Rollen und Rechte

Rechte beantworten in nexxus für jede Seite, jeden Knopf und jeden API-Aufruf dieselbe Frage: Darf diese Person das hier? Die Antwort kommt aus den Rollen, die die Person hat. Alles andere folgt daraus: was im Menü steht, welche Knöpfe erscheinen, was der Server annimmt und was der KI-Assistent tun darf, wenn diese Person fragt.

Zurück zu Brandt & Söhne: Die Monteure buchen ihre eigenen Stunden und beantragen Urlaub, sollen aber die Stundennachweise der Kollegen nicht sehen. Die beiden Teamleitungen planen Projekte und geben Urlaub frei. Die Buchhalterin liest für die Lohnabrechnung die Monate aller und schreibt Rechnungen. Und einmal im Jahr kommt ein externer Auditor, der die Sicherheitsdokumentation lesen, aber nichts ändern soll. Vier Rollen decken das ab.

Zwei Ebenen von Rollen

nexxus hält zwei Arten von Rollen auseinander.

Systemrollen sind grob. Sie entscheiden, ob jemand einen Teil der Anwendung überhaupt erreicht, und eine davon, ADMIN, hebt alle anderen Beschränkungen auf. Sie sehen sie im Reiter Stammdaten eines Benutzers unter Rollen.

Berechtigungsrollen tragen die Rechte für den Alltag. Jede ist ein Bündel von Berechtigungsschlüsseln wie „Projekte lesen“ oder „Rechnungen schreiben“. Sie legen sie selbst an, benennen sie und vergeben sie an Personen, entweder für den ganzen Arbeitsbereich oder für eine Geschäftseinheit.

Eine Person hat

• Eine SystemrolleADMIN, STAFF oder einige technische
• BerechtigungsrollenBündel von Schlüsseln, mandantenweit oder je Geschäftseinheit

Rechteprüfung

Dieselbe Prüfung für jede Anfrage

• Menü
• Seiten
• Knöpfe
• API

Entscheidet

• Was die Person siehtMenüeinträge, Seiten und Knöpfe
• Was der Server annimmtJedes Lesen und jede Änderung
• Was der KI-Assistent darfNur, was die Person darf

ADMIN überspringt die Prüfung der Berechtigungsschlüssel. Alle anderen bekommen genau die Summe ihrer Berechtigungsrollen.

Die Systemrollen

Systemrolle	Was sie bewirkt
ADMIN	Hat jeden Berechtigungsschlüssel. Nur Administratoren laden Personen ein, verwalten Berechtigungsrollen, vergeben Rollen, impersonieren Benutzer, ändern die Systemkonfiguration und lesen die Protokolle.
SUPERADMIN	Alles, was ein Administrator kann, dazu technische Wartung wie Datenbank-Migrationen. Nur ein Superadministrator kann diese Rolle vergeben oder entziehen, und nur er ändert, löscht oder setzt das Passwort eines Kontos zurück, das sie oder SYSTEM hat. Das Konto aus der Ersteinrichtung hat sie.
STAFF	Die Grundrolle für Menschen, die in der Anwendung arbeiten. Jedes eingeladene Konto bekommt sie und, solange Sie nichts anderes einstellen, jedes Konto aus einer Microsoft-Anmeldung.
SYSTEM	Ein technisches Konto für KI-Arbeit, die ohne Person läuft. Damit kann sich niemand anmelden.

Die meisten Personen in Ihrem Arbeitsbereich haben STAFF und eine oder mehrere Berechtigungsrollen. Halten Sie die Zahl der Administratoren klein: ein Administrator sieht alles.

Drei Dinge, die „Rolle“ heißen

Drei Einstellungen in nexxus heißen ähnlich und meinen Verschiedenes:

• Eine Berechtigungsrolle (Berechtigungsrollen) legt fest, was jemand darf.
• Ein Team (Teams) sagt, wo jemand arbeitet. Teams stehen im Mitarbeiterprofil und in Auswertungen und vergeben keine Rechte.
• Eine Abrechnungsrolle (Abrechnungsrollen) sagt, wie jemand auf einer Rechnung erscheint, etwa „Entwicklung“ mit dem Kürzel DEV, mit einem Stundensatz je Stufe. Auch sie vergibt keine Rechte.

