusatzinformationen: der Benutzername, wann das Konto angelegt und zuletzt geändert wurde und, falls zutreffend, dass die Einladung noch aussteht oder das Passwort bei der nächsten Anmeldung geändert werden muss. | Reiter | Erscheint, wenn | Was Sie dort tun | |---|---|---| | Stammdaten | Immer | Name, Kürzel, Farbe, Firma / Niederlassung, Benutzername, E-Mail, die Systemrollen unter Rollen und der Schalter zwischen Person und Dienstkonto | | Mitarbeiter | Die Niederlassung gehört zu einer eigenen Firma | Das Mitarbeiterprofil: Team, Abrechnungsrolle und Stufe, Zeiterfassung und die zugeordneten Arbeitszeitmodelle | | Zeit & Urlaub | Ein Mitarbeiterprofil existiert | Urlaubsanspruch, Vereinbarungen, Überstundenkonto, Kalendereinträge | | Zugriffsrollen | Der Benutzer ist gespeichert | Welche Berechtigungsrollen die Person hat, mandantenweit oder je Geschäftseinheit. Siehe [Rollen und Rechte](/de/setup/roles/#rollen-an-personen-vergeben) | | Aktivität | Sie sind Administrator | Anmeldungen, Fehlversuche, Passwortänderungen und Datenänderungen dieses Kontos | | Sicherheit | Immer | Ob ein Passwort gesetzt und die Zwei-Faktor-Authentifizierung aktiv ist, mit 2FA zurücksetzen | Was zu einem ausgeschalteten Bereich gehört, zeigen die Reiter nicht: ohne Teams & Arbeitszeitmodelle Team und Arbeitszeitmodelle, ohne Rechnungen die Abrechnungsrolle, ohne Zeiterfassung den Abschnitt Zeiterfassung mit Toggl-ID und Freigabe der Stundennachweise, und im Reiter Zeit & Urlaub die Tabellen ausgeschalteter Bereiche. Das Menü Weitere Aktionen (⋮) in der Leiste unten auf der Seite, neben Speichern, enthält Impersonieren, Passwort ändern, Passwortänderung erzwingen/aufheben, Schließen und Löschen. - Passwort ändern setzt ein neues Passwort für das Konto: Setzt ein neues Passwort für dieses Konto. Die alte Anmeldung gilt danach nicht mehr. Der Server prüft dieselben Regeln wie überall (mindestens 12 Zeichen, kein bekanntes geleaktes Passwort). Jeder gemerkte Browser der Person fragt danach wieder nach dem zweiten Faktor, und gemerkte Anmeldungen (Angemeldet bleiben) werden auf allen Geräten entfernt. - Passwortänderung erzwingen/aufheben verlangt bei der nächsten Anmeldung ein neues Passwort oder nimmt diese Pflicht zurück. - 2FA zurücksetzen im Reiter Sicherheit entfernt die Authenticator-App der Person, wenn ihr Telefon verloren ist. Mehr dazu unter [Sicherheit](/de/setup/security/#zwei-faktor-authentifizierung). ### Als eine andere Person handeln Meldet jemand „Ich sehe die Rechnung nicht“, verstehen Sie das am schnellsten, wenn Sie mit seinen Augen schauen. Mit Impersonieren handelt ein Administrator für begrenzte Zeit als eine andere Person. 1. Öffnen Sie auf der Detailseite der Person neben Speichern das Menü Weitere Aktionen (⋮) und klicken Sie auf Impersonieren. 2. Der Dialog Benutzer impersonieren fragt nach einer Begründung (optional), zum Beispiel einer Ticketnummer. Klicken Sie auf Impersonation starten. 