# Rollen und Rechte > Legen Sie fest, wer in nexxus was darf. Diese Seite erklärt die beiden Rollenebenen, Berechtigungsschlüssel, woher die ersten Rollen kommen, wie Sie Rollen bearbeiten und vergeben, wie Rechte Seiten öffnen und was der KI-Assistent mit den Rechten einer Person tun darf. Rechte beantworten in nexxus für jede Seite, jeden Knopf und jeden API-Aufruf dieselbe Frage: Darf diese Person das hier? Die Antwort kommt aus den Rollen, die die Person hat. Alles andere folgt daraus: was im Menü steht, welche Knöpfe erscheinen, was der Server annimmt und was der KI-Assistent tun darf, wenn diese Person fragt. Zurück zu Brandt & Söhne: Die Monteure buchen ihre eigenen Stunden und beantragen Urlaub, sollen aber die Stundennachweise der Kollegen nicht sehen. Die beiden Teamleitungen planen Projekte und geben Urlaub frei. Die Buchhalterin liest für die Lohnabrechnung die Monate aller und schreibt Rechnungen. Und einmal im Jahr kommt ein externer Auditor, der die Sicherheitsdokumentation lesen, aber nichts ändern soll. Vier Rollen decken das ab. ## Zwei Ebenen von Rollen nexxus hält zwei Arten von Rollen auseinander. **Systemrollen** sind grob. Sie entscheiden, ob jemand einen Teil der Anwendung überhaupt erreicht, und eine davon, ADMIN, hebt alle anderen Beschränkungen auf. Sie sehen sie im Reiter Stammdaten eines Benutzers unter Rollen. **Berechtigungsrollen** tragen die Rechte für den Alltag. Jede ist ein Bündel von Berechtigungsschlüsseln wie „Projekte lesen“ oder „Rechnungen schreiben“. Sie legen sie selbst an, benennen sie und vergeben sie an Personen, entweder für den ganzen Arbeitsbereich oder für eine Geschäftseinheit. ### Die Systemrollen | Systemrolle | Was sie bewirkt | |---|---| | **ADMIN** | Hat jeden Berechtigungsschlüssel. Nur Administratoren laden Personen ein, verwalten Berechtigungsrollen, vergeben Rollen, impersonieren Benutzer, ändern die Systemkonfiguration und lesen die Protokolle. | | **SUPERADMIN** | Alles, was ein Administrator kann, dazu technische Wartung wie Datenbank-Migrationen. Nur ein Superadministrator kann diese Rolle vergeben oder entziehen, und nur er ändert, löscht oder setzt das Passwort eines Kontos zurück, das sie oder SYSTEM hat. Das Konto aus der [Ersteinrichtung](/de/setup/first-run/) hat sie. | | **STAFF** | Die Grundrolle für Menschen, die in der Anwendung arbeiten. Jedes eingeladene Konto bekommt sie und, solange Sie nichts anderes einstellen, jedes Konto aus einer Microsoft-Anmeldung. | | **SYSTEM** | Ein technisches Konto für KI-Arbeit, die ohne Person läuft. Damit kann sich niemand anmelden. | Die meisten Personen in Ihrem Arbeitsbereich haben STAFF und eine oder mehrere Berechtigungsrollen. Halten Sie die Zahl der Administratoren klein: ein Administrator sieht alles. ### Drei Dinge, die „Rolle“ heißen Drei Einstellungen in nexxus heißen ähnlich und meinen Verschiedenes: - Eine **Berechtigungsrolle** (Berechtigungsrollen) legt fest, was jemand darf. - Ein **Team** (Teams) sagt, wo jemand arbeitet. Teams stehen im Mitarbeiterprofil und in Auswertungen und vergeben keine Rechte. - Eine **Abrechnungsrolle** (Abrechnungsrollen) sagt, wie jemand auf einer Rechnung erscheint, etwa „Entwicklung“ mit dem Kürzel DEV, mit einem Stundensatz je Stufe. Auch sie vergibt