Benutzer einladen

In nexxus geben Sie niemandem ein Passwort weiter. Sie laden die Person ein: nexxus legt das Konto mit seinen Rollen an, schickt einen Link per E-Mail, und die Person wählt ihr Passwort selbst. Bis dahin gibt es das Konto zwar, aber niemand kann sich damit anmelden.

Ein Beispiel: Brandt & Söhne, ein Installationsbetrieb mit 60 Leuten. Am ersten Tag mit nexxus kopiert die Administratorin 24 E-Mail-Adressen aus Outlook in den Einrichtungsassistenten. Alle bekommen die Standardrolle „Mitarbeiter:in“. Die beiden Teamleitungen erhalten in einem zweiten Schritt ihre eigene Rolle, die Buchhalterin wird einzeln mit der Rolle „Verwaltung“ eingeladen. Bis zum Mittag haben alle ein Passwort gewählt und sich angemeldet.

Wege zu einem Konto

Ein Konto entsteht auf einem von fünf Wegen. Wählen Sie den, der zur Person passt.

Weg	Wer ihn anstößt	Passwort	Wofür
Einladung (eine Person)	Admin, in der Benutzerliste	Die Person setzt es über den Link in der E-Mail	Der Normalfall
Einladung (viele auf einmal)	Admin, im Einrichtungsassistenten	Jede Person setzt es über den Link	Ein ganzes Team an Bord holen
Konto direkt anlegen	Admin, in der Benutzerliste	nexxus erzeugt ein Übergangspasswort, das bei der ersten Anmeldung geändert werden muss	Personen ohne Postfach oder ein persönlich übergebenes Passwort
Erste Anmeldung mit Microsoft	Die Person selbst	Keins, sie meldet sich bei Microsoft an	Unternehmen mit Microsoft 365, siehe Anmeldung und OAuth
Erster Administrator	Wer eine neue Installation einrichtet	Wird auf der Einrichtungsseite gewählt	Einmal je Installation, siehe Ersteinrichtung

Eine Einladung durchläuft vier Stationen:

1. Sie laden ein

   Name, E-Mail, Firma und Rollen. Das Konto wird angelegt und bleibt gesperrt.

2. nexxus schickt einen Link

   7 Tage gültig, nur einmal verwendbar.

3. Die Person setzt ein Passwort

   Mindestens 12 Zeichen, gegen bekannte Datenlecks geprüft.

4. Sie meldet sich an

   Mit den Rollen, die Sie vergeben haben, vom ersten Klick an.

Konto und Rollen gibt es ab dem Moment der Einladung. Nur die Anmeldung wartet auf die Person.

Bevor Sie anfangen

• Sie haben die Systemrolle ADMIN. Nur Administratoren dürfen Personen einladen, Konten anlegen und die Benutzerliste öffnen.
• Der Mailversand funktioniert. Einladungen gehen über den Mailserver aus dem Schritt E-Mail des Einrichtungsassistenten. Solange dieser Schritt nicht bestätigt ist, warten Einladungen in der Warteschlange.
• Es gibt mindestens eine Niederlassung einer Firma. Jede Person gehört über eine Niederlassung zu einer Firma, und die Einladung fragt danach. Die erste eigene Firma samt Niederlassung entsteht, wenn Sie in der Einrichtung den Name der Organisation eintragen.
• Ihre Rollen stehen. Die Einladung vergibt Berechtigungsrollen. Wenn Sie noch keine eingerichtet haben, lesen Sie zuerst Rollen und Rechte oder verlassen Sie sich auf die Standardrolle aus der Einrichtung.

Eine Person einladen

/user

Ausstehende Einladungen tragen einen eigenen Chip, bis die Person ein Passwort gesetzt hat.

1. Öffnen Sie AdministrationBenutzer & ZugriffBenutzer. Die Seite Benutzer listet alle Konten Ihres Arbeitsbereichs.

2. Klicken Sie unten auf Person einladen. Der Dialog erklärt, was passiert: Verschickt einen Einladungslink. Das Konto ist bis zur Annahme gesperrt.

   

   Rollen werden mit der Einladung vergeben, voreingestellt mandantenweit.

