Daten, Datenschutz & Sicherheit › Rollen & Rechte (Berechtigungskatalog)

Rollen & Rechte (Berechtigungskatalog)

SicherheitLive✓ Geprüft am Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit)

Jedes Büro-Konto hat eine von fünf Rollen — Inhaber, Admin, Büro, Mechaniker, Nur-Lesen — und daraus abgeleitet einen Satz von acht Rechten, etwa „Aufträge & Kunden", „Finanzen" oder „Benutzerverwaltung". Pro Konto lassen sich einzelne Häkchen abweichend setzen. Der Inhaber hat immer alle Rechte und kann sich selbst nicht aussperren.

ChefBüro

So arbeitest du damit

Öffne im Büro-Panel unter „Verwaltung" den Punkt „Benutzer".
Lege mit „Neuer Benutzer" ein Konto an und wähle unter „Rolle" die passende Stufe; die Kurzbeschreibung darunter nennt, was sie umfasst.
Öffne beim angelegten Konto den Bereich „Rechte anpassen", wenn du vom Standard der Rolle abweichen willst.
Setze oder entferne dort die Häkchen; „Anzeigen" bleibt immer aktiv, ohne weiteres Häkchen kann das Konto nur lesen.
Beende bei Verdacht auf Missbrauch über „Alle Sitzungen beenden" sofort alle Anmeldungen dieses Kontos.

Danach: Benutzer / 2FA

Beim Anmelden schlägt das System zur Rolle den Standardsatz an Rechten nach und legt danach die kontobezogenen Abweichungen darüber. Das Ergebnis hängt an der Sitzung, sodass jede spätere Prüfung dieselbe Antwort gibt wie die Oberfläche. Vor jeder geschützten Aktion prüft der Server dieses Recht; fehlt es, kommt eine Ablehnung mit dem Namen des fehlenden Rechts, unabhängig davon, ob der Knopf in der Oberfläche sichtbar war. Der Inhaber bekommt immer alle Rechte, auch wenn jemand versehentlich Häkchen entfernt — das verhindert, dass sich das Haus selbst aussperrt. Unbekannte Häkchen werden verworfen, und „Anzeigen" wird immer mitgegeben. Die Benutzerverwaltung im Büro-CRM (Admin) ist selbst durch das Recht „Benutzerverwaltung" geschützt; wer es nicht hat, sieht dort nur einen Hinweis. Die Rechte regeln, wer was tun darf — sie ersetzen weder die zusätzliche Schranke vor den Geldbereichen (Finanz-PIN (Zugriffsschranke Geldbereiche)) noch die Sichtsperre archivierter Aufträge (Vault-Sichtbarkeitsregel (Hausregel 2)), die auch für den Inhaber eine eigene Hürde bleibt.

Ein Mitarbeiter sieht einen Bereich nicht → seiner Rolle fehlt das passende Recht; im Konto unter „Rechte anpassen" das Häkchen setzen.
„Benutzerverwaltung gesperrt" trotz Admin-Rolle → nur Konten mit dem Recht „Benutzerverwaltung" kommen hinein, und das haben standardmäßig nur Inhaber.
Ein Häkchen wird gesetzt, wirkt aber nicht → beim Inhaber ist das erwartbar, dort gelten immer alle Rechte; bei anderen Konten hilft eine Neuanmeldung, weil die Rechte an der Sitzung hängen.
Ein deaktiviertes Konto arbeitet scheinbar weiter → über „Alle Sitzungen beenden" die offenen Anmeldungen widerrufen.
Nach fünf Fehlversuchen ist ein Konto gesperrt → laut Hinweis in der Benutzerliste 15 Minuten warten oder über „Sperre aufheben" freigeben.