keine Rechte. ## Berechtigungsschlüssel Ein Berechtigungsschlüssel nennt ein Modul und eine Aktion, getrennt durch einen Punkt: `project.project.read`, `timesheet.monthlyTimesheet.use`. Die meisten Module bieten drei Stufen: | Schlüssel | Im Rollen-Editor | Was er öffnet | |---|---|---| | `.read` | Lesen (Verwaltung) | Die Verwaltungsansicht: Liste, Detailseite, alle Felder | | `.apiRead` | Auswählen (nur Name, ohne Verwaltung) | Nur Id und Name, für Auswahlfelder und Freigabedialoge, ohne die Verwaltungsseiten | | `.write` | Schreiben | Anlegen, ändern und löschen | Einige Module haben zusätzliche Schlüssel. Der wichtigste ist `.use`, angezeigt als Eigene Einträge oder Benutzen. Er trennt die eigenen Daten einer Person von denen aller: - `timesheet.monthlyTimesheet.use` erlaubt, die **eigenen** Stundennachweise zu führen und einzureichen. `timesheet.monthlyTimesheet.read` öffnet die Monate **aller**, ein Recht für Personalabteilung und Lohnbuchhaltung. - `absence.vacationRequest.use` erlaubt, eigenen Urlaub zu beantragen. Mit demselben Schlüssel entscheidet eine Teamleitung über die Anträge ihres Teams. - `isms.declaration.use` erlaubt, eigene Selbsterklärungen abzugeben. Nach demselben Muster trennt `isms.incident.report` (Melden) Meldung und Bearbeitung von Sicherheitsvorfällen: damit meldet jede Person, was ihr auffällt, und sieht ihre eigenen Meldungen. Alle Vorfälle des Mandanten mit Bewertung und Meldungen an Behörden öffnet erst `isms.incident.read`, ein Recht für das Vorfall-Team. Der KI-Bereich hat eigene Schlüssel, zum Beispiel `ai.session.use` (Chats öffnen und benutzen), `ai.knowledge.read` (Wissen lesen) und die Connector-Schlüssel von `ai.plugin.read` bis `ai.plugin.admin`. Jeder Schlüssel steht in der [Rechte-Referenz](/de/reference/permissions/). **Rollen addieren sich.** Wer mehrere Rollen hat, bekommt die Summe ihrer Schlüssel. Eine Rolle fügt Rechte hinzu, sie nimmt nie welche weg. Die vollständige Liste der Schlüssel je Modul steht in der [Rechte-Referenz](/de/reference/permissions/). ## Woher die ersten Rollen kommen nexxus bringt keine festen Berechtigungsrollen mit. Ihre ersten Rollen entstehen im Einrichtungsassistenten, auf zwei Wegen. ### Vorlagen nach Ihren Bereichen Welche Rollenvorlagen der Assistent anbietet, hängt davon ab, welche Bereiche im Schritt Bereiche an sind: Eine Vorlage erscheint, sobald einer ihrer Bereiche an ist, und bringt nur Rechte aus Bereichen mit, die an sind. „Mitarbeiter:in“ ist immer dabei und als **Standardrolle** markiert: jede neue Person, die ohne Rolle eingeladen wird, und jedes Konto aus einer Microsoft-Anmeldung bekommt sie. | Vorlage | Erscheint mit | Wofür | |---|---|---| | **„Mitarbeiter:in“** | immer | Zeiten buchen, Dokumente ablegen, Projekte sehen | | „Teamleitung“ | Projekte, Zeiterfassung oder Abwesenheiten | Projekte, Zeiten und Dokumente steuern | | „Verwaltung“ | Rechnungen, Kontingente & Guthaben oder Teams & Arbeitszeitmodelle | Personal, Partner und Rechnungen | | „ISMS-Verantwortliche“ | Informationssicherheit | Werte, Risiken und Maßnahmen pflegen, Nachweise freigeben | | „Auditor“ | Informationssicherheit | Alles im Bereich Sicherheit lesen | | „Gast“ | Projekte oder Dateien | Nur lesen, zum Beispiel für externe Prüfer | Die