3. Füllen Sie Benutzername * und E-Mail-Adresse * aus, wenn Sie möchten auch Vorname und Nachname. Mit dem Benutzernamen meldet sich die Person an. Er muss in der ganzen Installation eindeutig sein, die E-Mail-Adresse ebenso.

4. Wählen Sie unter Firma / Niederlassung * die Niederlassung. Sie erscheint als „Name (Ort)“. Die Niederlassung einer eigenen Firma macht die Person zum Mitarbeiter, die Niederlassung eines Kunden zum Kontakt bei diesem Kunden (siehe Wie ein Konto mit Person und Firma verbunden ist).

5. Wählen Sie unter Berechtigungen eine Berechtigungsrolle und ihren Geltungsbereich und klicken Sie auf Hinzufügen. Voreingestellt ist Mandantenweit, und das ist fast immer richtig. Sie können mehrere Rollen hinzufügen und jede Zeile wieder entfernen.

   Fügen Sie gar keine Rolle hinzu, weist nexxus darauf hin, dass sich die Person zwar anmelden kann, aber nichts sieht. Schicken Sie die Einladung trotzdem ab, bekommt die Person die Standardrolle Ihres Arbeitsbereichs (festgelegt im Einrichtungsschritt Rollen).

6. Klicken Sie auf Einladung senden. Die Meldung Einladung an mit der Adresse bestätigt den Versand, und die Karte der Person trägt den Chip Einladung ausstehend.

Viele Personen auf einmal einladen

Der Einrichtungsassistent hat einen Schritt, der eine ganze Liste von Adressen nimmt. So holen Sie ein Team am schnellsten an Bord, und Sie können jederzeit dorthin zurückkehren.

1. Öffnen Sie AdministrationBetriebEinrichtung und wählen Sie den Schritt Personen einladen (bei der ersten Einrichtung ist er der letzte Schritt des Assistenten).

   /onboarding?step=invite

   

   nexxus prüft jede Adresse, bevor etwas verschickt wird.

2. Fügen Sie die Adressen in E-Mail-Adressen, eine pro Zeile oder mit Komma ein. Einfügen aus Outlook oder einer Tabelle geht. nexxus leitet die Namen aus den Adressen ab: aus tom.keller@example.com wird Tom Keller.

3. Klicken Sie auf Adressen prüfen. nexxus zeigt eine Tabelle mit den Spalten E-Mail, Name, Rolle und Status. Der Status sagt, was mit jeder Adresse geschieht:

   Status	Bedeutung
   Neu	Wird eingeladen
   Eingeladen	Wurde schon eingeladen
   Hat schon ein Konto	Zu dieser Adresse gibt es ein Konto, es wird nichts verschickt
   Adresse unvollständig	Keine brauchbare E-Mail-Adresse
   Doppelt	Steht zweimal in Ihrer Liste

4. Wählen Sie für jede neue Adresse eine Rolle oder Keine Berechtigungsrolle. Der Kasten Was die Leute bekommen rechts fasst zusammen: eine Einladung per Mail mit Link zum Passwort setzen, und die gewählte Rolle, sonst die Standardrolle.

5. Klicken Sie auf den Versandknopf, zum Beispiel 22 Einladungen senden.

Wer auf diesem Weg eingeladen wird, bekommt die E-Mail-Adresse in Kleinbuchstaben als Benutzernamen. Sammeleinladungen vergeben keine Firma. Öffnen Sie danach jede Person und setzen Sie Firma / Niederlassung im Reiter Stammdaten. Auf einmal lassen sich höchstens 200 Adressen einladen.

Was die eingeladene Person sieht

Die Einladung kommt als E-Mail von nexxus. Der Betreff lautet „Ihr Zugang zu“ und dann der Produktname, die Mail nennt den Benutzernamen, und der Knopf „Zugang aktivieren“ öffnet die Anmeldeseite. Im Kleingedruckten steht, dass der Link 7 Tage gültig ist und nur einmal funktioniert.

Die Einladungsmail.

1. Der Link öffnet die Anmeldeseite mit der Überschrift Zugang aktivieren, dem Namen und der E-Mail-Adresse der Person und dem Benutzernamen, der sich nicht ändern lässt.

   

   Die Regeln haken sich beim Tippen ab.