Berechtigungsschlüssel

Ein Berechtigungsschlüssel nennt ein Modul und eine Aktion, getrennt durch einen Punkt: project.project.read, timesheet.monthlyTimesheet.use. Die meisten Module bieten drei Stufen:

Schlüssel	Im Rollen-Editor	Was er öffnet
<modul>.read	Lesen (Verwaltung)	Die Verwaltungsansicht: Liste, Detailseite, alle Felder
<modul>.apiRead	Auswählen (nur Name, ohne Verwaltung)	Nur Id und Name, für Auswahlfelder und Freigabedialoge, ohne die Verwaltungsseiten
<modul>.write	Schreiben	Anlegen, ändern und löschen

Einige Module haben zusätzliche Schlüssel. Der wichtigste ist .use, angezeigt als Eigene Einträge oder Benutzen. Er trennt die eigenen Daten einer Person von denen aller:

• timesheet.monthlyTimesheet.use erlaubt, die eigenen Stundennachweise zu führen und einzureichen. timesheet.monthlyTimesheet.read öffnet die Monate aller, ein Recht für Personalabteilung und Lohnbuchhaltung.
• absence.vacationRequest.use erlaubt, eigenen Urlaub zu beantragen. Mit demselben Schlüssel entscheidet eine Teamleitung über die Anträge ihres Teams.
• isms.declaration.use erlaubt, eigene Selbsterklärungen abzugeben.

Nach demselben Muster trennt isms.incident.report (Melden) Meldung und Bearbeitung von Sicherheitsvorfällen: damit meldet jede Person, was ihr auffällt, und sieht ihre eigenen Meldungen. Alle Vorfälle des Mandanten mit Bewertung und Meldungen an Behörden öffnet erst isms.incident.read, ein Recht für das Vorfall-Team.

Der KI-Bereich hat eigene Schlüssel, zum Beispiel ai.session.use (Chats öffnen und benutzen), ai.knowledge.read (Wissen lesen) und die Connector-Schlüssel von ai.plugin.read bis ai.plugin.admin. Jeder Schlüssel steht in der Rechte-Referenz.

Rollen addieren sich. Wer mehrere Rollen hat, bekommt die Summe ihrer Schlüssel. Eine Rolle fügt Rechte hinzu, sie nimmt nie welche weg. Die vollständige Liste der Schlüssel je Modul steht in der Rechte-Referenz.

Woher die ersten Rollen kommen

nexxus bringt keine festen Berechtigungsrollen mit. Ihre ersten Rollen entstehen im Einrichtungsassistenten, auf zwei Wegen.

Vorlagen nach Ihren Bereichen

Welche Rollenvorlagen der Assistent anbietet, hängt davon ab, welche Bereiche im Schritt Bereiche an sind: Eine Vorlage erscheint, sobald einer ihrer Bereiche an ist, und bringt nur Rechte aus Bereichen mit, die an sind. „Mitarbeiter:in“ ist immer dabei und als Standardrolle markiert: jede neue Person, die ohne Rolle eingeladen wird, und jedes Konto aus einer Microsoft-Anmeldung bekommt sie.

Vorlage	Erscheint mit	Wofür
„Mitarbeiter:in“	immer	Zeiten buchen, Dokumente ablegen, Projekte sehen
„Teamleitung“	Projekte, Zeiterfassung oder Abwesenheiten	Projekte, Zeiten und Dokumente steuern
„Verwaltung“	Rechnungen, Kontingente & Guthaben oder Teams & Arbeitszeitmodelle	Personal, Partner und Rechnungen
„ISMS-Verantwortliche“	Informationssicherheit	Werte, Risiken und Maßnahmen pflegen, Nachweise freigeben
„Auditor“	Informationssicherheit	Alles im Bereich Sicherheit lesen
„Gast“	Projekte oder Dateien	Nur lesen, zum Beispiel für externe Prüfer

Die Vorlagen für Mitarbeiter:in, Teamleitung und ISMS-Verantwortliche enthalten die Schlüssel, um mit dem KI-Assistenten und Connectoren zu arbeiten (Chats öffnen, Wissen lesen, Connectoren benutzen und verbinden). „Verwaltung“, „Gast“ und „Auditor“ enthalten sie nicht: geben Sie diesen Personen eine zweite Rolle, wenn sie mit dem KI-Assistenten arbeiten sollen. Alle Vorlagen außer „Gast“ und „Auditor“ enthalten die .use-Schlüssel für eigene Stundennachweise, Urlaub und Erklärungen. Die Vorlagen legen gewöhnliche Rollen an: Sie können sie danach umbenennen und ändern wie jede andere.