Vorlagen für Mitarbeiter:in, Teamleitung und ISMS-Verantwortliche enthalten die Schlüssel, um mit dem KI-Assistenten und Connectoren zu arbeiten (Chats öffnen, Wissen lesen, Connectoren benutzen und verbinden). „Verwaltung“, „Gast“ und „Auditor“ enthalten sie nicht: geben Sie diesen Personen eine zweite Rolle, wenn sie mit dem KI-Assistenten arbeiten sollen. Alle Vorlagen außer „Gast“ und „Auditor“ enthalten die `.use`-Schlüssel für eigene Stundennachweise, Urlaub und Erklärungen. Die Vorlagen legen gewöhnliche Rollen an: Sie können sie danach umbenennen und ändern wie jede andere. ### Rollen, die der KI-Assistent vorschlägt Statt der Vorlagen können Sie Ihr Unternehmen in ein, zwei Sätzen beschreiben und die KI Rollen vorschlagen lassen. Dafür braucht es einen angebundenen KI-Anbieter (siehe [KI anbinden](/de/setup/connect-ai/)). 1. Öffnen Sie und wählen Sie den Schritt Rollen. Die Seite fragt Wer darf was? 2. Beschreiben Sie in der Karte Rollen von der KI vorschlagen lassen unter Wer macht bei Ihnen was? Ihr Team. Bei Brandt & Söhne: „Zwei Teamleitungen planen die Projekte und geben Urlaub frei. Die Monteure buchen ihre Stunden. Unsere Buchhalterin schreibt Rechnungen und macht die Lohnabrechnung. Einmal im Jahr prüft ein externer Auditor unser ISMS.“ 3. Klicken Sie auf Vorschlagen. Die KI vergibt nur Rechte aus Bereichen, die eingeschaltet sind, und jede Rolle zitiert die Stelle Ihres Textes, aus der sie entstanden ist. 4. Prüfen Sie jede vorgeschlagene Rolle. Ihre Chips zeigen die Rechte je Modul, etwa „Projekte: lesen, schreiben“. Nehmen Sie den Haken bei Übernehmen für Rollen heraus, die Sie nicht wollen, und markieren Sie eine als Standardrolle. 5. Klicken Sie auf Rollen übernehmen. nexxus legt die Rollen an. Heißt eine Rolle wie eine bestehende, wird die bestehende aktualisiert statt eine zweite angelegt. Die KI schlägt nie eine Administratorrolle vor und gibt jeder Rolle so wenige Rechte, wie die Beschreibung zulässt. Ist die KI nicht erreichbar oder kommt nichts Brauchbares zurück, zeigt die Seite die Vorlagen für Ihre Bereiche und sagt das dazu. ## Eine Rolle anlegen und bearbeiten 1. Öffnen Sie . Die Liste zeigt jede Rolle mit der Zahl ihrer Berechtigungen. 2. Klicken Sie auf Neue Berechtigungsrolle. nexxus legt eine Rolle namens Neue Rolle ohne Berechtigungen an und öffnet sie. 3. Geben Sie der Rolle unter Stammdaten einen Name und eine Beschreibung. Unter diesem Namen wird sie Personen zugewiesen. 4. Haken Sie unter Berechtigungen an, was die Rolle darf. Der Baum folgt dem Hauptmenü Ihres Mandanten, so wie es unter , Schritt Hauptmenü, angeordnet ist: dieselben Bereiche in derselben Reihenfolge, die Module in der Reihenfolge ihrer Seiten. Ein Modul steht also dort, wo Sie es im Menü suchen würden. Ein Paket steht beim Bereich mit den meisten seiner Seiten, ein Modul ohne eigene Seite am Ende seines Bereichs, und die Module ausgeschalteter Bereiche stehen unter Nicht im Menü (ausgeschaltete Bereiche). Ein Klick auf einen Bereich oder ein Modul schaltet alles darunter um. - Das Filterfeld findet Berechtigungen nach Schlüssel, Bezeichnung oder Modul. - Alle Lesen hakt jeden Leseschlüssel an, Alle Schreiben jeden Schreibschlüssel, Alles abwählen leert die Rolle. - Jede Berechtigung zeigt ihre Bezeichnung und ihren Schlüssel. Fahren Sie mit der Maus darüber, erscheint eine Beschreibung. 