2. Die Person gibt ein Passwort in Passwort und noch einmal in Passwort wiederholen ein. Während sie tippt, haken sich zwei Regeln ab: Mindestens 12 Zeichen und Wird beim Anlegen gegen bekannte Datenlecks geprüft.

3. Sie klickt auf Zugang aktivieren. Die Seite wechselt zur normalen Anmeldung, der Benutzername ist schon eingetragen, und die Person meldet sich mit dem neuen Passwort an.

nexxus meldet die Person nach dem Setzen des Passworts nicht automatisch an. Als Erstes beweist sie, dass das gerade gewählte Passwort funktioniert.

Anmeldeseite und App sind in der Standardsprache Ihres Mandanten, bis die Person auf ihrem Profil eine eigene Sprache wählt. Die Standardsprache stellen Sie unter AdministrationBetriebSystemkonfiguration ein, Abschnitt Sprache: Deutsch, English oder Polski. Die Einladungsmail selbst bleibt deutsch.

Konto direkt anlegen

Manche Konten haben kein Postfach, oder Sie möchten das erste Passwort persönlich übergeben. Dafür legt nexxus das Konto mit einem Übergangspasswort an.

1. Klicken Sie in der Benutzerliste auf Konto direkt anlegen.

2. Der Dialog Konto angelegt zeigt ein erzeugtes Passwort. Es besteht aus vier Gruppen zu fünf Zeichen, ohne leicht verwechselbare Zeichen wie O und 0 oder I und 1. Klicken Sie auf Kopieren und geben Sie es auf einem sicheren Weg weiter. Das Passwort wird nur jetzt angezeigt.

   

   Das Übergangspasswort erscheint nur einmal.

3. Klicken Sie auf Ich habe es notiert. Anders lässt sich der Dialog nicht schließen, damit niemand das Passwort durch einen Klick daneben verliert. Die Detailseite des neuen Benutzers öffnet sich: tragen Sie dort Name, E-Mail und Firma ein.

4. Bei der ersten Anmeldung sieht die Person Passwortänderung erforderlich und muss ein eigenes Passwort wählen, bevor sie weiterarbeiten kann.

Einladung erneut senden oder zurückziehen

Ein Einladungslink gilt 7 Tage. In der Anwendung gibt es keinen Knopf, um ihn erneut zu schicken oder zurückzuziehen. Dort löschen Sie den ausstehenden Benutzer (siehe Zugang entfernen) und laden neu ein.

Für Automatisierungen gibt es beides in der API, jeweils nur für Administratoren:

POST   /api/admin/user-invitation/{id}/resend   # neuer Link, der alte wird ungültig
DELETE /api/admin/user-invitation/{id}          # löscht ein Konto, dessen Einladung nie angenommen wurde

Eine erneut gesendete Einladung macht den alten Link ungültig. Zurückziehen scheitert mit „Diese Einladung wurde bereits angenommen.“, sobald die Person ihr Passwort gesetzt hat.

Die Benutzerliste

Die Seite Benutzer zeigt eine Karte je Konto: Bild oder Initialen, Name, ID, Benutzername und E-Mail, gegebenenfalls den Chip Einladung ausstehend, einen Chip je Systemrolle und wann das Konto angelegt und zuletzt geändert wurde.

• Suchen Sie im Feld über der Liste. Es findet Benutzername, Vor- und Nachname und E-Mail.
• Filtern Sie nach Rolle (den Systemrollen) und nach Bearbeitungsdatum.
• Sortieren Sie nach Bearbeitungsdatum, Erstellungsdatum oder Benutzername.
• Rechts stehen eine Übersicht (Benutzer gesamt, Aktiv, Administratoren, Rollen-Typen), die Rollenverteilung und die Letzte Aktivität. Aktiv zählt jedes Konto, das nicht gelöscht ist, auch ausstehende Einladungen.
• Mehrere Konten auf einmal: Karten auswählen und in der Auswahlleiste auf Löschen klicken.

Die Detailseite eines Benutzers

Ein Klick auf eine Karte öffnet die Person. Das ⓘ neben dem Namen öffnet Zusatzinformationen: der Benutzername, wann das Konto angelegt und zuletzt geändert wurde und, falls zutreffend, dass die Einladung noch aussteht oder das Passwort bei der nächsten Anmeldung geändert werden muss.