3. Unten im Menü steht jetzt über dem Profil ein roter Kasten: Angemeldet als mit dem Namen der Person und Endet in mit der Restzeit. Ein schmaler roter Rahmen liegt um das ganze Fenster. Alles, was Sie jetzt tun, geschieht unter ihrer Identität. Sie beenden es mit Zurück zu und Ihrem eigenen Benutzernamen, zum Beispiel Zurück zu admin. Ist das Menü eingeklappt, trägt das Profilbild einen roten Ring, und der Kasten steht oben im Fenster, das ein Klick auf das Profilbild öffnet. Nach 60 Minuten endet die Sitzung von selbst. Solange sie läuft, verweigert nexxus das Bearbeiten und Löschen von Benutzern, Passwortänderungen und das Bearbeiten des Profils. Sich selbst können Sie nicht impersonieren, und ein Administrator kann keinen anderen Administrator impersonieren. nexxus hält fest, wer wen wann, von wo und mit welcher Begründung impersoniert hat. ## Zugang entfernen Einen Schalter zum Deaktivieren eines Kontos gibt es in nexxus nicht. Um einen Zugang zu entfernen, löschen Sie den Benutzer: auf der Detailseite über Weitere Aktionen (⋮) und Löschen oder für mehrere Personen aus der Liste. Die Rückfrage lautet Möchten Sie diesen Benutzer wirklich löschen? Gelöscht wird weich. Der Datensatz bleibt für die Historie in der Datenbank, Änderungen der Person zeigen also weiterhin, wer sie gemacht hat. Im selben Schritt benennt nexxus den Benutzernamen um, sodass der Name für ein neues Konto frei wird. Die API-Tokens der Person funktionieren sofort nicht mehr, weil nexxus das Konto bei jedem Aufruf prüft. ## Wie ein Konto mit Person und Firma verbunden ist Ein Konto in nexxus ist mehr als eine Anmeldung. Über seine Niederlassung gehört es zu einer Firma, und diese Firma bestimmt, was für eine Person es ist. - **Eigene Firma.** Gehört die Niederlassung zu einer eigenen Firma, ist die Person Mitarbeiter. Der Reiter Mitarbeiter erscheint, und die Feiertage richten sich nach dem Bundesland der Niederlassung. Ohne Mitarbeiterprofil kann sie weder Zeiten erfassen noch abgerechnet werden: legen Sie eins mit Mitarbeiterprofil anlegen an. - **Kunde.** Gehört die Niederlassung zu einem Kunden, ist die Person ein Kontakt bei diesem Kunden, zum Beispiel ein Auftraggeber, der seine Projektdokumente sehen soll. - **Die Firma ist Pflicht** für jedes Konto außer Administratoren und Systemkonten. Ohne Firma scheitert das Speichern mit dem Hinweis, dass eine Person zu einer Firma gehört. - Die eigene Firma kann niemand selbst ändern. Sonst könnte sich jemand selbst zum Mitarbeiter machen. - **Ansprechpartner sind keine Konten.** Die Ansprechpartner an einem Kunden sind Adressdaten. Sie haben keine Anmeldung und keine Verbindung zu einem Benutzer. ## Dienstkonten Manche Arbeit läuft, ohne dass jemand an der Tastatur sitzt: ein KI-Schedule, der jeden Morgen das Postfach prüft, ein Postfach, das eingehende Mails ablegt. Diese Arbeit braucht eine Identität mit eigenen Rechten. In nexxus ist das ein **Dienstkonto**. Stellen Sie im Reiter Stammdaten den Kontotyp von Person auf Dienstkonto um. Der Hinweis sagt, was sich ändert: Läuft KI-Schedules aus; eine Anmeldung ist mit diesem Konto nicht möglich. Mit einem Dienstkonto kann sich niemand anmelden, und auch API-Tokens funktionieren dafür nicht. Geben Sie ihm Berechtigungsrollen wie jedem anderen Konto: sie bestimmen, was die Schedules, die darunter laufen, dürfen. ## Ihr Mandant Alle Konten, Datensätze und Einstellungen Ihrer Organisation liegen in einem **Mandanten**, einem getrennten Datenbereich der Installation. Die meisten Installationen haben genau einen. Der Mandant bekommt seinen Namen aus Name der Organisation in der Einrichtung. Um ihn später umzubenennen, öffnen Sie , klicken auf den Mandanten und ändern den Name. Das Seitenfenster listet auch die eigenen Firmen des Mandanten; angelegt und bearbeitet werden sie unter Eigene Firmen. Neue Mandanten legt dort nur ein Superadmin an (Mandant anlegen). Wie nexxus Mandanten trennt, steht unter [Sicherheit](/de/setup/security/#mandantentrennung). ## Was im Hintergrund passiert - **Das Konto gibt es, bevor die Person annimmt.