Daten, Datenschutz & Sicherheit › Mechaniker-PIN & Geräte-Bindung
Mechaniker-PIN & Geräte-Bindung
SicherheitTeilweise✓ Geprüft am Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit)Ein Mechaniker meldet das Werkstatt-Tablet einmalig mit seinem persönlichen QR-Ausweis an; danach bleibt das Gerät an ihn gebunden. Jede weitere Anfrage muss zum aktiven Auftrag oder zum eigenen Bühnen-Teil passen, sonst wird sie abgewiesen. Zu viele Anfragen in kurzer Zeit bremst das System automatisch.
So arbeitest du damit
- Öffne am Tablet die Werkstatt-App und halte deinen persönlichen QR-Ausweis vor die Kamera.
- Prüfe, dass oben dein Name steht — ab jetzt ist dieses Gerät dir zugeordnet.
- Wähle deinen aktiven Auftrag; alternativ scanne den QR-Code am Auftragszettel, dann springt das Tablet direkt hinein.
- Melde einen verlorenen Ausweis sofort im Büro, damit dort ein neuer QR-Code ausgestellt wird.
Danach: Mechaniker-Tablet
Beim Scannen löst das System den Code auf: Es kennt den persönlichen Mitarbeiter-Ausweis, der unbefristet gilt, und den Auftrags-Code, der 24 Stunden gilt und über die Sitzung ebenfalls den Mechaniker bestimmt. In beiden Fällen bekommt das Gerät danach den persönlichen Code, damit es später jeden zugewiesenen Auftrag öffnen kann. Ein Konto mit Passwort ist nicht beteiligt — der Code selbst ist der Ausweis, und ein inaktiv gesetzter Mitarbeiter kommt gar nicht mehr hinein. Jede weitere Anfrage des Tablets läuft danach durch eine einzige Prüfstelle: Sie lädt den Auftrag und entscheidet, ob dieses Gerät gerade daran arbeiten darf. Beim ganzen Auftrag muss der Auftrag diesem Mechaniker zugewiesen sein; bei einem geteilten Auftrag darf jeder nur seinen eigenen Bühnen-Teil sehen und ändern. Ein archivierter Auftrag existiert für das Tablet nicht, er wird wie „nicht gefunden" behandelt (Vault-Sichtbarkeitsregel (Hausregel 2)). Parallel begrenzt eine Bremse die Anfragen pro Netzwerkadresse und pro Code; die Werte sind so gewählt, dass das regelmäßige Nachfragen der Tablets normal durchläuft, einzelnes Durchprobieren aber nicht.
- „Dieser Auftrag wurde zwischenzeitlich einem anderen Mechaniker zugewiesen" → das Büro hat umdisponiert; einen neuen Auftrags-QR-Code anfordern.
- „Unbekannter oder abgelaufener QR-Code" beim Anmelden → der Auftrags-Code ist älter als 24 Stunden oder der Mitarbeiter ist inaktiv gesetzt; mit dem persönlichen Ausweis anmelden oder das Büro fragen.
- Ein Auftrag verschwindet plötzlich vom Tablet → er wurde archiviert; archivierte Aufträge sind für das Tablet unsichtbar, das Büro muss ihn wieder öffnen.
- „Zu viele Anfragen. Bitte kurz warten." → die Missbrauchsbremse hat zugeschlagen, meist bei mehreren Tablets hinter demselben Anschluss; kurz warten, sonst im Büro melden.
- Ausweis verloren → im Büro einen neuen QR-Code ausstellen lassen; der alte wird damit ungültig.
- Eine Mechaniker-PIN war laut Projektgedächtnis als eigene Ausbaustufe vorgesehen, ist aber im gelesenen Stand nicht gebaut. Ob sie noch kommen soll, ist eine Owner-Entscheidung.
- Ob ein verlorenes oder gestohlenes Tablet zentral abgemeldet werden kann, wurde nicht geprüft. Sichtbar ist nur das Neuausstellen des QR-Codes je Mitarbeiter.
- lib/db/tablet-session.ts
- lib/mechanic-rl.ts
- app/api/mechanic/session
- app/api/job-tablet
- app/api/mechanic/bind/route.ts
| mechanismus | Geraetebindung per persoenlichem QR-Token (mechanics.qrToken, unbefristet, per rotateMechanicQr neu ausstellbar) oder per Auftrags-QR (jobSessions.token, 24 h); resolveBoundMechanic() prueft Token und aktiv; authorizeTablet() bindet jede Tablet-Anfrage an den Auftrag bzw. den eigenen Buehnen-Teil und sperrt gevaultete Auftraege; rlHit() begrenzt je IP und je Token |
|---|---|
| keine_pin | Im gelesenen Stand ist keine PIN-Eingabe implementiert |
Beleg: app/api/mechanic/bind/route.ts:16 — 'Kein Admin-Login nötig — der QR-Token IST das Credential fürs Geräte-Binding'; lib/db/mechanics.ts::resolveBoundMechanic prueft nur Token + active, keine PIN-Spalte; lib/db/tablet-session.ts::authorizeTablet mit Vault-Sperre (Zeile 61) und Teil-Bindung; lib/mechanic-rl.ts::rlHit 429 mit Retry-After
Tiefer fragen
Kontext aus dem KFZ-Bozo-Handbuch
Knoten: sec-mechaniker-pin (Sicherheit · Daten, Datenschutz & Sicherheit · teilweise · geprüft Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit) @ 0f0406a1)
Kurz: Ein Mechaniker meldet das Werkstatt-Tablet einmalig mit seinem persönlichen QR-Ausweis an; danach bleibt das Gerät an ihn gebunden. Jede weitere Anfrage muss zum aktiven Auftrag oder zum eigenen Bühnen-Teil passen, sonst wird sie abgewiesen. Zu viele Anfragen in kurzer Zeit bremst das System automatisch.
Lies zuerst (Lesebereich, nicht der ganze Baum):
lib/db/tablet-session.ts
lib/mechanic-rl.ts
app/api/mechanic/session
app/api/job-tablet
app/api/mechanic/bind/route.ts
Hängt zusammen mit:
app-stempeluhr (app/clock/page.tsx) · app-tablet (app/mechaniker/layout.tsx) · data-personal-zeit (lib/db/schema.ts) · app-tablet (app/mechaniker/layout.tsx) · api-mechaniker-tablet (app/api/job-tablet) · sec-rate-limit (lib/rate-limit.ts) · api-attendance-stempeluhr (app/api/clock) · api-mechaniker-tablet (app/api/job-tablet)
Offene Fragen der Seite:
Eine Mechaniker-PIN war laut Projektgedächtnis als eigene Ausbaustufe vorgesehen, ist aber im gelesenen Stand nicht gebaut. Ob sie noch kommen soll, ist eine Owner-Entscheidung.
Ob ein verlorenes oder gestohlenes Tablet zentral abgemeldet werden kann, wurde nicht geprüft. Sichtbar ist nur das Neuausstellen des QR-Codes je Mitarbeiter.
Hausregel 2: Vault-Daten sind für diese Session unsichtbar; Quellpfade auf Vault-Code sind keine Freigabe.
Frage: {{DEINE FRAGE}}
Antworte nur mit Belegen: nenne Datei und Zeile für jede Aussage.
Wenn die Quellen die Frage nicht beantworten, sag das und nenne, was du zusätzlich lesen müsstest.
Weicht die Seite vom Code ab, schlage den Seiten-Patch vor (wiki/seiten/daten-recht-sicherheit/sec-mechaniker-pin.md).