/user/:id/data

Reiter	Erscheint, wenn	Was Sie dort tun
Stammdaten	Immer	Name, Kürzel, Farbe, Firma / Niederlassung, Benutzername, E-Mail, die Systemrollen unter Rollen und der Schalter zwischen Person und Dienstkonto
Mitarbeiter	Die Niederlassung gehört zu einer eigenen Firma	Das Mitarbeiterprofil: Team, Abrechnungsrolle und Stufe, Zeiterfassung und die zugeordneten Arbeitszeitmodelle
Zeit & Urlaub	Ein Mitarbeiterprofil existiert	Urlaubsanspruch, Vereinbarungen, Überstundenkonto, Kalendereinträge
Zugriffsrollen	Der Benutzer ist gespeichert	Welche Berechtigungsrollen die Person hat, mandantenweit oder je Geschäftseinheit. Siehe Rollen und Rechte
Aktivität	Sie sind Administrator	Anmeldungen, Fehlversuche, Passwortänderungen und Datenänderungen dieses Kontos
Sicherheit	Immer	Ob ein Passwort gesetzt und die Zwei-Faktor-Authentifizierung aktiv ist, mit 2FA zurücksetzen

Was zu einem ausgeschalteten Bereich gehört, zeigen die Reiter nicht: ohne Teams & Arbeitszeitmodelle Team und Arbeitszeitmodelle, ohne Rechnungen die Abrechnungsrolle, ohne Zeiterfassung den Abschnitt Zeiterfassung mit Toggl-ID und Freigabe der Stundennachweise, und im Reiter Zeit & Urlaub die Tabellen ausgeschalteter Bereiche.

Das Menü Weitere Aktionen (⋮) in der Leiste unten auf der Seite, neben Speichern, enthält Impersonieren, Passwort ändern, Passwortänderung erzwingen/aufheben, Schließen und Löschen.

• Passwort ändern setzt ein neues Passwort für das Konto: Setzt ein neues Passwort für dieses Konto. Die alte Anmeldung gilt danach nicht mehr. Der Server prüft dieselben Regeln wie überall (mindestens 12 Zeichen, kein bekanntes geleaktes Passwort). Jeder gemerkte Browser der Person fragt danach wieder nach dem zweiten Faktor, und gemerkte Anmeldungen (Angemeldet bleiben) werden auf allen Geräten entfernt.
• Passwortänderung erzwingen/aufheben verlangt bei der nächsten Anmeldung ein neues Passwort oder nimmt diese Pflicht zurück.
• 2FA zurücksetzen im Reiter Sicherheit entfernt die Authenticator-App der Person, wenn ihr Telefon verloren ist. Mehr dazu unter Sicherheit.

Als eine andere Person handeln

Meldet jemand „Ich sehe die Rechnung nicht“, verstehen Sie das am schnellsten, wenn Sie mit seinen Augen schauen. Mit Impersonieren handelt ein Administrator für begrenzte Zeit als eine andere Person.

1. Öffnen Sie auf der Detailseite der Person neben Speichern das Menü Weitere Aktionen (⋮) und klicken Sie auf Impersonieren.

2. Der Dialog Benutzer impersonieren fragt nach einer Begründung (optional), zum Beispiel einer Ticketnummer. Klicken Sie auf Impersonation starten.

   

   nexxus speichert die Begründung mit der Impersonation.

3. Unten im Menü steht jetzt über dem Profil ein roter Kasten: Angemeldet als mit dem Namen der Person und Endet in mit der Restzeit. Ein schmaler roter Rahmen liegt um das ganze Fenster. Alles, was Sie jetzt tun, geschieht unter ihrer Identität. Sie beenden es mit Zurück zu und Ihrem eigenen Benutzernamen, zum Beispiel Zurück zu admin. Ist das Menü eingeklappt, trägt das Profilbild einen roten Ring, und der Kasten steht oben im Fenster, das ein Klick auf das Profilbild öffnet.

Die Impersonation endet nach 60 Minuten von selbst.