Rollen, die der KI-Assistent vorschlägt

Statt der Vorlagen können Sie Ihr Unternehmen in ein, zwei Sätzen beschreiben und die KI Rollen vorschlagen lassen. Dafür braucht es einen angebundenen KI-Anbieter (siehe KI anbinden).

/onboarding?step=roles

Jede vorgeschlagene Rolle zitiert den Satz, aus dem sie entstanden ist.

1. Öffnen Sie AdministrationBetriebEinrichtung und wählen Sie den Schritt Rollen. Die Seite fragt Wer darf was?

2. Beschreiben Sie in der Karte Rollen von der KI vorschlagen lassen unter Wer macht bei Ihnen was? Ihr Team. Bei Brandt & Söhne: „Zwei Teamleitungen planen die Projekte und geben Urlaub frei. Die Monteure buchen ihre Stunden. Unsere Buchhalterin schreibt Rechnungen und macht die Lohnabrechnung. Einmal im Jahr prüft ein externer Auditor unser ISMS.“

3. Klicken Sie auf Vorschlagen. Die KI vergibt nur Rechte aus Bereichen, die eingeschaltet sind, und jede Rolle zitiert die Stelle Ihres Textes, aus der sie entstanden ist.

4. Prüfen Sie jede vorgeschlagene Rolle. Ihre Chips zeigen die Rechte je Modul, etwa „Projekte: lesen, schreiben“. Nehmen Sie den Haken bei Übernehmen für Rollen heraus, die Sie nicht wollen, und markieren Sie eine als Standardrolle.

5. Klicken Sie auf Rollen übernehmen. nexxus legt die Rollen an. Heißt eine Rolle wie eine bestehende, wird die bestehende aktualisiert statt eine zweite angelegt.

Die KI schlägt nie eine Administratorrolle vor und gibt jeder Rolle so wenige Rechte, wie die Beschreibung zulässt. Ist die KI nicht erreichbar oder kommt nichts Brauchbares zurück, zeigt die Seite die Vorlagen für Ihre Bereiche und sagt das dazu.

Eine Rolle anlegen und bearbeiten

/accessRoles

1. Öffnen Sie AdministrationBenutzer & ZugriffBerechtigungsrollen. Die Liste zeigt jede Rolle mit der Zahl ihrer Berechtigungen.

2. Klicken Sie auf Neue Berechtigungsrolle. nexxus legt eine Rolle namens Neue Rolle ohne Berechtigungen an und öffnet sie.

3. Geben Sie der Rolle unter Stammdaten einen Name und eine Beschreibung. Unter diesem Namen wird sie Personen zugewiesen.

4. Haken Sie unter Berechtigungen an, was die Rolle darf. Der Baum folgt dem Hauptmenü Ihres Mandanten, so wie es unter AdministrationBetriebEinrichtung, Schritt Hauptmenü, angeordnet ist: dieselben Bereiche in derselben Reihenfolge, die Module in der Reihenfolge ihrer Seiten. Ein Modul steht also dort, wo Sie es im Menü suchen würden. Ein Paket steht beim Bereich mit den meisten seiner Seiten, ein Modul ohne eigene Seite am Ende seines Bereichs, und die Module ausgeschalteter Bereiche stehen unter Nicht im Menü (ausgeschaltete Bereiche). Ein Klick auf einen Bereich oder ein Modul schaltet alles darunter um.

   /accessRoles/:id

   

   Eigene Einträge gegenüber allen: `.use` und `.read` bei Stundennachweisen.

   • Das Filterfeld findet Berechtigungen nach Schlüssel, Bezeichnung oder Modul.
   • Alle Lesen hakt jeden Leseschlüssel an, Alle Schreiben jeden Schreibschlüssel, Alles abwählen leert die Rolle.
   • Jede Berechtigung zeigt ihre Bezeichnung und ihren Schlüssel. Fahren Sie mit der Maus darüber, erscheint eine Beschreibung.