** nexxus legt es mit einem Zufallspasswort an, das niemand kennt, und markiert es als ausstehend. Jedes eingeladene Konto bekommt außerdem die Systemrolle STAFF, die Grundrolle für Menschen, die in der Anwendung arbeiten. - **Der Link ist ein Einmal-Token.** nexxus speichert davon nur einen Hash. Er gilt 7 Tage und ist verbraucht, sobald das Passwort gesetzt ist. Das bloße Öffnen verbraucht ihn nicht, ein Neuladen der Seite ist also unschädlich. - **Rollen werden mit dem Konto geschrieben.** Nennt die Einladung keine Rolle, vergibt nexxus die Standardrolle aus der Einrichtung, mandantenweit. - **Die Firma wird in einem zweiten Schritt gespeichert.** Scheitert das, geht die Einladung trotzdem raus, und nexxus bittet Sie, die Firma in den Stammdaten der Person nachzutragen. - **Mail.** Die Einladung landet in der Warteschlange und geht erst raus, wenn der Mailversand eingeschaltet und der Mailserver bestätigt ist. :::note[Für Selbstbetreiber] Der Link in der E-Mail zeigt auf `app.frontend.base-url` (Umgebungsvariable `APP_FRONTEND_BASEURL`). Setzen Sie sie auf die öffentliche Adresse der Anwendung, sonst führen die Links in den Einladungen ins Leere. Der Produktname im Betreff kommt aus `app.auth.product-name`. Der Mailversand wird mit `APP_EMAIL_ENABLED=true` und den Einstellungen `SPRING_MAIL_*` eingeschaltet. ::: ## Wenn etwas schiefgeht | Meldung | Ursache und Abhilfe | |---|---| | „Nur Administratoren dürfen Einladungen verwalten.“ | Ihrem Konto fehlt die Systemrolle ADMIN. Fragen Sie einen Administrator. | | „Der Benutzername ... ist bereits vergeben.“ | Benutzernamen sind in der ganzen Installation eindeutig. Wählen Sie einen anderen. | | „Zu dieser E-Mail-Adresse existiert bereits ein Konto.“ | Öffnen Sie stattdessen das bestehende Konto. | | „Bitte eine gültige E-Mail-Adresse angeben.“ | Prüfen Sie die Adresse auf Tippfehler. | | Die Einladung konnte nicht versendet werden. | Prüfen Sie die Maileinstellungen im Einrichtungsschritt E-Mail. | | Die Person meldet Einladung nicht mehr gültig | Der Link ist älter als 7 Tage, wurde schon benutzt oder durch eine neuere Einladung ersetzt. Löschen Sie den ausstehenden Benutzer und laden Sie neu ein. | | „Das Passwort muss mindestens 12 Zeichen lang sein.“ | Das Passwort ist zu kurz. | | Die Person kann Zugang aktivieren nicht anklicken | Das Passwort ist kürzer als 12 Zeichen. Sobald sie das Feld verlässt, werden Feld und Regel Mindestens 12 Zeichen rot. Mit einem längeren Passwort wird der Knopf frei. | | „Dieses Passwort taucht in bekannten Datenlecks auf und kann nicht verwendet werden.“ | Die Person wählt ein anderes Passwort. | | Eine eingeladene Person sieht ein leeres Menü | Sie hat keine Berechtigungsrolle, die eine Seite öffnet. Vergeben Sie eine im Reiter Zugriffsrollen. | ## Wie es weitergeht