Nach 60 Minuten endet die Sitzung von selbst. Solange sie läuft, verweigert nexxus das Bearbeiten und Löschen von Benutzern, Passwortänderungen und das Bearbeiten des Profils. Sich selbst können Sie nicht impersonieren, und ein Administrator kann keinen anderen Administrator impersonieren. nexxus hält fest, wer wen wann, von wo und mit welcher Begründung impersoniert hat.

Zugang entfernen

Einen Schalter zum Deaktivieren eines Kontos gibt es in nexxus nicht. Um einen Zugang zu entfernen, löschen Sie den Benutzer: auf der Detailseite über Weitere Aktionen (⋮) und Löschen oder für mehrere Personen aus der Liste. Die Rückfrage lautet Möchten Sie diesen Benutzer wirklich löschen?

Gelöscht wird weich. Der Datensatz bleibt für die Historie in der Datenbank, Änderungen der Person zeigen also weiterhin, wer sie gemacht hat. Im selben Schritt benennt nexxus den Benutzernamen um, sodass der Name für ein neues Konto frei wird. Die API-Tokens der Person funktionieren sofort nicht mehr, weil nexxus das Konto bei jedem Aufruf prüft.

Wie ein Konto mit Person und Firma verbunden ist

Ein Konto in nexxus ist mehr als eine Anmeldung. Über seine Niederlassung gehört es zu einer Firma, und diese Firma bestimmt, was für eine Person es ist.

Konto

• BenutzerBenutzername, E-Mail, Systemrollen, Berechtigungsrollen

Firma / Niederlassung

Gesetzt im Reiter Stammdaten

• Eigene Firma
• Kunde

Macht die Person zu

• MitarbeiterNiederlassung einer eigenen Firma: Mitarbeiterprofil, Zeiterfassung, Feiertage der Niederlassung
• Kontakt beim KundenNiederlassung eines Kunden: kein Mitarbeiterprofil

Nur Administratoren und Systemkonten brauchen keine Firma.

• Eigene Firma. Gehört die Niederlassung zu einer eigenen Firma, ist die Person Mitarbeiter. Der Reiter Mitarbeiter erscheint, und die Feiertage richten sich nach dem Bundesland der Niederlassung. Ohne Mitarbeiterprofil kann sie weder Zeiten erfassen noch abgerechnet werden: legen Sie eins mit Mitarbeiterprofil anlegen an.
• Kunde. Gehört die Niederlassung zu einem Kunden, ist die Person ein Kontakt bei diesem Kunden, zum Beispiel ein Auftraggeber, der seine Projektdokumente sehen soll.
• Die Firma ist Pflicht für jedes Konto außer Administratoren und Systemkonten. Ohne Firma scheitert das Speichern mit dem Hinweis, dass eine Person zu einer Firma gehört.
• Die eigene Firma kann niemand selbst ändern. Sonst könnte sich jemand selbst zum Mitarbeiter machen.
• Ansprechpartner sind keine Konten. Die Ansprechpartner an einem Kunden sind Adressdaten. Sie haben keine Anmeldung und keine Verbindung zu einem Benutzer.

Dienstkonten

Manche Arbeit läuft, ohne dass jemand an der Tastatur sitzt: ein KI-Schedule, der jeden Morgen das Postfach prüft, ein Postfach, das eingehende Mails ablegt. Diese Arbeit braucht eine Identität mit eigenen Rechten. In nexxus ist das ein Dienstkonto.

Stellen Sie im Reiter Stammdaten den Kontotyp von Person auf Dienstkonto um. Der Hinweis sagt, was sich ändert: Läuft KI-Schedules aus; eine Anmeldung ist mit diesem Konto nicht möglich. Mit einem Dienstkonto kann sich niemand anmelden, und auch API-Tokens funktionieren dafür nicht. Geben Sie ihm Berechtigungsrollen wie jedem anderen Konto: sie bestimmen, was die Schedules, die darunter laufen, dürfen.

Ihr Mandant

Alle Konten, Datensätze und Einstellungen Ihrer Organisation liegen in einem Mandanten, einem getrennten Datenbereich der Installation. Die meisten Installationen haben genau einen.