5. Klicken Sie in der Leiste über dem Formular auf Speichern. Bis dahin zählt die Leiste die geänderten Felder; danach steht dort Keine Änderungen und Zuletzt gespeichert mit der Zeit. Das ⓘ neben dem Titel öffnet Zusatzinformationen; dort steht, wie viele Berechtigungen aktiv sind, etwa „22 von 238 aktiv“.

Um eine Rolle zu entfernen, öffnen Sie sie, wählen in der Leiste über dem Formular neben Speichern im Menü Weitere Aktionen (⋮) Löschen und bestätigen Berechtigungsrolle löschen? Bevor Sie eine Rolle löschen, die noch Personen haben, nehmen Sie sie diesen im Reiter Zugriffsrollen weg. So wissen Sie genau, wer was verliert.

Eine Rolle kann außerdem ein eigenes Hauptmenü tragen. Sie ordnen es unter AdministrationBetriebEinrichtung, Schritt Hauptmenü, Feld Menü für; siehe Ein Menü für eine Rolle. Speichern im Rollen-Editor lässt das Menü unverändert.

Wer Rollen ändern darf. Nur Administratoren legen Berechtigungsrollen an und löschen sie, ändern, welche Berechtigungen eine Rolle hat, und vergeben Rollen an Personen.

Rollen aus Modulen. Ein Modul (NXM) kann eigene Rollen mitbringen. Sie stehen mit dem Namen des Moduls davor in der Liste: das Modul „Kanzlei“ etwa bringt „Kanzleileitung“, „Mandatsführung“, „Sekretariat & Fristenkontrolle“ und „Einsicht“ mit. Sie vergeben sie wie jede andere Rolle. Ein Modul, das eigene Dienste betreibt, legt dazu eine Rolle für das Konto an, unter dem diese Dienste arbeiten. Ihr Name ist der Name des Moduls, gefolgt von „Dienstkonto“. Sie trägt den Chip System, ihre Seite sagt System-Rolle: Name und Löschen sind gesperrt., und die Berechtigungen hält das Modul selbst aktuell.

Rollen an Personen vergeben

Eine Person bekommt Berechtigungsrollen auf drei Wegen:

• Mit der Einladung. Der Dialog Person einladen nimmt Rollen und ihren Geltungsbereich, voreingestellt Mandantenweit (siehe Benutzer einladen).
• Im Reiter Zugriffsrollen der Detailseite eines Benutzers. Die erste Zeile, Tenant-weit, hält die Rollen, die gilt für alle Geschäftseinheiten. Darunter folgt eine Zeile je Geschäftseinheit, eingerückt nach ihrer Ebene im Organigramm. Wählen Sie in einer Zeile eine Rolle und klicken Sie auf Zuweisen. Jede Rolle erscheint als Chip mit der Zahl ihrer Berechtigungen; mit der Maus darüber sehen Sie die Schlüssel, mit dem × entfernen Sie sie.
• Automatisch. Wer ohne Rolle eingeladen wird und wessen Konto bei der ersten Microsoft-Anmeldung entsteht, bekommt die Standardrolle aus der Einrichtung. Ein Microsoft-Konto bekommt außerdem die Systemrolle aus Rolle für neue Konten (STAFF, solange Sie nichts ändern).

/user/:id/accessRoles

Vergeben Sie Rollen mandantenweit, es sei denn, Sie wollen eine Rolle bewusst auf eine Geschäftseinheit beschränken. Seiten und Menüeinträge öffnen sich für die Rollen, die eine Person mandantenweit hat. Geschäftseinheiten wirken in Bereichen, die nach Einheiten geordnet sind, etwa bei Dokumenten und beim Wissen, das der KI-Assistent verwenden darf.

Zuweisungen haben kein Enddatum. Um eine Rolle wegzunehmen, entfernen Sie sie.

Wie Rechte Seiten öffnen

Nur zwei Seiten stehen allen offen, die sich anmelden können: das Dashboard und Mein Profil. Jede andere Seite braucht einen Berechtigungsschlüssel, und nexxus prüft ihn an drei Stellen mit derselben Antwort: das Menü zeigt den Eintrag, die Seite öffnet sich, und der Server nimmt die Anfrage an.

1. Menü

   Einträge ohne Recht erscheinen nicht.

2. Seite

   Wer die Adresse eintippt, landet wieder auf dem Dashboard.

3. Server

   Jede Anfrage wird mit demselben Schlüssel erneut geprüft.