5. Klicken Sie in der Leiste über dem Formular auf Speichern. Bis dahin zählt die Leiste die geänderten Felder; danach steht dort Keine Änderungen und Zuletzt gespeichert mit der Zeit. Das ⓘ neben dem Titel öffnet Zusatzinformationen; dort steht, wie viele Berechtigungen aktiv sind, etwa „22 von 238 aktiv“. Um eine Rolle zu entfernen, öffnen Sie sie, wählen in der Leiste über dem Formular neben Speichern im Menü Weitere Aktionen (⋮) Löschen und bestätigen Berechtigungsrolle löschen? Bevor Sie eine Rolle löschen, die noch Personen haben, nehmen Sie sie diesen im Reiter Zugriffsrollen weg. So wissen Sie genau, wer was verliert. Eine Rolle kann außerdem ein eigenes Hauptmenü tragen. Sie ordnen es unter , Schritt Hauptmenü, Feld Menü für; siehe [Ein Menü für eine Rolle](/de/setup/first-run/#ein-menü-für-eine-rolle). Speichern im Rollen-Editor lässt das Menü unverändert. **Wer Rollen ändern darf.** Nur Administratoren legen Berechtigungsrollen an und löschen sie, ändern, welche Berechtigungen eine Rolle hat, und vergeben Rollen an Personen. **Rollen aus Modulen.** Ein Modul (NXM) kann eigene Rollen mitbringen. Sie stehen mit dem Namen des Moduls davor in der Liste: das Modul „Kanzlei“ etwa bringt „Kanzleileitung“, „Mandatsführung“, „Sekretariat & Fristenkontrolle“ und „Einsicht“ mit. Sie vergeben sie wie jede andere Rolle. Ein Modul, das eigene Dienste betreibt, legt dazu eine Rolle für das Konto an, unter dem diese Dienste arbeiten. Ihr Name ist der Name des Moduls, gefolgt von „Dienstkonto“. Sie trägt den Chip System, ihre Seite sagt System-Rolle: Name und Löschen sind gesperrt., und die Berechtigungen hält das Modul selbst aktuell. ## Rollen an Personen vergeben Eine Person bekommt Berechtigungsrollen auf drei Wegen: - **Mit der Einladung.** Der Dialog Person einladen nimmt Rollen und ihren Geltungsbereich, voreingestellt Mandantenweit (siehe [Benutzer einladen](/de/setup/invite-users/#eine-person-einladen)). - **Im Reiter Zugriffsrollen** der Detailseite eines Benutzers. Die erste Zeile, Tenant-weit, hält die Rollen, die gilt für alle Geschäftseinheiten. Darunter folgt eine Zeile je Geschäftseinheit, eingerückt nach ihrer Ebene im Organigramm. Wählen Sie in einer Zeile eine Rolle und klicken Sie auf Zuweisen. Jede Rolle erscheint als Chip mit der Zahl ihrer Berechtigungen; mit der Maus darüber sehen Sie die Schlüssel, mit dem × entfernen Sie sie. - **Automatisch.** Wer ohne Rolle eingeladen wird und wessen Konto bei der ersten Microsoft-Anmeldung entsteht, bekommt die Standardrolle aus der Einrichtung. Ein Microsoft-Konto bekommt außerdem die Systemrolle aus Rolle für neue Konten (STAFF, solange Sie nichts ändern). Vergeben Sie Rollen mandantenweit, es sei denn, Sie wollen eine Rolle bewusst auf eine Geschäftseinheit beschränken. Seiten und Menüeinträge öffnen sich für die Rollen, die eine Person mandantenweit hat. Geschäftseinheiten wirken in Bereichen, die nach Einheiten geordnet sind, etwa bei Dokumenten und beim Wissen, das der KI-Assistent verwenden darf. Zuweisungen haben kein Enddatum. Um eine Rolle wegzunehmen, entfernen Sie sie. ## Wie Rechte Seiten öffnen Nur zwei Seiten stehen allen offen, die sich