Gehört zu

Admin-Login & Sitzungen Live

Geregelt durch

Vault-Sichtbarkeitsregel (Hausregel 2) Teilweise
Finanz-PIN (Zugriffsschranke Geldbereiche) Bewusst aus

Die Rolle „Mechaniker" existiert im Rechte-Katalog der Büro-Konten. Ob sie in der Werkstatt tatsächlich vergeben wird oder ob dort ausschließlich der QR-Ausweis am Tablet genutzt wird, sagen die gelesenen Quellen nicht.
Ein Konto ohne bekannte Rolle fällt auf reines Lesen zurück. Ob das in der Praxis je vorkommt, wurde nicht geprüft.

lib/admin-auth.ts
app/api/admin/users/route.ts
app/admin/benutzer/page.tsx
messages/admin-fragments/verwaltung.de.json
MEM:aufgaben-kichat-live-2026-08-31.md

rollen	owner (Inhaber), admin, staff (Büro), mechanic, viewer
beispielrechte	view, edit_customers, edit_jobs, edit_finance, view_reports, view_employee_stats, view_employee_notes, manage_users
mechanismus	requirePermission(session, recht) prueft die in verifyAuth berechneten effektiven Rechte (Rollen-Standard aus ROLE_PERMISSIONS plus per-User-Override aus users.permissions) und antwortet sonst mit 403; owner erhaelt immer ALL_PERMISSIONS, ein Override wird dort ignoriert; Alt-Sitzungen aus dem gemeinsamen Login gelten als owner

Beleg: lib/admin-auth.ts:259-294 — Permission-Union mit 8 Schluesseln, ROLE_PERMISSIONS fuer owner|admin|staff|mechanic|viewer, owner immer ALL_PERMISSIONS; effectivePermissions() legt den per-User-Override darueber und erzwingt view; requirePermission() liefert 403 mit requiredPermission; app/admin/benutzer/page.tsx sperrt die Seite ohne manage_users; Beschriftungen in messages/admin-fragments/verwaltung.de.json

Tiefer fragen

Deine Frage

Kontext aus dem KFZ-Bozo-Handbuch
Knoten: sec-rollen-rechte (Sicherheit · Daten, Datenschutz & Sicherheit · live · geprüft Sat Sep 05 2026 02:00:00 GMT+0200 (Mitteleuropäische Sommerzeit) @ 0f0406a1)
Kurz: Jedes Büro-Konto hat eine von fünf Rollen — Inhaber, Admin, Büro, Mechaniker, Nur-Lesen — und daraus abgeleitet einen Satz von acht Rechten, etwa „Aufträge & Kunden", „Finanzen" oder „Benutzerverwaltung". Pro Konto lassen sich einzelne Häkchen abweichend setzen. Der Inhaber hat immer alle Rechte und kann sich selbst nicht aussperren.
Lies zuerst (Lesebereich, nicht der ganze Baum):
lib/admin-auth.ts
app/api/admin/users/route.ts
app/admin/benutzer/page.tsx
messages/admin-fragments/verwaltung.de.json
MEM:aufgaben-kichat-live-2026-08-31.md (Gedächtnisdatei außerhalb des Repos)
Hängt zusammen mit:
sec-admin-login (lib/admin-auth.ts) · comp-vault (CLAUDE.md) · comp-finanz-pin (lib/finance-pin.ts)
Offene Fragen der Seite:
Die Rolle „Mechaniker" existiert im Rechte-Katalog der Büro-Konten. Ob sie in der Werkstatt tatsächlich vergeben wird oder ob dort ausschließlich der QR-Ausweis am Tablet genutzt wird, sagen die gelesenen Quellen nicht.
Ein Konto ohne bekannte Rolle fällt auf reines Lesen zurück. Ob das in der Praxis je vorkommt, wurde nicht geprüft.
Hausregel 2: Vault-Daten sind für diese Session unsichtbar; Quellpfade auf Vault-Code sind keine Freigabe.

Frage: {{DEINE FRAGE}}

Antworte nur mit Belegen: nenne Datei und Zeile für jede Aussage.
Wenn die Quellen die Frage nicht beantworten, sag das und nenne, was du zusätzlich lesen müsstest.
Weicht die Seite vom Code ab, schlage den Seiten-Patch vor (wiki/seiten/daten-recht-sicherheit/sec-rollen-rechte.md).

Daten, Datenschutz & SicherheitSeite bearbeiten: wiki/seiten/daten-recht-sicherheit/sec-rollen-rechte.md