4. Datensatz

   Mandant, Besitzer und Freigaben werden zusätzlich geprüft.

Menü und Knöpfe ersparen nur den Klick in eine Ablehnung. Entschieden wird auf dem Server.

Einige Beispiele, welcher Schlüssel welche Seite öffnet:

Seite	Schlüssel
Eigene Stundennachweise	timesheet.monthlyTimesheet.use oder .read
Eigene Urlaubsanträge	absence.vacationRequest.use
Dokumente	dms.document.read
Chat mit dem KI-Assistenten, Avatare, Skills, Schedules	ai.session.use
Wissen	ai.knowledge.read
Connectoren	ai.plugin.read
Projekte	project.project.read
Kunden, Lieferanten, eigene Firmen	partner.partner.read
Berechtigungsrollen	authentication.accessRole.read
Geschäftseinheiten, Teams	authentication.businessUnit.read, organisation.team.read

Einige Seiten gehören, unabhängig von den Schlüsseln einer Rolle, nur Administratoren: die Benutzerliste, Mandanten, Einrichtung, Systemkonfiguration, Änderungsprotokoll und Ereignis-Logs, Cron-Jobs, die MCP-Übersicht und Aktionen der KI.

Ausgeschaltete Bereiche. Ein Bereich, den Sie im Einrichtungsschritt Bereiche ausschalten, verschwindet für alle aus dem Menü und aus dem, was der KI-Assistent tun darf. Seine Daten bleiben. Der Server beantwortet Anfragen dafür mit „Dieser Bereich ist ausgeschaltet.“ Manches lässt sich nicht ausschalten; der Schritt führt es unter Immer dabei: Dashboard, Kalender, KI-Assistent, Benutzer & Rollen, Einstellungen und Benachrichtigungen. Die Schlüssel des KI-Bereichs gelten deshalb immer, egal was ausgeschaltet ist.

Was jemand ohne das Recht sieht

• Keinen Menüeintrag für Seiten, die er nicht öffnen darf.
• Eingetippte Adressen führen ohne Meldung zurück zum Dashboard.
• Knöpfe für Aktionen, die er nicht ausführen darf, sind ausgeblendet.
• Eine abgelehnte Anfrage zeigt eine Meldung mit dem fehlenden Schlüssel, zum Beispiel „Keine Berechtigung: Ihnen fehlt das Recht ‘partner.partner.write’.“ So lässt sich einem Administrator genau sagen, was fehlt.
• Eine Seite, die ihre Daten nicht laden darf, zeigt Zugriff verweigert mit den Knöpfen Zurück und Neu laden.

Was der KI-Assistent mit den Rechten einer Person tun darf

Der KI-Assistent arbeitet immer im Auftrag der Person, die gerade fragt, nie auf eigene Rechnung. Jede Chat-Anfrage trägt die Identität dieser Person zum Server, und jedes Werkzeug, das er benutzt, durchläuft dieselben Prüfungen wie die Seite, auf der die Person klickt.

1. Die Person fragt

   Zum Beispiel: Setz den Kunden Nordwind AG auf inaktiv.

2. Der KI-Assistent findet die Aktion

   Er sieht nur Aktionen, die die Person ausführen darf.

3. Probelauf als die Person

   Eingabe, Zustand des Datensatzes und Rechte werden geprüft. Gespeichert wird nichts.

4. Die Person klickt Ausführen

   Erst jetzt führt der Server die Aktion aus und prüft alles noch einmal.

Die Vorschau ist eine Vorschau, keine Erlaubnis. Der Klick lässt jede Prüfung ein zweites Mal laufen.