Der Mandant bekommt seinen Namen aus Name der Organisation in der Einrichtung. Um ihn später umzubenennen, öffnen Sie AdministrationUnternehmenMandanten, klicken auf den Mandanten und ändern den Name. Das Seitenfenster listet auch die eigenen Firmen des Mandanten; angelegt und bearbeitet werden sie unter Eigene Firmen. Neue Mandanten legt dort nur ein Superadmin an (Mandant anlegen). Wie nexxus Mandanten trennt, steht unter Sicherheit.

Was im Hintergrund passiert

• Das Konto gibt es, bevor die Person annimmt. nexxus legt es mit einem Zufallspasswort an, das niemand kennt, und markiert es als ausstehend. Jedes eingeladene Konto bekommt außerdem die Systemrolle STAFF, die Grundrolle für Menschen, die in der Anwendung arbeiten.
• Der Link ist ein Einmal-Token. nexxus speichert davon nur einen Hash. Er gilt 7 Tage und ist verbraucht, sobald das Passwort gesetzt ist. Das bloße Öffnen verbraucht ihn nicht, ein Neuladen der Seite ist also unschädlich.
• Rollen werden mit dem Konto geschrieben. Nennt die Einladung keine Rolle, vergibt nexxus die Standardrolle aus der Einrichtung, mandantenweit.
• Die Firma wird in einem zweiten Schritt gespeichert. Scheitert das, geht die Einladung trotzdem raus, und nexxus bittet Sie, die Firma in den Stammdaten der Person nachzutragen.
• Mail. Die Einladung landet in der Warteschlange und geht erst raus, wenn der Mailversand eingeschaltet und der Mailserver bestätigt ist.

Für Selbstbetreiber

Der Link in der E-Mail zeigt auf app.frontend.base-url (Umgebungsvariable APP_FRONTEND_BASEURL). Setzen Sie sie auf die öffentliche Adresse der Anwendung, sonst führen die Links in den Einladungen ins Leere. Der Produktname im Betreff kommt aus app.auth.product-name. Der Mailversand wird mit APP_EMAIL_ENABLED=true und den Einstellungen SPRING_MAIL_* eingeschaltet.

Wenn etwas schiefgeht

Meldung	Ursache und Abhilfe
„Nur Administratoren dürfen Einladungen verwalten.“	Ihrem Konto fehlt die Systemrolle ADMIN. Fragen Sie einen Administrator.
„Der Benutzername … ist bereits vergeben.“	Benutzernamen sind in der ganzen Installation eindeutig. Wählen Sie einen anderen.
„Zu dieser E-Mail-Adresse existiert bereits ein Konto.“	Öffnen Sie stattdessen das bestehende Konto.
„Bitte eine gültige E-Mail-Adresse angeben.“	Prüfen Sie die Adresse auf Tippfehler.
Die Einladung konnte nicht versendet werden.	Prüfen Sie die Maileinstellungen im Einrichtungsschritt E-Mail.
Die Person meldet Einladung nicht mehr gültig	Der Link ist älter als 7 Tage, wurde schon benutzt oder durch eine neuere Einladung ersetzt. Löschen Sie den ausstehenden Benutzer und laden Sie neu ein.
„Das Passwort muss mindestens 12 Zeichen lang sein.“	Das Passwort ist zu kurz.
Die Person kann Zugang aktivieren nicht anklicken	Das Passwort ist kürzer als 12 Zeichen. Sobald sie das Feld verlässt, werden Feld und Regel Mindestens 12 Zeichen rot. Mit einem längeren Passwort wird der Knopf frei.
„Dieses Passwort taucht in bekannten Datenlecks auf und kann nicht verwendet werden.“	Die Person wählt ein anderes Passwort.
Eine eingeladene Person sieht ein leeres Menü	Sie hat keine Berechtigungsrolle, die eine Seite öffnet. Vergeben Sie eine im Reiter Zugriffsrollen.

Wie es weitergeht

Rollen und RechteLegen Sie fest, wer was darf und was der KI-Assistent für jede Person tun darf.

Anmeldung und OAuthLassen Sie Ihre Leute sich mit Microsoft anmelden.

SicherheitZwei-Faktor-Authentifizierung, Sitzungen, API-Tokens und das Änderungsprotokoll.