anmelden können: das Dashboard und Mein Profil. Jede andere Seite braucht einen Berechtigungsschlüssel, und nexxus prüft ihn an drei Stellen mit derselben Antwort: das Menü zeigt den Eintrag, die Seite öffnet sich, und der Server nimmt die Anfrage an. Einige Beispiele, welcher Schlüssel welche Seite öffnet: | Seite | Schlüssel | |---|---| | Eigene Stundennachweise | `timesheet.monthlyTimesheet.use` oder `.read` | | Eigene Urlaubsanträge | `absence.vacationRequest.use` | | Dokumente | `dms.document.read` | | Chat mit dem KI-Assistenten, Avatare, Skills, Schedules | `ai.session.use` | | Wissen | `ai.knowledge.read` | | Connectoren | `ai.plugin.read` | | Projekte | `project.project.read` | | Kunden, Lieferanten, eigene Firmen | `partner.partner.read` | | Berechtigungsrollen | `authentication.accessRole.read` | | Geschäftseinheiten, Teams | `authentication.businessUnit.read`, `organisation.team.read` | Einige Seiten gehören, unabhängig von den Schlüsseln einer Rolle, nur Administratoren: die Benutzerliste, Mandanten, Einrichtung, Systemkonfiguration, Änderungsprotokoll und Ereignis-Logs, Cron-Jobs, die MCP-Übersicht und Aktionen der KI. **Ausgeschaltete Bereiche.** Ein Bereich, den Sie im Einrichtungsschritt Bereiche ausschalten, verschwindet für alle aus dem Menü und aus dem, was der KI-Assistent tun darf. Seine Daten bleiben. Der Server beantwortet Anfragen dafür mit „Dieser Bereich ist ausgeschaltet.“ Manches lässt sich nicht ausschalten; der Schritt führt es unter Immer dabei: Dashboard, Kalender, KI-Assistent, Benutzer & Rollen, Einstellungen und Benachrichtigungen. Die Schlüssel des KI-Bereichs gelten deshalb immer, egal was ausgeschaltet ist. ## Was jemand ohne das Recht sieht - **Keinen Menüeintrag** für Seiten, die er nicht öffnen darf. - **Eingetippte Adressen** führen ohne Meldung zurück zum Dashboard. - **Knöpfe** für Aktionen, die er nicht ausführen darf, sind ausgeblendet. - **Eine abgelehnte Anfrage** zeigt eine Meldung mit dem fehlenden Schlüssel, zum Beispiel „Keine Berechtigung: Ihnen fehlt das Recht 'partner.partner.write'.“ So lässt sich einem Administrator genau sagen, was fehlt. - **Eine Seite, die ihre Daten nicht laden darf,** zeigt Zugriff verweigert mit den Knöpfen Zurück und Neu laden. ## Was der KI-Assistent mit den Rechten einer Person tun darf Der KI-Assistent arbeitet immer im Auftrag der Person, die gerade fragt, nie auf eigene Rechnung. Jede Chat-Anfrage trägt die Identität dieser Person zum Server, und jedes Werkzeug, das er benutzt, durchläuft dieselben Prüfungen wie die Seite, auf der die Person klickt. - **Der KI-Assistent bietet nur an, was die Person darf.** Die Liste der Aktionen, aus der er wählt, ist nach den Schlüsseln der Person und den eingeschalteten Bereichen gefiltert. - **Änderungen brauchen einen Klick.** Bevor sich etwas ändert, zeigt der Chat eine Karte mit drei Prüfungen: Eingaben gültig, Datensatz im richtigen Zustand und Berechtigung vorhanden. Erst Ausführen nimmt die Änderung vor. Ein Bündel von Schritten läuft mit einem Klick als Einheit (zum Beispiel Alle 3 ausführen): Schlägt ein Schritt fehl, wird auch der frühere zurückgerollt. - **Ein fehlendes Recht sperrt die Karte.