• Der KI-Assistent bietet nur an, was die Person darf. Die Liste der Aktionen, aus der er wählt, ist nach den Schlüsseln der Person und den eingeschalteten Bereichen gefiltert.
• Änderungen brauchen einen Klick. Bevor sich etwas ändert, zeigt der Chat eine Karte mit drei Prüfungen: Eingaben gültig, Datensatz im richtigen Zustand und Berechtigung vorhanden. Erst Ausführen nimmt die Änderung vor. Ein Bündel von Schritten läuft mit einem Klick als Einheit (zum Beispiel Alle 3 ausführen): Schlägt ein Schritt fehl, wird auch der frühere zurückgerollt.
• Ein fehlendes Recht sperrt die Karte. Fehlt der Person ein Schlüssel, schlägt die Prüfung Berechtigung vorhanden fehl, die Karte nennt den Grund und lässt sich nicht ausführen.
• Dokumente folgen denselben Freigaben. Der KI-Assistent liest nur Dokumente, die die Person auch im Dateibereich öffnen könnte.
• Connectoren handeln mit dem eigenen Konto der Person. Arbeitet der KI-Assistent in Microsoft 365, Slack oder einem anderen verbundenen Dienst, benutzt er das Konto, das die Person verbunden hat, und sieht nur, was dieses Konto sehen darf. Siehe Connectoren.
• Kein Werkzeug fragt die Datenbank direkt ab. Der KI-Assistent liest und ändert Daten nur über dieselben Prüfungen wie die Seiten, auch für Administratoren.

Administratoren sehen unter KIMit KI arbeitenAktionen der KI die vollständige Liste der Änderungen, die der KI-Assistent vornehmen kann. Die Seite liest die Liste aus dem laufenden Code, sie ist also immer vollständig. Die Spalte Recht zeigt, welchen Schlüssel jede Aktion braucht.

Der Name des KI-Assistenten

Sie können den KI-Assistenten im Einrichtungsschritt KI, Karte Assistent, Feld Name umbenennen. Der Name steht dann in der Leiste, im Kopf des Chats und im Eingabefeld.

Was im Hintergrund passiert

• Ein Verzeichnis aller Schlüssel. Jedes Modul meldet seine Berechtigungsschlüssel beim Start des Servers an. Der Rollen-Editor liest dieses Verzeichnis und zeigt deshalb immer die Schlüssel der laufenden Version. Schlüssel, die kein Modul kennt, fallen beim Speichern einer Rolle weg.
• Lesen und Schreiben. Der Server leitet den Schlüssel aus der Anfrage ab: Lesen braucht .read, alles andere .write, es sei denn, eine Aktion nennt ihren eigenen Schlüssel. Bereiche mit eigenen Freigaben, etwa Dokumente und Workspace-Boards, prüfen den Zugriff stattdessen je Datensatz.
• Zuerst der Mandant. Jeder Datensatz trägt seinen Mandanten. Eine Rolle gilt immer nur im Mandanten der Person, die sie hat.
• Die Standardrolle ist in der Einrichtung gespeichert und wird für Einladungen ohne Rolle und für erste Microsoft-Anmeldungen verwendet.

Wenn etwas schiefgeht

Was Sie sehen	Ursache und Abhilfe
Eine neue Kollegin sieht nur das Dashboard	Sie hat keine Berechtigungsrolle, die eine Seite öffnet, oder nur Rollen für eine einzelne Geschäftseinheit. Vergeben Sie im Reiter Zugriffsrollen eine Rolle mandantenweit.
„Keine Berechtigung: Ihnen fehlt das Recht ’…’.“	Der Person fehlt der Schlüssel aus der Meldung. Nehmen Sie ihn in eine ihrer Rollen auf oder geben Sie ihr eine Rolle, die ihn hat.
„Die Rechte einer Rolle ändert nur ein Administrator.“	Nur Administratoren ändern, welche Berechtigungen eine Rolle hat.
„Eine Rolle, die Sie selbst tragen, kann nur ein Administrator ändern.“	Eine Rolle, die Sie selbst haben, können Sie nicht bearbeiten. Bitten Sie einen anderen Administrator.
Der Vorschlag ist fehlgeschlagen im Einrichtungsschritt Rollen	Der KI-Anbieter ist nicht erreichbar. Prüfen Sie KI anbinden oder übernehmen Sie die Vorlagen für Ihre Bereiche.
Wählen Sie mindestens eine Rolle aus.	Setzen Sie bei mindestens einer vorgeschlagenen Rolle den Haken Übernehmen.
„Dieser Bereich ist ausgeschaltet.“	Der Bereich ist im Einrichtungsschritt Bereiche ausgeschaltet. Schalten Sie ihn dort ein.

Wie es weitergeht

Benutzer einladenHolen Sie Personen von Anfang an mit den richtigen Rollen an Bord.

Rechte-ReferenzJeder Berechtigungsschlüssel je Modul.

SicherheitMachen Sie die Zwei-Faktor-Authentifizierung für eine Rolle zur Pflicht.