** Fehlt der Person ein Schlüssel, schlägt die Prüfung Berechtigung vorhanden fehl, die Karte nennt den Grund und lässt sich nicht ausführen. - **Dokumente folgen denselben Freigaben.** Der KI-Assistent liest nur Dokumente, die die Person auch im Dateibereich öffnen könnte. - **Connectoren handeln mit dem eigenen Konto der Person.** Arbeitet der KI-Assistent in Microsoft 365, Slack oder einem anderen verbundenen Dienst, benutzt er das Konto, das die Person verbunden hat, und sieht nur, was dieses Konto sehen darf. Siehe [Connectoren](/de/plugins/overview/). - **Kein Werkzeug fragt die Datenbank direkt ab.** Der KI-Assistent liest und ändert Daten nur über dieselben Prüfungen wie die Seiten, auch für Administratoren. Administratoren sehen unter die vollständige Liste der Änderungen, die der KI-Assistent vornehmen kann. Die Seite liest die Liste aus dem laufenden Code, sie ist also immer vollständig. Die Spalte Recht zeigt, welchen Schlüssel jede Aktion braucht. :::tip[Der Name des KI-Assistenten] Sie können den KI-Assistenten im Einrichtungsschritt KI, Karte Assistent, Feld Name umbenennen. Der Name steht dann in der Leiste, im Kopf des Chats und im Eingabefeld. ::: ## Was im Hintergrund passiert - **Ein Verzeichnis aller Schlüssel.** Jedes Modul meldet seine Berechtigungsschlüssel beim Start des Servers an. Der Rollen-Editor liest dieses Verzeichnis und zeigt deshalb immer die Schlüssel der laufenden Version. Schlüssel, die kein Modul kennt, fallen beim Speichern einer Rolle weg. - **Lesen und Schreiben.** Der Server leitet den Schlüssel aus der Anfrage ab: Lesen braucht `.read`, alles andere `.write`, es sei denn, eine Aktion nennt ihren eigenen Schlüssel. Bereiche mit eigenen Freigaben, etwa Dokumente und Workspace-Boards, prüfen den Zugriff stattdessen je Datensatz. - **Zuerst der Mandant.** Jeder Datensatz trägt seinen Mandanten. Eine Rolle gilt immer nur im Mandanten der Person, die sie hat. - **Die Standardrolle** ist in der Einrichtung gespeichert und wird für Einladungen ohne Rolle und für erste Microsoft-Anmeldungen verwendet. ## Wenn etwas schiefgeht | Was Sie sehen | Ursache und Abhilfe | |---|---| | Eine neue Kollegin sieht nur das Dashboard | Sie hat keine Berechtigungsrolle, die eine Seite öffnet, oder nur Rollen für eine einzelne Geschäftseinheit. Vergeben Sie im Reiter Zugriffsrollen eine Rolle mandantenweit. | | „Keine Berechtigung: Ihnen fehlt das Recht '...'.“ | Der Person fehlt der Schlüssel aus der Meldung. Nehmen Sie ihn in eine ihrer Rollen auf oder geben Sie ihr eine Rolle, die ihn hat. | | „Die Rechte einer Rolle ändert nur ein Administrator.“ | Nur Administratoren ändern, welche Berechtigungen eine Rolle hat. | | „Eine Rolle, die Sie selbst tragen, kann nur ein Administrator ändern.“ | Eine Rolle, die Sie selbst haben, können Sie nicht bearbeiten. Bitten Sie einen anderen Administrator. | | Der Vorschlag ist fehlgeschlagen im Einrichtungsschritt Rollen | Der KI-Anbieter ist nicht erreichbar. Prüfen Sie [KI anbinden](/de/setup/connect-ai/) oder übernehmen Sie die Vorlagen für Ihre Bereiche. | | Wählen Sie mindestens eine Rolle aus. | Setzen Sie bei mindestens einer vorgeschlagenen Rolle den Haken Übernehmen. | | „Dieser Bereich ist ausgeschaltet.“ | Der Bereich ist im Einrichtungsschritt Bereiche ausgeschaltet. Schalten Sie ihn dort ein. | ## Wie es weitergeht